專利名稱：多訪問控制機制結合的系統(tǒng)保護架構及方法
技術領域：
本發(fā)明涉及一種系統(tǒng)保護架構，特別是涉及一種釆用多訪問控制機制相結合的方式對系 統(tǒng)進行保護的架構。
背景技術：
隨著社會信息化的發(fā)展，計算機系統(tǒng)的安全問題日益嚴重，近年來病毒功能越來越強大， 隨著犯罪分子將木馬、病毒和相關技術作為從事網(wǎng)絡犯罪活動的主要工具和手段，其影響小 則瀏覽器配置被修改、系統(tǒng)使用受限、網(wǎng)絡無法使用，大到帳號密碼被盜等甚至能控制計算 機并盜竊系統(tǒng)內的重要信息。
因此，有效的系統(tǒng)保護方法極其重要。但是傳統(tǒng)的系統(tǒng)保護方式多采用"頭痛醫(yī)頭腳痛 醫(yī)腳"的方式，例如終端自身不安全就安裝防火墻與殺毒軟件、系統(tǒng)內不安全就進行身份認 證、網(wǎng)絡不安全則安裝網(wǎng)閘與VPN等等。雖然上述方法在某種程度上起到了保護作用，但是 其只能在有限的范圍內發(fā)揮作用，并且還需要隨著威脅的增加而增強，因此對于系統(tǒng)來說， 分別使用多種獨立的方法進行保護不僅達不到實時全面防護的能力，而且不利于實際操作， 無法形成一個全局有效的保護。
譬如殺毒軟件是運用在各終端的一種防護手段，其實現(xiàn)是在病毒出現(xiàn)后才提取其特征 并建立病毒庫進行防御，因此對于新出現(xiàn)的病毒無法實現(xiàn)即時防御，具有滯后性，且智能通 過不斷做大病毒庫來記錄所有出現(xiàn)過病毒特征來實現(xiàn)對病毒的防御，由此造成的后果就是防 火墻越砌越高、病毒庫越做越大，系統(tǒng)可用性越來越差。同時，由于殺毒軟件通常在系統(tǒng)的 應用層進行作用，對染病毒文件進行搜索，通過掃描代碼特征發(fā)現(xiàn)并清楚惡意染毒文件，這 樣并不能從根本上杜絕其破壞，如果惡意程序在驅動層提前關閉了殺毒軟件，則殺毒軟件就 完全無法發(fā)揮作用。因此，對于用戶來說，殺毒軟件是無法達到讓終端環(huán)境安全可信的預期 的。同樣，網(wǎng)閘設施及VPN等都存在相應的問題，而把這些均不完善的防護手段生硬地組裝 在一起進行系統(tǒng)防護，其結果可想而知。

發(fā)明內容
鑒于現(xiàn)有技術對系統(tǒng)的整體保護存在系統(tǒng)性和協(xié)調性差，以及對系統(tǒng)的保護效果不理想 的問題，本發(fā)明的之一目的在于提供了一種從全局角度觸發(fā)實施的，多訪問控制機制相結合 的保護架構。為了達到上述目的，本發(fā)明采用了下述技術方案-
所述一種多訪問控制機制結合的系統(tǒng)保護架構包括一個基于多層次訪問控制機制的主系 統(tǒng)以及一個實現(xiàn)多層訪問控制機制聯(lián)動的三權分立的安全管理中心。所述主系統(tǒng)包括終端資 源層、應用服務層和邊界層，且所述終端資源層為終端自身，所述應用服務層指的是各個終 端之間，而所述邊界層指的是安全域之間；所述安全管理中心對分布于終端資源層、應用服 務層以及邊界層的訪問請求進行統(tǒng)一裁決并下發(fā)控制策略，即從整個系統(tǒng)的角度實現(xiàn)該三種 不同層次的訪問控制機制的聯(lián)動，以便于各層訪問控制機制各司其職，相互協(xié)作，沒有冗余， 且該安全管理中心包括安全管理子系統(tǒng)、系統(tǒng)管理子系統(tǒng)和審計子系統(tǒng)；所述安全管理子系 統(tǒng)主要實施標記管理、授權管理及策略管理；所述系統(tǒng)管理子系統(tǒng)則是負責身份管理和資源 管理；所述審計子系統(tǒng)對系統(tǒng)中各用戶操作行為進行審計，對安全事件及時做出響應。
