网络访问控制方法、系统、设备及介质技术方案

本公开提供了一种网络访问控制方法、系统、设备及介质，涉及网络安全技术领域。该方法应用于零信任策略控制器，所述方法包括：采集目标用户的位置信息；基于预设映射关系，确定与目标用户的位置信息匹配的终端设备接入的目标扇区；若目标扇区属于可信扇区，则生成允许访问控制策略，以使所述目标用户访问目标系统。本公开能够为企业内部系统提供基于地理位置判断的安全访问，发挥网络互通的便利性，保障整体网络安全。障整体网络安全。障整体网络安全。

【技术实现步骤摘要】
网络访问控制方法、系统、设备及介质


[0001]本公开涉及涉及网络安全
，尤其涉及一种网络访问控制方法方法、零信任策略控制器、移动用户接入认证信息管理系统、零信任系统、电子设备及计算机可读存储介质。

技术介绍

[0002]网络互联对于关键业务系统(例如5GC网关、大数据分析系统等)管理来说是一把双刃剑，一方面，业务系统通过网络打破地域限制，使运维管理人员能够快速方便的访问业务系统，另一方面，网络将关键业务系统暴露于广阔的范围，易被外部来历不明人员接触或被内部用户从不安全区域登录，业务系统被非法或违规控制存在安全风险。
[0003]需要说明的是，在上述
技术介绍
部分公开的信息仅用于加强对本公开的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

