专利名称：云存储环境下安全策略分解与验证系统的制作方法
技术领域：
本发明属于计算机安全技术领域，具体涉及一种云存储环境下安全策略分解与验证系统。主要从框架角度设计和实现对云存储环境下的安全策略进行分解与验证。
背景技术：
随着通信、计算机及信息技术的发展，在党政机关、企事业单位、财政金融、国防军工等相关部门中，信息的保有量和交流量都达到了前所未有的数量级，存储系统不断膨胀。 如何实现PB级的容量扩展，如何控制能源开销和运维成本，如何保障数据安全和系统可用，如何简化日常的管理工作，已成为一个急待解决的研究课题。作为传统存储格局的替代产品，云存储解决方案应运而生。云存储(Cloud Storage)是在云计算概念上延伸的一个新概念，指通过集群应用、 网格技术或分布式文件系统等，将网络中大量的各种不同类型的存储设备通过应用软件集合起来协同工作，共同对外提供数据存储和业务访问功能的一个系统。云存储不是某一个具体的存储设备，而是由许多的存储设备和服务器所构成的集合体。用户使用云存储并不是在使用存储设备，而是使用整个云存储系统所提供的一种数据存储与访问服务，通过云存储服务用户可以将大量的数据存放到云存储系统中去，并可以通过任何服务接入点实施对存储到云端的数据进行访问和处理。国外已经有很多的企业开展了云存储服务，最典型的便是Google的Gmail，同样 Amazon早在2006年前就推出了弹性云云存储产品，旨在为用户提供互联网服务形式的同时提供更强大的存储和计算功能，内容分发网络服务提供商CDNetworks和业界著名的云存储平台服务商Mrvanix于2008年发布了一项合作，并宣布结成战略伙伴关系，以提供业界目前唯一的云存储和内容传送服务集成平台，从而使用户和企业的存储需求可以实现按需定制和按需付费。我国对云存储技术的研究也已经有一段时间了，并取得了一定的成果。 如2009年华为公司推出的云存储系统一一DBANK数据银行，该系统可以为用户提供功能强大的上传/下载服务，并可实现对多台电脑的数据进行同步，用户和企业可以利用系统提供的强大功能支持实现对海量数据的透明存储和管理；2010年，上海云商信息科技有限公司推出的云端存储一WiMtor系统，也可以为家庭用户、企业、事业单位提供跨域或跨路由的云存储服务。虽然目前云存储技术已经比较成熟，而且得到了广泛的应用，但在安全性能上还远不能满足用户的实际需求。在云存储环境下，数据拥有者所上传的资源可能会被分布式部署于不同的云端(服务器)上，对用户或企业访问资源的访问控制策略如果采用传统方式部署在一台服务器上，一旦遇到访问频繁，且访问控制决策又较为复杂时，则极有可能会造成单台服务器负载过大、造成单点失效，甚至还可能引发网络拥塞，触发性能瓶颈等诸多问题。同时如果简单的将访问控制策略不加分解重复的部署于所有控制资源访问的服务器节点上，则对访问控制策略配置的任何增加、删除和修改操作都将导致所有访问控制策略副本同步执行更新，进而影响系统的性能。
再者，云存储环境下对数据的访问服务可能由多个垂直服务动态组合协作完成， 这些垂直服务可能来自于不同的服务提供商，它们从属于不同的安全域，有着不同的数据格式、存取方式和安全策略，各服务提供商之间需要对各自访问控制策略中的敏感信息进行处理，使得各服务之间不能共享这些敏感信息。但由于策略本身是是参与动态组合服务的服务提供商的所有敏感信息的糅合体，因此，不能将一条完整的访问控制策略信息分派给参与协作的各个服务。综上所述，云存储环境下访问控制策略的部署将面临两大挑战(1)提高性能，即如何降低不必要的计算和网络开销，提高访问控制策略实施的效率。(2)保障安全，即如何保证访问控制策略本身敏感信息的安全性，使得参与协作服务的服务提供方的访问控制策略中的敏感信息不共享。因此，针对云存储环境下资源的分布性、服务动态组合协作的特点，设计出安全、高效的策略分解与验证方案将是一个意义重大且挑战性很强的课题。
