访问控制系统、方法、装置及存储介质制造方法及图纸

一种访问控制系统、方法、装置及存储介质，该访问控制系统包括：信任评估引擎，用于周期性采集终端的运行信息和环境信息，并根据预设风险评估策略对获得的信息进行评估得到评估结果，当评估结果异常时发送至可信访问控制引擎；可信访问控制引擎，用于接收异常的评估结果，并结合预设安全访问规则生成访问控制策略下发至可信标识解析接入代理或可信标识解析应用代理；可信标识解析接入代理和可信标识解析应用代理，用于根据获得的访问控制策略进行访问控制。由于能够对访问主体信息进行持续收集并动态评估，从而及时对发生风险的访问主体实现了访问行为的动态控制。实现了访问行为的动态控制。实现了访问行为的动态控制。

【技术实现步骤摘要】
访问控制系统、方法、装置及存储介质


[0001]本文涉及安全控制技术，尤指一种访问控制系统、方法、装置及存储介质。

技术介绍

[0002]随着工业互联网标识的逐步推广应用，标识解析开启了一个自主机器和智能过程的崭新时代，正在为我们带来巨大的社会和经济机遇。然而，互联互通必将会带来不可避免的副作用，标识解析体系存储了大量敏感数据，其访问控制安全也就成为工业互联网标识解析体系部署过程中最需要引起关注的问题。
[0003]现有技术中，访问控制系统往往在登录初期对访问者的身份信息进行验证，在后续的访问过程中便可进行直接访问。
[0004]然而，这种访问控制系统，由于只在登录时进行访问者身份信息验证，而在后续访问过程不再限制，因此无法及时对发生风险的访问主体的访问行为进行动态控制。

