CN111181926B - 一种基于拟态防御思想的安全设备及其运行方法 - Google Patents

Abstract

本发明提供一种基于拟态防御思想的安全设备及其运行方法。该安全设备包括：管理面和数据面，管理面采用基于拟态防御思想的动态异构冗余框架，用于对用户输入的数据进行处理，并将处理结果重新封装后发送至数据面；数据面包括：动态数据模块、动态协议模块、动态标识模块和动态拓扑模块；数据面用于在对接收到的输入数据分类后，利用动态数据模块、动态协议模块、动态标识模块和动态拓扑模块对数据进行相应的动态变换处理并将动态变换处理后数据重新封装后发送至外部线路。本发明通过持续地将数据、协议、标识、拓扑等部分添加扰动与变换，能够抵御针对受保护目标的网络攻击行为。

Description

一种基于拟态防御思想的安全设备及其运行方法

技术领域

本发明涉及网络空间安全技术领域，尤其涉及一种基于拟态防御思想的安全设备及其运行方法。

背景技术

内部网络作为一种常用的组网形态，因具备通信带宽大、管理灵活等优势而广泛应用于政府、企业、高校、医疗等诸多领域。虽然传统的依赖于先验知识的基于区域划分和边界防护等思路的防护设备，如防火墙、病毒查杀、访问控制、数据加密等，可以对内部网络起到较好的防护效果，但随着各种高级攻击手段的出现（如高级持续性威胁（AdvancedPersistent Threat， APT），典型的有近年来多次造成重大威胁和破坏的勒索病毒事件），使得传统的防护手段面临严峻的挑战。同时，由于现有内部网络的拓扑、终端标识、协议指纹等信息的静态性都给攻击者提供了充足的时间来进行攻击准备。这些高级网络攻击通过持续、不定期对目标进行信息收集，进而掌握目标网络和系统存在的各种类型的已知甚至未知软硬件漏洞后门，并制定精确的攻击计划，逐步渗透到目标设备或应用，窃取内部信息、控制内部网络或设备甚至进行破坏。近几年的网络安全事件表明这些潜在的网络安全威胁已经成为内部网络的重大安全隐患。虽然目前已有一些文献对相关内容进行了研究，例如中国专利文献CN110113333A公开了一种TCP/IP协议指纹动态化处理方法及装置，该专利文献主要从动态改变协议指纹这一角度出发对内部网络安全进行防护；还有一些是从IP、MAC或端口等单一的标识维度进行调边，出发点比较单一；且包括上述专利文献在内的现有文献一般都忽略了自身管理面的安全性问题，不能很好地将“防他人”和“防自身”进行融合，从而提高内部网络的安全性能。

发明内容

针对现有的网络安全技术存在的标识维度单一、忽略自身管理面的安全性的问题，本发明提供一种基于拟态防御思想的安全设备及其运行方法。

本发明提供一种基于拟态防御思想的安全设备，包括：管理面和数据面；

所述管理面采用基于拟态防御思想的动态异构冗余框架，用于对用户输入的数据进行处理，并将处理结果重新封装后发送至数据面；

所述数据面包括：动态数据模块、动态协议模块、动态标识模块和动态拓扑模块；所述数据面，用于在对接收到的输入数据分类后，根据数据类型利用所述动态数据模块、动态协议模块、动态标识模块和动态拓扑模块对数据进行相应的动态变换处理，并将动态变换处理后数据重新封装后发送至外部线路；其中：

