CN106936812B - 一种云环境下基于Petri网的文件隐私泄露检测方法 - Google Patents

Abstract

本发明公开了一种云环境下基于Petri网的文件隐私泄露检测方法。本方法利用传感器收集物联网传来的温度数据，并上传到服务器，在这里数据全部进入kafka队列。Spark Streaming会实时消费kafka队列的数据，将数据读出来并进行实时的分析，并对异常数据发出报警信号。经过Spark Streaming实时计算程序分析，将结果写入Orancle数据库，可以实时获取温度数据，并可以导出来进行离线综合统计分析。

Description

一种云环境下基于Petri网的文件隐私泄露检测方法

技术领域

现如今云计算的发展日益迅速，其安全问题也越来越受到重视，本发明针对云环境下的文件安全问题，提出了一种云环境下基于Petri网的文件隐私泄露检测方法，对文件进行有效监督与保护。本发明属于信息安全领域。

背景技术

“云计算”这个词离我们的生活越来越近，在云计算时代，用户的数据往往会统一存储在云服务器端，以便能够更快的获得所需的云服务。但随着云计算这种模式的发展，各种各样的安全问题也凸显出来，用户存储在云端的数据被泄露的事件时有发生。现如今云计算平台都是分布式计算和分布式存储的方式，例如Hadoop与Spark平台，这样的计算方式与存储方式体现了云计算快速高效的特点，也在一定程度上保证了数据的安全。分布式文件存储系统是将数据存储在各个节点上，拥有了本地文件系统所无法具备的数据备份和数据安全的优点。但云环境下用户对文件的操作是否合理？是否有隐私泄露的行为？成为了云环境下亟待解决的问题。

由于云计算还在发展成熟之中，还没有一些较为成熟的方法防止以上的问题的发生，通常只能通过认证协议来辨别用户身份，而不能发现用户的一些不正当操作。

发明内容

本发明的目的是提出一种在云环境下文件恶意操作的检测方法，利用云环境下系统的文件日志信息，对分布式文件系统的操作行为进行建模分析，系统日志记录了系统中产生的各种各样的问题，我们可以利用日志信息来分析一些问题产生的原因，找到解决方法。同样云计算平台工作也会产生大量的日志信息，利用这些日志信息我们能从中找到一些用户的行为，及时发现并制止不正当的行为。

为了实现上述技术目的，本发明采用如下的技术方案：

一种云环境下基于Petri网的文件隐私泄露检测方法，当计算机程序启动之后，监控程序就会开始监控在主节点之下生成的审计日志文件，一旦有新的日志信息生成，监控程序会立即去获取此信息，此时，检测程序被激活；

所述检测程序包括以下步骤，首先，通过命令在服务器端开启HDFS的审计日志系统，审计日志内容包含了分布式文件的一些操作行为，然后，从审计日志中收集关键行为信息，将日志文件中的信息分类，依据关键词过滤，获取想要的信息，最后，整理得到的关键行为信息，建立行为分析模型；

行为分析模型的分析是检测程序的第二部分，当程序检测到有关键行为信息输入时，Petri网分析模型程序就开始分析工作，首先产生空的令牌，去接收整理之后的数据信息，此时，令牌包含了一组对文件操作的关键行为信息；令牌经由各个不同变迁的判断，触发其中的某几个变迁，最终令牌会到达某个判决位置，对令牌所经过的路径进行判决，做出响应，最后，令牌被回收。

其具体步骤如下：

步骤1：监控程序实时监控日志信息的变更，当日志信息变更，监控程序会立即做出响应，获取产生的日志信息；

步骤2：用过滤算法将获取的日志信息进行过滤删选，得到与检测相关的数据信息；

步骤3：整理过滤得到的数据信息，将其变形为<时间，用户名及IP地址，操作行为，文件路径，文件去向>的指定格式，并将上述的操作行为进行分类：

第一类、不能引起文件隐私信息泄露：创建文件、查看列表状态；

第二类、不恰当的文件操作但不会造成隐私信息泄露：删除文件、重命名文件、设置文件权限；

第三类、可能造成文件隐私信息泄露：打开文件；

第四类、会造成文件隐私信息泄露：获取文件内容、复制文件、移动文件；

结合泄露路径完整性原则与行为分类标准，建立完整的Petri网检测模型；

步骤4：激活Petri网检测模型，产生空的令牌，令牌经过模型的T1变迁，将被赋予整理之后的日志数据；

步骤5：T2，T3，T4，T5变迁会同时对令牌中的数据信息进行检测，当满足自身条件的变迁会被触发，令牌会经由此变迁进入下一个位置状态；

步骤6：当令牌到达判决位置时，判决位置会对令牌做出响应；

步骤7：响应结束之后，令牌会进入结束位置并被清零回收。

令牌的响应规则如下：

步骤6.1：当进行创建文件/查看列表状态操作时，不涉及文件内容泄露，此时，判决不给予响应；

步骤6.2：当进行删除文件/重命名文件/设置文件权限操作时，属于不正当操作，会被计入用户行为数据库，累计一定次数之后，做出警示响应；

步骤6.3：当进行打开文件操作时，涉及文件内容，有可能泄露文件内容，做出警示响应；

步骤6.4：当进行获取文件内容/复制文件/移动文件操作时，认定文件有极大的概率被泄露，此时记录用户信息进入行为数据库，并警示用户对文件的操作行为，返回用户操作的时间、IP地址、文件去向信息。

本发明一种云环境下基于Petri网的文件隐私泄露检测方法的有益效果是：

本发明一种基于Petri网的文件隐私信息泄露检测方法，利用HDFS的审计日志系统收集用户的行为信息。旨在维护云环境下用户文件信息安全，检测出不恰当的文件操作行为，并给予警示。该方法主要具有以下优点：

1)高效性：检测方法是以Petri网为模型的方法，Petri网的并发性与云计算的快速并行处理相结合，能够高效的检测出一些不恰当的文件操作行为，并给予警示。

2)实时性：用来检测的信息来源于HDFS的审计日志，审计日志是系统实时更新的，可以实时的获取信息并处理，然后传递给模型方法去处理信息得到结果，做到实时监控文件操作行为。

3)可行性：检测方法所用到行为信息是由系统日志产生，行为信息具有真实性，模型检测的方法也是由代码产生，无研究人员和用户的参与，具有很好的可行性。

附图说明

图1是基于Petri网完整的检测模型；

图2是整个检测方法工作流程图。

具体实施方式

一种基于Petri网的文件隐私信息泄露检测方法基于以下两点：首先，从日志系统筛选获取系统中用户的行为；其次，将得到的行为信息利用Petri网进行建模分析。利用Petri网的特性，可以同时从多个方面对信息进行分析，极大的提高了分析的效率。

云环境下对文件系统的操作检测可以很好的避免不正当行为引起的信息泄露。系统日志的实时更新也意味着检测方法能够实时对文件操作进行监控，对不正当的行为给以警报提示。日志信息快速准确的获取结合高效的Petri网建模分析方法，能够有效的发现不正当的文件行为，并给予警示。

本发明利用Petri网建模方法的优点，能够快速有效的检测出对文件的恶意行为。Petri网是一种适合于描述异步的、并发的计算机系统模型，拥有直观的图形表达方式，在软件设计，数据分析，协议验证等方面应用广泛。

Petri网是由位置、变迁、有向弧以及令牌等元素组成。位置用于描述可能的系统局部状态(条件或状况)；变迁用于描述修改系统状态的事件；有向弧用于描述局部状态和事件之间的关系。Petri网同样拥有一些规则：有向弧是有方向的，令牌不能反方向流动；两个位置或者变迁之间是不能有弧连接的；位置中可以拥有任意数量的令牌。当令牌经过若干个变迁之后到达最终位置时，就可依据令牌中的内容来判断相应模型所检测出来的结果。

综上，我们可以利用Petri网对文件的操作安全进行建模分析。

本发明主要是利用Petri网的建模方法对用户的文件操作行为进行建模分析。Petri网的并发特性能够同时依据不同的标准对各个不同的行为进行判定。

要想分析用户对文件的操作行为，就必须从文件系统日志中获取用户的行为信息：

基于Spark平台的云环境使用的是HDFS(Hadoop Distributed File System)，HDFS与一般的分布式文件系统一样，将数据存储在不同的节点之上。在云服务器上是无法直接查找其所处的位置，必须通过系统的分布式文件日志来获取其文件行为。首先，通过命令在服务器端开启HDFS的审计日志系统，审计日志内容包含了分布式文件的一些操作行为。例如：访问文件的用户、时间、IP地址，对文件的操作方法，文件的去向等。然后，从审计日志中收集我们需要的信息，将日志文件中的信息分类，依据关键词过滤，获取想要的信息。最后，整理得到的信息行为，建立行为分析模型。

依据泄露路径完整性原则来划分模型判定标准：

泄露路径完整性：当用户对一个文件进行某种操作后，文件被转移到另一条路径上，则称文件泄露路径为完整的，即发生了信息的泄露；反之，若用户并没有转移文件，则称泄露路径不完整，即可能发生信息的泄露。

审计日志里包括的关键信息：访问的时间(time)、访问者的状态(allowed)、访问者的用户名(ugi)、访问者的IP地址(ip)、访问者对文件的操作行为(cmd)、所访问的文件的路径(src)、文件的目的路径(dst)。

从日志信息里面过滤出上述的关键信息，用户对文件的操作行为(cmd):打开文件(open)，创建文件(create)，删除文件(delete)，重命名文件(rename)，查看列表状态(listStatus)，设置文件权限(setPermission)，获取文件内容(getfileinfo)，复制文件(copy)，移动文件(move)。可以将上述的行为进行分类：

1).不能引起文件隐私信息泄露：创建文件(create)、查看列表状态(listStatus)。

2).不恰当的文件操作但不会造成隐私信息泄露：删除文件(delete)、重命名文件(rename)、设置文件权限(setPermission)。

3).可能造成文件隐私信息泄露：打开文件(open)。

4).会造成文件隐私信息泄露：获取文件内容(getfileinfo)、复制文件(copy)、移动文件(move)。

结合泄露路径完整性原则与行为分类标准，可以建立完整的Petri网的分析模型。模型主要分为3类：不会发生文件隐私信息泄露的行为；可能发生文件隐私信息泄露的行为；造成文件隐私信息泄露的行为。

一、系统结构

本发明在结构上主要分为两个部分。云环境下用户文件操作行为的获取和Petri网检测模型的建立。

如今云环境下常用的分布式文件系统是Hadoop分布式文件系统(HadoopDistributed File System，HDFS)，云服务器上几乎所有的文件都是存储在HDFS上的。用户的文件操作行为信息是从HDFS的审计日志上获得，审计日志上信息是一条条产生的，产生的每条信息都会被实时的获取，然后将这条信息处理得到我们需要的格式：<时间，用户名及IP地址，操作行为，文件路径，文件去向>(<time，ugi/ip，cmd，src，dst>)。

Petri网模型是检测的主要部分，包含了检测的标准与方法。Petri网模型有4类位置：开始位置(startplace)、中间位置(midplace)、判决位置(judgeplace)、结束位置(endplace)。

用户对文件的各种操作在模型中表示引起令牌变化的变迁，每个变迁表示一类引起相同变化的操作。在文件操作中可以分为4类变化：create/listStatus(不造成文件内容泄露)；delete/rename/setPermission(不恰当操作但没造成文件内容泄露)；open(可能造成信息泄露)；getfileinfo/copy/move(造成了信息的泄露)。在模型中变迁就是每个判决关卡，只有满足相应条件，令牌才被允许通过，到达下一个位置状态。

位置和变迁之间由有向弧连接起来，这样就组成了一个完整的Petri网模型。

最后在判决位置会对用户的行为给以警示信息并记录进入用户行为数据库。

二、方法流程

1.开启审计日志。在云环境下通过配置log4j.properties文件开启HDFS审计日志，开启日志记录之后在主节点下的hdfs‐audit.log中会记录所有用户对分布式文件的操作。

2.获取日志信息。

◆实时的获取产生的每一条日志信息，将一条完整的信息导出。

◆将导出的信息进行变换过滤，过滤掉我们不需要或不关心的数据，变换成为<时间，用户名及IP地址，操作行为，文件路径，文件去向>(<time，ugi/ip，cmd，src，dst>)这样的格式，以便后续的操作。

3.建立完整的检测模型。

◆完整的Petri网模型如图1所示；

◆P1中的小黑点表示令牌，令牌格式为<时间，用户名及IP地址，操作行为，文件路径，文件去向>。

◆P1表示开始位置；P8是结束位置；P3、P4、P5、P7这些位置表示判决位置，当令牌到达这些位置时，表示文件进行了某种操作，判决位置会根据自身的条件作出不同的反应，若到达P7位置，则表示文件被移动到了某条路径上，发生了文件的信息泄露，在P7位置时就会根据令牌内容给用户一个警示。若到达的是P3位置，则不会发出警示。最后无论经过哪个位置，令牌都会被清零进入P8位置，等待下一轮的检测。剩下的P2和P6位置表示中间位置。

每一个变迁即每一类操作，如表1所示，表1表示模型中各个变迁表示的内容，不同的操作会造成不同的结果，也是对行为最直接的判断。

变迁	内容	变迁	内容
				T1	输入数据(给令牌赋值)	T5	getfileinfo/copy/move
T2	create/listStatus	T6	dst
				T3	open	T7	清空令牌内容
T4	delete/rename/setPermission

表1

表2表示审计日志中的信息类型。

表2

为了方便描述，以一个用户对一个分布式文件进行移动(move)操作为例。具体的实施步骤如下：

步骤1：数据信息<time,user/address,move,path1,path2>，此数据信息表示在time时间时，地址为address的user用户将path1路径的文件移动到了path2路径上，将此数据信息输入检测模型中。

步骤2：经过变迁T1，令牌被赋予数据信息，由于并发性，变迁T2、T3、T4、T5会同时进行判断。

步骤3：T5被触发，令牌由变迁T5进入到P6位置，然后经由T6进入判决位置P7。

步骤4：在P7位置，由于令牌中记录了完整的泄露路径(由path1到path2)，根据泄露路径完整性原则，系统会对用户给予一个警示并记录，表示发生了一次文件信息泄露的行为。

步骤5：经过T7位置，令牌清零，进入P8位置，继续进行下一次的检测。

Claims (1)

1.一种云环境下基于Petri网的文件隐私泄露检测方法，其特征在于，当计算机程序启动之后，监控程序就会开始监控在主节点之下生成的审计日志文件，一旦有新的日志信息生成，监控程序会立即去获取此信息，此时，检测程序被激活；

所述检测程序包括以下步骤，首先，通过命令在服务器端开启HDFS的审计日志系统，审计日志内容包含了分布式文件的一些操作行为，然后，从审计日志中收集关键行为信息，将日志文件中的信息分类，依据关键词过滤，获取想要的信息，最后，整理得到的关键行为信息，建立行为分析模型；

行为分析模型的分析是检测程序的第二部分，当程序检测到有关键行为信息输入时，Petri网分析模型程序就开始分析工作，首先产生空的令牌，去接收整理之后的数据信息，此时，令牌包含了一组对文件操作的关键行为信息；令牌经由各个不同变迁的判断，触发其中的某几个变迁，最终令牌会到达某个判决位置，对令牌所经过的路径进行判决，做出响应，最后，令牌被回收；

其具体步骤如下：

步骤1：监控程序实时监控日志信息的变更，当日志信息变更，监控程序会立即做出响应，获取产生的日志信息；

步骤2：用过滤算法将获取的日志信息进行过滤删选，得到与检测相关的数据信息；

步骤3：整理过滤得到的数据信息，将其变形为<时间，用户名及IP地址，操作行为，文件路径，文件去向>的指定格式，并将上述的操作行为进行分类：

第一类、不能引起文件隐私信息泄露：创建文件、查看列表状态；

第二类、不恰当的文件操作但不会造成隐私信息泄露：删除文件、重命名文件、设置文件权限；

第三类、可能造成文件隐私信息泄露：打开文件；

第四类、会造成文件隐私信息泄露：获取文件内容、复制文件、移动文件；

结合泄露路径完整性原则与行为分类标准，建立完整的Petri网检测模型；

步骤4：激活Petri网检测模型，产生空的令牌，令牌经过模型的位置状态T1变迁，将被赋予整理之后的日志数据；

步骤5：位置状态T2变迁，位置状态T3变迁，位置状态T4变迁，位置状态T5变迁会同时对令牌中的数据信息进行检测，当满足自身条件的变迁会被触发，令牌会经由此变迁进入下一个位置状态；

步骤6：当令牌到达判决位置时，判决位置会对令牌做出响应；

步骤7：响应结束之后，令牌会进入结束位置并被清零回收；

令牌的响应规则如下：

步骤6.1：当进行创建文件/查看列表状态操作时，不涉及文件内容泄露，此时，判决不给予响应；

步骤6.2：当进行删除文件/重命名文件/设置文件权限操作时，属于不正当操作，会被计入用户行为数据库，累计一定次数之后，做出警示响应；

步骤6.3：当进行打开文件操作时，涉及文件内容，有可能泄露文件内容，做出警示响应；

步骤6.4：当进行获取文件内容/复制文件/移动文件操作时，认定文件有极大的概率被泄露，此时记录用户信息进入行为数据库，并警示用户对文件的操作行为，返回用户操作的时间、IP地址、文件去向信息。