CN110166285A - 一种基于Docker的网络安全实验平台搭建方法 - Google Patents

Abstract

本发明涉及一种基于Docker的网络安全实验平台搭建方法，平台分为三个组成部分，分别负责实验的搭建，节点的虚拟化以及实验数据的处理等功能实现，实验者通过ASG模块上传实验相关内容，平台对实验内容、镜像、拓扑结构及实验者信息进行存储，通过VG模块利用Docker技术进行实验环境部署，并且通过DAG模块不断的收集实验数据。本发明拥有更高的性能和效率，实现了大规模网络仿真以及大规模网络的快速构建。不仅实现了自定义网络拓扑结构功能，可以对机器的内存、系统版本等进行定制，使得实验更加真实。同时完善了辅助功能，把以往研究的攻防评估技术融入到网络安全实验平台中，结合可视化技术，使得实验结果更加直观易懂。

Description

一种基于Docker的网络安全实验平台搭建方法

技术领域

本发明涉及一种基于Docker的网络安全实验平台搭建方法，属于网络安全领域。

背景技术

随着全球网络实验者的增加，网络安全问题已经涉及到人类生活的各个角落，因此保障网络安全非常重要。当今网络环境恶劣，各种网络攻击和陷阱层出不穷，在复杂的网络环境中找到有效的应对方案是困难的。网络安全实验平台是一种专用仿真平台，能够帮助研究人员模拟网络问题并实验各种解决方案。

传统基于物理机器搭建的实验平台，灵活性差，无法满足网络拓扑的演进和变化；另外，现有的基于KVM等虚拟化技术的实验平台，虽然解决了灵活性问题，但KVM是一种重量级的虚拟化技术，大大限制了仿真网络的规模。

发明内容

本发明的目的是提出一种基于Docker的网络安全实验平台搭建方法，可按照实验者要求智能完成各种网络场景模拟及快速部署，进行网络安全相关实验。并且采用大规模集群管理工具kubernetes对虚拟网络节点进行实时调度及实验数据监控，针对关键数据指标进行提取及分析。使得网络安全实验可以更加准确高效，促进网络安全的发展。

本发明的具体技术方案：一种基于Docker的网络安全实验平台搭建方法，通过对平台所需达到的特性进行分析，将平台分为三个组成部分，分别负责：实验的搭建、节点的虚拟化以及实验数据的处理，实验者通过ASG模块上传实验相关内容，平台对实验内容、镜像、拓扑结构及实验者信息进行存储，同时通过VG模块来进行实验环境部署，并且通过DAG模块不断的收集实验数据。

进一步地，所述ASG模块包括：

一、实验内容管理服务：负责实验内容的创建和管理，对于每一个实验，追踪实验内容的版本、以及实验的每次结果，实验的基本内容由以下几个部分组成：

(1)文字描述的实验目标、步骤和预期结果；

(2)实验中涉及的虚拟节点攻防角色类型和对应的镜像id；

(3)实验中的网络拓扑结构信息；

二、镜像管理服务：实验中每个虚拟节点的软件和数据的最初状态被打包为一个Docker镜像，镜像管理服务负责管理平台中所有这样的实验环境模板，记录镜像的描述信息、攻防角色类型、变更历史和访问权限信息，依赖Docker镜像的分层结构设计的特性设计了一组实验环境分层设计；

三、拓扑管理服务：负责管理实验环境的网络拓扑结构，平台允许实验者在创建实验网络环境时，在界面上通过拖动操作建立网络拓扑结构，所述结构信息以json字符串的格式保存在数据库中；

四、实验者管理服务：用于管理实验者权限，用于记录不同实验者的历史实验记录，并隔离不同人员设计的不同实验资源。

进一步地，所述VG模块使用Docker技术进行网络节点的仿真，并且利用贪心算法对当前的服务进行调度，VG部分主要包括：

一、Job管理服务：负责管理所有正在进行中的实验任务，在实验开始的时候，该服务根据实验内容从镜像管理服务和拓扑管理服务中获取实验镜像和拓扑结构信息，并通过调度中心部署至服务器集群中；

