万博matext手机网页登录

       安全策略是企业整个安全管理与安全防御体系建设的基础与灵魂。当前大部分企业存在安全策略管理不落地、不可见等策略管理问题，同时如何自动识别并清理冗余策略、宽松策略和冲突策略等来缩紧攻击面，也是企业面临的策略优化的难题。本文******关注访问控制类安全策略的智能编排技术。   等保2.0标准中对安全策略做了详细要求，下面表格中列出了等保2.0对安全策略的要求，黑色加粗字体表示是针对上一安全级别增强的要求。

保护级别	防护分类	安全策略相关要求
一级	安全区域边界	6.1.3.2 访问控制 a) 应在网络边界根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；
二级	安全区域边界	7.1.3.2 访问控制 a) 应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；
	安全管理制度	7.1.6.1  安全策略 应制定网络安全工作的总体方针和安全策略，阐明机构安全工作的总体目标、范围、原则和安全框架等。 7.1.10.6  网络和系统安全管理 c) 应建立网络和系统安全管理制度，对安全策略、账户管理、配置管理、日志管理、日常操作、升级与打补丁、口令更新周期等方面作出规定；
三级	安全区域边界	8.1.3.2 访问控制 a) 应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；
	安全计算环境	8.1.4.2 访问控制 e) 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；
	安全管理中心	8.1.5.3  安全管理 b) 应通过安全管理员对系统中的安全策略进行配置，包括安全参数的设置，主体、客体进行统一安全标记，对主体进行授权，配置可信验证策略等。 8.1.5.4  集中管控 e) 应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理；
	安全管理制度	8.1.6.1 安全策略 应制定网络安全工作的总体方针和安全策略，阐明机构安全工作的总体目标、范围、原则和安全框架等。 8.1.6.2  管理制度 c) 应形成由安全策略、管理制度、操作规程、记录表单等构成的全面的安全管理制度体系。 8.1.7.5  审核和检查 b) 应定期进行全面安全检查，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等； 8.1.10.6 网络和系统安全管理 c) 应建立网络和系统安全管理制度，对安全策略、账户管理、配置管理、日志管理、日常操作、升级与打补丁、口令更新周期等方面作出规定； j) 应******所有与外部的连接均得到授权和批准，应定期检查违反规定无线上网及其他违反网络安全策略的行为。
四级	安全区域边界	9.1.3.2 访问控制 a) 应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；
	安全计算环境	9.1.4.2 访问控制 e) 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；
	安全管理中心	9.1.5.3 安全管理 b) 应通过安全管理员对系统中的安全策略进行配置，包括安全参数的设置，主体、客体进行统一安全标记，对主体进行授权，配置可信验证策略等。 9.1.5.4 集中管控 e) 应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理；
	安全管理制度	9.1.6.1 安全策略 应制定网络安全工作的总体方针和安全策略，阐明机构安全工作的总体目标、范围、原则和安全框架等。 9.1.6.2 管理制度 c) 应形成由安全策略、管理制度、操作规程、记录表单等构成的全面的安全管理制度体系。 9.1.7.5 审核和检查 b) 应定期进行全面安全检查，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等； 9.1.10.6 网络和系统安全管理 c) 应建立网络和系统安全管理制度，对安全策略、账户管理、配置管理、日志管理、日常操作、升级与打补丁、口令更新周期等方面作出规定； j) 应******所有与外部的连接均得到授权和批准，应定期检查违反规定无线上网及其他违反网络安全策略的行为。

