一种基于持续行为认证的动态访问控制方法及系统与流程

本说明书涉及访问控制，尤其涉及一种基于持续行为认证的动态访问控制方法及系统。

背景技术：

1、随着企业数字化转型的深入，web应用、移动应用、云服务、api网关及零信任网络接入等场景下的访问控制安全性日益受到关注。为保证访问控制的安全性，需要对每一次访问请求进行持续评估，而非仅依赖登录时的单次身份认证。在此背景下，如何实现用户会话全生命周期内的持续访问控制，已成为网络安全领域的关键技术问题。

2、当前访问控制系统主要采用基于角色的访问控制，通过在用户登录时进行一次身份验证，验证通过后授予固定权限，后续会话期间默认用户身份保持可信。部分系统在此基础上，引入了基于规则的异常检测机制，通过预设静态规则对异常行为进行识别和拦截。然而，随着网络攻击手段的日益复杂和内部威胁的不断增加，由于现有方式缺乏权限动态调整能力，无法实时响应并调整权限，且较难根据用户行为习惯进行更新，导致基线模型随时间推移逐渐偏离用户当前的实际行为模式，造成误报率逐步上升的问题。

3、基于此，现需要一种能够随用户行为风险实时动态调整的访问方式。

技术实现思路

1、为解决上述技术问题，本说明书一个或多个实施例提供了一种基于持续行为认证的动态访问控制方法及系统。

2、本说明书一个或多个实施例采用下述技术方案：

3、本说明书一个或多个实施例提供一种基于持续行为认证的动态访问控制方法，方法包括：

4、获取用户的历史行为特征集，以基于所述历史行为特征集构建用户行为基线模型；其中，所述用户行为基线模型包括：生物特征子基线与环境特征子基线；

5、在用户获得初始访问授权后，采集当前会话的实时行为特征流，以将所述实时行为特征流分别映射至生物特征空间与所述生物特征子基线进行比对，计算获得第一偏离度值，并映射至环境特征空间与所述环境特征子基线进行比对，计算获得第二偏离度值；

6、获取当前会话的多维度上下文信息所对应的当前业务场景敏感度，并根据所述第一偏离度值与所述第二偏离度值之间的数值关系确定偏离耦合因子；其中，所述偏离耦合因子用于指示所述第一偏离度值与所述第二偏离度值之间是否存在协同异常；

7、根据所述当前业务场景敏感度与所述偏离耦合因子构建动态权重向量，以基于所述动态权重向量，对所述第一偏离度值和所述第二偏离度值进行风险度量，确定当前会话的实时风险评分；

8、根据所述实时风险评分与预置多级阈值，执行阶梯式访问授权决策；其中，所述阶梯式访问授权决策包括至少两种不同等级的权限控制动作。

9、可选地，在本说明书一个或多个实施例中，获取用户的历史行为特征集，具体包括：

10、获取当前会话的会话标识与业务场景标签，以根据所述会话标识查询对应的历史行为记录；

11、根据所述业务场景标签，对所述历史行为记录进行筛选，获得与所述业务场景语义关联的历史行为特征子集；

12、基于预置时间窗口，获取所述历史行为特征子集提取出的历史行为特征，其中，所述预置时间窗口包括：短期窗口和长期窗口；

13、在所述长期窗口内的长期历史行为特征的数据量低于预设阈值时，根据当前业务场景与其他业务场景的语义相似度，确定一个或多个待迁移业务场景并将其历史行为记录作为补充数据；

14、基于所述补充数据对所述历史行为特征进行补充融合，生成用户的历史行为特征集。

15、可选地，在本说明书一个或多个实施例中，基于所述历史行为特征集构建用户行为基线模型，具体包括：

16、基于所述历史行为特征集中各历史行为特征所对应的时间戳进行排序，获得历史行为特征时间序列；

17、基于各所述历史行为特征在所述历史行为特征时间序列的时序位置，确定各所述历史行为特征的时间维度权重；其中，所述时间维度权重与各所述历史行为特征距当前时刻的时间差，呈负相关关系；

