CN118245989A

CN118245989A - 面向信息管理的防越权、方法、设备及存储介质

Info

Publication number: CN118245989A
Application number: CN202410484365.XA
Authority: CN
Inventors: 潘春晓
Original assignee: China Construction Bank Corp; CCB Finetech Co Ltd
Current assignee: China Construction Bank Corp; CCB Finetech Co Ltd
Priority date: 2024-04-22
Filing date: 2024-04-22
Publication date: 2024-06-25

Abstract

本公开提出一种面向信息管理***的防越权***、方法、设备及存储介质，涉及信息安全技术领域，包括：信息管理***MIS、信息存储模块、查询处理模块、越权模块适配器和微服务模块；MIS用于从数据源中收集数据，并将数据存储到信息存储模块，以及对数据进行处理；查询处理模块用于根据用户的查询请求，从信息存储模块中获取数据；越权模块适配器用于：进行越权检测以识别越权访问请求；基于预设的越权控制策略，对越权访问请求进行处理；越权模块适配器还用于：根据对查询请求的校验结果，将查询请求传递至对应的微服务模块进行鉴权。由此，构建了安全的信息管理***，使得MIS***能够更好地适应多变的威胁环境，从而提高了***的自适应性和安全性。

Description

面向信息管理***的防越权***、方法、设备及存储介质

技术领域

本公开涉及信息安全技术领域，尤其涉及一种面向信息管理***的防越权***、方法、设备及存储介质。

背景技术

信息管理***(MIS，Management Information System)是指为组织中的管理层提供信息支持和决策支持的***。MIS作为管理信息的核心***，在设计和落地中更关注信息和数据的获取、处理、利用，随着日益严峻的网络安全形式以及各类组织中对信息保护的不断增长的需求，传统的MIS极大可能造成信息泄露，即数据越权。

相关技术中，在针对MIS***防越权时，聚焦于多次接***互，增加加密等机制，预先在***内置一定量的加密规则，但设计流程繁琐复杂，多次交互均存在中间人攻击可能性，即使有加密机制，加密前的明文存在被篡改的可能性，反而成为***重大漏洞。

发明内容

本公开旨在至少在一定程度上解决相关技术中的技术问题之一。

本公开第一方面实施例提出了一种面向信息管理***的防越权***，包括：

信息管理***MIS、信息存储模块、查询处理模块、越权模块适配器和至少一个微服务模块；其中，所述MIS用于从不同的数据源中收集数据，并将所述数据存储到所述信息存储模块，以及对所述数据进行处理；

所述查询处理模块用于根据用户的查询请求，从所述信息存储模块中获取目标所需数据；

所述越权模块适配器用于：进行越权检测以识别越权访问请求；以及，基于预设的越权控制策略，对所述越权访问请求进行处理；

所述越权模块适配器还用于：根据对所述查询请求的校验结果，将所述查询请求传递至对应的所述微服务模块进行鉴权。

可选的，所述信息存储模块包括基本信息数据模块和控制信息数据模块，其中，

所述基本信息数据模块用于存储与实际业务关联的基本信息；

所述控制信息数据模块用于存储与***运行和安全管理相关的关键信息，其中，所述关键信息至少包括访问控制规则、权限配置和安全策略。

可选的，所述信息存储模块用于：

将数据库和文件***存储在存储介质中；

接收所述查询请求，并根据所述查询请求中的索引信息，获取用于支持所述实际业务的所述目标所需数据。

可选的，所述多个微服务模块中含有IP校验模块，所述IP校验模块具体用于：

根据预定的规则，检查IP地址；

在所述IP地址为合法地址的情况下，确定所述IP地址可访问所述MIS***，其中，所述预定的规则包括以下一种或者多种：IP网段、是否内网、是否日常访问IP、IP是否公有云资源池、白名单、黑名单。

