CN118972162B - 基于身份认证和端口感知的网络资源访问控制方法及系统 - Google Patents

Abstract

本发明提供了一种基于身份认证和端口感知的网络资源访问控制方法及系统，所述方法为根据通过自然语言处理技术对各个业务部门提交的端口访问规则配置请求进行解析处理生成的标准化端口安全策略对现有端口访问权限配置进行异常识别生成权限合规检查结果，并根据各个端口设备的访问日志数据和访问流量数据，基于数据挖掘技术进行可疑访问模式和异常行为识别生成端口访问风险评估报告后，根据权限合规检查结果和端口访问风险评估报告关联分析得到的端口安全策略调整清单进行策略变更模拟评估生成最新端口安全策略执行访问控制。本发明能对各个端口设备的资源访问进行全面且可靠的监测过滤，有效提升端口安全管理的智能化水平，降低企业信息安全风险。

Description

基于身份认证和端口感知的网络资源访问控制方法及系统

技术领域

本发明涉及信息技术领域，特别是涉及一种基于身份认证和端口感知的网络资源访问控制方法及系统。

背景技术

随着信息技术的飞速发展，企业信息安全面临的威胁也逐渐增加，而企业信息安全又直接关系到企业的商业机密和核心竞争力，只有对企业网络资源进行可靠的访问控制才能保证企业信息安全。

现有大型企业的网络资源访问控制会涉及众多部门和应用系统，各部门的业务流程和数据访问需求差异很大，企业内部人员流动频繁，岗位和职责变化较快导致用户账号和权限管理复杂，且各应用系统采用不同的技术架构和安全机制，缺乏统一的认证和授权方案导致管理员需要手工配置和维护大量的访问控制规则，不同系统间规则内容晦涩难懂也难以协调一致。基于此，当需要企业引入新业务和技术时，原有规则可能失效或产生冲突，管理员难以全面评估变更影响的同时，由于访问规则配置过程缺乏有效验证手段也无法及时发现错误和遗漏，造成故障定位和问题排查困难，使得企业网络资源访问控制存在配置缺陷和管理盲区，容易被攻击者利用以获取超出其授权范围的访问敏感数据和关键功能，甚至控制网络设备，导致企业的业务运营和数据安全承受较大威胁。

发明内容

本发明的目的是提供一种基于身份认证和端口感知的网络资源访问控制方法，将基于标准化端口安全策略的现有端口访问权限配置异常识结果，与基于端口设备的访问日志数据和访问流量数据的端口访问风险评估结果关联分析生成端口安全策略调整清单，并结合策略变更模拟评估结果动态调整端口安全策略的方式，能对各个端口设备的资源访问进行全面且可靠的监测过滤，避免攻击者利用配置漏洞绕过安全防护获取权限以外资源，有效提升端口安全管理的智能化水平，降低企业信息安全风险。

为了实现上述目的，有必要针对上述技术问题，提供一种基于身份认证和端口感知的网络资源访问控制方法及系统。

第一方面，本发明实施例提供了一种基于身份认证和端口感知的网络资源访问控制方法，所述方法包括以下步骤：

通过自然语言处理技术对各个业务部门提交的端口访问规则配置请求进行解析处理，生成对应的标准化端口安全策略；所述标准化端口安全策略包括多条端口安全策略；所述端口安全策略包括策略ID、用户角色、端口资源、访问规则和对应的访问权限；

根据所述标准化端口安全策略，对现有端口访问权限配置进行异常识别，生成对应的权限合规检查结果；

根据各个端口设备的访问日志数据和访问流量数据，基于数据挖掘技术进行可疑访问模式和异常行为识别，生成对应的端口访问风险评估报告；

将所述权限合规检查结果和所述端口访问风险评估报告进行关联分析，得到端口安全策略调整清单；

根据所述端口安全策略调整清单进行策略变更模拟评估，生成最新端口安全策略，并根据所述最新端口安全策略，执行端口资源访问控制。

第二方面，本发明实施例提供了一种基于身份认证和端口感知的网络资源访问控制系统，所述系统包括：

安全策略生成模块，用于通过自然语言处理技术对各个业务部门提交的端口访问规则配置请求进行解析处理，生成对应的标准化端口安全策略；所述标准化端口安全策略包括多条端口安全策略；所述端口安全策略包括策略ID、用户角色、端口资源、访问规则和对应的访问权限；

权限合规检查模块，用于根据所述标准化端口安全策略，对现有端口访问权限配置进行异常识别，生成对应的权限合规检查结果；

访问风险评估模块，用于根据各个端口设备的访问日志数据和访问流量数据，基于数据挖掘技术进行可疑访问模式和异常行为识别，生成对应的端口访问风险评估报告；

调整建议生成模块，用于将所述权限合规检查结果和所述端口访问风险评估报告进行关联分析，得到端口安全策略调整清单；

安全策略更新模块，用于根据所述端口安全策略调整清单进行策略变更模拟评估，生成最新端口安全策略，并根据所述最新端口安全策略，执行端口资源访问控制。

上述本申请提供了一种基于身份认证和端口感知的网络资源访问控制方法及系统，通过所述方法实现了通过自然语言处理技术对各个业务部门提交的端口访问规则配置请求进行解析处理，生成对应包括多条包括策略ID、用户角色、端口资源、访问规则和对应的访问权限的端口安全策略的标准化端口安全策略，根据标准化端口安全策略，对现有端口访问权限配置进行异常识别，生成对应的权限合规检查结果后，根据各个端口设备的访问日志数据和访问流量数据，基于数据挖掘技术进行可疑访问模式和异常行为识别，生成对应的端口访问风险评估报告，并将权限合规检查结果和端口访问风险评估报告进行关联分析，得到端口安全策略调整清单，以及根据端口安全策略调整清单和预设端口安全策略变更流程，生成最新端口安全策略，并根据最新端口安全策略执行端口资源访问控制的技术方案。与现有技术相比，该基于身份认证和端口感知的网络资源访问控制方法，将基于标准化端口安全策略的现有端口访问权限配置异常识结果，与基于端口设备的访问日志数据和访问流量数据的端口访问风险评估结果关联分析生成端口安全策略调整清单，并结合策略变更模拟评估结果动态调整端口安全策略的方式，能对各个端口设备的资源访问进行全面且可靠的监测过滤，避免攻击者利用配置漏洞绕过安全防护获取权限以外资源，有效提升端口安全管理的智能化水平，降低企业信息安全风险。

附图说明

图1是本发明实施例中基于身份认证和端口感知的网络资源访问控制方法的流程示意图；

图2是本发明实施例中基于身份认证和端口感知的网络资源访问控制系统的结构示意图。

具体实施方式

为了使本申请的目的、技术方案和有益效果更加清楚明白，下面结合附图及实施例，对本发明作进一步详细说明，显然，以下所描述的实施例是本发明实施例的一部分，仅用于说明本发明，但不用来限制本发明的范围。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明提供的基于身份认证和端口感知的网络资源访问控制方法可理解为基于现有企业网络资源访问控制存在容易被攻击者利用的配置缺陷和管理盲区导致企业信息安全承受较大威胁的应用现状，而提出的一种将基于标准化端口安全策略的现有端口访问权限配置异常识结果，与基于端口设备的访问日志数据和访问流量数据的端口访问风险评估结果关联分析生成端口安全策略调整清单，并结合策略变更模拟评估结果动态更新端口安全策略的端口资源访问控制方法。下述实施例将对本发明的基于身份认证和端口感知的网络资源访问控制方法进行详细说明。

在一个实施例中，如图1所示，提供了一种基于身份认证和端口感知的网络资源访问控制方法，包括以下步骤：

S11、通过自然语言处理技术对各个业务部门提交的端口访问规则配置请求进行解析处理，生成对应的标准化端口安全策略；其中，端口访问规则配置请求可以理解为是由各个业务部门根据具体业务场景需求提交端口访问控制规则配置时发出的携带有采用自然语言描述的规则配置请求信息，具体可包括部门名称、业务场景、用户角色、通信协议类型、所需访问端口号和所需访问资源等信息；对应基于所有端口访问规则配置请求的解析处理结果生成的标准化端口安全策略包括多条端口安全策略，且端口安全策略包括策略ID、用户角色、端口资源、访问规则和对应的访问权限。

具体的，所述通过自然语言处理技术对各个业务部门提交的端口访问规则配置请求进行解析处理，生成对应的标准化端口安全策略的步骤包括：

分别对各个端口访问规则配置请求依次进行分词处理和词性标注处理，得到对应的规则配置请求分词信息集；其中，规则配置请求分词信息集的获取过程可理解为是先将端口访问规则配置请求对应的描述文本分词、去标点符号和去停用词处理后，再采用词性标注工具识别名词、动词等词性以及进行相应的词性标注，即可得到对应的规则配置请求分词信息集；需要说明的是，具体的文本分词、去标点符号和去停用词处理过程，以及词性标注工具使用均可根据实际应用需求选取，此处不作具体限定。

