CN117938511A - 基于零信任的属性访问控制动态权限管理方法及系统 - Google Patents
基于零信任的属性访问控制动态权限管理方法及系统 Download PDFInfo
- Publication number
- CN117938511A CN117938511A CN202410110588.XA CN202410110588A CN117938511A CN 117938511 A CN117938511 A CN 117938511A CN 202410110588 A CN202410110588 A CN 202410110588A CN 117938511 A CN117938511 A CN 117938511A
- Authority
- CN
- China
- Prior art keywords
- registered user
- trust value
- attribute
- trust
- current
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000007726 management method Methods 0.000 title claims abstract description 35
- 238000011156 evaluation Methods 0.000 claims abstract description 57
- 238000000034 method Methods 0.000 claims abstract description 38
- 238000004422 calculation algorithm Methods 0.000 claims abstract description 18
- 230000007246 mechanism Effects 0.000 claims abstract description 8
- 230000006399 behavior Effects 0.000 claims description 57
- 230000006870 function Effects 0.000 claims description 29
- 230000008859 change Effects 0.000 claims description 11
- 238000006243 chemical reaction Methods 0.000 claims description 11
- 239000013598 vector Substances 0.000 claims description 10
- 230000003993 interaction Effects 0.000 claims description 8
- 230000004913 activation Effects 0.000 claims description 4
- 238000013507 mapping Methods 0.000 claims 1
- 230000003068 static effect Effects 0.000 description 11
- 238000004364 calculation method Methods 0.000 description 8
- 230000008569 process Effects 0.000 description 8
- 238000005516 engineering process Methods 0.000 description 6
- 238000010606 normalization Methods 0.000 description 6
- 238000004088 simulation Methods 0.000 description 5
- 230000004048 modification Effects 0.000 description 4
- 238000012986 modification Methods 0.000 description 4
- 206010000117 Abnormal behaviour Diseases 0.000 description 3
- 238000013475 authorization Methods 0.000 description 3
- 238000012545 processing Methods 0.000 description 3
- 230000002159 abnormal effect Effects 0.000 description 2
- 238000011217 control strategy Methods 0.000 description 2
- 230000007547 defect Effects 0.000 description 2
- 230000007812 deficiency Effects 0.000 description 2
- 238000012217 deletion Methods 0.000 description 2
- 230000037430 deletion Effects 0.000 description 2
- 238000012886 linear function Methods 0.000 description 2
- 238000012544 monitoring process Methods 0.000 description 2
- 238000012795 verification Methods 0.000 description 2
