一种基于安全组件的信息系统安全功能使用方法与流程

本发明涉及电子信息技术安全领域，具体是一种基于安全组件的信息系统安全功能使用方法。

背景技术：

信息系统是目前企业使用最广泛信息化管理手段。信息安全是保证信息系统以数据安全的重要技术，信息系统的应用安全涉及内容非常广泛，在应用层面，主要设计的安全功能包括：登录控制、审计、访问控制、用户管理、安全配置等。安全功能的开发通常也需要花费大量的时间和精力来完成，安全通常和业务信息混在一起，而且不同的系统的安全功能也有一定的差别，再加上存在不同的编程语言，因此在具体实现一个业务系统的安全功能时，很多企业都只能针对不同的应用重新开发，由于安全功能的设计需要专门的技术能力，导致系统开发成本上升，且稳定性差。

事实上，安全有固定的标准，如何能够将安全功能做成标准的模块，只要应用系统遵循统一的接口来进行调用，这样不需要针对每一个应用系统来开发具体的安全功能，只需要进行安全功能调用即可。

在中国发明专利申请号为cn201210223677.2的说明书中公开了一种基于cc标准的软件安全功能组件管理方法，在软件工程的需求分析阶段，基于cc标准，实现安全功能组件的推荐和调整，该方法包括以下步骤：将基于cc标准体系下各领域中的评估文档中对威胁信息的描述加以抽象分析并进行归纳，建立威胁知识库；为前一步骤威胁知识库中的每一个威胁知识推荐相应的安全功能组件集合，建立基于规范语义的威胁知识与安全功能组件之间的对应关系；针对每一个安全功能组件类建立安全功能组件代价评定表，根据表的内容进行组件调整。其没有涉及如何进行安全功能标准化的方法。

在中国发明专利申请号为cn201410258865.8的说明书中公开了一种可信计算机系统及其应用方法，属于可信安全芯片技术领域，系统包括基本信息管理单元；基本信息管理单元中包括：第一存储模块，微处理模块，第一标准化安全模块，第二标准化安全模块，第一通信接口和选择模块。该发明从硬件层来解决安全问题，没有涉及应用系统安全功能调用问题。

在中国发明专利申请号为cn201611228335.4的说明书中公开一种企业信息化管理平台，包括企业信息化硬件平台、管理系统、企业数据库、esb系统和安全管理系统，各个系统模块之间通过通信模块相互连接并相互通讯；所述管理系统包括app、pc端和后台处理中心。由安全管理系统来提供认证、授权、数据权限以及加密等安全服务；该安全管理系统完全独立于信息系统，实现了信息系统和安全管理系统的彻底分离。该系统只适合特定的应用系统，没有涉及安全功能标准化的问题。

在中国发明专利申请号为cn201410727771.0的说明书中公开了一种多种类信息标准化接入与交换方法。涉及一种多种类信息标准化接入与交换方法，为多种类信息标准化接入技术规范确立统一的交换机制、交换流程、技术规范和数据规范，但不是有关安全功能标准化的方法。

技术实现要素：

本发明针对现有信息系统安全功能需要定制开发的弊端，提出一种基于安全组件的信息系统安全功能使用方法，其基于安全组件的信息系统安全功能使用标准化的模型，使得业务功能和安全功能互相分离，任何信息系统都可以使用该安全功能模型。

本发明解决上述问题的采用的技术方案为：一种基于安全组件的信息系统安全功能使用方法，包括如下步骤：

步骤2.1：应用信息系统向安全访问解析组件发起安全功能请求，安全访问解析组件通过统一安全功能访问接口来调用具体的安全功能，所述安全访问解析组件包括统一安全功能访问接口、多语言转换模块、安全功能模型实例、安全模型功能解析模块；