可选的，所述多个微服务模块中含有用户行为习惯模块，所述用户行为习惯模块具体用于：

收集所述用户的行为数据，所述行为数据包含访问时间段、操作习惯以及使用频率；

根据所述行为数据，生成所述用户的行为画像；

判断所述越权访问请求是否符合所述行为画像，以得到判断结果；

根据所述判断结果，判断是否存在越权行为。

可选的，所述多个微服务模块中含有可访问范围校验模块，所述可访问范围校验模块具体用于：

判断所述用户是否有权访问指定信息或者执行指定操作；

根据预定义的访问控制规则，判断是否授权用户请求；

若授权用户请求，则确定授权用户可访问的所述指定信息和可使用的功能。

可选的，所述越权模块适配器具体用于：

根据所述用户的查询请求，确定待校验信息；

基于所述待校验信息，从多个微服务模块中确定目标微服务模块，其中，所述目标微服务模块为一个或者多个；

将所述查询请求路由至所述目标微服务模块进行用户鉴权。

可选的，所述越权模块适配器还用于：

作为微服务注册中心非重启式注册并接入第一微服务模块。

可选的，所述越权模块适配器还用于：

根据所述用户的查询请求，确定待校验信息；

确定与所述待校验信息对应的访问权限和第一访问范围；

根据所述访问权限，确定所述用户对应的第二访问范围；

根据所述第一访问范围和所述第二访问范围，判断所述查询请求是否为越权访问请求。

可选的，所述MIS还用于：

在对所述用户鉴权通过的情况下，将所述目标所需数据发布给所述用户。

本公开第二方面实施例提出了一种面向信息管理***的防越权方法，包括：

接收用户的查询请求；

根据所述查询请求，确定待校验信息；

根据所述目标微服务模块的鉴权结果，判断所述查询请求是否为越权访问请求；

根据对所述查询请求的判断结果，获取目标所需数据以提供给用户。

可选的，所述根据所述目标微服务模块的鉴权结果，判断所述查询请求是否为越权访问请求，包括：

在所述目标微服务模块为IP校验模块的情况下，根据预定的规则，检查IP地址；

在所述目标微服务模块为用户行为习惯模块的情况下，收集所述用户的行为数据，所述行为数据包含访问时间段、操作习惯以及使用频率；

根据所述行为数据，生成所述用户的行为画像；

根据所述判断结果，判断是否存在越权行为。

在所述目标微服务模块为可访问范围校验模块的情况下，判断所述用户是否有权访问指定信息或者执行指定操作；

根据预定义的访问控制规则，判断是否授权用户请求；

本公开第三方面实施例提出了一种电子设备，包括：至少一个处理器；以及与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行本公开实施例的面向信息管理***的防越权方法。

本公开第四方面实施例提出了一种存储有计算机指令的非瞬时计算机可读存储介质，所述计算机指令用于使所述计算机执行本公开实施例公开的面向信息管理***的防越权方法。

本公开第五方面实施例提出了一种计算机程序产品，所述计算机程序被处理器执行时执行本公开实施例公开的面向信息管理***的防越权方法。

本公开实施例引入了装配式逻辑，无需中断MIS***的运行和重新启动服务。对于大型组织和关键业务***非常重要，可以保持连续的服务。通过微服务注册的方式引入防越权模块，***可以实现动态扩展，同时保证高可用性和扩展性。这样，MIS***可以在保持高度安全性的同时，提供更稳定的服务。

本公开附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本公开的实践了解到。

附图说明

本公开上述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和容易理解，其中：

图1为本公开第一实施例提供的一种面向信息管理***的防越权***的结构示意图；

图2是本公开第二实施例提供的一种面向信息管理***的防越权方法的流程示意图；

图3是本公开第三实施例提供的一种面向信息管理***的防越权方法的流程示意图；

图4是用来实现本公开实施例的面向信息管理***的防越权方法的电子设备的框图。

具体实施方式

下面详细描述本公开的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，旨在用于解释本公开，而不能理解为对本公开的限制。

MIS指信息管理***(Management Information System)，是一种结合信息技术与管理学概念的***化框架。其目标是协助组织内部的管理层从海量的数据中获取、处理和利用信息，以支持决策制定、规划和业务运营。MIS利用计算机技术，通过收集、存储、处理和传递数据，生成有关组织内部各个方面的报告和分析。MIS包括硬件、软件、数据、过程和人员等要素。它能够整合不同部门和层级的信息，为管理者提供及时、准确的数据，帮助他们更好地了解组织的运作状况，预测趋势，并做出更明智的决策。此外，MIS也有助于优化业务流程，提高工作效率，降低成本。MIS的应用范围广泛，涵盖了各行各业，如生产、销售、财务、人力资源等领域。它可以根据组织的需求定制，以满足特定的信息管理和决策支持要求。

相关技术中，针对MIS***防越权聚焦于多次接***互，增加加密等机制，预先在***内置一定量的加密规则，但设计流程繁琐复杂，多次交互均存在中间人攻击可能性，即使有加密机制，加密前的明文存在被篡改的可能性，反而成为***重大漏洞；预设的校验规则校验逻辑单一，无法应对形式多样的越权请求，而新增规则不仅需要变动代码，还需要重启服务，造成运维压力。同时暂无针对MIS类***进行单独设计，在该类***的防越权设计中对于***特色安全需要、灵活可变的规则化模块配置、简单的处理流程还鲜有研究。因此，本公开实施例提出了一种面向信息管理***的防越权***，以解决上述材料中的至少一个问题。

针对上述问题，本公开提出一种面向信息管理***的防越权***、方法、设备及存储介质。

下面结合参考附图描述本公开实施例的面向信息管理***的防越权***、方法、设备及存储介质。

需要说明的是，本公开所涉及的信息(包括但不限于用户设备信息、用户个人信息等)、数据(包括但不限于用于分析的数据、存储的数据、展示的数据等)以及信号，均为经用户授权或者经过各方充分授权的，且相关数据的收集、使用和处理需要遵守相关国家和地区的相关法律法规和标准。本公开技术方案中对数据的获取、传输、存储、使用、处理等均符合国家法律法规的相关规定。

需要说明的是，在本公开实施例中，可能提及某些软件、组件、模型等业界已有方案，应当将它们认为是示范性的，其目的仅仅是为了说明本公开技术方案实施中的可行性，但并不意味着申请人已经或者必然用到了该方案。

图1为本公开实施例所提供的一种面向信息管理***的防越权***的结构示意图。

如图1所示，该一种面向信息管理***的防越权***，包括：信息管理***101、信息存储模块102、查询处理模块103、越权模块适配器104和至少一个微服务模块105；其中，MIS用于从不同的数据源中收集数据，并将数据存储到信息存储模块，以及对数据进行处理；

查询处理模块用于根据用户的查询请求，从信息存储模块中获取目标所需数据；

越权模块适配器用于：进行越权检测以识别越权访问请求；以及，基于预设的越权控制策略，对越权访问请求进行处理；

越权模块适配器还用于：根据对查询请求的校验结果，将查询请求传递至对应的微服务模块进行鉴权。

其中，MIS信息管理***是整个防越权***的核心，它负责管理和整合各种信息数据，提供高效、可靠的信息管理和处理功能，比如数据的收集、存储、分析和呈现，以支持组织内的决策制定和运营管理。其中，MIS***可以将各种信息数据从不同的源头整合到一个集中的平台，以便用户可以方便地访问和利用这些数据来支持业务需求。

