CN109088750A - 基于容器的网络态势感知系统设计与部署方法 - Google Patents

Abstract

本公开提供了一种网络态势感知方法，包括：通过客户端采集网络运行数据，并将网络运行数据发送至服务端，所述服务端中包括多个数据处理服务容器，其中，每个数据处理服务容器对应有态势评估服务容器及结果处理服务容器；根据每个数据处理服务容器的运行情况，调用最优的数据处理服务容器对网络运行数据进行数据处理；调用最优的数据处理服务容器对应的态势评估服务容器，对最优的数据处理服务容器处理后的数据进行态势评估，得到网络态势评估结果；调用最优的数据处理服务容器对应的结果处理服务容器，对所述网络态势评估结果进行处理。本公开还提供了一种网络态势感知电子设备、一种网络态势感知系统以及一种计算机可读存储介质。

Description

基于容器的网络态势感知系统设计与部署方法

技术领域

本公开涉及互联网领域，尤其涉及一种基于容器的网络态势感知系统设计与部署方法。

背景技术

网络态势感知系统(NSAS)通过收集各种网络设备与系统的运行状况，分析网络行为和用户行为，感知网络整体态势，能够对网络态势状况进行实时监控,可以对潜在的网络异常行为变得无法控制之前进行识别,并给出积极的应对策略。NSAS对提高网络的应急响应和主动防御能力具有重要作用，能够提前发现潜在恶意的入侵行为,预防或减少网络攻击所造成的危害，保障网络安全有效地运行。

随着云计算、物联网、工业互联网等新兴互联网技术的蓬勃发展，联网设备呈几何级增加，网络规模日益增大，防火墙、IPS、IDS、漏洞扫描系统、防病毒系统、WAF等各种网络安防系统也纷纷上阵，导致需要收集的相关数据源种类繁多，信息体量庞大。同时，NSAS为满足掌控网络态势的及时性，对系统的处理能力也提出了更高的要求。

如何满足对多样化的安全相关的数据源进行实时采集成为了一个新的挑战，如何对NSAS系统进行很好地设计，使得相关组件能够进行灵活有效地部署，使系统能积极应对快速变化的网络环境，以满足系统高可用性要求也是一个亟待解决的问题。

传统单体架构的NSAS系统，将所有的代码及功能都放在一个部署单元，因此常常面临开发测试效率低，业务处理体量增大后系统来不及扩容导致宕机。我们可以考虑把整个系统拆成微服务的模式，微服务化之后每个子模块可以独自并行开发，可以集群部署，原来一个进程扛流量，现在多个进程协作一起扛，一个子模块出问题，不会导致整个系统崩溃。

近年来，容器(Container)技术已经引起了业内广泛关注与应用，容器可以提供轻量级的虚拟化，以便隔离进程和资源，可以在按需构建容器实例的过程当中为系统管理员提供极大的灵活性，通过将服务或者应用程序封装到容器中，操作系统可以让应用程序就像在独立的机器上运行一样，运行容器实例只需要把该容器的镜像从仓库中下载到相应主机就可以直接运行，所有相关依赖库、运行环境等都封装到容器中，不再需要复杂的部署过程。容器能轻松承载微服务，最大化发挥微服务的优势。

发明内容

针对现有的技术问题，本公开提出一种基于容器的网络态势感知系统设计与部署方法，通过对NSAS系统进行设计，使得相关组件能够进行灵活有效地部署，使系统能积极应对快速变化的网络环境，以满足系统高可用性要求。

本公开一方面提供一种网络态势感知方法，包括：通过客户端采集网络运行数据，并将所述网络运行数据发送至服务端，所述服务端中包括多个数据处理服务容器，其中，每个数据处理服务容器对应有态势评估服务容器及结果处理服务容器；根据每个数据处理服务容器的运行情况，调用最优的数据处理服务容器对所述网络运行数据进行数据处理；调用所述最优的数据处理服务容器对应的态势评估服务容器，对最优的数据处理服务容器处理后的数据进行态势评估，得到网络态势评估结果；调用所述最优的数据处理服务容器对应的结果处理服务容器，对所述网络态势评估结果进行处理。

