可信是在传统网络安全的基础上的拓展:安全是外在的表现形式，可信则是进行行为过程分析所得到的可度量的一种属性。如何构建高效分析刻画网络和用户行为的可信模型是理解和研究可信网络的关键。这是目前网络安全研究领域的一个新共识。构建网络和用户的可信模型的重要性体现于:它只准确而抽象地说明了系统的可信需求却不涉及到其他相关实现细节，这使得我们能通过数学模型分析方法去发现系统在安全上的漏洞。可信模型同时也是系统进行研发的关键步骤，在美国的“可信计算机系统的评价标准(TCSEC)”中，从B级阶段就需要对全模型进行形式化描述和验证，以及形式化的隐通道分析等。我们还需要可信模型的形式化描述、验证和利用能够提高网络系统安全的可信度。最后，构建理论来说明网络的脆弱性评估和用户遭受攻击行为描述等的可信评估，这是实现系统可信监测、预测和干预的前提，是可信网络研究的理论所有基础。完全安全的网络系统目前还无法实现，因此网络脆弱性评估的最终目的不是完全消除脆弱性，而是找到一个解决方案，让系统管理员在“提供服务”和“保证安全”之间找到平衡，主动检测在攻击发生之前，如建立攻击行为的设定描述，通过在用户中区分隐藏的威胁，以可信评估为基础上进行主机的接入控制。传统检测多为以规则为基础的局部检测，它很难进行整体检测。但我们现有的脆弱性评估工具却绝大多数都是传统基于规则的检测工具，顶多对单一的主机的多种服务进行简陋的检查，对多终端构建的网络进行有效评估还只能依靠大量人力。以模型为基础的模式为整个系统建立一个模型，通过模型可取得系统所有可能发生的行为和状态，利用模型分析工具测试，对整个系统的可信性评估。图2说明了可信性分析的元素。网络行为的信任评估包括行为和身份的信任，而行为可信又建立在防护能力、信任推荐、行为记录、服务能力等基础之上。

　　（二）可信网络的体系结构

　　互联网因技术和理论的不足在建立时无法考量其安全周全，这是网络脆弱性的一个重要产生因素。但是如今很多网络安全设计却常常忽略网络体系的核心内容，大多是单一的防御、单一的信息安全和补丁补充机制，遵从“堵漏洞、作高墙、防外攻”的建设样式，通过共享信息资源为中心把非法侵入者拒之门外，被动的达到防止外部攻击的目的。在技术日渐复杂多元的情况下，冗长的单一防御技术让系统规模庞大，却降低了网络性能，甚至破坏了系统设计的开放性、简单性的原则。因此这些被动防御的网络安全是不可信的，所以从结构设计的角度减少系统脆弱性且提供系统的安全服务特别重要。尽管在开放式系统互连参考模型的扩展部分增加了有关安全体系结构的描述，但那只是不完善的概念性框架。网络安全不再只是信息的可用性、机密性和完整性，服务的安全作为一个整体属性被用户所需求，因此研究人员在重新设计网络体系时需考虑从整合多种安全技术并使其在多个层面上相互协同运作。传统的补丁而补充到网络系统上的安全机制已经因为单个安全技术或者安全产品的功能和性能使得它有着极大地局限性，它只能满足单一的需求而不是整体需求，这使得安全系统无法防御多种类的不同攻击，严重威胁这些防御设施功效的发挥。如入侵检测不能对抗电脑病毒，防火墙对术马攻击也无法防范。因为如此，网络安全研究的方向开始从被动防御转向了主动防御，不再只是对信息外围的非法封堵，更需要从访问源端就进行安全分析，尽量将不信任的访问操作控制在源端达到攻击前的防范。因此我们非常需要为网络提供可信的体系结构，从被动转向主动，单一转向整体。可信网络结构研究必须充分认识到网络的复杂异构性，从系统的角度确保安全服务的一致性。新体系结构如图3所示，监控信息(分发和监测)以及业务数据的传输通过相同的物理链路，控制信息路径和数据路径相互独立，这样监控信息路径的管理不再只依赖于数据平面对路径的配置管理，从而可以建立高可靠的控制路径。其形成的强烈对比是对现有网络的控制和管理信息的传输，必须依赖由协议事先成功设置的传输路径。

　　（三）服务的可生存性

　　可生存性在特定领域中是一种资源调度问题，也就是通过合理地调度策略来进行服务关联的冗余资源设计，通过实时监测机制来监视调控这些资源的性能、机密性、完整性等。但网络系统的脆弱性、客观存在的破坏行为和人为的失误，在网络系统基础性作用逐渐增强的现实，确保网络的可生存性就有着重要的现实意义。由于当时技术与理论的不足，使得网络存在着脆弱性表现在设计、实现、运行管理的各个环节。网络上的计算机需要提供某些服务才能与其他计算机相互通信，其脆弱性在复杂的系统中更加体现出来。除了人为疏忽的编程错误，其脆弱性还应该包含网络节点的服务失误和软件的不当使用和网络协议的缺陷。协议定义了网络上计算机会话和通信的规则，若协议本身就有问题，无论实现该协议的方法多么完美，它都存在漏洞。安全服务是网络系统的关键服务，它的某个部分失去效用就代表系统会更加危险，就会导致更多服务的失控甚至是系统自身瘫痪。因此必须将这些关键服务的失效控制在用户许可的范围内。可生存性的研究必须在独立于具体破坏行为的可生存性的基本特征上进行理论拓展，提升系统的容错率来减少系统脆弱性，将失控的系统控制在可接受范围内，通过容侵设计使脆弱性被非法入侵者侵入时，尽可能减少破坏带来的影响，替恢复的可能性创造机会。