一种面向多租户数据访问的事前安全风险预测方法及设备与流程

本技术涉及数据访问控制，尤其涉及一种面向多租户数据访问的事前安全风险预测方法及设备。

背景技术：

1、多租户数据访问是指多个租户共享同一套数据基础设施，但彼此之间的数据在逻辑上相互隔离的访问模式。在企业级云平台等场景中，不同租户各自拥有独立的数据资产和访问策略，但底层的数据存储、计算资源和网络通道往往是共享的。

2、在这种架构下，主流的数据访问控制方案采用权限即通行的策略，即用户通过身份认证后，系统查询预先配置的访问控制列表或基于角色的权限矩阵，若用户具备目标数据对象的访问权限，则直接放行该访问请求。这意味着，即便存在用户使用的终端设备已感染恶意软件、存在已知漏洞或处于非可信网络环境等情况，只要该用户通过了身份认证并被授予了相应权限，系统仍会放行其访问请求。此时用户一旦获得准入，即可在权限范围内自由获取数据，从而导致敏感数据在环境异常的风险情形下被获取和扩散。

技术实现思路

1、本技术实施例提供了一种面向多租户数据访问的事前安全风险预测方法及设备，用于解决如下技术问题：存在风险的用户在身份认证通过后，即可进行数据访问，从而导致敏感数据在环境异常的风险情形下被获取和扩散。

2、本技术实施例采用下述技术方案：

3、本技术实施例提供一种面向多租户数据访问的事前安全风险预测方法。包括，基于多租户分别对应的历史访问日志，构建各租户分别对应的访问上下文基线，并将访问上下文基线映射至访问行为空间，得到各租户分别对应的安全访问基准域；其中，访问上下文基线为基于租户历史访问上下文统计得到的正常访问参考基准，访问行为空间为表征租户访问行为特征的特征空间；响应于目标租户的数据访问请求，将本次访问的上下文信息映射为访问行为空间中的当前访问点；其中，上下文信息至少包括本次访问请求对应的目标数据对象；基于上下文信息和访问上下文基线，确定当前访问点朝向安全访问基准域方向的方向障碍度，基于方向障碍度确定租户级动态障碍区域，并在访问行为空间中，以当前访问点为起点、以安全访问基准域为目标区域，将租户级动态障碍区域作为禁止落入的路径约束条件，构建目标租户的候选访问路径；基于预置数据拓扑，确定目标数据对象的上游源数据集合，计算上游源数据集合对应的敏感度权重，并基于上游源数据集合确定出数据溯源路径的长度；基于数据溯源路径的长度以及敏感度权重，确定目标租户对应的数据泄露扩散半径；在构建得到目标租户的候选访问路径，且候选访问路径的路径长度大于数据泄露扩散半径的情况下，对数据访问请求执行阻断处理。

4、在本技术的一种实现方式中，基于多租户分别对应的历史访问日志，构建各租户分别对应的访问上下文基线，并将访问上下文基线映射至访问行为空间，得到各租户分别对应的安全访问基准域，具体包括：针对多租户中的目标租户，获取目标租户对应的历史访问日志，以基于历史访问日志提取出访问行为特征元组；其中，访问行为特征元组至少包括访问主体属性、终端设备信息、业务场景、操作类型及目标数据对象在预置数据拓扑中的位置编码；沿数据对象的派生关系反向追溯，将位置编码转换为所依赖的源数据对象的特征签名，得到扩展行为特征元组；以访问行为特征元组中的访问主体属性为聚集维度，对扩展行为特征元组进行聚类，并以各扩展行为特征元组在拓扑链路方向上的溯源深度对应的跳数作为簇间合并的跳数容忍约束，生成多个行为簇；将每个行为簇中所有扩展行为特征元组在访问行为空间中的分布区域，确定为该行为簇对应的连通包络子域；将目标租户所有行为簇对应的连通包络子域的并集，作为目标租户的安全访问基准域。

