CN104811415A

CN104811415A - 分布式扫描系统负载均衡方法及装置

Info

Publication number: CN104811415A
Application number: CN201410032006.7A
Authority: CN
Inventors: 王争荣
Original assignee: Hangzhou DPTech Technologies Co Ltd
Current assignee: Hangzhou DPTech Technologies Co Ltd
Priority date: 2014-01-23
Filing date: 2014-01-23
Publication date: 2015-07-29
Anticipated expiration: 2034-01-23
Also published as: CN104811415B

Abstract

本发明提供一种分布式扫描系统负载均衡的装置及方法，应用于分布式扫描系统中的控制节点上，所述控制节点用于调度并下发扫描任务给分布式扫描系统中的扫描节点，包括：在下发扫描任务时，确定分布式扫描系统的任务调度方式，其中，所述任务调度方式包括静态调度方式和动态调度方式；在分布式扫描系统确定为静态调度方式时，根据负载均衡原则，一次性下发扫描任务给对应扫描节点；在分布式扫描系统确定为动态调度方式时，根据负载均衡原则，每次为单个扫描节点下发部分扫描任务，在接收到扫描节点的任务完成报告后，为该扫描节点下发新的扫描任务，直至所有扫描任务下发完成。本发明能够有效提升分布式扫描系统的资源利用率，提高系统的扫描效率。

Description

分布式扫描系统负载均衡方法及装置

技术领域

本发明涉及网络安全技术领域，尤其涉及一种分布式扫描系统负载均衡的方法及装置。

背景技术

伴随着互联网的快速发展，人们对网络安全的要求也越来越高。网络信息安全的目标在于保护信息完整性、保密性、以及为合法用户提供应有的服务。但是由于网络协议设计和实现本身的一些不完善的因素以及系统本身存在的脆弱性和安全漏洞，使互联网入侵事件层出不穷，愈演愈烈。

网络安全策略可以从两个方面考虑：一方面，从研究者和信息保护者的角度考虑，例如身份认证、访问控制、加密/解密等方法，构筑一个坚固的防护屏障，将各种信息置于保护屏障之后；另一方面，从入侵者的角度来考虑，要求我们模仿入侵者的常用手段攻击目标系统，按照他们的思路和目标全面了解系统的各种脆弱点，并采用相应的补救措施解决系统中存在的这些漏洞。

分布式扫描系统就是针对系统漏洞而设计的漏洞扫描系统。目前的分布式扫描系统在任务下发时，根据目标主机的数量平均分配到各个扫描节点，即每个扫描节点负责扫描的主机数量基本相同，这种分配方式为一次性分配方式，所有任务下发后，等待扫描任务完成，中途无法根据扫描情况对尚未启动的任务进行调整。

发明内容

有鉴于此，本发明提供一种分布式扫描系统负载均衡的装置，应用于分布式扫描系统中的控制节点上，所述控制节点用于调度并下发扫描任务给分布式扫描系统中的扫描节点，其特征在于，该装置包括：

方式选择单元，用于在下发扫描任务时，确定分布式扫描系统的任务调度方式，其中，所述任务调度方式包括静态调度方式和动态调度方式；

静态调度单元，用于在分布式扫描系统确定为静态调度方式时，根据负载均衡原则，一次性下发扫描任务给对应扫描节点；

动态调度单元，用于在分布式扫描系统确定为动态调度方式时，根据负载均衡原则，每次为单个扫描节点下发部分扫描任务，在接收到扫描节点的任务完成报告后，为该扫描节点下发新的扫描任务，直至所有扫描任务下发完成。

本发明还提供一种分布式扫描系统负载均衡的方法，应用于分布式扫描系统中的控制节点上，所述控制节点用于调度并下发扫描任务给分布式扫描系统中的扫描节点，其特征在于，该方法包括以下步骤：

步骤A，在下发扫描任务时，确定分布式扫描系统的任务调度方式，其中，所述任务调度方式包括静态调度方式和动态调度方式；

步骤B，在分布式扫描系统确定为静态调度方式时，根据负载均衡原则，一次性下发扫描任务给对应扫描节点；

步骤C，在分布式扫描系统确定为动态调度方式时，根据负载均衡原则，每次为单个扫描节点下发部分扫描任务，在接收到扫描节点的任务完成报告后，为该扫描节点下发新的扫描任务，直至所有扫描任务下发完成。

