一种基于分级授信的动态访问控制方法与流程

本发明属于安全网关接入，具体涉及一种基于分级授信的动态访问控制方法。

背景技术：

1、传统的边界安全理念以划分安全区域为基础，通过在边界设置安全设备如防火墙、ips、waf等来防范外部攻击。然而，这种方式存在内部信任假设和缺乏全面安全分析的问题。现代企业网络环境的复杂性进一步加剧了这些挑战，新技术如云计算、物联网等的兴起模糊了传统安全边界，对传统边界安全防护构成挑战。同时，传统安全架构在面对高级威胁攻击、内部威胁等方面也显得不够灵活和有效。因此，迫切需要全新的网络安全架构和解决思路来适应现代企业网络基础设施的复杂性和安全挑战。

技术实现思路

1、(一)要解决的技术问题

2、本发明要解决的技术问题是：如何提供一种基于分级授信的动态访问控制方法。

3、(二)技术方案

4、为解决上述技术问题，本发明提供一种基于分级授信的动态访问控制方法，通过动态访问控制模型结合分级授信的动态策略，形成本发明的一种基于分级授信的动态访问控制方法，该方法包括如下步骤：

5、阶段1：用户身份鉴别阶段；

6、阶段2：综合信任指数计算阶段；

7、阶段3：策略控制阶段；

8、阶段4：策略执行阶段。

9、其中，所述阶段1包括：

10、步骤1：终端agent开始运行，定期采集终端环境信息，包括设备唯一标识、设备类型、杀毒防护组件、高危漏洞、当前进程、应用软件版本、操作系统版本；

11、步骤2：终端agent向服务端发起认证请求，发送用户鉴别信息及设备标识信息。

12、步骤3：服务端的安全认证模块首先判断终端agent发送的用户鉴别信息，包括用户名、证书的有效性；其次，判断设备标识是否在允许的设备列表中；若判断结果为鉴别失败，则终止认证流程；

13、步骤4：在判断结果为鉴别成功的情况下，基于gm/t 0024《ssl vpn技术规范》标准协商密钥，建立加密的安全通信通道。

14、其中，所述步骤1中，设备唯一标识是数字证书或硬件特征码，硬件特征码由cpu、硬盘、网卡mac信息综合计算得到。

15、其中，所述步骤2中，用户鉴别信息包括用户名、口令、数字证书。

16、其中，所述阶段2中，终端agent用户身份鉴别通过，与服务端建立安全通信通道后，进入综合信任指数计算阶段；所述步骤2包括：

17、步骤5：终端agent上传采集的环境信息，向服务端发起资源访问请求；

18、步骤6：服务端的信任评估模块依据安全认证模块发来的信息计算终端agent的综合信任指数；综合信任指数计算方式：为用户、环境和行为的每个度量指标分配权重，结合每个维度的基础信任值，通过加权求和得到主体的综合信任指数g，最后结合威胁情报，根据威胁程度给出一个威胁因子h；本次访问行为最终的综合信任指数t＝h·g；

19、步骤7：比较综合信任指数t和权限要求指数pt，如果t>pt，则进入策略匹配流程；否则，终止访问，并将该次访问信息发送给安全检测模块；其中，权限要求指数pt的初始值基于安全策略和经验设定，然后根据访问的反馈结果动态调整。

20、其中，所述阶段3中，策略控制阶段包括策略控制阶段分为策略初始化、策略匹配和策略更新3个流程。

21、其中，所述策略初始化流程如下：

22、步骤8：安全管理员根据组织的安全需求和访问控制策略预先配置访问规则，定义了不同用户或用户组对不同资源的访问权限，以及在特定条件下应用的效应，即允许或拒绝访问；

