(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210950162.6 (22)申请日 2022.08.09 (71)申请人 江苏易安联网络技 术有限公司 地址 211111 江苏省南京市江宁区秣陵街 道秣周东路12号悠谷 孵化器4楼401室 (72)发明人 潘吴斌　杨安印　秦颢　 (74)专利代理 机构 南京华恒专利代理事务所 (普通合伙) 32335 专利代理师 裴素艳 (51)Int.Cl. H04L 9/40(2022.01) G06N 20/00(2019.01) (54)发明名称 一种基于决策树模型的零信任安全系统 (57)摘要 本发明公开了基于决策树模型的零信任安 全系统， 包括： 信任评估引擎， 用于获取访问主体 向访问客体发起的访问请求， 持续性对访问主体 的访问请求进行评估以得到信任值； 动态访问控 制引擎， 用于动态地配置访问主体针对访问客体 的控制策略， 并根据所述信任评估引擎得到的信 任值输出对应的控制策略； 以及可信代理， 用于 执行所述动态访问控制引擎输出的控制策略， 根 据控制策略对访问主体的访问请求进行授权。 本 发明基于可信值评估的决策树模型对零信任架 构中用户的每一次访问请求进行持续的信任评 估以及动态授权实现对数据资源的访问， 从而达 到保护数据资源的目的。 权利要求书1页 说明书4页 附图1页 CN 115296916 A 2022.11.04 CN 115296916 A 1.一种基于决策树模型的零信任安全系统， 其特 征在于， 包括： 信任评估引擎 （200） ， 用于获取访问主体向访问客体发起的访问请求， 持续性对访问主 体的访问请求进行评估以得到信任值； 动态访问控制引擎， 用于动态地配置访 问主体针对访 问客体的控制策略， 并根据所述 信任评估引擎 （20 0） 得到的信任值输出对应的控制策略； 以及 可信代理， 用于执行所述动态访 问控制引擎输出的控制策略， 根据控制策略对访 问主 体的访问请求进行授权 。 2.根据权利要求1所述的基于决策树模型的零信任安全系统， 其特征在于， 所述信任评 估引擎 （20 0） 包括： 经验信任模型 （210） ， 用于获取直接经验证据 （204） 和/或间接推荐证据 （206） ， 根据直 接经验证据 （204） 得到直接经验值， 根据间接推荐证据 （206） 得到间接经验值， 聚合直接经 验值和/或间接经验值以得到信任值； 信任感知决策函数 （212） ， 用于设置信任值阈值， 当经验信任模型 （210） 得到的信任值 超过信任值阈值时， 授权访问主体与访问客体进行交 互； 结果集合 （214） ， 用于记录访问主体与访问客体之间交 互产生的结果； 效用矩阵 （216） ， 用于评估基于信任值选择性地授权访问主体与访问客体之间交互产 生结果的效用， 并根据评估结果对所述经验信任 模型 （210） 进行 更新。 3.根据权利要求2所述的基于决策树模型的零信任安全系统， 其特征在于： 所述信任评 估引擎 （200） 还包括边信息 （202） 和定型模型 （208） ， 所述定型模型 （208） 通过决策树模型对 边信息 （202） 处理得到先验信任值， 所述经验信任模型 （210） 用于获取先验信任值、 直接经 验值、 间接经验值得到信任值。 4.根据权利要求2所述的基于决策树模型的零信任安全系统， 其特征在于： 所述直接经 验证据 （204） 通过访问主体与访问客体 之间的交互记录获取， 所述间接推荐证据 （206） 通过 访问主体与第三方 可信代理之间的交 互记录获取。 5.根据权利要求3所述的基于决策树模型的零信任安全系统， 其特征在于： 所述边信 息 （202） 包括与访问主体设备相关联的简档数据、 上下文数据以及表示访问主体设备的所有 者与访问客体设备的所有者之间的关系的交 互数据。 6.根据权利要求5所述的基于决策树模型的零信任安全系统， 其特征在于： 所述简档数 据包括访问主体设备的硬件型号、 系统软件版本、 固件信息中的一个或多个， 所述上下文 数 据包括网络安全事件日志、 漏洞信息、 异常行为、 最近的漏洞发布与漏洞修复日志中的一个 或多个。权　利　要　求　书 1/1 页 2 CN 115296916 A 2一种基于决策树模型的零信任安全系统 技术领域 [0001]本发明涉及 零信任安全系统技术领域， 具体涉及 一种基于决策树模型的零信任安 全系统。 背景技术 [0002]传统的网络安全架构把不 同的网络划 分为不同的区域， 区域之间使用防火墙、 入 侵检测系统与入侵预防系统 （  IDS/IPS） 、  VPN 网关等安全设施进行隔离， 将不同程度的信 任度赋予隔离出来的每个区域， 这种不同程度的信任度决定拥有不同权限的用户可以访问 哪些数据资源， 从而形成以边界防护为核心的纵深防御体系。 但随着黑客技术的不断提高 以及网络威胁与日俱增， 传统网络安全架构的缺陷也越来越明显。 当面对复杂的网络攻击 时， 即使是一个完善的边界安全架构也很容易被攻陷。 在传统网络安全架构中， 边界隔离区 的防火墙、 VPN  网关等就像城市周围修建的城墙一样， 一旦攻击者穿越围墙进入城市， 就可 以在城市中随意的穿梭， 那么边界就 失去保护内网资源的作用。 同时， 传统的网络安全架构 存在信任过度的问题， 面对从内部网络发起的攻击， 部署传统网络架构的系统毫无招架之 力， 比如特权用户滥用权限容易造成敏感信息泄露， 内网资源被破坏， 系统瘫痪不能正常提 供服务等。 [0003]对于层出不穷的网络安全问题， 如果继续使用传统的网络安全架构解决新的安全 威胁， 则很难达到保护数据安全的目的， 这就需要构建更加 安全的网络架构去应对网络安 全威胁， 从而催生出了零信任安全架构。 零信任 “永不信任、 始终验证 ”的理念已被广泛认 可， 基于零信任理念对传统网络安全防护架构提出完善， 更好的解决当前传统网络安全防 护技术不足， 同时， 为 新的信息化环境 提供更安全的网络安全保障技 术。 [0004]零信任本质是以身份为基石的动态可信访问控制， 需要满足所有的设备、 用户和 网络流量都应当经过认证和授权。 信任评估是零信任架构从零开始构建信任的关键手段， 信任关系 是这样一种情形， 如果主体能够符合客体所假定的期望值， 那么称客体对主体是 信任的。 信任关系可以使用期望值来衡量， 主客体间建立信任关系的范畴称之为信任域， 也 就是主客体和信任关系的范畴集 合。 [0005]在建立信任模型， 实现访问控制的过程中， 不但要选择合适的信任模型， 保护客体 的资源， 也应该避免主体的信息资源暴露在攻击和危险的情况下。 如何在零信任架构 中对 用户的访问进行信任评估， 保护各种信息资源， 实现对来自各领域的零信任安全架构技术 落地， 已经成为本领域 技术人员亟 待解决的技 术问题。 发明内容 [0006]发明目的： 本发明目的在于针对现有技术的不足， 提供一种基于决策树模型的零 信任安全系统， 基于可信值评估对零信任架构中用户的每一次访问请求进 行持续的信任评 估以及动态授权实现对数据资源的访问， 从而达到保护数据资源的目的， 为各领域的零信 任安全架构技 术落地提供帮助。说　明　书 1/4 页 3 CN 115296916 A 3