技术实现思路

[0004]本公开提供一种网络访问控制方法、系统、设备及介质，至少在一定程度上克服相关技术中关键业务系统被非法或违规控制存在安全隐患的技术问题。
[0005]本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。
[0006]根据本公开的一个方面，提供了一种网络访问控制方法，应用于零信任策略控制器，所述方法包括：采集目标用户的位置信息；基于预设映射关系，确定与所述目标用户的位置信息匹配的所述目标用户使用的终端设备接入的目标扇区；若所述目标扇区属于可信扇区，则生成允许访问控制策略，以使所述所述目标用户访问目标系统。
[0007]在本公开的一个实施例中，所述采集目标用户的位置信息，包括：以目标用户的登录信息作为索引，向移动用户接入认证信息管理系统发起目标用户接入位置信息订阅；接收所述移动用户接入认证信息管理系统推送的所述目标用户的位置信息。
[0008]在本公开的一个实施例中，在所述以目标用户的登录信息作为索引，向移动用户接入认证信息管理系统发起目标用户接入位置信息订阅之前，所述方法还包括：采集并保存以专网方式接入所述目标系统的目标用户的登录信息。
[0009]在本公开的一个实施例中，所述基于预设映射关系，确定与所述目标用户的位置信息匹配的所述目标用户使用的终端设备接入的目标扇区，包括：当接收到所述目标用户的位置信息的变化信息时，根据所述变化信息，更新所述目标用户使用的终端设备接入的目标扇区，重新进行评估，以动态决定是否允许所述目标用户访问所述目标系统。
[0010]在本公开的一个实施例中，所述方法还包括：若所述目标扇区属于不可信扇区，则生成禁止访问控制策略，以使所述目标用户禁止访问目标系统。
[0011]在本公开的一个实施例中，所述方法还包括：在预设可信扇区地理位置集合中，查找所述目标扇区；若在所述预设可信扇区地理位置集合中，查找到所述目标扇区，则判定所
述目标扇区属于可信扇区；若无法查找到所述目标扇区，则判定所述目标扇区属于不可信扇区。
[0012]在本公开的一个实施例中，所述目标扇区的信息包括以下中的至少一项：扇区标识、上线信息、更新信息、下线信息、硬件版本信息。
[0013]在本公开的一个实施例中，所述预设映射关系包括映射关系表，所述映射关系表用于表征所述目标用户的位置信息与所述目标用户使用的终端设备接入的扇区之间的对应关系；其中，在所述基于预设映射关系，确定与所述目标用户的位置信息匹配的所述目标用户使用的终端设备接入的目标扇区之前，所述方法还包括：构建所述映射关系表，以通过查找所述映射关系表确定与所述目标用户的位置信息匹配的所述目标用户使用的终端设备接入的目标扇区。
[0014]在本公开的一个实施例中，所述可信扇区预先配置于所述零信任策略控制器，或者所述可信扇区通过机器学习得到。
[0015]根据本公开的另一个方面，还提供了一种网络访问控制方法，应用于移动用户接入认证信息管理系统，所述方法包括：获取目标用户使用的终端设备的设备接入请求，其中，所述设备接入请求携带有所述目标用户的位置信息；将所述目标用户的位置信息发送至所述零信任策略控制器，以使所述零信任策略控制器基于预设映射关系，确定与所述目标用户的位置信息匹配的所述目标用户使用的终端设备接入的目标扇区；若所述目标扇区属于可信扇区，则生成允许访问控制策略，以使所述所述目标用户访问目标系统。
[0016]根据本公开的另一个方面，还提供了一种零信任策略控制器，包括：采集模块，用于采集目标用户的位置信息；确定模块，用于基于预设映射关系，确定与所述目标用户的位置信息匹配的所述目标用户使用的终端设备接入的目标扇区；控制模块，用于若所述目标扇区属于可信扇区，则生成允许访问控制策略，以使所述所述目标用户访问目标系统。
[0017]根据本公开的另一个方面，还提供了一种移动用户接入认证信息管理系统，包括：获取模块，用于获取目标用户使用的终端设备的设备接入请求，其中，所述设备接入请求携带有所述目标用户的位置信息；发送模块，用于将所述目标用户的位置信息发送至所述零信任策略控制器，以使所述零信任策略控制器基于预设映射关系，确定与所述目标用户的位置信息匹配的所述目标用户使用的终端设备接入的目标扇区；若所述目标扇区属于可信扇区，则生成允许访问控制策略，以使所述所述目标用户访问目标系统。
[0018]根据本公开的另一个方面，还提供了一种零信任系统，包括：移动用户接入认证信息管理系统，用于获取目标用户使用的终端设备的设备接入请求，其中，所述设备接入请求携带有所述目标用户的位置信息；将所述目标用户的位置信息发送至所述零信任策略控制器；零信任策略控制器，用于采集目标用户的位置信息；基于预设映射关系，确定与所述目标用户的位置信息匹配的所述目标用户使用的终端设备接入的目标扇区；若所述目标扇区属于可信扇区，则生成允许访问控制策略，以使所述所述目标用户访问目标系统。
[0019]根据本公开的另一个方面，还提供了一种电子设备，包括处理器以及存储器，存储器用于存储所述处理器的可执行指令，其中，所述处理器配置为经由执行所述可执行指令来执行上述的网络访问控制方法。
[0020]根据本公开的另一个方面，还提供了一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述的网络访问控制方法。
[0021]根据本公开的另一个方面，还提供了一种计算机程序产品或计算机程序，该计算机程序产品或计算机程序包括计算机指令，该计算机指令存储在计算机可读存储介质中。计算机设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该计算机设备执行上述的网络访问控制方法。
[0022]在本公开的实施方式中，通过采集目标用户的位置信息；基于预设映射关系，确定终端设备接入的目标扇区；若目标扇区属于可信扇区，则生成允许访问控制策略，以使所述目标用户访问目标系统，从而利用零信任系统通过持续检查用户使用的终端设备接入基站扇区地理位置数据进行网络访问控制，为企业内部系统提供基于地理位置判断的安全访问，发挥网络互通的便利性，同时，确保其他人员无法接触内部系统、本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种网络访问控制方法，应用于零信任策略控制器，其特征在于，所述方法包括：采集目标用户的位置信息；基于预设映射关系，确定与所述目标用户的位置信息匹配的所述目标用户使用的终端设备接入的目标扇区；若所述目标扇区属于可信扇区，则生成允许访问控制策略，以使所述所述目标用户访问目标系统。2.根据权利要求1所述的方法，其特征在于，所述采集目标用户的位置信息，包括：以目标用户的登录信息作为索引，向移动用户接入认证信息管理系统发起目标用户接入位置信息订阅；接收所述移动用户接入认证信息管理系统推送的所述目标用户的位置信息。3.根据权利要求2所述的方法，其特征在于，在所述以目标用户的登录信息作为索引，向移动用户接入认证信息管理系统发起目标用户接入位置信息订阅之前，所述方法还包括：采集并保存以专网方式接入所述目标系统的目标用户的登录信息。4.根据权利要求1所述的方法，其特征在于，所述基于预设映射关系，确定与所述目标用户的位置信息匹配的所述目标用户使用的终端设备接入的目标扇区，包括：当接收到所述目标用户的位置信息的变化信息时，根据所述变化信息，更新所述目标用户使用的终端设备接入的目标扇区，重新进行评估，以动态决定是否允许所述目标用户访问所述目标系统。5.根据权利要求1所述的方法，其特征在于，所述方法还包括：若所述目标扇区属于不可信扇区，则生成禁止访问控制策略，以使所述目标用户禁止访问目标系统。6.根据权利要求5所述的方法，其特征在于，所述方法还包括：在预设可信扇区地理位置集合中，查找所述目标扇区；若在所述预设可信扇区地理位置集合中，查找到所述目标扇区，则判定所述目标扇区属于可信扇区；若无法查找到所述目标扇区，则判定所述目标扇区属于不可信扇区。7.根据权利要求1所述的方法，其特征在于，所述目标扇区的信息包括以下中的至少一项：扇区标识、上线信息、更新信息、下线信息、硬件版本信息。8.根据权利要求1所述的方法，其特征在于，所述预设映射关系包括映射关系表，所述映射关系表用于表征所述目标用户的位置信息与所述目标用户使用的终端设备接入的扇区之间的对应关系；其中，在所述基于预设映射关系，确定与所述目标用户的位置信息匹配的所述目标用户使用的终端设备接入的目标扇区之前，所述方法还包括：构建所述映射关系表，以通过查找所述映射关系表确定与所述目标用户的位置信息匹配的所述目标用户使用的终端设备接入的目标扇区。9.根据权利要求1所述的方法，其特征在于，所述可信扇区预先配置于所述零信任策略控制器，...

【专利技术属性】
技术研发人员：张立铁，陈樱，
申请(专利权)人：中国电信股份有限公司，
类型：发明
国别省市：