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000008901 benefit Effects 0.000 description 1
- 230000019771 cognition Effects 0.000 description 1
- 238000013523 data management Methods 0.000 description 1
- 230000007423 decrease Effects 0.000 description 1
- 230000003247 decreasing effect Effects 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 238000009792 diffusion process Methods 0.000 description 1
- 239000006185 dispersion Substances 0.000 description 1
- 230000008451 emotion Effects 0.000 description 1
- 238000002474 experimental method Methods 0.000 description 1
- 238000000605 extraction Methods 0.000 description 1
- 230000006872 improvement Effects 0.000 description 1
- 230000000977 initiatory effect Effects 0.000 description 1
- 238000012417 linear regression Methods 0.000 description 1
- 238000013138 pruning Methods 0.000 description 1
- 230000003997 social interaction Effects 0.000 description 1
- 238000012706 support-vector machine Methods 0.000 description 1
- 230000009466 transformation Effects 0.000 description 1
- 238000002759 z-score normalization Methods 0.000 description 1
Landscapes
- Storage Device Security (AREA)
Abstract
本发明属于网络信息及数据安全的技术领域，更具体地，涉及一种基于零信任的属性访问控制动态权限管理方法及系统。所述方法包括：S1、获取已注册用户的当前信任值以及当前属性，并根据当前信任值确定已注册用户的权限级别；S2、设定访问控制机制，在已注册用户对系统资源进行权限操作时，判断已注册用户的当前信任值及当前属性是否满足执行条件，若已注册用户的当前信任值大于权限操作的信任阈值且已注册用户的当前属性匹配资源客体的访问策略，则执行权限操作，反之则拒绝执行；S3、获取已注册用户信任值的影响因子，并根据影响因子利用信任值评估算法更新已注册用户的当前信任值；S4、根据更新后的信任值更新已注册用户的属性，并返回步骤S1，实现持续动态权限管理。本发明解决了现有技术中权限管理不够灵活且难以应对动态变化的网络环境的问题。
Description
技术领域
本发明属于网络信息及数据安全的技术领域，更具体地，涉及一种基于零信任的属性访问控制动态权限管理方法及系统。
背景技术
可搜索加密技术能够实现密文数据的搜索，在保证数据机密性的前提下，利用关键字进行密文搜索查询。数据的搜索查询操作是最常用的一种功能，而动态操作如增删改，对于数据库而言也是非常重要的操作。然而，现有可搜索加密技术主要关注点在于如何提高密文数据的搜索效率，未考虑数据的动态操作权限。而且传统的权限管理方法通常基于静态的权限分配，即在用户登录系统时，根据其角色或身份分配一定的权限，然后在用户使用系统过程中，权限不再进行调整。这种静态权限分配存在着许多问题，例如权限过度或不足，无法应对用户行为的变化等。因此，需要一种更加灵活、精细化的权限管理方法来提高系统的安全性。
零信任是一种无信任的安全理念，即不信任网络内外的任何人、设备和系统，基于身份认证和授权重新构建访问控制的信任基础，并且在连接过程中进行持续评估，防止访问主体在不被信任的状态对资源或服务发起非法访问，从而降低访问过程中的安全风险。其本质是“持续验证，无永久可信”。
现有技术中，中国专利文献CN104935590A公开一种基于角色和用户信任值的HDFS访问控制方法，首先结合基于角色的访问控制策略RBAC，替代HDFS的自主访问控制策略，减少了HDFS授权管理的复杂性和管理开销，提高了授权管理的灵活性；在用户首次访问HDFS时，对用户授予角色，通过角色将用户和权限分隔开，以方便管理；在此基础上，进一步引入用户信任值的概念，通过为每个用户设定一个信任值，使得拥有相同角色的不同用户因其信任值的不同而得到不同的访问权限，并通过用户后期行为动态更新用户信任值，从而实现动态、有效地控制用户对HDFS中资源的访问。
中国专利文献CN113051602A公开一种基于零信任架构的数据库细粒度访问控制方法，用户将数据访问请求与数字证书发送到零信任架构中作为策略执行点的代理网关处，代理网关进行身份认证，决定是否继续处理数据访问请求；代理网关将访问请求经过零信任架构的策略管理进程转发至策略引擎，策略引擎获取实时动态信息进行信任计算；策略引擎结合信任计算结果及静态信息，生成实例化访问属性元组，与访问控制策略进行匹配，判决此次访问允许或拒绝；策略管理器收到策略引擎判决信息，根据判决信息对用户授权，用户访问请求在数据库中得到处理。该方法结合了零信任架构技术、信任计算技术和访问控制技术，保护了分布式数据库的数据完整性、机密性，其侧重解决的问题是当前数据库系统的访问权限分配方式不满足最小权限原则，难以抑制网络安全攻击造成的负面影响的扩散，未考虑数据的动态操作权限以及静态权限分配存在权限滥用或权限不足的问题。
