CN110336799A - 一种面向边缘计算终端的网络防御方法及其终端 - Google Patents

Abstract

本发明公开了一种面向边缘计算终端的网络防御方法及其终端，通过对输入的边缘感知节点分组；计算每组边缘感知节点的平均信任度；根据平均信任度动态调整拟态防御组件变换周期；根据拟态防御组件变换周期重新配置基于网络拟态防御模型的边缘计算终端；并使重新配置后的边缘计算终端对边缘感知节点进行防御处理。从而通过分组处理实现计算量的减少，以及使得系统在周期变化期间对外呈现出不同的系统属性，扰乱了攻击者的判断，并以合理的周期变化减少不必要的防御开销。

Description

一种面向边缘计算终端的网络防御方法及其终端

技术领域

本发明涉及网络安全技术领域，特别是一种面向边缘计算终端的网络防御方法及其终端。

背景技术

信息时代给我们带来生活和工作乐趣的同时，网络安全问题依然困扰着人们。网络空间最严重的安全威胁之一是安全漏洞。漏洞通常是指，在硬件、软件或协议等的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未经授权下访问或破坏信息系统。针对安全漏洞问题，提出了网络拟态防御模型，网络拟态防御模型为网络安全提供了极大的保障。但是当庞大的数据量输入到网络拟态防御模型中，网络拟态防御模型的处理成本就会呈几何般增加，给终端带来严重的负担。

发明内容

本发明的目的在于至少解决现有技术中存在的技术问题之一，提供一种面向边缘计算终端的网络防御方法及其终端，能减少网络拟态防御模型的防御成本。

本发明解决其问题所采用的技术方案是：

本发明的第一方面，提供了一种面向边缘计算终端的网络防御方法，包括以下步骤：

对输入的边缘感知节点采用分级鉴权机制进行分组；

计算分组后的每组边缘感知节点的平均信任度；

根据每组边缘感知节点的平均信任度动态调整拟态防御组件变换周期；

根据拟态防御组件变换周期重新配置基于网络拟态防御模型的边缘计算终端；

重新配置后的边缘计算终端对输入的边缘感知节点进行防御处理。

上述面向边缘计算终端的网络防御方法至少具有以下的有益效果：通过对边缘感知节点进行分组细化处理，并计算每组边缘感知节点计算平均信任度，减少计算量；另外通过调整拟态防御组件变换周期，使得系统在周期变化期间对外呈现出不同的系统属性，扰乱了攻击者的判断，增大了攻击者的扫描探测难度，以及合理的周期变化能够减少不必要的防御开销。

根据本发明的第一方面，所述对输入的边缘感知节点采用分级鉴权机制进行分组具体包括以下步骤：

将边缘感知节点按照参与业务数量划分为一级小组；

将一级小组中的每组边缘感知节点按照参与业务类型再次划分为二级小组。

根据本发明的第一方面，所述计算分组后的每组边缘感知节点的平均信任度具体包括以下步骤：

计算每个时间周期内的每组边缘感知节点的小组信任度，其中小组信任度为和分别是熟悉信任度、相似信任度和行为信任度，ω₁、ω₂和ω₃分别是对应熟悉信任度、相似信任度和行为信任度的权重；

计算每组边缘感知节点的平均信任度，其中平均信任度为N表示信任度计算经历的时间周期总数。

根据本发明的第一方面，所述根据每组边缘感知节点的平均信任度动态调整拟态防御组件变换周期具体为：

根据每组边缘感知节点的平均信任度计算调整参数，其中调整参数为为每组边缘感知节点的总体信任度；

根据调整参数调整拟态防御组件变换周期其中拟态防御组件变换周期的调整方式为

根据本发明的第一方面，所述网络拟态防御模型包括输入代理单元、执行体单元和表决器单元；所述根据拟态防御组件变换周期重新配置基于网络拟态防御模型的边缘计算终端具体为：将输入代理单元、执行体单元和表决器单元的动态变换周期重新配置为拟态防御组件变换周期。