       策略冲突检测与消解技术，包括但不限于：基于决策树、基于规则集、基于矩阵化的访问控制策略冲突检测与消解技术。
       ◇ 基于决策树的策略冲突检测与消解技术
       决策树技术是利用信息论中的信息增益寻找数据库中具有*** 大信息量的字节，建立决策树的一个节点，再根据字段的不同取值建立树的分枝。在每个分枝子集中重复建立下层节点和分枝，由此生成一棵决策树。然后再对决策树进行剪枝处理，zui后将决策树转化为规则。
       本方案可以运用这些规则，对现有的访问控制策略进行优化，提高网络的安全性和访问效率。同时，所生成的决策树可在新规则加入时进行调整，为后续工作的开展做好基础性工作，从宏观上管理访问控制策略。
       （1）利用树的优化算法进行策略简化，消除冗余。（2）利用树的优化算法进行策略冲突检测，消除冲突。
       ◇ 基于规则集的策略冲突检测与消解技术
       系统在实施保护资源的过程中，由于系统中存在大量安全策略以及不同的安全策略可能涉及到相同的主体、客体和权限，因此可能产生冲突，从而导致不一致的系统行为，造成访问控制系统执行效率及******性低下。为解决这一问题，通过对安全策略的形式化分析定义了基于规则集的访问控制策略的一般特性，并给出了安全策略所描述实体内在的关系，使安全策略的描述在该领域内具有一定的通用性。以此为基础，本方案给出了冲突的静态分析检测与消解方法及动态分析检测方法。
       1、静态分析检测
       静态方法是对策略声明进行语法分析以期发现冲突，针对的是与系统即时状态无关的冲突。
       （1）模态冲突
       模态冲突：模态冲突是指策略的描述不一致，两条策略具有重叠的主体和客体，却分别执行了肯定授权与否定授权而发生的策略冲突行为。
       模态冲突处理方法：模态处理方法采取否定优先法，为了******系统的安全性，通常习惯是要求系统禁止执行某些行为。
       （2）行为冲突
       行为冲突：行为冲突是指两条策略中的行为存在某种顺序关系或依存逻辑关系且授权模式相反，一个肯定授权另一个否定授权。如果两条策略规定的行为存在顺序关系而相应的行为标记却和行为逻辑相反，则存在行为冲突。
行为冲突处理方法：否定优先法。
       （3）职责分离冲突
       职责分离冲突是指同一个用户被指派给了互斥的角色。职责分离冲突处理方法：去除zui早策略。
       2、动态分析检测
       由于静态检测是静态的对策略声明进行语法分析，以发现策略内存在的冲突，没有考虑由于进程间的调用所导致的权限传递，而造成策略冲突。通过进程调用导致权限传递出现的策略冲突是静态检测无法检测的。
动态检测提供了解决的方法，所谓动态检测方法则是指在系统运行期间，通过对系统所有可能出现的状态进行检查分析来发现冲突。
       ◇ 基于矩阵化的策略冲突检测与消解技术
       在基于矩阵的描述中策略被描述成[p1,p2,······pn]·Ank，其中变换矩阵是将策略由简单策略集合的形式变换为矩阵形式的关键，在Ank中n、k的取值和变换矩阵中每个元素的之间的关系反映的是变换矩阵的线性相关性，而另一方面也反映着简单策略集中每个元素之间的关系，从而决定了复杂策略的类型。
       获取到变换矩阵后，通过判定矩阵列向量间的关系来进行策略类型判断。变换矩阵的求解是利用线性表达式中，策略子集和简单策略集合中元素的包含关系得到的，得到变换矩阵能够利用对变换矩阵的检测，从而检测出复杂策略的类型。得到了复杂策略的变换矩阵，***可以对策略进行冲突检测。
       本方案利用将复杂访问控制策略进行简化，用策略行向量和变换矩阵乘积的形式来表示复杂策略，然后利用对变换矩阵中的元素的检测来对复杂策略进行冲突检测，也***是说，复杂策略的变换矩阵的元素决定了策略类型和冲突类型，那么在进行冲突消解时，只需要对复杂策略的变换矩阵进行消解即可。        策略智能开通技术，通过结合工作流、用户权限、合规检查和策略仿真，综合梳理业务、权限、资产、策略和数据的关系，实现安全策略变更申请、自动分析、自动设计、审批与自动验证的全生命周期管理，全面提升企业安全运营的管理能力。


       路径可达分析技术，可实现任意源地址到目的地址的访问路径及数据流分析，包括是否有可达路径、可达路径经过的节点及命中的路由及策略信息、允许或拒绝的数据流详情等；访问路径分析时，通过源地址定位到对应的网关设备，再通过网关设备上的路由逐一寻找下一网关，直到目的地址；期间需匹配网关设备上的ACL策略、NAT策略、路由、安全策略等信息。
       ◇ 策略基线矩阵模型
       基于策略基线矩阵模型，建立从安全域到安全域的访问策略，从业务到业务的访问策略，从安全域到业务的访问策略，从业务到安全域的访问策略。
       通过基线矩阵来模拟实际网络环境中各安全域之间、业务之间等的访问情况，并设定一个合规标准进行访问控制策略合规检查和告警。