CN111865946A

CN111865946A - 一种分布式输入代理系统、方法及拟态构造架构

Info

Publication number: CN111865946A
Application number: CN202010641123.9A
Authority: CN
Inventors: 吕青松; 冯志峰; 冯超; 魏亚祥; 郭义伟; 贾庆楠
Original assignee: Zhuhai Comleader Information Technology Co Ltd; Henan Xinda Wangyu Technology Co Ltd
Current assignee: Zhuhai Comleader Information Technology Co Ltd; Henan Xinda Wangyu Technology Co Ltd
Priority date: 2020-07-06
Filing date: 2020-07-06
Publication date: 2020-10-30
Anticipated expiration: 2040-07-06
Also published as: CN111865946B

Abstract

本发明提出一种分布式输入代理系统、方法及拟态构造架构，该系统包括分路器、输入代理单元池和数据通信单元；所述分路器，用于将用户数据复制分发至输入代理单元池；所述数据通信单元，用于实现各个输入代理单元之间的数据通信；所述输入代理单元池，设置N个输入代理单元，每个输入代理单元对接收到的用户数据执行复制分发处理，并记录各自的处理结果；各个输入代理单元之间通过所述数据通信单元采用共识机制获取其它输入代理单元的处理结果；每个输入代理单元维护一个代理账本，所述代理账本记录N个输入代理单元的处理结果；当代理账本的处理结果出现不一致情况时，处理结果不一致对应的输入代理认定为异常运行，执行清洗或者下线操作。

Description

一种分布式输入代理系统、方法及拟态构造架构

技术领域

本发明涉及拟态防御领域，具体涉及一种分布式输入代理系统、方法及拟态构造架构。

背景技术

输入代理作为拟态构造架构中的核心部分，完成用户数据的复制分发并转发至后端执行体。输入代理的安全性直接关系到整个拟态防御架构是否可靠，而输入代理直接暴露在用户侧，在一定程度上给用户侧带来安全威胁。输入代理通常采用单个输入代理单元，极易因漏洞或者后门被人攻破。目前，输入代理常常借助于操作系统的协议栈，通过“反向代理”、“透明代理”等方式进行实现，并借助于传统安全技术（防火墙、IPS）等来提高输入代理的安全性。但是，传统安全技术实质是通过预先设置过滤规则或防护策略来进行安全防护，当过滤规则不够详尽或者防护策略被攻击者绕过的情况下，系统即被攻破。

针对输入代理存在的上述问题，人们一直在寻求一种理想的技术解决方案。

发明内容

本发明的目的是提供一种分布式输入代理系统、方法及拟态构造架构。

为了实现上述目的，本发明第一方面提供了一种分布式输入代理系统，该系统包括分路器、输入代理单元池和数据通信单元；

所述分路器，用于将用户数据复制分发至输入代理单元池；

所述数据通信单元，用于实现各个输入代理单元之间的数据通信；

所述输入代理单元池，设置N个输入代理单元，每个输入代理单元对接收到的用户数据执行复制分发处理，并记录各自的处理结果；各个输入代理单元之间通过所述数据通信单元采用共识机制获取其它输入代理单元的处理结果；

每个输入代理单元维护一个代理账本，所述代理账本记录N个输入代理单元的处理结果；当代理账本的处理结果出现不一致情况时，处理结果不一致对应的输入代理认定为异常运行，执行清洗或者下线操作。

基于上述，所述输入代理包括记账模块，所述记账模块用于对复制后的数据报文进行输出矢量计算，并记录计算结果到所述代理账本。

基于上述，所述共识机制为路由学习。

基于上述，所述共识机制采用由一个输入代理单元向其它输入代理单元发送自己的处理结果的主动发送方式。

本发明第二方面提供了一种分布式输入代理方法，该方法包括以下步骤：

布设带N个输入代理单元的输入代理单元池，各个输入代理单元之间通过数据通信单元进行数据通信；

每个输入代理单元接收经分路器复制分发来的用户数据后，执行复制分发处理，并记录各自的处理结果；各个输入代理单元之间通过所述数据通信单元采用共识机制获取其它输入代理单元的处理结果；

本发明第三方面提供了一种拟态防御架构，包括输入代理、异构功能等价执行体、反馈控制器与裁决输出，所述输入代理采用所述的分布式输入代理系统。

基于上述，每个输入代理单元设置裁决输出模块，用于接收各异构功能等价执行体的返回数据，进行裁决后输出至所述分路器，所述裁决输出设置为所述裁决输出模块；

所述分路器与所述输入代理单元之间通过两条物理的数据通道完成数据传输；所述输入代理单元的RX通道与所述分路器的TX通道连接，完成数据输入；所述输入代理单元的TX通道与所述分路器的RX通道连接，完成裁决数据输出。

