計(jì)算機(jī)應(yīng)用安全策略本體研究

王宏宇

摘要：隨著計(jì)算機(jī)信息技術(shù)的發(fā)展，信息安全的問(wèn)題越來(lái)越突出，在大型計(jì)算機(jī)應(yīng)用系統(tǒng)行為安全控制的方法中，安全策略的應(yīng)用研究受到高度重視。在計(jì)算機(jī)應(yīng)用安全策略中本體方法已經(jīng)成為計(jì)算機(jī)應(yīng)用安全策略領(lǐng)域研究的重要方法，基于本體的應(yīng)用安全策略實(shí)現(xiàn)了大規(guī)模應(yīng)用系統(tǒng)對(duì)安全策略的需要。該文結(jié)合internet環(huán)境下的訪問(wèn)控制技術(shù)對(duì)計(jì)算機(jī)應(yīng)用安全領(lǐng)域進(jìn)行了安全策略本體研究，基于本體的計(jì)算機(jī)應(yīng)用安全策略研究具有一定的應(yīng)用價(jià)值。

關(guān)鍵詞：訪問(wèn)控制；安全策略；本體；規(guī)則；沖突檢測(cè)

隨著信息安全技術(shù)的發(fā)展，計(jì)算應(yīng)用安全授權(quán)策略和本體的研究取得了一定的進(jìn)展，但是在應(yīng)用安全方面的研究的成果比較少，我們對(duì)應(yīng)用安全策略的研究要從保護(hù)應(yīng)用數(shù)據(jù)的角度進(jìn)行研究。在計(jì)算機(jī)應(yīng)用安全領(lǐng)域中關(guān)于應(yīng)用安全授權(quán)問(wèn)題，要結(jié)合本體方面的研究工作才可以得到很好的解決。隨著語(yǔ)義Web在應(yīng)用安全領(lǐng)域中的發(fā)展和應(yīng)用，在應(yīng)用安全領(lǐng)域中本體方法的研究受到高度的重視。

1計(jì)算機(jī)應(yīng)用安全策略中的訪問(wèn)控制研究

訪問(wèn)控制方法是計(jì)算機(jī)網(wǎng)絡(luò)內(nèi)部安全保護(hù)的一種機(jī)制，訪問(wèn)控制的目標(biāo)是保證授權(quán)實(shí)體對(duì)資源進(jìn)行合法訪問(wèn)，訪問(wèn)控制決定了授權(quán)策略的表達(dá)能力。計(jì)算機(jī)信息系統(tǒng)的訪問(wèn)控制技術(shù)最早出現(xiàn)的兩種技術(shù)是自主訪問(wèn)控制技術(shù)和強(qiáng)制訪問(wèn)控制技術(shù)。近幾年來(lái)基于角色的訪問(wèn)控制技術(shù)應(yīng)用的越來(lái)越廣泛，目前隨著信息技術(shù)的發(fā)展和大型應(yīng)用系統(tǒng)的不斷使用，對(duì)訪問(wèn)控制模型提出了新的挑戰(zhàn)。自主訪問(wèn)控制技術(shù)是隨著分時(shí)系統(tǒng)的產(chǎn)生而出現(xiàn)的，自主訪問(wèn)控制是基于本體的限制訪問(wèn)方法，自主訪問(wèn)控制中的主體可以根據(jù)個(gè)人的意愿對(duì)訪問(wèn)權(quán)限進(jìn)行授權(quán)或者撤銷。強(qiáng)制訪問(wèn)控制技術(shù)重視對(duì)信息機(jī)密性的保護(hù)，強(qiáng)制訪問(wèn)控制經(jīng)常和自主放訪問(wèn)控制一起使用.強(qiáng)制訪問(wèn)控制技術(shù)在系統(tǒng)中設(shè)置多個(gè)安全級(jí)別，對(duì)主體和客體進(jìn)行安全級(jí)別的劃分，強(qiáng)制訪問(wèn)控制的規(guī)則是信息的流向只能從低安全級(jí)別向高安全級(jí)別流動(dòng)，禁止所有違反非循環(huán)信息流的行為。

2計(jì)算機(jī)應(yīng)用安全策略本體研究

在計(jì)算機(jī)科學(xué)領(lǐng)域的研究中，本體是對(duì)特定領(lǐng)域共享概念化的說(shuō)明，Web語(yǔ)義通過(guò)本體方法進(jìn)行定義與外部協(xié)議方法相比更加靈活。本文對(duì)Web本體語(yǔ)言的研究主要是針對(duì)OWL，OWL是基于W3C的Web本體表示語(yǔ)言。在應(yīng)用安全策略本體研究中OWL本體語(yǔ)言作為策略架構(gòu)的語(yǔ)言。

2.1安全域本體建模研究

2.1.1實(shí)體本體和屬性

在應(yīng)用安全域建模環(huán)境信息研究中，通過(guò)本體對(duì)應(yīng)用安全域進(jìn)行建模，在實(shí)體之間建立統(tǒng)一的表示結(jié)構(gòu)，其中環(huán)境信息被定義為實(shí)體。在應(yīng)用安全域研究中，實(shí)體是訪問(wèn)控制中最基本的概念，環(huán)境信息具有非常復(fù)雜并且具有多種定義的特點(diǎn)，環(huán)境信息可以把環(huán)境抽象為描述實(shí)體信息的屬性。在應(yīng)用安全域中實(shí)體與實(shí)體之間的差異很大，但是每個(gè)實(shí)體都有授權(quán)的屬性，應(yīng)用安全域內(nèi)的環(huán)境信息主要是靠實(shí)體和屬性進(jìn)行描述的，實(shí)體和屬性可以反映安全域的狀態(tài)。為了更好地對(duì)動(dòng)態(tài)環(huán)境的變化進(jìn)行處理，應(yīng)該使用屬性條件直接構(gòu)建策略，其中定義策略的主要元素我們以環(huán)境信息為主。在現(xiàn)實(shí)世界中存在的實(shí)體除了主體和客體是物理實(shí)體外，其他的實(shí)體都是邏輯實(shí)體，這些邏輯實(shí)體主要是為定義訪問(wèn)控制策略而產(chǎn)生的。實(shí)體分為物理實(shí)體和邏輯實(shí)體，而屬性則是邏輯實(shí)體中的之類，實(shí)體通過(guò)hsSatbibutc與屬性進(jìn)行關(guān)聯(lián)，實(shí)體本體如圖1所示，在實(shí)體本體結(jié)構(gòu)圖中圓角矩形表示類，實(shí)線箭頭表示類與類之間的層次關(guān)系，虛線箭頭表示對(duì)象屬性，Physicalentity表示物理實(shí)體，logicalent如表示邏輯實(shí)體。

2.1.2用戶本體

用戶本體中的主體在不同的安全級(jí)別中具有不同的定義，用戶實(shí)體具有特定的權(quán)限可以對(duì)客體進(jìn)行操作，用戶主體可以被其他主體訪問(wèn)，就像進(jìn)程可以被其他進(jìn)程喚醒一樣。用戶是使用系統(tǒng)的人員，用戶需要提供身份驗(yàn)證才可以進(jìn)入系統(tǒng)。在應(yīng)用策略安全中，我們主要是對(duì)大量的用戶進(jìn)行訪問(wèn)控制，所以我們對(duì)主體表示是通過(guò)用戶來(lái)表示的。用戶屬性類型有一般標(biāo)準(zhǔn)的用戶屬性，主要是描述用戶基本身份信息的；一些機(jī)構(gòu)相關(guān)的用戶屬性表示工作單位等信息的，應(yīng)用系統(tǒng)為用戶分配那些權(quán)限都是取決于用戶在機(jī)構(gòu)內(nèi)的位置等，與用戶的身份關(guān)系比較少；一些特定用戶的屬性可以對(duì)權(quán)限分配的條件進(jìn)行限制，比如銀行貸款的最大額度等。在策略定義的架構(gòu)中，用戶本體結(jié)構(gòu)圖如圖2所示，在用戶本體圖中orguser代表機(jī)構(gòu)用戶，person代表個(gè)人，process代表進(jìn)程。

2.1.3客體本體

在應(yīng)用系統(tǒng)中被保護(hù)的系統(tǒng)資源都是客體，客體包括數(shù)據(jù)文件和數(shù)據(jù)庫(kù)表等，客體的屬性包括安全級(jí)別和等級(jí)等，通過(guò)客體的屬性可以對(duì)客體進(jìn)行有效的管理，還有一些客體的屬性是在訪問(wèn)控制中的得到的抽象屬性，客體的屬性主要是對(duì)客體和授權(quán)相關(guān)的信息進(jìn)行描述的。在策略定義的框架中，授權(quán)的客體類都給出來(lái)了，其他的客體類在不影響客體語(yǔ)義的前提下從客體屬性本體上進(jìn)行定制。OWL對(duì)數(shù)據(jù)類型進(jìn)行定義是通過(guò)不同方式進(jìn)行的，這樣可以保證數(shù)據(jù)類型在客體屬性上的語(yǔ)義，如果客體對(duì)語(yǔ)義有特殊的要求，那么我們可以為其定義新的客體子類?？腕w屬性構(gòu)建按照客體本體圖進(jìn)行構(gòu)建，如圖2客體本體圖所示，在客體本體圖中file代表文件，record代表記錄，dataobject代表數(shù)據(jù)對(duì)象。

2.2策略定義和表示

策略定義方式是在較高的抽象層次上描述實(shí)體的結(jié)構(gòu)和實(shí)體的屬性，策略建?？梢栽谳^高的層次上改進(jìn)系統(tǒng)的分析能力。通過(guò)安全域本體建模的分析我們可以看出OWL語(yǔ)義可以對(duì)應(yīng)用安全中的實(shí)體和屬性進(jìn)行描述，但是對(duì)于授權(quán)規(guī)則的隱式權(quán)限分配來(lái)說(shuō)并不適合描述。我們可以使用OWL對(duì)策略授權(quán)規(guī)則的語(yǔ)法形式進(jìn)行定義，應(yīng)用策略定義方式不需要環(huán)境推理機(jī)，只需要通過(guò)本體推理的能力就可以完成對(duì)規(guī)則的分析工作。策略本體圖如圖4所示。

其中userpermission policy作為類，對(duì)用戶授權(quán)的策略直接進(jìn)行定義；user role policy對(duì)角色分配策略進(jìn)行定義，role pemissionpoilcy對(duì)角色授權(quán)的策略進(jìn)行定義，userrolepolicy和rolepemission poilcy兩種策略對(duì)用戶的授權(quán)方式是通過(guò)角色進(jìn)行間接授權(quán)的。角色分配策略具有兩種形式分別是肯定形式和否定形式。授權(quán)策略的所有行為的定義都是按照規(guī)則進(jìn)行的，并且策略本體的策略屬性信息中對(duì)策略本體的優(yōu)先級(jí)的屬性進(jìn)行了定義.為了保證策略本體框架的簡(jiǎn)潔，在角色授權(quán)策略中避免出現(xiàn)用戶授權(quán)策略的權(quán)限分配。在對(duì)策略本體規(guī)則進(jìn)行使用的時(shí)候，不對(duì)全域內(nèi)的授權(quán)規(guī)則進(jìn)行定義，被授權(quán)的概念不使用全稱概念，而且授權(quán)策略要指定一個(gè)用戶角色并對(duì)角色進(jìn)行授權(quán)，這樣的策略本體定義可以保證策略所定義的規(guī)則具有確定的語(yǔ)義。

在策略本體定義的框架中，通過(guò)OWL語(yǔ)言對(duì)安全域內(nèi)的領(lǐng)域知識(shí)進(jìn)行描述，通過(guò)域?qū)嶓w對(duì)環(huán)境信息進(jìn)行抽象的定義。使用屬性和實(shí)體之間的結(jié)構(gòu)關(guān)系來(lái)描述框架中的實(shí)體結(jié)構(gòu)關(guān)系，這在對(duì)屬性和實(shí)體進(jìn)行細(xì)粒度劃分方面是非常有效的，可以更好地適應(yīng)授權(quán)要求的動(dòng)態(tài)變化。策略本體的定義不僅為環(huán)境信息的定義建立了屬性建模，而且還可以對(duì)用戶、動(dòng)作和權(quán)限等實(shí)體進(jìn)行了有效的描述。在安全域中的實(shí)體組織規(guī)則中提出了本體屬性定義方法，并通過(guò)本體方法對(duì)非數(shù)值屬性之間的關(guān)系進(jìn)行描述?；诓呗远x的規(guī)則和本體方法的策略定義框架，可以提高語(yǔ)言的定義能力，在大型應(yīng)用安全系統(tǒng)中建立可管理的語(yǔ)義策略定義方法。策略定義框架是在OWL語(yǔ)言基礎(chǔ)上進(jìn)行定義的，策略定義框架進(jìn)行策略的推理是通過(guò)推理服務(wù)執(zhí)行的，推理服務(wù)是通過(guò)邏輯推理機(jī)來(lái)描述的，策略定義框架可以建立統(tǒng)一的授權(quán)實(shí)體，構(gòu)建組織內(nèi)的授權(quán)策略是在明確語(yǔ)義策略定義的基礎(chǔ)之上建立的。

3總結(jié)

基于本體的應(yīng)用安全策略研究提出了基于本體策略定義框架，可以有效地對(duì)大型應(yīng)用安全系統(tǒng)進(jìn)行管理?；诒倔w的應(yīng)用安全策略研究是策略定義方法研究中的主要發(fā)展方向，計(jì)算機(jī)應(yīng)用安全策略本體研究在計(jì)算機(jī)應(yīng)用安全領(lǐng)域中具有一定的應(yīng)用價(jià)值。