CN110177080A - 拟态交换机、网络设备及系统 - Google Patents

Abstract

本发明属于网络数据交换设备领域，特别涉及一种拟态交换机、网络设备及系统，该拟态交换机包含：交换芯片，用于作为数据转发实体，完成对端数据的按规则转发；拟态调度器，用于负责报文数据上送至异构控制引擎执行体和下发至交换芯片的拟态调度；若干异构控制引擎执行体，用于接收拟态调度器上送报文并通过异构等价功能执行体进行数据处理和反馈。本发明通过在控制层引入异构控制引擎以及调度器来实现控制层的动态异构冗余，针对未知漏洞、木马以及后门等，保证动态系统无缝切换，具有冗余性、异构性、动态性、负反馈特性、去服务颠簸特性、安全模式划分、内生安全特性、防御兼容性等优点，对网络交换设备发展具有重要的指导意义。

Description

拟态交换机、网络设备及系统

技术领域

本发明属于网络数据交换设备领域，特别涉及一种拟态交换机、网络设备及系统。

背景技术

随着互联网的发展，人们对网络的需求日益增加，网络日益复杂，交换机承载着网络枢纽的作用，所以，保证交换机的正常工作是非常重要的。当前，随着“棱镜门”、Intel处理器“熔断&幽灵”漏洞的发现，网络安全问题已经引起网络安全领域、甚至各个国家的重视。在交换机领域也不断的爆出各种漏洞和后门，比如2018年初，思科自曝318款交换机有漏洞，可能已遭渗透等等。交换机的安全可靠性成为当前交换机设计的重中之重。

当前高安全交换机设计领域，主要是通过被动防御技术解决网络攻击和后门漏洞问题。主要的防御方式包括：访问列表控制、抗DDoS泛洪、加密技术、蜜罐技术等。访问列表控制、抗DDoS泛洪等技术需要通过处理器下发配置信息，配置交换芯片相应功能模块进行实现，配置信息无法保证不被篡改；加密技术需要增加复杂的额外功能模块，提升了交换机的设计复杂度并且对交换机性能有一定的影响；蜜罐技术需要增加额外功能模块，并进行攻击模拟会增加系统的负载。当前交换机防御技术虽然能够在一定程度上解决当前的安全问题，但不能够更有效地解决日益演变的攻击手段和未知后门、未知漏洞和未知木马。针对当前交换机的防御技术特点，如何针对未知漏洞、未知后门以及未知木马进行防御；如何实现特定攻击针对冗余控制引擎的协同攻击；如何保证动态系统的无缝切换，无服务颠簸；如何解决针对不同的安全需求、资源限制的情况下交换机配置问题，已成为亟待解决的技术问题。

发明内容

为此，本发明提供一种拟态交换机、网络设备及系统，针对未知漏洞、木马以及后门等，通过引入拟态等安全思想来保证动态系统的无缝切换、无服务颠簸，进一步保证网络通信的安全性和可靠性。

按照本发明所提供的设计方案，一种拟态交换机，包含：交换芯片、拟态调度器和若干异构控制引擎执行体，其中，

交换芯片，用于作为数据转发实体，完成对端数据的按规则转发；

拟态调度器，用于负责报文数据上送至异构控制引擎执行体和下发至交换芯片的拟态调度；

若干异构控制引擎执行体，用于接收拟态调度器上送报文并通过异构等价功能执行体进行数据处理和反馈。

上述的，异构控制引擎执行体中，通过采用异构协议栈、异构操作系统及异构处理器来实现等价功能，并通过通信接口与拟态调度器进行通信；异构控制引擎执行体数量依据系统安全性需求及系统资源进行设定。

优选的，异构处理器选用通用处理器中的一种；操作系统选用交换机操作系统中的一种；协议栈选用功能等价结构不同的等价协议栈或经过多样化编译的专用交换机协议栈；所述通信接口选用通用接口中的一种。

