[发明专利]使用主动化身保护资源的系统和方法

说明书

技术领域

本公开总体上涉及在诸如交易处理环境之类的分布式计算环境中使资源（resource）安全。

背景技术

设计与复杂的、多组件计算环境相关联的安全系统以允许主动（active）实体（如，用户）对于静态实体（如，数据源）的选择性和受控的访问。

组件协同地一起工作以形成更大系统的这种类型的代表性多组件系统是HTTP（HyperText Transfer Protocol，超文本传输协议）和Web服务处理环境，其可以使用诸如IBM z196系列的计算机器的IBM大型机计算机加以实施。这种环境通常包括IBM的WAS（Application Server，应用服务器）中间件平台软件产品，其与一个或多个诸如IBM（Customer Information Control System，客户信息控制系统）和/或IBMIMS（Information Management System，信息管理系统）之类的交易处理产品、诸如IBM WebSphere MQ之类的消息处理产品和诸如IBM数据库之类的关系数据库结合地工作。多组件环境的目的是要提供对于客户端终端用户而言可使用HTTP或其它Web服务经由因特网浏览器访问的高性能交易处理计算系统或环境。在这种环境中，做出HTTP或Web服务请求的客户端终端用户直接与应用服务器通信。通常，为了履行来自分布式客户端终端用户的交易请求，应用服务器调用环境中一个或多个其它组件的服务。这些组件中的一个或多个通常在IBM操作系统（其经常称为“大型机”操作系统平台）之类的操作系统上运行。

在这种环境中，交易处理、消息发送和数据库组件通常在包括用于管理环境内安全的框架（framework）的大型机计算机内运行。框架包括安全服务器。在代表性的z/OS实施方案中，安全框架由z/OS安全服务器提供，其包括IBM（Resource Access Control Facility，资源访问控制设施）作为其安全引擎。RACF允许管理员通过定义以什么级别保护什么并且确定谁可以访问受保护资源来设置规则以用于控制对于资源的访问。在典型的大型机操作环境（例如，z/OS）中，RACF用于标识和验证用户访问数据和使用系统设施的权力。

上面描述的产品和技术揭示了可以由受许可实体（如，管理员）用于监视和管理正在受系统保护的资源的界面。然而，这些方法通常将控制赋予了中心安全管理员。

期望提供这样的技术：通过该技术，此类型的计算系统上的数据资源的拥有者可以保护该数据源，而不需要中心安全管理员对于监视和报告与数据源相关联的活动的主动参与。本公开解决这种需求。

发明内容

根据本公开，计算系统中的数据源（例如，静态受保护资源）的拥有者经由“虚拟”或代理实体或“化身（avatar）”来保护此源。实体是其在系统中的存在是像人一样的对象，并且其被给予为拥有者保护数据源的特定任务。尤其是，化身与非人用户标识符（userid）相关联（或者由非人用户标识符限定），所述非人用户标识符具有有权访问受保护的数据源的所有（或限定的）用户、用户组和其它资源的相同访问权和特权。在初始设置期间，指定在一旦发生关于数据源的可动作事件时要由非人userid执行的一个或多个动作，并且确定与数据源相关联的“基线”。所述基线包括标识关于所述数据源的许可访问的数据的数据、以及受许可访问所述数据源的所有（或限定的）用户、用户组和其它资源的列表。接着设置，在非人userid下运行监视处理，并且此处理记录对于数据源的一个或多个访问。定期地，或者一旦有给定发生的事情时，监视处理产生一个或多个辅助处理以确定是否已经触发了可动作事件。这些辅助处理包括以下中的一个或多个：搜索处理（例如，用以确定数据源的副本是否存在于系统中别的地方）、审核处理（例如，用以确定动作或动作的集合是否指示对于数据源的威胁）以及动作任务处理（例如，用以响应针对数据源的特定消息）。如果化身的监视努力指示可动作事件（诸如，访问违规），则采取如动作矩阵中限定的动作。动作通常包括报告给数据源拥有者以及可选择地安全管理员。系统也可以响应于可动作事件以禁止对于正在受保护的资源的访问。

在可替换的实施方式中，在装置中进行上面描述的方法。所述装置执行所述方法。

在另一可替换的实施方式中，由计算机可读介质中的用于数据处理系统中的计算机程序产品执行上面描述的方法。所述计算机程序产品保存计算机程序指令，所述计算机程序指令在由所述数据处理系统运行时进行所述方法。