CN107360149A - 一种基于输出子集权重分配的拟态判决方法及装置 - Google Patents

Abstract

本发明公开了一种基于输出子集权重分配的拟态判决方法及装置，该方法首先将每个异构功能等价体的输出按照内容逻辑关系划分为多个输出子集；依据每个输出子集对系统安全性的影响，赋予相应的权重；按照权重从大到小的顺序，排列输出子集；输出代理器按照上述规定的顺序对输出子集依次进行择多判决；判断有效择多判决是否完成，若有效择多判决没有完成，则按照上述规定的顺序，选择下一个输出子集继续进行择多判决，若有效择多判决已经完成，则停止判决，根据判决结果，选择相应的异构功能等价体输出作为系统输出。该方法不仅减少了判决数据量，加快了判决速度，而且有重点地对待判决数据，降低了择多判决失败的概率，保证了重要数据的正确输出。

Description

一种基于输出子集权重分配的拟态判决方法及装置

技术领域

本发明涉及网络空间安全防护技术领域，特别是涉及一种基于输出子集权重分配的拟态判决方法及装置。

背景技术

随着网络技术的不断发展，网络空间安全的重要性愈发凸显。拟态防御架构是一种应对网络攻击威胁的新思想，通过构建动态异构冗余的系统架构和运行机制实现基于未知漏洞或后门的入侵防御。

典型的拟态防御架构的结构示意图，如图1所示。

在拟态防御架构中，冗余控制器接收外部控制参数，生成冗余调度策略和输出仲裁策略，分别发送给输入代理器和输出代理器。输入代理器依据接收到的冗余调度策略选择相应的异构功能等价体响应外部服务请求，异构功能等价体将处理结果发送至输出代理器，输出代理器根据冗余控制器下发的输出仲裁策略，对异构功能等价体的输出结果进行拟态判决，最终选择一路作为系统输出。

输出代理器的仲裁策略，较有代表性的包括多数一致性判决策略、基于权重的判决策略以及随机判决策略等。多数一致性判决将多路待判决的结果进行比较，选择其中多数一致的结果作为输出，若出现都不一致或者有相同数量的多数一致情况，则随机选择一个(多数一致)结果作为输出；基于权重的判决策略考虑各路输出的优先性，依据相应的控制策略为每路输出赋予一个不同的权值，根据权值大小进行判决；随机判决策略则从安全角度出发，判决策略存在一定的随机性，降低攻击者对目标系统的嗅探能力。

基于权重的判决策略，其权重赋值的依据是既往判决结果和是否国产等因素。然而，只有本次输出结果与是否逃逸(即攻击成功)有直接关系，其它因素并不具有直接关系。因此基于权重的判决策略只能够作为其它判决策略的补充，而不能作为主导的判决策略。

随机判决策略虽然能降低攻击者对目标系统的嗅探能力，但是当入侵发生时，对未入侵和已入侵的异构功能等价体的选择也是完全随机的，在异构功能等价体数量较小的情况下，仍有较大概率选择已被成功入侵的异构功能等价体输出作为系统输出，安全性仍然不高，仅能够作为其它判决策略的补充。

目前，拟态防御架构下的拟态判决策略以可靠性较高的多数一致性判决为主。对于拟态防御架构下的多个功能等价的异构功能等价体，在正常状态下，理论上输出应一致。非一致的输出有较大可能为异构功能等价体工作状态异常导致，而工作状态的异常往往由于受漏洞或后门控制导致。因此多数一致性判决能够天然地排除受漏洞或后门控制的异构功能等价体，保证系统工作状态的正常。

多数一致性判决策略虽然能自动有效地排除受基于未知漏洞和后门的入侵的异构功能等价体输出，但是仍存在以下问题：

1.将每个异构功能等价体的输出视作无差别数据，全部用来比较。在输出数据量较大的情况下，计算量较大，可能导致时延、功耗等过大；

2.由于异构功能等价体在结构、功能上的不同，如操作系统版本、传输协议、计算精度、随机变量等，很可能出现在正常工况下某些非核心逻辑字段的输出不一致的情况，导致多数一致性判决策略无法正确识别其正常工况，而判决为“不一致”，误以为工况异常而退化为随机选择，大大降低了对漏洞和后门的防御能力；

