[go: up one dir, main page]

CN114745128B - 一种面向网络终端设备的信任估值方法及装置 - Google Patents

一种面向网络终端设备的信任估值方法及装置 Download PDF

Info

Publication number
CN114745128B
CN114745128B CN202210309072.9A CN202210309072A CN114745128B CN 114745128 B CN114745128 B CN 114745128B CN 202210309072 A CN202210309072 A CN 202210309072A CN 114745128 B CN114745128 B CN 114745128B
Authority
CN
China
Prior art keywords
trust
sdp
ratio
evaluation
forwarding
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202210309072.9A
Other languages
English (en)
Other versions
CN114745128A (zh
Inventor
江逸茗
马海龙
王亮
伊鹏
陈博
袁征
丁瑞浩
张德升
唐寅
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Zijinshan Laboratory
PLA Information Engineering University
Original Assignee
Network Communication and Security Zijinshan Laboratory
PLA Information Engineering University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Network Communication and Security Zijinshan Laboratory, PLA Information Engineering University filed Critical Network Communication and Security Zijinshan Laboratory
Priority to CN202210309072.9A priority Critical patent/CN114745128B/zh
Publication of CN114745128A publication Critical patent/CN114745128A/zh
Application granted granted Critical
Publication of CN114745128B publication Critical patent/CN114745128B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3265—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate chains, trees or paths; Hierarchical trust model
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开一种面向网络终端设备的信任估值方法及装置，该方法结合网络终端设备历史行为对其信任进行估值计算，并对其进行基于信任的安全管控，因此，将该节点从接入域到评估时刻的通信时段视为评估区间T，将其划分为t段评估间隔，认为正常设备节点有如下特征：倾向于忠诚、即大概率(概率不小于0.5)地正常转发数据；其面向域内交换设备节点的入向流量序列平稳，不得突发增长至域内服务资源承受阈值以上。本发明可支持网络基于终端设备历史行为对其实施基于信任的安全管控，并可应用于多种威胁场景、满足实际场景需求。

