文獻標識碼： A
文章編號： 0258-7998(2015)02-0116-04
0 引言
目前，在計算機技術應用中，虛擬化技術[1]作為云平臺的一種技術支撐已經很常見。同時，隨著云平臺和云技術的普及，云安全問題也變得越來越多樣化，很多研究人員針對云安全問題已經做了相關研究。比如傳統的基于主機的安全檢測工具都放在被監控系統內部，容易受到惡意篡改，而且也無法保證系統的完整性，所以一些學者希望將一些特定的安全工具(例如病毒掃描工具、入侵檢測工具)安放在被監控虛擬機外部的某個安全領域，從外部觀察和響應一些目標虛擬機事件。這種方法確實達到了可觀的效果，但這種方法還停留在防護階段，相對于保護整個平臺的安全還是不夠的，仍需要不斷完善。
近年來，動態安全模型以及私有云平臺的防護這兩方面都取得了很好的突破和發展。首先，動態安全模型中最廣為熟知的P2DR[2]模型已經被運動到各個領域來解決不同的安全問題。而在私有云平臺防護問題上，NANCE K，HAY B和BISHOP M 3人提出了關于虛擬機的反省機制(VMI)[3]問題。之后，PAYNE B D、CARBONE M等人提出了一種針對虛擬化的主動監控體系結構，稱之為Lares[4]模型。
本文將動態安全模型和私有云平臺防護兩個方面有效結合，在已有的動態安全模型基礎上，提出了一種新的動態體系結構模型CP2DR。CP2DR考慮到私有云平臺作為一種特殊的網絡平臺，它的特殊性體現在于它可以利用虛擬化技術的相關特性，例如虛擬性、強隔離性等，然后結合以上提到的一些虛擬化技術以及隱藏式樸素貝葉斯（HNB）[5-6]分類算法，動態實現私有云平臺上的安全防護問題。
1 CP2DR支撐平臺背景技術
1.1 虛擬機反省技術（VMI）
傳統的基于主機的安全檢測工具都被安放在被檢測設備的內部，容易受到惡意攻擊和篡改，而且也無法保證系統的完整性。VMI工具主要是從被監控虛擬機的外部來監控目標虛擬機的行為，所以這使得一些安全工具(例如病毒掃描工具、入侵檢測系統)可以從被監控虛擬機外部的某個安全領域觀察和響應一些目標虛擬機事件，VMI工具也不易受到攻擊。本文中采用的Xen虛擬系統，如圖1所示，它將VMI應用安放在特權域Dom0中，因為兩者是通過穩定的API進行交互，這樣可以保證VMI工具盡量不隨著VMM的改變而改變。
1.2 入侵檢測技術
入侵檢測的主要任務是捕獲一組用戶屬性然后決定這組用戶屬性是屬于那些合法用戶還是那些入侵者。輸入的屬性組必須包含獨一無二的計算機網絡用戶日志特性，而輸出的屬性組則分為合法用戶和入侵者。從建模的角度來看，必須找到一個這樣的模型，這個模型必須提供最適合的訓練數據，同時當最小化該模型的復雜性時也能提供最好的預測數據。目前，利用貝葉斯方法構造分類器來解決入侵檢測問題并不罕見，但是本文在傳統的樸素貝葉斯基礎上加以改進，利用隱藏式樸素貝葉斯算法來實現CP2DR模型中的檢測階段。
1.3 虛擬機動態遷移技術
Xen虛擬化平臺其實是在Linux基礎上加入一個Xen Hypervisor層，這層下面是硬件設備。Xen Hypervisor層的主要作用是在硬件設備與虛擬機之間搭建一個橋梁，將虛擬機的處理指令轉換為對硬件CPU的要求和對物理內存地址的一個映射。Xen架構中，將虛擬主機上的默認操作系統Linux也作為一臺虛擬機，叫做Dom0，而其他虛擬機則叫做DomU。在Dom0中，運行著維護虛擬主機所需要的一些守護進程，圖2是 Dom0的內部結構。
如圖2所示，常駐進程Dom0內部，包含有2個服務，一個是Http服務器，另一個是基于XML-RPC協議的服務器。Dom0內部聲明了很多API，通過這些API就可以對Xen虛擬主機進行各項操作，包括虛擬機的遷移。
2 CP2DR實現及HNB的應用
2.1 CP2DR的實現方式
CP2DR模型是將動態安全模型P2DR運用到私有云平臺上，從而形成的一種特定的針對私有云平臺的動態安全模型，它具體的實現方式如表1所示。CP2DR的基本思想是一個完整的良好的動態安全體系，它要求在虛擬機訪問控制策略的指導下，綜合運用多種技術，將私有云平臺安全調整到最安全和風險最低的狀態。本文將重點放在CP2DR模型中的安全檢測部分，在檢測階段使用了隱藏式樸素貝葉斯(Hidden Naive Bayes，HNB)分類算法。相比于其他分類算法，HNB在實驗階段的效果更顯優勢。
2.2 隱藏式樸素貝葉斯（HNB）分類技術
樸素貝葉斯分類器[7]最大的問題就是忽略了屬性之間依賴性，所以改進后的模型必須能夠在學習貝葉斯網絡時避免棘手的計算復雜性，同時還考慮到其他屬性的影響。基于這種想法可以考慮為每一個屬性建立一個隱藏的父節點，而這個父節點正好結合了其他屬性的影響，稱這個模型叫隱藏式樸素貝葉斯，如圖3所示。
圖3中，C表示類節點，同時也是所有屬性的父節點。每一個屬性Ai都有一個隱藏的父節點Ahpi，i=1，2，…，n，圖中用虛線弧來表示，這種虛線弧從隱藏的父節點Ahpi指向屬性節點Ai，與實線弧區分開來。HNB用以下公式來定義：
其中：
可以看到對于每一個屬性節點Ai，它的隱藏父節點Ahpi本質上其實就是來自于其他所有屬性節點的權值總和。那么HNB分類器在為一個具體的實例分類時，其分類公式定義為：
其中：
如果有一組屬性：A1，A2，…An，P(Ai|Ahpi，C)被認為是P(Ai|A1，…Ai-1)的近似值，那么在公式P(Ai|Ahpi，C)=P(C)Wij P(Ai|Aj，C)中，這種近似值是基于一個特定的依賴性估計量，然而，原則上，任意一個x-依賴性估計量都可以被用作定義隱藏的父節點。如果x=n-1，那么任意一個貝葉斯網絡都能被HNB模型表示。從上述的公式中，HNB模型在確定其權重Wij，（i，j=1，2，…n同時i≠j）上是非常重要的。使用兩個屬性Ai與Aj之間的條件互信息作為權值，Wij被定義為如下：
其中IP (Ai；Aj|C)是條件互信息，定義如下：
2.3 HNB在CP2DR上的工作流程
雖然HNB分類器是基于離散特性，但是目前很多大型數據集主要還是由連續的特性組成，所以在建立分類模型HNB之前對數據的預處理即離散化階段必不可少，具體步驟如圖4所示。
3 實驗結果與分析
整個私有云平臺可以通過在Linux系統上安裝的Xen虛擬機實現，由于HNB模型基于監督學習方法,而且從數據集的全面性考慮， KDD′99[8]數據集確實能夠在接下來的各項分類器比較、對比和基準測試中提供合適的訓練集和測試集。該數據集第1周和第3周的數據不包含攻擊，作為訓練數據集；第4周和第5周包含有攻擊，作為檢測數據集。其中，共有大約5億條訓練數據記錄和0.3億條測試數據記錄。本文分別從訓練樣本集和測試樣本集中隨機選擇了20萬個樣例來進行分類測試，測試結果如圖5和圖6所示，可以看出，隨著樣本數目的增加，HNB分類器準確性也有所提高。
接下來仍從測試樣本集中隨機選取的20萬個樣例對幾種常見分類器進行準確度比較測試，參與測試的分類器有HNB、AODE、TAN、NB。為了保證測試時其他條件(離散化方法、特征選擇方法)一致，統一選取基于熵最小化離散化方法(EMD)以及基于過濾算法的INTERACT(INT)特征選擇法進行測試，測試結果如圖7所示。
當樣本數據集較少時，各分類器的分類準確性差異并不明顯，但是隨著樣本數目的增加，各分類器的準確性都有所提高。從圖7可以看出，當樣本數據達到18萬條時，HNB分類器準確性優勢開始明顯。
除此之外，不同的離散化方法和不同的特征選擇方法也會給分類器的準確性產生影響，本文選取了兩種離散化算法，即熵最小離散化（EMD）和比例區間離散化（PKI），而特征選擇方法選擇基于過濾方法的INTERACT(INT)算法和特征選取關聯法（CFS）。當各分類器在檢測DOS攻擊時，表現如圖8所示，可以看出，同時采用PKI離散化方法和INT特征選取算法時，HNB分類器對于DOS的檢測準確性也最具優勢。
4 總結
CP2DR主要是運用在私有云平臺上的安全防護模型，本文針對Xen虛擬平臺，闡述了CP2DR的實現及運用，著重闡述了CP2DR的檢測模塊，該模塊采用了隱藏式樸素貝葉斯分類算法。實驗階段表明，這種算法克服了常見的幾種常見貝葉斯算法的缺陷，能有效提高分類精度，使得分類性能更加穩定，結合虛擬機的反省技術和遷移技術， CP2DR的能力能夠得到很大改善。
參考文獻
[1] 石磊，鄒德清，金海.Xen虛擬化技術[M].武漢：華中科技大學出版社，2009.
[2] 馮燕飛，杜江.基于P2DR模型的策略研究[J].計算機科學，2009，36(4B)：252-253.
[3] NANCE K，HAY B，BISHOP M.Virtual machine introspec-tion[J].IEEE Computer Society，2008，06(05)：32-37.
[4] PAYNE B D，CARBONE M，SHARIF M，et al.Lares：an architecture for secure active monitoring using virtualization[J].IEEE symposium on，2008，ISSN(1081-6011)：233-247.
[5] Jiang Liangxiao，Zhang Harry，Cai Zhihua.A novel bayes model：Hidden Naive Bayes[J].IEEE Computer Society，2009，21(10)：1361-1371.
[6] KOC L，MAZZUCHI T A，SARKANI S.A network intrusion detection system based on a Hidden Naive Bayes[J].ExpertSystems with Applications，2012，18(39)：13492-13500.
[7] JIANG L，ZHANG H，CAI Z，et al.Evolutional Naive Bayes[C].Intelligent Computation and Its Applications(ISICA)，2005，05：344-350.
[8] KDD-Cup.KDD Cup 1999 data[EB/OL].(1999)[2014].http://kdd.ics.uci.edu/databases/kddcup99/kddcup99.html.