基于屬性監(jiān)控的安全域自適應劃分方法研究*

韓清德　謝　慧　聶　峰

(1.海軍工程大學信息安全系　武漢　430033)(2.山東武警總隊通信處　濟南　250000)

?

基于屬性監(jiān)控的安全域自適應劃分方法研究*

韓清德1謝慧1聶峰2

(1.海軍工程大學信息安全系武漢430033)(2.山東武警總隊通信處濟南250000)

安全域劃分作為信息安全等級保護的重要手段，目的是將網絡安全問題進行細化，把大規(guī)模復雜的網絡系統分解為區(qū)域型安全防護問題，針對性地進行有重點、有區(qū)別的安全防護。針對簡單一次性的安全域劃分方法無法適應日愈復雜的網絡結構和不斷增長的業(yè)務需求，提出基于屬性監(jiān)控的安全域劃分方法。首先給出安全域定義，研究安全域基本構成元素，建立相應的屬性值域來劃分安全域。并且引入屬性監(jiān)控器來對網絡中相關屬性進行全面監(jiān)控，通過監(jiān)控所反饋的屬性變化信息對網絡進行動態(tài)調整，達到控制安全域內或者安全域間主體對網絡相關資源訪問關系；確保對重要資源的訪問的安全、可靠、有效；對即將發(fā)生、正在進行或者已經發(fā)生網絡攻擊的網絡安全域進行隔離，以方便對其進行安全增強、有效隔離或者評估治理，防止攻擊進一步擴散。

屬性監(jiān)控; 安全域劃分; 自適應

Class NumberTP393

1　引言

隨著信息技術的不斷發(fā)展，網絡結構日益復雜，網絡攻擊愈加隱蔽頻繁，網絡安全形勢越來越嚴峻。信息安全等級保護[1]將網絡系統按照不同的安全需求、面臨的安全威脅和相應的業(yè)務功能進行安全等級劃分，以達到對網絡系統分級保護的目的。其中，劃分安全域作為信息安全等級保護的重要手段[2]，將網絡安全問題進行細化，把大規(guī)模復雜的網絡系統分解為區(qū)域型安全屬性的相關防護問題，針對性地進行有重點、有區(qū)別的安全防護[3]。

現有的安全域劃分技術主要是按照業(yè)務系統[4～5]、防護等級[6]和系統行為[7]進行劃分。文獻[4]提出了安全域的宏觀和微觀的概念，對安全域從微觀和宏觀的角度進行分析，描述安全域在微觀角度上各個元素的組成和行為，并且對行為和規(guī)則策略的對應關系進行闡述。在宏觀角度下分析安全域結構和安全域交互，通過對安全域宏觀現象和微觀的本質進行聯系，提出了基于功能相似性和業(yè)務連續(xù)性的安全域劃分模型，并對其安全性、有效性、合理性進行了分析。文獻[5]是對具體GPRS系統進行安全域劃分，通過對GPRS系統進行水平垂直方向上劃分，結合業(yè)務需求，將系統劃分為網絡核心域、網絡接入域和網絡其他域，具有很強的實踐應用性，但缺乏對安全域劃分方法的理論研究，未能對所設計的方法進行有效性、科學性、安全性等方面進行論證。文獻[6]分析了安全域劃分存在的困難，給出了分級保護網絡中安全域劃分的原則，提出不同密級的安全域在網絡中的接入模式和管理策略。文獻[7]認為受到相似威脅攻擊的網絡其安全防護策略應該趨于一致，以此為依據進行安全域劃分。通過對系統進行威脅和脆弱性進行分析，評估各子系統威脅源和威脅方式的指標值，通過模糊聚類的方法進行安全域劃分。

此外，隨著本體技術的發(fā)展，洪大翔基于IATF深度防御模型和PPDR網絡安全模型，在文獻[8]提出基于本體的信息系統動態(tài)安全域劃分技術，構建安全域劃分領域本體，并進行相關邏輯推理，建立循環(huán)動態(tài)的調整安全域劃分和安全防護體系。文獻[9]提出基于PPDRR與GRL模型的安全域劃分技術，通過PPDRR模型對信息系統進行安全需求分析，借助GRL語言對系統安全需求進行層次劃分，構建安全需求指標模型，提出基于安全需求相似性的安全域劃分方法。