23、步骤9：检查策略集中的规则，合并具有相同属性和效应的规则，减少规则数量；

24、步骤10：根据终端agent的信任值分布，将信任值范围划分为多个信任级别；

25、步骤11：按照信任级别将策略集合划分为多个子策略集，每个子策略集针对特定的信任级别；

26、步骤12：为子策略集构建索引表，以便快速定位到适用的策略规则。

27、其中，所述策略匹配流程，该流程在访问行为的综合信任指数比较通过时触发，具体包括：

28、步骤13：对访问数据进行安全检查，若发现威胁行为，则立即终止该次访问；否则，进入策略匹配；

29、步骤14：利用信任值和策略索引表，快速定位到可能适用的子策略集；

30、步骤15：在子策略集中搜索并匹配与访问请求相符的规则；

31、步骤16：根据匹配到的规则，生成允许或拒绝访问的决策，发送给网关代理模块，进入策略执行阶段。

32、其中，所述策略更新流程，该流程在策略发生变化时触发，具体如下：

33、步骤17：监控策略库，检测是否有新增、修改或删除的策略；

34、步骤18：根据策略变更，更新策略索引表，确保索引表与当前策略库保持一致；

35、步骤19：调整或重新构建子策略集，以反映策略变更；

36、步骤20：重新进行规则合并，优化规则结构，减少冗余；

37、步骤21：将策略变更信息通知到策略执行点(pep)，确保访问控制决策的实时性。

38、其中，所述阶段4中，策略执行阶段具体如下：

39、步骤21：网关代理模块解析策略控制模块的决策，提取访问资源信息和决策结果，若决策结果为阻止，则终止访问；否则，转发访问请求到资源服务器；

40、步骤22：网关代理模块接收资源服务器返回的数据，并转发给终端agent。

41、(三)有益效果

42、与现有技术相比较，本发明具有以下优点：

43、零信任模式：采用了零信任模式，不再依赖传统的信任边界，对用户、设备和应用都持怀疑态度，提高了安全性，降低了风险。

44、动态访问控制：系统实现了动态访问控制，根据实时的安全态势和用户行为动态调整访问权限，有效防止了未经授权的访问。

45、综合信任评估：通过信任中心对用户的综合信任指数评估，结合用户的身份认证和审计信息，更准确地判断用户的访问权限，提高了安全性和精准性。

46、终端安全强化：终端agent执行软件运行控制、系统隔离和环境监控，提高了终端安全性，防止了恶意软件和未授权应用的运行。

47、数据加密保护：采用数据加密设备对流量进行加密，确保数据在传输过程中的机密性和完整性，提高了数据安全性。

48、分级访问策略：通过访问控制模块的xacml引擎，实现了对资源访问的分级访问，有效地防止了权限滥用和未经授权的访问。

技术特征：

1.一种基于分级授信的动态访问控制方法，其特征在于，该方法包括如下步骤：

2.如权利要求1所述的基于分级授信的动态访问控制方法，其特征在于，所述阶段1包括：

3.如权利要求2所述的基于分级授信的动态访问控制方法，其特征在于，所述步骤1中，设备唯一标识是数字证书或硬件特征码，硬件特征码由cpu、硬盘、网卡mac信息综合计算得到。

4.如权利要求2所述的基于分级授信的动态访问控制方法，其特征在于，所述步骤2中，用户鉴别信息包括用户名、口令、数字证书。

5.如权利要求2所述的基于分级授信的动态访问控制方法，其特征在于，所述阶段2中，终端agent用户身份鉴别通过，与服务端建立安全通信通道后，进入综合信任指数计算阶段；所述步骤2包括：

6.如权利要求5所述的基于分级授信的动态访问控制方法，其特征在于，所述阶段3中，策略控制阶段包括策略控制阶段分为策略初始化、策略匹配和策略更新3个流程。

7.如权利要求6所述的基于分级授信的动态访问控制方法，其特征在于，所述策略初始化流程如下：

8.如权利要求7所述的基于分级授信的动态访问控制方法，其特征在于，所述策略匹配流程，该流程在访问行为的综合信任指数比较通过时触发，具体包括：

9.如权利要求8所述的基于分级授信的动态访问控制方法，其特征在于，所述策略更新流程，该流程在策略发生变化时触发，具体如下：

10.如权利要求9所述的基于分级授信的动态访问控制方法，其特征在于，所述阶段4中，策略执行阶段具体如下：

技术总结
本发明属于安全网关接入技术领域，具体涉及一种基于分级授信的动态访问控制方法，该方法包括如下步骤：阶段1：用户身份鉴别阶段；阶段2：综合信任指数计算阶段；阶段3：策略控制阶段；阶段4：策略执行阶段。本发明建立一种基于零信任原则的动态访问控制模型。它强调在授予访问权限前对所有请求进行验证，无论请求来自内部还是外部网络。ZTBAC模型通过实时计算主体的信任值，并结合动态调整的权限要求来实现细粒度的访问控制。在此模型下，设计一种分级授信的动态策略，通过合并相似规则、划分信任等级和构建策略索引表来减少策略匹配时的搜索空间。此外，该机制支持动态管理策略，允许在运行时更新策略而无需停用整个策略库。

技术研发人员：李康,陆佐贤,于石林,王梓伊,李彪
受保护的技术使用者：航天科工智能运筹与信息安全研究院（武汉）有限公司
技术研发日：
技术公布日：2024/9/9