(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210174683.7 (22)申请日 2022.02.24 (71)申请人 重庆邮电大 学 地址 400065 重庆市南岸区南 山街道崇文 路2号 (72)发明人 刘媛妮　刘坤　张建辉　王苏南　 许家铭　 (74)专利代理 机构 重庆辉腾律师事务所 5 0215 专利代理师 王海军 (51)Int.Cl. H04L 9/40(2022.01) H04L 9/32(2006.01) G06N 3/08(2006.01) G06N 3/04(2006.01) (54)发明名称 一种基于机器学习的零信任API网关动态信 任评估与访问控制方法及系统 (57)摘要 本发明属于云原 生与零信任安全领域， 具体 涉及一种基于机器学习的零信任API网关动态信 任评估与访问控制方法及系统， 该系统包括： 身 份认证模块、 API网关模块、 数据采集存储引擎模 块、 信任计算引擎模块和授权策略引擎模块； 身 份认证模块对用户身份进行认证； API网关模块 接收用户请求， 根据授权策略引擎提供的授权结 果执行访问控制策略； 数据采集存储模块采集日 志信息； 信任计算引擎对访问请求详情和历史数 据进行计算处理， 得到特征值向量， 根据特征值 向量计算得到访问请求的信任度； 授权策略引擎 基于访问请求的信任度决定最后的授权策略； 本 发明解决了现有API网关静态的授权策略容易被 攻击者嗅探、 侦破从而 进行恶意 攻击的问题。 权利要求书2页 说明书13页 附图4页 CN 114465807 A 2022.05.10 CN 114465807 A 1.一种基于机器学习的零信任API网关动态信任评估与访问控制方法， 其特征在于， 包 括： S1： 构建零信任API网关动态信任评估指标体系； S2： 用户向系 统进行身份认证； 认证成功的用户向API网关发送请求； 采集认证时间及 结果信息； S3： API网关接收请求后判断该请求的服务， 若该服务流控规制已生效， 则拒绝该请求， 若服务流控规制未生效， 则判断用户的身份信息是否有效； 若用户身份信息无效， 则拒绝该 用户的请求， 若该用户身份信息有效， 则执 行步骤S4； S4： API网关采集用户请求信息， 并对用户请求信息进行 预处理， 得到对应的特 征值； S5： 将对应的特 征值输入到BP神经网络模型中， 得到当前请求信息的信任度； S6： 设置零信任策略列表， 该列表包含各个服务对应的允许访问的角色以及信任度的 最小阈值； S7： 判断当前用户是否具备零信任策略列表中该服务对应的角色， 若该用户具备该角 色， 则执行步骤S8， 否则拒绝该请求； S8： 将当前请求信息的信任度与零信任策略列表中该服务对应的最小阈值进行对比， 若当前请求信息的信任度大于最小阈值， 则API网关允许当前请求， 否则拒绝该请求。 2.根据权利要求1所述的一种基于机器学习的零信任API网关动态信任评估与访 问控 制方法， 其特征在于， 零信任API网关动态信任评估指标体系由访问请求主体信息R、 用户主 体标识U以及API状态三个一级指标和操作系统、 用户设备以及API状态三个二级指标组成。 3.根据权利要求1所述的一种基于机器学习的零信任API网关动态信任评估与访 问控 制方法， 其特征在于， 用户向系统进 行身份认证的过程包括： 用户向系统的身份认证模块 发 送用户信息， 用户信息包括用户ID、 用户角色以及用户设备标识； 身份认证模块接收用户信 息后， 将该信息存放到To ken中， 并将To ken返回给用户， 完成身份认证。 4.