CN116633615A - 一种基于区块链和风险评估的访问控制方法 - Google Patents

一种基于区块链和风险评估的访问控制方法 Download PDF

Info

Publication number
CN116633615A
CN116633615A CN202310580816.5A CN202310580816A CN116633615A CN 116633615 A CN116633615 A CN 116633615A CN 202310580816 A CN202310580816 A CN 202310580816A CN 116633615 A CN116633615 A CN 116633615A
Authority
CN
China
Prior art keywords
access
user
model
risk
risk assessment
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202310580816.5A
Other languages
English (en)
Inventor
吴飞
胥熙
季一木
万志国
陈飞
宋一波
王木森
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nanjing University of Posts and Telecommunications
Zhejiang Lab
Original Assignee
Nanjing University of Posts and Telecommunications
Zhejiang Lab
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nanjing University of Posts and Telecommunications, Zhejiang Lab filed Critical Nanjing University of Posts and Telecommunications
Priority to CN202310580816.5A priority Critical patent/CN116633615A/zh
Publication of CN116633615A publication Critical patent/CN116633615A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/50—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using hash chains, e.g. blockchains or hash trees

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种基于区块链和风险评估的访问控制方法包括：在BR‑ABAC中构建智能合约，并进行数据采集；在BR‑ABAC中构建风险评估算法，构建访问风险评估模型并优化；评估模型性能，确定评估指标和评分函数；采用K折交叉验证法验证模型效果；根据风险等级划分实现对用户访问资源的控制。本发明提出的一种基于区块链和风险评估的访问控制方法，相比于现有技术，基于区块链和风险评估的访问控制方法，根据链上智能合约中已经设置好的访问控制策略来判断用户是否具有相应权限，有效提升访问控制的安全性和动态性的优势；针对零信任网络中用户的历史访问行为，持续评估访问主体每次访问时的访问风险，可有效提升零信任网络的安全性和效率。

