一種基于終端行為信譽度的網絡訪問管理方案及其實現*

張 煒 馬朝陽

(1.海軍702廠 上海 200434)(2.舟山監修室 舟山 316000)

?

一種基于終端行為信譽度的網絡訪問管理方案及其實現*

張 煒1馬朝陽2

(1.海軍702廠 上海 200434)(2.舟山監修室 舟山 316000)

基于信譽度模型對網絡訪問管理問題進行研究,通過評估用戶網絡行為對網絡安全的影響程度控制其訪問。在給出了基于信譽度的網絡訪問管理方案基礎上,提出了針對用戶行為對網絡安全的影響進行信譽度評估的方法,以及信譽度的分級計算的依據;然后給出了基于信譽度的網絡訪問管理系統模型設計方案;最后針對提出的網絡訪問管理方案,對模型進行了總體設計。論文提出的基于信譽度的網絡訪問管理方案,增加了對用戶行為的管理,可使網絡安全管理變得動態、實時,網絡運行更加安全、穩定。

網絡安全; 網絡訪問管理; 信譽度

Class Number TP309

1 引言

由于網絡架構的復雜性,用戶需求的多樣性和攻擊行為的多發性,網絡安全管理比其他方面實現起來更為復雜和困難,需要得到更多的關注與研究。網絡訪問管理是安全管理的一方面,它是對需要訪問網絡的用戶的管理與控制,包括認證、準入、授權、審計、計費等一系列流程?，F在的園區網中,對用戶訪問網絡行為的管理主要還是通過基于主機或網絡的數據包獲取,然后進行簡單的記錄分析和策略比對來實現。但是由于園區網絡中很多上網電腦的公用性以及匿名性,單純地對網絡數據包記錄和分析的方法很難把收集到的網絡行為數據與產生這些網絡行為數據的實體(具體的自然人)進行對應,特別是在公用上網電腦較多的網絡環境中。這樣的情況下,就算能及時捕獲到非法的、對網絡產生威脅的行為數據,依然無法根據這些數據及時地定位到產生這些網絡行為的自然人,而且當數據包捕獲后也沒有相應的方法對這些行為的網絡影響和危害程度進行評估,并根據評估結果采取不同的措施,只能簡單地對行為進行阻止。當具備不可控的元素時,網絡管理的難度就大大增加。因此,本文基于信譽度評價模型,根據用戶的網絡行為對網絡安全和性能的影響,將網絡行為事件進行統一分類、定位,并對這些事件進行危害程度的評估,實現用戶管理的動態性和實時性,對于提高網絡安全管理水平具有重要的應用價值。

2 國內外研究現狀

為了保證園區網絡的安全,信息技術發達國家的研究主要針對的是防范來自惡意代碼的攻擊、個人的非法使用網絡等方面。防外部攻擊的產品主要是防火墻、入侵檢測、漏洞掃描、防病毒軟件等,防內部攻擊的產品主要集中在身份認證上[1]。技術相對完善的產品有[2]:Websense Enterprise、BlueCoat、SurfControl、8e6上網行為管理解決方案,其中Websense和SurfControl是軟件產品,BlueCoat和8e6是硬件產品;BlueCoat是串接設備,其他幾個都是旁路的。旁路產品主要功能是監視[3],能做到一定程度的控制;而串接設備的控制和管理力度比較深、能力比較強,同時能夠監視用戶。但是這些產品都偏重于對網頁行為的監控,而對其他應用協議關注相對較少。隨著中國國內各種IT應用的Web化,各種工具如QQ、網易泡泡、阿里旺旺、百度Hi、電驢、迅雷等應用越來越多,但是目前國外主流互聯網管理廠商和網絡安全廠商的產品,都僅能做到對少量的國內應用的控制[1]。

目前許多研究在試圖通過控制接入用戶行為提高園區網的安全性時,提出了眾多解決方案來分析用戶行為。這些方案雖然對于用戶接入控制起到了一定的作用,但與實現園區網絡安全和資源優化配置的目標還有很長的距離。網絡中的不安全、不規范因素,均是由于網絡的使用者有意或者無意的不恰當行為引發的。因此為保證園區網的合理使用,必須控制用戶行為,而為了控制用戶行為,必須識別用戶行為。

用戶的行為是否構成危害(有意或者無意的)直接表現了用戶的信譽,而用戶造成的危害的數量,以及危害造成后果的嚴重程度,度量了用戶的信譽,因此,本文將用戶危害行為的識別和控制在網絡管理系統中構建為一個模型,稱為用戶行為信譽度模型,簡稱信譽度模型。目前信譽度模型多用于電子商務領域中描述用戶在網絡交易中的信譽,或者在網絡中評價每個資源用戶的信譽。

目前,對于服務選擇和發現問題的研究主要基于信任機制,有許多學者、專家在這一領域有新的理解和發現,QoS感知的服務選擇方法也是當今面向服務架構領域研究的熱點。

Ardagna在文獻[4]中提出一種自適應的服務組合方法,此方法不僅考慮了用戶在功能屬性上的需求,同時考慮了非功能屬性上,即QoS的需求,并對其中五種QoS指標進行分析和測量,最終得到服務信譽度的結果。在第一次選擇失敗的情況下,可以通過與服務提供者之間的協調對服務選擇進行再次優化,以尋求滿足用戶特定QoS要求的服務。此方法具有較好的靈活性和自適應性,再次優化也起到了一定的彌補作用,然而在這個方法中,忽略了對服務提供者的聲明真實性的度量,因此被夸大的服務QoS信息很有可能誤導服務選擇的過程,因此不能達到較高的用戶滿意度。

文獻[5]給出了基于用戶評價相似度的推薦信任計算方法,對服務使用者的歷史評價信息進行分析,計算不同用戶評價間的相似度,此方法體現出不同用戶對于同一服務質量的評定標準的差異,即用戶主觀偏好的差異,但其缺少對服務運行環境的考量,即用戶在不同網絡狀況或不同運行平臺上使用同一服務對用戶評價產生的影響。顯而易見的是,運行于暢通網絡和終端環境的Web服務更容易獲得用戶的滿意評價,反之,則更可能獲得不滿意的評價。

Min.L在文獻[6]中提出一個面向SOA的服務信任管理模型,基于分布式環境的特點對每個服務建立信任關系,同時采用多等級的服務信譽度評估方法,使信譽度評估更加靈活。但是由于沒有對評價信息中包含的用戶主觀偏見和客觀上下文環境進行分析,導致用戶評價中可能摻雜了許多異常用戶的評價,而導致信任關系偏離正確值,使其信譽度計算不夠準確。

總的來說,在Web服務的研究領域當中,傳統的Web服務評估模型通常只從一個角度分析服務的信譽度,如僅從服務使用者的角度分析,或者僅從服務發布者的角度分析,然而這使得服務信譽度的評估值比較片面、不夠客觀,最終服務選擇的滿意率較低。其中,主要存在了兩方面的問題[5,7～8]:

一方面,由于用戶及服務使用者在使用服務過程中會受到網絡環境等因素的影響,例如用戶上下文因素,忽略了對這部分外界因素影響的考慮將導致評價的結果包含偏見,缺乏真實性。對于網絡中存在的一部分異常用戶,他們以某種概率提供或極高、或極低的不符合正常標準的服務評價,來干擾正常服務評價體系,甚至有些企圖掩飾自己的這種行為,這對于準確計算服務信譽度提出了較大的挑戰。并且對于Web服務的主要消費者——計算機,使用服務過程中評價的產生和統計提及的較少,缺乏對計算機隱式評價指標的歸納和總結。因此,如何根據網絡中服務使用者提供的服務評價信息衡量服務評價的質量和用戶對服務的信任,從而準確計算服務信譽度成為一個突出的問題。

另一方面,Web服務質量(Quality of Service,QoS)是Web服務的一種非功能屬性,它體現了Web在功能性以外的重要特性,是服務選擇的重要參考標準之一,通常包含可靠性、響應時間、可用性和服務費用等多方面的指標。然而,在對服務質量的研究當中卻缺乏對服務質量體系結構的具體分析,以及對服務質量聲明的真實性檢測。由于服務發布者受到利益的驅使,為了增加其發布的服務被選擇的機會,常常發布高于實際服務質量的QoS信息,因此,服務使用者無法直接判斷出QoS的真實性而受到了蒙蔽,從而使得服務選擇滿意度下降。如何根據Web服務提供者聲明的QoS信息,分析其聲明的真實性和質量從而體現用戶對服務的信任,并進一步計算服務信譽度是研究服務信任領域中另一項課題。

因此,在網絡安全管理中,對用戶終端行為安全度量與評估的重要依據——信譽度評價模型是本文的主要內容。通過對現有的信譽度評估方法進行全面的分析,對信任等不確定性概念要有恰當、合理的表述,并充分表現其真實性和客觀性,并可根據終端行為的變化對其信譽度進行動態調整,實現網絡安全管理策略的動態調整。

3 基于信譽度的網絡訪問安全管理方案

信譽度表示用戶在網絡中受到信任的程度或者說是其行為合法與否的程度,如果用戶的合法行為較多,那么他的信譽度相對來說就比較高,受到的信任程度越高,如果用戶總是進行非法行為,那么他的信譽度相對來說就比較低。信譽度具有以下主要特點:

1) 主觀性:雖然一般情況下信譽度能夠真實客觀地反映一個實體的信譽程度,但它具有很強的主觀性,而這種主觀性很可能被惡意實體所利用。

2) 動態性:信譽度是根據實體某個時間內的歷史行為并按照一定的標準計算得出的,因此信譽度會隨著時間的推移而發生變化[7]。

在現有網絡管理軟硬件的基礎上給出了一個基于信譽度的網絡訪問管理方案,它在網絡中已有的應用管理系統中獲得用戶管理信息和用戶訪問網絡行為信息,對信息進行格式化處理,然后根據制定的策略進行行為分析,通過融入信譽度評估實現對用戶行為的控制。該方案將多種網絡安全技術和網絡管理系統進行融合,以滿足當前網絡管理的需要。方案示意圖如圖1所示。

圖1 基于信譽度的網絡訪問安全管理方案

1) 方案中的相關概念

為了更好地理解提出的網絡訪問管理方案,在這里定義一些與方案相關的概念:

(1)網絡管理者(Network Manager)

負責維護和管理網絡的主體,它可以是人,也可以是網絡管理系統中負責做決策的一段程序、一臺機器或一個系統[8]。

(2)網元(Network Element)

網絡中存在的具有一定功能的節點[9],它是網絡管理信息產生源,也是執行網管管理指令的客體,它包括路由器、交換機、防火墻、PC等硬件設備,也包括Sysfog日志、Netflow流量監控、SNMP管理軟件等軟件系統,總之,網元就是網絡中能產生網絡管理信息或接受網管管理指令的一切軟硬件資源。

(3)網絡管理信息(Network Management Information)

由網元主動或被動產生的網絡狀態和運行信息,網絡管理者可以從這些信息中獲得所需要的內容,并根據這些內容做出決策命令。

(4)用戶網絡行為(Users Network Behavior)

網絡中的用戶使用網絡資源而對網絡和其他用戶造成一定影響的一系列活動。我們可以從網絡管理信息中關聯、推導出用戶的行為。推導出用戶行為的目的是為網絡管理者決策提供依據。

(5)網絡管理指令(Network Management Command)

網絡管理者依據用戶網絡行為對網絡或他人的影響程度,根據系統定義的策略表對網絡中相關的設備或系統發出相應的指令,對網絡用戶的行為作出相應的反應。

(6)合法行為與非法行為(Lawful Act and Illegal Act)

用戶的行為肯定會對網絡產生一定的影響,這些行為有的會對網絡產生危害,這些危害包括給網內其他用戶帶來一定的安全威脅、對園區網中的設備造成破壞、對園區網中的帶寬不公平的占用、對園區網中的服務器資源的非法訪問、訪問非法網站、在論壇、博客中發表不當言論等等。在本文中,把不會對網絡產生危害的行為定義為合法行為,把對網絡產生危害的行為定義為非法行為。

(7)信譽度(Creditworthiness)

信譽度表示用戶在網絡中受到信任的程度或者說是其行為合法與否的程度,如果用戶的合法行為較多,那么他的信譽度相對來說就比較高,受到的信任程度越高,如果用戶總是進行非法行為,那么他的信譽度相對來說就比較低。

2) 方案的詳細描述

基于信譽度的網絡訪問管理方案的詳細描述如下:

(1)首先保證用戶身份的可定位。賦予每個用戶一個園區網內唯一的上網通行證,在接入網絡之前,必須通過已部署的接入認證系統進行身份驗證,才能夠進行后來的網絡訪問行為,為用戶行為的跟蹤留下準確的身份標識。此功能的實現已經有比較成熟的技術和產品,只需要在網絡中部署并配置好具有認證、授權、審計等功能的設備即可。

(2)采用合適的數據包捕獲方式獲取各種管理信息和訪問信息數據,對獲取到的數據進行統一的格式化處理。

(3)明確用戶行為與信譽度的關系。用戶行為可以改變用戶信譽度,當用戶從事合法行為,用戶的信譽度就會被保持或者升高;當用戶從事非法行為時,其信譽度就會下降。同時,用戶的信譽度決定了用戶的行為權限,信譽度越高,其訪問權限越高,行為規范中的規定的其合法行為就會越多,非法行為就會越少;信譽度越低,其訪問權限越低,行為規范中規定的其合法行為就會越少,非法行為就會越多。

(4)定義用戶行為管理的過程并將信譽度施加到用戶行為管理過程中。用戶行為管理用戶行為管理即通過數據包分析獲得用戶的身份信息和行為信息,然后對行為信息進行合法性分析與判斷,根據制定好的策略通過信譽度評估的方法控制用戶訪問行為。

3) 信譽度的具體計算過程

本文使用信譽值(Value of Creditworthiness)和信譽等級(Grade of Creditworthiness)來衡量信譽度,式(1)和式(2)給出了針對用戶一次行為信譽值變化(增加或減少)的計算方法。

當用戶行為合法時:

ΔVc=G·E·A·P

(1)

當用戶行為非法時:

(2)

ΔVc為本次行為所增加的信譽值,由上面幾個變量的乘積得出。

G(Grade of Creditworthiness)表示用戶信譽等級,當用戶行為合法時,等級越高,信譽值增加的越多,當用戶行為非法時,等級越高,信譽值降低的越慢。

E(Extent of Influence)表示用戶行為對網絡的影響和威脅程度,影響程度越大,信譽值變化越大。

A(Area of Influence)表示用戶行為影響的網絡范圍,范圍越廣,信譽值變化越大。

P(Persisting Time)表示用戶此行為持續的時間,即系統捕獲到的本次發生的用戶行為從開始發生到系統處理的時間長度,時間越長,對網絡的影響越大,信譽值變化越大。對于參數P可以根據實際行為持續時間由系統確定。其他三個參數的賦值可以使用以下兩種方法:專家調查法賦值、經驗公式模擬法賦值[10]。

4 訪問控制模塊設計與實現

訪問控制模塊是判定整個網絡管理系統是否安全的關鍵,它的每個訪問要素都對用戶的信譽度產生影響,并反映在用戶的信譽度數值上,從而決定用戶是否有權進行當前的操作。

在一個園區網中,要想實現對用戶訪問行為詳細精準的控制,其管理方案必須具備較強的感知能力、控制能力、取證能力和告知能力[11]。

1) 訪問控制模塊工作流程

在網絡訪問管理方案中,需要從現有的系統進行信息收集,對信息進行處理,然后進行行為關聯、分析,對用戶信譽進行計算,最后由策略決定用戶未來的訪問權限、控制用戶行為,根據這一流程得到訪問控制模塊流程圖如圖2所示。

圖2 訪問控制模塊總體流程圖

2) 訪問控制規則的數據結構

訪問控制模塊直接關系到整個系統的開關,制定了以下結構。

在規則數據中,首先定義了以下數據:

(1)用戶名;用戶信譽度ta(u);信譽度修改時間T;登錄次數m;成功訪問次數n;

(2)角色激活信譽度tac(r);角色;

(3)被訪問對象o;對象信譽度tac(o);用戶角色r;訪問時間;訪問地點;

(4)被訪問對象o;訪問權限p;角色權限限制;權限激活信譽度tac(p);信譽度抑制機制;

3) 訪問控制規則匹配流程

(1)當系統截取用戶的系統調用后,首先檢測鏈表中是否有對應此次調用的訪問規則,如果不存在則之間通過;否則轉到步驟(2)。

(2)獲得當前的用戶名,然后計算用戶的信譽度,并根據他的信譽度分配角色。

(3)比較角色信譽度和對象信譽度,判定是否有權訪問。

(4)提取用戶訪問的時間,判定是否在訪問時間內。

(5)提取用戶的訪問地點,判斷是否允許當前用戶的地點。

(6)比較用戶的角色與角色權限限制,判定是否滿足。

(7)比較角色信譽度和權限信譽度,判定用戶是否可以執行相應的操作。

(8)根據訪問計算用戶信譽度。

訪問規則匹配流程圖如圖3所示。

圖3 訪問控制匹配流程圖

這里應用R-RBAC模型,在文獻[12]中提到用戶可以在短時間內與系統進行多次交互,這樣就應該考慮到一些用戶刷高信譽度的問題,即用戶成功訪問資源后,在短時間內聯系訪問,把自己的信譽度提升很高,等有了足夠的權限再對資源進行破壞。為了防止這種情況,這里制定了“信譽度修改時間限制”Tc。即用戶成功訪問系統資源,并且提高信譽度后,在Tc時間內,再次成功訪問資源后,用戶的信譽度Tau(u)將不再增加。但是用戶的登錄次數m和成功訪問次數n將增加,由于

(3)

(4)

所以用戶在過了T時間后,用戶登錄可獲的最大信譽度將增加。

但是在把R-RBAC中的所有約束條件應用到此模塊時,并不是每次都訪問全部的約束條件,只要有一個約束條件不滿足,就終止繼續判定,這樣能較少地反饋系統中的信息,從側面保護系統的資源。所以我們的計算公式也要修改。

首先判定用戶角色信譽度和對象信譽度,當用戶的信譽度小于被訪問對象信譽度時可以直接把用戶的信譽度降低:

(5)

其次是時間判定,如果時間不是在正確的訪問時間,可以根據時間條件的權重以及減弱因子來降低用戶的信譽度:

ta(u)=ta(u)-λ1×β1,β1≤t

(6)

第三步是地點的判斷,如果地點不是在正確的訪問地點,可以根據地點條件的權重以及減弱因子來改變用戶的信譽度,但是此時要加上用戶時間正確訪問所得的信譽度:

ta(u)=ta(u)+λ1×α1-λ2×β2,α1≤t,β2≤t

(7)

同樣還有權限角色的限制和權限信譽度的限制條件,每一項條件的判定都要對用戶的信譽度產生影響。當用戶的成功訪問系統資源后,用戶的信譽度將得到此次最大的提升:

(8)

此時用戶的成功訪問次數n增加1。

通過計算公式可知:用戶的信譽度越高,能夠訪問的資源就越多,相應的權限也就越大,為了限制信譽度高的用戶非法使用權限,這里又引入了“信譽度抑制機制”。此變量抑制高信譽度用戶的分配信譽度,即用戶到達訪問資源的最低限制,但是受權限角色限制時,此機制會增大用戶信譽度的變化值。例如:用戶r的信譽度已經取得的訪問對象o的權限,并且訪問的時間和地點都正確,但是當前用戶角色的權限只是“讀”,而用戶申請“寫”時,此機制就增大用戶信譽度變化量。另外,此值會根據系統資源的重要性分配不同的大小。資源越重要,此值就越高。當然用戶的信譽度值是在0～100之間的數值,所以每次信譽度改變的時候要判斷其在這個范圍之中。

5 結語

本文的主要工作是對基于信譽度對終端行為安全度量和評估技術的研究,重心放在對基于信譽度的網絡訪問管理和訪問控制模塊的設計上。但是目前網絡管理系統功能還不夠完備,其中顯著的就是缺乏對于網絡中接入終端的管理;并且其現有功能實現也不夠深入,例如性能管理就不能實現通過識別到的網絡狀態調整網絡參數來優化網絡性能。針對這些問題,已經出現了部分解決方案,例如使用行為管理系統來彌補網絡管理系統對于終端用戶管理的不足,但是這種管理的仍然存在諸多缺點。雖然本文基于信譽度的訪問控制研究,為更加有效地進行網絡管理提供了一定的思路,但仍需要在細化信譽度評價模型和危害評估方面開展進一步的研究。

[1] 周珍娟.網絡安全技術發展現狀探討[J].電腦知識與技術,2010,31:8757-8758. ZHOU Zhenjuan. Discussion on the development of network security technology[J]. Computer Knowledge and Technology,2010,31:8757-8758.

[2] Eldar A. Info Security Product Guide[EB/OL]. http://www.infoseeurityProduetsguide.eom,2015-5-4.

[3] 徐強,孫樂昌,張萍.入侵檢測技術的發展研究一從IPS到IMS[J].計算機與信息技術,2007,21:53-55. XU Qiang, SUN Lechang, ZHANG Ping. The development of Intrusion Detection Technology — from IPS to IMS[J]. Computer & Information Technology,2007,21:53-55.

[4] Ardagna D, Pernic B. Adaptive service composition in flexible processes[J]. IEEE Trans. on Software Engineering,2007,33(6):369-384.

[5] 梁軍濤,蔣曉原.一種基于推薦的Web服務信任模型[J].計算機工程,2007,33(15):70-71. LIANG Juntao, JIANG Xiaoyuan. A Trust Model for Web services Based on Recommendation[J]. Computer Engineering,2007,33(15):70-71.

[6] Min L, Mark E, et al. Patterns: Service-Oriented Architecture and Web Services[M]. New York: IBM Press,2004:1-4.

[7] Beth T, Borcherding M, Klein B. Valuation of Trust in Open Network[C]//Proceedings of the European Symposium on Research in Security. Brighton: Springer-Verlag,1994:3-18.

[8] Wang Y. Vassileva. Trust and Reputation Model in Peer-to-Peer Networks[C]//Proc. of IEEE Conference on P2P Computing, NEW York: IEEE,2003:150.

[9] 劉萍.基于角色的訪問控制(RBAC)及應用研究[D].成都:電子科技大學,2005:10-22. LIU Ping. Role Based Access Control (RBAC) and Its Application[D]. Chengdu: University of Electronic Science and Technology,2005:10-22.

[10] Beulah K A, Ivana V, Gregorvon L, et al. Reputation-Based Grid Resource Selection[EB/OL]. https://www.researchgate.net/publication/244239765_Reputation-Based_Grid_Resource_Selection,2003-1-1.

[11] 王慧強,賴積保,朱亮.網絡態勢感知系統研究綜述[J].計算機科學,2006,10:5-10. WANG Huiqiang, LAI Jibao, ZHU Liang. Survey of Network Situation Awareness System[J]. Computer Science,2006,10:5-10.

[12] 雷建云,崔國華,章麗平,等.可計算的基于信任的授權委托模型[J].計算機科學,2008,10:73-75. LEI Jianyun, CUI Guohua, ZHANG Liping, et al. Trusted Authorization Delegation Model based on Trust[J]. Computer Science,2008,10:73-75.

Introduction and Implementation of Network Access Management Solution Based on Terminal Behavior Credibility

ZHANG Wei1MA Zhaoyang2

(1. No.702 Factory of Navy, Shanghai 200434)(2. Zhoushan Repair Room, Zhoushan 316000)

Based on the creditworthiness model, the network access management is researched in the paper. The main idea is that we can control users’ access and manage users’ behavior by assessing impacts which come from users’ behavior on the network security. Firstly, the method of the network access management based on the creditworthiness is given and the process of evaluating creditworthiness is given too. Afterwards, a framework about network access management based on the creditworthiness is designed. Finally, the overall design of the model and function structure is given and the database in the model and the interface between modules are designed briefly. The proposed network access management method based on the creditworthiness can increase the management level of the users’ behavior and make the network security management more dynamic, real-time and stable.

network security, network access management, creditworthiness

2016年7月11日,

2016年8月21日

張煒,男,碩士,高級工程師,研究方向:信息化建設、信息系統安全。馬朝陽,男,研究方向:網絡系統安全。

TP309

10.3969/j.issn.1672-9722.2017.01.025