CN109936517A - 拟态防御中的自适应动态流量分配方法 - Google Patents

Abstract

本发明公开了一种拟态防御中的自适应动态流量分配方法。本发明综合考虑系统资源与工作效率等因素，通过动态估计执行体的计算能力与正在处理得请求数的比值决定下一个时间窗口的流量分配。与现有流量分配方法相比，具有系统资源开销小、响应时间短、流量分配自适应等优点，能广泛用于各类网络架构。

Description

拟态防御中的自适应动态流量分配方法

技术领域

本发明属于网络安全拟态防御技术领域，涉及一种拟态防御中的自适应动态流量分配方法。

背景技术

随着互联网的不断演进、攻击技术的不断进化，网络攻击呈现“隐蔽性、协同性、精确性”等特点，网络安全处于“易攻难守”的态势。为了彻底改变传统的“封堵查杀”等被动应对的防护模式，形成主动防御能力，拟态防御技术应运而生。拟态防御技术是指以系统内部动态异构冗余结构为基础提出的一种主动防御技术，能够应对网络空间中的各类未知威胁。由于采用综合性的防御手段，拟态防御技术具有良好的可靠性与普适性，近年来成为学术界与工业界的研究热点。

流量分配方法是拟态防御技术中的一个重要组成部分。流量是指多个用户对服务器的访问请求。当应用拟态防御技术的服务器接受到访问请求时，需要将请求分配给线上的执行体，由执行体解析数据包并作出响应，得到待返回用户的资源信息。当服务器内部运行多个执行体时，系统资源开销较大，导致服务器处理大流量时性能下降，影响实际应用效益，进而影响拟态防御技术的有效性。另外，流量分配不当还将影响服务器的响应时间，导致系统实时性下降，影响用户的使用体验。因此，流量分配方式的优劣直接影响拟态防御技术性能的高低，提出一种适用于拟态防御的流量分配方法尤为重要。

现有的流量分配方法是服务器将所有的流量转发给所有的执行体执行，服务器内部的执行体对接收到的流量进行数据包解析，得到待返回用户所需的资源信息。接着，与各执行体均相连的表决器收集所有执行体处理得到的结果，依据表决算法对比处理所有执行体的处理结果，从而得到最终得处理结果，并返回给用户。该方法存在着三方面缺陷：首先，流量分配给所有线上的执行体，会增加系统资源的消耗；其次，表决器同时处理大量执行体的结果，会增加表决算法的复杂度；第三，每个执行体的计算能力不同，现有的分配策略不能最大化工作效率。

因此，现有的流量分配方法并不能满足优化资源消耗、最大化工作效率的使用需求。为保证实际拟态防御技术的高可靠性与高可用性，亟需一种高效且动态的流量分配方法，最大化系统响应用户请求的效率，尽可能充分利用各执行体的计算能力，同时尽可能减少系统资源的消耗。

发明内容

本发明的目的是针对拟态防御技术中传统流量分配方法的低效率问题，提供一种拟态防御中的自适应动态流量分配方法，以实现服务器响应的高效率与资源的低需求。本发明方法通过动态估计执行体计算能力实现流量的动态分配，具有系统资源消耗少，响应请求时间短，分配方法智能，普适性强的特点。

本发明的目的是通过以下技术方案来实现的：一种拟态防御中的自适应动态流量分配方法，该方法包括以下步骤：

(1)判断用户IP地址是否属于黑名单：服务器利用基于攻击行为特征的识别技术实时收集攻击流量的信息，动态更新IP黑名单列表；对于用户访问请求，判断IP地址是否属于IP黑名单列表；如果是，将该攻击引入到蜜罐中执行，结束所有步骤；如果不是，则进行后续步骤，分配流量；

(2)服务器检测执行体的执行状态，并根据执行体当前正在处理的流量大小和执行体当前的计算能力进行排序，选择合适的执行体；具体包括以下子步骤：

(2.1)服务器更新执行体的计算能力：用N表示服务器内部的执行体个数，接收到流量时，执行体i(i＝1,2,…,N)打开一个长度为T的时间窗口；对于任何一段时间窗口的流量，分配给不同执行体的流量与其计算能力成正比；用C_i表示第i个执行体的计算能力；用V_i表示第i个执行体当前正在处理的请求数；用移动平均法估计C_i，对于最近处理完的连续K个请求，执行体 i执行完所有这K个请求的时间是t_i，执行体i的计算能力C_i表示为