可选地，在客户端部署数据采集模块，用于采集网络运行数据，在所述服务端部署控制节点和至少一个服务节点，所述控制节点部署有控制组件，所述控制组件包括应用程序接口服务器(API Server)、控制管理器(Controller Manager)和调度器(Scheduler)，每个服务节点包括最小部署单元(pod)、启动和管理最小部署单元的服务程序(Kubelet)及应用容器引擎(Docker)，每个pod包括数据处理服务容器、态势评估服务容器及结果处理服务容器。

可选地，根据每个数据处理服务容器的运行情况，调用最优的数据处理服务容器对所述网络运行数据进行数据处理，包括：询问一级调度器，一级调度器根据运行情况识别可用的数据处理服务容器并将识别的可用数据处理服务容器列表传给二级调度容器，二级调度容器调用最优的数据处理服务容器，将所述最优数据处理服务容器的标签(Label)响应给采集器，使采集器与最优数据处理容器建立连接，采集器将采集的数据发送给所述最优容器的数据处理服务容器进行处理。

可选地，所述服务器通过调用所述API Server生成API，所述调度器以所述API为入口，选择所述最优数据处理服务容器对所述网络运行数据进行处理；

可选地，调度器根据每个数据处理服务容器的运行情况，调用最优的数据处理服务容器对所述网络运行数据进行数据处理，包括：所述调度器收集和分析所述服务端中所有数据处理服务容器的可访问性和资源负载情况，选择负载最低的可访问容器作为所述最优数据处理服务容器。

可选地，在网络态势感知过程中，所述Kubelet负责所述服务节点上pod的创建、修改、监控、删除和全生命周期的管理。

可选地，一级调度器内部维护一份调度表，所述调度表记录所有数据源对应的容器Label。

本公开另一方面提供一种网络态势感知所述的电子设备，包括：通信器，用于与服务器通信；处理器；存储器，其存储有计算机可执行程序，该程序在被所述处理器执行时，使得所述处理器执行本公开的网络态势感知方法。

本公开另一方面提供一种网络态势感知系统，其特征在于，所述网络态势感知系统包括：数据获取模块，通过部署在客户端数据采集模块获取网络运行数据，将获取的网络运行数据发送至服务端；数据处理模块，根据每个数据处理服务容器的运行情况，调用最优的数据处理服务容器对所述网络运行数据进行数据处理；态势评估模块，调用最优的数据处理服务容器对应的态势评估服务容器，对所述最优的数据处理服务容器处理后的数据进行态势评估，得到网络态势评估结果；结果处理模块，调用所述最优的数据处理服务容器对应的结果处理服务容器，对所述网络态势评估结果进行处理。

本公开另一方面提供一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现本公开的网络态势感知方法。

附图说明

为了更完整地理解本公开及其优势，现在将参考结合附图的以下描述，其中：

图1示意性示出了根据本公开实施例的网络态势感知方法的流程图。

图2示意性示出了根据本公开实施例的网络态势感知系统功能分解的示意图。

图3示意性示出了根据本公开实施例的网络态势感知系统的部署结构示意图。

图4示意性示出了根据本公开实施例的基于数据源的两级容器调度方法的流程图。

图5示意性示出了根据本公开实施例的网络态势感知电子设备的框图。

图6示意性示出了根据本公开实施例的网络态势感知系统的框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B或C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B或C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。本领域技术人员还应理解，实质上任意表示两个或更多可选项目的转折连词和/或短语，无论是在说明书、权利要求书还是附图中，都应被理解为给出了包括这些项目之一、这些项目任一方、或两个项目的可能性。例如，短语“A或B”应当被理解为包括“A”或“B”、或“A和B”的可能性。

附图中示出了一些方框图和/或流程图。应理解，方框图和/或流程图中的一些方框或其组合可以由计算机程序指令来实现。这些计算机程序指令可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，从而这些指令在由该处理器执行时可以创建用于实现这些方框图和/或流程图中所说明的功能/操作的装置。

