CN105553975A - 一种用于提供网络服务的方法、装置和系统 - Google Patents

Abstract

根据本发明的方案提供了一种在网络系统中提供服务的方法，其中，所述网络系统包括至少一个异构节点，所述异构节点包含多个异构实体，其中，所述多个异构实体中的各个异构实体可提供等价服务，其中，所述方法包括：当所述异构节点接收网络服务请求时，由该异构节点包含的多个异构实体中的、处于在线状态的部分异构实体中，选择多个在线异构实体，来响应所接收到的服务请求，以使每个服务请求都对应多个响应异构实体。本发明的优点：使攻击者攻击代价成本更高，漏洞或后门难以利用；通过利用多个异构实体的冗余性，使异构节点可用性高；通过切换异构实体的在线/离线状态变化，使攻击者对攻击目标不确定，增加了系统的不可感知性。

Description

一种用于提供网络服务的方法、装置和系统

技术领域

本发明涉及计算机技术领域，尤其涉及在信息安全领域的一种提供网络服务的方法、装置和系统。

背景技术

传统网络安全防御系统可以归纳为网络周期(CyberCycle)，网络周期是指攻击者和防御者之间的博弈过程，亦即：攻击者扫描漏洞，发动攻击，防御者检测到攻击，修复系统，攻击者再扫描漏洞发动攻击，防御者再检测……这个循环过程。其产生原因是防御者的被动防御。通常攻击者常用的攻击手段有利用漏洞、木马、病毒、后门等，而防御者常用的安全技术有打补丁、加密、签名、认证等。

然而，这些安全防御技术仅仅针对特定已知的攻击有效，对潜在的漏洞或后门缺乏有效的主动防御性。现有技术中静态的网络环境使攻击者拥有足够的时间观察分析网络中关键节点，并实施攻击。由于现有网络安全防御技术静态、被动，潜在威胁漏洞和后门不可避免。

在电子信息工程领域，有采用硬件异构的方式来丰富目标电路的多样性，提高系统冗余容错能力的方式，如《基于LUT级演化硬件的三模异构冗余容错方法》、《一种基于硬件重构的拟态安全网络架构的实现系统及方法》、《基于LUT级演化硬件的三模异构冗余容错方法》等，然而通过该种方式所实现的系统仍然是静态的，对攻击者而言是透明的，达不到保护功能隐匿结构的效果，并且，通过硬件所实现的异构实体成本较高，并且对于网络环境的适应性较差。

发明内容

本发明的目的是提供一种在网络系统中提供服务的方法、装置和系统。

根据本发明的一个方面，提供了一种在网络系统中提供服务的方法，其中，所述网络系统包括至少一个异构节点，所述异构节点包含多个异构实体，其中，所述多个异构实体中的各个异构实体可提供等价服务，其中，所述方法包括以下步骤：

a当所述异构节点接收网络服务请求时，由该异构节点包含的多个异构实体中的、处于在线状态的部分异构实体中，选择多个在线异构实体，来响应所接收到的服务请求，以使每个服务请求都对应多个响应异构实体。

根据本发明的一个方面，提供了一种在网络系统中提供服务的提供装置，其中，所述网络系统包括多个节点，所述多个节点中包括至少一个异构节点，所述异构节点包含多个异构实体，其中，所述多个异构实体中的各个异构实体可提供等价服务，其中，所述提供装置包括：

选择装置，用于当所述异构节点接收网络服务请求时，由该异构节点包含的多个异构实体中的、处于在线状态的部分异构实体中，选择多个在线异构实体，来响应所接收到的服务请求，以使每个服务请求都对应多个响应异构实体。

根据本发明的一个方面，提供了一种网络系统，所异构节点所述网络系统包括至少一个异构节点，所述异构节点包含多个异构实体，所述多个异构实体中的各个异构实体可提供等价服务，其中，所述异构节点包括所述的提供装置。

与现有技术相比，本发明具有以下优点：1)通过采用异构实体的方式来实现节点功能，使攻击者攻击代价成本更高，漏洞或后门难以利用；2)通过利用多个异构实体的冗余性，使异构节点可用性高(以WEB服务器为例，通过冗余方法，使多个冗余服务器对外提供服务，即使其中一个或几个受到攻击，被破坏，未被破坏的服务仍能正常对外提供服务。除非所有的异构冗余服务都被攻击了，该服务器才会停止，所以，可用性更高了)，而对多个冗余实体的响应结果进行冗余仲裁，则保证了响应数据的完整性；3)通过切换异构实体的在线/离线状态变化，使攻击者对攻击目标不确定，阻断了漏洞或后门的利用。此外，由于冗余和动态变化带来的多样性，增加了系统的不可感知性。以Web服务为例，分别根据操作系统、服务器、网站编写脚本的不同，可以制作10个冗余异构的WEB服务，其中每个服务提供相同的服务。例如同为销售图书的网站，系统正常运行时使其中5个对外提供服务，其余5个处于离线状态，等待被调度。工作达到最大或检测到异常服务器，则通过调度命令使该Web服务器下线，恢复到初始状态，等待再次被调度上线提供WEB服务。显然，系统结构更为复杂，不可感知度更高。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：

