SLAVUL：一种集成云SLA安全知识与漏洞情报的新型本体驱动方法

《Symmetry》：SLAVUL: A Novel Ontology-Driven Approach for Integrating Cloud SLA Security Knowledge and Vulnerability Intelligence

　　

云服务等级协议（SLA）定义了安全义务、修复承诺以及云服务提供商与客户之间的合规要求。SLA定义了服务提供商与用户之间的性能标准和期望，因此是云计算中的关键要素。然而，SLA文档通常以非结构化自然语言表示，缺乏与运维漏洞管理流程的语义集成。同时，云安全平台持续生成包含安全发现、严重性等级和修复信息的漏洞情报。SLA定义的安全义务与漏洞情报之间缺乏语义互操作性，限制了云环境中的自动化安全治理、合规评估和漏洞管理。为解决这些挑战，本研究提出了一种集成语义方法，能够在统一本体模型中实现SLA衍生安全知识与云漏洞情报的表示、集成和推理。所提出的解决方案结合了从SLA文档自动获取知识、开发SLA安全本体和漏洞本体、本体对齐技术以及基于语义网规则语言（SWRL）的推理机制，以支持自动化漏洞管理、修复承诺分配和一致性验证。此外，使用真实世界的SLA文档和漏洞信息对所提方法进行了评估。实验结果表明，所开发的推理机制成功识别了73%评估SLA案例中的逻辑不一致性。进一步分析显示，未检测到的案例对应于合同上不正确但逻辑一致的结果，突显了人工验证在本体驱动的安全管理中的补充作用。因此，该研究表明本体工程和基于规则的语义推理可以有效弥合合同安全义务与运维漏洞情报之间的差距。因此，所提方法为自动化漏洞管理、SLA合规评估和语义感知的云安全治理奠定了基础。

**研究背景与问题**
随着云计算成为现代数字基础设施的核心范式，安全管理的复杂性日益增加。云服务等级协议（SLA）是定义云服务提供商（CSP）与云服务用户（CSU）之间安全义务、修复承诺和合规要求的合同机制，但SLA文档通常以非结构化自然语言表示，缺乏与运维漏洞管理流程的语义集成。同时，云安全平台持续生成包含安全发现、严重性等级和修复建议的漏洞情报，然而这些信息与SLA定义的安全义务之间缺乏语义互操作性，限制了自动化安全治理、合规评估和漏洞管理。现有研究主要聚焦于SLA建模或漏洞表示的独立领域，未能建立合同安全义务与运维漏洞信息之间的语义关系，也缺乏自动化的漏洞–SLA对齐和逻辑一致性检测机制。为填补这一空白，研究人员开展了这项研究，旨在通过本体工程和基于规则的语义推理，实现SLA安全知识与漏洞情报的集成。该论文发表在《Symmetry》。

**研究内容与结论**
研究人员提出了一种称为SLAVUL本体的集成语义框架，该框架结合了SLA安全本体、漏洞本体、本体对齐机制以及基于语义网规则语言（SWRL）的推理能力。通过自动知识获取、本体构建、对齐和推理，该框架实现了机器可读的安全语义、漏洞–SLA对齐、修复义务传播和逻辑不一致性检测。实验使用真实世界的SLA文档和Amazon Inspector漏洞数据，结果表明所开发的推理机制成功识别了73%评估SLA案例中的逻辑不一致性，未检测到的案例对应于合同上不正确但逻辑一致的结果，突显了人工验证的互补作用。该研究证明了本体工程和规则推理能够有效弥合合同安全义务与运维漏洞情报之间的差距，为自动化漏洞管理、SLA合规评估和语义感知的云安全治理奠定了基础。

**关键技术方法**
研究人员采用以下主要关键方法：（1）基于NLP的知识获取：使用基于DistilBERT的问答模型从SLA文档中提取安全义务、严重性等级和修复时间等结构化知识，样本来源为26个真实SLA文档（每个文档至少包含一个错误答案）；（2）SLA安全本体构建：借助spaCy库进行语义分析，自动生成包含安全活动、漏洞、严重性、修复时间等概念的本体，并显式建模语义不一致概念；（3）漏洞本体自动生成：从Amazon Inspector获取结构化漏洞发现，通过算法自动构建包含Finding、Severity、Exploitability等概念的本体；（4）本体对齐与语义集成：通过手动定义的语义对应关系和SWRL规则，将SLA安全本体与漏洞本体对齐，形成统一的SLAVUL本体；（5）SWRL推理与一致性验证：使用Pellet推理机执行规则，实现漏洞–SLA对齐、修复义务传播和逻辑不一致性检测。

**研究结果**
**结果与讨论**
实验在26个SLA文档上进行，每个文档包含至少一个错误答案。通过SWRL规则执行一致性验证，推理机制成功检测到19个文档中的逻辑不一致性，检测率为73%。未检测到的7个案例中，生成的答案在事实层面与原始SLA内容不符，但未违反本体中编码的语义约束（如严重性顺序），因此无法被规则识别。例如，一个SLA文档中高严重性漏洞的修复时间应为“5个工作日”，但模型生成了“1个工作日”，而低严重性漏洞生成“5个工作日”，虽然满足高<低的逻辑顺序，但违反了合同承诺。这一发现揭示了逻辑一致性与合同正确性之间的根本区别，表明本体驱动的验证虽能有效检测语义约束违反，但无法识别事实偏差，需结合人工验证。

**总结与讨论**
研究人员在讨论中指出，实验结果表明本体驱动的验证可作为SLA衍生安全知识的有效质量保证机制，但存在局限性：规则推理的有效性取决于编码的语义规则完整性，合同特定的不准确若不违反逻辑关系则难以自动检测。未来方向包括结合大语言模型（LLM）进行合同级语义验证，改进知识获取的鲁棒性，以及扩展本体以纳入监管合规框架。

**研究结论翻译**
本研究提出了一种本体驱动的方法，将SLA安全知识与云漏洞信息集成在统一语义模型中。该方法结合了从SLA衍生知识自动构建的SLA安全本体和从云安全评估过程获取的漏洞发现生成的漏洞本体。通过本体集成实现了机器可读的安全语义，为漏洞评估、合规监控和安全治理提供了共同语义基础。主要贡献包括：SLA安全本体与漏洞本体的语义对齐，以及基于SWRL的推理机制，实现自动化推理、修复义务对齐和一致性验证。实验表明，推理机制成功检测了73%评估SLA文档中的逻辑错误，未检测案例对应于合同错误但逻辑一致的回答。因此，该研究证明了本体工程、语义互操作性和规则推理能够有效弥合合同安全义务与运维漏洞管理之间的差距，为更智能、透明和语义感知的云安全管理系统奠定了基础。