因此，本公开的技术可以硬件和/或软件(包括固件、微代码等)的形式来实现。另外，本公开的技术可以采取存储有指令的计算机可读介质上的计算机程序产品的形式，该计算机程序产品可供指令执行系统使用或者结合指令执行系统使用。在本公开的上下文中，计算机可读介质可以是能够包含、存储、传送、传播或传输指令的任意介质。例如，计算机可读介质可以包括但不限于电、磁、光、电磁、红外或半导体系统、装置、器件或传播介质。计算机可读介质的具体示例包括：磁存储装置，如磁带或硬盘(HDD)；光存储装置，如光盘(CD-ROM)；存储器，如随机存取存储器(RAM)或闪存；和/或有线/无线通信链路。

本公开的实施例提供了一种网络态势感知系方法，包括：通过客户端采集网络运行数据，并将所述网络运行数据发送至服务端；根据每个数据处理服务容器的运行情况，调用最优的数据处理服务容器对所述网络运行数据进行数据处理；调用所述最优的数据处理服务容器对应的态势评估服务容器，对步骤S2中处理后的数据进行态势评估，得到网络态势评估结果；调用所述最优的数据处理服务容器对应的结果处理服务容器，对所述网络态势评估结果进行处理。

图1示意性示出了根据本公开实施例的网络态势感知方法。

根据NSAS系统的业务需求，对NSAS系统按功能特性进行分解。如图2所示，NSAS系统主要包括四个功能模块：数据采集模块、数据处理模块、态势评估模块和结果处理模块，通过这种设计方法，将单一庞大的NSAS系统进行功能解耦，形成多个可独立部署运行的微服务。

如图1所示，方法包括：

S1，通过客户端采集网络运行数据，并将所述网络运行数据发送至服务端。

在上述操作S1中，在客户端部署数据采集模块，数据采集模块通过安装在各种网络设备端的采集器提供服务，采集器主要收集网络相关的运行数据包括但不限于IDS、Netflow、Firewall、主机日志等，并将采集的网络相关的运行数据发送给服务端进行处理。

操作S2、操作S3及操作S4在服务端上进行。服务端容器集群上部署数据处理模块、态势评估模块和结果处理模块部署，即服务端中包括多个数据处理服务容器，其中，每个数据处理服务容器对应有态势评估服务容器及结果处理服务容器。

具体地，服务端容器集群采用Docker+K8S(开源的应用容器引擎+开源的容器编排工具)的集群构架，在底层基础设施上，使用裸机池或OpenStack资源池，把主机、存储、网络等资源进行池化，为服务端容器集群提供IT基础资源，如图3所示，部署方法为：

在容器集群中，选择一台主机作为控制节点，部署K8S Master相关组件，也可以使用两台主机做控制节点，形成互备。K8S Master相关组件包括要API Server、ControllerManager和Scheduler等。API Server提供了资源对象的唯一操作入口，其他所有组件都必须通过它提供的API来操作资源数据，作为K8S系统的入口，封装了核心对象的增删改查操作，以RESTFul接口方式提供给外部客户和内部组件调用；Controller Manager实现集群故障检测和恢复的自动化工作，负责执行各种控制器；Scheduler作为集群分发调度器，收集和分析当前K8S集群中所有节点的资源(内存、CPU)负载情况，然后依此分发新建的Pod到K8S集群中可用的节点。

在容器集群中，使用2台以上主机作为K8S Node服务节点，每个Node上使用K8S的Kubelet负责节点上pod的创建、修改、监控、删除等全生命周期的管理，每个Node中可以部署多个Pod，同时，每个Node部署有Docker引擎，在每个Node上都容器化部署数据处理、态势评估和结果处理微服务组件。

其中，Docker可以方便地把应用以及依赖包部署到一个可移植的容器中，然后发布到任何流行的Linux机器上。容器的启动，停止和销毁都是以秒或毫秒为单位的，并且相比传统的虚拟化技术，使用容器在CPU、内存、网络等资源上的性能损耗都有同样水平甚至更优的表现。当将容器固化成镜像后，打包了应用运行所需的程序、依赖和运行环境，这是一个完整可用的应用集装箱，在任何环境下都能保证环境一致性。

K8S构建在Docker技术之上，为容器化的应用提供资源调度、部署运行、服务发现、扩容缩容等一套整功能。K8S属于主从的分布式集群架构，K8S Master属于控制节点，负责整个容器集群的管控，主要在不同系统之间负责管理工作负载和指导通信。K8S Node作为Kubenetes的操作单元，是部署着容器的单个主机，在每个Node上运行用于启动和管理Pod的服务Kubelet，并能够被Master管理。

S2，根据每个数据处理服务容器的运行情况，调用最优的数据处理服务容器对所述网络运行数据进行数据处理。

在上述操作S2中，位于客户端的采集器在向服务端发送数据前，采用一种基于数据源的两级容器调度算法，选择一个最优的s数据处理服务容器接收数据并进行后续的数据处理服务，如图4所示，具体地方法为：

S21，询问一级调度器DT-Scheduler，DT-Scheduler作为数据源类调度器，其内部维护一份调度表S-Tables，S-Tables以KV键值对的形式记录所有数据源对应的容器Label；

S22，一级DT-Scheduler调度器将可用的容器列表传给二级调度器C-Scheduler，C-Scheduler根据容器的可访问性、负载情况(cpu、内存、网络等)调用一个最优的容器；

S23，把该容器的Label响应给采集器，采集器则与该容器建立连接，把采集的数据发送给该最优数据处理服务容器上的数据处理服务程序，最优数据处理服务容器对接受到的数据进行数据过滤、格式转换、数据存储等操作。

例如，位于IDS的采集器需要把采集的数据发送给服务端，采集器首先询问DT-Scheduler，DT-Scheduler查询S-Tables，S-Tables内有一条记录IDS:{Node1_IDS_C,Node2_IDS_C,Node3_IDS_C},表示数据源类型为IDS的数据有3个可用的容器，这3个容器的Label分别为Node1_IDS_C、Node2_IDS_C和Node3_IDS_C，DT-Scheduler把该容器列表{Node1_IDS_C,Node2_IDS_C,Node3_IDS_C}传给C-Scheduler，如果此时集群中的Node1_IDS_C容器不可访问，而Node3_IDS_C比Node2_IDS_C的负载高，C-Scheduler就会选择Node2_IDS_C作为最优的可用容器，服务端则会把Node2_IDS_C响应给采集器，采集器与Node2_IDS_C容器建立连接，把数据发送给该容器上的数据处理服务程序。

另外，针对采集上来的不同网络运行数据源进行分类处理，数据处理微服务组件再依据数据源类型，分为不同的数据处理容器进行部署，如：IDS数据处理容器、Netflow数据处理容器、Firewall数据处理容器、主机日志处理容器等，用K8S中的Label功能进行标识区分，以方便依据数据源类别进行容器调度。

S3，调用所述最优的数据处理服务容器对应的态势评估服务容器，对步骤S2中处理后的数据进行态势评估，得到网络态势评估结果。

在上述操作S3中，当最优数据处理服务容器完成数据处理后，将处理后的数据发送至最优数据处理服务容器对应的态势评估服务容器，基于处理后的数据，调用该态势评估服务容器提供网络安全事件关联、事件目标识别与知识发现。

S4，调用所述最优的数据处理服务容器对应的结果处理服务容器，对所述网络态势评估结果进行处理。

在上述操作S4中，操作S3中所述的态势评估服务容器将处理后的结果发送至最优的数据处理服务容器对应的结果处理服务容器，调用最优的数据处理服务容器对应的结果处理服务容器对网络态势评估后的结果进行可视化展示、安全事件的响应预警、为网络管理人员提供决策分析支持。

其中，操作S2中的最优的数据处理服务容器、操作S3中的态势评估服务容器及操作S4中的结果处理服务容器部署在一个Pod中，具有环境一致性。

通过上述操作对NSAS系统进行了设计与部署，使得相关组件能够进行灵活有效地部署，使系统能积极应对快速变化的网络环境，以满足系统高可用性要求。

图5示意性示出了根据本公开实施例的适于实现本公开的方法的网络态势感知电子设备的框图。图5示出的电子设备仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图5所示，电子500包括处理器510、计算机可读存储介质520及通信器530。该电子设备500可以执行根据本公开实施例的方法。

具体地，处理器510例如可以包括通用微处理器、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器510还可以包括用于缓存用途的板载存储器。处理器510可以是用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

计算机可读存储介质520，例如可以是能够包含、存储、传送、传播或传输指令的任意介质。例如，可读存储介质可以包括但不限于电、磁、光、电磁、红外或半导体系统、装置、器件或传播介质。可读存储介质的具体示例包括：磁存储装置，如磁带或硬盘(HDD)；光存储装置，如光盘(CD-ROM)；存储器，如随机存取存储器(RAM)或闪存；和/或有线/无线通信链路。

计算机可读存储介质520可以包括计算机程序521，该计算机程序521可以包括代码/计算机可执行指令，其在由处理器510执行时使得处理器510执行根据本公开实施例的方法或其任何变形。

计算机程序521可被配置为具有例如包括计算机程序模块的计算机程序代码。例如，在示例实施例中，计算机程序521中的代码可以包括一个或多个程序模块，例如包括521A、模块521B、……。应当注意，模块的划分方式和个数并不是固定的，本领域技术人员可以根据实际情况使用合适的程序模块或程序模块组合，当这些程序模块组合被处理器510执行时，使得处理器510可以执行根据本公开实施例的方法或其任何变形。

根据本公开的实施例，计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、有线、光缆、射频信号等等，或者上述的任意合适的组合。

图6示意性示出了根据本公开实施例的网络态势感知系统的框图。

如图6所示，网络态势感知系统600包括数据采集模块610、数据处理模块620、态势评估模块630以及结果处理模块模块640。

具体地，数据采集模块610，通过部署在客户端数据采集模块获取网络运行数据，包括但不限于IDS、Netflow、Firewall、主机日志等，将采集的网络运行数据发送至服务端。

数据处理模块620，根据每个数据处理服务容器的运行情况，调用最优的数据处理服务容器对所述网络运行数据进行数据处理。位于客户端的采集器在向服务端发送数据前，询问一级调度器DT-Scheduler，DT-Scheduler作为数据源类调度器，其内部维护一份调度表S-Tables，S-Tables以KV键值对的形式记录所有数据源对应的容器Label；一级DT-Scheduler调度器将可用的容器列表传给二级调度器C-Scheduler，C-Scheduler根据容器的可访问性、负载情况(cpu、内存、网络等)调用一个最优的容器；把该容器的Label响应给采集器，采集器则与该容器建立连接，把采集的数据发送给该最优数据处理服务容器上的数据处理服务程序，最优数据处理服务容器对接受到的数据进行数据过滤、格式转换、数据存储等操作。

态势评估模块630，调用最优的数据处理服务容器对应的态势评估服务容器，对数据处理模块620处理后的数据进行态势评估，得到网络态势评估结果，当最优数据处理服务容器处理数据完成后，将处理后的数据发送至最优数据处理服务容器对应的态势评估服务容器，基于处理后的数据，调用该态势评估服务容器提供网络安全事件关联、事件目标识别与知识发现。

结果处理模块640，调用所述最优的数据处理服务容器对应的结果处理服务容器，对所述网络态势评估结果进行处理。态势评估模块630将处理后的结果发送至最优数据处理服务容器对应的结果处理服务容器，调用结果处理服务容器对网络态势评估后的结果进行可视化展示、安全事件的响应预警、为网络管理人员提供决策分析支持。

应当理解，采集模块610、数据处理模块620、态势评估模块630以及结果处理模块模块640可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本发明的实施例，采集模块610、数据处理模块620、态势评估模块630以及结果处理模块模块640中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以以对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式的适当组合来实现。或者，采集模块610、数据处理模块620、态势评估模块630以及结果处理模块模块640中的至少一个可以至少被部分地实现为计算机程序模块，当该程序被计算机运行时，可以执行相应模块的功能。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合或/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。

尽管已经参照本公开的特定示例性实施例示出并描述了本公开，但是本领域技术人员应该理解，在不背离所附权利要求及其等同物限定的本公开的精神和范围的情况下，可以对本公开进行形式和细节上的多种改变。因此，本公开的范围不应该限于上述实施例，而是应该不仅由所附权利要求来进行确定，还由所附权利要求的等同物来进行限定。

Claims (10)

1.一种网络态势感知方法，包括：

S1，通过客户端采集网络运行数据，并将所述网络运行数据发送至服务端，所述服务端中包括多个数据处理服务容器，其中，每个数据处理服务容器对应有态势评估服务容器及结果处理服务容器；

S2，调度器根据每个数据处理服务容器的运行情况，调用最优的数据处理服务容器对所述网络运行数据进行数据处理；

S3，调用所述最优的数据处理服务容器对应的态势评估服务容器，对步骤S2中处理后的数据进行态势评估，得到网络态势评估结果；

S4，调用所述最优的数据处理服务容器对应的结果处理服务容器，对所述网络态势评估结果进行处理。

2.根据权利要求1所述的网络态势感知方法，其中，在所述客户端部署数据采集模块，用于采集网络运行数据，在所述服务端部署控制节点和至少一个服务节点，在所述控制节点部署控制组件，所述控制组件提供应用程序接口服务器、控制管理器和调度器，每个服务节点包括最小部署单元、启动和管理最小部署单元的服务程序及应用容器引擎，每个最小部署单元包括数据处理服务容器、态势评估服务容器及结果处理服务容器。

3.根据权利要求1所述的网络态势感知方法，所述调度器包括一级调度器及二级调度器，在上述操作S2中，根据每个数据处理服务容器的运行情况，调用最优的数据处理服务容器对所述网络运行数据进行数据处理，包括：

S21，询问一级调度器，所述一级调度器根据运行情况识别可用的数据处理服务容器；

S22，所述一级调度器将识别的可用数据处理服务容器列表传给二级调度容器，所述二级调度器调用最优的数据处理服务容器；

S23，将所述最优数据处理服务容器的标签响应给采集器，使所述采集器根据该标签与所述最优数据处理容器建立连接，并将采集的网络运行数据发送给所述最优数据处理服务容器进行处理。

4.根据权利1所述的网络态势感知方法，调度器根据每个数据处理服务容器的运行情况，调用最优的数据处理服务容器对所述网络运行数据进行数据处理，包括：

所述调度器收集和分析所述服务端中所有数据处理服务容器的可访问性和资源负载情况，选择负载最低的可访问容器作为所述最优数据处理服务容器。

5.根据权利要求2所述的网络态势感知方法，包括：所述服务器通过调用所述应用程序接口服务器生成应用程序接口，所述调度器以所述应用程序接口为入口，选择所述最优数据处理服务容器对所述网络运行数据进行处理。

6.根据权利要求2所述的网络态势感知方法，包括：在网络态势感知过程中，所述启动和管理最小部署单元的服务程序负责所述服务节点上最小部署单元的创建、修改、监控、删除和全生命周期的管理。

7.根据权利要求3所述的网络态势感知方法，还包括：所述一级调度器内部维护一份调度表，所述调度表记录所有数据源对应的容器标签。

8.一种网络态势感知电子设备，包括：

通信器，用于与服务器通信；

处理器；

存储器，其存储有计算机可执行程序，该程序在被所述处理器执行时，使得所述处理器执行如权利要求1-7中网络态势感知方法。

9.一种网络态势感系统，其特征在于，所述网络态势感知系统包括：

数据采集模块，通过部署在客户端数据采集模块获取网络运行数据，将获取的网络运行数据发送至服务端；

数据处理模块，根据每个数据处理服务容器的运行情况，调用最优的数据处理服务容器对所述网络运行数据进行数据处理；

态势评估模块，调用最优的数据处理服务容器对应的态势评估服务容器，对所述最优的数据处理服务容器处理后的数据进行态势评估，得到网络态势评估结果；

结果处理模块，调用所述最优的数据处理服务容器对应的结果处理服务容器，对所述网络态势评估结果进行处理。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-7中网络态势感知方法。