中国专利文献CN112235298A公开一种基于零信任模型的数据安全分级动态访问控制方法，获得访问对象和被访问对象各自的至少一个属性信息，根据访问对象的属性信息，获得访问对象在格结构中对应的第一格节点；格结构中的格节点基于格节点对应的权限值分布；根据被访问对象的属性信息，获得被访问对象在格结构中对应的第二格节点；至少根据第一格节点与第二格节点各自的节点分布位置，获得访问控制结果，访问控制结果表征访问对象是否具有对被访问对象进行访问的权限；至少根据访问控制结果，至少调整第一格节点在格结构中的节点分布位置。该方法侧重解决的问题是目前的访问控制实现方案中，通常以静态的访问控制为主，但是实际上随着访问控制的进行，访问对象的权限可能是变化的，由此导致对访问对象的访问控制存在准确率低的缺陷，同样未考虑数据的动态操作权限以及静态权限分配存在权限滥用或权限不足的问题。
综上所述，现有技术存在的问题是：现有可搜索加密技术仅仅关注如何提高密文数据的搜索效率，未考虑数据的动态操作权限；静态权限分配存在权限滥用或权限不足等问题，无法应对动态变化的网络环境。
发明内容
本发明旨在克服上述现有技术的至少一种缺陷，提供一种基于零信任的属性访问控制动态权限管理方法，用以解决不支持数据的动态操作权限以及静态权限分配存在权限滥用或权限不足等问题，以适用动态变化的网络环境。
本发明还公开一种基于零信任的属性访问控制动态权限管理系统。
本发明详细的技术方案如下：
一种基于零信任的属性访问控制动态权限管理方法，所述方法包括：
S1、获取已注册用户的当前信任值以及当前属性，并根据所述当前信任值确定所述已注册用户的权限级别；
S2、设定访问控制机制，在已注册用户对系统资源进行权限操作时，判断所述已注册用户的当前信任值及当前属性是否满足执行条件，若所述已注册用户的当前信任值大于权限操作的信任阈值且所述已注册用户的当前属性匹配资源客体的访问策略，则执行权限操作，反之则拒绝执行；
S3、获取所述已注册用户信任值的影响因子，并根据所述影响因子利用信任值评估算法更新所述已注册用户的当前信任值，其中，所述影响因子包括用户行为参数、历史信任值、推荐信任值以及用户属性信息相关信任值；
S4、根据更新后的信任值更新所述已注册用户的属性，并返回步骤S1，实现持续动态权限管理。
根据本发明优选的，所述步骤S3中，所述信任值评估算法包括：计算所述已注册用户的当前信任值，即：
Vk(t)＝w1*Vk(t-T)+w2*RVk(T)+w3*ATTk(T) (11)；
式(1)中：Vk(t)表示已注册用户k在t时刻的信任值；Vk(t-T)表示已注册用户k在t-T时刻的信任值，即历史信任值，T表示信任值更新时间间隔；RVk(T)表示在当前评估时间间隔内已注册用户k的推荐信任值；ATTk(T)表示在当前评估时间间隔内已注册用户k的用户属性信息相关信任值；w1表示历史信任值对当前信任值的影响权重，w2表示在当前时间间隔内用户行为参数对已注册用户k信任值的影响权重，w3表示在当前时间间隔内用户属性信息变化对已注册用户k信任值的影响权重，且w1+w2+w3＝1。
根据本发明优选的，所述步骤S3具体包括：对所述已注册用户的行为参数进行特征提取，得到用户行为特征向量，其表示为Xk＝(xk,1,xk,2,...,xk,n)，其中xk,j表示已注册用户k的第j个行为特征。
根据本发明优选的，所述步骤S3具体还包括：对所述已注册用户的历史行为参数进行学习，得到一个权重向量，其表示为Φ＝(Φ1,Φ2,...,Φn)，其中Φj表示第j个行为特征的权重。
根据本发明优选的，所述步骤S3中，所述信任值评估算法还包括：计算在当前评估时间间隔内所述已注册用户的推荐信任值，即：
式(2)～(4)中：表示在当前评估时间间隔内系统对已注册用户k的推荐信任值；/>表示在当前评估时间间隔内其他已注册用户i对已注册用户k的推荐信任值，其中，选取正弦函数sin(Vi(t-T))表示其他已注册用户i对已注册用户k的推荐信任值的权重，Vi(t-T)表示其他已注册用户i在前一评估时间间隔的信任值，且sin(Vi(t-T))的取值为[0,1]；α表示系统推荐信任值对已注册用户k当前推荐信任值的影响权重，β表示其他已注册用户i的推荐信任值对已注册用户k当前推荐信任值的影响权重，且α+β＝1；σ()表示激活函数；Ф·Xk表示向量内积，即Ф·Xk＝Ф1·xk,1+Ф2·xk,2+...+Фn·xk,n；Hc表示交互过程中已注册用户k的行为被认定为诚实行为的次数；Dc表示交互过程中已注册用户k的行为被认定为不诚实行为的次数。
根据本发明优选的，所述步骤S3中，所述信任值评估算法还包括：计算在当前评估时间间隔内所述已注册用户的用户属性信息相关信任值，即：
式(5)中：表示第m个属性类中第rm个属性值，β1,β2,…,βm分别表示每个属性类对信任值的影响权重，这里限制β1+β2+…+βm＝1；f1,f2,…,fm为属性值的转换函数，用来将属性值映射到一个0到1之间的值，且限制属性值的范围为[0,1]，0表示该属性被撤销；Nl表示第l个属性类的属性个数，m表述属性类的个数。
根据本发明优选的，所述步骤S3中，所述属性值的转换函数为：
fl(x)＝ex-1,l∈{1,m} (6)；
式(6)中：x表示属性值，其范围为[0,1]。
在本发明的另一个方面当中，还提供了一种基于零信任的属性访问控制动态权限管理系统，所述系统包括：
获取模块，用于获取已注册用户的当前信任值以及当前属性，并根据所述当前信任值确定所述已注册用户的权限级别；
