[论文解读] Mining Attribute-based Access Control Policies

Zhongyuan Xu, Scott D. Stoller|arXiv (Cornell University)|Jun 11, 2013

Access Control and Trust参考文献 15被引用 6

一句话总结

本文提出了首个从访问控制列表（ACL）和用户/资源属性数据自动生成基于属性的访问控制（ABAC）策略的ABAC策略挖掘算法。该方法通过使用用户-权限元组作为种子生成并泛化候选规则，随后合并与简化规则，生成紧凑且高质量的策略，显著减少了ABAC策略开发中的手动工作量。

ABSTRACT

Attribute-based access control (ABAC) provides a high level of flexibility that promotes security and information sharing. ABAC policy mining algorithms have potential to significantly reduce the cost of migration to ABAC, by partially automating the development of an ABAC policy from an access control list (ACL) policy or role-based access control (RBAC) policy with accompanying attribute data. This paper presents an ABAC policy mining algorithm. To the best of our knowledge, it is the first ABAC policy mining algorithm. Our algorithm iterates over tuples in the given user-permission relation, uses selected tuples as seeds for constructing candidate rules, and attempts to generalize each candidate rule to cover additional tuples in the user-permission relation by replacing conjuncts in attribute expressions with constraints. Our algorithm attempts to improve the policy by merging and simplifying candidate rules, and then it selects the highest-quality candidate rules for inclusion in the generated policy.

研究动机与目标

• 解决手动创建ABAC策略所面临的高成本与高复杂性问题。
• 实现从传统访问控制模型（如ACL和RBAC）到ABAC的自动化迁移。
• 开发一种策略挖掘算法，能够从低层级访问数据生成简洁、高质量的ABAC策略。
• 通过最小化策略大小与复杂度，提升策略的可管理性。

提出的方法

• 遍历输入关系中的用户-权限元组，用作候选规则生成的种子。
• 计算用户属性表达式（UAE）和资源属性表达式（RAE），以表征用户与资源集合。
• 通过将特定属性值替换为约束条件，对初始候选规则进行泛化，以覆盖更多元组。
• 应用规则合并与简化，以减少冗余并提升策略质量。
• 使用规则组件的加权和（WSC）作为目标函数，指导选择高质量规则。
• 集成噪声检测机制，识别输入数据中的不一致性。

实验结果

研究问题

• RQ1 能否在极少人工干预的情况下，从ACL和属性数据中自动挖掘ABAC策略？
• RQ2 所提出的算法在从传统访问控制数据生成紧凑且准确的ABAC策略方面效果如何？
• RQ3 该算法在保持覆盖所有必需的用户-权限映射的前提下，规则泛化的程度如何？
• RQ4 在真实世界访问控制场景中，该算法如何处理存在噪声或不一致的输入数据？
• RQ5 所挖掘的ABAC策略在表达能力与紧凑性之间存在何种权衡？

主要发现

• 所提出的ABAC策略挖掘算法是首个解决从ACL和属性数据自动生成策略问题的算法。
• 该算法在合成数据与人工编写的测试用例中，成功生成与原始策略高度匹配的ABAC策略。
• 该算法具备噪声检测能力，能够识别输入数据中的不一致性。
• 通过规则合并与简化，该算法有效降低了策略复杂度，提升了可管理性。
• 证明了ABAC策略挖掘问题为NP-难问题，确立了该问题的计算难度。
• 该算法采用规则组件的加权和（WSC）作为指导策略选择的机制，实现覆盖范围与紧凑性的平衡。