CN111967034A - 一种基于属性探索的rbac角色容错辅助构建方法 - Google Patents

一种基于属性探索的rbac角色容错辅助构建方法 Download PDF

Info

Publication number
CN111967034A
CN111967034A CN202010891207.8A CN202010891207A CN111967034A CN 111967034 A CN111967034 A CN 111967034A CN 202010891207 A CN202010891207 A CN 202010891207A CN 111967034 A CN111967034 A CN 111967034A
Authority
CN
China
Prior art keywords
implication
access control
verified
relation
relational expression
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202010891207.8A
Other languages
English (en)
Other versions
CN111967034B (zh
Inventor
张磊
杨继勇
沈夏炯
韩道军
葛强
史先进
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Henan University
Original Assignee
Henan University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Henan University filed Critical Henan University
Priority to CN202010891207.8A priority Critical patent/CN111967034B/zh
Publication of CN111967034A publication Critical patent/CN111967034A/zh
Application granted granted Critical
Publication of CN111967034B publication Critical patent/CN111967034B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Automation & Control Theory (AREA)
  • Storage Device Security (AREA)
  • Safety Devices In Control Systems (AREA)

Abstract

本发明公开了一种基于属性探索的RBAC角色容错辅助构建方法，包含步骤：A：从某个部门的信息***中得到该部门的访问控制实例的初始集合和所有权限集合；B：利用蕴涵等值式查找错误的访问控制实例，然后结合设定的正确答案，计算出待验证的蕴涵关系式集合中需要删除和需要添加的蕴涵关系式，对待验证的蕴涵关系式集合进行修正，最终得到该部门的确定的访问控制实例的无冗余集合和验证后的蕴涵关系式集合，同时确定角色集合。本发明能够准确实现角色构建，为现代工业和信息产业生产中操作角色及操作权限的安全科学的设定提供基础数据支撑，杜绝安全隐患。

