基于聚類分析的可信網絡管理模型

謝洪安　李棟　蘇旸　楊凱

摘要：

針對可信網絡中動態信任模型對終端用戶行為信任評估有效性問題，提出一種新的基于聚類分析的可信網絡管理模型。該模型在傳統信任模型的基礎上引入聚類分析方法，從行為預期的角度研究用戶的行為信任。通過對用戶的歷史行為數據進行聚類分析以構建行為預期，并利用行為預期評估用戶行為，最后以信任評估結果為依據實現對網絡中的用戶的管理。實驗表明該模型可以對長期接入的正常用戶產生穩定的信任評估結果，同時迅速發現并隔離惡意用戶，對可信用戶與不可信用戶有較高的區分度，與傳統的信任模型相比具有更高的準確度及效率，達到了提高網絡可信性的目的。

關鍵詞：

可信網絡；聚類分析；信任評估；網絡管理；信任模型

中圖分類號：

TP309

文獻標志碼：A

Abstract：

To improve the availability of dynamic trust model in trusted network， a trusted network management model that based on clustering analysis was built. Behavior expectations were used to describe the user's trusts and built through clustering analysis on the history of user's behavior data， which used to evaluate users behaviors. Finally the trust evaluation results were utilized to realize the network user management. According to the experimental results， this model can generate trust evaluation results firmly， detect the malicious users rapidly and isolate it， it was more accurate and available than tradition model， basically achieved the purpose of improving network reliability.

To improve the availability of dynamic trust model in trusted network， a trusted network management model based on clustering analysis was built. Behavior expectations were used to describe the trust of user behavior by introducing clustering analysis to the traditional trust model. Clustering analysis of the users historical data was used to build behavior expection model， which was used to evaluate users behaviors. Finally the trust evaluation results were utilized to realize the network user management. The experimental results show that the proposed model can generate trust evaluation results firmly， detect and isolate the malicious users rapidly， it has better accuracy and efficiency than traditional model， basically improving the network reliability.

英文關鍵詞Key words：

trusted network； clustering analysis； trust evaluation； network management； trust model

0引言

隨著用戶對網絡安全需求的提升，提高網絡環境的可信性成為一種迫切需求。因為信任具有不確定性、不對稱性、部分傳遞性、異步性、上下文獨立性等一系列復雜的動態屬性[1]，又由于網絡結構本身的復雜性，導致構建可信網絡的困難性 [2]， 所以可信計算組織（Trusted Computing Group， TCG） 提出了可信網絡連接框架（Trusted Network Connection TNC）建立可信網絡連接[3]。TNC通過建立一系列的標準接口（IFPEP、IFT等）定義了一個公開標準，對將要接入可信網絡的終端用戶進行身份認證及完整性度量，驗證其安全策略，以確定終端是否可以被允許訪問網絡，確保任何訪問網絡的終端具有符合安全策略的安全配置[4]。TNC僅解決了終端用戶的可信接入問題，但對接入后的終端管理存在不足，部分學者提出建立信任模型來解決這個問題，建立描述網絡和用戶行為的可信模型，對系統整體的可信性進行評估，有效改善了TNC的局限性。

建立動態的信任模型是可信網絡的一個重要問題。動態模型主要考慮用戶的行為信任。動態的信任模型就是動態地收集相關的主觀因素和客觀證據的變化，以一種即時的方式實現對網絡信任的度量、管理和決策[5]。目前許多學者針對不同網絡環境下的信任模型展開研究，比較典型的有：基于模糊理論中貝葉斯理論[6] 的信任模型，主要利用貝葉斯公式計算條件概率來對信任進行描述；基于DS（Dempster/Shafer）證據理論的信任模型[7-8]，主要考慮信任的主觀特性以評估目標實體的可信性、不可信性及不確定性的方法描述信任；基于行為狀態關聯的方法[9]；基于穩定組的方法[10]等。但以上模型適用領域有限，且仍具有一定局限性。如基于行為狀態關聯的模型[9]從時間以及上下文等角度評估用戶信任，注重實體交互時的信任評價以及信任評估的不確定性與隨機性。但傳統的基于模糊邏輯建模的方法對終端用戶信任描述仍不夠合理全面，信任評估的可用性與準確性不足。