具体而言，MIS***可以通过多种方式(例如手工输入、自动采集)收集组织内外部的各类数据，包括销售数据、财务数据、库存数据、人力资源数据等。之后，可以对收集到的数据经过整理、加工、汇总等处理，转化为有用的信息，以便管理层进行分析和决策。其中，MIS***通常会建立一个数据库来存储各类数据，确保数据的安全性、完整性和可靠性。最后，MIS***会生成各类报表、图表和分析结果，为管理层提供直观、清晰的信息。

其中，查询处理模块是防越权***中的核心组件之一，它负责接收和处理用户的查询请求，并从信息存储模块中检索所需的数据，该模块的主要目标是实现高效的查询操作，以满足用户的需求。以下是查询处理模块的几个主要方面：第一：查询优化，查询优化是指对用户查询进行分析和转换，以提高查询的执行效率。这包括选择合适的查询执行计划、优化查询的连接顺序、选择合适的索引等技术手段，以确保查询能够以最快的速度完成。第二，索引管理，索引是一种特定的数据结构，用于加速数据的检索。查询处理模块负责管理和维护索引，以便在查询过程中快速定位所需的数据。常见的索引类型包括B树索引、哈希索引等。第三，缓存技术，缓存是指将热门或频繁访问的数据存储在高速存储介质中，以加快数据的访问速度。查询处理模块可以使用缓存技术，将查询结果缓存在内存中，以便下次查询时能够快速返回结果。

其中，越权模块适配器的主要作用是进行越权检测以识别越权访问请求，并基于预设的越权控制策略对越权访问请求进行处理。在信息管理***中，越权指的是用户试图访问其权限范围之外的资源或进行未经授权的操作。适配器模式在这里可能被使用，以便统一处理越权检测和控制，同时与其他模块进行适当的集成。

可选的，越权模块适配器可以根据预设的越权控制策略对检测到的越权访问请求进行处理，比如拒绝访问、记录日志、发出警告等措施，以保护***的安全和数据的完整性。可选的，越权模块适配器还可以与其他模块进行有效的集成，以确保越权检测和处理的结果能够影响到***的其他部分，比如用户界面、数据存储模块等。

需要说明的是，越权模块适配器除了进行越权检测和处理外，还可以用于根据对查询请求的校验结果，将查询请求传递至对应的微服务模块进行鉴权。越权模块适配器在接收到查询请求后，会先进行越权检测以确定是否存在越权行为，然后根据检测结果将查询请求传递给对应的微服务模块进行鉴权操作。

可选的，越权模块适配器可以对查询请求进行校验，包括验证请求的合法性、完整性和准确性，以确保请求符合***的规则和要求。进一步的，还可以根据校验结果，适配器将查询请求传递至对应的微服务模块进行鉴权操作。

其中，微服务模块在接收到查询请求后，会进行鉴权操作，即验证请求的权限和身份信息，以确定用户是否有权执行该查询操作。

其中，基本信息数据模块中存储的数据主要是与实际业务相关的基本信息，如员工名单、部门信息、产品目录等。这类数据通常是组织运营和管理中必不可少的，为企业的各项活动提供支持。另外，基本信息数据模块还可以提供对基本信息数据的存储和管理功能，包括添加新数据、修改现有数据、删除数据以及查询数据等操作。这些操作可以帮助用户有效地管理和维护组织的基本信息。

需要说明的是，基本信息数据模块通常作为信息存储模块的基础构建块，用于支持各种业务流程和决策，并可以作为控制信息数据模块所限制的对象。

其中，控制信息数据模块是用于存储与***运行和安全管理相关的关键信息的模块。它包含了访问控制规则、权限配置和安全策略等关键信息，以确保***的安全性和合规性，并管理用户和角色的权限。在控制信息数据模块中，至少可以存储以下关键信息：

(1)访问控制规则：包括对***资源访问的规则定义，如访问对象、访问时间、被允许或禁止的操作等。这些规则可以基于用户身份、角色、时间、地点等因素进行配置，以实现精确的访问控制。

(2)权限配置：管理用户和角色的权限配置信息，确定不同用户或角色对***资源的操作权限，这包括对普通信息数据模块的访问权限范围、特定操作的权限等配置。

(3)安全策略：定义***的安全策略，包括密码策略、会话管理策略、审计策略等。这些策略有助于提高***的安全性，防止未经授权的访问和滥用。

可选的，越权校验模块可以根据具体需求调整控制信息，例如IP校验信息和可访问范围校验信息。IP校验信息可以包括IP网段、是否内网、是否日常访问IP、IP是否公有云资源池等信息，以限制对普通信息数据模块的访问范围。可访问范围校验信息可以包括普通信息所属区域代码、部门代码、岗位代码等。通过控制信息数据模块的配置，***可以实现精细化的访问控制和权限管理，确保只有经授权的用户能够访问和操作相关数据，提高***的安全性和合规性。

可选的，所述信息存储模块用于：

将数据库和文件***存储在存储介质中；

接收所述查询请求，并根据所述查询请求中的索引信息，获取用于支持所述实际业务的目标所需数据。

其中，信息存储模块可以负责将各种信息数据安全地存储在适当的介质上，如数据库、文件***等，其可以实现的功能涵盖了数据的存储、备份、恢复，以及数据完整性和可用性的管理，对整个***的正常运行至关重要。

