CN108366049B - 一种异构功能等价执行体的实现方法 - Google Patents

Abstract

本发明属于网络安全技术领域，特别是涉及一种异构功能等价执行体的实现方法，首先按执行体运行逻辑功能划分为关键组分子集和非关键组分子集，异构化关键组分子集；然后通过硬件或者软件的方式构建特定功能区域；最后部署冗余的功能等价的异构执行体，将功能等价的异构执行体的关键组分子集置于不同的特定功能区域中执行，并根据用户的不同安全需求，对特定功能区域设定不同的实施方案。该方法适用于功能结构简单的执行体场景，尤其适用于功能结构复杂的执行体场景，保护执行体不受恶意软件的攻击。

Description

一种异构功能等价执行体的实现方法

技术领域

本发明属于网络安全技术领域，特别是涉及一种异构功能等价执行体的实现方法。

背景技术

随着网络设备和服务的不断发展和普及，人们对网络空间的依赖性越来越强，而网络安全的重要性也愈发凸显。传统的网络空间领域中，完成特定服务功能的设备和装置（包括软件和硬件）对外表征的属性是静态的、确定的，且与其内在结构之间存在强相关的对应关系，攻击者通过对其表征内容和对应关系的收集与分析，可以在一定程度上掌握有关设备和装置内部的具体信息，并可能发现可利用的漏洞或缺陷，进而实施入侵，威胁网络空间安全。

拟态防御架构是一种应对网络攻击威胁的新技术，通过构建动态异构冗余的系统架构和运行机制能够实现针对未知系统漏洞或后门的入侵防御。拟态防御架构具有内生安全性的关键之一是异构，作为系统响应外部服务请求的功能主体，只有异构的功能等价体才能够避免在同一时间或场景下被攻击者同时攻破，“异构”是功能等价体规避被攻击者同时嗅探和利用系统漏洞缺陷的基础。

但在实际应用中，一些执行体功能结构比较复杂，难以构建功能等价的异构执行体，这为构建具有高可靠、高安全的计算机信息系统带来了很大的困难。

发明内容

为了解决在实际应用中，构建具有高可靠、高安全的计算机信息系统需要构建异构冗余功能等价执行体，这增加了实现难度和部署成本的技术问题，本发明的目的是提供一种异构功能等价执行体的实现方法，该方法适用于功能结构简单的执行体场景，尤其适用于功能结构复杂的执行体场景，保护执行体不受恶意软件的攻击。

为了实现上述目的，本发明采用以下的技术方案：

本发明提供一种异构功能等价执行体的实现方法，包括：

按执行体运行逻辑功能划分为关键组分子集和非关键组分子集，异构化关键组分子集；

通过硬件或者软件的方式构建特定功能区域；

部署冗余的功能等价的异构执行体，将功能等价的异构执行体的关键组分子集置于不同的特定功能区域中执行，并根据用户的不同安全需求，对特定功能区域设定不同的实施方案。

进一步地，所述关键组分子集的元素是隐含在执行体中的核心组件或者是附加在执行体之上且不影响执行体功能组件；关键组分子集在自身未被修改的条件下，在其所在的执行体运行逻辑中处于不可绕过的地位。

进一步地，所述关键组分子集的元素包括子集中元素在执行体数据流图中是关键节点或者是触发执行体进行关键状态迁移的必要条件。

进一步地，所述特定功能区域的创建者对其具有直接访问权限，创建者授权其他实体对该功能区域具有有限访问权限，而非授权实体对该功能区域无访问权限。

进一步地，将功能等价的异构执行体的关键组分子集置于不同的特定功能区域中执行，包括以下两种情况：

情况一，对于功能结构简单的执行体场景，将执行体完全或者部分置于特定功能区域中；

情况二，对于功能结构复杂的执行体场景，首先分析出执行体的关键组分，然后将其置于特定功能区域中执行，将剩余组分置于普通执行环境中执行。

进一步地，对特定功能区域设定不同的实施方案采用同构实现或者异构实现的方式；对特定功能区域的部署方案采用物理隔离部署或者逻辑隔离部署；对特定功能区域的访问权限采用直接访问权限或者有限访问权限。

与现有技术相比，本发明具有以下优点：

本发明通过异构化执行体的关键组分子集实现执行体的异构，将各执行体的关键组分子集置于特定功能区域中执行，同时根据用户的不同安全需求对功能区域设定不同的实施方案；该方法适用于功能结构简单的执行体场景，尤其适用于功能结构复杂的执行体场景，适用范围广；本发明将执行体关键组分子集置于特定功能区域中执行，可降低功能等价冗余执行体的异构化实现成本，从而保护执行体不受恶意软件的攻击。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对现有技术和实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明的异构功能等价执行体的结构示意图；

图2是实施例一提供的一种异构功能等价执行体的实现方法的流程示意图；

图3是实施例二提供的一种基于SGX的异构功能等价执行体实现方法的流程示意图；

图4是实施例三提供的一种基于CPU+异构计算平台的异构功能等价执行体实现方法的流程示意图。

具体实施方式

本发明的核心是提供一种异构功能等价执行体的实现方法，可降低功能等价冗余执行体的异构化实现成本，保护执行体不受恶意软件的攻击。

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有实施例，都属于本发明保护的范围。

实施例一，如图1和图2所示，本实施例提供一种异构功能等价执行体的实现方法，该方法包括：

步骤S201，按执行体运行逻辑功能划分为关键组分子集和非关键组分子集，用户可以通过异构化关键组分子集实现执行体的异构；

作为优选地，所述关键组分子集的元素是隐含在执行体中的核心组件或者是附加在执行体之上且不影响执行体功能组件；关键组分子集在自身未被修改的条件下，在其所在的执行体运行逻辑中处于不可绕过的地位。

可以理解的是，关键组分子集的元素可以是子集中元素在执行体数据流图中是关键节点，或者是触发执行体进行关键状态迁移的必要条件。

步骤S202，通过硬件或者软件的方式构建特定功能区域；

作为优选地，特定功能区域的创建者对其具有直接访问权限，所述直接访问权限包括读、写、执行等权限，创建者可授权其他实体对该功能区域具有有限访问权限，而非授权实体对该功能区域无访问权限。

可以理解的是，所述非授权实体包括操作系统、虚拟机监控器等实体。

可以理解的是，特定功能区域与普通执行环境包括但不限于在物理上或者逻辑上是隔离的，特定功能区域之间包括但不限于在物理上或者逻辑上是隔离的。

步骤S203，部署冗余的功能等价的异构执行体，将功能等价的异构执行体的关键组分子集置于不同的特定功能区域中执行，将非关键组分子集置于普通执行环境中执行，并根据用户的不同安全需求，对特定功能区域设定不同的实施方案。

作为优选地，将功能等价的异构执行体的关键组分子集置于不同的特定功能区域中执行，包括以下两种情况： 情况一，对于功能结构简单的执行体场景，将执行体完全或者部分置于特定功能区域中；情况二，对于功能结构复杂的执行体场景，首先分析出执行体的关键组分，然后将其置于特定功能区域中执行，将剩余组分置于普通执行环境中执行。

可以理解的是，对特定功能区域设定不同的实施方案包括但不限于同构实现和异构实现的方式；对特定功能区域的部署方案包括但不限于物理隔离部署和逻辑隔离部署；对特定功能区域的访问权限包括但不限于直接访问权限和有限访问权限。

该方法适用于功能结构简单的执行体场景，尤其适用于功能结构复杂的执行体场景，可降低功能等价冗余执行体的异构化实现成本，将所述执行体关键组分子集置于所述的特定功能区域中执行，保护执行体不受恶意软件的攻击，为系统安全提供保障。

为了更为详细、清楚的了解本发明，这里以特定功能区域的实施方案为例，针对用户的不同安全需求给出了以下两个功能等价执行体的异构化实施例（实施例二和实施例三）。特定功能区域的实施方案既可同构冗余实现也可异构冗余实现，对于低安全等级用户，特定功能区域的实施方案采用同构实现的方式，实施例二给出了一种基于SGX的异构功能等价执行体实现方法；对于高安全等级用户，特定功能区域的实施方案采用异构实现的方式，实施例三给出了一种基于CPU+异构计算平台的异构功能等价执行体实现方法。对特定功能区域的部署方案包括但不限于物理隔离部署和逻辑隔离部署，对特定功能区域的访问权限包括但不限于直接访问权限和有限访问权限，在此我们不进行区分。

实施例二，如图3所示，一种基于SGX的异构功能等价执行体实现方法，包含以下步骤：

步骤S301，根据执行体运行逻辑功能进行建模抽象，按最小化关键组分子集原则分析得到关键组分子集，所述的关键组分子集中的元素既可以是内部提取执行体运行逻辑之关键模块，也可以是在执行体外部IO接口等处附加不影响其正常功能的模块；

步骤S302，对执行体的组分类别进行判断，若为非关键组分子集，则转步骤S303，若为关键组分子集，则转步骤S304；

步骤S303，将其元素置于普通执行环境中执行；

步骤S304，部署冗余的功能等价执行体，将各执行体中的关键组分子集异构化处理；

步骤S305，利用密钥加密方法生成加密各个执行体的关键组分子集，并将其加载到加密程序加载器中；

步骤S306，在可信模式下为各个执行体的关键组分子集申请构建enclave并通过密钥凭证解密执行体的关键组分子集；

步骤S307，通过指令判断解密后的执行体的关键组分子集是否可信，若可信，则转步骤S308，若不可信，则转步骤S309；

步骤S308，将关键组分子集加载进enclave中执行；

步骤S309，拒绝加载到enclave中。

实施例三，如图4所示，一种基于CPU+异构计算平台的异构功能等价执行体实现方法，包含以下步骤：

步骤S401，根据执行体运行逻辑功能进行建模抽象，按最小化关键组分子集原则分析得到关键组分子集，所述的关键组分子集中的元素既可以是内部提取执行体运行逻辑之关键模块，也可以是在执行体外部IO接口等处附加不影响其正常功能的模块；

步骤S402，对执行体的组分类别进行判断，若为非关键组分子集，则转步骤S403，若为关键组分子集，则转步骤S404；

步骤S403，将其元素置于普通执行环境中执行；

步骤S404，部署冗余的功能等价执行体，将各执行体中的关键组分子集异构化处理；

步骤S405，构建不同的异构计算平台，将各个执行体的关键组分子集置于不同的异构计算平台中执行。所述计算平台包括中央处理器（central processing unit，简称CPU），网络处理器（network processor，简称 NP）或者 CPU 和 NP 的组合。处理器还可以进一步包括硬件芯片。所述硬件芯片可以是专用集成电路（application-specificintegrated circuit，简称 ASIC），可编程逻辑器件（programmable logic device，简称PLD）或其组合。所述 PLD 可以是复杂可编程逻辑器件（complex programmable logicdevice，简称 CPLD），现场可编程逻辑门阵列（field-programmable gate array，简称FPGA），通用阵列逻辑（generic array logic, 简称 GAL）或其任意组合。

需要说明的是，在本说明书中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来讲是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其他实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽范围。

Claims (5)

1.一种异构功能等价执行体的实现方法，其特征在于，包括：

按执行体运行逻辑功能划分为关键组分子集和非关键组分子集，异构化关键组分子集；所述关键组分子集在自身未被修改的条件下，在其所在的执行体运行逻辑中处于不可绕过的地位，根据执行体运行逻辑功能进行建模抽象，按最小化关键组分子集原则分析得到关键组分子集，所述关键组分子集的元素是隐含在执行体中的核心组件或者是附加在执行体之上且不影响执行体功能组件；

通过硬件或者软件的方式构建特定功能区域；

部署冗余的功能等价的异构执行体，将功能等价的异构执行体的关键组分子集置于不同的特定功能区域中执行，并根据用户的不同安全需求，对特定功能区域设定不同的实施方案。

2.根据权利要求1所述的异构功能等价执行体的实现方法，其特征在于，所述关键组分子集的元素包括子集中元素在执行体数据流图中是关键节点或者是触发执行体进行关键状态迁移的必要条件。

3.根据权利要求1所述的异构功能等价执行体的实现方法，其特征在于，所述特定功能区域的创建者对其具有直接访问权限，创建者授权其他实体对该功能区域具有有限访问权限，而非授权实体对该功能区域无访问权限。

4.根据权利要求1所述的异构功能等价执行体的实现方法，其特征在于，将功能等价的异构执行体的关键组分子集置于不同的特定功能区域中执行，包括以下两种情况：

情况一，对于功能结构简单的执行体场景，将执行体完全或者部分置于特定功能区域中；

情况二，对于功能结构复杂的执行体场景，首先分析出执行体的关键组分，然后将其置于特定功能区域中执行，将剩余组分置于普通执行环境中执行。

5.根据权利要求1所述的异构功能等价执行体的实现方法，其特征在于，对特定功能区域设定不同的实施方案采用同构实现或者异构实现的方式；对特定功能区域的部署方案采用物理隔离部署或者逻辑隔离部署；对特定功能区域的访问权限采用直接访问权限或者有限访问权限。

Images