3.若异构功能等价体的输出结果在连续多次的多模判决中被认为“不一致”，冗余控制器将对其发出清洗指令，故误判会造成异构功能等价体的无谓清洗，在清洗周期中浪费了拟态系统的冗余资源。

发明内容

为了解决上述技术问题，本发明提出一种基于输出子集权重分配的拟态判决方法及装置，不仅加快了拟态判决的速度，而且降低了择多判决的失败率，保证了重要数据的正确输出。

为了实现上述目的，本发明采用以下的技术方案：

本发明提供一种基于输出子集权重分配的拟态判决方法，包含以下步骤：

步骤1，将每个异构功能等价体的输出按照内容逻辑关系划分为多个输出子集；

步骤2，依据每个输出子集对系统安全性的影响，赋予相应的权重；

步骤3，按照权重从大到小的顺序，排列输出子集；

步骤4，输出代理器按照步骤3规定的顺序对输出子集依次进行择多判决；

步骤5，判断有效择多判决是否完成，若有效择多判决没有完成，则按照步骤3规定的顺序，选择下一个输出子集继续进行择多判决，若有效择多判决已经完成，则停止判决。

进一步地，在步骤5之后，还包括：根据判决结果，选择相应的异构功能等价体输出作为系统输出。

进一步地，所述步骤4择多判决包括以下情况：

情况一，选定某个输出子集，对所有异构功能等价体的输出进行比对，当所有异构功能等价体的输出均相同时，所述所有异构功能等价体被划分为一组，自动完成择多判决；

情况二，选定某个输出子集，对所有异构功能等价体的输出进行比对，输出相同的异构功能等价体被划分为一组，包含异构功能等价体数量最多的一组作为判决结果，完成择多判决；

情况三，选定某个输出子集，对所有异构功能等价体的输出进行比对，输出相同的异构功能等价体被划分为一组，包含异构功能等价体数量最多的组如果不唯一，则无法完成择多判决，采用随机或历史权重的方法，在其中选择一组作为判决结果。

进一步地，所述输出子集均不为空集。

本发明还提供一种基于输出子集权重分配的拟态判决装置，包括：

异构功能等价体划分模块，用于将每个异构功能等价体的输出按照内容逻辑关系划分为多个输出子集；

输出子集权重获得模块，用于依据每个输出子集对系统安全性的影响，赋予相应的权重；

输出子集排列模块，用于按照权重从大到小的顺序，排列输出子集；

择多判决模块，用于输出代理器按照输出子集排列模块规定的顺序对输出子集依次进行择多判决；

判断模块，用于判断有效择多判决是否完成，若有效择多判决没有完成，则按照输出子集排列模块规定的顺序，选择下一个输出子集继续进行择多判决，若有效择多判决已经完成，则停止判决。

进一步地，还包括：系统输出选择模块，用于根据判决结果，选择相应的异构功能等价体输出作为系统输出。

与现有技术相比，本发明具有以下优点：

1.本发明提供的一种基于输出子集权重分配的拟态判决方法，将每个异构功能等价体的输出划分为若干输出子集并赋予不同的权重，根据输出子集的权重顺序实施择多判决，得到最终拟态判决结果。本发明充分考虑了功能等价体的异构性导致的输出非一致性，排除了对择多判决无效的数据，减少了拟态判决的输入数据量，加快了拟态判决的速度，在异构功能等价体输出数据量较大时优势尤为显著。

2.考虑了异构功能等价体输出数据的不同部分对安全性影响的差异性，通过赋予不同权重的手段，重点考虑对安全性影响较大的数据，当整体数据难以完成有效判决时，采用对安全性影响较大的数据子集完成择多判决，降低了择多判决的失败率，在系统安全性前提下保证了重要数据的正确输出。