可选的，通过信息存储模块可以安全存储数据，确保各种信息数据被安全地存储在适当的介质上，如数据库、文件***等，还可以设计并执行定期的数据备份策略，确保数据的安全性和可靠性。同时，能够在数据丢失或损坏时进行快速有效的数据恢复操作。进一步的，可以确保存储的数据完整性，避免数据损坏或篡改，并保证数据的可用性，以便用户可以随时访问所需的信息。最后，还可以通过合理的数据存储结构设计和索引优化等手段，提高数据的读写性能，保证***的高效运行，以及将普通信息数据和控制信息数据以适当的数据接口存储起来，确保数据的安全性和可管理性。

其中，信息存储模块的稳定性和性能直接影响整个MIS***的正常运行和用户体验，通过有效管理数据的存储、备份和恢复，以及保障数据的完整性和可用性，信息存储模块可以为MIS***提供可靠的数据支持，保障***的运行稳定性和数据安全性。

可选的，所述至少一个微服务模块中含有IP校验模块，所述IP校验模块具体用于：

根据预定的规则，检查IP地址；

需要说明的是，在微服务架构中，IP校验模块用于根据预定的规则检查IP地址，并确定该IP地址是否可以访问MIS***，进而帮助限制对MIS***的访问范围，提高***的安全性。

其中，IP校验模块可以根据以下预定的规则进行判断：

IP网段：可以配置允许或禁止特定IP网段的访问。通过设定允许的IP网段，可以限制只有来自指定网段的IP地址才能访问***。

是否内网：可以设置仅允许内网IP地址访问***，以限制外部网络的访问。

是否日常访问IP：可以配置允许仅特定的日常访问IP地址访问***，以确保只有经过审批的IP地址可以访问。

IP是否公有云资源池：可以根据IP地址是否属于公有云资源池来决定是否允许访问。这可以帮助排除一些可能的风险因素。

白名单和黑名单：可以根据事先设定的白名单和黑名单来判断IP地址的合法性。白名单中列出的IP地址被认为是可信任的，而黑名单中列出的IP地址将被禁止访问。

可选的，所述至少一个微服务模块中含有用户行为习惯模块，所述用户行为习惯模块具体用于：

根据所述行为数据，生成所述用户的行为画像；

根据所述判断结果，判断是否存在越权行为。

其中，用户行为习惯模块微服务其功能主要包括监测和分析用户的行为习惯和模式，以便检测异常活动和威胁，加强***的安全性。通过分析用户典型行为，可以提前识别异常情况，进而减少安全风险。

具体来说，用户行为***时行为习惯不符的活动，从而及时发现可能存在的安全威胁和异常行为。收集用户的行为数据，如访问时间段、操作习惯等，形成用户行为画像。通过对比用户实际行为与其典型行为画像，可以判断是否存在异常情况。可选的，可以与越权模块适配器连接，接收并分析查询处理模块的访问请求。根据用户行为画像和越权规则进行对比，判断是否存在越权行为。

进一步的，当用户行为习惯模块发现与用户行为画像不符的异常活动时，及时向***管理员发送警报，以便及时采取相应的安全措施来保护***和数据的安全。

通过以上功能，用户行为习惯模块微服务可以有效地监测用户行为，识别异常活动和潜在威胁，帮助加强***的安全性，通过分析用户的典型行为并与实际行为进行对比，可以提前预警可能存在的安全问题，从而保障***的正常运行和数据的安全。

可选的，所述至少一个微服务模块中含有可访问范围校验模块，所述可访问范围校验模块具体用于：

判断所述用户是否有权访问指定信息或者执行指定操作；

根据预定义的访问控制规则，判断是否授权用户请求；

需要说明的是，可访问范围校验模块在微服务中可以用于验证用户是否有权访问指定的信息或执行指定的操作。它会检查用户的身份和权限，并与预定义的访问控制规则进行比对。进一步的，可访问范围校验模块会使用预定义的访问控制规则来判断是否授权用户的请求。这些规则可以包括角色、权限、资源等方面的定义，以决定用户是否具备所需权限。如果用户被授权，可访问范围校验模块将确定用户可以访问的指定信息和可使用的功能。它会根据用户的权限级别或角色，限制用户对***中不应被访问的信息或功能的访问。

具体而言，可访问范围校验模块主要用于检查用户或角色是否有权访问特定信息或执行特定操作，并且根据预定义的访问控制规则来进行授权判断，确保了***的数据和功能只能被授权用户访问，从而提高了***的安全性和合规性。

另外，基本信息数据模块可以包括所属区域代码、普通信息所属部门代码、普通信息所属岗位代码，这些数据的可访问范围是非常重要的。而可访问范围校验模块微服务通过越权模块适配器透传的查询处理模块的访问请求进行对比，以判断是否符合可访问范围，这样的设计考虑了***整体的权限控制与数据访问安全，为***的安全运行提供了有效的保障。

可选的，所述越权模块适配器具体用于：

根据所述用户的查询请求，确定待校验信息；

将所述查询请求路由至所述目标微服务模块进行用户鉴权。

其中，越权模块适配器的主要功能是管理和执行越权检测和控制策略，用于识别潜在的越权访问尝试，并根据预定义的规则进行阻止或允许访问。这样的设计确保了***只允许合法用户进行操作，有效地避免了未经授权的访问和潜在的安全威胁。

此外，越权模块适配器与其他微服务的协同工作也非常重要。通过与可访问范围校验模块微服务、IP校验模块微服务、用户行为习惯模块微服务等微服务连通，适配器可以根据访问的基本信息和控制信息数据来判断路由指向哪些鉴权微服务，并将用户请求继续透传至相应的微服务进行鉴权。这种整合和协同工作提高了***的整体安全性和效率。

