CN114615328B 一种安全访问控制系统和方法 （北京美亚柏科网络安全科技有限公司）

US2014020078A1,2014.01.16US2017149772A1,2017.05.25US2021091976A1,2021.03.25US2021336959A1,2021.10.28有系统的安全性低和解密成本高问题。所述系零信任代理发送的用户身份认证信息向零信任安全控制中心发送用户身份认证请求并获取用2根据所述终端零信任代理发送的应用网关端口请求信息，回传所述应用网关端口信根据应用网关发送的网关身份认证请求和所述用户权限，对所应用网关，用于与所述终端零信任代理建立双向连接通路；根据零信任安全控制中心，用于对所述访问控制器发送的用户身所述终端零信任代理，还用于采用单包授权敲门技术，与所述访问控制所述访问控制器，还用于支持所述终端零信任代理采用单包授权通过访问控制器根据所述终端零信任代理发送的用户身份认证信息向零信任安全控通过终端零信任代理拦截用户直接发送的应用访问请求，向访问控制3通过访问控制器，对所述终端零信任代理要访问的应用网关进行身份通过应用网关接收访问控制器发送的允许访问通知，允许终9.一种计算机可读介质，所述计算机可读介质上存4增长的用户群体,灵活的移动办公模式导致内网边界也日趋复杂与模糊,使得基于边界的一、对于非HTTP(HyperTextTransferProtocol，超文代理发送的用户身份认证信息向零信任安全控制中心发送用户身份认证请求并获取用户5过访问控制器根据所述终端零信任代理发送的用户身份认证信息向零信任安全控制中心[0019]本申请实施例采用的上述至少一个技术方案能够达到以下有益效果：(1)安全攻6增长的用户群体,灵活的移动办公模式导致内网边界也日趋复杂与模糊,使得基于边界的问控制,减小网络攻击面,将传统面向网络的访问控制转变为面向用户资产的访问控制机得形同虚设。加强服务器自身的安全和采取必要安全措施来防范来自内外网攻击的发生，7本发明采用SPA(SinglePacketAuthorization，单包授权)实现SDP(SoftwareDefined[0040](3)用户通过零信任终端零信任代理来设置本地应用层代理，指定特定资源的访[0045]基于IAM(IdentityandAccessManagement，身份识别与访问管理)的零信任解决方案在网络层连接上存在一些缺点，SDP虽然在基于南北向流量的访问控制上实现了安8[0048]采用流量代理方式进行网络安全访问的缺点在于，对于加密请求的解密成本较代理发送的用户身份认证信息向零信任安全控制中心发送用户身份认证请求并获取用户管理与下发，是整体的调度与管理中心。负责控制建立连接和切断主体(用户)与客体(应用)之间的通信连接(通过给应用网关发送控制指命)，负责生成客户端用于访问应用的身HTTPS访问和SSL隧道访问，同时应用网关受SPA单包授权技术对设备本身的服务进行隐身[0058]所述终端零信任代理与访问控制器通信以请求它们可以连接的应用网关列表及9面由连接发起客户端可以发起连接,数据平面连接接受网关接受连接。认证及控制操作通控制平面(访问控制器)分开；(2)管理平面(零信任安全控制中心)放在资源隔离区受到传[0064]本发明实施例解决如下技术问题：(1)实现通过SPA单包授权敲门技术访问控制[0068]步骤102、通过访问控制器根据所述终端零信任代理发送的用户身份认证信息向[0078]终端零信任代理向可接受连接的应用网关通过单包授权[0082](3)易用性好。用户一旦完成认证，整个使用过程中系统不会再对用户有任何干[0083]图4为包含浏览器的本发明方法流程实施例，提供了用户采用本发明方法访问应[0088]在步骤202中，终端零信任代理用单包授权敲门技术向访问控制器发送经过加密[0100]在步骤209中，用户在浏览器认证页上填写身份信息后点击提交按钮发起认证请[0102]在步骤201中，访问控制器根据用户填写身份信息调用零信任控制中心进行身份[0106]在步骤212中，用户点击门户页面的应用图标(应用地址为应用网关代理的地址)[0108]步骤214、通过终端零信任代理向访问控制器发起请求获取网关的敲门端口和访现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定[0132]这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一