專利名稱：一種基于策略的責任認定方法與系統(tǒng)的制作方法
技術領域：
本發(fā)明屬于計算機技術領域，具體涉及一種基于策略的責任認定方法與系統(tǒng)。
技術背景審計為信息系統(tǒng)提供了一種保存信息系統(tǒng)在過去時間內發(fā)生的事件的方法。幾乎每個 大型的系統(tǒng)都會有審計機制。在通常情況下，審計日志中包含一些機密數據，如電子政務 信息網站的登錄和修改記錄，銀行的交易記錄，攻擊者的入侵證據等等。當系統(tǒng)發(fā)生安全 問題時，系統(tǒng)管理源通過查看，分析系統(tǒng)審計信息以做出安全問題產生的原因并判定誰應 該為該問題負責。審計在系統(tǒng)安全保障方面具有重要作用。 一般來說，大型的應用系統(tǒng)都具有自己的審 計模塊或者審計功能。然而在系統(tǒng)的運行過程中，由于當前應用系統(tǒng)和網絡環(huán)境的復雜性， 審計信息會隨著時間不斷增加，并會達到一個巨大的數量。在這種情況下，如果發(fā)生安全 事故，需要進行責任認定，對于傳統(tǒng)的人工分析審計信息的辦法來說就不現實了。綜上，現有的審計系統(tǒng)存在著嚴重不足，在效率和功能上不能適合現代的分布式的信 息系統(tǒng)的需求1. 局限于單機的應用環(huán)境，不能適合跨域的分布式系統(tǒng)；2. 審計信息的分析和責任認定還處于手工階段，操作復雜且效率低下。因此，本發(fā)明提供一種基于策略的責任認定方法和系統(tǒng)，該系統(tǒng)采用分布式架構，支 持分布式的應用，采用基于策略的審計和責任認定方法，通過制定相關的策略使用計算機 對審計信息安裝管理員制定的策略進行判定，提供自動的責任認定功能，以確定安全事故 的責任人，從而把管理員從海量的審計信息檢索和分析中解放出來。發(fā)明內容本發(fā)明的目的在于提出一種基于策略的責任認定方法，并為信息系統(tǒng)提供一套責任認 定系統(tǒng)，使企業(yè)應用系統(tǒng)快速完成審計和責任認定功能。本發(fā)明收集應用系統(tǒng)運行過程中 產生的各種事件信息，并把事件信息安全記錄到審計信息庫，若應用系統(tǒng)發(fā)生安全事故， 系統(tǒng)管理員可以使用責任認定系統(tǒng)根據記錄的審計信息進行安全事故的責任認定，以確定 安全事故的責任人。一種基于策略的責任認定方法的具體步驟如下；1. 審計事件采集構件收集應用系統(tǒng)產生的審計事件信息，進行審計判定后加密發(fā)送 給審計事件記錄構件；2. 所述審計事件記錄構件對上述審計事件信息進行解密和進一步的審計策略判定， 并記錄到審計信息庫中；3. 責任認定構件從審計信息庫中讀取審計事件信息，獲取責任認定策略，調用責任 認定算法對審計事件信息進行責任認定策略判定，完成責任認定。本發(fā)明同時提出一種基于策略的責任認定系統(tǒng)，包括審計事件采集構件、審計事件記 錄構件、審計策略配置構件和責任認定構件。本發(fā)明的責任認定系統(tǒng)的拓撲結構為星型， 即審計事件釆集構件以中間件的形式分布在分布式系統(tǒng)的各個節(jié)點上，與具體應用無關， 可以通過插件的方式集成到現有的應用系統(tǒng)中，從應用系統(tǒng)中收集審計信息，安全記錄到 審計信息庫；審計事件記錄構件和審計策略配置構件處于拓撲結構的中心位置，集中進行 策略配置和記錄系統(tǒng)的審計信息。責任認定構件則對系統(tǒng)記錄的審計信息進行分析，以發(fā) 現對于系統(tǒng)的非法訪問或者操作，為系統(tǒng)管理員管理系統(tǒng)提供參考。本發(fā)明的四個組件可 以不處于同一臺計算機上，部件之間通過網絡連接進行通信。