為解決上述問題，真實地反映用戶信任，本文提出了一種新的基于聚類分析（Clustering Analysis， CA）的可信網絡管理模型。模型在傳統行為狀態的信任模型基礎上引入聚類分析方法評估用戶信任，通過對終端用戶的歷史行為分析，發現用戶的“性格特點”[5]，即行為預期，通過判斷用戶行為是否符合預期來決定用戶的信任度，最后依據信任度管理網絡中的用戶。本模型強調行為信任的預期性，將用戶行為的各項屬性加入算法，并綜合考慮正常與異常行為間的差異、當前行為與歷史行為的差異作為計算信任的依據，能更有效地反映實體信任。實驗表明，模型能夠準確評估用戶信任，快速鑒別惡意用戶，對惡意行為響應迅速，能夠有效依據安全策略管理網絡，提高網絡可信性。

1基于聚類分析的網絡管理模型

1.1模型設計

傳統的信任模型注重在網絡中各實體相互間的信任評價，并以之作為可信評估的依據，但對終端用戶行為自身的信任評估卻存在不足。為研究信任對信任進行定義，當前不同組織對可信的定義各有不同，本文借鑒TCG[2]組織對可信的定義。

定義1一個實體是可信的，則這個實體行為總是符合預期的行為方式。

模型的設計思路是在狀態行為關聯的可信模型基礎上，基于以上信任的定義設計的。模型的設計思路是：1）利用行為狀態關聯模型對用戶行為進行描述，使模型能夠正確描述用戶行為特點；2）選取合適的聚類方法從用戶的行為特點以及上下文中提取出用戶的行為預期；3）對當前用戶的行為進行評價，即用戶的信任度應是其行為與對應實體的預期的行為相符的程度；4）考慮到信任隨時間變化而衰減的特性，引入時間窗口機制實現信任的更新。為方便說明，將網絡管理模型抽象成如圖1所示。

模型主要流程包括預期構建、信任評估、信任更新以及決策判定。下面將對模型進行詳細描述。

1.2預期構建

本文討論的行為預期指的是通過分析用戶已有的歷史行為證據而對用戶的未來行為的預測，因此本文使用知識發現（Knowledge Discovery in Database， KDD）中聚類分析的方法構建行為預期。知識發現即從已有的數據中找出特定知識的數據挖掘技術研究用戶行為[11]。數據挖掘是一個高級的數據處理過程，可以從大量的、不完全的、模糊的數據集中提取出可被理解的知識。其中基于密度的算法可以根據數據集中元素的密度差異對數據集進行聚類分析，能夠快速分離高密度行為集合，提取行為預期，作為用戶行為信任的評價指標以及網絡管理的依據。

為了構建行為預期，采用了聚類分析方法對用戶行為集合B，進行計算，并提取相關知識。聚類分析（CA）又稱群分析[12]，是根據“物以類聚”的方法對樣品或指標進行分類的一種多元統計分析方法。經過聚類得到的簇，簇中的元素會具有很大的相似性，因此選取聚類分析方法構建用戶行為預期。DBSCAN（DensityBased Spatial Clustering of Applications with Noise）是一種基于密度的聚類算法，此算法非常適合大量數據情況下的聚類分析，并且已經被廣泛運用于各個領域。基于密度的聚類可以根據密度的差異分離樣本中的數據，能夠較好地構建用戶行為預期。

本文對DBSCAN算法進行改進，使其既能夠快速分離出高密度的簇類，又能夠分離用戶行為中具有較大偏離的“異類”。將這種“異類”作為用戶行為不可信的參考，能提高用戶信任評估的可靠性和穩定性。

