基于區(qū)塊鏈的日志存儲系統

費禹 寧靜 胡青

摘 要：為了解決安全產品的日志文件保護和數據共享問題，論文提出一種基于區(qū)塊鏈的日志存儲（LSSBC）系統。LSSBC系統包括角色、LSBC鏈和云存儲三部分；通過結合區(qū)塊鏈技術設計了日志文件的鏈上發(fā)布、存儲和共享功能；最后，對LSSBC系統進行了總結分析。經分析，LSSBC系統為安全產品的日志保護和數據共享提供了全新可行的解決方案，有利于推進安全行業(yè)研究。

關鍵詞：區(qū)塊鏈；信息安全；日志存儲

中圖分類號：TP391 文獻標識碼：A

Abstract： In order to solve the problem of log file protection and data sharing for security products， this paper proposes a log storage system based on block chain （LSSBC）. LSSBC has three parts： role， LSBC chain and cloud storage. The function of publishing on the LSBC chain， storing and sharing log files is designed by combining block chain technology. Finally， the LSBC system is summarized and analyzed. After analysis， LSBC system provides a new and feasible solution for log protection and data sharing of security products， which is conducive to promoting security industry research.

Key words： block chain； information security； log storage

1 引言

伴隨著高級持續(xù)威脅（Advanced Persistent Threat，APT）攻擊的復雜多變，安全技術、產品不斷推陳出新，安全廠商推出的防火墻、網絡入侵檢測（NIDS）、網絡入侵防御（NIPS）、蜜罐、上網行為管理、安全審計、網絡流量分析等眾多產品涵蓋到了網絡安全、主機安全、Web安全、數據安全、移動安全、安全管理、工控安全等各個方向，同時也就是因為產品多樣、技術多變，導致安全信息無法整合、高效利用。

在這種情況下日志文件就為解決問題提供了可能性。首先，日志文件在研究網絡安全環(huán)境過程中有著不可替代的作用。以蜜罐為例，研究方向不管是數據分析[1]、主動防御[2]、虛擬部署[3]，還是分布式[4]，他們的日志文件都為實現檢測、審計等諸多功能提供了保障。日志安全研究上，蔣賢維在日志應用及保護方面提出了遠程異地存儲日志、偽裝傳輸策略以及基于第三層的日志保護策略[5]；覃應接在網絡日志管理上應用日志Merkle樹、橢圓曲線加密與組合公鑰技術設計了基于TCM（Trusted Platform Module，可信平臺模塊）的日志保護技術[6]；Paul Youn等人在審計方向，設計了基于概率分布的日志保護機制[7]。這些研究在多個方向為日志安全提供了保障，但是無法更為有效地避免日志篡改問題，同時日志保護機制過于繁瑣且一定程度上浪費了日志文件的潛在信息價值。

區(qū)塊鏈技術的發(fā)展，為實現日志信息的保護、分享、多邊利益最大化提供了可能。區(qū)塊鏈技術具有去中心化、不可篡改和追蹤溯源等特性[8]，其應用場景已涉及醫(yī)療[9]、電網[10]、農產品追溯等方向[11]。區(qū)塊鏈技術的應用基于一定場景，同時需要結合其他技術形式。夏琦等人在醫(yī)療數據問題上通過結合云平臺、區(qū)塊鏈、大數據等技術設計了數據共享方案[12]。區(qū)塊鏈技術可以為安全產品的日志保護問題提供更為有效的解決方案，通過結合區(qū)塊鏈和云存儲技術，設計鏈上、鏈下數據存儲模式，有效地解決了日志文件易被篡改的問題，同時通過特殊的日志共享機制，在保障隱私的前提下極大地提高了日志的利用價值，能加快促進安全行業(yè)共同發(fā)展、共同進步。