最后，越权模块适配器作为注册发现中心，实现了非重启式接入，即装配式接入，这意味着在***运行过程中无需主服务重启，就可以动态接入新的功能或服务，从而实现了***的高可用性和灵活性。这种设计对于***的可维护性和可扩展性都具有很大的价值。

可选的，所述越权模块适配器还用于：

作为微服务注册中心非重启式注册并接入第一微服务模块。

其中，第一微服务模块可以为新注册的微服务模块。在可访问范围校验模块微服务、IP校验模块微服务、用户行为习惯模块微服务正常运行的情况下，越权模块适配器可以动态接入新的功能或服务。由此，实现了一种装配式逻辑，无需中断MIS***的运行，也无需重新启动服务，这一特性对于大型组织和关键业务***至关重要，因为它们不能轻易中断服务。通过采用微服务注册的方式引入我们的防越权模块，***可以实现动态扩展，保证了***的高可用性和扩展性。MIS***可以在保持高度安全性的同时，提供更稳定的服务。

除此之外，本公开还精简了授权流程，只需要进行一次交易即可完成验证，无需执行传统的两次交易。这种流程简化不仅提高了用户体验，还有效地减少了中间人攻击的风险。用户可以在一次交易中安全地完成其操作，无需担心信息泄露或篡改。***管理员可以根据特定的安全需求自定义防越权规则。这个丰富的规则库使得MIS***能够更好地适应多变的威胁环境，从而提高了***的自适应性和安全性。

可选的，所述越权模块适配器还用于：

根据所述用户的查询请求，确定待校验信息；

确定与所述待校验信息对应的访问权限和第一访问范围；

根据所述访问权限，确定所述用户对应的第二访问范围；

其中，可以将查询请求分为基本信息请求和待校验信息。具体的，可以根据待检验信息确定用户身份，以及该用户身份所对应的访问权限，以及每个基本信息对应的可访问范围，也即第一访问范围。其中，第一访问范围是根据查询请求所确定的访问范围。第二访问范围是根据访问用户的访问权限所确定的访问范围。通过比较第一访问范围和第二访问范围，可以判断访问用户是否越权访问。

可选的，所述MIS还用于：

本公开实施例所提出的面向信息管理***的防越权***，至少包括以下有益效果：

(1)针对MIS***的安全问题提供解决方案，使得***管理员能够更有效地应对潜在的安全风险，并确保敏感信息的机密性和完整性。

(2)引入了装配式逻辑，无需中断MIS***的运行和重新启动服务。对于大型组织和关键业务***非常重要，可以保持连续的服务。通过微服务注册的方式引入防越权模块，***可以实现动态扩展，同时保证高可用性和扩展性。这样，MIS***可以在保持高度安全性的同时，提供更稳定的服务。

(3)精简了授权流程，只需要进行一次交易即可完成验证，无需执行传统的两次交易。这种流程简化提高了用户体验，同时有效减少了中间人攻击的风险。用户可以在一次交易中安全地完成操作，无需担心信息泄露或篡改。

(4)允许引入多样化的泛维度校验逻辑，***管理员可以根据特定的安全需求自定义防越权规则。这个丰富的规则库使得MIS***能够更好地适应多变的威胁环境，提高***的自适应性和安全性。

其中，需要说明的是，本实施例的面向信息管理***的防越权方法的执行主体可以为面向信息管理***的防越权***，该***可以配置任意电子设备或者服务器中，在此不进行限定。本公开实施例中，将以“面向信息管理***的防越权***”作为执行主体执行面向信息管理***的防越权方法来进行说明，在此不进行限定。

图2是根据本公开第二实施例提供的面向信息管理***的防越权方法的流程示意图。

如图2所示，该方法包括：

S201：接收用户的查询请求。

其中，查询请求是用户向信息管理***发起的对信息存储模块中所存储的数据的获取请求。

其中，信息存储模块中可以存储有基本信息和控制信息。信息存储模块负责将各种信息数据安全地存储在适当的存储介质上，包括数据库、文件***等，另外还涵盖了数据的备份、恢复、数据完整性和可用性的管理。

其中，基本信息是与实际业务相关的基本信息，如员工名单、部门信息、产品目录等。这类数据通常是组织运营和管理中必不可少的，为企业的各项活动提供支持。

其中，控制信息是与***运行和安全管理相关的关键信息的模块，包含了访问控制规则、权限配置和安全策略等关键信息，以确保***的安全性和合规性，并管理用户和角色的权限。

S202：根据查询请求，确定待校验信息。

具体的，可以对查询请求进行解析，以从查询请求中提取出待校验信息。

其中，待校验信息可以为普通信息所属区域代码、普通信息所属部门代码、普通信息所属岗位代码、IP校验信息等等，在此不进行限定。

作为一种实现方式，首先，可以对查询请求进行解析，提取其中的关键信息。比如，对请求参数、请求头部等进行解析和处理。然后，可以确定待校验信息类型，根据业务需求和***设计，确定待校验信息的类型。这可以涉及到对查询请求中的不同参数或者字段进行识别和分类。

