費(fèi)禹 寧靜 胡青

摘 要：為了解決安全產(chǎn)品的日志文件保護(hù)和數(shù)據(jù)共享問題，論文提出一種基于區(qū)塊鏈的日志存儲(chǔ)（LSSBC）系統(tǒng)。LSSBC系統(tǒng)包括角色、LSBC鏈和云存儲(chǔ)三部分；通過結(jié)合區(qū)塊鏈技術(shù)設(shè)計(jì)了日志文件的鏈上發(fā)布、存儲(chǔ)和共享功能；最后，對(duì)LSSBC系統(tǒng)進(jìn)行了總結(jié)分析。經(jīng)分析，LSSBC系統(tǒng)為安全產(chǎn)品的日志保護(hù)和數(shù)據(jù)共享提供了全新可行的解決方案，有利于推進(jìn)安全行業(yè)研究。

關(guān)鍵詞：區(qū)塊鏈；信息安全；日志存儲(chǔ)

中圖分類號(hào)：TP391 文獻(xiàn)標(biāo)識(shí)碼：A

Abstract： In order to solve the problem of log file protection and data sharing for security products， this paper proposes a log storage system based on block chain （LSSBC）. LSSBC has three parts： role， LSBC chain and cloud storage. The function of publishing on the LSBC chain， storing and sharing log files is designed by combining block chain technology. Finally， the LSBC system is summarized and analyzed. After analysis， LSBC system provides a new and feasible solution for log protection and data sharing of security products， which is conducive to promoting security industry research.

Key words： block chain； information security； log storage

1 引言

伴隨著高級(jí)持續(xù)威脅（Advanced Persistent Threat，APT）攻擊的復(fù)雜多變，安全技術(shù)、產(chǎn)品不斷推陳出新，安全廠商推出的防火墻、網(wǎng)絡(luò)入侵檢測（NIDS）、網(wǎng)絡(luò)入侵防御（NIPS）、蜜罐、上網(wǎng)行為管理、安全審計(jì)、網(wǎng)絡(luò)流量分析等眾多產(chǎn)品涵蓋到了網(wǎng)絡(luò)安全、主機(jī)安全、Web安全、數(shù)據(jù)安全、移動(dòng)安全、安全管理、工控安全等各個(gè)方向，同時(shí)也就是因?yàn)楫a(chǎn)品多樣、技術(shù)多變，導(dǎo)致安全信息無法整合、高效利用。

在這種情況下日志文件就為解決問題提供了可能性。首先，日志文件在研究網(wǎng)絡(luò)安全環(huán)境過程中有著不可替代的作用。以蜜罐為例，研究方向不管是數(shù)據(jù)分析[1]、主動(dòng)防御[2]、虛擬部署[3]，還是分布式[4]，他們的日志文件都為實(shí)現(xiàn)檢測、審計(jì)等諸多功能提供了保障。日志安全研究上，蔣賢維在日志應(yīng)用及保護(hù)方面提出了遠(yuǎn)程異地存儲(chǔ)日志、偽裝傳輸策略以及基于第三層的日志保護(hù)策略[5]；覃應(yīng)接在網(wǎng)絡(luò)日志管理上應(yīng)用日志Merkle樹、橢圓曲線加密與組合公鑰技術(shù)設(shè)計(jì)了基于TCM（Trusted Platform Module，可信平臺(tái)模塊）的日志保護(hù)技術(shù)[6]；Paul Youn等人在審計(jì)方向，設(shè)計(jì)了基于概率分布的日志保護(hù)機(jī)制[7]。這些研究在多個(gè)方向?yàn)槿罩景踩峁┝吮Ｕ?，但是無法更為有效地避免日志篡改問題，同時(shí)日志保護(hù)機(jī)制過于繁瑣且一定程度上浪費(fèi)了日志文件的潛在信息價(jià)值。

區(qū)塊鏈技術(shù)的發(fā)展，為實(shí)現(xiàn)日志信息的保護(hù)、分享、多邊利益最大化提供了可能。區(qū)塊鏈技術(shù)具有去中心化、不可篡改和追蹤溯源等特性[8]，其應(yīng)用場景已涉及醫(yī)療[9]、電網(wǎng)[10]、農(nóng)產(chǎn)品追溯等方向[11]。區(qū)塊鏈技術(shù)的應(yīng)用基于一定場景，同時(shí)需要結(jié)合其他技術(shù)形式。夏琦等人在醫(yī)療數(shù)據(jù)問題上通過結(jié)合云平臺(tái)、區(qū)塊鏈、大數(shù)據(jù)等技術(shù)設(shè)計(jì)了數(shù)據(jù)共享方案[12]。區(qū)塊鏈技術(shù)可以為安全產(chǎn)品的日志保護(hù)問題提供更為有效的解決方案，通過結(jié)合區(qū)塊鏈和云存儲(chǔ)技術(shù)，設(shè)計(jì)鏈上、鏈下數(shù)據(jù)存儲(chǔ)模式，有效地解決了日志文件易被篡改的問題，同時(shí)通過特殊的日志共享機(jī)制，在保障隱私的前提下極大地提高了日志的利用價(jià)值，能加快促進(jìn)安全行業(yè)共同發(fā)展、共同進(jìn)步。

2 基于區(qū)塊鏈的日志存儲(chǔ)系統(tǒng)組成

基于區(qū)塊鏈的日志存儲(chǔ)系統(tǒng)（a Log Storage System Based on Block Chain，LSSBC），簡稱為LSSBC系統(tǒng)，是利用區(qū)塊鏈和第三方存儲(chǔ)技術(shù)實(shí)現(xiàn)的日志存儲(chǔ)及分享系統(tǒng)，包括角色、基于區(qū)塊鏈的日志存儲(chǔ)鏈（LSBC鏈）、云存儲(chǔ)三個(gè)主要部分，系統(tǒng)組成如圖1所示。LSSBC系統(tǒng)的主要參與角色是Co.、Mfrs.、RI、Co.表示使用安全產(chǎn)品的公司，他們是LSSBC系統(tǒng)的數(shù)據(jù)來源；Mfrs.表示安全產(chǎn)品的制造商、服務(wù)商，他們?cè)谔峁┌踩a(chǎn)品的同時(shí)也需要搜集、調(diào)用日志數(shù)據(jù)，所以既是數(shù)據(jù)提供者，也是數(shù)據(jù)使用者；RI表示科研機(jī)構(gòu)，是LSBC鏈的主要調(diào)用者、數(shù)據(jù)使用者。LSBC鏈只存儲(chǔ)Co.以及Mfrs.的日志索引信息，而將具體日志數(shù)據(jù)存儲(chǔ)在各自服務(wù)器或協(xié)商的第三方云存儲(chǔ)中，在調(diào)用時(shí)再通過LSBC鏈進(jìn)行索引及申請(qǐng)使用。

LSBC鏈基礎(chǔ)架構(gòu)包括應(yīng)用層、合約層、激勵(lì)層、共識(shí)層、網(wǎng)絡(luò)層和數(shù)據(jù)層，其架構(gòu)如圖2所示。

（1）數(shù)據(jù)層。數(shù)據(jù)層存儲(chǔ)著安全日志文件的摘要及對(duì)應(yīng)日志文件在云存儲(chǔ)的具體位置信息，定義這類信息為元數(shù)據(jù)M，元數(shù)據(jù)在一定時(shí)間內(nèi)被整合為塊并通過鏈?zhǔn)浇Y(jié)構(gòu)存儲(chǔ)在LSBC中。系統(tǒng)在創(chuàng)建創(chuàng)世區(qū)塊后，由各個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)整合元數(shù)據(jù)，并生成元數(shù)據(jù)，經(jīng)過競爭獲取元數(shù)據(jù)的記錄資格，認(rèn)證后的元數(shù)據(jù)塊加入到主鏈中，形成數(shù)據(jù)塊并永久保存在LSBC中。

（2）網(wǎng)絡(luò)層。網(wǎng)絡(luò)層旨在實(shí)現(xiàn)網(wǎng)絡(luò)節(jié)點(diǎn)中數(shù)據(jù)的通信，采用P2P方式。在P2P網(wǎng)絡(luò)中各節(jié)點(diǎn)地位相同，都有資格收集元數(shù)據(jù)并產(chǎn)生區(qū)塊，節(jié)點(diǎn)創(chuàng)造區(qū)塊后進(jìn)行廣播，受到廣播的節(jié)點(diǎn)會(huì)對(duì)節(jié)點(diǎn)進(jìn)行驗(yàn)證，在驗(yàn)證通過后進(jìn)行進(jìn)一步轉(zhuǎn)發(fā)。

（3）共識(shí)層。共識(shí)層用來解決網(wǎng)絡(luò)節(jié)點(diǎn)的共識(shí)問題，通過工作量證明（Proof of Work，PoW）的方式保持節(jié)點(diǎn)一致性?；舅悸肥峭ㄟ^設(shè)置哈希求解問題獲取區(qū)塊鏈記錄的權(quán)力，節(jié)點(diǎn)通過進(jìn)行SHA256求解獲取符合要求的值，第一個(gè)獲得該值的礦工在得到多數(shù)節(jié)點(diǎn)驗(yàn)證通過后即可將區(qū)塊記錄在主鏈上，并獲得一定收益，以此實(shí)現(xiàn)節(jié)點(diǎn)的共識(shí)。

（4）激勵(lì)層。激勵(lì)層通過激勵(lì)方案維持系統(tǒng)正常運(yùn)作。在LSBC運(yùn)作過程中，Co.作為主要的資源提供方，作為獎(jiǎng)勵(lì)在其提供資源的同時(shí)給出獎(jiǎng)勵(lì)，以此用來換取Mfrs.及RI的安全服務(wù)及分析報(bào)告；Mfrs.一方面提供資源，另一方面與RI作為主要計(jì)算節(jié)點(diǎn)為LSBC運(yùn)作提供算力支持，以此換取資源的使用權(quán)力。

（5）合約層。LSBC合約層繼承比特幣的腳本代碼及支撐算法，一次支持基本的交易便利及安全保障。

（6）應(yīng)用層。主要實(shí)現(xiàn)日志處理，并將元數(shù)據(jù)及數(shù)據(jù)文件分別發(fā)布在LSBC及云存儲(chǔ)中。另一方面還包括日志的共享設(shè)計(jì)。

3 LSSBC系統(tǒng)運(yùn)行

在LSSBC系統(tǒng)中，主要實(shí)現(xiàn)了安全日志的鏈上發(fā)布、云存儲(chǔ)及數(shù)據(jù)共享。所涉及的主要符號(hào)及含義在表1中說明。

3.1 安全日志數(shù)據(jù)處理

日志文件所有權(quán)屬于Co.和Mfrs.中的相關(guān)部門，User作為相關(guān)部門的日志負(fù)責(zé)人，負(fù)責(zé)將日志原始數(shù)據(jù)metadata上傳給公司的LSBC負(fù)責(zé)人Publisher。Publisher在收到日志文件后，對(duì)日志文件進(jìn)行脫敏生成D-data，D-data將在User確認(rèn)反饋信息后進(jìn)行云存儲(chǔ)。Publisher在生成D-data后將生成摘要文件Digest，Digest是LSBC鏈上的主要信息，也是Requester篩選所需內(nèi)容的數(shù)據(jù)來源。具體步驟如下：

UserPublisher： metadata

Publisher： metadataD-data用于云存儲(chǔ)

D-dataDigest（D-data）用于鏈上發(fā)布

Publisher在進(jìn)行數(shù)據(jù)處理后，需要將處理后的數(shù)據(jù)反饋給User，User確認(rèn)信息無誤后才可以進(jìn)行鏈上發(fā)布及鏈下存儲(chǔ)，首先，Publisher生成脫敏數(shù)據(jù)的哈希Hash（D-data），然后將D-data、Digest（D-data）、Hash（D-data）進(jìn)行簽名，最后再將明文、明文摘要、明文哈希值，以及明文、明文摘要、明文哈希值的簽名用對(duì)稱密鑰k進(jìn)行加密，同時(shí)將對(duì)稱密鑰用User的公鑰進(jìn)行加密，發(fā)送給User。具體步驟如下：

PublisherUser：{Enck（D-data||Digest（D-data）||Hash（D-data）||SignSK（D-data||Digest（D-data）||Hash（D-data）））||EncPK（k）}

3.2 安全日志存儲(chǔ)及發(fā)布

Publisher在對(duì)日志進(jìn)行脫敏處理后，需要User對(duì)信息進(jìn)行核對(duì)，確認(rèn)無誤后進(jìn)行云存儲(chǔ)，并獲取存儲(chǔ)地址，發(fā)布到LSBC鏈上。在核對(duì)信息時(shí)，User首先用自己的私鑰解密對(duì)稱密鑰k，然后用對(duì)稱密鑰k解密出Publisher的簽名，對(duì)簽名進(jìn)行驗(yàn)證，最后對(duì)Hash進(jìn)行驗(yàn)證，若一致則數(shù)據(jù)有效，同意發(fā)布。具體步驟如下：

首先，User用自己的私鑰解密Publisher發(fā)送的脫敏數(shù)據(jù)，獲得簽名信息：

User：{Enck（D-data||Digest（D-data）||Hash（D-data）||SignSK（D-data||Digest（D-data）||Hash（D-data）））||EncPK（k）}+SKUser SignSK（D-data||Digest（D-data）||Hash（D-data））

然后用PKPublisher驗(yàn)證Sign，

If簽名正確

用D-data驗(yàn)證Hash（D-data），

If一致

UserPublisher：同意發(fā)布

Else

UserPublisher：不同意發(fā)布

Else

UserPublisher：不同意發(fā)布

當(dāng)Publisher接到User反饋的信息是同意發(fā)布時(shí)，Publisher將獲取資源存儲(chǔ)位置，將日志摘要、哈希、簽名信息以及日志存儲(chǔ)位置廣播到LSBC鏈上。該步驟可表示為：

PublisherLSBC：{Digest（D-data）||Hash（D-data）||SignSK（Digest（D-data）||Hash（D-data））||URI}

3.3 安全日志共享

User是日志數(shù)據(jù)的所有者，數(shù)據(jù)經(jīng)處理經(jīng)過發(fā)布在LSBC鏈上后，User擁有數(shù)據(jù)的訪問控制權(quán)限。Requester在LSBC鏈上會(huì)檢索所需信息，并對(duì)信息使用權(quán)進(jìn)行申請(qǐng)。User在收到請(qǐng)求后，會(huì)進(jìn)行權(quán)限、時(shí)效操作。User在授權(quán)時(shí)，首先將資源位置URI、資源權(quán)限以及請(qǐng)求者Requester的公鑰進(jìn)行簽名，然后設(shè)定可用時(shí)效，將對(duì)稱密鑰k用Requester的公鑰進(jìn)行加密，最后廣播到LSBC鏈上。步驟如下：

Requester：Request

UserLSBC鏈：{URI||permission||PKRequester||Time||Sign（URI||permission||PKRequester）||EncPK （k）}

4 安全性分析

4.1 日志防篡改

LSSBC系統(tǒng)的主要日志存儲(chǔ)機(jī)制是區(qū)塊鏈技術(shù)和云存儲(chǔ)技術(shù)的結(jié)合，將Co.與Mfrs.的日志文件存儲(chǔ)在LSBC鏈與云存儲(chǔ)環(huán)境中，可以有效防止日志刪除、篡改攻擊，在本地日志系統(tǒng)收到攻擊時(shí)，LSSBC系統(tǒng)可以作為備份數(shù)據(jù)庫，避免數(shù)據(jù)丟失帶來的損失。LSBC鏈上的信息公開且不可篡改，根據(jù)底層區(qū)塊鏈機(jī)制，可抵御全網(wǎng)一半以下的算力攻擊。

4.2 身份及數(shù)據(jù)隱私保護(hù)

LSSBC系統(tǒng)的隱私保護(hù)機(jī)制主要分為身份隱私保護(hù)和數(shù)據(jù)隱私保護(hù)兩方面。LSBC鏈上Publisher、User、Requester身份都采用公鑰地址PK代替，通訊雙方無法獲取對(duì)方真實(shí)公司、人員信息。本文中日志文件在進(jìn)行云存儲(chǔ)和鏈上發(fā)布前都會(huì)進(jìn)行脫敏，由Publisher將與公司保密有關(guān)的信息進(jìn)行隱藏，對(duì)于脫敏后的數(shù)據(jù)仍需要User做最后確認(rèn)方可進(jìn)行后續(xù)步驟。身份和數(shù)據(jù)隱私保護(hù)機(jī)制，可以有效防止惡意用戶調(diào)用日志信息進(jìn)行針對(duì)性攻擊。

4.3 安全共享和追溯

日志共享是LSBC鏈的主要功能，在共享過程中，對(duì)通訊雙方進(jìn)行匿名以保證雙方的隱私安全。請(qǐng)求由Requester發(fā)出，User在接到請(qǐng)求后將進(jìn)行授權(quán)，Permission和Time用來實(shí)現(xiàn)對(duì)Requester的授權(quán)操作和時(shí)效限制，保證被授權(quán)者不能進(jìn)行超過權(quán)限的操作，同時(shí)在超出時(shí)效后撤銷Permission。日志文件經(jīng)過脫敏處理對(duì)外發(fā)布，LSBC鏈會(huì)記錄每一個(gè)日志文件的發(fā)布和調(diào)用請(qǐng)求。在日志文件出現(xiàn)脫敏異常、數(shù)據(jù)有誤的情況下可以利用區(qū)塊鏈機(jī)制進(jìn)行溯源，查詢使用記錄。

4.4 LSSBC系統(tǒng)安全性比較

三層日志服務(wù)器保護(hù)方案是對(duì)重要日志文件進(jìn)行保護(hù)的一種新方案。該方案將日志服務(wù)器的保護(hù)分為三層：第一層是遠(yuǎn)程日志終端，用來備份日志文件；第二層是偽裝傳輸協(xié)議，通過UDP、IP、Ethernet協(xié)議頭實(shí)現(xiàn)傳輸?shù)碾[藏；第三層是對(duì)日志服務(wù)器進(jìn)行蜜罐保護(hù)。將三層日志服務(wù)器保護(hù)方案和LSSBC系統(tǒng)進(jìn)行對(duì)比，如表2所示，可以得出LSSBC系統(tǒng)在日志保護(hù)和擴(kuò)展性上都具有更好的性能。

5 結(jié)束語

本文研究一種基于區(qū)塊鏈的安全日志存儲(chǔ)及分享系統(tǒng)。該系統(tǒng)相比于傳統(tǒng)日志存儲(chǔ)形式，有隱私性強(qiáng)、可控性高、數(shù)據(jù)分享安全便捷的優(yōu)點(diǎn)。系統(tǒng)的核心在于LSBC鏈的設(shè)計(jì)，LSBC鏈底層機(jī)制基于區(qū)塊鏈，效率還有待提高，共識(shí)算法及激勵(lì)機(jī)制還有改進(jìn)的可能。系統(tǒng)是日志文件安全共享的一種新方式，在隱私保護(hù)的基礎(chǔ)上共享日志文件能加快安全行業(yè)研究，促進(jìn)發(fā)展。

致謝：

對(duì)中國科學(xué)院網(wǎng)絡(luò)測評(píng)技術(shù)重點(diǎn)實(shí)驗(yàn)室在論文寫作過程中給予的支持表示感謝。

基金項(xiàng)目：

1. 中國科學(xué)院網(wǎng)絡(luò)測評(píng)技術(shù)重點(diǎn)實(shí)驗(yàn)室資助；

2. 國家自然科學(xué)基金資助項(xiàng)目（項(xiàng)目編號(hào)：61540020）。

參考文獻(xiàn)

[1] 黃旭鵬，鐘平.校園網(wǎng)部署虛擬蜜罐的關(guān)鍵點(diǎn)研究[J].現(xiàn)代計(jì)算機(jī)（專業(yè)版），2018（05）：73-77+82.

[2] 銀偉，雷琪，韓笑，徐軍，金志文，銀霞.蜜罐技術(shù)研究進(jìn)展[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2018（01）：20-26.

[3] 楊德全，劉衛(wèi)民，俞宙.基于蜜罐的主動(dòng)防御應(yīng)用研究[J].網(wǎng)絡(luò)與信息安全學(xué)報(bào)，2018，4（01）：57-62+78.

[4] 賈召鵬，方濱興，崔翔，劉奇旭.ArkHoney：基于協(xié)同機(jī)制的Web蜜罐[J].計(jì)算機(jī)學(xué)報(bào)，2018，41（02）：413-425.

[5] 蔣賢維.蜜罐系統(tǒng)中的日志應(yīng)用及保護(hù)[J].無線互聯(lián)科技，2013（11）：151-152.

[6] 覃應(yīng)接. 網(wǎng)絡(luò)日志管理與分析技術(shù)研究與實(shí)現(xiàn)[D].北京交通大學(xué)，2015.

[7] Youn P， Samuel J. Non-deterministic audit log protection： U.S. Patent 8，819，067[P]. 2014-8-26.

[8] 章峰，史博軒，蔣文保.區(qū)塊鏈關(guān)鍵技術(shù)及應(yīng)用研究綜述[J].網(wǎng)絡(luò)與信息安全學(xué)報(bào)，2018，4（04）：22-29.

[9] 梅穎.安全存儲(chǔ)醫(yī)療記錄的區(qū)塊鏈方法研究[J].江西師范大學(xué)學(xué)報(bào)（自然科學(xué)版），2017，41（05）：484-490.

[10] 吳振銓，梁宇輝，康嘉文，余榮，何昭水.基于聯(lián)盟區(qū)塊鏈的智能電網(wǎng)數(shù)據(jù)安全存儲(chǔ)與共享系統(tǒng)[J].計(jì)算機(jī)應(yīng)用，2017，37（10）：2742-2747.

[11] Tian F. An agri-food supply chain traceability system for China based on RFID & blockchain technology[C]//Service Systems and Service Management （ICSSSM）， 2016 13th International Conference on. IEEE， 2016： 1-6.

[12] Xia Q， Sifah E B， Asamoah K O， et al. MeDShare： Trust-less medical data sharing among cloud service providers via blockchain[J]. IEEE Access， 2017， 5： 14757-14767.