CN113542266A - 一种基于云模型的虚拟网元信任度量方法及系统 - Google Patents
一种基于云模型的虚拟网元信任度量方法及系统 Download PDFInfo
- Publication number
- CN113542266A CN113542266A CN202110790499.0A CN202110790499A CN113542266A CN 113542266 A CN113542266 A CN 113542266A CN 202110790499 A CN202110790499 A CN 202110790499A CN 113542266 A CN113542266 A CN 113542266A
- Authority
- CN
- China
- Prior art keywords
- virtual network
- network element
- trust
- cloud
- value
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000691 measurement method Methods 0.000 title claims abstract description 10
- 238000012544 monitoring process Methods 0.000 claims abstract description 72
- 230000005012 migration Effects 0.000 claims abstract description 41
- 238000013508 migration Methods 0.000 claims abstract description 41
- 238000005259 measurement Methods 0.000 claims abstract description 32
- 238000000034 method Methods 0.000 claims abstract description 27
- 238000011156 evaluation Methods 0.000 claims abstract description 24
- 238000004422 calculation algorithm Methods 0.000 claims abstract description 22
- 238000005070 sampling Methods 0.000 claims description 47
- 239000003795 chemical substances by application Substances 0.000 claims description 46
- 239000013598 vector Substances 0.000 claims description 12
- 230000008569 process Effects 0.000 claims description 11
- 238000012545 processing Methods 0.000 claims description 6
- 230000004931 aggregating effect Effects 0.000 claims description 5
- 238000013461 design Methods 0.000 claims description 5
- 230000006870 function Effects 0.000 description 16
- 238000005516 engineering process Methods 0.000 description 8
- 238000010295 mobile communication Methods 0.000 description 6
- 238000004364 calculation method Methods 0.000 description 3
- 238000004891 communication Methods 0.000 description 2
- 238000010276 construction Methods 0.000 description 2
- 238000010586 diagram Methods 0.000 description 2
- 230000004927 fusion Effects 0.000 description 2
- 230000007246 mechanism Effects 0.000 description 2
- 238000010606 normalization Methods 0.000 description 2
- 238000012502 risk assessment Methods 0.000 description 2
- 241000700605 Viruses Species 0.000 description 1
- 230000002776 aggregation Effects 0.000 description 1
- 238000004220 aggregation Methods 0.000 description 1
- 230000008901 benefit Effects 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 238000001514 detection method Methods 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 238000007499 fusion processing Methods 0.000 description 1
