CN110134428B - 一种安全防护方法及装置 - Google Patents

一种安全防护方法及装置 Download PDF

Info

Publication number
CN110134428B
CN110134428B CN201810135941.4A CN201810135941A CN110134428B CN 110134428 B CN110134428 B CN 110134428B CN 201810135941 A CN201810135941 A CN 201810135941A CN 110134428 B CN110134428 B CN 110134428B
Authority
CN
China
Prior art keywords
software version
software
version
network element
pool
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201810135941.4A
Other languages
English (en)
Other versions
CN110134428A (zh
Inventor
吴强
吴春明
马苏安
赵红勋
秦益飞
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
ZTE Corp
Original Assignee
ZTE Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ZTE Corp filed Critical ZTE Corp
Priority to CN201810135941.4A priority Critical patent/CN110134428B/zh
Priority to EP19751256.9A priority patent/EP3751416B1/en
Priority to JP2020542841A priority patent/JP7082673B2/ja
Priority to PCT/CN2019/073841 priority patent/WO2019154202A1/zh
Priority to US16/960,587 priority patent/US11934530B2/en
Priority to KR1020207026068A priority patent/KR102419704B1/ko
Publication of CN110134428A publication Critical patent/CN110134428A/zh
Application granted granted Critical
Publication of CN110134428B publication Critical patent/CN110134428B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/12—Protecting executable software
    • G06F21/121—Restricting unauthorised execution of programs
    • G06F21/125—Restricting unauthorised execution of programs by manipulating the program code, e.g. source code, compiled code, interpreted code, machine code
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/572—Secure firmware programming, e.g. of basic input output system [BIOS]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/70—Software maintenance or management
    • G06F8/71—Version control; Configuration management
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/70—Software maintenance or management
    • G06F8/76—Adapting program code to run in a different environment; Porting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45587—Isolation or security of virtual machine instances
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/033—Test or assess software

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Multimedia (AREA)
  • Technology Law (AREA)
  • Stored Programmes (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

本文公开了一种安全防护方法及装置。所述安全防护方法包括：基于多样性编译生成软件版本，构建以所述软件版本为异构功能等价体的软件版本池；根据所述软件版本池在网元上动态部署软件版本。本文的技术方案能够通过多样性编译生成的软件版本作为异构功能等价体，动态部署调度和管理网元的软件版本，在系统内实现不依赖于攻击特征的主动防护。