其中，所述系統(tǒng)管理子系統(tǒng)負責用戶身份管理，采集和維護平臺軟硬件資源信息，但系 統(tǒng)管理子系統(tǒng)無權將資源的反問權限直接賦予用戶，必須經過安全管理子系統(tǒng)的審核和批復； 而所述安全管理子系統(tǒng)能夠對用戶行為進行授權，但對于用戶及平臺身份管理和資源管理， 安全管理子系統(tǒng)無法逾越系統(tǒng)管理子系統(tǒng)的權限，即無法將未經系統(tǒng)管理子系統(tǒng)審核的資源 授權給用戶訪問，安全管理子系統(tǒng)的授權操作要以系統(tǒng)管理子系統(tǒng)收集的信息為依據(jù)；以及 所述審計子系統(tǒng)可以根據(jù)安全需求，制定審計策略，對系統(tǒng)管理子系統(tǒng)和安全管理子系統(tǒng)的 操作行為進行審計，系統(tǒng)管理子系統(tǒng)、安全管理子系統(tǒng)和審計子系統(tǒng)的重要行為均將發(fā)送給 審計子系統(tǒng)査看和處理。
此外，本發(fā)明的另一目的在于提供一種多訪問控制機制結合的系統(tǒng)保護方法，該方法包 括如下步驟
1) 對終端資源層的訪問控制，即通過在操作系統(tǒng)層截獲主體對客體資源的訪問請求，依 據(jù)全系統(tǒng)統(tǒng)一的訪問控制策略判決是否允許主體對客體的訪問；
2) 對應用服務層的訪問控制，即當基于服務封裝的訪問控制為針對于以服務方式提供資 源訪問的實際情況時，則通過對服務的封裝，將請求服務的主體信息通過封裝的方法傳遞到 操作系統(tǒng)的訪問控制決策模塊；
3) 對邊界層的訪問控制，即通過邊界訪問控制實現(xiàn)不同安全域之間的安全信息流動，確 保安全域內信息資源的安全；
4) 對管理員登陸的訪問控制，即采用以B/S模式遠程登陸安全管理中心的雙因子身份認證。
其中，所述雙因子包括第一因子和第二因子，且所述第一因子為管理員插入經過授權 的硬件令牌，并必須通過硬件令牌中證書的有效性及硬件令牌自身口令的驗證，該口令與硬件令牌時同時下發(fā)；所述第二因子為輸入正確的系統(tǒng)登陸口令。
相比現(xiàn)有技術，本發(fā)明可在管理中心的統(tǒng)一調配下，實現(xiàn)在終端節(jié)點、邊界以及對服務 進行封裝的多層次訪問控制機制的聯(lián)動，通過該系統(tǒng)架構可限定用戶登錄終端，確保非授權 用戶無法對系統(tǒng)資源進行訪問，拒絕非授權代碼運行，使得系統(tǒng)擁有對惡意代碼的免疫能力； 可控制平臺間的網(wǎng)絡連接，同時利用IPSec技術防止非授權平臺接入網(wǎng)絡，并且通過預先給 系統(tǒng)內所有用戶和敏感資源進行標記，依據(jù)級別高低實施強制訪問控制，使得非授權用戶無 法對敏感信息實施讀、寫操作行為。且從終端源頭控制主體能夠通過網(wǎng)絡訪問的客體資源， 可實現(xiàn)對應用服務的訪問控制，為應用系統(tǒng)的安全提供支撐，并保證敏感資源的機密性和完 整性，以及實現(xiàn)重要資源的隔離存儲，確保非授權用戶無法對重要敏感資源進行解密操作， 避免了超級用戶，為訪問控制的實施起監(jiān)督作用。


圖1為本發(fā)明所述多訪問控制機制結合的系統(tǒng)保護架構； 圖2為本發(fā)明所述多訪問控制機制結合的系統(tǒng)保護方法； 圖3為本發(fā)明所述多訪問控制機制結合的功能示意圖。
具體實施例方式
下面結合附圖以及具體實施例來對本發(fā)明所述多訪問控制機制結合的系統(tǒng)保護架構及保 護方法作進一步的詳細說明。