根据各个规则配置请求分词信息集，基于依存句法分析工具构建对应的配置请求语义依存树；其中，依存句法分析工具可理解为是通过分析句子中词语之间的依存关系来确定句子的句法结构的工具；本实施例可根据实际应用需求从Stanford Parser、SpaCy、Google SyntaxNet和DDParser中选取一种使用，具体基于规则配置请求分词信息集构建对应的配置请求语义依存树的过程可参考相应选取的依存句法分析工具的相关使用技术实现，此处不再详述。

根据各个配置请求语义依存树，获取对应的规则配置关键信息，并根据所述规则配置关键信息，生成对应的规则要素结构化数据；其中，所述规则配置关键信息包括用户角色、端口号和协议类型；为了便于后续高效使用规则配置关键信息，本实施优选地将从配置请求语义依存树中提取得到的规则配置关键信息转换为JSON格式的规则要素结构化数据。

根据所述规则要素结构化数据和预设流量监测规则库，获取对应的流量监测规则要素和端口异常流量检测模型；所述流量监测规则要素包括监测对象、监测指标和指标阈值；其中，预设流量监测规则库可理解为是基于历史端口流量监测经验构建的，包括各个端口设备对应各个业务场景的监测对象（用户角色）、监测指标（不同协议类型的流量异常判定指标）、指标阈值，以及各个端口设备对应的端口异常流量检测模型的数据库。具体流量监测规则要素和端口异常流量检测模型的获取过程可理解为是基于预设正则表达式提取规则要素结构化数据中规则配置关键信息，并根据该规则配置关键信息查找预设流量监测规则库中的匹配信息，即可得到所需的流量监测规则要素和端口异常流量检测模型。

将所述流量监测规则要素填充至对应的预设业务端口安全策略模板，生成对应的业务端口流量监测规则；其中，预设业务端口安全策略模板可理解为是包括业务类型、端口号、用户角色、所需监测协议类型、所需监测异常流量指标、指标阈值和端口异常流量检测模型等内容的预设表格；将流量监测规则要素分别填充至预设业务端口安全策略模板中的相应字段，即可得到所需业务端口流量监测规则。

根据所述业务端口流量监测规则，对所述端口异常流量检测模型进行参数更新优化，得到业务端口异常流量检测模型，并根据所述业务端口异常流量检测模型的模型参数，生成异常行为检测规则集；其中，端口异常流量检测模型如上所述为预设流量监测规则库中预先构建的端口异常流量检测模型，为保证端口异常流量检测模型检测应用的高效性，本实施优选地采用单类支持向量机模型构建得到；具体的，所述业务端口异常流量检测模型的构建步骤包括：

获取端口历史正常流量数据；所述端口历史正常流量数据包括多种业务类型正常流量数据，且业务类型正常流量数据可理解为是与各个业务部门的业务场景下正常流量数据，具体获取方式可参考相关现有技术实现，此处不作详述。

根据所述端口历史正常流量数据，对单类支持向量机模型进行训练，得到所述业务端口异常流量检测模型；其中，单类支持向量机模型（OC-SVM,One-class supportvector machine）为仅基于单一类别的数据集，寻找与原点最大间隔的超平面来区分正样本和所有潜在的负样本的异常检测模型，具体的训练过程可参考相关现有技术实现。

为了保证该模型能够更好的适用于不同业务场景下端口设备的异常流量识别，本实施例优选地根据对应业务场景下的业务端口流量监测规则对端口异常流量检测模型进行参数更新优化，以得到能够针对不同业务场景进行高效可靠异常流量检测的检测模型，且对应的参数更新优化包括调整流量特征权重和调整异常判定阈值；即可根据各个业务端口异常流量检测模型对应的最优模型参数中的异常判定阈值可以生成包括业务类型、端口号和流量异常判定阈值的异常行为检测规则集。

将各个端口访问规则配置请求对应的用户角色、所述异常行为检测规则集和所述业务端口流量监测规则进行整合处理，生成所述标准化端口安全策略；其中，整合处理可理解为是通过决策树算法将同一端口设备对应的不同用户角色的异常行为检测规则集和业务端口流量监测规则进行综合分析以实现冲突性规则筛选和互补性规则合并，具体处理过程可理解为是使用决策树算法对重复或冲突的异常行为检测规则集和业务端口流量监测规则进行分类和筛选，保留优先级高的规则，其中规则的优先级可根据业务部门的级别和规则应用的时效性决定，而对于互补的规则，通过合并的方式得到更全面的安全管理规则；即，最终可得到同时包括多条互补性端口安全策略，每条策略对应的访问规则和访问权限基于用户角色访问的端口资源类型梳理得到。

S12、根据所述标准化端口安全策略，对现有端口访问权限配置进行异常识别，生成对应的权限合规检查结果；其中，对现有端口访问权限配置进行异常识别可理解为是对现有权限配置进行合规性检查以识别出潜在的权限配置错误和配置冲突等缺陷，对应的权限合规检查结果包括配置合规性评分和端口安全策略调整清单；具体的，所述根据所述标准化端口安全策略，对现有端口访问权限配置进行异常识别，生成对应的权限合规检查结果的步骤包括：

根据所述标准化端口安全策略中所有端口安全策略，基于图数据库技术构建对应的用户资源关系图谱；其中，用户资源关系图谱可理解为是能够体现用户角色（用户身份）、端口资源和访问权限三者之间关系的图谱。即先利用正则表达式从标准化端口安全策略中的各条端口安全策略中提取用户身份、端口资源及访问权限等信息，比如用户ID匹配模式"UID-\d{4}"，端口号匹配模式"PORT-\d{1,5}"，权限类型匹配模式"(READ|WRITE|EXECUTE)"，并基于该信息定义图数据库的节点类型及属性，对应的用户资源关系图谱的节点类型包括用户节点、端口节点和权限节点，且用户节点的属性包括用户ID和角色等，端口节点的属性包括端口号和协议等，权限节点的属性为操作类型和访问级别等，比如将提取的信息转换为图数据库Neo4j可接受的CSV格式，包含节点文件和关系文件；同时，基于各个端口安全策略中用户角色、端口资源、访问规则和访问权限的对应关系设计图谱中各节点间的连接边，如用户-权限边表示用户拥有的权限，权限-端口边表示权限作用的端口，采用图数据库来存储和管理这些实体及其关系就可以得到初始关系图谱，比如可使用Neo4j的LOADCSV命令导入数据，创建用户节点、端口节点和权限的初始关系；基于该初始关系图谱，应用广度优先搜索算法遍历节点及边，从每个用户节点出发，探索其可达的权限节点和端口节点，得到用户、权限、端口之间的关联路径，进而构建得到完整的用户身份、端口资源和访问权限的关系图谱。此外，在构建用户资源关系图谱的过程中，还可进一步基于图数据库对应的度中心性算法计算图中各节点的度中心性，根据预设度中心阈值（比如，0.8），将度中心性高的用户节点视为关键用户，度中心性高的端口节点视为敏感端口资源，并将该计算结果作为对应节点的新属性存储于关系图谱中。需要说明的是，本实施例中构建用户资源关系图谱所使用的图数据库技术可根据实际应用需求选取，比如Neo4j或ArangoDB等，此处不作具体限定。

通过子图同构算法，对所述用户资源关系图谱进行现有权限配置异常识别，得到对应的权限配置异常识别结果；其中，子图同构算法(Subgraph Isomorphism)是一种在图论中用于查找和比较两个图之间相似性的算法，比如，Ullmann算法、Nauty算法、SD算法、VF算法以及在VF算法上进行改进的VF2算法等，在实际应用中可根据应用需求选取，此处不作具体限定。本实施例中采用子图同构算法，基于预设权限规则模板结构对用户资源关系图谱进行合规性检查，以高效且精准捕捉关系图谱中可能存在错误的节点和边，即识别潜在权限配置错误。具体的权限配置异常识别结果获取过程可理解为是预先根据实际应用场景定义权限规则模板结构，比如可基于职责分离原则，设计要求用户节点连接的权限节点数量不超过阈值，且两个特定角色的用户节点不应同时连接某一敏感端口节点的最小特权原则模板结构；再采用子图同构算法在关系图谱中检索与预设权限规则模板结构相匹配的子图，若存在，则判定相应子图中的相关节点及边为潜在的权限配置错误，反之，则认为不存在任何权限配置错误风险。