步骤2.2：安全功能访问接口通过功能编号来访问安全功能模型实例，即进行参数绑定；

步骤2.3：多语言转换模块将安全功能转化为需要的编程语言格式；

步骤2.4：安全功能模型解析模块根据安全功能模型实例获取与功能编号相关的安全参数，即参数解析；

步骤2.5：安全功能执行组件根据参数解析获得的功能类型判断具体功能，然后根据具体功能的子功能类型，执行具体的子功能；

步骤2.6：获取处理结果；

步骤2.7：根据安全功能模型和具体的子功能对返回的处理结果进行封装；

步骤2.8：将封装的处理结果转换成原来的编程语言形式；

步骤2.9：将步骤2.8处理得到的结果返回给应用信息系统。

进一步的，在步骤步骤2.1之前还包括初始化阶段，具体步骤如下：

步骤1.1：根据信息系统的业务特点，抽象出所有业务对象，并归结到某个具体的子功能；

步骤1.2：根据信息系统的业务特点，列出所有的用户；

步骤1.3：将业务对象和用户保存到安全功能执行组件的安全配置数据中，安全功能执行组件用于抽象化地实现每一个具体的子功能；

步骤1.4：依据安全配置数据和安全功能模型，针对信息系统中的每一个子功能构建安全功能模型实例，安全功能模型实例是对每一个安全功能用secmodel进行描述，形成一个secmodel的实例化数组secmodel[]，其中功能编号唯一；

步骤1.5：将安全功能模型实例存储于标准化的安全访问解析组件。

进一步的，所述安全功能执行组件执行具体的安全功能，包括登录控制、审计、访问控制、用户管理、安全配置；另外还存储所述安全配置数据，所述安全配置数据由用户列表和业务对象列表组成。

进一步的，每一个安全功能都有具体的子功能，其中登录控制包括如下子功能：页面请求过滤、登录信息提示、黑名单设置、用户登录情况查询、登录违规告警；审计包括如下子功能：日志下载、日志统计分析、日志归档、日志查询；访问控制包括如下子功能：角色互斥配置、权限互斥配置、角色分级分权配置、业务角色维护；用户管理包括如下子功能：休眠帐号查询、长期未登录自动锁定、冗余帐号查询、帐号长期未登录管理、帐号非法登录锁定、实名制管理；安全配置包括如下子功能：限制帐号登录唯一性、限制单个帐号同时在线ip数、查询帐号创建时间、帐号安全配置、口令校验、密码重置、密码修改、密码定期修改。

进一步的，所述安全功能模型包括功能编号、功能名称、功能描述、功能类型、功能作用对象、功能相关用户、参数列表、返回值，其中功能类型是登录控制、审计、访问控制、用户管理、安全配置。

本发明构造了一个标准化的安全访问解析组件，通过将安全功能模型化后，将安全功能模型实例存储到安全访问解析组件中，用来屏蔽不同编程语言和不同业务功能的差异性，然后将解析后的安全功能请求转发给具体的安全功能执行组件来执行具体的安全功能。本发明使得安全功能与业务功能相互独立，适合于企业的信息系统开发，解决企业信息系统安全功能开发难题。

附图说明

图1是本发明实施例提供的安全功能执行组件的示意图；

图2是本发明实施例提供的标准化的安全访问解析组件的示意图；

图3是本发明实施例提供的信息系统安全功能的初始化方法流程示意图；

图4是本发明实施例提供的基于安全组件的信息系统安全功能使用方法的流程示意图。

具体实施方式

下面结合附图和具体实施例，进一步阐明本发明，本实施例在以本发明技术方案为前提下进行实施，应理解这些实施例仅用于说明本发明而不用于限制本发明的范围。

如图1所示，本发明实施例公开了一种安全功能执行组件，该组件执行具体的安全功能，包括登录控制、审计、访问控制、用户管理、安全配置；另外还存储安全配置数据，所述安全配置数据由用户列表和业务对象列表组成。

对每一个安全功能都有具体的子功能，如下：登录控制包括如下子功能：页面请求过滤、登录信息提示、黑名单设置、用户登录情况查询、登录违规告警。审计包括如下子功能：日志下载、日志统计分析、日志归档、日志查询；安全配置包括如下子功能：限制帐号登录唯一性、限制单个帐号同时在线ip数、查询帐号创建时间、帐号安全配置、口令校验、密码重置、密码修改、密码定期修改。用户管理包括如下子功能：休眠帐号查询、长期未登录自动锁定、冗余帐号查询、帐号长期未登录管理、帐号非法登录锁定、实名制管理。访问控制包括如下子功能：角色互斥配置、权限互斥配置、角色分级分权配置、业务角色维护。

