一种安全策略的确定方法与流程

1.本发明涉及网络安全技术领域，具体涉及一种安全策略的确定方法。


背景技术：

2.aidustry安全中台是一个基于saas的安全管理即服务平台，连接安全策略与 aidustry安全基础设施，构成连贯一致的“人-过程-技术”安全管理体系，确保安全策略正确实施。安全中台的核心就是对数据资产的安全防护，通过安全策略的执行来调度安全能力为数据资产提供安全环境。安全中台为数据资产提供安全服务的能力是以安全标识为核心，通过安全标识的设置来调动安全策略的编排、调度与执行。安全中台需要提供丰富的接口来与数据中台对接，对数据资产进行安全标识，通过安全标识策略计算引擎则可根据安全标识的属性调度相应的安全策略进行计算和编排，编排好的安全策略则通过策略执行引擎驱动各安全能力(设备和软件)来进行安全防护。
3.因为系统内部通常都需要存储有大量的参考或者客户资料，这些资源统称为客体资源，这些客体资源可能会涉及不同的层面，并且具有不同的经济或者其他方面的价值。而在系统的日常运行过程中，这些价值较高的客体资源往往都会处于加密状态。无法随意浏览，因此在需要浏览时需要向管理员申请相应的解密权限或者密钥，从而达到浏览加密客体资源的目的。但是在系统日常运行过程中，管理员需要处理大量的请求，往往会对请求浏览加密客体资源的批复造成延迟，进而影响工作效率。


技术实现要素：

4.本发明的目的在于提供一种安全策略的确定方法，以解决上述背景技术中提出的问题。
5.为实现上述目的，本发明提供如下技术方案：
6.一种安全策略的确定方法，其特征在于，所述的方法包括：
7.提取所有的客体资源，对所述的客体资源进行加密并设定访问等级，所述的访问等级是根据该客体资源的价值划分，价值越高的客体资源其相对应的访问等级越高；
8.收录所述的客体资源并建立安全数据库，所述的客体资源保存在安全数据库内部，提取所述的客体资源的特征名称和其访问等级后生成权限检索单，所述的特征名称指的是与其相对应的客体资源的标记，通过所述的特征名称可以从安全数据库中检索出客体资源，并且任意两个客体资源的特征名称不相同；
9.发送访问请求，所述的访问请求包括需要浏览的客体资源的特征名称以及对应的权限等级，所述的权限等级指的是能够查阅客体资源的最高访问等级，如果权限等级高于或等于访问请求中需要浏览的客体资源的访问等级，则提取所述的客体资源。
10.作为本发明进一步的方案，常规的所述的客体资源为加密状态，在对其进行查阅是需要进行解密操作，其具体的解密步骤如下所示：
11.提取客体资源的特征名称和该客体资源的密钥，生成密钥检索清单；
12.接受访问请求，并提取出其中的特征名称和权限等级；
13.提取出该特征名称下的客体资源的访问等级，并与访问请求中的权限等级进行比较；
14.如果权限等级大于或等于所述的客体资源的访问等级，则从密钥检索清单中提取出所述的客体资源的密钥；
15.通过密钥对客体资源进行解密。
16.作为本发明进一步的方案，为了确保客体资源的保密性，在对其进行解密之后会进入自毁状态，所述的自毁状态指的是客体资源在解密之后进入倒计时，当倒计时归零时对所述的客体资源进行销毁。
17.作为本发明进一步的方案，在每次从安全数据库中提取客体资源时为了保证客体资源出现缺失或损坏，需要使用复制件代替原件作为被提取的对象，其具体步骤如下：
18.访问安全数据库，通过特征名称检索出安全数据库中需要被提取的客体资源；
19.提取所述的客体资源和该客体资源的密钥，将所述的客体资源进行解密处理；
20.提取解密后的客体资源并对其进行复制；
21.将客体资源的原件再次进行加密操作；
22.提取出所述的客体资源的复制体。
23.作为本发明进一步的方案，当访问请求中的权限等级低于该访问请求中特征名称所指定的客体资源的访问等级时，将驳回访问请求，不予通过。
24.作为本发明的进一步方案，在同一访问请求多次被驳回后，将进入强制访问阶段，所述的强制访问具体包括以下步骤：
25.提取访问请求中的特征名称，获得与该特征名称相对应的客体资源的访问等级；
26.随机发放访问请求至若干个强制访问端口处，所述的强制访问端口的权限等级高于或者等于所述的客体资源的访问等级；
27.统计出同意所述的访问请求的强制访问端口所占比例，若其比例大于或等于所设定的阈值，则认为该访问请求通过强制访问限制；
28.提取所述的访问请求中的特征名称相对应的客体资源的访问等级，根据所述的访问等级制定与其相等的权限等级，所述的权限等级在此处定义为强制权限等级，将所述的强制权限等级与访问请求中的权限等级进行替换；
29.发送更新后的访问请求。
