工业互联网中抗APT窃密的主动式零信任模型.pdf

收稿日期:网络出版时间:基金项目:国家自然科学基金();陕西省自然科学基础研究计划(J C Y B )作者简介:冯景瑜(),男,副教授,E m a i l:f e n g j y x u p t e d u c n李嘉伦(),男,西安邮电大学硕士研究生,E m a i l:l i j i a l u n c o m张宝军(),男,国网甘肃省电力有限公司陇南供电公司指挥中心主任,E m a i l:z h a n g b j g s s g c c c o m c n韩刚(),男,副教授,E m a i l:h a n g a n g c o m张文波(),男,讲师,E m a i l:z h a n g w e n b o x u p t e d u c n网络出版地址:h t t p s:/k n s c n k i n e t/k c m s/d e t a i l/T N h t m ld o i 敭 j 敭i s s n 敭 敭 敭 工业互联网中抗A P T窃密的主动式零信任模型冯 景 瑜,李 嘉 伦,张 宝 军,韩刚,张 文 波(西安邮电大学 无线网络安全技术国家工程实验室,陕西 西安 ;国网甘肃省电力有限公司陇南供电公司指挥中心,甘肃 陇南 )摘要:新一代信息技术与工业系统的全方位深度融合,诱发高级持续性威胁(A P T)窃密成为工业互联网环境下泄露敏感数据的杀手级内部威胁.工业互联网环境下的关键基础设施产生和维护着大量具有“所有权”特征的敏感数据,一旦泄露会给企业带来不可估量的经济损失.针对当前工业互联网中敏感数据保护的滞后性,提出了一种抗A P T窃密的主动式零信任模型.引入长短期记忆神经网络,利用其在处理时序性数据的优势构建特征提取器,从行为数据中训练得到抽象序列特征,提取出规则化信任因素.分别对工业互联网终端进行区块生成,设计前向按序冗余区块消除算法,演化出伸缩式区块链(Z T E_c h a i n),实现防篡改和低负载的信任因素安全存储.为及时反映失陷终端的行为变化,引入卷积神经网络预测突变因子,用于动态调节信任值,给出快速识别失陷终端的认证算法,从而主动阻断失陷终端的A P T窃密威胁.实验结果表明,提出的模型具有较好的失陷终端识别效果,有助于抗击工业互联网环境下失陷终端产生的A P T窃密威胁.关键词:工业互联网;零信任;A P T窃密;动态信任评估中图分类号:T P 文献标识码:A文章编号:()A c t i v e z e r o t r u s tm o d e l a g a i n s tA P Tt h e f t i nt h e i n d u s t r i a l i n t e r n e tF ENGJ i n g y u L IJ i a l u n ZHANGB a o j u n HANG a n g ZHANG W e n b o 敭 N a t i o n a lE n g i n e e r i n gL a b o r a t o r yf o rW i r e l e s sS e c u r i t y X i a nU n i v e r s i t yo fP o s t sa n dT e l e c o mm u n i c a t i o n s X i a n C h i n a 敭 C o mm a n dC e n t e ro fL o n g n a nP o w e rS u p p l yC o m p a n y S t a t eG r i dG a n s uE l e c t r i cP o w e rC o 敭 L t d 敭 L o n g n a n C h i n a A b s t r a c t T h ec o m p r e h e n s i v ea n dd e e pi n t e g r a t i o no ft h en e wg e n e r a t i o no f i n f o r m a t i o nt e c h n o l o g ya n di n d u s t r i a l s y s t e m s t h a t i n d u c e s t h ea d v a n c e dp e r s i s t e n t t h r e a t A P T t h e f