CN117336027A - 一种基于用户客户端环境感知的敏感信息分级访问控制方法 - Google Patents

一种基于用户客户端环境感知的敏感信息分级访问控制方法 Download PDF

Info

Publication number
CN117336027A
CN117336027A CN202311217755.2A CN202311217755A CN117336027A CN 117336027 A CN117336027 A CN 117336027A CN 202311217755 A CN202311217755 A CN 202311217755A CN 117336027 A CN117336027 A CN 117336027A
Authority
CN
China
Prior art keywords
terminal
information
access control
client
server side
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202311217755.2A
Other languages
English (en)
Inventor
张乾坤
董得东
许大辰
杨振华
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Zhengzhou Yunzhi Xin'an Security Technology Co ltd
Original Assignee
Zhengzhou Yunzhi Xin'an Security Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Zhengzhou Yunzhi Xin'an Security Technology Co ltd filed Critical Zhengzhou Yunzhi Xin'an Security Technology Co ltd
Priority to CN202311217755.2A priority Critical patent/CN117336027A/zh
Publication of CN117336027A publication Critical patent/CN117336027A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/107—Network architectures or network communication protocols for network security for controlling access to devices or network resources wherein the security policies are location-dependent, e.g. entities privileges depend on current location or allowing specific operations only from locally connected terminals

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

本发明提供一种基于用户客户端环境感知的敏感信息分级访问控制方法。该方法包括：步骤1：利用客户端感知当前客户端所在终端的运行环境信息；步骤2：将感知的所述终端的运行环境信息传输到服务器端；步骤3：服务器端根据所述终端的运行环境信息，判断所述终端的多维度环境信息，所述多维度环境信息包括终端是否为授信终端、终端是否被二次授权、终端的接入网络是否为可信网络、终端是否开启安全软件和终端与服务器端之间的地理位置关系；步骤4：服务器端根据所述终端的多维度环境信息，结合预设的访问控制列表中计算得到所述终端在服务器端上可访问的数据等级。本发明可以满足复杂场景下用户多维度细粒度控制的需求。