Description

一种安全防护方法及装置
技术领域
本发明涉及计算机通信技术领域，尤其涉及的是一种安全防护方法及装置。
背景技术
在通信领域和虚拟化云计算领域，各网元由软件版本+硬件平台构成，其中硬件平台主要包括专有硬件平台，以及通用的服务器硬件平台。云服务系统大都采用软硬件构建，无法避免未知漏洞和后门的不确定性威胁，加之云环境软硬件构件同质化，同一漏洞后门的危害波及范围更广。
相关技术中，对于云服务系统的同一功能实体，在稳定运行期间，其软件版本相同。软件版本的更换，一般是考虑功能扩展、性能扩展或者基于系统稳定性的因素触发。
随着网络入侵技术的发展，软件版本的更换往往滞后于网络攻击行为，因此，为了增强云服务系统的主动防御能力，需要一种新的软件版本管理方法。
发明内容
本发明所要解决的技术问题是提供一种安全防护方法及装置，能够通过多样性编译生成的软件版本作为异构功能等价体，动态部署调度和管理网元的软件版本，在系统内实现不依赖于攻击特征的主动防护。
本发明实施例提供一种安全防护方法，包括：
基于多样性编译生成软件版本，构建以所述软件版本为异构功能等价体的软件版本池；
根据所述软件版本池在网元上动态部署软件版本。
本发明实施例提供一种安全防护装置，包括：
软件版本池建立模块，用于基于多样性编译生成软件版本，构建以所述软件版本为异构功能等价体的软件版本池；
软件版本部署模块，用于根据所述软件版本池在网元上动态部署软件版本。
本发明实施例提供一种安全防护装置，包括：
存储器、处理器及存储在所述存储器上并可在所述处理器上运行的安全防护程序，所述安全防护程序被所述处理器执行时实现上述安全防护方法的步骤。
本发明实施例提供一种计算机可读存储介质，所述计算机可读存储介质上存储有安全防护程序，所述安全防护程序被所述处理器执行时实现上述安全防护方法的步骤。
与相关技术相比，本发明提供的一种安全防护方法及装置，能够通过多样性编译生成的软件版本作为异构功能等价体，动态部署调度和管理网元的软件版本，在系统内实现不依赖于攻击特征的主动防护。
附图说明
图1为本发明实施例1的一种安全防护方法流程图；
图2为本发明实施例2的一种安全防护装置示意图；
图3为本发明示例1的通信系统结构图；
图4为本发明示例2中虚拟化云服务系统结构图；
图5为本发明示例2中异构功能等价体的弹性伸缩调度装置示意图；
图6为示例2中弹性扩容场景下的安全防护方法流程图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚明白，下文中将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。
根据异构冗余的拟态安全防御原理，可以将单一空间下未知安全威胁转换为多维异构空间下联合概率问题：在单一空间下的未知安全威胁(未知漏洞、未知后门等)表现为未知的、不确定的特征。将单一空间下的未知安全威胁放到多维的异构空间下，通过择多判决或一致性判决将多个独立的未知事件转换为它们的联合概率问题。异构冗余的拟态安全防御原理提出，多个具有随机、多样、动态特征的执行体在相同的攻击路径表现为不同的结果，由多个结果集体表决确定系统输出。因此系统的安全性不取决于单一的个体，而是由多个不同的异构体共同决定。
编译器是将“一种语言(通常为高级语言)”翻译为“另一种语言(通常为低级语言)”的程序。编译器作为各层执行体的主要生成工具，是生成多样化执行体的有效工具。多样化编译技术，可以针对不同功能软件多层协议栈特点，实现多样化的代码生成策略、数据排布形式。采用运行时分析技术、指令和控制流混淆技术、代码优化技术和执行体异构度评估技术等，高效地构建在地址空间、命名空间、指令系统、内核数据、可执行文件结构等不同层次、不同异构度的执行体。
针对云管理、控制、服务等关键组件，以及基础软件和操作系统中未知漏洞和后门带来的不确定威胁，本发明实施例基于拟态安全防御架构的内生安全技术，提出基于多样性编译生成异构功能等价体，在此基础上，将信息服务与安全防护融为一体，通过对网元软件版本进行基于安全策略的动态部署调度和管理，实现时间、空间维度的拟态变换，在云应用和基础设施受到攻击时能够持续发挥作用，实现不依赖于攻击特征的主动防护。
实施例1
如图1所示，本发明实施例提供了一种安全防护方法，包括：
步骤S110，基于多样性编译生成软件版本，构建以所述软件版本为异构功能等价体的软件版本池；
步骤S120，根据所述软件版本池在网元上动态部署软件版本。
本实施例中，所述异构功能等价体是指功能相同、实现结构不同的功能组件集合。实现功能的思路、方法、工具、条件等的差异性会使实现功能的架构、算法选取或方法创造，以及满足功能要求的结构设计在具体实现方法上呈现出差异性，使得相同功能通常有多种实现结构，包括：全局符号(全局变量、函数等)布局差异，关键数据结构布局差异，程序的地址空间(代码段、数据段、BSS(Block Started by Symbol，由符号开始的段))不同变化等诸方面。
其中，异构功能等价体可以包括：同源代码基于多样性编译生成的多个软件版本；和/或异源代码基于多样性编译生成的多个软件版本；