- 239000000203 mixture Substances 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000008520 organization Effects 0.000 description 1
- 230000000750 progressive effect Effects 0.000 description 1
- 230000001737 promoting effect Effects 0.000 description 1
- 230000004044 response Effects 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/08—Configuration management of networks or network elements
- H04L41/0893—Assignment of logical groups to network elements
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/12—Discovery or management of network topologies
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/14—Network analysis or design
- H04L41/145—Network analysis or design involving simulating, designing, planning or modelling of a network
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/06—Generation of reports
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer And Data Communications (AREA)
Abstract
本发明公开了一种基于云模型的虚拟网元信任度量方法及系统，方法包括：面向网络功能虚拟化架构对虚拟网元可信代理进行设计，对虚拟网元信任监控数据进行可信采集和上报；基于云模型的虚拟网元信任度量算法对监控数据进行信任值评估；对虚拟网元迁移信任值进行评估计算。本发明有效解决了基于虚拟网络功能架构中虚拟网元信任来源、信任监控数据可信采集和信任评估结果上报等问题。
Description
技术领域
本发明涉及5G移动通信技术领域，尤其涉及一种基于云模型的虚拟网元信任度量方法及系统。
背景技术
5G移动通信技术的快速发展，以及与其他技术的不断融合，成为了推动各行各业前进的新动能。5G移动通信技术基于网络功能虚拟化技术实现了网元在如容器、虚拟机等虚拟化平台上的部署，具有构建时间和成本低，灵活组排，弹性扩展等优点。
在现有的5G部署架构中，面临垂直行业用户与运营商网络的信任问题。同时，这个信任是一个双向的关系。现在5G网络中针对垂直用户部署方式存在多种形式，但是除了以自有频段自建通信网络与公有网络完全隔离之外，总会涉及到上诉的信任问题。例如，垂直行业用户的服务部署以核心网网关的形式来部署其服务。因此，在这种运营商与垂直行业深度交融的情况下，垂直行业用户租用运营商的网络服务，将自己企业服务部署在5G中就需要对运营商的服务进行信任评估，来确保服务的安全可靠；而运营商与垂直行业的用户之间的服务，也必定会是一个深度融合的过程，这样的融合会导致运营商配置接口的开放等问题，会加大运营商的攻击面，因此，运营商需要确保垂直行业用户的服务的安全可靠才能保证自身网络的安全。
网络功能技术基于虚拟化技术将业务网元整合到x86通用设备中，实现了通信网络软硬件解耦，通过对计算、存储和网络等硬件基础设施编排管理，完成了虚拟网元全生命周期管理和服务功能链构建，为网络提供可移植、可伸缩、高性能、稳定和安全的业务服务。在由虚拟网元组成的5G移动通信系统中，如何提高虚拟网元的安全性，完成对虚拟网元可信度进行评估，是实现安全5G移动通信系统的第一步。
当前大部分网络安全系统主要是由防火墙、入侵监测和病毒查杀等安全设施组成。基于已知特征检测的防护手段难以解决云计算等新兴环境下复杂的网络安全问题。因此，针对云原生的5G网络安全需求，可信计算技术可为云化网络基础设施提供内生安全机制。
国际通信组织通过利用可信计算技术，设置了6个虚拟网元完整性保护等级，其中最低等级无完整性检查，最高等级增加了运行期间VNF(Virtual Network Function，虚拟网元)的度量。因此，虚拟网元的完整性保证水平也代表了虚拟网元的安全水平。在虚拟网元安全性方面，需要建立虚拟网元安全性风险评估策略。虚拟网元的风险评估策略可从虚拟网元的安全威胁、功能重要程度和当前的安全措施等因素对虚拟网元安全风险进行。同时，也可以根据实际部署情况添加其他的相关安全属性作为虚拟网元安全性的信任来源。虚拟网元的信任数据应当是多维、可配置的，信任数据的来源可为虚拟网元服务质量相关的监控数据、虚拟网元完整性保证水平等。将对移动通信网络虚拟网元的信任定义为虚拟网元能够按照预期方式行动的期望。在网络功能虚拟化架构下虚拟网元信任度量需要解决信任来源、信任监控数据可信采集和上报等问题。
发明内容
有鉴于此，本发明提供了一种基于云模型的虚拟网元信任度量方法，有效解决了基于虚拟网络功能架构中虚拟网元信任来源、信任监控数据可信采集和信任评估结果上报等问题。
本发明提供了一种基于云模型的虚拟网元信任度量方法，包括：
面向网络功能虚拟化架构对虚拟网元可信代理进行设计，对虚拟网元信任监控数据进行可信采集和上报；
基于云模型的虚拟网元信任度量算法对所述监控数据进行信任值评估；
对虚拟网元迁移信任值进行评估计算。
优选地，所述面向网络功能虚拟化架构对虚拟网元可信代理进行设计，对虚拟网元信任监控数据进行可信采集和上报，包括：
在虚拟网元上线时，通过虚拟网元可信代理模块向虚拟网元信任管理模块告知所述虚拟网元的相关信息；
基于所述虚拟网元中的vTPM，通过所述虚拟网元信任管理模块对所述虚拟网元进行远程证明，并分配相关会话密钥；
根据业务需求，通过所述虚拟网元信任管理模块向所述虚拟网元可信代理模块下放信任监控策略；
通过所述虚拟网元可信代理模块根据信任监控策略，向所述虚拟网元信任管理模块上传vTPM签名后的信任监控数据；
通过所述虚拟网元信任管理模块基于所述信任监控数据计算虚拟网元信任值；
当需要更新虚拟网元信任值时，通过所述虚拟网元信任管理模块向所述虚拟网元可信代理模块询问最新的监控数据；
通过所述虚拟网元可信代理模块向所述虚拟网元信任管理模块提供最新的监控数据；
当所述虚拟网元信任管理模块多次询问所述虚拟网元可信代理模块未得到响应时，可判定虚拟网元下线，结束虚拟网元信任度量流程；或所述虚拟网元可信代理模块告知所述虚拟网元信任管理模块将结束服务时，结束虚拟网元信任度量流程。
优选地，所述基于云模型的虚拟网元信任度量算法对所述监控数据进行信任值评估，包括：
对m维安全相关属性进行采样，其中，采样周期为T，T为常数，将m维中安全属性s的监控采样数据记为Xs{xs1,xs2…xs(n-1),xsn}，其中1≤s≤m，n为采样数据窗口长度；
将采样得到的安全属性s数量为n的数据送入单属性云模型，计算出安全属性s的云模型，记作
其中，
为m维中安全属性s的监控采样数据的云模型熵值，
为m维中安全属性s信任向量的均值，
为m维中安全属性s的监控采样数据的信任元超熵；
对m维云模型进行聚合，得到虚拟网元主体信任云，记作TM'(Ex',En',Ehe')，其中，Ex'表示虚拟网元历史信任云期望，En'表示虚拟网元历史信任云熵，Ehe'表示虚拟网元历史信任云超熵；
对所述虚拟网元主体信任云进行更新；
通过主体信任云参数计算单个虚拟网元的信任等级。
优选地，所述对虚拟网元迁移信任值进行评估计算，包括：
在虚拟网元迁移后n*T时间内，将所述虚拟网元迁移前信任值MTV与迁移后根据采样数据实时计算出的信任值TV'作为虚拟网元信任来源；
在惩戒时间n*T内对虚拟网元迁移后的信任值进行惩戒，得到虚拟网元迁移后信任值TV＝ε*(MTV-P)+ξ*λ*TV'，其中，MTV为虚拟网元迁移前信任值，TV'为迁移后根据采样数据实时计算出的信任值，ε和ξ为迁移权值向量，满足ε+ξ＝1，P为惩戒因子，λ为迁移信任惩戒因子；
在惩戒时间过去后，直接通过虚拟网元信任算法计算信任值TV。
优选地，所述P＝10，λ＝0.8。
一种基于云模型的虚拟网元信任度量系统，包括：
处理模块，用于面向网络功能虚拟化架构对虚拟网元可信代理进行设计，对虚拟网元信任监控数据进行可信采集和上报；
第一评估模块，用于基于云模型的虚拟网元信任度量算法对所述监控数据进行信任值评估；
第二评估模块，用于对虚拟网元迁移信任值进行评估计算。
优选地，所述处理模块具体用于：
在虚拟网元上线时，通过虚拟网元可信代理模块向虚拟网元信任管理模块告知所述虚拟网元的相关信息；
基于所述虚拟网元中的vTPM，通过所述虚拟网元信任管理模块对所述虚拟网元进行远程证明，并分配相关会话密钥；
根据业务需求，通过所述虚拟网元信任管理模块向所述虚拟网元可信代理模块下放信任监控策略；
通过所述虚拟网元可信代理模块根据信任监控策略，向所述虚拟网元信任管理模块上传vTPM签名后的信任监控数据；
通过所述虚拟网元信任管理模块基于所述信任监控数据计算虚拟网元信任值；
当需要更新虚拟网元信任值时，通过所述虚拟网元信任管理模块向所述虚拟网元可信代理模块询问最新的监控数据；
通过所述虚拟网元可信代理模块向所述虚拟网元信任管理模块提供最新的监控数据；
当所述虚拟网元信任管理模块多次询问所述虚拟网元可信代理模块未得到响应时，可判定虚拟网元下线，结束虚拟网元信任度量流程；或所述虚拟网元可信代理模块告知所述虚拟网元信任管理模块将结束服务时，结束虚拟网元信任度量流程。
优选地，所述第一评估模块具体用于：
对m维安全相关属性进行采样，其中，采样周期为T，T为常数，将m维中安全属性s的监控采样数据记为Xs{xs1,xs2...xs(n-1),xsn}，其中1≤s≤m，n为采样数据窗口长度；
将采样得到的安全属性s数量为n的数据送入单属性云模型，计算出安全属性s的云模型，记作
其中，
为m维中安全属性s的监控采样数据的云模型熵值，
为m维中安全属性s信任向量的均值，
为m维中安全属性s的监控采样数据的信任元超熵；
对m维云模型进行聚合，得到虚拟网元主体信任云，记作TM'(Ex',En',Ehe')，其中，Ex'表示虚拟网元历史信任云期望，En'表示虚拟网元历史信任云熵，Ehe'表示虚拟网元历史信任云超熵；
对所述虚拟网元主体信任云进行更新；
通过主体信任云参数计算单个虚拟网元的信任等级。
优选地，所述第二评估模块具体用于：
在虚拟网元迁移后n*T时间内，将所述虚拟网元迁移前信任值MTV与迁移后根据采样数据实时计算出的信任值TV'作为虚拟网元信任来源；
在惩戒时间n*T内对虚拟网元迁移后的信任值进行惩戒，得到虚拟网元迁移后信任值TV＝ε*(MTV-P)+ξ*λ*TV'，其中，MTV为虚拟网元迁移前信任值，TV'为迁移后根据采样数据实时计算出的信任值，ε和ξ为迁移权值向量，满足ε+ξ＝1，P为惩戒因子，λ为迁移信任惩戒因子；
在惩戒时间过去后，直接通过虚拟网元信任算法计算信任值TV。
优选地，所述P＝10，λ＝0.8。
综上所述，本发明公开了一种基于云模型的虚拟网元信任度量方法，首先面向网络功能虚拟化架构对虚拟网元可信代理进行设计，对虚拟网元信任监控数据进行可信采集和上报；然后基于云模型的虚拟网元信任度量算法对所述监控数据进行信任值评估；对虚拟网元迁移信任值进行评估计算。本发明通过在标准虚拟网络功能架构中添加可信代理，通过vTPM对虚拟网元及其相关组件进行信任链扩展，完成完整性度量保护，实现可监控数据源的可信采集；另外，考虑到采集到的多维监控数据具有复杂性和多样性，采用基于云模型的虚拟网元信任度量算法，其特点是可以从多维虚拟网元的安全监控数据中计算出信任值，具有良好的拟合性和鲁棒性；考虑到特殊虚拟网元应用场景需要涉及负载均衡和冗余备份，增加了虚拟网元的迁移场景信任值计算；有效解决了基于虚拟网络功能架构中虚拟网元信任来源、信任监控数据可信采集和信任评估结果上报等问题。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明公开的一种基于云模型的虚拟网元信任度量方法的流程图；
图2为本发明公开的一种基于云模型的虚拟网元信任度量系统的结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
如图1所示，为本发明公开的一种基于云模型的虚拟网元信任度量方法的流程图，所述方法可以包括以下步骤：
S101、面向网络功能虚拟化架构对虚拟网元可信代理进行设计，对虚拟网元信任监控数据进行可信采集和上报；
具体的，可以包括以下步骤：
步骤1.1：在虚拟网元上线时，通过虚拟网元可信代理模块向虚拟网元信任管理模块告知虚拟网元的相关信息；
步骤1.2：基于虚拟网元中的vTPM(VirturalTrusted Platform Module，云环境的虚拟机)，通过虚拟网元信任管理模块对所述虚拟网元进行远程证明，确保虚拟元安全，并分配相关会话密钥；
步骤1.3：根据业务需求，通过虚拟网元信任管理模块向虚拟网元可信代理模块下放信任监控策略；
步骤1.4：通过虚拟网元可信代理模块根据信任监控策略，向虚拟网元信任管理模块上传vTPM签名后的信任监控数据，实现了监控数据的可信上传；
步骤1.5：通过虚拟网元信任管理模块基于信任监控数据计算虚拟网元信任值，完成虚拟网元的信任度量；
步骤1.6：当需要更新虚拟网元信任值时，通过虚拟网元信任管理模块向虚拟网元可信代理模块询问最新的监控数据；
步骤1.7：通过虚拟网元可信代理模块向虚拟网元信任管理模块提供最新的监控数据；
步骤1.8：当虚拟网元信任管理模块多次询问虚拟网元可信代理模块未得到响应时，可判定虚拟网元下线，结束虚拟网元信任度量流程；或虚拟网元可信代理模块告知虚拟网元信任管理模块将结束服务时，结束虚拟网元信任度量流程。
S102、基于云模型的虚拟网元信任度量算法对监控数据进行信任值评估；
具体的，可以包括以下步骤：
步骤2.1：对m维安全相关属性进行采样，其中，采样周期为T，T为常数，将m维中安全属性s的监控采样数据记为Xs{xs1,xs2...xs(n-1),xsn}，其中1≤s≤m，n为采样数据窗口长度，一般令n＝N。根据上述可知，安全数据采样窗口时间为Time＝n*T。为解决采样数据不足的问题，若虚拟网元采样时间ST小于Time时，令
其他情况n＝N。
步骤2.2：将采样得到的安全属性s数量为n的数据送入单属性云模型，计算出安全属性s的云模型，记作
其中，
为m维中安全属性s的监控采样数据的云模型熵值，
为m维中安全属性s信任向量的均值，
为m维中安全属性s的监控采样数据的信任元超熵。
其中，步骤2.2具体可以通过以下步骤实现：
步骤2.2.1：根据公式
计算采样窗口内数据的均值作为该属性云模型的均值，其中，
表示计算信任向量的均值，xsi表示i取1到n范围内的监控采样数据Xs。
步骤2.2.2：根据公式
计算采样窗口内数据的方差，得云模型的熵值。
步骤2.2.3：根据公式
计算采样窗口内数据的标准差，得云模型的超熵。
步骤2.2.4：返回单属性云模型参数
步骤2.3：计算出虚拟网元单属性云模型参数后，需要对m维云模型进行聚合，将m维信任云聚合而成的云称为主体信任云，记作TM'(Ex',En',Ehe')，其中，Ex'表示虚拟网元历史信任云期望，En'表示虚拟网元历史信任云熵，Ehe'表示虚拟网元历史信任云超熵。在聚合主体信任云时，各属性信任云重要程度不同，需要为各安全属性提前设置聚合权重ωs，形式为
其中ω是归一的。
其中，步骤2.3具体可以通过以下步骤实现：
步骤2.3.1：根据公式计算ψj←1/(1+ej-T)不同历史云权重向量，其中，ψj表示历史信任云中第j个历史信任云权重，T是虚拟网元历史信任云调节参数。
步骤2.3.2：将参数根据公式
进行归一化处理。
步骤2.3.3：根据公式
计算主体信任云TM的期望，其中，Exj表示主体信任云TM的期望，TM表示主体信任云模型参数集合，包括(Ex,En,Ehe)。
步骤2.3.4：根据公式
计算主体信任云TM的熵，其中，假设，虚拟网元总采样次数为N次，由
可以得出历史主体信任云数量为h个，Enj表示当处于h个主体信任云内的第j个信任云熵值。
步骤2.3.5：根据公式
计算主体信任云TM的超熵，其中，假设虚拟网元总采样次数为N次，由
可以得出历史主体信任云数量为h个，Ehej表示当处于h个主体信任云内的第j个信任云超熵值。
步骤2.3.6：根据公式TM[Ex,En,Ehe]返回主体信任云。
步骤2.4：虚拟网元主体信任云更新。
其中，步骤2.4具体可以通过以下步骤实现：
步骤2.4.1：计算历史信任云权重TMH。
步骤2.4.2：根据历史信任云参数计算归一化参数。
步骤2.4.3：分别根据权重参数计算虚拟网元更新后的主体信任云的期望、熵值和超熵三个参数。
步骤2.5通过主体信任云参数计算单个虚拟网元的信任等级。
其中，步骤2.5具体可以通过以下步骤实现：
步骤2.5.1：基于正向云发生器将定性概念转换到定量概念，其中正向发生器算法分为(1)根据两层正态随机函数，生成云滴x；(2)计算云滴x的隶属度μT；(3)返回云滴drop(x,μT)三个子过程。
步骤2.5.2：可依据虚拟网元主体云参数产生云滴。在产生足够的主体信任云云滴后，通过虚拟网元信任值计算算法可计算出虚拟网元信任值TV。
步骤2.5.3：利用云模型正向发生器生成虚拟网元主体信任云TM(Ex,En,Ehe)云滴N个，其中N要足够大能满足误差要求。
步骤2.5.4：分别计算云滴在不同
隶属度ηij，其中i为云滴标号，j为信任云标号。
步骤2.5.5：根据云滴隶属度对不同信任云TCj分别计算相似度。
步骤2.5.6：将6个信任云TCj按照相似度进行加权平均，最终得到虚拟网元信任值。
S103、对虚拟网元迁移信任值进行评估计算。
当虚拟网元从熟悉的环境迁移到陌生环境后，基础环境的变化将导致虚拟网元可信程度的下降。因此，需要对虚拟网元的迁移进行信任惩戒，防止恶意节点依靠迁移机制恶意刷新信任值。具体的，可以包括以下步骤：
步骤3.1：虚拟网元迁移后n*T时间内，将虚拟网元迁移前信任值MTV与迁移后根据采样数据实时计算出的信任值TV'作为虚拟网元信任来源。
步骤3.2：在惩戒时间n*T内对虚拟网元迁移后的信任值进行惩戒，可得虚拟网元迁移后信任值为TV＝ε*(MTV-P)+ξ*λ*TV'，MTV为虚拟网元迁移前信任值，TV'为迁移后根据采样数据实时计算出的信任值，ε和ξ为迁移权值向量，满足ε+ξ＝1，P为惩戒因子，可根据情况选取，根据信任云设计，推荐选择P＝10，在虚拟网元迁移后下降一个信任等级。λ为迁移信任惩戒因子，设置为λ＝0.8。
步骤3.3：在惩戒时间过去后，直接通过虚拟网元信任算法计算信任值TV。
综上所述，针对虚拟网元的信任度量过程中信任源数据无法实现可信采集、信任评估结果上报的问题，本发明在标准虚拟网络架构中融入了可信代理，完成了信任链扩展，实现了对虚拟网元完整性度量保护，监控数据的可信采集。针对虚拟网元的源可信监控数据具有复杂性和多样性，传统信任度量评估算法无法对其信任值进行有效评估的问题，本发明提出可基于云模型的虚拟网元信任度量算法，从多维虚拟网元的安全监控数据中计算出信任值，具有良好的拟合性和鲁棒性。针对在5G特殊场景下，考虑到特殊虚拟网元应用场景需要涉及负载均衡和冗余备份，本发明增加了虚拟网元的迁移场景信任值计算。
如图2所示，为本发明公开的一种基于云模型的虚拟网元信任度量系统的结构示意图，所述系统可以包括：
处理模块201，用于面向网络功能虚拟化架构对虚拟网元可信代理进行设计，对虚拟网元信任监控数据进行可信采集和上报；
第一评估模块202，用于基于云模型的虚拟网元信任度量算法对监控数据进行信任值评估；
第二评估模块203，用于对虚拟网元迁移信任值进行评估计算。
本实施例公开的基于云模型的虚拟网元信任度量系统的工作原理，与上述基于云模型的虚拟网元信任度量方法的工作原理相同，在此不再赘述。
本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。
专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。
结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。
对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。
Claims (10)
1.一种基于云模型的虚拟网元信任度量方法，其特征在于，包括：
面向网络功能虚拟化架构对虚拟网元可信代理进行设计，对虚拟网元信任监控数据进行可信采集和上报；
基于云模型的虚拟网元信任度量算法对所述监控数据进行信任值评估；
对虚拟网元迁移信任值进行评估计算。
2.根据权利要求1所述的方法，其特征在于，所述面向网络功能虚拟化架构对虚拟网元可信代理进行设计，对虚拟网元信任监控数据进行可信采集和上报，包括：
在虚拟网元上线时，通过虚拟网元可信代理模块向虚拟网元信任管理模块告知所述虚拟网元的相关信息；
基于所述虚拟网元中的vTPM，通过所述虚拟网元信任管理模块对所述虚拟网元进行远程证明，并分配相关会话密钥；
根据业务需求，通过所述虚拟网元信任管理模块向所述虚拟网元可信代理模块下放信任监控策略；
通过所述虚拟网元可信代理模块根据信任监控策略，向所述虚拟网元信任管理模块上传vTPM签名后的信任监控数据；
通过所述虚拟网元信任管理模块基于所述信任监控数据计算虚拟网元信任值；
当需要更新虚拟网元信任值时，通过所述虚拟网元信任管理模块向所述虚拟网元可信代理模块询问最新的监控数据；
通过所述虚拟网元可信代理模块向所述虚拟网元信任管理模块提供最新的监控数据；
当所述虚拟网元信任管理模块多次询问所述虚拟网元可信代理模块未得到响应时，可判定虚拟网元下线，结束虚拟网元信任度量流程；或所述虚拟网元可信代理模块告知所述虚拟网元信任管理模块将结束服务时，结束虚拟网元信任度量流程。
3.根据权利要求2所述的方法，其特征在于，所述基于云模型的虚拟网元信任度量算法对所述监控数据进行信任值评估，包括：
对m维安全相关属性进行采样，其中，采样周期为T，T为常数，将m维中安全属性s的监控采样数据记为Xs{xs1,xs2...xs(n-1),xsn}，其中1≤s≤m，n为采样数据窗口长度；
将采样得到的安全属性s数量为n的数据送入单属性云模型，计算出安全属性s的云模型，记作
其中，
为m维中安全属性s的监控采样数据的云模型熵值，
为m维中安全属性s信任向量的均值，
为m维中安全属性s的监控采样数据的信任元超熵；
对m维云模型进行聚合，得到虚拟网元主体信任云，记作TM'(Ex',En',Ehe')，其中，Ex'表示虚拟网元历史信任云期望，En'表示虚拟网元历史信任云熵，Ehe'表示虚拟网元历史信任云超熵；
对所述虚拟网元主体信任云进行更新；
通过主体信任云参数计算单个虚拟网元的信任等级。
4.根据权利要求3所述的方法，其特征在于，所述对虚拟网元迁移信任值进行评估计算，包括：
在虚拟网元迁移后n*T时间内，将所述虚拟网元迁移前信任值MTV与迁移后根据采样数据实时计算出的信任值TV'作为虚拟网元信任来源；
在惩戒时间n*T内对虚拟网元迁移后的信任值进行惩戒，得到虚拟网元迁移后信任值TV＝ε*(MTV-P)+ξ*λ*TV'，其中，MTV为虚拟网元迁移前信任值，TV'为迁移后根据采样数据实时计算出的信任值，ε和ξ为迁移权值向量，满足ε+ξ＝1，P为惩戒因子，λ为迁移信任惩戒因子；
在惩戒时间过去后，直接通过虚拟网元信任算法计算信任值TV。
5.根据权利要求4所述的方法，其特征在于，所述P＝10，λ＝0.8。
6.一种基于云模型的虚拟网元信任度量系统，其特征在于，包括：
处理模块，用于面向网络功能虚拟化架构对虚拟网元可信代理进行设计，对虚拟网元信任监控数据进行可信采集和上报；
第一评估模块，用于基于云模型的虚拟网元信任度量算法对所述监控数据进行信任值评估；
第二评估模块，用于对虚拟网元迁移信任值进行评估计算。
7.根据权利要求6所述的系统，其特征在于，所述处理模块具体用于：
在虚拟网元上线时，通过虚拟网元可信代理模块向虚拟网元信任管理模块告知所述虚拟网元的相关信息；
基于所述虚拟网元中的vTPM，通过所述虚拟网元信任管理模块对所述虚拟网元进行远程证明，并分配相关会话密钥；
根据业务需求，通过所述虚拟网元信任管理模块向所述虚拟网元可信代理模块下放信任监控策略；
通过所述虚拟网元可信代理模块根据信任监控策略，向所述虚拟网元信任管理模块上传vTPM签名后的信任监控数据；
通过所述虚拟网元信任管理模块基于所述信任监控数据计算虚拟网元信任值；
当需要更新虚拟网元信任值时，通过所述虚拟网元信任管理模块向所述虚拟网元可信代理模块询问最新的监控数据；
通过所述虚拟网元可信代理模块向所述虚拟网元信任管理模块提供最新的监控数据；
当所述虚拟网元信任管理模块多次询问所述虚拟网元可信代理模块未得到响应时，可判定虚拟网元下线，结束虚拟网元信任度量流程；或所述虚拟网元可信代理模块告知所述虚拟网元信任管理模块将结束服务时，结束虚拟网元信任度量流程。
8.根据权利要求7所述的系统，其特征在于，所述第一评估模块具体用于：
对m维安全相关属性进行采样，其中，采样周期为T，T为常数，将m维中安全属性s的监控采样数据记为Xs{xs1,xs2...xs(n-1),xsn}，其中1≤s≤m，n为采样数据窗口长度；
将采样得到的安全属性s数量为n的数据送入单属性云模型，计算出安全属性s的云模型，记作
其中，
为m维中安全属性s的监控采样数据的云模型熵值，
为m维中安全属性s信任向量的均值，
为m维中安全属性s的监控采样数据的信任元超熵；
对m维云模型进行聚合，得到虚拟网元主体信任云，记作TM'(Ex',En',Ehe')，其中，Ex'表示虚拟网元历史信任云期望，En'表示虚拟网元历史信任云熵，Ehe'表示虚拟网元历史信任云超熵；
对所述虚拟网元主体信任云进行更新；
通过主体信任云参数计算单个虚拟网元的信任等级。
9.根据权利要求8所述的系统，其特征在于，所述第二评估模块具体用于：
在虚拟网元迁移后n*T时间内，将所述虚拟网元迁移前信任值MTV与迁移后根据采样数据实时计算出的信任值TV'作为虚拟网元信任来源；
在惩戒时间n*T内对虚拟网元迁移后的信任值进行惩戒，得到虚拟网元迁移后信任值TV＝ε*(MTV-P)+ξ*λ*TV'，其中，MTV为虚拟网元迁移前信任值，TV'为迁移后根据采样数据实时计算出的信任值，ε和ξ为迁移权值向量，满足ε+ξ＝1，P为惩戒因子，λ为迁移信任惩戒因子；
在惩戒时间过去后，直接通过虚拟网元信任算法计算信任值TV。
10.根据权利要求9所述的系统，其特征在于，所述P＝10，λ＝0.8。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202110790499.0A CN113542266B (zh) | 2021-07-13 | 2021-07-13 | 一种基于云模型的虚拟网元信任度量方法及系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202110790499.0A CN113542266B (zh) | 2021-07-13 | 2021-07-13 | 一种基于云模型的虚拟网元信任度量方法及系统 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN113542266A true CN113542266A (zh) | 2021-10-22 |
| CN113542266B CN113542266B (zh) | 2022-09-27 |
Family
ID=78098932
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202110790499.0A Active CN113542266B (zh) | 2021-07-13 | 2021-07-13 | 一种基于云模型的虚拟网元信任度量方法及系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN113542266B (zh) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2023216913A1 (zh) * | 2022-05-08 | 2023-11-16 | 华为技术有限公司 | 通信方法及装置 |
| WO2024108583A1 (zh) * | 2022-11-25 | 2024-05-30 | 华为技术有限公司 | 可信度量方法、装置及系统 |
Citations (13)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20100251334A1 (en) * | 2007-11-16 | 2010-09-30 | China Iwncomm Co., Ltd | Trusted network access control system based ternary equal identification |
| CN103348652A (zh) * | 2010-12-06 | 2013-10-09 | 交互数字专利控股公司 | 具有域信任评估和域策略管理功能的智能卡 |
| CN104065651A (zh) * | 2014-06-09 | 2014-09-24 | 上海交通大学 | 一种面向云计算的信息流可信保障机制 |
| CN104469836A (zh) * | 2014-11-24 | 2015-03-25 | 河海大学常州校区 | 一种建立水下传感器网络中多维度信任模型的方法 |
| US20160156593A1 (en) * | 2013-07-01 | 2016-06-02 | Nokia Technologies Oy | Method and Apparatus for Anonymous Authentication on Trust in Social Networking |
| CN106796638A (zh) * | 2014-09-25 | 2017-05-31 | 迈克菲股份有限公司 | 使用飞地认证进行数据验证 |
| CN106790294A (zh) * | 2017-03-10 | 2017-05-31 | 北京科技大学 | 一种5g网络安全风险评估方法 |
| CN107545184A (zh) * | 2017-08-17 | 2018-01-05 | 大唐高鸿信安（浙江）信息科技有限公司 | 云主机的可信度量系统及方法 |
| US20180139223A1 (en) * | 2015-06-15 | 2018-05-17 | Nokia Technologies Oy | Control of unwanted network traffic |
| US20180375647A1 (en) * | 2015-12-22 | 2018-12-27 | Nokia Technologies Oy | Flexible security channel establishment in d2d communications |
| CN109165079A (zh) * | 2018-08-07 | 2019-01-08 | 郑州云海信息技术有限公司 | 基于虚拟化的云数据中心可信平台、信任链构建方法、迁移方法 |
| CN109194717A (zh) * | 2018-08-07 | 2019-01-11 | 北京天元创新科技有限公司 | 一种基于oss的集客业务实施方法及装置 |
| CN110197062A (zh) * | 2019-05-29 | 2019-09-03 | 轲飞(北京)环保科技有限公司 | 一种虚拟机动态访问控制方法及控制系统 |
-
2021
- 2021-07-13 CN CN202110790499.0A patent/CN113542266B/zh active Active
Patent Citations (13)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20100251334A1 (en) * | 2007-11-16 | 2010-09-30 | China Iwncomm Co., Ltd | Trusted network access control system based ternary equal identification |
| CN103348652A (zh) * | 2010-12-06 | 2013-10-09 | 交互数字专利控股公司 | 具有域信任评估和域策略管理功能的智能卡 |
| US20160156593A1 (en) * | 2013-07-01 | 2016-06-02 | Nokia Technologies Oy | Method and Apparatus for Anonymous Authentication on Trust in Social Networking |
| CN104065651A (zh) * | 2014-06-09 | 2014-09-24 | 上海交通大学 | 一种面向云计算的信息流可信保障机制 |
| CN106796638A (zh) * | 2014-09-25 | 2017-05-31 | 迈克菲股份有限公司 | 使用飞地认证进行数据验证 |
| CN104469836A (zh) * | 2014-11-24 | 2015-03-25 | 河海大学常州校区 | 一种建立水下传感器网络中多维度信任模型的方法 |
| US20180139223A1 (en) * | 2015-06-15 | 2018-05-17 | Nokia Technologies Oy | Control of unwanted network traffic |
| US20180375647A1 (en) * | 2015-12-22 | 2018-12-27 | Nokia Technologies Oy | Flexible security channel establishment in d2d communications |
| CN106790294A (zh) * | 2017-03-10 | 2017-05-31 | 北京科技大学 | 一种5g网络安全风险评估方法 |
| CN107545184A (zh) * | 2017-08-17 | 2018-01-05 | 大唐高鸿信安（浙江）信息科技有限公司 | 云主机的可信度量系统及方法 |
| CN109165079A (zh) * | 2018-08-07 | 2019-01-08 | 郑州云海信息技术有限公司 | 基于虚拟化的云数据中心可信平台、信任链构建方法、迁移方法 |
| CN109194717A (zh) * | 2018-08-07 | 2019-01-11 | 北京天元创新科技有限公司 | 一种基于oss的集客业务实施方法及装置 |
| CN110197062A (zh) * | 2019-05-29 | 2019-09-03 | 轲飞(北京)环保科技有限公司 | 一种虚拟机动态访问控制方法及控制系统 |
Non-Patent Citations (2)
| Title |
|---|
| SHANGGUANG WANG: "《Reputation_Measurement_of_Cloud_Services_Based_on_Unstable_Feedback_Ratings》", 《19TH IEEE INTERNATIONAL CONFERENCE ON PARALLEL AND DISTRIBUTED SYSTEMS》 * |
| 孙磊等: "《基于隶属度理论的云服务行为信任评估模型研究》", 《计算机应用研究》 * |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2023216913A1 (zh) * | 2022-05-08 | 2023-11-16 | 华为技术有限公司 | 通信方法及装置 |
| WO2024108583A1 (zh) * | 2022-11-25 | 2024-05-30 | 华为技术有限公司 | 可信度量方法、装置及系统 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN113542266B (zh) | 2022-09-27 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN108494810B (zh) | 面向攻击的网络安全态势预测方法、装置及系统 | |
| US8392760B2 (en) | Diagnosing abnormalities without application-specific knowledge | |
| CN104850727B (zh) | 基于云重心理论的分布式大数据系统风险评估方法 | |
| CN113542266B (zh) | 一种基于云模型的虚拟网元信任度量方法及系统 | |
| CN102970164B (zh) | 一种云平台管理监控系统及方法 | |
| WO2012018574A1 (en) | System and method to measure and track trust | |
| Tang et al. | Reputation-aware data fusion and malicious participant detection in mobile crowdsensing | |
| CN109639648A (zh) | 一种基于采集数据异常的采集策略生成方法及系统 | |
| Aral et al. | Quality of service channelling for latency sensitive edge applications | |
| Sadu et al. | Resilient design of distribution grid automation system against cyber-physical attacks using blockchain and smart contract | |
| CN113806017A (zh) | 云计算中虚拟机初始部署的方法、系统、设备和存储介质 | |
| CN117580046A (zh) | 一种基于深度学习的5g网络动态安全能力调度方法 | |
| CN114172819A (zh) | Nfv网元的需求资源预测方法、系统、电子设备和存储介质 | |
| Repantis et al. | QoS-aware shared component composition for distributed stream processing systems | |
| CN113490231A (zh) | 一种网络切片的可用性保障方法及装置 | |
| Jin et al. | DRIC: dependable grid computing framework | |
| CN117336228A (zh) | 一种基于机器学习的igp仿真推荐方法、装置及介质 | |
| CN116915432A (zh) | 一种算力网络安全编排方法、装置、设备及存储介质 | |
| CN112182848A (zh) | 一种面向武器装备仿真的建模与仿真服务质量度量方法 | |
| CN114401134A (zh) | 一种端边协同的物联网分布式可信管理方法 | |
| Dong et al. | Navigating High-Degree Heterogeneity: Federated Learning in Aerial and Space Networks | |
| Kurisaka et al. | An Evaluation of IoT Device Performance in Ethereum-Based IoT System | |
| CN118210693B (zh) | 一种智能设备rms评估方法及性能评估系统 | |
| CN104216702A (zh) | 在联网计算环境中授权操作请求的方法和系统 | |
| CN118069460B (zh) | 一种应用性能自动监测与优化方法和系统 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant | ||
| CP03 | Change of name, title or address |
Address after: 450000 Science Avenue 62, Zhengzhou High-tech Zone, Henan Province Patentee after: Information Engineering University of the Chinese People's Liberation Army Cyberspace Force Country or region after: China Address before: No. 62 Science Avenue, High tech Zone, Zhengzhou City, Henan Province Patentee before: Information Engineering University of Strategic Support Force,PLA Country or region before: China |