Подсистема разграничения доступа - заявка 2016136961 на патент на изобретение в РФ

1. Способ обеспечения безопасности информационной системы с использованием модуля разграничения доступа, включающего модели RABAC, отличающегося в применении модели RBAC введением дополнительных отношений между сущностями «Роль» и «Объект», которые могут иметь отношения доступа на чтение для владельца, доступа на запись для владельца, доступа на чтение для других в роли (не владельца), доступа на запись не для владельца и модели ABAC, расширенной по крайней мере двумя дополнительными принципами: разрешающее правило также имеет уровень доступа (на чтение на запись), для которого оно определено, и для уровня доступа на запись множеств, на которых можно его определить: старое состояние объекта, новое состояние объекта, пользователь, окружение.
2. Способ по п. 1, включающий в себя подсистему управления бизнес-иерархией, где хранятся записи о пользователях системы со всей значимой для бизнеса информацией о них, отличающейся наличием идентификатор аккаунта - идентичность пользователя, которые в совокупности являются интеграционным ключом основной системы фронт-офиса с подсистемой разграничения доступа.
3. Способ по п. 2, отличающийся тем, что для случая чтения пользователем единичного документа по его идентификатору для принятия решения по переданному идентификаторам документа и дистрибуции из базы выгружается документ, а из тикета безопасности получается политика для данного продукта, из хранилища сессий достаются пользовательские данные, включающие профильные настройки пользователя для данной версии продукта и описание положения пользователя в организационной структуре, по собранным данным вычисляется результат логического предиката, который определен политикой для данного продукта и для роли, которой обладает пользователь, по результату вычисления принимается решения о запрете или разрешении чтения данного документа пользователем и, в случае успеха, документ пересылается в ответе клиенту.
4. Способ по п. 3, отличающийся тем, что для случая получения всех документов, доступных пользователю с применением пользовательского фильтра по той же процедуре получаются пользовательские данные и тикет для продукта, далее по данным пользователя формируется фильтр, корректный по разрешенным пользователю на чтение документам и объединяется с пользовательским, а в ответе пользователь получает только те документы, которые корректны по политике разграничения доступа.
5. Способ по п. 3, отличающийся тем, что для случая изменения документа по тому же алгоритму получаются пользовательские данные, тикет и старое состояние документа, из запроса пользователя получается новое состояние документа, и с тремя источниками для аргументов правил - пользователь, старое состояние документа, новое состояние документа вычисляется предикат, и по его результату принимается решение на изменения состояния документа в хранилище.
6. Способ по п. 1, включающий атрибутные политики, представляющие собой правила доступа к объекту в определенном состоянии, отличающиеся возможностью построить модель преобразования графа возможных переходов между состояниями документа, где состояние документа представляет собой одно из полей документа.
7. Способ по п. 1, включающий рабочий процесс, отличающийся специальным виртуальным состоянием документа «Не создан», отражающим состояния документа, когда у него нет определенного состояния.
8. Способ по п. 1, отличающийся тем, что в системе Jarvis создаются два модуля управления разграничением доступа - один относится к бизнес-функционалу системы и управлению бизнес-структурой и продуктами в информационной системе, а второй - к функционалу подсистемы безопасности.
9. Способ по п. 1, включающий интерфейсы управления безопасностью, отличающиеся наличием интерфейсов чтения единичного объекта и группы объектов, при этом по данным пользователя и тикету безопасности формируется фильтрующая по правомерности обращения выборка, которая координируется с пользовательской оператором пересечения.
10. Способ по п. 1, включающий интерфейс изменения документа, отличающийся тем, что при изменении объекта клиент передает на сервер новое состояние объекта, на стороне сервера монитор безопасности собирает необходимое для проверки правомерности обращения окружение, включающее новое состояние объекта, старое состояние объекта, данные пользователя, тикет безопасности, вычисляет решение о правомерности обращения по модели ABAC, в случае успеха, в базу производится запись нового состояния, а пользователю возвращается результат операции.
11. Способ по п. 1, отличающийся тем, что в случае успешного прохождения пользователем системы процесса аутентификации подсистема разграничения доступа обращается к сервису авторизации для получения тикета безопасности, хранящему правила доступа во всех доменах безопасности, в которых аккаунт владеет пользователями.
12. Способ по п. 1, включающий аутентификацию, отличающуюся наличием доступа к операциям на исполнение, контролируемое Монитором Безопасности; счетчика ошибок, временной блокировкой.
Наверх