其中，多样性编译是对现有操作系统进行改造，注入安全特性(动态性、随机性、多样性)改变攻击过程所依赖的系统规律，通过编译器产生具有随机、多样性特征的多变体，使可能的攻击路径也呈现为随机、多样的特征。针对不同功能软件多层协议栈特点，实现多样化的代码生成策略、数据排布形式。采用运行时分析技术、指令和控制流混淆技术、代码优化技术和执行体异构度评估技术等，高效地构建在地址空间、命名空间、指令系统、内核数据、可执行文件结构等不同层次、不同异构度的软件执行体。由于攻击手段对环境的依赖性，同源或异源代码经过多样性编译后由于结构不同可以实现对漏洞和木马等攻击手段一定程度的安全增益。
在一种实施方式中，所述软件版本池中的软件版本包括以下管理属性：软件功能版本管理属性和异构功能等价体版本管理属性；
所述软件功能版本管理属性包括：软件功能版本号；所述软件功能版本号用于标记软件版本之间的逻辑功能差异；
所述异构功能等价体版本管理属性包括：多样性编译版本号；所述多样性编译版本号用于标记软件版本多样性编译的结果差异；存在异构功能等价体版本管理属性差别的软件版本，被标记为不同的版本号。
在一种实施方式中，所述方法还包括：
建立软件版本映射表；所述软件版本映射表中记录了作为异构功能等价体的多样性编译版本号与网元标识之间的对应关系；
其中，网元标识包括以下至少一种：网元的IP地址，网元的主机标识，和网元的逻辑标识；
在一种实施方式中，所述根据所述软件版本池在网元上动态部署软件版本，包括：
初始生成网元时，从所述软件版本池中随机挑选或基于安全策略挑选一个软件版本部署到网元的物理资源上；和/或
在网元弹性扩容时，从所述软件版本池中随机挑选或基于安全策略挑选一个软件版本部署到网元扩容后的物理资源上；和/或
在系统运行期间，根据安全策略将业务从第一网元迁移到第二网元，所述第一网元上部署所述软件版本池中的第一软件版本，所述第二网元上部署所述软件版本池中的第二软件版本，所述第一软件版本和所述第二软件版本对应相同的软件功能和不同的编译版本；和/或
在系统运行期间，定时或根据安全策略更换网元上的软件版本，更换后的软件版本从所述软件版本池中随机选择或基于安全策略选择，所述更换前的软件版本和所述更换后的软件版本对应相同的软件功能和不同的编译版本；
基于多样性编译技术生成的软件版本(V1，V2，V3…Vn)作为异构功能等价体构成软件版本池。经过随机化多样性编译的软件版本，其攻击路径也呈现为随机、多样的特征。比如，在不同网元加载不同编译版本的软件版本时，通过基于安全策略的动态部署调度和管理，实现时间、空间维度的拟态变换，将单一空间下未知的安全问题、后门或者漏洞产生的确定性的攻击结果，转换为多维空间下的概率问题，使得被攻击的概率更低。
所述软件版本池中的软件版本，除了具有基于功能、性能、稳定性等特点的基本管理属性外，还增加异构功能等价体版本管理属性。存在异构功能等价体版本管理属性差别的软件版本，被标记为不同的版本号。为软件版本分配软件功能版本号和多样性编译版本号，所述软件功能版本号用于标记软件版本之间的逻辑功能差异，所述多样性编译版本号用于标记软件版本多样性编译的结果差异。同一个软件功能版本号可以对应一个或多个多样性编译版本号，同一个多样性编译版本号只能唯一对应某一个软件功能版本号。
软件版本管理器集中管理软件版本池，维护软件版本映射表。所述软件版本映射表中记录了作为异构功能等价体的各个软件版本的软件版本号与网元标识之间的对应关系。其中，网元标识包括以下至少一种：网元的IP地址，网元的主机标识，网元的逻辑标识等。
系统初始化时，软件版本管理器预装了需要的软件版本，为软件版本分配软件功能版本号Fm和多样性编译版本号Vm。在业务流程中，业务网元向软件版本管理器提交版本部署申请，软件版本管理器基于安全策略为该业务网元分配多样性编译版本号。在版本加载成功后，软件版本管理器记录多样性编译版本号与网元标识的对应关系，并标记使用状态为已使用。如下表1所示，软件版本管理器记录软件功能版本号、多样性编译版本号与网元标识之间的对应关系，并记录软件版本在网元上的使用状态，如软件版本在网元上加载成功，则使用状态为“Y”，如软件版本未在网元上加载或加载失败，则使用状态为“N”。
表1
可以基于安全策略对软件版本进行动态部署调度和管理，实现时间、空间维度的拟态变换。一方面，在虚拟化云服务系统中，基于安全策略，同一虚拟网络功能(Virtualized Network Function，简称VNF)可以通过在不同的虚拟机上执行不同的多样性编译版本实现。通过业务迁移，可以使得业务流程运行于不同的多样性编译版本中，实现了空间维度的拟态变换。例如：某一虚拟专用网络(Virtual Private Network，简称VPN)连接业务流Service1，之前由多样性编译版本Vm执行业务处理。虚拟化网络功能管理器(Virtualised Network Function Manager，简称VNFM)可以基于安全策略，动态迁移VPN连接业务流Service1到其它的多样性编译版本Vj上执行业务处理。由于多样性编译版本Vm，Vj存在的差异性，后门和漏洞的攻击路径也存在不一致，后门和漏洞依赖的执行条件发生变化，其攻击效果也不一致，实现了空间维度的拟态变换和主动变迁。另一方面，在虚拟化云服务系统中，基于安全策略，VNFM可以对某一VNF定时启动更换软件版本流程。该软件版本的部署由软件版本管理器与具体网元一起完成。对于同一VNF，在时间维度上，虽然功能相同，但不同时间段执行不同的多样性编译版本，后门和漏洞的攻击路径也存在不一致，后门和漏洞依赖的执行条件发生变化，其攻击效果也不一致，实现了时间维度的拟态变换和主动变迁。
