维普资讯 http://www.cqvip.com 第３４卷 第９期 ＶｏＬ３４ ・计算机工程 ２００８年５月 Ｍａｙ ２００８ Ｎｏ．９ Ｃｏｍｐｕｔｅｒ Ｅｎｇｉｎｅｅｒｉｎｇ 安全技术・ 一文章编号：１ｏ００—．３４２８（２００８）０９—— １６４＿＿０３ 文献标识码：Ａ 中图分类号：ＴＰ３９３・０８ 种混合式网络入侵检测系统 孙云，黄皓 （南京大学软件新技术国家重点实验室，南京２１００９３） 摘要：入侵检测系统通常采用单一的检测模式，难以有效地处理漏报和误报问题。该文分析不同类型网络流量的分布特征，提出一种将 异常检测和误用检测相结合的混合式网络入侵检测系统，从总体上克服了单一模式的不足。实验结果表明，该方法能有效地提高入侵检测 系统的检测率和准确率。 关键词：入侵检测；异常检测；误用检测；混合式入侵检测 Ｈｙｂｒｉｄ Ｎｅｔｗｏｒｋ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ ＳＵＮ Ｙｕｎ．ＨＵＡＮＧ Ｈａｏ （Ｎａｔｉｏｎａｌ Ｌａｂｏｒａｔｏｒｙ ｆｏｒ Ｎｏｖｅｌ Ｓｏｆｔｗａｒｅ Ｔｅｃｈｎｏｌｏｇｙ，Ｎａｎｊｉｎｇ Ｕｎｉｖｅｒｓｉｔｙ，Ｎａｎｊｉｎｇ ２１００９３） ［Ａｂｓｔｒａｃｔ］Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ（ＩＤＳ）ｈａｓ ｂｅｅｎ ｈａｒａｓｓｅｄ ｂｙ ｆａｌｓｅ ｐｏｓｉｔｉｖｅ ａｎｄ ｆａｌｓｅ ｎｅｇａｔｉｖｅ ｐｒｏｂｌｅｍ．Ｃｏｍｍｏｎ ＩＤＳ ｕｓｉｎｇ ｓｉｎｇｌｅ ｄｅｔｅｃｔｉｏｎ ｍｏｄｅ ｉｓ ｈａｒｄ ｔＯ ｓｏｌｖｅ ｔｈｉｓ ｐｒｏｂｌｅｍ ｅｆｆｅｃｔｉｖｅｌｙ．Ｔｈｉｓ ｐａｐｅｒ ｎａａｌｙｚｅｓ ｔｈｅ ｃｈａｒａｃｔｅｉｒｓｉｔｃｓ ｏｆ ｎｅｔｗｏｒｋ ｌｆｏｗ ｎｄ ａｐｒｅｓｅｎｔｓ ａ ｎｅｗ ｍｅｔｈｏｄ，ｃａｌｌｅｄ ｈｙｂｒｉｄ ＩＤＳ，ｃｏｍｂｉｎｉｎｇ ｍｉｓｕｓｅ ｄｅｔｅｃｔｉｏｎ ｍｏｄｅ ａｎｄ ａｎｏｍａｌｙ ｄｅｔｅｃｔｉｏｎ ｍｏｄｅ，ｔｈｅ ｍｅｔｈｏｄ Ｃａｎ ｏｖｅｒｃｏｍｅ ｔｈｅ ｓｈｏｒｔｃｏｍｉｎｇｓ ｏｆ ＩＤＳ ｕｓｉｎｇ ｓｉｎｇｌｅ ｍｏｄｅ・ Ｅｘｐｅｒｉｍｅｎｔｓ ｓｈｏｗ ｈａｔｔ ｔｈｅ ｎｅｗ ｍｅｔｈｏｄ Ｃａｎ ｉｍｐｒｏｖｅ ＩＤＳ ｄｅｔｅｃｔｉｏｎ ｒａｔｅ ａｎｄ ｄｅｃｒｅａｓｅ ｆａｌｓｅ ｌｅｒａｔｓ ｅｆｆｅｃｔｉｖｅｌｙ． ［Ｋｅｙ ｗｏｒｄｓ］ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ；ａｎｏｍａｌｙ ｄｅｔｅｃｔｉｏｎ；ｍｉｓｕｓｅ ｄｅｔｅｃｔｉｏｎ；ｈｙｂｒｉｄ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ 入侵检测系统从检测算法上基本分为２类：异常检测 （ａｎｏｍａｌＹ ｄｅｔｅｃｔｉｏｎ）和误用检测（ｍｉｓｕｓｅ ｄｅｔｅｃｔｉｏｎ） Ｊ。