发明内容
本发明的目的在于提供一种云存储环境下安全策略分解与验证系统。该系统不仅能够将参与协作服务的服务提供方的整体访问控制策略集合(全局访问控制策略集合)分解到对应资源所处的云端或上一级的控制节点上(分解后的访问控制策略集合)，还能够利用敏感信息过滤词库对分解后的策略间关联关系进行加密存储，从而能够保证服务提供方的访问控制策略中的敏感信息对协作环境下各服务参与方的透明性，使得访问控制策略中的敏感信息泄漏的危险进一步降低。本发明公开了一种云存储环境下安全策略分解与验证系统，其特征在于，该系统包括数据库、策略分解与验证模块、策略评估模块、资源与访问控制策略调整模块、敏感信息过滤词库管理模块和审计模块；其中，数据库用于存储系统实施访问控制的全局访问控制策略以及基于资源分布特点进行分解后的分解策略和基于敏感信息过滤词库获得的对策略间关联关系进行加密的信息，同时存放策略评估信息以引导和优化策略分解过程并对策略的实施提供评估，它包括评估信息库、分解策略库、全局策略库、敏感信息过滤词库、审计信息库和分解策略关系信息库；策略分解与验证模块从数据库中获取全局访问控制策略信息，进而将全局访问控制策略信息依据资源分布的不同将其进行分解，同时通过敏感信息过滤词库对分解后的策略进行分解，并通过策略评估信息对策略分解进行优化，从而使得依据资源分布不同进行分解后的资源策略集合对资源的访问控制效果是一致的，使得依据敏感信息过滤词库进行分解后的策略在保证服务提供方访问控制策略中的敏感信息不被泄漏的情况下，使其整体安全性与可用性前后一致；并将最终的分解结果存储于数据库中；策略评估模块用于响应用户的访问请求，获取与该请求相一致的访问控制策略， 进而对这些访问控制策略进行定位，并对用户的策略请求进行评估，为了提高策略评估的效率，策略评估模块利用策略评估信息库中记录的信息对策略评估过程进行优化处理，并将最终的评估结果反馈给用户；资源与访问控制策略调整模块接受来自系统管理员对云存储环境下的资源以及访问控制策略本身所发生的增加、修改、删除等操作，执行相应的资源及访问控制策略调整步骤，并将操作结果以及系统管理员的操作情况记入数据库中；敏感信息过滤词库管理模块接收来系统管理员对服务方访问控制策略中的敏感信息保护的需求，对参与协作的各个服务方在全局访问控制策略中的敏感信息进行相应的标注，并将标注结果以及系统管理员的操作情况记入数据库中；审计模块接收来自系统管理员输入的查询信息，通过与数据库的信息交互，利用系统管理员提交的用户名和时间范围对系统管理员的操作进行查询，获得满足查询条件的所有记录。本发明系统在获取云存储环境下所需分解策略的同时充分考虑了云存储环境的特点，首先将云存储环境下的全局访问控制策略集合依据其实施保护的资源的存储特点进行分解，从而保证了分解策略与所保护资源能够分解到各个资源所处的云端或上一级的控制节点，从而保证访问控制抉择可以在当地完成，进而减少多余的通信开销，避免单个服务器节点负载过大的问题；其次对于参与服务提供方的访问控制策略能够依据服务参与方提供的敏感信息过滤词库对参与服务各方的访问控制策略间的关联关系进行加密存储，从而保证了敏感信息对协作环境下各服务参与方的透明性，使得敏感信息泄漏的危险进一步降低。本发明系统可以实现云存储环境下安全策略的分解与验证，保证了云存储环境下资源保护的便捷性和协作服务的安全性得以实施。具体而言，本发明具有如下优点(1)安全性强本系统的安全性主要是通过云端节点存储访问控制策略信息、加密处理基于敏感信息过滤词库进行分解后的策略间的关联关系及审计来达到的。在本系统中，放在数据库中的表示服务提供方访问控制策略之间的关联关系的所有信息都是密文的，这样保证了参与协作各方的敏感信息的安全性。审计部分记录了所有系统管理人员的一些关键性操作，便于追朔，又进一步保证了系统的安全性。