若所述权限配置异常识别结果不存在权限配置错误，则将所述配置合规性评分设为最高合规评分值，反之，则分别获取各个权限配置错误对应的角色权限矩阵，并根据所述角色权限矩阵，获取对应的权限间互信息；其中，最高合规评分值可理解为是预先设定的不存在任何权限配置错误风险时对应的最高合规评分值，具体数值此处不作具体限定。对于上述基于子图同构算法识别到的潜在权限配置错误风险，需要进行一步分析以确认错误类型，进而根据不同的错误类型进行具体合规性评分；为了保证权限配置错误分类的可靠性，本实施例优选地采用权限间互信息作为分类依据。具体的，针对识别出的权限配置错误，提取用户角色与权限之间的关联关系，生成角色权限矩阵，该矩阵中的每个元素表示特定角色拥有特定权限的频率。再根据角色权限矩阵，通过下述互信息计算公式计算权限之间的互信息：

其中，I(x;y)表示随机变量x和y之间的互信息；p(x,y)是x和y的联合概率分布，p(x)和p(y)分别是x和y的边缘概率分布。

在实际应用中，假设基于最小特权原则定义预设权限规则模板为：(user)-[:HAS_PERMISSION]->(port)WHEREuser.role='employee'ANDpermission.accessLevel>'read'，可使用Neo4j的APOC库执行子图匹配算法以识别违反规则的权限配置。针对识别出的异常配置，基于预设的最小支持度（比如0.1）和最小置信度（比如0.7），应用关联规则挖掘算法Apriori分析用户角色与权限的关联模式，并生成对应的角色权限矩阵，再基于上述互信息计算公式即可得到所需的权限间互信息。

判断各个权限配置错误对应的权限间互信息是否大于预设互信息阈值，若是，则判定存在权限互斥冲突，并将对应的权限合规评分设为第一合规扣分值，反之，则将对应的权限合规评分设为第二合规扣分值；其中，预设互信息阈值可根据实际应用需求选取，假设设置预设互信息阈值为0.6，则在得到的权限间互信息超过该预设互信息阈值时就可判定两个权限配置可能存在冲突，即对应的权限配置错误被识别为权限互斥冲突错误，可根据预先设定的该错误类型的合规评分值得到该情况下的第一合规扣分值；当基于权限间互信息分析确定权限配置错误属于配置冲突的，则同样可根据预先设定的该错误类型的合规评分值得到该情况下的第二合规扣分值；需要说明的是，本实施例中的第一合规扣分值和第二合规扣分值均可预先根据实际应用需求和配置错误严重程度设定，原则上错误越严重，对应的合规扣分值就越大，此处不作具体限定。

将所述第一合规扣分值和所述第二合规扣分值进行累加，得到合规扣分累计值，并将所述最高合规评分值与所述合规扣分累计值作差，得到所述配置合规性评分；其中，配合合规性评分可理解为是对整个用户资源关系图谱中所有权限配置情况的综合评分，即可通过将所有识别出的权限配置错误对应的合规扣分值累计作为总的合规评分扣分项，并将其从最高合规评分值中扣除所得到的配置合规评分值。

当存在权限互斥冲突时，对所述用户资源关系图谱中相应权限配置进行冲突优化分析，并根据对应的冲突优化分析结果，生成所述端口安全策略调整清单；其中，端口安全策略调整清单可理解为是考虑到实际应用中权限互斥冲突错误较为严重，需要及时整改的情况，本实施例优选地对基于权限间互信息值识别出的权限互斥冲突进行冲突优化记录，并生成待优化的端口安全策略调整清单。需要说明的是，上述对用户资源关系图谱中相应权限配置进行冲突优化分析可理解为是识别关系图谱中的冲突边，将其标记为待删除，且识别关系图谱中的缺失边并将其标记为待添加，再对所得到的冲突优化分析结果进行整理汇总得到对应的端口安全策略调整清单。

本实施例基于各个业务部门提交的端口访问规则配置请求进行解析处理，生成对应的标准化端口安全策略，并采用子图同构算法对标准化端口安全策略中的各个权限配置项进行合规性检查，能够高效且精准的识别现有端口权限配置问题，有效避免端口安全访问规则配置的错误或遗漏风险，进而从底层配置方面为端口资源安全访问提供可靠保障。

S13、根据各个端口设备的访问日志数据和访问流量数据，基于数据挖掘技术进行可疑访问模式和异常行为识别，生成对应的端口访问风险评估报告；其中，访问日志数据可理解为是端口设备被用户访问的信息记录，可包括访问用户名、访问登录时间和访问登录IP地址等；对应的，访问流量数据可理解为是各个用户为访问端口设备上的业务资源而发送的流量数据包的相关信息记录，可包括数据流的源IP地址、目的IP地址、源端口号、目的端口号、通信协议类型和数据包大小等；需要说明的是，各个端口设备的访问日志数据和访问流量数据可通过相关现有技术获取，比如访问日志数据可以采用分布式日志收集工具Flume收集端口设备的运行日志的方式获取，访问流量数据可以基于端口设备上部署的相关流量监控设备获取，此处不作详述。

本实施例中的端口访问风险评估报告可理解为是同时基于端口设备的访问日志数据和访问流量数据，从真实用户访问控制效果层面对端口安全策略进行应用性能评估所得到的安全策略应用风险；为了便于后续将端口访问风险评估报告与权限合规检查结果进行联合分析以动态调整端口安全策略，本实施例优选地设置，所述端口访问风险评估报告包括端口风险评分、不同异常行为类型对应的异常访问频率。具体的，所述根据各个端口设备的访问日志数据和访问流量数据，基于数据挖掘技术进行可疑访问模式和异常行为识别，生成对应的端口访问风险评估报告的步骤包括：

分别对各个端口设备的访问日志数据进行解析处理，得到对应的用户身份认证信息；其中，访问日志数据的解析处理可理解为是过滤筛选仅与用户身份认证信息相关的文本数据，便于用户身份认证信息的快速可靠分析；对应的，所述用户身份认证信息包括用户名、登录时间和登录IP地址，可通过预设正则表达式的方式从经过解析处理后的访问日志数据中匹配提取并存储至分布式数据库HBase的用户行为表中，比如，用户名匹配模式"user_\w+"，登录时间匹配模式"\d{4}-\d{2}-\d{2}\d{2}:\d{2}:\d{2}"，登录IP地址匹配模式"\d{1,3}.\d{1,3}.\d{1,3}.\d{1,3}"，此处不作详述。

分别对各个端口设备的访问流量数据进行解析处理，得到对应的端口访问行为特征；其中，访问流量数据的解析处理理解为是采用现有流量包解析工具对各个访问数据包进行解析转换为便于高效提取端口访问行为特征的数据形式；对应的，所述端口访问行为特征包括源IP、目的IP、端口号、协议类型和数据包大小，可通过预设正则表达式的方式从经过解析处理后的访问流量数据中匹配提取并存储至分布式数据库HBase的流量特征表中，此处不作详述；需要说明的是，在实际应用中将根据各个端口设备的访问日志数据和访问流量数据提取的用户身份认证信息和端口访问行为特征分别存储于分布式数据库HBase的用户行为表和流量特征表，可便于后续高效计算端口访问特征。

根据所有端口设备的用户身份认证信息和端口访问行为特征进行综合分析，得到所述端口访问特征；其中，综合分析可理解为是对用户身份认证信息和端口访问行为特征进行多维度特征提取，以得到每个用户的访问频率、平均会话时长和访问端口数量等，以及每个端口的访问用户数和平均流量大小等；在实际应用中，若用户身份认证信息和端口访问行为特征如上所述存储分布式数据库HBase中，则可利用SparkSQL按照预设提取多维特征需求进行统计分析，得到包括每个用户的访问频率、平均会话时长和访问端口数量的端口访问特征。

根据所述端口访问特征，生成对应的用户端口访问矩阵，并根据所述用户端口访问矩阵进行用户访问行为聚类分析，得到多个用户访问行为簇；其中，用户端口访问矩阵可理解为是记录每个用户访问各个端口的次数的矩阵，即矩阵元素值为访问此数；在实际应用中，若在利用SparkSQL提取得到端口访问特征后，就可以直接使用SparkMLlib库中的分布式矩阵计算功能，生成所需的用户端口访问矩阵（用户-端口访问矩阵）并存储于HBase中创建的特征表中，具体生成过程可参考相关现有技术实现，此处不再详述。在得到用户端口访问矩阵后，就可以采用SparkMLlib库执行K均值聚类算法对该用户端口访问矩阵进行聚类分析得到正常访问行为簇和异常访问行为簇，即得到所需的多个用户访问行为簇，用于后续可疑访问模式的识别分析。