其中，对于普通信息所属区域代码，可以从查询请求中提取出所属区域的代码或者名称。例如，从请求中提取出的用户所在地理位置信息，或者用户在***中选择的区域信息。

其中，对于普通信息所属部门代码，可以从查询请求中提取出所属部门的代码或者名称。例如，从请求中提取出的用户所属部门信息，或者***中指定的部门参数。

其中，对于普通信息所属岗位代码，可以从查询请求中提取出所属岗位的代码或者名称。例如，从请求中提取出的用户岗位信息，或者***中指定的岗位参数。

其中，对于IP校验信息，可以从查询请求的请求头部或者请求参数中提取出请求的IP地址信息，用于进行IP地址的校验和验证。

具体的，可以根据确定的待校验信息类型，从查询请求中提取相应的信息。可以通过正则表达式匹配、字符串处理等方法来提取信息。

S203：基于待校验信息，从多个微服务模块中确定目标微服务模块，其中，目标微服务模块为一个或者多个。

可选的，可以根据待校验信息的类型，识别与之相关的微服务模块。例如，如果待校验信息是普通信息所属区域代码，则可能需要与区域管理相关的微服务模块进行交互。然后，可以查找相关微服务模块，根据待校验信息的类型，查找***中可能与之相关的微服务模块，需要对***架构、微服务拓扑结构等进行分析和了解。

之后，可以根据待校验信息的类型和与之相关的微服务模块，确定最终的目标微服务模块。这可以涉及到对多个微服务模块进行比较和评估，选择最适合处理待校验信息的模块。在确定目标微服务模块后，需要进行相应的通信与调用。这可以涉及到使用消息队列、RPC调用、HTTP请求等方式进行微服务之间的通信。

最后，可以将待校验信息传递给目标微服务模块进行处理，这可以通过请求参数、消息体、HTTP头部等方式进行传递。

S204：根据目标微服务模块的鉴权结果，判断查询请求是否为越权访问请求。

可选的，在所述目标微服务模块为IP校验模块的情况下，根据预定的规则，检查IP地址；

可选的，针对目标微服务模块为IP校验模块的情况，可以按照预定的规则对IP地址进行检查，并确定其是否可访问MIS***。下面是针对预定规则的具体操作：

IP网段检查：根据预定规则，确定允许访问MIS***的IP网段范围。对于给定的IP地址，检查其是否在允许的IP网段范围内。

内网检查：确定是否仅允许内网IP地址访问MIS***。对于给定的IP地址，检查其是否属于内网IP地址段。

日常访问IP检查：根据预定规则，确定哪些IP地址被认为是日常访问IP。对于给定的IP地址，检查其是否在日常访问IP列表中。

公有云资源池检查：确定是否允许来自公有云资源池的IP地址访问MIS***。对于给定的IP地址，检查其是否属于公有云资源池的IP范围。

白名单检查：确定是否将IP地址添加到了白名单中。对于给定的IP地址，检查其是否在白名单中。

黑名单检查：确定是否将IP地址列入黑名单。对于给定的IP地址，检查其是否在黑名单中。

在执行以上检查之后，根据检查结果确定IP地址是否可访问MIS***。如果IP地址符合所有规则，则认为其可访问MIS***；否则，拒绝其访问。

可选的，在目标微服务模块为可访问范围校验模块的情况下，判断用户是否有权访问指定信息或者执行指定操作；

根据预定义的访问控制规则，判断是否授权用户请求；

具体来说，针对目标微服务模块为可访问范围校验模块的情况，用于判断用户是否有权访问指定信息或执行指定操作，并根据预定义的访问控制规则进行授权的流程可能包括以下步骤：

首先，可以根据用户请求的具体内容，确定用户要访问的信息或执行的操作。这可能包括特定数据、资源或功能。然后，可以从用户请求中获取身份信息，例如用户的ID、角色、权限等。这些信息可能已经在用户的身份认证过程中获取到，或者需要额外的验证步骤。之后，可以根据用户的身份信息，从预定义的访问控制规则中查询该用户是否被授权访问所请求的信息或执行所请求的操作。这些规则可能包括角色-权限映射、访问策略、访问控制列表等。最后，可以根据查询到的访问控制规则，判断用户是否被授权访问所请求的信息或执行所请求的操作。这可能涉及到对用户角色、权限、资源等进行比对和验证。之后，如果用户被授权访问所请求的信息或执行所请求的操作，则确定用户可以访问的具体信息和可使用的功能。这可能包括确定可访问的数据范围、可执行的操作列表等。最后，可以根据判断的结果，向用户返回授权结果。如果用户被授权，则返回访问信息和可使用功能的详细内容；否则，返回拒绝访问或执行操作的提示信息。

S205：根据对查询请求的判断结果，获取目标所需数据以提供给用户。

具体来说，在根据查询请求获取到目标数据后，根据用户的权限和访问控制规则，对数据进行处理和过滤。这可能包括根据用户角色或权限只返回特定范围的数据，或者对数据进行格式化和加工以符合用户的需求，之后，可以将处理后的数据构建成符合用户请求的响应格式。这可能是JSON、XML、HTML等格式的数据，或者直接以文本形式返回。

进一步的，可以将构建好的响应数据发送回用户的请求。这可能是通过HTTP响应返回给Web客户端，或者通过其他通信协议返回给客户端应用程序。

本公开实施例中，首先接收用户的查询请求，然后根据查询请求，确定待校验信息，之后基于待校验信息，从多个微服务模块中确定目标微服务模块，其中，目标微服务模块为一个或者多个，然后根据目标微服务模块的鉴权结果，判断查询请求是否为越权访问请求，最后根据对查询请求的判断结果，获取目标所需数据以提供给用户。由此，无需中断MIS***的运行和重新启动服务，对于大型组织和关键业务***，可以保持连续的服务。通过微服务注册的方式引入防越权模块，***可以实现动态扩展，同时保证高可用性和扩展性。这样，MIS***可以在保持高度安全性的同时，提供更稳定的服务。

