基于可信计算的大数据信息网络自适应安全防护系统的制作方法

本发明涉及大数据领域，具体涉及基于可信计算的大数据信息网络自适应安全防护系统。

背景技术：

近年来，随着信息科技的迅猛发展及其与各行各业碰撞而产生的火花，给人们的生活、生产方式带来空前的变革，进而信息科技的发展引起了各行业各领域的重点关。在众多的新兴科学技术中，云计算和大数据是最受人们关注的也是最为典型的两个代表，而两者结合的云端大数据平台更成为科技领域中关注的焦点，并且越来越多的渗透到现实生活中，而对此的云端大数据平台的安全隐私保护成为其价值体现的重保障。

有关可信计算的概念，在ISO/IEC 15408标准中给出了以下定义：一个可信的组件、操作或过程的行为在任意操作条件下是可预测的，并能很好地抵抗应用程序软件、病毒以及一定的物理干扰造成的破坏。可信计算的基本思路是在硬件平台上引入安全芯片(可信平台模块)来提高终端系统的安全性，也就是说在每个终端平台上植入一个信任根，让计算机从BIOS到操作系统内核层，再到应用层都构建信任关系；以此为基础，扩大到网络上，建立相应的信任链，从而进入计算机免疫时代。当终端受到攻击时，可实现自我保护、自我管理和自我恢复。

可信计算是在计算和通信系统中广泛使用基于硬件安全模块支持下的可信计算平台，以提高系统整体的安全性，可信计算为行为安全而生，行为安全应该包括：行为的机密性、行为的完整性、行为的真实性等特征。可信计算包括5个核心的概念，即：密钥、安全输入输出、储存器屏蔽等，其中密匙的运用是可信系统的重中之重，数据储存和恢复中密钥的安全性，是整个可信安全防护系统的基础保障。

技术实现要素：

针对上述问题，本发明提供基于可信计算的大数据信息网络自适应安全防护系统。

本发明的目的采用以下技术方案来实现：

基于可信计算的大数据信息网络自适应安全防护系统，其特征是，包括数据采集单元、可信数据储存和恢复单元、攻击响应单元和专家支持库；

(1)所述数据采集单元单元认证进行信息收集的网络中的硬件节点，判断网络硬件节点可信度，建立所采集信息的信任关系，通过分布式的采集系统来采集网络各处的网络安全事件信息，在CDIF标准格式的基础上,对于从各设备、系统收集来的数据进行统一格式转换，并将转换后的信息格式定义为各分系统间通信的统一事件格式，为整体信任环境的构建提供基础，构建可信数据平台；所述数据采集单元为可信链的起点，其设置有数据发送应用程序，可信数据储存和恢复单元、专家数据库和攻击响应单元均设置有数据接收和发送应用程序，数据通过3G方式进行传输，3G模块上电后，所述可信数据平台对上述各个单元和专家数据库进行上电检测；

(2)所述可信数据储存和恢复单元包括数据预处理模块、数据存储模块、数据恢复模块和数据评估模块：(2-1)数据预处理模块，用于对所述数据采集单元采集到的大规模数据进行分类，其具体执行以下两个操作：通过K-means聚类对数据进行分类，以聚类中心为名称为每一分类建立目录；重复以上分类过程，将数据进行细分，形成分类下的子分类，并形成数据的多级目录，形成可度量的量化数据；

(2-2)数据存储模块，是一个含有密码运算的可信数据储存模块，通过密钥技术、硬件访问控制技术和存储加密技术保证系统和数据的信任状态，通过软件的数字签名技术将使得系统能识别出经过第三方修改可能加入间谍软件的应用程序，其包括数据分割子模块、数据加密子模块和云存储子模块：

a、数据分割子模块，用于对存储的数据进行分割，其具体执行以下操作：

当需要存储数据r时，首先在本地把数据r分割成长度均为h的n部分r₁，r₂，...，r_n，然后在有限域Z_P中将每个r_i分别分割成n个子块r_i,1，r_i,2...r_i,n,其中p＞2^h，则对于第j个子块r_i,j＝r_i.(r_i,1.r_i,2....r_i,j-1)^-1modp，其中mod代表求余运算符；