2 基于區(qū)塊鏈的日志存儲系統組成

基于區(qū)塊鏈的日志存儲系統（a Log Storage System Based on Block Chain，LSSBC），簡稱為LSSBC系統，是利用區(qū)塊鏈和第三方存儲技術實現的日志存儲及分享系統，包括角色、基于區(qū)塊鏈的日志存儲鏈（LSBC鏈）、云存儲三個主要部分，系統組成如圖1所示。LSSBC系統的主要參與角色是Co.、Mfrs.、RI、Co.表示使用安全產品的公司，他們是LSSBC系統的數據來源；Mfrs.表示安全產品的制造商、服務商，他們在提供安全產品的同時也需要搜集、調用日志數據，所以既是數據提供者，也是數據使用者；RI表示科研機構，是LSBC鏈的主要調用者、數據使用者。LSBC鏈只存儲Co.以及Mfrs.的日志索引信息，而將具體日志數據存儲在各自服務器或協商的第三方云存儲中，在調用時再通過LSBC鏈進行索引及申請使用。

LSBC鏈基礎架構包括應用層、合約層、激勵層、共識層、網絡層和數據層，其架構如圖2所示。

（1）數據層。數據層存儲著安全日志文件的摘要及對應日志文件在云存儲的具體位置信息，定義這類信息為元數據M，元數據在一定時間內被整合為塊并通過鏈式結構存儲在LSBC中。系統在創(chuàng)建創(chuàng)世區(qū)塊后，由各個網絡節(jié)點整合元數據，并生成元數據，經過競爭獲取元數據的記錄資格，認證后的元數據塊加入到主鏈中，形成數據塊并永久保存在LSBC中。

（2）網絡層。網絡層旨在實現網絡節(jié)點中數據的通信，采用P2P方式。在P2P網絡中各節(jié)點地位相同，都有資格收集元數據并產生區(qū)塊，節(jié)點創(chuàng)造區(qū)塊后進行廣播，受到廣播的節(jié)點會對節(jié)點進行驗證，在驗證通過后進行進一步轉發(fā)。

（3）共識層。共識層用來解決網絡節(jié)點的共識問題，通過工作量證明（Proof of Work，PoW）的方式保持節(jié)點一致性?；舅悸肥峭ㄟ^設置哈希求解問題獲取區(qū)塊鏈記錄的權力，節(jié)點通過進行SHA256求解獲取符合要求的值，第一個獲得該值的礦工在得到多數節(jié)點驗證通過后即可將區(qū)塊記錄在主鏈上，并獲得一定收益，以此實現節(jié)點的共識。

（4）激勵層。激勵層通過激勵方案維持系統正常運作。在LSBC運作過程中，Co.作為主要的資源提供方，作為獎勵在其提供資源的同時給出獎勵，以此用來換取Mfrs.及RI的安全服務及分析報告；Mfrs.一方面提供資源，另一方面與RI作為主要計算節(jié)點為LSBC運作提供算力支持，以此換取資源的使用權力。

（5）合約層。LSBC合約層繼承比特幣的腳本代碼及支撐算法，一次支持基本的交易便利及安全保障。

（6）應用層。主要實現日志處理，并將元數據及數據文件分別發(fā)布在LSBC及云存儲中。另一方面還包括日志的共享設計。

3 LSSBC系統運行

在LSSBC系統中，主要實現了安全日志的鏈上發(fā)布、云存儲及數據共享。所涉及的主要符號及含義在表1中說明。

3.1 安全日志數據處理

日志文件所有權屬于Co.和Mfrs.中的相關部門，User作為相關部門的日志負責人，負責將日志原始數據metadata上傳給公司的LSBC負責人Publisher。Publisher在收到日志文件后，對日志文件進行脫敏生成D-data，D-data將在User確認反饋信息后進行云存儲。Publisher在生成D-data后將生成摘要文件Digest，Digest是LSBC鏈上的主要信息，也是Requester篩選所需內容的數據來源。具體步驟如下：

UserPublisher： metadata

Publisher： metadataD-data用于云存儲

D-dataDigest（D-data）用于鏈上發(fā)布

Publisher在進行數據處理后，需要將處理后的數據反饋給User，User確認信息無誤后才可以進行鏈上發(fā)布及鏈下存儲，首先，Publisher生成脫敏數據的哈希Hash（D-data），然后將D-data、Digest（D-data）、Hash（D-data）進行簽名，最后再將明文、明文摘要、明文哈希值，以及明文、明文摘要、明文哈希值的簽名用對稱密鑰k進行加密，同時將對稱密鑰用User的公鑰進行加密，發(fā)送給User。具體步驟如下：

PublisherUser：{Enck（D-data||Digest（D-data）||Hash（D-data）||SignSK（D-data||Digest（D-data）||Hash（D-data）））||EncPK（k）}

3.2 安全日志存儲及發(fā)布

Publisher在對日志進行脫敏處理后，需要User對信息進行核對，確認無誤后進行云存儲，并獲取存儲地址，發(fā)布到LSBC鏈上。在核對信息時，User首先用自己的私鑰解密對稱密鑰k，然后用對稱密鑰k解密出Publisher的簽名，對簽名進行驗證，最后對Hash進行驗證，若一致則數據有效，同意發(fā)布。具體步驟如下：

首先，User用自己的私鑰解密Publisher發(fā)送的脫敏數據，獲得簽名信息：

User：{Enck（D-data||Digest（D-data）||Hash（D-data）||SignSK（D-data||Digest（D-data）||Hash（D-data）））||EncPK（k）}+SKUser SignSK（D-data||Digest（D-data）||Hash（D-data））

然后用PKPublisher驗證Sign，

If簽名正確

用D-data驗證Hash（D-data），

If一致

UserPublisher：同意發(fā)布

Else

UserPublisher：不同意發(fā)布

Else

UserPublisher：不同意發(fā)布

當Publisher接到User反饋的信息是同意發(fā)布時，Publisher將獲取資源存儲位置，將日志摘要、哈希、簽名信息以及日志存儲位置廣播到LSBC鏈上。該步驟可表示為：

PublisherLSBC：{Digest（D-data）||Hash（D-data）||SignSK（Digest（D-data）||Hash（D-data））||URI}

3.3 安全日志共享

User是日志數據的所有者，數據經處理經過發(fā)布在LSBC鏈上后，User擁有數據的訪問控制權限。Requester在LSBC鏈上會檢索所需信息，并對信息使用權進行申請。User在收到請求后，會進行權限、時效操作。User在授權時，首先將資源位置URI、資源權限以及請求者Requester的公鑰進行簽名，然后設定可用時效，將對稱密鑰k用Requester的公鑰進行加密，最后廣播到LSBC鏈上。步驟如下：

Requester：Request

UserLSBC鏈：{URI||permission||PKRequester||Time||Sign（URI||permission||PKRequester）||EncPK （k）}

4 安全性分析

4.1 日志防篡改

LSSBC系統的主要日志存儲機制是區(qū)塊鏈技術和云存儲技術的結合，將Co.與Mfrs.的日志文件存儲在LSBC鏈與云存儲環(huán)境中，可以有效防止日志刪除、篡改攻擊，在本地日志系統收到攻擊時，LSSBC系統可以作為備份數據庫，避免數據丟失帶來的損失。LSBC鏈上的信息公開且不可篡改，根據底層區(qū)塊鏈機制，可抵御全網一半以下的算力攻擊。

4.2 身份及數據隱私保護

LSSBC系統的隱私保護機制主要分為身份隱私保護和數據隱私保護兩方面。LSBC鏈上Publisher、User、Requester身份都采用公鑰地址PK代替，通訊雙方無法獲取對方真實公司、人員信息。本文中日志文件在進行云存儲和鏈上發(fā)布前都會進行脫敏，由Publisher將與公司保密有關的信息進行隱藏，對于脫敏后的數據仍需要User做最后確認方可進行后續(xù)步驟。身份和數據隱私保護機制，可以有效防止惡意用戶調用日志信息進行針對性攻擊。

4.3 安全共享和追溯

日志共享是LSBC鏈的主要功能，在共享過程中，對通訊雙方進行匿名以保證雙方的隱私安全。請求由Requester發(fā)出，User在接到請求后將進行授權，Permission和Time用來實現對Requester的授權操作和時效限制，保證被授權者不能進行超過權限的操作，同時在超出時效后撤銷Permission。日志文件經過脫敏處理對外發(fā)布，LSBC鏈會記錄每一個日志文件的發(fā)布和調用請求。在日志文件出現脫敏異常、數據有誤的情況下可以利用區(qū)塊鏈機制進行溯源，查詢使用記錄。

4.4 LSSBC系統安全性比較

三層日志服務器保護方案是對重要日志文件進行保護的一種新方案。該方案將日志服務器的保護分為三層：第一層是遠程日志終端，用來備份日志文件；第二層是偽裝傳輸協議，通過UDP、IP、Ethernet協議頭實現傳輸的隱藏；第三層是對日志服務器進行蜜罐保護。將三層日志服務器保護方案和LSSBC系統進行對比，如表2所示，可以得出LSSBC系統在日志保護和擴展性上都具有更好的性能。

5 結束語

本文研究一種基于區(qū)塊鏈的安全日志存儲及分享系統。該系統相比于傳統日志存儲形式，有隱私性強、可控性高、數據分享安全便捷的優(yōu)點。系統的核心在于LSBC鏈的設計，LSBC鏈底層機制基于區(qū)塊鏈，效率還有待提高，共識算法及激勵機制還有改進的可能。系統是日志文件安全共享的一種新方式，在隱私保護的基礎上共享日志文件能加快安全行業(yè)研究，促進發(fā)展。

致謝：

對中國科學院網絡測評技術重點實驗室在論文寫作過程中給予的支持表示感謝。

基金項目：

1. 中國科學院網絡測評技術重點實驗室資助；

2. 國家自然科學基金資助項目（項目編號：61540020）。

參考文獻

[1] 黃旭鵬，鐘平.校園網部署虛擬蜜罐的關鍵點研究[J].現代計算機（專業(yè)版），2018（05）：73-77+82.

[2] 銀偉，雷琪，韓笑，徐軍，金志文，銀霞.蜜罐技術研究進展[J].網絡安全技術與應用，2018（01）：20-26.

[3] 楊德全，劉衛(wèi)民，俞宙.基于蜜罐的主動防御應用研究[J].網絡與信息安全學報，2018，4（01）：57-62+78.

[4] 賈召鵬，方濱興，崔翔，劉奇旭.ArkHoney：基于協同機制的Web蜜罐[J].計算機學報，2018，41（02）：413-425.

[5] 蔣賢維.蜜罐系統中的日志應用及保護[J].無線互聯科技，2013（11）：151-152.

[6] 覃應接. 網絡日志管理與分析技術研究與實現[D].北京交通大學，2015.

[7] Youn P， Samuel J. Non-deterministic audit log protection： U.S. Patent 8，819，067[P]. 2014-8-26.

[8] 章峰，史博軒，蔣文保.區(qū)塊鏈關鍵技術及應用研究綜述[J].網絡與信息安全學報，2018，4（04）：22-29.

[9] 梅穎.安全存儲醫(yī)療記錄的區(qū)塊鏈方法研究[J].江西師范大學學報（自然科學版），2017，41（05）：484-490.

[10] 吳振銓，梁宇輝，康嘉文，余榮，何昭水.基于聯盟區(qū)塊鏈的智能電網數據安全存儲與共享系統[J].計算機應用，2017，37（10）：2742-2747.

[11] Tian F. An agri-food supply chain traceability system for China based on RFID & blockchain technology[C]//Service Systems and Service Management （ICSSSM）， 2016 13th International Conference on. IEEE， 2016： 1-6.

[12] Xia Q， Sifah E B， Asamoah K O， et al. MeDShare： Trust-less medical data sharing among cloud service providers via blockchain[J]. IEEE Access， 2017， 5： 14757-14767.