动态数据模块，用于对输入的数据进行动态变换；

动态协议模块，用于改变输入数据中反映系统运行协议的对外特征呈现；

动态标识模块，用于改变被保护网络的标识呈现；

动态拓扑模块，用于改变被保护网络的组网拓扑呈现。

进一步地，所述管理面包括多个功能等价的异构执行体、代理模块、裁决模块和调度与清洗模块；其中：

多个异构执行体，用于对接收的数据进行独立处理，将处理结果发送至裁决模块；

所述代理模块，用于对用户输入的数据进行复制以分别发送至多个异构执行体；以及用于对裁决模块发送的判决结果进行封装并发送至数据面；

所述裁决模块，用于对多个异构执行体的处理结果进行判决，将判决结果发送至代理模块；若根据判决结果确定存在异常，则将异常信息发送至调度与清洗模块；

所述调度与清洗模块，用于在接收到异常信息后对可疑的异构执行体进行清洗与调度处理，并将相关处理信息发送至裁决模块和代理模块。

进一步地，所述管理面和所述数据面在不同系统中运行。

本发明还提供一种基于拟态防御思想的安全设备运行方法，包括：

步骤1：管理面对用户输入的数据进行处理，并将处理结果重新封装后发送至数据面，所述管理面采用基于拟态防御思想的动态异构冗余框架；

步骤2：数据面接收输入数据，在对接收到的输入数据分类后，根据数据类型利用数据面中的动态数据模块、动态协议模块、动态标识模块和动态拓扑模块对数据进行相应的动态变换处理；其中，动态数据模块对输入的数据进行动态变换；动态协议模块改变输入数据中反映系统运行协议的对外特征呈现；动态标识模块改变被保护网络的标识呈现；动态拓扑模块改变被保护网络的组网拓扑呈现；

步骤3：数据面将动态变换处理后数据重新封装后发送至外部线路。

进一步地，所述管理面包括多个功能等价的异构执行体、代理模块、裁决模块和调度与清洗模块；相应地，步骤1具体为：

步骤1.1：代理模块对用户输入的数据进行复制并分别发送至多个异构执行体；

步骤1.2：多个异构执行体对接收的数据进行独立处理，将处理结果发送至裁决模块；

步骤1.3：裁决模块对多个异构执行体的处理结果进行判决，将判决结果发送至代理模块；以及根据判决结果确定是否存在异常：若是，则将异常信息发送至调度与清洗模块；

步骤1.4：调度与清洗模块在接收到异常信息后对可疑的异构执行体进行清洗与调度处理，并将相关处理信息发送至裁决模块和代理模块；

步骤1.5：代理模块对裁决模块发送的判决结果进行封装并发送至数据面。

进一步地，所述管理面和所述数据面在不同系统中运行。

本发明的有益效果：

本发明提供的安全设备及其运行方法，在不依赖于攻击先验知识、攻击者攻击途径和行为特征的条件下，通过持续地将数据、协议、标识、拓扑等部分添加扰动与变换，在多个维度的有机协同下使攻击准备阶段收集到的信息快速“老化”，攻击者被迫持续处于信息收集阶段，且不能形成有效信息的积累，能够抵御来自数据平面和用户接口的网络攻击行为。本发明不仅可以对目标网络进行防护，还可以实现对自身安全进行防护。通过在管理面引入基于拟态防御思想的动态异构冗余框架，在基础硬件平台、操作系统、管理应用等层面进行异构化处理，同时，对可疑的探测行为可以及时地告警和隔离，并通过动态调度、清洗和裁决处理，进一步增强安全能力，提高系统自身的安全性。

附图说明

图1为本发明实施例提供的一种基于拟态防御思想的安全设备的结构示意图；

图2为本发明实施例提供的一种基于拟态防御思想的安全设备运行方法的流程示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，本发明实施例提供一种基于拟态防御思想的安全设备，包括：管理面和数据面；所述管理面采用基于拟态防御思想的动态异构冗余框架；管理面用于对所述用户输入的数据进行处理，并将处理结果发送至数据面；所述管理面包括多个功能等价的异构执行体、代理模块、裁决模块和调度与清洗模块；其中，多个异构执行体用于对接收的数据进行独立处理，将处理结果发送至裁决模块；所述代理模块用于对用户输入的数据进行复制并分别发送至多个异构执行体；以及用于对裁决模块发送的判决结果进行封装并发送至数据面；所述裁决模块用于对多个异构执行体的处理结果进行判决，将判决结果发送至代理模块；若根据判决结果确定存在异常，则将异常信息发送至调度与清洗模块；所述调度与清洗模块用于在接收到异常信息后对可疑的异构执行体进行清洗与调度处理，并将相关处理信息发送至裁决模块和代理模块。

多个异构执行体所在的执行环境是异构的，如采用不同的程序语言、不同的处理算法，运行在不同的操作系统（如Windows、Linux等）上，运行在采用不同CPU（如X86、ARM、MIPS及PowerPC）的物理服务器上等。