基于上述，所述输入代理单元还包括标签处理模块和输出选举模块，所述标签处理模块用于对复制后的数据报文打上对应输入代理单元的ID号；所述输出选举模块用于根据预置的算法在所述输入代理单元池中选举出一个正常运行的输入代理单元；所述异构功能等价执行体，通过识别输入代理单元的ID号，只接收所述输出选举模块选举出的输入代理单元的分发数据，其余输入代理单元的分发数据做丢弃处理。

本发明相对现有技术具有突出的实质性特点和显著的进步，具体地说，本发明通过分布式设置输入代理单元，解决了采用单一输入代理单元存在的输入数据被篡改或者输入代理单元异常运行等安全漏洞或后门的问题，同时通过引入共识机制获取所有输入代理单元的处理结果建立代理账本，再通过代理账本即可识别出异常运行的输入代理单元，从而大大提高了分布式输入代理系统的安全性、可靠性以及抗攻击性，进而增强拟态构造设备的防御能力。

附图说明

图1是本发明实施例1提供的分布式输入代理系统的框图。

图2是本发明实施例5提供的分布式输入代理系统的框图。

具体实施方式

实施例1

如图1所示，本实施例提供了一种分布式输入代理系统，该系统包括分路器、输入代理单元池和数据通信单元；

所述分路器，用于将用户数据复制分发至输入代理单元池；

具体的，本实施例中的分路器为物理器件，不具备软件特性；接收输入的用户数据信号，通过硬件的方式实现物理信号的复制分发至N个输入代理单元。分路器常常借助于分光器、FPGA、或者其它物理器件的方式实现。

本实施例中，输入代理单元在设计时，应在物理硬件平台、操作系统上尽量是异构的，因此，输入代理单元可以由不同形态的物理服务器的方式实现，或者由不同的虚拟机的方式实现，或者由物理服务器结合虚拟机的方式实现。

本实施例中的输入代理还包括记账模块，所述记账模块用于对复制后的数据报文进行输出矢量计算，并记录计算结果到所述代理账本。

本实施例中的数据通信单元，用于实现各个输入代理单元之间的数据通信；在具体设计时，为了保证通信安全，输入代理单元之间的通信方式应尽量选用SPI、I2C或者网络加密认证的方式进行。

实施例2

本实施例提供了一种分布式输入代理方法，该方法包括以下步骤：

每个输入代理单元对接收到的用户数据进行复制分发后，由记账模块对复制后的数据报文进行输出矢量计算，并记录计算结果到所述代理账本。

实施例3

本实施例与实施例2的区别在于：提供了一种具体的代理账本及具体的共识机制。

代理账本生成过程如下：

在T0时刻范围内，输入代理单元1接收到数据报文为P0，输入代理单元1进行复制分发，记账模块对复制后的数据报文进行输出矢量计算，生成处理结果O1，处理结果O1包含输入代理单元1分发到异构执行体1的数据报文P1的HASH值，分发到异构执行体2的数据报文P2的HASH值，分发到异构执行体3的数据报文P3的HASH值，……，分发到异构执行体m的数据报文Pm的HASH值，输入代理单元1的处理结果可以用如下方法表示，O1{T0，HASH（P0），HASH（P1），HASH（P2），HASH（P3），……，HASH（Pm）}；

按照上述方法，输入代理单元2生成的处理结果O2{T0，HASH（P0），HASH（P1），HASH（P2），HASH（P3），……，HASH（Pm）}，输入代理单元n的处理结果On{T0，HASH（P0），HASH（P1），HASH（P2），HASH（P3），……，HASH（Pm）}；

各个输入代理单元的处理结果生成完成以后，输入代理单元之间通过数据通信单元采用类似“路由学习”的方式获取邻居输入代理单元的处理结果，直至每个输入代理单元获取在T0时刻的n个处理结果。

其中，路由学习的过程：采取邻居路由学习的方式，输入代理单元1与输入代理单元2交换代理账本（输入代理单元2获取到输入代理单元1的代理账本），输入代理单元2与输入代理单元3交换自己的代理账本（输入代理单元3获取到输入代理单元2的代理账本），以此类推，经过逐步收敛后，每个输入代理单元都应能获取到其它输入代理单元所有的代理账本。

除了借助于路由学习的方式，当输入代理单元池的规模较小时，也可以采用“主动发送”的方式完成代理账本的遍历获取，输入代理单元1向n-1个输入代理单元发送自己在T0时刻的处理结果，以此类推，直至每个输入代理单元获取到n个处理结果。

每个输入代理单元获取到n个处理结果后，生成代理账本。代理账本由每个输入代理单元的处理结果组成，T0时刻的代理账本如下：O1{T0，HASH（P0），HASH（P1），HASH（P2），HASH（P3），……，HASH（Pm）}、O2{T0，HASH（P0），HASH（P1），HASH（P2），HASH（P3），……，HASH（Pm）}、……、On{T0，HASH（P0），HASH（P1），HASH（P2），HASH（P3），……，HASH（Pm）}。通过判别代理账本中的对应Pi的HASH值是否一致来确定输入代理单元是否异常（攻击行为可能会篡改HASH值）。

