基于标记与审计结合的跨域访问控制方法及系统的制作方法
【专利摘要】本发明涉及计算机信息安全领域，特别涉及一种基于标记与审计结合的跨域访问控制方法及系统，可以应用于电子交易系统，如铁路客票系统、航空票务系统、电子政务与电子商务系统等大中型企业系统的跨域安全保护与互联互通。本发明通过对访问主体、角色、被访问主体进行安全等级标记与认证，对访问过程和结果进行记录与审计，实现了具有行为可追踪和不否认性的安全访问，达到了跨域边界的应用系统在安全条件下互联互通的目的。
【专利说明】基于标记与审计结合的跨域访问控制方法及系统
【技术领域】
[0001]本发明涉及计算机信息安全领域，特别涉及一种基于标记与审计结合的跨域访问控制方法及系统，可以应用于电子交易系统，如铁路客票系统、航空票务系统、电子政务与电子商务系统等大中型企业系统的跨域安全保护与互联互通。
【背景技术】
[0002]随着计算机与网络技术的不断发展，国内外信息化进程迅速发展，电子商务、电子商务、大中型企业信息系统的应用已经逐渐广泛化和复杂化。伴随着信息化网络系统应用带来的讯息方便快捷的同时，信息的安全问题成为应用发展面临的主要问题。我国在1999年发布及2008年修订了《信息系统安全等级保护定级指南》(GB/22240-2008)，要求信息系统的建设需要进行分等级的信息安全保护。而随着系统应用的大型和复杂化，往往一个应用系统中含有不同安全等级域的情况，现有的大中型电子商务、电子政务系统，以及大中型企业的信息化系统就是这样的情况。
[0003]在这些信息化的应用系统中，一方面由于信息共享的需要，以及业务协同，提升业务系统效率的需要，要求系统中属于不同安全等级域的子系统等能够互联互通，共享信息；另一方面，在不同的网络系统与子系统之间信息互通，相互访问，需要实施访问控制措施，保证访问的合法性和安全性，以及信息的安全性，系统的可用性。
[0004]现有的访问控制措施主要有防火墙、安全网关、信息隔离，以及数据交换网技术，实现了有条件的互联互通，以及在防止内部网络数据机密性的同时，保证数据的完整性和域边界内外数据的一致性。现有方法实现了非法用户的入侵访问，以及合法用户的误操作行为，能够起到一定的安全访问控制效果，但仍然面临合法用户的抵赖行为，不具有抗否认性，以及可能的绕过防护机制的入侵。而用户的行为，特别是合法用户行为的安全管理与控制在业务量大、业务数据机密性高和实时性要求高的系统中具有重要作用，如银行系统、公安出入境系统等。需要一种能够解决不同的安全域之间的网络应用系统的安全互联互通的同时，保证用户访问的安全性与不可否认性的访问控制方法，保证业务系统的跨域安全性和可用性。
【发明内容】
[0005]本发明所要解决的技术问题是，提供一种基于标记与审计结合的跨域访问控制方法及系统，实现不同安全等级域之间的应用系统在安全条件下的互联互通以及用户访问行为的安全性，可控性和不可否认性。本发明是这样实现的:
[0006]一种基于标记与审计结合的跨域访问控制方法，包括如下步骤:
[0007]在第一安全等级域中的访问主体向第二安全等级域中的被访问主体发送访问请求时，对所述访问主体与被访问主体的属性进行认证及审查，以判断访问主体与被访问主体的合法性；所述属性包括:角色及所属域的安全标记；
[0008]当访问主体与被访问主体的属性均审查为合法时，根据预设的角色映射关系表判断所述访问主体与被访问主体之间是否具有角色映射关系，如果有，则授予访问主体访问权，授予被访问主体被访问权，否则不授予访问主体访问权，不授予被访问主体被访问权；
[0009]对域中访问主体的访问行为和过程进行记录检查和统计审计；