获取各个用户访问行为簇中与聚类中心间距超过预设距离阈值的用户访问行为标记为可疑访问模式；其中，与聚类中心间距可理解为是每个用户访问行为与聚类中心的欧氏距离；为了保证可疑访问模式识别的可靠性，本实施优选地将预设距离阈值设置为聚类中心标准差的2倍，若某个用户访问行为与与聚类中心的间距超过该阈值，则将该用户访问行为标记为可疑访问模式。

根据各个可疑访问模式，基于FP-growth算法进行关联规则挖掘，生成对应的频繁项集，并根据所述频繁项集和预设置信度阈值，得到异常行为类型、异常行为等级和对应的异常风险评分；其中，频繁项集的获取可理解为是根据应用需求选取最小支持度（比如，0.01）和最小置信度（比如，0.5），并利用SparkMLlib库中的FP-growth算法进行关联规则挖掘以分析用户身份、访问时间、端口号之间的关联关系，具体实现过程可参考基于FP-growth算法进行关联规则挖掘的相关现有技术实现，此处不再详述。在得到频繁项集后，可根据预设置信度阈值筛选出高置信度的异常行为类型，比如用户A在非工作时间访问端口X、频繁切换登录IP、或短时间内访问多个敏感端口等，再基于确定的异常行为类型，查找预先构建的异常行为评估表得到对应的异常行为等级和对应的异常风险评分；需要说明的是，异常行为评估表可理解为是包括不同异常行为类型的预设异常行为等级和异常风险评分的关系表格，可基于历史管理经验构建，此处不作具体限定。

根据所有可疑访问模式对应的异常行为类型、异常行为等级和异常风险评分进行综合统计分析，生成所述端口访问风险评估报告；其中，端口访问风险评估报告可理解为是包含可疑访问模式列表、异常行为类型说明和风险等级评估结果等信息的Excel格式风险评估报告，在实际应用中，可使用ApachePOI库生成，此处不再详述。

本实施例同时基于端口设备的访问日志数据和访问流量数据对端口安全访问风险进行评估，实现了从真实用户访问控制效果层面对端口安全策略应用性能进行高效可靠评估，能真实客观地反应当前执行的标准化端口安全策略的访问控制效果，为了后续动态调整端口安全策略提供可靠依据。

S14、将所述权限合规检查结果和所述端口访问风险评估报告进行关联分析，得到端口安全策略调整清单；其中，端口安全策略调整清单可理解为是基于权限合规检查结果和端口访问风险评估报告的综合分析结果所确定的端口安全策略调整建议。具体的，所述将所述权限合规检查结果和所述端口访问风险评估报告进行关联分析，得到端口安全策略调整清单的步骤包括：

将所述权限合规检查结果、所述端口访问风险评估报告和预先构建的访问控制满足度预测模型进行端口安全防护满足度预测，得到对应的安全防护满足度得分；其中，访问控制满足度预测模型可理解为是将配置合规性评分、端口风险评分和异常访问频率等特征作为输入，且将安全防护满足度得分作为输出的网络模型，为了保证实际应有中端口安全防护满足度预测的简单高效性，本实施例优选基于获取的模型输入和输出的相关特征历史数据，对随机森林模型进行优化训练，并使用交叉验证方法评估模型性能，选择准确率较高的模型作为所需访问控制满足度预测模型，具体的训练过程可参考相关随机森林模型的训练方法，此处不再详述。即安全防护满足度得分可通过将权限合规检查结果中的配置合规性评分与端口访问风险评估报告中的端口风险评分、不同异常行为类型对应的异常访问频率输入访问控制满足度预测模型进行预测分析得到。

当所述安全防护满足度得分低于预设满足度阈值时，通过Apriori算法分析所述标准化端口安全策略中各条端口安全策略与安全防护满足度之间的关系，并筛选得到待分析关联规则；所述待分析关联规则满足最小支持度和最小置信度条件；其中，预设满足度阈值可根据实际应用需求选取，此处不作具体限定；当得到的安全防护满足度得分低于预设满足度阈值时可认为当前执行的标准化端口安全策略存在不足，需要进一步分析得到对安全防护满足度影响较大的安全策略，以供后续策略调整使用。本实施例中的待分析关联规则可理解为是先采用Apriori算法对标准化端口安全策略中各条端口安全策略与安全防护满足度之间关系的分析得到频繁项集，再根据最小支持度和最小置信度条件从频繁项集中筛选得到的，用于后续分析获取标准化端口安全策略中的待调整优化的端口安全策略的关联规则，比如，在设置最小支持度为0.05且最小置信度为0.7时，采用Apriori关联规则挖掘算法分析端口安全策略项与安全防护满足度之间的关系所筛选出高度相关的策略项为"动态授权撤销机制触发频率高->安全防护满足度低"。

将所述待分析关联规则中的端口安全策略作为所述待优化端口安全策略项，并通过网格搜索方法，对所述待优化端口安全策略项进行策略参数优化，得到对应的待选用端口安全策略参数；其中，策略参数优化可理解为是对待优化端口安全策略项所涉及的策略运行参数，比如，基于上述给出的待分析关联规则"动态授权撤销机制触发频率高->安全防护满足度低"，对应待优化端口安全策略项涉及的策略参数包括动态授权撤销时间和端口安全事件告警频次阈值；在确定待选用端口安全策略参数时，可先定义各个参数的搜索空间，如动态授权撤销时间范围为[1小时,24小时]且调整步长为1小时，端口安全事件告警频次阈值范围为[10次/分钟,100次/分钟]且调整步长为10次/分钟，再使用网格搜索方法(Grid Search)进行最优策略参数搜索得到最优的动态授权撤销时间和端口安全事件告警频次阈值，具体的参数优化过程可参考网格搜索方法相关技术实现，此处不再详述。

根据所有待优化端口安全策略项和对应的待选用端口安全策略参数，生成所述端口安全策略调整清单；其中，端口安全策略调整清单的生成过程可理解为是将所有待优化端口安全策略项对应于标准化端口安全策略中的端口安全策略内策略参数统一替换为通过上述分析得到的相应最优策略参数，并将替换策略参数后的端口安全策略汇总即可得到所需端口安全策略调整建议清单。

本实施例通过将基于底层配置和真实用户访问控制应用效果等两个方面的端口资源安全防护分析相结合确定端口安全策略调整清单的方式，能够全面可靠地分析当前应用的标准化端口安全策略所存在的潜在防护风险，进而给出精准有效的端口安全策略调整建议，为后续端口安全策略动态调整以提供高质量的资源安全防护提供可靠依据。

S15、根据所述端口安全策略调整清单进行策略变更模拟评估，生成最新端口安全策略，并根据所述最新端口安全策略，执行端口资源访问控制。其中，策略变更模拟可以理解为是为了验证分析得到的端口安全策略调整清单可应用性而优选采用的安全策略变更风险预评估过程，依此来降低端口安全策略调整带来的不确定性。具体的，所述根据所述端口安全策略调整清单进行策略变更模拟评估，生成最新端口安全策略的步骤包括：

通过自然语言处理技术，获取所述端口安全策略调整清单的变更关键信息；其中，变更关键信息可理解为是端口安全策略调整清单中可能涉及的用户角色、通信协议、端口位置变化或权限调整变化等各个端口安全策略运行的主要参数信息，此处不作具体限定。

将所述变更关键信息转换为对应的变更结构化数据，并根据所述变更结构化数据调用Activiti工作流引擎，生成对应的策略变更流程；其中，变更结构化数据可理解为是将变更关键信息转换得到的，便于生成策略变更流程使用的结构化数据，比如得到采用JSON格式存储的变更关键信息数据。本实施例中的Activiti工作流引擎是一个可将业务系统中的复杂业务流程抽取出来，并使用专门的建模语言进行流程定义，以及按照预先的业务流程进行执行的业务流程自动化执行管理方法，具体根据Activiti工作流引擎，基于变更结构化数据创建策略变更流程的方法可参考Activiti工作流引擎的相关现有技术实现，此处不再详述；对应生成的策略变更流程包括审批节点、执行节点和回滚节点，每个节点包含执行条件和超时处理机制，使用状态机制模型管理工作流状态，且工作流状态包括已提交、审批中、评估中、生成中、已完成、已拒绝，每个流程节点完成后，就会自动触发下一节点，比如审批通过后就会自动进入风险评估阶段，以保证整个变更流程的合理性，进而确保后续基于该变更流程进行策略风险评估的可靠性。

通过蒙特卡洛模拟方法生成多组模拟随机变量，并根据各组模拟随机变量，基于所述策略变更流程进行策略变更风险评估，得到对应的场景安全风险指数；其中，所述模拟随机变量包括用户访问频率、流量大小和时间分布，基于生成的多组模拟随机变量来模拟实际应用中的多种用户访问场景，以获取不同应用场景下的安全风险指数；为了保证场景安全风险评估的全面性和有效性，本实施例优选地基于端口敏感度、权限变更幅度、申请用户可信度、未授权访问概率、数据泄露风险和服务中断风险等多个方面进行综合分析得到所需的场景安全风险指数，以真实反馈策略变更后各个应用场景存在的风险大小。

根据所有场景安全风险指数，通过遗传算法生成所述最新端口安全策略；即，在得到所有的场景安全风险指数后，就可以根据设置种群大小、交叉率和变异率，基于综合考虑安全性和可用性两方面因素构建的适应度函数，结合包含端口开放状态、访问控制规则和认证方式的染色体编码方式执行遗传算法获取能够满足端口资源安全防护需求的最优策略参数组合，以得到所需的最新端口安全策略；需要说明的是具体采用遗传算法获取满足端口资源安全防护需求的最优策略参数组合的过程可参考现有基于遗传算法进行策略寻优的相关技术实现，此处不再详述。

本实施例中得到最新端口安全策略可理解为是需要下发至对应的端口设备，后续端口设备直接用于端口资源访问控制使用的安全防护策略；具体的，所述根据所述最新端口安全策略，执行端口资源访问控制的步骤包括：

根据所述最新端口安全策略，采用Drools规则引擎动态生成对应的端口访问控制列表和端口流量监测规则；即对上述得到的最新端口安全策略进行分解和解析，获取各个端口对应不同业务场景下的访问权限规则、异常流量判定规则以及不同访问权限规则和异常流量判定规则对应的处理措施等，再基于解析得到的不同端口在不同业务场景下的访问权限规则和异常流量判定规则设计对应的Drools规则，比如对于给定的源IP、目标IP、端口号、流量大小和流量模式等规则条件，对应的结果部分可包括允许、拒绝、记录日志、触发告警等操作；通过类似的规则生成方法就能与最新端口安全策略对应的端口访问控制列表和端口流量监测规则。其中，所述流量监测规则包括IP地址过滤、端口号限制和协议类型控制，在实际应用中每个端口设备对应的流量监测规则可以同时存在多条，且每条规则都有唯一标识ID，以及对应的生效时间和失效时间，具体每个规则的内容可因实际应用场景而异。

需要说明的是，本实施例中端口访问控制列表的生成可采用差异化更新方法，即在当前执行的端口访问控制列表的基础上只修改发生变化的部分，减少更新开销，且在修改访问控制列表的同时，还需要修改用户资源关系图谱，即通过相应图数据库的查询语言更新节点和节点间关系，比如，对于使用Neo4j图数据库存储关系图谱的情况，可通过Cypher查询语言更新节点和关系，在具体执行修改用户资源关系图谱操作时，需要在图数据库中创建事务，确保关系图谱的原子性更新，若更新过程中出现错误，则自动回滚到前一个稳定状态，以避免当前更新失败影响后续端口访问控制的正常运行。

根据所述端口流量监测规则，生成对应的访问规则集，并将所述访问规则集实时下发至对应的端口设备，以使所述端口设备根据所述访问规则集执行端口资源访问控制；其中，访问规则集可理解为是将每个端口设备对应的多条端口流量监测规则汇总所得到的规则集合；在得到访问规则集后，就可以通过权限代理网关实时下发到对应的端口设备用于执行相应的访问控制；需要说明的是，为了保证访问规则集传输的机密性和完整性，本实施例优选地采用TLS1.3安全传输协议下发访问规则集并使用X.509数字证书进行端口设备的身份验证，且在下发访问规则集时设置规则版本号和Unix时间戳，实现增量更新机制，当检测到规则冲突时，自动回滚到上一个稳定版本，并记录冲突日志，以确保端口设备能够持续稳定的执行资源访问管理。

此外，为了保证端口设备实际应用访问规则集执行资源访问控制的可靠性，本实施优选地将访问规则集与实时流量深度监测分析相结合的方式对用户访问请求进行实时过滤；具体的，所述端口设备根据所述访问规则集执行端口资源访问控制的步骤包括：

根据所述访问规则集，基于Suricata深度包检测引擎对各个访问请求进行过滤识别，得到可疑访问请求；其中，Suricata深度包检测引擎是用于对每个访问请求的流量数据包进行内容深度解析检测的网络入侵检测工具，在实际应用中，可根据具体的访问规则集对Suricata深度包检测引擎的相关功能流量过滤参数进行动态设置以基于访问规则集的实时深度分析过滤，以及时准确地捕捉异常访问。

获取各个可疑访问请求的流量特征，并根据所述流量特征，基于随机森林模型计算对应的请求风险得分；其中，流量特征可包括源IP地址、目标端口、协议类型、数据包大小和时间间隔等信息，对应使用基于相关历史数据训练构建的随机森林模型接收各个可疑访问请求的流量特征输入即可高效预测出对应的请求风险得分。

判断各个可疑访问请求的请求风险得分是否大于预设风险阈值，若是，则直接拒绝所述可疑访问请求，反之，则持续监测所述可疑访问请求的实时流量数据，根据所述实时流量数据和对应的业务端口异常流量检测模型进行实时流量异常检测，并根据识别的流量异常上报告警；其中，预设风险阈值可根据实际应用需求选取，此处不作具体限定，假设预设风险阈值为0.8，则请求风险得分大于0.8的可疑访问请求可以直接拒绝接收并同时记录对应的详细拒绝原因；而对于请求风险得分未超过0.8的可疑访问请求并不能直接判定其是正常的，需要根据需求持续采集一段时间的流量数据进行异常识别分析，以保证异常流量监管的全面性。同时，为了尽可能简化端口设备的访问控制流程，本实施例中的业务端口异常流量检测模型仍采用前述根据业务端口流量监测规则对端口异常流量检测模型进行参数更新优化所得到的异常流量检测模型，当前也可以根据需要将此处的异常流量检测模型替换其它能高效识别流量异常的模型，比如基于ARIMA模型识别流量趋势异常，当实时流量数据超过平均值的2个标准差时就判定存在告警风险等，此处不再详述。需要说明的是，在实际应用中，可设置多维度告警阈值，比如，单IP连接数超过100/分钟、数据包大小超过10MB/秒、访问频率超过1000次/分钟等，具体上报告警的实现过程可包括通过检测异常自动触发告警，并通过消息队列推送告警信息，并同步启动预定义的应急响应工作流程，包括自动隔离可疑IP/端口、限制用户访问权限、增加监控粒度、增加日志记录频率和通知安全运维人员等措施，且将所有监测数据和对应的告警信息实时写入相关设备运维日志，便于后续分析和审计，以此来保证端口资源访问风险能够及时发现和及时处理，有效提高端口资源安全的防护等级。

本申请实施例提出的通过自然语言处理技术对各个业务部门提交的端口访问规则配置请求进行解析处理，生成对应包括多条包括策略ID、用户角色、端口资源、访问规则和对应的访问权限的端口安全策略的标准化端口安全策略，根据标准化端口安全策略，对现有端口访问权限配置进行异常识别，生成对应的权限合规检查结果后，根据各个端口设备的访问日志数据和访问流量数据，基于数据挖掘技术进行可疑访问模式和异常行为识别，生成对应的端口访问风险评估报告，并将权限合规检查结果和端口访问风险评估报告进行关联分析，得到端口安全策略调整清单，以及根据端口安全策略调整清单和预设端口安全策略变更流程，生成最新端口安全策略，并根据最新端口安全策略执行端口资源访问控制的方案，采用将基于标准化端口安全策略的现有端口访问权限配置异常识结果，与基于端口设备的访问日志数据和访问流量数据的端口访问风险评估结果关联分析生成端口安全策略调整清单，并结合策略变更模拟评估结果动态调整端口安全策略的方式，有效解决了现有企业网络资源访问控制存在容易被攻击者利用的配置缺陷和管理盲区导致企业信息安全承受较大威胁的应用缺陷，能对各个端口设备的资源访问进行全面且可靠的监测过滤，避免攻击者利用配置漏洞绕过安全防护获取权限以外资源，有效提升端口安全管理的智能化水平，降低企业信息安全风险。

需要说明的是，虽然上述流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。

在一个实施例中，如图2所示，提供了一种基于身份认证和端口感知的网络资源访问控制系统，所述系统包括：

安全策略生成模块1，用于通过自然语言处理技术对各个业务部门提交的端口访问规则配置请求进行解析处理，生成对应的标准化端口安全策略；所述标准化端口安全策略包括多条端口安全策略；所述端口安全策略包括策略ID、用户角色、端口资源、访问规则和对应的访问权限；

权限合规检查模块2，用于根据所述标准化端口安全策略，对现有端口访问权限配置进行异常识别，生成对应的权限合规检查结果；

访问风险评估模块3，用于根据各个端口设备的访问日志数据和访问流量数据，基于数据挖掘技术进行可疑访问模式和异常行为识别，生成对应的端口访问风险评估报告；

调整建议生成模块4，用于将所述权限合规检查结果和所述端口访问风险评估报告进行关联分析，得到端口安全策略调整清单；

安全策略更新模块5，用于根据所述端口安全策略调整清单进行策略变更模拟评估，生成最新端口安全策略，并根据所述最新端口安全策略，执行端口资源访问控制。

在一个实施例中，提供了一种基于身份认证和端口感知的网络资源访问控制系统，所述通过自然语言处理技术对各个业务部门提交的端口访问规则配置请求进行解析处理，生成对应的标准化端口安全策略，包括：

分别对各个端口访问规则配置请求依次进行分词处理和词性标注处理，得到对应的规则配置请求分词信息集；

根据各个规则配置请求分词信息集，基于依存句法分析工具构建对应的配置请求语义依存树；

根据各个配置请求语义依存树，获取对应的规则配置关键信息，并根据所述规则配置关键信息，生成对应的规则要素结构化数据；所述规则配置关键信息包括用户角色、端口号和协议类型；

根据所述规则要素结构化数据和预设流量监测规则库，获取对应的流量监测规则要素和端口异常流量检测模型；所述流量监测规则要素包括监测对象、监测指标和指标阈值；

将所述流量监测规则要素填充至对应的预设业务端口安全策略模板，生成对应的业务端口流量监测规则；

根据所述业务端口流量监测规则，对所述端口异常流量检测模型进行参数更新优化，得到业务端口异常流量检测模型，并根据所述业务端口异常流量检测模型的模型参数，生成异常行为检测规则集；所述参数更新优化包括调整流量特征权重和调整异常判定阈值；

将各个端口访问规则配置请求对应的用户角色、所述异常行为检测规则集和所述业务端口流量监测规则进行整合处理，生成所述标准化端口安全策略。

在一个实施例中，提供了一种基于身份认证和端口感知的网络资源访问控制系统，所述权限合规检查结果包括配置合规性评分和端口安全策略调整清单；

所述根据所述标准化端口安全策略，对现有端口访问权限配置进行异常识别，生成对应的权限合规检查结果，包括：

根据所述标准化端口安全策略中所有端口安全策略，基于图数据库技术构建对应的用户资源关系图谱；所述用户资源关系图谱的节点类型包括用户节点、端口节点和权限节点；

通过子图同构算法，对所述用户资源关系图谱进行现有权限配置异常识别，得到对应的权限配置异常识别结果；

若所述权限配置异常识别结果不存在权限配置错误，则将所述配置合规性评分设为最高合规评分值，反之，则分别获取各个权限配置错误对应的角色权限矩阵，并根据所述角色权限矩阵，获取对应的权限间互信息；

判断各个权限配置错误对应的权限间互信息是否大于预设互信息阈值，若是，则判定存在权限互斥冲突，并将对应的权限合规评分设为第一合规扣分值，反之，则将对应的权限合规评分设为第二合规扣分值；

将所述第一合规扣分值和所述第二合规扣分值进行累加，得到合规扣分累计值，并将所述最高合规评分值与所述合规扣分累计值作差，得到所述配置合规性评分；

当存在权限互斥冲突时，对所述用户资源关系图谱中相应权限配置进行冲突优化分析，并根据对应的冲突优化分析结果，生成所述端口安全策略调整清单。

在一个实施例中，提供了一种基于身份认证和端口感知的网络资源访问控制系统，所述端口访问风险评估报告包括端口风险评分、不同异常行为类型对应的异常访问频率；

所述根据各个端口设备的访问日志数据和访问流量数据，基于数据挖掘技术进行可疑访问模式和异常行为识别，生成对应的端口访问风险评估报告，包括：

分别对各个端口设备的访问日志数据进行解析处理，得到对应的用户身份认证信息；所述用户身份认证信息包括用户名、登录时间和登录IP地址；

分别对各个端口设备的访问流量数据进行解析处理，得到对应的端口访问行为特征；所述端口访问行为特征包括源IP、目的IP、端口号、协议类型和数据包大小；

根据所有端口设备的用户身份认证信息和端口访问行为特征进行综合分析，得到所述端口访问特征；所述端口访问特征包括每个用户的访问频率、平均会话时长和访问端口数量；

根据所述端口访问特征，生成对应的用户端口访问矩阵，并根据所述用户端口访问矩阵进行用户访问行为聚类分析，得到多个用户访问行为簇；

获取各个用户访问行为簇中与聚类中心间距超过预设距离阈值的用户访问行为标记为可疑访问模式；

根据各个可疑访问模式，基于FP-growth算法进行关联规则挖掘，生成对应的频繁项集，并根据所述频繁项集和预设置信度阈值，得到异常行为类型、异常行为等级和对应的异常风险评分；

根据所有可疑访问模式对应的异常行为类型、异常行为等级和异常风险评分进行综合统计分析，生成所述端口访问风险评估报告。

在一个实施例中，提供了一种基于身份认证和端口感知的网络资源访问控制系统，所述将所述权限合规检查结果和所述端口访问风险评估报告进行关联分析，得到端口安全策略调整清单，包括：

将所述权限合规检查结果、所述端口访问风险评估报告和预先构建的访问控制满足度预测模型进行端口安全防护满足度预测，得到对应的安全防护满足度得分；

当所述安全防护满足度得分低于预设满足度阈值时，通过Apriori算法分析所述标准化端口安全策略中各条端口安全策略与安全防护满足度之间的关系，并筛选得到待分析关联规则；所述待分析关联规则满足最小支持度和最小置信度条件；

将所述待分析关联规则中的端口安全策略作为所述待优化端口安全策略项，并通过网格搜索方法，对所述待优化端口安全策略项进行策略参数优化，得到对应的待选用端口安全策略参数；

根据所有待优化端口安全策略项和对应的待选用端口安全策略参数，生成所述端口安全策略调整清单。

在一个实施例中，提供了一种基于身份认证和端口感知的网络资源访问控制系统，所述根据所述端口安全策略调整清单进行策略变更模拟评估，生成最新端口安全策略，包括：

通过自然语言处理技术，获取所述端口安全策略调整清单的变更关键信息；

将所述变更关键信息转换为对应的变更结构化数据，并根据所述变更结构化数据调用Activiti工作流引擎，生成对应的策略变更流程；所述策略变更流程包括审批节点、执行节点和回滚节点；

通过蒙特卡洛模拟方法生成多组模拟随机变量，并根据各组模拟随机变量，基于所述策略变更流程进行策略变更风险评估，得到对应的场景安全风险指数；所述模拟随机变量包括用户访问频率、流量大小和时间分布；

根据所有场景安全风险指数，通过遗传算法生成所述最新端口安全策略；所述遗传算法的染色体编码包含端口开放状态、访问控制规则和认证方式。

关于基于身份认证和端口感知的网络资源访问控制系统的具体限定可以参见上文中对于基于身份认证和端口感知的网络资源访问控制方法的限定，对应的技术效果也可等同得到，在此不再赘述。上述基于身份认证和端口感知的网络资源访问控制系统中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

综上，本发明实施例提供的一种基于身份认证和端口感知的网络资源访问控制方法及系统，其基于身份认证和端口感知的网络资源访问控制方法实现了通过自然语言处理技术对各个业务部门提交的端口访问规则配置请求进行解析处理，生成对应包括多条包括策略ID、用户角色、端口资源、访问规则和对应的访问权限的端口安全策略的标准化端口安全策略，根据标准化端口安全策略，对现有端口访问权限配置进行异常识别，生成对应的权限合规检查结果后，根据各个端口设备的访问日志数据和访问流量数据，基于数据挖掘技术进行可疑访问模式和异常行为识别，生成对应的端口访问风险评估报告，并将权限合规检查结果和端口访问风险评估报告进行关联分析，得到端口安全策略调整清单，以及根据端口安全策略调整清单和预设端口安全策略变更流程，生成最新端口安全策略，并根据最新端口安全策略执行端口资源访问控制的技术方案，该方法采用将基于标准化端口安全策略的现有端口访问权限配置异常识结果，与基于端口设备的访问日志数据和访问流量数据的端口访问风险评估结果关联分析生成端口安全策略调整清单，并结合策略变更模拟评估结果动态调整端口安全策略的方式，能对各个端口设备的资源访问进行全面且可靠的监测过滤，避免攻击者利用配置漏洞绕过安全防护获取权限以外资源，有效提升端口安全管理的智能化水平，降低企业信息安全风险。

本说明书中的各个实施例均采用递进的方式描述，各个实施例直接相同或相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。需要说明的是，上述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种优选实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和替换，这些改进和替换也应视为本申请的保护范围。因此，本申请专利的保护范围应以所述权利要求的保护范围为准。

Claims (15)

1.一种基于身份认证和端口感知的网络资源访问控制方法，其特征在于，所述方法包括以下步骤：

通过自然语言处理技术对各个业务部门提交的端口访问规则配置请求进行解析处理，生成对应的标准化端口安全策略；所述标准化端口安全策略包括多条端口安全策略；所述端口安全策略包括策略ID、用户角色、端口资源、访问规则和对应的访问权限；

根据所述标准化端口安全策略，对现有端口访问权限配置进行异常识别，生成对应的权限合规检查结果；所述对现有端口访问权限配置进行异常识别包括：获取所述标准化端口安全策略对应的用户资源关系图谱，并对所述用户资源关系图谱进行权限配置异常识别分析，得到所述权限合规检查结果；所述用户资源关系图谱的节点类型包括用户节点、端口节点和权限节点；

根据各个端口设备的访问日志数据和访问流量数据，基于数据挖掘技术进行可疑访问模式和异常行为识别，生成对应的端口访问风险评估报告；

将所述权限合规检查结果和所述端口访问风险评估报告进行关联分析，得到端口安全策略调整清单；

根据所述端口安全策略调整清单进行策略变更模拟评估，生成最新端口安全策略，并根据所述最新端口安全策略，执行端口资源访问控制。

2.如权利要求1所述的基于身份认证和端口感知的网络资源访问控制方法，其特征在于，所述通过自然语言处理技术对各个业务部门提交的端口访问规则配置请求进行解析处理，生成对应的标准化端口安全策略的步骤包括：

分别对各个端口访问规则配置请求依次进行分词处理和词性标注处理，得到对应的规则配置请求分词信息集；

根据各个规则配置请求分词信息集，基于依存句法分析工具构建对应的配置请求语义依存树；

根据各个配置请求语义依存树，获取对应的规则配置关键信息，并根据所述规则配置关键信息，生成对应的规则要素结构化数据；所述规则配置关键信息包括用户角色、端口号和协议类型；

根据所述规则要素结构化数据和预设流量监测规则库，获取对应的流量监测规则要素和端口异常流量检测模型；所述流量监测规则要素包括监测对象、监测指标和指标阈值；

将所述流量监测规则要素填充至对应的预设业务端口安全策略模板，生成对应的业务端口流量监测规则；

根据所述业务端口流量监测规则，对所述端口异常流量检测模型进行参数更新优化，得到业务端口异常流量检测模型，并根据所述业务端口异常流量检测模型的模型参数，生成异常行为检测规则集；所述参数更新优化包括调整流量特征权重和调整异常判定阈值；

将各个端口访问规则配置请求对应的用户角色、所述异常行为检测规则集和所述业务端口流量监测规则进行整合处理，生成所述标准化端口安全策略。

3.如权利要求2所述的基于身份认证和端口感知的网络资源访问控制方法，其特征在于，所述业务端口异常流量检测模型的构建步骤包括：

获取端口历史正常流量数据；所述端口历史正常流量数据包括多种业务类型正常流量数据；

根据所述端口历史正常流量数据，对单类支持向量机模型进行训练，得到所述业务端口异常流量检测模型。

4.如权利要求1所述的基于身份认证和端口感知的网络资源访问控制方法，其特征在于，所述权限合规检查结果包括配置合规性评分和端口安全策略调整清单；

所述根据所述标准化端口安全策略，对现有端口访问权限配置进行异常识别，生成对应的权限合规检查结果的步骤包括：

根据所述标准化端口安全策略中所有端口安全策略，基于图数据库技术构建对应的用户资源关系图谱；

通过子图同构算法，对所述用户资源关系图谱进行现有权限配置异常识别，得到对应的权限配置异常识别结果；

若所述权限配置异常识别结果不存在权限配置错误，则将所述配置合规性评分设为最高合规评分值，反之，则分别获取各个权限配置错误对应的角色权限矩阵，并根据所述角色权限矩阵，获取对应的权限间互信息；

判断各个权限配置错误对应的权限间互信息是否大于预设互信息阈值，若是，则判定存在权限互斥冲突，并将对应的权限合规评分设为第一合规扣分值，反之，则将对应的权限合规评分设为第二合规扣分值；

将所述第一合规扣分值和所述第二合规扣分值进行累加，得到合规扣分累计值，并将所述最高合规评分值与所述合规扣分累计值作差，得到所述配置合规性评分；

当存在权限互斥冲突时，对所述用户资源关系图谱中相应权限配置进行冲突优化分析，并根据对应的冲突优化分析结果，生成所述端口安全策略调整清单。

5.如权利要求1所述的基于身份认证和端口感知的网络资源访问控制方法，其特征在于，所述端口访问风险评估报告包括端口风险评分、不同异常行为类型对应的异常访问频率；

所述根据各个端口设备的访问日志数据和访问流量数据，基于数据挖掘技术进行可疑访问模式和异常行为识别，生成对应的端口访问风险评估报告的步骤包括：

分别对各个端口设备的访问日志数据进行解析处理，得到对应的用户身份认证信息；所述用户身份认证信息包括用户名、登录时间和登录IP地址；

分别对各个端口设备的访问流量数据进行解析处理，得到对应的端口访问行为特征；所述端口访问行为特征包括源IP、目的IP、端口号、协议类型和数据包大小；

根据所有端口设备的用户身份认证信息和端口访问行为特征进行综合分析，得到端口访问特征；所述端口访问特征包括每个用户的访问频率、平均会话时长和访问端口数量；

根据所述端口访问特征，生成对应的用户端口访问矩阵，并根据所述用户端口访问矩阵进行用户访问行为聚类分析，得到多个用户访问行为簇；

获取各个用户访问行为簇中与聚类中心间距超过预设距离阈值的用户访问行为标记为可疑访问模式；

根据各个可疑访问模式，基于FP-growth算法进行关联规则挖掘，生成对应的频繁项集，并根据所述频繁项集和预设置信度阈值，得到异常行为类型、异常行为等级和对应的异常风险评分；

根据所有可疑访问模式对应的异常行为类型、异常行为等级和异常风险评分进行综合统计分析，生成所述端口访问风险评估报告。

6.如权利要求1所述的基于身份认证和端口感知的网络资源访问控制方法，其特征在于，所述将所述权限合规检查结果和所述端口访问风险评估报告进行关联分析，得到端口安全策略调整清单的步骤包括：

将所述权限合规检查结果、所述端口访问风险评估报告和预先构建的访问控制满足度预测模型进行端口安全防护满足度预测，得到对应的安全防护满足度得分；

当所述安全防护满足度得分低于预设满足度阈值时，通过Apriori算法分析所述标准化端口安全策略中各条端口安全策略与安全防护满足度之间的关系，并筛选得到待分析关联规则；所述待分析关联规则满足最小支持度和最小置信度条件；

将所述待分析关联规则中的端口安全策略作为待优化端口安全策略项，并通过网格搜索方法，对所述待优化端口安全策略项进行策略参数优化，得到对应的待选用端口安全策略参数；

根据所有待优化端口安全策略项和对应的待选用端口安全策略参数，生成所述端口安全策略调整清单。

7.如权利要求1所述的基于身份认证和端口感知的网络资源访问控制方法，其特征在于，所述根据所述端口安全策略调整清单进行策略变更模拟评估，生成最新端口安全策略的步骤包括：

通过自然语言处理技术，获取所述端口安全策略调整清单的变更关键信息；

将所述变更关键信息转换为对应的变更结构化数据，并根据所述变更结构化数据调用Activiti工作流引擎，生成对应的策略变更流程；所述策略变更流程包括审批节点、执行节点和回滚节点；

通过蒙特卡洛模拟方法生成多组模拟随机变量，并根据各组模拟随机变量，基于所述策略变更流程进行策略变更风险评估，得到对应的场景安全风险指数；所述模拟随机变量包括用户访问频率、流量大小和时间分布；