1. 審計事件采集構件審計事件采集構件以中間件的形式集成到應用系統(tǒng)中，支持分布式的應用。該構件從 應用系統(tǒng)中獲取審計事件信息，并根據從審計策略配置構件獲得的策略對審計事件信息進 行策略判定，將系統(tǒng)需要審計的事件信息加密，通過安全信道傳輸給審計事件記錄構件記 錄到審計信息庫中。所述審計信息庫處于應用系統(tǒng)所在的計算機上，通過網絡與審計事件 記錄構件進行通信。2. 審計事件記錄構件審計事件記錄構件的主要功能是根據審計策略的設置對從審計事件采集構件獲取的需 要審計的事件信息進行記錄。審計事件記錄構件從審計策略配置構件處獲取詳細審計策 略，對從審計事件采集構件獲取的審計信息進行二次策略判定。該策略判定與審計事件采集構件處進行的策略判定的不同之處在于二次判定使用的策略比第一次判定使用的策略 復雜，包括了對事件發(fā)生時包含的環(huán)境信息的判定(比如發(fā)生事件時系統(tǒng)負載量等)。環(huán) 境信息可能會有很多個，因此此次判定的復雜度較高，更加精確。將二次策略判定后需審 計的審計信息加密，并保存在審計信息庫中，以備責任認定構件查詢和分析。3. 審計策略配置構件審計策略配置構件的主要功能是負責定義和維護審計策略。本發(fā)明中的審計策略是由 審計管理員自主定義的。其中包括兩種類型的策略定義。1) 簡單審計策略所述簡單審計策略主要為審計事件采集構件使用，包括事件的主 體信息，客體信息，行為信息以及他們的匹配模式。簡單審計策略的特點是包含固定的字 段內容，判定算法可以高效，快速的完成，有利于審計事件采集構件的效率提高，不影響 具體的應用程序的性能。2) 詳細審計策略所述詳細審計策略除包括簡單審計策略的內容外，還包括對于環(huán) 境屬性的定義和匹配算法定義。由于審計管理員可以定義的環(huán)境屬性多種多樣，比如事件 發(fā)生時系統(tǒng)的負載量，網絡安全狀況等，因此策略判定的復雜度提高，能更精確的對審計 事件進行分析。4. 責任認定構件責任認定構件根據責任認定策略，對在審計信息庫儲存的審計事件進行分析處理，對 系統(tǒng)發(fā)生的安全事故做出責任方的判定，為系統(tǒng)管理員提供參考。該構件從審計信息庫中 獲取審計事件信息，并獲取責任認定策略，根據策略對審計信息進行分析和判定，最終給 出判定結果。該構件采用的責任認定策略支持多種策略，包括采用XACML (可擴展的訪 問控制標記語言)描述的策略。并能通過增加策略分析構件來支持新類型的策略。本發(fā)明的各個組件是相互獨立的應用程序，通過計算機網絡進行協(xié)同工作。各組件可 以處于不同的計算機上。審計事件采集構件集成在應用系統(tǒng)中，位于應用服務器上。而審 計事件記錄、審計策略配置和責任認定構件則處于另外的服務器上。其中，在整個責任認 定系統(tǒng)中可以存在多個審計事件采集構件(與需要審計的應用系統(tǒng)數量有關)，其它組件 一般只需要有一個即可。由于當前應用系統(tǒng)都非常復雜和龐大，系統(tǒng)中產生的事件信息的數量也是巨大的，如 果不加過濾的全部記錄下來，不僅浪費了系統(tǒng)的存儲容量，而且對于效率也是一個很大的 壓力。因此本發(fā)明采用可配置的策略來規(guī)定哪些事件是系統(tǒng)需要記錄的，以提高系統(tǒng)的效 率，降低系統(tǒng)的存儲代價。本發(fā)明中所用到的審計策略是由系統(tǒng)管理員通過審計策略配置 構件進行自定義的。本發(fā)明的責任認定系統(tǒng)采用兩級審計策略判定方法，即在審計事件采集和審計事^H己錄構件分別進行一次審計策略判定，在審計事件采集構件進行代價小而能濾掉大部分無關數據的簡單審計策略，在審計事件記錄構件處進行詳細審計策略判定，進行更進一步的過濾。