[0010]根据授权结果及安全审计结果审查访问主体与被访问主体的权限是否与对应的访问控制措施一致，如果一致，则允许访问主体与被访问主体之间进行跨域访问，并生成允许访问消息，否则，不允许访问主体与被访问主体之间进行跨域访问，并生成不允许访问消息；
[0011]当允许访问主体与被访问主体之间进行跨域访问时，在访问主体与被访问主体之间建立私密通道，否则，不建立私密通道；
[0012]当访问主体与被访问主体之间生成的访问消息为允许访问消息时，基于所建立的私密通道，完成跨域访问；否则，终止跨域访问；
[0013]记录访问结果及业务数据的变化信息，并据此对其进行审计。
[0014]进一步地,所述属性还包括:
[0015]权限、所在安全等级域中的IP地址。
[0016]进一步地，所述角色权限映射关系表中包含了访问主体的角色及安全标记与被访问主体的角色及访问对象之间的映射关系。
[0017]进一步地，所述访问主体包括:访问用户、访问终端、接入网络。
[0018]进一步地，所述被访问主体包括:业务系统、服务系统、数据库。
[0019]进一步地，所述对访问主体及被访问主体进行信息记录与审计的步骤包括:
[0020]对访问主体的请求相关的访问主体、被访问主体属性、请求行为发生的时间、域信息、标记信息进行记录和审计检查；
[0021]对被访问主体的业务数据的当前状态进行记录以便在访问发生后审计验证业务数据的一致性。
[0022]进一步地，所述私密通道是由数字信封、SSL加密的通道，用于进行跨域通讯并保证跨域通讯的安全性。
[0023]一种基于标记与审计结合的跨域访问控制系统，包括:
[0024]安全代理部件，用于在第一安全等级域中的访问主体向第二安全等级域中的被访问主体发送访问请求时，对所述访问主体与被访问主体的属性进行认证及审查，以判断访问主体与被访问主体的合法性；所述属性包括:角色及所属域的安全标记；当访问主体与被访问主体的属性均审查为合法时，根据预设的角色映射关系表判断所述访问主体与被访问主体之间是否具有角色映射关系，如果有，则授予访问主体访问权，授予被访问主体被访问权，否则不授予访问主体访问权，不授予被访问主体被访问权；
[0025]安全审计部件，用于对其所属域中访问主体的访问行为和过程进行记录检查和统计审计;
[0026]所述安全审计部件还用于根据授权结果及安全审计结果审查访问主体与被访问主体的权限是否与对应的访问控制措施一致，如果一致，则允许访问主体与被访问主体之间进行跨域访问，并生成允许访问消息，否则，不允许访问主体与被访问主体之间进行跨域访问，并生成不允许访问消息；
[0027]跨域访问通讯模块，用于当允许访问主体与被访问主体之间进行跨域访问时，在访问主体与被访问主体之间建立私密通道，否则，不建立私密通道；
[0028]跨域访问控制模块，用于当访问主体与被访问主体之间生成的访问消息为允许访问消息时，基于所建立的私密通道，完成跨域访问；否则，终止跨域访问；
[0029]访问结果记录与审计模块，用于记录访问结果及业务数据的变化信息，并据此对其进行审计。
[0030]进一步地，所述安全代理部件包括数字签名验证模块及访问控制措施部署模块；
[0031]所述数字签名验证模块用于对访问主体与被访问主体进行认证及验签，以及对安全审计部件进行认证及验签。
[0032]进一步地，所述安全审计部件通过访问主体的日志记录、访问域、以及访问的业务数据内容对该访问主体的访问行为和过程进行记录检查和统计审计。
[0033]与现有技术相比，本发明通过对访问主体、角色、被访问主体进行安全等级标记与认证，对访问过程和结果进行记录与审计，实现了具有行为可追踪和不否认性的安全访问，达到了跨域边界的应用系统在安全条件下互联互通的目的。
【专利附图】
【附图说明】
[0034]图1:本发明实施例提供的基于标记与审计结合的跨域访问控制方法流程示意图；