图3是根据本公开第三实施例提供的面向信息管理***的防越权方法的流程示意图。

如图3所示，该方法包括：

S301：接收用户的查询请求。

S302：根据查询请求，确定待校验信息。

S303：基于待校验信息，从多个微服务模块中确定目标微服务模块，其中，目标微服务模块为一个或者多个。

需要说明的是，步骤S301-S303的具体实现方式可以参照上述实施例，在此不进行赘述。

S304：在目标微服务模块为用户行为习惯模块的情况下，收集用户的行为数据，行为数据包含访问时间段、操作习惯以及使用频率。

其中，收集用户行为数据是确保用户行为习惯模块微服务正常运行的重要一环，包含的行为数据如访问时间段、操作习惯以及使用频率等可以提供丰富的信息，帮助***更好地了解用户的行为模式和习惯，从而更有效地识别异常活动和潜在威胁。

对于访问时间段来说，收集用户访问***的时间段信息，可以帮助***了解用户的活动时间规律。例如，某用户通常在工作日的上午访问***，如果突然在深夜频繁访问，可能就属于异常行为。

对于操作***时的功能模块或操作流程中频繁操作，可能存在异常活动。

对于使用频率来说，监测用户对***的使用频率，包括登录次数、操作次数等。如果发现用户在短时间内进行异常频繁的操作，可能存在安全风险。

S305：根据行为数据，生成用户的行为画像。

具体的，可以根据用户行为数据，提取特征来描述用户的行为习惯和模式，比如可以根据实际情况选择合适的特征，例如：

访问时间段特征：工作日/周末访问时间、早/中/晚访问时间段等；

操作习惯特征：常用功能模块、操作路径、操作频率等；

使用频率特征：登录次数、操作次数、访问间隔等。

可选的，可以对提取到的特征进行编码和表示，将其转换为计算机可以处理的数据格式。可以采用独热编码、数值化等方法，将特征转换为向量或者矩阵形式。

之后，可以利用处理后的特征数据，通过算法或模型来生成用户的行为画像，比如聚类分析、关联规则挖掘、深度学习等，这些方法可以帮助识别出用户的行为模式和习惯，并将其表示为用户行为画像。

S306：判断越权访问请求是否符合行为画像，以得到判断结果。

具体的，可以将越权访问请求的行为特征与用户的行为画像进行匹配。比如，将越权请求的访问时间、访问路径、访问频率等特征与用户的行为画像进行比较，看是否符合用户正常的行为模式和习惯。

S307：根据判断结果，判断是否存在越权行为。

可以理解的是，如果越权请求的行为特征与用户的行为画像不匹配，可能存在越权行为，可以利用异常检测算法或者规则引擎来识别这些异常请求。例如，基于统计方法的离群点检测、基于机器学习的异常检测模型等。

进一步的，对于识别出的异常请求，进行风险评估。分析越权请求的可能性和影响程度，评估其对***安全的威胁程度。例如，是否越权访问了敏感数据或者***关键功能。

具体的，可以根据判断结果，进行决策处理，例如：

拒绝越权请求并记录日志，通知相关管理员进行处理；

触发警报并采取自动化响应措施，例如暂时封锁用户账号或者限制访问权限；

进行人工审核和调查，确认是否存在恶意行为或者安全漏洞。

可选的，可以定期监测越权行为的发生情况，并根据实际情况调整和改进行为画像匹配模型和越权检测策略，提高***对越权行为的识别和防范能力。

S308：根据对查询请求的判断结果，获取目标所需数据以提供给用户。

需要说明的是，步骤S308的具体实现方式可以参照上述实施例，在此不进行赘述。

本公开实施例中，首先接收用户的查询请求，然后根据查询请求，确定待校验信息，之后基于待校验信息，从多个微服务模块中确定目标微服务模块，其中，目标微服务模块为一个或者多个，然后在目标微服务模块为用户行为习惯模块的情况下，收集用户的行为数据，行为数据包含访问时间段、操作习惯以及使用频率，之后根据行为数据，生成用户的行为画像，之后判断越权访问请求是否符合行为画像，以得到判断结果，然后根据判断结果，判断是否存在越权行为，最后根据对查询请求的判断结果，获取目标所需数据以提供给用户。由此，可以监测和分析用户行为习惯，识别异常活动和潜在威胁，有助于增强***的安全性，通过收集用户的行为数据并形成用户行为画像，***可以更好地了解用户的正常行为模式，一旦发现与用户行为画像不符的异常活动，***就可以及时向管理员发送警报，以便采取适当的安全措施，与越权模块适配器连接，接收并分析查询处理模块的访问请求，可以进一步提高***的安全性，防止越权行为的发生。

根据本公开的实施例，本公开还提供了一种电子设备、一种可读存储介质和一种计算机程序产品。

图4示出了适于用来实现本公开实施方式的示例性计算机设备的框图。图4显示的计算机设备12仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图4所示，计算机设备12以通用计算设备的形式表现。计算机设备12的组件可以包括但不限于：一个或者多个处理器或者处理单元16，***存储器28，连接不同***组件(包括***存储器28和处理单元16)的总线18。

总线18表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器，***总线，图形加速端口，处理器或者使用多种总线结构中的任意总线结构的局域总线。举例来说，这些体系结构包括但不限于工业标准体系结构(Industry StandardArchitecture；以下简称：ISA)总线，微通道体系结构(Micro Channel Architecture；以下简称：MAC)总线，增强型ISA总线、视频电子标准协会(Video Electronics StandardsAssociation；以下简称：VESA)局域总线以及***组件互连(Peripheral ComponentInterconnection；以下简称：PCI)总线。