Description

一种基于属性探索的RBAC角色容错辅助构建方法
技术领域
本发明涉及一种基于角色的访问控制(RBAC)技术领域，尤其涉及一种基于属性探索的RBAC角色容错辅助构建方法。
背景技术
信息安全管理一直是现代工业及信息产业发展的重中之中，信息安全管理直接影响着现代工业产业和信息产业生产中安全隐患大小。如大型工业生产中，如何根据实际生产过程中各个生产环节的操作需求，科学地设置生产工序中的操作角色及操作权限，杜绝生产过程中各种关键操作中的角色误操作隐患，直接决定企业能否实现安全生产。再如目前频发的信息安全泄露事件，如中兴泄密事件，因权限管理失误，导致机密文件信息泄露，从而造成巨大损失。因此，在现代工业及信息产业发展中，信息安全管理工作得到了越来越多的重视及研究。
基于角色的访问控制(RBAC)通过实践证明，可以有效的保障用户***数据安全。但传统的RBAC***的构建不仅是一个十分耗时、耗力的过程，而且在确立角色过程中很容易出现角色遗漏的现象。随着信息***的日益庞大，现有的角色构建方法弊端越来越明显。属性探索算法以主动获取知识的方式被广泛用于RBAC***角色发现，但是传统基于属性探索算法的角色辅助构建方法，在构建角色过程中是以访问控制实例的初始集合绝对正确为前提。而在实际工作中，***可能会宕机出错，造成后续角色构建过程中出现不可逆的错误。这一问题制约了基于属性探索的角色辅助构建方法的应用。
发明内容
本发明的目的是提供一种基于属性探索的RBAC角色容错辅助构建方法，能够发现并修正由于***宕机而导致使用传统基于属性探索的RBAC角色构建方法构建访问控制***角色时的错误，准确实现角色构建，为现代工业和信息产业生产中操作角色及操作权限的安全科学的设定提供基础数据支撑，杜绝安全隐患。
本发明采用下述技术方案：
一种基于属性探索的RBAC角色容错辅助构建方法，包括以下步骤：
A：从某个部门的信息***中，获取该部门的访问控制日志记录，并对访问日志记录进行数据预处理，得到该部门的访问控制实例的初始集合KO和所有权限集合M；
B：利用蕴涵等值式，查找由于访问控制***宕机导致A步骤中得到的错误的访问控制实例，然后根据错误的访问控制实例,结合设定的正确答案，计算出待验证的蕴涵关系式集合Ja中需要删除和需要添加的蕴涵关系式，并根据计算得到的需要删除和需要添加的蕴涵关系式对待验证的蕴涵关系式集合Ja进行修正，最终得到步骤A中该部门的确定的访问控制实例的无冗余集合KS和验证后的蕴涵关系式集合Ja，同时确定角色集合R。
所述的步骤A包括以下具体步骤：
A1：从某个部门的信息***中，获取该部门的访问控制日志记录，将访问控制日志中访问成功的记录，记为该部门下该用户拥有访问该资源的权限；
A2：将访问控制日志中访问失败的记录，记为该部门下该用户不拥有访问该资源的权限；
A3：经数据处理，得到该部门下各个用户所具有的权限和不具有的权限；
A4：得到该部门的访问控制实例的初始集合KO和所有权限集合M。
所述的步骤B包括以下具体步骤：
B1：根据步骤A中得到的权限集合M＝(a1，a2，a3，…，an-1，an)，将所有权限集合M进行字典序排列后得到集合
Figure BDA0002657052570000031
Figure BDA0002657052570000032
初始化确定的访问控制实例的无冗余集合
Figure BDA0002657052570000033
待验证的蕴涵关系式集合
Figure BDA0002657052570000034
从集合Mq中取字典序排第一的权限集合
Figure BDA0002657052570000035
验证问题集合
Figure BDA0002657052570000036
n为正整数；
B2：对权限集合Q进行验证并得到初始答案，即在确定的访问控制实例的无冗余集合KS中计算fKs(gKs(Q))，若
Figure BDA0002657052570000037
则进入步骤B3；否则进入步骤B4；
其中，gKs(Q)为在确定的访问控制实例的无冗余集合KS中找出所有拥有权限集合Q的用户，fKs(gKs(Q))为在确定的访问控制实例的无冗余集合KS中找出所有拥有权限集合Q的用户所共同拥有的权限集合，gKo(fKs(gKs(Q))-Q)为在访问控制实例的初始集合KO中找出所有拥有权限fKs(gKs(Q))-Q的用户；权限集合Q为当前验证的权限集合；
B3：将蕴涵关系式Q-＞fKs(gKs(Q))-Q，即某个用户拥有权限集合Q那么该用户一定拥有权限fKs(gKs(Q))-Q，添加到蕴涵关系式集合Ja中，将离散数学中蕴涵关系式Q-＞fKs(gKs(Q))-Q的等值式
