基于访问控制日志的访问控制策略生成方法.docx
版权申诉
155 浏览量
2023-02-23
20:09:28
上传
评论
收藏 774KB DOCX 举报
1. 引言
基于属性的访问控制(Attribute-Based Access Control, ABAC)机制
[1,2]
使用实体属性作为
访问控制的基本要素，适用于解决大数据、物联网等新型开放计算范式所面临的大规模、
细粒度动态授权问题
[3]
，得到了广泛地关注与研究。美国联邦政府
[4]
将 ABAC 设定为推荐
的访问控制模型。Gartner 公司预计
[5]
在 2020 年，全球将有 70%的企业使用 ABAC 作为主
导机制来保护其关键信息资产。但是，原有应用系统可能存在特定的访问控制机制。特别
是在开放计算范式中存在大量的实体(用户、设备、资源等)且不同实体间又具有不同的属
性信息，将原有访问控制系统迁移到 ABAC 系统的代价是昂贵且耗时的。如何在满足系统
安全性和可用性的前提下，实现 ABAC 策略的生成是实施访问控制的前提。
现有研究大多致力于基于角色的策略生成研究
[6-10]
，利用角色在用户和权限间建立关
联来生成策略。如 Dong 等人
[8]
利用 Bipartite Networks 来生成基于角色的策略，通过剔除
不合适的边来提高策略生成质量。周超等人
[11]
提出了基于形式概念分析的语义角色挖掘算
法，通过概念格间相似性分析为角色赋予语义内涵。目前也存在一些针对 ABAC 的策略生
成研究。Xu 等人
[3]
通过遍历用户-权限元组构造候选策略的种子，用约束替换属性表达式中
的连接来泛化每个候选规则，以此覆盖用户权限关系中的其他元组生成策略。Medvet 等人
[12]
将 ABAC 策略挖掘问题转化为多目标优化问题，采用遗传进化算法实现策略的生成，但
由于解的搜索空间过大，性能较低。Karimi 等人
[13]
提出了一种基于无监督学习算法的策略
生成方法，基于 K-modes 聚类算法实现近似策略规则模式的抽取。但是，该方法策略生成
质量的稳定性不高，且难以设定恰当的聚类值。以上方法都只关注允许类型的访问控制策
略，无法解决禁止类型策略的生成问题。针对此问题，Iyer 等人
[14]
提出了一种基于子类枚
举的算法，能够同时发现允许类型的授权规则和禁止类型的授权规则，但该算法需要对用
户-权限关系进行多次重复迭代计算，时间开销较大。Mocanu 等人
[15]
通过日志来训练一个
受限的玻尔兹曼机(Restricted Boltzmann Machine, RBM)来提取策略规则。但只给出了算法
在策略空间中第 1 个阶段的初步结果，算法的最后一个阶段并未实现。另外，还有一些研
究
[16-18]
使用自然语言处理和机器学习技术从文本中提取 ABAC 策略。但该问题比较复杂，
目前为止解决的都是子问题，比如分析自然语言文本来识别与访问控制相关的句子和属
性。
基于此，本文提出一种基于访问控制日志的 ABAC 策略生成方法。利用递归属性消
除法实现策略属性的筛选，基于信息不纯度提炼出日志中蕴含的属性-权限关系，结合实体
属性选择的结果，实现 ABAC 策略的生成。并设计了基于二分搜索的策略生成优化算法优
化策略生成过程。实验结果表明，只需原始实体属性集中 32.56%的属性即可实现对日志中
95%的策略覆盖，并能将策略规模压缩为原有规模的 33.33%，证实了本方法的有效性。
2. 相关定义
剩余16页未读，继续阅读
资源评论
罗伯特之技术屋
- 粉丝: 3652
- 资源: 1万+
下载权益
C知道特权
VIP文章
课程特权
VIP享7折，此内容立减5.97元 开通VIP
