CN111431944A - 一种拟态裁决系统及其配置和恢复方法 - Google Patents

一种拟态裁决系统及其配置和恢复方法 Download PDF

Info

Publication number
CN111431944A
CN111431944A CN202010521064.1A CN202010521064A CN111431944A CN 111431944 A CN111431944 A CN 111431944A CN 202010521064 A CN202010521064 A CN 202010521064A CN 111431944 A CN111431944 A CN 111431944A
Authority
CN
China
Prior art keywords
configuration
configuration table
heterogeneous
function equivalent
input
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202010521064.1A
Other languages
English (en)
Inventor
吴少勇
王延松
朱明星
李合元
骆汉光
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Zhejiang Lab
Original Assignee
Zhejiang Lab
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Zhejiang Lab filed Critical Zhejiang Lab
Priority to CN202010521064.1A priority Critical patent/CN111431944A/zh
Publication of CN111431944A publication Critical patent/CN111431944A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提供一种拟态裁决系统及其配置和恢复方法，该系统还包括输入配置器，用于收到配置信息后，将配置信息保存为配置表，并将配置发送给各个异构功能等价体；异构功能等价体还包括配置表请求模块：用于异构功能等价体新上线时，向输入配置器发送配置请求，并接收输入配置器返回的配置表；配置表执行模块：用于执行配置表请求模块收到的配置表，使得该异构功能等价体与正在运行的异构功能等价体配置保持同步。本发明在增加输入配置器隔离性和安全保护情况下，输入配置器的配置表被攻击者篡改的可能性较小，有效降低了新上线异构功能等价体获取到错误配置表的概率，提升了拟态裁决系统在异构功能等价体清洗时的安全性。