th a sb e c o m eak i l l e r l e v e l i n s i d e rt h r e a t t h a tl e a k ss e n s i t i v ed a t ai nt h ei n d u s t r i a li n t e r n e te n v i r o n m e n t 敭 T h ec r i t i c a li n f r a s t r u c t u r ei nt h ei n d u s t r i a l i n t e r n e t e n v i r o n m e n tg e n e r a t e sa n dm a i n t a i n sal a r g en u m b e ro fs e n s i t i v ed a t aw i t h o w n e r s h i p c h a r a c t e r i s t i c s w h i c hw i l l b r i n g i mm e a s u r a b l e e c o n o m i c l o s s e s t oe n t e r p r i s e so n c e t h e ya r e l e a k e d 敭 A i m i n ga tt h e l a go f s e n s i t i v ed a t ap r o t e c t i o n i nt h ec u r r e n t i n d u s t r i a l i n t e r n e t a na c t i v ez e r ot r u s tm o d e l a g a i n s tA P Tt h e f t i sp r o p o s e d 敭 O u rm o d e l i n t r o d u c e st h e l o n gs h o r t t e r m m e m o r yn e u r a ln e t w o r kt oc o n s t r u c taf e a t u r ee x t r a c t o rb a s e do ni t sa d v a n t a g e si np r o c e s s i n gt e m p o r a ld a t a t ot r a i na b s t r a c ts e q u e n c ef e a t u r e sf r o m 年月第 卷第期西安电子科技大学学报J OURNA LO FX I D I ANUN I V ER S I TYA u g V o l N o h t t p:/j o u r n a l x i d i a n e d u c n/x d x bb e h a v i o r a l d a t a a n dt oe x t r a c t r e g u l a r t r u s t f a c t o r s 敭 T h eb l o c kc r e a t i o ni sc a r r i e do u t f o r i n d u s t r i a l i n t e r n e tt e r m i n a l sr e s p e c t i v e l y 敭 T h e f o r w a r ds e q u e n t i a l r e d u n d a n tb l o c ke l i m i n a t i o na l g o r i t h mi sd e s i g n e dt oe v o l v eas c a l a b l eb l o c k c h a i nc a l l e dt h eZ T E_c h a i ns oa st oa c h i e v et a m p e r p r o o fa n dl o w l o a dt r u s tf a c t o rs e c u r i t ys t o r a g e 敭 T or e s p o n dt ot h eb e h a v i o rc h a n g e so fc o m p r o m i s e dt e r m i n a l si nt i m e t h ec o n v o l u t i o n a ln e