大規模網絡跨域云安全訪問控制方法仿真

唐坤劍，馮光輝

(1. 電子科技大學成都學院，四川 成都 611700；2. 廣州大學計算機科學與網絡工程學院，廣東 廣州 510006)

1 引言

云計算技術飛速發展的今天，各種云安全問題也隨之而來[1，2]。如果不能妥善處理網絡安全訪問控制問題，將會嚴重阻礙云計算技術的發展，因此，有必要對網絡安全訪問控制方法進行研究。在此背景下，周波[3]等人利用密文策略屬性快速加密算法構建SDN域間訪問控制系統模型，通過模型完成訪問控制。董江濤[4]等人通過橢圓曲線加密中的簡單標量乘法代替雙線性配對，根據區域鏈防篡改可溯源的特性完成事務的訪問控制。江澤濤[5]等人主要以安全域用戶的公共跨域作為認證中心，分別對不同安全域的用戶展開認證，通過驗證結果為其分配公共跨域身份以及身份控制標簽，根據對應的標簽確定用戶身份，最終實現控制。在以上幾種方法的基礎上，提出一種跨域云環境下大規模網絡安全訪問控制方法。

2 大規模網絡安全訪問控制方法

2.1 跨域云環境下云用戶行為信任評估

訪問控制主要是通過控制用戶的訪問權限確保系統的安全性，同時也確保信息的安全傳輸。主體、客體以及操作成為三個關鍵的實體，引入信息屬性概念可以更好完成網絡安全訪問控制，同時對不同主客體直接授權處理。

基于屬性的訪問請求是由不同的屬性名值對構成的，可以將其表示為式(1)的形式

(1)

式中，Req.s、Req.o、Req.e和Req.a分別代表不同的屬性名值對；AttrSVpi、AttrOVpi、AttrEVpi和AttrAVpi分別代表不同的授權決策。

ABAC模型是實現訪問控制的重要環節，在操作過程中占據核心地位。由于模型中各個組件是獨立存在的，為了更好完成控制工作，需要彼此相關協作。圖1給出了ABAC模型。

圖1 ABAC模型示意圖

由圖1可知，系統需要用戶第一次向訪問控制模型發出訪問請求，采用NAR解析訪問請求，根據已知屬性查詢已經存在的集合，同時將用戶的訪問請求轉為全新的請求[6，7]。

在ABAC模型的基礎上，構建T-ABAC模型。T-ABAC模型主要是以ABAC模型為基礎，通過引入信任屬性機制完成網絡安全訪問控制，引入信任屬性，以ABAC的訪問機制為基礎完成支持信任等多屬性為約束的權限管理。T-ABAC模型是由五元組構成的，可以將其表示為式(2)的形式

T-ABAC={S，O，E，A，T}

(2)

上式中，S代表主體；O代表客體；E代表環境；T代表信任。

在T-ABAC模型的基礎上，通過策略相似性和主體信任度屬性對算子自動選擇。根據算子設計原則以及安全域對訪問控制策略條件的需求程度，需要設定訪問合成算子的優先級，算子的優先級越高，則說明安全域對訪問控制策略的條件也就越嚴格。在訪問控制策略融合過程中，策略協商扮演著十分重要的作用。協商的過程就是對資源聚合最大程度地共享。假設算子的執行力常量作用于域邊界上，則優先級高的算子被選中的概率就越大，同時也可以有效避免權限無限放大。其中，在跨域云環境下的執行力常量可以表示為式(3)的形式

Ui，j=S(p1，p2)+βm，n

(3)

式中，Ui，j代表執行力常量；S(p1，p2)代表策略合成算子；βm，n代表策略合成代數。

在完成算子的自動選擇之后，需要通過引入綜合賦權方法完成云用戶行為信任評估[8，9]，詳細的操作過程如下所示：

在信任評估中將用戶作為對象，以用戶在網絡中訪問的記錄作為用戶行為證據[10-12]，具體的用戶信任評估可以表示為：

1)對用戶行為數據規范化處理；

2)分析算法的計算需求，選擇符合需求的算法對用戶行為進行計算，經過計算獲取權重系數；

3)分析用戶行為，根據獲取的用戶行為證據計算得到對應的用戶權重。

將用戶行為證據設定為信任評估的輸入，分析不同用戶的行為，計算各個用戶的信任等級，獲取用戶對應的信任值[13，14]。然后，以計算好的信任閾值作為用戶類型劃分依據展開用戶劃分處理，評估不同用戶的信任閾值[15，16]。

其中，用戶信任值計算的過程為：

1)設定用戶行為證據向量Y，可以將其表示為式(4)的形式

Y={y1，y2，…，yk}

(4)

上式中，yk代表用戶行為證據子向量。

2)確定用戶行為證據權重ω，具體的計算式為：

ω={ω1，ω2，…，ωk}

(5)

3)計算用戶的信任值，如式(6)所示

(6)

式中，L代表用戶的信任值；R代表常數。

為了提升云用戶信任評估的合理性，需要通過安全需求設定信任閾值，根據信任級調整機制控制用戶信任級[17]。其中，如果用戶操作符合需求，會得到相對較高的信任等級；反之，如果用戶沒有按照規定操作，則用戶的信任等級會相應降低。

2.2 跨域云環境下大規模網絡安全訪問控制

跨域云環境下的主體在訪問云服務或者云資源的過程中，需要獲取可靠的信任度，同時還需要確保信任度在設定范圍內。

在2.1小節的基礎上，通過歷史交互記錄獲取直接信任度的計算式，如式(7)所示

(7)

為了增加不同類型交互信息的合理性，需要在設定范圍內賦予對應的權重取值，以此為依據計算對應的可信度取值，如式(8)所示

(8)

式中，Pi，j代表服務質量指標。

如果隨機選取的兩個實體之間不存在任何歷史交互窗口，則需要進一步計算兩個實體之間的信任度[18，19]，則對應的信任度計算公式為：

(9)

在信任度評估的基礎上引入評價可信度以及實體熟悉度等指標，獲取信任計算管理模塊的整體框架如圖2所示。

圖2 信任計算管理模塊整體框架圖

1)當云用戶想要直接訪問系統內的相關資源或者信息時，需要優先發出認證請求。

2)AAC對訪問請求展開分析，分別提取主體和客體的重要信息，計算兩者之間的關聯程度，并且直接交給訪問決策PEP，然后傳輸至決策端。

3)計算不同任務或者資源之間的信任度取值。

4)TCM模塊會直接將計算結果反饋至訪問控制決策模塊。

5)訪問控制決策需要通過實際需求設定對應的約束條件，假設滿足，則直接給出決策方案；反之，則直接拒絕本次訪問。

6)將PDP作出的決策直接返回至執行端PEP，PEP將決策結果返回至云用戶。

7)云用戶通過決策授權結果訪問云資源。

8)將交互記錄存儲，將計算結果提交至AAC，并且更新對應的信任值。

在跨域云環境下，云用戶對應云服務的總體信任度可以表示為式(10)的形式

(10)

式中，T(ai，aj)代表總體信任度；Tdirect代表歷史交互次數；CRT(ai，aj)代表間接信任度。

通過上述步驟，通過融合處理獲取直接信任度取值，進而得到實體綜合信任度，根據實體的綜合信任度完成網絡安全訪問，詳細的計算結果如下所示

(11)

式中，Mh代表實體的綜合信任度；f(x)代表新密文的消息頭。

在獲取實體綜合信任度后，根據實體的綜合信任度完成網絡安全訪問控制。

3 仿真研究

為了驗證所提跨域云環境下大規模網絡安全訪問控制方法的有效性，在MATLAB仿真軟件的支持下，從多個角度展開實驗測試分析。為了提升實驗結果的可靠性，將文獻[3]、文獻[4]方法作為對比方法，展開實驗分析。

1)控制時間

實驗選取控制時間作為測試指標，分析三種不同方法的大規模網絡安全訪問控制效果，結果如圖3所示。

圖3 控制時間對比結果

分析圖3可知，在迭代次數不斷增加的條件下，不同方法的網絡安全訪問控制時間呈現出前期快速下降，后期保持相對穩定的變化趨勢。產生這種特點的原因在于在訪問控制初期需要對大量的信任指標進行計算，會消耗大量的時間，當計算完成后則會保持一個相對穩定的時間消耗水平。通過對比三種方法的控制時間可知，所提方法的控制時間更短，說明其控制效率更高，能夠在更短的時間內保證網絡安全性。

2)誤判率

在大規模網絡安全訪問控制中，會對訪問主體的行為進行判斷，判斷結果直接影響控制決策，誤判率會為網絡安全防護造成一定的負面影響，因此，將訪問主體行為誤判率作為實驗指標，對不同方法進行測試，結果如表1所示。

表1 不同方法訪問主體行為誤判率對比分析

分析表1中的實驗數據可知，隨著實驗次數的持續增加，三種方法對訪問主體行為的誤判率呈直線下降趨勢。但是相比另外兩種方法，所提方法的誤判率明顯更低一些，其最低值僅為3.0%，而文獻[3]方法和文獻[4]方法的誤判率最低值分別為8.4%和7.1%，有效驗證了所提方法的優越性。

3)網絡信息利用率

為了進一步驗證所提方法的有效性，以網絡信息利用率為實驗指標，對不同方法進行測試。網絡安全的條件下，有利于提升信息的利用效果，因此，網絡信息利用率能夠從側面反映網絡安全性。三種方法的對比結果如圖4所示。

圖4 不同方法的網絡信息利用率對比分析

分析圖4中的實驗結果可知，三種方法的網絡信息利用率均保持在較高的水平，但是所提方法的優勢仍然十分明顯，其網絡信息利用率始終保持在80%以上，而文獻[3]方法和文獻[4]方法的網絡信息利用率明顯低于所提方法，說明其在保障網絡安全的同時，沒有以降低信息利用效果為代價，實用價值和應用價值更高。

4 結束語

針對傳統方法存在的不足，設計并提出一種跨域云環境下大規模網絡安全訪問控制方法。經實驗測試結果表明，與傳統方法相比，所提方法的訪問控制時間更短，誤判率更低，大幅度提升查詢效率，方便大規模網絡管理，有助于提升網絡運行的安全性。雖然所提方法在一定程度上提升了訪問控制效果，有助于提升網絡安全性，但是隨著攻擊手段的不斷擴展，如何應對不同的網絡攻擊是接下來研究的重點。