实施例2
如图2所示，本发明实施例提供了一种安全防护装置，包括：
软件版本池建立模块201，用于基于多样性编译生成软件版本，构建以所述软件版本为异构功能等价体的软件版本池；
软件版本部署模块202，用于根据所述软件版本池在网元上动态部署软件版本。
在一种实施方式中，所述软件版本池中的软件版本包括以下版本属性：软件功能版本属性和多样性编译版本属性；其中，所述软件功能版本属性用于标记软件版本之间的逻辑功能差异；所述多样性编译版本属性用于标记多样性编译的结果差异。
本实施例中，异构功能等价体可以包括：同源代码基于多样性编译生成的多个软件版本；和/或异源代码基于多样性编译生成的多个软件版本；
在一种实施方式中，软件版本池建立模块，还用于建立软件版本映射表；所述软件版本映射表中记录了作为异构功能等价体的各个软件版本的版本属性与部署所述软件版本的网元之间的对应关系。
在一种实施方式中，软件版本部署模块，用于采用以下方式根据所述软件版本池在网元上动态部署软件版本：初始生成网元时，从所述软件版本池中随机挑选或基于安全策略挑选一个软件版本部署到网元的物理资源上。
在一种实施方式中，软件版本部署模块，还用于采用以下方式根据所述软件版本池在网元上动态部署软件版本：在网元弹性扩容时，从所述软件版本池中随机挑选或基于安全策略挑选一个软件版本部署到网元扩容后的物理资源上；和/或在系统运行期间，根据安全策略将业务从第一网元迁移到第二网元，所述第一网元上部署所述软件版本池中的第一软件版本，所述第二网元上部署所述软件版本池中的第二软件版本，所述第一软件版本和所述第二软件版本对应相同的软件功能和不同的编译版本；和/或在系统运行期间，定时或根据安全策略更换网元上的软件版本，更换后的软件版本从所述软件版本池中随机选择或基于安全策略选择，所述更换前的软件版本和所述更换后的软件版本对应相同的软件功能和不同的编译版本。
本实施例中，基于多样性编译技术生成软件版本(V1，V2，V3…Vn)，这些软件版本具有相同的功能和不同的实现结构，作为异构功能等价体构成软件版本池。经过随机化多样性编译后生成的各个软件版本，其攻击路径也呈现为随机、多样的特征。比如，在不同网元加载不同编译版本的软件版本时，通过基于安全策略的动态部署调度和管理，能够将单一空间下未知的安全问题、后门或者漏洞产生的确定性的攻击结果，转换为多维空间下的概率问题，使得被攻击的概率更低。
实施例3
本发明实施例提供一种安全防护装置，包括：
存储器、处理器及存储在所述存储器上并可在所述处理器上运行的安全防护程序，所述安全防护程序被所述处理器执行时实现上述实施例1中所述的安全防护方法的步骤。
实施例4
本发明实施例提供一种计算机可读存储介质，所述计算机可读存储介质上存储有安全防护程序，所述安全防护程序被所述处理器执行时实现上述实施例1中所述的安全防护方法的步骤。
下面通过一些示例进一步解释本发明实施例的安全防护方法。
示例1
如图3所示，典型的通信系统可以包括：后台服务器、主控板和业务单板。后台服务器中可以存放各业务单板的软件版本。主控板主要负责从后台服务器中提取软件版本并根据业务单板的槽位号向各个业务单板分发软件版本。通信系统的业务单板一般可以配置为主备模式。本示例中，在通信系统的后台服务器中增加软件版本管理器。系统初始化时，在软件版本管理器中预装软件版本池。
软件版本池中包括多个软件版本，这些软件版本基于多样性编译技术生成，包括：同源代码经过多样性编译生成的不同软件版本，也包括异源代码经过多样性编译生成的不同软件版本。这些不同的软件版本(V1，V2，V3…Vn)构成拟态安全防御原理要求的异构功能等价体。软件版本池中的软件版本新增异构功能等价体版本管理属性，所述异构功能等价体版本管理属性包括软件功能版本属性和多样性编译版本属性，存在异构功能等价体版本管理属性差别的软件版本，被标记为不同的版本号。
本示例提供一种安全防护方法，可以包括以下步骤：
S101，系统初始化时，在后台服务器的软件版本管理器中预装软件版本池。
软件版本池中的各个软件版本是同源或异源代码通过多样性编译生成的不同软件版本。
S102，初始生成网元时，主控板从软件版本管理器中下载软件版本并分发至对应的业务单板中。
软件版本管理器从软件版本池(V1，V2，V3…Vn)中随机挑选或基于安全策略挑选某一版本Vm，业务单板(网元)加载版本并运行。软件版本管理器中记录了Vm版本号与网元标识的对应关系。网元标识可以是网元的IP地址，网元的主机标识，或者网元的逻辑标识等。
S103，在系统稳定运行期间，按时间自动、或者基于安全策略更换网元的软件版本。
其中，从软件版本池中随机挑选或基于安全策略挑选软件版本。软件版本管理器中记录了更换后的版本号与网元标识的对应关系。
其中，在主备机场景下，软件版本的更换过程可以包括：主用机运行软件版本Vj，备用机从软件版本管理器中下载版本Vi，版本Vi不同于主用机中正在运行的版本Vj。备用机加载版本Vi运行，从主用机同步状态数据。在异构功能等价体Vi、Vj版本的状态数据存在差异情形下，Vi版本中应包含状态数据转换模块，用以完成不同的软件版本Vi、Vj之间的状态数据格式及语义转换。备用机在收到主备倒换指令后，备用机的状态转为主用机，由软件版本Vi负责业务处理。原主用机转为备用机，倒换后的备用机从软件版本管理器中下载版本Vi，从倒换后的主用机同步状态数据，保持备用机运行状态。
