信任的传递：图计算可信策略的一点思考
字数 1630 2025-08-18 17:33:47

图计算在安全可信策略中的应用与实践

1. 安全策略演进历程

1.1 传统安全策略模型

黑名单模型演进：

  • 理论版本一：单维度黑名单 $A
  • 实际版本一：单维度黑名单+白名单去误报 $A && !$B
  • 理论版本二：多维度黑名单 $A || $B 或 $A && $B
  • 实际版本二：多维度黑名单+白名单去误报 ($A || $B) && !$C 或 ($A && $B) && !$C

白名单模型演进：

  • 理论版本三：单维度白名单 !$A
  • 实际版本三：单维度白名单+白名单去误报 !$A && !$B
  • 理论版本四：多维度白名单 !($a && $b)
  • 实际版本四：多维度白名单+白名单去误报 !($a && $b) && !$c
  • 理想版本四：加入时间维度 !(A && B)，其中A在B前面

1.2 当前面临的瓶颈

  • 白名单策略每增加一个维度，误报率随之增加
  • 难以平衡高检出率和低误报率
  • 灰名单策略(!$A and !$B)虽能缓解但会导致检出遗漏

2. 图计算解决方案

2.1 基本概念

信任传递原理：

  • 基于关系传递性：A=B，B=C ⇒ A=C
  • 信任度随传递层级衰减：99.9% × 99.9% × 99.9% = 99.7%

图计算优势：

  • 适合处理多度/深度关系
  • 能够优雅地扩展到≥3度关系
  • 可构建完整的信任链

2.2 实际应用案例

日志查询场景：

  1. 直接信任：A员工是B应用的owner → 可查询B应用日志
  2. 一级传递：同组A1员工 → 也可查询B应用日志
  3. 二级传递：B应用的上下游B1、B2应用 → A和A1员工可查询B1、B2日志

3. 图计算可信策略实施

3.1 节点与边定义

节点类型：

  • 人员：员工、用户
  • 设备：终端、浏览器、IP地址
  • 资源：应用、服务器、容器、接口
  • 凭证：身份凭据、云账号、AK
  • 数据：敏感数据存储实体

信任关系类型：

  • 人与人的关系：同组、上下级
  • 应用间关系：调用链路、依赖关系
  • 人与资源关系：owner、使用权限
  • 凭证关系：主账号-子账号、子账号-AK
  • 环境关系：IP-浏览器头、应用-容器

3.2 业务问题转化为图问题

关键步骤：

  1. 识别业务实体 → 图节点
  2. 定义实体间关系 → 图边
  3. 确定关系可信度 → 边权重
  4. 设计传递规则 → 图算法

表达式优化：
从严格模式：
!($A2 && $B2 && $C2 && $D2 && $E2 && $F2 && $G2)

转化为包含间接信任关系的实用模式：
!(($a1 && $b1) || ($a2 && $b2) || ($a3 && $b3))
或
!($a1 && $b1) && !($a2 && $b2) && !($a3 && $b3)

3.3 领域应用实践

业务安全领域：

  • 节点/边可信度评估
  • 关系推理与补全
  • 风险决策支持
  • 典型案例：
    • 企业风险图谱（最终受益人识别）
    • 空壳企业检测
    • 经营风险评估

信息安全领域：

  • 构建"安全一张图"
  • 信任链分析
  • 异常访问检测
  • 权限滥用预防

4. 实施挑战与考量

4.1 关键问题

  1. 信任传递的合理边界：

    • 同组员工访问相同应用是否完全可信？
    • 同一应用的不同容器使用相同AK是否合理？

  2. 信任衰减管理：

    • 如何量化每级传递的信任损耗？
    • 如何设置可信阈值？

  3. 数据质量要求：

    • 关系数据的完整性
    • 实时更新机制

4.2 实施建议

  1. 从核心业务场景入手，逐步扩展
  2. 建立信任度量化体系
  3. 设计动态调整机制
  4. 结合机器学习优化权重
  5. 保持策略的可解释性

5. 未来发展方向

  1. 动态信任评估模型
  2. 结合时序图分析
  3. 多维度信任融合
  4. 自动化策略生成
  5. 可视化分析界面

总结

图计算为解决安全可信策略瓶颈提供了创新思路，通过构建和传递信任关系，能够在保持高检出率的同时有效控制误报。实施关键在于合理定义节点和边、设计传递规则，并在精确性和实用性之间找到平衡点。随着安全数据的不断积累和算法的持续优化，图计算在安全领域的应用前景广阔。

图计算在安全可信策略中的应用与实践 1. 安全策略演进历程 1.1 传统安全策略模型 黑名单模型演进 ： 理论版本一：单维度黑名单 $A 实际版本一：单维度黑名单+白名单去误报 $A && !$B 理论版本二：多维度黑名单 $A || $B 或 $A && $B 实际版本二：多维度黑名单+白名单去误报 ($A || $B) && !$C 或 ($A && $B) && !$C 白名单模型演进 ： 理论版本三：单维度白名单 !$A 实际版本三：单维度白名单+白名单去误报 !$A && !$B 理论版本四：多维度白名单 !($a && $b) 实际版本四：多维度白名单+白名单去误报 !($a && $b) && !$c 理想版本四：加入时间维度 !(A && B) ，其中A在B前面 1.2 当前面临的瓶颈 白名单策略每增加一个维度，误报率随之增加 难以平衡高检出率和低误报率 灰名单策略( !$A and !$B )虽能缓解但会导致检出遗漏 2. 图计算解决方案 2.1 基本概念 信任传递原理 ： 基于关系传递性：A=B，B=C ⇒ A=C 信任度随传递层级衰减：99.9% × 99.9% × 99.9% = 99.7% 图计算优势 ： 适合处理多度/深度关系 能够优雅地扩展到≥3度关系 可构建完整的信任链 2.2 实际应用案例 日志查询场景 ： 直接信任：A员工是B应用的owner → 可查询B应用日志 一级传递：同组A1员工 → 也可查询B应用日志 二级传递：B应用的上下游B1、B2应用 → A和A1员工可查询B1、B2日志 3. 图计算可信策略实施 3.1 节点与边定义 节点类型 ： 人员：员工、用户 设备：终端、浏览器、IP地址 资源：应用、服务器、容器、接口 凭证：身份凭据、云账号、AK 数据：敏感数据存储实体 信任关系类型 ： 人与人的关系：同组、上下级 应用间关系：调用链路、依赖关系 人与资源关系：owner、使用权限 凭证关系：主账号-子账号、子账号-AK 环境关系：IP-浏览器头、应用-容器 3.2 业务问题转化为图问题 关键步骤 ： 识别业务实体 → 图节点 定义实体间关系 → 图边 确定关系可信度 → 边权重 设计传递规则 → 图算法 表达式优化 ： 从严格模式： !($A2 && $B2 && $C2 && $D2 && $E2 && $F2 && $G2) 转化为包含间接信任关系的实用模式： !(($a1 && $b1) || ($a2 && $b2) || ($a3 && $b3)) 或 !($a1 && $b1) && !($a2 && $b2) && !($a3 && $b3) 3.3 领域应用实践 业务安全领域 ： 节点/边可信度评估 关系推理与补全 风险决策支持 典型案例： 企业风险图谱（最终受益人识别） 空壳企业检测 经营风险评估 信息安全领域 ： 构建"安全一张图" 信任链分析 异常访问检测 权限滥用预防 4. 实施挑战与考量 4.1 关键问题 信任传递的合理边界： 同组员工访问相同应用是否完全可信？ 同一应用的不同容器使用相同AK是否合理？ 信任衰减管理： 如何量化每级传递的信任损耗？ 如何设置可信阈值？ 数据质量要求： 关系数据的完整性 实时更新机制 4.2 实施建议 从核心业务场景入手，逐步扩展 建立信任度量化体系 设计动态调整机制 结合机器学习优化权重 保持策略的可解释性 5. 未来发展方向 动态信任评估模型 结合时序图分析 多维度信任融合 自动化策略生成 可视化分析界面 总结 图计算为解决安全可信策略瓶颈提供了创新思路，通过构建和传递信任关系，能够在保持高检出率的同时有效控制误报。实施关键在于合理定义节点和边、设计传递规则，并在精确性和实用性之间找到平衡点。随着安全数据的不断积累和算法的持续优化，图计算在安全领域的应用前景广阔。