一種xacml安全策略的評(píng)估優(yōu)化方法
【技術(shù)領(lǐng)域】
[0001] 本發(fā)明設(shè)及一種優(yōu)化方法，具體設(shè)及一種XACML安全策略的評(píng)估優(yōu)化方法。
【背景技術(shù)】
[0002] 訪問(wèn)控制標(biāo)記語(yǔ)言XACML(extensibleaccesscontrolmarkuplanguage)已逐 漸成為多個(gè)企業(yè)應(yīng)用和商業(yè)產(chǎn)品實(shí)現(xiàn)安全授權(quán)功能的實(shí)際標(biāo)準(zhǔn)。分布式資源共享、Web服 務(wù)、域間協(xié)作等新興業(yè)務(wù)需要制定大量的XACML策略條目對(duì)資源進(jìn)行細(xì)粒度訪問(wèn)控制，但 隨著策略規(guī)模和策略語(yǔ)義復(fù)雜性的上升，策略評(píng)估效率已成為制約系統(tǒng)可用性的關(guān)鍵瓶 頸。XACML規(guī)范中雖然給出了訪問(wèn)控制實(shí)施框架，但沒(méi)有提供策略分析、規(guī)則匹配、判定響 應(yīng)等相關(guān)的優(yōu)化處理方法，該在很大程度上導(dǎo)致了XACML策略評(píng)估引擎在處理策略信息檢 索、多策略匹配等問(wèn)題時(shí)的實(shí)際性能指標(biāo)偏低，具體表現(xiàn)為系統(tǒng)資源開(kāi)銷(xiāo)大、訪問(wèn)請(qǐng)求應(yīng)答 延時(shí)長(zhǎng)、遠(yuǎn)程通信交互多，因而無(wú)法滿足商業(yè)應(yīng)用的高業(yè)務(wù)吞吐量。
[000引在XACML中，全部評(píng)估結(jié)果有四種；允許（Permit)、拒絕值eny)、無(wú)法決定 (Indeterminate)W及不適用（NotApplic油le)。如果策略（Policy)內(nèi)的多條規(guī)則（Rule) 或者策略集（PolicySet)內(nèi)的多條化licy都匹配訪問(wèn)請(qǐng)求，則XACML安全策略即利用合并 算法計(jì)算最終的評(píng)估結(jié)果。常見(jiàn)的合并算法有W下幾種：
[0004] 1)許可優(yōu)先（Permit-overrides)合并算法，只要有一條規(guī)則的評(píng)估為化rmit，最 終的評(píng)估結(jié)果就是化rmit。
[0005] 2)拒絕優(yōu)先值en廠overrides)合并算法，只要有一條規(guī)則的評(píng)估為Deny,最終的 評(píng)估結(jié)果就是Deny。
[0006] 3)首次適用（First-applic油le)合并算法，遇到的第一條適用請(qǐng)求規(guī)則的評(píng)估 結(jié)果作為最終的評(píng)估結(jié)果。

【發(fā)明內(nèi)容】

[0007] 為了克服上述現(xiàn)有技術(shù)的不足，本發(fā)明提供一種XACML安全策略的評(píng)估優(yōu)化方 法，采取如下技術(shù)方案：
[000引本發(fā)明一種XACML安全策略的評(píng)估優(yōu)化方法，其特征在于；所述方法包括W下步 驟：
[0009] 步驟1 ;消除冗余規(guī)則；
[0010] 步驟2 ;建立判定結(jié)果緩存池和XACML安全策略緩存池；
[00川步驟3 ;動(dòng)態(tài)改變XACML安全策略/規(guī)則的位置。
[0012] 所述步驟中，先判斷出不同合并算法下存在的冗余規(guī)則，之后將冗余規(guī)則消除。
[001引若當(dāng)規(guī)則而適用于請(qǐng)求，規(guī)則Rj必然適用于請(qǐng)求，稱(chēng)Ri覆蓋Ri，記為; 而?effect表示而的判定結(jié)果，值為化rmit或Deny;具體分為W下S種情況；
[0014] (1)在許可優(yōu)先合并算法下，有
[00巧]1)巧且Rj.effect=化rmit，則而是冗余規(guī)則；
[0016] 2)若巧 <>及_/且Rj?effect=Deny,則Ri是冗余規(guī)則；
[0017] 3)當(dāng)Rj?effect=化rmit時(shí)，而不是冗余規(guī)則；
[0018] (2)在拒絕優(yōu)先合并算法下，有：
[0019] 1)若巧,.<K，且Rj?effect=Deny,則而是冗余規(guī)則；
[0020] 。若巧.<W，且Rj?effect=化rmit，則而是冗余規(guī)則；
[0021] 3)當(dāng)Rj?effect=Deny時(shí)，而不是冗余規(guī)則；
[00巧 做在首次適用合并算法下，R在XACML安全策略中的位置記為seq巧1)，有；
[0023] 1)若巧<巧/且而?effect=Rj?effect,則而是冗余規(guī)則；
[0024] 。若巧^巧J且seq(Rj) <seq(Ri)時(shí)，而是冗余規(guī)則；
[00巧]如若巧<1及;且seq(Rj) <seq化）時(shí)，而不是冗余規(guī)則。
[0026] 所述步驟2中，所述判定結(jié)果緩存池用于保存用戶之前的訪問(wèn)結(jié)果，當(dāng)判定結(jié)果 緩存池中沒(méi)有相應(yīng)的結(jié)果時(shí)觸發(fā)XACML安全策略緩存；
[0027] 所述XACML安全策略緩存池用于保存最近訪問(wèn)的XACML安全策略。
[002引所述步驟3中，XACML安全策略對(duì)應(yīng)的評(píng)估引擎采用重排序算法動(dòng)態(tài)改變XACML安 全策略/規(guī)則的位置。
[0029] 所述步驟3中，設(shè)Pk和Rj.分別表示XACML安全策略和規(guī)則，通過(guò)Pk和R班執(zhí)行統(tǒng) 計(jì)值方面的優(yōu)先級(jí)Pk.M和Rj.M，W及Pk和RJ的復(fù)雜度Pk.N和Rj.N確定Pk和RJ的總體優(yōu) 先級(jí)Pk.W和Rj.W。
[0030] 在許可優(yōu)先合并算法中，Pk.M和Rj.M分別表示為：
[003UPk.M=日。沖k.a+日口沖k.P
[003引 民j.M二目21本Rj.a+目22本民j.P
[003引其中，a表示XACML安全策略/規(guī)則適用率；P表示XACML安全策略/規(guī)則許可率； 白11、912、921和922表示權(quán)重；
[0034] 在拒絕優(yōu)先合并算法中，Pk.M和Rj..M分別表示為：
[003引 Pk. M = 0 11沖k.a+ 0i2*Pk.d
[0036] Rj. M = 0 2i*Rj.a+ 022*Rj.d
[0037] 其中，d表示XACML安全策略/規(guī)則拒絕率。
[003引令n(t)表示目標(biāo)元素中的布爾條件的數(shù)量，n(c)表示條件元素中的布爾條件數(shù) 量，Rj的復(fù)雜度Rj.N表示為：
[0039] Rj.N=n(t)+n(c)
[0040] Pk的復(fù)雜度RN由Pk中所有規(guī)則的復(fù)雜度及規(guī)則執(zhí)行率確定，Pk.N表示為：
[0041]
【主權(quán)項(xiàng)】
1. 一種XACML安全策略的評(píng)估優(yōu)化方法，其特征在于：所述方法包括以下步驟： 步驟1 :消除冗余規(guī)則； 步驟2 :建立判定結(jié)果緩存池和XACML安全策略緩存池； 步驟3 :動(dòng)態(tài)改變XACML安全策略/規(guī)則的位置。
2. 根據(jù)權(quán)利要求1所述的XACML安全策略的評(píng)估優(yōu)化方法，其特征在于：所述步驟中， 先判斷出不同合并算法下存在的冗余規(guī)則，之后將冗余規(guī)則消除。
3. 根據(jù)權(quán)利要求2所述的XACML安全策略的評(píng)估優(yōu)化方法，其特征在于：若當(dāng)規(guī)則R i 適用于請(qǐng)求，規(guī)則Rj必然適用于請(qǐng)求，稱(chēng)R i覆蓋R i，記為K : Ri · effect表示Ri的判 定結(jié)果，值為Permit或Deny ;具體分為以下三種情況： (1) 在許可優(yōu)先合并算法下，有 1) & 且 Rj · effect = Permit，則 Ri是冗余規(guī)則； 2) 芯R <? '且Rj · effect = Deny，則Ri是冗余規(guī)則； 3) 當(dāng)Rj · effect = Permit時(shí)，氏不是冗余規(guī)則； (2) 在拒絕優(yōu)先合并算法下，有： 1) 若乂 且 Rj · effect = Deny，則 Ri是冗余規(guī)則； 2) 若& < .心且Rj · effect = Permit，則Ri是冗余規(guī)則； 3) 當(dāng)Rj · effect = Deny時(shí)，氏不是冗余規(guī)則； (3) 在首次適用合并算法下，氏在XACML安全策略中的位置記為seq(R J，有： 1) 若尺/< A 且 Ri · effect = Rj · effect，則 Ri是冗余規(guī)則； 2) 若巧< /且Seq(Rj) < Seq(Ri)時(shí)，Ri是冗余規(guī)則； 3) 若A < A且Seq(Rj) < Seq(Ri)時(shí)，氏不是冗余規(guī)則。
4. 根據(jù)權(quán)利要求1所述的XACML安全策略的評(píng)估優(yōu)化方法，其特征在于：所述步驟2 中，所述判定結(jié)果緩存池用于保存用戶之前的訪問(wèn)結(jié)果，當(dāng)判定結(jié)果緩存池中沒(méi)有相應(yīng)的 結(jié)果時(shí)觸發(fā)XACML安全策略緩存； 所述XACML安全策略緩存池用于保存最近訪問(wèn)的XACML安全策略。
5. 根據(jù)權(quán)利要求1所述的XACML安全策略的評(píng)估優(yōu)化方法，其特征在于：所述步驟3 中，XACML安全策略對(duì)應(yīng)的評(píng)估引擎采用重排序算法動(dòng)態(tài)改變XACML安全策略/規(guī)則的位 置。
6. 根據(jù)權(quán)利要求5所述的XACML安全策略的評(píng)估優(yōu)化方法，其特征在于：所述步驟3 中，設(shè)Pk和L分別表示XACML安全策略和規(guī)則，通過(guò)P k和L在執(zhí)行統(tǒng)計(jì)值方面的優(yōu)先級(jí) Pk. M和Rj. M，以及Pk和R」的復(fù)雜度P k. N和Rj. N確定Pk和R」的總體優(yōu)先級(jí)P k. Ψ和Rj. Ψ。
7. 根據(jù)權(quán)利要求6所述的XACML安全策略的評(píng)估優(yōu)化方法，其特征在于：在許可優(yōu)先 合并算法中，Pk. M和Ry M分別表示為： Pk. M = Θ n*pk. a+ Θ 12*pk. p Rj. M = Θ 21*Rj·· a+ Θ 22*Rj·· p 其中，a表示XACML安全策略/規(guī)則適用率；p表示XACML安全策略/規(guī)則許可率；θ n、 θ 12、Θ 21和Θ M表不權(quán)重； 在拒絕優(yōu)先合并算法中，Pk. M和Ry M分別表示為： Pk. M = Θ n*Pk. a+ Θ 12*Pk. d Rj. M = Θ 21*Rj. a+ Θ 22*Rj. d 其中，d表示XACML安全策略/規(guī)則拒絕率。
8. 根據(jù)權(quán)利要求7所述的XACML安全策略的評(píng)估優(yōu)化方法，其特征在于：令n (t)表示 目標(biāo)元素中的布爾條件的數(shù)量，n (c)表示條件元素中的布爾條件數(shù)量，％的復(fù)雜度R y N表 示為： Rj. N = n (t) +n (c) Pk的復(fù)雜度Ry N由Pk中所有規(guī)則的復(fù)雜度及規(guī)則執(zhí)行率確定，P k. N表示為： 乃.N= 胸,·/ 其中，f表示規(guī)則&的執(zhí)行率。
9. 根據(jù)權(quán)利要求8所述的XACML安全策略的評(píng)估優(yōu)化方法，其特征在于：P k和R」的總 體優(yōu)先級(jí)Pk. Ψ和b Ψ分別表示為： Pk. Ψ = a ^Pk. Μ+β ^Pk. N Rj. Ψ = a 2*Rj. M+02*Rj. N 其中，a。βρ α2、β 2表示權(quán)重。
【專(zhuān)利摘要】本發(fā)明提供一種XACML安全策略的評(píng)估優(yōu)化方法，包括以下步驟：消除冗余規(guī)則；建立判定結(jié)果緩存池和XACML安全策略緩存池；動(dòng)態(tài)改變XACML安全策略/規(guī)則的位置。本發(fā)明針對(duì)現(xiàn)有XACML標(biāo)準(zhǔn)在策略規(guī)模和策略語(yǔ)義復(fù)雜性的上升時(shí)性能上的不足以及功能上的缺陷，提出一種基于策略冗余去除、緩存、重排序的XACML安全策略評(píng)估優(yōu)化方法，該方法能夠在提供策略分析、規(guī)則匹配、判定響應(yīng)等相關(guān)的優(yōu)化處理方法對(duì)資源進(jìn)行細(xì)粒度訪問(wèn)控制的同時(shí)，有效提升XACML安全策略評(píng)估引擎處理策略信息檢索、多策略匹配等問(wèn)題時(shí)的效率，加強(qiáng)系統(tǒng)可用性，且能夠適應(yīng)各種策略合并算法，靈活性和可用性強(qiáng)。
【IPC分類(lèi)】H04L29-06
【公開(kāi)號(hào)】CN104836807
【申請(qǐng)?zhí)枴緾N201510236756
【發(fā)明人】周誠(chéng), 邵志鵬, 馬媛媛, 汪晨, 時(shí)堅(jiān), 李偉偉, 楚杰, 張波, 黃秀麗, 戴造建
【申請(qǐng)人】中國(guó)電力科學(xué)研究院, 國(guó)網(wǎng)智能電網(wǎng)研究院, 國(guó)家電網(wǎng)公司, 國(guó)網(wǎng)安徽省電力公司
【公開(kāi)日】2015年8月12日
【申請(qǐng)日】2015年5月11日