信息安全理论与技术总结

一、综述

近年来，随着我国科学技术的飞速发展，人工智能、大数据等信息技术逐渐走进了人们的视野当中，在这样的发展背景下，如果能够充分利用人工智能技术对大数据进行分析和整理，就可以在很大程度上提高大数据的应用效果。而且近年来，在人工智能技术和大数据结合这方面也取得了很大的进展，大数据的主要作用就是从预测、分类、关系分析以及聚类等四个方面出发，如果在这一基础上，再结合人工智能就可以在一定程度上优化大数据分析技术。

如今的网络环境是全球性的，而且高度互联，一个组织被暴露在安全威胁之下的风险日益攀升。对许多组织来说，决定谁应该访问什么信息是很困难的，这使得他们的系统很脆弱。显然，一个高效而成熟的访问管理策略的重要性不应该被低估。

访问控制通过验证多种登录凭据以识别用户身份，这些凭据包括用户名和密码、PIN、生物识别扫描和安全令牌。许多访问控制系统还包括多因素身份验证，多因素身份验证是一种需要使用多种身份验证方法来验证用户身份的办法。但是，目前的状况下，人们对访问控制的重视程度并不高。

根据研究报告，83%的组织没有一个成熟的访问控制方法。与拥有访问控制战略的组织相比，这些组织面临的数据泄露风险是其两倍。该报告还显示了更智能的访问控制方法与降低安全风险、提高生产力、增加特权活动管理和大大减少财务损失之间的直接关系。Forrester 云安全调查还显示，云身份管理能力认可度不足3成。

一个典型的访问控制问题是，用户被赋予的访问权限是基于他们在组织中的角色，但员工很少适合单一角色。他们可能需要特殊的一次性访问，或者每个履行相同角色的人可能需要稍微不同类型的访问。这导致了非常复杂的情况，往往需要许多部门之间的合作。仅一个公司内部的情况就足够复杂，而大数据环境下大量的技术数据、困难的决策过程更是成为足够致命的问题。

在本次作业报告中，我针对访问控制与机器学习相结合的角度，重点聚焦于面对大数据环境下的访问控制挑战，机器学习的方法能带来怎样的便利。从这一角度出发，多方面的介绍了共十篇文章的方法与贡献。他们有的立足于优化成本，有的立足于提高性能。有些是更具针对性的应用场景。

二、文献目录

选取的文章如下：

1. Seok-Jun Bu Sung-Bae Cho: A convolutional neural-based learning classifier system for detecting database intrusion via insider attack.Information Sciences 2019.

2. Seok-Jun Bu Sung-Bae Cho: Genetic Algorithm-Based Deep Learning Ensemble for Detecting Database Intrusion via Insider Attack. International Conference on Hybrid Artificial Intelligence Systems. HAIS 2019 pp 145-156

3. Thang Bui, Scott D. Stoller: A Decision Tree Learning Approach for Mining Relationship-Based Access Control Policies. SACMAT 2020: 167-178

4. Padmavathi Iyer, Amirreza Masoumzadeh: Active Learning of Relationship-Based Access Control Policies. SACMAT 2020: 155-166

5. Thang Bui, Scott D. Stoller, Hieu Le: Efficient and Extensible Policy Mining for Relationship-Based Access Control. SACMAT 2019: 161-172

6. Yang Cao, Lin Zhang, Ying-Chang Liang: Deep Reinforcement Learning for Multi-User Access Control in UAV Networks. ICC 2019: 1-6

7. Nan Jiang, Yansha Deng, Arumugam Nallanathan: Deep Reinforcement Learning for Discrete and Continuous Massive Access Control optimization. ICC 2020: 1-7

8. Hang Zhou, Xiaoyan Wang, Masahiro Umehira, Xianfu Chen, Celimuge Wu, Yusheng Ji: Deep Reinforcement Learning based Access Control for Disaster Response Networks. GLOBECOM 2020: 1-6

9. Hao Fu, Zizhan Zheng, Sencun Zhu, Prasant Mohapatra: Keeping Context In Mind: Automating Mobile App Access Control with User Interface Inspection. INFOCOM 2019: 2089-2097

10. Matthew W. Sanders, Chuan Yue: Mining least privilege attribute based access control policies. ACSAC 2019: 404-416

三、文献论述

文章1是对大数据环境下快速访问控制起促进作用的技术为主题展开的一篇会议文章，更具体而言，是对数据库的入侵检测系统（IDS）中使用的基于角色的访问控制（RBAC）机制进行的优化。其意义在于：数据库中基于角色的访问控制（RBAC）提供了一个有价值的抽象级别，以促进企业级的安全管理。机器学习算法具有自适应和学习能力，适用于基于大量数据的正常数据访问模式建模，并提供对用户变化不敏感的稳健统计模型。大数据环境下为保护数据库，很难设计出一个足够良好的入侵保护系统来应对多种攻击，尤其是内部攻击。一般应对内部攻击的主要方法是基于角色的访问控制，而在此机制下与机器学习相结合，能体现出更好的学习和适应能力，以应对大数据的种种风险特点。

文章1采用的主要方法：作者提出了一个基于卷积神经的学习分类器系统（CN-LCS），通过将传统的学习分类器系统（LCS）与卷积神经网络（CNN）相结合，为基于RBAC机制的数据库入侵检测系统建立查询的作用模型。在合成查询数据集上，用于优化特征选择规则的改良型匹兹堡式LCS和用于建模和分类的一维CNN的组合取代了传统的规则生成，其性能优于其他机器学习分类器。采取这种方案是因为数据库中的对象数量理论上是无限的。因此，相关矩阵是稀疏的，很难确定一个按角色区分查询的决策边界。

文章1的性能（结论）：通过上述方法，得到了如下图的优秀结果。

文章2同样是对大数据环境下快速访问控制起促进作用的技术为主题展开的一篇会议文章，是对文章1的进一步优化，也是对数据库的入侵检测系统（IDS）中使用的基于角色的访问控制（RBAC）机制进行的优化。

其意义在于：机器学习算法具有自适应和学习能力，适用于基于大量数据的正常数据访问模式建模，并提供对用户变化不敏感的稳健统计模型。同时，对数据库安全的需求和分配的资源正在逐步增加，而外部攻击如SQL注入攻击是众所周知的，也是有据可查的，而内部攻击则更难发现，也更危险。基于角色的访问控制提供了一个有价值的抽象层次，以促进商业企业层面的安全管理，而不是用户身份层面。通过结合对象和动作创建的查询，为RBAC机制下的每个角色创建了一个独特的模式。虽然不可能对所有违反角色的查询进行建模，但IDS可以通过这种方式过滤内部攻击，对角色所代表的模式进行建模和学习，并检测偏离这些模式的查询。

文章2采用的主要方法有两方面：一是将遗传算法（GA）与卷积神经网络（CNN）二者结合进行建模，前者以其全局探索和优化能力而闻名，后者则善于对交易特征和角色之间的复杂隐藏关系进行建模，两者的结合效果可以看出明显优于其他机器学习模型；二是将整个数据集划分为多个区域，并提出了一个多个深度学习模型的集合，可以有效地对每个区域内的SQL事务进行端到端方式的建模，这是因为SQL查询是一个树状结构，整个数据不能一次性建模。在综合查询数据集上，改进的匹兹堡式LCS用于优化特征选择规则，一维CNN用于建模和分类，取代传统的规则生成，这两种方法的结合优于其他机器学习分类器。为了定量比较CN-LCS中规则生成和建模过程的包含情况，文章还通过配对抽样t检验进行了10次交叉验证测试和分析。

文章2的性能（结论）：通过上述方法，得到了如下图的优秀结果。

文章3是对大数据环境下建立基于关系的访问控制起促进作用的技术为主题展开的一篇会议文章，是对如ReBAC(Relationship-based access control)等高级访问控制策略模型的策略挖掘算法的改进。其意义在于：基于关系的访问控制中，通过允许以实体之间的关系链来表达策略，提供了高度的表达能力和灵活性，从而促进了安全性和信息共享。通过部分自动化ReBAC策略的开发，ReBAC策略挖掘算法有可能显著降低从遗留访问控制系统迁移到ReBAC的成本。实体之间的关系链提供了高水平的表达能力和灵活性，促进了安全和信息共享。这些特点很适用于现今安全策略变得更加动态和更加复杂的大数据网络环境。然而，开发ReBAC策略的前期成本较高是推行ReBAC的一个重要障碍。策略挖掘算法可以大大降低这一成本，因此优化策略挖掘算法具有重要意义。

文章3采用的方法是：提出了基于决策树的新的ReBAC策略挖掘算法，称为DTRM（Decision Tree ReBAC Miner）。因为决策树这种基于逻辑的策略规则比神经网络、贝叶斯分类器等的规则更容易被提取出来。另外，决策树是ReBAC等高级策略的紧凑表示，支持有效的策略评估。DTRM有两个主要阶段，先是使用优化的决策树学习算法，以决策树的形式学习授权策略（CART算法的优化版），然后从决策树中提取一组候选授权规则；接着通过选择性地消除候选规则中的负面条件和约束，然后合并和简化候选规则，构建挖掘的政策。

文章3的性能（结论）：如下图所示

文章4是对大数据下更为核心的访问控制策略进行机器学习的技术的一篇会议论文，是对黑盒系统（而非如文章3、5的可以直接获得访问控制列表）的，不限于具体访问控制策略的（RBAC，ABAC，ReBAC等），推断强制访问控制策略的新学习方法。

其意义在于：基于当今大多数系统都没有明确记录的访问控制策略以及系统是由多个异质组件组成的现状，提出一种技术来主动学习基于黑盒系统的强制访问控制策略，提出主动学习策略旨在最大限度地减少对目标系统的知识获取，这是因为已有的研究工作往往假设他们可以详尽地探索访问空间，以生成一个自动识别日志，这在许多现实世界的系统中是不切实际的。而对目标系统进行昂贵的人工分析和逆向工程，以便建立限制所考虑的授权空间的假设又是几乎不可能的。

文章4采用的方法是：提出了一种新的主动学习方法，用于解决上述的从黑盒访问控制引擎中学习访问控制策略，同时尽量减少为观察其行为而提交的访问控制查询。作者提出了一个学习者组件用于主动推断黑盒访问控制引擎的非决定性有限自动机（DFA）模型，又引入了一个映射器组件将目标系统的大型访问空间抽象为ReBAC策略所表达的关系模式以提高学习效率，并在提出的两个现实的应用场景（一个在线社交网络和一个电子健康记录系统）进行了相关验证，取得了如下的实验结果：

文章5同样是对大数据环境下建立访问控制起促进作用的技术为主题展开的一篇会议文章，是对如基于关系的访问控制策略模型的策略挖掘算法的改进。其意义与文章3类似，均在于提供更优化的ReBAC策略挖掘算法，以降低迁移成本，能更好的推广这一适用于大数据时代的访问控制策略。不同之处在于，文章4的挖掘算法更有针对性（仅对ReBAC），并提高了扩展性。作者简化并扩展了前代的算法，还解决了新出现的进化算法导致的探索空间增加的问题。

文章5采用的主要方法是：以上一代进化算法EA为基础，提出了新的算法FS-SEA*。它有两个阶段，应用时循环运转，一直到生成一个完整的策略。第一阶段，特征选择（FS），确定一组相对较小的原子条件和原子约束。其特征选择算法是基于机器学习的，主要是神经网络（NNs），鉴于其灵活性和对高维数据和大数据集的可扩展性。神经网络善于隐含地学习高级特征，包括多个输入特征之间的相互作用，而其他分类器，如SVM，往往需要手动特征工程来实现高分类准确率。第二阶段，简化进化算法（SEA），是EA的简化版本，作者在文中通过实验证明了简化后的算法功能上并不弱于简化前的版本。

文章5的性能（结论）：如下图所示

文章6是大数据环境下新兴技术的访问控制机制利用机器学习加以补强的会议文章，是对将无人机作为飞行基站（UAV-BSs）技术的访问控制技术的改进。UAV-BSs被应用于为地面用户的紧急通信或远程网络接入提供服务，以提高现有无线网络的容量并扩大其覆盖范围。

无人机基站的移动性带来了高度动态的网络环境，这对地面用户的访问控制提出了新的挑战。两个关键挑战是在每个用户处获取全球网络信息和频繁切换。UAV-BSs有两个主要优势：UAV-BS与地面用户有视距（LOS）链接；并提供可靠的无线连接。为了保证网络的性能，用户需要根据自己的性能访问合适的BS，这也可以称为用户访问控制。现有的关于无人机网络中用户访问控制的工作大多提出了集中式算法。这些集中式算法需要全局网络信息，如信道状态信息和位置信息，这在实际应用中是很难获得的，尤其是在动态环境下。此外，收集全局网络信息会造成巨大的信令开销。因此，在无人机网络中实施这些方案是不现实的。文章6的意义在于，提出了一个分布式深度强化学习（DRL）框架，用于无人机网络的多用户访问控制。仿真结果验证了所提算法的有效性，并显示了所提DRL框架比现有技术的优越性。

文章6采用的方法是：作者研究了无人机网络中的多用户接入问题，并提出了一个分布式DRL框架，让用户做出最佳的接入决策。在所提出的框架中，每个用户独立做出访问决策，集中式训练器负责更新深度Q网络（DQN）的参数。 此外还在DQN中引入了长短时记忆（LSTM）网络，以利用无人机-BS轨迹的连续性。通过提出的DRL框架，每个用户能够智能地访问合适的UAV-BS，并最大限度地提高长期吞吐量，同时避免了频繁的交接。其实验结果性能（结论）如下图：

文章7同样是一篇用机器学习提升访问控制以提高安全性的会议文章，其重点在于提升基于属性的访问控制（ABAC）机制。其意义在于：ABAC在颗粒度、灵活性和可用性方面具有优势。然而，在实践中，创建有效的ABAC策略，尤其是对大型复杂系统（大数据）来说，最大限度地减少权限不足和权限过度，往往非常困难，因为它们的ABAC权限空间通常是巨大的。ABAC策略的灵活性既是优点也是缺点，由于能够根据许多属性创建策略，管理员面临着困难的问题，如什么是"好的 "ABAC策略，如何创建它们，以及如何验证它们？文章7重点解决上述问题。

文章7采用的解决方法是：采用规则挖掘的方法来挖掘系统的审计日志，以自动生成ABAC政策，使权限不足和权限过大最小化。作者提出了一种用规则创建ABAC政策的规则挖掘算法，一种从最小权限角度评估ABAC政策的政策评分算法，以及处理大型ABAC权限空间挑战的性能优化方法，该策略在最小化权限不足和过度权限分配错误之间取得了平衡。规则挖掘方法天然适合于创建ABAC策略，其中包含了关于用户在特定条件下可以对资源执行的行动的规则。作者同时还设计了一种策略评分算法，通过使用样本外验证，从最小权限的角度评估ABAC策略。也设计了性能优化方法，包括特征选择、分区和并行化，以解决大型ABAC权限空间的挑战。

文章7使用470万个亚马逊网络服务（AWS）审计日志事件的大型数据集以验证性能，具体结果如下：

文章8是访问控制机制在非安全方面的应用，作用于MDRU(Movable and Deployable Resource Unit)上，用于解决自然灾害导致的通信基础设施修复问题，以保证灾后通信服务。目前主流的是NTT团队提出的一种利用MDRU的网络恢复方法，但单个MDRU的通信范围非常有限，且由于成本和时间的限制，在灾害发生后立即部署大量的MDRU是非常困难的。因此，为了扩大服务范围，业界新提出了一个由MDRU和多个中继节点组成的异质灾害响应网络结构，文章8的提出就是在此基础上。

文章8采用的主要方法是：利用UE（用户设备）具有的信息收集能力，实现UE的最佳无线接入控制，提出了一种利用DRL的灾难响应网络的无线接入控制机制。与已有研究不同，实际应用中必然有环境统计的缺失，所以考虑到了信道状态、能量收集和数据包到达的网络动态性。方案中UE通过与未知的灾后无线环境的互动，学习其最佳的无线接入策略，包括覆盖/MDRU选择和发射功率控制。具体而言，作者采用了如下图的深度学习模型

并与三种基线方案的比较，验证了所提机制的性能，见下图

与文章8相对，文章9是一篇用机器学习提升访问控制以提高安全性的会议文章，应用于智能手机端。具体而言，文章9设计了一个轻量级的运行时权限控制系统，名为COSMOS（COntext-Sensitive perMissiOn System）。这是一个上下文感知的调解系统，它弥补了前台互动和后台访问之间的语义差距，以保护系统的完整性和用户隐私。COSMOS从一大批具有类似功能和用户界面的应用程序中学习，以构建通用模型，在运行时检测出异常值。它可以进一步定制，以满足特定的用户隐私偏好，并随着用户的决定不断发展。其设计意义在于：安卓和iOS等移动操作系统采用的许可系统，允许用户在应用程序首次需要时授予或拒绝每项许可请求。但这种方法并没有提供足够的保护，因此恶意方可以很容易地诱使用户首先授予许可，然后利用同一资源进行恶意操作。

文章9采用的主要方法是：COSMOS通过检查上下文的前景数据来检测意外的权限请求。例如，用户在与短信页面互动时，一旦按下发送按钮，该应用就会要求获得SEND_SMS权限，而由手电筒实例发送的短信则是可疑的。其权限系统，会检查应用程序的前景信息，以执行运行时的上下文一体化。文中的方法包括一个两阶段的学习框架，用于为每个用户建立一个个性化的模型。

文章9实现了一个COSMOS权限系统的原型用于验证性能，其成果如下图：

文章10也是对大数据环境下新兴技术的访问控制机制利用机器学习加以补强的会议文章，主要解决大数据物联网（mIoT）场景下RACH方案的优化问题。随机接入信道（RACH）方案是mIoT场景下主流的蜂巢网络中的一个解决方案，用于解决大规模传输过程中发生的碰撞问题，现有的RACH方案通过在基站（BS）的中央控制组织物联网设备的传输和再传输来处理这个碰撞问题，但这些现有的RACH方案通常是固定的，因此很难适应时间变化的流量模式。为了优化成功设备数量的长期目标，运用机器学习方法对原有RACH方案进行改进，实现更优化的mIoT网络，是本文的意义。

文章10采用的方法是：应用基于深度强化学习（DRL）的优化器，采用深度Q网络（DQN）和深度确定性政策梯度（DDPG）来优化RACH方案，包括接入类别限制（ACB）、退避（BO）和分布式排队（DQ）。具体来说，作者使用DQN来处理BO和DQ方案的离散行动选择，而DDPG则处理ACB方案的连续行动选择。两种代理都与门控递归单元Gated Recurrent Unit（GRU）网络集成，以近似其价值函数/策略，进而通过捕捉时空流量的相关性来提高优化性能。

文章10的实验结果显示，所提出的基于DRL的优化器在成功接入设备的数量方面大大超过了传统的启发式解决方案，具体性能见下图。