CN111556030B - 一种基于多级队列的拟态防御动态调度方法 - Google Patents

Abstract

本发明公开了一种基于多级队列的拟态防御动态调度方法。该方法为：在拟态防御系统中，包括多个功能相同结构各异的异构执行体、执行体服务器的待选集合、一个多级队列容器、一个策略调度器，首先建立独立的数据库用于存储时间随机阈值和任务随机阈值，然后通过执行体之间的相似度对异构执行体服务集进行初始化，初始化的服务集在多级队列容器的第一级队列中，最后策略调度器根据多级队列容器的状态，实现对异构执行体的变换。本发明不依赖于拟态防御架构的反馈机制，也限制了架构中的异构执行体出现同宗同源漏洞，并且可以适应不同的任务负载，提高了防御架构的安全性和可靠性。

Description

一种基于多级队列的拟态防御动态调度方法

技术领域

本发明属于网络空间安全技术领域，特别是一种基于多级队列的拟态防御动态调度方法。

背景技术

目前，全球互联网络空间漏洞百出，接入网络的信息系统容易被非法者侵入。为确保信息系统安全性，该系统必须具备机密性、完整性和可用性，为此专家和学者们提出了一系列方法来保证信息系统这些特性的实现。

现有的防御技术都必须在发现攻击者攻击特征或者攻击目标异常反应的前提下才能做出有效反应，对那些尚未被察觉到的攻击方式则暂时无解。现有防御方法的局限性导致网络安全事件频频发生，多样化的网络攻击方式令防御方防不胜防，现今防御方在网络攻防之中呈被动态势。针对这种情况，邬江兴院士提出的网络空间拟态防御理论，扭转了网络安全防御方的被动态势，而作为拟态防御架构中的重要环节，动态调度算法实现了服务集中执行体的动态变化，决定了拟态防御架构的安全性和可靠性。然而，拟态防御架构中的动态调度方法存在调度被动性、调度粒度大以及缺乏对执行体服务器相似程度考虑的问题。

发明内容

本发明的目的在于提供一种能实现动态随机性的细粒度主动调度的基于多级队列的拟态防御动态调度方法，并且能够适应不同的任务负载，提高防御架构的安全性和可靠性。

实现本发明目的的技术解决方案为：一种基于多级队列的拟态防御动态调度方法，包括以下步骤：

步骤1、在拟态防御架构中，构造一个多级队列容器，用于存储执行体服务器的物理地址；

步骤2、在拟态防御架构之外，用一台独立的服务器来建立一个数据库，新建两张数据表分别存储时间随机阈值和任务随机阈值；

步骤3、在拟态防御架构中，考虑异构执行体之间的相似度，初始化一个执行体服务集，集合中所有执行体服务器的物理地址存储在多级队列容器的第一级队列中；

步骤4、在拟态防御架构中，策略调度器根据多级队列容器的状态，对容器中的异构执行体进行变换。

进一步地，步骤1所述的构造一个多级队列容器，其特征在于：

步骤1.1、在拟态防御架构中，定义多级队列容器相关指标，具体如下：

(1)多级队列容器：在拟态防御架构中，由若干个大小固定且相等的队列结构按序组成，标记为MQ，并且容器中每一级队列均能够作为一个执行体服务集；

(2)多级队列余度：多级队列容器中所包含的队列结构总数目，标记为qn；

(3)队列容量：多级队列容器中每一个队列结构所能容纳的执行体总数目，标记为qc，并且队列容量均等于拟态防御架构的冗余度；

(4)多级队列容器中每一个队列结构分别标记为Q₁,Q₂,…,Q_qn，且存在Q_qn+1＝Q₁；每一个队列结构中的异构执行体能够通过队列层级序号sn,1≤sn≤qn和在队列中的位置k表示，标记为