Description

一种面向网络终端设备的信任估值方法及装置
技术领域
本发明属于网络安全技术领域，尤其涉及一种面向网络终端设备的信任估值方法及装置。
背景技术
为强化网络终端设备安全管控，除应用身份认证、流量加密等传统安全机制外，还需引入信任机制对设备主体安全性进行细粒度量化。信任通常以数值形式体现、度量，信任的度量即信任评估；通常，对设备节点的信任评估需基于该节点历史表现，因各种评估算法各异，所以评估得到的信任基本无法反映该节点的绝对可信度，而是基于某评估算法对其绝对可信度的估计值。
发明内容
本发明针对现有对设备节点的信任评估得到的信任基本无法反映该节点的绝对可信度，而是基于某评估算法对其绝对可信度的估计值的问题，提出一种面向网络终端设备的信任估值方法及装置，可以为网络终端设备实时信任及长期信任提供度量手段。
为了实现上述目的，本发明采用以下技术方案：
本发明一方面提出一种面向网络终端设备的信任估值方法，包括：
步骤A：当满足下式时，认为发生了DoS攻击，此时不对SDP IH授予信任：
Figure BDA0003567158450000011
其中
Figure BDA0003567158450000012
表示相邻段评估间隔的内域入口节点对该终端设备测算的出向转发流量速率比，/>
Figure BDA0003567158450000013
表示第t段评估间隔内域入口节点对该终端设备测算的出向转发流量速率，/>
Figure BDA0003567158450000014
表示第t+1段评估间隔内域入口节点对该终端设备测算的出向转发流量速率，t表示评估间隔索引号，T表示评估区间，min(Server|SDPC)表示服务性能最低的服务资源Server及SDP控制器的带宽，max(εt)表示相邻段评估间隔的最大转发流量速率比比值，|max(εi)-min(εi)|>μ，min(εi)表示相邻段评估间隔的最小转发流量速率比比值，
Figure BDA0003567158450000021
表示包速率平稳系数，ε＝{ε1,ε2,ε3,...εt-1}表示相邻段评估间隔的内域入口节点对该终端设备测算的出向转发流量速率比序列；
步骤B：当n不为0时，按照下式计算SDP IH的忠诚转发比序列：
Figure BDA0003567158450000022
Figure BDA0003567158450000023
其中n表示交互报文数；f1表示第j段评估间隔内该节点应转发的报文数；f2表示第j段评估间隔内该节点实际转发的报文数；F0为SDP IH的默认忠诚转发比，即与SDP AH无交互时的初始报文忠诚转发比；δ(n)为交互函数；
当n为0时，
Figure BDA0003567158450000024
步骤C：基于忠诚转发比序列对SDP IH是否存在开关攻击进行判断：将满足|max(τl)-min(τl)|>θ的τl视为波动值，将所有的波动值构成的序列视为波动序列W，引入t的变量λt，满足
Figure BDA0003567158450000025
若波动序列W中的波动值均为迁移波动，且λt序列中1与-1交替出现，则判定SDP IH为恶意节点，不对其授予信任；其中/>
Figure BDA0003567158450000026
表示相邻段评估间隔的忠诚转发比比值，/>
Figure BDA0003567158450000027
表示第l段评估间隔内域入口节点对该终端设备测算的忠诚转发比，/>
Figure BDA0003567158450000028
表示第l+1段评估间隔内域入口节点对该终端设备测算的忠诚转发比；max(τl)表示相邻段评估间隔的最大忠诚转发比比值；min(τl)表示相邻评价段的最小忠诚转发比比值；/>
Figure BDA0003567158450000029
表示忠诚转发比平稳系数，τ＝{τ1,τ2,τ3,...τt-1}表示相邻段评估间隔的忠诚转发比比值序列；
步骤D：基于第t段评估间隔对应的SDP IH忠诚转发比序列，对
Figure BDA0003567158450000031
进行预测，并将/>
Figure BDA0003567158450000032
视为SDP AH当前基于SDP IH历史表现对其评估的信任值。
进一步地，所述步骤D中，按照如下方式对
Figure BDA0003567158450000033
进行预测：
基于第t段评估间隔对应的SDP IH忠诚转发比序列F，采用SCGM(1,1)加权马尔科夫模型，根据距
Figure BDA0003567158450000034
最近1段评估间隔内/>
Figure BDA0003567158450000035
是否为偶然波动对/>
Figure BDA0003567158450000036
进行预测，若/>
Figure BDA0003567158450000037
为偶然波动，利用SCGM(1,1)加权马尔科夫预测模型直接预测，即/>
Figure BDA0003567158450000038
若
Figure BDA0003567158450000039
为非波动值或为迁移波动，结合/>
Figure BDA00035671584500000310
和上述预测模型预测/>
Figure BDA00035671584500000311
即
Figure BDA00035671584500000312
τ'表示去除波动值的τ序列；并将/>
Figure BDA00035671584500000313
视为SDP AH当前基于SDP IH历史表现对其评估的信任值。
进一步地，还包括：
步骤E：若SDP IH访问凭据到期时，其实时信任高于SDP AH的信任阈值，则允许其相当于该SDP AH的信任凭据续租。
进一步地，所述步骤E包括：
a)按照如下方式计算SDP IH节点随续租轮数l增长的基础函数
Figure BDA00035671584500000314
Figure BDA00035671584500000315
b)从第1轮续租开始，为SDP IH信任值引入随入网时间t增长的衰减因子p，仅作用于上一轮信任续租时的历史信任，若临时访问凭据有效期为k，则设置信任衰减函数△(l)＝e-pt＝e-pkl；
c)设置信任惩罚函数
Figure BDA00035671584500000316
其中m为不良操作数；
d)对
Figure BDA00035671584500000317
增加衰减函数和惩罚函数，修正如下：/>
Figure BDA0003567158450000041
满足/>
Figure BDA0003567158450000042
若SDP IH节点恶意行为过多导致信任降级后，阻止该用户后续申请身份验证；同时，在网络中清除其导入的恶意数据包。
本发明另一方面提出一种面向网络终端设备的信任估值装置，包括：
第一判断模块，用于当满足下式时，认为发生了DoS攻击，此时不对SDP IH授予信任：
Figure BDA0003567158450000043
其中
Figure BDA0003567158450000044
表示相邻段评估间隔的内域入口节点对该终端设备测算的出向转发流量速率比，/>
Figure BDA0003567158450000045
表示第t段评估间隔内域入口节点对该终端设备测算的出向转发流量速率，/>
Figure BDA0003567158450000046
表示第t+1段评估间隔内域入口节点对该终端设备测算的出向转发流量速率，t表示评估间隔索引号，T表示评估区间，min(Server|SDPC)表示服务性能最低的服务资源Server及SDP控制器的带宽，max(εt)表示相邻段评估间隔的最大转发流量速率比比值，|max(εi)-min(εi)|>μ，min(εi)表示相邻段评估间隔的最小转发流量速率比比值，
Figure BDA0003567158450000047
表示包速率平稳系数，ε＝{ε1,ε2,ε3,...εt-1}表示相邻段评估间隔的内域入口节点对该终端设备测算的出向转发流量速率比序列；
计算模块，用于当n不为0时，按照下式计算SDP IH的忠诚转发比序列：
Figure BDA0003567158450000048
Figure BDA0003567158450000049
其中n表示交互报文数；f1表示第j段评估间隔内该节点应转发的报文数；f2表示第j段评估间隔内该节点实际转发的报文数；F0为SDP IH的默认忠诚转发比，即与SDP AH无交互时的初始报文忠诚转发比；δ(n)为交互函数；
当n为0时，
Figure BDA0003567158450000051
第二判断模块，用于基于忠诚转发比序列对SDP IH是否存在开关攻击进行判断：将满足|max(τl)-min(τl)|>θ的τl视为波动值，将所有的波动值构成的序列视为波动序列W，引入t的变量λt，满足
Figure BDA0003567158450000052
若波动序列W中的波动值均为迁移波动，且λt序列中1与-1交替出现，则判定SDP IH为恶意节点，不对其授予信任；其中/>
Figure BDA0003567158450000053
表示相邻段评估间隔的忠诚转发比比值，/>
Figure BDA0003567158450000054
表示第l段评估间隔内域入口节点对该终端设备测算的忠诚转发比，/>
Figure BDA0003567158450000055
表示第l+1段评估间隔内域入口节点对该终端设备测算的忠诚转发比；max(τl)表示相邻段评估间隔的最大忠诚转发比比值；min(τl)表示相邻评价段的最小忠诚转发比比值；/>
Figure BDA0003567158450000056
表示忠诚转发比平稳系数，τ＝{τ1,τ2,τ3,...τt-1}表示相邻段评估间隔的忠诚转发比比值序列；
信任评估模块，用于基于第t段评估间隔对应的SDP IH忠诚转发比序列，对
Figure BDA0003567158450000057
进行预测，并将/>
Figure BDA0003567158450000058
视为SDP AH当前基于SDP IH历史表现对其评估的信任值。
进一步地，所述信任评估模块中，按照如下方式对
Figure BDA0003567158450000059
进行预测：
基于第t段评估间隔对应的SDP IH忠诚转发比序列F，采用SCGM(1,1)加权马尔科夫模型，根据距
Figure BDA00035671584500000510
最近1段评估间隔内/>
Figure BDA00035671584500000511
是否为偶然波动对/>
Figure BDA00035671584500000512
进行预测，若/>
Figure BDA00035671584500000513
为偶然波动，利用SCGM(1,1)加权马尔科夫预测模型直接预测，即/>
Figure BDA00035671584500000514
若
Figure BDA00035671584500000515
为非波动值或为迁移波动，结合/>
Figure BDA00035671584500000516
和上述预测模型预测/>
Figure BDA00035671584500000517
即
Figure BDA00035671584500000518
τ'表示去除波动值的τ序列；并将/>
Figure BDA00035671584500000519
视为SDP AH当前基于SDP IH历史表现对其评估的信任值。
进一步地，还包括：
信任凭据续租模块，用于若SDP IH访问凭据到期时，其实时信任高于SDP AH的信任阈值，则允许其相当于该SDP AH的信任凭据续租。
进一步地，所述信任凭据续租模块具体用于：
a)按照如下方式计算SDP IH节点随续租轮数l增长的基础函数
Figure BDA0003567158450000061
Figure BDA0003567158450000062
b)从第1轮续租开始，为SDP IH信任值引入随入网时间t增长的衰减因子p，仅作用于上一轮信任续租时的历史信任，若临时访问凭据有效期为k，则设置信任衰减函数△(l)＝e-pt＝e-pkl；
c)设置信任惩罚函数
Figure BDA0003567158450000063
其中m为不良操作数；
d)对
Figure BDA0003567158450000064
增加衰减函数和惩罚函数，修正如下：/>
Figure BDA0003567158450000065
满足/>
Figure BDA0003567158450000066
若SDP IH节点恶意行为过多导致信任降级后，阻止该用户后续申请身份验证；同时，在网络中清除其导入的恶意数据包。
与现有技术相比，本发明具有的有益效果：
1)对网络终端设备提出了1种针对实时信任和信任续期的估值方法及装置，可支持网络基于终端设备历史行为对其实施基于信任的安全管控。
2)提出了两种新型攻击样式、3种终端设备可信指标和两种终端设备转发比序列波动样式，可应用于多种威胁场景。
3)提出对信任实施基于续租轮次的定期增长机制、基于入网时长的自然衰减机制和基于不良行为的负反馈惩罚机制，并对三者实现了定量化配比控制，可满足实际场景需求。
附图说明
图1为本发明实施例一种面向网络终端设备的信任估值方法的基本流程图之一；
图2为本发明实施例一种面向网络终端设备的信任估值方法的基本流程图之二；
图3为本发明实施例一种面向网络终端设备的信任估值装置的结构示意图之一；
图4为本发明实施例一种面向网络终端设备的信任估值装置的结构示意图之二。
具体实施方式
下面结合附图和具体的实施例对本发明做进一步的解释说明：
本发明结合网络终端设备历史行为对其信任进行估值计算，并对其进行基于信任的安全管控，因此，将该节点从接入域到评估时刻的通信时段视为评估区间T，将其划分为t段评估间隔，认为正常设备节点有如下特征：倾向于忠诚、即大概率(概率不小于0.5)地正常转发数据；其面向域内交换设备节点的入向流量序列平稳，不得突发增长至域内服务资源承受阈值以上。
首先，为全面考量信任，给出若干攻击样式定义。
样式1、拒绝服务(Dos)攻击：恶意终端设备节点向域内交换设备及服务终端设备节点注入大量攻击流量，使其服务降级或停止服务。
样式2、开关攻击：恶意节点时而采取良性行为、时而采取恶意行为，以迷惑安全检查。
样式3、未知攻击：模式未知、现有验证规则无法匹配识别的攻击。
其次，为衡量网络终端设备节点行为恶意性，引入以下3项指标用于描述其转发行为特征、行为稳定特征和流量速率特征。
指标1、忠诚转发比：节点实际转发的报文数在应转发报文总数中的占比，即：若在某段评估间隔内该节点应转发的报文数为f1，实际转发的报文数为f2，则其在该段评估间隔内的忠诚转发比记为
Figure BDA0003567158450000071
指标2、转发比平稳系数：节点忠诚转发比序列的平稳度，即：若t段评估间隔内域入口节点对该终端设备测算的转发比序列
Figure BDA0003567158450000081
则根据灰色预测模型，定义比值序列/>
Figure BDA0003567158450000082
则转发比平稳系数/>
Figure BDA0003567158450000083
指标3、包速率平稳系数：节点向SR网络发送流量速率序列的平稳度，即：若t段评估间隔内域入口节点对该终端设备测算的出向转发流量速率序列为VAH,IH，则根据灰色预测模型，定义比值序列ε＝{ε1,ε2,ε3,...εt-1},
Figure BDA0003567158450000084
则包速率平稳系数/>
Figure BDA0003567158450000085
最后，基于忠诚转发比序列F对是否存在开关攻击进行判断，对波动进行分类定义。
波动1、偶然波动：偶然产生的波动，产生后序列数值分布将迅速回复正常。
波动2、迁移波动：因特定因素产生的波动，产生后将导致序列数值分布发生整体迁移。
具体地，如图1所示，一种面向网络终端设备的信任估值方法基本流程步骤如下：
步骤A：DoS攻击识别。根据灰色预测模型，将满足|max(εi)-min(εi)|>μ的εi视为波动值。为区分正常的大流量数据传输和恶意的拒绝服务攻击，在此设服务性能最低(以带宽衡量)的服务资源Server及SDP(软件定义边界)控制器的带宽为min(Server|SDPC)，一旦满足
Figure BDA0003567158450000086
认为发生了DoS攻击，此时不对SDP IH(SDP连接发起主机)授予信任。
步骤B：计算忠诚转发比序列。若在评估间隔T内节点间交互报文数过少、对SDP IH的忠诚转发比计算将产生较大误差，为此引入交互函数δ(n)，在函数设计上，对随交互报文数n增大而单调递增、渐趋于
Figure BDA0003567158450000087
的arctan(n)优化为/>
Figure BDA0003567158450000091
使其随n递增而渐趋于1，可用于调节/>
Figure BDA0003567158450000092
经δ(n)调节，在n不为0时，/>
Figure BDA0003567158450000093
其中，F0为SDP IH的默认转发比，即与SDP AH(SDP连接接受主机)无交互时的初始报文转发比，当n为0时，/>
Figure BDA0003567158450000094
步骤C：开关攻击识别。考虑到恶意节点可能采用开关攻击对基于SDP IH历史行为的预测进行误导，基于F序列对是否存在开关攻击进行判断，若存在开关攻击，F序列将随每次波动而产生多次整体迁移。将满足|max(τl)-min(τl)|>θ的τl视为波动值，将所有的波动值构成的序列视为波动序列W，将去除波动值的τ序列记为τ'。又为衡量波动为序列带来的增量性，引入t的变量λt，满足
Figure BDA0003567158450000095
若波动序列W中的波动值均为迁移波动，且λt序列中1与-1交替出现，则SDP IH很有可能实施了开关攻击，此时判定其为恶意节点，不对其授予信任。
步骤D：信任实时评估。基于t段评估间隔对应的SDP IH忠诚转发比序列F，对
Figure BDA0003567158450000096
进行预测，并将/>
Figure BDA0003567158450000097
视为SDP AH当前基于SDP IH历史表现对其评估的信任值，即/>
Figure BDA0003567158450000098
预测时，具体采用SCGM(1,1)加权马尔科夫模型，此时根据距/>
Figure BDA0003567158450000099
最近1段评估间隔内
Figure BDA00035671584500000910
是否为偶然波动，对/>
Figure BDA00035671584500000911
进行计算。进一步地，步骤D中：
a)若
Figure BDA00035671584500000912
为偶然波动，此时/>
Figure BDA00035671584500000913
与/>
Figure BDA00035671584500000914
区别较大，但与序列中非波动值接近，此时利用SCGM(1,1)加权马尔科夫预测模型直接预测，即/>
Figure BDA00035671584500000915
b)若
Figure BDA00035671584500000916
为非波动值或为迁移波动，此时/>
Figure BDA00035671584500000917
接近/>
Figure BDA00035671584500000918
结合/>
Figure BDA00035671584500000919
和上述预测模型预测/>
Figure BDA00035671584500000920
即/>
Figure BDA00035671584500000921
进一步地，如图2所示，该方法还包括：
步骤E：信任分期续租。若SDP IH访问凭据到期时，其实时信任高于某SDP AH的信任阈值，则允许其相当于该SDP AH的信任凭据续租。进一步地，步骤E中：
a)计算节点随续租轮数l增长的基础函数
Figure BDA0003567158450000101
为使其信任随轮数l而增长，且每轮续租带来的信任增益递减、续租带来的信任增益不大于1/2，总信任值不大于1，令
Figure BDA0003567158450000102
满足/>
Figure BDA0003567158450000103
b)计算衰减因子。为防止上述指标未能检测到的未知攻击，不允许SDP IH永久续租，因此从第1轮续租开始，为SDP IH信任值引入随入网时间t增长的衰减因子p，仅作用于上一轮信任续租时的历史信任，若临时访问凭据有效期为k，则设置信任衰减函数△(l)＝e-pt＝e-pkl。
c)计算惩罚因子。对SDP IH使用错误访问凭据登录等指标1～4未衡量的不良操作进行惩罚，将负反馈累积在其信任值上，为确保首次负反馈较低(由于信任度最大为1，在此设置首次负反馈小于0.1)、随负反馈增多而逐渐增大，基于函数y1和初值要求进行修正，设置信任惩罚函数
Figure BDA0003567158450000104
其中不良操作数为m。
d)对
Figure BDA0003567158450000105
增加衰减因子和惩罚因子，修正如/>
Figure BDA0003567158450000106
满足/>
Figure BDA0003567158450000107
若某终端设备节点恶意行为过多导致信任降级后，阻止该用户后续申请身份验证；同时，在网络中清除其导入的环路包、探测包等恶意数据包。
具体地，推导过程如下：
Figure BDA0003567158450000108
在上述实施例的基础上，如图3所示，本发明还提出一种面向网络终端设备的信任估值装置，包括：
第一判断模块，用于当满足下式时，认为发生了DoS攻击，此时不对SDP IH授予信任：
Figure BDA0003567158450000111
其中
Figure BDA0003567158450000112
表示相邻段评估间隔的内域入口节点对该终端设备测算的出向转发流量速率比，/>
Figure BDA0003567158450000113
表示第t段评估间隔内域入口节点对该终端设备测算的出向转发流量速率，/>
Figure BDA0003567158450000114
表示第t+1段评估间隔内域入口节点对该终端设备测算的出向转发流量速率，t表示评估间隔索引号，T表示评估区间，min(Server|SDPC)表示服务性能最低的服务资源Server及SDP控制器的带宽，max(εt)表示相邻段评估间隔的最大转发流量速率比比值，|max(εi)-min(εi)|>μ，min(εi)表示相邻段评估间隔的最小转发流量速率比比值，
Figure BDA0003567158450000115
表示包速率平稳系数，ε＝{ε1,ε2,ε3,...εt-1}表示相邻段评估间隔的内域入口节点对该终端设备测算的出向转发流量速率比序列；
计算模块，用于当n不为0时，按照下式计算SDP IH的忠诚转发比序列：
Figure BDA0003567158450000116
Figure BDA0003567158450000117
其中n表示交互报文数；f1表示第j段评估间隔内该节点应转发的报文数；f2表示第j段评估间隔内该节点实际转发的报文数；F0为SDP IH的默认忠诚转发比，即与SDP AH无交互时的初始报文忠诚转发比；δ(n)为交互函数；
当n为0时，
Figure BDA0003567158450000118
第二判断模块，用于基于忠诚转发比序列对SDP IH是否存在开关攻击进行判断：将满足|max(τl)-min(τl)|>θ的τl视为波动值，将所有的波动值构成的序列视为波动序列W，引入t的变量λt，满足
Figure BDA0003567158450000121
若波动序列W中的波动值均为迁移波动，且λt序列中1与-1交替出现，则判定SDP IH为恶意节点，不对其授予信任；其中/>
Figure BDA0003567158450000122
表示相邻段评估间隔的忠诚转发比比值，/>
Figure BDA0003567158450000123
表示第l段评估间隔内域入口节点对该终端设备测算的忠诚转发比，/>
Figure BDA0003567158450000124
表示第l+1段评估间隔内域入口节点对该终端设备测算的忠诚转发比；max(τl)表示相邻段评估间隔的最大忠诚转发比比值；min(τl)表示相邻评价段的最小忠诚转发比比值；/>
Figure BDA0003567158450000125
表示忠诚转发比平稳系数，τ＝{τ1,τ2,τ3,...τt-1}表示相邻段评估间隔的忠诚转发比比值序列；
信任评估模块，用于基于第t段评估间隔对应的SDP IH忠诚转发比序列，对
Figure BDA0003567158450000126
进行预测，并将/>
Figure BDA0003567158450000127
视为SDP AH当前基于SDP IH历史表现对其评估的信任值。
进一步地，所述信任评估模块中，按照如下方式对
Figure BDA0003567158450000128
进行预测：
基于第t段评估间隔对应的SDP IH忠诚转发比序列F，采用SCGM(1,1)加权马尔科夫模型，根据距
Figure BDA0003567158450000129
最近1段评估间隔内/>
Figure BDA00035671584500001210
是否为偶然波动对/>
Figure BDA00035671584500001211
进行预测，若/>
Figure BDA00035671584500001212
为偶然波动，利用SCGM(1,1)加权马尔科夫预测模型直接预测，即/>
Figure BDA00035671584500001213
若
Figure BDA00035671584500001214
为非波动值或为迁移波动，结合/>
Figure BDA00035671584500001215
和上述预测模型预测/>
Figure BDA00035671584500001216
即
Figure BDA00035671584500001217
τ'表示去除波动值的τ序列；并将/>
Figure BDA00035671584500001218
视为SDP AH当前基于SDP IH历史表现对其评估的信任值。
进一步地，如图4所示，该装置还包括：
信任凭据续租模块，用于若SDP IH访问凭据到期时，其实时信任高于SDP AH的信任阈值，则允许其相当于该SDP AH的信任凭据续租。
进一步地，所述信任凭据续租模块具体用于：
a)按照如下方式计算SDP IH节点随续租轮数l增长的基础函数
Figure BDA0003567158450000131
Figure BDA0003567158450000132
b)从第1轮续租开始，为SDP IH信任值引入随入网时间t增长的衰减因子p，仅作用于上一轮信任续租时的历史信任，若临时访问凭据有效期为k，则设置信任衰减函数△(l)＝e-pt＝e-pkl；
c)设置信任惩罚函数
Figure BDA0003567158450000133
其中m为不良操作数；
d)对
Figure BDA0003567158450000134
增加衰减函数和惩罚函数，修正如下：/>
Figure BDA0003567158450000135
满足/>
Figure BDA0003567158450000136
若SDP IH节点恶意行为过多导致信任降级后，阻止该用户后续申请身份验证；同时，在网络中清除其导入的恶意数据包。
综上，本发明针对网络终端设备提出了1种针对实时信任和信任续期的估值方法及装置，可支持网络基于终端设备历史行为对其实施基于信任的安全管控。提出了两种新型攻击样式(开关攻击、未知攻击)、3种终端设备可信指标(忠诚转发比、转发比平稳系数、包速率平稳系数)和两种终端设备转发比序列波动样式(偶然波动、迁移波动)，可应用于多种威胁场景。提出对信任实施基于续租轮次的定期增长机制、基于入网时长的自然衰减机制和基于不良行为的负反馈惩罚机制，并对三者实现了定量化配比控制，可满足实际场景需求。
以上所示仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (6)

1.一种面向网络终端设备的信任估值方法，其特征在于，包括：
步骤A：当满足下式时，认为发生了DoS攻击，此时不对SDP IH授予信任：
Figure FDA0004264083260000011
其中
Figure FDA0004264083260000012
表示相邻段评估间隔的内域入口节点对该终端设备测算的出向转发流量速率比，/>
Figure FDA0004264083260000013
表示第t段评估间隔内域入口节点对该终端设备测算的出向转发流量速率，/>
Figure FDA0004264083260000014
表示第t+1段评估间隔内域入口节点对该终端设备测算的出向转发流量速率，t表示评估间隔索引号，T表示评估区间，min(Server|SDPC)表示服务性能最低的服务资源Server及SDP控制器的带宽，max(εt)表示相邻段评估间隔的最大转发流量速率比比值，|max(εi)-min(εi)|>μ，min(εi)表示相邻段评估间隔的最小转发流量速率比比值，
Figure FDA0004264083260000015
表示包速率平稳系数，ε＝{ε1,ε2,ε3,...εt-1}表示相邻段评估间隔的内域入口节点对该终端设备测算的出向转发流量速率比序列；
步骤B：当n不为0时，按照下式计算SDP IH的忠诚转发比序列：
Figure FDA0004264083260000016
Figure FDA0004264083260000017
其中n表示交互报文数；f1表示第j段评估间隔内该节点应转发的报文数；f2表示第j段评估间隔内该节点实际转发的报文数；F0为SDP IH的默认忠诚转发比，即与SDP AH无交互时的初始报文忠诚转发比；δ(n)为交互函数；
当n为0时，
Figure FDA0004264083260000018
步骤C：基于忠诚转发比序列对SDP IH是否存在开关攻击进行判断：将满足|max(τl)-min(τl)|>θ的τl视为波动值，将所有的波动值构成的序列视为波动序列W，引入t的变量λt，满足
Figure FDA0004264083260000021
若波动序列W中的波动值均为迁移波动，且λt序列中1与-1交替出现，则判定SDP IH为恶意节点，不对其授予信任；其中/>
Figure FDA0004264083260000022
表示相邻段评估间隔的忠诚转发比比值，/>
Figure FDA0004264083260000023
表示第l段评估间隔内域入口节点对该终端设备测算的忠诚转发比，/>
Figure FDA0004264083260000024
表示第l+1段评估间隔内域入口节点对该终端设备测算的忠诚转发比；max(τl)表示相邻段评估间隔的最大忠诚转发比比值；min(τl)表示相邻评价段的最小忠诚转发比比值；
Figure FDA0004264083260000025
表示忠诚转发比平稳系数，τ＝{τ1,τ2,τ3,...τt-1}表示相邻段评估间隔的忠诚转发比比值序列；
步骤D：基于第t段评估间隔对应的SDP IH忠诚转发比序列，对
Figure FDA0004264083260000026
进行预测，并将
Figure FDA0004264083260000027
视为SDP AH当前基于SDP IH历史表现对其评估的信任值；
所述步骤D中，按照如下方式对
Figure FDA0004264083260000028
进行预测：
基于第t段评估间隔对应的SDP IH忠诚转发比序列F，采用SCGM(1,1)加权马尔科夫模型，根据距
Figure FDA0004264083260000029
最近1段评估间隔内/>
Figure FDA00042640832600000210
是否为偶然波动对/>
Figure FDA00042640832600000211
进行预测，若/>
Figure FDA00042640832600000212
为偶然波动，利用SCGM(1,1)加权马尔科夫预测模型直接预测，即/>
Figure FDA00042640832600000213
若/>
Figure FDA00042640832600000214
为非波动值或为迁移波动，结合/>
Figure FDA00042640832600000218
和上述预测模型预测/>
Figure FDA00042640832600000215
即/>
Figure FDA00042640832600000216
τ'表示去除波动值的τ序列；并将/>
Figure FDA00042640832600000217
视为SDP AH当前基于SDP IH历史表现对其评估的信任值。
2.根据权利要求1所述的一种面向网络终端设备的信任估值方法，其特征在于，还包括：
步骤E：若SDP IH访问凭据到期时，其实时信任高于SDP AH的信任阈值，则允许其相当于该SDP AH的信任凭据续租。
3.根据权利要求2所述的一种面向网络终端设备的信任估值方法，其特征在于，所述步骤E包括：
a)按照如下方式计算SDP IH节点随续租轮数l增长的基础函数
Figure FDA00042640832600000310
Figure FDA0004264083260000031
b)从第1轮续租开始，为SDP IH信任值引入随入网时间t增长的衰减因子p，仅作用于上一轮信任续租时的历史信任，若临时访问凭据有效期为k，则设置信任衰减函数△(l)＝e-pt＝e-pkl；
c)设置信任惩罚函数
Figure FDA0004264083260000032
其中m为不良操作数；
d)对
Figure FDA0004264083260000039
增加衰减函数和惩罚函数，修正如下：/>
Figure FDA0004264083260000033
满足/>
Figure FDA0004264083260000034
若SDP IH节点恶意行为过多导致信任降级后，阻止该用户后续申请身份验证；同时，在网络中清除其导入的恶意数据包。
4.一种面向网络终端设备的信任估值装置，其特征在于，包括：
第一判断模块，用于当满足下式时，认为发生了DoS攻击，此时不对SDP IH授予信任：
Figure FDA0004264083260000035
其中
Figure FDA0004264083260000036
表示相邻段评估间隔的内域入口节点对该终端设备测算的出向转发流量速率比，/>
Figure FDA0004264083260000037
表示第t段评估间隔内域入口节点对该终端设备测算的出向转发流量速率，/>
Figure FDA0004264083260000038
表示第t+1段评估间隔内域入口节点对该终端设备测算的出向转发流量速率，t表示评估间隔索引号，T表示评估区间，min(Server|SDPC)表示服务性能最低的服务资源Server及SDP控制器的带宽，max(εt)表示相邻段评估间隔的最大转发流量速率比比值，|max(εi)-min(εi)|>μ，min(εi)表示相邻段评估间隔的最小转发流量速率比比值，
Figure FDA0004264083260000041
表示包速率平稳系数，ε＝{ε1,ε2,ε3,...εt-1}表示相邻段评估间隔的内域入口节点对该终端设备测算的出向转发流量速率比序列；
计算模块，用于当n不为0时，按照下式计算SDP IH的忠诚转发比序列：
Figure FDA0004264083260000042
Figure FDA0004264083260000043
其中n表示交互报文数；f1表示第j段评估间隔内该节点应转发的报文数；f2表示第j段评估间隔内该节点实际转发的报文数；F0为SDP IH的默认忠诚转发比，即与SDP AH无交互时的初始报文忠诚转发比；δ(n)为交互函数；
当n为0时，
Figure FDA0004264083260000044
第二判断模块，用于基于忠诚转发比序列对SDP IH是否存在开关攻击进行判断：将满足|max(τl)-min(τl)|>θ的τl视为波动值，将所有的波动值构成的序列视为波动序列W，引入t的变量λt，满足
Figure FDA0004264083260000045
若波动序列W中的波动值均为迁移波动，且λt序列中1与-1交替出现，则判定SDP IH为恶意节点，不对其授予信任；其中/>
Figure FDA0004264083260000046
表示相邻段评估间隔的忠诚转发比比值，/>
Figure FDA0004264083260000047
表示第l段评估间隔内域入口节点对该终端设备测算的忠诚转发比，/>
Figure FDA0004264083260000048
表示第l+1段评估间隔内域入口节点对该终端设备测算的忠诚转发比；max(τl)表示相邻段评估间隔的最大忠诚转发比比值；min(τl)表示相邻评价段的最小忠诚转发比比值；/>
Figure FDA0004264083260000051
表示忠诚转发比平稳系数，τ＝{τ1,τ2,τ3,...τt-1}表示相邻段评估间隔的忠诚转发比比值序列；
信任评估模块，用于基于第t段评估间隔对应的SDP IH忠诚转发比序列，对
Figure FDA0004264083260000052
进行预测，并将/>
Figure FDA0004264083260000053
视为SDP AH当前基于SDP IH历史表现对其评估的信任值；
所述信任评估模块中，按照如下方式对
Figure FDA0004264083260000054
进行预测：
基于第t段评估间隔对应的SDP IH忠诚转发比序列F，采用SCGM(1,1)加权马尔科夫模型，根据距
Figure FDA0004264083260000055
最近1段评估间隔内/>
Figure FDA0004264083260000056
是否为偶然波动对/>
Figure FDA0004264083260000057
进行预测，若/>
Figure FDA0004264083260000058
为偶然波动，利用SCGM(1,1)加权马尔科夫预测模型直接预测，即/>
Figure FDA0004264083260000059
若/>
Figure FDA00042640832600000510
为非波动值或为迁移波动，结合/>
Figure FDA00042640832600000511
和上述预测模型预测/>
Figure FDA00042640832600000512
即/>
Figure FDA00042640832600000513
τ'表示去除波动值的τ序列；并将/>
Figure FDA00042640832600000514
视为SDP AH当前基于SDP IH历史表现对其评估的信任值。
5.根据权利要求4所述的一种面向网络终端设备的信任估值装置，其特征在于，还包括：
信任凭据续租模块，用于若SDP IH访问凭据到期时，其实时信任高于SDP AH的信任阈值，则允许其相当于该SDP AH的信任凭据续租。
6.根据权利要求5所述的一种面向网络终端设备的信任估值装置，其特征在于，所述信任凭据续租模块具体用于：
a)按照如下方式计算SDP IH节点随续租轮数l增长的基础函数
Figure FDA00042640832600000516
Figure FDA00042640832600000515
b)从第1轮续租开始，为SDP IH信任值引入随入网时间t增长的衰减因子p，仅作用于上一轮信任续租时的历史信任，若临时访问凭据有效期为k，则设置信任衰减函数△(l)＝e-pt＝e-pkl；
c)设置信任惩罚函数
Figure FDA0004264083260000061
其中m为不良操作数；
d)对
Figure FDA0004264083260000064
增加衰减函数和惩罚函数，修正如下：/>
Figure FDA0004264083260000062
满足/>
Figure FDA0004264083260000063
若SDP IH节点恶意行为过多导致信任降级后，阻止该用户后续申请身份验证；同时，在网络中清除其导入的恶意数据包。
CN202210309072.9A 2022-03-28 2022-03-28 一种面向网络终端设备的信任估值方法及装置 Active CN114745128B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210309072.9A CN114745128B (zh) 2022-03-28 2022-03-28 一种面向网络终端设备的信任估值方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210309072.9A CN114745128B (zh) 2022-03-28 2022-03-28 一种面向网络终端设备的信任估值方法及装置

Publications (2)

Publication Number Publication Date
CN114745128A CN114745128A (zh) 2022-07-12
CN114745128B true CN114745128B (zh) 2023-07-07

Family

ID=82276767

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210309072.9A Active CN114745128B (zh) 2022-03-28 2022-03-28 一种面向网络终端设备的信任估值方法及装置

Country Status (1)

Country Link
CN (1) CN114745128B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117640223A (zh) * 2023-12-06 2024-03-01 河海大学 电力物联网设备信任度动态评估方法、系统、设备和介质
CN118432956B (zh) * 2024-07-05 2024-09-10 国网浙江省电力有限公司杭州供电公司 一种电力终端综合访问控制方法、系统、设备及存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7933985B2 (en) * 2004-08-13 2011-04-26 Sipera Systems, Inc. System and method for detecting and preventing denial of service attacks in a communications system
CA3043187A1 (en) * 2019-05-14 2020-11-14 Ahmed Refaey Hussein Perimeters oriented virtualized software defined machine learning security
KR20210026710A (ko) * 2019-09-02 2021-03-10 한국과학기술원 공공 IoT용 신뢰-인식 역할-기반 액세스 제어 시스템

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1665238B (zh) * 2004-03-04 2010-04-21 华为技术有限公司 下一代网络的组网系统
MY184704A (en) * 2014-09-26 2021-04-18 Mimos Berhad A system and method for authenticating a user based on user behaviour and environmental factors
CA3093869C (en) * 2018-03-16 2023-09-19 Wire Swiss Gmbh Trust extension in a secure communication framework
US11734458B2 (en) * 2019-02-26 2023-08-22 Intel Corporation Extensible layered trusted computing base for computing devices
CN110830467A (zh) * 2019-11-04 2020-02-21 中国人民解放军战略支援部队信息工程大学 基于模糊预测的网络可疑资产识别方法
CN114039750B (zh) * 2021-10-26 2023-11-10 中电鸿信信息科技有限公司 一种保护sdp控制器的实现方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7933985B2 (en) * 2004-08-13 2011-04-26 Sipera Systems, Inc. System and method for detecting and preventing denial of service attacks in a communications system
CA3043187A1 (en) * 2019-05-14 2020-11-14 Ahmed Refaey Hussein Perimeters oriented virtualized software defined machine learning security
KR20210026710A (ko) * 2019-09-02 2021-03-10 한국과학기술원 공공 IoT용 신뢰-인식 역할-기반 액세스 제어 시스템

Also Published As

Publication number Publication date
CN114745128A (zh) 2022-07-12

Similar Documents

Publication Publication Date Title
CN114745128B (zh) 一种面向网络终端设备的信任估值方法及装置
Özçelik et al. Deceiving entropy based DoS detection
CN103152345A (zh) 一种攻防博弈的网络安全最优攻防决策方法
CN107317801A (zh) 非完全可信用户协作无匿名区域的位置隐私保护方法
Benarfa et al. ChoKIFA+: an early detection and mitigation approach against interest flooding attacks in NDN
CN106850583B (zh) 一种基于效用的分布式协作频谱感知攻击防御方法
Zhi et al. A reputation value-based early detection mechanism against the consumer-provider collusive attack in information-centric iot
Hu et al. I-hmm-based multidimensional network security risk assessment
CN116170806B (zh) 一种智能电网lwm2m协议安全访问控制方法及系统
Xie et al. Detecting latent attack behavior from aggregated Web traffic
Zhang et al. Optimal energy allocation based on SINR under DoS attack
Yuan et al. On MMD-based secure fusion strategy for robust cooperative spectrum sensing
Chang et al. Sybil defenses in mobile social networks
Heydari et al. Known unknowns: Indeterminacy in authentication in IoT
Ning et al. Defense against advanced persistent threats in smart grids: A reinforcement learning approach
Zhang et al. ADMBIFA: accurate detection and mitigation of blended interest flooding attacks in NDNs
Stachtiari et al. Probabilistic model checking of CAPTCHA admission control for DoS resistant anti-SPIT protection
Umeda et al. Interest flow control method based on user reputation and content name prefixes in named data networking
Bai et al. Reputation-based Beta reputation system against SSDF attack in cognitive radio networks
CN102833107A (zh) 安全准入方法及系统
Sivaraman et al. A defense mechanism against timing attacks on user privacy in ICN
CN103618730A (zh) 一种基于积分策略的网站ddos攻击防御系统及方法
Xie et al. Attack resilience of cache replacement policies: A study based on TTL approximation
CN101969405A (zh) 一种p2p环境下基于可信度的安全路由方法
CN113032782B (zh) 一种病毒传播抑制方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CP03 Change of name, title or address
CP03 Change of name, title or address

Address after: 450000 Science Avenue 62, Zhengzhou High-tech Zone, Henan Province

Patentee after: Information Engineering University of the Chinese People's Liberation Army Cyberspace Force

Country or region after: China

Patentee after: Purple Mountain Laboratories

Address before: No. 62 Science Avenue, High tech Zone, Zhengzhou City, Henan Province

Patentee before: Information Engineering University of Strategic Support Force,PLA

Country or region before: China

Patentee before: Purple Mountain Laboratories

CP03 Change of name, title or address
CP03 Change of name, title or address

Address after: No. 62 Science Avenue, High tech Zone, Zhengzhou City, Henan Province

Patentee after: Information Engineering University of Strategic Support Force,PLA

Country or region after: China

Patentee after: Zijinshan Laboratory

Address before: No. 62 Science Avenue, High tech Zone, Zhengzhou City, Henan Province

Patentee before: Information Engineering University of Strategic Support Force,PLA

Country or region before: China

Patentee before: Purple Mountain Laboratories