云安全審計(jì)中基于日志的用戶(hù)行為分析

趙春曄+涂山山+陳昊宇+黃永峰

摘 要： 云存儲(chǔ)將網(wǎng)絡(luò)中大量不同類(lèi)型的存儲(chǔ)設(shè)備集合起來(lái)協(xié)同工作，共同對(duì)外提供數(shù)據(jù)存儲(chǔ)服務(wù)。由于其特征上存在著用戶(hù)和服務(wù)商之間的信任博弈，因此構(gòu)建一個(gè)健康、公平、安全的云數(shù)據(jù)服務(wù)環(huán)境，對(duì)云數(shù)據(jù)的狀態(tài)及操作過(guò)程執(zhí)行客觀、公正的安全審計(jì)尤為重要。為此，提出一種基于用戶(hù)行為日志分析的云安全審計(jì)解決方案，通過(guò)制定數(shù)據(jù)“用戶(hù)行為”描述，從功能上實(shí)現(xiàn)基于用戶(hù)行為的系統(tǒng)日志信息分析，同時(shí)改進(jìn)現(xiàn)有關(guān)聯(lián)規(guī)則挖掘算法，提出一種針對(duì)長(zhǎng)序列的關(guān)聯(lián)規(guī)則挖掘算法。最后通過(guò)實(shí)驗(yàn)表明該方案可有效地實(shí)現(xiàn)云安全審計(jì)中隱私數(shù)據(jù)泄露的追蹤與取證。

關(guān)鍵詞： 云安全審計(jì)； 日志分析； 關(guān)聯(lián)規(guī)則； 追蹤與取證

中圖分類(lèi)號(hào)： TN911?34； TP309.2 文獻(xiàn)標(biāo)識(shí)碼： A 文章編號(hào)： 1004?373X（2017）02?0001?05

Abstract： Cloud Storage provides data storage service for external by combing and coordinating different types of storage devices in the network， so that they can collectively work together. However it always exists a trust game relationship between users and service providers， therefore it is important to build a healthy， fair and secure cloud data service environment for the security auditing on the state of cloud data and operation processes. A cloud security?auditing scheme based on analysis of user behavior （UB） log data from cloud servers is proposed in this paper. The system log information analysis based on UB is realized functionally by description rules of UB. And the existing association rule mining algorithm is improved simultaneously， which is proposed for dealing with the Long Sequence Frequent Pattern （LSFP） to extract UB. The experiment result indicates that the solution can implement the tracking and evidence taking of data leakage efficiently for the cloud security auditing.

Keywords： cloud security auditing； log analysis； association rule； data tracking and evidence taking

0 引 言

云計(jì)算已然成為當(dāng)今最熱門(mén)的應(yīng)用及研究領(lǐng)域，但云計(jì)算所需的對(duì)于數(shù)據(jù)和資源的共享所帶來(lái)的云數(shù)據(jù)安全問(wèn)題，一直是限制云計(jì)算技術(shù)發(fā)展的重要因素[1]?；萜赵?000年提出了“可信云”的概念，并提出了云數(shù)據(jù)安全的理論模型[2]——CALC（Cloud Accountability Life Cycle）。在CALC模型中，將云數(shù)據(jù)安全的整體解決方案描述為一個(gè)環(huán)形結(jié)構(gòu)，將整個(gè)數(shù)據(jù)安全過(guò)程分為：策略、追蹤、日志、存儲(chǔ)、報(bào)告、審計(jì)、整理7個(gè)環(huán)節(jié)，每個(gè)環(huán)節(jié)都對(duì)其下的環(huán)節(jié)提供支持，而整個(gè)過(guò)程的結(jié)果也反過(guò)來(lái)支持最初的策略環(huán)節(jié)，整個(gè)安全過(guò)程是遞進(jìn)優(yōu)化的。