计算机设备12典型地包括多种计算机***可读介质。这些介质可以是任何能够被计算机设备12访问的可用介质，包括易失性和非易失性介质，可移动的和不可移动的介质。

存储器28可以包括易失性存储器形式的计算机***可读介质，例如随机存取存储器(Random Access Memory；以下简称：RAM)30和/或高速缓存存储器32。计算机设备12可以进一步包括其它可移动/不可移动的、易失性/非易失性计算机***存储介质。仅作为举例，存储***34可以用于读写不可移动的、非易失性磁介质(图4未显示，通常称为“硬盘驱动器”)。

尽管图4中未示出，可以提供用于对可移动非易失性磁盘(例如“软盘”)读写的磁盘驱动器，以及对可移动非易失性光盘(例如：光盘只读存储器(Compact Disc Read OnlyMemory；以下简称：CD-ROM)、数字多功能只读光盘(Digital Video Disc Read OnlyMemory；以下简称：DVD-ROM)或者其它光介质)读写的光盘驱动器。在这些情况下，每个驱动器可以通过一个或者多个数据介质接口与总线18相连。存储器28可以包括至少一个程序产品，该程序产品具有一组(例如至少一个)程序模块，这些程序模块被配置以执行本公开各实施例的功能。

具有一组(至少一个)程序模块42的程序/实用工具40，可以存储在例如存储器28中，这样的程序模块42包括但不限于操作***、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。程序模块42通常执行本公开所描述的实施例中的功能和/或方法。

计算机设备12也可以与一个或多个外部设备14(例如键盘、指向设备、显示器24等)通信，还可与一个或者多个使得用户能与该计算机设备12交互的设备通信，和/或与使得该计算机设备12能与一个或多个其它计算设备进行通信的任何设备(例如网卡，调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口22进行。并且，计算机设备12还可以通过网络适配器20与一个或者多个网络(例如局域网(Local Area Network；以下简称：LAN)，广域网(Wide Area Network；以下简称：WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器20通过总线18与计算机设备12的其它模块通信。应当明白，尽管图中未示出，可以结合计算机设备12使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID***、磁带驱动器以及数据备份存储***等。

处理单元16通过运行存储在***存储器28中的程序，从而执行各种功能应用以及数据处理，例如实现前述实施例中提及的面向信息管理***的防越权方法。

本领域技术人员在考虑说明书及实践这里公开的申请后，将容易想到本公开的其它实施方案。本公开旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求指出。

应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限制。

需要说明的是，在本公开的描述中，术语“第一”、“第二”等仅用于描述目的，而不能理解为指示或暗示相对重要性。此外，在本公开的描述中，除非另有说明，“多个”的含义是两个或两个以上。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本公开的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必须针对的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。

尽管上面已经示出和描述了本公开的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本公开的限制，本领域的普通技术人员在本公开的范围内可以对上述实施例进行变化、修改、替换和变型。

Claims

1.一种面向信息管理***的防越权***，其特征在于，包括：

2.根据权利要求1所述的防越权***，其特征在于，所述信息存储模块包括基本信息数据模块和控制信息数据模块，其中，

3.根据权利要求2所述的防越权***，其特征在于，所述信息存储模块用于：

将数据库和文件***存储在存储介质中；

4.根据权利要求1所述的防越权***，其特征在于，所述至少一个微服务模块中含有IP校验模块，所述IP校验模块具体用于：

根据预定的规则，检查IP地址；

5.根据权利要求1所述的防越权***，其特征在于，所述至少一个微服务模块中含有用户行为习惯模块，所述用户行为习惯模块具体用于：

根据所述行为数据，生成所述用户的行为画像；

根据所述判断结果，判断是否存在越权行为。

6.根据权利要求1所述的防越权***，其特征在于，所述至少一个微服务模块中含有可访问范围校验模块，所述可访问范围校验模块具体用于：

判断所述用户是否有权访问指定信息或者执行指定操作；

根据预定义的访问控制规则，判断是否授权用户请求；

7.根据权利要求1所述的防越权***，其特征在于，所述越权模块适配器具体用于：

根据所述用户的查询请求，确定待校验信息；

将所述查询请求路由至所述目标微服务模块进行用户鉴权。

8.根据权利要求1所述的防越权***，其特征在于，所述越权模块适配器还用于：

作为微服务注册中心非重启式注册并接入第一微服务模块。

9.根据权利要求1所述的防越权***，其特征在于，所述越权模块适配器还用于：

根据所述用户的查询请求，确定待校验信息；

确定与所述待校验信息对应的访问权限和第一访问范围；

根据所述访问权限，确定所述用户对应的第二访问范围；

10.根据权利要要求1所述的防越权***，其特征在于，所述MIS还用于：

11.一种面向信息管理***的防越权方法，其特征在于，包括：

接收用户的查询请求；

根据所述查询请求，确定待校验信息；

12.根据权利要求11所述的方法，其特征在于，所述根据所述目标微服务模块的鉴权结果，判断所述查询请求是否为越权访问请求，包括：

13.根据权利要求11所述的方法，其特征在于，所述根据所述目标微服务模块的鉴权结果，判断所述查询请求是否为越权访问请求，包括：

根据所述行为数据，生成所述用户的行为画像；

根据所述判断结果，判断是否存在越权行为。

14.根据权利要求11所述的方法，其特征在于，所述根据所述目标微服务模块的鉴权结果，判断所述查询请求是否为越权访问请求，包括：

根据预定义的访问控制规则，判断是否授权用户请求；

15.一种电子设备，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求11-14中任一项所述的方法。

16.一种存储有计算机指令的非瞬时计算机可读存储介质，其中，所述计算机指令用于使所述计算机执行根据权利要求11-14中任一项所述的方法。

17.一种计算机程序产品，其特征在于，包括计算机程序，该计算机程序被处理器执行时实现权利要求11-14中任一项所述的方法。