信息安全研究

狄刚, 柴跃廷,

2024, 10(4): 290.

摘要 ( )

PDF (865KB) ( )

相关文章 | 计量指标

数字金融安全保障工作是落实金融强国6大体系的应有之义，也是做好数字金融大文章的前提.做好数字金融安全保障需基于多维安全视角，深入分析其在新的安全场景下，面临新安全威胁和新技术应用带来的挑战，要以分散风险、失陷假设、攻防相长、持续演进的新思路进行应对，综合云原生安全、零信任、威胁感知等新技术手段，采用新型数字金融安全模型，依托包括后量子密码技术在内的数字金融安全技术，构筑数字金融安全底座.

基于BERT模型的源代码漏洞检测技术研究

罗乐琦, 张艳硕, 王志强, 文津, 薛培阳,

2024, 10(4): 294.

摘要 ( )

PDF (3199KB) ( )

参考文献 | 相关文章 | 计量指标

源代码漏洞检测常使用代码指标、机器学习和深度学习等技术.但是这些技术存在无法保留源代码中的句法和语义信息、需要大量专家知识对漏洞特征进行定义等问题.为应对现有技术存在的问题，提出基于BERT(bidirectional encoder representations from transformers)模型的源代码漏洞检测模型.该模型将需要检测的源代码分割为多个小样本，将每个小样本转换成近似自然语言的形式，通过BERT模型实现源代码中漏洞特征的自动提取，然后训练具有良好性能的漏洞分类器，实现Python语言多种类型漏洞的检测.该模型在不同类型的漏洞中实现了平均99.2%的准确率、97.2%的精确率、96.2%的召回率和96.7%的F1分数的检测水平，对比现有的漏洞检测方法有2%~14%的性能提升.实验结果表明，该模型是一种通用的、轻量级的、可扩展的漏洞检测方法.

面向取证的网络攻击者溯源分析技术研究综述

王子晨, 汤艳君, 潘奕扬,

2024, 10(4): 302.

摘要 ( )

PDF (1134KB) ( )

参考文献 | 相关文章 | 计量指标

网络攻击者的隐藏性和匿名性使得网络攻击溯源技术充满挑战.研究综述了基于流量、场景和样本3个方面的网络攻击溯源分析技术的研究现状.首先，针对流量溯源，总结出基于日志记录、流量包标记、ICMP回溯和链路测试等方法和应用；其次，根据不同场景归纳出匿名网络攻击、僵尸网络攻击、跳板攻击、局域网攻击和高级可持续威胁攻击的溯源技术以及在实际环境中的应用和限制；最后，对于样本分析探讨了静态和动态溯源分析在恶意代码分析及攻击溯源方面的研究进展和应用场景.

一种比特币支付协议的形式化建模验证方法

王炯涵, 黄文超, 汪万森, 熊焰,

2024, 10(4): 311.

摘要 ( )

PDF (952KB) ( )

参考文献 | 相关文章 | 计量指标

作为主流的数字加密货币，比特币的安全性受到广泛关注，并且围绕其展开大量的研究工作.然而目前针对比特币支付过程的分析还比较欠缺，缺乏相关的安全标准和精细的建模分析，难以确保相关协议的安全.针对这一问题，基于比特币社区规范与比特币的数字货币功能属性，为比特币支付协议建立了形式化的符号模型与对应的安全属性,并使用自动验证工具Tamarin对相关模型及属性进行了形式化验证，完成了对比特币支付协议的验证工作，并且发现一种未被讨论过的比特币支付协议中的安全威胁，对该问题可能产生的影响进行了分析.

基于格的访问控制加密技术研究

谭高升, 李伟, 马静静, 王伟忠, 邢建华, 马明杰,

2024, 10(4): 318.

摘要 ( )

PDF (820KB) ( )

参考文献 | 相关文章 | 计量指标

访问控制加密(access control encryption, ACE)是一种新颖的公钥加密概念，不仅可以保护数据的机密性，还实现了信息流向的控制.早期基于DDH(decisional DiffieHellman)假设的方案(DDH方案)存在密文泄露攻击且仅满足选择明文攻击(chosen plaintext attack, CPA)安全，针对此类问题，密码学家提出了访问控制加密选择密文攻击(chosen ciphertext attack, CCA)安全性定义，并基于NaorYung的构造策略构造了CCA安全的方案.但密码学家未修补DDH方案的安全瑕疵，且其CCA方案存在效率较低、构造复杂、通信策略受限等不足.将DDH方案进行了通用化设计，并以高效的方式修补了DDH方案遭受密文攻击的瑕疵，进一步，构造了CCA安全的访问控制加密方案，具有高效、设计简单、基于标准困难性假设的特点.最后，分别基于格上困难性假设和判定性双线性DiffieHellman(decisional binlinear DiffieHellman, DBDH)假设，给出了2种CCA安全方案的实例化设计.

基于仿真的工控蜜罐研究进展与挑战

颜欣晔, 李昕, 张博, 付安民,

2024, 10(4): 325.

摘要 ( )

PDF (1376KB) ( )

参考文献 | 相关文章 | 计量指标

随着工业互联网的快速发展，针对工业控制系统的攻击层出不穷，造成工业基础设施瘫痪、生产中断、经济损失和人身伤害等严重后果.工控蜜罐是一种欺骗工具，可以作为诱饵吸引攻击者并伪装成真实系统提供访问权限，以诱骗攻击者进行下一步攻击，保护真正的工业控制系统.针对工控蜜罐研究现状进行了深入分析，给出了工控蜜罐的定义及其特征，并重点从基于协议模拟的工控蜜罐、基于结构仿真的工控蜜罐、基于模拟工具的工控蜜罐、基于漏洞模拟的工控蜜罐以及基于混合模拟的工控蜜罐等方面全面分析了基于仿真的工控蜜罐研究进展情况.最后，讨论和分析了当前工控蜜罐仿真模拟过程中面临的挑战和未来发展方向.

大型局域网安全盲区探析

刘建兵, 王振欣,

2024, 10(4): 335.

摘要 ( )

PDF (784KB) ( )

参考文献 | 相关文章 | 计量指标

提出了大型局域网安全相关的网络盲区、资产盲区和安全盲区，分析了3个盲区产生的原因，阐述了3个盲区的形态，指出了3个盲区对大型局域网安全的影响，为解决大型局域网的安全问题提供了新的角度.

5G网络安全威胁发现及解决方法综述

王瀚洲, 周洺宇, 刘建伟, 蔡林沁, 李东禹,

2024, 10(4): 340.

摘要 ( )

PDF (1569KB) ( )

参考文献 | 相关文章 | 计量指标

发现及解决5G网络安全威胁是保障5G网络的稳定运行和用户数据安全的重要手段.通过概述5G网络的新特征，分析了5G网络所面临的独特安全挑战，系统地探讨了5G安全威胁发现方法，从功能架构的角度对5G安全威胁进行分类，概述了安全威胁的解决方法与处置措施，并展望相关技术对未来5G安全威胁发现及解决的影响，旨在为研究人员和实践者提供一个5G安全威胁发现与解决方法的参考框架.

基于弹性秘密共享的多方洗牌协议

满子琪, 张艳硕, 严梓洋, 罗乐琦, 陈颖,

2024, 10(4): 347.

摘要 ( )

PDF (846KB) ( )

参考文献 | 相关文章 | 计量指标

为了促进对数据隐私的保护，提出了一种基于弹性秘密共享的多方洗牌协议，主要采用了弹性秘密共享、洗牌协议与隐私集合交集计算技术.首先对基于弹性秘密共享的多方洗牌协议及其相关技术进行了简要的介绍，紧接着对模型、框架进行了构建，并提出了基于弹性秘密共享的多方洗牌协议的设计方案.同时，对该协议的正确性、安全性、性能、应用前景进行了详细分析.通过有关定理的证明以及与一些方案的对比分析，该协议具有较高的效率以及较好的安全性.

基于数据挖掘的等级保护测评数据再利用模型研究

赵佳璐, 李格菲, 葛晓囡, 朱磊, 韦宇星, 严毅恒, 阿依登·塔布斯,

2024, 10(4): 353.

摘要 ( )

PDF (1459KB) ( )

参考文献 | 相关文章 | 计量指标

针对网络安全等级保护测评数据资源未有效利用的问题，提出一种包括数据分类、数据再利用流程、典型应用场景3个维度的网络安全等级保护测评数据再利用模型.首先，将数据按照应用场景进行分类，统计分析测评基础数据，形成不同角度的分析结论；其次，利用测评基础数据以及初步分析结论作为输入，根据各方应用需求构建基于数据挖掘的测评数据再利用模型，提供关联分析、分类分析、聚类分析等功能，深入挖掘数据背后的信息.从而帮助相关各方安全有效利用数据，以数据作为一个强力支撑，为构建网络安全体系发挥更大积极作用.

银行业DAO数字化安全运营体系研究

李丁炜, 林叶明, 孙钢, 袁昱,

2024, 10(4): 360.

摘要 ( )

PDF (2767KB) ( )

参考文献 | 相关文章 | 计量指标

在网络威胁呈爆发式增长的当下，随着业务模式数字化重塑与业务持续性增长，银行业面临因网络安全防线持续扩大所导致的安全设备冗杂、安全运营任务繁重、实战能力不足等问题.对银行业金融机构在安全运营中所面临的挑战进行分析，提出了融合平战一体化安全运营机制的银行业DAO(defence, ability and operation)数字化安全运营体系，重点研究纵深化防护基础、原子化能力中枢、数字化运营总台3层次架构，以及针对常态化、高强度、无间断防护目标的平战一体机制实施路径.

证券网络安全事件应急响应评价研究

朱嶷东, 薛质, 王洪涛, 刘宏, 吴晨炜, 胡广跃,

2024, 10(4): 368.

摘要 ( )

PDF (1189KB) ( )

参考文献 | 相关文章 | 计量指标

网络安全事件应急响应横跨多部门、涉及多层次、覆盖多范围，已成为常态化安全运营中关键链路环节，是证券业务稳定安全运行保障的重要核心支撑.针对证券业传统应急响应能力评价指标不统一且过于主观问题，提出了包含检测响应、止损阻断、分析溯源、清除恢复、加固复验的网络安全事件应急响应流程，涵盖工具运用、日志覆盖、人员技能、职责分工、通报处置、宣传教育指标体系的三级评价模型，运用模糊层次分析法确定各层次指标权重，采用专家判断方法建立评价指标集，引入模糊灰色综合评价方法对证券行业网络安全事件应急响应能力进行评价，并通过实例验证对指标数据进行分析汇总，实现了评价指标的量化展示.

公共数据国家所有制的理论和立法研究

黄一川,

2024, 10(4): 377.

摘要 ( )

PDF (913KB) ( )

参考文献 | 相关文章 | 计量指标

公共数据是履行公共管理职责与提供公共服务的国家及代表国家的组织依法履职过程中所收集或伴随产生的各类数据的统称，公共数据权属明确是其规制的基础.类比自然资源，公共数据在公共利益相关度、可利用价值高、不当使用风险等方面具有相似性，可在我国宪法框架下考虑适用国家所有制.在实践层面，国家所有制也是相对妥善的方案，并在多重动因下可有效促进公共数据良性发展.在立法方面，地方已有一定实践，未来发展方向应为中央统一立法，应在国家所有制前提下细化数据产权结构性分置制度.此外，可构建公共数据分类分级与安全保护的制度前提、确权的基础制度、共享开放和授权运营的利用制度.对公共数据国家所有制的研究从法理上相对厘清了公共数据权属构建路径，提供了一条可能的进路，并以此为基础，提出具体可行的制度设想.

个人信息保护领域检察民事公益诉讼制度研究

吴兴亥,

2024, 10(4): 383.

摘要 ( )

PDF (4405KB) ( )

参考文献 | 相关文章 | 计量指标

大数据时代，涉众型侵害个人信息权益的事件屡屡发生，个人信息大规模侵权问题严重侵害社会公共利益，检察民事公益诉讼制度成为个人信息保护的新路径.目前，个人信息保护检察民事公益诉讼虽然取得了一定成效，但该领域相关制度规范过于原则，对适用条件、法律责任等尚无明确规定，难以指导司法实践，目前存在损害要件难以界定、法律责任不够明确、调查取证缺乏刚性等难点.应完善检察机关调查核实权，明确侵权人损害赔偿责任，并且与相关行政机关建立个人信息保护协作机制，探索个人信息保护领域检察机关公益诉讼惩罚性赔偿，以震慑功能预防相关犯罪.

当期目录