30.作为本发明进一步的方案，如果在强制访问阶段中，同意所述的访问请求的强制访问端口小于所设定的阈值时，则判定该访问请求为无理访问，并中终止该访问请求的发送。
31.作为本发明进一步的方案，所述的强制权限等级享有与其相等的权限等级的所有功能，但是其使用次数有限制，在单次使用之后作废，也即是在单次使用完成之后所述的强制权限等级将失去与其的权限等级的所有功能。
32.作为本发明进一步的方案，因为时效性等原因而造成客体资源的价值发生变化时，需要客体资源的访问等级进行修改，其具体的修改步骤为：
33.提取该客体资源的特征名称和最新访问等级；
34.提取权限检索清单，并对清单内该客体资源所对应的特征名称下的访问等级进行
更新。
35.与现有技术相比，本发明的有益效果是：通过将所有的客体资源，也即是系统内部所收录的大量参考信息或者客户资料等数据进行量化分级，将一个个客体资源进行等级划分，从而使得在后续访问浏览客体数据的阶段中，某一权限等级只能够访问等于或者第一该等级的客体资源，相比于传统系统中通过管理员审批来获得相应的访问权限，本发明效率更高。
附图说明
36.为了更清楚地说明本发明实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中的一些实施例。
37.图1为本发明实施例提供的适用于本发明实施例的一种安全策略的确定方法的流程示意图。
38.图2为本发明一种优选的实施例中提供的一种解密客体资源的流程示意图。
39.图3为本发明一种优选的实施例中提供的一种提取密客体资源的流程示意图。
40.图4为本发明一种优选的实施例中提供的一种强制访问的流程示意图。
具体实施方式
41.下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
42.需要说明，若本发明实施例中有方向性指示(诸如上、下、左、右、前、后......)，则其仅用于解释在某一特定姿态下各部件之间的相对位置关系、运动情况等，如果该特定姿态发生改变时，则该方向性指示也相应地随之改变。
43.另外，若在本发明中涉及“第一”、“第二”等的描述，则其仅用于描述目的，而不能理解为指示或暗示其相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括至少一个该特征。另外，各个实施例之间的技术方案可以相互结合，但是必须是以本领域普通技术人员能够实现为基础，当技术方案的结合出现相互矛盾或无法实现时应当认为这种技术方案的结合不存在，也不在本发明要求的保护范围之内。
44.以下结合具体实施例对本发明的具体实现进行详细描述：
45.因为系统内部通常都需要存储有大量的参考或者客户资料，这些资源统称为客体资源，这些客体资源可能会涉及不同的层面，并且具有不同的经济或者其他方面的价值。而在系统的日常运行过程中，这些价值较高的客体资源往往都会处于加密状态。无法随意浏览，因此在需要浏览时需要向管理员申请相应的解密权限或者密钥，从而达到浏览加密客体资源的目的。但是在系统日常运行过程中，管理员需要处理大量的请求，往往会对请求浏览加密客体资源的批复造成延迟，进而影响工作效率。
46.在本实施例中，获提取所有的客体资源，对所述的客体资源进行加密并设定访问
等级；收录所述的客体资源并建立安全数据库，所述的客体资源保存在安全数据库内部，提取所述的客体资源的特征名称和其访问等级后生成权限检索单；发送访问请求，提取所述的客体资源。通过将所有的客体资源，也即是系统内部所收录的大量参考信息或者客户资料等数据进行量化分级，将一个个客体资源进行等级划分，从而使得在后续访问浏览客体数据的阶段中，某一权限等级只能够访问等于或者第一该等级的客体资源，相比于传统系统中通过管理员审批来获得相应的访问权限，效率更高。
47.实施例1
48.图1示出了本发明中的一种安全策略的确定方法的实现流程，所述的一种安全策略的确定方法应用于能够实时连接互联网的设备，该设备可以是手机、平板电脑和计算机等可以通信的设备，此处不做具体限定，所述的一种安全策略的确定方法详述如下：
49.步骤s100，提取所有的客体资源，对所述的客体资源进行加密并设定访问等级，所述的访问等级是根据该客体资源的价值划分，价值越高的客体资源其相对应的访问等级越高；
50.步骤s200，收录所述的客体资源并建立安全数据库，所述的客体资源保存在安全数据库内部，提取所述的客体资源的特征名称和其访问等级后生成权限检索单，所述的特征名称指的是与其相对应的客体资源的标记，通过所述的特征名称可以从安全数据库中检索出客体资源，并且任意两个客体资源的特征名称不相同；
