CN111431943B - 一种拟态系统及其tcp代理的方法 - Google Patents

Abstract

本发明提供了一种拟态系统及其TCP代理的方法，包括输入输出TCP代理器，至少两个异构功能等价体和冗余控制器；该系统中将TCP连接中的序列号、确认号等随机数集中直接由输入输出TCP代理来产生和管理，避免各个异构功能等价体的序列号和确认号不一致导致TCP连接不能在每个异构功能等价体建立的问题，使得冗余控制器能够对各个异构功能等价体发送的数据内容进行仲裁，提升拟态系统对TCP协议的兼容性。

Description

一种拟态系统及其TCP代理的方法

技术领域

本发明涉及网络空间安全防护技术领域，尤其涉及一种拟态系统TCP代理的装置和方法。

背景技术

网络空间在蓬勃发展的同时，正面临着严峻的安全形势，存在大量针对网络空间的恶意攻击事件，另外网络系统复杂，不可避免的存在漏洞，因此网络空间既有来自外部威胁，又与内部安全漏洞问题相互交织，安全风险严峻复杂。在新的网络空间安全形势下，基于先验知识的传统防御手段难以应对各种攻击，需要转变防御思路，定义新的防御边界，巩固防线纵深，从被动迈向内生安全的主动防御。

中国专利CN201610853938.7“一种封装异构功能等价体的装置、方法及设备”提出了拟态安全防御技术，能从主动性、变化性和随机性中获得有利的内生防御态势，通过拟态环境进行动态变化，对攻击者则表现为难以观察和预测，从而大幅度增加包括未知的可利用的漏洞和后门在内的攻击难度和成本。其主要原理如附图1所示，输入代理器收到外部服务请求后，根据冗余控制器的代理策略，将外部服务请求发送给选定的一个或者多个异构功能等价体；异构功能等价体在接收到服务请求后工作运行，输出服务响应发送至输出代理器，并将拟态裁决参数发送给冗余控制器；输出代理器接收到服务响应后，根据冗余控制器的输出仲裁策略，选择其中一个异构功能等价体的输出作为外部服务响应进行发送。

根据TCP（Transmission Control Protocol，传输控制协议）协议原理，TCP提供一种面向连接的可靠的字节流服务，面向连接指两个使用TCP的应用（服务器和客户端）在交换数据之前，必须先建立一个TCP连接，通常称为“三次握手”，如附图2所示，具体流程为：

1、客户端发送一个SYN报文指明客户端希望连接的服务器的端口，以及初始序列号（SEQ NUM），并将SYN字段设置为1，这个报文为报文段1；

2、服务器发回包含服务器的初始序列号（SEQ NUM）的SYN报文段（报文段2）作为应答，同时，将确认号（ACK NUM）设置为客户端的初始序列号加1以对客户端的SYN报文段进行确认，并将SYN和ACK字段设置为1；

3、客户端将确认号设置为服务器的初始序列号加1以对服务器的SYN报文段进行确认（报文段3）。

上述三个报文完成“三次握手”连接的建立，然后客户端和服务器开始传输数据，以服务器向客户端发送数据为例：

1、发送数据：服务器向客户端发送一个带有数据的数据包，该数据包中的序列号和确认号与建立连接第3步的数据包中的序列号和确认号相同；

2、确认收到：客户端收到该数据包，向服务器发送一个确认数据包，该数据包中，序列号是为上一个数据包中的确认号值，而确认号为服务器发送的上一个数据包中的序列号+该数据包中所带数据的大小。

数据分段中的序列号可以保证所有传输的数据按照正常的次序进行重组，而且通过确认保证数据传输的完整性，序列号和确认号的初始值是客户端和服务器随机生成的。

在拟态系统中，当外部服务请求为客户端向拟态系统（服务器）发起的一个TCP连接（“三次握手”的报文段1，SYN请求）时，输入代理器收到该SYN请求后，将该SYN请求发送给多个异构功能等价体，然而每个异构功能等价体各自生成的初始序列号不一样，这样会导致两种故障：