Description

一种基于用户客户端环境感知的敏感信息分级访问控制方法
技术领域
本发明涉及计算机技术领域，尤其涉及一种基于用户客户端环境感知的敏感信息分级访问控制方法。
背景技术
目前针对用户终端的环境感知方法各有不同，有些感知的终端环境信息比较单一，没有充分考虑终端可能存在的安全漏洞或者没有考虑网络环境的不可信因素。针对敏感数据的访问控制，目前常用的方法主要包括控制到数据的库和表，或者是控制到数据库表中的数据的行或者列等粗粒度控制方法，并没有针对数据的自身敏感程度做分级分类，也没有针对分级分类后的数据做访问控制。
发明内容
为了解决现有的终端感知方法存在的不足以及满足用户对多维度细粒度访问控制的需求，本发明提供一种基于用户客户端环境感知的敏感信息分级访问控制方法。
本发明提供一种基于用户客户端环境感知的敏感信息分级访问控制方法，包括：
步骤1：利用客户端感知当前客户端所在终端的运行环境信息；
步骤2：将感知的所述终端的运行环境信息传输到服务器端；
步骤3：服务器端根据所述终端的运行环境信息，判断所述终端的多维度环境信息，所述多维度环境信息包括终端是否为授信终端、终端是否被二次授权、终端的接入网络是否为可信网络、终端是否开启安全软件和终端与服务器端之间的地理位置关系；
步骤4：服务器端根据所述终端的多维度环境信息，结合预设的访问控制列表中计算得到所述终端在服务器端上可访问的数据等级。
进一步地，步骤1中，具体包括：
采集终端的主机名、CPU序列号、内存硬件信息、MAC地址，并分别存储至对应的变量中；
采集终端当前所处的网络信息，包括终端的IP地址、子网掩码、网关地址和DNS服务器，并分别存储至对应的变量中；
采集终端的进程信息，包括进程的ID、进程名称、进程命令行参数和进程所属用户，根据所述进程信息判断是否存在需要二次授权的进程和/或安全软件，并将判断结果分别存储至对应的变量中；
采集终端的位置信息，并存储至对应的变量中。
进一步地，步骤2具体包括：
客户端将存储的所有变量信息进行封装成传输对象，将客户端内置的安全码和所述传输对象一起进行散列得到客户端签名，将所述客户端签名和所述传输对象传输到服务器端。
进一步地，步骤3具体包括：
服务器端接收客户端签名和传输对象后，将服务器端的安全码和所述传输对象一起进行散列得到服务器端签名，若所述服务器端签名和所述客户端签名一致，则对所述传输对象进行解析得到所有变量信息；
服务器端读取各个变量中存储的终端的运行环境信息，将各项运行环境信息与服务器端内置的可信指标项进行比较，得到所述终端的多维度环境信息。
进一步地，所述预设的访问控制列表包括第一访问控制列表、第二访问控制列表、第三访问控制列表、第四访问控制列表和第五访问控制列表；
其中，所述第一访问控制列表存储有授信终端和非授信终端分别对应的可访问的数据等级信息；所述第二访问控制列表存储有终端被二次授权和未被二次授权分别对应的可访问的数据等级信息；所述第三访问控制列表存储有终端的接入网络为可信网络和不可信网络时分别对应的可访问的数据等级信息；所述第四访问控制列表存储有终端开启安全软件和未开启安全软件时分别对应的可访问的数据等级信息；所述第五访问控制列表存储有终端与服务器处于不同地理位置时分别对应的可访问的数据等级信息。
进一步地，步骤4具体包括：
服务器端根据所述终端的多维度环境信息，在各自对应的访问控制列表中查询得到所述终端在服务器端可访问的数据等级；
综合各个查询结果，将其中最小的可访问的数据等级作为所述终端在服务器端上可访问的数据等级。
本发明的有益效果：
本发明主要是通过感知多维度的终端环境数据，对发起访问请求的终端的可信度做评判，同时将要访问的敏感数据提前做分类分级的处理，根据访问终端的可信度评级来对应相应等级和类型的可访问的数据，弥补了现有访问控制技术中对终端环境感知的不足，消除了一些潜在的安全隐患和漏洞，同时提供了更精确度的数据访问控制的方法，满足了复杂场景下用户多维度细粒度控制的需求。
附图说明
图1为本发明实施例提供的一种基于用户客户端环境感知的敏感信息分级访问控制方法的流程示意图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
实施例1
如图1所示，本发明实施例提供一种基于用户客户端环境感知的敏感信息分级访问控制方法，包括以下步骤：
S101：利用客户端感知当前客户端所在终端的运行环境信息；
S102：将感知的所述终端的运行环境信息传输到服务器端；
S103：服务器端根据所述终端的运行环境信息，判断所述终端的多维度环境信息，所述多维度环境信息包括终端是否为授信终端、终端是否被二次授权、终端的接入网络是否为可信网络、终端是否开启安全软件和终端与服务器端之间的地理位置关系；
S104：服务器端根据所述终端的多维度环境信息，结合预设的访问控制列表中计算得到所述终端在服务器端上可访问的数据等级。
本发明实施例提供的分级访问控制方法，通过预先将服务器端的敏感信息数据分为不同的数据等级，并设定访问控制列表，可以根据终端实时的多维度环境信息得到终端能够访问的数据等级，从而使得运行环境越安全的终端可以访问的数据等级越高，反之，运行环境越不安全的终端可以访问的数据等级越低，同时实现不同安全等级的终端对服务器端上的敏感信息的细粒度访问控制，以及终端对同一服务器上的不同数据等级的敏感信息的细粒度访问控制。
实施例2
在上述实施例1的基础上，以某军事院的数据分级访问控制为例，本发明实施例提供的一种基于用户客户端环境感知的敏感信息分级访问控制方法，具体包括以下步骤：
S201：预先将服务器端上的敏感信息分为5个等级；其中，数据等级越高，要求访问的终端的安全等级越高；
例如，5级：数据库表中包含金融和财务数据，包括银行账户信息、信用卡号码、税务记录、工资单等、高层会议记录字段信息；
4级：数据库表中包含个人身份信息等敏感数据，包括姓名、地址、电话号码、电子邮件地址、社会安全号码、身份证号码信息；
3级：数据库表中包含商业机密和知识产权等敏感信息，如商业计划、战略、客户名单、研发成果等敏感信息；
2级：数据库表中记录有安全日志和审计日志，记录了系统和网络活动、安全事件等信息；
1级：其他公开发布的信息、非敏感管理信息。
S202：预先在服务器端上设定5个访问控制列表，分别为：第一访问控制列表、第二访问控制列表、第三访问控制列表、第四访问控制列表和第五访问控制列表；
具体地，所述第一访问控制列表存储有授信终端和非授信终端分别对应的可访问的数据等级信息，如表1所示；所述第二访问控制列表存储有终端被二次授权和未被二次授权分别对应的可访问的数据等级信息，如表2所示；所述第三访问控制列表存储有终端的接入网络为可信网络和不可信网络时分别对应的可访问的数据等级信息，如表3所示；所述第四访问控制列表存储有终端开启安全软件和未开启安全软件时分别对应的可访问的数据等级信息，如表4所示；所述第五访问控制列表存储有终端与服务器处于不同地理位置时分别对应的可访问的数据等级信息，如表5所示。