执行模块，用于设定访问控制机制，在已注册用户对系统资源进行权限操作时，判断所述已注册用户的当前信任值及当前属性是否满足执行条件，若所述已注册用户的当前信任值大于权限操作的信任阈值且所述已注册用户的当前属性匹配资源客体的访问策略，则执行权限操作，反之则拒绝执行；
信任值更新模块，用于获取所述已注册用户信任值的影响因子，并根据所述影响因子利用信任值评估算法更新所述已注册用户的当前信任值，其中，所述影响因子包括用户行为参数、历史信任值、推荐信任值以及用户属性信息相关信任值；
属性更新模块，用于根据更新后的信任值更新所述已注册用户的属性。
与现有技术相比，本发明的有益效果为：
(1)本发明提供的一种基于零信任的属性访问控制动态权限管理方法，通过判断已注册用户的当前信任值及当前属性是否满足执行条件，来确定已注册用户是否能对系统资源进行相应权限操作，当已注册用户的当前信任值大于权限操作的信任阈值且已注册用户的当前属性匹配资源客体的访问策略，则执行权限操作，反之则拒绝执行，保证系统资源安全；同时，通过对用户行为和属性信息进行实时监测和持续评估，动态调整用户权限级别，实现了对已注册用户的精细化控制和管理。
(2)本发明与传统的静态权限管理方法相比，提高了系统的安全性和可信度，通过实时监测和评估用户的行为和属性信息，动态调整权限级别，可以及时应对用户行为的变化和威胁。
(3)本发明实现了对已注册用户的精细化控制和管理，根据已注册用户的信任值，动态调整权限级别，使已注册用户获得适当的权限，避免了权限过度或不足的问题。
(4)本发明可有效防止内部和外部威胁对系统的侵害，通过零信任的理念，不再依赖于静态权限分配，有效防止了内部和外部威胁对系统的侵害。
附图说明
图1是本发明所述基于零信任的属性访问控制动态权限管理方法的执行流程图。
图2是本发明方法与现有方法的仿真实验对比结果，其中，(a)为本发明方法中某一用户的信任值在取不同权重时随时间的变化图，(b)为现有方法中某一用户的信任值在取不同权重时随时间的变化图。
具体实施方式
下面结合附图与实施例对本发明做进一步说明。
应该指出，以下详细说明都是示例性的，旨在对本发明提供进一步的说明。除非另有指明，本文使用的所有技术和科学术语具有与本发明所属技术领域的普通技术人员通常理解的相同含义。
需要注意的是，这里所使用的术语仅是为了描述具体实施方式，而非意图限制根据本公开的示例性实施方式。如在这里所使用的，除非上下文另外明确指出，否则单数形式也意图包括复数形式，此外，还应当理解的是，当在本说明书中使用术语“包含”和/或“包括”时，其指明存在特征、步骤、操作、器件、组件和/或它们的组合。
在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。
本发明提供了一种基于零信任的属性访问控制动态权限管理方法，通过设计一种信任值持续更新评估算法，结合基于属性的访问控制机制，构造了一种基于零信任的动态权限管理方法，解决了不支持数据的动态操作权限和静态权限分配存在权限滥用或权限不足等问题，以适用动态变化的网络环境。
以下结合具体实施例对本发明的基于零信任的属性访问控制动态权限管理方法及系统作详细说明。
实施例1、
参图1，本实施例提供一种基于零信任的属性访问控制动态权限管理方法，可以应用在数据管理系统当中，所述方法包括：
S1、获取已注册用户的当前信任值以及当前属性，并根据所述当前信任值确定所述已注册用户的权限级别。
具体地，本实施例面向已注册用户。对于新用户的加入，首先需要完成用户注册。用户注册具体包括：用户向系统提交相关信息进行注册，比如用户的身份信息等，然后由系统对用户的身份信息等进行验证，通过验证的用户可以获得系统唯一的身份标识和通行证，比如系统账户信息；同时，系统将为注册成功的新用户设定初始信任值并分配对应的属性集合。
本实施例中，信任值的设定范围为[0,1]的实数，其中1表示完全可信，0表示不可信。新注册用户的初始信任值设定为0.5，随着已注册用户在系统中的相关行为操作，基于本实施例所设计的信任值评估算法，已注册用户的信任值或增大或减小。
本实施例中，属性可以理解为根据已注册用户的身份特征(如性别属性、职业属性等)进行定义及划分的，每个属性类别构成一个属性集合。系统根据已注册用户的身份信息将其分配到对应的属性集合中，用于细粒度访问控制，实现权限的精细化管理。
进一步地，所述步骤S1中，根据所述当前信任值确定已注册用户的权限级别，具体为：系统获取已注册用户的当前信任值，并根据当前信任值的大小来确定其权限级别的高低。一般来讲，信任值高的用户将获得更高级别(信任阈值高)的权限操作，而信任值低的用户将不能执行信任阈值高于其信任值的权限操作。如下表1给出了不同权限操作对应的信任阈值的示例，在实际应用中可以根据系统安全性要求进行设置。
表1不同权限操作对应的信任阈值
| 操作 | 查看 | 下载 | 添加 | 修改 | 删除 |
| 信任阈值 | 0.5 | 0.7 | 0.7 | 0.8 | 0.9 |
应当理解，随着已注册用户在系统中的相关行为操作，其信任值或增大或减小，系统可根据当前计算得到的信任值动态调整已注册用户的权限级别。
S2、设定访问控制机制，在已注册用户对系统资源进行权限操作时，判断所述已注册用户的当前信任值及当前属性是否满足执行条件，若所述已注册用户的当前信任值大于权限操作的信任阈值且所述已注册用户的当前属性匹配资源客体的访问策略，则执行权限操作，反之则拒绝执行。
本实施例中，已注册用户在执行权限操作时，需要完成两重验证。即已注册用户对系统资源进行相关权限操作时，首先，系统依据不同权限操作对应的信任阈值判断已注册用户是否能够执行该操作，如果已注册用户的信任值大于或等于该权限操作的信任阈值，则继续判断已注册用户的属性是否匹配要访问的资源客体(目标资源)的访问策略，如果已注册用户的属性匹配资源客体的访问策略，则已注册用户可以对目标资源进行相应权限操作；否则拒绝执行相应的权限操作。
