一种基于零信任机制的访问控制方法技术

本发明专利技术涉及网络安全技术领域，公开了一种基于零信任机制的访问控制方法，用于实现设置在云上的应用服务器与内部网络之间的数据交换。该方法基于零信任机制实现了对应用服务器、安全评估服务器、令牌生成服务器和网关之间的数据传输和控制，能够提高部署在云上的应用服务器访问内网数据时的安全性，解决了传统网络中网络边界模糊导致传统边界防护方式失效的问题，为应用服务器访问内网数据提供了稳定安全可靠的网络环境，满足了中小型企业的网络安全需求。络安全需求。络安全需求。

【技术实现步骤摘要】
一种基于零信任机制的访问控制方法


[0001]本专利技术涉及网络安全领域，具体为一种基于零信任机制的访问控制方法。

技术介绍

[0002]传统的网络安全架构，将原始网络结构通常分为内部网络和外部网络。网络内部边界部署防火墙、IDS等安全防护设备和外部网络通信。随着网络应用的逐渐发展，传统的网络安全架构越来越难以保证网络的安全，主要存在两大安全隐患：一、这种结构默认为内部网络的安全，对来自网络内部的攻击缺乏有效的防御手段，使得“堡垒”经常从内部被攻破；第二，安全性内部网络过度依赖边境的安全防护设备。一旦安全边界被突破，内网缺乏有效的保护手段。
[0003]然而，随着云计算的飞速发展，不少企业开始转移业务转移到互联网云平台，但是云服务器传输数据通过公共网络。服务器暴露在互联网上，受到攻击的风险增加。其次是网络边界的模糊，很难划定清晰的物理边界云服务器，内网、互联网之间无法部署传统的网络安全防护设备，为了解决网络安全场景中存在的问题，零信任安全概念应运而生。但目前的解决方案往往需要大量的设备和复杂的网络结构。它主要针对数据中心和大数据平台的应用需求，不适合中小型企业的网络安全需求。如何为部署在云上的应用服务器访问内网数据提供安全可靠的访问控制成为目前很多中小型企业为保证自身网络安全所亟须解决的问题。