本发明提出的基于输出子集权重分配的拟态判决装置，其有益效果与基于输出子集权重分配的拟态判决方法的有益效果基本类似，此处不再赘述。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是典型的拟态防御架构的结构示意图；

图2是本发明实施例的一种基于输出子集权重分配的拟态判决方法的流程示意图；

图3是本发明实施例的一种基于输出子集权重分配的拟态判决装置的结构示意图；

图4是本发明实施例的一种基于输出子集权重分配的拟态判决装置中异构功能等价体划分模块的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明中的技术方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。

实施例一，如图2所示，本实施例一种基于输出子集权重分配的拟态判决方法，包括以下步骤：

步骤201，将每个异构功能等价体的输出按照内容逻辑关系划分为多个输出子集，子集可为另一子集的真子集，且输出子集均不为空集。

步骤202，依据每个输出子集对系统安全性的影响，赋予相应的权重；

步骤203，按照权重从大到小的顺序，排列输出子集；

步骤204，输出代理器按照步骤203规定的顺序对输出子集依次进行择多判决；

步骤205，判断有效择多判决是否完成，若有效择多判决没有完成，则转步骤206，若有效择多判决已经完成，则转步骤207；

步骤206，按照步骤203规定的顺序，选择下一个输出子集继续进行择多判决，然后进行步骤204，再次进行择多判决；

步骤207，停止判决；

步骤208，根据判决结果，选择相应的异构功能等价体输出作为系统输出。

所述择多判决包括以下情况：

情况一，选定某个输出子集，对所有异构功能等价体的输出进行比对，当所有异构功能等价体的输出均相同时，所述所有异构功能等价体被划分为一组，自动完成择多判决；

情况二，选定某个输出子集，对所有异构功能等价体的输出进行比对，输出相同的异构功能等价体被划分为一组，包含异构功能等价体数量最多的一组作为判决结果，完成择多判决；

情况三，选定某个输出子集，对所有异构功能等价体的输出进行比对，输出相同的异构功能等价体被划分为一组，包含异构功能等价体数量最多的组如果不唯一，则无法完成择多判决，采用随机或历史权重的方法，在其中选择一组作为判决结果。

情况一举例：异构功能等价体包括异构功能等价体1、异构功能等价体2和异构功能等价体3，将异构功能等价体的输出结果D，按照其重要性划分为三个输出子集S₁、S₂、S₃。

使得

D＝S₁∪S₂∪S₃，

同时有

S₁∩S₃＝φ，

按照重要性度量，为三个输出子集分别分配权重α₁、α₂、α₃，且有：

α₁>α₂>α₃，

按照权重从大到小的顺序，输出代理器分别对三个异构功能等价体的输出子集S1、S2、S3实施拟态多判决操作J(x₁,x₂,x₃)。

首先对输出子集S₁实施择多判决，对异构功能等价体1、异构功能等价体2和异构功能等价体3的该输出子集S₁进行比对，则

J(S₁₁,S₁₂,S₁₃)＝{S₁₁,S₁₂,S₁₃}，

异构功能等价体1、异构功能等价体2和异构功能等价体3的输出子集S₁相等，择多判决完成，并得到判决结果{S₁₁,S₁₂,S₁₃}，异构功能等价体1、异构功能等价体2和异构功能等价体3被划分为一组，输出代理器选择该组中的任意一个异构功能等价体输出作为系统输出。

O(D₁,D₂,D₃)＝D₁或者D₂或者D₃，

输出完成。

情况二举例：异构功能等价体包括异构功能等价体1、异构功能等价体2和异构功能等价体3，将异构功能等价体的输出结果D，按照其重要性划分为三个输出子集S₁、S₂、S₃。

使得

D＝S₁∪S₂∪S₃，

同时有

S₁∩S₃＝φ，

按照重要性度量，为三个输出子集分别分配权重α₁、α₂、α₃，且有：

α₁>α₂>α₃，

按照权重从大到小的顺序，输出代理器分别对三个异构功能等价体的输出子集S1、S2、S3实施拟态多判决操作J(x₁,x₂,x₃)。

首先对输出子集S₁实施择多判决，

J(S₁₁,S₁₂,S₁₃)＝{S₁₁,S₁₂}，

异构功能等价1和异构功能等价体2的输出子集S1相等，择多判决完成，并得到判决结果{S₁₁,S₁₂}。输入代理器选择异构功能等价体1或者异构功能等价体2的输出作为系统输出。

O(D₁,D₂,D₃)＝D₁或者D₂，

输出完成。

情况三举例：异构功能等价体包括异构功能等价体1、异构功能等价体2、异构功能等价体3、异构功能等价体4和异构功能等价体5，将异构功能等价体的输出结果D，按照其重要性划分为三个输出子集S₁、S₂、S₃。

使得

D＝S₁∪S₂∪S₃，

同时有

S₁∩S₃＝φ，

按照重要性度量，为三个输出子集分别分配权重α₁、α₂、α₃，且有：

α₁>α₂>α₃，

按照权重从大到小的顺序，输出代理器分别对三个异构功能等价体的输出子集S1、S2、S3实施拟态多判决操作J(x₁,x₂,x₃)。

首先对输出子集S1实施择多判决，异构功能等价体1和异构功能等价体2的输出子集相等，构成第一组，异构功能等价体3和异构功能等价体4的输出子集相等，构成第二组，异构功能等价体5构成第三组，因为第一组中的异构功能等价体的数量和第二组中的异构功能等价体的数量相等，且比第三组中的异构功能等价体的数量多，所以无法完成择多判决，此时采用随机或历史权重的方法，在其中选择一组作为判决结果。

下面给出本实施例一种基于输出子集权重分配的拟态判决方法的一个具体例子：

异构功能等价体包括异构功能等价体1、异构功能等价体2和异构功能等价体3，将异构功能等价体的输出结果D，按照其重要性划分为三个输出子集S₁、S₂、S₃。

使得

D＝S₁∪S₂∪S₃，

同时有

S₁∩S₃＝φ，

按照重要性度量，为三个输出子集分别分配权重α₁、α₂、α₃，且有：

α₁>α₂>α₃，

按照权重从大到小的顺序，输出代理器分别对三个异构功能等价体的输出子集S1、S2、S3实施拟态多判决操作J(x₁,x₂,x₃)。

首先对输出子集S₁实施拟态判决，

J(S₁₁,S₁₂,S₁₃)＝{φ}，

由于三个异构功能等价体的三个输出子集S1均不相等，择多判决失败。

接着对输出子集S2实施拟态判决，

J(S₂₁,S₂₂,S₂₃)＝{S₂₁,S₂₂}，

异构功能等价1和异构功能等价体2的输出子集S2相等，择多判决完成，并得到判决结果{S₂₁,S₂₂}。输入代理器选择异构功能等价体1或者异构功能等价体2的输出作为系统输出。

O(D₁,D₂,D₃)＝D₁或者D₂,

输出完成。

本实施例一种基于输出子集权重分配的拟态判决方法，将每个异构功能等价体的输出划分为若干输出子集并赋予不同的权重，根据输出子集的权重顺序实施择多判决，得到最终拟态判决结果。本发明充分考虑了功能等价体的异构性导致的输出非一致性，排除了对择多判决无效的数据，减少了拟态判决的输入数据量，加快了拟态判决的速度，在异构功能等价体输出数据量较大时优势尤为显著。

考虑了异构功能等价体输出数据的不同部分对安全性影响的差异性，通过赋予不同权重的手段，重点考虑对安全性影响较大的数据，当整体数据难以完成有效判决时，采用对安全性影响较大的数据子集完成择多判决，降低了择多判决的失败率，同时保证了重要数据的正确输出。

如图3和图4所示，本实施例还提供一种基于输出子集权重分配的拟态判决装置，包括异构功能等价体划分模块31、输出子集权重获得模块32、输出子集排列模块33、择多判决模块34、判断模块35和系统输出选择模块36；所述异构功能等价体划分模块31依次顺序与输出子集权重获得模块32、输出子集排列模块33、择多判决模块34、判断模块35和系统输出选择模块36相连接；

异构功能等价体划分模块31，用于将每个异构功能等价体的输出按照内容逻辑关系划分为多个输出子集；

输出子集权重获得模块32，用于依据每个输出子集对系统安全性的影响，赋予相应的权重；

输出子集排列模块33，用于按照权重从大到小的顺序，排列输出子集；

择多判决模块34，用于输出代理器按照输出子集排列模块规定的顺序对输出子集依次进行择多判决；

判断模块35，用于判断有效择多判决是否完成，若有效择多判决没有完成，则按照输出子集排列模块规定的顺序，选择下一个输出子集继续进行择多判决，若有效择多判决已经完成，则停止判决；

系统输出选择模块36，用于根据判决结果，选择相应的异构功能等价体输出作为系统输出。

本领域的技术人员可以清楚地了解到本发明实施例中的技术可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明实施例中的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。

以上所示仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (6)

1.一种基于输出子集权重分配的拟态判决方法，其特征在于，包含以下步骤：

步骤1，将每个异构功能等价体的输出按照内容逻辑关系划分为多个输出子集；

步骤2，依据每个输出子集对系统安全性的影响，赋予相应的权重；

步骤3，按照权重从大到小的顺序，排列输出子集；

步骤4，输出代理器按照步骤3规定的顺序对输出子集依次进行择多判决；

步骤5，判断有效择多判决是否完成，若有效择多判决没有完成，则按照步骤3规定的顺序，选择下一个输出子集继续进行择多判决，若有效择多判决已经完成，则停止判决。

2.根据权利要求1所述的基于输出子集权重分配的拟态判决方法，其特征在于，在步骤5之后，还包括：根据判决结果，选择相应的异构功能等价体输出作为系统输出。

3.根据权利要求1所述的基于输出子集权重分配的拟态判决方法，其特征在于，所述步骤4择多判决包括以下情况：

情况一，选定某个输出子集，对所有异构功能等价体的输出进行比对，当所有异构功能等价体的输出均相同时，所述所有异构功能等价体被划分为一组，自动完成择多判决；

情况二，选定某个输出子集，对所有异构功能等价体的输出进行比对，输出相同的异构功能等价体被划分为一组，包含异构功能等价体数量最多的一组作为判决结果，完成择多判决；

情况三，选定某个输出子集，对所有异构功能等价体的输出进行比对，输出相同的异构功能等价体被划分为一组，包含异构功能等价体数量最多的组如果不唯一，则无法完成择多判决，采用随机或历史权重的方法，在其中选择一组作为判决结果。

4.根据权利要求1所述的基于输出子集权重分配的拟态判决方法，其特征在于，所述输出子集均不为空集。

5.一种基于输出子集权重分配的拟态判决装置，其特征在于，包括：

异构功能等价体划分模块，用于将每个异构功能等价体的输出按照内容逻辑关系划分为多个输出子集；

输出子集权重获得模块，用于依据每个输出子集对系统安全性的影响，赋予相应的权重；

输出子集排列模块，用于按照权重从大到小的顺序，排列输出子集；

择多判决模块，用于输出代理器按照输出子集排列模块规定的顺序对输出子集依次进行择多判决；

判断模块，用于判断有效择多判决是否完成，若有效择多判决没有完成，则按照输出子集排列模块规定的顺序，选择下一个输出子集继续进行择多判决，若有效择多判决已经完成，则停止判决。

6.根据权利要求5所述的基于输出子集权重分配的拟态判决装置，其特征在于，还包括：

系统输出选择模块，用于根据判决结果，选择相应的异构功能等价体输出作为系统输出。