Description

一种基于区块链和风险评估的访问控制方法
技术领域
本发明涉及零信任网络领域和区块链技术领域，尤其涉及一种基于区块链和风险评估的访问控制方法。
背景技术
随着互联网、云计算和大数据等新一代信息技术的发展，网络结构变得越来越复杂，传统网络安全模型主要针对网络边界进行身份管理和访问控制，其防御手段主要依靠将攻击拦截在可信的内部网络之外。网络基础设施日益复杂，安全边界逐渐模糊，传统的基于边界的网络安全架构和解决方案难以适应现代企业网络基础设施。需要全新的网络安全架构应对现代复杂的企业网络基础设施，应对日益严峻的网络威胁形势，零信任网络安全架构正是在这种背景下应运而生，是安全思维和安全架构进化的必然。
零信任网络的实质是对访问控制的新要求，而身份管理是访问控制的基础，没有身份管理，零信任网络将无法成功实施，并且其认为不应根据网络位置来判断访问主体是否可信，默认网络内部和外部所有实体均是不可信的。因此需要在访问控制过程中，融合更精准的访问风险评估手段，无视访问主体所处的网络位置，持续的对访问主体的访问行为进行风险评估，才能构建出符合零信任网络要求的访问控制机制。
在零信任网络中，传统访问控制模型主要依赖第三方实体进行权限和策略的管理，容易出现中心化模型固有的单点故障等问题，同时安全模型中需要设置动态访问控制策略和信任评估策略，无视访问主体所处位置，对访问主体每次访问进行权限判断和风险评估，传统访问控制策略不具备风险评估能力。
发明内容
本部分的目的在于概述本发明的实施例的一些方面以及简要介绍一些较佳实施例。在本部分以及本申请的说明书摘要和发明名称中可能会做些简化或省略以避免使本部分、说明书摘要和发明名称的目的模糊，而这种简化或省略不能用于限制本发明的范围。
鉴于上述存在的问题，提出了本发明。
因此，本发明解决的技术问题是：针对零信任网络中，传统访问控制模型主要依赖第三方实体进行权限和策略的管理，容易出现中心化模型固有的单点故障等问题，同时安全模型中需要设置动态访问控制策略和信任评估策略，无视访问主体所处位置，对访问主体每次访问进行权限判断和风险评估，传统访问控制策略不具备风险评估能力的问题。
为解决上述技术问题，本发明提供如下技术方案：一种基于区块链和风险评估的访问控制方法，包括：
在BR-ABAC中构建智能合约，并进行数据采集；
在BR-ABAC中构建风险评估算法，构建访问风险评估模型并优化；
评估模型性能，确定评估指标和评分函数；
采用K折交叉验证法验证模型效果；
根据风险等级划分实现对用户访问资源的控制。
作为本发明所述的基于区块链和风险评估的访问控制方法的一种优选方案，其中：所述智能合约的构建包括，
构建策略信息合约，所述策略信息合约由3个函数构成，分别为用于获取主体的属性信息的getSAttr()函数、用于获取客体的属性信息的getOAttr()函数、用于获取当前访问环境的属性信息的getEAttr()函数；
构建策略管理合约，所述策略管理合约由用于管理资源的访问策略的getPolicy()函数构成；
构建策略执行合约，所述策略执行合约由用于接收用户的访问请求的processRequest()构成decision()函数构成；
构建策略决策合约，所述策略决策合约由用于接收策略执行合约的访问请求的。
作为本发明所述的基于区块链和风险评估的访问控制方法的一种优选方案，其中：所述构建访问风险评估模型并优化的步骤包括，
定义风险特征，所述风险特征由三个部分组成，分别为主体属性特征、环境属性特征和资源属性特征；
对数据进行预处理；
基于LightGBM模型构建访问风险评估模型；
使用贝叶斯优化算法对LightGBM模型进行了优化。
作为本发明所述的基于区块链和风险评估的访问控制方法的一种优选方案，其中：所述构建访问风险评估模型步骤包括，
为LightGBM模型中重要参数设定寻优空间，根据寻优空间随机生成一个初始化样本点，将该样本点输入到高斯过程中，并使用训练数据对LightGBM模型进行训练，取均方根误差的相反值作为最终的目标函数值，并利用该目标函数值对高斯代理模型不断修正；
通过采集函数从修正后的高斯代理模型中选择下一组参数，并计算出对应的目标函数值，若当前参数组合得出的目标函数值优于上一轮，则使用该参数组合更新数据集和高斯代理模型；
当某一组参数对应的目标函数值符合要求，或算法达到了最大迭代次数时，终止算法的执行，并输出当前最优参数组合以及对应的目标函数值；
经过贝叶斯优化后得到一组最优参数，使用其作为LightGBM模型的参数，构建基于贝叶斯优化的LightGBM访问风险评估模型。
作为本发明所述的基于区块链和风险评估的访问控制方法的一种优选方案，其中：所述评估模型性能通过决定系数R2指标、均方根误差RMSE指标来衡量模型的表现效果，
所述决定系数的计算公式为：
其中yi表示用户访问的真实风险值，表示模型预测的风险值，/>表示用户访问风险值的平均值，n表示样本数量；决定系数是衡量模型整体拟合度的重要指标，0<R2<1，R2越接近1，说明模型拟合度越好；
所述均方根误差的计算公式为：