示例2
如图4，本示例所述的虚拟化云服务系统主要包括：NFVO(Network FunctionsVirtualisation Orchestrator，网络功能虚拟化编排器)，VNFM(Virtualised NetworkFunction Manager，虚拟化网络功能管理)，VIM(Virtualised Infrastructure Manager，虚拟化基础设施管理)，多个NFV(Network Functions Virtualisation，网络功能虚拟化)，虚拟化平台，和软件版本管理器。根据业务需求，NFVO主要负责NFV的编排，VNFM主要负责NFV的管理和自动化部署，软件形态的NFV运行在虚拟化平台上。
图5是虚拟化云服务系统中异构功能等价体的弹性伸缩调度装置示意图，所述调度装置包括：软件版本管理器，VNFM(含安全策略管理器)，OMU(Operating MaintenanceUnit，操作维护单元)和SPU(Service Processing Unit，业务处理单元)，其中，OMU和SPU是NFV运行的硬件平台资源，OMU负责虚拟化网络功能的系统管理，SPU负责虚拟化网络功能的业务处理。
在虚拟化云服务系统中，弹性伸缩是重要的系统功能，弹性伸缩功能要求虚拟化业务网元所占资源能够根据业务量的大小进行伸缩调整。本示例中，以虚拟化业务网元为粒度进行弹性伸缩。弹性伸缩的衡量标准是当前的业务量及业务策略。弹性自动伸策略可以是：当OMU记录的负荷达到设定阈值，并且其它业务处理单元各个SPU的负荷都达到设定阈值，则向虚拟网络功能管理器VNFM申请新的虚机。
如图6所示，在弹性扩容场景下，一种安全防护方法可以包括如下步骤：
S101：OMU运行时收集SPU1，SPU2，…，SPUn的处理负荷等信息。根据业务量、处理负荷等条件，如果OMU判断满足弹性扩容的条件，则启动弹性扩容流程。
S102：VNFM创建新的虚拟机主备机资源(SPUm)，安装操作系统及系统管理软件。VNFM通知OMU和SPUm进行弹性扩容预处理。OMU和SPUm执行弹性扩容预处理，包括系统硬件资源分配，主备机设置，数据区初始化等操作。虚拟机资源申请成功后，SPUm、OMU和VNFM之间建立通讯关系，作为业务运行的主用机SPUm处于待安装软件版本状态。
S103：主用机SPUm与软件版本管理器启动版本部署流程。软件版本管理器从软件版本池(V1，V2，V3…Vn)中随机挑选某一版本Vm；或者，软件版本管理器从软件版本池(V1，V2，V3…Vn)中基于安全策略挑选某一版本Vm。OMU从软件版本管理器中下载软件版本Vm到主用机SPUm中加载运行。主用机SPUm设置禁止主备倒换，通知备用机SPUm弹性扩容。主用机SPUm启动成功，通知OMU版本部署完成，OMU更新存储区中记录的SPUm状态。OMU通知VNFM版本部署完成，VNFM更新存储区中记录的VNF(对应SPUm)状态。软件版本管理器中保存软件版本映射表，所述软件版本映射表记录了软件版本号与网元标识的对应关系。网元标识可以是网元的IP地址，网元的主机标识，或者网元的逻辑标识等。
S104：备用机SPUm通过软件版本管理器查询软件版本映射表，得到Vm的版本号信息。备用机SPUm从软件版本管理器中下载软件版本Vm，加载运行。备用机SPUm启动成功。备用机SPUm通知主用机SPUm弹性扩容成功。主用机SPUm收到备用机SPUm的“弹性扩容成功”消息，通知备用机SPUm解除禁止主备倒换。备用机SPUm收到解除禁止主备倒换命令，回应主用机SPUm。主用机SPUm收到通知，本次弹性扩容结束。
S105：VNFM收到VNF(对应SPUm)的弹性扩容成功消息，在本地存储区中保留VNF信息，例如业务类型、性能、负荷等。通知OMU部署完成，下发资源信息，例如网络带宽等。OMU接收消息后下发上线通知给SPUm，OMU完成资源变更处理。OMU通知其它SPU有新的VNF(对应SPUm)上线，其它SPU根据预置策略完成对应处理。
在弹性缩场景下，一种安全防护方法可以包括如下步骤：
S201：OMU运行时收集SPU1，SPU2,…,SPUn的处理负荷等信息。根据业务量、处理负荷等条件，如果OMU判断满足弹性缩的条件，则启动弹性缩流程。
S202：OMU通知主用机SPUm启动弹性缩流程。主用机SPUm禁止主备倒换，根据预置策略开始迁移正在进行的业务连接到其它SPU。
S203：主用机SPUm中的业务连接迁移完成后。主用机SPUm向VNFM申请删除虚拟机，向软件版本管理器申请注销使用版本号Vm。软件版本管理器在软件版本映射表中删除Vm表项，回应OMU，SPUm弹性缩结束。OMU收到回应消息后，删除SPUm相关信息，释放SPUm资源，所述SPUm资源包括SPUm主用机资源和备用机资源；
S204：OMU通知VNFM删除对应的VNF信息；
S205：VNFM收到OMU的通知消息，删除对应的VNF信息。
需要说明的是，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (8)

