[发明专利]基于标记与审计结合的跨域访问控制方法及系统

摘要

本发明涉及计算机信息安全领域，特别涉及一种基于标记与审计结合的跨域访问控制方法及系统，可以应用于电子交易系统，如铁路客票系统、航空票务系统、电子政务与电子商务系统等大中型企业系统的跨域安全保护与互联互通。本发明通过对访问主体、角色、被访问主体进行安全等级标记与认证，对访问过程和结果进行记录与审计，实现了具有行为可追踪和不否认性的安全访问，达到了跨域边界的应用系统在安全条件下互联互通的目的。

主权项

1.一种基于标记与审计结合的跨域访问控制方法，其特征在于，包括如下步骤：在第一安全等级域中的访问主体向第二安全等级域中的被访问主体发送访问请求时，对所述访问主体与被访问主体的属性进行认证及审查，以判断访问主体与被访问主体的合法性；所述属性包括：角色及所属域的安全标记；当访问主体与被访问主体的属性均审查为合法时，根据预设的角色映射关系表判断所述访问主体与被访问主体之间是否具有角色映射关系，如果有，则授予访问主体访问权，授予被访问主体被访问权，否则不授予访问主体访问权，不授予被访问主体被访问权；对域中访问主体的访问行为和过程进行记录检查和统计审计；根据授权结果及安全审计结果审查访问主体与被访问主体的权限是否与对应的访问控制措施一致，如果一致，则允许访问主体与被访问主体之间进行跨域访问，并生成允许访问消息，否则，不允许访问主体与被访问主体之间进行跨域访问，并生成不允许访问消息；当允许访问主体与被访问主体之间进行跨域访问时，在访问主体与被访问主体之间建立私密通道，否则，不建立私密通道；当访问主体与被访问主体之间生成的访问消息为允许访问消息时，基于所建立的私密通道，完成跨域访问；否则，终止跨域访问；记录访问结果及业务数据的变化信息，并据此对其进行审计。