其中yi表示用户访问的真实风险值，表示模型预测的风险值，/>表示用户访问风险值的平均值，n表示样本数量；均方根误差反映的是模型的整体误差情况，RMSE越小，说明模型的准确率越高；
结合评估用户访问风险值的具体问题，综合评估决定系数和均方根误差两个指标，并且定义模型的评分函数为，
当模型的RMSE越小，R2越接近1时，说明模型的准确率越高，拟合程度越好，模型的评分越高。通过评分可以选取出最适用于用户访问风险评估的模型。
作为本发明所述的基于区块链和风险评估的访问控制方法的一种优选方案，其中：所述根据风险等级划分实现对用户访问资源的控制的过程包括，
将风险值划分为4个等级，0-0.4为R1级别，0.4-0.6为R2级别，0.6-0.8为R3级别，0.8-1.0为R4级别；
不同等级的风险值对应不同的操作，R1为最低级别，R4为最高级别；
风险等级为R1，则允许用户此次访问；风险等级为R2，则拒绝用户此次访问，并需要用户重新进行身份认证；风险等级为R3，则用户当天所有访问该资源的请求都将被拒绝；风险等级为R4则取消用户对该资源的访问权限。
作为本发明所述的基于区块链和风险评估的访问控制方法的一种优选方案，其中：所述访问控制方法的控制流程包括，
用户发送身份认证请求，请求中携带用户的统一身份标识UID和身份信息的摘要值。零信任网络中的任何访问主体在访问任何资源前，都需要进行身份的认证；
主链代理节点收到用户身份认证请求后，根据用户的UID查询用户在从链的身份标识FID，将认证请求通过跨链通信层转发到对应从链中；从链代理节点收到认证请求后，根据用户UID和身份信息的摘要值对用户身份进行认证，将认证结果最终返回给用户；
用户通过身份认证后，发出访问资源的请求，触发策略执行合约和策略信息合约，其中策略信息合约通过分析请求获取用户本次访问环境信息并保存；
策略执行合约首先调用策略信息合约，将用户访问控制请求转换成基于属性的访问请求，请求转换完成后，再调用策略决策合约，判断用户是否具有权限访问相应资源；
策略决策合约首先调用策略管理合约，根据资源ID获取资源策略信息，然后根据基于属性的访问请求和资源的策略信息执行决策过程，若用户具有相应权限，则将请求转发到风险评估层；若用户不具有权限，则直接拒绝用户本次访问请求；
风险评估层将用户主体属性信息、环境属性信息和资源属性信息作为输入，调用风险评估算法，计算用户本次访问资源的风险值，得出用户此次访问的风险等级，并执行相应操作；
若用户访问风险值小于特定值，则允许用户本次访问；若用户风险等级高于特定值，则拒绝用户本次用户并次访问。
为解决上述技术问题，本发明还提供如下技术方案：一种基于区块链和风险评估的访问控制系统，包括：
身份认证模块，用于对用户身份进行认证，包括基于区块链的身份验证和传统的密码验证方式；
数据收集与预处理模块，用于收集和预处理用户的访问信息，包括用户身份信息、访问环境信息和资源属性信息，以便后续的风险评估和访问控制；
风险评估模块，采用BR-ABAC策略作为访问控制的基础，用于构建智能合约，使用机器学习算法构建访问风险评估模型，并根据评估结果对用户的访问进行控制；
区块链管理系统，用于管理用户身份信息、权限信息以及访问记录数据，确保数据的安全性和完整性；
智能合约执行系统，用于执行智能合约中的访问控制策略，并根据用户的访问信息和风险评估结果进行相应的访问控制；
风险评估算法优化系统，采用贝叶斯优化算法对访问风险评估模型进行优化，提高模型的准确性和可靠性；
监控与报警系统，用于实时监控用户的访问行为，发现异常行为并及时进行报警和处理；
访问控制日志管理系统，用于记录用户的访问行为、风险评估结果以及访问控制策略信息，以便后续的审计和管理；
用户界面系统，用于向用户展示访问控制结果和提示信息，使用户能够了解自己的访问权限和访问风险；
一种计算机设备，包括：存储器和处理器；所述存储器存储有计算机程序，其特征在于：所述处理器执行所述计算机程序时实现本发明中任一项所述的方法的步骤。
一种计算机可读存储介质，其上存储有计算机程序，其特征在于：所述计算机程序被处理器执行时实现本发明中所述的方法的步骤。
本发明的有益效果：本发明提出的一种基于区块链和风险评估的访问控制方法，相比于现有技术，具有如下优势。1、基于区块链和风险评估的访问控制方法，根据链上智能合约中已经设置好的访问控制策略来判断用户是否具有相应权限，有效提升访问控制的安全性和动态性2、针对零信任网络中用户的历史访问行为，持续评估访问主体每次访问时的访问风险，可有效提升零信任网络的安全性和效率。
附图说明
为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其它的附图。其中：
图1为本发明第一个实施例提供的一种基于区块链和风险评估的访问控制方法的工作流程图；
图2为本发明第一个实施例提供的一种基于区块链和风险评估的访问控制方法的访问控制模型架构示意图。
具体实施方式
为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合说明书附图对本发明的具体实施方式做详细的说明，显然所描述的实施例是本发明的一部分实施例，而不是全部实施例。基于本发明中的实施例，本领域普通人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明的保护的范围。