在預期構建之前需要對用戶行為進行定義，借鑒文獻[9]在行為狀態關聯模型中對用戶行為的定義，本文為了完備描述用戶行為將用戶行為定義如下：

定義2用戶行為。

B={bi（O，S，A，R，F，）|b1，b2，…，bn}

其中：

1）實體集合 OT={o1，o2，…，on}；

2）實體狀態集ST={s1，s2，…，sn}；

3）實體動作集 AT={a1，a2，…，an}；

4）實體行為狀態信任熵Rij=H（si，aj）；

5）函數集F，其中：狀態轉移函數 Fa（sj×ai）→sk表示實體狀態sj在動作ai作用下轉移到新的狀態sk，動作序列函數 Fs（si×A）→sj表示實體在運行一個動作序列后的狀態變遷。

定義3算法參數ε，MinPts，MinDs。其中：ε表示聚類半徑，MinPts表示密度閾值，MinDs表示最小偏移距離。

聚類半徑：ε

密度閾值：MinPts

最小偏移距離：MinDs

算法1對抽象的用戶行為進行處理，在行為狀態理論[9]基礎上先計算出單個行為的信任熵R，之后通過信任熵大小，及其他參數定義用戶行為距離，并將用戶行為證據輸入算法，實現行為預期的提取。在算法中使用到的各個參數：B為分析的數據對象即行為證據集合；半徑ε以及密度閾值MinPts是簇的分類標準，通過這兩個參數對簇類進行選取；N、K為算法中所使用到的臨時變量。算法的輸出結果為聚類得到的簇C，以及離群點集合P。算法1使用聚類的方法對用戶行為數據集合進行分析，具體過程就是從集合中任意一點開始，使用函數找尋其全部ε鄰近點，如果某個點的ε鄰近點的個數大于事先設定的密度閾值，則認為這個點包括其ε鄰近點都屬于一個簇。

算法2對得到的簇進行拓展，從已得到的簇中的任意一點開始拓展這個簇，對任意一點p，尋找其ε鄰近點，如果發現直到沒有辦法找到簇中任意一點的新的鄰近點時結束算法。不斷重復算法2，直到整個算法遍歷完B中全部的元素時算法完全結束后結束。

可以看出，算法對于簇的定義基于兩個參數：ε和MinPts。對于任意的一點 ，所有與其距離為ε的點均是ε鄰近點。如果ε鄰近點的數量不少于MinPts，那么這些點（包括點 ）都是數據集的一部分，屬于同一個簇，算法可以對集合中的高密度部分進行提取。因此使用上述算法對用戶行為證據集合進行聚類，篩選出高密度行為簇，以此構建行為預期。算法根據密度的區別篩選出可信的行為，此外算法可以根據行為的偏差分離出離群點。離群點是“與數據集中其他數據有很大不同的數據”。分離離群點可以有效分離同用戶常見行為差距過大的行為，而這些行為可以作為降低用戶可信度的依據。因此參數選取合適時，使用基于密度的聚類可以快速提取出用戶行為中高相似、高密度、高可信的行為數據，同時也分離了不可信、離群、可疑的行為。

通過算法1、2得到了用戶行為預期集合C以及用戶可疑行為集合P，將（C，P）作為用戶行為預期，提交給信任評估者，評估用戶行為信任。

1.3信任評估

信任評估就是驗證用戶實際行為集與行為預期接近程度的過程，用戶在網絡中的行為與預期越接近，則用戶可信程度越高；反之，其可信度則越低。在實際應用中為有效管理用戶信任，需要對用戶的信任度進行量化，根據量化的結果對用戶的信任分層分級管理，對不同級別信任度的用戶分配不同級別的權限，并依據相應的安全策略進行管理。

