【技術實現步驟摘要】
本專利技術屬于網絡安全，具體涉及一種基于sdn的多因子網絡安全認證方法和系統。
技術介紹
1、sdn通過將控制平面和數據平面分離，為網絡安全認證提供了新的技術手段，目前，基于sdn的網絡認證研究工作，主要包括：基于0penflow流表的認證方案、基于網絡行為分析的認證方案以及基于深度學習的智能認證方案。
2、上述認證方案在特征空間構建時往往只考慮單一維度特征，如：僅關注網絡流量特征或僅考慮用戶操作特征，缺乏統一建模機制從而導致特征表達能力不足；對采集到的時序特征數據通常不區分確定性成分和隨機性成分，使得認證系統難以準確判斷特征偏離是由正常波動還是異常行為導致；另外，在多維特征的融合過程中，大多采用簡單的加權求和或規則組合方式，未能深入研究特征間的相關性和穩定性，導致融合決策結果可靠性不足。
3、上述問題嚴重影響了基于sdn的網絡認證方案的實用性，特別是在零信任網絡等新型安全架構中，這些問題的存在導致現有認證方案難以滿足持續性、動態性和精確性要求，因此，亟需提出一種新的多因子網絡安全認證方法，以解決現有技術中存在的上述問題。
技術實現思路
1、針對上述問題，本專利技術提出了一種基于sdn的多因子網絡安全認證方法和系統，通過多維特征融合分析、動態序列分解、自適應決策等技術手段，實現了安全可靠的網絡認證，具體技術方案如下：
2、第一方面，本專利技術提供一種基于sdn的多因子網絡安全認證方法，所述方法包括以下步驟：
3、步驟s1，在軟件定義網
4、所述身份特征維度，用于表征用戶身份標識信息，所述身份標識信息至少包括：用戶身份標識符、設備指紋信息和數字證書信息；所述行為特征維度b用于表征用戶行為模式信息，包括：操作序列特征、網絡訪問模式特征、數據流量特征和業務類型特征；所述環境特征維度e用于表征認證環境信息，包括：時間特征、地理位置特征、網絡狀態特征和終端環境特征。
5、步驟s2，基于動態序列分解方法，將每個維度的特征值分解為確定性序列分量和隨機性序列分量，根據確定性序列分量計算任意兩個維度的特征值之間的關聯度。
6、所述將每個維度的特征值分解后，確定性序列分量和隨機性序列分量滿足以下數學表達式：
7、其中，xk表示第k個維度的特征值，k∈{1，2，3}，分別對應身份特征、行為特征和環境特征維度，sj表示第j個確定性序列分量，rm表示第m個隨機性序列分量，αj和βm為對應的分解系數；n和p分別為確定性序列分量和隨機性序列分量的個數，其中，1≤n≤10，1≤m≤5。
8、所述任意兩個維度的特征值之間的關聯度的函數表達式為：
9、其中，sj(k1)t和sj(k2)t分別表示第k1和k2個維度的特征值在t時刻分解后的第j個確定性序列分量；k1不等于k2，且k1和k2均∈{1，2，3}；c(xk1，xk2)表示兩個維度的特征值之前的關聯度；t為特征序列的總觀測時長，t表示離散時間點，t＝1，2，...，t。
10、步驟s3，根據特征穩定性評估函數計算每個維度的特征值的穩定性指數，根據所述關聯度和穩定性指數構建融合認證決策函數，計算當前用戶的認證決策值，當所述認證決策值大于認證閾值時通過認證。
11、進一步的，所述步驟s3中，所述特征穩定性評估函數的表達式為：
12、其中，h(xk)表示第k個維度的特征值的穩定性指數，n(ε)表示在尺度ε下覆蓋特征值序列所需的最小區間數，尺度ε即特征值序列的區間長度。
13、根據所述關聯度和穩定性指數構建融合認證決策函數，所述融合認證決策函數表達式為：
14、
15、計算當前用戶的認證決策值d(v)，當且僅當d(v)＞θ時，通過認證；θ為認證閾值，其由基準閾值和動態閾值組成：
16、其中，表示歷史認證決策值平均值，d(vt)表示t時刻認證決策值。
17、進一步的，所述認證方法還包括：構建認證失效檢測機制，基于當前時刻用戶的實際認證決策值和通過歷史數據預測的認證決策值，給出兩者之間的誤差，當誤差值大于預設閾值時觸發認證重校準。
18、進一步的，所述認證失效檢測機制數學表達式為：
19、其中，表示t時刻預測的認證決策值，d(vt)為實際值，e(t)表示兩者之間的誤差，其越接近于0，表示預測值與實際值的偏離程度越低，當e(t)＞0.0237時，誤差值大于預設閾值從而觸發認證重校準。
20、進一步的，通過歷史數據預測的認證決策值的方法采用指數平滑預測和加權移動平均中的一種實現，其中，指數平滑預測方法的計算式為：其中，d(vt-1)和分別表示上一時刻的實際認證決策值和預測認證決策值。
21、進一步的，所述認證方法采用分布式認證架構，在每個sdn交換機上部署輕量級認證代理，定義代理間協同認證機制：其中，p表示代理間協同認證的概率，h(xk1)和h(xk2)分別表示兩個維度的特征值的穩定性指數。
22、進一步的，所述認證方法還包括認證日志記錄和審計機制，所述認證日志記錄了每次認證的詳細信息，所述詳細信息包括認證時間、認證結果、各維度特征值、認證決策值；對認證日志進行定期分析，識別異常認證，對所述異常認證過程進行追溯，基于所述認證日志還原認證場景。
23、第二方面，本專利技術提供一種基于sdn的多因子網絡安全認證系統，用于執行第一方面所述的方法，所述系統包括依次連接的：認證空間構建模塊、序列分解處理模塊和認證決策模塊。
24、進一步的，所述認證空間構建模塊用于在sdn控制器中構建包括身份特征維度、行為特征維度和環境特征維度的多維認證空間，并定義認證向量；所述認證空間構建模塊包括：身份特征維度采集單元、行為特征維度采集單元和環境特征維度采集單元。
25、所述身份特征維度采集單元，用于采集包括用戶身份標識符、設備指紋信息和數字證書信息在內的身份標識信息。
26、所述行為特征維度采集單元，用于采集包括操作序列特征、網絡訪問模式特征、數據流量特征和業務類型特征在內的用戶行為模式信息。
27、所述環境特征維度采集單元，用于采集包括時間特征、地理位置特征、網絡狀態特征和終端環境特征在內的認證環境信息。
28、進一步的，所述序列分解處理模塊用于基于動態序列分解方法將每個維度的特征值分解為確定性序列分量和隨機性序列分量，并計算任意兩個維度特征值之間的關聯度。
29、進一步的，所述認證決策模塊用于根據特征穩定性評估函數計算每個維度特征值的穩定性指數，并根據所述關聯度和穩定性指數構建融合認證決策函數，計算當前用戶的認證決策值，當所述認證決策值大于認證閾值時通過認證。
30、進一步的，所述系統還包括：認本文檔來自技高網...
【技術保護點】
1.一種基于SDN的多因子網絡安全認證方法，其特征在于，所述方法包括以下步驟：
2.根據權利要求1所述的一種基于SDN的多因子網絡安全認證方法，其特征在于，所述步驟S3中，所述特征穩定性評估函數的表達式為：
3.根據權利要求2所述的一種基于SDN的多因子網絡安全認證方法，其特征在于，所述認證方法還包括：構建認證失效檢測機制，基于當前時刻用戶的實際認證決策值和通過歷史數據預測的認證決策值，給出兩者之間的誤差，當誤差值大于預設閾值時觸發認證重校準。
4.根據權利要求3所述的一種基于SDN的多因子網絡安全認證方法，其特征在于，所述認證失效檢測機制數學表達式為：
5.根據權利要求4所述的一種基于SDN的多因子網絡安全認證方法，其特征在于，通過歷史數據預測的認證決策值的方法采用指數平滑預測和加權移動平均中的一種實現，其中，指數平滑預測方法的計算式為：其中，D(Vt-1)和分別表示上一時刻的實際認證決策值和預測認證決策值。
6.根據權利要求5所述的一種基于SDN的多因子網絡安全認證方法，其特征在于，所述認證方法采用分布式認證架構，在
7.根據權利要求6所述的一種基于SDN的多因子網絡安全認證方法，其特征在于，所述認證方法還包括認證日志記錄和審計機制，所述認證日志記錄了每次認證的詳細信息，所述詳細信息包括認證時間、認證結果、各維度特征值、認證決策值；對認證日志進行定期分析，識別異常認證，對所述異常認證過程進行追溯，基于所述認證日志還原認證場景。
8.一種基于SDN的多因子網絡安全認證系統，用于執行權利要求1-7任一項所述的方法，其特征在于，所述系統包括依次連接的：認證空間構建模塊、序列分解處理模塊和認證決策模塊；
9.根據權利要求8所述的一種基于SDN的多因子網絡安全認證系統，其特征在于，所述系統還包括：認證失效檢測模塊和分布式認證架構模塊；
10.根據權利要求9所述的一種基于SDN的多因子網絡安全認證系統，其特征在于，所述系統還包括：認證日志管理模塊，用于記錄和管理認證日志，所述認證日志管理模塊包括：日志記錄單元，用于記錄包括認證時間、認證結果、各維度特征值、認證決策值在內的認證詳細信息；日志分析單元，用于對認證日志進行定期分析，識別異常認證；場景追溯單元，用于對異常認證過程進行追溯，并基于認證日志還原認證場景。
...【技術特征摘要】
1.一種基于sdn的多因子網絡安全認證方法，其特征在于，所述方法包括以下步驟：
2.根據權利要求1所述的一種基于sdn的多因子網絡安全認證方法，其特征在于，所述步驟s3中，所述特征穩定性評估函數的表達式為：
3.根據權利要求2所述的一種基于sdn的多因子網絡安全認證方法，其特征在于，所述認證方法還包括：構建認證失效檢測機制，基于當前時刻用戶的實際認證決策值和通過歷史數據預測的認證決策值，給出兩者之間的誤差，當誤差值大于預設閾值時觸發認證重校準。
4.根據權利要求3所述的一種基于sdn的多因子網絡安全認證方法，其特征在于，所述認證失效檢測機制數學表達式為：
5.根據權利要求4所述的一種基于sdn的多因子網絡安全認證方法，其特征在于，通過歷史數據預測的認證決策值的方法采用指數平滑預測和加權移動平均中的一種實現，其中，指數平滑預測方法的計算式為：其中，d(vt-1)和分別表示上一時刻的實際認證決策值和預測認證決策值。
6.根據權利要求5所述的一種基于sdn的多因子網絡安全認證方法，其特征在于，所述認證方法采用分布式認證架構，在每個sdn交換機上部署輕量級認證代理，定義代理間協同認證機制：其中，p表示代理間協同認證的概率，h(xk1)...
【專利技術屬性】
技術研發人員：溫世伶，肖亮，錢曉寒，曹一凡，吳濤，劉吉濤，李學紅，禹躍美，黃超，李沁璇，祖立輝，楊昶宇，張宏，朱立新，白蘋，孫賀，方芳，蘇洪玉，
申請(專利權)人：華能瀾滄江水電股份有限公司，
類型：發明
國別省市：
還沒有人留言評論。發表了對其他瀏覽者有用的留言會獲得科技券。