5、在本技术的一种实现方式中，基于上下文信息和访问上下文基线，确定当前访问点朝向安全访问基准域方向的租户级动态障碍区域，具体包括：基于上下文信息，确定当前终端设备的安全态势数据以及当前业务场景，并将安全态势数据与当前业务场景拼接为当前访问的联合环境状态向量；将联合环境状态向量与访问上下文基线中的参考联合环境状态向量进行比对，确定联合环境偏移量；基于联合环境偏移量，在访问行为空间中确定当前访问点朝向安全访问基准域方向上的方向障碍度；将方向障碍度大于预设障碍阈值的区域，标记为租户级动态障碍区域。

6、在本技术的一种实现方式中，基于联合环境偏移量，在访问行为空间中确定当前访问点朝向安全访问基准域方向上的方向障碍度，具体包括：获取安全访问基准域中，各连通包络子域在访问行为空间中的几何轮廓信息；以当前访问点为起点，向安全访问基准域方向发射多条探测射线；其中，各探测射线分别对应不同的候选方向；针对各探测射线，确定该探测射线从当前访问点到安全访问基准域边界之间，所穿过的连通包络子域的数量及类型；根据数量，确定该探测射线对应的候选方向的基础通行代价；根据类型及联合环境偏移量，确定该探测射线对应的候选方向的环境修正代价；根据基础通行代价与环境修正代价，确定该候选方向的方向障碍度，作为当前访问点朝向安全访问基准域方向上的方向障碍度。

7、在本技术的一种实现方式中，以当前访问点为起点、以安全访问基准域为目标区域，将租户级动态障碍区域作为禁止落入的路径约束条件，构建目标租户的候选访问路径，具体包括：以当前访问点为起点、以安全访问基准域为目标区域，在访问行为空间中确定初始方向向量；以初始方向向量为基准，在访问行为空间中生成多条候选方向分支；其中，各候选方向分支由连续步长组成，各步长分别在访问行为空间中均对应有位置点；从当前访问点开始，沿各候选方向分支逐一步长推进；其中，在每一步长推进过程中：若当前步长所在位置点落入租户级动态障碍区域内，则终止该候选方向分支的推进；若当前步长所在位置点未落入租户级动态障碍区域内，则获取该位置点处的联合环境偏移量在当前推进方向上的投影值，并基于投影值确定当前步长的推进代价；在各候选方向分支满足预设停止条件时，停止分支的推进；在所有已停止推进的候选方向分支中，将各步长推进代价之和最小的分支，确定为目标租户的候选访问路径。

8、在本技术的一种实现方式中，获取该位置点处的联合环境偏移量在当前推进方向上的投影值，并将投影值作为当前步长的推进代价，具体包括：在访问行为空间中，获取当前步长所在位置点对应的第一坐标向量，以及确定出下一位置点对应的第二坐标向量；确定第一坐标向量所属的第一连通包络子域，以及确定第二坐标向量所属的第二连通包络子域；确定出第一连通包络子域与第二连通包络子域两子域之间的边界距离，并基于边界距离确定出当前步长的跨域缩放系数；针对访问行为空间的坐标轴，确定当前步长所在位置点处的联合环境偏移量；基于位置点处及其邻域内的联合环境偏移量差异，确定联合环境偏移量沿访问行为空间坐标轴方向的变化率，将各访问行为空间坐标轴对应的变化率组合为位置点处的联合环境偏移梯度向量；基于联合环境偏移梯度向量与跨域缩放系数，得到缩放后的联合环境偏移梯度向量；确定出当前步长的推进方向向量与缩放后的联合环境偏移梯度向量之间的方向夹角的余弦值，作为方向一致性系数；通过投影值、方向一致性系数以及方向一致性系数对应的预设奖励系数，得到当前步长的推进代价。

9、在本技术的一种实现方式中，基于预置数据拓扑，确定目标数据对象的上游源数据集合，计算上游源数据集合对应的敏感度权重，具体包括：基于预置数据拓扑，提取该上游源数据对象到当前目标数据对象之间的数据溯源路径，并通过数据溯源路径构建上游源数据对象对应的溯源子树；其中，溯源子树的根为当前目标数据对象，叶为上游源数据对象，中间节点为数据溯源路径上共有的数据对象；将溯源子树的叶子数量作为第一结构量，以及，将溯源子树中各中间节点被不同数据溯源路径共享的最大共享次数作为第二结构量；根据第一结构量与第二结构量，得到上游源数据对象对应的敏感度权重；基于上游源数据集合中所有上游源数据对象的敏感度权重，确定上游源数据集合对应的敏感度权重。