定義4信任等級。

為實現基于信任的網絡管理，對實體信任進行量化并進行分級管理。信任值Ti越高則信任等級越高，實體也越可信。信任等級如表1。

信任值使用Jaccard相似度[13]進行計算，Jaccard相似度是指在兩個集合中集合A與集合B交集元素在A、B兩個集合并集中所占的比例，稱為兩個集合的Jaccard相似系數，使用J（A，B）表示，這里只要考慮用戶行為記錄窗口N中，符合預期的行為數在行為窗口N中所占的比例用來表示行為的可信程度記為Jθ（A，B），基于預期（C，P）和行為窗口N的用戶信任值可以寫成：

Ti=Jθ（N，C）-Jθ（N，P）（1）

用戶行為越接近預期，其行為的相似度越高。而行為越異常，行為與預期相似度也越低，因此其信任度就越低。這樣通過比對用戶行為預期與用戶一段時間內的行為記錄集合可以評估用戶的信任度。但式（1）的缺陷在于用戶近期所采取的超出預期的行為對信任的負面影響會被歷史信任淡化。因此必須采取信任評估的懲罰機制，模型構造了一個近期行為的小窗口m，并以此評估用戶近期行為可信度。近期的不可信行為會快速影響整體信任。因此對式（1）進行改進后得到式（2）：

Ti=Jθ（N，C）-Jθ（N，P）+Jθ（m，C）-1（2）

近期的不可信行為會迅速降低用戶的信任，同時，信任的提高只能依靠長期的信任交往，實現了慢升與快降[8]的結合，對信任的評價更為合理。模型依據計算出的信任值Ti對用戶進行管理，通過查詢表1對Ti進行量化并依靠事先定義的安全策略進行網絡管理。

1.4決策判定與信任更新

決策判定是根據信任評估對于用戶行為的評估結果對用戶進行決策管理的過程。信任更新是為了實現用戶行為信任評估的時效性，及時更新用戶行為信任值，更新信任預期，實現對于網絡用戶動態管理的模塊。用戶行為可信的基本準則[5]要求信任評估必須考慮用戶行為的時間特性，即是近期用戶行為的重要性與遠期行為的衰減性。因此，本文引入嵌套的滑動窗口以實現信任更新與預期重構。設窗口大小為m，窗口中僅保留m條用戶行為記錄，作為用戶的當前信任的評估樣本。當出現新的行為記錄，將最舊的記錄刪除以此實現信任的更新。當記錄指針N滑過窗口將指針重置并對用戶的歷史行為記錄庫進行一次完整更新，并重構用戶的行為預期，保持信任值的時效性。更新機制如圖3所示。

決策判定實現了對可信用戶與不可信用戶的區分。根據評估得到的信任度決定是否將用戶進行安全隔離，同時根據可信程度分配用戶服務權限，當用戶行為記錄指針mp滑過事先約定的窗口m時，重新評估信任以進行信任更新。當指針Np滑過窗口N時對用戶行為預期進行重構，以實現對于用戶信任的動態管理。模型根據評估的信任對用戶進行管理，當用戶信任過低時，對用戶進行隔離，保證網絡的整體信任度。決策判定的過程如圖4。

2.2功能測試實驗

功能測試主要驗證模型功能，即從正常用戶中區分出惡意用戶的能力，以及對正常用戶實施惡意行為時迅速響應的能力。在實驗參數條件下，采集各實驗終端的數據進行分析，對實驗終端分組進行對比實驗，在終端2、4中運行木馬代碼，采集各終端行為數據。采集并抽象其行為數據輸入模型，連續進行50次實驗。

最終結果如圖5所示。

圖5中：橫坐標為實驗次數，縱坐標為用戶信任評估值T。由圖5的區分實驗可以看出模型對用戶的信任評估存在較好的區分度。善意與惡意的終端用戶的信任值計算結果有明顯差別，說明模型在網絡環境中能夠識別、區分惡意、不可信用戶并將之安全隔離。分組實驗本節功能測試表明對于不同系統用戶都能達到良好的效果。由于感染了惡意代碼的用戶終端的網絡行為會迥異于正常的用戶，模型能夠通過信任評估放大這種差別達到識別惡意用戶，并將惡意終端隔離的目的。

2.3時間特性測試

本實驗分為兩部分：第一部分對可信用戶長期接入評估系統，考察時間對信任評估的影響；第二部分考察在善意用戶接入時，突發惡意行為對模型信任評估的影響。

為驗證模型對用戶長期接入時的信任評估情況，定時查看模型對正常接入的用戶信任評估情況，實驗終端的接入時長與信任度的分布如圖6所示。

圖6、7中：橫坐標為用戶接入網絡中的時長，單位為h（hour）；縱坐標是對應時間點的用戶信任度值，反映了數據分布趨勢。實驗顯示：當可信用戶長期接入時，用戶的信任度緩慢提升，經過80h的接入后系統對信任的評估趨于穩定。同時惡意行為響應實驗顯示：模型對用戶突然出現的惡意行為可以快速反應，當用戶出現惡意行為時，模型對用戶的信任評估會迅速下降，用戶被迅速隔離出網絡。

綜合實驗一、二2.2和2.3節的實驗結果得出結論，模型可以通過信任評估從而區分正常用戶與惡意用戶，同時對正常的用戶可以快速達到穩定的信任度，并對惡意行為反應迅速，能實現可以達到網絡管理，提高網絡安全可信的目的。

2.4性能測試實驗

為了測試模型性能，實驗選取傳統信任模型中較有代表

性的基于DS 證據的GTET 信任模型[8]以及基于模糊理論的GIFT模型[14]計算信任值。DS證據理論與模糊理論是比較有代表性的傳統信任理論，而GTET和GIFT都是較新的較有代表性的信任模型，均能夠定量地描述終端信任，實現對信任的評估，因此通過對三個信任模型進行比較實驗來評估終端信任，分析本模型的性能。

實驗使用三種模型同時對實驗終端進行信任評估，主要對信任評估的準確性進行分析，通過對大量行為樣本的信任評估，計算信任評估值的標準差進行實驗分析。標準差的值越小則信任評估的準確度越高。每次實驗取10次信任評估結果，計算結果之間的標準差，10次實驗結果的拆線如圖8所示。

實驗結果表明：三種模型對相同實體的信任評估準確度接近，其信任評估的準確度大約都在0.1左右，說明三種模型對于合法實體的信任評估都具有一定的準確度。其中：GIFT通過直覺模糊理論刻畫實體信任的模糊特性以確定實體的信任度，采用推薦信任的方法進行信任評估，但由于推薦信任鏈的不確定性，一旦出現惡意用戶時偏差會被放大，對惡意策略的信譽評價容易出現較大的偏差，穩定性較差；GTET的信任模型則是在證據理論的基礎上通過圖論的方法進行推理，對實體信任進行量化評估，借助實體信任證據消除模糊信任中的不確定性，準確性相對提高；而本文使用行為證據的方法，將用戶的行為與狀態關聯起來，用行為預期的方式評估用戶信任，雖然在少量樣本及短期接入時與模糊理論的信任評估穩定性相比沒有優勢（如圖8中實驗1），但是對長期及樣本足夠的用戶準確度明顯提升，并且其準確性隨樣本容量增加而增加，與基于模糊方法的模型相比具有一定的優勢，適合作為長期的網絡用戶接入管理模型。

綜上，可以得出結論，本文提出的模型完成了預期功能，對善意與惡意實體間有較高的區分度，并對行為的突變有較高的敏感度，能有效評估實體信任。對比實驗結果表明，本文證明模型在信任評估的準確性上較傳統模型有一定的提升。

3結語

本文從行為預期的角度研究用戶的信任，提出了一個新的基于聚類分析的網絡管理模型。模型通過對用戶歷史行為證據的聚類分析從而發現其中的知識，找出用戶固有的“性格特征”，作為行為預期來計算用戶實際行為的可信程度并作為其信任度，通過對用戶信任度進行量化分級，實現對用戶信任分級的安全策略，同時將不符合信任要求的惡意用戶進行安全隔離以提高網絡可信度與安全性。實驗結果表明，本模型可以正確評估用戶的可信度，并對用戶的惡意行為進行快速響應，達到了設計目的。同時與動態信任評估模型相比，對信任評估的準確度有一定的提升，能更好地實現對可信網絡中用戶的實時管理。

參考文獻：

[1]

張煥國，陳璐，張立強.可信網絡連接研究 [J] . 計算機學報， 2010， 33（4）：706-717.（ZHANG H G， CHEN L， ZHANG L Q . Research on trusted network connection [J]. Chinese Journal of Computers， 2010， 33（4）： 706-717.）

[2]

沈昌祥，張煥國，王懷民，等.可信計算的研究與發展[J].中國科學：信息科學，2010，40（2）：139-166.（SHEN C X， ZHANG H G， WANG H M， et al. Research and development of trusted computing [J]. Science ChinaScientia Sinica： Information Sciences， 2010， 40（2）： 139-166.）

[3]

閆小俠.可信網絡框架研究與設計[D].北京：北京工業大學，2014.（YAN X X. The trusted network framework research and design[D]. Beijing： Beijing University of Technology， 2014.）

[4]

馮登國，秦宇，汪丹，等.可信計算技術研究[J].計算機研究與發展，2011，48（8）：1322-1349.（FENG D G， QIN Y， WANG D， et al. Research on trusted computing technology[J]. Journal of Computer Research and Development， 2011， 48（8）： 1322-1349.）

[5]

林闖，田立勤，王元卓.可信網絡中用戶行為可信的研究[J].計算機研究與發展，2008，45（12）：2033-2043.（LIN C， TIAN L Q， WANG Y Z. Research on user behavior trust in trustworthy network[J]. Journal of Computer Research and Development， 2008， 45（12）： 2033-2043.）

[6]

梁洪泉，吳巍.基于動態貝葉斯網絡的可信度量模型研究[J].通信學報，2013，34（9）：68-76.（LIANG H Q， WU W. Research of trust evaluation model based on dynamic Bayesian network [J]. Journal on Communications， 2013， 34（9）： 68-76.）

[7]

FENG R， XU X， ZHOU X， et al. A trust evaluation algorithm for wireless sensor networks based on node behaviors and DS evidence theory [J]. Sensors， 2011， 11（2）： 1345-1360.

[8]

蔣黎明，張琨，徐建，等.一種基于圖論方法的開放計算系統證據信任模型[J].計算機研究與發展，2013， 50（5）：921-931.（JIANG L M， ZHANG K， XU J， et al. A new evidential trust model based on graph theory for open computing systems [J]. Journal of Computer Research and Development， 2013， 50（5）： 921-931.）

[9]

李道豐，楊義先，谷利澤，等.狀態行為關聯的可信網絡動態信任計算研究[J].通信學報，2010，31（12）：12-19.（LI D F， YANG Y X， GU L Z， et al. Study on dynamic trust metric of trusted network based on state and behavior associated [J]. Journal on Communications， 2010， 31（12）： 12-19.）

[10]

吳旭.基于增強穩定組模型的移動P2P網絡信任評估方法[J].計算機學報，2014，37（10）：2118-2127.（WU X. Enhanced stable group modelbased trust evaluation scheme for mobile P2P networks [J]. Chinese Journal of Computers， 2014， 37（10）： 2118-2127.）

[11]

劉雪嬌.數據挖掘中的動態聚類及增量研究 [D].哈爾濱：哈爾濱理工大學，2015.（LIU X J. Research on dynamic clustering and incremental in data mining [D]. Harbin ： Harbin University of Science and Technology， 2015.）

[12]

HAN J， KAMBER M. Data Mining： Concepts and Techniques [M]. San Francisco， CA： Morgan Kaufmann， 2011： 13-18.

[13]

HAMERS L， HEMERYCK Y， HERWEYERS G. Similarity measures in scientometric research： the Jaccard index versus Salton cosine formula [J]. Information Processing & Management， 1989， 25（3）： 315-318.