CN116074843B - 一种5g双域专网的零信任安全可信审计方法 - Google Patents

Abstract

本发明公开了一种5G双域专网的零信任安全可信审计方法，具体涉及通信安全领域，用于解决现有的审计方法大多仅仅对5G双域专网用户的使用记录进行保存，并没有根据5G双域专网用户的使用场景进行针对性地访问异常管控分析手段的问题，包括如下步骤：获取用户的日志信息，并对日志信息进行完整性校验；将通过完整性校验的用户日志信息添加至日志文件中；根据日志文件中用户的日志信息判断用户访问是否具有安全风险，并进行风险预警；本发明先将用户的访问记录进行入侵检测，确保其可靠性与完整性，再根据用户多方面的日志信息对5G双域专网用户的访问记录进行监测，并对异常情况及时标记，便于后期进行统计分析，从而保证用户的访问安全。

Description

一种5G双域专网的零信任安全可信审计方法

技术领域

本发明涉及通信安全技术领域，更具体地说，本发明涉及一种5G双域专网的零信任安全可信审计方法。

背景技术

5G虚拟校园网（5G双域专网），指的是以5G移动通信网络及边缘计算技术为基础，满足学校业务连接、高速计算、信息安全等需求的校园虚拟专用网络。作为原校园有线网络及无线网络的延展与补充，这张虚拟校园网将极大提高校园网络覆盖面。通过该业务解决高校师生在校内、本地和全国范围无需VPN拨号，通过5G网络登录校内管理系统和访问校内学术资源的需求。在运营商侧，通过ULCL分流、签约专用DNN和多DNN分流等技术满足校园师生在校内、本地和全国范围内“不换卡、不换号、无须设置”访问校园内网和互联网。

《网络安全法》第二十一条规定，网络运营者采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。因此，对于5G双域专网用户访问校内服务器时候，也要做的访问日志留存和审计。

现有的审计方法大多仅仅对5G双域专网用户的使用记录进行保存，并没有根据5G双域专网用户的使用场景进行针对性地访问异常管控分析手段。

针对上述问题，本发明提供一种解决方案。

发明内容

为了克服现有技术的上述缺陷，本发明的实施例提供一种5G双域专网的零信任安全可信审计方法，先将用户的访问记录进行入侵检测，确保其可靠性与完整性，再根据用户多方面的日志信息对5G双域专网用户的访问记录进行监测，并对异常情况及时标记，便于后期进行统计分析，以解决上述背景技术中提出的问题。

为实现上述目的，本发明提供如下技术方案：

一种5G双域专网的零信任安全可信审计方法，包括如下步骤：

步骤S1，获取用户的日志信息，并对日志信息进行完整性校验；

步骤S2，将通过完整性校验的用户日志信息添加至日志文件中，并对其进行认证加密；

步骤S3，根据日志文件中用户的日志信息判断用户访问是否具有安全风险，并针对具有访问风险的用户进行风险预警。

在一个优选的实施方式中，在步骤S1中，获取的日志信息需来自于5G双域专网系统内可信软件发送的信息，日志信息的完整性校验过程如下：

步骤S11，校验前将日志信息进行可信软件的私钥签名；

步骤S12，校验前将日志信息与可信软件的序列号一起用公钥加密；

步骤S13，校验时先用公钥进行解密，并对照系统访问控制列表（SAKL）确定日志信息是否来自于可信软件；

步骤S14，校验时将来自于可信软件的日志信息验证私钥签名是否正确，若正确则说明日志信息通过完整性校验。

在一个优选的实施方式中，在步骤S2中，日志信息通过完整性校验后，存入相关日志文件前还对每个日志项均进行加密处理，并且每一项用的都是唯一的认证密钥，且还对日志信息的内容/>引入加密密钥/>进行加密。

在一个优选的实施方式中，在步骤S3中，确认日志文件中的日志信息的完整性与可靠性后，获取日志信息中的多项访问数据信息，确定用户的访问是否存在异常风险，具体过程如下：

步骤S31，获取日志信息中用户的访问频率值、登录IP距离值以及登录时长均值，并根据其通过公式计算访问异常系数；

步骤S32，将访问异常系数与标准访问阈值进行比较，确定用户的访问状态是否存在异常，并对异常情况进行针对性预警。

在一个优选的实施方式中，访问异常系数的具体计算表达式如下：

式中，E为访问异常系数，、/>、/>分别为访问频率值、登录IP距离值以及登录时长均值，/>、/>、/>分别为访问频率值、登录IP距离值以及登录时长均值的预设比例系数，且/>；

将访问异常系数与标准访问阈值进行比较：

若访问异常系数大于等于标准访问阈值，则将该日志信息内容标记为访问异常信息；

若访问异常系数小于标准访问阈值，则不对日志信息内的相关内容进行标记。

在一个优选的实施方式中，在步骤S3后，还包括步骤S4，对标记的异常信息进行统计分析，具体过程如下：

设定审计时间T，设定标准增长阈值梯度Rv1与Rv2，且Rv1>Rv2，并将异常信息增加值与标准增长阈值进行比较：

当异常信息增加值小于梯度Rv2，则无需进行相关维护；

当异常信息增加值大于Rv1，则进行风险预警，相关人员对访问异常系数中的影响参数进行分析，确定访问异常原因；

当异常信息增加值大于Rv2小于Rv1，则对审计时间T的异常标记时间进行聚类分析，确定访问异常是否有增加趋势。

在一个优选的实施方式中，对审计时间T的异常标记时间进行聚类分析具体过程如下：

步骤a，将各访问异常信息根据访问时间先后由先到后进行排列，选取审计时间T的最近时间点、最远时间点以及中间时间点作为聚类中心；

步骤b，将所有的数据依据最小距离的原则，归类到其中一个聚类中心；

步骤c，归类完成后，重新计算各聚类中心值；

步骤d，归类完毕后，根据已知最终的3个聚类中心值计算最近时间点聚类中心所包含的访问异常信息个数；

步骤e，根据最近时间点聚类中心所包含的访问异常信息个数，确定最近时间点聚类中心所包含的访问异常信息个数所占全部访问异常信息的比值，并将该比值与标准趋势阈值进行比较，若该比值大于标准趋势阈值，则进行风险预警，相关人员对访问异常系数中的影响参数进行分析，确定访问异常原因。

本发明的技术效果和优点：

本发明先将用户的访问记录进行入侵检测，确保其可靠性与完整性，再根据用户多方面的日志信息对5G双域专网用户的访问记录进行监测，并对异常情况及时标记，便于后期进行统计分析，从而保证用户的访问安全；

本发明通过统计分析审计时间T内的异常访问次数，确实是否具有大批量访问异常的现象，并针对性对访问异常原因进行确定分析，同时还对访问异常的趋势进行初步分析，对访问的趋势进行了一定的预警提示。

附图说明

图1为本发明一种5G双域专网的零信任安全可信审计方法流程图；

图2为本发明日志信息的完整性校验方法流程图；

图3为本发明聚类筛选方法流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明一种5G双域专网的零信任安全可信审计方法，先将用户的访问记录进行入侵检测，确保其可靠性与完整性，再根据用户多方面的日志信息对5G双域专网用户的访问记录进行监测，并对异常情况及时标记，便于后期进行统计分析，从而保证用户的访问安全。

实施例1

图1给出了本发明一种5G双域专网的零信任安全可信审计方法流程图，其包括如下步骤：

步骤S1，获取用户的日志信息，并对日志信息进行完整性校验；

步骤S2，将通过完整性校验的用户日志信息添加至日志文件中，并对其进行认证加密，保证日志信息的存储安全性；

步骤S3，根据日志文件中用户的日志信息判断用户访问是否具有安全风险，并针对具有访问风险的用户进行风险预警。

具体的，在步骤S1中，获取的日志信息需来自于5G双域专网系统内可信软件发送的信息，如图2所示，日志信息的完整性校验过程如下：

步骤S11，校验前将日志信息进行可信软件的私钥签名；

步骤S12，校验前将日志信息与可信软件的序列号一起用公钥加密；

步骤S13，校验时先用公钥进行解密，并对照系统访问控制列表（SAKL）确定日志信息是否来自于可信软件；

步骤S14，校验时将来自于可信软件的日志信息验证私钥签名是否正确，若正确则说明日志信息通过完整性校验。

在一个可选的例子中，可信软件发送的日志信息可标定为：

式中，为可信软件的唯一序列号，/>为第i个日志消息的内容，/>为可信软件的公钥，/>表示可信软件的私钥。

本发明通过对日志消息的来源信息进行验证，保证了日志信息的来源为5G双域专网用户，避免了由于外接侵入恶意添加日志信息内容，提高了日志信息的安全性。

同时，在步骤S2中，日志信息通过完整性校验后，存入相关日志文件前还对每个日志项均进行加密处理，并且每一项用的都是唯一的认证密钥，且还对日志信息的内容/>引入加密密钥/>进行加密，增加日志内容的存储安全性；本发明采用双重加密，使得及时有外来攻击者获取了某日志项的认证密钥/>，也无法直接获取该日志项下任一日志信息的具体内容。

进一步的，在步骤S2中，认证密钥采用哈希链的结构，相比于普通的密钥一直保持不变，认证密钥/>为一个不断变化的密钥，由于哈希链是一个连续的结构，系统可以通过获取初始项重新计算日志文件每项的内容来验证后面的日志文件是完整的或者链式结构的完整性已被破坏。

日志文件对日志信息的认证加密具体过程如下：

假设为第i个日志项，/>；

若接收到新的由可信软件发送的日志信息，认证密钥/>与可信软件序列号/>执行如下操作生成日志文件：

步骤S21，生成第i+1个日志项认证密钥；

步骤S22，生成第i个日志项的加密密钥；

步骤S23，利用/>来对日志信息中的内容进行加密；

步骤S24，为哈希链上的第i个链；

步骤S25，为对第i个项的签名。

其中，表示为对X进行哈希运算。

本发明通过检查哈希链是否完整，利用前后关联的哈希链结构对日志项的安全性进行检测，从而排除部分形式的恶意篡改行为，保证了日志信息的存储安全。

最后，在步骤S3中，确认日志文件中的日志信息的完整性与可靠性后，获取日志信息中的多项访问数据信息，确定用户的访问是否存在异常风险，具体过程如下：

步骤S31，获取日志信息中用户的访问频率值、登录IP距离值以及登录时长均值，并根据其通过公式计算访问异常系数；

步骤S32，将访问异常系数与标准访问阈值进行比较，确定用户的访问状态是否存在异常，并对异常情况进行针对性预警。

需要说明的是，访问频率值、登录IP距离值以及登录时长均值是反映用户访问状态的相关影响参数，其中，访问频率值是指单位时间内用户的访问次数频率，访问频率值越大反映了用户短时间内访问5G双域专网次数过多，极有可能为用户访问困难，即该数值越大，用户访问异常系数越大；登录IP距离值是指单位时间内用户多次访问时，所在的IP地址相距距离，登录IP距离值越大，说明访问的相距距离越大，则越有可能为访问异常；登录时长均值是指单位时间内用户访问5G双域专网的访问平均时长，访问平均时长越短，其原因很可能为访问异常掉线所导致，即访问异常系数越大。本发明通过对短期访问的频次、短期访问的相距距离以及短期访问的平均时长进行综合分析，并将最终获得的访问异常系数与标准访问阈值进行比较，来确定是否需要进行预警标记，便于后期人员进行维护与提示。

需要注意的是，访问频率值、登录IP距离值以及登录时长均值所涉及的单位时间可能相同，也可能不同，其单位时间的具体设置根据实际情况进行选择，例如访问频率值、登录IP距离值以及登录时长均值的单位时间均可设置为10分钟，也可分别进行设置，在此不再赘述。

访问异常系数的具体计算表达式如下：

式中，E为访问异常系数，、/>、/>分别为访问频率值、登录IP距离值以及登录时长均值，/>、/>、/>分别为访问频率值、登录IP距离值以及登录时长均值的预设比例系数，且/>。

将访问异常系数与标准访问阈值进行比较：

若访问异常系数大于等于标准访问阈值，则说明该用户单位时间内的访问异常，此时将该日志信息内容标记为访问异常信息，便于后续相关人员进行统计分析。

若访问异常系数小于标准访问阈值，则说明用户的访问情况符合正常接入设定，此时不对日志信息内的相关内容进行标记。

本发明通过对日志信息中的各类访问相关内容，确定用户是否存在访问异常现象，并对访问异常的相关日志进行标记，便于后续进行统计分析。

实施例2

本发明实施例2与上述实施例的区别在于，上述实施例先确定接收的日志信息为可信软件发送的信息且没有被外部侵入更改，再对接收的信息访问相关内容进行风险异常分析，对异常的访问记录进行标记，便于后续统计分析。

本实施例中便根据实施例1标记的异常信息进行统计分析，即在步骤S3后，还包括步骤S4，具体过程如下：

设定审计时间T，审计时间T是指每隔T时间对日志信息进行一次审计，获取审计时间T内的异常信息增加值，异常信息增加值是指最近的审计时间T内增加了多少次异常访问标记。

设定标准增长阈值梯度，Rv1与Rv2，且Rv1>Rv2，并将异常信息增加值与标准增长阈值进行比较，当异常信息增加值小于梯度Rv2，则说明审计时间T内，异常访问次数符合设定的要求，即5G双域专网访问状况良好，无需进行相关维护，能够做到零信任快速接入。

当异常信息增加值大于Rv1，则说明审计时间T内，异常访问次数不符合设定的要求，此时进行风险预警，相关人员对访问异常系数中的影响参数（访问频率值、登录IP距离值以及登录时长均值）进行分析，确定访问异常原因。

当异常信息增加值大于Rv2小于Rv1，则说明整体访问具有一定的异常风险，此时，对审计时间T的异常标记时间进行聚类分析，确定访问异常是否有增加趋势，如图3所示，具体聚类筛选过程如下：

步骤a，将各访问异常信息根据访问时间先后由先到后进行排列，选取审计时间T的最近时间点、最远时间点以及中间时间点作为聚类中心，最近时间点即这次审计的时刻，最远时间点即上次审计的时刻，中间时间点为审计时间T中间时间段对应的时刻。即选择三个聚类中心进行分析。

步骤b，将所有的数据依据最小距离的原则，归类到其中一个聚类中心。

步骤c，归类完成后，重新计算各聚类中心值。

步骤d，归类完毕后，根据已知最终的3个聚类中心值计算最近时间点聚类中心所包含的访问异常信息个数。

步骤e，根据最近时间点聚类中心所包含的访问异常信息个数，确定最近时间点聚类中心所包含的访问异常信息个数所占全部访问异常信息的比值，并将该比值与标准趋势阈值进行比较，若该比值大于标准趋势阈值，则说明异常访问具有逐渐增多的趋势，此时进行风险预警，相关人员对访问异常系数中的影响参数进行分析，确定访问异常原因。

本发明通过统计分析审计时间T内的异常访问次数，确实是否具有大批量访问异常的现象，并针对性对访问异常原因进行确定分析，同时还对访问异常的趋势进行初步分析，对访问的趋势进行了一定的预警提示。

上述公式均是去量纲取其数值计算，公式是由采集大量数据进行软件模拟得到最近真实情况的一个公式，公式中的预设参数由本领域的技术人员根据实际情况进行设置。

上述实施例，可以全部或部分地通过软件、硬件、固件或其他任意组合来实现。当使用软件实现时，上述实施例可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令或计算机程序。在计算机上加载或执行所述计算机指令或计算机程序时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以为通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线（例如红外、无线、微波等）方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集合的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质（例如，软盘、硬盘、磁带）、光介质（例如，DVD）、或者半导体介质。半导体介质可以是固态硬盘。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的模块及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

另外，在本申请各个实施例中的各功能模块可以集成在一个处理模块中，也可以是各个模块单独物理存在，也可以两个或两个以上模块集成在一个模块中。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

最后：以上所述仅为本发明的优选实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (5)

1.一种5G双域专网的零信任安全可信审计方法，其特征在于，包括如下步骤：

步骤S1，获取用户的日志信息，并对所述日志信息进行完整性校验；

步骤S2，将通过完整性校验的所述日志信息添加至日志文件中，并对其进行认证加密；

步骤S3，根据日志文件中的所述日志信息判断用户访问是否具有安全风险，并针对具有访问风险的用户进行风险预警；

在步骤S1中，获取的用户的日志信息需来自于5G双域专网系统内可信软件发送的信息，所述日志信息的完整性校验过程如下：

步骤S11，校验前进将用户的日志信息进行可信软件的私钥签名；

步骤S12，校验前将所述日志信息与可信软件的序列号一起用公钥加密；

步骤S13，校验时先用公钥进行解密，并对照系统访问控制列表确定所述日志信息是否来自于可信软件；

步骤S14，校验时将来自于可信软件的用户的日志信息验证私钥签名是否正确，若正确则说明所述日志信息通过完整性校验；

在步骤S3中，确认日志文件中的所述日志信息的完整性后，获取所述日志信息中的多项访问数据信息，确定用户的访问是否存在异常风险，具体过程如下：

步骤S31，获取所述日志信息中用户的访问频率值、登录IP距离值以及登录时长均值，并根据其通过公式计算访问异常系数；

步骤S32，将访问异常系数与标准访问阈值进行比较，确定用户的访问状态是否存在异常，并对异常情况进行针对性预警。

2.根据权利要求1所述的一种5G双域专网的零信任安全可信审计方法，其特征在于：在步骤S2中，所述日志信息通过完整性校验后，存入相关日志文件前还对每个日志项均进行加密处理，并且每一项用的都是唯一的认证密钥，且还对所述日志信息的内容/>引入加密密钥/>进行加密。

3.根据权利要求1所述的一种5G双域专网的零信任安全可信审计方法，其特征在于：访问异常系数的具体计算表达式如下：

；

式中，E为访问异常系数，、/>、/>分别为访问频率值、登录IP距离值以及登录时长均值，/>、/>、/>分别为访问频率值、登录IP距离值以及登录时长均值的预设比例系数，且/>；

将访问异常系数与标准访问阈值进行比较：

若访问异常系数大于等于标准访问阈值，则将该所述日志信息内容标记为访问异常信息；

若访问异常系数小于标准访问阈值，则不对所述日志信息内的相关内容进行标记。

4.根据权利要求3所述的一种5G双域专网的零信任安全可信审计方法，其特征在于：在步骤S3后，还包括步骤S4，对标记的异常信息进行统计分析，具体过程如下：

设定审计时间T，设定标准增长阈值梯度Rv1与Rv2，且Rv1>Rv2，并将异常信息增加值与标准增长阈值进行比较：

当异常信息增加值小于梯度Rv2，则无需进行相关维护；

当异常信息增加值大于Rv1，则进行风险预警，相关人员对访问异常系数中的影响参数进行分析，确定访问异常原因；

当异常信息增加值大于Rv2小于Rv1，则对审计时间T的异常标记时间进行聚类分析，确定访问异常是否有增加趋势。

5.根据权利要求4所述的一种5G双域专网的零信任安全可信审计方法，其特征在于：对审计时间T的异常标记时间进行聚类分析具体过程如下：

步骤a，将各访问异常信息根据访问时间先后由先到后进行排列，选取审计时间T的最近时间点、最远时间点以及中间时间点作为聚类中心；

步骤b，将所有的数据依据最小距离的原则，归类到其中一个聚类中心；

步骤c，归类完成后，重新计算各聚类中心值；

步骤d，归类完毕后，根据已知最终的3个聚类中心值计算最近时间点聚类中心所包含的访问异常信息个数；

步骤e，根据最近时间点聚类中心所包含的访问异常信息个数，确定最近时间点聚类中心所包含的访问异常信息个数所占全部访问异常信息的比值，并将该比值与标准趋势阈值进行比较，若该比值大于标准趋势阈值，则进行风险预警，相关人员对访问异常系数中的影响参数进行分析，确定访问异常原因。