本发明能够有效提升分布式扫描系统的资源利用率，提高系统的扫描效率。

附图说明

图1是本发明一种实施方式中分布式扫描系统负载均衡装置的逻辑结构及其基础硬件环境的示意图。

图2是本发明一种实施方式中分布式扫描系统负载均衡方法的流程图。

图3是本发明一种实施方式中分布式扫描系统节点分布图。

具体实施方式

以下结合附图对本发明进行详细描述。

在一种较佳的实施方式中，本发明提供一种基于软件实施方式实现的分布式扫描系统负载均衡的装置，该装置应用在分布式扫描系统的控制节点上，本发明并不排除诸如硬件或者逻辑器件等其他实现方式。如图1所示，该控制节点通常包括CPU、内存、非易失性存储器以及其他硬件。该分布式扫描系统负载均衡的装置作为一个逻辑层面的虚拟装置，其通过CPU运行对应的计算机程序实现，该装置包括方式选择单元、静态调度单元以及动态调度单元。请参考图2，该装置的使用和运行过程包括以下步骤。

步骤101，方式选择单元在下发扫描任务时，确定分布式扫描系统的任务调度方式，其中，所述任务调度方式包括静态调度方式和动态调度方式；

步骤102，静态调度单元在分布式扫描系统确定为静态调度方式时，根据负载均衡原则，一次性下发扫描任务给对应扫描节点；

步骤103，动态调度单元在分布式扫描系统确定为动态调度方式时，根据负载均衡原则，每次为单个扫描节点下发部分扫描任务，在接收到扫描节点的任务完成报告后，为该扫描节点下发新的扫描任务，直至所有扫描任务下发完成。

分布式扫描系统包括控制节点和扫描节点，控制节点用于调度并下发扫描任务给扫描节点，扫描节点负责执行具体的扫描任务。控制节点在下发扫描任务时，可选择静态调度方式，也可选择动态调度方式。静态调度方式主要适用于对扫描节点性能、目标网络配置非常熟悉的情况下，一次性将所有扫描任务下发给各个扫描节点，这种方式对用户要求比较高，分配合理可大大提高扫描效率。动态调度方式适用于大多数场合，尤其是节点多分布广，目标网络变化频繁，难以一次性分配资源，需要不断动态调整的情况下。在动态调度方式下，控制节点每次为扫描节点下发部分扫描任务，当扫描任务完成后，扫描节点向控制节点反馈扫描任务完成信息，控制节点接收到该信息后，为该扫描节点下发新的扫描任务，直至所有扫描任务下发完成。而现有分布式扫描系统在任务下发时只考虑了目标主机的数量，而没有考虑到目标主机性能的区别，以及不同扫描节点对相同目标主机的扫描速度不同。因此，在面对复杂的网络环境时，不能充分发挥扫描系统的性能，扫描效率不高。

在上述任务调度方式中，无论是静态调度方式，还是动态调度方式，均可以遵循负载均衡原则，以便充分利用系统资源，提高系统的扫描效率。在本发明中，优选地，负载均衡原则包括就近原则、能者多劳原则以及权重原则。就近原则通常是指根据目标网络响应扫描节点的延时，将延时最小的目标网络的扫描任务下发给该扫描节点。能者多劳原则通常是指为根据扫描节点性能，将与其性能最匹配的目标网络的扫描任务下发该扫描节点。权重原则为综合考虑就近原则与能者多劳原则，通过为不同原则配置对应的权重系数，根据计算结果下发扫描任务给扫描节点。

以下将结合具体实施例，详细介绍负载均衡原则。

请参考图3，图示分布式扫描系统包括一个控制节点以及三个扫描节点，分别为扫描节点1、扫描节点2、扫描节点3，其中，控制节点用于将目标网络的扫描任务下发给各扫描节点，扫描节点负责执行对应目标网络的扫描任务。在控制节点下发扫描任务之前，分布式扫描系统可以先自动完成对目标网络的划分、探测主机数、各扫描节点性能以及目标网络与各扫描节点间的响应延时等参数，当然用户也可手动录入上述各参数。