示范性地，已注册用户k其当前信任值为TV＝0.82，其属性集合为B＝{年龄：25，职位：管理员，所属部门：人事部}，要访问的资源客体C(如职员薪资)的访问策略为A＝{允许年龄≥20且职位为管理员且部门＝人事部}，用户k修改职员薪资具体执行过程：
首先，判断用户k当前信任值TV＝0.82是否大于等于修改操作的信任阈值(0.8)，满足条件则进入下一步，否则拒绝操作；
接着，判断用户k的属性集合是否满足资源客体C(职员薪资)的访问策略，若满足则执行相应操作，否则拒绝操作。
S3、获取所述已注册用户信任值的影响因子，并根据所述影响因子利用信任值评估算法更新所述已注册用户的当前信任值，其中，所述影响因子包括用户行为参数、历史信任值、推荐信任值以及用户属性信息相关信任值。
具体地，系统实时监测并收集影响已注册用户信任值的相关影响因子，比如用户行为参数，即该已注册用户的行为数据(包括登录行为、操作行为、网络连接等)、系统及其他已注册用户对该已注册用户的推荐信任值、该已注册用户的历史信任值、该已注册用户的用户属性相关信息信任值以及其他影响因素等，分析该已注册用户在不同维度上的行为和属性的安全程度，用于更新该已注册用户的信任值。
本实施例中给出了一种信任值评估方法，通过系统收集到的信任值的影响因子，定期更新已注册用户的信任值。这里可以设定一个评估周期为T，即信任值更新时间间隔，从而可依据固定时间内已注册用户的行为数据等因素更新其信任值。此处应当理解，实际应用中，具体评估周期由实际系统设定。
进一步地，本实施例中信任值评估方法具体包括：根据已注册用户的历史信任值、系统及其他已注册用户的推荐信任值、已注册用户的属性信息相关信任值，使用本实施例设计的信任值评估算法更新已注册用户的信任值。信任值反映了已注册用户在系统中的可信度和风险程度。
以已注册用户k为例，设信任值更新时间间隔为T，通过综合t-T时刻到t时刻间隔内已注册用户k的历史信任值、系统以及其他与已注册用户k互动过的已注册用户基于已注册用户k的行为数据等参数对其的推荐信任值、基于属性相关信息信任值三部分来计算t时刻已注册用户k的信任值Vk(t)，计算公式为：
Vk(t)＝w1*Vk(t-T)+w2*RVk(T)+w3*ATTk(T) (1)；
式(1)中：Vk(t-T)为已注册用户k在t-T时刻(即前一评估时间间隔)的信任值；RVk(T)为在当前评估时间间隔内已注册用户k的推荐信任值；ATTk(T)为在当前评估时间间隔内已注册用户k属性信息相关的信任值；w1表示历史信任值对当前时刻信任值的影响权重，w2表示在当前时间间隔内用户行为参数对其信任度的评估值的影响权重，w3表示在当前时间间隔内用户属性信息变化对其信任度的评估值的影响权重，且w1+w2+w3＝1。
进一步地，以下分别给出式(1)中在当前评估时间间隔内已注册用户k的推荐信任值RVk(T)以及在当前评估时间间隔内已注册用户k的属性信息相关信任值ATTk(T)的求解过程。
①在当前评估时间间隔内，系统及其他已注册用户i对已注册用户k的推荐信任值RVk(T)的计算公式为：
式(2)中：为在当前评估时间间隔内系统对已注册用户k的推荐信任值；为其他已注册用户i对已注册用户k的推荐信任值，本实施例选取正弦函数sin(Vi(t-T))表示其他已注册用户i对已注册用户k推荐信任值的权重，Vi(t-T)为其他已注册用户i前一评估时间间隔的信任值，由于本实施例已限定用户信任值的范围为[0,1]，因此sin(Vi(t-T))的取值也是[0,1]；α表示系统推荐信任值对已注册用户k当前的推荐信任值的影响权重，β表示其他已注册用户推荐信任值对已注册用户k当前的推荐信任值的影响权重，且α+β＝1。
由于其他已注册用户的评价判断结果依据主观因素较大，为避免评估信任值出现很大偏差，在信任值计算公式中以每个已注册用户的信任值作为评价值的权重。同时，当其他与已注册用户k互动过的已注册用户基于已注册用户k的行为数据等参数对其的推荐信任值之和大于1时，即则选取合适的归一化方法进行处理，使得推荐信任值仍为[0,1]的实数，具体归一化方法的选择方法，依据数据集的特点进行选取。
进一步地，可选归一化方法如：
(1)Min-Max归一化：也称为离差标准化，是对原始数据进行线性变换，将其缩放到[0,1]的范围内。其表达式为：其中X为实际数值，max为数据集中最大值，min为数据集中最小值。
(2)Z-score归一化：也称为标准分数或均值标准差归一化，它是基于原始数据的均值和标准差进行归一化。其表达式为：其中X为实际数值，μ为数据集的均值，σ为数据集的标准差。
为了高效地利用相关数据评估已注册用户k的信任值，在本实施例中，系统对已注册用户k的行为数据(即用户行为参数)进行监测及统计分析，包括登录行为、操作行为、网络连接等方面。
首先，系统对已注册用户的行为数据进行特征提取，得到用户行为特征向量。设已注册用户k的行为特征向量为Xk＝(xk,1,xk,2,...,xk,n)，其中xk,j表示第j个行为特征，n表示用户行为特征的个数，如情感、认知、社交等。
接着，通过支持向量机算法对已注册用户的历史行为数据进行学习，得到一个权重向量Φ＝(Φ1,Φ2,...,Φn)，其中Φj表示第j个行为特征的权重。
则在当前评估时间间隔，系统对已注册用户k的推荐信任值的计算公式为：
式(3)中：σ()表示一个激活函数，可以是Sigmoid函数或者其他的激活函数；Ф·Xk表示向量内积，即Ф·Xk＝Ф1·xk,1+Ф2·xk,2+...+Фn·xk,n。
其他已注册用户i对已注册用户k在当前评估时间间隔内的交互行为进行评价，即判断交互过程中已注册用户k的行为是否诚实可信。通过分析当前时间间隔T内已注册用户k的行为与其历史行为之间的偏差程度，可以判断已注册用户k的当前行为是否异常。以其他已注册用户i为例，在当前评估时间间隔内，其对已注册用户k的推荐信任值的计算公式为：