更进一步，所述通用处理器为PowerPC、ARM或MIPS；所述通用接口为以太网接口或PCIE接口

上述的，所述拟态调度器包括拟态策略模块，与拟态策略模块连接的拟态判决模块、数据复制分发模块和清洗管理模块，及用于与交换芯片和异构控制引擎执行体通信的接口协议解析模块，其中，

接口协议解析模块，用于对异构控制引擎执行体下发或者来自交换芯片的报文数据进行解析，并将解析后的报文数据发送至拟态判决模块；

数据复制分发模块，用于根据拟态策略将上送报文数据或清洗指令数据发送至异构控制引擎执行体；

拟态判决模块，用于对下发报文数据进行拟态判决，依据判决结果将对应报文数据反馈至数据复制分发模块或交换芯片进行数据输送，并记录判决历史数据；

清洗管理模块，用于将拟态策略下达的清洗指令通过数据复制分发模块发送至对应异构控制引擎执行体；

拟态策略模块，用于依据拟态策略控制数据复制分发模块上行业务数据分发、异构控制引擎执行体工作状态及拟态判决模块仲裁方式。

优选的，拟态策略根据拟态判决模块反馈判决结果进行实时动态变化。

优选的，所述拟态调度器还包含用于将数据复制分发模块、拟态判决模块与异构控制引擎执行体之间通信数据进行均衡调度的流量均衡调度模块。

优选的，拟态调度模块通过独立通用接口与远程网关系统或用户终端连接。

进一步，本发明还提供一种网络设备，基于上述的拟态交换机结构进行网络数据交互。

进一步，本发明还提供一种网络系统，包括路由器、交换机、服务器和光传输设备，所述的交换机采用上述的拟态交换机。

本发明的有益效果：

本发明通过在控制层引入异构控制引擎以及调度器来实现控制层的动态异构冗余，与普通的交换机的单控制引擎相比，拟态交换机增加控制引擎的个数从而提升了系统的可靠性；拟态交换机的异构引擎与普通的冗余备份不同，拟态交换机控制引擎的异构性使得单控制引擎可能存在的漏洞、木马、后门在进行拟态判决时无法执行其报文修改或者窃取行为；拟态交换机通过动态的切换异构控制引擎，使得攻击者无法确定异构控制引擎的工作状态，从而无法准确地利用漏洞、激活木马或者打开后门；拟态交换机通过记录历史信息，使用拟态判决算法来决定清洗受攻击或者存在漏洞、木马、后门的异构引擎来，提高针对攻击行为的防御策略，即进一步提高拟态交换机的可靠性和鲁棒性；拟态交换机对历史数据进行缓存管理，从而有效缓解了动态切换过程中的服务颠簸；通过本发明可以对安全模式进行划分，并根据网络环境需求进行安全模式切换，这样可以保证在安全模式满足安全需求的情况下，最优化资源利用；拟态交换机通过引入动态异构冗余的架构，使其自身拥有针对未知漏洞、木马以及后门的免疫特性，没有通过增加额外的安全模块就可以达到高可靠性和高鲁棒性；拟态交换机不排斥传统防御技术，可以通过引入传统防御技术在高安全的基础上进一步增加交换机的可靠性和鲁棒性，对网络交换设备技术发展具有重要的指导意义。

附图说明：

图1为实施例中拟态交换机结构示意图；

图2为实施例中拟态调度器结构示意图；

图3为实施例中拟态交换机实时逻辑原理示意图；

图4为实施例中盒式交换机示意图；

图5为实施例中机架式交换机示意图。

具体实施方式：

为使本发明的目的、技术方案和优点更加清楚、明白，下面结合附图和技术方案对本发明作进一步详细的说明。

网络交换是指通过交换机等设备，将不同的信号或者信号形式转换为对方可识别的信号类型从而达到通信目的的一种交换形式，常见的有：数据交换，线路交换，报文交换，分组交换。在计算机网络中，按照交换层次的不同，网络交换可以分为物理层交换(如电话网)、链路层交换(二层交换，对MAC地址进行变更)、网络层交换(三层交换，对IP地址进行变更)、传输层交换(四层交换，对端口进行变更，比较少见)和应用层交换(似乎可以理解为Web网关等)。随着网络的日益复杂以及数据流量的飙升，交换设备的安全性和可靠性显得格外重要。为此，本发明实施例中，参见图1所示，提供一种拟态交换机，包含：交换芯片、拟态调度器和若干异构控制引擎执行体，其中，

