一種基于終端行為信譽(yù)度的網(wǎng)絡(luò)訪問(wèn)管理方案及其實(shí)現(xiàn)*

張 煒 馬朝陽(yáng)

(1.海軍702廠 上海 200434)(2.舟山監(jiān)修室 舟山 316000)

?

一種基于終端行為信譽(yù)度的網(wǎng)絡(luò)訪問(wèn)管理方案及其實(shí)現(xiàn)*

張 煒1馬朝陽(yáng)2

(1.海軍702廠 上海 200434)(2.舟山監(jiān)修室 舟山 316000)

基于信譽(yù)度模型對(duì)網(wǎng)絡(luò)訪問(wèn)管理問(wèn)題進(jìn)行研究,通過(guò)評(píng)估用戶網(wǎng)絡(luò)行為對(duì)網(wǎng)絡(luò)安全的影響程度控制其訪問(wèn)。在給出了基于信譽(yù)度的網(wǎng)絡(luò)訪問(wèn)管理方案基礎(chǔ)上,提出了針對(duì)用戶行為對(duì)網(wǎng)絡(luò)安全的影響進(jìn)行信譽(yù)度評(píng)估的方法,以及信譽(yù)度的分級(jí)計(jì)算的依據(jù);然后給出了基于信譽(yù)度的網(wǎng)絡(luò)訪問(wèn)管理系統(tǒng)模型設(shè)計(jì)方案;最后針對(duì)提出的網(wǎng)絡(luò)訪問(wèn)管理方案,對(duì)模型進(jìn)行了總體設(shè)計(jì)。論文提出的基于信譽(yù)度的網(wǎng)絡(luò)訪問(wèn)管理方案,增加了對(duì)用戶行為的管理,可使網(wǎng)絡(luò)安全管理變得動(dòng)態(tài)、實(shí)時(shí),網(wǎng)絡(luò)運(yùn)行更加安全、穩(wěn)定。

網(wǎng)絡(luò)安全; 網(wǎng)絡(luò)訪問(wèn)管理; 信譽(yù)度

Class Number TP309

1 引言

由于網(wǎng)絡(luò)架構(gòu)的復(fù)雜性,用戶需求的多樣性和攻擊行為的多發(fā)性,網(wǎng)絡(luò)安全管理比其他方面實(shí)現(xiàn)起來(lái)更為復(fù)雜和困難,需要得到更多的關(guān)注與研究。網(wǎng)絡(luò)訪問(wèn)管理是安全管理的一方面,它是對(duì)需要訪問(wèn)網(wǎng)絡(luò)的用戶的管理與控制,包括認(rèn)證、準(zhǔn)入、授權(quán)、審計(jì)、計(jì)費(fèi)等一系列流程。現(xiàn)在的園區(qū)網(wǎng)中,對(duì)用戶訪問(wèn)網(wǎng)絡(luò)行為的管理主要還是通過(guò)基于主機(jī)或網(wǎng)絡(luò)的數(shù)據(jù)包獲取,然后進(jìn)行簡(jiǎn)單的記錄分析和策略比對(duì)來(lái)實(shí)現(xiàn)。但是由于園區(qū)網(wǎng)絡(luò)中很多上網(wǎng)電腦的公用性以及匿名性,單純地對(duì)網(wǎng)絡(luò)數(shù)據(jù)包記錄和分析的方法很難把收集到的網(wǎng)絡(luò)行為數(shù)據(jù)與產(chǎn)生這些網(wǎng)絡(luò)行為數(shù)據(jù)的實(shí)體(具體的自然人)進(jìn)行對(duì)應(yīng),特別是在公用上網(wǎng)電腦較多的網(wǎng)絡(luò)環(huán)境中。這樣的情況下,就算能及時(shí)捕獲到非法的、對(duì)網(wǎng)絡(luò)產(chǎn)生威脅的行為數(shù)據(jù),依然無(wú)法根據(jù)這些數(shù)據(jù)及時(shí)地定位到產(chǎn)生這些網(wǎng)絡(luò)行為的自然人,而且當(dāng)數(shù)據(jù)包捕獲后也沒(méi)有相應(yīng)的方法對(duì)這些行為的網(wǎng)絡(luò)影響和危害程度進(jìn)行評(píng)估,并根據(jù)評(píng)估結(jié)果采取不同的措施,只能簡(jiǎn)單地對(duì)行為進(jìn)行阻止。當(dāng)具備不可控的元素時(shí),網(wǎng)絡(luò)管理的難度就大大增加。因此,本文基于信譽(yù)度評(píng)價(jià)模型,根據(jù)用戶的網(wǎng)絡(luò)行為對(duì)網(wǎng)絡(luò)安全和性能的影響,將網(wǎng)絡(luò)行為事件進(jìn)行統(tǒng)一分類、定位,并對(duì)這些事件進(jìn)行危害程度的評(píng)估,實(shí)現(xiàn)用戶管理的動(dòng)態(tài)性和實(shí)時(shí)性,對(duì)于提高網(wǎng)絡(luò)安全管理水平具有重要的應(yīng)用價(jià)值。