本發(fā)明的優(yōu)點和積極效果如下1. 本發(fā)明的責任認定系統(tǒng)支持分布式應用環(huán)境，可以采集分布式系統(tǒng)中的審計信息， 又集中管理和配置策略和進行審計事件信息的分析和記錄，有效降低管理節(jié)點的數量，大 大降低系統(tǒng)的管理開銷。本系統(tǒng)可以方便部署到系統(tǒng)中，不影響現有應用系統(tǒng)的效率。2. 本發(fā)明采用兩級審計策略判斷方法，在應用系統(tǒng)處進行的一次策略判定，過濾掉無 用的信息，避免在審計記錄構件處形成瓶頸；同時在審計記錄構件處進行更進一步的策略 判定，過濾掉系統(tǒng)不關心的事件信息，防止審計庫容量爆炸。3. 本發(fā)明采用了基于密碼技術的安全通信傳輸方案，并對存儲在審計信息庫中的審計 事件信息進行加密和簽名，保證審計事件信息的完整性和機密性。


圖1本發(fā)明的分布式審計和責任認定系統(tǒng)架構圖； 圖2本發(fā)明的審計事件釆集構件的主要流程圖； 圖3本發(fā)明的審計事件記錄構件的主要流程圖； 圖4本發(fā)明的審計策略配置構件的結構圖； 圖5本發(fā)明的責任認定構件的主要流程圖。
具體實施方式
下面結合附圖，對本發(fā)明的技術內容進行詳細的說明。如圖1所示，本發(fā)明基于策略的責任認定系統(tǒng)包括審計事件采集、審計事件記錄、策 略配置和責任認定四個主要構件。其中，審計事件采集構件采用中間件的方式嵌入到用戶 的應用系統(tǒng)中，審計事件采集構件和審計事件記錄構件構成一個支持分布式應用的審計系 統(tǒng)；審計事件記錄構件對審計事件采集構件發(fā)送的審計事件進行分析和審計判定，并安全 存儲需要審計的審計事件信息；審計策略配置構件通過制定和發(fā)布相關的策略，為審計事 件采集、審計事件記錄提供策略支持；責任認定構件具有分析審計信息進行責任認定的功 能。本發(fā)明的四個部件之間的聯系如下審計事件采集構件從應用程序收集審計事件，發(fā) 送給審計事件記錄構件進行儲存。同時從審計配置構件獲取審計策略。審計事件記錄構件接收審計事件采集構件發(fā)送來的審計信息進行記錄，同時需要從審計策略配置構件獲取審 計策略。策略配置構件為系統(tǒng)管理員提供配置策略的用戶接口，為審計事件采集和審計事 件記錄構件提供策略支持。責任認定構件使用由審計記錄構件儲存的審計事件信息進行責 任認定分析。一、審計事件采集構件如圖2所示，審計事件采集構件的主要功能是從應用系統(tǒng)中獲取審計事件信息，并安 全的發(fā)送至審計事件記錄構件進行記錄。該組件以中間件的形式集成在需要審計的應用系 統(tǒng)中。審計事件采集構件的實現步驟如下1、 應用系統(tǒng)產生審計事件，啟動審計事件采集流程；2、 從應用系統(tǒng)中獲取該事件涉及的主體對象(Subject,審計事件中的操作者)的標 識符、客體對象(Object,操作涉及到的資源)的標識符、行為(Action,事件類型如讀 取，寫入)、環(huán)境屬性(事件發(fā)生時所處的計算環(huán)境信息)以及操作結果，并組織成一條 審計信息；3、 如果未獲取審計策略，則從審計策略配置構件獲取簡單審計策略集合，并對收取 的策略信息進行解密，驗證策略的完整性；若己經有審計策略則直接轉向步驟4。此處應 用的策略屬輕型策略，只對事件的主體、客體和行為屬性進行判定，提高效率；4、 使用策略判定算法對審計事件進行分析。通過匹配策略和審計事件中對應的主體、 客體和行為信息，如果匹配成功，則判定結果設置為策略中定義的決策。如果分析結果為 需要審計該事件，則轉向步驟5，否則直接拋棄審計事件信息并轉向步驟7;5、 審計事件采集構件需要向審計事件記錄構件認證身份。如果已經進行過認證，則 直接轉向步驟6，否則執(zhí)行以下步驟進行身份認證，其中身份認證信息由系統(tǒng)管理員進行 配置a) 審計事件采集構件發(fā)送(ID,PASS，G)給審計事件記錄構件，其中ID為當前應用系 統(tǒng)的標識，PASS為系統(tǒng)管理員配置的密碼，G為密鑰協(xié)商的種子，產生加密密鑰時使用。b) 審計記錄構件收到(ID,PASS,G)后，根據ID和PASS進行認證，認證失敗則發(fā)送 失敗標識，返回步驟a。如認證成功，則選擇密鑰協(xié)商種子G'，根據G和G'產生會話密 鑰SESS,并發(fā)送(ID,Cred,G')給審計事件采集構件(其中Cred為審計記錄構件產生的認證 憑證)，并把(ID,SESS)加入到保存的列表當中，以備使用。6、 使用會話密鑰SESS加密審計事件，并通過計算機網絡發(fā)送(ID，Cred，Ciper)至審計事件記錄構件進行記錄，其中Ciper為加密后的審計事件。在該步驟過程中，根據審 計事件記錄構件的返回信息，需采取以下操作
a) 認證信息不存在或者錯誤。出現該情況的原因可能是審計記錄構件由于某種原 因被管理員重新啟動，認證信息列表丟失。在這種情況下，則轉至步驟5重新進行認證；
b) 審計信息解析錯誤。出現該情況可能是由于網絡傳輸過程中出現丟包等情況， 則重新發(fā)現消息(ID，Cred，Ciper);
c) 審計成功。操作完成，轉向步驟7。
7、審計事件采集過程結束，控制返回給應用系統(tǒng)。
二、審計事件記錄構件
如圖3所示，審計事件記錄構件的主要功能是從審計事件采集構件接收審計事件信息， 并對其進行審計判定，把需要審計的信息安全的記錄到審計信息庫中，以備責任認定構件 及系統(tǒng)管理員使用。該構件使用詳細審計策略對審計事件進行更精確的判定，具體的實施
步驟如下
1、 接收從審計事件采集構件發(fā)送過來的審計事件(ID， Cred， Ciper);
2、 根據ID， Cred驗證認證信息的有效性。如果認證信息驗證失敗，則返回認證信息 錯誤，并轉向步驟l;如果驗證認證信息成功，則根據ID，在該構件維護的認證信息列表 中獲取會話密鑰SESS，并使用會話密鑰對密文Ciper解密得到審計事件消息。驗證解密結 果的正確性，如果出現錯誤，則返回審計事件信息解析錯誤，并轉向步驟1;否則轉向步 驟3;
3、 如果未獲取審計策略，則從審計策略配置構件獲取詳細審計策略集合，并進行解 密，驗證策略的完整性；若已經有審計策略則直接轉向步驟4。此處應用的策略屬詳細審 計策略，精確的進行審計判定，包括對于環(huán)境屬性的判定；
4、 使用策略判定算法對審計事件進行分析。如果分析結果為需要審計該事件，則轉 向步驟5，否則直接拋棄審計事件信息并轉向步驟6;
5、 采用加密和簽名的方法保證審計事件的機密性和完整性，并把加密后的密文及簽 名信息存入審計信息庫中；防止對于審計事件的非法訪問；
6、 審計事件記錄過程結束。
該構件還包括與審計事件采集構件進行認證和密鑰協(xié)商的模塊，該模塊的功能是對合法的審計事件采集構件進行認證，只有經過授權的審計事件采集構件采集的信息才是可信 的，不然其它人可以偽造一下信息發(fā)送給審計記錄構件。跟審計事件采集構件是相關的， 如果已經認證，則會有Cred信息，否則就需要認證來獲得Cred信息。該模塊在收到審計 事件采集構件的認證請求時激活，具體的認證和密鑰協(xié)商過程如下
1、 審計事件采集構件發(fā)送(ID，PASS,G)給審計事件記錄構件，其中ID為當前應用系 統(tǒng)的標識，PASS為系統(tǒng)管理員配置的密碼，G為密鑰協(xié)商的種子，產生加密密鑰時使用。