在此基礎(chǔ)上，Ryan等人針對(duì)日志采集[3]（Logging）環(huán)節(jié)，提出了Flogger[4]，S2Logger[5]等一系列的解決方案。其基本思想是對(duì)整個(gè)云數(shù)據(jù)環(huán)境下主機(jī)的操作系統(tǒng)日志進(jìn)行采集，通過(guò)分析日志，得到云環(huán)境下數(shù)據(jù)使用的具體情況。這種區(qū)別于以往對(duì)數(shù)據(jù)出、入口進(jìn)行檢測(cè)的方法[6?7]，可以得到在整個(gè)云環(huán)境內(nèi)數(shù)據(jù)被使用的真實(shí)情況。解決了以往數(shù)據(jù)安全方案中“整個(gè)云環(huán)境安全可信”這個(gè)不可自立[7]的前提，并使“可信云”可被證實(shí)。但隨著數(shù)據(jù)規(guī)模的不斷增大，將日志分析僅僅停留在日志采集階段已經(jīng)無(wú)法滿(mǎn)足云計(jì)算“受信”的基本要求。迫切地需要一種對(duì)日志數(shù)據(jù)進(jìn)行歸納分析的方法，即在R&R（Reporting and Replaying）階段進(jìn)一步對(duì)日志進(jìn)行處理。

基于這種思路的數(shù)據(jù)安全方案，將在多個(gè)環(huán)節(jié)對(duì)現(xiàn)有方案有所改進(jìn)：在“存儲(chǔ)”階段，因?yàn)槿罩痉治龅囊?，將原本的描述系統(tǒng)操作行為的日志，轉(zhuǎn)化成為描述“用戶(hù)行為” [8]的信息，使得日志數(shù)據(jù)的數(shù)量大幅精簡(jiǎn)；而在“報(bào)告”和“審計(jì)”階段，本方案提供可讀性更高、更符合實(shí)際的描述信息，使數(shù)據(jù)安全審計(jì)變得更加面向用戶(hù)，為云環(huán)境的“可信性”提供更好、更直接的證實(shí)和支持；在“整理”和“策略”階段，由于本方案提供的記錄信息更能夠準(zhǔn)確描述現(xiàn)實(shí)情況，也使得“策略”的制定從原本的技術(shù)層面升級(jí)到對(duì)現(xiàn)實(shí)行為的約束，使責(zé)任追究變得更加簡(jiǎn)單、準(zhǔn)確。

為此引入一種近年來(lái)主要用于知識(shí)發(fā)現(xiàn)（KDD），并在數(shù)據(jù)挖掘（Data Mining）和數(shù)據(jù)分析（Data Analyze）領(lǐng)域取得較好成果的方式——關(guān)聯(lián)規(guī)則挖掘（Association Rule Mining）。算法本身是為了解決經(jīng)典的“購(gòu)物籃”問(wèn)題而提出的，通過(guò)分析顧客購(gòu)買(mǎi)商品的情況，得到不同商品之間的聯(lián)系（基于統(tǒng)計(jì)學(xué)的聯(lián)系，而不是邏輯上的因果聯(lián)系）。

本文對(duì)頻繁模式發(fā)現(xiàn)算法FP?Growth進(jìn)行了研究，并針對(duì)云安全審計(jì)中數(shù)據(jù)日志分析的實(shí)際需求，提出一種實(shí)際可行的改進(jìn)算法，旨在將關(guān)聯(lián)規(guī)則挖掘引入特定模式數(shù)據(jù)集的分析過(guò)程。

1 相關(guān)理論知識(shí)

1.1 關(guān)聯(lián)規(guī)則算法分析

Agrawal于1993年首次提出關(guān)聯(lián)規(guī)則算法，以解決挖掘顧客交易數(shù)據(jù)中項(xiàng)集的關(guān)聯(lián)性問(wèn)題。其基本思路是找到數(shù)據(jù)中頻繁性滿(mǎn)足要求的多項(xiàng)集，再以此為基礎(chǔ)分析項(xiàng)之間隱含的關(guān)聯(lián)性。在此基礎(chǔ)上，研究人員進(jìn)行了大量的研究工作，主要在算法性能和面向?qū)ο笊蠈?duì)算法進(jìn)行了改進(jìn)和擴(kuò)展。