以上安全域劃分技術多基于特定運用環(huán)境，并且在一定程度上尋求通過一次劃分安全域來達到對網絡安全威脅的分割控制，但是缺少對安全域管理問題研究。目前，安全域管理基本依靠人工方式進行管理，難以對網絡進行實時、準確、全面分析，無法及時依據網絡中的相關變化而進行安全域調整劃分，隨時間的推移，簡單一次性劃分及單純依靠人工管理的方式，無法確保現有的安全域劃分能滿足長期安全標準要求。因此，需要一種能夠對網絡相關變化進行實時掌控，并自適應地調整安全域結構的管理方法。文獻[10]提出一種安全域自動核查技術，通過對基于真實網絡拓撲結構的安全域劃分審計技術，自動發(fā)現網絡拓撲結構，并對真實的網絡拓撲結構進行還原、展現和核查，對違規(guī)的拓撲結構進行自動響應。但是該方案主要針對小型企業(yè)內部網絡，對大規(guī)模、復雜網絡結構的網絡，難以進行及時核查響應。而且隨著網絡內部威脅的不斷增多，網絡結構日愈復雜，網絡業(yè)務不斷拓展延伸[11]，網絡呈現出規(guī)模龐大、結構復雜、面臨威脅多樣的特征，僅僅依靠簡單一次性地進行安全域劃分和依賴于人工管理或者小規(guī)模系統自動核查調整[12]，無法適應日愈復雜的網絡環(huán)境和不斷增長的業(yè)務需求。

鑒于安全域劃分及安全域管理方面的問題，本文從安全域定義出發(fā)，研究安全域基本構成元素，通過對安全域基本構成元素進行屬性分析，建立各構成元素的基本指標體系，對各屬性進行評估取值，通過建立相應的屬性值域來劃分安全域。并且引入屬性監(jiān)控器來對網絡中相關屬性進行全面監(jiān)控，通過監(jiān)控所反饋的屬性變化信息對網絡進行動態(tài)調整，以適應網絡環(huán)境變化和業(yè)務增長需求。

2　安全域

2.1安全域定義

在國家保密標準中，安全域的定義是由實施共同安全策略的主體和客體構成的集合，其中主體表示安全域中的各類終端用戶，客體表示安全域中各類資源如數據庫信息、文檔等。在這個定義中，同一個安全域應是具有相同的安全策略，為實現相同的安全需求所構成的集合。不同安全域間的安全需求不同、安全策略不同。安全策略用于描述主體與客體間的操作關系，而安全策略的制定是依據主體和客體的安全需求和防護等級等綜合考慮的，這里將這類考慮歸類為主體屬性和客體屬性。

定義1主體屬性為各類終端用戶安全屬性如角色、安全權限、承擔的任務等，以SATTR表示。

定義2客體屬性為各類資源的安全屬性，就機密性、完整性、可用性和可恢復性，以OATTR表示。

定義3網絡環(huán)境屬性是指網絡中信道性能、安全威脅、漏洞、系統參數和相關硬件設施的參數等，以EATTR表示。

同一安全域的主體與客體的相關屬性應該符合本安全域的屬性。因此，在劃分安全域時應該考慮網絡中主體屬性、客體屬性、主體對客體的操作關系，以及網絡環(huán)境的相關約束條件比如受威脅等級、漏洞信息和病毒信息等。本文在文獻[13～14]研究的基礎上，結合劃分安全域的基礎考慮，給出安全域的形式化定義：

定義4安全域是一個三元組SD={SATTR,OAATR,EAATR}，其中SD表示安全域，SATTR表示主體屬性，OATTR表示客體屬性，EATTR表示網絡環(huán)境屬性。又設svi表示主體屬性值，ovj表示客體屬性值，evk表示網絡環(huán)境屬性值，則各屬性值在一定的變化范圍稱為屬性值域，該域將與安全域進行映射，作為劃分安全域的基礎。

2.2安全域劃分原則

安全域的劃分是為了更好地實施安全策略，如果對網絡進行安全域劃分過細，則會造成安全策略過于復雜，增加了管理的復雜度，如果劃分粒度過粗，則將造成對安全策略過于簡單，造成網絡安全的脆弱性。因此，在進行安全域劃分時應該遵循以下原則：

1) 可用性原則。安全域劃分要能夠保證整個網絡系統能夠正常運行，安全域的劃分是為了使得網絡主體和客體在安全的環(huán)境中，通過各種安全措施保障安全，實現運轉的高效與低風險的效果。