式(4)中：Hc表示交互过程中已注册用户k的行为被认定为诚实行为的次数；Dc表示交互过程中已注册用户k的行为被认定为不诚实行为的次数。
②由于已注册用户的属性集合决定其是否能够访问相关系统资源，因此已注册用户的属性变化也反映了其可信程度。本实施例依据已注册用户属性的变化情形，设置了已注册用户属性信息变化相关的信任值变化规则。
假设已注册用户在系统中具有m类属性，分别记为A1,A2,…,Am，每一个属性类可以取不同的属性即其中，Nl为第l个属性类的属性个数，如性别属性类可取男或女，职称属性类可取助理工程师、工程师、高级工程师等。本实施例基于多因素的线性回归模型给出已注册用户的属性信息变化相关信任值的计算公式为：
式(5)中：表示第m个属性类中第rm个属性值，β1,β2,…,βm分别表示每个属性类对信任值的影响权重，这里限制β1+β2+…+βm＝1；f1,f2,…,fm为属性值的转换函数，用来将属性值映射到一个0到1之间的值，本实施例中限定属性值范围为[0,1]，0表示该属性被撤销，包括了正常情形撤销的属性和异常情形撤销的属性；Nl表示第l个属性类的属性个数，m表述属性类的个数。
上述参数在实际应用中可进行调整，通过调整参数的值，可以模拟不同属性变化对信任值的影响。
进一步地，可以通过最小二乘法等方法进行参数估计和模型拟合，从而得到一个更准确的评估用户信任值与属性变化之间关系的模型。
另一方面，在设计属性值的转换函数时，可以根据属性值的特点和重要性来选择合适的函数形式，如线性函数、指数函数、Sigmoid函数和分段函数等。本实施例中利用指数函数设计属性值的转换函数，以职称属性类为例，转换函数表达式如下：
fl(x)＝ex-1,l∈{1,m} (6)；
式(6)中：x表示属性值，如某一职称属性值，范围为[0,1]，假设职称属性类中包含三个属性：助理工程师、工程师、高级工程师，这三个属性对应的属性值依次为0.2、0.4、0.6，则对应转换函数值分别为f1(0.2)＝e0.2-1、f1(0.4)＝e0.4-1、f1(0.6)＝e0.6-1。
这里简化处理，本实施例中m个属性类的转换函数均取为ex-1，即f1(x)＝f2(x)＝…＝fm(x)＝ex-1。实际中可根据需求选择不同的转换函数，如上述的线性函数、指数函数、Sigmoid函数和分段函数等。
应当理解，具体每一个属性类包括的属性个数和对应的属性值可根据实际情况进行设置。每一个评估时间间隔内，根据用户拥有的属性值计算用户属性信息变化相关的信任值。
基于上述过程，完成在当前评估时间间隔内对已注册用户的信任值的更新。
S4、根据更新后的信任值更新已注册用户的属性，并返回步骤S1，实现持续动态权限管理。
本实施例中，更新已注册用户的属性具体包括：系统根据已注册用户更新后的信任值可对其属性进行撤销或增加，也可不做处理。同时，为防止已注册用户的系统通行证(如账号)被窃取而发起冒充攻击，系统检测已注册用户在评估时间间隔内是否存在重大异常行为，如窃取、篡改、删除系统秘密信息、重要敏感信息、重要数据等行为(由于不同系统的保密级别和安全要求不同，因此重大异常行为的判定规则由系统依据具体情况设置)，如果存在重大异常行为且评估后的信任值仍大于关键权限操作，如修改、删除等(实际中可根据系统安全级别设置)的信任阈值，则系统通过撤销相应属性实现对已注册用户权限的动态调整。
属性更新结束后，返回步骤S1，实现持续动态权限管理。
进一步地，为了说明本实施例方法的优势，仿真对比结果如图2所示，其中，图2(a)为采用本实施例方法的仿真结果，图2(b)为采用现有方法(基于角色和用户信任值的HDFS访问控制方法)的仿真结果，由此可以得出结果：
在Windows 10操作系统下的Matlab-R2016a编程平台上，给出本实施例方法与现有方法的仿真实验，在实验中，信任值权重分别取0.7、0.6、0.5、0.4、0.3，评估时间设置为100个时间间隔，从图2(a)和(b)可以看出，本实施例方法的信任值评估算法更符合实际情形且信任值收敛于设定的范围。
实施例2、
本实施例提供一种基于零信任的属性访问控制动态权限管理系统，所述系统包括：
获取模块，用于获取已注册用户的当前信任值以及当前属性，并根据所述当前信任值确定所述已注册用户的权限级别；
执行模块，用于设定访问控制机制，在已注册用户对系统资源进行权限操作时，判断所述已注册用户的当前信任值及当前属性是否满足执行条件，若所述已注册用户的当前信任值大于权限操作的信任阈值且所述已注册用户的当前属性匹配资源客体的访问策略，则执行权限操作，反之则拒绝执行；
信任值更新模块，用于获取所述已注册用户信任值的影响因子，并根据所述影响因子利用信任值评估算法更新所述已注册用户的当前信任值，其中，所述影响因子包括用户行为参数、历史信任值、推荐信任值以及用户属性信息相关信任值；
属性更新模块，用于根据更新后的信任值更新所述已注册用户的属性。
显然，本发明的上述实施例仅仅是为清楚地说明本发明技术方案所作的举例，而并非是对本发明的具体实施方式的限定。凡在本发明权利要求书的精神和原则之内所做的任何修改、等同替换和改进等，均应包含在本发明权利要求的保护范围之内。
Claims (8)
1.一种基于零信任的属性访问控制动态权限管理方法，其特征在于，所述方法包括：
S1、获取已注册用户的当前信任值以及当前属性，并根据所述当前信任值确定所述已注册用户的权限级别；
S2、设定访问控制机制，在已注册用户对系统资源进行权限操作时，判断所述已注册用户的当前信任值及当前属性是否满足执行条件，若所述已注册用户的当前信任值大于权限操作的信任阈值且所述已注册用户的当前属性匹配资源客体的访问策略，则执行权限操作，反之则拒绝执行；
S3、获取所述已注册用户信任值的影响因子，并根据所述影响因子利用信任值评估算法更新所述已注册用户的当前信任值，其中，所述影响因子包括用户行为参数、历史信任值、推荐信任值以及用户属性信息相关信任值；
