[发明专利]云存储环境下安全策略分解与验证系统

权利要求书

1.一种云存储环境下安全策略分解与评估系统，其特征在于，该系统包括数据库(100)、策略分解与验证模块(200)、策略评估模块(300)、资源与访问控制策略调整模块(400)、敏感信息过滤词库管理模块(500)和审计模块(600)；其中，

数据库(100)用于存储系统实施访问控制的全局访问控制策略以及基于资源分布特点进行分解后的分解策略和基于敏感信息过滤词库获得的对策略间关联关系进行加密的信息，同时存放评估信息以引导和优化策略分解过程并对策略的实施提供评估，它包括评估信息库、分解策略库、全局策略库、敏感信息过滤词库、审计信息库和分解策略关系信息库；

策略分解与验证模块(200)从数据库(100)获取全局策略信息，进而将全局访问控制策略依据管理资源的不同将其进行分解，同时通过敏感信息过滤词库引导策略分解过程，并通过评估信息对协作策略分解进行优化，从而使得分解后的资源策略集合对资源的访问控制效果是一致的，使依据敏感信息过滤词库分解后的策略在保证服务提供方访问控制策略中的敏感信息不被泄漏的情况下，使其整体安全性与可用性前后一致；并将最终的分解结果存储于数据库(100)中；策略评估模块(300)用于响应用户的访问请求，获取与该请求相一致的访问控制策略，进而对这些访问控制策略进行定位，并对用户的策略请求进行评估，为了提高策略评估的效率，策略评估模块(300)利用评估信息对策略评估过程进行优化处理，并将最终的评估结果反馈给用户；

资源与访问控制策略调整模块(400)接受来自系统管理员对云存储环境下的资源以及访问控制策略本身所发生的增加、修改、删除操作，执行相应的资源及访问控制策略调整步骤，并将操作结果以及系统管理员的操作情况记入数据库(100)中；

敏感信息过滤词库管理模块(500)接收来系统管理员对参与协作的各个服务方在全局访问控制策略中的敏感信息进行增加、修改、删除等操作，并将操作结果以及操作记录存储于数据库(100)中；

审计模块(600)接收来自系统管理员输入的查询信息，通过与数据库(100)的信息交互，利用系统管理员提交的用户名和时间范围对系统管理员的操作进行查询，获得满足查询条件的所有记录。

2.根据权利要求1所述的云存储环境下安全策略分解与评估系统，其特征在于，

该策略分解与验证模块(200)包括资源策略分解与验证模块(210)、协作策略分解与验证模块(220)和协作策略分解优化模块(230)；

资源策略分解与验证模块(210)从数据库(100)的全局策略库130中获取全局访问控制策略，并依据资源分布的特点将全局访问控制策略分解到资源所处的各个云端，使得资源和策略同处于云端，从而避免了不必要的通信开销，均衡了各云端的计算负载，提高了策略决策的性能；协作策略分解与验证模块(220)从资源策略分解模块(210)获得依据资源进行分解后的策略，基于敏感信息过滤词库分析该策略的布尔表达式对该策略进行分解，使得各协作服务方所提供的敏感信息对服务协作方是透明的，从而保证了协作方策略中敏感信息的安全性；协作策略分解优化模块(230)负责对初步分解的协作策略进行优化，从而去除初步分解结果中的冗余布尔表达式并同时利用评估信息对分解结果进行优化，使得分解的策略结果达到最优，从而为今后策略实施时构建出原始的策略提供方便。

3.根据权利要求1或2所述的云存储环境下安全策略分解与评估系统，其特征在于，资源与访问控制策略调整模块(400)分为基于资源变更的策略调整模块(410)和基于访问控制策略变更的策略调整模块(420)；

资源调整模块(410)在资源发生上传/删除的情况下，对全局策略库及相关信息进行调整，其调整的过程如下：(a1)当发生单个或多个资源上传时需要同时部署相应的访问控制策略，同时利用资源策略分解与验证模块210和协作策略分解与验证模块220对新部署的访问控制策略进行分解；(a2)当发生单个或多个资源删除任务时，需要判断是否存在其他资源受该条策略的保护，存在则保留该策略，反之则删除与对应的所有子策略；(a3)最后均需要通过刷新各种辅助数据和缓存保持数据的一致性。

访问控制策略调整模块(420)在全局访问控制策略发生添加/删除/修改的情况下，对全局策略库及相关信息进行调整，其调整的过程如下：(a1)策略的添加需要同时上传其所保护的单个或多个资源时，则可利用资源策略分解与验证模块(210)和协作策略分解与验证模块(220)分解新策略；(a2)策略删除时，则查找策略的位置，删除与对应的所有子策略；(a3)策略修改可看成旧策略的删除和新策略的添加的叠加过程，最后均需要通过刷新各种辅助数据和缓存保持数据的一致性。