二、调度服务：负责从当前平台管理的服务器中挑选合适的服务器执行当前的实验任务，平台将采用贪心算法为虚拟节点选择服务器；

三、服务发现Discovery Service：在服务器正常工作期间，向该服务发送心跳讯号；

四、Kubernetes控制器：根据调度中心的指示管理每台物理机器上实验容器的启动、更新和停止，并管理实验容器的虚拟网络拓扑结构。

进一步地，所述DAG模块包括：

一、日志管理平台：负责收集各虚拟节点输出的实时日志，所述日志记录了各个实验节点的各项数据指标，日志管理平台按照数据的来源和类型进行分类，并将选择重要的数据发送至数据处理服务；

二、数据处理服务：负责将原始数据计算为各个实验关心的数据指标，并发送给Job管理服务用于可视化实时显示。

进一步地，所述拓扑管理服务中的网络拓扑结构每一个拓扑结构会由一组节点构成，每个节点将会配置一个镜像id。

进一步地，所述镜像管理服务的实验环境分层设计包括：

第一层：运行时依赖层，由主流的各种运行环境构成，包括JDK8、Nodejs、python2、Python3、Golang；

第二层：环境变量层，定义了两类系统变量，第一种用于配置依赖库的路径、数据文件的根目录、启动脚本的路径这些预设信息；另外一种是预设变量，作为运行时才能获得的信息的占位符；

第三层：公共行为层，包含了一组python脚本，定义了一组自动任务，负责监听虚拟节点的健康，向服务发现组件发送心跳信号；同时，周期性地收集节点的网络安全指标信息实时写入本地文件，并同时将另一份完全日志发往组件日志收集中心；

第四层：为一组工具集，包括NetworkManager、ethool、Wireshark，为网络安全实验提供了基础操作的支持。

本发明的有益效果：本发明采用了Docker技术对网络进行仿真，拥有更高的性能和效率，且Docker对系统资源的利用率很高，实现了大规模网络仿真以及大规模网络的快速构建。不仅实现了自定义网络拓扑结构功能，同时利用Docker为操作系统层的虚拟化技术这一特点，可以对机器的内存，系统版本等进行定制，使得实验更加真实。同时完善了网络安全实验平台的辅助功能，把以往研究的攻防评估技术融入到网络安全实验平台中，同时结合了可视化技术，使得实验结果更加直观易懂。

附图说明

图1为本发明的平台体系结构图。

图2为实验环境基础镜像图。

图3为拓扑结构存储字段格式截图。

图4为实验任务状态图。

图5为虚拟节点选择服务器的算法截图。

具体实施方式

现结合附图对本发明作进一步详细说明：

如图1所示，一种基于Docker的网络安全实验平台搭建方法，通过对平台所要达到的特性进行分析，将平台分为三个组成部分，分别负责实验的搭建，节点的虚拟化以及实验数据的处理等功能实现，实验者通过ASG模块上传实验相关内容，平台对实验内容，镜像，拓扑结构及实验者信息进行存储，同时通过VG模块来进行实验环境部署，并且通过DAG模块不断的收集实验数据，从而使得网络安全实验更加高效有序的进行。

ASG部分主要包括：

A:实验内容管理服务：负责实验内容的创建和管理。对于每一个实验，该服务会追踪实验内容的版本、以及实验的每次结果。通常，一个实验的基本内容由以下几个部分组成：

·文字描述的实验目标、步骤和预期结果

·实验中涉及的虚拟节点攻防角色类型和对应的镜像id

·实验中的网络拓扑结构信息

其中每当需要进行一次实验时，实验者需要选择要进行的实验内容进行部署，该服务会将相关实验内容和资源发送至Job管理服务进行部署。

B:镜像管理服务：实验中每个虚拟节点的软件和数据的最初状态将会被打包为一个Docker镜像，而镜像管理服务负责管理平台中所有这样的实验环境模板。该服务会记录镜像的描述信息、攻防角色类型、变更历史和访问权限等信息。依赖Docker镜像的分层结构设计这一特性，设计了一组实验环境分层设计，如图2所示：

第一层是运行时依赖层，由主流的各种运行环境构成，包括JDK8、Nodejs、python2、Python3、Golang，他们将提供上层脚本和程序的运行时依赖。

第二层是环境变量层，定义了两类系统变量。第一种用于配置依赖库的路径、数据文件的根目录、启动脚本的路径等预设信息；另外一种是预设变量，作为运行时才能获得的信息的占位符，例如，攻击目标节点的host地址是无法在实验开始前得知的，这将在docker启动该镜像的容器时注入那个时刻的实际值。