表1 第一访问控制列表
终端授权状态 授信终端 非授信终端
可访问数据等级 5级 4级及4级以下
表2 第二访问控制列表
二次授权状态 经过二次授权 未经过二次授权
可访问数据等级 4级及4级以上 3级及3级以下
表3 第三访问控制列表
网络可信状态 可信网络 不可信网络
可访问数据等级 4级及4级以上 3级及3级以下
表4 第四访问控制列表
终端被保护状态 被保护 未被保护
可访问数据等级 3级及3级以上 2级及2级以下
表5 第五访问控制列表
地理位置区域 距离服务器10公里以内 与服务器属于同一市 与服务器属于同一省 省外国内 国外及未知
可访问数据等级 5级 4级 3级 2级 1级
S203：利用客户端感知当前客户端所在终端的运行环境信息；
具体地，本步骤具体包括以下以下子步骤：
S2031：采集终端的主机名、CPU序列号、内存硬件信息、MAC地址，并分别存储至host_name、cpu_id、mem_info、mac_addr变量中。
具体的采集方法可以参考如下：
主机名：在Windows上，可以使用GetComputerName或GetComputerNameEx等API来获取主机名。在Linux上，可以使用gethostname或uname命令来获取主机名。
CPU序列号：在Windows上，可以使用GetSystemInfo或WMI（Windows ManagementInstrumentation）来获取CPU信息，包括序列号。在Linux上，可以使用dmidecode命令或读取/proc/cpuinfo文件来获取CPU信息。
内存硬件信息：在Windows上，可以使用GetSystemInfo或WMI来获取内存硬件信息，包括容量、类型等。在Linux上，可以使用dmidecode命令或读取/proc/meminfo文件来获取内存硬件信息。
MAC地址：在Windows上，可以使用GetAdaptersInfo或GetAdaptersAddresses等API来获取网络适配器的信息，包括MAC地址。在Linux上，可以使用ifconfig或ip命令来获取网络接口的信息，包括MAC地址。
S2032：采集终端当前所处的网络信息，包括终端的IP地址、子网掩码、网关地址和DNS服务器，并分别存储至ip_addr、netmask、gateway、dns_server变量中；
具体的采集方法可以参考如下：
IP地址和子网掩码：在Windows上，可以使用GetAdaptersInfo或GetAdaptersAddresses等API来获取网络适配器的信息，包括IP地址和子网掩码。在Linux上，可以使用ifconfig或ip命令来获取网络接口的信息，包括IP地址和子网掩码。
网关地址：在Windows上，可以使用GetAdaptersInfo或GetAdaptersAddresses等API来获取网络适配器的信息，包括默认网关地址。在Linux上，可以使用route命令或读取/proc/net/route文件来获取默认网关地址。
DNS服务器：在Windows上，可以使用GetNetworkParams或GetAdaptersAddresses等API来获取DNS服务器的信息。在Linux上，可以查阅/etc/resolv.conf文件来获取DNS服务器的信息。
S2033：采集终端的进程信息，包括进程的ID、进程名称、进程命令行参数和进程所属用户，根据所述进程信息判断是否存在需要二次授权的进程和/或安全软件（例如杀毒软件、防火墙），并将判断结果分别存储至对应的变量中；例如，将是否存在需要二次授权的进程的判断结果存储至is_authorized变量，将是否存在安全软件的判断结果存储至is_protect变量中，若存在安全软件，则表示终端处于被保护中，反之，则表示终端处于未被保护中。
具体地，需要二次授权的进程是指按照业务流程需要，需要信息访问人领导的二次授权确认才可合规授权访问的进程。也就是说，该进程需要相应级别的人授权之后才会正常存在。因此，如果存在该类型进程，在后续判断终端的多维度环境信息时，则认为该终端是经过被二次授权的。
需要说明的是，为了便于识别需要二次授权的进程，可以采用yzxa_phoneNum形式来命名该进程名称。其中，phoneNum表示二次授权人手机号。当服务器端在做信息判断时判断存在需要二次授权的进程的基础上通过phoneNum标识来进一步判断是否是正确的二次授权人，然后将判断结果存入is_authorized变量。
S2034：采集终端的位置信息，并存储至对应的变量中。
具体地，一般授信终端自带GPS芯片，可直接通过接口获取终端当前的经纬度地理位置信息。非授信终端可以通ip地址定位、WiFi定位等方式获取大致的地理位置信息，如果获取不到则标识为未知，将终端地理位置的经纬度信息存入 location变量中。
S204：客户端将存储的所有变量信息进行封装成传输对象，将客户端内置的安全码和所述传输对象一起进行散列得到客户端签名，将所述客户端签名和所述传输对象传输到服务器端。
具体地，客户端将采集到的host_name、cpu_id、mem_info、mac_addr、 ip_addr、netmask、gateway、dns_server、is_authorized、is_protect、location等变量信息封装成传输对象info_obj，同时将客户端内置的安全码security_code 结合被封装的传输信息一起进行散列得到一个客户端签名message，将客户端签名message和封装的传输对象info_obj一同传输到服务端。
S205：服务器端接收客户端签名和传输对象info_obj后，将服务器端的安全码和所述传输对象一起进行散列得到服务器端签名，若所述服务器端签名和所述客户端签名一致，则对所述传输对象info_obj进行解析得到所有变量信息；
服务器端读取各个变量中存储的终端的运行环境信息，将各项运行环境信息与服务器端内置的可信指标项进行比较，得到所述终端的多维度环境信息。
需要说明的是，客户端和服务器端预先约定相同的安全码，以便用于验证客户端签名的有效性，确保传输对象在传输过程中未经篡改。
S206：服务器端根据所述终端的多维度环境信息，在各自对应的访问控制列表中查询得到所述终端在服务器端可访问的数据等级；
综合各个查询结果，将其中最小的可访问的数据等级作为所述终端在服务器端上可访问的数据等级。
最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (6)