1、多个异构功能等价体发出的报文段2都不一致（初始序列号不同），冗余控制器无法仲裁出正常运行的异构功能等价体；

2、即使选择一个异构功能等价体发送出报文段2，客户端返回的报文段3中的确认号，由于不等于没有选择的异构功能等价体的初始序列号+1，因此不能识别，无法完成“三次握手”，不能建立TCP连接，因此没有选择的异构功能等价体无法进行后续的数据传输过程，各个异构功能等价体运行不一致，冗余控制器也无法在各个异构功能等价体之间比较和仲裁。

发明内容

有鉴于此，本发明的主要目的在于提供一种拟态系统及其TCP代理的方法，避免由于TCP连接不能在每个异构功能等价体建立导致冗余控制器无法仲裁出正常运行的异构功能等价体，提升拟态系统对TCP协议的兼容性。

为了达到上述目的，本发明的技术方案是：

一种拟态系统，包括输入输出TCP代理器、至少两个异构功能等价体、冗余控制器；

所述输入输出TCP代理器用于收到TCP连接报文后完成三次握手连接并保存相应的报文头信息；收到客户端TCP数据传输报文后，解析出数据内容，封装第一特定报头，再发给各个异构功能等价体；收到异构功能等价体封装第二特定报头的报文后解析出数据内容，根据保存的报文头信息封装TCP报文头再发送出去；

所述异构功能等价体用于收到封装所述第一特定报头的报文后解析出数据内容并进行处理，发送TCP数据传输报文时将数据内容封装第二特定报头；

所述冗余控制器用于比较和仲裁异构功能等价体，并选择一个异构功能等价体发出报文至输入输出TCP代理器；

进一步地，输入输出TCP代理器包括TCP连接模块、报头映射模块；其中：

TCP连接模块，负责与客户端的TCP连接过程，在与客户端完成三次握手连接后，保存TCP以及TCP之前的三层和二层报文头信息，所述报文头信息包括连接的源IP地址、目的IP地址、源端口号、目的端口号、序列号、确认号；

报头映射模块，在收到客户端TCP数据传输报文后，解析出数据内容，封装第一特定报头，再发给各个异构功能等价体，第一特定报头包括字段源IP地址、目的IP地址、源端口号、目的端口号、报文长度、TCP协议类型的组合；在收到异构功能等价体封装第二特定报头的报文后解析出数据内容，从TCP连接模块中获取对应的报文头信息并进行封装，再发送出去；

进一步地，所述异构功能等价体包括报头解析模块和数据处理模块；

报头解析模块用于在收到输入输出TCP代理器发送的封装第一特定报头的报文后，解析出字段源IP地址、目的IP地址、源端口号、目的端口号、报文长度、TCP协议类型；发送TCP数据传输报文时，对数据内容封装第二特定报头再发给输入输出TCP代理，第二特定报头包括字段源IP地址、目的IP地址、源端口号、目的端口号、报文长度、TCP协议类型的组合；

数据处理模块用于对解析出来的数据内容进行处理。

一种上述拟态系统TCP代理的方法，包括如下步骤：

（1）发起TCP连接过程，输入输出TCP代理器在与客户端完成三次握手连接后，保存TCP以及TCP之前的三层和二层报文头信息，所述报文头信息包括连接的源IP地址、目的IP地址、源端口号、目的端口号、序列号、确认号；

（2）输入输出TCP代理器在收到客户端TCP数据传输报文后，根据报文头信息进行验证并解析出数据内容，封装第一特定报头，再发给各个异构功能等价体，第一特定报头包括字段源IP地址、目的IP地址、源端口号、目的端口号、报文长度、TCP协议类型的组合；