在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是本发明还可以采用其他不同于在此描述的其它方式来实施，本领域技术人员可以在不违背本发明内涵的情况下做类似推广，因此本发明不受下面公开的具体实施例的限制。
其次，此处所称的“一个实施例”或“实施例”是指可包含于本发明至少一个实现方式中的特定特征、结构或特性。在本说明书中不同地方出现的“在一个实施例中”并非均指同一个实施例，也不是单独的或选择性的与其他实施例互相排斥的实施例。
本发明结合示意图进行详细描述，在详述本发明实施例时，为便于说明，表示器件结构的剖面图会不依一般比例作局部放大，而且所述示意图只是示例，其在此不应限制本发明保护的范围。此外，在实际制作中应包含长度、宽度及深度的三维空间尺寸。
同时在本发明的描述中，需要说明的是，术语中的“上、下、内和外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一、第二或第三”仅用于描述目的，而不能理解为指示或暗示相对重要性。
本发明中除非另有明确的规定和限定，术语“安装、相连、连接”应做广义理解，例如：可以是固定连接、可拆卸连接或一体式连接；同样可以是机械连接、电连接或直接连接，也可以通过中间媒介间接相连，也可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。
实施例1
参照图1-2，为本发明的一个实施例，提供了一种基于区块链和风险评估的访问控制方法，包括：
S1：在BR-ABAC中构建智能合约，并进行数据采集；
应说明的是，BR-ABAC是基于角色的属性访问控制模型，在BR-ABAC中构建智能合约的目的是管理主客体和访问环境的属性信息及资源的访问策略、接受和执行用户的访问请求。
更进一步的，BR-ABAC中智能合约的构建步骤包括：
步骤一：构建策略信息合约，策略信息合约主要用于管理访问主体、客体和访问环境的属性信息。主要由3个函数构成，分别为获取主体的属性信息getSAttr()，获取客体的属性信息getOAttr()和获取当前访问环境的属性信息getEAttr()。
应说明的是，getSAttr()函数用于获取主体的属性信息。BR-ABAC用户在发起访问资源请求时，会携带自己的UID，getSAttr()函数首先根据UID查询用户的FID，然后向主链代理节点发起获取用户属性请求，主链代理节点将请求发送到跨链网络层，最后根据FID转发到相应从链上，获取用户的属性信息。
应说明的是，getOAttr()函数用于获取客体的属性信息，即获取资源的属性信息。当资源拥有者在发布资源时会将资源的属性和ID存入区块链中，通过getOAttr()函数，根据资源ID可以获取该资源的属性信息。
应说明的是，getEAttr()函数用于获取访问主体当前访问环境的属性信息。访问主体通过https协议将访问请求发送到区块链上，通过对访问请求进行解析获取访问请求所处的环境上下文信息。
步骤二：构建策略管理合约，策略管理合约主要用于管理资源的访问策略，主要由getPolicy()函数构成。
应说明的是，getPolicy()函数用于当资源拥有者在发布资源时，将资源的访问策略和资源ID存入区块链中，通过getPolicy()函数，根据资源ID可以获取该资源的访问策略。
步骤三：构建策略执行合约，策略执行合约中的核心函数为processRequest()。processRequest()函数用于接收用户的访问请求，请求中的参数包括用户UID和所访问资源的ID。通过调用策略信息合约中的getSAttr()函数，根据用户的UID获取用户的属性；调用getOAttr()函数，根据资源ID获取访问资源的属性；调用getEAttr()函数，获取访问主体当前访问环境的属性信息。根据获取的属性集，将用户访问请求转变成基于属性的访问请求，再调用策略决策合约中的decision()函数进行判断，将判断结果返回给用户。
步骤四：构建策略决策合约，策略决策合约中的核心函数为decision()。decision()函数用于接收策略执行合约的访问请求，此时请求已被策略执行合约处理为基于属性的访问请求，再调用策略管理合约中getPolicy()函数，根据资源ID获取资源的访问策略信息，将访问请求与访问策略信息进行判断，访问请求若满足资源访问策略，则允许用户访问。否则拒绝用户本次访问。并将这次访问决策过程以事件的形式记录到区块链上，区块链上其他节点可以监听事件的发生。
S2：在BR-ABAC中构建风险评估算法，构建访问风险评估模型并优化；
应说明的是，BR-ABAC中风险评估算法目的是防止零信任网络中恶意用户非法获取目标资源。
更进一步的，定义风险特征，风险评估算法中风险特征由三个部分组成，分别是主体属性特征、环境属性特征和资源属性特征。