2、 審計記錄構件收到(ID，PASS，G)后，根據ID和PASS進行認證，認證失敗則發(fā)送 失敗標識，返回步驟l。如認證成功，則選擇密鑰協(xié)商種子G，，根據G和G'產生會話密 鑰SESS,并發(fā)送(ID，Cred,G')給審計事件采集構件(其中Cred為審計記錄構件產生的認證 憑證)，并把(ID,SESS)加入到保存的認證列表當中，以備使用。
三、審計策略配置構件
如圖4所示，審計策略配置構件的主要功能是審計管理員制定和修改審計事件采集和 記錄過程中需要的審計策略。其中包括基本策略和高級審計策略?；静呗缘呐卸ㄒ罁?括主體、客體和行為屬性，而高級審計策略還包含了對環(huán)境屬性的判定需求?；緦徲嫴?略具有判定迅速，效率高的特點，而高級審計策略精確度高，在本發(fā)明中，分別用在審計 事件采集構件和審計事件記錄構件中。該構件包括一個策略服務模塊，以網絡服務的形式
為審計事件采集和審計事件記錄構件提供策略；另外該構件還包含管理員認證模塊，只有 認證后的合法審計管理員才能對策略進行操作。
審計策略配置的主要流程步驟如下
1、 審計管理員進行認證，登陸。認證信息通過系統(tǒng)管理員進行配置。
2、 審計管理員對策略進行査看、添加、修改及刪除操作。
其中，添加策略需要審計管理員輸入主體標識符、客體標識符、行為信息，以及對應
的匹配方法(模糊匹配，精確匹配和全部匹配)；對于高級審計策略，還包括環(huán)境屬性的 定義和匹配模式(環(huán)境屬性可以定義多個)以及對其他策略的引用。并定義符合該條策略 的審計事件是否需要被審計。
修改審計策略的操作與添加策略相同，需要審計管理員輸入相關信息。 刪除策略則會刪除審計管理員選定的策略。
3、 系統(tǒng)管理員執(zhí)行發(fā)布策略操作，發(fā)布修改后的策略。四、責任認定構件
責任認定構件根據責任認定策略，對審計事件記錄構件記錄的審計事件進行分析，對 系統(tǒng)中發(fā)生的安全事故的責任進行認定，為系統(tǒng)管理提供決策參考。其中該構件使用的責 任認定策略是由管理員根據系統(tǒng)的安全特征和可能存在的漏洞的估計進行自主定義的，因 此責任認定效果依賴于管理員對于系統(tǒng)安全。系統(tǒng)可以支持多種策略描述方法和語言，包 括XACML (可擴展的訪問控制標記語言)。
責任認定構件的具體流程如下
1、 管理管理員輸入操作參數(Time, Subject, Object),其中Time為安全事件發(fā)生的 時間，Subject為主體標識符，Object為客體標識符。根據輸入的Time信息，可以只分 析事件發(fā)生前一段時間的審計信息，提高分析速度。Subject和Object是可選的，當管理 員要分析某主體的行為是否存在問題，或者是否存在對某客體的非法操作，就需要輸入相 關的標識符。
2、 從審計信息庫中獲取審計事件記錄，解密并驗證完整性。
3、 根據主體標識符把審計事件記錄進行分組，然后根據該主體的登陸和登出操作， 把與他相關的記錄劃分為不同的會話組，每個組包含他該次登陸過程中產生的所有事件。 對于審計事件的分組考慮的原因是，責任策略是跟會話相關的策略，因此在策略判定時需 要以會話為單位進行判定。
4、 從策略庫中獲取責任認定策略，并對策略進行驗證和建模，為進行策略判定做準備。
5、 以會話分組后的審計事件組為單位，進行逐條記錄的策略判定，如果該組記錄包 含違反責任認定策略的記錄，則把該主體加入到結果集合中，并把該記錄組加入到結果相 關信息組中。
6、 在所有的審計事件都進行分析后，輸出結果集合。