[0035]图2:本发明实施例提供的基于标记与审计结合的跨域访问控制方法原理示意图；
[0036]图3:本发明实施例提供的基于标记与审计结合的跨域访问控制系统组成示意图。
【具体实施方式】
[0037]为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。
[0038]图1所示为本发明实施例提供的基于标记与审计结合的跨域访问控制方法流程示意图。根据图1所示，所述基于标记与审计结合的跨域访问控制方法包括如下步骤:
[0039]步骤S1:在第一安全等级域中的访问主体向第二安全等级域中的被访问主体发送访问请求时，对所述访问主体与被访问主体的属性进行认证及审查，以判断访问主体与被访问主体的合法性；所述属性包括:角色及所属域的安全标记；
[0040]步骤S2:当访问主体与被访问主体的属性均审查为合法时，根据预设的角色映射关系表判断所述访问主体与被访问主体之间是否具有角色映射关系，如果有，则授予访问主体访问权，授予被访问主体被访问权，否则不授予访问主体访问权，不授予被访问主体被访问权；
[0041]步骤S3:对域中访问主体的访问行为和过程进行记录检查和统计审计；
[0042]步骤S4:根据授权结果及安全审计结果审查访问主体与被访问主体的权限是否与对应的访问控制措施一致，如果一致，则允许访问主体与被访问主体之间进行跨域访问，并生成允许访问消息，否则，不允许访问主体与被访问主体之间进行跨域访问，并生成不允许访问消息；
[0043]步骤S5:当允许访问主体与被访问主体之间进行跨域访问时，在访问主体与被访问主体之间建立私密通道，否则，不建立私密通道；
[0044]步骤S6:当访问主体与被访问主体之间生成的访问消息为允许访问消息时，基于所建立的私密通道，完成跨域访问；否则，终止跨域访问；
[0045]步骤S7:记录访问结果及业务数据的变化信息，并据此对其进行审计。
[0046]图2示出了本发明实施例提供的基于标记与审计结合的跨域访问控制方法原理示意图。在上述各步骤中，不同的安全等级域中需要部署具有安全代理和安全审计功能的软硬件系统或模块。安全代理部件具有数字认证及验签，以及访问控制策略部署的功能。安全代理部件的数字验签与认证包括两个方面，一方面对访问主体及被访问主体进行认证及验签，保证访问主体及被访问主体的合法性，另一方面对安全审计部件进行认证及验签，保证审计部件的正常工作，以及审计信息的安全性。安全审计部件具有对访问行为和过程进行记录检查和统计审计的功能。安全审计部件通过访问主体的日志记录、访问域、以及访问的业务数据内容对该访问主体的访问行为和过程进行记录检查和统计审计。安全审计部件通过对日志记录的审计可以定位访问行为发生的域对象，时间等信息，使主体的访问行为具有不可否认性，通过对业务数据内容的审计可以发现访问行为结果是否一致，判断是否有非法或误操作，以及绕过安全防护机制的操作。
[0047]主体属性包括如下三个方面:
[0048](I)、域中的主体的属性包括角色、权限、所在域IP、所在域的安全标记。主体身份与安全标记具有唯一性，其角色和权限与访问请求域IP的业务对象构成一一对应关系，决定访问对象是否被允许，只有与权限匹配的主体角色才允许访问请求的业务对象。跨域的主体访问是否被允许，主要依赖于主体角色是否具有能够访问请求的被访问主体对象的权限，什么样的权限能够访问什么样的被访问主体对象的对应关系是事先制定好的。
[0049](2)、如果访问发生在低等级域向高等级域请求访问，则低等级中的主体为访问主体，高等级域中的主体为被访问主体，反之亦然。
[0050](3)、主体可以是访问用户、访问终端、接入网络；被访问主体可以是业务系统、月艮务系统、数据库。