2) 等級保護原則。即確保每一個安全域中的等級防護措施均配置無誤，同時，應該滿足保密性、完整性和可用性。

3) 相似性原則。安全域內部的主體、客體和網絡環(huán)境等應該具有四個方面的聯系，即應用服務和系統功能相似性、資產相似性、安全要求相似性和威脅相似性，使得安全域滿足等級保護原則。

4) 層次化原則。安全域劃分應該具有層次邏輯，通過對網絡進行層次劃分，使其能夠對網絡中各層的特點進行針對性的安全防護。

2.3安全域劃分模型

依據安全域定義和安全域劃分原則，現有的安全域劃分方法多基于相似性原則進行安全域劃分，也有基于深度防御理論(Defense in Depth)和PPDRR網絡安全模型進行安全域劃分。

1) 深度防御理論(Defense in Depth)[15]

深度防御理論是由美國國家安全局組織編寫的，其創(chuàng)新地提出信息保障的關鍵在于：人依托技術進行操作，實現組織職能。其中，人(People)、技術(Technology)和操作(Operation)是構成IA的三要素，通過對信息保障需求劃分為四個基礎域：保護網絡和信息基礎設施、邊界防護、保護計算環(huán)境和為基礎設施提供的技術支撐，實現對信息基礎設施的多重防護。

2) PPDR網絡安全模型[16]

PPDR包括策略(Policy)、保護(Protection)、檢測(Detection)和響應(Response)四個部分組成。該模型以策略為支撐，不斷進行保護、檢測和響應，通過預先制定的網絡安全策略，不斷地、動態(tài)地、螺旋上升地對網絡進行安全防護。

3) Framework for Improving Critical Infrastructure Cyberspace(FICIC)[17]

FICIC是提升網絡空間關鍵基礎設施安全防護能力框架，其給出的框架核心結構包括：識別(Identify)、防護(Protect)、檢測(Detect)、響應(Respond)和恢復(Recover)，該核心結構并不是執(zhí)行流程，而是框架的核心功能組成。通過這些功能，使得網絡空間關鍵基礎設施的風險管理從初級提升到自適應級別。

3　基于屬性監(jiān)控的安全域自適應劃分模型

現代網絡隨著業(yè)務的拓展，網絡邊界的不斷模糊，使得網絡結構愈加多變，網絡組成元素關系愈加復雜，因此，劃分安全域是一個長期的動態(tài)的過程，其不僅僅是需要對網絡進行分層次、分重點進行深度防御，也需要不斷檢測、響應，而持續(xù)的檢測本質上是對網絡各組成元素進行全面的監(jiān)控。本文在深度防御理論、PPDR網絡安全模型和FICIC框架的基礎上，結合網絡持續(xù)監(jiān)控的核心理念，提出基于持續(xù)的網絡監(jiān)控進行安全域劃分方法。通過持續(xù)的網絡監(jiān)控，實時地對監(jiān)控數據進行收集、分析處理，提取相關屬性信息，進行安全域自適應劃分和調整，具體模型如圖1所示。

圖1　監(jiān)控循環(huán)響應

1) 數據收集。數據收集是整個模型的基礎，其目的是對系統行為日志、網絡日志、用戶登錄日志、訪問日志、漏洞信息、病毒庫更新信息、端口信息和各類事件進行數據收集和提取。

2) 數據分析處理。對1)中產生的大數據進行數據分類、分析，得到安全域劃分所依據的主體屬性值svi、客體屬性值ovj和網絡環(huán)境屬性值evk。

3) 安全域。劃分安全域是為了統籌不同安全屬性的主體與客體之間的操作關系，體現在：(1)控制安全域內或者安全域間主體對網絡相關資源訪問關系，確保對重要資源的訪問的安全、可靠、有效；(2)對即將發(fā)生、正在進行或者已經發(fā)生網絡攻擊的網絡安全域進行隔離，以方便對其進行安全增強、有效隔離或者評估治理，防止攻擊進一步擴散。本文按照業(yè)務系統所處理的信息的涉密程度將網絡進行等級劃分，為安全核心域、內部服務域和公共服務域。

·安全核心域：將網絡中涉及業(yè)務系統核心的業(yè)務、通信、身份認證等相關信息資源和行為主體歸為安全核心域，為整個網絡中最核心的區(qū)域。

·內部服務域：主要為內部工作環(huán)境提供基礎支撐，有基礎的文檔服務器、web服務器、內部郵件服務器等。

·公共服務域：主要是對外業(yè)務相關的服務需求，包括相關的服務器和基礎認證設施。

為方便對各密級網絡進行管理，進一步實現對網絡的控制和隔離，特別是實現對安全域內部安全問題的處理，將各安全域進一步進行劃分為安全管理子域、安全用戶子域、安全資源子域、安全聯接子域、安全服務子域和安全隔離子域，以達到對網絡分重點、分層次的安全等級防護。

·安全管理子域：包括網絡管理、安全運維、配置管理、審計、認證、監(jiān)控等管理職責內的硬件及軟件系統。

·安全用戶子域：包括所有需要訪問安全計算子域、安全服務子域的各類客戶端和終端。

·安全資源子域：是業(yè)務系統實現的關鍵域，由業(yè)務主機、相關數據庫、存儲系統等構成。

·安全聯接子域：由路由器、交換機、VPN等網絡設備以及相關的安全設備構成。

·安全服務子域：為合法授權用戶提供各類網絡服務。

·安全隔離子域：為實現安全隔離，對受攻擊的某區(qū)域進行隔離治理，以及對內部相關非法用戶進行隔離審查，是實現安全治理的重要手段。

4) 屬性值域。屬性值域是預先制定的，將主體屬性值、客體屬性值和網絡環(huán)境屬性值與安全域進行對應，同時作為基準以便自適應調整安全域劃分。根據本文給出的安全域定義，結合所給出的安全域劃分模型，表1給出屬性值與安全域對應關系。

表1　屬性值與安全域對應關系

其中，集合U、P、Q分別表示三個不同的值域，并且滿足U≠?,P≠?,Q≠?且U∩P=?,U∩Q=?,P∩Q=?。

而對安全子域，規(guī)定核心域的主體和客體不下調至內部服務域和公共服務域的相關子域，而是動態(tài)調整到安全核心域的安全隔離子域中，以防止信息泄露。因此，對于各安全域中的安全子域與相關屬性值有如表2所示的對應關系。

表2　屬性值與安全子域對應關系

5) 響應。響應是進行安全域劃分和動態(tài)調整的過程，在數據分析處理的基礎上，將所得的屬性信息與屬性值域進行映射，對網絡進行實時的安全域劃分。

該模型的核心是持續(xù)的監(jiān)控，通過對監(jiān)控所得數據進行屬性提取，分析對比屬性值域，進而進行系統響應。為了縮短系統響應時間，實時發(fā)現屬性信息變化即響應，發(fā)現威脅即隔離控制，將數據收集、數據分析處理和響應三個部分進行整合為安全域屬性監(jiān)控器，由其實現此三部分的功能。

4　安全域屬性監(jiān)控器

4.1需求分析

由于信息、信息載體和信息環(huán)境隨時間不斷變化，網絡業(yè)務不斷拓展、新的未知的威脅不斷持續(xù)，網絡外部攻擊和內部攻擊使得網絡安全不再是一個常態(tài)，因而，安全域劃分不應該是一成不變，而是以動態(tài)、實時的調整來完善劃分邏輯。為了能夠實時掌握安全域中主體、客體的屬性變化和安全域網絡環(huán)境的變化情況，引入屬性監(jiān)控器[18]，通過持續(xù)監(jiān)控對各主體和客體以及域本身相關安全屬性進行跟蹤監(jiān)視，為安全域自適應調整提供依據。依據本文給出的安全域定義，對安全域的相關屬性監(jiān)控需求為：

1) 主體監(jiān)控：對本安全域的主體屬性、其他域的主體對本安全域的資源的使用情況進行監(jiān)控，通過監(jiān)測本安全域的主體屬性的相關變化、是否有違規(guī)操作、越權訪問等，為動態(tài)安全域劃分提供依據。

2) 客體監(jiān)控：對本安全域的所有資產屬性進行監(jiān)控，以便于實時調整安全域劃分結構。

3) 外部環(huán)境監(jiān)控：監(jiān)控安全域外部環(huán)境，主要監(jiān)控包括其他域內用戶訪問是否合法、是否存在漏洞、是否存在病毒等。

4) 內部環(huán)境監(jiān)控：域內環(huán)境進行監(jiān)控，實時監(jiān)測流量信息、網絡硬件設備工作情況和其他網絡結構增減情況，以及內部軟件的漏洞信息、病毒信息等。

4.2設計目標

為提高安全域的聯通能力、動態(tài)擴展等能力，屬性監(jiān)控器設計目標為：

1) 不同安全域的監(jiān)控器應該能進行信息互聯，將相應的網絡變化進行共享，提高協同能力。

2) 能夠對域內的相關設備的動態(tài)加入或刪除進行相應的調整，及時進行監(jiān)控。

3) 監(jiān)控是主動的監(jiān)控而不是被動的信息收集。

4) 要能夠對監(jiān)控的數據進行預處理，使其符合一定的數據格式。

5) 對相關屬性變化能夠做到及時響應，自適應調整安全域劃分邏輯結構。

4.3安全域屬性監(jiān)控器設計

安全域屬性監(jiān)控器可分為數據收集層、數據處理層、通信層、自適應響應層和屬性數據庫。其中，數據收集層用于收集監(jiān)控范圍內的相關屬性數據，數據處理層對收集的數據進行處理，通信層將本域的相關變化信息與其他安全域進行共享，自適應響應層是實現安全域自適應調整的核心，通過屬性數據收集和處理，并且與其他域進行信息交換，充分掌握安全域內外的相關屬性變化，完成安全域的動態(tài)調整，屬性數據庫用于存儲各類屬性信息，以及屬性值列表，作為對響應模塊的信息支撐。具體分層模型如圖2所示。

圖3　數據收集核心業(yè)務流程

1) 數據收集層。通過在安全域中部署屬性監(jiān)控器，對域內的主體、客體和域內外的網絡環(huán)境的相關數據進行收集，從漏洞信息、補丁更新、各類日志和事件、用戶相關信息、技術更新、病毒信息、操作系統信息等進行全面監(jiān)控和數據收集。下面給出數據收集的核心業(yè)務流程，如圖3所示。

2) 數據處理層。通過對數據收集層收集的數據進行篩選提取和分類，得出主體屬性矩陣SATTR、客體屬性矩陣OATTR和網絡環(huán)境屬性矩陣EATTR。再結合網絡結構IP、相關權威機構發(fā)布的威脅情報Info、通信層共享信息Message以及安全策略Policy對數據進行分析、評估，得到屬性值表達式，該表達式包含了屬性類別type、所屬子域信息id和屬性值v。給出數據處理核心代碼如下所示：

算法: Attribute_get(SATTR,OATTR,EATTR,IP,Info,Messgage,Policy)

輸入: 主體屬性矩陣SATTR,客體屬性矩陣OATTR,網絡環(huán)境屬性矩陣EATTR

輸出: 屬性表達式SATTR=[type,id,sv]、OATTR=[type,id,ov]、EATTR=[type,id,ev]

1定義SATTR、OATTR、EATTR為三元組集合初始值均為空

2對于主體屬性矩陣SATTR=[Role,Mission]

3sv=Role→Mission;

4If(sv=M_SATTR_sv)

5SATTR_type=get(IP,Info,SATTR);

6SATTR_id=get(IP,Policy,SATTR);

7Else SATTR=M_SATTR;

8對于客體屬性矩陣OATTR=[Confidentiality,Integrity,Avaibility,Recovery]

9c=Confidentiality(),i=Integrity(),a=Availabilty(),r=Rocovery();

10ov=c×i×a×r;

11If(ov=M_OATTR_ov)

12OATTR_type=get(IP,Info,OATTR);

13OATTR_id=get(IP,Policy,OATTR);

13Else OATTR=M_OATTR;

15對于網絡環(huán)境屬性矩陣EATTR=[Channal,Threat,Vulnerability,Stabilty]

16ch=Channal(),t=Threat(),v=Vulnerability(),s=Stability();

17ov=ch×t×v×s;

18If(ov=M_EATTR_ov)

19EATTR_type=get(IP,Info,EATTR);

20EATTR_id=get(IP,Policy,EATTR);

21Else EATTR=M_EATTR;

22返回SATTR[],OATTR[],EATTR[]

3) 自適應響應層。當接收到數據處理層上傳的屬性值表達式后，得到屬性類別、子域信息和屬性值，通過對屬性數據庫進行信息檢索，對該屬性類別的屬性值進行屬性值域匹配檢索，若該屬性值滿足當前子域的屬性值域則只進行信息更新；若不滿足則進行屬性值域檢索，確認新的屬性值域，并對其進行安全域調整。自適應響應的核心流程如下：

圖4　監(jiān)控響應流程

4) 通信層。當自適應響應層確認安全域內發(fā)生屬性值變化且進行了安全域調整，則對該變化進行公告，通過專用信道進行各安全域屬性監(jiān)控器信息共享。為方便其他安全域對通信信息進行處理存儲，統一定義通信格式M=[Time,IDsd,SATTR,OATTR,EATTR]，其中，Time表示變更時間。

5　結語

安全域劃分是網絡安全防護的重要技術，是防護內部網絡攻擊主要手段，本文通過設計一種安全域屬性監(jiān)控器來實現對網絡安全域自適應劃分，通過對監(jiān)控過程產生的大量數據進行屬性提取，并進行相應的響應，以達到安全域自適應劃分和控制內部威脅漫延的目標。而對網絡實時的監(jiān)控將產生海量的數據，而如何高效地對這些數據進行屬性提取和相應的屬性分析以及對安全域屬性監(jiān)控器進行算法實現將是下一步的研究重點。

[1] GB/T 25058-2010, 信息安全技術.信息系統安全等級保護實施指南[S].

[2] 周寧,張之剛,馬建偉,等.基于本體和語義規(guī)則的信息系統安全域劃分[J].計算機工程與應用,2015(3):103-108.

[3] 羅俊.一種基于安全域的網絡信息系統安全性評估方法[J].通信技術,2014(2):210-214.

[4] 吳金鵬.業(yè)務型安全域劃分方法研究和案例分析[D].重慶:重慶大學,2008.

[5] 姚興.GPRS業(yè)務系統安全域劃分[D].烏魯木齊:內蒙古大學,2012.

[6] 翟勝軍.談分級保護網絡中的安全域劃分[J].保密科學技術,2011(10):15-17,21.

[7] 張海亮.威脅型安全域劃分指標及方法的研究和案例分析[D].重慶:重慶大學,2007.

[8] 洪大翔.基于本體的信息系統安全域劃分的研究與應用[D].重慶:重慶大學,2014.

[9] 艾鵬.基于PPDRR與GRL模型的安全域劃分度量方法研究[D].重慶:重慶大學,2012.

[10] 劉曉峰,譚彬,邱嵐,等.網絡安全域自動核查分析技術及應用[J].電信科學,2015(1):177-181.

[11] 王明強.河南移動網管支撐系統安全域優(yōu)化及實施方案設計[D].北京:北京郵電大學,2010.

[12] 向宏,向慶華,吳金鵬.一種定量劃分網絡信息系統安全域的方法[J].重慶工學院學報(自然科學版),2008(10):117-120,134.[13] 林莉,懷進鵬,李先賢.基于屬性的訪問控制策略合成代數[J].軟件學報,2009(2):403-414.

[14] 王小明,付紅,張立臣.基于屬性的訪問控制研究進展[J].電子學報,2010(7):1660-1667.

[15] National Security Agency. Information Assurance guidance for each each of the Defense in Depth focus areas[R]. NSA, 2001.https://www.iad.gov/library/iatf.cfm, 2015-03-24.

[16] Shen Ping Ping. An improved model of distributed network information security[C]//2010 International Conference in Educational and Information Technology,2010:V3-391-V3-393.

[17] NIST. Framework for Improving Critical Infrastructure Cybersecurity[R]. NAST,2014,12.

[18] 高燕燕.基于通用屬性庫的跨域訪問控制[D].鄭州:鄭州大學,2014.

Security Domain Adaptive Classification Method Based On Attribute Monitoring Research

HAN Qingde1XIE Hui1NIE Feng2

(1.Department of Information Security, Naval University of Engineering, Wuhan430033)(2.Division of Communication, China People’s Armed Police Corps in Shandong Province, JiNan250000)

Security domain classification, as one of the important ways to protect information security levels, its purpose is to pertinently advance security protections which have an emphasis and difference, through dividing security domain to delaminate network security issues, the extensive complex network structure is decomposed to domain type security protection issues. Due to the complex network structure and rising business demand, the security domain classification is no longer the same, it is a long-term dynamic process. This paper presents a method of domain adaptive classification based on attribute monitoring. Firstly, the definability of the security domain attribute is given. Secondly the model of the cycle of monitor and respond is found out. Finally, an attribute monitor of security domain is designed, via continuous monitoring on subject attribute, object attribute and network environment attribute, proceeding date analyzing in real time, adaptive dividing security domain.

attribute monitoring, divide security domain, adaptive

2016年4月5日,

2016年5月17日

韓清德,男,碩士研究生,研究方向：網絡安全。謝慧,女,碩士,副教授,研究方向：網絡安全。聶峰,男,碩士,研究方向：通信網絡安全。

TP393

10.3969/j.issn.1672-9730.2016.10.024