第三层，公共行为层包含了一组python脚本，定义了一组自动任务，负责监听虚拟节点的健康，向服务发现组件发送心跳信号。同时，该层会周期性地收集节点的网络安全相关指标信息实时写入本地文件，并同时将另一份完全日志发往组件日志收集中心。这是因为，在网络状态尚未瘫痪的状态下，日志收集中心的日志数据能够提供各个实时的实验数据，而如果在实验中，节点的网络由于攻击陷入了瘫痪，则在网络恢复或实验结束后，本地日志将用于复原实验数据。

第四层包含了一组工具集，如NetworkManager、ethool、Wireshark等，为网络安全实验提供了基础操作的支持。

以此为基础镜像，使得在构建新的实验环境时，实验设计人员只需在基础镜像的基础上添加数据和程序，大大提高了效率。

C:拓扑管理服务：该服务负责管理实验环境的网络拓扑结构。平台允许实验者在创建实验网络环境时，在界面上通过拖动操作建立网络拓扑结构，这些结构信息以json字符串的格式保存在数据库中。在实验开始时，实验内容信息、镜像信息和拓扑结构信息将会被提取用于创建实验环境，拓扑结构信息中包含了虚拟节点的配置信息和不同虚拟节点间的网络连接关系，其join的字段格式如图3所示。每一个拓扑结构会由一组节点构成，每个节点将会配置一个镜像id，而连通关系决定了节点之间是否可以通信。

其中，“节点角色”信息描述该节点是一个攻击者还是防御者，这将决定启动镜像类型。需要额外注意的是，节点是一个逻辑概念，这些虚拟节点可能部署在同一台物理机器上，但他们之间仍然不能互相访问，如果在拓扑结构中他们没有互相连接的话。

D:实验者管理服务：实验者管理服务是一个常规服务，用于管理实验者权限，主要用于记录不同实验者的历史实验记录，并隔离不同人员设计的不同实验资源。

VG部分主要包括：

E:Job管理服务：该服务是所有实验的核心控制器，负责管理所有正在进行中的实验任务。在实验开始的时候，该服务将会根据实验内容从镜像管理服务和拓扑管理服务中获取实验镜像和拓扑结构信息，并通过调度中心部署至服务器集群中。我们将实验任务从提交至完成的所有步骤用状态图描述如图4所示。其中，在阶段Running，Job服务将提供实时的实验数据可视化报表。

F:调度服务负责从当前平台管理的服务器中挑选合适的服务器执行当前的实验任务。在本文中，平台将采用贪心算法为虚拟节点选择服务器，该贪心算法如算法1所示。这样做的原因在于，通过贪心算法能够使用最少的机器数量来支持所有实验。需要注意的是，根据之前研究的经验，如果一台机器的CPU使用率已经超过60％，在选择机器时应当跳过该机器以防止实验中的节点因计算资源导致无法正常运行。

G:服务发现Discovery Service：在服务器正常工作期间，会向该服务发送心跳讯号，因此服务发现组件能够知道当前平台下所有可用的服务器和状态。

H：Kubernetes控制器：Kubernetes控制器是根据平台需求设计的Kubernetes的client，能够根据调度中心的指示管理每台物理机器上实验容器的启动、更新和停止，并管理实验容器的虚拟网络拓扑结构。

DAG部分主要包括：

K：日志管理平台：该平台负责收集各虚拟节点输出的实时日志，这些日志记录了各个实验节点的各项数据指标。日志管理平台将会按照数据的来源和类型进行分类，并将选择重要的数据发送至数据处理服务。

J：数据处理服务：该服务负责将原始数据计算为各个实验关心的数据指标，并发送给Job管理服务用于可视化实时显示。日志管理平台会发送一组虚拟节点的原始数据。

综上所述，根据平台特性进行分析，平台的三个组成部分主要有以下特点：

一、Application Service Group(ASG):负责与实验者直接交互的各项服务，包括实验内容管理服务、镜像管理服务、网络拓扑管理服务及实验者管理服务。这部分注重平台实验者的可操作性强，上手快还有对实验者类型的划分明确，提高实验者的使用感受。

二、Visualizaiton Group(VG):当实验者创建或选择完实验内容后，负责实验环境的调度、部署和实时监控，其中涉及到服务器集群、调度中心、服务发现、kubernetes控制中心。这部分注重提升效率和丰富控制接口以支持大规模网络的仿真并提供良好的远程控制

三、DataAnalysis Group(DAG):为实验平台提供的实验数据的相关支持，帮助实验者更好的收集实验数据，并对实验数据进行初步的分析和可视化的实现。这部分注重实验数据的准确采集和实时性，分析数据的准确性以及可视化效果。

Claims (6)

1.一种基于Docker的网络安全实验平台搭建方法，其特征在于:通过对平台所需达到的特性进行分析，将平台分为三个组成部分，分别负责：实验的搭建、节点的虚拟化以及实验数据的处理，实验者通过ASG模块上传实验相关内容，平台对实验内容、镜像、拓扑结构及实验者信息进行存储，同时通过VG模块来进行实验环境部署，并且通过DAG模块不断的收集实验数据。

2.如权利要求1所述的一种基于Docker的网络安全实验平台搭建方法，其特征在，所述ASG模块包括：

一、实验内容管理服务：负责实验内容的创建和管理，对于每一个实验，追踪实验内容的版本、以及实验的每次结果，实验的基本内容由以下几个部分组成：

(1)文字描述的实验目标、步骤和预期结果；

(2)实验中涉及的虚拟节点攻防角色类型和对应的镜像id；

(3)实验中的网络拓扑结构信息；

二、镜像管理服务：实验中每个虚拟节点的软件和数据的最初状态被打包为一个Docker镜像，镜像管理服务负责管理平台中所有这样的实验环境模板，记录镜像的描述信息、攻防角色类型、变更历史和访问权限信息，依赖Docker镜像的分层结构设计的特性设计了一组实验环境分层设计；

三、拓扑管理服务：负责管理实验环境的网络拓扑结构，平台允许实验者在创建实验网络环境时，在界面上通过拖动操作建立网络拓扑结构，所述结构信息以json字符串的格式保存在数据库中；

四、实验者管理服务：用于管理实验者权限，用于记录不同实验者的历史实验记录，并隔离不同人员设计的不同实验资源。

3.如权利要求1所述的一种基于Docker的网络安全实验平台搭建方法，其特征在，所述VG模块使用Docker技术进行网络节点的仿真，并且利用贪心算法对当前的服务进行调度，VG部分主要包括：

一、Job管理服务：负责管理所有正在进行中的实验任务，在实验开始的时候，该服务根据实验内容从镜像管理服务和拓扑管理服务中获取实验镜像和拓扑结构信息，并通过调度中心部署至服务器集群中；

二、调度服务：负责从当前平台管理的服务器中挑选合适的服务器执行当前的实验任务，平台将采用贪心算法为虚拟节点选择服务器；

三、服务发现Discovery Service：在服务器正常工作期间，向该服务发送心跳讯号；

四、Kubernetes控制器：根据调度中心的指示管理每台物理机器上实验容器的启动、更新和停止，并管理实验容器的虚拟网络拓扑结构。

4.如权利要求1所述的一种基于Docker的网络安全实验平台搭建方法，其特征在，所述DAG模块包括：

一、日志管理平台：负责收集各虚拟节点输出的实时日志，所述日志记录了各个实验节点的各项数据指标，日志管理平台按照数据的来源和类型进行分类，并将选择重要的数据发送至数据处理服务；

二、数据处理服务：负责将原始数据计算为各个实验关心的数据指标，并发送给Job管理服务用于可视化实时显示。

5.如权利要求2所述的一种基于Docker的网络安全实验平台搭建方法，其特征在，所述拓扑管理服务中的网络拓扑结构每一个拓扑结构会由一组节点构成，每个节点将会配置一个镜像id。

6.如权利要求2所述的一种基于Docker的网络安全实验平台搭建方法，其特征在，所述镜像管理服务的实验环境分层设计包括：

第一层：运行时依赖层，由主流的各种运行环境构成，包括JDK8、Nodejs、python2、Python3、Golang；

第二层：环境变量层，定义了两类系统变量，第一种用于配置依赖库的路径、数据文件的根目录、启动脚本的路径这些预设信息；另外一种是预设变量，作为运行时才能获得的信息的占位符；

第三层：公共行为层，包含了一组python脚本，定义了一组自动任务，负责监听虚拟节点的健康，向服务发现组件发送心跳信号；同时，周期性地收集节点的网络安全指标信息实时写入本地文件，并同时将另一份完全日志发往组件日志收集中心；

第四层：为一组工具集，包括NetworkManager、ethool、Wireshark，为网络安全实验提供了基础操作的支持。