Figure BDA0002657052570000038
Figure BDA0002657052570000039
和初始答案
Figure BDA00026570525700000310
加入验证问题集合D中，然后进入步骤B5；
其中，对蕴涵关系式Q-＞fKs(gKs(Q))-Q的验证结果即为步骤B2中对权限集合Q进行验证后得到的初始答案，蕴涵关系式Q-＞fKs(gKs(Q))-Q中Q是该蕴涵关系式的前件，fKs(gKs(Q))-Q是该蕴涵关系式的后件，
Figure BDA0002657052570000041
中，V表示逻辑运算符“或”；
Figure BDA0002657052570000042
表示逻辑运算符“非”；
B4：从访问控制实例的初始集合KO中取出一个权限分配不符合蕴涵关系式Q-＞fKs(gKs(Q))-Q的实例o，即实例o拥有权限集合Q但是不拥有权限fKs(gKs(Q))-Q，将这个实例添加到确定的访问控制实例的无冗余集合KS中，将用户o所拥有的权限作为初始答案，并将离散数学中蕴涵关系式Q-＞fKs(gKs(Q))-Q的等值式
Figure BDA0002657052570000043
Figure BDA0002657052570000044
和初始答案加入验证问题集合D中，然后进入步骤B8；
B5：从验证问题集合D中随机取出一个问题，重新对权限集合Q进行验证并得到对比答案；若验证得到的对比答案与验证问题集合D中的初始答案一致，则进入步骤B6，否则进入步骤B7；
B6：根据形式概念分析中集合与蕴含集合相关性定理，在集合Mq中找出下一个与待验证的蕴含关系集合Ja相关的权限集合Q′，令Q＝Q′，然后进入步骤B8；
B7：令设定的正确答案为Or、步骤B5中得到的验证问题集合D中有误的初始答案为Oe、发现出错的权限集合为Bi、当前验证的权限集合为Bj、字典序中小于Bi的待验证的子蕴涵关系式集合为U、字典序大于Bi小于Bj的待验证的子蕴涵关系式集合为P，根据发现出错的权限集合Bi、正确答案Or、有误的初始答案Oe和蕴涵关系式集合内在逻辑关系，通过计算得到正确的蕴涵关系式集合Jr，令Ja＝Jr，然后进入步骤B8；
B8：若Q＝M，进入步骤B9，否则返回步骤B2；
B9：将计算后的待验证的蕴含关系集合Ja中蕴涵关系式后件为
Figure BDA0002657052570000053
的蕴涵关系式加入到角色集合R中，并得到该部门的确定的访问控制实例的无冗余集合Ks和验证后的蕴涵关系式集合Ja。
所述的步骤B7包含以下具体步骤：
B71：根据设定的正确答案Or、步骤B5中得到的验证问题集合D中有误的初始答案Oe、发现出错的权限集合Bi、当前验证的权限集合Bj、字典序中小于Bi的待验证的子蕴涵关系式集合U、字典序大于Bi小于Bj的待验证的子蕴涵关系式集合P；令正确的蕴涵关系式集合Jr＝U，进入步骤B72；
B72：计算出字典序中Bi的下一个与正确的蕴涵关系式集合Jr相关的权限集合T，令Bi＝T；如果以T为前件的蕴涵关系式属于待验证的子蕴涵关系式集合P，进入步骤B73，否则进入步骤B75；
B73：如果
Figure BDA0002657052570000051
并且
Figure BDA0002657052570000052
则将待验证的子蕴涵关系式集合P中前件为T的蕴涵关系式加入正确的蕴涵关系式集合Jr中，然后进入步骤B76；否则进入B74；
B74：如果T∩Oe＝c或者T∩Or＝c，且c∈P，则将待验证的子蕴涵关系式集合P中前件为T的蕴涵关系式加入到正确的蕴涵关系式集合Jr中，然后进入步骤B76；否则进入步骤B75；
其中，集合c是权限集合T与正确答案Or的交集或者是权限集合T与有误的答案Oe的交集；
B75：在访问控制实例的初始集合KO中计算fKO(gKO(T))并将T-＞fKO(gKO(T))加入正确的蕴涵关系式集合Jr中，然后进入步骤B76；
B76：如果T＜Bj，则进入步骤B72，否则进入步骤B77；
B77：令待验证的蕴含关系集合Ja等于正确的蕴涵关系式集合Jr，令Q＝Bj，然后进入步骤B8。
本发明能够发现并修正由于***宕机而导致使用传统基于属性探索的RBAC角色构建方法构建访问控制***角色时的错误，准确实现角色构建，为现代工业和信息产业生产中操作角色及操作权限的安全科学的设定提供基础数据支撑，杜绝安全隐患。
附图说明
图1为本发明的流程示意图。
具体实施方式
以下结合附图和实施例对本发明作以详细的描述：
如图1所示，本发明所述的一种基于属性探索的RBAC角色容错辅助构建方法，依次包括以下步骤：