应说明的是，主体属性是对用户身份信息的描述，由用户的账号信息、所属部门组成。不同访问主体的访问习惯不同，主体属性可以唯一确定一个访问主体。
应说明的是，环境属性是对用户访问资源时所属的网络环境信息的描述，由请求终端IP，端口号，虚拟网域号、交换机IP以及访问资源的时间组成。零信任网络中假设所有用户都是不可信的，无论用户处于网络中的什么位置，都需要进行身份认证以及风险评估。因此环境属性是构建风险评估模型的重要特征指标。
应说明的是，资源属性是对资源信息的描述，由资源的路径组成。若正常用户历史访问记录中没有访问过某种资源，而在某个时刻发出了大量访问该资源的请求，则该用户可能处于异常环境。
基于上述属性构建风险评估模型可以分析出访问主体的异常访问行为，计算出用户访问控制的风险值，最终根据风险值允许或拒绝用户的访问请求。
更进一步的，对数据进行预处理，风险评估模型构建的好坏与训练时所用数据的质量有关，所以数据的预处理是构建模型过程中不可缺少的一部分。数据的预处理步骤包括：
数据清洗：原始数据中可能会出现重复数据和不完整数据，数据清洗就是剔除这些“脏数据”，使得模型具有更好的训练效果。
数据转换：原始数据中大部分特征向量的是字符串类型，不能直接用于模型的训练。数据转换就是通过标签编码的方式将原始数据中的字符串转换成数值型。标签编码将原本字符串特征转换成0～(N-1)之间的数(N是该特征所有不同取值的个数)。
更进一步的，基于LightGBM(轻量级梯度提升决策树)模型构建访问风险评估模型；
更进一步的，使用贝叶斯优化算法对LightGBM模型进行了优化，改进了一种基于贝叶斯优化的LightGBM模型，模型的构建流程为：
(1)为LightGBM模型中重要参数设定寻优空间，根据寻优空间随机生成一个初始化样本点，将该样本点输入到高斯过程中，并使用训练数据对LightGBM模型进行训练。为了构建精确率更高的访问风险评估模型，选择模型的均方根误差值作为目标函数值，由于贝叶斯优化算法在迭代过程中默认目标函数值越大，则该组参数最优，而均方根误差值越低表明模型预测的结果更准确，因此取均方根误差的相反值作为最终的目标函数值，并利用该目标函数值对高斯代理模型不断修正。
(2)通过采集函数从修正后的高斯代理模型中选择下一组参数。并计算出对应的目标函数值，若当前参数组合得出的目标函数值优于上一轮，则使用该参数组合更新数据集和高斯代理模型。
(3)当某一组参数对应的目标函数值符合要求，或算法达到了最大迭代次数时，终止算法的执行，并输出当前最优参数组合以及对应的目标函数值。
(4)经过贝叶斯优化后得到一组最优参数，使用其作为LightGBM模型的参数，构建基于贝叶斯优化的LightGBM访问风险评估模型。
S3：评估模型性能，确定评估指标和评分函数
更进一步的，为了对比分析不同机器学习算法构建的访问风险评估模型效果的好坏，本发明使用决定系数(R2)、均方根误差(RMSE)指标来衡量模型的表现效果。
决定系数的计算公式为：
其中yi表示用户访问的真实风险值，表示模型预测的风险值，/>表示用户访问风险值的平均值，n表示样本数量。决定系数是衡量模型整体拟合度的重要指标，0<R2<1，R2越接近1，说明模型拟合度越好。
均方根误差的计算公式为：
其中yi表示用户访问的真实风险值，表示模型预测的风险值，/>表示用户访问风险值的平均值，n表示样本数量。均方根误差反映的是模型的整体误差情况。RMSE越小，说明模型的准确率越高。
结合评估用户访问风险值的具体问题，综合评估决定系数和均方根误差两个指标，并且定义模型的评分函数为：
当模型的RMSE越小，R2越接近1时，说明模型的准确率越高，拟合程度越好，模型的评分越高。通过评分可以选取出最适用于用户访问风险评估的模型。
S4：采用K折交叉验证法验证模型效果；
更进一步的，使用K折交叉验证法(K-Cross Validation)评估模型。K折交叉验证法是把所有待训练数据切分成K份，使用其中K-1份数据作为训练集进行训练，另外1份数据作为验证集用于模型的评估和验证，并计算出本次模型的评分。依次循环进行K次验证，求出K次验证后模型的平均得分，最后根据模型的平均得分对模型进行评估和验证。本发明中将K的值设置为5，采用5折交叉验证法对模型的真实效果进行评估。
S5：根据风险等级划分实现对用户访问资源的控制
应说明的是，风险评估算法根据属性信息计算用户访问资源的风险值，风险值介于0和1之间。
更进一步的，将风险值划分为4个等级，0-0.4为R1级别，0.4-0.6为R2级别，0.6-0.8为R3级别，0.8-1.0为R4级别，不同等级的风险值对应不同的操作。R1为最低级别，R4为最高级别。风险等级为R1，则允许用户此次访问。风险等级为R2，则拒绝用户此次访问，并需要用户重新进行身份认证。风险等级为R3，则用户当天所有访问该资源的请求都将被拒绝。风险等级为R4则取消用户对该资源的访问权限。
应说明的是，用户在每次访问资源之前，都需要进行身份的认证；在访问控制的过程中，根据用户所处网络环境的不同计算用户的访问风险值，可以更加保证资源的安全性；BR-ABAC模型在ABAC模型的基础上遵循了权限最小分配原则；BR-ABAC模型相较于传统访问控制模型，具有更好的安全性和动态性，且BR-ABAC完全符合零信任网络中访问控制的要求，适用于解决零信任网络下的访问控制问题。