多个异构执行体的功能是等价的，即各执行体对于用户定义的正常输入，应产生用户期望的输出结果，而对于非正常的故障、攻击等有不同表现。

所述数据面包括：动态数据模块、动态协议模块、动态标识模块和动态拓扑模块；数据面用于在对接收到的输入数据分类后，根据数据类型利用所述动态数据模块、动态协议模块、动态标识模块和动态拓扑模块对对数据进行相应的动态变换处理，并将动态变换处理后数据重新封装后发送至外部线路；其中，动态数据模块用于对输入的数据进行动态变换；动态协议模块用于改变输入数据中反映系统运行协议的对外特征呈现；动态标识模块用于改变被保护网络的标识呈现；动态拓扑模块用于改变被保护网络的组网拓扑呈现。

具体地，动态数据模块执行动态变换功能，如对数据进行加扰改变对外呈现，或增加指纹信息确保其独立性等。动态协议模块改变系统运行协议的对外呈现特征，包括网络层、传输层和应用层等，如改变TCP协议在不同操作系统的指纹。动态标识模块改变被保护网络终端的标识呈现，如网络层IP地址、应用端口、设备类型等，以对外呈现出不确定性。动态拓扑模块改变被保护网络的组网拓扑呈现，即将物理拓扑与视在拓扑解耦，呈现多样化。

为了进一步提高安全设备的自身安全性，所述数据面和所述管理面在不同系统中运行。

本发明实施例提供的安全设备，管理面采用了基于拟态防御思想的动态异构冗余框架，在基础硬件平台、操作系统、管理应用等层面进行异构化处理，同时，对可疑的探测行为可以及时地告警和隔离，并通过动态调度、清洗和裁决处理，进一步增强安全能力，提高系统自身的安全性。

并且，在不依赖于攻击先验知识、攻击者攻击途径和行为特征的条件下，通过持续地利用动态数据模块、动态协议模块、动态标识模块和动态拓扑模块将数据、协议、标识、拓扑等部分添加扰动与变换，在多个维度的有机协同下使攻击准备阶段收集到的信息快速“老化”，攻击者被迫持续处于信息收集阶段，且不能形成有效信息的积累，能够抵御来自数据平面和用户接口的网络攻击行为。

如图2所示，本发明实施例还提供了一种基于拟态防御思想的安全设备运行方法，包括以下步骤：

S201：管理面对用户输入的数据进行处理，并将处理结果重新封装后发送至数据面，所述管理面采用基于拟态防御思想的动态异构冗余框架；

具体地，所述管理面包括多个功能等价的异构执行体、代理模块、裁决模块和调度与清洗模块；本步骤具体为：

S2011：代理模块对用户输入的数据进行复制并分别发送至多个异构执行体；

S2012：多个异构执行体对接收的数据进行独立处理，将处理结果发送至裁决模块；

S2013：裁决模块对多个异构执行体的处理结果进行判决，将判决结果发送至代理模块；以及根据判决结果确定是否存在异常：若是，则将异常信息发送至调度与清洗模块；

S2014：调度与清洗模块在接收到异常信息后对可疑的异构执行体进行清洗与调度处理，并将相关处理信息发送至裁决模块和代理模块；

S2015：代理模块对裁决模块发送的判决结果进行封装并发送至数据面。

S202：数据面接收输入数据，在对接收到的输入数据分类后，根据数据类型利用数据面中的动态数据模块、动态协议模块、动态标识模块和动态拓扑模块对输入数据进行相应的动态变换处理；其中，动态数据模块对输入的数据进行动态变换；动态协议模块改变输入数据中反映系统运行协议的对外特征呈现；动态标识模块改变被保护网络的标识呈现；动态拓扑模块改变被保护网络的组网拓扑呈现；

所述数据面和所述管理面在不同系统中运行。数据面可以识别出不同类型报文，根据数据类型进行分流。动态数据模块、动态协议模块、动态标识模块和动态拓扑模块之间的执行顺序或者是否需要全部执行可根据需要进行调整。

S203：数据面将动态变换处理后数据重新封装后发送至外部线路。

本发明实施例提供的安全设备运行方法，在不依赖于攻击先验知识、攻击者攻击途径和行为特征的条件下，通过持续地将数据、协议、标识、拓扑等部分添加扰动与变换，在多个维度的有机协同下使攻击准备阶段收集到的信息快速“老化”，攻击者被迫持续处于信息收集阶段，且不能形成有效信息的积累，能够抵御来自数据平面和用户接口的网络攻击行为。

本发明不仅可以对目标网络进行防护，还可以实现对自身安全进行防护，能够抵御针对受保护目标的网络攻击行为。通过在管理面引入基于拟态防御思想的动态异构冗余框架，在基础硬件平台、操作系统、管理应用等层面进行异构化处理，同时，对可疑的探测行为可以及时地告警和隔离，并通过动态调度、清洗和裁决处理，进一步增强安全能力，提高系统自身的安全性。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (6)

1.一种基于拟态防御思想的提高内部网络安全的安全设备，其特征在于，包括：管理面和数据面；

所述管理面采用基于拟态防御思想的动态异构冗余框架，用于对用户输入的数据进行处理，并将处理结果重新封装后发送至数据面；

所述数据面包括：动态数据模块、动态协议模块、动态标识模块和动态拓扑模块；所述数据面，用于在对接收到的输入数据分类后，根据数据类型利用所述动态数据模块、动态协议模块、动态标识模块和动态拓扑模块对数据进行相应的动态变换处理，并将动态变换处理后数据重新封装后发送至外部线路；其中：

动态数据模块，用于对输入的数据进行动态变换；

动态协议模块，用于改变输入数据中反映系统运行协议的对外特征呈现；

动态标识模块，用于改变被保护网络的标识呈现；

动态拓扑模块，用于改变被保护网络的组网拓扑呈现。

2.根据权利要求1所述的安全设备，其特征在于，所述管理面包括多个功能等价的异构执行体、代理模块、裁决模块和调度与清洗模块；其中：

多个异构执行体，用于对接收的数据进行独立处理，将处理结果发送至裁决模块；

所述代理模块，用于对用户输入的数据进行复制以分别发送至多个异构执行体；以及用于对裁决模块发送的判决结果进行封装并发送至数据面；

所述裁决模块，用于对多个异构执行体的处理结果进行判决，将判决结果发送至代理模块；若根据判决结果确定存在异常，则将异常信息发送至调度与清洗模块；

所述调度与清洗模块，用于在接收到异常信息后对可疑的异构执行体进行清洗与调度处理，并将相关处理信息发送至裁决模块和代理模块。

3.根据权利要求1所述的安全设备，其特征在于，所述管理面和所述数据面在不同系统中运行。

4.基于拟态防御思想的提高内部网络安全的安全设备运行方法，其特征在于，包括：

步骤1：管理面对用户输入的数据进行处理，并将处理结果重新封装后发送至数据面，所述管理面采用基于拟态防御思想的动态异构冗余框架；

步骤2：数据面接收输入数据，在对接收到的输入数据分类后，根据数据类型利用数据面中的动态数据模块、动态协议模块、动态标识模块和动态拓扑模块对数据进行相应的动态变换处理；其中，动态数据模块对输入的数据进行动态变换；动态协议模块改变输入数据中反映系统运行协议的对外特征呈现；动态标识模块改变被保护网络的标识呈现；动态拓扑模块改变被保护网络的组网拓扑呈现；

步骤3：数据面将动态变换处理后数据重新封装后发送至外部线路。

5.根据权利要求4所述的运行方法，其特征在于，所述管理面包括多个功能等价的异构执行体、代理模块、裁决模块和调度与清洗模块；相应地，步骤1具体为：

步骤1.1：代理模块对用户输入的数据进行复制并分别发送至多个异构执行体；

步骤1.2：多个异构执行体对接收的数据进行独立处理，将处理结果发送至裁决模块；

步骤1.3：裁决模块对多个异构执行体的处理结果进行判决，将判决结果发送至代理模块；以及根据判决结果确定是否存在异常：若是，则将异常信息发送至调度与清洗模块；

步骤1.4：调度与清洗模块在接收到异常信息后对可疑的异构执行体进行清洗与调度处理，并将相关处理信息发送至裁决模块和代理模块；

步骤1.5：代理模块对裁决模块发送的判决结果进行封装并发送至数据面。

6.根据权利要求4所述的运行方法，其特征在于，所述管理面和所述数据面在不同系统中运行。

Images