51.步骤s300，发送访问请求，所述的访问请求包括需要浏览的客体资源的特征名称以及对应的权限等级，所述的权限等级指的是能够查阅客体资源的最高访问等级，如果权限等级高于或等于访问请求中需要浏览的客体资源的访问等级，则提取所述的客体资源。
52.访问权限，根据在各种预定义的组中用户的身份标识及其成员身份来限制访问某些信息项或某些控制的机制。访问控制通常由系统管理员用来控制用户访问网络资源 (如服务器、目录和文件)的访问，并且通常通过向用户和组授予访问特定对象的权限来实现。
53.另外，如图2中所示，常规的所述的客体资源为加密状态，在对其进行查阅是需要进行解密操作，其具体的解密步骤如下所示：
54.步骤s101，提取客体资源的特征名称和该客体资源的密钥，生成密钥检索清单；
55.步骤s102，接受访问请求，并提取出其中的特征名称和权限等级；
56.步骤s103，提取出该特征名称下的客体资源的访问等级，并与访问请求中的权限等级进行比较；
57.步骤s104，如果权限等级大于或等于所述的客体资源的访问等级，则从密钥检索清单中提取出所述的客体资源的密钥；
58.步骤s105，通过密钥对客体资源进行解密。
59.本发明实施例中，可以理解的是，为了确保客体资源的保密性，在对其进行解密之后会进入自毁状态，所述的自毁状态指的是客体资源在解密之后进入倒计时，当倒计时归零时对所述的客体资源进行销毁。
60.密钥(secret key)是指某个用来完成加密、解密、完整性验证等密码学应用的秘密信息。在对称密码学(或称密钥密码学)中，加密和解密用的是同一个钥匙，因此钥匙需要保密。而在公钥密码学(或称非对称密码学)中，加密和解密用的钥匙不同：通常一个是公开的，称为公钥；另一个保密，称为私钥。根据密码算法所使用的加密密钥和解密密钥是否相
同、能否由密钥加密过程推导出解密过程(或者由解密过程推导出加密过程)，可将密码体制分为对称密码体制(也叫作单钥密码体制、秘密密钥密码体制、对称密钥密码体制)和非对称密码体制(也叫作双钥密码体制、公开密钥密码体制、非对称密钥密码体制)。对称密钥加密，又称私钥加密或会话密钥加密算法，即信息的发送方和接收方使用同一个密钥去加密和解密数据。它的最大优势是加/解密速度快，适合于对大数据量进行加密，所以在实际的应用中，人们通常将两者结合在一起使用，例如，对称密钥加密系统用于存储大量数据信息，而公开密钥加密系统则用于加密密钥。
61.另外，在本发明实施例中，当访问请求中的权限等级低于该访问请求中特征名称所指定的客体资源的访问等级时，将驳回访问请求，不予通过。
62.而图3示出了本发明另一个优选的实施例，其中示出了客体资源的提取过程，因为在每次从安全数据库中提取客体资源时为了保证客体资源出现缺失或损坏，需要使用复制件代替原件作为被提取的对象，其具体步骤如下：
63.步骤s201，访问安全数据库，通过特征名称检索出安全数据库中需要被提取的客体资源；
64.步骤s202，提取所述的客体资源和该客体资源的密钥，将所述的客体资源进行解密处理；
65.步骤s203，提取解密后的客体资源并对其进行复制；
66.步骤s204，将客体资源的原件再次进行加密操作；
67.步骤s205，提取出所述的客体资源的复制体。
68.如图4所示，提供了本发明另一个优选的实施例，在同一访问请求多次被驳回后，将进入强制访问阶段，所述的强制访问具体包括以下步骤：
69.步骤s301，提取访问请求中的特征名称，获得与该特征名称相对应的客体资源的访问等级；
70.步骤s302，随机发放访问请求至若干个强制访问端口处，所述的强制访问端口的权限等级高于或者等于所述的客体资源的访问等级；
71.步骤s303，统计出同意所述的访问请求的强制访问端口所占比例，若其比例大于或等于所设定的阈值，则认为该访问请求通过强制访问限制；
72.步骤s304，提取所述的访问请求中的特征名称相对应的客体资源的访问等级，根据所述的访问等级制定与其相等的权限等级，所述的权限等级在此处定义为强制权限等级，将所述的强制权限等级与访问请求中的权限等级进行替换；
73.步骤s305，发送更新后的访问请求。
74.可以理解的是，在本实施例中，如果在强制访问阶段中，同意所述的访问请求的强制访问端口小于所设定的阈值时，则判定该访问请求为无理访问，并中终止该访问请求的发送。
75.值得注意的是，所述的强制权限等级并不能永久代替原先的权限等级，所述的强制权限等级虽然享有与其相等的权限等级的所有功能，但是其使用次数有限制，在单次使用之后作废，也即是在单次使用完成之后所述的强制权限等级将失去与其的权限等级的所有功能。
76.在本发明另一种优选的实施例中，因为时效性等原因而造成客体资源的价值发生
变化时，需要客体资源的访问等级进行修改，其具体的修改步骤为：
77.提取该客体资源的特征名称和最新访问等级；
78.提取权限检索清单，并对清单内该客体资源所对应的特征名称下的访问等级进行更新。
79.所述一种安全策略的确定方法所能实现的功能均由计算机设备完成，所述计算机设备包括一个或多个处理器和一个或多个存储器，所述一个或多个存储器中存储有至少一条程序代码，所述程序代码由所述一个或多个处理器加载并执行以实现所述电网工程设计单位管理方法的功能。
80.处理器从存储器中逐条取出指令、分析指令，然后根据指令要求完成相应操作，产生一系列控制命令，使计算机各部分自动、连续并协调动作，成为一个有机的整体，实现程序的输入、数据的输入以及运算并输出结果，这一过程中产生的算术运算或逻辑运算均由运算器完成；所述存储器包括只读存储器(read－only memory，rom)，所述只读存储器用于存储计算机程序，所述存储器外部设有保护装置。
81.示例性的，计算机程序可以被分割成一个或多个模块，一个或者多个模块被存储在存储器中，并由处理器执行，以完成本发明。一个或多个模块可以是能够完成特定功能的一系列计算机程序指令段，该指令段用于描述计算机程序在终端设备中的执行过程。
82.本领域技术人员可以理解，上述服务设备的描述仅仅是示例，并不构成对终端设备的限定，可以包括比上述描述更多或更少的部件，或者组合某些部件，或者不同的部件，例如可以包括输入输出设备、网络接入设备、总线等。
83.所称处理器可以是中央处理单元(central processing unit，cpu)，还可以是其他通用处理器、数字信号处理器(digital signal processor，dsp)、专用集成电路(application specific integrated circuit，asic)、现成可编程门阵列(field－programmable gate array，fpga)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等，上述处理器是上述终端设备的控制中心，利用各种接口和线路连接整个用户终端的各个部分。
84.上述存储器可用于存储计算机程序和/或模块，上述处理器通过运行或执行存储在存储器内的计算机程序和/或模块，以及调用存储在存储器内的数据，实现上述终端设备的各种功能。存储器可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如信息采集模板展示功能、产品信息发布功能等)等；存储数据区可存储根据泊位状态显示系统的使用所创建的数据(比如不同产品种类对应的产品信息采集模板、不同产品提供方需要发布的产品信息等) 等。此外，存储器可以包括高速随机存取存储器，还可以包括非易失性存储器，例如硬盘、内存、插接式硬盘，智能存储卡(smart media card，smc)，安全数字(securedigital，sd)卡，闪存卡(flash card)、至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。
85.终端设备集成的模块/单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实现上述实施例系统中的全部或部分模块/单元，也可以通过计算机程序来指令相关的硬件来完成，上述的计算机程序可存储于计算机可读存储介质中，该计算机程序在被处理器执行时，可
实现上述各个系统实施例的功能。其中，计算机程序包括计算机程序代码，计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。计算机可读介质可以包括：能够携带计算机程序代码的任何实体或装置、记录介质、u盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(rom，read－only memory)、随机存取存储器(ram，random access memory)、电载波信号、电信信号以及软件分发介质等。
86.需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个
……”
限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。
87.以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。