更重要的是，基于资源分解的访问控制策略依据资源所处的云端进行分解，保证了资源和其对应的访问控制策略同处同一个云端，使得攻击者很难同时获得所有云端上存放的资源对应的访问控制策略，也降低了策略存储到单一控制节点所造成网络拥塞和单点失效对系统安全性的影响。(2)执行效率高本系统主要用于云存储环境下的策略分解与验证，因而要求有较高的执行效率。在本系统中，策略分解的过程就充分考虑了效率问题，将策略分解优化算法引入到策略分解过程中，进而引导策略分解实施，以减少策略分解后策略实施阶段的策略评估开销，提高系统的执行效率。此外，由于策略和策略所对应的控制资源都在同一个云端进行存放，从而减少了执行访问控制策略时需要不断与控制节点进行交互的次数，进而提高系统的执行效率。最后，在实施对访问控制策略进行任何的增加、删除和修改的时候不需要对所有策略副本同步执行更新，进而提高了系统的整体执行效率。(3)可扩展性强本系统的开发是基于云存储环境的，与资源相关的访问控制策略被分解到与资源相关的云端进行存储，这样在很大程度上减轻了服务器的负载，减少了单台服务器负载过大、造成单点失效的情况，触发性能瓶颈等诸多问题，因此可扩展性强。
图1是本发明系统的体系结构图；图2是本发明系统的结构示意图；图3是资源策略分解的结构6
图4是资源策略分解的过程图；图5是协作策略分解模块的过程图。
具体实施例方式下面结合附图和实例对本发明作进一步详细的说明。如图1所示，本发明系统的功能可以划分为策略分解与验证、策略评估和后台管理，该系统包括数据库100、策略分解与验证模块200、策略评估模块300、资源与访问控制策略调整模块400、敏感信息过滤词库管理模块500和审计模块600。数据库100用于存储系统实施访问控制的全局访问控制策略以及基于资源分布特点进行分解后的分解策略和基于敏感信息过滤词库获得的对策略间关联关系进行加密的信息，同时存放评估信息以引导和优化策略分解过程并对策略的实施提供评估。策略分解与验证模块200用于接收来自数据库100中的全局访问控制策略信息， 进而将全局访问控制策略依据管理资源的不同将其进行分解，同时通过敏感信息过滤词库引导策略分解过程，并通过评估信息对协作策略分解进行优化，从而使得资源控制策略和资源能够同时部署到云端上，使得策略中基于敏感信息过滤词库的服务间的关联关系能够进行加密处理，为了提高系统策略分解后实施阶段对策略请求的评估效率需要将策略分解阶段所获得到的策略分解开销信息反馈到数据库服务器100中，同时向数据库提交经分解和验证后的资源策略和协作策略。策略评估模块300用于响应用户的访问请求，获取与该请求相一致的访问控制策略，进而对这些访问控制策略进行定位，并对用户的策略请求进行评估，为了提高策略评估的效率，策略评估模块利用评估信息对策略评估过程进行优化处理，并将最终的评估结果反馈给用户。资源与访问控制策略调整模块400主要接收系统管理员对云存储环境下的资源以及访问控制策略本身所发生的增加、修改、删除等操作，执行相应的资源及访问控制策略调整步骤，并将操作结果以及系统管理员的操作情况存储于数据库100中。敏感信息过滤词库管理模块500主要接收系统管理员对参与协作服务的各个服务方在全局访问控制策略中的敏感信息进行增加、修改、删除等操作，并将操作结果以及操作记录存储于数据库100中。审计模块600接收来自系统管理员输入的查询信息，通过与数据库100的信息交互，获得满足查询条件的所有记录。这些记录主要涉及全局策略信息和敏感信息的添加、删除、修改的操作记录。下面分别对各模块作进一步详细的说明。如图2所示，数据库100存储的数据包括评估信息库110、分解策略6库120、全局策略库130、敏感信息过滤词库140、审计信息库150和分解策略关系库160。