在性能改進(jìn)方面比較突出的有Apriori算法和FP?Growth算法[9]。Apriori算法基于一種迭代的思想，逐步產(chǎn)生關(guān)聯(lián)性分析所需要的多項(xiàng)集，以此盡可能得到包含更多項(xiàng)的集合，以達(dá)到良好的分析結(jié)果。而FP?Growth算法是由韓家煒在2000年提出的，針對(duì)Apriori算法需要迭代產(chǎn)生多項(xiàng)集而帶來(lái)的算法時(shí)空復(fù)雜度問(wèn)題，通過(guò)引入“樹(shù)”的概念，將迭代過(guò)程改進(jìn)為通過(guò)一次掃描數(shù)據(jù)集以生成“頻繁模式樹(shù)（FP?tree）”，通過(guò)這種樹(shù)形結(jié)構(gòu)表示數(shù)據(jù)集的頻繁性，再通過(guò)樹(shù)的搜索算法得到頻繁多項(xiàng)集。因其性能較優(yōu)，已成為當(dāng)今主流的關(guān)聯(lián)規(guī)則挖掘算法。

而在面向?qū)ο蠓矫妫珹prioriAll[10]算法在Apriori算法的基礎(chǔ)上，對(duì)事務(wù)集加入了時(shí)間約束，以分析短序列集合中項(xiàng)之間的關(guān)聯(lián)性。

AprioriAll算法，在每一次掃描數(shù)據(jù)庫(kù)時(shí)，利用上一次掃描時(shí)產(chǎn)生的序列生成候選序列，并在掃描的同時(shí)計(jì)算它們的支持度，滿(mǎn)足支持度的候選序列作為下次掃描的序列。

GSP算法[11]是AprioriAll算法的擴(kuò)展算法。在GSP算法中，引入了時(shí)間約束、滑動(dòng)時(shí)間窗和分類(lèi)層次技術(shù)，增加了掃描的約束條件，有效地減少了需要掃描的候選序列的數(shù)量，同時(shí)還克服了基本序列模型的局限性，更切合實(shí)際，減少多余無(wú)用模式的產(chǎn)生。另外，GSP利用哈希樹(shù)來(lái)存儲(chǔ)候選序列，減少了需要掃描的序列數(shù)量，同時(shí)對(duì)數(shù)據(jù)序列的表示方法進(jìn)行了轉(zhuǎn)換，這樣就可以有效地發(fā)現(xiàn)一個(gè)候選項(xiàng)是否是數(shù)據(jù)序列的子序列。

Apriori及其改進(jìn)算法，在數(shù)據(jù)集較大的情況下，會(huì)產(chǎn)生大量的中間集（候選集），使算法的時(shí)空復(fù)雜度變大，對(duì)大數(shù)據(jù)模型的效率不能令人滿(mǎn)意。

FP?Growth算法通過(guò)引入圖形結(jié)構(gòu)，使得其算法結(jié)構(gòu)更加適應(yīng)于新型的計(jì)算框架和數(shù)據(jù)庫(kù)結(jié)構(gòu)。而基于FP?Growth的改進(jìn)算法，將工作重心更多地投入當(dāng)今流行的分布式計(jì)算[12?13]、投影數(shù)據(jù)庫(kù)[14]方向，并取得了大量的成果。但FP?Growth及其改進(jìn)算法，由于算法過(guò)程依賴(lài)“樹(shù)”型結(jié)構(gòu)，因此不能解決序列等包含其他約束條件數(shù)據(jù)集的挖掘。

1.2 約束規(guī)則

通過(guò)分析，對(duì)關(guān)聯(lián)規(guī)則算法的改進(jìn)，其本質(zhì)都是一種約束條件的引入。Apriori算法基于一種簡(jiǎn)單的邏輯約束，即“任何一個(gè)頻繁集的子集一定是頻繁的”。而FP?Growth算法則是通過(guò)“樹(shù)”的引入，將這種約束更加顯性的表述，以提升算法效率。而AprioriAll和GSP算法，則是通過(guò)對(duì)數(shù)據(jù)集引入時(shí)間約束，有效地過(guò)濾了“無(wú)用”的多項(xiàng)集。

從挖掘所使用約束的類(lèi)型看，可以把用于關(guān)聯(lián)規(guī)則挖掘的約束分為：

（1） 單調(diào)性約束（Monotone Constraint）。所謂一個(gè)約束是單調(diào)性的約束，是指滿(mǎn)足的任何項(xiàng)集的超集也能滿(mǎn)足。

（2） 反單調(diào)性約束（Anti?monotone Constraint）。約束是“反單調(diào)的”，是指對(duì)于任意給定的不滿(mǎn)足的項(xiàng)集， 不存在的超集能夠滿(mǎn)足。

（3） 可轉(zhuǎn)變的約束（Convertible Constraint）。可轉(zhuǎn)變的約束是指約束條件可以在項(xiàng)集和它的子集間傳遞。如果一個(gè)約束無(wú)法用單調(diào)或反單調(diào)形式給出，那么就給使用上帶來(lái)困難，于是可通過(guò)對(duì)數(shù)據(jù)的特殊組織等方式使問(wèn)題得到轉(zhuǎn)換。

（4） 簡(jiǎn)潔性約束（Succinct Constraint）。簡(jiǎn)潔性約束是指對(duì)一個(gè)項(xiàng)目子集可以用選擇性謂詞來(lái)表示成選擇操作。很顯然，如果一個(gè)約束是簡(jiǎn)潔的，那么就可以直接使用SQL查詢(xún)來(lái)得到滿(mǎn)足條件的集合。在挖掘的不同階段可以盡量嘗試簡(jiǎn)潔性的約束，這樣可以避免不必要的測(cè)試。

按照挖掘所使用約束條件的來(lái)源，又可將約束進(jìn)行如下分類(lèi)：

（1） 知識(shí)類(lèi)型約束。利用知識(shí)背景可以過(guò)濾無(wú)關(guān)信息。

（2） 數(shù)據(jù)約束。利用數(shù)據(jù)的某些屬性，可以隔離與當(dāng)前問(wèn)題無(wú)關(guān)的信息。

（3） 維、層、度約束。利用數(shù)據(jù)或數(shù)據(jù)庫(kù)的結(jié)構(gòu)和規(guī)模，將數(shù)據(jù)挖掘限定在某個(gè)區(qū)間，以濾除“額外”信息。

2 長(zhǎng)序列關(guān)聯(lián)規(guī)則算法

隨著當(dāng)今網(wǎng)絡(luò)技術(shù)的發(fā)展，對(duì)于流數(shù)據(jù)等具有強(qiáng)時(shí)間約束的數(shù)據(jù)集的關(guān)聯(lián)規(guī)則挖掘方法越來(lái)越值得重視。而通過(guò)對(duì)以往研究成果的分析，發(fā)現(xiàn)關(guān)聯(lián)規(guī)則挖掘的對(duì)象依然停留在離散的數(shù)據(jù)上。即便如GSP算法將時(shí)間約束引入事務(wù)，其面向的數(shù)據(jù)集（事務(wù)集）依然是離散的。在針對(duì)長(zhǎng)序列結(jié)構(gòu)的數(shù)據(jù)集時(shí)，依然不能滿(mǎn)足功能需求。

基于對(duì)已有研究成果的分析，本方案在FP?Growth算法基礎(chǔ)上，引入合理的約束條件，即強(qiáng)時(shí)間約束。并與之匹配的引用“有向圖”這一圖形結(jié)構(gòu)，以直觀的表述約束條件。通過(guò)對(duì)算法結(jié)構(gòu)的改造和新模型的引入，設(shè)計(jì)一種面向長(zhǎng)序列的關(guān)聯(lián)規(guī)則挖掘算法Long Sequence Frequent Pattern（LSFP）。

2.1 LSFP算法描述

針對(duì)數(shù)據(jù)集強(qiáng)時(shí)間約束的特點(diǎn)，傳統(tǒng)FP?Growth算法構(gòu)造的頻繁模式樹(shù)結(jié)構(gòu)，并不能有效地描述數(shù)據(jù)集的有序性，在針對(duì)序列類(lèi)型的數(shù)據(jù)集時(shí)，數(shù)據(jù)本身的性質(zhì)可能使得頻繁模式樹(shù)規(guī)模過(guò)大而不可用。其根本是因?yàn)闃?shù)型結(jié)構(gòu)更易于表述節(jié)點(diǎn)之間的聯(lián)系，而數(shù)據(jù)的有序性使得節(jié)點(diǎn)之間的“邊”具有描述更多數(shù)據(jù)含義的能力，針對(duì)有序數(shù)據(jù)，需要一種能夠直觀表述“邊”之間關(guān)系的圖形結(jié)構(gòu)。為此，本方案引入一種新的圖形結(jié)構(gòu)，即有向圖。對(duì)于序列，這種結(jié)構(gòu)的優(yōu)勢(shì)主要體現(xiàn)在兩個(gè)方面：

（1） 有向圖不同于樹(shù)型結(jié)構(gòu)，有向圖中的“邊”描述了“從節(jié)點(diǎn)到節(jié)點(diǎn)”的轉(zhuǎn)移關(guān)系，這種轉(zhuǎn)移關(guān)系，可以有效地描述強(qiáng)時(shí)間約束的數(shù)據(jù)集中“有序性”的信息。

（2） 有向圖的結(jié)構(gòu)保證在圖里沒(méi)有重復(fù)出現(xiàn)的節(jié)點(diǎn)，相比于樹(shù)形結(jié)構(gòu)，有向圖為算法提供了空間復(fù)雜度上的改進(jìn)。

基于這種思想，提出算法結(jié)構(gòu)和流程設(shè)計(jì)。

算法分為2步：一是算法訓(xùn)練階段，通過(guò)訓(xùn)練集得到整個(gè)數(shù)據(jù)集的頻繁性；二是分析挖掘階段，通過(guò)之前得到的數(shù)據(jù)頻繁性，得到數(shù)據(jù)集中滿(mǎn)足頻繁性的“UB（短序列）”。算法相關(guān)參數(shù)定義如表1所示。

在項(xiàng)集中，節(jié)點(diǎn)包含屬性和，用以描述節(jié)點(diǎn)是否可作為一個(gè)UB（User Behavior）的起始節(jié)點(diǎn)和終止節(jié)點(diǎn)。

2.2 算法步驟

算法第一階段：

Step1：掃描訓(xùn)練集，生成項(xiàng)集；

Step2：生成有向圖，并以關(guān)聯(lián)矩陣描述；

Step3：選擇恰當(dāng)?shù)拈撝担瑢?duì)有向圖進(jìn)行剪枝；

Step4：引入先驗(yàn)規(guī)則，優(yōu)化關(guān)聯(lián)矩陣，得到數(shù)據(jù)完整頻繁特征；

Step5：通過(guò)有向圖搜索，得到可能的“用戶(hù)行為”短序列（即事務(wù)）格式。

算法第二階段：

Step1：根據(jù)關(guān)聯(lián)矩陣描述的數(shù)據(jù)頻繁性，將長(zhǎng)序列拆分成若干較短序列，形成待挖掘的序列集；

Step2：在序列集中挖掘出“行為”，生成“行為集”。

3 算法實(shí)現(xiàn)及性能分析

3.1 實(shí)驗(yàn)環(huán)境

針對(duì)算法設(shè)計(jì)思路和實(shí)際問(wèn)題，本方案選擇通過(guò)采集得到的Linux操作系統(tǒng)日志作為算法實(shí)現(xiàn)的數(shù)據(jù)集，因?yàn)槠渚哂辛己玫臅r(shí)間屬性，并具有很好的代表性。并根據(jù)算法的復(fù)雜度選擇適合的軟、硬件環(huán)境。

3.1.1 算法環(huán)境

算法環(huán)境如表2所示。

3.1.2 算法參數(shù)

算法參數(shù)對(duì)性能的影響主要包含兩個(gè)方面：訓(xùn)練集規(guī)模和最小支持度。訓(xùn)練集規(guī)模：算法選擇使用數(shù)據(jù)集的一部分作為獲取頻繁性的訓(xùn)練集，主要是因?yàn)閬?lái)源相同的數(shù)據(jù)集和訓(xùn)練集擁有相似的數(shù)據(jù)頻繁特性，使得通過(guò)分析訓(xùn)練集得到的頻繁性對(duì)于數(shù)據(jù)集同樣是適用的。當(dāng)使用整個(gè)數(shù)據(jù)集作為訓(xùn)練集的時(shí)候，數(shù)據(jù)集和訓(xùn)練集必定擁有相同的頻繁性。但過(guò)大的訓(xùn)練集會(huì)使算法的整體效率降低，于是選擇規(guī)模恰當(dāng)?shù)挠?xùn)練集，對(duì)算法性能有巨大的影響。最小支持度：最小支持度決定了算法認(rèn)為哪些操作組合可以被認(rèn)為是一種“用戶(hù)行為”。當(dāng)選擇較小的支持度，必然會(huì)得到更多的“操作組合”，但這些組合是否足夠頻繁使其可以被看作一種“行為”卻無(wú)法保證；當(dāng)選擇較大的支持度，可以保證“操作組合”即是“用戶(hù)行為”的準(zhǔn)確性，但必然會(huì)使算法得到的操作組合變少。

3.2 算法分析

在進(jìn)行算法性能分析之前，需要對(duì)算法結(jié)果有一個(gè)直觀的認(rèn)識(shí)。在此將幾個(gè)常見(jiàn)的用戶(hù)行為所對(duì)應(yīng)的操作系統(tǒng)日志序列（規(guī)則）展示如下：

（1） 文件創(chuàng)建

Create，wzq，3103，2406，2406，2387，nautilus，/home/wzq/De

sktop/test/new file，/home/wzq/，193，438，30

Close，wzq，3103，2406，2406，2387，30

（2） 文件復(fù)制

Open，wzq，3354，3054，3054，2752，test，log，/home/wzq/Desk

top/test/，577，438，4

Close，wzq，3355，3354，3054，2752，3Duplicate2，wzq，3355，

3354，3054，2752，4，1Close，wzq，3355，3354，3054，2752，4

（3） 文件編輯

Move，wzq，2956，2928，2928，2856，vim，aaa.txt，aaa.txt～，

/home/wzq/Desktop/test/

Create，wzq，2956，2928，2928，2856，vim，aaa.txt，/home/wzq/

Desktop/test/，577，436，3

Write，wzq，2956，2928，2928，2856，3，0，6F6E650A0A

Read，wzq，2856，1，2424，2405，21，0，

0D1B5B3F32356C226161612E747B7422

Close，wzq，2956，2928，2928，2856，3

Chmod，wzq，2956，2928，vim，aaa.txt，33204

前文中，從理論上分析了算法性能的影響因素。這里通過(guò)實(shí)驗(yàn)數(shù)據(jù)對(duì)算法性能進(jìn)行直觀的反映。

3.2.1 針對(duì)訓(xùn)練集的算法性能分析

數(shù)據(jù)集和訓(xùn)練集大小，是指在日志采集后經(jīng)過(guò)“預(yù)處理”的數(shù)據(jù)大小。因?yàn)槿罩静杉^(guò)程中會(huì)產(chǎn)生大量的與數(shù)據(jù)操作無(wú)關(guān)的系統(tǒng)日志信息，占原始日志數(shù)據(jù)的80%。為分析訓(xùn)練集規(guī)模對(duì)算法性能的影響，選擇相同的數(shù)據(jù)集和最小支持度，評(píng)價(jià)算法性能的主要指標(biāo)有得到的“規(guī)則”數(shù)、得到的“行為”數(shù)、運(yùn)行時(shí)間。

實(shí)驗(yàn)結(jié)果分析如下：

（1） 規(guī)則數(shù)與行為數(shù)。在實(shí)驗(yàn)過(guò)程中，隨著訓(xùn)練集規(guī)模從1 MB逐漸增大到10 MB，通過(guò)算法訓(xùn)練階段可以得到更“完整”的規(guī)則信息，針對(duì)相同的數(shù)據(jù)集，得到的行為數(shù)從400余條增長(zhǎng)到900余條。兩者與訓(xùn)練集規(guī)?；境史蔷€性對(duì)數(shù)關(guān)系。如圖1所示。

（2） 算法運(yùn)行時(shí)間。訓(xùn)練集規(guī)模直接相關(guān)，隨著訓(xùn)練集規(guī)模增大，算法訓(xùn)練階段所需時(shí)間也相應(yīng)提高，兩者間的關(guān)系基本呈線性。而隨著訓(xùn)練集的增大，得到的“規(guī)則數(shù)”也增大，但兩者基本保持對(duì)數(shù)關(guān)系。而“規(guī)則數(shù)”的增大，也導(dǎo)致了算法挖掘“行為”階段需要對(duì)比更多“規(guī)則”。在實(shí)驗(yàn)過(guò)程中，隨著訓(xùn)練集規(guī)模從1 MB逐漸增大到10 MB，算法運(yùn)行時(shí)間從400 ms增長(zhǎng)到900 ms。算法運(yùn)行時(shí)間與訓(xùn)練集規(guī)?；境示€性關(guān)系。如圖2所示。

3.2.2 針對(duì)最小支持度的算法性能分析

關(guān)聯(lián)規(guī)則算法的最小支持度可以通過(guò)多重方式獲得，這也是相關(guān)改進(jìn)算法研究的一個(gè)重要方面，在這里，只分析選用不同的支持度對(duì)算法性能的影響，對(duì)于計(jì)算最小支持度的算法不做討論。為分析最小支持度對(duì)算法性能的影響，選擇相同的數(shù)據(jù)集和訓(xùn)練集，評(píng)價(jià)算法性能的主要指標(biāo)有：得到的“規(guī)則”數(shù)、得到的“行為”數(shù)、運(yùn)行時(shí)間。實(shí)驗(yàn)結(jié)果分析如下：

（1） 規(guī)則數(shù)與行為數(shù)。隨著最小支持度的減小，必將使得到的規(guī)則數(shù)變大，也導(dǎo)致算法挖掘階段得到更多的行為數(shù)。在實(shí)驗(yàn)過(guò)程中，隨著最小支持?jǐn)?shù)從20逐漸增大到100，行為數(shù)從1 200余條減小到400余條，行為數(shù)、規(guī)則數(shù)與最小支持度基本呈非線性指數(shù)關(guān)系。但最小支持度的減小，也會(huì)把原本“不頻繁”的操作組合認(rèn)定為一種頻繁的規(guī)則，這使得最終得到的行為在準(zhǔn)確性方面有所不足，如圖3所示。

（2） 算法運(yùn)行時(shí)間。由于訓(xùn)練集大小不變，所以算法訓(xùn)練階段所需時(shí)間保持不變。但由于最小支持度變小，使得得到的規(guī)則數(shù)增大，導(dǎo)致算法挖掘階段的時(shí)間消耗變大。在實(shí)驗(yàn)過(guò)程中，隨著最小支持度從20逐漸增大到100，運(yùn)行時(shí)間從1 200 ms減小到400 ms。運(yùn)行時(shí)間與最小支持度基本呈非線性指數(shù)關(guān)系，如圖4所示。

4 結(jié) 語(yǔ)

本文從解決云數(shù)據(jù)安全性這個(gè)實(shí)際問(wèn)題出發(fā)，分析了已有解決方案優(yōu)劣，并研究、分析了現(xiàn)今在數(shù)據(jù)挖掘領(lǐng)域較主流的關(guān)聯(lián)規(guī)則挖掘算法。借鑒關(guān)聯(lián)規(guī)則的思想，設(shè)計(jì)并實(shí)現(xiàn)了一種針對(duì)主機(jī)操作系統(tǒng)日志的模式挖掘算法，將描述系統(tǒng)操作的進(jìn)程級(jí)日志數(shù)據(jù)轉(zhuǎn)化為描述用戶(hù)行為的日志，為云數(shù)據(jù)安全審計(jì)提供更合適的信息。在以后的工作中，算法依然有需要改進(jìn)的方面：

最小支持度的獲得。通過(guò)實(shí)驗(yàn)可知，最小支持度對(duì)算法結(jié)果和過(guò)程的效率都有直接的影響。在本文的實(shí)驗(yàn)范圍內(nèi)，通過(guò)人為的設(shè)定一個(gè)閾值的方式獲得最小支持度，并嘗試改變閾值，分析最小支持度對(duì)算法結(jié)果和算法效率的影響。在現(xiàn)今的研究中，通過(guò)數(shù)據(jù)集的特征計(jì)算最小支持度的方式越來(lái)越主流，相應(yīng)的計(jì)算方法也各有優(yōu)劣。在今后的工作中，將基于系統(tǒng)操作日志這個(gè)特定的數(shù)據(jù)集，設(shè)計(jì)并實(shí)現(xiàn)適合的最小支持度計(jì)算方法，改進(jìn)算法性能。

算法在不同環(huán)境下的性能分析。在本文的實(shí)驗(yàn)范圍中，將實(shí)驗(yàn)環(huán)境設(shè)定在單用戶(hù)主機(jī)情景下。在這種情景下，用戶(hù)對(duì)文件進(jìn)行的操作比較簡(jiǎn)單，操作過(guò)程也相對(duì)容易理解、分析。在聯(lián)機(jī)環(huán)境或服務(wù)器環(huán)境下，通過(guò)日志分析表現(xiàn)出的行為模式必定與本文的實(shí)驗(yàn)環(huán)境不同。在今后的工作中，將在不同的環(huán)境下進(jìn)行實(shí)驗(yàn)，并分析不同環(huán)境下的行為模式。以期達(dá)到日志分析的最終目的：為數(shù)據(jù)安全策略的制定提供現(xiàn)實(shí)依據(jù)。

參考文獻(xiàn)

[1] TU Shanshan， HUANG Yongfeng. Towards efficient and secure access control system for mobile cloud computing [J]. China communications， 2015， 12（12）： 43?52.

[2] KO R K L， JAGADPRAMANA Peter， MOWBRAY Miranda， et al. TrustCloud： A framework for accountability and trust in cloud computing [C]// Proceedings of the 2011 IEEE World Congress on Services. [S.l.]： IEEE， 2011： 584?588.

[3] KO R K L， KIRCHBERG M.， LEE B S. From system?centric to data?centric logging? accountability， trust and security in cloud computing [C] // Proceedings of Defense Science Research Conference and Expo. [S.l.： s.n.]， 2011： 1?4.

[4] KO R K L， JAGADPRAMANA P， LEE B S. Flogger： a file?centric logger for monitoring file access and transfers with cloud computing environments [C]// Proceedings of 3rd IEEE International Workshop on Security in e?Science and e?Research （ISSR 11）. [S.l.]： IEEE， 2011： 11?16.

[5] SUEN C H， KO R K L， TAN Y S， et al. S2Logger： end?to?end data tracking mechanism for cloud data provenance [C]// Proceedings of 12th IEEE International Conference on Trust， Security and Privacy in Computing and Communications. [s.l.]： IEEE， 2013： 123?130.

[6] MUNISWAMY?REDDY K K， HOLAND D A， BRAUN U， et al. Provenance?aware storage systems [C]// Proceedings of 06 Annual Technical Conference on USENIX. [S.l.： s.n.]， 2006： 6?11.

[7] MUNISWAMY?REDDY K K， BRAUN U， HOLAND D A， et al. Layering in provenance systems [C]// Proceedings of the Annual Technical Conference of USENIX. [S.l.： s.n.]， 2009： 11?16.

[8] 肖傳奇，陳明志.云環(huán)境下基于IFAHP的用戶(hù)行為信任模型研究[J].信息網(wǎng)絡(luò)安全，2015（12）：14?20.

[9] HAN J W， PEI J， YIN Y W， et al. Mining frequent patterns without candidate generation [J]. Data mining and knowledge discovery， 2004， 8（1） ： 53?87.

[10] AGRAWAL R， SRIKANT R. Mining sequential patterns [C]// Proceedings of 1995 Int Conf Data Engineering （ICDE 95）. Taipei， China： IEEE Computer Society， 1995： 3?14.

[11] AGRAWAL R， SRIKANT R. Mining sequential patterns： generalizations and performance improvements[C]// Proceedings of 5th Int Conf Extending Database Technology （EDBT）. Avignon： Lecture Notes in Computer Science， 1996： 3?17.

[12] MOHAMMAD El?Hajj， OSMAR R， ZA Iane. Parallel leap： large?scale maximal pattern mining in a distributed environment [C]// Proceedings of the 12th International Conference on Parallel and Distributed Systems. Washington D.C， USA： IEEE， 2006： 135?142.

[13] 鄭亞軍，胡學(xué)鋼.基于PFP的關(guān)聯(lián)規(guī)則增量更新算法[J].合肥工業(yè)大學(xué)學(xué)報(bào)（自然科學(xué)版），2015（4）：500?503.

[14] PEI J， HAN Jiawei， MORTAZAVI?ASL B， et al. PrefixSpan： mining sequential patterns efficiently by prefix?projected pattern growth [C]// Proceedings of 2001 Internationaol Conf on Data Engineering. Heidelberg， Germany： [s.n.]， 2001： 215?224.

[15] KO R K L. Data accountability in cloud systems [J]. Security， privacy and trust in cloud systems， 2013， 35： 211?238.