一种基于体系细粒度处理的工业互联网访问控制方法与流程

本发明涉及工控安全，特别涉及一种基于体系细粒度处理的工业互联网访问控制方法。

背景技术：

1、访问控制是用于防止对任何资源进行未授权的访问，从而使计算机系统在合法的范围内使用。意指用户身份及其所归属的某项定义组来限制用户对某些信息项的访问，或限制对某些控制功能的使用的一种技术。细粒度访问控制是控制访问对象可以访问特定数据的方法。细粒度访问控制使用了更细微和可变的方法来允许访问。最常用于大量数据源存储在一起的云计算中，细粒度访问控制为每个数据项提供了自己指定的访问策略。这些标准可以基于许多特定因素，包括请求访问的人员的角色和对数据的预期操作。例如，一个人可能被授予编辑和更改数据的权限，而另一个人可能只被授予读取数据的权限而不进行任何更改。

2、现有的访问控制模型一般是基于封闭式的网络环境，在已知网络用户的身份的前提下，通过中心权威节点管理网络用户，对侦测到的非法用户和行为进行处理，授权方式较被动。而在开放式网络环境中，用户身份存在不确定或不真实的问题。此外，网络环境变的更加开放、动态，而不仅仅局限于某个封闭式系统。用户身份的不确定性以及网络环境的变迁使得传统的访问控制模型在开放式网络环境中存在局限性。

3、在专利202211124140.0一种基于标识的工业互联网数据动态访问控制方法及平台中，提出了一种将工业互联网在进行访问控制上，标识编码中增加的权属验证功能能够实现对数据资源的细粒度访问授权，既能实现访问路径的查询，又保证了按需授权，相较于其他方法，本专利具备更加广泛的特性，包括动态性、细粒度、通用性和可扩展性。

4、但是，其对于恶意访问方面，无法进行防御，虽然，通过设定的安全等级，为不同的访问者配置对应的权限信息，但是，只是对权限进行判定，没有对访问过程中，用户的访问行为进行判定，判定整个访问行为是否存在异常，是只判定是否授权。如果存在授权用户的恶意访问，就无法进行防备。

技术实现思路

1、本发明提供一种基于体系细粒度处理的工业互联网访问控制方法，用以防止数据资源被非法使用和访问，保证数据资源的安全性。

2、本技术提出了一种基于体系细粒度处理的工业互联网访问控制方法，包括以下步骤：

3、获取访问主体的访问请求以及行为信息；

4、根据访问控制权限认定机制鉴别访问主体是否符合访问条件；其中，

5、访问控制权限认定机制用于配置访问控制策略；

6、当访问主体满足访问条件时，根据行为分析判别机制判别当前用户行为是否存在异常，当用户行为无异常时，则从被访问的客体中查询与访问请求相对应的访问数据，并在加密后反馈给访问主体；其中，

7、加密的方式为镜像加密。

8、优选的，所述访问主体在收到加密数据资源后，还将加密数据资源进行解密，其具体步骤包括：

9、接收加密数据资源，加密数据资源包括镜像私钥和访问数据；

10、对所述加密数据资源进行解密，得到镜像私钥和镜像标记；其中，

11、镜像标记包括镜像验证标记和镜像记录标记；

12、所述镜像私钥为数据拥有者为根据每个资源数据生成的私钥；

13、利用镜像私钥再次解密，得到访问数据。

14、优选的，所述行为分析判别机制判别当前用户行为是否存在异常，包括：

15、将访问用户当前的行为信息与异常行为数据库内的异常信息进行匹配，确定第一适配度；

16、根据第一适配度大于第一阈值所对应的异常行为，得到当前行为信息的目标行为序列；

17、计算所述目标行为序列与适配度大于第一阈值的异常行为所对应的异常序列的相似度；

18、判断计算的相似度是否大于第二阈值，当所有的相似度均低于第二阈值时，则当前访问主体的访问行为是安全的，若否，则访问主体的行为为异常行为，根据异常程度所对应的安全等级交由访问主体或管理员处理。

19、优选的，所述根据第一适配度大于第一阈值所对应的异常行为，得到当前行为信息的目标行为序列的步骤具体包括：

20、将第一适配度和第一阈值进行减法计算，确定对比差值中的正值对应的目标异常数据；其中，

21、目标异常数据不唯一；

22、根据目标异常数据，在异常行为数据库确定与用户当前行为最接近的目标异常序列；

23、在目标异常序列中获取与当前异常信息对应的行为序列编辑方式，并通过行为序列编辑方式确定当前行为信息的目标行为序列。

24、优选的，所述异常行为数据库内预先存储有多种异常行为信息以及与异常行为信息所对应的异常序列和关联行为信息。

25、优选的，所述异常行为数据库包括如下步骤搭建：

26、获取在工业互联网中注册的访问主体的历史访问信息，并确定对应的访问行为；其中，

27、历史访问信息包括正常访问信息和异常访问信息；

28、根据异常访问信息，确定对应的异常行为序列；

29、根据正常访问信息，确定与异常行为序列相同的同序列访问行为序列，根据同序列访问行为序列，确定关联行为信息。

30、优选的，所述访问控制策略还用于在收到更新请求后，进行策略更新，其具体包括：

31、在接收到访问请求后，通过访问控制权限认定机制，判断当前的访问主体是否存在权限变更；

32、当存在权限变更时，获取变更信息，并通过设定授权风险权重，确认当前更新的访问控制策略的安全性；

33、若当前更新的访问控制策略安全，则授权更新操作，更新访问控制策略并存储；

34、若当前更新的访问控制策略不安全，则拒绝更新。

35、优选的，所述当访问主体满足访问条件时，还包括如下步骤：

36、鉴别当前访问主体和被访问的客体，鉴别通过后对当前访问主体和被访问的客体进行授权；其中，

37、当存在域访问请求时，进行再次访问授权，若当前访问主体被授权当前访问操作，则允许当前跨域访问请求。

38、优选的，所述鉴别通过后对当前访问主体和被访问的客体进行授权后，还包括：

39、在访问主体所在域内建立主体与预设的一级访问处理中心的角色映射关系；

40、由一级访问处理中心对提出的访问请求进行逐级审核并建立相对应的访问角色；

41、在客体所在域建立本域内跨域角色与二级访问处理中心的映射关系，并确定跨域访问主体的，目标访问权限；

42、根据目标访问权限，在客体所在域生成对应的访问端口。

43、优选的，所述方法还包括对访问主体访问的资源数据进行访问控制，其具体包括：

44、获取上传用户密钥信息，向客户端发送密钥认证请求；

45、当在接收到客户端发送的访问用户密钥信息后，对上传用户密钥信息以及所述访问用户密钥信息进行密钥认证；

46、若密钥认证成功，则允许所述访问用户的读写操作。

47、本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的申请文件中特别指出的结构来实现和获得。

48、下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。