更进一步的，根据用户的历史访问行为，持续评估访问主体每次访问时的访问风险，实现零信任网络中资源的安全访问，其主要流程包括：
用户发送身份认证请求，请求中携带用户的统一身份标识(UID)和身份信息的摘要值。零信任网络中的任何访问主体在访问任何资源前，都需要进行身份的认证。
主链代理节点收到用户身份认证请求后，根据用户的UID查询用户在从链的身份标识(FID)，将认证请求通过跨链通信层转发到对应从链中。从链代理节点收到认证请求后，根据用户UID和身份信息的摘要值对用户身份进行认证，将认证结果最终返回给用户。
用户通过身份认证后，发出访问资源的请求，触发策略执行合约和策略信息合约，其中策略信息合约通过分析请求获取用户本次访问环境信息并保存。
策略执行合约首先调用策略信息合约，将用户访问控制请求转换成基于属性的访问请求，请求转换完成后，再调用策略决策合约，判断用户是否具有权限访问相应资源。
策略决策合约首先调用策略管理合约，根据资源ID获取资源策略信息，然后根据基于属性的访问请求和资源的策略信息执行决策过程，若用户具有相应权限，则将请求转发到风险评估层。若用户不具有权限，则直接拒绝用户本次访问请求。
风险评估层将用户主体属性信息、环境属性信息和资源属性信息作为输入，调用风险评估算法，计算用户本次访问资源的风险值，得出用户此次访问的风险等级，并执行相应操作。
若用户访问风险值小于特定值，则允许用户本次访问。若用户风险等级高于特定值，则拒绝用户本次用户并次访问。
本方法采用基于贝叶斯优化的LightGBM模型进行风险评估，将其与基于决策树、随机森林、XGBoost、LightGBM的风险评估等四种传统的方法进行各项数据对比，通过五折交叉验证对各个模型的稳定性进行验证，以及验证各个模型在测试集上的表现效果，根据模型的评估指标进行对比分析。
本实施例还提供一种计算设备，包括，存储器和处理器；存储器用于存储计算机可执行指令，处理器用于执行计算机可执行指令，实现如上述实施例提出的实现一种基于区块链和风险评估的访问控制方法。
本实施例还提供一种存储介质，其上存储有计算机程序，该程序被处理器执行时实现如上述实施例提出的一种基于区块链和风险评估的访问控制方法。
本实施例提出的存储介质与上述实施例提出的一种基于区块链和风险评估的访问控制方法属于同一发明构思，未在本实施例中详尽描述的技术细节可参见上述实施例，并且本实施例与上述实施例具有相同的有益效果。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、数据库或其它介质的任何引用，均可包括非易失性和易失性存储器中的至少一种。非易失性存储器可包括只读存储器、磁带、软盘、闪存、光存储器、高密度嵌入式非易失性存储器、阻变存储器、磁变存储器、铁电存储器、相变存储器、石墨烯存储器等。易失性存储器可包括随机存取存储器或外部高速缓冲存储器等。作为说明而非局限，RAM可以是多种形式，比如静态随机存取存储器或动态随机存取存储器等。本申请所提供的各实施例中所涉及的数据库可包括关系型数据库和非关系型数据库中至少一种。非关系型数据库可包括基于区块链的分布式数据库等，不限于此。本申请所提供的各实施例中所涉及的处理器可为通用处理器、中央处理器、图形处理器、数字信号处理器、可编程逻辑器、基于量子计算的数据处理逻辑器等，不限于此。
实施例2
下面为本发明的第二个实施例，为了验证本发明的有益效果，通过仿真实验进行科学论证。
1.实验条件:在Intel(R)Xeon(R)CPU E3-1275 v5@3.60GHz(3600MHz)内存32GBWINDOWS 10系统上使用Pycharm进行实现。
2.实验内容:数据来源于某公司数据防泄露产品日志库，主要包括用户访问行为管控日志和审计日志，所有数据均已进行脱敏和筛选等安全操作，可公开使用。该数据比仿真数据更具备研究意义，得出的模型和结论更符合实际。数据清洗完成后共有528690条数据，将所有数据按4:1的比例拆分为训练集和测试集。其中训练集共有422952条数据，测试集共有105738条数据。首先通过训练集训练五种模型，然后通过验证集进行验证，
3.实验结果:通过五折交叉验证法得出模型在不同验证集上的平均指标，具体如表1：
表1模型五折交叉验证结果
由表1可知，决策树模型、随机森林模型和XGBoost模型经过五次交叉验证后，平均得分稳定在4以下，LightGBM模型得分稳定在4.5左右，其中R2稳定在0.858左右，RMSE稳定在0.076左右，说明LightGBM模型在验证集上表现较好。基于贝叶斯优化的LightGBM模型平均得分稳定在5左右，相较于优化前提升了0.4左右，其中决定系数提高了0.026，均方根误差降低了0.004。优化后的LightGBM模型在验证集上拟合度更好，准确率更高。
应说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的精神和范围，其均应涵盖在本发明的权利要求范围当中。