根据本发明的第一方面，所述重新配置后的边缘计算终端对输入的边缘感知节点进行防御处理包括以下步骤：

输入代理单元对边缘感知节点进行初步处理和异常判断，其中所述异常判断为将边缘感知节点分为异常节点和正常节点；

执行体单元对正常节点进行归一化处理；

表决器单元对归一化处理结果进行比较和表决，根据多数一致原则将表决结果作为最终结果输出；

根据异常节点和表决结果从执行体池调度若干执行体至执行体单元替换。

本发明的第二发明，提供了一种应用本发明第一方面所述的面向边缘计算终端的网络防御方法的终端，包括：

输入端口，用于输入边缘感知节点；

分组模块，用于对边缘感知节点采用分级鉴权机制进行分组；

平均信任度计算模块，用于计算分组后的每组边缘感知节点的平均信任度；

周期调整模块，用于根据每组边缘感知节点的平均信任度动态调整拟态防御组件变换周期；

配置模块，用于根据拟态防御组件变换周期重新配置基于网络拟态防御模型的边缘计算终端。

上述终端至少具有以下的有益效果：通过对边缘感知节点进行分组细化处理，并计算每组边缘感知节点计算平均信任度，减少计算量；另外通过调整拟态防御组件变换周期，使得系统在周期变化期间对外呈现出不同的系统属性，扰乱了攻击者的判断，增大了攻击者的扫描探测难度，以及合理的周期变化能够减少不必要的防御开销；进而能减少网络拟态防御模型的防御成本，大大减轻终端的负担。

附图说明

下面结合附图和实例对本发明作进一步说明。

图1是本发明实施例一种面向边缘计算终端的网络防御方法的流程图；

图2是图1中步骤S500的具体流程图；

图3是本发明实施例一种应用面向边缘计算终端的网络防御方法的终端的结构图。

具体实施方式

本部分将详细描述本发明的具体实施例，本发明之较佳实施例在附图中示出，附图的作用在于用图形补充说明书文字部分的描述，使人能够直观地、形象地理解本发明的每个技术特征和整体技术方案，但其不能理解为对本发明保护范围的限制。

在本发明的描述中，若干的含义是一个或者多个，多个的含义是两个以上，大于、小于、超过等理解为不包括本数，以上、以下、以内等理解为包括本数。如果有描述到第一、第二只是用于区分技术特征为目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量或者隐含指明所指示的技术特征的先后关系。

本发明的描述中，除非另有明确的限定，设置、安装、连接等词语应做广义理解，所属技术领域技术人员可以结合技术方案的具体内容合理确定上述词语在本发明中的具体含义。

参照图1，本发明的一个实施例，提供了一种面向边缘计算终端的网络防御方法，包括以下步骤：

步骤S100，对输入的边缘感知节点采用分级鉴权机制进行分组；

步骤S200，计算分组后的每组边缘感知节点的平均信任度；

步骤S300，根据每组边缘感知节点的平均信任度动态调整拟态防御组件变换周期；

步骤S400，根据拟态防御组件变换周期重新配置基于网络拟态防御模型的边缘计算终端；

步骤S500，重新配置后的边缘计算终端对输入的边缘感知节点进行防御处理。

在该实施例中，通过对边缘感知节点进行分组细化处理，并计算每组边缘感知节点计算平均信任度，减少计算量；另外通过调整拟态防御组件变换周期，使得系统在周期变化期间对外呈现出不同的系统属性，扰乱了攻击者的判断，增大了攻击者的扫描探测难度，以及合理的周期变化能够减少不必要的防御开销。

进一步，由于参与业务数量相同且参与业务类型也相同边缘感知节点具有相似的信任度，因此对输入的边缘感知节点采用分级鉴权机制进行分组。

具体地，步骤S100包括：

步骤S110，将边缘感知节点按照参与业务数量划分为一级小组；

步骤S120，将一级小组中的每组边缘感知节点按照参与业务类型再次划分为二级小组。

进一步，步骤S200具体包括以下步骤：

步骤S210，计算每个时间周期内的每组边缘感知节点的小组信任度，其中小组信任度为和分别是熟悉信任度、相似信任度和行为信任度，ω₁、ω₂和ω₃分别是对应熟悉信任度、相似信任度和行为信任度的权重，ω₁、ω₂和ω₃的取值范围均在[0,1]内，且有ω₁+ω_2s+ω₃＝1，以保证的范围也在[0,1]内；