盡管為說明目的公開了本發(fā)明的具體實施例和附圖，其目的在于幫助理解本發(fā)明的內 容并據以實施，但是本領域的技術人員可以理解在不脫離本發(fā)明及所附的權利要求的精 神和范圍內，各種替換、變化和修改都是可能的。本發(fā)明不應局限于本說明書最佳實施例 和附圖所公開的內容，本發(fā)明要求保護的范圍以權利要求書界定的范圍為準。
權利要求
1.一種基于策略的責任認定方法，其步驟如下1)審計事件采集構件從應用程序獲取審計事件信息，通過簡單審計策略判定是否需審計，將需要審計的事件信息加密后，通過網絡發(fā)送給審計事件記錄構件；2)審計事件記錄構件對上述審計事件信息解密，進行詳細審計策略判定，將判定后需審計的審計信息加密，記錄到審計信息庫中；3)責任認定構件從上述審計事件庫中讀取審計事件信息和責任認定策略，利用責任認定算法對審計事件信息進行責任認定策略判定，完成責任認定。
2. 如權利要求1所述的一種基于策略的責任認定方法，其特征在于，所述簡單審計策略 和詳細審計策略由審計管理員設置。
3. 如權利要求1所述的一種基于策略的責任認定方法，其特征在于，所述審計事件采集 構件通過中間件的形式插入到應用系統(tǒng)中。
4. 如權利要求1或2所述的一種基于策略的責任認定方法，其特征在于，所述簡單審計 策略包括固定的字段內容，所述詳細審計策略包括對于環(huán)境屬性的定義和匹配算法的定 義。
5. —種基于策略的責任認定系統(tǒng)，其特征在于，包括審計事件采集構件、審計事件記錄 構件、審計策略配置構件和責任認定構件；所述系統(tǒng)的拓撲結構為星型，所述審計事件采集構件分布在拓撲結構的各個節(jié)點上， 所述審計事件記錄構件和審計策略配置構件處于拓撲結構的中心位置；所述審計事件記錄構件將審計信息記錄到審計信息庫；所述審計策略配置構件提供簡 單審計策略和詳細審計策略；所述責任認定構件用于根據責任認定策略對記錄的審計信息進行責任認定。
6. 如權利要求5所述的一種基于策略的責任認定系統(tǒng)，其特征在于，所述系統(tǒng)至少包含 一個審計事件采集構件。
7. 如權利要求5所述的一種基于策略的責任認定系統(tǒng)，其特征在于，所述審計事件采集 構件位于應用服務器上；所述審計事件記錄構件、審計策略配置構件和責任認定構件位于 另外的服務器上。
8. 如權利要求5所述的一種基于策略的責任認定系統(tǒng)，其特征在于，所述審計事件記錄 構件包括與審計事件采集構件進行認證和密鑰協(xié)商的模塊，用于對合法的審計事件采集構 件進行認證。
9. 如權利要求5所述的一種基于策略的責任認定系統(tǒng)，其特征在于，所述責任認定構件 釆用可擴展的訪問控制標記語言描述的策略。
全文摘要
本發(fā)明屬于計算機技術領域，具體涉及一種基于策略的責任認定方法與系統(tǒng)。本發(fā)明收集應用系統(tǒng)運行過程中產生的各種事件信息，并把事件信息安全記錄到審計信息庫，若應用系統(tǒng)發(fā)生安全事故，系統(tǒng)管理員可以使用責任認定系統(tǒng)根據記錄的審計信息進行安全事故的責任認定，以確定安全事故的責任人。本發(fā)明支持分布式應用環(huán)境，采用兩級審計策略判斷方法，避免在審計記錄構件處形成瓶頸；同時在審計記錄構件處過濾掉系統(tǒng)不關心的事件信息，防止審計庫容量爆炸；有效降低管理節(jié)點的數量，大大降低系統(tǒng)的管理開銷。
文檔編號G06Q10/00GK101408955SQ20081022495
公開日2009年4月15日 申請日期2008年10月28日 優(yōu)先權日2008年10月28日
發(fā)明者馮登國, 張立武, 菁 趙, 高志剛 申請人:中國科學院軟件研究所