1.一种基于用户客户端环境感知的敏感信息分级访问控制方法，其特征在于，包括：
步骤1：利用客户端感知当前客户端所在终端的运行环境信息；
步骤2：将感知的所述终端的运行环境信息传输到服务器端；
步骤3：服务器端根据所述终端的运行环境信息，判断所述终端的多维度环境信息，所述多维度环境信息包括终端是否为授信终端、终端是否被二次授权、终端的接入网络是否为可信网络、终端是否开启安全软件和终端与服务器端之间的地理位置关系；
步骤4：服务器端根据所述终端的多维度环境信息，结合预设的访问控制列表中计算得到所述终端在服务器端上可访问的数据等级。
2.根据权利要求1所述的一种基于用户客户端环境感知的敏感信息分级访问控制方法，其特征在于，步骤1中，具体包括：
采集终端的主机名、CPU序列号、内存硬件信息、MAC地址，并分别存储至对应的变量中；
采集终端当前所处的网络信息，包括终端的IP地址、子网掩码、网关地址和DNS服务器，并分别存储至对应的变量中；
采集终端的进程信息，包括进程的ID、进程名称、进程命令行参数和进程所属用户，根据所述进程信息判断是否存在需要二次授权的进程和/或安全软件，并将判断结果分别存储至对应的变量中；
采集终端的位置信息，并存储至对应的变量中。
3.根据权利要求2所述的一种基于用户客户端环境感知的敏感信息分级访问控制方法，其特征在于，步骤2具体包括：
客户端将存储的所有变量信息进行封装成传输对象，将客户端内置的安全码和所述传输对象一起进行散列得到客户端签名，将所述客户端签名和所述传输对象传输到服务器端。
4.根据权利要求3所述的一种基于用户客户端环境感知的敏感信息分级访问控制方法，其特征在于，步骤3具体包括：
服务器端接收客户端签名和传输对象后，将服务器端的安全码和所述传输对象一起进行散列得到服务器端签名，若所述服务器端签名和所述客户端签名一致，则对所述传输对象进行解析得到所有变量信息；
服务器端读取各个变量中存储的终端的运行环境信息，将各项运行环境信息与服务器端内置的可信指标项进行比较，得到所述终端的多维度环境信息。
5.根据权利要求1所述的一种基于用户客户端环境感知的敏感信息分级访问控制方法，其特征在于，所述预设的访问控制列表包括第一访问控制列表、第二访问控制列表、第三访问控制列表、第四访问控制列表和第五访问控制列表；
其中，所述第一访问控制列表存储有授信终端和非授信终端分别对应的可访问的数据等级信息；所述第二访问控制列表存储有终端被二次授权和未被二次授权分别对应的可访问的数据等级信息；所述第三访问控制列表存储有终端的接入网络为可信网络和不可信网络时分别对应的可访问的数据等级信息；所述第四访问控制列表存储有终端开启安全软件和未开启安全软件时分别对应的可访问的数据等级信息；所述第五访问控制列表存储有终端与服务器处于不同地理位置时分别对应的可访问的数据等级信息。
6.根据权利要求5所述的一种基于用户客户端环境感知的敏感信息分级访问控制方法，其特征在于，步骤4具体包括：
服务器端根据所述终端的多维度环境信息，在各自对应的访问控制列表中查询得到所述终端在服务器端可访问的数据等级；
综合各个查询结果，将其中最小的可访问的数据等级作为所述终端在服务器端上可访问的数据等级。
CN202311217755.2A 2023-09-20 2023-09-20 一种基于用户客户端环境感知的敏感信息分级访问控制方法 Pending CN117336027A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202311217755.2A CN117336027A (zh) 2023-09-20 2023-09-20 一种基于用户客户端环境感知的敏感信息分级访问控制方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202311217755.2A CN117336027A (zh) 2023-09-20 2023-09-20 一种基于用户客户端环境感知的敏感信息分级访问控制方法