1.一种安全防护方法，包括：
基于多样性编译生成软件版本，构建以所述软件版本为异构功能等价体的软件版本池；
根据所述软件版本池在网元上动态部署软件版本；
其中，所述根据所述软件版本池在网元上动态部署软件版本，包括：
初始生成网元时，从所述软件版本池中随机挑选或基于安全策略挑选一个软件版本部署到网元的物理资源上；
在网元弹性扩容时，从所述软件版本池中随机挑选或基于安全策略挑选一个软件版本部署到网元扩容后的物理资源上；和/或
在系统运行期间，根据安全策略将业务从第一网元迁移到第二网元，所述第一网元上部署所述软件版本池中的第一软件版本，所述第二网元上部署所述软件版本池中的第二软件版本，所述第一软件版本和所述第二软件版本对应相同的软件功能和不同的编译版本；和/或
在系统运行期间，定时或根据安全策略更换网元上的软件版本，更换后的软件版本从所述软件版本池中随机选择或基于安全策略选择，所述更换前的软件版本和所述更换后的软件版本对应相同的软件功能和不同的编译版本。
2.如权利要求1所述的方法，其特征在于：
所述软件版本池中的软件版本包括以下版本属性：软件功能版本属性和多样性编译版本属性；其中，所述软件功能版本属性用于标记软件版本之间的逻辑功能差异；所述多样性编译版本属性用于标记多样性编译的结果差异。
3.如权利要求2所述的方法，其特征在于，所述方法还包括：
建立软件版本映射表；所述软件版本映射表中记录了作为异构功能等价体的各个软件版本的版本属性与部署所述软件版本的网元之间的对应关系。
4.一种安全防护装置，包括：
软件版本池建立模块，用于基于多样性编译生成软件版本，构建以所述软件版本为异构功能等价体的软件版本池；
软件版本部署模块，用于根据所述软件版本池在网元上动态部署软件版本；还用于采用以下方式根据所述软件版本池在网元上动态部署软件版本：初始生成网元时，从所述软件版本池中随机挑选或基于安全策略挑选一个软件版本部署到网元的物理资源上；
所述软件版本部署模块，还用于采用以下方式根据所述软件版本池在网元上动态部署软件版本：在网元弹性扩容时，从所述软件版本池中随机挑选或基于安全策略挑选一个软件版本部署到网元扩容后的物理资源上；和/或在系统运行期间，根据安全策略将业务从第一网元迁移到第二网元，所述第一网元上部署所述软件版本池中的第一软件版本，所述第二网元上部署所述软件版本池中的第二软件版本，所述第一软件版本和所述第二软件版本对应相同的软件功能和不同的编译版本；和/或在系统运行期间，定时或根据安全策略更换网元上的软件版本，更换后的软件版本从所述软件版本池中随机选择或基于安全策略选择，所述更换前的软件版本和所述更换后的软件版本对应相同的软件功能和不同的编译版本。
5.如权利要求4所述的装置，其特征在于：
所述软件版本池中的软件版本包括以下版本属性：软件功能版本属性和多样性编译版本属性；其中，所述软件功能版本属性用于标记软件版本之间的逻辑功能差异；所述多样性编译版本属性用于标记多样性编译的结果差异。
6.如权利要求5所述的装置，其特征在于：
软件版本池建立模块，还用于建立软件版本映射表；所述软件版本映射表中记录了作为异构功能等价体的各个软件版本的版本属性与部署所述软件版本的网元之间的对应关系。
7.一种安全防护装置，包括：
存储器、处理器及存储在所述存储器上并可在所述处理器上运行的安全防护程序，所述安全防护程序被所述处理器执行时实现上述权利要求1-3中任一项所述的安全防护方法的步骤。
8.一种计算机可读存储介质，所述计算机可读存储介质上存储有安全防护程序，所述安全防护程序被处理器执行时实现上述权利要求1-3中任一项所述的安全防护方法的步骤。
CN201810135941.4A 2018-02-09 2018-02-09 一种安全防护方法及装置 Active CN110134428B (zh)