Description

一种拟态裁决系统及其配置和恢复方法
技术领域
本发明涉及网络空间安全防护技术领域，尤其涉及一种拟态裁决系统、配置该拟态裁决系统的方法以及该拟态裁决系统的配置表恢复方法。
背景技术
网络空间在蓬勃发展的同时，正面临着严峻的安全形势，存在大量针对网络空间的恶意攻击事件，另外网络系统复杂，不可避免的存在漏洞，因此网络空间既有来自外部威胁，又与内部安全漏洞问题相互交织，安全风险严峻复杂。在新的网络空间安全形势下，基于先验知识的传统防御手段难以应对各种攻击，需要转变防御思路，定义新的防御边界，巩固防线纵深，从被动迈向内生安全的主动防御。
中国专利CN201610853938.7“一种封装异构功能等价体的装置、方法及设备”提出了拟态安全防御技术，能从主动性、变化性和随机性中获得有利的内生防御态势，通过拟态环境进行动态变化，对攻击者则表现为难以观察和预测，从而大幅度增加包括未知的可利用的漏洞和后门在内的攻击难度和成本。其主要原理如附图1所示，输入代理器收到外部服务请求后，根据冗余控制器的代理策略，将外部服务请求发送给选定的一个或者多个异构功能等价体；异构功能等价体在接收到服务请求后工作运行，输出服务响应发送至输出代理器，并将拟态裁决参数发送给冗余控制器；输出代理器接收到服务响应后，根据冗余控制器的输出仲裁策略，选择其中一个异构功能等价体的输出作为外部服务响应进行发送。
当冗余控制器检测到一个异构功能等价体多次异常时，通常将该异构功能等价体清洗下线，然后从候选的异构功能等价体池中选择一个新的异构功能等价体上线，参与外部服务请求的工作运行、输出服务响应并参与冗余控制器的仲裁。新的异构功能等价体上线时首先要获取配置表，然后才能对外部服务请求正常处理，配置表中通常包括异构功能等价体的账户、历史的配置等信息。一种配置表恢复方案为新上线的异构功能等价体从其他正在运行的异构功能等价体获取配置表，该方案中，如果正在运行的异构功能等价体的配置表被攻击者篡改，则新上线的异构功能等价体获取到的配置表也是错误的，导致拟态裁决系统的清洗过程失败。
发明内容
有鉴于此，本发明的主要目的在于提供一种拟态裁决系统及其配置和恢复方法，避免由于配置表被篡改导致的清洗失败，提升拟态裁决系统在异构功能等价体清洗时的安全性。
为了达到上述目的，本发明的技术方案是：
一种拟态裁决系统，所述拟态裁决系统包括输入代理器、至少两个异构功能等价体、冗余控制器、输出代理器；还包括输入配置器；输入配置器用于收到配置信息后，将配置信息保存为配置表，并将配置表发送给各个异构功能等价体；所述异构功能等价体还包括配置表请求模块、配置表执行模块；其中：
配置表请求模块，用于异构功能等价体新上线时，向输入配置器发送配置请求，并接收输入配置器返回的配置表；
配置表执行模块，用于执行配置表请求模块收到的配置表，使得该异构功能等价体与正在运行的异构功能等价体配置保持同步。
进一步地，所述输入配置器包括配置表存储模块、配置表发送模块；其中：
配置表存储模块，在收到外部输入的配置信息后，将配置信息解析为配置表项，保存为配置表，并将配置表发送给各个异构功能等价体；
配置表发送模块，在收到异构功能等价体的配置请求时，将配置表发送给请求的异构功能等价体。
一种配置上述拟态裁决系统的方法，包括如下步骤：
（1）输入配置器在收到配置信息后，将配置信息保存为配置表，并将配置表发送给各个异构功能等价体；
（2）异构功能等价体收到输入配置器发送的配置表后执行相应的配置。
一种上述拟态裁决系统的配置表恢复方法，包括如下步骤：
（a）异构功能等价体新上线时，向输入配置器发送配置请求；
（b）输入配置器在收到异构功能等价体的配置请求时，将配置表发送给请求的异构功能等价体；
（c）异构功能等价体收到输入配置器返回的配置表；
（d）异构功能等价体执行收到的配置表，使得该异构功能等价体与正在运行的异构功能等价体配置保持同步。
由于本发明中，输入配置器在收到配置信息后将配置信息保存为配置表，在异构功能等价体新上线时执行输入配置器发送的配置表，使得新上线异构功能等价体与正在运行的异构功能等价体配置保持同步。在增加输入配置器隔离性和安全保护情况下，输入配置器的配置表被攻击者篡改的可能性较小，因此有效降低了新上线异构功能等价体获取到错误配置表的概率，提升了拟态裁决系统在异构功能等价体清洗时的安全性。
附图说明
图1为背景技术拟态安全防御原理示意图；
图2为本发明拟态裁决系统的结构示意图；
图3为本发明裁决系统的异构功能等价体及输入配置器包含的模块示意图；
图4为配置本发明拟态裁决系统的流程示意图；
图5为恢复本发明拟态裁决系统配置的流程示意图；
图6为本发明实施例配置恢复的结果示意图。
具体实施方式
下面结合实施例对技术方案作进一步的详细描述。
一种拟态裁决系统，其结构图如图2所示，所述拟态裁决系统包括输入代理器、至少两个异构功能等价体、冗余控制器、输出代理器；该系统还包括输入配置器；输入配置器用于收到配置信息后，将配置信息保存为配置表，并将配置表发送给各个异构功能等价体；如图3所示，所述异构功能等价体还包括配置表请求模块、配置表执行模块；其中：
配置表请求模块，用于异构功能等价体新上线时，向输入配置器发送配置请求，并接收输入配置器返回的配置表；
配置表执行模块，用于执行配置表请求模块收到的配置表，使得该异构功能等价体与正在运行的异构功能等价体配置保持同步。
作为优选方案，如图3所示，输入配置器包括配置表存储模块、配置表发送模块；其中：
配置表存储模块，在收到外部输入的配置信息后，将配置信息解析为配置表项，保存为配置表，并将配置表项发送给各个异构功能等价体；
配置表发送模块，在收到异构功能等价体的配置请求时，将配置表发送给请求的异构功能等价体；
其中，配置表存储模块实现拟态裁决系统初始配置功能，配置表发送模块实现清洗后拟态裁决系统配置表恢复功能。
具体地，如图4所示，该拟态裁决系统初始配置实现方法如下：
（1）输入配置器在收到配置信息后，将配置信息保存为配置表，并将配置表发送给各个异构功能等价体；
（2）异构功能等价体收到输入配置器发送的配置表后执行相应的配置。
如图5所示，该拟态裁决系统清洗后,新上线的异构功能等价体配置表恢复实现方法如下：
（a）异构功能等价体新上线时，向输入配置器发送配置请求；
（b）输入配置器在收到异构功能等价体的配置请求时，将配置表发送给请求的异构功能等价体；
（c）异构功能等价体收到输入配置器返回的配置表；
（d）异构功能等价体执行收到的配置表，使得该异构功能等价体与正在运行的异构功能等价体配置保持同步。
在异构功能等价体新上线时执行输入配置器发送的配置表，使得新上线异构功能等价体与正在运行的异构功能等价体配置保持同步。
下面是一个具体的实施例，在拟态路由器系统中有3个异构功能等价体（A1、A2、A3），另外在异构功能等价体池中还有1个候选的异构功能等价体（A4）。正常情况下A1、A2、A3的配置表账户和密码是相同的，为（U，K），A4由于没有上线，配置表是空的。当A1和A2受到攻击，A1的配置表中账户和密码被篡改为（U1，K1），A2的配置表中账户和密码被篡改为（U2，K2），A3的配置表中账户和密码保持为用户正常配置的（U，K）。当冗余控制器检测到3个异构功能等价体的配置表账户和密码不一致，随机将其中一个异构功能等价体清洗下线，例如下线A1，然后从候选的异构功能等价体池中选择异构功能等价体A4上线。A4上线时首先要获取配置表，在实施本发明方案前，如果A4从其他正在运行的异构功能等价体获取配置表，例如从A2获取配置表，由于A2的配置表中账户和密码被篡改，因此A4获取到的配置表中账户和密码也是错误的，导致拟态裁决系统的清洗过程失败。
根据本发明的拟态裁决系统配置表恢复的方法（图5），在拟态路由器系统中实施流程如下：
（A）当冗余控制器检测到3个异构功能等价体A1、A2、A3的配置表账户和密码不一致，随机将其中一个异构功能等价体清洗下线，例如下线A1，然后从候选的异构功能等价体池中选择异构功能等价体A4上线；
（B）异构功能等价体A4新上线时，向输入配置器发送配置请求；
（C）输入配置器在收到异构功能等价体A4的配置请求时，将配置表发送给请求的异构功能等价体A4，其中的账户和密码为（U，K）；
（D）异构功能等价体A4收到输入配置器返回的配置表，其中的账户和密码为（U，K）；
（E）异构功能等价体A4执行收到的配置表，使得该异构功能等价体与正在运行的异构功能等价体配置保持同步，即账户和密码为（U，K），如图6所示；
（F）冗余控制器检测到3个异构功能等价体A2与A3、A4的配置表账户和密码都不一致，而A3和A4的配置表账户和密码是一致的，将异构功能等价体A2清洗下线，从而将被攻击者篡改配置表的所有异构功能等价体A1、A2均清洗下线。
以上所述，仅为本发明的较佳实施例而已，井非用于限定本发明的保护范围。
综上所述，本发明中，输入配置器在收到配置信息后将配置信息保存为配置表，在异构功能等价体新上线时执行输入配置器发送的配置表，使得新上线异构功能等价体与正在运行的异构功能等价体配置保持同步。在增加输入配置器隔离性和安全保护情况下，输入配置器的配置表被攻击者篡改的可能性较小，因此有效降低了新上线异构功能等价体获取到错误配置表的概率，提升了拟态裁决系统在异构功能等价体清洗时的安全性。

Claims (4)

1.一种拟态裁决系统，所述拟态裁决系统包括输入代理器、至少两个异构功能等价体、冗余控制器、输出代理器；其特征在于，还包括输入配置器；输入配置器用于收到配置信息后，将配置信息保存为配置表，并将配置表发送给各个异构功能等价体；所述异构功能等价体还包括配置表请求模块、配置表执行模块；其中：
配置表请求模块，用于异构功能等价体新上线时，向输入配置器发送配置请求，并接收输入配置器返回的配置表；
配置表执行模块，用于执行配置表请求模块收到的配置表，使得该异构功能等价体与正在运行的异构功能等价体配置保持同步。
2.根据权利要求1所述的拟态裁决系统，其特征在于，所述输入配置器包括配置表存储模块、配置表发送模块；其中：
配置表存储模块，在收到外部输入的配置信息后，将配置信息解析为配置表项，保存为配置表，并将配置表发送给各个异构功能等价体；
配置表发送模块，在收到异构功能等价体的配置请求时，将配置表发送给请求的异构功能等价体。
3.一种配置权利要求1所述拟态裁决系统的方法，其特征在于，包括如下步骤：
（1）输入配置器在收到配置信息后，将配置信息保存为配置表，并将配置表发送给各个异构功能等价体；
（2）异构功能等价体收到输入配置器发送的配置表后执行相应的配置。
4.一种权利要求1所述拟态裁决系统的配置表恢复方法，其特征在于，包括如下步骤：
（a）异构功能等价体新上线时，向输入配置器发送配置请求；
（b）输入配置器在收到异构功能等价体的配置请求时，将配置表发送给请求的异构功能等价体；
（c）异构功能等价体收到输入配置器返回的配置表；
（d）异构功能等价体执行收到的配置表，使得该异构功能等价体与正在运行的异构功能等价体配置保持同步。
CN202010521064.1A 2020-06-10 2020-06-10 一种拟态裁决系统及其配置和恢复方法 Pending CN111431944A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010521064.1A CN111431944A (zh) 2020-06-10 2020-06-10 一种拟态裁决系统及其配置和恢复方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010521064.1A CN111431944A (zh) 2020-06-10 2020-06-10 一种拟态裁决系统及其配置和恢复方法

Publications (1)

Publication Number Publication Date
CN111431944A true CN111431944A (zh) 2020-07-17

Family

ID=71551284

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010521064.1A Pending CN111431944A (zh) 2020-06-10 2020-06-10 一种拟态裁决系统及其配置和恢复方法

Country Status (1)

Country Link
CN (1) CN111431944A (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112104516A (zh) * 2020-11-18 2020-12-18 之江实验室 一种opcua协议支持拟态系统的实现方法
CN112668050A (zh) * 2020-12-31 2021-04-16 河南信大网御科技有限公司 一种基于配置文件的执行体状态恢复方法及系统
CN113282661A (zh) * 2021-05-31 2021-08-20 河南信大网御科技有限公司 异构执行体可信配置同步方法及系统

Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090158430A1 (en) * 2005-10-21 2009-06-18 Borders Kevin R Method, system and computer program product for detecting at least one of security threats and undesirable computer files
CN106161419A (zh) * 2015-06-01 2016-11-23 上海红神信息技术有限公司 一种异构功能等价体同步装置
CN106156631A (zh) * 2015-06-01 2016-11-23 上海红神信息技术有限公司 一种服务功能与结构表征不确定的软硬件装置
CN106534063A (zh) * 2016-09-27 2017-03-22 上海红阵信息科技有限公司 一种封装异构功能等价体的装置、方法及设备
CN106656834A (zh) * 2016-11-16 2017-05-10 上海红阵信息科技有限公司 Is‑is路由协议异构功能等价体并行归一化装置及方法
CN110048992A (zh) * 2018-01-17 2019-07-23 北京中科晶上超媒体信息技术有限公司 一种构建动态异构冗余架构的方法
CN110149309A (zh) * 2019-04-04 2019-08-20 中国人民解放军战略支援部队信息工程大学 一种路由器威胁感知方法及系统
CN110247928A (zh) * 2019-06-29 2019-09-17 河南信大网御科技有限公司 一种拟态交换机安全流量控制装置及方法
CN110380961A (zh) * 2019-07-05 2019-10-25 中国人民解放军战略支援部队信息工程大学 一种传统路由器拟态化改造的装置及方法
CN110719281A (zh) * 2019-10-10 2020-01-21 河南信大网御科技有限公司 一种OpenWrt中拟态Web的实现方法

Patent Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090158430A1 (en) * 2005-10-21 2009-06-18 Borders Kevin R Method, system and computer program product for detecting at least one of security threats and undesirable computer files
CN106161419A (zh) * 2015-06-01 2016-11-23 上海红神信息技术有限公司 一种异构功能等价体同步装置
CN106156631A (zh) * 2015-06-01 2016-11-23 上海红神信息技术有限公司 一种服务功能与结构表征不确定的软硬件装置
CN106534063A (zh) * 2016-09-27 2017-03-22 上海红阵信息科技有限公司 一种封装异构功能等价体的装置、方法及设备
CN106656834A (zh) * 2016-11-16 2017-05-10 上海红阵信息科技有限公司 Is‑is路由协议异构功能等价体并行归一化装置及方法
CN110048992A (zh) * 2018-01-17 2019-07-23 北京中科晶上超媒体信息技术有限公司 一种构建动态异构冗余架构的方法
CN110149309A (zh) * 2019-04-04 2019-08-20 中国人民解放军战略支援部队信息工程大学 一种路由器威胁感知方法及系统
CN110247928A (zh) * 2019-06-29 2019-09-17 河南信大网御科技有限公司 一种拟态交换机安全流量控制装置及方法
CN110380961A (zh) * 2019-07-05 2019-10-25 中国人民解放军战略支援部队信息工程大学 一种传统路由器拟态化改造的装置及方法
CN110719281A (zh) * 2019-10-10 2020-01-21 河南信大网御科技有限公司 一种OpenWrt中拟态Web的实现方法

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112104516A (zh) * 2020-11-18 2020-12-18 之江实验室 一种opcua协议支持拟态系统的实现方法
CN112104516B (zh) * 2020-11-18 2021-02-12 之江实验室 一种opcua协议支持拟态系统的实现方法
CN112668050A (zh) * 2020-12-31 2021-04-16 河南信大网御科技有限公司 一种基于配置文件的执行体状态恢复方法及系统
CN113282661A (zh) * 2021-05-31 2021-08-20 河南信大网御科技有限公司 异构执行体可信配置同步方法及系统

Similar Documents

Publication Publication Date Title
CN111431944A (zh) 一种拟态裁决系统及其配置和恢复方法
CN110535843B (zh) 一种拟态裁决参数消息同步的装置和方法
CN110290100B (zh) 一种基于SDN的拟态Web服务器及用户请求处理方法
CN111191229A (zh) 一种电力Web应用拟态防御系统
CN102882676A (zh) 物联网设备端安全接入方法及系统
US11032311B2 (en) Methods for detecting and mitigating malicious network activity based on dynamic application context and devices thereof
TW201712581A (zh) 防止跨網站請求偽造的方法、裝置及系統
CN112751832B (zh) 一种虚拟机操作系统在线授权认证方法、设备和存储介质
US20160004863A1 (en) Method for detecting attacks on virtual machines
CN101873298A (zh) 注册方法及终端、服务器、系统
CN105516189B (zh) 基于大数据平台的网络安全实施系统及方法
CN110166436A (zh) 采用随机选择进行动态调度的拟态Web网关系统及方法
US9203616B1 (en) Multi-server fault tolerant data store update
CN108092940A (zh) 一种dns的防护方法及相关设备
CN109274761A (zh) 一种nas集群节点、系统以及数据访问方法
CN110401601B (zh) 一种拟态路由协议系统和方法
CN111431945B (zh) 一种报文拟态裁决的装置和方法
CN104410698A (zh) 一种share nothing集群下的发起节点异常处理方法及装置
CN110309645A (zh) 一种对api进行安全防护的方法、设备和系统
CN109785537B (zh) 一种atm机的安全防护方法及装置
CN111818058A (zh) 面向网络跳变控制器的安全防护方法、系统及相关设备
Sun et al. Catch id if you can: Dynamic id virtualization mechanism for the controller area network
CN112565162B (zh) 一种检测账户窃取行为的方法及装置
CN105187359B (zh) 检测攻击客户端的方法和装置
CN112256527B (zh) 一种保护设备运行时安全的方法、装置及存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20200717

RJ01 Rejection of invention patent application after publication