面向零信任架构的通信网络动态访问控制与威胁溯源方法与流程

本发明涉及网络安全，特别涉及面向零信任架构的通信网络动态访问控制与威胁溯源方法。

背景技术：

1、随着数字化业务的发展与企业网络边界的持续泛化，远程办公、多云协同、跨域数据交互等场景日益普及，零信任架构凭借永不信任与始终验证的原则，已成为应对复杂网络环境、保障内部资源访问安全的主流技术，在企业办公、政务外网、工业互联网等领域得到广泛应用。

2、现有技术方案中，多数零信任访问控制方案以身份信任为核心实现静态权限匹配，仅在边界接入点完成身份校验与权限下发，威胁溯源依赖边界网关与服务端的独立日志数据，中间转发链路缺少逐跳观测能力，无法构建完整连续的访问路径链；在多层微隔离、多节点转发的复杂网络架构下，通过异常流量难以准确定位到具体节点，威胁响应处置滞后，且访问权限一经授予便保持静态，无法根据会话过程中的实时风险状态动态调整，难以适配持续变化的网络威胁环境。

3、因此，提出面向零信任架构的通信网络动态访问控制与威胁溯源方法来解决上述问题很有必要。

技术实现思路

1、本发明的目的在于提供面向零信任架构的通信网络动态访问控制与威胁溯源方法，以解决在多层微隔离、多节点转发的复杂网络架构下，通过异常流量难以准确定位到具体节点，威胁响应处置滞后，且访问权限一经授予便保持静态，无法根据会话过程中的实时风险状态动态调整，难以适配持续变化的网络威胁环境的问题。

2、为实现上述目的，本发明提供如下技术方案：

3、面向零信任架构的通信网络动态访问控制与威胁溯源方法，包括以下步骤：

4、s1：在零信任网络的各节点分别部署溯源锚点，构建动态行为基线库，并初始化信任评估引擎与溯源引擎；

5、s2：接收访问请求时，调用信任评估引擎，计算请求主体的初始信任评分，以匹配对应的最小访问权限策略与策略版本号；

6、s3：根据权限策略生成唯一的会话标识，并与初始信任评分、策略版本号绑定得到会话上下文后，生成本次会话的转发路径；

7、s4：在访问请求与会话上下文，下发至转发路径上的所有溯源锚点时，各溯源锚点追加路径段信息并上报溯源引擎后，由溯源引擎生成路径段链，并根据路径段链生成路径结构异常度；

8、s5：溯源引擎调取动态行为基线库，匹配当前会话对应策略版本号与行为基线，计算路径段链中各路径段的行为特征偏移度和时间序列异常度，结合路径结构异常度得到本次会话的溯源风险值，并通过反向遍历路径段链，以定位出异常源节点；

9、s6：基于溯源风险值，通过计算本次会话的当前信任度，更新策略版本号并下发至溯源锚点，以切换新的策略版本号的行为基线，完成权限管控与威胁溯源的联动闭环。

10、优选的，所述步骤s1中，所述节点包括请求终端、sdp接入代理、微隔离策略控制点以及资源服务端。

11、优选的，所述步骤s2中，通过初始信任评分匹配对应的最小访问权限策略与策略版本号的步骤，包括：

12、将初始信任评分分别输入访问权限与溯源行为粒度的分级映射表，其中，访问权限分级映射表按照业务资源访问颗粒度划分信任评分区间，以输出对应访问权限等级；溯源行为粒度分级映射表按照用户行为模式区分度划分信任评分区间，以输出对应溯源行为粒度等级；

13、基于匹配的访问权限等级与溯源行为粒度等级，按预设编码规则进行组合编码，生成唯一的策略版本号；

14、根据访问权限等级，匹配满足业务访问需求的最小访问权限策略，并将策略版本号与该权限策略进行绑定。

15、优选的，所述按预设编码规则进行组合编码，生成唯一的策略版本号的步骤，包括：

16、采用分段定长编码结构，按照预设顺序，依次设置访问权限等级编码段、溯源行为粒度等级编码段和校验段；

17、将匹配得到的访问权限等级和溯源行为粒度等级，分别转换为编码结构对应固定位长的访问权限等级编码和溯源行为粒度等级编码，并分别写入访问权限等级编码段和溯源行为粒度等级编码段；

18、通过校验算法，对访问权限等级编码和溯源行为粒度等级编码进行运算生成校验码，将校验码写入校验段；

19、按照预设顺序拼接所有字段，生成策略版本号，且每组访问权限等级与溯源行为粒度等级的组合对应唯一的策略版本号。

20、优选的，所述步骤s3中，所述会话标识的生成步骤，包括：

21、提取权限策略所绑定的策略版本号，根据请求终端发出的访问请求，同步提取请求主体的身份标识、访问请求接入sdp接入代理时刻的时间戳，以及sdp接入代理生成的一次性随机盐值；