Priority Applications (6)

Application Number Priority Date Filing Date Title
CN201810135941.4A CN110134428B (zh) 2018-02-09 2018-02-09 一种安全防护方法及装置
EP19751256.9A EP3751416B1 (en) 2018-02-09 2019-01-30 Security protection method and apparatus
JP2020542841A JP7082673B2 (ja) 2018-02-09 2019-01-30 セキュリティ保護方法および装置
PCT/CN2019/073841 WO2019154202A1 (zh) 2018-02-09 2019-01-30 一种安全防护方法及装置
US16/960,587 US11934530B2 (en) 2018-02-09 2019-01-30 Security protection method and apparatus
KR1020207026068A KR102419704B1 (ko) 2018-02-09 2019-01-30 보안 보호 방법 및 장치

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810135941.4A CN110134428B (zh) 2018-02-09 2018-02-09 一种安全防护方法及装置

Publications (2)

Publication Number Publication Date
CN110134428A CN110134428A (zh) 2019-08-16
CN110134428B true CN110134428B (zh) 2024-02-06

Family

ID=67549263

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810135941.4A Active CN110134428B (zh) 2018-02-09 2018-02-09 一种安全防护方法及装置

Country Status (6)

Country Link
US (1) US11934530B2 (zh)
EP (1) EP3751416B1 (zh)
JP (1) JP7082673B2 (zh)
KR (1) KR102419704B1 (zh)
CN (1) CN110134428B (zh)
WO (1) WO2019154202A1 (zh)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106549935A (zh) * 2016-09-27 2017-03-29 上海红阵信息科技有限公司 一种异构功能等价体生成装置及方法
CN110610068B (zh) * 2019-09-16 2021-11-23 郑州昂视信息科技有限公司 一种应用异构化的方法及装置
CN111338942B (zh) * 2020-02-21 2022-09-09 郑州昂视信息科技有限公司 一种软件多样性的评估方法及系统
CN112612999B (zh) * 2020-12-30 2022-11-15 中国人民解放军战略支援部队信息工程大学 基于树结构的多样化变体生成方法及系统
CN112839036B (zh) * 2020-12-30 2022-09-30 中国人民解放军战略支援部队信息工程大学 基于拟态防御理论的软件运行环境生成方法及系统
CN112632530B (zh) * 2020-12-30 2022-11-08 中国人民解放军战略支援部队信息工程大学 拟态架构下多样化变体生成方法及系统
CN113973018B (zh) * 2021-12-22 2022-03-25 南京微滋德科技有限公司 一种基于内生安全的物联网终端数据处理方法及系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101938765A (zh) * 2009-06-29 2011-01-05 中兴通讯股份有限公司 一种网管和网元自动适配的方法和系统
CN104572202A (zh) * 2015-01-08 2015-04-29 浪潮电子信息产业股份有限公司 一种云计算下企业级应用软件部署的方法
CN106657173A (zh) * 2015-10-29 2017-05-10 华为技术有限公司 一种nfv架构下软件升级中的业务迁移方法、装置及服务器