A：从某个部门的信息***中，获取该部门的访问控制日志记录，并对访问日志记录进行数据预处理，得到该部门的访问控制实例的初始集合KO和所有权限集合M；
所述的步骤A包含以下具体步骤：
A1：从某个部门的信息***中，获取该部门的访问控制日志记录，将访问控制日志中访问成功的记录，记为该部门下该用户拥有访问该资源的权限；例如在大型炼钢企业中，员工甲在6月21日操作生产环节中炼钢炉温度更改成功，则记录甲具有操作炼钢炉温度更改的权限；
A2：将访问控制日志中访问失败的记录，记为该部门下该用户不拥有访问该资源的权限；例如员工甲在6月21日操作生产环节中加氧量更改失败，则记录甲不具有操作生产环节中加氧量更改的权限；
A3：经数据处理，得到该部门下各个用户所具有的权限和不具有的权限。
例如本实施例中，经数据处理，得到用户甲所具有的权限和不具有的权限，如表1所示。
a b c d e f g h 1
甲 1 0 0 1 0 1 0 1 1
表1
其中，用户甲具有(adfhi)权限，不具有(bceg)权限；
A4：得到该部门的访问控制实例的初始集合KO和所有权限集合M。
B：利用蕴涵等值式，查找由于访问控制***宕机导致A步骤中得到的错误的访问控制实例，然后根据错误的访问控制实例，结合设定的正确答案，计算出待验证的蕴涵关系式集合Ja中需要删除和需要添加的蕴涵关系式，并根据计算得到的需要删除和需要添加的蕴涵关系式对待验证的蕴涵关系式集合Ja进行修正，最终得到步骤A中该部门的确定的访问控制实例的无冗余集合KS和验证后的蕴涵关系式集合Ja，同时确定角色集合R；a为all的首字母缩写；
所述的步骤B包括以下具体步骤：
B1：根据步骤A中得到的权限集合M＝(a1，a2，a3，…，an-1，an)，将所有权限集合M进行字典序排列后得到集合
Figure BDA0002657052570000081
Figure BDA0002657052570000082
初始化确定的访问控制实例的无冗余集合
Figure BDA0002657052570000083
待验证的蕴涵关系式集合
Figure BDA0002657052570000084
从集合Mq中取字典序排第一的权限集合
Figure BDA0002657052570000085
验证问题集合
Figure BDA0002657052570000086
n为正整数；
其中，字典序为形式概念分析中一种排序规则，验证问题集合D中包含以权限集合为前件诱导的蕴涵关系式的等值表达式，以及对权限集合进行验证得到的初始答案。
B2：对权限集合Q进行验证并得到初始答案，即在确定的访问控制实例的无冗余集合KS中计算fKs(gKs(Q))，若
Figure BDA0002657052570000087
则进入步骤B3；否则进入步骤B4；
其中，gKs(Q)为在确定的访问控制实例的无冗余集合KS中找出所有拥有权限集合Q的用户，fKs(gKs(Q))为在确定的访问控制实例的无冗余集合KS中找出所有拥有权限集合Q的用户所共同拥有的权限集合，gKo(fKs(gKs(Q))-Q)为在访问控制实例的初始集合KO中找出所有拥有权限fKs(gKs(Q))-Q的用户；权限集合Q为当前验证的权限集合；
B3：将蕴涵关系式Q-＞fKs(gKs(Q))-Q，即某个用户拥有权限集合Q那么该用户一定拥有权限fKs(gKs(Q))-Q，添加到蕴涵关系式集合Ja中，将离散数学中蕴涵关系式Q-＞fKs(gKs(Q))-Q的等值式
Figure BDA0002657052570000088
Figure BDA0002657052570000089
和初始答案
Figure BDA00026570525700000810
加入验证问题集合D中，然后进入步骤B5；
其中，对蕴涵关系式Q-＞fKs(gKs(Q))-Q的验证结果即为步骤B2中对权限集合Q进行验证后得到的初始答案，蕴涵关系式Q-＞fKs(gKs(Q))-Q中Q是该蕴涵关系式的前件，fKs(gKs(Q))-Q是该蕴涵关系式的后件，
Figure BDA0002657052570000091
中，V表示逻辑运算符“或”；
Figure BDA0002657052570000092
表示逻辑运算符“非”；
B4：从访问控制实例的初始集合KO中取出一个权限分配不符合蕴涵关系式Q-＞fKs(gKs(Q))-Q的实例o，即实例o拥有权限集合Q但是不拥有权限fKs(gKs(Q))-Q，将这个实例添加到确定的访问控制实例的无冗余集合KS中，将用户o所拥有的权限作为初始答案，并将离散数学中蕴涵关系式Q-＞fKs(gKs(Q))-Q的等值式
Figure BDA0002657052570000093
Figure BDA0002657052570000094
和初始答案加入验证问题集合D中，然后进入步骤B8；
B5：从验证问题集合D中随机取出一个问题，重新对权限集合Q进行验证并得到对比答案；若验证得到的对比答案与验证问题集合D中的初始答案一致，则进入步骤B6，否则进入步骤B7；
B6：根据形式概念分析中集合与蕴含集合相关性定理，在集合Mq中找出下一个与待验证的蕴含关系集合Ja相关的权限集合Q′，令Q＝Q′，然后进入步骤B8；
B7：令设定的正确答案为Or、步骤B5中得到的验证问题集合D中有误的初始答案为Oe、发现出错的权限集合为Bi、当前验证的权限集合为Bj、字典序中小于Bi的待验证的子蕴涵关系式集合为U、字典序大于Bi小于Bj的待验证的子蕴涵关系式集合为P，根据发现出错的权限集合Bi、正确答案Or、有误的初始答案Oe和蕴涵关系式集合内在逻辑关系，通过计算得到正确的蕴涵关系式集合Jr，令Ja＝Jr，然后进入步骤B8；r为right的首字母缩写；
其中，e是error的首字母缩写；下角标i和j均为正整数；待验证的子蕴涵关系式集合U和待验证的子蕴涵关系式集合P均为待验证的蕴涵关系式集合Ja的子集合；发现出错的权限集合Bi为验证问题集合D中有误的答案Oe所对应的权限集合，正确答案Or为正确的访问控制实例所拥有的权限集合；有误的初始答案Oe为错误的访问控制实例所拥有的权限集合；
所述步骤B7包括以下具体步骤：
B71：根据设定的正确答案Or、步骤B5中得到的验证问题集合D中有误的初始答案Oe、发现出错的权限集合Bi、当前验证的权限集合Bj、字典序中小于Bi的待验证的子蕴涵关系式集合U、字典序大于Bi小于Bj的待验证的子蕴涵关系式集合P；令正确的蕴涵关系式集合Jr＝U，进入步骤B72；
其中，发现出错的权限集合Bi与当前验证的权限集合Bj均属于集合Mq；
B72：计算出字典序中Bi的下一个与正确的蕴涵关系式集合Jr相关的权限集合T，令Bi＝T；如果以T为前件的蕴涵关系式属于待验证的子蕴涵关系式集合P，进入步骤B73，否则进入步骤B75；
B73：如果
Figure BDA0002657052570000101
并且
Figure BDA0002657052570000102
则将待验证的子蕴涵关系式集合P中前件为T的蕴涵关系式加入正确的蕴涵关系式集合Jr中，然后进入步骤B76；否则进入B74；
B74：如果T∩Oe＝c或者T∩Or＝c，且c∈P，则将待验证的子蕴涵关系式集合P中前件为T的蕴涵关系式加入到正确的蕴涵关系式集合Jr中，然后进入步骤B76；否则进入步骤B75；
其中集合c是权限集合T与正确答案Or的交集或者是权限集合T与有误的答案Oe的交集；
B75：在访问控制实例的初始集合KO中计算fKO(gKO(T))并将T-＞fKO(gKO(T))加入正确的蕴涵关系式集合Jr中，然后进入步骤B76；
B76：如果T＜Bj，则进入步骤B72，否则进入步骤B77；
步骤B76中，在字典序中递增，依次计算下一个与正确的蕴涵关系式集合Jr相关的权限集合T，直至T＝Bj。
B77：令待验证的蕴含关系集合Ja等于正确的蕴涵关系式集合Jr，令Q＝Bj，然后进入步骤B8；
B8：若Q＝M，进入步骤B9，否则返回步骤B2；
步骤B8中，在字典序中递增，依次计算下一个与蕴涵关系式集合Ja相关的权限集合Q，直至Q＝M。
B9：将计算后的待验证的蕴含关系集合Ja中蕴涵关系式后件为
Figure BDA0002657052570000111
的蕴涵关系式加入到角色集合R中，并得到该部门的确定的访问控制实例的无冗余集合KS和验证后的蕴涵关系式集合Ja。
如果不出现错误，步骤9中待验证的蕴含关系集合Ja，就是正确的蕴涵关系式集合。如果出现错误，在步骤B77中将每次修正后正确的蕴涵关系式集合Jr赋值给待验证的蕴含关系集合Ja，在循环结束后，验证后的蕴含关系集合Ja，就是已修改后正确的蕴涵关系式集合。
下面以某大型炼钢企业中构建RBAC角色为例：
步骤如下：
A：从某大型炼钢企业中部门的信息***中获取该部门的访问控制日志记录，并对访问日志记录进行数据预处理；得到访问控制实例如表2所示：
表2访问控制实例KO
Figure BDA0002657052570000112
Figure BDA0002657052570000121
所有权限M＝(a，b，c，d，e，f，g，h，i)。
B：利用蕴涵等值式，查找由于访问控制***宕机导致A步骤中得到的错误的访问控制实例，然后根据错误的访问控制实例，结合设定的正确答案，计算出待验证的蕴涵关系式集合Ja中需要删除和需要添加的蕴涵关系式，并根据计算得到的需要删除和需要添加的蕴涵关系式对待验证的蕴涵关系式集合Ja进行修正，最终得到步骤A中该部门的确定的访问控制实例的无冗余集合KS和验证后的蕴涵关系式集合Ja，同时确定角色集合R；a为all的首字母缩写；
B1：权限集合M中的字典序排列应该为
Figure BDA0002657052570000122
Figure BDA0002657052570000123
初始化确定的访问控制实例的无冗余集合
Figure BDA0002657052570000124
蕴涵关系式集合
Figure BDA0002657052570000125
从集合Mq中取字典序排第一的集合
Figure BDA0002657052570000126
验证问题集合
Figure BDA0002657052570000127
进入步骤B2；n为正整数；
B2：对权限集合Q进行验证并得到初始答案，即在确定的访问控制实例的无冗余集合KS中计算f(g(Q))＝(abcdefghi)，KS中g(Q)＝(甲，乙，丙，丁)，KO中
Figure BDA0002657052570000128
不满足KS中
Figure BDA0002657052570000129
在KO中g(f(g(Q))-Q)的条件，进入步骤B4；
B4：从访问控制实例的初始集合KO中取出一个权限分配不符合这条蕴涵规则的实例甲(cdefg)，并将这个实例添加到确定的访问控制实例的无冗余集合KS中，将用户o所拥有的权限cdefg作为初始答案，并将离散数学中蕴涵关系式Q-＞fKs(gKs(Q))-Q的等值式
Figure BDA0002657052570000131
Figure BDA0002657052570000132
和初始答案加入验证问题集合D中，然后进入步骤B8；
B8：因为Q≠M，返回步骤B2；
本文着重描述在发现错误时的过程，下面从步骤B5发现错误开始。
B5：从验证问题集合D中随机取出一个问题，重新对权限集合Q进行验证并得到对比答案；得到的对比答案与验证问题集合D中的初始答案不一致，进入步骤B7；
B7：根据设定的正确答案Or、步骤B5中得到的验证问题集合D中有误的初始答案Oe、发现出错的权限集合Bi、当前验证的权限集合Bj、字典序中小于Bi的待验证的子蕴涵关系式集合U和字典序大于Bi小于Bj的待验证的子蕴涵关系式集合P，根据出错的权限集合Bi、正确答案Or、有误的初始答案Oe和蕴涵关系式集合内在逻辑关系，计算得到正确的蕴涵关系式集合Jr，令Ja＝Jr，然后进入步骤B8；
B71：根据设定的正确答案Or＝cdeg、步骤B5中得到的验证问题集合D中有误的初始答案Oe＝cde。发现出错的权限集合Bi＝e、当前验证的权限集合Bj＝b、字典序中小于Bi的待验证的子蕴涵关系式集合U＝{i-＞g，h-＞abcd，f-＞cdeg，e-＞cdg}、字典序大于Bi小于Bj的待验证的子蕴涵关系式集合
Figure BDA0002657052570000133
Figure BDA0002657052570000134
令正确的蕴涵关系式集合Jr＝U，进入步骤B72；
B72：计算出字典序中Bi的下一个与正确的蕴涵关系式集合Jr相关的权限集合T＝d，以d为前件的蕴涵关系式属于待验证的子蕴涵关系式集合P，进入步骤B74；
B74：d∩Or＝d，d∩Oe＝d，将待验证的子蕴涵关系式集合P中前件为T的蕴涵关系式d-＞c加入蕴涵关系式集合Jr中，进入步骤B76；
B76：如果d＜b，则进入步骤B71；
……；
由于篇幅有限，重复过程本文不再赘述。
得到该部门的角色集合R为：
Figure BDA0002657052570000141
权限间蕴涵关系式集合Ja为：
Ja＝{i-＞g，h-＞abcd，f-＞cdeg，e-＞cdg，d-＞c，c-＞d，cdg-＞e，cdefgi-＞abfh，b-＞acdh，a-＞bcdh，abcdeh-＞fgi}；
得到该部门确定的访问控制实例的无冗余集合KS为：
a b c d e f g h i
甲 0 0 1 1 1 1 1 0 0
乙 0 0 0 0 0 0 1 0 1
丙 0 0 1 1 1 0 1 0 0
丁 1 1 1 1 0 0 0 1 0
即该部门***中应该设置角色应包含R中所有权限的集合，同时得到了该部门的蕴涵关系式集合为Ja，这些权限间蕴涵关系式更加地方便***管理员管理角色***。例如权限蕴涵关系式i-＞g，***管理就会知晓如果某员工具有i权限那么该员工必定拥有g权限。

Claims (4)

1.一种基于属性探索的RBAC角色容错辅助构建方法，其特征在于，包括以下步骤：
A：从某个部门的信息***中，获取该部门的访问控制日志记录，并对访问日志记录进行数据预处理，得到该部门的访问控制实例的初始集合KO和所有权限集合M；
B：利用蕴涵等值式，查找由于访问控制***宕机导致A步骤中得到的错误的访问控制实例，然后根据错误的访问控制实例，结合设定的正确答案，计算出待验证的蕴涵关系式集合Ja中需要删除和需要添加的蕴涵关系式，并根据计算得到的需要删除和需要添加的蕴涵关系式对待验证的蕴涵关系式集合Ja进行修正，最终得到步骤A中该部门的确定的访问控制实例的无冗余集合KS和验证后的蕴涵关系式集合Ja，同时确定角色集合R。
2.根据权利要求1所述的基于属性探索的RBAC角色容错辅助构建方法，其特征在于，所述的步骤A包括以下具体步骤：
A1：从某个部门的信息***中，获取该部门的访问控制日志记录，将访问控制日志中访问成功的记录，记为该部门下该用户拥有访问该资源的权限；
A2：将访问控制日志中访问失败的记录，记为该部门下该用户不拥有访问该资源的权限；
A3：经数据处理，得到该部门下各个用户所具有的权限和不具有的权限；
A4：得到该部门的访问控制实例的初始集合KO和所有权限集合M。
3.根据权利要求1所述的基于属性探索的RBAC角色容错辅助构建方法，其特征在于，所述的步骤B包括以下具体步骤：
B1：根据步骤A中得到的权限集合M＝(a1，a2，a3，…，an-1，an)，将所有权限集合M进行字典序排列后得到集合
Figure FDA0002657052560000021
Figure FDA0002657052560000022
初始化确定的访问控制实例的无冗余集合
Figure FDA0002657052560000023
待验证的蕴涵关系式集合
Figure FDA0002657052560000024
从集合Mq中取字典序排第一的权限集合
Figure FDA0002657052560000025
验证问题集合
Figure FDA0002657052560000026
n为正整数；
B2：对权限集合Q进行验证并得到初始答案，即在确定的访问控制实例的无冗余集合KS中计算fKs(gKs(Q))，若
Figure FDA0002657052560000027
则进入步骤B3；否则进入步骤B4；
其中，gKs(Q)为在确定的访问控制实例的无冗余集合KS中找出所有拥有权限集合Q的用户，fKs(gKs(Q))为在确定的访问控制实例的无冗余集合KS中找出所有拥有权限集合Q的用户所共同拥有的权限集合，gKo(fKs(gKs(Q))-Q)为在访问控制实例的初始集合KO中找出所有拥有权限fKs(gKs(Q))-Q的用户；权限集合Q为当前验证的权限集合；
B3：将蕴涵关系式Q-＞fKs(gKs(Q))-Q，即某个用户拥有权限集合Q那么该用户一定拥有权限fKs(gKs(Q))-Q，添加到蕴涵关系式集合Ja中，将离散数学中蕴涵关系式Q-＞fKs(gKs(Q))-Q的等值式
Figure FDA0002657052560000028
Figure FDA0002657052560000029
和初始答案
Figure FDA00026570525600000210
加入验证问题集合D中，然后进入步骤B5；
其中，对蕴涵关系式Q-＞fKs(gKs(Q))-Q的验证结果即为步骤B2中对权限集合Q进行验证后得到的初始答案，蕴涵关系式Q-＞fKs(gKs(Q))-Q中Q是该蕴涵关系式的前件，fKs(gKs(Q))-Q是该蕴涵关系式的后件，
Figure FDA0002657052560000031
中，V表示逻辑运算符“或”；
Figure FDA0002657052560000032
表示逻辑运算符“非”；
B4：从访问控制实例的初始集合KO中取出一个权限分配不符合蕴涵关系式Q-＞fKs(gKs(Q))-Q的实例o，即实例o拥有权限集合Q但是不拥有权限fKs(gKs(Q))-Q，将这个实例添加到确定的访问控制实例的无冗余集合KS中，将用户o所拥有的权限作为初始答案，并将离散数学中蕴涵关系式Q-＞fKs(gKs(Q))-Q的等值式
Figure FDA0002657052560000033
Figure FDA0002657052560000034
和初始答案加入验证问题集合D中，然后进入步骤B8；
B5：从验证问题集合D中随机取出一个问题，重新对权限集合Q进行验证并得到对比答案；若验证得到的对比答案与验证问题集合D中的初始答案一致，则进入步骤B6，否则进入步骤B7；
B6：根据形式概念分析中集合与蕴含集合相关性定理，在集合Mq中找出下一个与待验证的蕴含关系集合Ja相关的权限集合Q′，令Q＝Q′，然后进入步骤B8；
B7：令设定的正确答案为Or、步骤B5中得到的验证问题集合D中有误的初始答案为Oe、发现出错的权限集合为Bi、当前验证的权限集合为Bj、字典序中小于Bi的待验证的子蕴涵关系式集合为U、字典序大于Bi小于Bj的待验证的子蕴涵关系式集合为P，根据发现出错的权限集合Bi、正确答案Or、有误的初始答案Oe和蕴涵关系式集合内在逻辑关系，通过计算得到正确的蕴涵关系式集合Jr，令Ja＝Jr，然后进入步骤B8；
B8：若Q＝M，进入步骤B9，否则返回步骤B2；
B9：将计算后的待验证的蕴含关系集合Ja中蕴涵关系式后件为
Figure FDA0002657052560000035
的蕴涵关系式加入到角色集合R中，并得到该部门的确定的访问控制实例的无冗余集合KS和验证后的蕴涵关系式集合Ja。
4.根据权利要求3所述的基于属性探索的RBAC角色容错辅助构建方法，其特征在于，所述的步骤B7包含以下具体步骤：
B71：根据设定的正确答案Or、步骤B5中得到的验证问题集合D中有误的初始答案Oe、发现出错的权限集合Bi、当前验证的权限集合Bj、字典序中小于Bi的待验证的子蕴涵关系式集合U、字典序大于Bi小于Bj的待验证的子蕴涵关系式集合P；令正确的蕴涵关系式集合Jr＝U，进入步骤B72；
B72：计算出字典序中Bi的下一个与正确的蕴涵关系式集合Jr相关的权限集合T，令Bi＝T；如果以T为前件的蕴涵关系式属于待验证的子蕴涵关系式集合P，进入步骤B73，否则进入步骤B75；
B73：如果
Figure FDA0002657052560000041
并且
Figure FDA0002657052560000042
则将待验证的子蕴涵关系式集合P中前件为T的蕴涵关系式加入正确的蕴涵关系式集合Jr中，然后进入步骤B76；否则进入B74；
B74：如果T∩Oe＝c或者T∩Or＝c，且c∈P，则将待验证的子蕴涵关系式集合P中前件为T的蕴涵关系式加入到正确的蕴涵关系式集合Jr中，然后进入步骤B76；否则进入步骤B75；
其中，集合c是权限集合T与正确答案Or的交集或者是权限集合T与有误的答案Oe的交集；
B75：在访问控制实例的初始集合KO中计算fK0(gK0(T))并将T-＞fK0(gK0(T))加入正确的蕴涵关系式集合Jr中，然后进入步骤B76；
B76：如果T＜Bj，则进入步骤B72，否则进入步骤B77；
B77：令待验证的蕴含关系集合Ja等于正确的蕴涵关系式集合Jr，令Q＝Bj，然后进入步骤B8。
CN202010891207.8A 2020-08-30 2020-08-30 一种基于属性探索的rbac角色容错辅助构建方法 Active CN111967034B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010891207.8A CN111967034B (zh) 2020-08-30 2020-08-30 一种基于属性探索的rbac角色容错辅助构建方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010891207.8A CN111967034B (zh) 2020-08-30 2020-08-30 一种基于属性探索的rbac角色容错辅助构建方法