(2.2)将执行体按照的值进行排序，选取值最小的M个执行体；

(3)从步骤2选出的M个执行体中，随机选取3个执行体作为流量转发的目的地；

(4)对于每个执行体，根据最新处理完的K个请求所花的时间t_i，更新执行体的计算能力根据更新的计算能力C_i，继续决定下一次接收流量时即下一个时间窗口的分配方法；同时，流量的接收是连续的，即时间窗口存在重叠，所以每个执行体的C_i也将实时更新，实现分配方法的实时调整。

本发明的有益效果是，本发明方法综合考虑系统资源与工作效率等因素，优化目标是对于任何一个时间窗口T，系统响应所有请求所使用的时间最短，同时减少系统资源的消耗。通过动态估计执行体的计算能力与正在处理得请求数的比值决定下一个时间窗口的流量分配方法。与现有流量分配方法相比，具有以下优点：本发明所需的系统资源小、响应时间短。

附图说明

图1为本发明实施例中流量传输模型示意图。

图2为本发明方法的流程图。

图3为处理流量的时间窗口示意图。

具体实施方式

以下结合附图并举实施例对本发明做进一步详细说明。

本实例工作在拟态防御服务器中，如图1所示，服务器中运行A₁～A₈8个执行体，用户访问请求构成的流量从输入进入服务器；本发明的方法依照如下具体步骤选出A₂、A₄、A₈3个执行体并分配相应流量；执行体处理完请求，输出结果至表决器，表决器根据算法输出最终结果，完成对访问请求的处理。

如图2所示，本实例具体通过以下步骤实现：

步骤一、收到用户访问请求，输入代理判断用户IP是否在蜜罐服务器的黑名单中，如果是，则将请求引入蜜罐服务器中执行；如果否，则进入步骤二；

步骤二、时间窗口打开，服务器内部收集每个执行体的i当前正在处理流量(V_i＝1～8)和当前计算能力(C_i＝1～8)，C_i等于执行体i最新处理完K＝100个请求所花的时间t_i与K＝100 的比值；并按照进行排序，选择值最小的M＝5个执行体A₁、A₂、A₃、A₄、A₈；

步骤三、从选出的5个执行体中，随机选择3个执行体A₂、A₄、A₈作为流量分配目的地；

步骤四、收集每个执行体最新处理完K＝100个请求所花的时间t_i，更新每个执行体的计算能力并根据更新后的信息，在下个处理用户请求时间窗口执行对应的分配策略。

以上所述为本发明的一个实施例，本发明不受上述实施例限制，可将本发明的技术方案与实际应用场景结合确定具体实施方法。

图3给出了服务器处理流量的时间窗口的时序示意。如图3所示，当服务器接收到流量并开始分配时，打开一个时间窗口T₁，直到处理完该流量的所有请求；在此过程中，新的流量到达，服务器打开下一个时间窗口T₂，而此时执行体的计算能力已经得到动态更新，本方法将分配新的流量给新选择出的执行体。

Claims (1)

1.一种拟态防御中的自适应动态流量分配方法，其特征在于，该方法包括以下步骤：

(1)判断用户IP地址是否属于黑名单：服务器利用基于攻击行为特征的识别技术实时收集攻击流量的信息，动态更新IP黑名单列表；对于用户访问请求，判断IP地址是否属于IP黑名单列表；如果是，将该攻击引入到蜜罐中执行，结束所有步骤；如果不是，则进行后续步骤，分配流量。

(2)服务器检测执行体的执行状态，并根据执行体当前正在处理的流量大小和执行体当前的计算能力进行排序，选择合适的执行体；具体包括以下子步骤：

(2.1)服务器更新执行体的计算能力：用N表示服务器内部的执行体个数，接收到流量时，执行体i(i＝1，2，...，N)打开一个长度为T的时间窗口；对于任何一段时间窗口的流量，分配给不同执行体的流量与其计算能力成正比；用C_i表示第i个执行体的计算能力；用V_i表示第i个执行体当前正在处理的请求数；用移动平均法估计C_i，对于最近处理完的连续K个请求，执行体i执行完所有这K个请求的时间是t_i，执行体i的计算能力C_i表示为

(2.2)将执行体按照的值进行排序，选取值最小的M个执行体。

(3)从步骤2选出的M个执行体中，随机选取3个执行体作为流量转发的目的地。

(4)对于每个执行体，根据最新处理完的K个请求所花的时间t_i，更新执行体的计算能力根据更新的计算能力C_i，继续决定下一次接收流量时即下一个时间窗口的分配方法；同时，流量的接收是连续的，即时间窗口存在重叠，所以每个执行体的C_i也将实时更新，实现分配方法的实时调整。