基于决策树的安全策略冲突检测

（中国船舶重工集团公司第七二二研究所 武汉 430205）

1 引言

网络安全的重要性引起了人们的关注，由于不断增加的网络攻击威胁，各类网络中的重要元素逐渐变为网络安全设备（如防火墙和IPSec网关）。在这些网络管理中，系统行为的规范一般是由策略定义［1］，由策略决定安全设备在不同情况下执行的动作。目前广泛应用的网络管理方法是结合策略的方法［2］，但目前策略配置主要由人工进行配置，由于人工配置的原因会出现配置的策略之间的冲突。一些安全漏洞可能会在安全设备执行策略时出现，导致系统的正常运行受到影响。随着网络规模的增大，策略的数目也在不断增加，使得策略冲突情况将更容易发生。因此，对策略进行冲突检测来减少这些情况是至关重要的。由于分布式系统具有种类繁多的安全设备和结构复杂的网络，难以实现人工方式对策略冲突进行检测。目前网络管理领域中关于策略的重要研究方向是找到一种方法可以准确快速检测策略冲突。

2 相关工作

近年来在安全策略的冲突检测方面，国内外做了许多研究，针对策略冲突检测提出了不同的方法，文献［3］提出了一种基于有限状态传感器策略的碰撞检测方法，该方法将事件转移函数和自适应子集添加到有限自动机（Finite State Transducer，FST）中以处理冲突。文献［4］提出了一种有向无环图模型（DAG），该模型通过将分布式系统中的元素抽象为DAG来检测策略冲突。文献［5］还使用图论来检测和解决从冲突。……