S4、根据更新后的信任值更新所述已注册用户的属性，并返回步骤S1，实现持续动态权限管理。
2.根据权利要求1所述的一种基于零信任的属性访问控制动态权限管理方法，其特征在于，所述步骤S3中，所述信任值评估算法包括：计算所述已注册用户的当前信任值，即：
Vk(t)＝w1*Vk(t-T)+w2*RVk(T)+w3*ATTk(T) (1)；
式(1)中：Vk(t)表示已注册用户k在t时刻的信任值；Vk(t-T)表示已注册用户k在t-T时刻的信任值，即历史信任值，T表示信任值更新时间间隔；RVk(T)表示在当前评估时间间隔内已注册用户k的推荐信任值；ATTk(T)表示在当前评估时间间隔内已注册用户k的用户属性信息相关信任值；w1表示历史信任值对当前信任值的影响权重，w2表示在当前时间间隔内用户行为参数对已注册用户k信任值的影响权重，w3表示在当前时间间隔内用户属性信息变化对已注册用户k信任值的影响权重，且w1+w2+w3＝1。
3.根据权利要求1所述的一种基于零信任的属性访问控制动态权限管理方法，其特征在于，所述步骤S3具体包括：对所述已注册用户的行为参数进行特征提取，得到用户行为特征向量，其表示为Xk＝(xk,1,xk,2,...,xk,n)，其中xk,j表示已注册用户k的第j个行为特征。
4.根据权利要求3所述的一种基于零信任的属性访问控制动态权限管理方法，其特征在于，所述步骤S3具体还包括：对所述已注册用户的历史行为参数进行学习，得到一个权重向量，其表示为Φ＝(Φ1,Φ2,...,Φn)，其中Φj表示第j个行为特征的权重。
5.根据权利要求4所述的一种基于零信任的属性访问控制动态权限管理方法，其特征在于，所述步骤S3中，所述信任值评估算法还包括：计算在当前评估时间间隔内所述已注册用户的推荐信任值，即：
式(2)～(4)中：表示在当前评估时间间隔内系统对已注册用户k的推荐信任值；表示在当前评估时间间隔内其他已注册用户i对已注册用户k的推荐信任值，其中，选取正弦函数sin(Vi(t-T))表示其他已注册用户i对已注册用户k的推荐信任值的权重，Vi(t-T)表示其他已注册用户i在前一评估时间间隔的信任值，且sin(Vi(t-T))的取值为[0,1]；α表示系统推荐信任值对已注册用户k当前推荐信任值的影响权重，β表示其他已注册用户i的推荐信任值对已注册用户k当前推荐信任值的影响权重，且α+β＝1；σ()表示激活函数；Ф·Xk表示向量内积，即Ф·Xk＝Ф1·xk,1+Ф2·xk,2+...+Фn·xk,n；Hc表示交互过程中已注册用户k的行为被认定为诚实行为的次数；Dc表示交互过程中已注册用户k的行为被认定为不诚实行为的次数。
6.根据权利要求5所述的一种基于零信任的属性访问控制动态权限管理方法，其特征在于，所述步骤S3中，所述信任值评估算法还包括：计算在当前评估时间间隔内所述已注册用户的用户属性信息相关信任值，即：
式(5)中：表示第m个属性类中第rm个属性值，β1,β2,…,βm分别表示每个属性类对信任值的影响权重，且限制β1+β2+…+βm＝1；f1,f2,…,fm为属性值的转换函数，用来将属性值映射到一个0到1之间的值，且限制属性值的范围为[0,1]，0表示该属性被撤销；Nl表示第l个属性类的属性个数，m表述属性类的个数。
7.根据权利要求6所述的一种基于零信任的属性访问控制动态权限管理方法，其特征在于，所述步骤S3中，所述属性值的转换函数为：
fl(x)＝ex-1,l∈{1,m} (6)；
式(6)中：x表示属性值，其范围为[0,1]。
8.一种基于零信任的属性访问控制动态权限管理系统，其特征在于，所述系统包括：
获取模块，用于获取已注册用户的当前信任值以及当前属性，并根据所述当前信任值确定所述已注册用户的权限级别；
执行模块，用于设定访问控制机制，在已注册用户对系统资源进行权限操作时，判断所述已注册用户的当前信任值及当前属性是否满足执行条件，若所述已注册用户的当前信任值大于权限操作的信任阈值且所述已注册用户的当前属性匹配资源客体的访问策略，则执行权限操作，反之则拒绝执行；
信任值更新模块，用于获取所述已注册用户信任值的影响因子，并根据所述影响因子利用信任值评估算法更新所述已注册用户的当前信任值，其中，所述影响因子包括用户行为参数、历史信任值、推荐信任值以及用户属性信息相关信任值；
属性更新模块，用于根据更新后的信任值更新所述已注册用户的属性。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202410110588.XA CN117938511A (zh) | 2024-01-25 | 2024-01-25 | 基于零信任的属性访问控制动态权限管理方法及系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202410110588.XA CN117938511A (zh) | 2024-01-25 | 2024-01-25 | 基于零信任的属性访问控制动态权限管理方法及系统 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN117938511A true CN117938511A (zh) | 2024-04-26 |
Family
ID=90757135
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202410110588.XA Pending CN117938511A (zh) | 2024-01-25 | 2024-01-25 | 基于零信任的属性访问控制动态权限管理方法及系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN117938511A (zh) |
-
2024
- 2024-01-25 CN CN202410110588.XA patent/CN117938511A/zh active Pending
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Xu et al. | An efficient privacy‐enhanced attribute‐based access control mechanism | |
| US7568218B2 (en) | Selective cross-realm authentication | |
| US20040024764A1 (en) | Assignment and management of authentication & authorization | |
| US20080083040A1 (en) | Aggregated resource license | |
| US20080155649A1 (en) | System and method for multi-context policy management | |
| CN114465807B (zh) | 一种基于机器学习的零信任api网关动态信任评估与访问控制方法及系统 | |
| Wang et al. | Trust and attribute-based dynamic access control model for Internet of Things | |
| JP2002539538A (ja) | バイオメトリックデバイスを用いて企業リソースへのアクセスを可能にするシステム、方法およびコンピュータプログラム製品 | |
| Amini et al. | Purpose-based privacy preserving access control for secure service provision and composition | |
| Alkhresheh et al. | DACIoT: Dynamic access control framework for IoT deployments | |
| Pal et al. | Towards a secure access control architecture for the Internet of Things | |
| Riad et al. | Multi-factor synthesis decision-making for trust-based access control on cloud | |
| Woo et al. | Dynamic role-based access control with trust-satisfaction and reputation for multi-agent system | |
| CN112134848A (zh) | 融合媒体云自适应访问控制方法、装置、终端及介质 | |
| Vijayalakshmi et al. | A priority-based approach for detection of anomalies in ABAC policies using clustering technique | |
| Rashidi et al. | A new approach to ranking attributes in attribute based access control using decision fusion | |
| Wang et al. | A trust and attribute-based access control framework in internet of things | |
| Ding et al. | A risk adaptive access control model based on Markov for big data in the cloud | |
| CN117938511A (zh) | 基于零信任的属性访问控制动态权限管理方法及系统 | |
| Almajed et al. | Improving the perfoamnce of Fog-assisted Internet of Things Networks using Bipolar Trapezoidal Neutrosophic sets. | |
| Premarathne et al. | Location-dependent disclosure risk based decision support framework for persistent authentication in pervasive computing applications | |
| Mohamed et al. | Authorization strategies and classification of access control models | |
| CN113064721B (zh) | 一种基于模糊层次分析法和熵权法的网关访问控制方法 | |
| Krautsevich et al. | Integration of quantitative methods for risk evaluation within usage control policies | |
| Li et al. | A security access strategy for sensitive resource of intelligent production line system with dynamic attribute collaboration |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination |