多域网络安全的异构策略语义形态与验证机制

Policy semantic is an important research subject in the security policy representation and reasoning, and a hot and difficult research of network security policy. In view of the description and judgment faults existing in the policy semantic methods, this project will introduce ontology and description logic into the policy semantic pattern, combining with the characteristics of multi-domain network and heterogeneous policy, build a suitable and practical heterogeneous policy semantic pattern and verify theory in multi-domain network security. Firstly, from the analysis of heterogeneous policy characteristics, study the multilayer concept and attributer expressions of the policy semantic, in order to achieve the complete logical description of the heterogeneous policy ontology semantic. Secondly, establish the policy semantic conversion model, with the research of semantic mapping and inference algorithm, to ascend the pattern conversion performance and convenient semantic level understanding and cooperation. At the same time, extend the heterogeneous policy semantic deduction method, combined with the algorithm of semantic preservation and judgment，to improve the quality of semantic collaboration and overcome the faults in semantic theory. Finally, on basis of rule engine and middleware technology, build heterogeneous policy semantic application platform based on semantic engine for multi-domain network security, to achieve the evolution and regulation process of the heterogeneous policy. Results of this project will provide new ways for the development of security policy semantic theory and technology in complex network.

策略语义是安全策略表示与推理中的重要研究课题，是网络安全策略研究的热点和难点。针对策略语义方法中存在的描述与判定缺陷，本项目将本体和描述逻辑引入策略语义形态过程，结合多域网络和异构策略特征，建立具有适用性和实用性的多域网络安全的异构策略语义形态与验证理论。首先，从异构策略特征分析出发，研究异构策略语义多层概念和属性表达形式，以实现异构策略本体语义的完备逻辑描述；在此基础上，建立异构策略语义形态转换模型并研究语义层映射与推理算法，以提升形态转换性能并方便语义级理解和协作；同时，提出扩展的异构策略语义推演方法，结合异构策略的语义保持和判定算法，以提高策略语义协作质量并克服语义理论中的断层问题；最后，以规则引擎和中间件技术为基础，构建基于语义引擎的多域网络安全的异构策略语义应用平台，以实现高效的异构策略语义的演化调控过程。项目成果将为复杂网络中安全策略语义理论与技术提供发展新途径。

网络安全策略语义是策略管理的重点和难点，其表示和推理直接影响到策略质量和系统安全保障能力。本项目主要针对策略语义的描述与判定缺陷、验证与实现困难等问题，研究了策略本体语义的逻辑描述、异构策略语义形态转换机制、异构策略语义推演方法和策略语义的实现等过程。首先，针对多安全域下的异构安全策略，建立了完备的和有推理能力的策略本体语义的逻辑描述和语义共享知识，实现了多域环境下的异构策略间的语义级正确理解和协作，基于网络入侵行为特征检测与态势分析，提出了态势指标的提取和异常行为检测方法，为网络安全策略的定义与描述、策略语义的效果验证提供了依据；针对安全策略语义的描述范围与验证能力不足等问题，深入分析了安全策略的基本元素和本体类关系，提出了基于本体的安全策略语义描述方法；针对策略语义在定义和转换过程中存在的冲突等问题，提出一种基于语义相似度的静态安全策略一致性检测模型与算法等。其次，建立了有效的可满足安全符合性的异构策略语义判定方法，以提升异构策略的结构和协作质量，确保策略在网络信息系统中的安全保障能力，基于语义之间二维马尔可夫过程，拓展了语义转换系统的稳态概念，最大限度地保护形态转换后的语义保持；针对安全策略语义中的逻辑描述和模糊推理，提出了同时考虑事例描述概念和隶属度相似性的事例相似性方法；在代码语义安全和策略语义转换质量问题上，分析了在多用户和多级别网络环境中不同策略语义缺失和延迟性能，从而建立一个系统的排队网络模型等。最后，建立异构策略语义知识查询和异构策略分发数据构建的方法，在检索过程中将有效的策略语义信息封装成索引数据结构并存储在集群节点上，采用分布式检索方法快速高效地检索数据，同时，涉及异构策略语义应用平台中语义服务的能力可达性验证，用于异构策略分发执行及语义保持的过程，最终实现高效的异构策略语义的演化调控与应用。项目的研究为复杂网络安全策略语义的研究提供了补充和新途经。