訪問控制是保護計算機上文件安全的重要技術手段同時也是網(wǎng)絡安全防范和保護的主要 策略，采用訪問控制機制可以限制用戶、程序對信息資源的訪問，阻止用戶對信息的非授權 訪問，其中，該訪問控制機制以系統(tǒng)中處于不安全狀態(tài)下的文件數(shù)量作為風險的量化評估標 準，而主流訪問控制策略的風險值均為當前用戶能夠訪問的文件數(shù)量。
本發(fā)明所述基于多訪問控制機制的系統(tǒng)保護架構及控制方法將自主和強制訪問控制擴展 到所有主體與客體，從而使得系統(tǒng)具有相當?shù)目節(jié)B透能力的要求，進而從全局的角度對終端 資源層、應用服務層和邊界層進行控制，即而在信息安全等級保護工作中產生積極效果和極 大的潛在經濟效益。
參照圖1中所示，本發(fā)明所述多訪問控制機制結合的系統(tǒng)保護架構包括一個基于多層次 訪問控制機制的主系統(tǒng)以及一個實現(xiàn)多層訪問控制機制聯(lián)動的三權分立的安全管理中心。所 述主系統(tǒng)包括終端資源層、應用服務層和邊界層，且所述終端資源層為終端自身，所述應用 服務層指的是各個終端之間，而所述邊界層指的是安全域之間；所述安全管理中心對分布于終端資源層、應用服務層以及邊界層的訪問請求進行統(tǒng)一裁決并下發(fā)控制策略，即從系統(tǒng)的 角度實現(xiàn)該三種不同層次的訪問控制機制的聯(lián)動，以便于各層訪問控制機制各司其職，相互 協(xié)作，沒有冗余，且其包括安全管理子系統(tǒng)、系統(tǒng)管理子系統(tǒng)和審計子系統(tǒng)；所述安全管理 子系統(tǒng)主要實施標記管理、授權管理及策略管理；所述系統(tǒng)管理子系統(tǒng)則是負責身份管理和 資源管理；所述審計子系統(tǒng)對系統(tǒng)中各用戶操作行為進行審計，對安全事件及時做出響應。
上述安全管理中心為從全局的角度對全系統(tǒng)進行管理，在本發(fā)明所述架構中，對于終端 資源層、應用服務層和邊界層的訪問請求均需要根據(jù)安全管理中心的訪問策略進行裁決，從 而將對上述三種不同層次的訪問控制機制合理有效地進行結合。
其中，所述系統(tǒng)管理子系統(tǒng)負責用戶身份管理，采集和維護平臺軟硬件資源信息，但系 統(tǒng)管理子系統(tǒng)無權將資源的反問權限直接賦予用戶，必須經過安全管理子系統(tǒng)的審核和批復； 而所述安全管理子系統(tǒng)能夠對用戶行為進行授權，但對于用戶及平臺身份管理和資源管理， 安全管理子系統(tǒng)無法逾越系統(tǒng)管理子系統(tǒng)的權限，即無法將未經系統(tǒng)管理子系統(tǒng)審核的資源 授權給用戶訪問，安全管理子系統(tǒng)的授權操作要以系統(tǒng)管理子系統(tǒng)收集的信息為依據(jù)；以及 所述審計子系統(tǒng)可以根據(jù)安全需求，制定審計策略，對系統(tǒng)管理子系統(tǒng)和安全管理子系統(tǒng)的 操作行為進行審計，系統(tǒng)管理子系統(tǒng)、安全管理子系統(tǒng)和審計子系統(tǒng)的重要行為均將發(fā)送給 審計子系統(tǒng)查看和處理。
又，當系統(tǒng)管理子系統(tǒng)依據(jù)審計子系統(tǒng)的報告完成應急處理后，所述安全管理子系統(tǒng)也 需依據(jù)審計子系統(tǒng)對安全策略進行調整和完善。
此外，所述系統(tǒng)管理子系統(tǒng)為安全管理子系統(tǒng)的策略管理提供基礎，首先為信息系統(tǒng)中 的所有用戶實施身份管理，即確定所有用戶的身份、證書等，用戶身份是安全管理員對主體 進行標記及身份認證的基礎；其次，同時為信息系統(tǒng)實施資源管理，即確定業(yè)務系統(tǒng)正常運 行需要使用的執(zhí)行程序等，作為安全管理子系統(tǒng)實施授權的依據(jù)。
所述安全管理子系統(tǒng)對安全管理中心中所有系統(tǒng)管理子系統(tǒng)和審計子系統(tǒng)在內的信息系 統(tǒng)中所有主\客體實施標記管理，即根據(jù)業(yè)務系統(tǒng)的需要，且結合客體資源的重要程度，確定 其安全級，生成全局客體標記列表，同時根據(jù)用戶在業(yè)務系統(tǒng)中的權限和角色確定其安全標 記，生成全局主體標記列表；又，該所述安全管理子系統(tǒng)根據(jù)系統(tǒng)需求和安全狀況，為主題 實施授權管理，即授予用戶訪問客體資源能力的權限，其中包括對系統(tǒng)管理子系統(tǒng)權限的授 予。
此外，參照圖2中所示，本發(fā)明的另一目的在于提供一種多訪問控制機制結合的系統(tǒng)保 護方法，該方法首先限定用戶能夠登陸的終端，以確保非授權用戶無法對系統(tǒng)資源進行訪問， 拒絕非授權代碼在系統(tǒng)中運行，且使得系統(tǒng)擁有對惡意代碼的免疫能力；其次，依據(jù)系統(tǒng)統(tǒng)一的訪問控制策略進行判決，同時利用IPSec技術防止非授權平臺接入網(wǎng)絡；其中，且預先 給系統(tǒng)內所有用戶和敏感資源進行標記，并依據(jù)級別高低實施強制訪問控制，使得非授權用 戶無法對敏感信息實施讀、寫操作行為，從終端資源層源頭控制主體能夠通過通信網(wǎng)絡訪問 的客體資源，從而實現(xiàn)對應用服務層的訪問控制，為應用系統(tǒng)的安全提供支撐，保證了敏感 資源的機密性和完整性。
另外，通過存儲保護機制對存儲保護密鑰進行管理和控制，實現(xiàn)來重要資源的隔離存儲， 確保非授權用戶無法對重要敏感資源進行解密操作；且通過安全管理中心的審計機制確保任 何非授權操作行為均記錄在案，避免了超級用戶，為訪問控制的實施起監(jiān)督作用。
該所述方法主要包括以下步驟
1) 對終端資源層的訪問控制，即通過在操作系統(tǒng)層截獲主體對客體資源的訪問請求，依
據(jù)全系統(tǒng)統(tǒng)一的訪問控制策略判決是否允許主體對客體的訪問(步驟300);
2) 對應用服務層的訪問控制，即當基于服務封裝的訪問控制為針對于以服務方式提供資
源訪問的實際情況時，則通過對服務的封裝，將請求服務的主體信息通過封裝的方法傳遞到
操作系統(tǒng)的訪問控制決策模塊(步驟301);
3) 對邊界層的訪問控制，即通過邊界訪問控制實現(xiàn)不同安全域之間的安全信息流動，確 保安全域內信息資源的安全(步驟302);
4) 對管理員登陸的訪問控制，即采用以B/S模式遠程登陸安全管理中心的雙因子身份認 證(步驟303)。
其中，所述雙因子包括第一因子和第二因子，且所述第一因子為管理員插入經過授權
的硬件令牌，并必須通過硬件令牌中證書的有效性及硬件令牌自身口令的驗證，該口令與硬
件令牌時同時下發(fā)；所述第二因子為輸入正確的系統(tǒng)登陸口令。
所述訪問控制策略可依據(jù)不同的系統(tǒng)安全要求進行設定。
此外，對于所述多訪問控制機制結合的系統(tǒng)保護方法中，還包括所述安全管理中心對分
布于終端資源層、邊界層和應用服務層的訪問請求進行統(tǒng)一裁決并下發(fā)控制策略(步驟304)。 結合圖1、圖2和圖3中所示，實際操作中，即進行安全系統(tǒng)的建設時，可將安全系統(tǒng) 分為應用區(qū)域，邊界區(qū)域、通信網(wǎng)絡區(qū)域以及集中安全管理平臺，其中，所述應用區(qū)域即為 本發(fā)明所述之與終端資源層，所述邊界區(qū)域為邊界層，而所述通信網(wǎng)絡區(qū)域為應用服務層， 所述集中安全管理平臺可視為所述安全管理中心。
在所述安全系統(tǒng)中，所述應用區(qū)域可視為整個安全系統(tǒng)的業(yè)務處理和辦公中心，即可包 括日常處理的終端和服務器；所述邊界區(qū)域主要負責內部應用區(qū)域與通信網(wǎng)絡區(qū)域之間進行 數(shù)據(jù)交換的控制；所述通信網(wǎng)絡區(qū)域主要負責各個應用區(qū)域之間的網(wǎng)絡傳輸和數(shù)據(jù)交換；以及所述集中安全管理平臺主要負責對整個安全系統(tǒng)的策略管理、密碼管理和設備管理，對整 個安全系統(tǒng)進行集中審計功能。
在上述基礎上，在進行完下述安全部署后便可實現(xiàn)在終端節(jié)點、邊界以及對服務進行封 裝的多層次訪問控制機制的聯(lián)動，且通過該系統(tǒng)可限定用戶登錄終端，確保非授權用戶無法 對系統(tǒng)資源進行訪問，拒絕非授權代碼運行，使得系統(tǒng)擁有對惡意代碼的免疫能力，并可控 制平臺間的網(wǎng)絡連接，使得非授權用戶無法對敏感信息實施讀、寫操作行為，以及實現(xiàn)對應 用服務的訪問控制，給應用系統(tǒng)的安全提供支撐，保證敏感資源的機密性和完整性，重要資 源的隔離存儲，確保非授權用戶無法對重要敏感資源進行解密操作，避免了超級用戶，為訪 問控制的實施起監(jiān)督作用。
所述安全部署可為
1) 在各個應用區(qū)域之間的通信網(wǎng)絡區(qū)域中部署千兆防火墻系統(tǒng)，IPSECVPN和入侵檢測 系統(tǒng)；
2) 在邊界區(qū)域中部署安全信息交換和隔離系統(tǒng)；
3) 在應用區(qū)域內，對每一個主機和服務區(qū)部署安全增強操作系統(tǒng)，并且對區(qū)域內的網(wǎng)站 安裝網(wǎng)站防護系統(tǒng)；
4) 在集中安全管理平臺中部署安全策略管理中心，密碼管理中心，故障檢測與恢復服務 器，以及集中審計數(shù)據(jù)服務器和審計管理平臺。
在上述基礎上，且再對所應用系統(tǒng)進行初始化，具體如下 (D初始設置階段
進行安全設計，即系統(tǒng)管理員收集全系統(tǒng)的用戶身份和平臺資源信息，由授權機構依據(jù) 該信息對主客體的安全標記以及訪問控制規(guī)則進行設計，制定符合系統(tǒng)安全的策略配置，安
全管理員將上述信息導入到管理中心；
構建系統(tǒng)TCB (Trusted Computing Base,指的是計算機內保護裝置的總體，包括硬件、 固件、軟件和負責執(zhí)行安全策略的組合體)，即安裝終端節(jié)點安全操作系統(tǒng)、設置區(qū)域邊界和 網(wǎng)絡傳輸設備，確保系統(tǒng)運行時能夠從安全管理中心下載策略，保證TCB正常工作；
最后安裝應用系統(tǒng)，即系統(tǒng)管理員根據(jù)應用需求安裝應用系統(tǒng)。
② 系統(tǒng)測試階段
初始設置完成后，系統(tǒng)從安全管理中心下載策略，進入試運行階段。但由于預先制定的 策略可能不完善，或者存在限制過嚴的情況，系統(tǒng)需要將運行情況上報管理中心，方便安全 管理子系統(tǒng)參考，從而對安全策略實施調整，直至系統(tǒng)和應用服務正常運行；
③ 運行服務階段應用服務開始運行，TCB依據(jù)安全策略對主體行為進行訪問控制，安全管理子系統(tǒng)根據(jù) 需要對策略進行維護和更新。
權利要求
1. 一種多訪問控制機制結合的系統(tǒng)保護架構，其特征在于，包括一個基于多層次訪問控制機制的系統(tǒng)以及一個實現(xiàn)多層訪問控制機制聯(lián)動的三權分立的安全管理中心，所述系統(tǒng)包括終端資源層、應用服務層和邊界層；所述安全管理中心對分布于終端資源層、應用服務層以及邊界層的訪問請求進行統(tǒng)一裁決并下發(fā)控制策略，且包括安全管理子系統(tǒng)、系統(tǒng)管理子系統(tǒng)和審計子系統(tǒng)；其中，所述系統(tǒng)管理子系統(tǒng)負責用戶身份管理，采集和維護平臺軟硬件資源信息，且須經過安全管理子系統(tǒng)的審核和批復；所述安全管理子系統(tǒng)主要實施標記管理、策略管理以及對用戶行為進行授權，且該安全管理子系統(tǒng)的授權操作為以系統(tǒng)管理子系統(tǒng)收集的信息為依據(jù)；以及所述審計子系統(tǒng)為根據(jù)安全需求，制定審計策略，對系統(tǒng)管理子系統(tǒng)和安全管理子系統(tǒng)的操作行為進行審計，并且所述系統(tǒng)管理子系統(tǒng)、安全管理子系統(tǒng)和審計子系統(tǒng)的重要行為均將發(fā)送給審計子系統(tǒng)進行查看和處理。
2. —種多訪問控制機制結合的系統(tǒng)保護方法，其特征在于，該方法主要包括以下步驟-1) 對終端資源層的訪問控制，即通過在操作系統(tǒng)層截獲主體對客體資源的訪問請求，依 據(jù)全系統(tǒng)統(tǒng)一的訪問控制策略判決是否允許主體對客體的訪問；2) 對應用服務層的訪問控制，即當基于服務封裝的訪問控制為針對于以服務方式提供資 源訪問的實際情況時，則通過對服務的封裝，將請求服務的主體信息通過封裝的方法傳遞到 操作系統(tǒng)的訪問控制決策模塊；3) 對邊界層的訪問控制，即通過邊界訪問控制實現(xiàn)不同安全域之間的安全信息流動，確 保安全域內信息資源的安全；4) 對管理員登陸的訪問控制，即采用以B/S模式遠程登陸安全管理中心的雙因子身份認證；上述步驟不分先后。
3. 根據(jù)權利要求2所述多訪問控制機制結合的系統(tǒng)保護方法，其特征在于，還包括所述 安全管理中心對分布于終端資源層、邊界層和應用服務層的訪問請求進行統(tǒng)一裁決并下發(fā)控 制策略。
全文摘要
本發(fā)明公開一種多訪問控制機制結合的系統(tǒng)保護架構，包括基于多層次訪問控制機制的主系統(tǒng)及實現(xiàn)多層訪問控制機制聯(lián)動的三權分立的安全管理中心，其中，主系統(tǒng)包括終端資源層、應用服務層和邊界層；安全管理中心對分布于終端資源層、應用服務層及邊界層的訪問請求進行統(tǒng)一裁決并下發(fā)控制策略，且包括安全管理子系統(tǒng)、系統(tǒng)管理子系統(tǒng)和審計子系統(tǒng)；所述安全管理子系統(tǒng)主要實施標記管理、授權管理及策略管理；所述系統(tǒng)管理子系統(tǒng)則是負責身份管理和資源管理；所述審計子系統(tǒng)對系統(tǒng)中各用戶操作行為進行審計，對安全事件及時做出響應。本發(fā)明優(yōu)點在于系統(tǒng)擁有對惡意代碼的免疫能力，非授權用戶無法對敏感信息實施操作以及為訪問控制的實施起監(jiān)督作用。
文檔編號H04L9/32GK101534300SQ200910082000
公開日2009年9月16日 申請日期2009年4月17日 優(yōu)先權日2009年4月17日
發(fā)明者鑫 劉, 張洪斌, 紅 范, 趙會敏, 金麗娜, 煜 韓 申請人:公安部第一研究所;北京中盾安全技術開發(fā)公司