根据权利要求1所述的一种基于机器学习的零信任API网关动态信任评估与访 问控 制方法， 其特征在于， API网关判断用户身份信息是否有效包括： 判断用户发送的请求信息 中是否存在Token， 若不存在， 则用户服务请求失败， 若存在， 则判断用户写得的Token是否 过期， 若过期， 则户服务请求失败， 若未过期， 则对Token进行解析， 得到请求用户的身份信 息。 5.根据权利要求1所述的一种基于机器学习的零信任API网关动态信任评估与访 问控 制方法， 其特征在于， API网关采集用户请求信息包括： 从请求本身获取网络环 境信息， 包括 请求的操作系统、 通信协议、 客户端版本、 用户名/ID、 请求时间、 请求 IP以及API状态信息 。 6.根据权利要求1所述的一种基于机器学习的零信任API网关动态信任评估与访 问控 制方法， 其特 征在于， 采用BP神经网络模型对输入的特 征值进行处 理的过程包括： 步骤1： ： 模型初始化； 确定网络输入层节点数为n1， 隐藏层数为n2， 隐藏层节点数位n3， 输出层节点数为n4， 初始化输入层与隐藏层的连接权值为Wij， i∈{1,2, …,n1},j∈{1, 2,…,n3}， 隐藏层与隐藏层的连接权值为Wjk， j,k∈{1,2, …,n3}， 隐藏层与输出层的连接权 值为Wkl， k∈{1,2, …,n3}， 设置模型的学习率和激活函数； 步骤2： 隐藏层计算； 基于 输入向量X和权值矩阵Wij计算隐藏层输出H； 步骤3： 输出层计算； 根据隐藏层输出H以及隐藏层与输出层之间的权值矩阵Wkl计算输权　利　要　求　书 1/2 页 2 CN 114465807 A 2出层输出O； 步骤4： 误差计算； 根据输出层计算结果O和期望值Y计算 误差e； 步骤5： 权值更新； 根据误差e 更新权值矩阵Wij、 Wjk和Wkl。 7.一种基于机器学习的零信任API网关动态信任评估与访问控制系统， 其特征在于， 该 系统包括： 身份认证模块、 数据采集存储模块、 API网关模块、 授权策略引擎模块以及信任计 算引擎模块； 所述身份认证模块用户对用户进行身份认证， 且将用户的用户ID、 用户角色、 用户设备 标识存放到一个To ken， 并将To ken返回给用户； 所述数据采集存储模块用于采集信任度评估指标相关的源数据， 数据来源于身份认证 模块、 API网关模块和授权策略引擎模块， 采集到的原始数据以日志的形式存储在当前模块 中； 所述API网关模块用于接收用户请求并对其进行管控， 执行零信任安全策略和流量控 制策略并记录访问请求以及响应信息； 所述信任计算引擎模块包括特 征值处理子模块和信任度评估子模块； 所述特征值处理子模块基于数据采集存储模块数据中用户的历史行为数据以及当前 访问请求主体信息对信任评估指标源数据进行 数据处理， 获得对应的特 征值； 所述信任度评估子模块基于处理所得的特征值通过BP神经网络模型计算当前用户访 问请求的信任度； 所述授权策略引擎模块基于RBAC权限管理框架快速过滤不符合访 问控制策略的访问 请求， 将当前请求的用户身份及网络环境等信息发送给信任计算引擎模块以获取当前请求 的信任度， 判断该信任度是否大于访问目标服务所需的最小阈值， 若 大于， 则将授权结果返 回给API网关， 否则拒绝该用户请求。 8.一种计算机可读存储介质， 其上存储有计算机程序， 其特征在于， 所述计算机程序被 处理器执行， 以实现权利要求1至6中任一项基于机器学习的零信任API网关动态信任评估 与访问控制方法。 9.一种基于机器学习的零信任API网关动态信任评估与访问控制装置， 其特征在于， 包 括处理器和存储器； 所述存储器用于存储计算机程序； 所述处理器与所述存储器相连， 用于 执行所述存储器存储的计算机程序， 以使所述一种基于机器学习的零信任API网关动态信 任评估与访问控制装置执行权利要求 1至6中任一项基于机器学习的零信任API网关动态信 任评估与访问控制方法。权　利　要　求　书 2/2 页 3 CN 114465807 A 3