异常检测 首先学习正常行为的特征，当检测到的行为与正常行为有重 大偏离时即被认为是入侵行为。误用检测预先定义所有不可 接受行为的特征，任何能够与之匹配的行为都会引起报警。 本文提出一种新型入侵检测系统，将２种模式相结合，克服 各自的不足，从总体上取得优于单一检测模式的效果。 较为随机。将正常流量的数据包按照目的端口和包长度分类， 对于每一类数据包，统计其字节取值分布，将其作为正常分 布，将新来数据包的字节取值分布与正常分布对比，如偏离 过大则判定新包属于异常。 该算法实现简要步骤如下： （１）给定一个正常网络流量的数据包集合作为训练集，对 于每一个数据包，统计向量ｆｒｅｑ［Ｏ一２５５］，ｆｒｅｑ［ｋ］为字符值 １单一检测模式系统 １．１ Ｓｎｏｒｔ （ ∈［０，２５５］）在该数据包中出现的频率，该向量反映了数据包 的字符分布特征。 （２）将数据包按长度和目的端口分类，对长度为ｆ、目的 端口为． 的数据包类，计算参量Ｍ［ｉ，ｊ］＝｛ｍｅａｎ［ｉ， ［０．．２５５］， ＳｎｏｒｔＬ２ 是一款优秀的轻量级网络入侵检测系统，它能快 速地检测多种方式的攻击，对攻击进行及时报警和响应。 Ｓｎｏｒｔ主要是基于误用检测算法，针对每一种入侵行为，事先 提炼出它的特征并编写成检验规则，检测时将捕获的数据包 按照规则逐一匹配，若匹配成功，则认为是入侵行为。可以 匹配的部分包括数据包的地址、协议、包中负载等，Ｓｎｏｒｔ ｖａｒ［ｉ，＿『］［０．．２５５］），其中，ｍｅａｎ［ｉ， ［０．．２５５］和ｖａｒ［ｉ， ［０．．２５５］ 是２个向量，分别表示字符值０－２５５在该类数据包中出现频 率的均值和标准差，用Ｍ［ｉ，＿『］表示该类数据包正常分布的参 量值。 支持对ＴＣＰ、ＩＰ数据包进行重组，报警时能精确地给出入侵 的详细信息。 １．２ Ｐａｙｌｏａｄ ＡＤ （３）当新数据包到来时，统计其字节分布向量 ｎｅｗｊｒｅｑ［Ｏ．．２５５］（定义同（１）），根据数据包的长度ｌｅｎｇｔｈ和目 的端口ｄｐｏｒｔ计算偏离量ｄ＝ｆ（ｎｅｗｊｒｅｑ，Ｍ［１ｅｎｇｔｈ，ｄｐｏｒｔ］），如 Ｐａｙｌｏａｄ ＡＤ 是一种基于数据包负载的异常入侵检测算 法，算法基于如下事实：将网络数据包看成由字节组成的数 据流，每个字节的取值范围为０－２５５，对于不同目的端口（对 应于不同网络协议）的数据包，包中负载的字节取值分布是不 同的，比如：对于端口２１（ＦＴＰ命令端口），２３（ＴＥＬＮＥＴ）， 果偏离量超过一定阈值，则认为是异常数据包。 （４）对于正常数据包，使用增量算法更新参量，使参量能 实时反映流量的变动。 计算ｎｅｗｊｒｅｑ与Ｍ［１ｅｎｇｔｈ，ｄｐｏｒｔ］的偏离使用的是马氏 （Ｍａｈａｌａｎｏｂｉｓ）距离，为避免复杂的平方和平方根运算，计算 时采用了简化的马氏距离公式 Ｊ： 基金项日：江苏省高技术研究计划基金资助项目“计算机网络分布 式主动防御、监控与预警技术研究”（、ＢＧ２００４０３０，） 作者简介：孙云（１９７９），男，硕士研究生，主研方向：计算机网 络，信息安全；黄皓，教授、博士生导师 Ｅ．ｍａｉｌ：ｓｕｎｙｕｎｓｕｎ＠ｙｅａｈ．ｎｅｔ 收稿日期：２００７—０５－３０ ８０（ＨＴＴＰ）等，包中的字节多为可打印字符（例如：ＦＴＰ命令， ＴＥＬＮＥＴ交互命令，ＨＴＴＰ请求），而对于２０（ＦＴＰ数据端口）， ２２（ＳＳＨ），由于传输的是文件或加密的数据，因此包中的字节 多为随机分布；同样，对于相同端ＶＩ的数据包，不同长度的 数据包字节取值分布也会不同，小包往往是一些命令字符， 取值分布比较规则，而大包多为文件和数据传输，取值分布 一１６４＿一 维普资讯 http://www.cqvip.com ｄ：￣５Ｉｎｅｗ ｆｒｅｑ［ｋ］－ｍｅａｎ［ｋ］ｌ ＝ｏ ｖａｒ［ ｌ＋ａ 据流和Ｈｙｂｒｉｄ ＩＤＳ报警数据流的偏离值大致分布范围。剔除 极小值区问Ｄ＿ｍｉｎ［Ｏ，ｍｉｎ］上的Ｓｎｏｒｔ报警，将极大值区间 Ｄ其中，ｎｅｗ ｇ，ｍｅａｎ和ｖａｒ分别是新数据包字节分布向量、 均值向量ｍｅａｎ［１ｅｎｇｔｈ，却ｏｒｔ］和标准差向量ｖａｒ［１ｅｎｇｔｈ，却ｏｒｔ］， “（０＜“＜１）为平滑因子（ｓｍｏｏｔｈｉｎｇ ｆａｃｔｏｒ），用以避免标准差值 ｖａｒ［ｋ］为０时除法发生溢出，最终的结果ｄ反映了新数据包与 正常流量的偏离量。 ｍａｘ［ｍａｘ，＋ｏ。）上的数据包标为异常（入侵），在中问区间 （ｔ＿ｍｉｎ，ｔ＿ｍａｘ）上保留Ｓｎｏｒｔ报警，从而在总体上获得较高的 检测率和准确率。 入侵数据流 Ｄｊ 【０，ｔ＿ｍｉｎ】 ｓｎｏｎ报警数据流 ２系统设计 ２．１单一检测模式的缺点 单一检测模式的入侵检测系统难以应付日益复杂的网络 攻击，Ｓｎｏｒｔ根据预定义的特征检测数据包，它能准确给出攻 Ｈｙｂｒｉｄ ＩＤＳ报警数据流 Ｄ— Ⅻ．『Ｌ Ⅻ：，＋。。） 图２偏离值分布 击的详细信息，但算法的灵活性不足，容易产生漏报；Ｐａｙｌｏａｄ ＡＤ可以根据网络流量进行动态学习，能够检测一些未知的 入侵，但结果的可解释性差，并容易产生误报。同时，一些 ＩＤＳ规避技术能轻易地绕过它们的检测 。 Ｓｎｏｒｔ对单个数据包（或连接）直接进行分析，而Ｐａｙｌｏａｄ ＡＤ则将数据包置于总体网络流量的背景里来考察，如果将 ２．３系统设计 系统的结构如图３所示，来自网络的数据流同时发往 Ｓｎｏｒｔ和Ｐａｙｌｏａｄ ＡＤ，Ｓｎｏｒｔ根据预定义的特征检测数据包并 输出结果，Ｐａｙｌｏａｄ ＡＤ计算出数据包的偏离值ｄ。Ｓｎｏｒｔ和 ＰａｙｌｏａｄＡＤ输出结果时，同时输出数据包的ＴＣＰ序号和地址， 它们结合起来，则有可能获得更加全面和准确的结果，并在 一利用ＴＣＰ序号和地址，可以唯一确定单个数据包。对于每一 个数据包，根据Ｓｎｏｒｔ和Ｐａｙｌｏａｄ ＡＤ的输出结果进行处理， 定程度上克服各自的不足。 对于一个数据包，异常检测给出其与正常流量的偏离值 ２．２设计分析 ｄ，它反映了数据包相对于正常流量的异常度。偏离值不同， 并输出最终结果。 数据包的属性（正常，入侵）分布也不同。将正常流量和入侵流 量根据其通过Ｐａｙｌｏａｄ ＡＤ时产生的偏离值ｄ划分到３个连续 的区间ｄＥ［０，ｔ＿ｍｉｎ），ｄＥ［ｔ＿ｍｉｎ，ｔ＿ｍａｘ），ｄＥ［ｔ＿ｍａｘ，＋ｏ。）上，其 图３ ＨｙｂｒｉｄＩＤＳ系统结构 中，０＜ｔ＿ｍｉｎ＜ｔ—ｍａｘ，则正常流量和入侵流量的分布可用图１ 近似表示。 表１是系统分析处理表，ｔ＿ｍａｘ和ｔ＿ｍｉｎ是偏离值区间划 分值，表中１￣６是Ｈｙｂｒｉｄ ＩＤＳ的输出结果，分别如下： 结果１，２：在区问［０，ｔ＿ｍｉｎ］上，所有的数据包被判定为正 常流量，结果１中的Ｓｎｏｒｔ报警被认为是误报，该信息可为 删除Ｓｎｏｒｔ的误报特征提供参考Ｏ 结果３，４：在区间（ｔ＿ｍｉｎ，ｔ＿ｍａｘ）上，ＰａｙｌｏａｄＡＤ难以有效 地区分入侵流量与正常流量，而Ｓｎｏｒｔ的性能较为稳定，因 而采用Ｓｎｏｒｔ的报警，Ｐａｙｌｏａｄ ＡＤ的输出可作为参考。 结果５，６：在区间Ｉｔ＿ｍａｘ，＋ｏ。）上，所有的数据包被判定为 入侵流量，结果６中的报警数据包被认为是Ｓｎｏｒｔ漏报，这 些数据包可为添加Ｓｎｏｒｔ新特征提供依据。 表１系统分析处理 图１ 正常，入侵流量按偏离值的概率分布 根据ＰａｙｌｏａｄＡＤ算法及图１可知： 正常流量数据包的偏离值多趋于低端区间ｄＥ［０，ｔ ｍｉｎ）， 而入侵流量则趋向高端区间ｄＥ［ｔ＿ｍａｘ，＋ｏ。），ＰａｙｌｏａｄＡＤ算法 正是利用这种特性来区分流量。 如果正常流量和入侵流量偏离较大，即它们各自的分布 中心相距甚远，则ＰａｙｌｏａｄＡＤ算法能取得很好的区分度。反 之，正常流量和入侵流量偏离越小，Ｐａｙｌｏａｄ ＡＤ的区分度也 就越小。Ｐａｙｌｏａｄ ＡＤ易受流量分布的影响，难以保持稳定的 性能。在ｄＥ［ｔ＿ｍｉｎ，ｔ＿ｍａｘ］区间上，２种流量混杂分布在一起， 仅凭偏离值难能以有效地区分，这里成为ＰａｙｌｏａｄＡＤ的“盲 系统既克服了Ｓｎｏｒｔ精确匹配算法存在的呆板性，也克 服了Ｐａｙｌｏａｄ ＡＤ算法性能的不稳定性，从而在总体上取得较 优的性能。在偏离值的两端区问上，Ｐａｙｌｏａｄ ＡＤ能有效地校 正Ｓｎｏｒｔ的偏差，而在中间区间上，Ｓｎｏｒｔ则有效地填补了 区”。当正常流量和入侵流量的区分度较小时，这部分会占 总流量的相当比例，ＰａｙｌｏａｄＡＤ会产生大量的漏报和误报。 ＰａｙｌｏａｄＡＤ的“盲区”。系统的输出结果也更加全面，对部 分报警（Ｓｎｏｒｔ输出的报警，且ｄ＞ｔ＿ｍｉｎ），既能给出入侵的描 Ｓｎｏｒｔ是基于预定义的特征检测数据包，不受背景流量和 入侵流量分布影响，性能较为稳定。对于Ｓｎｏｒｔ漏报的攻击 来说，数据包多分布在高端区间ｄＥ［ｔ ｍａｘ，＋ｏ。）上；对于误报 的正常流量来说，数据包多分布于低端区间ｄＥ［０，ｔ＿ｍｉｎ］上。 基于以上分析，本文提出一种将Ｐａｙｌｏａｄ ＡＤ和Ｓｎｏｒｔ结 合起来的混成式入侵检测系统Ｈｙｂｒｉｄ ＩＤＳ，如图２所示。 图２中的线段分别表示实际的入侵数据流、Ｓｎｏｒｔ报警数 述，又可以指出其对正常流量的偏离，报警信息更加全面。 系统中的反馈是ＰａｙｌｏａｄＡＤ根据Ｓｎｏｒｔ的输出自动调整 学习的控制过程，当Ｓｎｏｒｔ的报警数短时间内突然增加时， ＰａｙｌｏａｄＡＤ将暂停在线学习，否则，如果学习的训练集中含 有较多的异常数据包时，系统的学习结果将发生偏差，进而 影响结果的准确性。由于Ｓｎｏｒｔ是根据特征来分析数据包， 不受流量分布的影响，因此弥补了异常检测系统的不足。反 维普资讯 http://www.cqvip.com 馈控制既能在一定程度上防止针对ＰａｙｌｏａｄＡＤ的攻击，也抵 消了网络流量波动对Ｐａｙｌｏａｄ ＡＤ的影响。 ４结束语 异常检测模式和误用检测模式各有其优缺点，本文提出 一３实验 实验使用的原型系统由Ｓｎｏｒｔ和ＰａｙｌｏａｄＡＤ构成，由于 Ｐａｙｌｏａｄ ＡＤ是分协议（目的端口）检测的，实验对ＨＴＴＰ协议 种将异常检测模式和误用检测模式结合起来的混成式网络 入侵检测系统，系统从总体上克服单一模式的不足。测试结 果表明，就ＨＴＴＰ协议流量而言，系统的性能明显优于单一 检测模式，提高了检测率和报警准确率。下一步工作将对系 统的反馈部分进行分析和测试，并考虑将多个异常检测和误 用检测结合起来的入侵检测系统。 （８Ｏ端口）的数据流进行测试，同时，ＨＴＴＰ协议也是互联网 应用最广泛的协议之一。在局域网中收集了３个ＨＴＴＰ流量 的数据集：Ａ，Ｂ，Ｃ，Ａ和Ｂ作为训练集，Ｃ作为背景数据流。 使用网络攻击工具Ｘ—Ｓｃａｎ（ｖ３．３）产生ＨＴＴＰ攻击流量。实验 时，由单独的攻击机发出攻击流量，混同背景流量一起发往 Ｈｙｂｒｉｄ ＩＤＳ，分析结果时根据数据包的源地址是否为攻击机 地址，以判定数据包是否属于攻击流量。 测试结果表明（表２、表３），Ｓｎｏｒｔ检测率低，正确率较 参考文献 ［１］Ｖｅｒｗｏｅｒｄ Ｔ，Ｈｕｎｔ Ｒ．Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｔｅｃｈｎｉｑｕｅｓ ａｎｄ Ａｐｐｒｏａｃｈｅｓ［Ｊ］．Ｃｏｍｐｕｔｅｒ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ，２００２，２５（１５）：１３５６— １３６５． 、 高；Ｐａｙｌｏａｄ ＡＤ检测率高，正确率较低，且易受训练集的影 响。Ｈｙｂｒｉｄ ＩＤＳ系统在检测率和正确率上均优于两者，综合 ［２］Ｒｏｅｓｃｈ Ｍ．Ｓｎｏｒｔ—ｌｉｇｈｔｗｅｉｇｈｔ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ ｆｏｒ Ｎｅｔｗｏｒｋｓ［Ｃｌ／／ Ｐｒｏｃ．ｏｆ ｔｈｅ １３ｔｈ Ｃｏｎｆ．ｏｎ Ｓｙｓｔｅｍｓ Ａｄｍｉｎｉｓｔｒａｔｉｏｎ，Ｗａｓｈｉｎｇｔｏｎ，Ｄ． 了Ｓｎｏｒｔ和Ｐａｙｌｏａｄ ＡＤ两者的优点，在一定程度上克服了它 们各自的不足，提高了总体的检测率和正确率。 表２检测率统计 Ｃ．，ＵＳＡ：［ｓ．ｎ．］，１９９９：２２９－２３８， ［３］Ｗａｎｇ Ｋｅ，Ｓｔｏｌｆｏ Ｓ Ｊ．Ａｎｏｍａｌｏｕｓ Ｐａｙｌｏａｄ—ｂａｓｅｄ Ｎｅｔｗｏｒｋ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ［Ｃ］／／Ｐｒｏｃ．ｏｆ ｔｈｅ ７ｔｈ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｒｅｃｅｎｔ Ａｄｖａｎｃｅｓ ｉｎ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ．Ｂｅｒｌｉｎ，Ｇｅｒｍａｎｙ：Ｓｐｒｉｎｇｅｒ，２００４： ２０３—２２２． ［４］Ｓｈａｉ Ｒｕｂｉｎ，Ｊｈａ Ｓ，Ｍｉｌｌｅｒ Ｂ Ｐ．Ａｕｔｏｍａｔｉｃ Ｇｅｎｅｒａｔｉｏｎ ａｎｄ Ａｎａｌｙｓｉｓ 表３正确率统计 ｏｆ ＮＩＤＳ Ａｔｔａｃｋｓ［Ｃ］／／Ｐｒｏｃ．ｏｆ Ａｎｎｕａｌ Ｃｏｍｐｕｔｅｒ Ｓｅｃｕｒｉｔｙ Ａｐｐｌｉｃａｔｉｏｎｓ Ｃｏｎｆｅｒｅｎｃｅ．Ｔｕｃｓｏｎ，ＡＺ，ＵＳＡ：［ｓ．ｎ．］，２００４—１２． ［５］Ｆｏｇｌａ Ｐ，Ｓｈａｒｉｆ Ｍ，Ｐｅｒｄｉｓｃｉ Ｒ，ｅｔ ａ１．Ｐｏｌｙｍｏｒｐｈｉｃ Ｂｌｅｎｄｉｎｇ Ａｔｔａｃｋｓ［Ｃ］／／Ｐｒｏｃ． ｏｆ １５ｔｈ ＵＳＥＮＩＸ Ｓｅｃｕｒｉｔｙ Ｓｙｍｐｏｓｉｕｍ Ａ ２ ８５５，】６３３ ５７ ２ 口２ ８５５／１ ６３３ ５７ ２ ６ ３４２／３ ５４９ ９ ８７３／２ ８２８ ５５．９６ ５ ００５／３ ７９２ ７５ ７６ ２８．６４ ４ ３８８／２ ９９８ ６８．３２ （ＳＥＣＵＲＩＴＹ ０６）．Ｖａｎｃｏｕｖｅｒ，Ｂ．Ｃ．，Ｃａｎａｄａ：［ｓ．ｎ．］，２００６—０８． （上接第１６３页） 依然有效，但不再是决定性因素，只有当“风险”和不信任 同时出现时，才作出拒绝相关服务的决定。如图１所示。 系统的相关参数会发生动态变化。例如，计算机中出现木马 后，常常会有以下症状：反应速度明显变慢；硬盘不停地读 写；一些窗口被无缘无故地关闭；莫名其妙地打开新窗口； 网络传输指示灯一直闪烁；没有运行大的程序而系统却越来 越慢；系统资源占用很多等。通过分析这些动态变化，可以 判断出计算机是否感染木马，感染的是何种木马。 ７结束语 风险是由动态变化产生的。本文从这一角度，鉴于上下 文信息异常出现的不确定性，借用云理论来判定风险信号的 发生，进而定义了“信任风险”。本文提出的基于“风险”和 图１协同信任模型 云理论的协同信任模型有效降低了普适计算环境中的伪肯定 和伪否定率，以及普适计算环境中实体之间的交互风险。应 用实例证明了该模型的有效性。 如果同时得出“风险”信号和判断到不信任实体，则确 认该实体为不可交互实体，作出相应的不信任决策；若只有 不信任实体出现，没有“风险”信号产生，则认为该不信任 实体原本为可信任实体，是被误判断为不信任实体的，不作 出不信任决策；若只有“风险”信号产生，没有判断到不信 任实体，则很可能引发异常的是未被基于云理论的信任模型 判断覆盖的未知不信任实体，此时就需要对该信号进行一段 时间的监控和追踪，此时可对发生动态变化的相应上下文信 息采取隔离。如引起的“风险”在短时间内并不消失，也可 以判断有非法的不可信实体侵入普适环境产生。 参考文献 ［１］Ｈｅ Ｒｕｉ，Ｎｉｕ Ｊｉａｎｗｅｉ，Ｈｕ Ｋａｉ．Ａ Ｎｏｖｅｌ Ａｐｐｒｏａｃｈ ｔ０ Ｅｖａｌｕａｔｅ Ｔｒｕｓｔｗｏｒｔｈｉｎｅｓｓ ａｎｄ Ｕｎｃｅｒｔａｉｎ￣ｏｆ Ｔｒｕｓｔ Ｒｅｌａｔｉｏｎｓｈｉｐｓ ｉｎ Ｐｅｅｒ—ｔｏ—Ｐｅｅｒ Ｃｏｍｐｕｔｉｎｇ［Ｃ］／／Ｐｒｏｃ． ｏｆ ｔｈｅ ５ｔｈ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ．Ｓｈａｎｇｈａｉ， Ｃｈｉｎａ：［ｓ．ｎ．］，２００５：３８２—３８８． ［２］刘常昱，李德毅，杜【３］刘常昱，冯鹋，等．正态云模型的统计分析［Ｊ１．信息 与控制，２００５，３４（２）：２３６—２３９． 芒，戴晓军，等．基于云ｘ信息的逆向云新算法［Ｊ１． 系统仿真学报，２００４，１６（１ １）：２４１７—２４２０． ６应用实例 在计算机系统中，当计算机受到病毒感染、网络入侵时， 一１６６—