[0051]本发明提供的基于标记与审计结合的跨域访问控制方法，其安全代理的访问控制措施部署与授权过程为:安全代理部件根据数字认证和验签结果，判断访问请求主体的角色及安全标记是否与其请求的被访问主体对象的角色与访问对象的对应关系是否一致，以及相互域的安全标记是否一致。如果是，则授权访问主体可以跨域访问，被访问主体可以被域外访问，允许跨域访问被执行；否则，不授权访问主体的跨域访问，被访问主体不可以被域外访问，执行不允许跨域访问。本发明提供的基于标记与审计结合的跨域访问控制方法中，其私密通道的是由数字信封、SSL加密的通道，用于进行跨域通讯并保证跨域通讯的安全性。
[0052]基于上述方法，如图3所示，本发明还提供了一种基于标记与审计结合的跨域访问控制系统。根据图3所示，该系统包括:
[0053]安全代理部件1，用于在第一安全等级域中的访问主体向第二安全等级域中的被访问主体发送访问请求时，对所述访问主体与被访问主体的属性进行认证及审查，以判断访问主体与被访问主体的合法性；所述属性包括:角色及所属域的安全标记；当访问主体与被访问主体的属性均审查为合法时，根据预设的角色映射关系表判断所述访问主体与被访问主体之间是否具有角色映射关系，如果有，则授予访问主体访问权，授予被访问主体被访问权，否则不授予访问主体访问权，不授予被访问主体被访问权；
[0054]安全审计部件2，用于对其所属域中访问主体的访问行为和过程进行记录检查和统计审计；
[0055]安全审计部件2还用于根据授权结果及安全审计结果审查访问主体与被访问主体的权限是否与对应的访问控制措施一致，如果一致，则允许访问主体与被访问主体之间进行跨域访问，并生成允许访问消息，否则，不允许访问主体与被访问主体之间进行跨域访问，并生成不允许访问消息；
[0056]跨域访问通讯模块3，用于当允许访问主体与被访问主体之间进行跨域访问时，在访问主体与被访问主体之间建立私密通道，否则，不建立私密通道；
[0057]跨域访问控制模块4，用于当访问主体与被访问主体之间生成的访问消息为允许访问消息时，基于所建立的私密通道，完成跨域访问；否则，终止跨域访问；
[0058]访问结果记录与审计模块5，用于记录访问结果及业务数据的变化信息，并据此对其进行审计。
[0059]其中，安全代理部件包括数字签名验证模块及访问控制措施部署模块。数字签名验证模块用于对访问主体与被访问主体进行认证及验签，以及对安全审计部件进行认证及验签。安全审计部件通过访问主体的日志记录、访问域、以及访问的业务数据内容对该访问主体的访问行为和过程进行记录检查和统计审计。
[0060]该系统的工作原理及工作过程参照前述方法流程，在此不再赘述。
[0061]以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。
【权利要求】
1.一种基于标记与审计结合的跨域访问控制方法，其特征在于，包括如下步骤: 在第一安全等级域中的访问主体向第二安全等级域中的被访问主体发送访问请求时，对所述访问主体与被访问主体的属性进行认证及审查，以判断访问主体与被访问主体的合法性；所述属性包括:角色及所属域的安全标记； 当访问主体与被访问主体的属性均审查为合法时，根据预设的角色映射关系表判断所述访问主体与被访问主体之间是否具有角色映射关系，如果有，则授予访问主体访问权，授予被访问主体被访问权，否则不授予访问主体访问权，不授予被访问主体被访问权； 对域中访问主体的访问行为和过程进行记录检查和统计审计；根据授权结果及安全审计结果审查访问主体与被访问主体的权限是否与对应的访问控制措施一致，如果一致，则允许访问主体与被访问主体之间进行跨域访问，并生成允许访问消息，否则，不允许访问主体与被访问主体之间进行跨域访问，并生成不允许访问消息；当允许访问主体与被访问主体之间进行跨域访问时，在访问主体与被访问主体之间建立私密通道，否则，不建立私密通道； 当访问主体与被访问主体之间生成的访问消息为允许访问消息时，基于所建立的私密通道，完成跨域访问；否则，终止跨域访问； 记录访问结果及业务数据的变化信息，并据此对其进行审计。