图1示意出了根据本发明的一种网络系统的系统示意图。

图2示意出了根据本发明的一种在网络系统中提供服务的方法流程图；

图3示意出了根据本发明的一种用于在网络系统中提供服务的提供装置的结构示意图；

图4示意出了根据本发明的一个示例中的异构节点的示意图。

附图中相同或相似的附图标记代表相同或相似的部件。

具体实施方式

下面结合附图对本发明作进一步详细描述。

参照图1，图1示意出了根据本发明的一种优选实施例的网络系统。所述网络系统中包括至少一个异构节点R，所述异构节点R中包括多个异构实体r1至r4，其中，该多个异构实体中的各个异构实体可提供等价的网络服务。其中，异构实体r1至r3为在线工作状态，灰色的异构实体r4为离线状态。

优选地，参照图1所示的网络系统中还可包括可与所述异构节点R进行交互的其他网络节点E。

优选地，根据本发明所述异构节点R为网络中的关键节点。其中，本领域技术人员应可根据实际情况和需求来确定网络系统中的节点是否为关键节点。

优选地，所述异构节点包括但不限于诸如服务器、路由器等网络设备。

优选地，同一节点的各个异构实体具有以下特征：

1)各个异构实体均具有约定的等价功能，换言之，异构实体间具有约定功能的等价性；

2)各个异构实体能够分别引入相互具有差异性的功能；

3)能够响应前述等价功能和/或屏蔽前述差异性功能。

优选地，所述异构实体采用软件异构方式。

更优选地，所述异构实体采用以下至少任一种方式来实现异构：

1)芯片平台异构；例如，通过在不同的异构实体上分别采用诸如x86、ARM、龙芯等不同的芯片来实现芯片平台层面的异构。

2)操作系统异构；例如，通过在不同的异构实体上分别采用诸如Windows操作系统、Linux系统等来实现操作系统层面的异构。

3)服务器软件异构；例如，通过在不同的异构实体上分别采用诸如Apache、Nginx等不同的服务器软件来配置各个异构实体具有相似的服务器功能，以使实现服务器软件配置层面的异构。

4)应用实现异构；例如，通过在不同的异构实体上分别采用诸如JSP、Perl、Python等不同的编程语言来实现各个异构实体上的具有等同功能的应用程序，以实现应用层面的异构。

优选地，根据本发明的异构实体在采用了上述软件异构方式之外，还可分别采用不同的硬件设备来执行相应的软件功能，亦即，采用软件、硬件相结合的方式来实现异构。

图2示意出了根据本发明的一种用于提供网络服务的方法流程图。根据本发明的方法由提供装置来实现，其中，所述提供装置包含于网络系统的异构节点中。优选地，所述提供装置可以包含在除多个异构实体以外的异构节点内部的独立设备中，或者，所述提供装置可以包含于异构节点的多个异构实体中的任一异构实体中。

参照图2，在步骤S101中，当所述异构节点接收到网络服务请求时，提供装置由该异构节点包含的多个异构实体中的、处于在线状态的部分异构实体中，选择多个在线异构实体，来响应所接收到的服务请求，以使每个服务请求都对应多个响应异构实体。

优选地，提供装置选择多个在线异构实体，通过诸如流量复制等方式，将所接收到的网络服务请求分别发送至多个用于响应该请求的响应异构实体，以使每个服务请求都对应多个响应异构实体。

例如，当提供装置接收到n个网络服务请求时，通过流量复制将该n个请求分别发送至2n+1个响应异构实体中，以使得每个请求均有多个响应异构实体来进行处理。

接着，根据本发明的方法还包括步骤S102(图未示)和步骤S103(图未示)。

在步骤S102中，提供装置由所选择的所述多个在线异构实体对各自的响应结果进行裁决以确定最终的响应异构实体。

具体地，提供装置在异构节点的输出端，对所述所选择的多个在线异构实体的响应结果进行裁决，例如，采用诸如拜占庭将军算法(Byzantinefailures)或大数表决算法等方式进行裁决，以确定最终的响应异构实体。

