[发明专利]基于访问历史的强制访问控制系统及控制方法

说明书

技术领域

本发明属于计算机信息安全技术领域，涉及一种根据用户访问的历史情况，对用户访问访问权限进行动态调整的基于访问历史的强制访问控制系统及控制方法。

背景技术

访问控制是安全系统的重要功能，通过访问控制能够限制用户对关键资源的访问，防止非法用户的侵入或合法用户的不慎操作所造成的破坏。

可信计算机系统评估准则（TCSEC）将访问控制分为两类：自主访问控制和强制访问控制。自主访问控制由客体的属主对自己的客体进行管理，由属主自己决定是否将自己的客体访问权或部分访问权授予其他主体。强制访问控制是“强加”给访问主体的，即系统强制主体服从访问控制策略，与自主访问控制相比，强制访问控制拥有更好的安全性。

强制访问控制以系统中的主体和客体指定敏感标记作为实施强制访问控制的依据，这些标记是等级分类和非等级类别的组合，系统通过比较主体和客体的敏感标记来决定一个主体是否能够访问某个客体。

目前常用的强制访问控制模型包括BLP、BIBA、中国墙等，其中最有代表性的是BLP模型，然而，这些强制访问控制模型对用户权限的控制是静态的，当用户受到攻击、木马病毒感染或用户进行非法操作时，其访问权限仍不变，此时就会带来资源被窃取、滥用等问题。因此，需要研究一种机制，能够根据用户当前状况来决定用户的访问权限，增强强制访问控制的灵活性。

发明内容

为了增加目前强制访问控制的灵活性，本发明提供一种基于访问历史的强制访问控制系统及控制方法，根据用户的访问情况，能够对用户访问权限进行动态调整，以增强系统的安全性。

本发明的技术方案如下：

一种基于访问历史的强制访问控制系统，其特征在于：包括：

身份认证模块：用于负责完成对用户的身份的验证，

与身份认证模块相连接的访问控制模块：用于负责对用户访问的裁决，

与访问控制模块相连接的用户级别调整模块：用于负责对用户的级别进行动态调整，

分别与访问控制模块和用户级别调整模块相连接的访问控制数据库：用于存放用户、资源的级别信息及用户的访问历史信息，访问控制模块更新用户历史访问信息，而用户级别调整模块读取分析该历史访问信息，

与访问控制数据库相连接的WEB管理模块：用于为管理员提供基于WEB的管理界面，能够使管理员对用户和资源信息进行配置。

一种基于访问历史的强制访问控制方法，其特征在于：其步骤如下：

步骤一、采用身份鉴别机制验证用户身份的合法性，用户身份通过用户名口令、数字证书或硬件令牌方法表示；

步骤二、提取用户和其访问资源的安全级别，根据系统的强制访问控制策略对用户的访问进行决策，如果用户访问符合策略要求，则允许其访问相应的资源，否则拒绝其访问；

步骤三、记录用户此次访问的相关信息到该用户的历史访问信息库中，这些信息包括访问控制的用户、资源、结果、时间以及其它一些附加信息；

步骤四、根据用户的历史访问信息，采用用户级别调整算法对用户的级别进行调整，并使之在下一个用户访问过程中生效。

在步骤一中，如果用户身份鉴别失败，则拒绝其访问系统的所有资源。

在步骤二中，用户的安全级别和资源的安全级别是由系统管理员事先指定的，其安全级别范围一般根据系统的实际使用场景指定。

在步骤三中，为了减轻数据库存储和运算的负担，用户的访问历史信息只保存一定时间范围内的，对于超过一定期限的数据进行放到备份数据库中，并且放到备份数据库中的数据在工作数据库中只记录其统计数据。

在步骤四中，采用用户级别调整算法对用户的级别进行调整，其步骤如下：

步骤1.制定用户级别调整曲线，该曲线所在坐标的x轴为用户访问失败次数，y轴为用户级别；

步骤2.统计用户访问历史库中最近连续非法访问的次数a；

步骤3.将a代入x，计算得到y的值b；

步骤4.取不大于b的整数作为用户的最新级别。

本发明的特点及效果如下：

本发明利用用户的历史访问信息，通过用户级别调整曲线对用户的级别进行动态调整，有效地解决了目前强制访问控制不够灵活的问题。

以BLP为代表的强制访问控制模型对用户的静态的，即使用户受到攻击而进行非法操作也无法对其进行控制，通过对用户的访问历史进行分析，能够对用户的安全状态进行评估，如果用户受到攻击则限制其访问的资源，保障了系统中资源的安全性。

附图说明