步骤1.2、为多级队列容器制定维护结构的规则，具体如下：

(1)每一级队列从数据表中获取时间随机阈值，且随着层级从上到下，阈值从小到大；

(2)同一级队列中，所有执行体对象都会共享队列的时间随机阈值；

(3)同一时刻，只能够有一个队列存储服务状态下的执行体服务器地址；

(4)当下一级队列达到队列容量时，异构执行体服务集转变为下一级队列；

(5)只要上一级队列不为空，则作为当前服务队列的执行体地址待选集合；

(6)只要下一级队列未达到队列容量，则作为当前服务队列中被换执行体服务器的地址寄存集合。

进一步地，步骤2所述的在拟态防御架构之外，用一台独立的服务器来建立一个数据库，新建两张数据表分别存储时间随机阈值和任务随机阈值，具体如下：

步骤2.1、在一台独立的服务器上新建一个数据库，再新建两张数据表，一张数据表是时间随机阈值存储表，另一张数据表是任务随机阈值存储表；

步骤2.2、设定周期，每个周期内通过Ziggurat随机数生成算法产生两个随机阈值，分别添加到时间随机阈值数据表和任务随机阈值数据表中。

进一步地，步骤3所述的初始化一个执行体服务集，具体如下：

通过公共漏洞集CVE和通用安全漏洞评分系统CVSS来获取两个异构执行体之间的相似度，用符号φ_ij标记执行体P_i和P_j之间的相似度，具体初始化步骤如下：

步骤3.1、根据公式

计算出相似度阈值，其中φ_th表示相似度阈值，φ_max表示所有执行体之间相似度的最大值，φ_min表示所有执行体之间相似度的最小值，n表示拟态防御架构的冗余度，m表示可供使用的执行体总数目；

步骤3.2、在待选集合中随机选取两个执行体，标记为P_j和P_j，若φ_ij<φ_th，重复步骤3.2，否则创建一个新的集合结构P来存储执行体P_i和P_j的物理地址，标记为P＝{P_i,P_j}；

步骤3.3、从待选集中依次选取执行体，若当前执行体P_k与集合P中所有执行体之间的相似度都小于阈值φ_th的话，就将执行体P_k也添加到集合P中；重复执行步骤3.3直到集合P的容量达到拟态防御架构的冗余度n，此时，创建一个新的集合结构P|_list来存储集合P；

步骤3.4、重置集合P＝{P_i,P_j}并返回步骤3.3，直到无法获得新的执行体集合；

步骤3.5、选取集合P|_list中综合相似度最小的执行体集作为初始化执行体服务集，并将集合中所有执行体的物理地址存储到多级队列容器的第一级队列。

进一步地，步骤4所述的在拟态防御架构中，策略调度器根据多级队列容器的状态，对容器中的异构执行体进行变换，具体如下：

先为多级队列容器中的所有队列分配时间随机阈值，为拟态防御架构中所有执行体对象分配任务随机阈值，然后策略调度器根据步骤1.2中多级队列容器的结构维护规则来对执行体对象进行调度，具体步骤如下：

步骤4.1、从时间随机阈值数据表中的表头依次选取qn个时间阈值并按大小升序排序，再按序分配给多级队列容器中的每一级队列，选取的数据值从数据表中删除，其中qn为步骤1.1中定义的多级队列余度；

步骤4.2、从任务随机阈值数据表中选取m个任务阈值，再分配给拟态防御架构中的所有执行体，选取的数据值从数据表中删除；

步骤4.3、策略调度器的执行策略分为两种情形，具体如下：

(1)第一种情形，如果当前队列是第一级以外的队列，并且当前队列的上一级队列不是空队列，就从上一级队列中选取相似度最小的新执行体来替换该执行体，旧执行体的去向又分为两种情况：

①当执行体未达到当前队列上的时间阈值，而达到自身的任务阈值时，那么该执行体回到待选集合中并重新从任务随机阈值数据表中获取新的任务阈值；

②当执行体未达到其任务阈值，却先达到当前队列上的时间阈值时，那么该执行体添加到下一级队列的队尾，同时，任务阈值调整为剩余未完成的任务数量；

(2)第二种情形，如果当前队列是第一级队列或者当前队列的上一级队列是空队列，就从待选集合中选取相似度最小的新执行体来替换该执行体，旧执行体的去向也分为两种情况：

①当执行体未达到当前队列上的时间阈值，而达到自身的任务阈值时，那么该执行体回到待选集合中并重新从任务随机阈值数据表中获取新的任务阈值；

②当执行体未达到其任务阈值，却先达到当前队列上的时间阈值时，那么该执行体添加到下一级队列的队尾，同时，任务阈值调整为剩余未完成的任务数量；

步骤4.4、当下一级队列达到队列容量时，如果当前队列不是最后一级队列，那么当前队列中所有执行体的任务阈值就调整为剩余任务数量，且执行体服务集变为下一级队列；如果当前队列是最后一级队列，那么当前队列中所有执行体返回待选集合中并从任务随机阈值数据表中获取新的任务阈值，并且执行体服务集转为第一级队列，所有队列从时间随机阈值数据表中获取新的时间阈值。

本发明与现有技术相比，其显著优点在于：(1)基于最小相似度的执行体集初始化使得工作集中执行体之间出现同宗同源漏洞的概率降低，进一步保证了系统的安全性；(2)结合了时间阈值和任务阈值，在满足了安全性要求外也使得系统能够适应不同的负载，兼顾了系统安全性和可靠性。

附图说明

图1为本发明基于多级队列的拟态防御动态调度方法的流程示意图。

图2为本发明中基于多级队列的动态调度模型的情形示意图，其中(a)为情形一示意图，(b)为情形二示意图。

具体实施方式

本发明面向拟态防御架构，实现了一种基于多级队列的拟态防御动态调度方法，结合图1进行说明，包括以下步骤：

步骤1、在拟态防御架构中，构造一个多级队列容器，用于存储执行体服务器的物理地址；

步骤2、在拟态防御架构之外，用一台独立的服务器来建立一个数据库，新建两张数据表分别存储时间随机阈值和任务随机阈值；

步骤3、在拟态防御架构中，考虑异构执行体之间的相似度，初始化一个执行体服务集，集合中所有执行体服务器的物理地址存储在多级队列容器的第一级队列中；

步骤4、在拟态防御架构中，策略调度器根据多级队列容器的状态，对容器中的异构执行体进行变换。

进一步地，步骤1所述的构造一个多级队列容器，具体如下：

步骤1.1、在拟态防御架构中，定义多级队列容器相关指标，具体如下：

(1)多级队列容器：在拟态防御架构中，由若干个大小固定且相等的队列结构按序组成，标记为MQ，并且容器中每一级队列均可作为一个执行体服务集；

(2)多级队列余度：多级队列容器中所包含的队列结构总数目，标记为qn；

(3)队列容量：多级队列容器中每一个队列结构所能容纳的执行体总数目，标记为qc，并且队列容量均等于拟态防御架构的冗余度；

(4)多级队列容器中每一个队列结构分别标记为Q₁,Q₂,…,Q_qn，且存在Q_qn+1＝Q₁；每一个队列结构中的异构执行体可以通过队列层级序号sn(1≤sn≤qn)和在队列中的位置k表示，标记为

步骤1.2、为多级队列容器制定维护结构的规则，具体如下：

(1)每一级队列从数据表中获取时间随机阈值，且随着层级从上到下，阈值从小到大；

(2)同一级队列中，所有执行体对象都会共享队列的时间随机阈值；

(3)同一时刻，只能够有一个队列存储服务状态下的执行体服务器地址；

(4)当下一级队列达到队列容量时，异构执行体集变为；

(5)只要上一级队列不为空，则作为当前服务队列的执行体地址待选集合；

(6)只要下一级队列未达到队列容量，则作为当前服务队列中被换执行体服务器的地址寄存集合。

进一步地，步骤2所述的存储时间随机阈值和任务随机阈值，具体如下：

步骤2.1、在一台独立的服务器上新建一个数据库，再新建两张数据表，一张表是时间随机阈值存储表，另一张是任务随机阈值存储表；

步骤2.2、设定周期，每个周期内通过Ziggurat随机数生成算法产生两个随机阈值，分别添加到时间随机阈值数据表和任务随机阈值数据表中；

进一步地，步骤3所述的初始化一个执行体服务集，其特征在于，通过公共漏洞集CVE和通用安全漏洞评分系统CVSS来获取两个异构执行体之间的相似度，用符号φ_ij来标记执行体P_i和P_j之间的相似度，其中最大的相似度为φ_max，最小的相似度为φ_min，具体初始化步骤如下：

步骤3.1、根据公式

计算出相似度阈值，其中φ_th表示相似度阈值，φ_max表示所有执行体之间相似度的最大值，φ_min表示所有执行体之间相似度的最小值，n表示拟态防御架构的冗余度，m表示可供使用的执行体总数目；

步骤3.2、在待选集合中随机选取两个执行体，标记为P_i和P_j，若φ_ij<φ_th，重复步骤3.2，否则创建一个新的集合结构P来存在将执行体P_i和P_j的物理地址，可以标记为P＝{P_i,P_j}；

步骤3.3、从待选集中依次选取执行体，若当前执行体P_k与集合P中所有执行体之间的相似度都小于阈值φ_th的话，就将执行体P_k也添加到集合P中；重复执行步骤3.3直到集合P的容量达到拟态防御架构的冗余度n，此时，创建一个新的集合结构P|_list来存储集合P；

步骤3.4、重置集合P＝{P_i,P_j}并返回步骤3.3，直到无法获得新的执行体集合；

步骤3.5、选取集合P|_list中综合相似度最小的执行体集作为初始化执行体服务集，并将集合中所有执行体的物理地址存储到多级队列容器的第一级队列；

进一步地，步骤4所述的策略调度器根据多级队列容器的状态对容器中的异构执行体进行变换，其特征在于，先为多级队列容器中的所有队列分配时间随机阈值，为拟态防御架构中所有执行体对象分配任务随机阈值，然后策略调度器根据步骤1.2中多级队列容器的结构维护规则来对执行体对象进行调度，具体步骤如下：

步骤4.1、从时间随机阈值数据表中的表头依次选取qn个时间阈值并按大小升序排序，再按序分配给多级队列容器中的每一级队列，选取的数据值从数据表中删除，其中qn为步骤1.1中定义的多级队列余度；

步骤4.2、从任务随机阈值数据表中选取m个任务阈值，再分配给拟态防御架构中的所有执行体，选取的数据值从数据表中删除；

步骤4.3、策略调度器的执行策略分为两种情形，如图2所示，其中

表示当前服务集队列为第x级队列，其中的第k个执行体服务器在待选集合中的位置序号是i，同样的，

表示当前服务集队列的上一级队列为第x-1级队列，其中的第l个执行体服务器在待选集合中的位置序号是j，其中待选集合就是所有可供使用的执行体服务器的地址集合，具体如下：

(1)第一种情形，如图2(a)所示，如果当前队列是第一级以外的队列，并且其上一级队列不是空队列，即1<sn≤qn且

就从上一级队列中选取相似度最小的新执行体来替换该执行体，旧执行体的去向又分为两种情况：

①当某个执行体未达到当前队列上的时间阈值，而达到自身的任务阈值时，那么该执行体回到待选集合中并重新从任务随机阈值数据表中获取新的任务阈值；

②当某个执行体未达到其任务阈值，却先达到当前队列上的时间阈值时，那么该执行体添加到下一级队列的队尾，同时，任务阈值调整为剩余未完成的任务数量；

(2)第二种情形，如图2(b)所示，如果当前队列是第一级队列或者其上一级队列是空队列，即sn＝1或者

就从待选集合中选取相似度最小的新执行体来替换该执行体，旧执行体的去向也分为两种情况：

①当某个执行体未达到当前队列上的时间阈值，而达到自身的任务阈值时，那么该执行体回到待选集合中并重新从任务随机阈值数据表中获取新的任务阈值；

②当某个执行体未达到其任务阈值，却先达到当前队列上的时间阈值时，那么该执行体添加到下一级队列的队尾，同时，任务阈值调整为剩余未完成的任务数量；

步骤4.4、当下一级队列达到队列容量时，如果当前队列不是最后一级队列，那么当前队列中所有执行体的任务阈值就调整为剩余任务数量，且执行体服务集变为下一级队列；如果当前队列就是最后一级队列，那么当前队列中所有执行体返回待选集合中并从任务随机阈值数据表中获取新的任务阈值，并且执行体服务集转为第一级队列，并且所有队列从时间随机阈值数据表中获取新的时间阈值。

步骤4所述的调度策略用算法进行描述，即基于多级队列的动态调度算法描述具体如表1：

表1

综上所述，本发明基于最小相似度的执行体集初始化使得工作集中执行体之间出现同宗同源漏洞的概率降低，同时结合了时间阈值和任务阈值，在满足了安全性要求外也使得系统能够适应不同的任务负载，兼顾了系统安全性和可靠性。

Claims (4)

1.一种基于多级队列的拟态防御动态调度方法，其特征在于，包括以下步骤：

步骤1、在拟态防御架构中，构造一个多级队列容器，用于存储执行体服务器的物理地址；

步骤2、在拟态防御架构之外，用一台独立的服务器来建立一个数据库，新建两张数据表分别存储时间随机阈值和任务随机阈值；

步骤3、在拟态防御架构中，考虑异构执行体之间的相似度，初始化一个执行体服务集，集合中所有执行体服务器的物理地址存储在多级队列容器的第一级队列中；

步骤4、在拟态防御架构中，策略调度器根据多级队列容器的状态，对容器中的异构执行体进行变换；

步骤3所述的初始化一个执行体服务集，具体如下：

通过公共漏洞集CVE和通用安全漏洞评分系统CVSS来获取两个异构执行体之间的相似度，用符号φ_ij标记执行体P_i和P_j之间的相似度，具体初始化步骤如下：

步骤3.1、根据公式

计算出相似度阈值，其中φ_th表示相似度阈值，φ_max表示所有执行体之间相似度的最大值，φ_min表示所有执行体之间相似度的最小值，n表示拟态防御架构的冗余度，m表示可供使用的执行体总数目；

步骤3.2、在待选集合中随机选取两个执行体，标记为P_i和P_j，若φ_ij＜φ_th，重复步骤3.2，否则创建一个新的集合结构P来存储执行体P_i和P_j的物理地址，标记为P＝{P_i，P_j}；

步骤3.3、从待选集中依次选取执行体，若当前执行体P_k与集合P中所有执行体之间的相似度都小于阈值φ_th的话，就将执行体P_k也添加到集合P中；重复执行步骤3.3直到集合P的容量达到拟态防御架构的冗余度n，此时，创建一个新的集合结构P|_list来存储集合P；

步骤3.4、重置集合P＝{P_i，P_j}并返回步骤3.3，直到无法获得新的执行体集合；

步骤3.5、选取集合P|_list中综合相似度最小的执行体集作为初始化执行体服务集，并将集合中所有执行体的物理地址存储到多级队列容器的第一级队列。

2.根据权利要求1所述的基于多级队列的拟态防御动态调度方法，其特征在于，步骤1所述的构造一个多级队列容器，其特征在于：

步骤1.1、在拟态防御架构中，定义多级队列容器相关指标，具体如下：

(1)多级队列容器：在拟态防御架构中，由若干个大小固定且相等的队列结构按序组成，标记为MQ，并且容器中每一级队列均能够作为一个执行体服务集；

(2)多级队列余度：多级队列容器中所包含的队列结构总数目，标记为qn；

(3)队列容量：多级队列容器中每一个队列结构所能容纳的执行体总数目，标记为qc，并且队列容量均等于拟态防御架构的冗余度；

(4)多级队列容器中每一个队列结构分别标记为Q₁,Q₂,…,Q_qn，且存在Q_qn+1＝Q₁；每一个队列结构中的异构执行体能够通过队列层级序号sn,1≤sn≤qn和在队列中的位置k表示，标记为

步骤1.2、为多级队列容器制定维护结构的规则，具体如下：

(1)每一级队列从数据表中获取时间随机阈值，且随着层级从上到下，阈值从小到大；

(2)同一级队列中，所有执行体对象都会共享队列的时间随机阈值；

(3)同一时刻，只能够有一个队列存储服务状态下的执行体服务器地址；

(4)当下一级队列达到队列容量时，异构执行体服务集转变为下一级队列；

(5)只要上一级队列不为空，则作为当前服务队列的执行体地址待选集合；

(6)只要下一级队列未达到队列容量，则作为当前服务队列中被换执行体服务器的地址寄存集合。

3.根据权利要求1所述的基于多级队列的拟态防御动态调度方法，其特征在于，步骤2所述的在拟态防御架构之外，用一台独立的服务器来建立一个数据库，新建两张数据表分别存储时间随机阈值和任务随机阈值，具体如下：

步骤2.1、在一台独立的服务器上新建一个数据库，再新建两张数据表，一张数据表是时间随机阈值存储表，另一张数据表是任务随机阈值存储表；

步骤2.2、设定周期，每个周期内通过Ziggurat随机数生成算法产生两个随机阈值，分别添加到时间随机阈值数据表和任务随机阈值数据表中。

4.根据权利要求2所述的基于多级队列的拟态防御动态调度方法，其特征在于，步骤4所述的在拟态防御架构中，策略调度器根据多级队列容器的状态，对容器中的异构执行体进行变换，具体如下：

先为多级队列容器中的所有队列分配时间随机阈值，为拟态防御架构中所有执行体对象分配任务随机阈值，然后策略调度器根据步骤1.2中多级队列容器的结构维护规则来对执行体对象进行调度，具体步骤如下：

步骤4.1、从时间随机阈值数据表中的表头依次选取qn个时间阈值并按大小升序排序，再按序分配给多级队列容器中的每一级队列，选取的数据值从数据表中删除，其中qn为步骤1.1中定义的多级队列余度；

步骤4.2、从任务随机阈值数据表中选取m个任务阈值，再分配给拟态防御架构中的所有执行体，选取的数据值从数据表中删除；

步骤4.3、策略调度器的执行策略分为两种情形，具体如下：

(1)第一种情形，如果当前队列是第一级以外的队列，并且当前队列的上一级队列不是空队列，就从上一级队列中选取相似度最小的新执行体来替换该执行体，旧执行体的去向又分为两种情况：

①当执行体未达到当前队列上的时间阈值，而达到自身的任务阈值时，那么该执行体回到待选集合中并重新从任务随机阈值数据表中获取新的任务阈值；

②当执行体未达到其任务阈值，却先达到当前队列上的时间阈值时，那么该执行体添加到下一级队列的队尾，同时，任务阈值调整为剩余未完成的任务数量；

(2)第二种情形，如果当前队列是第一级队列或者当前队列的上一级队列是空队列，就从待选集合中选取相似度最小的新执行体来替换该执行体，旧执行体的去向也分为两种情况：

①当执行体未达到当前队列上的时间阈值，而达到自身的任务阈值时，那么该执行体回到待选集合中并重新从任务随机阈值数据表中获取新的任务阈值；

②当执行体未达到其任务阈值，却先达到当前队列上的时间阈值时，那么该执行体添加到下一级队列的队尾，同时，任务阈值调整为剩余未完成的任务数量；

步骤4.4、当下一级队列达到队列容量时，如果当前队列不是最后一级队列，那么当前队列中所有执行体的任务阈值就调整为剩余任务数量，且执行体服务集变为下一级队列；如果当前队列是最后一级队列，那么当前队列中所有执行体返回待选集合中并从任务随机阈值数据表中获取新的任务阈值，并且执行体服务集转为第一级队列，所有队列从时间随机阈值数据表中获取新的时间阈值。

Images