根据所有场景安全风险指数，通过遗传算法生成所述最新端口安全策略；所述遗传算法的染色体编码包含端口开放状态、访问控制规则和认证方式。

8.如权利要求1所述的基于身份认证和端口感知的网络资源访问控制方法，其特征在于，所述根据所述最新端口安全策略，执行端口资源访问控制的步骤包括：

根据所述最新端口安全策略，采用Drools规则引擎动态生成对应的端口访问控制列表和端口流量监测规则；所述流量监测规则包括IP地址过滤、端口号限制和协议类型控制；

根据所述端口流量监测规则，生成对应的访问规则集，并将所述访问规则集实时下发至对应的端口设备，以使所述端口设备根据所述访问规则集执行端口资源访问控制。

9.如权利要求8所述的基于身份认证和端口感知的网络资源访问控制方法，其特征在于，所述端口设备根据所述访问规则集执行端口资源访问控制的步骤包括：

根据所述访问规则集，基于Suricata深度包检测引擎对各个访问请求进行过滤识别，得到可疑访问请求；

获取各个可疑访问请求的流量特征，并根据所述流量特征，基于随机森林模型计算对应的请求风险得分；

判断各个可疑访问请求的请求风险得分是否大于预设风险阈值，若是，则直接拒绝所述可疑访问请求，反之，则持续监测所述可疑访问请求的实时流量数据，根据所述实时流量数据和对应的业务端口异常流量检测模型进行实时流量异常检测，并根据识别的流量异常上报告警。

10.一种基于身份认证和端口感知的网络资源访问控制系统，其特征在于，所述系统包括：

安全策略生成模块，用于通过自然语言处理技术对各个业务部门提交的端口访问规则配置请求进行解析处理，生成对应的标准化端口安全策略；所述标准化端口安全策略包括多条端口安全策略；所述端口安全策略包括策略ID、用户角色、端口资源、访问规则和对应的访问权限；

权限合规检查模块，用于根据所述标准化端口安全策略，对现有端口访问权限配置进行异常识别，生成对应的权限合规检查结果；所述对现有端口访问权限配置进行异常识别包括：获取所述标准化端口安全策略对应的用户资源关系图谱，并对所述用户资源关系图谱进行权限配置异常识别分析，得到所述权限合规检查结果；所述用户资源关系图谱的节点类型包括用户节点、端口节点和权限节点；

访问风险评估模块，用于根据各个端口设备的访问日志数据和访问流量数据，基于数据挖掘技术进行可疑访问模式和异常行为识别，生成对应的端口访问风险评估报告；

调整建议生成模块，用于将所述权限合规检查结果和所述端口访问风险评估报告进行关联分析，得到端口安全策略调整清单；

安全策略更新模块，用于根据所述端口安全策略调整清单进行策略变更模拟评估，生成最新端口安全策略，并根据所述最新端口安全策略，执行端口资源访问控制。

11.如权利要求10所述的基于身份认证和端口感知的网络资源访问控制系统，其特征在于，所述通过自然语言处理技术对各个业务部门提交的端口访问规则配置请求进行解析处理，生成对应的标准化端口安全策略，包括：

分别对各个端口访问规则配置请求依次进行分词处理和词性标注处理，得到对应的规则配置请求分词信息集；

根据各个规则配置请求分词信息集，基于依存句法分析工具构建对应的配置请求语义依存树；

根据各个配置请求语义依存树，获取对应的规则配置关键信息，并根据所述规则配置关键信息，生成对应的规则要素结构化数据；所述规则配置关键信息包括用户角色、端口号和协议类型；

根据所述规则要素结构化数据和预设流量监测规则库，获取对应的流量监测规则要素和端口异常流量检测模型；所述流量监测规则要素包括监测对象、监测指标和指标阈值；

将所述流量监测规则要素填充至对应的预设业务端口安全策略模板，生成对应的业务端口流量监测规则；

根据所述业务端口流量监测规则，对所述端口异常流量检测模型进行参数更新优化，得到业务端口异常流量检测模型，并根据所述业务端口异常流量检测模型的模型参数，生成异常行为检测规则集；所述参数更新优化包括调整流量特征权重和调整异常判定阈值；

将各个端口访问规则配置请求对应的用户角色、所述异常行为检测规则集和所述业务端口流量监测规则进行整合处理，生成所述标准化端口安全策略。

12.如权利要求10所述的基于身份认证和端口感知的网络资源访问控制系统，其特征在于，所述权限合规检查结果包括配置合规性评分和端口安全策略调整清单；

所述根据所述标准化端口安全策略，对现有端口访问权限配置进行异常识别，生成对应的权限合规检查结果，包括：

根据所述标准化端口安全策略中所有端口安全策略，基于图数据库技术构建对应的用户资源关系图谱；所述用户资源关系图谱的节点类型包括用户节点、端口节点和权限节点；

通过子图同构算法，对所述用户资源关系图谱进行现有权限配置异常识别，得到对应的权限配置异常识别结果；

若所述权限配置异常识别结果不存在权限配置错误，则将所述配置合规性评分设为最高合规评分值，反之，则分别获取各个权限配置错误对应的角色权限矩阵，并根据所述角色权限矩阵，获取对应的权限间互信息；

判断各个权限配置错误对应的权限间互信息是否大于预设互信息阈值，若是，则判定存在权限互斥冲突，并将对应的权限合规评分设为第一合规扣分值，反之，则将对应的权限合规评分设为第二合规扣分值；

将所述第一合规扣分值和所述第二合规扣分值进行累加，得到合规扣分累计值，并将所述最高合规评分值与所述合规扣分累计值作差，得到所述配置合规性评分；

当存在权限互斥冲突时，对所述用户资源关系图谱中相应权限配置进行冲突优化分析，并根据对应的冲突优化分析结果，生成所述端口安全策略调整清单。

13.如权利要求10所述的基于身份认证和端口感知的网络资源访问控制系统，其特征在于，所述端口访问风险评估报告包括端口风险评分、不同异常行为类型对应的异常访问频率；

所述根据各个端口设备的访问日志数据和访问流量数据，基于数据挖掘技术进行可疑访问模式和异常行为识别，生成对应的端口访问风险评估报告，包括：

分别对各个端口设备的访问日志数据进行解析处理，得到对应的用户身份认证信息；所述用户身份认证信息包括用户名、登录时间和登录IP地址；

分别对各个端口设备的访问流量数据进行解析处理，得到对应的端口访问行为特征；所述端口访问行为特征包括源IP、目的IP、端口号、协议类型和数据包大小；

根据所有端口设备的用户身份认证信息和端口访问行为特征进行综合分析，得到端口访问特征；所述端口访问特征包括每个用户的访问频率、平均会话时长和访问端口数量；

根据所述端口访问特征，生成对应的用户端口访问矩阵，并根据所述用户端口访问矩阵进行用户访问行为聚类分析，得到多个用户访问行为簇；

获取各个用户访问行为簇中与聚类中心间距超过预设距离阈值的用户访问行为标记为可疑访问模式；

根据各个可疑访问模式，基于FP-growth算法进行关联规则挖掘，生成对应的频繁项集，并根据所述频繁项集和预设置信度阈值，得到异常行为类型、异常行为等级和对应的异常风险评分；

根据所有可疑访问模式对应的异常行为类型、异常行为等级和异常风险评分进行综合统计分析，生成所述端口访问风险评估报告。

14.如权利要求10所述的基于身份认证和端口感知的网络资源访问控制系统，其特征在于，所述将所述权限合规检查结果和所述端口访问风险评估报告进行关联分析，得到端口安全策略调整清单，包括：

将所述权限合规检查结果、所述端口访问风险评估报告和预先构建的访问控制满足度预测模型进行端口安全防护满足度预测，得到对应的安全防护满足度得分；

当所述安全防护满足度得分低于预设满足度阈值时，通过Apriori算法分析所述标准化端口安全策略中各条端口安全策略与安全防护满足度之间的关系，并筛选得到待分析关联规则；所述待分析关联规则满足最小支持度和最小置信度条件；

将所述待分析关联规则中的端口安全策略作为待优化端口安全策略项，并通过网格搜索方法，对所述待优化端口安全策略项进行策略参数优化，得到对应的待选用端口安全策略参数；

根据所有待优化端口安全策略项和对应的待选用端口安全策略参数，生成所述端口安全策略调整清单。

15.如权利要求10所述的基于身份认证和端口感知的网络资源访问控制系统，其特征在于，所述根据所述端口安全策略调整清单进行策略变更模拟评估，生成最新端口安全策略，包括：

通过自然语言处理技术，获取所述端口安全策略调整清单的变更关键信息；

将所述变更关键信息转换为对应的变更结构化数据，并根据所述变更结构化数据调用Activiti工作流引擎，生成对应的策略变更流程；所述策略变更流程包括审批节点、执行节点和回滚节点；

通过蒙特卡洛模拟方法生成多组模拟随机变量，并根据各组模拟随机变量，基于所述策略变更流程进行策略变更风险评估，得到对应的场景安全风险指数；所述模拟随机变量包括用户访问频率、流量大小和时间分布；

根据所有场景安全风险指数，通过遗传算法生成所述最新端口安全策略；所述遗传算法的染色体编码包含端口开放状态、访问控制规则和认证方式。