步骤S220，计算每组边缘感知节点的平均信任度，其中平均信任度为N表示信任度计算经历的时间周期总数。

需要说明的是，熟悉信任度T_f是边缘感知节点与边缘计算终端之间数据交互程度形成的信任度，主要取决于边缘感知节点与边缘计算终端之间数据交互数量统计值，当边缘感知节点与边缘计算终端的交互程度越高则熟悉信任度越高。数据交互数量的取值为边缘感知节点与边缘计算终端之间发送信息数量或接收信息数量的最小值，这样有助于防止恶意攻击节点通过故意增加数据交互量以提升自身信任值。边缘感知节点A和边缘计算终端B之间进行信息数据的交互，那么在一定时间周期T_i,(0≤i≤n)内，A发送给B的数据信息数量为C_A→B，A接收到B数据数量为C_B→A，那么就可以得出边缘感知节点A和边缘计算终端B之间的数据交互量为：在此基础上，熟悉信任度由边缘感知节点A和边缘计算终端B间的数据交互量在边缘计算终端B的总数据交互量的占比确定，即：

相似信任度T_s是边缘感知节点与边缘计算终端参与相同的业务类型形成的信任度。如果边缘感知节点访问或者参与的大部分业务类型和边缘计算终端参与的业务类型是相同的，那么这个边缘感知节点的相似信任度就较高。反之则相应的边缘感知节点的相似信任度就较低。根据此，用表示边缘感知节点A和边缘计算终端B参与的相同业务类型的数量，表示边缘感知节点A参与的业务类型总量。同样的，用表示边缘计算终端B和边缘感知节点A参与的相同业务类型的数量，表示边缘计算终端B参与的业务类型总量。则相似信任度为：

行为信任度T_b是边缘感知节点在动态交互过程中的行为特征形成的信任度。数据交互延迟是行为信任度计算的重要指标，用表示边缘感知节点的数据交互延迟，的取值范围为[0,λ]，超出λ则认为边缘感知节点遭受了攻击或存在恶意行为。行为信任度为

进一步，步骤S300具体为：

步骤S310，根据每组边缘感知节点的平均信任度计算调整参数，其中调整参数为为每组边缘感知节点的总体信任度；

步骤S320，根据调整参数调整拟态防御组件变换周期其中拟态防御组件变换周期的调整方式为据此，拟态防御组件变换周期将随着边缘感知节点的平均信任度减少而减少，随着边缘感知节点的平均信任度降低增加而增加，以满足主动防御的需要并尽可能地减少不必要的开销。

进一步，所述网络拟态防御模型包括输入代理单元6、执行体单元7和表决器单元9。在步骤S400中，得到拟态防御组件变换周期后，将输入代理单元6、执行体单元7和表决器单元9的动态变换周期重新配置为拟态防御组件变换周期

参照图2，进一步，步骤S500包括以下步骤：

步骤S510，输入代理单元6对边缘感知节点进行初步处理和异常判断，其中所述异常判断为将边缘感知节点分为异常节点和正常节点；

步骤S520，执行体单元7对正常节点进行归一化处理；

步骤S530，表决器单元9对归一化处理结果进行比较和表决，根据多数一致原则将表决结果作为最终结果输出；

步骤S540，调度单元10按照动态调度算法根据异常节点和表决结果从执行体池8调度若干执行体至执行体单元7，替换执行体单元7中的具有异常输出的执行体，实现动态调度。

需要说明的是，执行体单元7具有P个执行体，执行体池8具有Q个执行体，其中Q>P。执行体单元7是系统从执行体池8获取具有功能性的执行体，并使执行体经过多维重构和调度单元10的策略调度而形成的。

另外，在防御处理期间，由于重新配置拟态防御组件变换周期，使得终端系统在周期变化期间对外呈现出不同的系统属性，扰乱了攻击者的判断，增大了攻击者的扫描探测难度，以及合理的周期变化能够减少不必要的防御开销；进而能减少网络拟态防御模型的防御成本，大大减轻终端的负担。

参照图3，本发明的另一个实施例，提供了一种应用上述的面向边缘计算终端的网络防御方法的终端，包括：

输入端口1，用于输入边缘感知节点；

分组模块2，用于对边缘感知节点采用分级鉴权机制进行分组；

平均信任度计算模块3，用于计算分组后的每组边缘感知节点的平均信任度；

周期调整模块4，用于根据每组边缘感知节点的平均信任度动态调整拟态防御组件变换周期；

配置模块5，用于根据拟态防御组件变换周期重新配置基于网络拟态防御模型的边缘计算终端。

所述终端还包括：

输入代理单元6，用于对边缘感知节点进行初步处理和异常判断，其中所述异常判断为将边缘感知节点分为异常节点和正常节点；

执行体单元7，用于对正常节点进行归一化处理，具有P个执行体，是从执行体池8获取具有功能性的执行体，并使执行体经过多维重构和调度单元10的策略调度而形成的；

执行体池8，具有Q个执行体，其中Q>P；

表决器单元9，用于对归一化处理结果进行比较和表决，根据多数一致原则将表决结果作为最终结果输出；

调度单元10，用于按照动态调度算法根据异常节点和表决结果从执行体池8调度若干执行体至执行体单元7，替换执行体单元7中的具有异常输出的执行体，实现动态调度；

输出端口11，用于输出表决结果。

在该实施例中，通过对边缘感知节点进行分组细化处理，并计算每组边缘感知节点计算平均信任度，减少计算量；另外通过调整拟态防御组件变换周期，使得系统在周期变化期间对外呈现出不同的系统属性，扰乱了攻击者的判断，增大了攻击者的扫描探测难度，以及合理的周期变化能够减少不必要的防御开销；进而能减少网络拟态防御模型的防御成本，大大减轻终端的负担。

以上所述，只是本发明的较佳实施例而已，本发明并不局限于上述实施方式，只要其以相同的手段达到本发明的技术效果，都应属于本发明的保护范围。

Claims (7)

1.一种面向边缘计算终端的网络防御方法，其特征在于，包括以下步骤：

对输入的边缘感知节点采用分级鉴权机制进行分组；

计算分组后的每组边缘感知节点的平均信任度；

根据每组边缘感知节点的平均信任度动态调整拟态防御组件变换周期；

根据拟态防御组件变换周期重新配置基于网络拟态防御模型的边缘计算终端；

重新配置后的边缘计算终端对输入的边缘感知节点进行防御处理。

2.根据权利要求1所述的一种面向边缘计算终端的网络防御方法，其特征在于，所述对输入的边缘感知节点采用分级鉴权机制进行分组具体包括以下步骤：

将边缘感知节点按照参与业务数量划分为一级小组；

将一级小组中的每组边缘感知节点按照参与业务类型再次划分为二级小组。

3.根据权利要求1所述的一种面向边缘计算终端的网络防御方法，其特征在于，所述计算分组后的每组边缘感知节点的平均信任度具体包括以下步骤：

计算每个时间周期内的每组边缘感知节点的小组信任度，其中小组信任度为 和分别是熟悉信任度、相似信任度和行为信任度，ω₁、ω₂和ω₃分别是对应熟悉信任度、相似信任度和行为信任度的权重；

计算每组边缘感知节点的平均信任度，其中平均信任度为N表示信任度计算经历的时间周期总数。

4.根据权利要求1所述的一种面向边缘计算终端的网络防御方法，其特征在于，所述根据每组边缘感知节点的平均信任度动态调整拟态防御组件变换周期具体为：

根据每组边缘感知节点的平均信任度计算调整参数，其中调整参数为 为每组边缘感知节点的总体信任度；

根据调整参数调整拟态防御组件变换周期其中拟态防御组件变换周期的调整方式为

5.根据权利要求1所述的一种面向边缘计算终端的网络防御方法，其特征在于，所述网络拟态防御模型包括输入代理单元、执行体单元和表决器单元；所述根据拟态防御组件变换周期重新配置基于网络拟态防御模型的边缘计算终端具体为：将输入代理单元、执行体单元和表决器单元的动态变换周期重新配置为拟态防御组件变换周期。

6.根据权利要求5所述的一种面向边缘计算终端的网络防御方法，其特征在于，所述重新配置后的边缘计算终端对输入的边缘感知节点进行防御处理包括以下步骤：

输入代理单元对边缘感知节点进行初步处理和异常判断，其中所述异常判断为将边缘感知节点分为异常节点和正常节点；

执行体单元对正常节点进行归一化处理；

表决器单元对归一化处理结果进行比较和表决，根据多数一致原则将表决结果作为最终结果输出；

根据异常节点和表决结果从执行体池调度若干执行体至执行体单元替换。

7.一种应用根据权利要求1-6任一项所述的面向边缘计算终端的网络防御方法的终端，其特征在于，包括：

输入端口，用于输入边缘感知节点；

分组模块，用于对边缘感知节点采用分级鉴权机制进行分组；

平均信任度计算模块，用于计算分组后的每组边缘感知节点的平均信任度；

周期调整模块，用于根据每组边缘感知节点的平均信任度动态调整拟态防御组件变换周期；

配置模块，用于根据拟态防御组件变换周期重新配置基于网络拟态防御模型的边缘计算终端。