10、在本技术的一种实现方式中，基于上游源数据集合确定出数据溯源路径的长度，具体包括：基于预置数据拓扑，确定出上游源数据集合中的各上游源数据对象到目标数据对象之间的数据溯源路径；对于各数据溯源路径，从路径的起点开始，沿该路径向目标数据对象方向逐节点回溯；在每个回溯节点处，获取该回溯节点对应的数据对象的敏感度权重、该回溯节点到目标数据对象的溯源剩余深度、以及该回溯节点在预置数据拓扑中的出度；其中，出度表示以该回溯节点为起点的数据溯源出边数量；基于敏感度权重、溯源剩余深度以及出度，确定出回溯节点对应的节点代价；根据数据溯源路径上所有回溯节点的节点代价，确定数据溯源路径的长度。

11、在本技术的一种实现方式中，基于数据溯源路径的长度以及敏感度权重，确定目标租户对应的数据泄露扩散半径，具体包括：将数据溯源路径的长度与敏感度权重进行乘积处理，得到初始扩散半径；以目标数据对象为起点，在预置数据拓扑中沿正向边进行逐级扩展，确定扩展过程中访问到的数据对象，构建下游可达数据对象集合；针对下游可达数据对象集合中的各下游数据对象，确定其对应的上游源数据集合，并基于该上游源数据集合对应的数据溯源路径的长度与敏感度权重的乘积值，得到该下游数据对象的次级扩散半径；将初始扩散半径与所有下游数据对象的次级扩散半径中的最大值相加，得到目标租户对应的数据泄露扩散半径。

12、本技术实施例提供一种面向多租户数据访问的事前安全风险预测设备，包括：至少一个处理器；以及，与至少一个处理器通信连接的存储器；其中，存储器存储有可被至少一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器能够：基于多租户分别对应的历史访问日志，构建各租户分别对应的访问上下文基线，并将访问上下文基线映射至访问行为空间，得到各租户分别对应的安全访问基准域；其中，访问上下文基线为基于租户历史访问上下文统计得到的正常访问参考基准，访问行为空间为表征租户访问行为特征的特征空间；响应于目标租户的数据访问请求，将本次访问的上下文信息映射为访问行为空间中的当前访问点；其中，上下文信息至少包括本次访问请求对应的目标数据对象；基于上下文信息和访问上下文基线，确定当前访问点朝向安全访问基准域方向的方向障碍度，基于方向障碍度确定租户级动态障碍区域，并在访问行为空间中，以当前访问点为起点、以安全访问基准域为目标区域，将租户级动态障碍区域作为禁止落入的路径约束条件，构建目标租户的候选访问路径；基于预置数据拓扑，确定目标数据对象的上游源数据集合，计算上游源数据集合对应的敏感度权重，并基于上游源数据集合确定出数据溯源路径的长度；基于数据溯源路径的长度以及敏感度权重，确定目标租户对应的数据泄露扩散半径；在构建得到目标租户的候选访问路径，且候选访问路径的路径长度大于数据泄露扩散半径的情况下，对数据访问请求执行阻断处理。

13、本技术实施例采用的上述至少一个技术方案能够达到以下有益效果：本技术实施例通过构建多租户各自的访问上下文基线并映射至安全访问基准域，为各租户建立合适的正常行为边界，避免跨租户干扰。其次，通过确定租户级动态障碍区域，能够识别出当前访问点与安全基线之间的风险屏障，解决传统方案无法感知终端漏洞和场景错配的问题，以及通过在存在动态障碍区域的访问行为空间中构建候选访问路径，将风险评估转化为路径规划问题，使得路径长度能够直观反映访问请求克服风险屏障所需付出的代价。最后，本技术实施例通过确定上游源数据集合的敏感度权重和数据溯源路径的长度，量化了目标数据对象的敏感程度和扩散潜力，解决传统方案难以预判在访问请求通过后可能引发的连锁扩散风险的问题，以及通过将路径长度与数据泄露扩散半径进行比较，在访问请求被执行前即生成阻断指令，实现对高风险访问的事前阻断，杜绝数据在权限合规但存在安全隐患的情况下被获取和泄露的可能性。