u r a ln e t w o r ki s i n t r o d u c e dt op r e d i c t t h em u t a t i o nf a c t o r w h i c h i su s e dt od y n a m i c a l l ya d j u s t t h et r u s tv a l u e o nt h eb a s i so fw h i c ha na u t h e n t i c a t i o na l g o r i t h mi sg i v e nt oq u i c k l y i d e n t i f y t h e c o m p r o m i s e dt e r m i n a l sa n dt oa c t i v e l yb l o c kt h e i rA P Tt h e f t t h r e a t 敭 E x p e r i m e n t a l r e s u l t s s h o wt h a t t h em o d e l p r o p o s e d i nt h i sp a p e rh a sag o o de f f e c to fi d e n t i f y i n gc o m p r o m i s e dt e r m i n a l s w h i c hi sh e l p f u li nc o m b a t i n gt h e A P Tt h e f tt h r e a tg e n e r a t e db yc o m p r o m i s e dt e r m i n a l s i nt h e i n d u s t r i a l i n t e r n e t e n v i r o n m e n t 敭K e yW o r d s i n d u s t r i a l i n t e r n e t z e r ot r u s t A P Tt h e f t d y n a m i c t r u s t e v a l u a t i o n 引言工业互联网作为新一代信息技术与工业系统全方位深度融合的产业和应用生态,是“中国制造 ”战略的重要组成部分,也是制造业未来的发展趋势.与传统互联网相比,工业互联网的特征更加复杂,涉及设备种类繁多,网点更加密集,协议相对脆弱,这就导致了其安全风险也就更多.与此同时,工业互联网环境下的关键基础设施产生和维护着大量具有所有权特征的敏感数据,如身份隐私信息、控制指令以及工业生产数据等,这些敏感数据一旦泄露会给企业带来不可估量的经济损失.特别地,随着高级持续性威胁(A d v a n c e dP e r s i s t e n tT h r e a t,A P T)攻击手段的日趋成熟,攻击者可以在工业互联网内部以失陷终端为跳板窃取敏感数据.这种内部威胁的存在,不但严重影响工业互联网的运行,还给工业互联网敏感数据保护带来严峻挑战.A P T攻击以刺探、收集和监控情报为目的,具有极强的组织性、隐蔽性和威胁性.然而,现有A P T攻击检测方案 侧重于入侵阶段和潜伏阶段的异常发现,对于内部失陷终端识别存在一定的被动性和滞后性,导致频繁出现A P T窃密成功事件.遵循“永不信任,始终验证”的理念,零信任要求对网络中所有终端、设备、系统和人员等主体都进行认证和授权.目前,零信任已成为对抗内部失陷威胁的新范式,受到了国家层面、产业界和学术界的广泛关注,是破解敏感数据保护与A P T窃密难题的新思路.笔者深入分析由外及内的A P T攻击行为特征,发现了抗击A P T窃密威胁的关键在于快速识别失陷终端,主动阻断失陷终端的横移机会和数据访问请求.由此,提出一种面向工业互联网的主动式零信任安全模型,主要创新之处如下:()针对零信任客户端(Z e r oT r u s tC l i e n t,Z T C)分布式实时收集的终端行为数据粗糙、混乱、无序等问题,利用长短期记忆神经网络(L o n gS h o r t T e r m M e m o r y,L S TM)构建特征提取器,从终端输入动作序列中训练得到抽象序列特征,进而提取出规则化信任因素.()为避免规则化信任因素更新导致的冗余区块问题,实现防篡改和低负载的信任因素安全存储,改进比特币的区块结构,结合区块链的时序特征设计前向按序冗余区块消除算法,演化出可伸缩的零信任引擎区块链(Z e r oT r u s tE n g i n eb l o c k c h a i n,Z T E_c h a i n).()为及时反映失陷终端的异常行为,主动阻断失陷终端潜在的A P T窃密威胁,引入卷积神经网络(C o n v o l u t i o n a lN e u r a lN e t w o r k,C NN)对输入的规则化信任因素进行建模分析,预测突变因子,设计出一种动态信任评估方案.相关工作在意识到A P T攻击造成的敏感信息泄露危害性时,国内外学者已经开展了一些A P T攻击检测方面的第期冯景瑜等:工业互联网中抗A P T窃密的主动式零信任模型h t t p:/j o u r n a l x i d i a n e d u c n/x d x b研究.现有针对工业互联网环境下的A P T攻击检测方法研究,大多基于异常流量和恶意代码来识别A P T攻击,研究人员从大量网络流量中进行数据挖掘,构建A P T特征库,采用特征匹配的方法进行检测.例如,文献 提出了一种检测未知A P T攻击的隐藏命令与控制(C o mm a n da n dC o n t r o l,C&C)通道方案,该方案通过深度学习技术从已知的多种攻击流中挖掘共享流量特征,通过合适的分类器来检测C&C流量,以此识别未知恶意网络流量.文献 提出了一种基于网络流量分析、结合深度学习模型的A P T攻击检测方法,该方法通过构建单个深度学习网络并将其链接到组合深度学习网络中,以分析和检测网络流量中的A P T攻击迹象.文献 提出了一种基于自动编码器的深度学习A P T攻击检测方法,该方法应用自动编码器神经网络对网络流量数据进行无监督的信息特征学习,通过S o f t m a x回归算法对A P T攻击进行检测和分类.然而,上述方案主要针对A P T攻击的入侵阶段和潜伏阶段进行异常检测,较少考虑对A P T攻击窃密阶段的主动发现.大量的A P T窃密事件表明,网络内部的失陷是不可避免的,A P T攻击由外及内操控失陷终端实施的敏感数据窃取行为具有较好的成功几率.因此,急需内部防范A P T窃密威胁的新思路.A P T攻击使得以往基于边界信任的传统网络安全模型难以防范失陷终端造成的敏感数据泄露,贯彻去边界化的零信任理念逐渐进入国内外学者视野,成为对抗A P T窃密攻击的新思路.目前,美国国家标准技术研究院(N I S T)发布的Z e r oT r u s tN e t w o r kA r c h i t e c t u r e(零信任网络加构),被认为是零信任安全架构的标准,该零信任安全架构如图所示.图N I S T提出的零信任安全架构通过前期的调研和分析,进一步明确和揭示了零信任安全架构中各组件之间的内在联系和运行机制,主要体现在:终端发出的交互或访问请求,会被零信任客户端生成一个认证需求上报给策略执行点(P o l i c yE n f o r c e m e n tP o i n t,P E P);P E P首先拦截该请求,转发认证需求给策略引擎(P o l i c yE n g i n e,P E);P E调用信任因素,计算信任值,对请求终端进行认证,并将认证结果分发给策略管理器(P o l i c yA d m i n i s t r a t o r,P A)和P E P;对于认证通过的终端,P A生成授权凭据交给P E P;验证授权结果有效后,P E P释放请求拦截,通过访问控制策略确保敏感数据的机密性获取.文献 基于 G的智能医疗平台提出了一种利用零信任架构构建可信的动态访问控制模型,实现实时网络安全态势感知、持续身份认证、访问行为分析和细粒度访问控制.文献 提出了一种以持续身份认证和动态访问控制为核心的电力物联网零信任典型业务场景的应用方案,设计了基于零信任的电力互联网安全防护架构.文献 提出了一种基于零信任模型的医疗健康数据漏洞防御系统,经过身份验证的用户和设备才能与网络交互,确保数据传输的安全性.综合国内外研究现状,零信任对终端行为的监控是持续进行的,零信任客户端能够根据终端的行为实时收集信任因素.如何从混乱无序的行为模式中提取规则化的信任因素,并满足信任因素分布式和防篡改的存储需求,是实现零信任的首个关键问题.此外,A P T攻击者控制失陷终端进行窃密活动时,网络访问中的西安电子科技大学学报第 卷h t t p:/j o u r n a l x i d i a n e d u c n/x d x b正常行为会转变为异常行为.如何进行持续性的动态信任评估,做到信任值计算能适应预警主体行为的突然变化是必须攻克的核心问题.对此,面向工业互联网环境,笔者提出了一种抗A P T窃密的主动式零信任模型.相较于已有工作,文中模型通过分布式部署零信任客户端实时收集终端信任因素,缓解中心化收集易出现的单点故障及数据泄露等安全风险,设计更加契合零信任理念的动态信任评估算法.表对比展示了文中模型相对于最新相关研究工作的优势.表与相关研究工作的对比方法零信任引入信任因素收集信任评估检测数据源文献不支持中心化收集不支持A P T流量文献不支持不支持不支持网络流量文献不支持不支持不支持用户行为文献支持中心化收集动态主体行为文献 支持中心化收集静态用户行为文献 支持不支持静态用户行为文中模型支持分布式实时收集动态终端行为 系统架构新一代信息技术与工业系统的全方位深度融合,促使工业互联网划分为了工业信息技术(I n f o r m a t i o nT e c h n o l o g y,I T)区和工业操作运营技术(O p e r a t i o nT e c h o n o g l y,O T)区.暴露于外网的工业I T区终端,极易成为A P T攻击者的目标,进行入侵控制或窃取身份,并在绕过边界网络安全防御系统后,以失陷终端为跳板横移进工业O T区终端或高权限终端,实施内部的A P T窃密威胁.对此,笔者提出了一种工业互联网中抗A P T窃密的主动式零信任模型,并建立在端、管、云系统架构以进行设计实现.如图所示,该架构包括终端层、管控层和云层.()终端层:工业互联网终端(I n d u s t r i a l I n t e r n e tT e r m i n a l,I I T)主要分布于工业I T区和工业O T区.其中,工业I T区包括企业资源计划系统(E n t e r p r i s eR e s o u r c eP l a n n i n g,E R P)、软件配置管理系统(S o f t w a r eC o n f i g u r a t i o nM a n a g e m e n t,S CM)、客户关系管理系统(C u s t o m e rR e l a t i o n s h i pM a n a g e m e n t,C RM)、产品生命周期管理系统(P r o d u c tL i f e c y c l eM a n a g e m e n t,P LM);工业O T区包括可编程逻辑控制器(P r o g r a mm a b l eL o g i cC o n t r o l l e r,P L C)、监视控制与数据采集系统(S u p e r v i s o r yC o n t r o lA n dD a t aA c q u i s i t i o n,S C A D A)、分布式控制系统(D i s t r i b u t e dC o n t r o l S y s t e m,D C S)、现场总线控制系统(F i e l d b u sC o n t r o l S y s t e m,F C S)、人机接口(H u m a nM a c h i n e I n t e r f a c e,HM I)等.零信任假设失陷是不可避免的,为主动发现失陷终端潜在的A P T窃密威胁,需要在工业互联网中的每个联网终端上装载零信任客户端(Z T C),用于分布式实时收集I I T行为数据,传输给管控层的零信任引擎(Z T E).()管控层:由执行P E、P A和P E P等零信任组件功能的Z T E所构成.主要负责提取规则化的信任因素,进行持续性动态信任评估来主动检测失陷终端,通过快速失陷识别认证快速阻断失陷终端从工业I T区到工业O T区的横移,并为云层的数据访问和资源服务提供认证依据.鉴于工业互联网的终端种类和终端数量,大量又频繁的始终认证,极易过载由单台Z T E服务器构成的零信任组件,应为P E、P A和P E P等零信任组件部署备用Z T E服务器.此外,充分利用闲置状态的备用Z T E服务器,形成存储引擎集合S E,S Ei,S Em,共同维护零信任引擎区块链(Z T E_c h a i n),实现对信任因素的安全存储.()云层:经过管控层的快速失陷识别认证后,工业数据中心(I n d u s t r i a lD a t aC e n t e r,I D C)仅需验证和发放授权凭证,并依据请求类型提供相应的数据访问和资源服务,在主动防范失陷终端A P T窃密威胁的前提下,有助于提高云层的认证效率.第期冯景瑜等:工业互联网中抗A P T窃密的主动式零信任模型h t t p:/j o u r n a l x i d i a n e d u c n/x d x b图主动式零信任模型的系统架构 主动式零信任模型设计深入分析当前工业互联网场景下的敏感数据保护需求,为主动发现失陷终端和及时阻断其A P T窃密威胁,构建出一种主动式零信任模型,如图所示.主动式零信任模型的设计组成包括规则化信任因素提取、伸缩式区块链共享存储以及动态信任评估.规则化信任因素提取位于每个工业互联网终端上的零信任客户端,分布式实时监测终端的联网行为情况,并采集数据发送给P E P零信任组件.定义工业互联网终端集合为I I T,I I Ti,I I Tn,以终端I I Ti为例,Z T Ci表示安装在其上的零信任客户端.然而,Z T Ci实时监控收集的I I Ti行为数据存在着粗糙、混乱、无序等问题,无法直接应用于异常行为的发现和信任评估.P E P需要对行为数据进行规则化提取,获取刻画正常或异常行为的信任因素,存储到区块链,并由P E调用进行动态信任评估.引入了长短期记忆神经网络(L S TM),利用其在处理时序性数据时的优势,构建一个特征提取器,从I I Ti行为数据中训练得到抽象序列特征,进而提取出规则化信任因素.L S TM是一种改进的循环神经网络模型(R e c u r r e n tN e u r a lN e t w o r k,R NN),相较于R NN可以更有效地提取上下文信息.L S TM结构如图所示,输入门i控制记忆单元加入多少新信息,遗忘门f控制记忆单元删除多少旧信息,输出门o控制记忆单元输出多少信息传递到下一层,记忆单元C存储先前信息.集合xi表示经过预处理后的I I Ti行为数据,经过L S TM层的训练,得到新的隐藏状态hi.使用全连接层对隐藏状态进行维度转换和分类,得到规则化信任因素NT Fi,AT Fi,其中NT Fi表示I I Ti中提取到的正常信任因素集合,AT Fi表示提取到的异常信任因素集合.西安电子科技大学学报第 卷h t t p:/j o u r n a l x i d i a n e d u c n/x d x bL S TM计算过程如下所示:ft(WfxtUfht bf),()it(WixtUiht bi),()ot(WoxtUoht bo),()CtftCt it t a n h(WcxtUcht bc),()htot t a n h(Ct),()其中,式()、式()和式()分别代表遗忘门、输入门和输出门在t时刻的计算过程,控制着L S TM隐藏状态的更新;()是l o g i s t i c函数,输出区间为(,);式()结合遗忘门ft和输入门it来更新记忆单元Ct;式()结合输出门ot计算t时刻的输出隐藏状态ht,其维度为Rh;Wf、Wi、Wo、Wc的维度为RHd,d为L S TM的隐藏层单元数,H和h为隐藏层和输入层维度.图主动式零信任模型结构图图L S TM结构图第期冯景瑜等:工业互联网中抗A P T窃密的主动式零信任模型h t t p:/j o u r n a l x i d i a n e d u c n/x d x b 伸缩式区块链共享存储区块链是一种具有去中心化、不可篡改、可溯源、多方维护等特点的分布式数据库,有利于实现信任因素的安全存储.鉴于联盟区块链 的预选共识矿工特点,能够有效消除公有区块链的共识延迟,文中利用备用Z T E服务器形成的存储引擎集合S E,S Ei,S Em 充当区块链矿工节点,实现了Z T E_c h a i n上的共享存储信任因素.结合规则化的信任因素特征,分别对工业互联网终端进行区块生成,改进比特币的区块结构.在继承比特币区块原有参数 前一区块哈希,区块I D,时间戳,M e r k l e根 的基础上,新增I I Ti,sk,ski,ei 到Z T E_c h a i n区块头.为便于快速统计Z T E_c h a i n上的区块数量,使用区块序列号标识链上关于所有工业互联网终端的区块生成数.其中,sk表示在Z T E_c h a i n上针对当前新生成区块BI Dk的序列号;ski为I I Ti针对当前新生成区块BI Dk的序列号.若Z T E_c h a i n上的当前区块数为 ,则sk .为衡量I I Ti的冗余区块情况,设ei为其区块冗余次数.将I I Ti的信任因素以M e r k l e树的形式保存在区块体中.改进的Z T E_c h a i n区块结构如图所示.图规则化信任因素的区块存储结构由于Z T Ci的实时监测,不断收集I I Ti的行为数据,从I I Ti提取到大量规则化信任因素,新生成区块中存储的信任因素将会覆盖旧区块中的原有数据,造成海量不必要的冗余区块持续生成.对于每个工业互联网终端,冗余区块的持续生成,不仅会加重存储负载,过长的区块链也会造成查询效率过低.深入分析区块链的时序特征和信任因素的区块存储结构,设计算法为每个工业互联网终端前向按序消除冗余区块,演化为伸缩式Z T E_c h a i n.进行区块消除时,即使I I Ti出现多个冗余区块,若第个冗余区块没有位于Z T E_c h a i n顶端,则不能执行消除,否则会破坏区块链的时序特征.一般来说,只有顶端的创始区块为冗余消除后,后续的冗余区块才可以依次消除.分别设置sk,ski,sko 表示Z T E_c h a i n上所有序列号的集合,isk,ski,sko 表示Z T E_c h a i n上关于I I Ti所有区块序列号的集合.区块冗余次数ei(ei)在算法中处于增减波动更新状态,若I I Ti新生成一个区块,则eiei;若I I Ti消除一个冗余区块,则eiei.由于区块上的数据无法修改,更新的ei应在I I Ti的新生成区块中记录.算法:前向按序冗余区块消除.输入:,i,ei,Z T E_c h a i n输出:Z T E_c h a i nf o r I I Tit h e n i fskm i n()&skim i n(i)t h e n i feit h e n 前向按序消除I I Ti的冗余区块西安电子科技大学学报第 卷h t t p:/j o u r n a l x i d i a n e d u c n/x d x b 删除集合中的sk和i中的ski eiei e n d i f e n d i fe n df o r 动态信任评估零信任默认所有主体都是不可信的,汇聚关联各种数据源进行持续信任评估,实现先认证后连接的安全模式.设计动态信任评估方案,关键在于如何使信任值计算能预警主体的非法行为变化.因此,为及时反映失陷终端的行为变化,研究卷积神经网络对输入的终端行为进行建模分析,预测突变因子,利用突变因子动态调节信任值,实现对工业互联网终端的动态信任评估.当某个工业互联网终端发出敏感数据访问请求时,将会触发卷积神经网络对突变因子的持续性预测,确保失陷终端的快速识别.在Z T E_c h a i n上,调取该终端的规则化信任因素,利用滑动窗口将其划分为同规格特征矩阵YY,Y,Y,Yn,并将其作为卷积神经网络的输入层,即YH.Hi表示第i层的特征矩阵,其在卷积层的计算过程表示为Hif(Hi Wibi),()汇聚层跟随在卷积层之后,对特征向量进行降维,且保持特征的尺度不变.Hi在汇聚层的计算过程表示为Hifs u b(Hi),()式()中,Wi表示第i层卷积核的权值向量;运算符“”表示卷积核与第i层特征矩阵进行卷积操作,卷积的输出与第i层的偏移向量bi相加,通过非线性激励函数f(x)得到第i层的特征矩阵.式()中,fs u b()可取最大值函数或取均值函数.依靠全连接层整合具有类别区分性的局部信息,对输出层进行维 度转换,得到归一 化预测结果ri(ri),用于二元分类突变因子Mi.若ri,Mi,则表示终端行为发生异常突变;若ri,Mi,则表示终端行为未发生突变.通过算法实现对突变因子Mi的持续性预测,并利用其调节基本信任值计算,实现对I I Ti的动态信任评估.算法:预测突变因子.输入:Z T E_c h a i n输出:Mi从Z T E_c h a i n上提取NT Fi,AT Fi利用滑动窗口划分NT Fi,AT Fi得到Yf o rYiYt h e n 根据式()进行卷积层计算 根据式()进行汇聚层计算 i fri t h e n Mi e l s e t h e n Mie n d i fe n df o r采用B e t a分布计算工业互联网终端的基本信任值.B e t a分布能较好地与信任分布拟合,其数学期望作为节点信任值可行,是最经典、最广泛使用的信任评估模型之一.B e t a概率密度函数如下所示:B e t a(,)()()()p(p),()第期冯景瑜等:工业互联网中抗A P T窃密的主动式零信任模型h t t p:/j o u r n a l x i d i a n e d u c n/x d x b其中,p表示工业互联网终端行为发生的可能性,p,.在工业互联网中,根据L S TM提取到的规则化信任因素来计算基本信任值.以I I Ti为例,ni为NT Fi集合中的正常行为总次数,ai为AT Fi集合中的异常行为总次数.对于I I Ti的正常信任因素量化,结合B e t a分布的概率期望值赋予ni;对于I I Ti的异常信任因素量化,赋予ai.因此,I I Ti的基本信任值计算如下:BiB e t a(ni,ai).()B e t a分布的概率期望值为E(B e t a(,).()进一步计算基本信任值Bi如下:BiE(B e t a(ni,ai)niniai.()然而,据此计算得到的基本信任值Bi具有静态信任评估性质,无法快速识别工业互联网终端的异常行为变化.信任作为一种主观状态,可随用户交互经验、时间等因素的动态变化而发生变化,利用静态信任进行计算会使推荐结果渐渐偏离现实状态.当A P T攻击者控制失陷终端着手窃密活动时,网络访问中的正常行为会转变为异常行为.由于基本信任值Bi无法快速衰减至门限值以下,这种反应滞后性会给A P T攻击者的窃密行为创造有利条件,便于窃取工业互联网中的敏感数据.为及时反映失陷终端的行为变化,引入时间衰减因子和卷积神经网络计算的突变因子Mi自动调节基本信任值Bi的更新,以实现对工业互联网终端的动态信任评估.信任值基于历史交互记录计算且随时间的增加而衰减,计算信任值需要考虑信任的时效性.在工业互联网中,I I Ti时间衰减因子Ti计算如下:Tie x p(ttk)t,()其中,t表示当前信任评估时刻,tk表示最近一次静态信任评估时刻.当Mi,即终端行为未发生异常突变时,静态信任值在时间衰减因子的作用下得到动态信任值;当Mi,即终端行为发生异常突变时,快速响应并计算出动态信任值Di,使得Di瞬间低于信任门限值,计算方法如下:Di|BiTi|,Mi&Bi,BiTi,MiBi.()在此基础上,P E调用存储在Z T E_c h a i n上的信任因素集合,通过算法实现对工业互联网终端I I Ti的快速失陷识别认证,得到认证结果zi.当zi时,认证I I Ti失陷,若I I Ti发出工业O T网络终端交互的请求,P E P则给予拒绝,以防失陷终端横移到工业O T网络中直接窃取敏感数据;若I I Ti发出云层的数据访问和资源服务,P E P同样给予拒绝.当zi时,认证I I Ti可信,P E P放行I I Ti与工业O T网络终端的交互请求或将代表认证可信结果zi提交给云层的I D C.算法:快速失陷识别认证.输入:Z T E_c h a i n,Ti输出:zii fMit h e n zi认证I I Ti失陷e l s e 从Z T E_c h a i n调出I I Ti的信任因素集合 根据式()计算基本信任值Bi西安电子科技大学学报第 卷h t t p:/j o u r n a l x i d i a n e d u c n/x d x b i fBit h e n zi认证I I Ti失陷e l s e 根据式()计算动态信任值Di i fDit h e n zi认证I I Ti失陷 e l s e zi认证I I Ti可信 e n d i f e n d i fe n d i f 实验分析主动预防A P T窃密威胁的效果,主要取决于方案的异常行为检测能力和失陷终端识别能力.对此,文中从异常行为数据分析和失陷终端识别两方面设计仿真实验,验证主动式零信任模型的性能.异常行为数据分析实验采用r 版本的卡内基梅隆大学的CMU C E R T数据集 进行异常行为数据分析.该数据集从真实企业环境中采集正常数据,通过人工模拟企业内部攻击生成异常数据,是目前研究内部威胁检测的权威数据集.其中,C E R T r 数据集由多个文件组成,包含 名用户 天产生的行为记录,实验所用数据集文件内容表述如表所示.表C E R T r 数据集文件内容表述文件名称描述数据量l o g o n c s v用户登录/退出时间 d e v i c e c s v用户移动设备使用日志 f i l e c s v用户文件操作日志 e m a i l c s v用户电子邮件日志 h t t p c