接着，在步骤S103中，提供装置由所述响应实体基于所述服务请求来反馈其响应结果。

优选地，根据本发明的方法还包括步骤S104(图未示)。

在步骤S104中，提供装置基于预定切换规则来切换所述各个异构实体的在线/离线状态，以使所述多个异构实体中包含多个处于在线状态的在线异构实体。

其中，所述预定切换规则用于指示何时将异构实体从在线状态切换为离线状态，或者从离线状态切换为在线状态。优选地，所述预定切换规则基于以下至少任一项信息来确定：

1)异构差异信息；例如，各个异构实体之间的异构差异程度的大小。

2)工作时间信息；例如，异构实体已工作时间的长短。

3)异常信息。例如，异构实体的异常值等。其中，所述异常值用于指示异构实体是否运行正常，例如异构实体是否处于正常工作状态，又例如，异构实体之间的输出响应是否一致等。

优选地，所述异常信息可基于前述不在S102中的裁决结果来确定，例如，当某一异构实体的输出响应结果与其他异构实体不一致时，确定其该异构实体异常等。

例如，预定切换规则可包括：将异构差异程度最大的异构实体切换为在线工作；又例如，预定切换规则可包括：将已工作时间最长的异构实体切换为离线状态；再例如，预定切换规则可包括：当异构实体的异常值大于预定阈值时切换为离线状态等。

参照图4，图4为根据本发明的一个异构节点NodeA，其初始实体A包括由编程语言实现的三个功能单元a1、a2和a3，通过采用不同的编程语言对该三个功能单元进行异构处理，得到与节点的初始实体A互为异构的实体A₁、实体A₂、以及实体A_n。亦即，节点NodeA对应的异构实体包括A、A₁、A₂、A_n。

其中，预定切换规则包括：将异构差异程度最大的异构实体切换为在线工作、并且切换工作时间最长或异常大于一定阈值的在线异构实体进入离线状态。

根据本发明的提供装置包含于该节点NodeA的初始实体设备A中。当接收到1个网络服务请求后，提供装置由该NodeA所对应的多个异构实体中选择异构实体A、A₁和A₂，提供装置将该请求的输入数据流转发给该三个异构实体A、A₁和A₂，由该三个异构实体实体对该输入数据流进行处理。

接着，提供装置在输出端基于该三个异构实体的表决结果进行裁决，确定采用A₁的响应结果，并在输出端输出A₁的响应结果。

本领域技术人员应能理解，上述举例仅用于说明清楚，而不会对本案保护范围造成限制。如，提供装置基于不同的表决结果进行裁决，可能最终输出A₂或A₃的响应结果等。

优选地，预定切换规则还可包括当在线异构实体数量不足时，将相应数量的离线异构实体切换为在线状态。

根据本发明的方法的优点在于：

1)通过采用异构实体的方式来实现节点功能，使攻击者攻击代价成本更高，漏洞或后门难以利用。

2)通过利用多个异构实体的冗余性，使异构节点可用性高(以WEB服务器为例，通过冗余方法，使多个冗余服务器对外提供服务，即使其中一个或几个收到攻击，被破坏，未被破坏的服务仍能正常对外提供服务。除非所有的异构冗余服务都被攻击了，该服务器才会停止，所以，可用性更高了)，而对多个冗余实体的响应结果进行冗余仲裁，则保证了响应数据的完整性。

3)通过切换异构实体的在线/离线状态变化，使攻击者对攻击目标不确定，阻断了漏洞或后门的利用。

此外，由于冗余和动态变化带来的多样性，增加了系统的不可感知性。以Web服务为例，分别根据操作系统、服务器、网站编写脚本的不同，可以制作10个冗余异构的WEB服务，其中每个服务提供相同的服务。例如同为销售图书的网站，系统正常运行时使其中5个对外提供服务，其余5个处于离线状态，等待被调度。工作达到最大或检测到异常服务器，则通过调度命令使该Web服务器下线，恢复到初始状态，等待再次被调度上线提供WEB服务，显然，系统结构更为复杂，不可感知度更高。

参照图3，图3示意出了根据本发明的一个实施例的用于在网络系统中提供服务的提供装置的结构示意图。

根据本发明的提供装置包括选择装置101。其中，提供装置及其所包含的各个装置所执行的操作与前述参照图2中所述的各个步骤的过程相似，此处不再赘述。

其中，根据本发明的异构实体可通过计算机设备来实现，优选地，根据本发明的方案通过包含于计算机设备中的提供装置来实现。计算机设备包括一种能够按照事先设定或存储的指令，自动进行数值计算和/或信息处理的电子设备，其硬件包括但不限于微处理器、专用集成电路(ASIC)、可编程门阵列(FPGA)、数字处理器(DSP)、嵌入式设备等。计算机设备包括网络设备和/或用户设备。其中，网络设备包括但不限于单个网络服务器、多个网络服务器组成的服务器组或基于云计算(CloudComputing)的由大量主机或网络服务器构成的云，其中，云计算是分布式计算的一种，由一群松散耦合的计算机集组成的一个超级虚拟计算机。用户设备包括但不限于任何一种可与用户通过键盘、鼠标、遥控器、触摸板、或声控设备等方式进行人机交互的电子产品，例如，个人计算机、平板电脑、智能手机、PDA、游戏机、或IPTV等。其中，用户设备及网络设备所处的网络包括但不限于互联网、广域网、城域网、局域网、VPN网络等。

需要说明的是，用户设备、网络设备以及网络仅为举例，其他现有的或今后可能出现的用户设备、网络设备以及网络如可适用于本发明，也应包含在本发明保护范围以内，并以引用方式包含于此。

本发明的软件程序可以通过处理器执行以实现上文步骤或功能。同样地，本发明的软件程序(包括相关的数据结构)可以被存储到计算机可读记录介质中，例如，RAM存储器，磁或光驱动器或软磁盘及类似设备。另外，本发明的一些步骤或功能可采用硬件来实现，例如，作为与处理器配合从而执行各个功能或步骤的电路。

另外，本发明的一部分可被应用为计算机程序产品，例如计算机程序指令，当其被计算机执行时，通过该计算机的操作，可以调用或提供根据本发明的方法和/或技术方案。而调用本发明的方法的程序指令，可能被存储在固定的或可移动的记录介质中，和/或通过广播或其他信号承载媒体中的数据流而被传输，和/或被存储在根据程序指令运行的计算机设备的工作存储器中。在此，根据本发明的一个实施例包括一个装置，该装置包括用于存储计算机程序指令的存储器和用于执行程序指令的处理器，其中，当该计算机程序指令被该处理器执行时，触发该装置运行基于前述根据本发明的多个实施例的方法和/或技术方案。

对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化涵括在本发明内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。此外，显然“包括”一词不排除其他单元或步骤，单数不排除复数。系统权利要求中陈述的多个单元或装置也可以由一个单元或装置通过软件或者硬件来实现。第一，第二等词语用来表示名称，而并不表示任何特定的顺序。

Claims (11)

1.一种在网络系统中提供服务的方法，其中，所述网络系统包括至少一个异构节点，所述异构节点包含多个异构实体，其中，所述多个异构实体中的各个异构实体可提供等价服务，其中，所述方法包括以下步骤：

a当所述异构节点接收网络服务请求时，由该异构节点包含的多个异构实体中的、处于在线状态的部分异构实体中，选择多个在线异构实体，来响应所接收到的服务请求，以使每个服务请求都对应多个响应异构实体。

2.根据权利要求1所述的方法，其中，所述方法还包括以下步骤：

-由所选择的所述多个在线异构实体对各自的响应结果进行裁决以确定最终的响应实体；

-由所述响应实体基于所述服务请求来反馈其响应结果。

3.根据权利要求1或2所述的方法，其中，所述方法还包括以下步骤：

-基于预定切换规则来切换所述各个异构实体的在线/离线状态，以使所述多个异构实体中包含多个处于在线状态的在线异构实体。

4.根据权利要求3所述的方法，其中，所述预定切换规则基于以下至少任一项信息来确定：

-异构差异信息；

-工作时间信息；

-工作负载信息；

-异常信息。

5.根据权利要求1至4中任一项所述的方法，其中，所述异构节点的多个异构实体基于以下至少任一种方式来实现异构：

-芯片平台异构；

-操作系统异构；

-服务器软件异构；

-应用实现方式异构。

6.一种在网络系统中提供服务的提供装置，其中，所述网络系统包括至少一个异构节点，所述异构节点包含多个异构实体，其中，所述多个异构实体中的各个异构实体可提供等价服务，其中，所述提供装置包括：

选择装置，用于当所述异构节点接收网络服务请求时，由该异构节点包含的多个异构实体中的、处于在线状态的部分异构实体中，选择多个在线异构实体，来响应所接收到的服务请求，以使每个服务请求都对应多个响应异构实体。

7.根据权利要求6所述的提供装置，其中，所述提供装置还用于：

-由所选择的所述多个在线异构实体对各自的响应结果进行裁决以确定最终的响应实体；

-由所述响应实体基于所述服务请求来反馈其响应结果。

8.根据权利要求6或7所述的提供装置，其中，所述提供装置还用于：

-基于预定切换规则来切换所述各个异构实体的在线/离线状态，以使所述多个异构实体中包含多个处于在线状态的在线异构实体。

9.根据权利要求8所述的方法，其中，所述预定切换规则基于以下至少任一项信息来确定：

-异构差异信息；

-工作时间信息；

-异常信息。

10.根据权利要求6至9中任一项所述的方法，其中，所述异构节点的多个异构实体基于以下至少任一种方式来实现异构：

-芯片平台异构；

-操作系统异构；

-服务器软件异构；

-应用实现方式异构。

11.一种网络系统，所异构节点所述网络系统包括至少一个异构节点，所述异构节点包含多个异构实体，所述多个异构实体中的各个异构实体可提供等价服务，其中，所述异构节点包括如权利要求6至10中任一项所述的提供装置。