安全功能执行组件抽象化地实现每一个子功能，从而与业务系统分开。安全功能的执行是由应用系统通过标准的安全访问解析组件接口传递参数后执行的。

标准的安全访问解析组件如图2所示，该组件结构包括统一安全功能访问接口、多语言转换模块、安全功能模型实例、安全模型功能解析模块。其中统一安全功能访问接口形式为：stringsecfun(stringid)，id为安全功能id，其中id分层次，具有xx.yy的形式，xx为功能id，yy是功能下属的子功能id。多语言转换模块用来在不同的语言与c++进行参数格式、数据类型、函数构造之间的转换。安全模型功能解析模块是根据传递的参数id，基于安全功能模型实例，转换成实际的功能调用。安全功能模型实例是基于本发明公开的安全功能模型来构造的。

安全功能模型结构如下：

所述安全功能模型包括功能编号、功能名称、功能描述、功能类型、功能作用对象、功能相关用户、参数列表、返回值。

其中功能类型sectype是登录控制、审计、访问控制、用户管理、安全配置中的一种。对每一个功能都有具体的子功能secsubtype。执行类型exctype，表示如何执行该具体功能，类型包括：查询、执行具体功能(打开另一个应用程序或者一个url，由programname来描述)、禁止当前对象、激活当前对象、禁止显示、允许显示。功能描述description是对功能更具体的描述或者注释，供软件维护使用。功能作用的对象obj是具体的业务对象，也可以是与业务对象的实现对象，例如菜单或窗口等；用户user是访问当前功能的用户，可以是多个用户的列表，如果为空表示不适应于用户。参数列表parmlist由参数类型和参数值组成，参数类型可以是任意数据类型。

在安全功能调用前，系统管理员首先将系统中所有的业务对象和用户描述出来，然后建立安全功能模型，对每一个安全功能用secmodel进行描述，然后形成一个secmodel的实例化数组secmodel[]，其中功能编号(功能id)唯一。

安全功能的使用分为两个阶段：初始化阶段和安全功能调用。

本发明安全功能使用的初始化如图3所示，具体包含如下步骤：

步骤1.1根据信息系统的业务特点，抽象出所有业务对象，并归结到某个具体的子功能。

步骤1.2根据信息系统的业务特点，列出所有的用户。

步骤1.3将业务对象和用户保存到安全功能执行组件的安全配置数据中。

步骤1.4依据安全配置数据和安全功能模型，针对信息系统中的每一个子功能构建安全功能模型实例。

步骤1.5将安全功能模型实例存储于标准化的安全访问解析组件。

本发明提供的基于组件的安全功能使用方法如图4所示，具体包含如下步骤：

步骤2.1应用信息系统向安全访问解析组件发起安全功能请求，安全访问解析组件通过统一安全功能访问接口(例如secfun(stringid))来调用具体的安全功能。

步骤2.2安全功能访问接口的接口函数secfun通过功能id来访问安全功能模型实例，即进行参数绑定。

步骤2.3多语言转换模块将安全功能转化为需要的编程语言格式，例如c++格式。

步骤2.4安全功能模型解析模块根据安全功能模型实例获取与功能id相关的安全参数(包括功能名称、功能描述、功能类型、功能子类型、功能作用对象、功能相关用户、参数列表等)，即参数解析。

步骤2.5根据参数解析获得的功能类型判断具体功能是登录控制、审计、访问控制、用户管理、安全配置中的哪一个，然后根据具体的子功能类型，执行具体的子功能。

步骤2.6获取处理结果。

步骤2.7根据安全功能模型和具体的子功能对返回的处理结果进行封装。

步骤2.8将封装的处理结果转换成原来的编程语言形式。

步骤2.9将结果返回给应用信息系统。

本发明构造了一个标准的安全功能解析接口，同时构造了一个能执行多种安全功能的抽象组件，使得安全功能与信息系统分离，从而使得安全功能成为标准化的子功能，可以使用在各种信息系统中，可以减少信息系统中安全开发的工作量，可以提高信息系统的开发效率。

本发明具有如下技术特点：

1、以安全组件的方式为其他信息系统提供统一的安全访问控制功能，而不是将安全功能与信息系统耦合在一起，提升了安全功能的通用性。

2、提供了规范的基于安全组件的安全功能使用方法，为安全功能的复用提供了指导性的方案。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何属于本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。