22、将策略版本号、身份标识、时间戳与一次性随机盐值依次拼接，得到会话标识的原始字符串；

23、利用哈希算法对原始字符串进行运算，以输出固定长度的唯一会话标识。

24、优选的，所述步骤s3中，所述生成本次会话的转发路径的步骤，包括：

25、从会话上下文中提取本次会话的初始信任评分、访问权限等级、溯源行为粒度等级，以及从资源服务端提取出的访问请求对应的资源标识；

26、以接入本次访问请求的sdp接入代理为路径起始节点，以资源标识对应的资源服务端为路径终止节点；

27、结合初始信任评分与溯源行为粒度等级，从可选微隔离策略控制点中选取对应层级与数量的微隔离策略控制点，按照安全域由外向内的递进顺序排列，形成由sdp接入代理和资源服务端，以及多个微隔离策略控制点组成的有序转发节点序列；

28、为所述有序转发节点序列中每两个相邻节点之间的传输链路，分配唯一的路径段编号，以得到转发路径，其中，转发路径上的所有节点均部署有溯源锚点。

29、优选的，所述步骤s4中，各溯源锚点追加路径段信息并上报溯源引擎后，由溯源引擎生成路径段链的步骤，包括：

30、转发路径上的溯源锚点在转发携带会话上下文的访问请求时，生成本节点对应的路径段信息，其中，所述路径段信息包括本次会话的会话标识、当前节点的身份标识和所属传输链路的路径段编号、访问请求进入当前节点的入站时间戳以及离开当前节点的出站时间戳；

31、各溯源锚点将生成的路径段信息实时上报至溯源引擎；

32、溯源引擎根据路径段信息，以会话标识为索引进行聚合分组，将同一会话对应的所有路径段信息归集至同一分组；

33、在同一分组内，按照路径段编号的递增顺序，对各路径段信息进行排序；

34、根据排序结果，将全部有序路径段信息拼接为路径段链。

35、优选的，所述步骤s5中，通过反向遍历路径段链，以定位出异常源节点的步骤，包括：

36、根据路径段链中各路径段对应的行为特征偏移度与时间序列异常度，计算得到每个路径段的段级异常值，并预设段异常阈值；

37、以路径段链中路径段编号最大的末端路径段为遍历起始点，按照路径段编号由大到小的反向顺序，逐段将段级异常值与段异常阈值进行比对，当检测到当前路径段的段级异常值超过段异常阈值，且对应路径段编号相邻的前一路径段的段级异常值未超过段异常阈值时，判定当前路径段与前一路径段之间共用的微隔离策略控制点为异常源节点。

38、优选的，针对异常源节点的判定，若路径段链内全部路径段的段级异常值均超过段异常阈值，则判定路径段链中路径段编号最小的路径段，其对应的请求终端为异常源，转发路径的路径起始节点为异常源节点。

39、优选的，所述步骤s6中，通过当前信任度更新策略版本号并下发至溯源锚点，以切换新的策略版本号的行为基线的步骤，包括：

40、将当前信任度分别输入访问权限与溯源行为粒度的分级映射表，匹配得到更新后的访问权限等级与溯源行为粒度等级；

41、按照编码规则重新进行组合编码，以得到新的策略版本号，并将新的策略版本号绑定至会话上下文，同步匹配对应的最小访问权限策略；

42、将更新后的会话上下文与最小访问权限策略下发至转发路径上的全部溯源锚点，各溯源锚点切换执行新的最小访问权限策略，并向溯源引擎上报版本切换通知；

43、溯源引擎根据切换通知，从动态行为基线库中调取新的策略版本号对应的行为基线，替换当前会话的溯源判定基准，实现权限管控与威胁溯源的联动闭环。

44、在上述技术方案中，本发明的技术效果和优点：

45、1.通过在请求终端、sdp接入代理、微隔离策略控制点、资源服务端节点逐点部署溯源锚点，以会话标识为统一索引，对多节点上报的路径段信息进行聚合、排序与衔接校验，拼接形成连续完整的路径段链，消除了现有技术中中间转发链路的观测盲区，解决了依赖分散日志、链路不连续、路径结构类异常无法识别的问题。

46、2.基于信任评分，通过分级映射表同步匹配访问权限等级与溯源行为粒度等级，采用带校验段的分段定长编码生成唯一策略版本号，实现权限规则与溯源采集规则的绑定联动；高信任低风险场景简化溯源采集以降低系统开销，低信任高风险场景强化采集粒度以提升检测精度，在遵守最小访问权限原则的同时，实现了安全计算资源的动态按需分配，平衡了防护强度与运行效率。

47、3.通过建立动态行为基线库与策略版本号的一一映射关系，不同权限与溯源粒度场景匹配对应的专属判定基准，避免在不同访问粒度下的误判与漏判。

48、4.本发明从链路末端向起始端反向遍历进行定位，基于相邻路径段的异常状态差异，定位两段链路共用的微隔离策略控制点，同时补充全链路异常场景下的请求终端判定规则，能够准确区分异常源自中间转发节点还是终端侧，相较于正向全链路遍历，在多层转发场景下减少了无效计算，提升了异常源定位的效率与准确度。