(19)国家知识产权局 (12)发明 专利 (10)授权公告 号 (45)授权公告日 (21)申请 号 202210989533.1 (22)申请日 2022.08.18 (65)同一申请的已公布的文献号 申请公布号 CN 115065564 A (43)申请公布日 2022.09.16 (73)专利权人 天津天元海科技 开发有限公司 地址 301800 天津市宝坻区新 安镇宝新公 路南侧 专利权人 交通运输部南海航海保障中心港 珠澳大桥 航标处 (72)发明人 罗思明　陈灼波　刘罕　袁靖周　 王统林　邱伟洋　钟孟森　张浩浩　 周孟磊　刘国鑫　张添中　刘震　 王建松　(74)专利代理 机构 天津展誉专利代理有限公司 12221 专利代理师 陈欣 (51)Int.Cl. H04L 9/40(2022.01) (56)对比文件 CN 111917714 A,2020.1 1.10 CN 114070600 A,2022.02.18 CN 111490993 A,2020.08.04 CN 113901499 A,2022.01.07 CN 114697230 A,2022.07.01 CN 111935169 A,2020.1 1.13 US 2022029988 A1,202 2.01.27 审查员 毕雪梅 (54)发明名称 一种基于零信任机制的访问控制方法 (57)摘要 本发明涉及网络安全技术领域， 公开了一种 基于零信任机制的访问控制方法， 用于实现设置 在云上的应用服务器与内部网络之间的数据交 换。 该方法基于零信任机制实现了对应用服务 器、 安全评估服务器、 令牌生成服务器和 网关之 间的数据传输和控制， 能够提高部署在云上的应 用服务器访问内网数据时的安全性， 解决了传统 网络中网络边界模糊导致传统边界防护方式失 效的问题， 为应用服务器访问内网数据提供了稳 定安全可靠的网络环境， 满足了中小型企业的网 络安全需求。 权利要求书1页 说明书4页 附图2页 CN 115065564 B 2022.11.01 CN 115065564 B 1.一种基于零信任机制的访问控制方法， 用于实现设置在云上的应用服务器与内部网 络之间的数据交换， 其特 征在于： 包括以下步骤： S1： 在所述应用服 务器上设置零信任代理； S2： 所述零信任代理采集多源信任度量指标数据， 并向安全评估服务器发送所述多源 信任度量指标数据； 所述多源信任度量指标数据包括用户身份数据、 账号数据、 系统日志数 据、 网络日志数据、 流量数据、 应用行为数据和数据访问行为数据； 所述多源信任度量指标 数据通过双sha25 6算法进行加密编码， 并将编码结果打包进一个数据包中进行网络传输； S3： 所述安全评估服务器接收所述应用服务器发送的所述多源信任度量指标数据以及 终端设备对应的通用唯一标识符、 IP地址、 MAC地址信息， 采用多源动态 安全评估策略， 分别 对用户身份可信任度、 环境可信任度、 用户行为可信任度、 软件可信任度和硬件 可信任度进 行评估， 获得评估分数， 将所述评估分数发送给网关； S4： 所述网关接收所述安全评估服务器发送 的所述评估分数， 为每个所述应用服务器 建立一个状态节 点， 所述状态节 点用于存储IP地址、 MAC地址信息、 用户身份可信任度、 环 境 可信任度、 用户行为可信任度、 软件可信任度和 硬件可信任度、 评估分数、 评估时间和有效 时长， 并建立IP表， 将所述IP表存储在网络控制内核中，  所述IP表包括所述IP地址和对应 的评估处理结果， 所述评估处理结果为只 读模式、 读写模式或拒绝访问模式， 以便所述网络 控制内核释放或拦截所述应用服 务器的访问请求； S5： 所述应用服务器使用预先安装的证书与令牌生成服务器和所述安全评估服务器完 成通信； S6： 所述应用服务器从所述令牌生成服务器获取令牌， 在URL中签名， 并通过所述令牌 经过所述网关向内部网络发送访问请求； S7： 所述网关接收到所述应用服务器的所述访问请求后， 查询所述IP表， 如果所述IP地 址对应的评估处理结果为只 读模式且具有令牌则有权限通过只 读模式访问内部网络； 如果 所述IP地址对应的评估处理结果为读写模式且具有令牌， 则有权限通过读写模式访问内部 网络； 如果所述 IP地址对应的评估处 理结果为拒绝访问模式， 则拒绝进行内部网络访问； 其中， 所述用户身份数据包括数字证书、 生物特征、 用户名和口令； 在进行所述评估分 数计算时为各个评估元素设置相应的权重， 通过归一化加权平均算法获得所述评估分数； 将所述评估分数与预先设定的第一阈值、 第二阈值进行比较， 将所述评估处理结果划分为 只读模式、 读写模式或拒绝访问模式， 其中所述第一阈值小于第二阈值。 