其中，评估信息库110用来存放策略分解过程中的效用信息，同时存放对用户访问请求的评估结果以及评估时间；分解策略库120用来存放依据资源分布特点进行分解后的策略，从而使得策略和策略所对应的控制资源都在同一个云端进行存放；全局策略库130用来存放参与协作服务的服务提供方的整体访问控制策略集合；敏感信息过滤词库140用来存放系统管理员标注的服务方访问控制策略中的敏感信息；审计信息库150存放管理员对资源与访问控制策略以及服务方访问控制策略中的敏感信息进行操作的记录；分解策略关系库160用来存放基于敏感信息过滤词库分解后的策略之间关联关系的加密信息。数据库100接收来自审计模块600的查询请求，在审计信息库150中查询匹配， 反馈信息到审计模块600 ；数据库100接收来自敏感信息过滤词库管理模块500的查询、添加、修改、删除敏感信息的请求操作，在敏感信息过滤词库140中进行相应的操作，反馈信息给敏感信息过滤词库管理模块500，并将敏感信息过滤词库管理模块500对敏感信息过滤词库140的操作信息记录到审计信息库150，以备审计模块600进行审计，同时反馈操作结果给敏感信息过滤词库管理模块500 ；数据库100接收来自资源与访问控制策略调整模块400的查询、添加、修改、删除资源及访问控制策略信息的请求操作，在全局策略信息库 130中进行相应的处理，反馈信息给资源与访问控制策略调整模块400，并将资源与访问控制策略调整模块400对全局策略信息库130的操作信息记录到审计信息库150，以备审计模块600进行审计，同时反馈操作结果给资源与访问控制策略调整模块400 ；数据库100接收来自策略分解与验证模块200所获得的依据资源对全局策略集合进行分解后的分解策略， 并将这些分解策略存储于分解策略库120中，同时将依敏感信息过滤词库进行分解后的分解策略间的关联关系进行加密后存储于分解策略关系库160中；数据库100接收来自策略分解与验证模块200在分解过程中所形成的策略分解效用信息及策略评估过程中的评估结果和评估时间信息，并将结果存储于评估信息库110中以指导后续的策略分解过程以及为策略实施阶段的策略评估提供依据。策略分解与验证模块200是整个系统的基础，该模块依据资源分布存储的特点对全局访问控制策略进行分解，使得资源与其对应的访问控制策略均被存储到和资源相关的云端节点上，同时依据敏感信息过滤词库中的过滤信息将分解后的关联关系加密存储。其中云存储环境下的资源存储路径列表如表1所示，该策略分解与验证模块200包括资源策略分解与验证模块210、协作策略分解与验证模块220和协作策略分解优化模块230。表1资源存储路径列表
资源名称存储路径文件Filel云终端A文件File2云终端B图片Iirngel云终端A图片Iimge2云终端C 资源策略分解与验证模块210从数据库100的全局策略库130中获取全局访问控制策略，并依据资源分布的特点将全局访问控制策略分解到资源所处的各个云端，分解后的情况如图3所示，通过将策略分配到资源所在的云端，使得资源和策略同处于云端，从而避免了不必要的通信开销，均衡了各云端的计算负载，提高了策略决策的性能。其中资源策略的验证主要是通过验证整体策略集合{Pl，P2，-Pn}与分解后的策略集合{Pll，P12… Pli}, {P21，P22…P2j}，- {Pml, Pm2-Pmk}间的一致性来验证资源策略分解的正确性，该一致性主要通过下述的理论进行保证资源策略分解评估效果的一致性设整体策略集合为{P1，P2，-Pn}，{P11，P12… Pli}, {P21，P22…P2j}，- {Pml, Pm2-Pmk}是采用资源策略分解与验证模块后得到的策略结果集合，则{P1，P2，— Pn}与{Pll，P12…Pli，P21，P22…P2j，—Pml, Pm2—Pmk}策略评估效果是一致的。为了方便证明资源策略分解前后评估效果的一致性，引入以下3个定义(rule代表策略中的规则，target代表策略访问的资源集合)定义1 对于任意的策略P，Q，如果满足P. rule = Q. rule,则称P竺Q。