在就近分配原则中，控制节点根据目标网络对扫描节点的响应延时，将目标网络的扫描任务下发给最近的扫描节点，即延时时间最短的扫描节点。现以下表为例。

	目标网络1	目标网络2	目标网络3
				扫描节点1	0.5ms	100ms	300ms
扫描节点2	500ms	500ms	200ms
				扫描节点3	300ms	30ms	500ms

表1

表1为目标网络与扫描节点的响应延时表。由表可见，目标网络1与扫描节点1、扫描节点2以及扫描节点3的响应延时时间分别为0.5ms、500ms、300ms，目标网络1与扫描节点1的响应速度最快，因此，将目标网络1的扫描任务下发给扫描节点1。以此类推，可得出，目标网络2的扫描任务下发给扫描节点3，目标网络3的扫描任务下发给扫描节点2。

在能者多劳原则中，控制节点根据扫描节点的性能，将与之性能最匹配的目标网络的扫描任务下发给该扫描节点。所述扫描节点性能为扫描节点每秒钟扫描的主机数量。现以下表为例。

	性能（单位：台/秒）
		扫描节点1	50
扫描节点2	100
		扫描节点3	150
	主机数（单位：台）
		目标网络1	20
目标网络2	200
		目标网络3	50

表2

表2为扫描节点性能以及目标网络主机数对照表。由表可见，扫描节点1的性能最弱，则将主机数最少的目标网络1的扫描任务下发给扫描节点1。扫描节点3的性能最强，则将主机数最多的目标网络2的扫描任务下发给扫描节点3。扫描节点2的性能居中，将扫描节点3的扫描任务下发给扫描节点2。

在权重原则中，综合考虑就近原则和能者多劳原则，通过配置不同的权重，合理下发扫描任务。该权重原则的详细计算过程如下：

步骤一：

L_{m_n}=100*T_{m_n}/(T_{1_n}+T_{2_n}+…+T_{x_n})

其中，

x为扫描节点总数量；

m为扫描节点编号；

n为目标网络编号；

T_{m_n}为扫描节点m到目标网络n的响应延时；

L_{m_n}为扫描节点m到目标网络n的就近原则得分。

说明：通过此公式计算出扫描节点m到目标网络n的就近原则得分，此值越小，则扫描节点与目标网络的响应速度越快。

步骤二：

F_m=100*P_m/(P₁+P₂+...+P_x)

N_n=100*C_n/(C₁+C₂+...+C_y)

F_{m_n}=|(F_m/N_n)-1|

F_{sum_n}=F_{1_n}+F_{2_n}+...+F_{x_n}

F_{m_sum}=F_{m_1}+F_{m_2}+...+F_{m_y}

静态调度方式：Q_{m_n}=100*F_{m_n}/F_{sum_n}

动态调度方式：Q_{m_n}=100*F_{m_n}/F _{m_sum}

其中，

x为扫描节点总数量；

y为目标网络总数量；

m为扫描节点编号；

n为目标网络编号；

P_m为扫描节点m的性能；

F_m为扫描节点m的性能得分；

C_n为目标网络n的主机数量；

N_n为目标网络n的主机数量得分；

F_{m_n}为扫描节点m对目标网络n的性能绝对得分；

F_{sum_n}为所有扫描节点对目标网络n的性能绝对得分的总和；

F_{m_sum}为扫描节点m对所有目标网络性能绝对得分的总和；

Q_{m_n}为扫描节点m对目标网络n的性能相对得分。

说明：在此计算过程中，静态调度方式与动态调度方式是不同的，这是由于静态调度方式关心的是给当前目标网络分配一个最合适的扫描节点，而动态调度方式关心的是给当前扫描节点分配一个合适的目标网络。同样，Q_{m_n}值越小，则目标网络与扫描节点性能的匹配程度越高。

步骤三：

S_{m_n}=W_l*L_{m_n}+W_q*Q_{m_n}

其中，

m为扫描节点编号；

n为目标网络编号；

L_{m_n}为扫描节点m到目标网络n的就近原则得分；

Q_{m_n}为扫描节点m对目标网络n的性能相对得分；

W_l为就近原则权重值；

W_q为能者多劳原则权重值；

S_{m_n}为扫描节点m相对于目标网络n的综合得分。

说明：S_{m_n}值越小，则扫描节点m与目标网络n的综合匹配度越高。

通过上述计算过程，可以看出，静态调度方式和动态调度方式的侧重点是不同的。静态调度方式是以目标网络为中心，为目标网络分配合适的扫描节点，每一次计算都是针对未分配的扫描节点，已分配的扫描节点不再参与运算。动态调度方式是以扫描节点为中心，未扫描节点分配合适的目标网络，每一次计算只针对未分配的目标网络，已分配的目标网络不再参与运算。

请参考图3，同时以表1和表2为例。在静态调度方式下，例如，就近原则权重值为0.60，能者多劳权重值为0.40，则根据权重原则计算公式，首先，为目标网络1分配扫描节点，计算出S_{1_1}、S_{2_1}、S_{3_1}分别为7.17、44.98、47.85，因此，将扫描节点1分配给目标网络1；由于扫描节点1已被分配，因此在为目标网络2分配扫描节点时，扫描节点1不再参与计算，则计算可得S_{2_2}、S_{3_2}分别为51.75、13.72，因此，将扫描节点3分配给目标网络2；以此类推，扫描节点2分配给目标网络3。

在动态调度方式下，例如，就近原则权重值为0.30，能者多劳权重值为0.70，则根据权重原则计算公式，首先，为扫描节点1分配目标网络，计算出S_{1_1}、S_{1_2}、S_{1_3}分别为17.69、22.05、22.41，则将目标网络1分配给扫描节点1；由于目标网络1已被分配，因此在为扫描节点2分配目标网络时，目标网络1不再参与计算，则计算可得S_{2_2}、S_{2_3}分别为67.78、31.78，因此，将目标网络3分配给扫描节点2；以此类推，目标网络2分配给扫描节点3。

在本发明中，所有负载均衡原则并不是只能单独使用，可以通过相互配合，达到最佳的负载均衡效果。例如，在静态调度方式下，若选择就近原则，则可能出现多个目标网络都与某一个扫描节点响应最快，造成该扫描节点扫描任务重，而其他扫描节点空闲，因此，可通过手动配置将目标网络的扫描任务分配给其他扫描节点。在动态调度方式下，同样可以配置就近原则优先、能者多劳原则优先或权重原则优先。

本实例相对简化了分配过程，扫描节点与目标网络恰好一对一，且分配最小单位为一个目标网络。在实际应用中，网络环境复杂，但基本的分配原则不变，一个扫描节点可能被分配到多个目标网络，一个大的目标网络也可拆分成若干个小的子目标网络进行分配。总之，通过本发明的负载均衡方式，使得扫描任务分配更加灵活，有效提升了分布式扫描系统的资源利用率，提高系统的扫描效率。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims

1.一种分布式扫描系统负载均衡的装置，应用于分布式扫描系统中的控制节点上，所述控制节点用于调度并下发扫描任务给分布式扫描系统中的扫描节点，其特征在于，该装置包括：

2.如权利要求1所述的装置，其特征在于：

所述负载均衡原则为根据目标网络响应扫描节点的延时以及扫描节点性能，采用就近原则、能者多劳原则或权重原则进行任务调度;

所述就近原则为将响应扫描节点延时最小的目标网络的扫描任务下发给该扫描节点；

所述能者多劳原则为根据扫描节点性能下发相应扫描任务给该扫描节点；

所述权重原则为将所述就近原则和能者多劳原则进行加权处理，将扫描任务下发给对应的扫描节点。

3.如权利要求2所述的装置，其特征在于：

所述权重原则的算法为：

S_{m_n}=W_l*L_{m_n}+W_q*Q_{m_n}

其中，

m为扫描节点编号；

n为目标网络编号；

L_{m_n}为扫描节点m到目标网络n的就近原则得分；

Q_{m_n}为扫描节点m对目标网络n的性能相对得分；

W_l为就近原则权重值；

W_q为能者多劳原则权重值；

S_{m_n}为扫描节点m相对于目标网络n的综合得分。

4.如权利要求3所述的装置，其特征在于：

所述权重原则算法中的L_{m_n}计算过程为：

L_{m_n}=100*T_{m_n}/(T_{1_n}+T_{2_n}+…+T_{x_n})

其中，

x为扫描节点总数量；

m为扫描节点编号；

n为目标网络编号；

T_{m_n}为扫描节点m到目标网络n的响应延时；

L_{m_n}为扫描节点m到目标网络n的就近原则得分。

5.如权利要求3所述的装置，其特征在于：

所述权重原则算法中的Q_{m_n}计算过程为：

F_m=100*P_m/(P₁+P₂+...+P_x)

N_n=100*C_n/(C₁+C₂+...+C_y)

F_{m_n}=|(F_m/N_n)-1|

F_{sum_n}=F_{1_n}+F_{2_n}+...+F_{x_n}

F_{m_sum}=F_{m_1}+F_{m_2}+...+F_{m_y}

静态调度方式：Q_{m_n}=100*F_{m_n}/F_{sum_n}

动态调度方式：Q_{m_n}=100*F_{m_n}/F _{m_sum}

其中，

x为扫描节点总数量；

y为目标网络总数量；

m为扫描节点编号；

n为目标网络编号；

P_m为扫描节点m的性能；

F_m为扫描节点m的性能得分；

C_n为目标网络n的主机数量；

N_n为目标网络n的主机数量得分；

F_{m_n}为扫描节点m对目标网络n的性能绝对得分；

F_{sum_n}为所有扫描节点对目标网络n的性能绝对得分的总和；

F_{m_sum}为扫描节点m对所有目标网络性能绝对得分的总和；

Q_{m_n}为扫描节点m对目标网络n的性能相对得分。

6.一种分布式扫描系统负载均衡的方法，应用于分布式扫描系统中的控制节点上，所述控制节点用于调度并下发扫描任务给分布式扫描系统中的扫描节点，其特征在于，该方法包括以下步骤：

7.如权利要求6所述的方法，其特征在于：

8.如权利要求7所述的方法，其特征在于：

所述权重原则的算法为：

S_{m_n}=W_l*L_{m_n}+W_q*Q_{m_n}

其中，

m为扫描节点编号；

n为目标网络编号；

L_{m_n}为扫描节点m到目标网络n的就近原则得分；Q_{m_n}为扫描节点m对目标网络n的性能相对得分；W_l为就近原则权重值；

W_q为能者多劳原则权重值；

S_{m_n}为扫描节点m相对于目标网络n的综合得分。

9.如权利要求8所述的方法，其特征在于：

所述权重原则算法中的L_{m_n}计算过程为：

L_{m_n}=100*T_{m_n}/(T_{1_n}+T_{2_n}+…+T_{x_n})

其中，

x为扫描节点总数量；

m为扫描节点编号；

n为目标网络编号；

T_{m_n}为扫描节点m到目标网络n的响应延时；

L_{m_n}为扫描节点m到目标网络n的就近原则得分。

10.如权利要求8所述的方法，其特征在于：

所述权重原则算法中的Q_{m_n}计算过程为：

F_m=100*P_m/(P₁+P₂+...+P_x)

N_n=100*C_n/(C₁+C₂+...+C_y)

F_{m_n}=|(F_m/N_n)-1|

F_{sum_n}=F_{1_n}+F_{2_n}+...+F_{x_n}

F_{m_sum}=F_{m_1}+F_{m_}2+...+F_{m_y}

静态调度方式：Q_{m_n}=100*F_{m_n}/F_{sum_n}

动态调度方式：Q_{m_n}=100*F_{m_n}/F _{m_sum}

其中，

x为扫描节点总数量；

y为目标网络总数量；

m为扫描节点编号；

n为目标网络编号；

P_m为扫描节点m的性能；

F_m为扫描节点m的性能得分；

C_n为目标网络n的主机数量；

N_n为目标网络n的主机数量得分；

F_{m_n}为扫描节点m对目标网络n的性能绝对得分；

F_{sum_n}为所有扫描节点对目标网络n的性能绝对得分的总和；F_{m_sum}为扫描节点m对所有目标网络性能绝对得分的总和；Q_{m_n}为扫描节点m对目标网络n的性能相对得分。