32、面向服务的跨域安全参考架构探索

面向服务的跨域安全参考架构探索

1. 现有信息过滤技术问题与安全本体的需求

在信息过滤方面，像可扩展样式表语言转换（XSLT）这类技术常被用于过滤信息。然而，这些技术往往忽略了消息的上下文和词汇含义，导致错误率较高，出现大量误报和漏报情况，很多时候还需要人工审核来处理模糊不清的信息。

为了构建能更精准分析跨域信息流的应用，安全界应采用标准的安全本体。标准安全本体能为业界提供一套通用概念，促进大家形成共同理解，推动基于Web应用的安全、隐私和信任理论与实践的发展。目前已有一些安全本体在使用，例如DAML服务安全与隐私本体、海军研究实验室（NRL）安全本体以及基于美国国家标准与技术研究院（NIST）特殊出版物800 - 12中安全关系模型的SecOnt等。这些安全本体主要关注资产、威胁、漏洞和对策等领域。其应用场景包括使用本体和算法的形式化策略表示来支持机器辅助的策略推理，以及用本体为从简单文档到交互式服务等各种通用资源添加与安全相关的元数据。不过，当前相关的安全本体工作对特定领域（如CDC）的针对性不足，该领域还需开展更多本体相关工作。

2. 跨域安全参考架构（CDC - RA）概述

CDC - RA是跨域标准化的关键，它提供了三方面内容：
- 一个通用框架和词汇表，用于描述跨域机制；
- CDC参与者之间的抽象交互模式，这是通过协议实现标准化的基础；
- 以协议约束和假设形式呈现的CDC基础设施设计模式。

我们主要关注那些负责促进安全跨域通信产品的标准化接口，其中安全防护设备是重要的一类产品。但跨域通信是CDC基础设施和利用该基础设施的任务应用共同的责任，任务应用在其中也起着关键作用。我们将CDC关注点分为