2 國(guó)內(nèi)外研究現(xiàn)狀

為了保證園區(qū)網(wǎng)絡(luò)的安全,信息技術(shù)發(fā)達(dá)國(guó)家的研究主要針對(duì)的是防范來(lái)自惡意代碼的攻擊、個(gè)人的非法使用網(wǎng)絡(luò)等方面。防外部攻擊的產(chǎn)品主要是防火墻、入侵檢測(cè)、漏洞掃描、防病毒軟件等,防內(nèi)部攻擊的產(chǎn)品主要集中在身份認(rèn)證上[1]。技術(shù)相對(duì)完善的產(chǎn)品有[2]:Websense Enterprise、BlueCoat、SurfControl、8e6上網(wǎng)行為管理解決方案,其中Websense和SurfControl是軟件產(chǎn)品,BlueCoat和8e6是硬件產(chǎn)品;BlueCoat是串接設(shè)備,其他幾個(gè)都是旁路的。旁路產(chǎn)品主要功能是監(jiān)視[3],能做到一定程度的控制;而串接設(shè)備的控制和管理力度比較深、能力比較強(qiáng),同時(shí)能夠監(jiān)視用戶。但是這些產(chǎn)品都偏重于對(duì)網(wǎng)頁(yè)行為的監(jiān)控,而對(duì)其他應(yīng)用協(xié)議關(guān)注相對(duì)較少。隨著中國(guó)國(guó)內(nèi)各種IT應(yīng)用的Web化,各種工具如QQ、網(wǎng)易泡泡、阿里旺旺、百度Hi、電驢、迅雷等應(yīng)用越來(lái)越多,但是目前國(guó)外主流互聯(lián)網(wǎng)管理廠商和網(wǎng)絡(luò)安全廠商的產(chǎn)品,都僅能做到對(duì)少量的國(guó)內(nèi)應(yīng)用的控制[1]。

目前許多研究在試圖通過(guò)控制接入用戶行為提高園區(qū)網(wǎng)的安全性時(shí),提出了眾多解決方案來(lái)分析用戶行為。這些方案雖然對(duì)于用戶接入控制起到了一定的作用,但與實(shí)現(xiàn)園區(qū)網(wǎng)絡(luò)安全和資源優(yōu)化配置的目標(biāo)還有很長(zhǎng)的距離。網(wǎng)絡(luò)中的不安全、不規(guī)范因素,均是由于網(wǎng)絡(luò)的使用者有意或者無(wú)意的不恰當(dāng)行為引發(fā)的。因此為保證園區(qū)網(wǎng)的合理使用,必須控制用戶行為,而為了控制用戶行為,必須識(shí)別用戶行為。

用戶的行為是否構(gòu)成危害(有意或者無(wú)意的)直接表現(xiàn)了用戶的信譽(yù),而用戶造成的危害的數(shù)量,以及危害造成后果的嚴(yán)重程度,度量了用戶的信譽(yù),因此,本文將用戶危害行為的識(shí)別和控制在網(wǎng)絡(luò)管理系統(tǒng)中構(gòu)建為一個(gè)模型,稱為用戶行為信譽(yù)度模型,簡(jiǎn)稱信譽(yù)度模型。目前信譽(yù)度模型多用于電子商務(wù)領(lǐng)域中描述用戶在網(wǎng)絡(luò)交易中的信譽(yù),或者在網(wǎng)絡(luò)中評(píng)價(jià)每個(gè)資源用戶的信譽(yù)。

目前,對(duì)于服務(wù)選擇和發(fā)現(xiàn)問(wèn)題的研究主要基于信任機(jī)制,有許多學(xué)者、專家在這一領(lǐng)域有新的理解和發(fā)現(xiàn),QoS感知的服務(wù)選擇方法也是當(dāng)今面向服務(wù)架構(gòu)領(lǐng)域研究的熱點(diǎn)。

Ardagna在文獻(xiàn)[4]中提出一種自適應(yīng)的服務(wù)組合方法,此方法不僅考慮了用戶在功能屬性上的需求,同時(shí)考慮了非功能屬性上,即QoS的需求,并對(duì)其中五種QoS指標(biāo)進(jìn)行分析和測(cè)量,最終得到服務(wù)信譽(yù)度的結(jié)果。在第一次選擇失敗的情況下,可以通過(guò)與服務(wù)提供者之間的協(xié)調(diào)對(duì)服務(wù)選擇進(jìn)行再次優(yōu)化,以尋求滿足用戶特定QoS要求的服務(wù)。此方法具有較好的靈活性和自適應(yīng)性,再次優(yōu)化也起到了一定的彌補(bǔ)作用,然而在這個(gè)方法中,忽略了對(duì)服務(wù)提供者的聲明真實(shí)性的度量,因此被夸大的服務(wù)QoS信息很有可能誤導(dǎo)服務(wù)選擇的過(guò)程,因此不能達(dá)到較高的用戶滿意度。

文獻(xiàn)[5]給出了基于用戶評(píng)價(jià)相似度的推薦信任計(jì)算方法,對(duì)服務(wù)使用者的歷史評(píng)價(jià)信息進(jìn)行分析,計(jì)算不同用戶評(píng)價(jià)間的相似度,此方法體現(xiàn)出不同用戶對(duì)于同一服務(wù)質(zhì)量的評(píng)定標(biāo)準(zhǔn)的差異,即用戶主觀偏好的差異,但其缺少對(duì)服務(wù)運(yùn)行環(huán)境的考量,即用戶在不同網(wǎng)絡(luò)狀況或不同運(yùn)行平臺(tái)上使用同一服務(wù)對(duì)用戶評(píng)價(jià)產(chǎn)生的影響。顯而易見(jiàn)的是,運(yùn)行于暢通網(wǎng)絡(luò)和終端環(huán)境的Web服務(wù)更容易獲得用戶的滿意評(píng)價(jià),反之,則更可能獲得不滿意的評(píng)價(jià)。

Min.L在文獻(xiàn)[6]中提出一個(gè)面向SOA的服務(wù)信任管理模型,基于分布式環(huán)境的特點(diǎn)對(duì)每個(gè)服務(wù)建立信任關(guān)系,同時(shí)采用多等級(jí)的服務(wù)信譽(yù)度評(píng)估方法,使信譽(yù)度評(píng)估更加靈活。但是由于沒(méi)有對(duì)評(píng)價(jià)信息中包含的用戶主觀偏見(jiàn)和客觀上下文環(huán)境進(jìn)行分析,導(dǎo)致用戶評(píng)價(jià)中可能摻雜了許多異常用戶的評(píng)價(jià),而導(dǎo)致信任關(guān)系偏離正確值,使其信譽(yù)度計(jì)算不夠準(zhǔn)確。

總的來(lái)說(shuō),在Web服務(wù)的研究領(lǐng)域當(dāng)中,傳統(tǒng)的Web服務(wù)評(píng)估模型通常只從一個(gè)角度分析服務(wù)的信譽(yù)度,如僅從服務(wù)使用者的角度分析,或者僅從服務(wù)發(fā)布者的角度分析,然而這使得服務(wù)信譽(yù)度的評(píng)估值比較片面、不夠客觀,最終服務(wù)選擇的滿意率較低。其中,主要存在了兩方面的問(wèn)題[5,7～8]:

一方面,由于用戶及服務(wù)使用者在使用服務(wù)過(guò)程中會(huì)受到網(wǎng)絡(luò)環(huán)境等因素的影響,例如用戶上下文因素,忽略了對(duì)這部分外界因素影響的考慮將導(dǎo)致評(píng)價(jià)的結(jié)果包含偏見(jiàn),缺乏真實(shí)性。對(duì)于網(wǎng)絡(luò)中存在的一部分異常用戶,他們以某種概率提供或極高、或極低的不符合正常標(biāo)準(zhǔn)的服務(wù)評(píng)價(jià),來(lái)干擾正常服務(wù)評(píng)價(jià)體系,甚至有些企圖掩飾自己的這種行為,這對(duì)于準(zhǔn)確計(jì)算服務(wù)信譽(yù)度提出了較大的挑戰(zhàn)。并且對(duì)于Web服務(wù)的主要消費(fèi)者——計(jì)算機(jī),使用服務(wù)過(guò)程中評(píng)價(jià)的產(chǎn)生和統(tǒng)計(jì)提及的較少,缺乏對(duì)計(jì)算機(jī)隱式評(píng)價(jià)指標(biāo)的歸納和總結(jié)。因此,如何根據(jù)網(wǎng)絡(luò)中服務(wù)使用者提供的服務(wù)評(píng)價(jià)信息衡量服務(wù)評(píng)價(jià)的質(zhì)量和用戶對(duì)服務(wù)的信任,從而準(zhǔn)確計(jì)算服務(wù)信譽(yù)度成為一個(gè)突出的問(wèn)題。

另一方面,Web服務(wù)質(zhì)量(Quality of Service,QoS)是Web服務(wù)的一種非功能屬性,它體現(xiàn)了Web在功能性以外的重要特性,是服務(wù)選擇的重要參考標(biāo)準(zhǔn)之一,通常包含可靠性、響應(yīng)時(shí)間、可用性和服務(wù)費(fèi)用等多方面的指標(biāo)。然而,在對(duì)服務(wù)質(zhì)量的研究當(dāng)中卻缺乏對(duì)服務(wù)質(zhì)量體系結(jié)構(gòu)的具體分析,以及對(duì)服務(wù)質(zhì)量聲明的真實(shí)性檢測(cè)。由于服務(wù)發(fā)布者受到利益的驅(qū)使,為了增加其發(fā)布的服務(wù)被選擇的機(jī)會(huì),常常發(fā)布高于實(shí)際服務(wù)質(zhì)量的QoS信息,因此,服務(wù)使用者無(wú)法直接判斷出QoS的真實(shí)性而受到了蒙蔽,從而使得服務(wù)選擇滿意度下降。如何根據(jù)Web服務(wù)提供者聲明的QoS信息,分析其聲明的真實(shí)性和質(zhì)量從而體現(xiàn)用戶對(duì)服務(wù)的信任,并進(jìn)一步計(jì)算服務(wù)信譽(yù)度是研究服務(wù)信任領(lǐng)域中另一項(xiàng)課題。

因此,在網(wǎng)絡(luò)安全管理中,對(duì)用戶終端行為安全度量與評(píng)估的重要依據(jù)——信譽(yù)度評(píng)價(jià)模型是本文的主要內(nèi)容。通過(guò)對(duì)現(xiàn)有的信譽(yù)度評(píng)估方法進(jìn)行全面的分析,對(duì)信任等不確定性概念要有恰當(dāng)、合理的表述,并充分表現(xiàn)其真實(shí)性和客觀性,并可根據(jù)終端行為的變化對(duì)其信譽(yù)度進(jìn)行動(dòng)態(tài)調(diào)整,實(shí)現(xiàn)網(wǎng)絡(luò)安全管理策略的動(dòng)態(tài)調(diào)整。

3 基于信譽(yù)度的網(wǎng)絡(luò)訪問(wèn)安全管理方案

信譽(yù)度表示用戶在網(wǎng)絡(luò)中受到信任的程度或者說(shuō)是其行為合法與否的程度,如果用戶的合法行為較多,那么他的信譽(yù)度相對(duì)來(lái)說(shuō)就比較高,受到的信任程度越高,如果用戶總是進(jìn)行非法行為,那么他的信譽(yù)度相對(duì)來(lái)說(shuō)就比較低。信譽(yù)度具有以下主要特點(diǎn):

1) 主觀性:雖然一般情況下信譽(yù)度能夠真實(shí)客觀地反映一個(gè)實(shí)體的信譽(yù)程度,但它具有很強(qiáng)的主觀性,而這種主觀性很可能被惡意實(shí)體所利用。

2) 動(dòng)態(tài)性:信譽(yù)度是根據(jù)實(shí)體某個(gè)時(shí)間內(nèi)的歷史行為并按照一定的標(biāo)準(zhǔn)計(jì)算得出的,因此信譽(yù)度會(huì)隨著時(shí)間的推移而發(fā)生變化[7]。

在現(xiàn)有網(wǎng)絡(luò)管理軟硬件的基礎(chǔ)上給出了一個(gè)基于信譽(yù)度的網(wǎng)絡(luò)訪問(wèn)管理方案,它在網(wǎng)絡(luò)中已有的應(yīng)用管理系統(tǒng)中獲得用戶管理信息和用戶訪問(wèn)網(wǎng)絡(luò)行為信息,對(duì)信息進(jìn)行格式化處理,然后根據(jù)制定的策略進(jìn)行行為分析,通過(guò)融入信譽(yù)度評(píng)估實(shí)現(xiàn)對(duì)用戶行為的控制。該方案將多種網(wǎng)絡(luò)安全技術(shù)和網(wǎng)絡(luò)管理系統(tǒng)進(jìn)行融合,以滿足當(dāng)前網(wǎng)絡(luò)管理的需要。方案示意圖如圖1所示。

圖1 基于信譽(yù)度的網(wǎng)絡(luò)訪問(wèn)安全管理方案

1) 方案中的相關(guān)概念

為了更好地理解提出的網(wǎng)絡(luò)訪問(wèn)管理方案,在這里定義一些與方案相關(guān)的概念:

(1)網(wǎng)絡(luò)管理者(Network Manager)

負(fù)責(zé)維護(hù)和管理網(wǎng)絡(luò)的主體,它可以是人,也可以是網(wǎng)絡(luò)管理系統(tǒng)中負(fù)責(zé)做決策的一段程序、一臺(tái)機(jī)器或一個(gè)系統(tǒng)[8]。

(2)網(wǎng)元(Network Element)

網(wǎng)絡(luò)中存在的具有一定功能的節(jié)點(diǎn)[9],它是網(wǎng)絡(luò)管理信息產(chǎn)生源,也是執(zhí)行網(wǎng)管管理指令的客體,它包括路由器、交換機(jī)、防火墻、PC等硬件設(shè)備,也包括Sysfog日志、Netflow流量監(jiān)控、SNMP管理軟件等軟件系統(tǒng),總之,網(wǎng)元就是網(wǎng)絡(luò)中能產(chǎn)生網(wǎng)絡(luò)管理信息或接受網(wǎng)管管理指令的一切軟硬件資源。

(3)網(wǎng)絡(luò)管理信息(Network Management Information)

由網(wǎng)元主動(dòng)或被動(dòng)產(chǎn)生的網(wǎng)絡(luò)狀態(tài)和運(yùn)行信息,網(wǎng)絡(luò)管理者可以從這些信息中獲得所需要的內(nèi)容,并根據(jù)這些內(nèi)容做出決策命令。

(4)用戶網(wǎng)絡(luò)行為(Users Network Behavior)

網(wǎng)絡(luò)中的用戶使用網(wǎng)絡(luò)資源而對(duì)網(wǎng)絡(luò)和其他用戶造成一定影響的一系列活動(dòng)。我們可以從網(wǎng)絡(luò)管理信息中關(guān)聯(lián)、推導(dǎo)出用戶的行為。推導(dǎo)出用戶行為的目的是為網(wǎng)絡(luò)管理者決策提供依據(jù)。

(5)網(wǎng)絡(luò)管理指令(Network Management Command)

網(wǎng)絡(luò)管理者依據(jù)用戶網(wǎng)絡(luò)行為對(duì)網(wǎng)絡(luò)或他人的影響程度,根據(jù)系統(tǒng)定義的策略表對(duì)網(wǎng)絡(luò)中相關(guān)的設(shè)備或系統(tǒng)發(fā)出相應(yīng)的指令,對(duì)網(wǎng)絡(luò)用戶的行為作出相應(yīng)的反應(yīng)。

(6)合法行為與非法行為(Lawful Act and Illegal Act)

用戶的行為肯定會(huì)對(duì)網(wǎng)絡(luò)產(chǎn)生一定的影響,這些行為有的會(huì)對(duì)網(wǎng)絡(luò)產(chǎn)生危害,這些危害包括給網(wǎng)內(nèi)其他用戶帶來(lái)一定的安全威脅、對(duì)園區(qū)網(wǎng)中的設(shè)備造成破壞、對(duì)園區(qū)網(wǎng)中的帶寬不公平的占用、對(duì)園區(qū)網(wǎng)中的服務(wù)器資源的非法訪問(wèn)、訪問(wèn)非法網(wǎng)站、在論壇、博客中發(fā)表不當(dāng)言論等等。在本文中,把不會(huì)對(duì)網(wǎng)絡(luò)產(chǎn)生危害的行為定義為合法行為,把對(duì)網(wǎng)絡(luò)產(chǎn)生危害的行為定義為非法行為。

(7)信譽(yù)度(Creditworthiness)

信譽(yù)度表示用戶在網(wǎng)絡(luò)中受到信任的程度或者說(shuō)是其行為合法與否的程度,如果用戶的合法行為較多,那么他的信譽(yù)度相對(duì)來(lái)說(shuō)就比較高,受到的信任程度越高,如果用戶總是進(jìn)行非法行為,那么他的信譽(yù)度相對(duì)來(lái)說(shuō)就比較低。

2) 方案的詳細(xì)描述

基于信譽(yù)度的網(wǎng)絡(luò)訪問(wèn)管理方案的詳細(xì)描述如下:

(1)首先保證用戶身份的可定位。賦予每個(gè)用戶一個(gè)園區(qū)網(wǎng)內(nèi)唯一的上網(wǎng)通行證,在接入網(wǎng)絡(luò)之前,必須通過(guò)已部署的接入認(rèn)證系統(tǒng)進(jìn)行身份驗(yàn)證,才能夠進(jìn)行后來(lái)的網(wǎng)絡(luò)訪問(wèn)行為,為用戶行為的跟蹤留下準(zhǔn)確的身份標(biāo)識(shí)。此功能的實(shí)現(xiàn)已經(jīng)有比較成熟的技術(shù)和產(chǎn)品,只需要在網(wǎng)絡(luò)中部署并配置好具有認(rèn)證、授權(quán)、審計(jì)等功能的設(shè)備即可。

(2)采用合適的數(shù)據(jù)包捕獲方式獲取各種管理信息和訪問(wèn)信息數(shù)據(jù),對(duì)獲取到的數(shù)據(jù)進(jìn)行統(tǒng)一的格式化處理。

(3)明確用戶行為與信譽(yù)度的關(guān)系。用戶行為可以改變用戶信譽(yù)度,當(dāng)用戶從事合法行為,用戶的信譽(yù)度就會(huì)被保持或者升高;當(dāng)用戶從事非法行為時(shí),其信譽(yù)度就會(huì)下降。同時(shí),用戶的信譽(yù)度決定了用戶的行為權(quán)限,信譽(yù)度越高,其訪問(wèn)權(quán)限越高,行為規(guī)范中的規(guī)定的其合法行為就會(huì)越多,非法行為就會(huì)越少;信譽(yù)度越低,其訪問(wèn)權(quán)限越低,行為規(guī)范中規(guī)定的其合法行為就會(huì)越少,非法行為就會(huì)越多。

(4)定義用戶行為管理的過(guò)程并將信譽(yù)度施加到用戶行為管理過(guò)程中。用戶行為管理用戶行為管理即通過(guò)數(shù)據(jù)包分析獲得用戶的身份信息和行為信息,然后對(duì)行為信息進(jìn)行合法性分析與判斷,根據(jù)制定好的策略通過(guò)信譽(yù)度評(píng)估的方法控制用戶訪問(wèn)行為。

3) 信譽(yù)度的具體計(jì)算過(guò)程

本文使用信譽(yù)值(Value of Creditworthiness)和信譽(yù)等級(jí)(Grade of Creditworthiness)來(lái)衡量信譽(yù)度,式(1)和式(2)給出了針對(duì)用戶一次行為信譽(yù)值變化(增加或減少)的計(jì)算方法。

當(dāng)用戶行為合法時(shí):

ΔVc=G·E·A·P

(1)

當(dāng)用戶行為非法時(shí):

(2)

ΔVc為本次行為所增加的信譽(yù)值,由上面幾個(gè)變量的乘積得出。

G(Grade of Creditworthiness)表示用戶信譽(yù)等級(jí),當(dāng)用戶行為合法時(shí),等級(jí)越高,信譽(yù)值增加的越多,當(dāng)用戶行為非法時(shí),等級(jí)越高,信譽(yù)值降低的越慢。

E(Extent of Influence)表示用戶行為對(duì)網(wǎng)絡(luò)的影響和威脅程度,影響程度越大,信譽(yù)值變化越大。

A(Area of Influence)表示用戶行為影響的網(wǎng)絡(luò)范圍,范圍越廣,信譽(yù)值變化越大。

P(Persisting Time)表示用戶此行為持續(xù)的時(shí)間,即系統(tǒng)捕獲到的本次發(fā)生的用戶行為從開(kāi)始發(fā)生到系統(tǒng)處理的時(shí)間長(zhǎng)度,時(shí)間越長(zhǎng),對(duì)網(wǎng)絡(luò)的影響越大,信譽(yù)值變化越大。對(duì)于參數(shù)P可以根據(jù)實(shí)際行為持續(xù)時(shí)間由系統(tǒng)確定。其他三個(gè)參數(shù)的賦值可以使用以下兩種方法:專家調(diào)查法賦值、經(jīng)驗(yàn)公式模擬法賦值[10]。

4 訪問(wèn)控制模塊設(shè)計(jì)與實(shí)現(xiàn)

訪問(wèn)控制模塊是判定整個(gè)網(wǎng)絡(luò)管理系統(tǒng)是否安全的關(guān)鍵,它的每個(gè)訪問(wèn)要素都對(duì)用戶的信譽(yù)度產(chǎn)生影響,并反映在用戶的信譽(yù)度數(shù)值上,從而決定用戶是否有權(quán)進(jìn)行當(dāng)前的操作。

在一個(gè)園區(qū)網(wǎng)中,要想實(shí)現(xiàn)對(duì)用戶訪問(wèn)行為詳細(xì)精準(zhǔn)的控制,其管理方案必須具備較強(qiáng)的感知能力、控制能力、取證能力和告知能力[11]。

1) 訪問(wèn)控制模塊工作流程

在網(wǎng)絡(luò)訪問(wèn)管理方案中,需要從現(xiàn)有的系統(tǒng)進(jìn)行信息收集,對(duì)信息進(jìn)行處理,然后進(jìn)行行為關(guān)聯(lián)、分析,對(duì)用戶信譽(yù)進(jìn)行計(jì)算,最后由策略決定用戶未來(lái)的訪問(wèn)權(quán)限、控制用戶行為,根據(jù)這一流程得到訪問(wèn)控制模塊流程圖如圖2所示。

圖2 訪問(wèn)控制模塊總體流程圖

2) 訪問(wèn)控制規(guī)則的數(shù)據(jù)結(jié)構(gòu)

訪問(wèn)控制模塊直接關(guān)系到整個(gè)系統(tǒng)的開(kāi)關(guān),制定了以下結(jié)構(gòu)。

在規(guī)則數(shù)據(jù)中,首先定義了以下數(shù)據(jù):

(1)用戶名;用戶信譽(yù)度ta(u);信譽(yù)度修改時(shí)間T;登錄次數(shù)m;成功訪問(wèn)次數(shù)n;

(2)角色激活信譽(yù)度tac(r);角色;

(3)被訪問(wèn)對(duì)象o;對(duì)象信譽(yù)度tac(o);用戶角色r;訪問(wèn)時(shí)間;訪問(wèn)地點(diǎn);

(4)被訪問(wèn)對(duì)象o;訪問(wèn)權(quán)限p;角色權(quán)限限制;權(quán)限激活信譽(yù)度tac(p);信譽(yù)度抑制機(jī)制;

3) 訪問(wèn)控制規(guī)則匹配流程

(1)當(dāng)系統(tǒng)截取用戶的系統(tǒng)調(diào)用后,首先檢測(cè)鏈表中是否有對(duì)應(yīng)此次調(diào)用的訪問(wèn)規(guī)則,如果不存在則之間通過(guò);否則轉(zhuǎn)到步驟(2)。

(2)獲得當(dāng)前的用戶名,然后計(jì)算用戶的信譽(yù)度,并根據(jù)他的信譽(yù)度分配角色。

(3)比較角色信譽(yù)度和對(duì)象信譽(yù)度,判定是否有權(quán)訪問(wèn)。

(4)提取用戶訪問(wèn)的時(shí)間,判定是否在訪問(wèn)時(shí)間內(nèi)。

(5)提取用戶的訪問(wèn)地點(diǎn),判斷是否允許當(dāng)前用戶的地點(diǎn)。

(6)比較用戶的角色與角色權(quán)限限制,判定是否滿足。

(7)比較角色信譽(yù)度和權(quán)限信譽(yù)度,判定用戶是否可以執(zhí)行相應(yīng)的操作。

(8)根據(jù)訪問(wèn)計(jì)算用戶信譽(yù)度。

訪問(wèn)規(guī)則匹配流程圖如圖3所示。

圖3 訪問(wèn)控制匹配流程圖

這里應(yīng)用R-RBAC模型,在文獻(xiàn)[12]中提到用戶可以在短時(shí)間內(nèi)與系統(tǒng)進(jìn)行多次交互,這樣就應(yīng)該考慮到一些用戶刷高信譽(yù)度的問(wèn)題,即用戶成功訪問(wèn)資源后,在短時(shí)間內(nèi)聯(lián)系訪問(wèn),把自己的信譽(yù)度提升很高,等有了足夠的權(quán)限再對(duì)資源進(jìn)行破壞。為了防止這種情況,這里制定了“信譽(yù)度修改時(shí)間限制”Tc。即用戶成功訪問(wèn)系統(tǒng)資源,并且提高信譽(yù)度后,在Tc時(shí)間內(nèi),再次成功訪問(wèn)資源后,用戶的信譽(yù)度Tau(u)將不再增加。但是用戶的登錄次數(shù)m和成功訪問(wèn)次數(shù)n將增加,由于

(3)

(4)

所以用戶在過(guò)了T時(shí)間后,用戶登錄可獲的最大信譽(yù)度將增加。

但是在把R-RBAC中的所有約束條件應(yīng)用到此模塊時(shí),并不是每次都訪問(wèn)全部的約束條件,只要有一個(gè)約束條件不滿足,就終止繼續(xù)判定,這樣能較少地反饋系統(tǒng)中的信息,從側(cè)面保護(hù)系統(tǒng)的資源。所以我們的計(jì)算公式也要修改。

首先判定用戶角色信譽(yù)度和對(duì)象信譽(yù)度,當(dāng)用戶的信譽(yù)度小于被訪問(wèn)對(duì)象信譽(yù)度時(shí)可以直接把用戶的信譽(yù)度降低:

(5)

其次是時(shí)間判定,如果時(shí)間不是在正確的訪問(wèn)時(shí)間,可以根據(jù)時(shí)間條件的權(quán)重以及減弱因子來(lái)降低用戶的信譽(yù)度:

ta(u)=ta(u)-λ1×β1,β1≤t

(6)

第三步是地點(diǎn)的判斷,如果地點(diǎn)不是在正確的訪問(wèn)地點(diǎn),可以根據(jù)地點(diǎn)條件的權(quán)重以及減弱因子來(lái)改變用戶的信譽(yù)度,但是此時(shí)要加上用戶時(shí)間正確訪問(wèn)所得的信譽(yù)度:

ta(u)=ta(u)+λ1×α1-λ2×β2,α1≤t,β2≤t

(7)

同樣還有權(quán)限角色的限制和權(quán)限信譽(yù)度的限制條件,每一項(xiàng)條件的判定都要對(duì)用戶的信譽(yù)度產(chǎn)生影響。當(dāng)用戶的成功訪問(wèn)系統(tǒng)資源后,用戶的信譽(yù)度將得到此次最大的提升:

(8)

此時(shí)用戶的成功訪問(wèn)次數(shù)n增加1。

通過(guò)計(jì)算公式可知:用戶的信譽(yù)度越高,能夠訪問(wèn)的資源就越多,相應(yīng)的權(quán)限也就越大,為了限制信譽(yù)度高的用戶非法使用權(quán)限,這里又引入了“信譽(yù)度抑制機(jī)制”。此變量抑制高信譽(yù)度用戶的分配信譽(yù)度,即用戶到達(dá)訪問(wèn)資源的最低限制,但是受權(quán)限角色限制時(shí),此機(jī)制會(huì)增大用戶信譽(yù)度的變化值。例如:用戶r的信譽(yù)度已經(jīng)取得的訪問(wèn)對(duì)象o的權(quán)限,并且訪問(wèn)的時(shí)間和地點(diǎn)都正確,但是當(dāng)前用戶角色的權(quán)限只是“讀”,而用戶申請(qǐng)“寫”時(shí),此機(jī)制就增大用戶信譽(yù)度變化量。另外,此值會(huì)根據(jù)系統(tǒng)資源的重要性分配不同的大小。資源越重要,此值就越高。當(dāng)然用戶的信譽(yù)度值是在0～100之間的數(shù)值,所以每次信譽(yù)度改變的時(shí)候要判斷其在這個(gè)范圍之中。

5 結(jié)語(yǔ)

本文的主要工作是對(duì)基于信譽(yù)度對(duì)終端行為安全度量和評(píng)估技術(shù)的研究,重心放在對(duì)基于信譽(yù)度的網(wǎng)絡(luò)訪問(wèn)管理和訪問(wèn)控制模塊的設(shè)計(jì)上。但是目前網(wǎng)絡(luò)管理系統(tǒng)功能還不夠完備,其中顯著的就是缺乏對(duì)于網(wǎng)絡(luò)中接入終端的管理;并且其現(xiàn)有功能實(shí)現(xiàn)也不夠深入,例如性能管理就不能實(shí)現(xiàn)通過(guò)識(shí)別到的網(wǎng)絡(luò)狀態(tài)調(diào)整網(wǎng)絡(luò)參數(shù)來(lái)優(yōu)化網(wǎng)絡(luò)性能。針對(duì)這些問(wèn)題,已經(jīng)出現(xiàn)了部分解決方案,例如使用行為管理系統(tǒng)來(lái)彌補(bǔ)網(wǎng)絡(luò)管理系統(tǒng)對(duì)于終端用戶管理的不足,但是這種管理的仍然存在諸多缺點(diǎn)。雖然本文基于信譽(yù)度的訪問(wèn)控制研究,為更加有效地進(jìn)行網(wǎng)絡(luò)管理提供了一定的思路,但仍需要在細(xì)化信譽(yù)度評(píng)價(jià)模型和危害評(píng)估方面開(kāi)展進(jìn)一步的研究。

[1] 周珍娟.網(wǎng)絡(luò)安全技術(shù)發(fā)展現(xiàn)狀探討[J].電腦知識(shí)與技術(shù),2010,31:8757-8758. ZHOU Zhenjuan. Discussion on the development of network security technology[J]. Computer Knowledge and Technology,2010,31:8757-8758.

[2] Eldar A. Info Security Product Guide[EB/OL]. http://www.infoseeurityProduetsguide.eom,2015-5-4.

[3] 徐強(qiáng),孫樂(lè)昌,張萍.入侵檢測(cè)技術(shù)的發(fā)展研究一從IPS到IMS[J].計(jì)算機(jī)與信息技術(shù),2007,21:53-55. XU Qiang, SUN Lechang, ZHANG Ping. The development of Intrusion Detection Technology — from IPS to IMS[J]. Computer & Information Technology,2007,21:53-55.

[4] Ardagna D, Pernic B. Adaptive service composition in flexible processes[J]. IEEE Trans. on Software Engineering,2007,33(6):369-384.

[5] 梁軍濤,蔣曉原.一種基于推薦的Web服務(wù)信任模型[J].計(jì)算機(jī)工程,2007,33(15):70-71. LIANG Juntao, JIANG Xiaoyuan. A Trust Model for Web services Based on Recommendation[J]. Computer Engineering,2007,33(15):70-71.

[6] Min L, Mark E, et al. Patterns: Service-Oriented Architecture and Web Services[M]. New York: IBM Press,2004:1-4.

[7] Beth T, Borcherding M, Klein B. Valuation of Trust in Open Network[C]//Proceedings of the European Symposium on Research in Security. Brighton: Springer-Verlag,1994:3-18.

[8] Wang Y. Vassileva. Trust and Reputation Model in Peer-to-Peer Networks[C]//Proc. of IEEE Conference on P2P Computing, NEW York: IEEE,2003:150.

[9] 劉萍.基于角色的訪問(wèn)控制(RBAC)及應(yīng)用研究[D].成都:電子科技大學(xué),2005:10-22. LIU Ping. Role Based Access Control (RBAC) and Its Application[D]. Chengdu: University of Electronic Science and Technology,2005:10-22.

[10] Beulah K A, Ivana V, Gregorvon L, et al. Reputation-Based Grid Resource Selection[EB/OL]. https://www.researchgate.net/publication/244239765_Reputation-Based_Grid_Resource_Selection,2003-1-1.

[11] 王慧強(qiáng),賴積保,朱亮.網(wǎng)絡(luò)態(tài)勢(shì)感知系統(tǒng)研究綜述[J].計(jì)算機(jī)科學(xué),2006,10:5-10. WANG Huiqiang, LAI Jibao, ZHU Liang. Survey of Network Situation Awareness System[J]. Computer Science,2006,10:5-10.

[12] 雷建云,崔國(guó)華,章麗平,等.可計(jì)算的基于信任的授權(quán)委托模型[J].計(jì)算機(jī)科學(xué),2008,10:73-75. LEI Jianyun, CUI Guohua, ZHANG Liping, et al. Trusted Authorization Delegation Model based on Trust[J]. Computer Science,2008,10:73-75.

Introduction and Implementation of Network Access Management Solution Based on Terminal Behavior Credibility

ZHANG Wei1MA Zhaoyang2

(1. No.702 Factory of Navy, Shanghai 200434)(2. Zhoushan Repair Room, Zhoushan 316000)

Based on the creditworthiness model, the network access management is researched in the paper. The main idea is that we can control users’ access and manage users’ behavior by assessing impacts which come from users’ behavior on the network security. Firstly, the method of the network access management based on the creditworthiness is given and the process of evaluating creditworthiness is given too. Afterwards, a framework about network access management based on the creditworthiness is designed. Finally, the overall design of the model and function structure is given and the database in the model and the interface between modules are designed briefly. The proposed network access management method based on the creditworthiness can increase the management level of the users’ behavior and make the network security management more dynamic, real-time and stable.

network security, network access management, creditworthiness

2016年7月11日,

2016年8月21日

張煒,男,碩士,高級(jí)工程師,研究方向:信息化建設(shè)、信息系統(tǒng)安全。馬朝陽(yáng),男,研究方向:網(wǎng)絡(luò)系統(tǒng)安全。

TP309

10.3969/j.issn.1672-9722.2017.01.025