Claims (10)

1.一种基于区块链和风险评估的访问控制方法，其特征在于，包括：
在BR-ABAC中构建智能合约，并进行数据采集；
在BR-ABAC中构建风险评估算法，构建访问风险评估模型并优化；
评估模型性能，确定评估指标和评分函数；
采用K折交叉验证法验证模型效果；
根据风险等级划分实现对用户访问资源的控制。
2.如权利要求1所述的基于区块链和风险评估的访问控制方法，其特征在于：所述智能合约的构建包括，
构建策略信息合约，所述策略信息合约由3个函数构成，分别为用于获取主体的属性信息的getSAttr()函数、用于获取客体的属性信息的getOAttr()函数、用于获取当前访问环境的属性信息的getEAttr()函数；
构建策略管理合约，所述策略管理合约由用于管理资源的访问策略的getPolicy()函数构成；
构建策略执行合约，所述策略执行合约由用于接收用户的访问请求的processRequest()构成decision()函数构成；
构建策略决策合约，所述策略决策合约由用于接收策略执行合约的访问请求的。
3.如权利要求1所述的基于区块链和风险评估的访问控制方法，其特征在于：所述构建访问风险评估模型并优化的步骤包括，
定义风险特征，所述风险特征由三个部分组成，分别为主体属性特征、环境属性特征和资源属性特征；
对数据进行预处理；
基于LightGBM模型构建访问风险评估模型；
使用贝叶斯优化算法对LightGBM模型进行了优化。
4.如权利要求3所述的基于区块链和风险评估的访问控制方法，其特征在于：所述构建访问风险评估模型步骤包括，
为LightGBM模型中重要参数设定寻优空间，根据寻优空间随机生成一个初始化样本点，将所述样本点输入到高斯过程中，并使用训练数据对LightGBM模型进行训练，取均方根误差的相反值作为最终的目标函数值，并利用所述目标函数值对高斯代理模型不断修正；
通过采集函数从修正后的高斯代理模型中选择下一组参数，并计算出对应的目标函数值，若当前参数组合得出的目标函数值优于上一轮，则使用所述参数组合更新数据集和高斯代理模型；
当某一组参数对应的目标函数值符合要求，或算法达到了最大迭代次数时，终止算法的执行，并输出当前最优参数组合以及对应的目标函数值；
经过贝叶斯优化后得到一组最优参数，使用其作为LightGBM模型的参数，构建基于贝叶斯优化的LightGBM访问风险评估模型。
5.如权利要求1所述的基于区块链和风险评估的访问控制方法，其特征在于：所述评估模型性能通过决定系数R2指标、均方根误差RMSE指标来衡量模型的表现效果，
所述决定系数的计算公式为：
其中yi表示用户访问的真实风险值，表示模型预测的风险值，/>表示用户访问风险值的平均值，n表示样本数量；决定系数是衡量模型整体拟合度的重要指标，0<R2<1，R2越接近1，说明模型拟合度越好；
所述均方根误差的计算公式为：
其中yi表示用户访问的真实风险值，表示模型预测的风险值，/>表示用户访问风险值的平均值，n表示样本数量；均方根误差反映的是模型的整体误差情况，RMSE越小，说明模型的准确率越高；
结合评估用户访问风险值的具体问题，综合评估决定系数和均方根误差两个指标，并且定义模型的评分函数为，
当模型的RMSE越小，R2越接近1时，说明模型的准确率越高，拟合程度越好，模型的评分越高；通过评分可以选取出最适用于用户访问风险评估的模型。
6.如权利要求1所述的基于区块链和风险评估的访问控制方法，其特征在于：所述根据风险等级划分实现对用户访问资源的控制的过程包括，
将风险值划分为4个等级，0-0.4为R1级别，0.4-0.6为R2级别，0.6-0.8为R3级别，0.8-1.0为R4级别；
不同等级的风险值对应不同的操作，R1为最低级别，R4为最高级别；
风险等级为R1，则允许用户此次访问；风险等级为R2，则拒绝用户此次访问，并需要用户重新进行身份认证；风险等级为R3，则用户当天所有访问资源的请求都将被拒绝；风险等级为R4则取消用户对资源的访问权限。
7.如权利要求1所述的基于区块链和风险评估的访问控制方法，其特征在于：所述访问控制方法的流程包括，
用户发送身份认证请求，请求中携带用户的统一身份标识UID和身份信息的摘要值；零信任网络中的任何访问主体在访问任何资源前，都需要进行身份的认证；
主链代理节点收到用户身份认证请求后，根据用户的UID查询用户在从链的身份标识FID，将认证请求通过跨链通信层转发到对应从链中；从链代理节点收到认证请求后，根据用户UID和身份信息的摘要值对用户身份进行认证，将认证结果最终返回给用户；
用户通过身份认证后，发出访问资源的请求，触发策略执行合约和策略信息合约，其中策略信息合约通过分析请求获取用户本次访问环境信息并保存；
策略执行合约首先调用策略信息合约，将用户访问控制请求转换成基于属性的访问请求，请求转换完成后，再调用策略决策合约，判断用户是否具有权限访问相应资源；
策略决策合约首先调用策略管理合约，根据资源ID获取资源策略信息，然后根据基于属性的访问请求和资源的策略信息执行决策过程，若用户具有相应权限，则将请求转发到风险评估层；若用户不具有权限，则直接拒绝用户本次访问请求；
风险评估层将用户主体属性信息、环境属性信息和资源属性信息作为输入，调用风险评估算法，计算用户本次访问资源的风险值，得出用户此次访问的风险等级，并执行相应操作；
若用户访问风险值小于特定值，则允许用户本次访问；若用户风险等级高于特定值，则拒绝用户本次用户并次访问。
8.一种基于区块链和风险评估的访问控制系统，其特征在于，包括：
身份认证模块，用于对用户身份进行认证，包括基于区块链的身份验证和传统的密码验证方式；
数据收集与预处理模块，用于收集和预处理用户的访问信息，包括用户身份信息、访问环境信息和资源属性信息，以便后续的风险评估和访问控制；
风险评估模块，采用BR-ABAC策略作为访问控制的基础，用于构建智能合约，使用机器学习算法构建访问风险评估模型，并根据评估结果对用户的访问进行控制；
区块链管理系统，用于管理用户身份信息、权限信息以及访问记录数据，确保数据的安全性和完整性；
智能合约执行系统，用于执行智能合约中的访问控制策略，并根据用户的访问信息和风险评估结果进行相应的访问控制；
风险评估算法优化系统，采用贝叶斯优化算法对访问风险评估模型进行优化，提高模型的准确性和可靠性；
监控与报警系统，用于实时监控用户的访问行为，发现异常行为并及时进行报警和处理；
访问控制日志管理系统，用于记录用户的访问行为、风险评估结果以及访问控制策略信息，以便后续的审计和管理；
用户界面系统，用于向用户展示访问控制结果和提示信息，使用户能够了解自己的访问权限和访问风险。
9.一种计算机设备，包括：存储器和处理器；所述存储器存储有计算机程序，其特征在于：所述处理器执行所述计算机程序时实现权利要求1至7中任一项所述的方法的步骤。
10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于：所述计算机程序被处理器执行时实现权利要求1至7中任一项所述的方法的步骤。
CN202310580816.5A 2023-05-23 2023-05-23 一种基于区块链和风险评估的访问控制方法 Pending CN116633615A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202310580816.5A CN116633615A (zh) 2023-05-23 2023-05-23 一种基于区块链和风险评估的访问控制方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202310580816.5A CN116633615A (zh) 2023-05-23 2023-05-23 一种基于区块链和风险评估的访问控制方法