将{r_i,1.r_i,2....r_i,n-1}设成是初始的分块集，映射到集合{p₁,p₂...p_n}构建线性相关关系，用下式表示线性方程组：

a_i1r_1,1+a_i2r_1,2+…+a_inr_1,n＝c_i,1

a_i1r_2,1+a_i2r_2,2+…+a_inr_2,n＝c_i,2

……

a_i1r_n,1+a_i2r_n,2+…+a_inr_n,n＝c_i,n

其中a_ij是从有限域Z_P中任意选取的，以此类推得出c_2,1,c_2,2,...,c_2,n,...,c_n,1,c_n,2,...,c_n,n，用矩阵的形式表现出其相关关系，令则上述线性方程组表示为A×R＝C；

对矩阵R按下式进行二次混合得到新的矩阵C‘：A×R×A＝C‘；

b、数据加密子模块，用于对存储的数据进行加密以提高数据的安全性，其具体执行以下操作：

调用密匙生成函数，根据每个a_ij的值以及用户输入的安全参数λ值，输出解密密匙对{K_E，K_D}，并将加密密匙K_E与计算云服务器H_i共享，将解密密匙K_D存储在用户本地；

通过计算云服务器向伪随机序列生成器输入a_ij，生成与a_ij一一对应的标识Tag_ij，同时调用同态加密函数，输入加密密匙及每个a_ij所对应的数据值V_ij，生成密文Z_ij，容易知Tag_ij和c_ij均为n×n矩阵，分别记为Tag和Z矩阵；用Tag矩阵按下式对C‘进行一次混合加密得到C“：Tag×C‘＝C“；然后用Z矩阵按下式对C“进行二次混合加密得到C“’：C“×Z＝C“’；任意随机产生B个虚拟向量，其中B≥2n，随机地将该虚拟向量安排入C“’中，得到一个N₁×N₂的矩阵Q，其中N₁和N₂均大于n，所述虚拟向量用于掩饰真实的n值，进一步加强了数据的安全性；

c、云存储子模块，用于将加密后的数据上传到储存云服务器进行存储，将得到的A、C、C‘、C“、C“’、Q、Tag、Z、由C“’得到矩阵Q时的具体随机路径以及所述虚拟向量上传到储存云服务器；

(2-3)数据恢复模块，用于根据用户的请求将储存数据的恢复和取出，这里所指的用户包括合法用户和非法用户；

(2-4)数据评估模块，对预处理模块中的数据分类过程、数据存储模块中的数据分割和加密过程、数据恢复模块中的分级匹配过程进行监督和评价，为后续的改进提供数据支持，通过数据采集单元、可信数据储存和恢复单元共同构建可信数据提供平台，构建整体可信环境；

(3)所述攻击响应单元采用主动响应技术和被动响应技术对受到的安全攻击进行相应，所述主动响应技术包括撤销连接、断路响应、SYN包位答响应、屏蔽发生内部滥用的主机，所述被动响应技术指自动通知，当检测到入侵时，系统能给管理员发出警报通知，协同防火墙、路由器、交换机、防病毒系统构成响应和预警互补的综合安全系统，在整体可信环境中构建一种可信的攻击响应系统；；

(4)所述专家支持库收集安全防护过程的所有信息，同时为管理人员提供需要的知识和工具，其包括所述计算云服务器、所述储存云服务器和本地数据库，是一个基于云服务器的支撑平台，所述专家支持库还提供可信软件系统，所述可信软件系统为操作系统和应用软件提供使用可信数据平台的接口，同时对所述可信数据平台后续软件提供完整性度量，并对不可控操作系统的特定行为进行行为审计和分析；所述后续软件包括核心加载软件和不可控操作系统软件。

优选地，所述数据恢复模块包括分级匹配子模块和匹配容错子模块：a、分级匹配子模块，其具体执行以下操作：

用户发出请求需要恢复数据r,从储存服务器中调出矩阵Q、生成矩阵Q时的随机路径和虚拟向量，按照该随机路径逆向剔除虚拟向量后得到矩阵C“’₁；

将C“’₁与从储存服务器中调出的C“’比较，如果不匹配则报错，如果匹配则进入下一步；

将C“’₁按照预先编写好的逆向函数以及从储存服务器中调出的矩阵Z和矩阵Tag分别得到出C“₁和C‘₁，并分别与C“和C‘比较，任一步骤不匹配均报错，匹配成功后进入下一步；

调出矩阵A，一方面根据矩阵A的可逆性按照R＝A^-1C‘A^-1得到储存数据r，另一方面将A用预先编好的解密函数解密，得到解密密匙K_D‘，K_D‘与存储在本地的解密密匙K_D进行比较，如果K_D‘与存储在本地的解密密匙K_D相匹配，则云服务器向用户发送得到的储存数据r，这样就恢复了数据r；

b、匹配容错子模块：

如果K_D‘与K_D无法匹配则报错并且将得到的数据r在设定的时间t内作保存，如果在时间t内用户重新匹配上密匙，则直接将数据r发送给用户，否则丢失该数据r。

本发明的有益效果为：

(1)装置中将大数据和云计算就像是一枚硬币的正反面一样有机结合起来，以云计算为依托处理大数据问题；

(2)设置数据预处理模块对大规模数据进行分类，能够有效提高计算效率，减少时间成本；

(3)先对数据平均分割，再对每个子块进行分割，由于C中任意元素的值不仅与R中第j列有关,也与R中其它的列有关,关联性强，而且将伪随机函数和同态加密机制有机地结合在矩阵加密中，窃取者想要获得数据r的完整信息，不光要对密匙和随机函数进行破解，而且必须获得矩阵中每一个元素的值，才能恢复处全部信息，这种加密方式的安全数据储存和恢复，能有效防止恶意非法破坏者对于安全防护系统有效信息的获取，大大加强了安全防护系统的可信度；

(4)将随机产生的虚拟向量随机地安排到矩阵C“’中，能有效掩饰真实的n值，这进一步提高了破译的难度，这对于均分分割的方案来说是尤为重要的，也进一步提高了安全防护系统的可信度；

(5)恢复数据过程中每一个步均与储存的数据进行比较，降低了容错率，且恢复出来的密钥必须与存储在本地的解密密匙相匹配，才能真正获得数据，这实质是一种动态的多重可信度量；一次数据恢复失败后，并不立即丢失恢复出来的数据，而是采取暂存的方式，降低了系统的计算强度。

附图说明

利用附图对本发明作进一步说明，但附图中的实施例不构成对本发明的任何限制，对于本领域的普通技术人员，在不付出创造性劳动的前提下，还可以根据以下附图获得其它的附图。

图1是基于可信计算的大数据信息网络自适应安全防护系统的结构框图；

图2是可信数据储存和恢复单元的结构框图。

附图标记：数据采集单元-1；可信数据储存和恢复单元-2；攻击响应单元-3；专家支持库-4；数据预处理模块-21；数据存储模块-22；数据恢复模块-23；数据评估模块-24；数据分割子模块-221；数据加密子模块-222；云存储子模块223分级匹配子模块-231；匹配容错子模块-232。

具体实施方式

结合以下实施例对本发明作进一步描述。

如图1所示的基于可信计算的大数据信息网络自适应安全防护系统，包括数据采集单元1、可信数据储存和恢复单元2、攻击响应单元3和专家支持库4。

(1)所述数据采集单元1认证进行信息收集的网络中的硬件节点，判断网络硬件节点可信度，建立所采集信息的信任关系，通过分布式的采集系统来采集网络各处的网络安全事件信息，在CDIF标准格式的基础上,对于从各设备、系统收集来的数据进行统一格式转换，并将转换后的信息格式定义为各分系统间通信的统一事件格式为整体信任环境的构建提供基础，构建可信数据平台；所述数据采集单元为可信链的起点，其设置有数据发送应用程序，可信数据储存和恢复单元、专家数据库和攻击响应单元均设置有数据接收和发送应用程序，数据通过3G方式进行传输，3G模块上电后，所述可信数据平台对上述各个单元和专家数据库进行上电检测；

(2)如图2所示，所述可信数据储存和恢复单元2包括数据预处理模块21、数据存储模块22、数据恢复模块23和数据评估模块24：(2-1)数据预处理模块21，用于对所述数据采集单元1采集到的大规模数据进行分类，其具体执行以下两个操作：通过K-means聚类对数据进行分类，以聚类中心为名称为每一分类建立目录，重复以上分类过程，将数据进行细分，形成分类下的子分类，并形成数据的多级目录；

(2-2)数据存储模块22，包括数据分割子模块221、数据加密子模块222和云存储子模块223：

a、数据分割子模块221，用于对存储的数据进行分割，其具体执行以下操作：

当需要存储数据r时，首先在本地把数据r分割成长度均为h的n部分r₁，r₂，...，r_n，然后在有限域Z_P中将每个r_i分别分割成n个子块r_i,1，r_i,2...r_i,n,其中p＞2^h，则对于第j个子块r_i,j＝r_i.(r_i,1.r_i,2....r_i,j-1)^-1modp，其中mod代表求余运算符；

将{r_i,1.r_i,2....r_i,n-1}设成是初始的分块集，映射到集合{p₁,p₂...p_n}构建线性相关关系，用下式表示线性方程组：

a_i1r_1,1+a_i2r_1,2+…+a_inr_1,n＝c_i,1

a_i1r_2,1+a_i2r_2,2+…+a_inr_2,n＝c_i,2

……

a_i1r_n,1+a_i2r_n,2+…+a_inr_n,n＝c_i,n

其中a_ij是从有限域Z_P中任意选取的，以此类推得出c_2,1,c_2,2,...,c_2,n,...,c_n,1,c_n,2,...,c_n,n，用矩阵的形式表现出其相关关系，令则上述线性方程组表示为A×R＝C；

对矩阵R按下式进行二次混合得到新的矩阵C‘：A×R×A＝C‘；

b、数据加密子模块222，用于对存储的数据进行加密以提高数据的安全性，其具体执行以下操作：

调用密匙生成函数，根据每个a_ij的值以及用户输入的安全参数λ值，输出解密密匙对{K_E，K_D}，并将加密密匙K_E与计算云服务器H_i共享，将解密密匙K_D存储在用户本地；

通过计算云服务器向伪随机序列生成器输入a_ij，生成与a_ij一一对应的标识Tag_ij，同时调用同态加密函数，输入加密密匙及每个a_ij所对应的数据值V_ij，生成密文Z_ij，容易知Tag_ij和c_ij均为n×n矩阵，分别记为Tag和Z矩阵；用Tag矩阵按下式对C‘进行一次混合加密得到C“：Tag×C‘＝C“；然后用Z矩阵按下式对C“进行二次混合加密得到C“’：C“×Z＝C“’；任意随机产生B个虚拟向量，其中B≥2n，随机地将该虚拟向量安排入C“’中，得到一个N₁×N₂的矩阵Q，其中N₁和N₂均大于n，所述虚拟向量用于掩饰真实的n值，进一步加强了数据的安全性；

c、云存储子模块223，用于将加密后的数据上传到储存云服务器进行存储，将得到的A、C、C‘、C“、C“’、Q、Tag、Z、由C“’得到矩阵Q时的具体随机路径以及所述虚拟向量上传到储存云服务器；

(2-3)数据恢复模块23，用于根据用户的请求将储存数据的恢复和取出，其包括分级匹配子模块231和匹配容错子模块232，这里所指的用户包括合法用户和非法用户：

a、分级匹配子模块231，其具体执行以下操作：

用户发出请求需要恢复数据r,从储存服务器中调出矩阵Q、生成矩阵Q时的随机路径和虚拟向量，按照该随机路径逆向剔除虚拟向量后得到矩阵C“’₁；

将C“’₁与从储存服务器中调出的C“’比较，如果不匹配则报错，如果匹配则进入下一步；

将C“’₁按照预先编写好的逆向函数以及从储存服务器中调出的矩阵Z和矩阵Tag分别得到出C“₁和C‘₁，并分别与C“和C‘比较，任一步骤不匹配均报错，匹配成功后进入下一步；

调出矩阵A，一方面根据矩阵A的可逆性按照R＝A^-1C‘A^-1得到储存数据r，另一方面将A用预先编好的解密函数解密，得到解密密匙K_D‘，K_D‘与存储在本地的解密密匙K_D进行比较，如果K_D‘与存储在本地的解密密匙K_D相匹配，则云服务器向用户发送得到的储存数据r，这样就恢复了数据r；

b、匹配容错子模块232：

如果K_D‘与K_D无法匹配则报错并且将得到的数据r在设定的时间t内作保存，如果在时间t内用户重新匹配上密匙，则直接将数据r发送给用户，否则丢失该数据r；

(2-4)数据评估模块24，对数据预处理模块21中的数据分类过程、数据存储模块22中的数据分割和加密过程、数据恢复模块23中的分级匹配过程进行监督和评价，为后续的改进提供数据支持，通过数据采集单元、可信数据储存和恢复单元共同构建可信数据提供平台，构建整体可信环境；

(3)所述攻击响应单元3采用主动响应技术和被动响应技术对受到的安全攻击进行相应，所述主动响应技术包括撤销连接、断路响应、SYN包位答响应、屏蔽发生内部滥用的主机，所述被动响应技术指自动通知，当检测到入侵时，系统能给管理员发出警报通知，协同防火墙、路由器、交换机、防病毒系统构成响应和预警互补的综合安全系统，在整体可信环境中构建一种可信的攻击响应系统；

(4)所述专家支持库4收集安全防护过程的所有信息，同时为管理人员提供需要的知识和工具，其包括所述计算云服务器、所述储存云服务器和本地数据库，是一个基于云服务器的支撑平台，所述专家支持库还提供可信软件系统，所述可信软件系统为操作系统和应用软件提供使用可信数据平台的接口，同时对所述可信数据平台后续软件提供完整性度量，并对不可控操作系统的特定行为进行行为审计和分析；所述后续软件包括核心加载软件和不可控操作系统软件。

在此实施例的网络自适应安全防护系统中，(1)装置中将大数据和云计算就像是一枚硬币的正反面一样有机结合起来，以云计算为依托处理大数据问题；

(2)设置数据预处理模块21对大规模数据进行分类，能够有效提高计算效率，减少时间成本；

(3)先对数据平均分割，再对每个子块进行分割，由于C中任意元素的值不仅与R中第j列有关,也与R中其它的列有关,关联性强，而且将伪随机函数和同态加密机制有机地结合在矩阵加密中，窃取者想要获得数据r的完整信息，不光要对密匙和随机函数进行破解，而且必须获得矩阵中每一个元素的值，才能恢复处全部信息，这种加密方式的安全数据储存和恢复，能有效防止恶意非法破坏者对于安全防护系统有效信息的获取，大大加强了安全防护系统的可信度；

(4)将随机产生的虚拟向量随机地安排到矩阵C“’中，能有效掩饰真实的n值，这进一步提高了破译的难度，这对于均分分割的方案来说是尤为重要的，也进一步提高了安全防护系统的可信度；

(5)恢复数据过程中每一个步均与储存的数据进行比较，降低了容错率，且恢复出来的密钥必须与存储在本地的解密密匙相匹配，才能真正获得数据，这实质是一种动态的多重可信度量；；一次数据恢复失败后，并不立即丢失恢复出来的数据，而是采取暂存的方式，降低了系统的计算强度。

最后应当说明的是，以上实施例仅用以说明本发明的技术方案，而非对本发明保护范围的限制，尽管参照较佳实施例对本发明作了详细地说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的实质和范围。