定义2 对于任意的策略P，Q，如果满足P竺Q且P. target cQ . target，则称 PcQ。定义3:对于策略集合P= {P1，P2，…Pk}，如果对任意的Pi，Pj曰？有？丨竺？」， 则称集合P为同组策略集合。证明(1)为了证明资源策略分解前后评估效果的一致性，设PD = {Pll，P12… Pli，P21，P22…P2j，…Pml，Pm2…Pmk}，PG = {Pl，P2，…Pn}，则只需要证明以下两个命题同时成立①对于任一策略P e PD，则有P e PG或存在策略Q e PG满足PczQ。②对于任一策略P e PG，存在同组策略集合{Qi，Qj,…Qk}cPD满足 Qi. target U Qj. target U . . . U Qi. target = P. target。根据策略Target所指定资源集合进行的资源策略分解，相当于只对Target集合本身进行拆分，而保持策略规则的内容不变。因此，利用集合的{ η，υ }交换性和结合性原则，很容易证明上述①、②两个命题是同时成立的，故资源分解策略前后评估效果的一致性得到验证。如图4所示，资源策略分解与验证模块210负责(1)获取全局策略库130中提供的系统全局访问控制策略集合；( 从全局访问控制策略集合中读取一条全局策略并判断该策略是否已被标注为分解，如果该全局访问控制策略没有被标注为分解则转向(3)执行，如果该全局访问控制策略已经被标注为分解，进而判断全局访问控制策略集合是否被遍历完毕，如果全局访问控制策略集合没有遍历完毕则转向(2)执行，否则程序结束并将依据资源存储情况对全局访问控制策略集合进行分解的结果提交给协作策略分解与验证模块220进行处理；(3)获取待分解全局访问控制策略所指定的访问资源的集合；(4)定位资源集合中资源的存储位置；( 遍历资源的存储位置并依据对应的资源和全局访问控制策略的关系将与该资源相关的策略部署到该资源所在的云端，并标记该全局访问控制策略为已分解策略；(6)判断全局访问控制策略集合是否别遍历完毕，如果没有则转向(2)执行，否则程序结束并将结果提交给协作策略分解与验证模块220。其中策略分解标注列表如表2所示。表2策略分解标注列表
权利要求
1.一种云存储环境下安全策略分解与评估系统，其特征在于，该系统包括数据库 (100)、策略分解与验证模块000)、策略评估模块(300)、资源与访问控制策略调整模块 000)、敏感信息过滤词库管理模块(500)和审计模块(600)；其中，数据库(100)用于存储系统实施访问控制的全局访问控制策略以及基于资源分布特点进行分解后的分解策略和基于敏感信息过滤词库获得的对策略间关联关系进行加密的信息，同时存放评估信息以引导和优化策略分解过程并对策略的实施提供评估，它包括评估信息库、分解策略库、全局策略库、敏感信息过滤词库、审计信息库和分解策略关系信息库；策略分解与验证模块(200)从数据库(100)获取全局策略信息，进而将全局访问控制策略依据管理资源的不同将其进行分解，同时通过敏感信息过滤词库引导策略分解过程， 并通过评估信息对协作策略分解进行优化，从而使得分解后的资源策略集合对资源的访问控制效果是一致的，使依据敏感信息过滤词库分解后的策略在保证服务提供方访问控制策略中的敏感信息不被泄漏的情况下，使其整体安全性与可用性前后一致；并将最终的分解结果存储于数据库(100)中；策略评估模块(300)用于响应用户的访问请求，获取与该请求相一致的访问控制策略，进而对这些访问控制策略进行定位，并对用户的策略请求进行评估，为了提高策略评估的效率，策略评估模块(300)利用评估信息对策略评估过程进行优化处理，并将最终的评估结果反馈给用户；资源与访问控制策略调整模块(400)接受来自系统管理员对云存储环境下的资源以及访问控制策略本身所发生的增加、修改、删除操作，执行相应的资源及访问控制策略调整步骤，并将操作结果以及系统管理员的操作情况记入数据库(100)中；敏感信息过滤词库管理模块(500)接收来系统管理员对参与协作的各个服务方在全局访问控制策略中的敏感信息进行增加、修改、删除等操作，并将操作结果以及操作记录存储于数据库(100)中；审计模块(600)接收来自系统管理员输入的查询信息，通过与数据库(100)的信息交互，利用系统管理员提交的用户名和时间范围对系统管理员的操作进行查询，获得满足查询条件的所有记录。
2.根据权利要求1所述的云存储环境下安全策略分解与评估系统，其特征在于，该策略分解与验证模块(200)包括资源策略分解与验证模块010)、协作策略分解与验证模块(220)和协作策略分解优化模块O30)；资源策略分解与验证模块(210)从数据库(100)的全局策略库130中获取全局访问控制策略，并依据资源分布的特点将全局访问控制策略分解到资源所处的各个云端，使得资源和策略同处于云端，从而避免了不必要的通信开销，均衡了各云端的计算负载，提高了策略决策的性能；协作策略分解与验证模块(220)从资源策略分解模块(210)获得依据资源进行分解后的策略，基于敏感信息过滤词库分析该策略的布尔表达式对该策略进行分解， 使得各协作服务方所提供的敏感信息对服务协作方是透明的，从而保证了协作方策略中敏感信息的安全性；协作策略分解优化模块(230)负责对初步分解的协作策略进行优化，从而去除初步分解结果中的冗余布尔表达式并同时利用评估信息对分解结果进行优化，使得分解的策略结果达到最优，从而为今后策略实施时构建出原始的策略提供方便。
3.根据权利要求1或2所述的云存储环境下安全策略分解与评估系统，其特征在于，资源与访问控制策略调整模块(400)分为基于资源变更的策略调整模块(410)和基于访问控制策略变更的策略调整模块G20)；资源调整模块(410)在资源发生上传/删除的情况下，对全局策略库及相关信息进行调整，其调整的过程如下(al)当发生单个或多个资源上传时需要同时部署相应的访问控制策略，同时利用资源策略分解与验证模块210和协作策略分解与验证模块220对新部署的访问控制策略进行分解；(a2)当发生单个或多个资源删除任务时，需要判断是否存在其他资源受该条策略的保护，存在则保留该策略，反之则删除与对应的所有子策略；(a3)最后均需要通过刷新各种辅助数据和缓存保持数据的一致性。访问控制策略调整模块(420)在全局访问控制策略发生添加/删除/修改的情况下， 对全局策略库及相关信息进行调整，其调整的过程如下(al)策略的添加需要同时上传其所保护的单个或多个资源时，则可利用资源策略分解与验证模块(210)和协作策略分解与验证模块(220)分解新策略；(^)策略删除时，则查找策略的位置，删除与对应的所有子策略；(a!3)策略修改可看成旧策略的删除和新策略的添加的叠加过程，最后均需要通过刷新各种辅助数据和缓存保持数据的一致性。
全文摘要
本发明提供的一种云存储环境下的安全策略分解与验证系统，该系统包括数据库、策略分解与验证模块、策略评估模块、资源与访问控制策略调整模块、敏感信息过滤词库管理模块和审计模块；其中策略分解与验证模块包括资源策略分解与验证模块、协作策略分解与验证模块，其中协作策略分解与验证模块包括协作策略分解与验证模块以及协作策略分解优化模块，资源与访问控制策略调整模块包括资源调整模块和访问控制策略调整模块。本发明对云存储环境的安全策略进行了分解与验证，使得策略以及策略所控制的资源能够同时存储到云终端上，同时保证了参与协作的服务方访问控制策略中的敏感信息不被泄漏。本发明系统具有安全性强、执行效率高、可扩展性强的特点。
文档编号H04L29/08GK102158557SQ201110090659
公开日2011年8月17日 申请日期2011年4月12日 优先权日2011年4月12日
发明者文坤梅, 李开, 李玉华, 李瑞轩, 王伟, 聂莉, 董勐, 辜希武, 马晓普 申请人:华中科技大学