技术实现思路

[0004]本专利技术提供了一种基于零信任机制的访问控制方法，为部署在云上的应用服务器访问内网数据提供了稳定安全可靠的网络环境，解决了上述
技术介绍
中提到的问题。
[0005]本专利技术提供如下技术方案：一种基于零信任机制的访问控制方法，用于实现设置在云上的应用服务器与内部网络之间的数据交换，包括以下步骤：S1：在所述应用服务器上设置零信任代理；S2：所述零信任代理采集多源信任度量指标数据，并向安全评估服务器发送所述多源信任度量指标数据；所述多源信任度量指标数据包括用户身份数据、账号数据、系统日志数据、网络日志数据、流量数据、应用行为数据和数据访问行为数据；所述多源信任度量指标数据通过双sha256算法进行加密编码，并将编码结果打包进一个数据包中进行网络传输；S3：所述安全评估服务器接收所述应用服务器发送的所述多源信任度量指标数据以及终端设备对应的通用唯一标识符、IP地址、MAC地址信息，采用多源动态安全评估策略，分别对用户身份可信任度、环境可信任度、用户行为可信任度、软件可信任度和硬件可信任度进行评估，获得评估分数，将所述评估分数发送给网关；S4：所述网关接收所述安全评估服务器发送的所述评估分数，为每个所述应用服务器建立一个状态节点，所述状态节点用于存储IP地址、MAC地址信息、用户身份可信任度、环境可信任度、用户行为可信任度、软件可信任度和硬件可信任度、评估分数、评估时间和有效时长，并建立IP表，将所述IP表存储在网络控制内核中， 所述IP表包括所述IP地址和对应的评估处理结果，所述评估处理
结果为只读模式、读写模式或拒绝访问模式，以便所述网络控制内核释放或拦截所述应用服务器的访问请求； S5：所述应用服务器使用预先安装的证书与令牌生成服务器和所述安全评估服务器完成通信；S6：所述应用服务器从所述令牌生成服务器获取令牌，在URL中签名，并通过所述令牌经过所述网关向内部网络发送访问请求；S7：所述网关接收到所述应用服务器的所述访问请求后，查询所述IP表，如果所述IP地址对应的评估处理结果为只读模式且具有令牌则有权限通过只读模式访问内部网络；如果所述IP地址对应的评估处理结果为读写模式且具有令牌，则有权限通过读写模式访问内部网络；如果所述IP地址对应的评估处理结果为拒绝访问模式，则拒绝进行内部网络访问。
[0006]优选的，所述用户身份数据包括数字证书、生物特征、用户名和口令。
[0007]优选的，在进行所述评估分数计算时为各个评估元素设置相应的权重，通过归一化加权平均算法获得所述评估分数。
[0008]优选的，将所述评估分数与预先设定的第一阈值、第二阈值进行比较，将所述评估处理结果划分为只读模式、读写模式或拒绝访问模式，其中所述第一阈值小于第二阈值。
[0009]优选的，判断所述用户行为的可信任度包括根据流量特征、上下文信息分析，刻画出正常访问的行为基线，基于所述行为基线判断当前用户行为是否可信。
[0010]与现有访问控制方法对比，本专利技术具备以下有益效果：1、该基于零信任机制的访问控制方法，利用零信任机制实现了对应用服务器、安全评估服务器、令牌生成服务器和网关之间的数据传输和控制，基于零信任机制的评估结果，将访问权限设置为只读、读写和拒绝访问三种模式，能够提高部署在云上的应用服务器访问内网数据时的安全性，解决了传统网络中网络边界模糊导致传统边界防护方式失效的问题。
[0011]2、该基于零信任机制的访问控制方法，采用多源动态安全评估策略，通过对用户身份数据、账号数据、系统日志数据、网络日志数据、流量数据、应用行为数据和数据访问行为数据的采集以及用户身份可信任度、环境可信任度、用户行为可信任度、软件可信任度和硬件可信任度的评估实现了多源信任评估判断，实现了对接入访问的动态管控，在不断变化的环境下保障了用户接入与访问的安全。
[0012]3、该基于零信任机制的访问控制方法，将采集的多源信任度量指标数据通过双sha256算法进行加密编码，并将编码结果打包进一个数据包中进行网络传输，提高了多源信任度量指标数据网络传输的安全性。
附图说明
[0013]图1为本专利技术零信任网络结构框图；图2为本专利技术基于零信任机制的访问控制方法流程图。
具体实施方式
[0014]下面将结合本专利技术实施例中的附图，对本专利技术实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本专利技术一部分实施例，而不是全部的实施例。基于本专利技术中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本专利技术保护的范围。
[0015]请参阅图1
‑
2，一种基于零信任机制的访问控制方法，用于实现设置在云上的应用服务器与内部网络之间的数据交换，包括以下步骤：S1：在所述应用服务器上设置零信任代理；S2：所述零信任代理采集多源信任度量指标数据，并向安全评估服务器发送所述多源信任度量指标数据；所述多源信任度量指标数据包括用户身份数据、账号数据、系统日志数据、网络日志数据、流量数据、应用行为数据和数据访问行为数据；所述多源信任度量指标数据通过双sha256算法进行加密编码，并将编码结果打包进一个数据包中进行网络传输；S3：所述安全评估服务器接收所述应用服务器发送的所述多源信任度量指标数据以及终端设备对应的通用唯一标识符、IP地址、MAC地址信息，采用多源动态安全评估策略，分别对用户身份可信任度、环境可信任度、用户行为可信任度、软件可信任度和硬件可信任度进行评估，获得评估分数，将所述评估分数发送给网关；S4：所述网关接收所述安全评估服务器发送的所述评估分数，为每个所述应用服务器建立一个状态节点，所述状态节点用于存储IP地址、MAC地本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于零信任机制的访问控制方法，用于实现设置在云上的应用服务器与内部网络之间的数据交换，其特征在于：包括以下步骤：S1：在所述应用服务器上设置零信任代理；S2：所述零信任代理采集多源信任度量指标数据，并向安全评估服务器发送所述多源信任度量指标数据；所述多源信任度量指标数据包括用户身份数据、账号数据、系统日志数据、网络日志数据、流量数据、应用行为数据和数据访问行为数据；所述多源信任度量指标数据通过双sha256算法进行加密编码，并将编码结果打包进一个数据包中进行网络传输；S3：所述安全评估服务器接收所述应用服务器发送的所述多源信任度量指标数据以及终端设备对应的通用唯一标识符、IP地址、MAC地址信息，采用多源动态安全评估策略，分别对用户身份可信任度、环境可信任度、用户行为可信任度、软件可信任度和硬件可信任度进行评估，获得评估分数，将所述评估分数发送给网关；S4：所述网关接收所述安全评估服务器发送的所述评估分数，为每个所述应用服务器建立一个状态节点，所述状态节点用于存储IP地址、MAC地址信息、用户身份可信任度、环境可信任度、用户行为可信任度、软件可信任度和硬件可信任度、评估分数、评估时间和有效时长，并建立IP表，将所述IP表存储在网络控制内核中， 所述IP表包括所述IP地址和对应的评估处理结果，所述评估处理结果为只读模式、读写模式或拒绝访问模式，以便所述网络控制内核释放或拦截所述应用服务器的访问请...

【专利技术属性】
技术研发人员：罗思明，陈灼波，刘罕，袁靖周，王统林，邱伟洋，钟孟森，张浩浩，周孟磊，刘国鑫，张添中，刘震，王建松，
申请(专利权)人：交通运输部南海航海保障中心港珠澳大桥航标处，
类型：发明
国别省市：