Publications (2)

Publication Number Publication Date
CN111967034A true CN111967034A (zh) 2020-11-20
CN111967034B CN111967034B (zh) 2022-09-16

Family

ID=73401018

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010891207.8A Active CN111967034B (zh) 2020-08-30 2020-08-30 一种基于属性探索的rbac角色容错辅助构建方法

Country Status (1)

Country Link
CN (1) CN111967034B (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114268649A (zh) * 2021-12-21 2022-04-01 河南大学 一种面向物联网的rbac权限修改方法
CN114448659A (zh) * 2021-12-16 2022-05-06 河南大学 基于属性探索的黄河坝岸监测物联网访问控制优化方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060089932A1 (en) * 2004-10-22 2006-04-27 International Business Machines Corporation Role-based access control system, method and computer program product
US20060218394A1 (en) * 2005-03-28 2006-09-28 Yang Dung C Organizational role-based controlled access management system
CN102354357A (zh) * 2011-09-28 2012-02-15 上海电力学院 智能电网分区防护***漏洞的格蕴含推理算法
CN103701801A (zh) * 2013-12-26 2014-04-02 四川九洲电器集团有限责任公司 一种资源访问控制方法
CN106056270A (zh) * 2016-05-13 2016-10-26 西安工程大学 基于改进rbac的纺织生产管理***数据安全设计方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060089932A1 (en) * 2004-10-22 2006-04-27 International Business Machines Corporation Role-based access control system, method and computer program product
US20060218394A1 (en) * 2005-03-28 2006-09-28 Yang Dung C Organizational role-based controlled access management system
CN102354357A (zh) * 2011-09-28 2012-02-15 上海电力学院 智能电网分区防护***漏洞的格蕴含推理算法
CN103701801A (zh) * 2013-12-26 2014-04-02 四川九洲电器集团有限责任公司 一种资源访问控制方法
CN106056270A (zh) * 2016-05-13 2016-10-26 西安工程大学 基于改进rbac的纺织生产管理***数据安全设计方法

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
DAU,F ETC.: "Access Policy Design Supported by FCA Methods", 《17TH INTERNATIONAL CONFERENCE ON CONCEPTUAL STRUCTURES》 *
张劲松等: "形式背景的蕴涵规则提取算法", 《电脑开发与应用》 *
张磊等: "基于概念格的RBAC模型中角色最小化问题的理论与算法", 《电子学报》 *
栾俊清: "基于概念格的大数据访问控制技术研究", 《硕士电子期刊》 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114448659A (zh) * 2021-12-16 2022-05-06 河南大学 基于属性探索的黄河坝岸监测物联网访问控制优化方法
CN114448659B (zh) * 2021-12-16 2022-10-11 河南大学 基于属性探索的黄河坝岸监测物联网访问控制优化方法
CN114268649A (zh) * 2021-12-21 2022-04-01 河南大学 一种面向物联网的rbac权限修改方法
CN114268649B (zh) * 2021-12-21 2022-09-13 河南大学 一种面向物联网的rbac权限修改方法

Also Published As

Publication number Publication date
CN111967034B (zh) 2022-09-16

Similar Documents

Publication Publication Date Title
CN111967034B (zh) 一种基于属性探索的rbac角色容错辅助构建方法
US9081978B1 (en) Storing tokenized information in untrusted environments
US5226158A (en) Method and apparatus for maintaining referential integrity within a relational database
CN111950013B (zh) 一种基于属性探索的rbac角色快速辅助构建方法
KR101598738B1 (ko) 제어 프로그램 관리 시스템, 및 제어 프로그램의 변경 방법
CN112231283B (zh) 基于多源异构数据统一实体标识码的生成管理方法及***
Choi et al. Forensic recovery of SQL server database: Practical approach
Parapar et al. Testing the tests: simulation of rankings to compare statistical significance tests in information retrieval evaluation
CN111783043B (zh) 一种基于属性探索的多部门协同交互式rbac角色构建方法
Odeh et al. Reliability of statistical software
WO2022225467A1 (en) System and method for creating multi dimension blockchain
EP4315096A1 (en) Secret detection on computing platform
JPH06243016A (ja) ファイル機密保護方法
CN116186068B (zh) 一种临床试验结果分析报表审核方法、***及介质
Wurzenberger et al. Discovering insider threats from log data with high-performance bioinformatics tools
CN110427770A (zh) 一种支持业务安全标记的数据库访问控制方法及***
KR101415528B1 (ko) 분산된 시스템을 위한 데이터 오류 처리 장치 및 방법
Li et al. DPIF: a framework for distinguishing unintentional quality problems from potential shilling attacks
KR102182573B1 (ko) 대용량 데이터 환경에서 접근권한 인증 장치 및 그를 위한 컴퓨터로 읽을 수 있는 기록매체
CN113364592A (zh) 一种基于信誉值联盟链的工程***文件管理***及方法
US20190286416A1 (en) Information processing apparatus, information processing system, and non-transitory computer readable medium storing program
CN114268649B (zh) 一种面向物联网的rbac权限修改方法
US11669628B2 (en) Data management device, data management system, and data management method
Xu et al. A user behavior credibility calculation method based on behavior co-occurrence
CN117892279B (zh) 一种用于软件开发的计算机***加密方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant