零信任的一大关键技术——行为分析

随着云计算、大数据、物联网等新兴技术的兴起，电信及互联网企业总体网络规模不断扩大，数据网络安全架构正从“有边界”向“无边界”转变，传统的网络安全边界逐渐瓦解。在以5G、工业互联网为代表的新基建的不断推进下，网络安全“无边界”的进化过程越来越快。与此同时，零信任安全逐渐进入人们的视野，成为解决新时代网络安全问题的新理念、新架构。

一、什么是零信任

零信任代表了新一代的网络安全防护理念，它的关键在于打破默认的“信任”，简单概括就是“持续验证，永不信任”，默认不信任企业网络内外的任何人、任何设备和系统，在身份认证和授权重新构建访问控制的信任基础上，确保身份可信、设备可信、应用可信和链路可信。基于零信任原则，可以保障办公系统的三个“安全”：终端安全、链路安全和访问控制安全。

二、如何零信任

在人工智能算法领域中，零信任对传统网络安全边界架构进行了重新评估和审视，本文主要分享零信任的其中一大技术——用户行为分析。

1、用户行为分析

起初行为分析主要是对监测到的用户行为数据进行分析，让企业更加详细、清楚地了解到用户的行为习惯，找出网站、推广渠道等企业营销环境存在的问题，进而帮助企业发掘高转化率页面。同时对在公司业务领域中构建的用户画像进行分析，让企业的营销更加精准、有效，提高业务转化率，进而提升企业的收益。

伴随着零信任和网络安全的发展，用户行为分析的高性能、高效率以及高鲁棒性让其在数据安全领域也能发光发热。它以用户和实体为对象，结合规则以及机器学习模型，对用户行为进行分析和异常检测，尽可能快速地感知到内部用户的可疑非法行为。

2、行为信息获取与算法应用

用户行为分析离不开对用户高危操作的检测，目前在网络安全环境中，我们可以获取到用户行为的历史日志信息，并对其进行数据标准化处理，以得到目标信息，包括操作时间、操作对象IP（即用户IP）、 用户名、操作内容、登录状态、操作结果等，根据这些目标信息获取服务器操作习惯特征和操作指令习惯特征。其中，服务器操作习惯特征不限于统计操作次数、单用户单日操作总次数、用户操作的服务器数量、用户的上线次数（上升沿触发）、是否有未操作的服务器等行为特征。而操作指令习惯特征包括每个用户的每日指令记录中各linux指令开头的指令数量与操作类型，不仅如此，还包括对操作指令进行去重处理并进行莱文斯坦距离或者最长公共子序列的计算后得出的更多指令数量特征。通过获得更多的用户特征可以帮助我们丰富用户画像的深度和广度，从而得到更复杂的零信任体系。

获得上述特征后企业可以通过各种算法进行用户状态的分析，比如通过隐马尔可夫（HMM）进行用户隐藏状态的挖掘、对用户的操作指令习惯进行异常分析，包括但不限于粒子群优化的自编码模型以及One-class SVM等。

综上所述，企业通过分析用户数据及时发现用户异常行为，实时掌握网络安全状况，从之前亡羊补牢式的事中、事后处理方式转向事前自动分析预测、事中动态处置，大大降低了网络安全风险。

三、人工智能时代的零信任发展

目前，数字时代已进入高速发展期，随之而来的是网络环境的多样化与安全风险和态势的复杂化。在这样的环境下，零信任必将与人工智能、大数据等技术进行业务上的高度融合，通过连续认证实现动态行为监控、通过规则引擎实现动态授权、通过机器学习引擎发现新的风险，实时发现并解决用户的行为风险，保障大数据网络安全。