Publications (1)

Publication Number Publication Date
CN117336027A true CN117336027A (zh) 2024-01-02

Family

ID=89294390

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202311217755.2A Pending CN117336027A (zh) 2023-09-20 2023-09-20 一种基于用户客户端环境感知的敏感信息分级访问控制方法

Country Status (1)

Country Link
CN (1) CN117336027A (zh)

Similar Documents

Publication Publication Date Title
CN108304704B (zh) 权限控制方法、装置、计算机设备和存储介质
CN111274583A (zh) 一种大数据计算机网络安全防护装置及其控制方法
CN102394885B (zh) 基于数据流的信息分类防护自动化核查方法
CN110851872B (zh) 针对隐私数据泄漏的风险评估方法及装置
CN108989150A (zh) 一种登录异常检测方法及装置
CN103368904A (zh) 移动终端、可疑行为检测及判定系统和方法
WO2016127881A1 (zh) 一种定位方法和装置
CN114598525A (zh) 一种针对网络攻击的ip自动封禁的方法和装置
CN113132311B (zh) 异常访问检测方法、装置和设备
CN109727027A (zh) 账户识别方法、装置、设备及存储介质
CN113326502A (zh) 可疑行为量化评判的安卓应用分类授权法
US9917858B2 (en) Honey user
CN110191097A (zh) 登录页面安全性的检测方法、系统、设备及存储介质
CN116915515B (zh) 用于工控网络的访问安全控制方法及系统
CN116708033B (zh) 终端安全检测方法、装置、电子设备及存储介质
CN111740973A (zh) 一种区块链服务与应用的智能防御系统及方法
CN117336027A (zh) 一种基于用户客户端环境感知的敏感信息分级访问控制方法
CN113542238B (zh) 一种基于零信任的风险判定方法及系统
CN115714660A (zh) 权限配置方法及装置
CN115022008A (zh) 一种访问风险评估方法、装置、设备及介质
CN112214769B (zh) 基于SGX架构的Windows系统的主动度量系统
CN110717192B (zh) 基于Key-Value加速器的面向大数据安全的访问控制方法
CN111324796A (zh) 基于区块链和sdn边缘计算网络系统的域名爬取方法及装置
CN117040935B (zh) 一种基于云计算的节点数据安全传输方法及系统
Lee et al. PCA in ERP environment using the misuse detection system design and implementation of RBAC permissions

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination