本发明属于信息安全，特别涉及一种基于多属性融合的数据终端延伸访问控制方法。
背景技术：
1、面对信息技术的飞速发展和数据的爆炸式增长，确保安全、高效、个性化的数据访问至关重要。传统的终端数据访问机制受到简单属性的限制，无法满足对隐私和细致的访问控制的复杂需求。因此，基于多属性的访问控制机制对于增强用户的安全性、访问效率和个性化至关重要。本发明公开了一种基于多属性融合的数据终端延伸访问控制方法，能够实现个性化的、安全的、灵活的数据访问环境，在实现用户高效访问需要的数据的同时，对数据的安全性也有足够的保障。
2、公开号为cn116321151a的中国专利公开了一种基于5g的数据安全接入处理方法及装置，包括：通过数据终端的物理属性判断是否允许该终端接入；接入认证通过后，对获取的接入数据进行可信校验；对可信校验通过的数据进行多重加密。该发明中数据终端本身通过特有的物理属性进行安全接入，并对接入的数据进行可信校验，确保数据完整性、安全性、可靠性，通过硬加密对数据进行加密，再利用软加密确保数据的完整性，有效性。该发明仅通过物理属性管理数据访问权限，缺乏灵活的数据访问权限调整能力。
技术实现思路
1、本发明提供一种基于多属性融合的数据终端延伸访问控制方法，旨在解决现有访问控制技术无法对用户的多个属性进行综合考虑，在给予用户更灵活的数据访问权限的同时有效提升数据访问的个性化和安全性的问题。
2、为解决上述技术问题，本发明提供一种基于多属性融合的数据终端延伸访问控制方法，包括以下步骤：
3、访问实体定义：利用沙箱定义访问实体，其中访问实体包括访问主体、访问客体、访问操作以及系统状态，并在实体与终端之间建立映射关系。
4、多属性标签定义：利用多属性标签刻画访问主体与其每次的访问操作之间的关系，将标签所含的属性信息作为访问主体请求的判别依据。
5、数据访问控制：从定义获得的多属性标签中提取访问主体的属性信息，管控中心模块对访问主体的访问请求评判，做出授权决策即允许还是拒绝此次访问操作，并由访问控制模块进行策略匹配。
6、访问冲突处理：当访问主体的访问请求获得授权后，若出现访问请求涉及到同一访问主体和访问客体的情况并产生不一致的策略匹配结果时，对所述访问请求进行冲突检测及冲突处理。
7、数据安全管控：数据安全管控包括应用程序管控和文件管控，应用程序管控为利用基于进程发现和动态链接库注入的技术，实现终端应用程序即访问主体运行的进程的安全管控；文件管控为利用虚拟文件系统技术，实现终端文件即访问客体虚拟磁盘内数据文件的安全管控。
8、传播访问控制：利用多属性标签描述待传播数据的属性信息，并由访问控制模块对其进行访问控制和权限管理。
9、优选的，所述访问实体定义具体为：利用沙箱定义访问主体为s＝{s1,s2,…,sn}，其中n为访问主体总数；定义被访客体为o＝{o1,o2,…,om}，其中m为访问客体总数；访问操作为p＝{r,w,e,c,d}，其中r为读操作，w为写操作，e为执行操作，c为访问客体的创建操作，d为访问客体的删除操作；定义系统状态为a＝s×o×p，用于描述系统的访问控制状态。
10、优选的，所述多属性标签定义具体为：通过泛型属性、安全属性和环境属性定义访问主体属性，表达式如下：
11、satt(subject-attribute)＝{<sattu,satts,sattc>|sattu∈sattu,satts∈satts,sattc∈sattc}
12、式中，satt为访问主体属性集；sattu表示泛型属性；sattu为主体的通用属性集，包括访问主体的类别、访问主体所扮演的角色以及其所运行的平台；satts表示安全属性；satts为访问主体的安全属性集，包括访问主体的安全许可级别、安全域以及相关安全属性；sattc表示环境属性；sattc为访问主体的环境属性集，包括时间、地点和相关上下文因素的环境属性。
13、优选的，所述数据访问控制具体为：
14、定义访问主体的访问请求四元组<iser,satt,sk,k>，其中，iser表明访问主体身份，satt表示访问主体属性集，sk表示访问主体属性集对应的私钥，k表示请求数据的关键字。
15、管控中心模块根据访问请求四元组<user,satt,sk,k>对访问主体进行基于elgamal签名算法的身份验证。
16、对于通过身份验证的访问请求进行可信度量，对于满足可信度量的访问请求，管控中心模块授权此次访问请求并根据多属性标签匹配对应的访问策略。
17、若查询不到对应策略返回匹配策略失败；若查询到对应策略，通过策略匹配算法进行策略匹配，如果存在策略冲突的情况则进行访问冲突处理。
18、优选的，所述可信度量具体为：根据访问主体的历史信任值和当前信任值计算出综合信任值，并与请求数据设定的信任阈值进行比较，若大于所述信任阈值，则访问主体获得授权，否则不授权本次访问请求，所述综合信任值的计算公式如下：
19、
20、式中，at(t)为综合信任值；t为当前时间节点；w为滑动窗口的大小；t-w+1为滑动窗口第一个元素的时刻；t(i)为访问主体在i时刻的信任值；α为信任值衰减因子；αt-i为基于时间差异(t-i)计算的衰减因子，用以反映信任值随时间的衰减程度；β为波动性因子；为基于当前信任值与窗口内平均值的差值计算的波动性系数，用来避免信任值的极端波动造成的误判；i∈[t-w+1,t]。
21、优选的，所述访问冲突处理中对访问操作进行冲突检测具体为：
22、对策略匹配结果进行判断，若一次策略匹配请求对应的所有匹配结果均相同，即每条策略匹配结果均为同意或拒绝本次访问请求，则策略无冲突，无需处理，否则需要将策略匹配结果进行许可策略结果和拒绝策略结果的分类，便于进行后续冲突处理。
23、优选的，所述访问冲突处理对访问操作进行冲突处理具体为：
24、首先将冲突检测得到的访问操作匹配的策略集合分为个人级策略和群体级策略，个人级优先级高于群体级，优先执行个人级策略。
25、其次根据添加策略的管理员的权限高低进行判定，管理员权限越高，对应添加的策略优先级越高，优先执行权限最高的管理员对应添加的策略。
26、在管理员权限等级相同的情况下，根据策略控制的属性个数的多少设定策略优先级，属性个数越多，策略优先级越高，优先执行控制属性个数最多的策略。
27、在以上判断一致的情况下，以访问请求的时间作为最后的判断依据，优先执行最新的策略。
28、优选的，数据安全管控中利用基于进程发现和动态链接库注入的技术实现终端应用程序的安全管控具体为：
29、判断新运行的应用程序是否属于需要关注的进程，如果属于，则调用动态链接库形式的钩子程序，实现对系统调用的拦截，拦截后将包括主体、客体信息的系统调用转发给在用户态的管控中心模块和访问控制模块，由管控中心模块和访问控制模块负责在用户态实施多属性策略访问控制。
30、优选的，数据安全管控中利用虚拟文件系统技术实现终端文件的安全管控具体为：
31、当应用程序进行文件api调用时，内核会将调用打包至irp中，用于描述和跟踪文件api调用。
32、在应用程序访问虚拟文件系统上的文件时，内核虚拟文件系统驱动将收到操作系统转发的irp，并将irp重新定向到用户态文件存储模块。
33、当用户态文件存储模块根据irp进行相应的文件操作时，用户态文件存储模块需要先进行权限验证以及访问控制，然后将处理结果返回给内核虚拟文件系统驱动，用户态文件存储模块即可提供额外的多属性元数据存储和访问控制。
34、优选的，传播访问控制具体为：
35、利用多属性标签描述待传播数据的属性信息并交由访问控制模块进行决策，允许传播后再将数据进行封装。
36、在外部终端上建立一个独立的虚拟文件系统环境，用于存储和管理待传播数据文件。
37、访问控制模块监视外部终端上指定的应用程序的访问操作，并根据预先定义的访问控制策略对文件进行访问控制和权限管理。
38、与现有技术相比，本发明具有以下技术效果：
39、本发明通过将用户的多个属性进行综合考虑，给予用户更灵活的数据访问权限，确保用户能够灵活地获取到符合需求的数据。在满足用户的需求的同时，保护数据的隐私和安全，有效提升数据访问的个性化和安全性。
1.一种基于多属性融合的数据终端延伸访问控制方法，其特征在于，包括以下步骤：
2.根据权利要求1所述的一种基于多属性融合的数据终端延伸访问控制方法，其特征在于，所述访问实体定义具体为：利用沙箱定义访问主体为s＝{s1,s2,…,sn}，其中n为访问主体总数；定义被访客体为o＝{o1,o2,…,om}，其中m为访问客体总数；访问操作为p＝{r,w,e,c,d}，其中r为读操作，w为写操作，e为执行操作，c为访问客体的创建操作，d为访问客体的删除操作；定义系统状态为a＝s×o×p，用于描述系统的访问控制状态。
3.根据权利要求1所述的一种基于多属性融合的数据终端延伸访问控制方法，其特征在于，所述多属性标签定义具体为：通过泛型属性、安全属性和环境属性定义访问主体属性，表达式如下：
4.根据权利要求1所述的一种基于多属性融合的数据终端延伸访问控制方法，其特征在于，所述数据访问控制具体为：
5.根据权利要求4所述的一种基于多属性融合的数据终端延伸访问控制方法，其特征在于，所述可信度量具体为：根据访问主体的历史信任值和当前信任值计算出综合信任值，并与请求数据设定的信任阈值进行比较，若大于所述信任阈值，则访问主体获得授权，否则不授权本次访问请求，所述综合信任值的计算公式如下：
6.根据权利要求1所述的一种基于多属性融合的数据终端延伸访问控制方法，其特征在于，所述访问冲突处理中对访问操作进行冲突检测具体为：
7.根据权利要求6所述的一种基于多属性融合的数据终端延伸访问控制方法，其特征在于，所述访问冲突处理对访问操作进行冲突处理具体为：
8.根据权利要求1所述的一种基于多属性融合的数据终端延伸访问控制方法，其特征在于，数据安全管控中利用基于进程发现和动态链接库注入的技术实现终端应用程序的安全管控具体为：
9.根据权利要求1所述的一种基于多属性融合的数据终端延伸访问控制方法，其特征在于，数据安全管控中利用虚拟文件系统技术实现终端文件的安全管控具体为：
10.根据权利要求1所述的一种基于多属性融合的数据终端延伸访问控制方法，其特征在于，传播访问控制具体为：