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7363618B2 (en) 2001-02-14 2008-04-22 International Business Machines Corporation Software testing
US7539985B2 (en) * 2003-02-26 2009-05-26 Bea Systems, Inc. Systems and methods for dynamic component versioning
FR2872653B1 (fr) * 2004-06-30 2006-12-29 Skyrecon Systems Sa Systeme et procedes de securisation de postes informatiques et/ou de reseaux de communications
US7512936B2 (en) * 2004-12-17 2009-03-31 Sap Aktiengesellschaft Code diversification
WO2006066446A1 (fr) * 2004-12-21 2006-06-29 Zte Corporation Methode de compatibilisation des logiciels de materiels dans des systemes de gestion repartis
US7991866B2 (en) * 2006-08-18 2011-08-02 Control4 Corporation Systems and methods for updating a site
JP5735629B2 (ja) 2010-03-31 2015-06-17 イルデト カナダ コーポレーション アプリケーションを保護するためのリンキングおよびローディング方法
EP2598987B1 (en) 2010-07-29 2019-03-06 Irdeto B.V. System and method for efficiently deploying massively diverse program instances to resist differential attacks
US8595715B2 (en) 2010-12-31 2013-11-26 International Business Machines Corporation Dynamic software version selection
CN107145376B (zh) * 2016-03-01 2021-04-06 中兴通讯股份有限公司 一种主动防御方法和装置
CN107196803B (zh) 2017-05-31 2019-11-22 中国人民解放军信息工程大学 异构云主机的动态生成与维护方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101938765A (zh) * 2009-06-29 2011-01-05 中兴通讯股份有限公司 一种网管和网元自动适配的方法和系统
CN104572202A (zh) * 2015-01-08 2015-04-29 浪潮电子信息产业股份有限公司 一种云计算下企业级应用软件部署的方法
CN106657173A (zh) * 2015-10-29 2017-05-10 华为技术有限公司 一种nfv架构下软件升级中的业务迁移方法、装置及服务器

Also Published As

Publication number Publication date
JP2021513706A (ja) 2021-05-27
EP3751416A4 (en) 2021-04-07
EP3751416B1 (en) 2023-09-06
WO2019154202A1 (zh) 2019-08-15
EP3751416A1 (en) 2020-12-16
US20200394315A1 (en) 2020-12-17
JP7082673B2 (ja) 2022-06-08
CN110134428A (zh) 2019-08-16
KR20200119849A (ko) 2020-10-20
US11934530B2 (en) 2024-03-19
KR102419704B1 (ko) 2022-07-12

Similar Documents

Publication Publication Date Title
CN110134428B (zh) 一种安全防护方法及装置
CN110519361B (zh) 基于kubernetes的容器云平台多租户构建方法及装置
US10860444B2 (en) Seamless mobility for kubernetes based stateful pods using moving target defense
EP3200393B1 (en) Method and device for virtual network function management
CN113296792B (zh) 存储方法、装置、设备、存储介质和系统
JP5352890B2 (ja) 計算機システムの運用管理方法、計算機システム及びプログラムを記憶する計算機読み取り可能な媒体
CN110995480B (zh) 区块链网络部署方法、装置、电子设备和介质
EP4033349A1 (en) Method and apparatus for generating mirror image file, and computer-readable storage medium
CN111857951A (zh) 容器化部署平台及部署方法
CN111143023A (zh) 一种资源变更的方法及装置、设备、存储介质
CN113419813B (zh) 一种基于容器平台部署裸机管理服务的方法及装置
CN109309581B (zh) 跨硬件架构的容器管理系统
JP5998566B2 (ja) 移動制御プログラム、移動制御方法および制御装置
CN113296891A (zh) 基于平台的多场景知识图谱处理方法及装置
CN109508223A (zh) 一种虚拟机批量创建方法、系统及设备
US20230229478A1 (en) On-boarding virtual infrastructure management server appliances to be managed from the cloud
CN112291346B (zh) 面向异构节点集群的拟态应用部署管理系统、方法及介质
CN112564979B (zh) 构建任务的执行方法、装置、计算机设备和存储介质
CN114281473A (zh) 云平台测试环境管理方法、系统、终端及存储介质
CN113254204A (zh) 一种软负载均衡器控制的方法、系统及设备
US20240129294A1 (en) Automatically generating task-based and limited-privilege user security credentials
Ananth et al. Reliability enhancement for cloud services-a survey
CN114089973A (zh) 一种启动方法、装置、计算机设备和存储介质
Li et al. Performance Comparison of Two Open-source CloudStack Client Libraries for High-performance Computing
CN113467794A (zh) Magnum自动部署Kubernetes和云原生应用的方法与电子设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant