【摘要】 本发明提供了一种XACML策略规则检测方法，属于信息安全中的授权策略分析领域， 该方法针对XACML策略规则进行了规则状态定义、规则状态相关性定义、冲突类型分析， 在此基础上，建立了基于语义树的策略索引并实施具体的XACML策略规则检测，分析了规 则冲突和规则冗余，检测方法包含两种类型：基于属性层次操作关联的冲突检测方法；基 于状态相关性的其他类型冲突检测方法，冗余分析方面，分别在允许优先、拒绝优先和首 次适用消解算法下给出规则冗余的分析判定方法。策略管理者通过检测方法可以准确定位 引发冲突的规则以及引发冲突的原因；冗余分析方面，可以根据分析结果优化策略结构， 删除不影响访问判定结果的冗余规则，提高策略判定效率。 【专利类型】发明授权 【申请人】中国科学院软件研究所 【申请人类型】科研单位 【申请人地址】100190北京市海淀区中关村南四街4号 【申请人地区】中国 【申请人城市】北京市 【申请人区县】海淀区 【申请号】CN200810119404.7 【申请日】2008-08-29 【申请年份】2008 【公开公告号】CN100592315C 【公开公告日】2010-02-24 【公开公告年份】2010 【授权公告号】CN100592315C 【授权公告日】2010-02-24 【授权公告年份】2010.0 【发明人】王雅哲; 冯登国; 张立武; 张敏 【主权项内容】1、一种XACML策略规则检测方法，用于分析规则冲突，其步骤包括： 1)构建XACML策略规则分析的形式化模型，根据XACML描述属性的结构和特征，定义 规则状态及规则状态满足，规则状态表示为 id="icf0001" file="C2008101194040002C1.tif" wi="143" he="9" top= "53" left = "21" img-content="drawing" img-format="tif" orientation="portrait" inline="yes"/>其中： subi、resi、aci和eni分别代表Rule中一个主体、资源、动作和环境属性分量，每个分 量包括使断言合取式 id="icf0002" file="C2008101194040002C2.tif" wi="14" he="7" top= "76" left = "59" img-content="drawing" img-format="tif" orientation="portrait" inline="yes"/>为真的一组属性值，其中断言matchj是作用在属性值上的布 尔函数， id="icf0003" file="C2008101194040002C3.tif" wi="52" he="8" top= "88" left = "38" img-content="drawing" img-format="tif" orientation="portrait" inline="yes"/>分别表示各种属性分量的并集，Decision表示Rule 的effect类型；规则状态满足，若规则Rulei声明主体SA在环境状态为EA时，可以对资 源RA进行访问动作AA，则属性状态向量(SA，RA，AA，EA)满足规则状态Statei，表示为 Statei|＝(SA，RA，AA，EA)effect； 2)制定XACML中的权限继承和权限蕴含规则，所述权限继承规则为正向权限和负 向权限都可以沿主体属性层次路径向下层主体属性传播；所述权限蕴含规则为正向访问动 作不能沿资源属性层次路径向下蕴含，负向访问动作可以向下层资源属性蕴含； 3)定义XACML中规则状态的关系，分为状态覆盖、状态相交或是状态无关，规则目 标元素中定义的各种属性类型和属性取值范围包含在另一规则状态中，规则状态为覆盖； 规则目标元素某个属性分量或属性分量组合的取值范围存在交集，规则状态为相交；两条 规则间的各种属性分量集合以及具有相同属性名称的属性分量的取值范围完全不同，规则 状态为无关； 4)通过描述属性层次操作关联类型，分析属性层次引起的规则间冲突类型，类型包 括： (1)继承自上层主体属性的正向权限和自身负向权限对下层资源属性的蕴含冲突； (2)继承自上层主体属性的负向权限对下层资源属性的蕴含与自身正向权限冲突； (3)自身负向权限对下层资源属性的蕴含和自身正向权限冲突； (4)相同资源属性节点下，主体自身负向权限和继承自上层主体属性的正向权限冲 突； (5)相同资源属性节点下，主体自身正向权限和继承自上层主体属性的负向权限冲 突； 5)建立基于资源语义树的策略索引结构，具体是为系统提供完整的资源语义树，并 且语义树的每个节点都建立一个策略标识符列表，语义树中的节点可以转换为策略中属性 值标识，其对应列表中存放涉及该资源属性的所有策略标识符，标识符条目指向实际的访 问控制策略； 6)运行基于属性层次操作关联的冲突检测算法，算法输入包括需检测的主体属性策 略和其引用继承的上层主体属性的权限策略列表，检测步骤4)中分析的规则间冲突类型， 输出是由若干冲突规则对组成的集合； 7)运行基于状态相关的其他类型冲突检测算法，算法输入包括要检测的资源属性节 点，检测步骤3)中的规则状态相交产生的规则冲突情况，输出是冲突规则对集合和冲突 威胁规则对集合。。 【当前权利人】中国科学院软件研究所 【当前专利权人地址】北京市海淀区中关村南四街4号 【统一社会信用代码】121000004000123696 【被引证次数】TRUE 【家族被引证次数】TRUE