2.根据权利要求1所述的基于零信任机制的访问控制方法， 其特征在于： 判断所述用户 行为的可信任度包括根据流量特征、 上下文信息分析， 刻画出正常访问的行为基线， 基于所 述行为基线判断当前用户行为是否可信。权　利　要　求　书 1/1 页 2 CN 115065564 B 2一种基于零信任机制的访 问控制方 法 技术领域 [0001]本发明涉及网络安全领域， 具体为 一种基于零信任机制的访问控制方法。 背景技术 [0002]传统的网络安全架构， 将原始网络结构通常分为内部网络和外部网络。 网络内部 边界部署防火墙、 IDS等安全防护设备和外部网络通信。 随着网络应用的逐渐发展， 传统的 网络安全架构越来越难以保证网络的安全， 主要存在两大安全隐患： 一、 这种结构默认为内 部网络的安全， 对来自网络内部的攻击缺 乏有效的防御手段， 使得 “堡垒”经常从内部被攻 破； 第二， 安全性内部网络过度依赖边境的安全防护设备。 一旦安全边界被突破， 内网缺乏 有效的保护手段。 [0003]然而， 随着云计算的飞速发展， 不少企业开始转移业务转移到互联 网云平台， 但是 云服务器传输数据通过公共网络。 服务器暴露在互联网上， 受到攻击的风险增加。 其次是网 络边界的模糊， 很难划定清晰的物理边界云服务器， 内网、 互联网之 间无法部署传统的网络 安全防护设备， 为了解决网络安全场景中存在的问题， 零信任安全概念应运而生。 但目前的 解决方案往往需要大量的设备和复杂的网络结构 。 它主要针对数据中心和大数据 平台的应 用需求， 不适合中小型企业的网络安全需求。 如何为部署在云上 的应用服务器访问内网数 据提供安全可靠的访问控制成为目前很多中小型企业为保证自身网络安全所亟须解决的 问题。 发明内容 [0004]本发明提供了一种基于零信任机制的访问控制方法， 为部署在云上的应用服务器 访问内网数据提供了稳定安全可靠的网络环境， 解决了上述背景技 术中提到的问题。 [0005]本发明提供如下技术方案： 一种基于零信任机制的访问控制方法， 用于实现设置 在云上的应用服务器与内部网络之间的数据交换， 包括以下步骤： S1： 在所述应用服务器上 设置零信任代理； S2： 所述零信任代理采集多源信任度量指标数据， 并向安全评估服务器发 送所述多源信任度量指标数据； 所述多源信任度量指标数据包括用户身份数据、 账号数据、 系统日志数据、 网络日志数据、 流量数据、 应用行为数据和数据访问行为数据； 所述多源信 任度量指标数据通过双sha256算法进行加密编码， 并将编码结果打包进一个数据包中进 行 网络传输； S3： 所述安全评估服务器接收所述应用服务器发送的所述多源信任度量指标数 据以及终端设备对应的通用唯一标识符、 IP地址、 MAC地址信息， 采用多源动态安全评估策 略， 分别对用户身份可信任度、 环境可信任度、 用户行为可信任度、 软件可信任度和硬件可 信任度进行评估， 获得评估分数， 将所述评估分数发送给网关； S4： 所述网关接收所述安全 评估服务器发送的所述评估分数， 为每个所述应用服务器建立一个状态节点， 所述状态节 点用于存储IP地址、 MAC地址信息、 用户身份可信任度、 环境可信任度、 用户行为可信任度、 软件可信任度和 硬件可信任度、 评估分数、 评估时间和有效时长， 并建立IP表， 将所述IP表 存储在网络控制内核中，  所述IP表包括所述IP地址和对应的评估处理结果， 所述评估处理说　明　书 1/4 页 3 CN 115065564 B 3