基于多维度网络安全行为的信任评估模型*

李佳楠，周 吉，阴俊恺

（中国电子科技集团公司第三十研究所，四川 成都 610041）

0 引言

伴随着云计算、大数据等技术的飞速发展和广泛应用，各类应用服务之间的网络边界变得越来越模糊化。在这类模糊化的应用网络环境中，网络防御手段相对缺乏，基于边界的网络防护手段越来越无法应对新型的网络攻击技术。美国网络安全公司Cybersecurity Ventures 发布的《2017 年度网络犯罪报告》中预测，到2021 年网络犯罪所致全球经济损失总额将达6 万亿美元/年，比2015 年的3 万亿美元足足翻了一倍[1]。传统的网络安全结构是把不同的网络划分为不同的区域，不同区域之间使用防火墙或者网络地址转换（Network Address Translation，NAT）设备进行隔离，并根据网络中资源的重要程度赋予网络不同的信任等级，这种固定的信任等级决定了不同网络资源的访问权限[2]。基于边界防护的安全模型提供了非常强大的边界防御的能力，但实际上，固定的网络边界存在被破坏的风险，一旦拥有突破网络边界的技术手段，就会造成巨大的网络安全危害，具体来讲主要有以下几个问题：（1）缺乏对内部流量的监测，无法检测出来自网络内部的攻击和误操作；（2）终端部署缺乏灵活性，不同安全等级的终端必须部署在相应的分区，并且需要对安全分区进行隔离和策略设置；（3）无法满足云平台部署环境下的网络防护需求，当所有的应用服务都部署在同一个云环境中时，网络边界会越来越模糊，边界模型难以发挥有效的防护效能；（4）信任等级不可变，传统的身份信任等级依靠身份认证系统和权限控制系统静态分配，内部用户或者终端被控制后还是可信的，攻击者可通过横向攻击来危害整个内部系统。

在频繁动态变化的复杂网络环境下，网络实体的各类网络行为存在不可信问题，这会引起应用访问安全风险增加。传统的仅基于公钥基础设施和数字证书的静态信任机制无法满足复杂网络域的身份认证和应用访问控制需求[3-4]，因此，动态的信任关系管理成为新型网络环境下信任管理研究的热点方向。动态信任管理是通过对用户的网络行为进行持续、动态的可信评估来实现网络安全的新技术，强调对网络实体行为数据进行动态收集、度量和评估，为实现跨域协作和可信互联提供访问控制策略基础支撑[5]，而研究网络信任度量模型和评估方法是对网络实体进行动态信任管理必须解决的核心问题，需要收集多维度的用户行为，并对用户的信任度进行实时、动态的评估，根据评估结果，调整用户的访问策略，动态地改变用户在系统中的访问权限，实现动态访问控制[6]。为了达到这一目标，最核心的工作是要建立一种从多维度的信任度评估方法和模型，能够全方位地收集用户的影响信任度的信息，并根据计算策略，实时动态地评估出用户的信任值，并且给出合理的信任等级，为后续用户访问策略的动态调整给出可信的依据。

1 研究现状

对于信任值和信任等级的评估度量，目前国内外出现了不少极具代表性的信任评估模型，这些信任评估模型和度量方法基本上是基于用户和服务提供商之间的信任关系形成和传播方法建立的，主要使用了基于fuzzy 数学理论、概率统计、主观逻辑学和相关证据理论的方式来对信任值进行评估，这些评估模型在信任评估的内容指标、评估方式和所用的基本模型方面存在比较大的差异[7]。很多研究参考了Josang 关于对用户之间信誉度评估的模型，其侧重点在于分析服务提供者的可信性，例如：Beth 提出的信任度评估方法[8-9]使用历史经验的来计算信任关系的度量值；Shojaee 等人提出了基于用户之间好评和差评的反馈来计算服务用户的信任值的方法。除了国外的研究学者，我国学者也进行了相关研究，例如：杨蕊岚[7]提出了一种多级模糊评估模型来计算云计算中用户的信任度，这种信任评估主要是解决服务端的信任度评估，研究路线是基于路径的服务信任值，主要针对集群部署计算环境及选择性服务相关的可信度评估，其目的是筛选出最优服务组合；张艳群等[4]提出了一种基于模糊数学的信任度量模型，主要通过在网络系统中通过用户自评价和互评价来计算用户与服务用户之间的信任值。张艳群等提出的评估模型的缺点在于对信任值的评价标准比较单一，仅通过单纯的信任和不信任来计算用户的信任等级的方式合理性不足；而且评估对象也只是针对用户自身或者用户之间，没有一个比较权威的机构和相对公正的方法来确保评估的正确性和公平性，没有给权威机构和普通用户分配不同的评估比重；再者，应用服务系统对于访问者的信任度评估灵活性不足，无法解决人员应用访问控制问题，也无法应对信任值动态变化的问题。上述方法的使用加强了应用系统之间的协同性和安全性，可有效检测出网络中的不可信实体和恶意实体的恶意行为，但是评估模型的动态适应性和健壮性还有待提高。上述方法主要存在以下几个问题：

（1）信任评估的维度不够全面。评价用户或者应用系统信任度的因素应当是多方面的，并且每种因素对信任度阈值的影响因子也不同，使用单一的影响因子来进行信任的度量不够全面，无法实际反映用户的真实信任值；

（2）在进行信任值评估时，对用户在使用应用系统过程中的身份认证、网络流量、终端安全性等各类变化因素欠缺考虑，导致信任度评估模型无法动态地评估用户的信任值，并且评估模型无法针对网络环境的变化自适应地调整信任值度量和评估策略，从而影响信任度量和信任评估的准确性和合理性。

（3）目前的信任评估模型仅能抵御和防护简单的网络攻击和网络欺骗行为，无法抵御内部攻击、联合攻击等复杂隐蔽的攻击手段，无法对复杂攻击方做出迅速有效的信任度评估，从而导致评估模型的健壮性和适应性不足。

针对以上问题，本文提出了一种适用于新型复杂网络环境的多维度动态信任评估模型和评估方法。首先建立用户的基础信任值；其次从用户的身份认证、终端安全、威胁情报、应用访问等多个维度动态地收集用户的网络访问行为作为信任度评估的指标数据，借助相应的数据评估模型通过对信任数据进行分析，计算出网络实体的信任值；最后通过信任度量模型得出用户的信任等级。通过这种基于信任度、动态信任度和综合信任等级的评估方法，增强多维度动态信任模型的自适应评估能力，提高网络实体信任度评估和信任等级决策的合理性和准确性。

2 多维信任模型设计

为了确保信任度量值准确合理、健壮灵活，需要构建具备多维评估因子。首先需要构建基础的信任评估模型和评估指标体系，并依据指标体系收集信任基础信息，建立基础模型。在系统运行过程中，通过信任数据采集软件，从认证、流量、安全等多个维度持续收集各类信任指标数据，通过评估模型实时动态地调整信任值和信任等级。

2.1 多维信任评估流程设计

为了实现多维度信任等级评估，需要实现基准值建立、数据收集、数据分析和信任评估等功能。多维度信任评估的流程主要包括信任基础值建立、信任指标数据收集、信任指标数据处理、信任指标数据分析、信任值度量和信任等级评估这几个步骤。先基于人员信息、设备信息和应用信息来构建基础信任值，再通过收集信任指标身份认证、网络流量、终端安全数据为信任评估提供数据支撑，然后就使用数据处理规则处理数据，接着通过数据分析模型对数据进行分析，并通过度量模型来计算信任值和信息等级，最后可通过信任值和信任等级对用户访问应用进行动态的授权和控制。信任指标数据及其计算流程如图1 所示。

图1 多维度信任评估流程

（1）信任基础值建立：收集用户的身份信息、使用的终端设备的基本信息和需要访问的应用的数据敏感度信息，通过相应的加权和平均运算，得出用户的信任基本值。

（2）信任指标数据收集：通过收集用户身份认证、网络流程、终端安全、业务访问和威胁通报等有关影响信任值的关键数据来实现信任指标数据的收集，以支撑后续的信任值计算和信任评估。

（3）信任指标数据处理：在收集到各种类型的信任指标数据后，需要对信任指标数据进行分类和归类处理，依据提前设置好的数据处理规则，针对数据类型、危害等级、信任加权等级等因素进行加权分类处理。

（4）信任指标数据分析：使用处理好的信任指标数据，为不同维度、不同等级的信任指标数据赋予不同的加权因子，并借助模糊贴近度的信任指标评估模型对信任指标数据进行评估，计算出用户的综合信任值。

（5）信任等级评估：根据信任指标数据分析得出的信任评估值，结合不同信任值在实际业务访问中的信任行为，使用机器学习算法，得出信任度量模型；根据信任度量模型，可精准地评估出该网络实体的信任等级。

2.2 系统架构设计

多维度动态信任评估系统以用户身份信息、操作终端设备信息和网络环境信息为基础，构建网络实体的基础信任值；通过动态收集用户终端、身份认证系统、监控分析系统和访问控制系统中对网络实体的信任值存在影响关系的数据，实现信任动态指标数据收集；对动态收集到的信任指标数据进行数据格式处理，并基于信任数据分析引擎对数据进行综合分析，筛选有价值数据；再使用信任度量模型计算信任值，根据信任等级评估模型完成对信任等级的评估；最后输出信任等级来支撑访问授权系统生成相应的应用和数据访问控制策略，如图2所示。

图2 多维度信任评估模型架构设计

2.3 基础信任值构建

用户基础信任值的构建基于用户的身份信息、设备信息、访问应用的安全等级信息。多维度信任评估模型首先根据用户、设备和环境的基本信息确定用户基础信任值；其次在用户使用设备访问应用时，根据用户身份、设备和环境认证信息确定用户的合法身份，生成基础信任值，并根据预先设定好的策略依据基础信任值为用户分配应用和数据的访问权限。

2.4 多维信任数据采集

信任数据采集通过部署多维度信任信息采集插件来实现评估元数据的采集，评估数据包括用户的终端、身份认证、监控分析和访问控制等，如图3所示。其中，用户终端数据可通过使用专用的终端信任数据采集插件来采集，也可通过引接主机监控软件和杀毒软件的日志信息来获取；身份认证数据可通过在身份认证系统部署信任数据采集插件来实现；监控分析数据主要是从入侵监测、安全管理、监控审计系统中提取的安全评估数据；访问控制数据可从应用访问控制设备、Web 防火墙、入侵监测等设备中获取。

图3 多维信任数据采集模型

2.5 信任数据管理

信任数据管理模块主要负责对采集到的原始数据进行基本的数据处理和存储，通过预设的数据处理规则，对数据进行分类和归类等标准化处理[8]，处理流程如图4 所示。

图4 信任数据管理流程

（1）读取一条原始的信任数据，与规则池中的数据处理规则进行匹配。

（2）如果匹配成功，表明信任数据管理模块支持该数据的标准化处理，则按照处理策略对数据进行标准化处理。如果匹配失败，则将该数据存放在待处理存储区，管理员可通过后续对数据进行分析，通过新增处理策略来处理该类信任数据。

（3）在处理完数据后，对数据进行归一化处理。将所有信任日志信息都归纳为时间、主体、客体、行为、信任加权、危害等级等信息，再将以上抽象事件使用向量的形式描述建模。日志格式的解析提取采用正则表达式方式处理，同时采用映射赋值和直接赋值进行字段统一表示，将不同设备的事件等级映射为标准的等级。

（4）对数据进行标准和归一化处理后，将数据以标准格式存放在数据库中。

2.6 信任数据分析和评估

信任数据分析以用户的各种身份认证信息、设备信息和环境信息为基准，确定用户信任基础值，结合系统运行过程中实时收集到的多维信任指标数据，借助模糊贴近度的信任指标评估模型对信任指标数据进行评估，计算出用户的综合信任值。假设网络实体评估具有n个评估指标{W1,W2,…,Wn-1,Wn}，并且有m个决策项。设第i个决策项对第j个指标Wj的评价为(uij,vij)(i∈1,2,…,m,j∈1,2,…,n)，其中，uij∈[0,um]，vij∈[0,um]，且uij

式中：u∈[0,xm]。令：

权重ϕj可根据实际经验进行调整，则网络实体的综合信任值为：

2.7 优 化

信任指标体系和评估方法目前还具有进一步扩展的空间，例如：可以引入物理空间坐标和时域的有关信息；在信任指标处理时，可以增加清洗规则，减少脏数据对信任评估结果的影响；在进行信任数据分析和评估时，可以使用基于机器学习的评估模型进行评估[9]，通过使用样本数据进行训练，简化各指标权重因子的确定过程，提升信任评估的准确性。

3 结语

本文针对目前基于边界防护模型的网络安全体系在日益发展的网络架构中面临的问题和挑战，基于信任的网络防护理念，进行了多维度信任评估模型架构的设计和实现。基于多维度信任评估模型和方法的架构体系实现了对信任值的多维度指标数据的采集和处理，并使用模糊贴近度的方法对信任指标数据进行分析和评估，然后根据实时变化的评估值对用户访问应用进行动态持续的控制，构建了基于信任的网络安全架构体系的基本模型和信任值评估方法。后续研究中，将扩展多维度信任评估模型指标体系的涵盖范围，优化信任评估方法的模型，以实现对更多与信任值相关的指标数据的采集和评估，提高信任评估数据的准确性，降低和消除脏数据对信任评估误差的影响[10]，提升信任评估的准确性和可靠性，增强网络实体应用访问控制的合理性和有效性，为实现基于信任的网络安全架构体系的构建提供有效支撑。