18、根据带有所述时间维度权重的历史行为特征，分别构建生物特征子基线与环境特征子基线，并将所述生物特征子基线和所述环境特征子基线进行组合，生成用户行为基线模型。

19、可选地，在本说明书一个或多个实施例中，根据带有所述时间维度权重的历史行为特征，分别构建生物特征子基线与环境特征子基线，并将所述生物特征子基线和所述环境特征子基线进行组合，生成用户行为基线模型，具体包括：

20、获取带有所述时间维度权重的历史行为特征中各所述历史生物行为特征的第一特征向量，并获取带有所述时间维度权重的历史行为特征中各所述历史环境上下文特征的第二特征向量；

21、分别将所述第一特征向量以及所述第二特征向量与其对应的时间维度权重相乘，得到加权生物特征向量与加权环境特征向量；

22、根据各所述加权生物特征向量的加权均值向量和加权协方差矩阵，确定所述生物特征子基线，并根据各所述加权环境特征向量的加权均值向量和加权协方差矩阵，确定所述环境特征子基线；

23、将所述生物特征子基线和所述环境特征子基线建立关联关系，生成用户行为基线模型。

24、可选地，在本说明书一个或多个实施例中，在用户获得初始访问授权后，采集用户当前会话的实时行为特征流，具体包括：

25、在用户获得初始访问授权后，以当前时刻为起点，初始化滑动时间窗口；

26、基于预置在滑动步长驱动所述滑动时间窗口向前推移，以通过客户端探针提取当前滑动时间窗口覆盖范围内用户的交互信号；

27、基于所述交互信号以及当前会话标识，生成实时数据流；

28、对实时数据流进行解析，获得实时操作行为数据与实时环境状态数据，并分别提取实时生物行为特征与实时环境上下文特征，生成实时行为特征流。

29、可选地，在本说明书一个或多个实施例中，将所述实时行为特征流分别映射至生物特征空间与所述生物特征子基线进行比对，计算获得第一偏离度值，并映射至环境特征空间与所述环境特征子基线进行比对，计算获得第二偏离度值，具体包括：

30、获取所述实时行为特征流中各实时行为特征所对应的特征类型标签，根据所述特征类型标签将所述实时行为特征流拆分为实时生物行为特征流和实时环境上下文特征流；

31、将所述实时生物行为特征流映射至生物特征空间，并获取所述生物特征子基线；基于所述生物特征子基线，计算当前实时生物行为特征与所述生物特征子基线之间的第一偏离度，作为所述第一偏离度值；

32、将所述实时环境上下文特征流映射至环境特征空间，并获取所述环境特征子基线；基于所述环境特征子基线，计算当前实时环境上下文特征与所述环境特征子基线之间的第二偏离度，作为所述第二偏离度值。

33、可选地，在本说明书一个或多个实施例中，获取当前会话的多维度上下文信息所对应的当前业务场景敏感度，并根据所述第一偏离度值与所述第二偏离度值之间的数值关系确定偏离耦合因子，具体包括：

34、获取当前会话的多维度上下文信息，所述多维度上下文信息至少包括：当前访问请求所请求资源的敏感等级、当前终端环境的安全状态评分以及当前操作时间与用户历史活跃时段的时间偏差；

35、根据所述敏感等级查询预设的敏感度映射表，确定所述当前业务场景敏感度；其中，所述敏感度映射表包括：不同资源敏感等级与场景敏感度之间的对应关系；

36、将所述第一偏离度和所述第二偏离度作为特征维度，映射至二维风险空间，构建实时风险向量；

37、根据所述实时风险向量在所述二维风险空间中所处的预设区域，确定所述偏离耦合因子；其中，所述二维风险空间划分有单维度异常区域和协同异常区域，在所述实时风险向量位于所述协同异常区域时，所述偏离耦合因子大于1，在所述实时风险向量位于所述单维度异常区域时，所述偏离耦合因子等于1。

38、可选地，在本说明书一个或多个实施例中，根据所述当前业务场景敏感度与所述偏离耦合因子构建动态权重向量，以基于所述动态权重向量，对所述第一偏离度值和所述第二偏离度值进行风险度量，确定当前会话的实时风险评分，具体包括：

39、根据所述当前业务场景敏感度，确定所述第一偏离度对应的第一基础权重和所述第二偏离度对应的第二基础权重；其中，所述第一基础权重与所述当前业务场景敏感度正相关，所述第二基础权重与所述当前业务场景敏感度负相关；

40、根据所述偏离耦合因子对所述第一基础权重和所述第二基础权重进行修正，获得第一融合权重与第二融合权重，并根据所述第一融合权重与所述第二融合权重构建所述动态权重向量；

41、基于所述动态权重向量，确定所述实时风险向量所在二维风险空间的坐标轴权重，并根据当前会话的多维度上下文信息，动态生成所述二维风险空间中的风险基准向量和风险边界；其中，所述风险基准向量和所述风险边界随所述多维度上下文信息的变化进行自适应调整；

42、基于所述坐标轴权重，确定加权后的实时风险向量与所述风险基准向量之间的几何距离，并根据所述几何距离与所述风险边界的相对位置关系，确定所述当前会话的实时风险评分。

43、可选地，在本说明书一个或多个实施例中，根据所述实时风险评分与预置多级阈值，执行阶梯式访问授权决策，具体包括：

44、获取所述当前会话在预设历史时段内的风险评分序列，根据所述风险评分序列计算风险变化趋势；所述风险变化趋势用于指示所述当前会话的风险是处于上升状态、稳定状态还是下降状态；

45、根据所述风险变化趋势，对预设的基准阈值进行动态调整，生成与当前风险演化状态匹配的动态阈值；

46、将所述当前会话的实时风险评分与所述动态阈值进行比较，根据比较结果执行对应的权限控制动作，其中，所述权限控制动作至少包括权限维持动作、权限收缩动作和会话终止动作。

47、本说明书一个或多个实施例提供一种基于持续行为认证的动态访问控制系统，系统包括：

48、构建模块，用于获取用户的历史行为特征集，以基于所述历史行为特征集构建用户行为基线模型；其中，所述用户行为基线模型包括：生物特征子基线与环境特征子基线；

49、映射模块，在用户获得初始访问授权后，采集当前会话的实时行为特征流，以将所述实时行为特征流分别映射至生物特征空间与所述生物特征子基线进行比对，计算获得第一偏离度值，并映射至环境特征空间与所述环境特征子基线进行比对，计算获得第二偏离度值；

50、确定模块，用于获取当前会话的多维度上下文信息所对应的当前业务场景敏感度，并根据所述第一偏离度值与所述第二偏离度值之间的数值关系确定偏离耦合因子；其中，所述偏离耦合因子用于指示所述第一偏离度值与所述第二偏离度值之间是否存在协同异常；

51、评分模块，用于根据所述当前业务场景敏感度与所述偏离耦合因子构建动态权重向量，以基于所述动态权重向量对所述第一偏离度值和第二偏离度值进行加权融合，并将融合结果映射为当前会话的实时风险评分；

52、执行模块，用于根据所述风险评分与预置多级阈值，执行阶梯式访问授权决策；其中，所述阶梯式访问授权决策包括至少两种不同等级的权限控制动作。

53、本说明书实施例采用的上述至少一个技术方案能够达到以下有益效果：

54、通过在用户会话存续期间持续采集实时行为特征流，并根据用户行为基线模型，确定实时行为特征流的第一偏离度和第二偏离度，实现了对用户身份可信度和环境可信度的持续监测。通过两个偏离度的输出，有助于准确区分异常来源，避免了两类特征相互干扰导致的误报率升高问题。通过获取当前会话的多维度上下文信息确定当前业务场景敏感度，并根据第一偏离度值与第二偏离度值之间的数值关系确定偏离耦合因子，进而动态分配两个偏离度的相对置信度以构建动态权重向量，使风险评分能够随业务场景敏感度和偏离度协同异常程度自适应调整，有助于实现各场景风险的评估提升了场景适应度。而根据风险评分与预置多级阈值，执行阶梯式访问授权决策，则在保障安全性的同时维持了用户体验的连续性和系统稳定性，使得权限从静态授予转换为了持续的动态调节。