Publications (1)

Publication Number Publication Date
CN116633615A true CN116633615A (zh) 2023-08-22

Family

ID=87609290

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202310580816.5A Pending CN116633615A (zh) 2023-05-23 2023-05-23 一种基于区块链和风险评估的访问控制方法

Country Status (1)

Country Link
CN (1) CN116633615A (zh)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116962091A (zh) * 2023-09-21 2023-10-27 华能信息技术有限公司 一种精准访问的动态授权方法及系统
CN117056882A (zh) * 2023-10-11 2023-11-14 江南大学附属医院 一种安全访问管理自动审批方法及系统
CN117494185A (zh) * 2023-10-07 2024-02-02 联通(广东)产业互联网有限公司 数据库访问控制方法及装置、系统、设备、存储介质
CN117675387A (zh) * 2023-12-12 2024-03-08 广州达悦信息科技有限公司 基于用户行为分析的网络安全风险预测方法及系统
CN117763519A (zh) * 2023-12-25 2024-03-26 上海航恩智能科技有限公司 可信用户体系构建方法、系统及可读存储介质
CN118153117A (zh) * 2024-03-07 2024-06-07 广州易至信息科技有限公司 一种基于区块链的信息安全风险评估系统
CN118337493A (zh) * 2024-05-10 2024-07-12 长扬科技(北京)股份有限公司 一种面向零信任环境的访问控制策略动态控制方法和装置

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116962091A (zh) * 2023-09-21 2023-10-27 华能信息技术有限公司 一种精准访问的动态授权方法及系统
CN116962091B (zh) * 2023-09-21 2024-02-27 华能信息技术有限公司 一种精准访问的动态授权方法及系统
CN117494185A (zh) * 2023-10-07 2024-02-02 联通(广东)产业互联网有限公司 数据库访问控制方法及装置、系统、设备、存储介质
CN117494185B (zh) * 2023-10-07 2024-05-14 联通(广东)产业互联网有限公司 数据库访问控制方法及装置、系统、设备、存储介质
CN117056882A (zh) * 2023-10-11 2023-11-14 江南大学附属医院 一种安全访问管理自动审批方法及系统
CN117056882B (zh) * 2023-10-11 2023-12-19 江南大学附属医院 一种安全访问管理自动审批方法及系统
CN117675387A (zh) * 2023-12-12 2024-03-08 广州达悦信息科技有限公司 基于用户行为分析的网络安全风险预测方法及系统
CN117763519A (zh) * 2023-12-25 2024-03-26 上海航恩智能科技有限公司 可信用户体系构建方法、系统及可读存储介质
CN118153117A (zh) * 2024-03-07 2024-06-07 广州易至信息科技有限公司 一种基于区块链的信息安全风险评估系统
CN118337493A (zh) * 2024-05-10 2024-07-12 长扬科技(北京)股份有限公司 一种面向零信任环境的访问控制策略动态控制方法和装置

Similar Documents

Publication Publication Date Title
CN116633615A (zh) 一种基于区块链和风险评估的访问控制方法
WO2021077642A1 (zh) 一种基于异构图嵌入的网络空间安全威胁检测方法及系统
US10924514B1 (en) Machine learning detection of fraudulent validation of financial institution credentials
US9679125B2 (en) Characterizing user behavior via intelligent identity analytics
CN114465807B (zh) 一种基于机器学习的零信任api网关动态信任评估与访问控制方法及系统
Hu et al. Quantitative method for network security situation based on attack prediction
Krautsevich et al. Risk-aware usage decision making in highly dynamic systems
Chen et al. A dynamic risk-based access control model for cloud computing
CN108924120A (zh) 一种多维状态感知的动态访问控制方法
CN114091042A (zh) 风险预警方法
CN116436683A (zh) 一种零信任电力网络设备接入安全信任评估方法及装置
CN116915515B (zh) 用于工控网络的访问安全控制方法及系统
CN112822004A (zh) 一种基于信念网络的靶向型隐私保护数据发布方法
CN116319026A (zh) 一种零信任架构中的信任评估方法、装置及电子设备
CN112804247B (zh) 基于三元概念分析的工业控制系统网络入侵检测方法及系统
Hu et al. New insights into approaches to evaluating intention and path for network multistep attacks
Abercrombie et al. Managing complex IT security processes with value based measures
Hu et al. Research on automatic generation and analysis technology of network attack graph
Neto et al. Untrustworthiness: A trust-based security metric
Han et al. Research on Cloud End-User Behavior Trust Evaluation Model Based on Sliding Window
Vadlamudi et al. A framework for data integrity through lineage tracking in cloud
Frimpong et al. A deep decentralized privacy-preservation framework for online social networks
CN117195292B (zh) 一种基于数据融合和边缘计算的电力业务评估方法
Alyami et al. Implementing Integrity Assurance System for Big Data
US20240031391A1 (en) Attack path monitoring and risk mitigation in identity systems

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination