基于本體的戰術SOA動態安全策略

鄒文通 顧穎彥 程培星

摘 要： 戰術網絡中構建面向服務的通信網絡，將戰術網絡中的計算資源、存儲資源和網絡資源等以服務的形式呈現，實現信息服務在用戶、系統之間的廣泛共享。戰術環境的動態特性和去中心化服務特性為戰術SOA的安全機制提出了新的要求。針對戰術環境的動態特性和去中心化服務的安全需求，提出一種基于本體的戰術SOA動態安全策略，詳細描述了該策略的框架、概念和形式化表達。并針對具體的動態語境分析了戰術SOA動態安全策略如何應對戰術環境的動態特性，同時體現了去中心化操作的能力。

關鍵詞： 戰術網； 安全策略； SOA； 本體結構； 描述邏輯； 動態特性

中圖分類號： TN915.08?34； TP393 文獻標識碼： A 文章編號： 1004?373X（2018）08?0155?05

Abstract： Service oriented communication network is constructed in tatical networks to present the computing， storage and network resources in tatical networks in the form of service so that information service can be widely shared between users and system. The dynamic feature and decentralized service feature of the tactical environment put forward new requirements for security mechanism of tactical service oriented architecture （SOA）. Aiming at the dynamic feature of tactical environment and security demand of decentralized service， an ontology?based tactical SOA dynamic security strategy is proposed to descirbe the framework， concept and formalized expression of the strategy in detail. Aiming at the specific dynamic context， how the tactical SOA dynamic security strategy handles the dynamic feature of tactical environment and meanwhile reflects the decentralized operation capability is analyzed.

Keywords： tactical network； security strategy； SOA； ontology structure； description logic； dynamic feature

0 引 言

戰術網絡通常由Ad hoc網和無線mesh網組成，連接形式多樣，且容易遭到分割。戰術網絡在復雜、惡劣環境下要求網絡具有動態拓撲變化和動態路由功能，以便支持移動用戶進行多跳可靠的通信[1]。網絡中心戰（Network Centric Warfare，NCF）和網絡化作戰能力（Network Enabled Capability，NEC）對戰術網絡提出了更高的要求，要求戰術網絡必須具有高動態戰場環境下任意作戰單元之間提供安全可靠的服務分發、廣泛的資源共享以及協同作戰能力，并具有與其他異構網絡資源互操作的能力。面向服務的體系結構（Service Oriented Architecture，SOA）具有松散耦合、粗粒度服務、服務動態組合、標準化接口、跨平臺和重用性等優勢。因此，戰術網絡必須構建面向服務的通信網絡，從而將戰術網絡中的計算資源、存儲資源和網絡資源等以服務的形式呈現，以實現信息服務在用戶、系統之間的廣泛共享[2]。

此外，描述邏輯和本體結構為捕獲復雜環境下的語義形成高度豐富的安全策略提供了所需的描述能力及語法。因此，為適應戰術環境的特點和約束，滿足戰術SOA的安全性功能需求，將描述邏輯與本體結構引入到戰術SOA安全策略是一個有價值的研究方向。

1 戰術環境的特點和約束分析

戰術環境具有較強的動態性和多樣性，取決于每一個具體的戰術行動的本質。戰術環境具有如下特點：

1） 戰術網絡需要為部署于戰術環境中的高度異構的戰術系統提供服務，系統具有不同的運算能力、存儲能力、通信能力、設備安全性和移動性；

2） 戰術網絡中部署的單位在操作和功能上均具有多樣性，作戰區域中的節點組成離散而又相互操作的作戰群組，群組有不同的作戰需求和作戰目標，構成群組的元素也有著不同的戰術角色和作戰能力；

3） 用戶、服務和設備等部署單位產生的信息形式多樣，包括本質（預警、命令、其他戰術信息）、類型（數據、音頻、信號）、格式、頻率、可靠性和安全特征；

4） 戰術環境的結構高度動態，網絡拓撲變化迅速，節點隨時加入或退出網絡，作戰區域中的節點自由移動；

5） 部署的單位可能在去中心的服務機制、無線電靜默、低偵查、電磁干擾等聯合環境下作戰，加劇了戰術環境的動態本質[3]。

戰術網絡的約束可分為終端約束和網絡約束，終端約束影響網絡性能與服務質量。終端約束包括：傳輸/接收范圍、輸入/輸出限制、功耗限制、物理限制、互聯能力及計算能力。戰術級的終端包括便攜式終端和傳感器，兩種終端在服務平臺和技術功能上有較大不同。

戰術網絡約束可分為：

1） 傳輸中斷：節點超出無線接收范圍，數據包沖突、多路傳輸帶來的干擾，障礙物遮擋，服務拒絕等；

2） 移動性約束：動態網絡配置、服務發送轉交、多網歸屬等；

3） 通信約束：無線網絡的帶寬、頻率等資源受限，無線網絡傳輸的丟包、延遲、抖動，傳輸協議的制約等。

2 戰術SOA安全需求分析

上述戰術環境的特點和戰術網絡的約束相結合，可以說明戰術SOA安全機制需要具備的特征：

1） 同時包含各種SOA平臺服務層次以及QoS、通信和基礎設施層；

2） 安全機制的定義、更新、評估、實施以及發送必須基于可用資源和跨層信息的可擴展的、動態的組合；

3） 必須支持安全策略與控制條件的動態分配；

4） 安全機制和服務必須分布在戰術網絡中的各個節點；

5） 必須實現對于服務訪問和服務所涉及的對象的保護機制。這些機制包含了簡化的策略表達式和預計算的策略決定。需要保護的服務訪問與所涉及的對象包括：信息、通信、數據和處理過程。

戰術環境的特點和約束為戰術SOA的安全機制提出了新的要求，戰術SOA需要應對戰術環境的動態性并提供無中心化服務的能力。目前的安全機制如WS?Security，SAMLs[4]，XACML[5]等缺乏去中心化操作的能力，不適應于動態開放的環境。因此，有必要提出一種新的適應戰術環境特點和約束，且滿足戰術SOA安全性功能需求的安全機制。

3 戰術SOA動態安全策略

結合上述戰術SOA安全需求，提出一種基于本體的戰術SOA動態安全策略。詳細描述了安全策略的框架、概念模型和形式化。

3.1 本 體

本體是概念化的明確規范說明，是領域內重要實體、屬性、過程及其相互關系形式化描述的基礎。這種形式化的描述可成為系統中可重用與共享的組件[6]。本體支持知識交流，明確了領域知識的結構，便于進行知識表示。本體可以重用，避免了重復的領域知識分析。此外，本體還可以在不同的建模方法、語言和軟件工具之間進行映射，以實現不同系統之間的相互操作和集成[7]。利用本體對問題和任務進行規范化描述，可提高需求分析與知識獲取的效率；另一方面，利用本體的概念表達還可以對知識的一致性進行自動檢查，提高了系統的可靠性。

本文采用OWL?DL描述所提出的戰術SOA動態安全策略的本體。OWL即Web本體語言，是W3C推薦的語義網中本體描述語言的標準。OWL?DL是OWL的子語言，能夠在推理系統上進行最大程度的表達。推理系統保證所有結論均能夠在有限時間內計算出來[8]。

采用描述邏輯進行安全策略的形式化表示，已經在諸多領域取得成功實踐，并得到廣泛推薦[9]。但描述邏輯在戰術網絡的細節中，沒有得到恰當的使用。本文采用OWL?DL來定義安全策略框架的基線，描述戰術環境的細節。其他描述邏輯相較于OWL?DL在捕獲需要的語義時存在著不足，不適應于高度動態和分布式的環境，且不便于戰術SOA的部署及未來發展[10]。

3.2 戰術SOA安全策略框架

提出的戰術SOA安全策略架構如圖1所示。一個基于本體定義的描述戰術SOA細節的安全策略，必須能夠為信息、通信、數據和處理過程提供保護。這一機制需要對各種語義屬性概念化，涉及的元素之間需要有健壯而又靈敏的映射。這些元素定義為OWL類，安全核心是安全策略框架的錨點，類似于owl：Thing，包含其他所有子類元素，其是通過TSI連接服務基礎設施本體的網關。子類元素即作戰領域、作戰能力、作戰行動和控制規則，每一個控制規則均包含了一系列狀態信息。安全策略通過安全核心管理每一個戰術領域中，作戰能力的功能。這可以通過對于環境條件的在線評估、為每一個作戰行動發布的控制規則集來實現。本文的架構盡量減少了安全核心本體的復雜度，降低整體的復雜性。同時，也降低了策略分布與協調過程的復雜性。

安全策略的構建需要一個包含控制規則的分布式數據庫。基于每一個操作的需求，定義控制規則，其分布于戰術網中各個節點的本地知識庫中，各個節點的行動受分布控制規則的控制，而無需一個中央控制器進行控制。控制規則的一致性由本地知識庫自動檢查并提供保證，其包含戰術網絡中的各種靜態和動態信息。這些信息包括描述戰術服務參與者需求和本質的各種屬性、網絡實時的和過去的運行狀態以及作戰單位的行動、交互。

為了保持安全本體的純度，狀態信息必須分層為服務描述、消息描述、網絡拓撲、無線網絡、節點狀態、從屬關系。其中：服務描述和消息描述屬于資源狀態；網絡拓撲與無線網絡屬于通信狀態；節點狀態和從屬關系屬于用戶狀態。

1） 服務描述。戰術網絡需要提供服務的描述和信息。服務描述的靜態信息包括服務類型、QoS等，動態信息包括服務當前狀態、可用的服務提供者及服務替代等。

2） 消息描述。用戶、服務和基礎結構等產生了各種不同類型的信息。這些消息特點各異，包括消息的本質（警告、命令）、消息來源和消息目的地、消息類型（音頻、視頻、信號）、消息大小、產生的頻率等。

3） 網絡拓撲。網絡拓撲出于不斷變化之中，理解戰術環境的網絡拓撲需要各種拓撲的、交互的和移動性的參數。網絡拓撲的靜態信息包括節點從屬的作戰小組，動態信息包括相鄰節點列表、當前位置等。

4） 無線網絡。戰術環境中的無線網絡有多種，包括高頻、超高頻、WLAN和衛星通信等。無線網絡的靜態信息包括使用的波段、發射功率和發射范圍。動態信息包括可用帶寬、丟包、延遲等。

5） 節點狀態。戰術行動涉及的節點高度異構，節點有著不同的功能與特性。節點狀態的靜態信息包括節點ID、采用的通信協議和安全機制；動態信息包括節點資源的可用性、移動性及可信級別。

6） 從屬關系。包括節點當前所處的作戰小組，作戰小組中的全部成員以及節點在小組中的級別、身份證明等。

本文提出的架構考慮了動態特性關于安全策略操作兩層含義。第一層含義是，當定義和行動有關的規則時，每一個規則集可以是預先計算的簡單表達式，也可以是包含一組靜態和動態信息的復雜的表達式。由此，可以在作戰任務進行時保持對安全服務的支持。第二層含義是，在描述特定的作戰領域、作戰能力和作戰行動子結構的定義與復雜關系時，節點充分利用了描述邏輯的表達能力。在每一個服務調用之后，節點對當前網絡狀況進行在線評估。根據評估的情況，節點可選擇合適的控制規則或尋求替代的服務提供者。

3.3 安全策略框架的概念模型

可以采用一元和二元謂語，來實現上述框架的概念化。一元謂語表示數據、服務、用戶、終端；二元謂語表示其之間的相互關系。通過定義元素和元素之間的關系、結構化對整個系統當前與過去狀態的解釋，可廣義界定一個網絡。

如圖2所示，采用T?Box定義戰術術語。T?Box允許以充分必要條件的形式，定義非循環的概念。因此，可通過聲明原子概念的復雜組合來構造整個戰術環境所需的概念。采用A?Box來進行判斷，A?Box中的二元關系可以用來進行實例標識，說明一個特定的個體是否為T?Box中概念的實例。需要指出的是，概念的可表達性會影響計算復雜性和推理復雜性。在操作的初始化階段，靜態元素的斷言知識定義在A?Box中，而動態元素則在戰術行動過程中生成。模型具有一定的靈敏性，以便利用動態語義信息進行策略決定。因此，知識庫可定義為一對結構化的T?Box和A?Box。該過程如圖2所示，構造了全部戰術術語后，便可在線構造和修改斷言知識。

3.4 安全策略框架的形式化描述

本文采用描述邏輯，對安全策略框架進行形式化描述。描述邏輯具有較強的表達能力，能夠定義各種靜態和動態元素及其之間的復雜關系。基本描述邏輯ALC具有較強的表達能力和較低的推理復雜度，但ALC不足以描述各種應用的領域知識。因此，又提出了表達能力更強的描述邏輯，其均為ALC的擴展。SHOIN（D）在ALC的基礎上，引入了數值域、時間域等以描述現實世界實體的度量特性。OWL?DL便是以SHOIN（D）為基礎，包含ALC中的所有元素以及其他關于屬性和值的補充數據。

網絡實體之間的關系可用形如式（4）所示的確定性的或概率的斷言來定義。類似地，可以定義節點當前用戶、終端的可用資源、服務的運行狀態等。

采用與特定的安全層次相對應的離散需求集，來構造策略表達式樹枝。當請求服務的節點滿足節點[Node_1]的離散需求集時，即可獲取節點

4 應用場景示例

為了說明本文提出的戰術SOA動態安全策略如何應對戰術環境的動態特性，假定如下應用場景：實體A請求服務B，節點C和節點D均提供服務B；實體A與節點C位于同一作戰小組。

實體A可以是基于T?Box中的戰術網絡術語定義的用戶或服務，定義形式如式（7）服務B、節點C和節點D的定義類似。實體A請求本地知識庫識別服務B是否滿足屬性集K，服務提供者C，D是否滿足屬性集X。屬性集是圖1中規則的集合。

節點C和節點D返回關于屬性集X的響應，實體A根據響應、資源可用性和傳輸便利性，選擇服務提供者。本場景中，實體A和節點C位于同一作戰小組。因此，節點C被選作服務提供者。

當收到服務調用請求時，節點C利用策略表達式樹枝評估實體A需要滿足的屬性集，確定實體A是一個合法的用戶。節點C在傳輸服務之前，需要評估網絡拓撲、節點狀態、無線網絡等狀態信息，以確定請求的可行性和最適合的服務方法。此外，節點C還需評估節點D是否滿足服務替代的策略表達式樹枝。

當評估完成后，節點C開始向實體A提供服務。服務提供過程中，節點C在線為評估和服務提供相關的動態、靜態信息。其中，包括網絡拓撲、節點狀態、參數變更等。當節點C不可用時，會將服務提供的過程轉移到節點D繼續完成，并告知節點A。本場景描述了實體請求位于網絡中節點上的服務動態過程。實體和提供服務的節點相互評估對方是否滿足相應的策略規則集合，并根據狀態信息確定最合適的服務提供方法。當提供服務的節點不可用時，節點根據預先計算的服務替代表達式樹枝的結果選擇服務替代的節點，并轉交服務提供的過程。本文提出的戰術SOA動態安全策略，具有較強的表達能力和邏輯推演能力，能較好地描述以上動態語境。服務提供的過程依靠本地知識庫中的控制規則集合進行控制，無需中央控制器。從而，體現了戰術SOA動態安全策略的去中心化操作能力。

5 結 語

本文描述了戰術環境的特點和相關約束，并結合這些約束說明戰術SOA安全機制的功能需求。針對這些需求，提出基于本體的安全策略框架，并充分利用描述邏輯的表達能力和邏輯推演能力，來描述戰術環境的動態語境。將控制規則分布于戰術網中的各個節點，利用本地知識庫對控制規則進行自動檢查并保證一致性，滿足了去中心化服務的安全需求。進一步的研究包括對所提出的框架進行深入分析、評估和細化。本體的構造方法極其關鍵，應當充分利用描述邏輯所提供的表達能力，盡量減少資源的利用，采用簡潔的策略定義、表達和推理。同時采用先驗分布的機制，即可實現節點之間的協作，降低安全策略的計算成本。

參考文獻

[1] 唐龍，王峰.基于UCDS的戰術網絡拓撲構建研究[J].通信技術，2015，48（9）：1037?1043.

TANG Long， WANG Feng. Tactical network topology construction based on UCDS [J]. Communication technology， 2015， 48（9）： 1037?1043.

[2] 陳強，孫超山.基于SOA技術的戰術通信服務控制技術研究[J].通信技術，2014，47（6）：642?646.

CHEN Qiang， SUN Chaoshan. Application of SOA technology in the tactical communication service control [J]. Communication technology， 2014（6）： 642?646.

[3] 曾夢岐，蒲文彬，穆陽，等.戰術自組網分層安全框架研究[J].信息安全與通信保密，2012（4）：51?55.

ZENG Mengqi， PU Wenbin， MU Yang， et al. Cross?layer security framework for tactical mobile Ad hoc network [J]. Information security and communications privacy， 2012（4）： 51?55.

[4] CAMPBELL B， PING I C， LOCKHART H， et al. OASIS security services （SAML） TC [J]. IEEE transactions on communications， 2009（7）： 1518?1529.

[5] CARROLINE D P K R， HANNE R N， FLEMMING N. The logic of XACML [J]. Science of computer programming， 2014， 83（2）： 80?105.

[6] 段采宇，冉承新，張維明，等.C^4ISR需求開發新途徑：基于本體的方法[J].火力與指揮控制，2008，33（8）：86?90.

DUAN Caiyu， RAN Chengxin， ZHANG Weiming， et al. Study of developing C^4ISR requirements based on ontology [J]. Fire control and command control， 2008， 33（8）： 86?90.

[7] 張玉連，李帥，周興林.基于本體的Deep Web自動標注方法研究[J].現代圖書情報技術，2009（9）：45?50.

ZHANG Yulian， LI Shuai， ZHOU Xinglin. Research on ontology?based automatic annotation for Deep Web [J]. New technology of library and information service， 2009（9）： 45?50.

[8] 朱雪峰.基于語義的動態服務組合技術研究[D].開封：河南大學，2014.

ZHU Xuefeng. The research of automatic dynamic service composition based on semantic technology [D]. Kaifeng： Henan University， 2014.

[9] KARANDE H A， GUPTA S S. Ontology based intrusion detection system for web application security [C]// Proceedings of International Conference on Communication Networks. Gwalior： IEEE， 2016： 228?232.

[10] BAADER F， CALVANESE D， MCGUINNESS D L， et al. The description logic handbook： theory， implementation， and applications [J]. Kybernetes， 2010， 32（9/10）： 43?95.