技术实现思路

[0005]本申请实施例提供了一种访问控制系统、方法、装置及存储介质，能够对访问主体信息进行持续收集并动态评估，因此及时对已发生风险的访问主体实现了访问行为的动态控制。
[0006]本申请提供了一种访问控制系统，包括：
[0007]信任评估引擎，用于周期性采集终端的运行信息和环境信息，并根据预设风险评估策略对获得的运行信息和环境信息进行评估得到评估结果，当评估结果异常时发送至可信访问控制引擎；
[0008]所述可信访问控制引擎，用于接收异常的评估结果，并结合预设安全访问规则生成访问控制策略下发至可信标识解析接入代理或可信标识解析应用代理；
[0009]所述可信标识解析接入代理，用于根据获得的访问控制策略进行访问控制；
[0010]所述可信标识解析应用代理，用于根据获得的访问控制策略进行访问控制。
[0011]与相关技术相比，本申请提供的访问控制系统，由于能够周期性采集终端的运行信息和环境信息，并根据获得的数据进行评估进而得到访问控制策略进行访问控制，因此能够对访问主体信息进行持续收集并动态评估，从而及时对发生风险的访问主体实现了访问行为的动态控制。
[0012]本申请的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本申请而了解。本申请的其他优点可通过在说明书以及附图中所描述的方案来实现和获得。
附图说明
[0013]附图用来提供对本申请技术方案的理解，并且构成说明书的一部分，与本申请的实施例一起用于解释本申请的技术方案，并不构成对本申请技术方案的限制。
[0014]图1为本申请实施例提供的一种访问控制系统的结构示意图；
[0015]图2为本申请实施例提供的一种工业互联网标识解析访问控制系统的结构示意图；
[0016]图3为本申请实施例提供的一种访问控制方法的流程示意图；
[0017]图4为本申请实施例提供的一种访问控制方法的交互示意图。
具体实施方式
[0018]本文提供了一种访问控制系统，如图1所示，包括：
[0019]信任评估引擎11，用于周期性采集终端的运行信息和环境信息，并根据预设风险评估策略对获得的运行信息和环境信息进行评估得到评估结果，当评估结果异常时发送至可信访问控制引擎12。
[0020]所述可信访问控制引擎12，用于接收异常的评估结果，并结合预设安全访问规则生成访问控制策略下发至可信标识解析接入代理13或可信标识解析应用代理14。
[0021]所述可信标识解析接入代理13，用于根据获得的访问控制策略进行访问控制。
[0022]所述可信标识解析应用代理14，用于根据获得的访问控制策略进行访问控制。
[0023]在一种示例性实例中，终端的环境信息也可以称为安全基线状态信息，是指终端设备当前的运行状态是否是一个健康可行的状态，例如是否装有杀毒软件，是否打开了高危端口。
[0024]在一种示例性实例中，评估结果可以以百分制分值表示，当评估结果以百分制分值表示，策略控制引擎会预先配置安全基线的百分制评估原则，结合预设安全访问规则生成访问控制策略具体可以如下：如果用户的安全访问规则较高，那可以设置低于80分，则无法访问高敏应用，可信访问控制引擎会下发动态降权策略，使得访问终端无法访问对应高敏应用，并设置低于60分，则强制访问终端下线；如果用户的安全访问规则较低，那可以设置低于70分，则无法访问高敏应用，可信访问控制引擎会下发动态降权策略，使得访问终端无法访问对应高敏应用，并设置低于40分，则强制访问终端下线。
[0025]本申请实施例提供的访问控制系统，由于能够周期性采集终端的运行信息和环境信息，并根据获得的数据进行评估进而得到访问控制策略进行访问控制，因此能够对访问主体信息进行持续收集并动态评估，从而及时对发生风险的访问主体实现了访问行为的动态控制。
[0026]在一种示例性实例中，所述可信访问控制引擎12具体用于：
[0027]当生成的访问控制策略包括应用级策略，将所述访问控制策略下发至所述可信标识解析接入代理13；其中，所述应用级的访问控制策略包括以下至少之一：强制用户下线、禁止访问应用。
[0028]当生成的访问控制策略包括接口级策略，将所述访问控制策略下发至所述可信标识解析应用代理14；其中，所述接口级的访问控制策略包括：禁止访问应用的功能。
[0029]在一种示例性实例中，所述可信访问控制引擎12还用于：
[0030]获取终端通过单向报文发起的设备鉴权信息，并进行校验。
[0031]当校验通过，开放对应的认证端口，通过所述认证端口获取所述终端的用户身份信息、环境信息，并进行校验。
[0032]当校验通过，向所述终端同步接入令牌、接口令牌。
[0033]接收所述终端的安全通道协商请求；其中，所述安全通道协商请求携带有所述终端的接入令牌。
[0034]对所述接入令牌进行验证，当验证通过，与所述终端建立安全通道。
[0035]在一种示例性实例中，认证端口是可以配置修改的，一般采用443，安全传输层协议(Transport Layer Security，TLS)或安全套接字协议(Secure Sockets Layer，SSL)的默认端口。
[0036]在一种示例性实例中，所述可信标识解析接入代理13，还用于通过预先建立的安全通道接收所述终端发起的应用访问请求；其中，所述应用访问请求携带有所述终端具备应用访问权限的接入令牌。
[0037]将所述接入令牌发送至所述可信访问控制引擎12由所述可信访问控制引擎12对其进行验证，当验证通过，向所述终端展示与所述应用访问请求对应的应用的功能页面以响应所述应用访问请求。
[0038]接收所述终端发起的接口访问请求；其中，所述接口访问请求携带有所述终端的接入令牌和所述终端具备功能访问权限的接口令牌。
[0039]将所述接入令牌发送至所述可信访问控制引擎12对其进行验证，当验证通过，将所述接口访问请求转发至所述可信标识解析应用代理13。
[0040]在一种示例性本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种访问控制系统，其特征在于，包括：信任评估引擎，用于周期性采集终端的运行信息和环境信息，并根据预设风险评估策略对获得的运行信息和环境信息进行评估得到评估结果，当评估结果异常时发送至可信访问控制引擎；所述可信访问控制引擎，用于接收异常的评估结果，并结合预设安全访问规则生成访问控制策略下发至可信标识解析接入代理或可信标识解析应用代理；所述可信标识解析接入代理，用于根据获得的访问控制策略进行访问控制；所述可信标识解析应用代理，用于根据获得的访问控制策略进行访问控制。2.根据权利要求1所述的系统，其特征在于，所述可信访问控制引擎具体用于：当生成的访问控制策略包括应用级策略，将所述访问控制策略下发至所述可信标识解析接入代理；其中，所述应用级的访问控制策略包括以下至少之一：强制用户下线、禁止访问应用；当生成的访问控制策略包括接口级策略，将所述访问控制策略下发至所述可信标识解析应用代理；其中，所述接口级的访问控制策略包括：禁止访问应用的功能。3.根据权利要求1所述的系统，其特征在于，所述可信访问控制引擎还用于：获取终端通过单向报文发起的设备鉴权信息，并进行校验；当校验通过，开放对应的认证端口，通过所述认证端口获取所述终端的用户身份信息、环境信息，并进行校验；当校验通过，向所述终端同步接入令牌、接口令牌；接收所述终端的安全通道协商请求；其中，所述安全通道协商请求携带有所述终端的接入令牌；对所述接入令牌进行验证，当验证通过，与所述终端建立安全通道。4.根据权利要求3所述的系统，其特征在于，所述可信标识解析接入代理，还用于通过预先建立的安全通道接收所述终端发起的应用访问请求；其中，所述应用访问请求携带有所述终端具备应用访问权限的接入令牌；将所述接入令牌发送至所述可信访问控制引擎由所述可信访问控制引擎对其进行验证，当验证通过，向所述终端展示与所述应用访问请求对应的应用的功能页面以响应所述应用访问请求；接收所述终端发起的接口访问请求；其中，所述接口访问请求携带有所述终端的接入令牌和所述终端具备功能访问权限的接口令牌；将所述接入令牌发送至所述可信访问控制引擎对其进行验证，当验证通过，将所述接口访问请求转发至所述可信标识解析应用代理；所述可信标识解析应用代理还用于：接受来自所述可信标识解析接入代理的接口访问请求，将其中的接入令牌和接口令牌发送至所述可信访问控制引擎，由所述可信访问控制引擎根据所述接入令牌对所述接口令牌进行验证；当验证通过，转发所述应用访问请求至内网。5.根据权利要求4所述的系统，其特征在于，所述可信访问控制引擎，具体用于：根据预先建立的终端身份信息与接入令牌的对应关系获取所述接口访问请求中接入
令牌对应的目标终端身份信息；根据预先建立的终端身份信息与接口令牌的对应关系获取所述目标终端信息对应的目标接口令牌，并验证所述目标接口令牌与所述接口访问请求中的接口令牌是否相同；若相同，确定所述接口令牌通过验证。6.根据权利要求3所述的系统，其特征在于，所述可信访问控制引擎，具体用于获取所述终端采用单向无连接端口，并以固定的单包鉴权格式发起的设备鉴权信息。7.根据权利要求3或6所述的系统，其特征在于，所述设备鉴权信息包括以下至少之一：鉴权数据包的版本号、令牌、种子、密...

【专利技术属性】
技术研发人员：商跃鹏，汪海，
申请(专利权)人：北京网御星云信息技术有限公司，
类型：发明
国别省市：