2.如权利要求1所述的基于标记与审计结合的跨域访问控制方法，其特征在于，所述属性还包括: 权限、所在安全等级域中的IP地址。
3.如权利要求2所述的基于标记与审计结合的跨域访问控制方法，其特征在于，所述角色权限映射关系表中包含了访问主体的角色及安全标记与被访问主体的角色及访问对象之间的映射关系。
4.如权利要求1所述的基于标记与审计结合的跨域访问控制方法，其特征在于，所述访问主体包括:访问用户、访问终端、接入网络。
5.如权利要求1所述的基于标记与审计结合的跨域访问控制方法，其特征在于，所述被访问主体包括:业务系统、服务系统、数据库。
6.如权利要求1所述的基于标记与审计结合的跨域访问控制方法，其特征在于，所述对访问主体及被访问主体进行信息记录与审计的步骤包括: 对访问主体的请求相关的访问主体、被访问主体属性、请求行为发生的时间、域信息、标记信息进行记录和审计检查； 对被访问主体的业务数据的当前状态进行记录以便在访问发生后审计验证业务数据的一致性。
7.如权利要求1所述的基于标记与审计结合的跨域访问控制方法，其特征在于，所述私密通道是由数字信封、SSL加密的通道，用于进行跨域通讯并保证跨域通讯的安全性。
8.一种基于标记与审计结合的跨域访问控制系统，其特征在于，包括: 安全代理部件，用于在第一安全等级域中的访问主体向第二安全等级域中的被访问主体发送访问请求时，对所述访问主体与被访问主体的属性进行认证及审查，以判断访问主体与被访问主体的合法性；所述属性包括:角色及所属域的安全标记；当访问主体与被访问主体的属性均审查为合法时，根据预设的角色映射关系表判断所述访问主体与被访问主体之间是否具有角色映射关系，如果有，则授予访问主体访问权，授予被访问主体被访问权，否则不授予访问主体访问权，不授予被访问主体被访问权； 安全审计部件，用于对其所属域中访问主体的访问行为和过程进行记录检查和统计审计； 所述安全审计部件还用于根据授权结果及安全审计结果审查访问主体与被访问主体的权限是否与对应的访问控制措施一致，如果一致，则允许访问主体与被访问主体之间进行跨域访问，并生成允许访问消息，否则，不允许访问主体与被访问主体之间进行跨域访问，并生成不允许访问消息； 跨域访问通讯模块，用于当允许访问主体与被访问主体之间进行跨域访问时，在访问主体与被访问主体之间建立私密通道，否则，不建立私密通道； 跨域访问控制模块，用于当访问主体与被访问主体之间生成的访问消息为允许访问消息时，基于所建立的私密通道，完成跨域访问；否则，终止跨域访问； 访问结果记录与审计模块，用于记录访问结果及业务数据的变化信息，并据此对其进行审计。
9.如权利要求8所述的基于标记与审计结合的跨域访问控制系统，其特征在于，所述安全代理部件包括数字签名验证模块及访问控制措施部署模块； 所述数字签名验证模块用于对访问主体与被访问主体进行认证及验签，以及对安全审计部件进行认证及验签。
10.如权利要求8所述的基于标记与审计结合的跨域访问控制系统，其特征在于，所述安全审计部件通过访问主体的日志记录、访问域、以及访问的业务数据内容对该访问主体的访问行为和过程进行记录检查和统计审计。
【文档编号】H04L29/06GK104506480SQ201410301101
【公开日】2015年4月8日 申请日期:2014年6月27日 优先权日:2014年6月27日
【发明者】郑伟范, 戚建淮, 彭华, 姚兆东, 刘建辉 申请人:深圳市永达电子股份有限公司