（3）异构功能等价体在收到输入输出TCP代理器发送的封装第一特定报头的报文后，解析出字段源IP地址、目的IP地址、源端口号、目的端口号、报文长度、TCP协议类型，然后进行数据内容的处理；

（4）冗余控制器通过比较和仲裁，选择一个异构功能等价体发出TCP报文；

（5）冗余控制器选择的异构功能等价体将数据内容封装第二特定报头再发给输入输出TCP代理器；

（6）输入输出TCP代理器在收到异构功能等价体的封装第二特定报头的报文后解析出数据内容，从保存的报文头信息中获取更新对应的TCP报文头进行封装，再发送出去。

本发明的有益效果是：由于本发明的拟态系统TCP代理中，将TCP连接中的序列号、确认号等随机数集中由输入输出TCP代理来产生和管理，避免各个异构功能等价体的序列号和确认号不一致导致TCP连接不能在每个异构功能等价体建立的问题，使得冗余控制器能够对各个异构功能等价体发送的数据内容进行仲裁，提升拟态系统对TCP协议的兼容性。

附图说明

图1为背景技术拟态安全防御原理示意图；

图2为建立TCP连接原理示意图；

图3为本发明拟态系统的结构示意图；

图4为本发明态系统异构功能等价体及输入输出TCP代理器的实现模块示意图；

图5为本发明方法的实现流程示意图；

图6为本发明实施例示意图。

具体实施方式

下面结合实施例对技术方案作进一步的详细描述。

本发明提供了一种拟态系统，其结构如图3所示，包括输入输出TCP代理器、至少两个异构功能等价体、冗余控制器；

所述输入输出TCP代理器用于收到TCP连接报文后完成三次握手连接并保存相应的报文头信息。收到客户端TCP数据传输报文后，解析出数据内容，封装第一特定报头，再发给各个异构功能等价体；收到异构功能等价体封装第二特定报头的报文后解析出数据内容，根据保存的报文头信息封装TCP报文头再发送出去完成TCP数据传输；

异构功能等价体用于收到封装所述第一特定报头的报文后解析出数据内容进行处理，发送TCP数据传输报文时将数据内容封装第二特定报头再发给输入输出TCP代理器；

所述冗余控制器用于比较和仲裁异构功能等价体的数据内容，并选择一个异构功能等价体发出报文至输入输出TCP代理器；

作为优选方案，如图4所示，输入输出TCP代理包括TCP连接模块、报头映射模块；其中：

TCP连接模块，负责与客户端的TCP连接过程并保存相应的报文头信息，在与客户端完成三次握手连接后，保存TCP以及TCP之前的三层和二层报文头信息，三次握手连接流程如图2所示，具体地：

1、客户端发送一个SYN报文指明客户端希望连接的本发明拟态系统的端口，以及初始序列号（SEQ NUM），并将SYN字段设置为1，这个报文为报文段1；

2、输入输出TCP代理器发回包含拟态系统的初始序列号（SEQ NUM）的SYN报文段（报文段2）作为应答，同时，将确认号（ACK NUM）设置为客户端的初始序列号加1以对客户端的SYN报文段进行确认，并将SYN和ACK字段设置为1；

3、客户端将确认号设置为系统的初始序列号加1以对输入输出TCP代理器的SYN报文段进行确认（报文段3）。报文头信息包括但不限于连接的源IP地址、目的IP地址、源端口号、目的端口号、序列号、确认号；

报头映射模块，在收到客户端TCP数据传输报文后，解析出数据内容，封装第一特定报头，再发给各个异构功能等价体，第一特定报头包括字段源IP地址、目的IP地址、源端口号、目的端口号、报文长度、TCP协议类型的组合；在收到异构功能等价体的封装第二特定报头的报文后解析出数据内容，从TCP连接模块中获取对应的TCP报文头进行封装，再发送出去；

进一步地，所述异构功能等价体包括报头解析模块和数据处理模块；其中：

报头解析模块用于在收到输入输出TCP代理器发送的封装第一特定报头的报文后，解析出字段源IP地址、目的IP地址、源端口号、目的端口号、报文长度、TCP协议类型；发送TCP数据传输报文时，对数据内容封装第二特定报头再发给输入输出TCP代理，第二特定报头包括字段源IP地址、目的IP地址、源端口号、目的端口号、报文长度、TCP协议类型的组合；

数据处理模块用于对解析出来的数据内容进行处理。

如图5所示，为本发明的拟态系统TCP代理的方法，包括如下步骤：

（1）发起TCP连接过程，输入输出TCP代理器在与客户端完成三次握手连接后，保存TCP以及TCP之前的三层和二层报文头信息，所述报文头信息包括连接的源IP地址、目的IP地址、源端口号、目的端口号、序列号、确认号；

（2）输入输出TCP代理器在收到客户端TCP数据传输报文后，根据报文头信息进行验证并解析出数据内容，封装第一特定报头，再发给各个异构功能等价体，第一特定报头包括字段源IP地址、目的IP地址、源端口号、目的端口号、报文长度、TCP协议类型的组合；

（3）异构功能等价体在收到输入输出TCP代理器发送的封装第一特定报头的报文后，解析出字段源IP地址、目的IP地址、源端口号、目的端口号、报文长度、TCP协议类型，然后进行数据内容的处理；

（4）冗余控制器通过比较和仲裁，选择一个异构功能等价体发出TCP报文；

（5）冗余控制器选择的异构功能等价体将数据内容封装第二特定报头再发给输入输出TCP代理器；

（6）输入输出TCP代理器在收到异构功能等价体的封装第二特定报头的报文后解析出数据内容，从保存的报文头信息中获取更新对应的TCP报文头进行封装，再发送出去。

下面是一个具体的实施例，在拟态路由器系统中有3个异构功能等价体（A1、A2、A3），该拟态路由器为一个TCP的服务器，客户端C在和拟态路由器交换数据之前，必须先建立一个TCP连接，即“三次握手”，在实施本发明方案前，客户端C发送一个TCP连接（“三次握手”的报文段1，SYN请求）时，常规的拟态路由器的输入代理器收到该SYN请求后，将该SYN请求发送给3个异构功能等价体A1、A2、A3，然而每个异构功能等价体各自生成的初始序列号不一样，导致最多只有一个异构功能等价体可以完成“三次握手”完成TCP连接，其他异构功能等价体由于序列号不能被识别而无法建立TCP连接, 各个异构功能等价体运行不一致，冗余控制器也无法在各个异构功能等价体之间比较和仲裁。

而根据本发明的拟态系统TCP代理的方法，在拟态路由器系统中实施流程如下（图6）：

（1）客户端C与拟态路由器系统的输入输出TCP代理器直接完成三次握手连接，拟态路由器系统的输入输出TCP代理保存TCP以及TCP之前的三层和二层报文头信息；

（2）拟态路由器系统的输入输出TCP代理器在收到客户端TCP数据传输报文后，根据TCP协议进行TCP报文头的校验和序列号、确认号的更新，在校验通过后，解析出数据内容，封装第一特定报头，再发给各个异构功能等价体A1、A2、A3，第一特定报头包括字段源IP地址、目的IP地址、源端口号、目的端口号、报文长度、TCP协议类型的组合；

（3）异构功能等价体A1、A2、A3在收到输入输出TCP代理器发送的封装第一特定报头的报文后，解析出源IP地址、目的IP地址、源端口号、目的端口号、报文长度、TCP协议类型，然后进行数据内容的处理，与常规的TCP代理方法不同点在于异构功能等价体只需要处理数据内容，而不需要与客户端建立TCP连接，也不需要生成序列号和校验确认号，因此每个异构功能等价体都能正常处理数据内容；

（4）冗余控制器通过比较和仲裁，选择一个异构功能等价体发出TCP报文；例如，本实施例中选择异构功能等价体A1。

（5）被选择的异构功能等价体A1将数据内容封装第二特定报头再发给输入输出TCP代理器，特定报头包括字段源IP地址、目的IP地址、源端口号、目的端口号、报文长度、TCP协议类型的组合；

（6）输入输出TCP代理器在收到异构功能等价体A1的封装第二特定报头的报文后解析出数据内容，从保存的报文头信息中获取对应的信息并根据TCP协议更新序列号、确认号作为TCP报文头进行封装，再将报文发送出去。

以上所述，仅为本发明的较佳实施例而已，井非用于限定本发明的保护范围。

综上所述，本发明中，使用了拟态系统TCP代理，将TCP连接中的序列号、确认号等随机数集中由输入输出TCP代理来产生和管理，避免各个异构功能等价体的序列号和确认号不一致导致TCP连接不能在每个异构功能等价体建立的问题，使得冗余控制器能够对各个异构功能等价体发送的数据内容进行仲裁，提升拟态系统对TCP协议的兼容性。

Claims (3)

1.一种拟态系统TCP代理的方法，其特征在于，所述拟态系统包括输入输出TCP代理器、至少两个异构功能等价体、冗余控制器；该方法包括如下步骤：

(1)发起TCP连接过程，输入输出TCP代理器在与客户端完成三次握手连接后，保存TCP以及TCP之前的三层和二层报文头信息，所述报文头信息包括连接的源IP地址、目的IP地址、源端口号、目的端口号、序列号、确认号；

(2)输入输出TCP代理器在收到客户端TCP数据传输报文后，根据报文头信息进行验证并解析出数据内容，封装第一特定报头，再发给各个异构功能等价体，第一特定报头包括字段源IP地址、目的IP地址、源端口号、目的端口号、报文长度、TCP协议类型的组合；

(3)异构功能等价体在收到输入输出TCP代理器发送的封装第一特定报头的报文后，解析出字段源IP地址、目的IP地址、源端口号、目的端口号、报文长度、TCP协议类型，然后进行数据内容的处理；

(4)冗余控制器通过比较和仲裁，选择一个异构功能等价体发出TCP报文；

(5)冗余控制器选择的异构功能等价体将数据内容封装第二特定报头再发给输入输出TCP代理器；

(6)输入输出TCP代理器在收到异构功能等价体的封装第二特定报头的报文后解析出数据内容，从保存的报文头信息中获取更新对应的TCP报文头进行封装，再发送出去。

2.根据权利要求1所述的方法，其特征在于，输入输出TCP代理器包括TCP连接模块、报头映射模块；其中：

TCP连接模块，负责与客户端的TCP连接过程，在与客户端完成三次握手连接后，保存TCP以及TCP之前的三层和二层报文头信息，所述报文头信息包括连接的源IP地址、目的IP地址、源端口号、目的端口号、序列号、确认号；

报头映射模块，在收到客户端TCP数据传输报文后，解析出数据内容，封装第一特定报头，再发给各个异构功能等价体，第一特定报头包括字段源IP地址、目的IP地址、源端口号、目的端口号、报文长度、TCP协议类型的组合；在收到异构功能等价体封装第二特定报头的报文后解析出数据内容，从TCP连接模块中获取对应的报文头信息并进行封装，再发送出去。

3.根据权利要求1所述的方法，其特征在于，所述异构功能等价体包括报头解析模块和数据处理模块；

报头解析模块用于在收到输入输出TCP代理器发送的封装第一特定报头的报文后，解析出字段源IP地址、目的IP地址、源端口号、目的端口号、报文长度、TCP协议类型；发送TCP数据传输报文时，对数据内容封装第二特定报头再发给输入输出TCP代理，第二特定报头包括字段源IP地址、目的IP地址、源端口号、目的端口号、报文长度、TCP协议类型的组合；

数据处理模块用于对解析出来的数据内容进行处理。

Images