交换芯片，用于作为数据转发实体，完成对端数据的按规则转发；

拟态调度器，用于负责报文数据上送至异构控制引擎执行体和下发至交换芯片的拟态调度；

若干异构控制引擎执行体，用于接收拟态调度器上送报文并通过异构等价功能执行体进行数据处理和反馈。

拟态调度器作为异构控制引擎和交换芯片的桥梁，负责报文上送和下发数据的拟态调度；所述异构控制引擎接收来自拟态调度器的上送报文并进行数据处理，并向拟态调度器提供下发报文；所述交换芯片作为数据转发的实体，主要完成对端数据的按规则转发。

进一步地，本发明实施例中，异构控制引擎执行体中，通过采用异构协议栈、异构操作系统及异构处理器来实现等价功能，并通过通信接口与拟态调度器进行通信；异构控制引擎执行体数量依据系统安全性需求及系统资源进行设定。参见图3所示，若干异构控制引擎互为异构等价功能体，即结构不同功能相同的执行体；通过异构协议栈、异构操作系统、异构处理器的不同实现所述异构等价功能体的结构。优选的，异构处理器选用通用处理器中的一种；操作系统选用交换机操作系统中的一种；协议栈选用功能等价结构不同的等价协议栈或经过多样化编译的专用交换机协议栈；所述通信接口选用通用接口中的一种。进一步，通用处理器为PowerPC、ARM或MIPS；所述通用接口为以太网接口或PCIE接口。异构控制引擎作为异构等价功能体，即结构不同功能相同的执行体，执行具体的协议数据处理、未知报文处理、表项管理、系统控制权限管理、系统日志管理等功能。处于工作状态的异构控制引擎接收来自拟态调度器的上送报文并进行相关的处理，并向拟态调度器模块提供下发报文。各个异构控制引擎的工作状态包括工作、空闲、清洗三个状态，需要根据安全状况通过拟态调度器的反馈结果针对部分异构控制引擎进行复位/清洗/中断等操作，从而达到动态切换异构冗余的效果。拟态交换机中的异构控制引擎执行体的数量n则由安全性需求以及资源限制来共同决定，一般可设定不少于三个。图3中，异构控制引擎执行体数量为3个，异构控制引擎1/2/3选用Power PC、ARM、MIPS等多种通用处理器架构，必须保证三种控制引擎的异构性，三种控制引擎所用操作系统使用Linux、VxWorks以及其他交换机操作系统，协议栈可以是功能等价结构不同的等价协议栈，也可以是经过多样化编译的专用交换机协议栈；各异构控制引擎与调度器的接口为以太网接口、PCIE接口等通用接口。

进一步地，参见图2所示，拟态调度器包括拟态策略模块，与拟态策略模块连接的拟态判决模块、数据复制分发模块和清洗管理模块，及用于与交换芯片和异构控制引擎执行体通信的接口协议解析模块，其中，

接口协议解析模块，用于对异构控制引擎执行体下发或者来自交换芯片的报文数据进行解析，并将解析后的报文数据发送至拟态判决模块；

数据复制分发模块，用于根据拟态策略将上送报文数据或清洗指令数据发送至异构控制引擎执行体；

拟态判决模块，用于对下发报文数据进行拟态判决，依据判决结果将对应报文数据反馈至数据复制分发模块或交换芯片进行数据输送，并记录判决历史数据，以保留待清洗异构控制引擎的现场数据；

清洗管理模块，用于将拟态策略下达的清洗指令通过数据复制分发模块发送至对应异构控制引擎执行体；

拟态策略模块，用于依据拟态策略控制数据复制分发模块上行业务数据分发、异构控制引擎执行体工作状态及拟态判决模块仲裁方式。

图2中，拟态调度器作为异构处理器和交换芯片的桥梁，负责报文上送和下发数据的拟态调度，向各个异构控制引擎提供上述通用接口，并向交换芯片提供上述通用接口，此外提供一组供用户或者网管系统使用的上述独立通用接口。如图2、3所示，首先，拟态调度器通过接口协议解析模块对处理器下发或者来自交换芯片需要上送到处理器的上送物理层报文的解析，解析出的报文便于调度器对上送报文或下发报文的复制分发或者进行拟态判决。针对上送报文，复制分发模块根据拟态策略上送报文至异构处理器或者上送清洗异构处理器相关训练数据。拟态判决模块为整个拟态调度器的核心部分，该模块针对下发的数据进行拟态判决，拟态判决算法由拟态策略提供，根据判决结果进行正确数据的输出以及判决历史数据的记录，以保留待清洗异构控制引擎的现场。清洗管理模块根据拟态策略模块下达的清洗指令通过向异构处理器发送清洗数据进行清洗。拟态策略模块中拟态策略控制拟态调度器的工作模式：控制上行业务数据的分发，控制异构控制引擎的工作状态(如运行、待调用运行、清洗以及空闲等状态)，控制拟态判决的仲裁方式(如大数表决算法、基于历史信息的表决算法等)；进一步，拟态策略可同时根据拟态判决模块反馈的判决结果进行实时动态变化。此外，拟态调度器实时主动地监控拟态调度器模块的系统运行状态，一旦发现系统异常，则发送事件上报数据给远程网管系统。

交换芯片作为数据转发的实体，主要完成对端数据的按规则转发。交换芯片可以是传统的交换芯片，也可以是可编程交换芯片以及SDN交换芯片。

进一步地，拟态调度器还包含用于将数据复制分发模块、拟态判决模块与异构控制引擎执行体之间通信数据进行均衡调度的流量均衡调度模块，有效保证数据分发过程中负载均衡，提高数据交互的稳定性。

进一步地，拟态调度模块通过独立通用接口与远程网关系统或用户终端连接，实现拟态调度器实时主动监控系统的运行状态并反馈至用户终端或远程网管系统，一旦发现系统异常，则发送事件上报数据。

进一步，本发明实施例还提供一种盒式交换机，参见图4所示，基于上述的拟态交换机结构实现数据交互，各异构控制引擎执行体、拟态调度器和交换芯片以子卡或专用芯片或FPGA方式共同挂在交换机母板上，或拟态调度器和各异构控制引擎执行体整合在专用芯片或FPGA内挂在交换机母板上。

进一步，本发明实施例还提供一种机架式交换机，参见图5所示，包含主控设备，多个交互设备，和用于主控设备和多个交互设备通信连接的可扩展插槽；主控设备和多个交互设备均基于上述的拟态交换机结构实现数据交互。

本发明实施例中所提的异构控制引擎执行体的数量n根据安全需求以及资源限制情况进行选择，一般不少于三个；其异构性包括使用不同厂家的协议栈、操作系统、处理器架构，任何使用同构协议栈在不同编译环境下生成的源文件的异构控制引擎也在本专利的保护范围之内。

进一步，本发明实施例还提供一种网络设备，基于上述的拟态交换机结构进行网络数据交互。

进一步，本发明实施例还提供一种网络系统，包括路由器、交换机、服务器和光传输设备，所述的交换机采用上述的拟态交换机。

除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对步骤、数字表达式和数值并不限制本发明的范围。

基于上述的方法，本发明实施例还提供一种服务器，包括：一个或多个处理器；存储装置，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现上述的方法。

基于上述的方法，本发明实施例还提供一种计算机可读介质，其上存储有计算机程序，其中，该程序被处理器执行时实现上述的方法。

本发明实施例所提供的装置，其实现原理及产生的技术效果和前述方法实施例相同，为简要描述，装置实施例部分未提及之处，可参考前述方法实施例中相应内容。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统和装置的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在这里示出和描述的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制，因此，示例性实施例的其他示例可以具有不同的值。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

附图中的流程图和框图显示了根据本发明的多个实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个处理器可执行的非易失的计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上所述实施例，仅为本发明的具体实施方式，用以说明本发明的技术方案，而非对其限制，本发明的保护范围并不局限于此，尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，其依然可以对前述实施例所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本发明实施例技术方案的精神和范围，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (10)

1.一种拟态交换机，其特征在于，包含：交换芯片、拟态调度器和若干异构控制引擎执行体，其中，

交换芯片，用于作为数据转发实体，完成对端数据的按规则转发；

拟态调度器，用于负责报文数据上送至异构控制引擎执行体和下发至交换芯片的拟态调度；

若干异构控制引擎执行体，用于接收拟态调度器上送报文并通过异构等价功能执行体进行数据处理和反馈。

2.根据权利要求1所述的拟态交换机，其特征在于，异构控制引擎执行体中，通过采用异构协议栈、异构操作系统及异构处理器来实现等价功能，并通过通信接口与拟态调度器进行通信；异构控制引擎执行体数量依据系统安全性需求及系统资源进行设定。

3.根据权利要求2所述的拟态交换机，其特征在于，异构处理器选用通用处理器中的一种；操作系统选用交换机操作系统中的一种；协议栈选用功能等价结构不同的等价协议栈或经过多样化编译的专用交换机协议栈；所述通信接口选用通用接口中的一种。

4.根据权利要求3所述的拟态交换机，其特征在于，所述通用处理器为PowerPC、ARM或MIPS；所述通用接口为以太网接口或PCIE接口。

5.根据权利要求1所述的拟态交换机，其特征在于，所述拟态调度器包括拟态策略模块，与拟态策略模块连接的拟态判决模块、数据复制分发模块和清洗管理模块，及用于与交换芯片和异构控制引擎执行体通信的接口协议解析模块，其中，

接口协议解析模块，用于对异构控制引擎执行体下发或者来自交换芯片的报文数据进行解析，并将解析后的报文数据发送至拟态判决模块；

数据复制分发模块，用于根据拟态策略将上送报文数据或清洗指令数据发送至异构控制引擎执行体；

拟态判决模块，用于对下发报文数据进行拟态判决，依据判决结果将对应报文数据反馈至数据复制分发模块或交换芯片进行数据输送，并记录判决历史数据；

清洗管理模块，用于将拟态策略下达的清洗指令通过数据复制分发模块发送至对应异构控制引擎执行体；

拟态策略模块，用于依据拟态策略控制数据复制分发模块上行业务数据分发、异构控制引擎执行体工作状态及拟态判决模块仲裁方式。

6.根据权利要求5所述的拟态交换机，其特征在于，拟态策略根据拟态判决模块反馈判决结果进行实时动态变化。

7.根据权利要求5所述的拟态交换机，其特征在于，所述拟态调度器还包含用于将数据复制分发模块、拟态判决模块与异构控制引擎执行体之间通信数据进行均衡调度的流量均衡调度模块。

8.根据权利要求5所述的拟态交换机，其特征在于，拟态调度模块通过独立通用接口与远程网关系统或用户终端连接。

9.一种网络设备，其特征在于，基于权利要求1～8任一项所述的拟态交换机结构进行网络数据交互。

10.一种网络系统，包括路由器、交换机、服务器和光传输设备，其特征在于，所述的交换机采用权利要求1～8任一项所述的拟态交换机。