实施例4

本实施例提供了一种拟态防御架构，包括输入代理、输出代理、异构功能等价执行体、反馈控制器与裁决器，所述输入代理采用实施例1所述的分布式输入代理系统。

具体的，所述输入代理单元包括标签处理模块和输出选举模块，所述标签处理模块用于对复制后的数据报文打上对应输入代理单元的ID号；所述输出选举模块用于根据预置的算法在所述输入代理单元池中选举出一个正常运行的输入代理单元；所述异构功能等价执行体，通过识别输入代理单元的ID号，只接收所述输出选举模块选举出的输入代理单元的分发数据，其余输入代理单元的分发数据做丢弃处理。

在分布式输入代理系统完成复制分发工作时，输出选举模块选举出一个正常运行的输入代理单元的处理结果作为输出。正常情况下，m个处理结果应是完全一致的，此时只需对异构功能等价执行体进行输入配置为只接收选举出的输入代理单元的处理结果作为输入，其余输入代理单元的数据做丢弃处理；当异构功能等价执行体处理的数据正好来自下线输出代理单元时，此时会由输出选举模块重新选举出新的输入代理单元的处理结果作为输出。

实施例5

本实施例与实施例4的区别在于：提供了另一种形式的拟态防御架构，如图2所示，该拟态防御架构中的每个输入代理单元设置裁决输出模块，用于接收各异构功能等价执行体的返回数据，进行裁决后输出至所述分路器，所述裁决输出设置为所述裁决输出模块。

不同拟态防御架构适用不同的应用场景，有时候输入代理单元的数据是双向的，此时输入代理单元之间应具备选举算法（结合记账模块内容）选举出一个输入代理单元的数据反馈给用户。

各输入代理单元通过选举算法选举出输入代理单元1作为对外的数据输出通道，输入代理单元1接收各异构功能等价执行体的返回数据并进行裁决，将裁决后的数据送至分路器，分路器将数据送至外部用户。当输入代理单元1的记账内容与其它输入代理单元的内容不同时，输入代理单元1不应作为数据输出通道。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及方法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

上述集成的模块如果以软件功能单元的形式实现并作为独立的产品销售或使用时，还可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请实现上述实施例方法中的全部或部分流程，也可以通过计算机程序来指令相关的硬件来完成，上述的计算机程序可存储于计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。其中，上述计算机程序包括计算机程序代码，上述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims

1.一种分布式输入代理系统，其特征在于：该系统包括分路器、输入代理单元池和数据通信单元；

所述分路器，用于将用户数据复制分发至输入代理单元池；

2.根据权利要求1所述的分布式输入代理系统，其特征在于：所述输入代理包括记账模块，所述记账模块用于对复制后的数据报文进行输出矢量计算，并记录计算结果到所述代理账本。

3.根据权利要求1或2所述的分布式输入代理系统，其特征在于：所述共识机制为路由学习。

4.根据权利要求1或2所述的分布式输入代理系统，其特征在于：所述共识机制采用由一个输入代理单元向其它输入代理单元发送自己的处理结果的主动发送方式。

5.一种分布式输入代理方法，其特征在于，该方法包括以下步骤：

6.根据权利要求5所述的分布式输入代理方法，其特征在于：每个输入代理单元对接收到的用户数据进行复制分发后，由记账模块对复制后的数据报文进行输出矢量计算，并记录计算结果到所述代理账本。

7.根据权利要求5或6所述的分布式输入代理方法，其特征在于：所述共识机制为路由学习。

8.根据权利要求5或6所述的分布式输入代理方法，其特征在于：所述共识机制采用由一个输入代理单元向其它输入代理单元发送自己的处理结果的主动发送方式。

9.一种拟态防御架构，包括输入代理、异构功能等价执行体、反馈控制器与裁决输出，其特征在于：所述输入代理采用权利要求1-4任一项所述的分布式输入代理系统。

10.根据权利要求9所述的拟态防御架构，其特征在于：每个输入代理单元设置裁决输出模块，用于接收各异构功能等价执行体的返回数据，进行裁决后输出至所述分路器，所述裁决输出设置为所述裁决输出模块；

11.根据权利要求9或10所述的拟态防御架构，其特征在于：所述输入代理单元还包括标签处理模块和输出选举模块，所述标签处理模块用于对复制后的数据报文打上对应输入代理单元的ID号；所述输出选举模块用于根据预置的算法在所述输入代理单元池中选举出一个正常运行的输入代理单元；所述异构功能等价执行体，通过识别输入代理单元的ID号，只接收所述输出选举模块选举出的输入代理单元的分发数据，其余输入代理单元的分发数据做丢弃处理。