费禹 宁静 胡青

摘 要：为了解决安全产品的日志文件保护和数据共享问题，论文提出一种基于区块链的日志存储（LSSBC）系统。LSSBC系统包括角色、LSBC链和云存储三部分；通过结合区块链技术设计了日志文件的链上发布、存储和共享功能；最后，对LSSBC系统进行了总结分析。经分析，LSSBC系统为安全产品的日志保護和数据共享提供了全新可行的解决方案，有利于推进安全行业研究。

关键词：区块链；信息安全；日志存储

中图分类号：TP391 文献标识码：A

Abstract： In order to solve the problem of log file protection and data sharing for security products， this paper proposes a log storage system based on block chain （LSSBC）. LSSBC has three parts： role， LSBC chain and cloud storage. The function of publishing on the LSBC chain， storing and sharing log files is designed by combining block chain technology. Finally， the LSBC system is summarized and analyzed. After analysis， LSBC system provides a new and feasible solution for log protection and data sharing of security products， which is conducive to promoting security industry research.

Key words： block chain； information security； log storage

1 引言

伴随着高级持续威胁（Advanced Persistent Threat，APT）攻击的复杂多变，安全技术、产品不断推陈出新，安全厂商推出的防火墙、网络入侵检测（NIDS）、网络入侵防御（NIPS）、蜜罐、上网行为管理、安全审计、网络流量分析等众多产品涵盖到了网络安全、主机安全、Web安全、数据安全、移动安全、安全管理、工控安全等各个方向，同时也就是因为产品多样、技术多变，导致安全信息无法整合、高效利用。

在这种情况下日志文件就为解决问题提供了可能性。首先，日志文件在研究网络安全环境过程中有着不可替代的作用。以蜜罐为例，研究方向不管是数据分析[1]、主动防御[2]、虚拟部署[3]，还是分布式[4]，他们的日志文件都为实现检测、审计等诸多功能提供了保障。日志安全研究上，蒋贤维在日志应用及保护方面提出了远程异地存储日志、伪装传输策略以及基于第三层的日志保护策略[5]；覃应接在网络日志管理上应用日志Merkle树、椭圆曲线加密与组合公钥技术设计了基于TCM（Trusted Platform Module，可信平台模块）的日志保护技术[6]；Paul Youn等人在审计方向，设计了基于概率分布的日志保护机制[7]。这些研究在多个方向为日志安全提供了保障，但是无法更为有效地避免日志篡改问题，同时日志保护机制过于繁琐且一定程度上浪费了日志文件的潜在信息价值。

区块链技术的发展，为实现日志信息的保护、分享、多边利益最大化提供了可能。区块链技术具有去中心化、不可篡改和追踪溯源等特性[8]，其应用场景已涉及医疗[9]、电网[10]、农产品追溯等方向[11]。区块链技术的应用基于一定场景，同时需要结合其他技术形式。夏琦等人在医疗数据问题上通过结合云平台、区块链、大数据等技术设计了数据共享方案[12]。区块链技术可以为安全产品的日志保护问题提供更为有效的解决方案，通过结合区块链和云存储技术，设计链上、链下数据存储模式，有效地解决了日志文件易被篡改的问题，同时通过特殊的日志共享机制，在保障隐私的前提下极大地提高了日志的利用价值，能加快促进安全行业共同发展、共同进步。

2 基于区块链的日志存储系统组成

基于区块链的日志存储系统（a Log Storage System Based on Block Chain，LSSBC），简称为LSSBC系统，是利用区块链和第三方存储技术实现的日志存储及分享系统，包括角色、基于区块链的日志存储链（LSBC链）、云存储三个主要部分，系统组成如图1所示。LSSBC系统的主要参与角色是Co.、Mfrs.、RI、Co.表示使用安全产品的公司，他们是LSSBC系统的数据来源；Mfrs.表示安全产品的制造商、服务商，他们在提供安全产品的同时也需要搜集、调用日志数据，所以既是数据提供者，也是数据使用者；RI表示科研机构，是LSBC链的主要调用者、数据使用者。LSBC链只存储Co.以及Mfrs.的日志索引信息，而将具体日志数据存储在各自服务器或协商的第三方云存储中，在调用时再通过LSBC链进行索引及申请使用。

LSBC链基础架构包括应用层、合约层、激励层、共识层、网络层和数据层，其架构如图2所示。

（1）数据层。数据层存储着安全日志文件的摘要及对应日志文件在云存储的具体位置信息，定义这类信息为元数据M，元数据在一定时间内被整合为块并通过链式结构存储在LSBC中。系统在创建创世区块后，由各个网络节点整合元数据，并生成元数据，经过竞争获取元数据的记录资格，认证后的元数据块加入到主链中，形成数据块并永久保存在LSBC中。

（2）网络层。网络层旨在实现网络节点中数据的通信，采用P2P方式。在P2P网络中各节点地位相同，都有资格收集元数据并产生区块，节点创造区块后进行广播，受到广播的节点会对节点进行验证，在验证通过后进行进一步转发。

（3）共识层。共识层用来解决网络节点的共识问题，通过工作量证明（Proof of Work，PoW）的方式保持节点一致性。基本思路是通过设置哈希求解问题获取区块链记录的权力，节点通过进行SHA256求解获取符合要求的值，第一个获得该值的矿工在得到多数节点验证通过后即可将区块记录在主链上，并获得一定收益，以此实现节点的共识。

（4）激励层。激励层通过激励方案维持系统正常运作。在LSBC运作过程中，Co.作为主要的资源提供方，作为奖励在其提供资源的同时给出奖励，以此用来换取Mfrs.及RI的安全服务及分析报告；Mfrs.一方面提供资源，另一方面与RI作为主要计算节点为LSBC运作提供算力支持，以此换取资源的使用权力。

（5）合约层。LSBC合约层继承比特币的脚本代码及支撑算法，一次支持基本的交易便利及安全保障。

（6）应用层。主要实现日志处理，并将元数据及数据文件分别发布在LSBC及云存储中。另一方面还包括日志的共享设计。

3 LSSBC系统运行

在LSSBC系统中，主要实现了安全日志的链上发布、云存储及数据共享。所涉及的主要符号及含义在表1中说明。

3.1 安全日志数据处理

日志文件所有权属于Co.和Mfrs.中的相關部门，User作为相关部门的日志负责人，负责将日志原始数据metadata上传给公司的LSBC负责人Publisher。Publisher在收到日志文件后，对日志文件进行脱敏生成D-data，D-data将在User确认反馈信息后进行云存储。Publisher在生成D-data后将生成摘要文件Digest，Digest是LSBC链上的主要信息，也是Requester筛选所需内容的数据来源。具体步骤如下：

UserPublisher： metadata

Publisher： metadataD-data用于云存储

D-dataDigest（D-data）用于链上发布

Publisher在进行数据处理后，需要将处理后的数据反馈给User，User确认信息无误后才可以进行链上发布及链下存储，首先，Publisher生成脱敏数据的哈希Hash（D-data），然后将D-data、Digest（D-data）、Hash（D-data）进行签名，最后再将明文、明文摘要、明文哈希值，以及明文、明文摘要、明文哈希值的签名用对称密钥k进行加密，同时将对称密钥用User的公钥进行加密，发送给User。具体步骤如下：

PublisherUser：{Enck（D-data||Digest（D-data）||Hash（D-data）||SignSK（D-data||Digest（D-data）||Hash（D-data）））||EncPK（k）}

3.2 安全日志存储及发布

Publisher在对日志进行脱敏处理后，需要User对信息进行核对，确认无误后进行云存储，并获取存储地址，发布到LSBC链上。在核对信息时，User首先用自己的私钥解密对称密钥k，然后用对称密钥k解密出Publisher的签名，对签名进行验证，最后对Hash进行验证，若一致则数据有效，同意发布。具体步骤如下：

首先，User用自己的私钥解密Publisher发送的脱敏数据，获得签名信息：

User：{Enck（D-data||Digest（D-data）||Hash（D-data）||SignSK（D-data||Digest（D-data）||Hash（D-data）））||EncPK（k）}+SKUser SignSK（D-data||Digest（D-data）||Hash（D-data））

然后用PKPublisher验证Sign，

If签名正确

用D-data验证Hash（D-data），

If一致

UserPublisher：同意发布

Else

UserPublisher：不同意发布

Else

UserPublisher：不同意发布

当Publisher接到User反馈的信息是同意发布时，Publisher将获取资源存储位置，将日志摘要、哈希、签名信息以及日志存储位置广播到LSBC链上。该步骤可表示为：

PublisherLSBC：{Digest（D-data）||Hash（D-data）||SignSK（Digest（D-data）||Hash（D-data））||URI}

3.3 安全日志共享

User是日志数据的所有者，数据经处理经过发布在LSBC链上后，User拥有数据的访问控制权限。Requester在LSBC链上会检索所需信息，并对信息使用权进行申请。User在收到请求后，会进行权限、时效操作。User在授权时，首先将资源位置URI、资源权限以及请求者Requester的公钥进行签名，然后设定可用时效，将对称密钥k用Requester的公钥进行加密，最后广播到LSBC链上。步骤如下：

Requester：Request

UserLSBC链：{URI||permission||PKRequester||Time||Sign（URI||permission||PKRequester）||EncPK （k）}

4 安全性分析

4.1 日志防篡改

LSSBC系统的主要日志存储机制是区块链技术和云存储技术的结合，将Co.与Mfrs.的日志文件存储在LSBC链与云存储环境中，可以有效防止日志删除、篡改攻击，在本地日志系统收到攻击时，LSSBC系统可以作为备份数据库，避免数据丢失带来的损失。LSBC链上的信息公开且不可篡改，根据底层区块链机制，可抵御全网一半以下的算力攻击。

4.2 身份及數据隐私保护

LSSBC系统的隐私保护机制主要分为身份隐私保护和数据隐私保护两方面。LSBC链上Publisher、User、Requester身份都采用公钥地址PK代替，通讯双方无法获取对方真实公司、人员信息。本文中日志文件在进行云存储和链上发布前都会进行脱敏，由Publisher将与公司保密有关的信息进行隐藏，对于脱敏后的数据仍需要User做最后确认方可进行后续步骤。身份和数据隐私保护机制，可以有效防止恶意用户调用日志信息进行针对性攻击。

4.3 安全共享和追溯

日志共享是LSBC链的主要功能，在共享过程中，对通讯双方进行匿名以保证双方的隐私安全。请求由Requester发出，User在接到请求后将进行授权，Permission和Time用来实现对Requester的授权操作和时效限制，保证被授权者不能进行超过权限的操作，同时在超出时效后撤销Permission。日志文件经过脱敏处理对外发布，LSBC链会记录每一个日志文件的发布和调用请求。在日志文件出现脱敏异常、数据有误的情况下可以利用区块链机制进行溯源，查询使用记录。

4.4 LSSBC系统安全性比较

三层日志服务器保护方案是对重要日志文件进行保护的一种新方案。该方案将日志服务器的保护分为三层：第一层是远程日志终端，用来备份日志文件；第二层是伪装传输协议，通过UDP、IP、Ethernet协议头实现传输的隐藏；第三层是对日志服务器进行蜜罐保护。将三层日志服务器保护方案和LSSBC系统进行对比，如表2所示，可以得出LSSBC系统在日志保护和扩展性上都具有更好的性能。

5 结束语

本文研究一种基于区块链的安全日志存储及分享系统。该系统相比于传统日志存储形式，有隐私性强、可控性高、数据分享安全便捷的优点。系统的核心在于LSBC链的设计，LSBC链底层机制基于区块链，效率还有待提高，共识算法及激励机制还有改进的可能。系统是日志文件安全共享的一种新方式，在隐私保护的基础上共享日志文件能加快安全行业研究，促进发展。

致谢：

对中国科学院网络测评技术重点实验室在论文写作过程中给予的支持表示感谢。

基金项目：

1. 中国科学院网络测评技术重点实验室资助；

2. 国家自然科学基金资助项目（项目编号：61540020）。

参考文献

[1] 黄旭鹏，钟平.校园网部署虚拟蜜罐的关键点研究[J].现代计算机（专业版），2018（05）：73-77+82.

[2] 银伟，雷琪，韩笑，徐军，金志文，银霞.蜜罐技术研究进展[J].网络安全技术与应用，2018（01）：20-26.

[3] 杨德全，刘卫民，俞宙.基于蜜罐的主动防御应用研究[J].网络与信息安全学报，2018，4（01）：57-62+78.

[4] 贾召鹏，方滨兴，崔翔，刘奇旭.ArkHoney：基于协同机制的Web蜜罐[J].计算机学报，2018，41（02）：413-425.

[5] 蒋贤维.蜜罐系统中的日志应用及保护[J].无线互联科技，2013（11）：151-152.

[6] 覃应接. 网络日志管理与分析技术研究与实现[D].北京交通大学，2015.

[7] Youn P， Samuel J. Non-deterministic audit log protection： U.S. Patent 8，819，067[P]. 2014-8-26.

[8] 章峰，史博轩，蒋文保.区块链关键技术及应用研究综述[J].网络与信息安全学报，2018，4（04）：22-29.

[9] 梅颖.安全存储医疗记录的区块链方法研究[J].江西师范大学学报（自然科学版），2017，41（05）：484-490.

[10] 吴振铨，梁宇辉，康嘉文，余荣，何昭水.基于联盟区块链的智能电网数据安全存储与共享系统[J].计算机应用，2017，37（10）：2742-2747.

[11] Tian F. An agri-food supply chain traceability system for China based on RFID & blockchain technology[C]//Service Systems and Service Management （ICSSSM）， 2016 13th International Conference on. IEEE， 2016： 1-6.

[12] Xia Q， Sifah E B， Asamoah K O， et al. MeDShare： Trust-less medical data sharing among cloud service providers via blockchain[J]. IEEE Access， 2017， 5： 14757-14767.