[发明专利]一种基于可信计算零信任访问权限控制系统及方法

说明书

本发明涉及一种基于可信计算零信任访问权限控制系统及方法。该访问权限控制系统至少包括身份认证模块、安全态势评估模块和访问权限控制模块。身份认证模块至少能够用于对用户的身份进行认证，并生成与该用户相对应的身份认证信息。安全态势评估模块至少能够监控用户的安全态势；访问权限控制模块至少能够获取所述身份认证信息。在所述访问权限控制模块能够获取所述安全态势的情况下，访问权限控制模块被配置为能够基于所述身份认证信息与安全态势对所述用户的访问权限进行控制。

技术领域

本发明涉及权限管理与控制技术领域，尤其涉及一种基于可信计算零信任访问权限控制系统及方法。

背景技术

传统的安全防护基于边界，企业安全防护模式是构建一个内网，通过物理隔离或VPN等设施保证“内部安全区”。而如今IT边界已被打破。云计算、边缘计算等技术普及，加之大数据与AI的广泛应用，让数据流动与计算环境都发生了显著变化，IT边界变得越来越模糊。此外，当前企业上下游伙伴和内部员工增多，用户访问请求更加复杂，进而造成企业对用户过分授权的情况也更普遍。疫情推波助澜，当多地协同办公、远程办公成为新常态，过去的办公习惯也被打破。而物理隔离无疑站在远程办公的对立面，构建并部署VPN的基本前提就是存在企业边界。显然，内外隔离的安全思路是不灵活的，也无法适应新的需求。而零信任由此兴起，其主要思想是：默认企业内、外部的任何人、事均不可信，对任何试图接入网络和访问网络资源的人、事、物进行持续验证，打破了边界化的网络防御思路，是一种更适应新需求的理念。

例如，公开号为CN112118102A的中国专利文献公开了一种电力专用的零信任网络系统，属于电网技术领域，包括接入认证模块、访问权限控制模块、数据分类分级模块和安全态势感知模块，接入认证模块包括设备认证模块和用户认证模块，设备认证模块要求先认证再允许连接；用户认证模块包括多因子认证和生物特征认证，并根据不同应用系统、不同数据实行不同的认证强度；访问权限控制模块包括在发起方由可信终端实现的终端访问代理、在安全访问网关实现的网关代理；数据分类分级模块对访问资源进行分类和分级；安全态势感知模块，安全态势感知模块包括风险和信任评估、策略决策模型。该发明通过接入认证、访问权限控制、数据分类分级、安全态势感知对电力专用网络进行改造、升级或者重新部署。但是，该发明仍存在以下技术不足：该发明并未考虑到由于用户的相关系统/设备的升级、应用的更新、网络的变化等良性的变化因素；当上述变化因素发生时，用户的身份认证信息以及与该身份认证信息相对应的访问权限实际上也可能随着上述变化因素而改变。例如当用户相关系统的升级、应用的更新时能够促进用户身份的快速认证，并可能相应地提高该用户的访问权限；而该发明遵循事先定义的静态访问规则，不能向实时动态地根据用户安全态势的变化调整访问权限的授权。因此针对现有技术的不足有必要进行改进。

此外，一方面由于对本领域技术人员的理解存在差异；另一方面由于申请人做出本发明时研究了大量文献和专利，但篇幅所限并未详细罗列所有的细节与内容，然而这绝非本发明不具备这些现有技术的特征，相反本发明已经具备现有技术的所有特征，而且申请人保留在背景技术中增加相关现有技术之权利。

发明内容

针对现有技术之不足，本发明提供了一种基于可信计算零信任访问权限控制系统。本访问权限控制系统至少包括身份认证模块、安全态势评估模块和访问权限控制模块。

身份认证模块至少能够用于对用户的身份进行认证，并生成与该用户相对应的身份认证信息。身份认证模块能够将所述身份认证信息发送至访问权限控制模块以识别用户的身份。

安全态势评估模块至少能够监控用户的安全态势，并能够将所述安全态势发送至访问权限控制模块，以使得访问权限控制模块能够实时地掌握用户的安全态势的变化。

访问权限控制模块，至少能够获取身份认证模块所生成的身份认证信息和安全态势评估模块所获取的安全态势，在所述访问权限控制模块能够获取所述安全态势的情况下，访问权限控制模块被配置为能够基于所述身份认证信息与安全态势对所述用户的访问权限进行控制。