CN112040021B - 网络靶场实战演练场景的操作机休眠网络托管系统与方法 - Google Patents

Abstract

本发明公开了一种网络靶场实战演练场景的操作机休眠网络托管系统与方法，本发明在操作机休眠时，保存休眠状态操作机的网络配置记录，生成并下发虚拟交换机流表，将目标为休眠状态操作机的流量转向网络靶场控制节点；操作机从休眠状态恢复时，清理保存的网络配置记录，并删除虚拟交换机对应流表记录；并且通过获取协议报文流量，针对休眠状态操作机的ARP协议、RARP协议、DHCP协议、ICMP协议流量回复对应的响应报文，以及定期向DHCP服务器发送休眠状态操作机的续约报文，保证休眠状态操作机的IP地址不过期。本发明能够提高运维灵活性、支持动态分配方式的DHCP服务器方案，提升了资源利用率，并提升了网络靶场支持操作机的数量。

Description

网络靶场实战演练场景的操作机休眠网络托管系统与方法

技术领域

本发明涉及一种网络靶场实战演练场景的操作机休眠网络托管系统与方法，属于网络技术领域。

背景技术

网络靶场是指通过虚拟环境与真实设备相结合，模拟仿真出真实网络空间攻防作战环境，能够支撑作战能力研究和武器装备验证的试验平台。随着信息时代的不断发展，网络环境日益严峻，不断提出了搭建大规模网络环境进行实战演练的需求。

网络靶场实战演练场景的部署图如图1所示，网络靶场通过多个多种实体网络设备连接控制节点、计算节点、互联网，网络靶场通过虚拟化技术在计算节点构建演练场景的虚拟机及虚拟网络。网络靶场为所有作战小队队员生成虚拟机作为网络靶场操作机，所有作战小队的队员通过网络靶场控制节点的操作机管理模块远程控制操作机，操作机管理模块记录队员所有操作日志，指挥中心可以通过操作日志观察所有作战小队的战斗情况。

目前网络靶场实战演练场景的作战流程主要包括：指挥中心指定作战任务，并将任务指派给相应的作战小队或作战队员；作战小队接收指派的作战任务，并在网络靶场中的计算节点创建虚拟机作为作战用操作机，所有针对当前任务的作战操作都在将该操作机上执行；作战小队队员主机连接操作机管理模块发起操作机连接请求；操作机管理模块认证作战小队队员身份及权限并通过远程控制协议连接操作机；作战小队队员通过操作机执行任务；作战小队队员完成作战任务后，释放当前任务用的操作机，即释放虚拟机资源。现有网络靶场实战演练场景的作战流程存在如下问题：1、资源浪费。长期任务操作机未结束任务且处于闲置状态下依旧占用内存及CPU资源，造成资源浪费，导致新任务无法创建作战操作机。2、网络靶场管理员需要人工协调操作机。网络靶场管理员需要人工协调操作机资源，以释放出部分资源来创建新的操作机支持新的作战需要。3、对休眠状态操作机运维灵活性差。对于暂时不需要使用的操作机，可以进行休眠处理，休眠操作机的网络配置将保留在控制节点上，创建新的虚拟机时将不占用保留的IP地址，当需要使用时重新恢复操作机，同时保证恢复后的操作机依旧采用原来的网络配置，仅能从虚拟机创建流程避免IP被占用，虚拟机的二次配置依旧会导致休眠状态IP被占用，常用的采用Ping命令判断IP占用情况的方法失效。4、对动态分配方式DHCP服务器方案支持不佳。采用动态分配方式的DHCP服务器，休眠虚拟机租约到期的IP被释放，被释放的IP容易被其他虚拟机占用。

发明内容

发明目的：针对上述现有技术存在的问题，本发明的目的在于提供一种网络靶场实战演练场景的操作机休眠网络托管系统与方法，以提高运维灵活性、降低资源浪费，提升网络靶场支持操作机的数量。

技术方案：为实现上述发明目的，本发明采用如下技术方案：

一种网络靶场实战演练场景的操作机休眠网络托管系统，包括部署在网络靶场控制节点的操作机管理模块和操作机休眠网络托管模块；

所述操作机管理模块，用于接收队员主机发起的操作机连接请求，在身份及权限校验通过后连接操作机，并保存作战队员的操作记录；以及用于休眠操作机或恢复操作机，并在操作机休眠时或恢复时通知操作机休眠网络托管模块；

所述操作机休眠网络托管模块，用于操作机休眠时，保存休眠状态操作机的网络配置记录，生成并下发虚拟交换机流表，将目标为休眠状态操作机的流量转向网络靶场控制节点；操作机从休眠状态恢复时，清理保存的网络配置记录，并删除虚拟交换机对应流表记录；以及用于获取协议报文流量，针对休眠状态操作机的ARP协议、RARP协议、DHCP协议、ICMP协议流量回复对应的响应报文；以及定期向DHCP服务器发送休眠状态操作机的续约报文，保证休眠状态操作机的IP地址不过期。

进一步地，所述网络配置包括IP地址、MAC地址、网关、子网掩码和DNS服务器地址。

进一步地，操作机的休眠是关闭、挂起或冻结操作机使操作机进入非正常运行可恢复的状态。

进一步地，操作机休眠时，生成并下发的虚拟交换机流表包含匹配项和动作，所述匹配项设置为休眠状态操作机的MAC地址及IP地址，动作设置为修改目标MAC地址为网络靶场控制节点上操作机休眠网络托管模块监听虚拟网卡的MAC地址。

进一步地，所述操作机休眠网络托管模块，在操作机进入休眠状态时、租约过去50%时、租约过去87.5%时、租约过去90%时、租约过去95%时向DHCP服务器发送DHCP REQUEST续约报文。

进一步地，所述系统还包括流量监控模块，用于分析操作机所在计算节点上虚拟交换机的IP数据包，根据IP数据包的协议类型过滤非业务流量，标记最近一次业务流入记录及业务流出记录，将持续设定时间内无业务流入且无业务流出记录的操作机信息发送至操作机管理模块；所述操作机管理模块在接收到无业务流入且无业务流出记录的操作机信息后基于操作记录进行零业务操作机判断，若对应的操作机在持续设定时间内不存在队员主机指令记录，则判断为零业务操作机，对零业务操作机进行休眠。

进一步地，所述流量监控模块过滤的非业务流量的协议类型包括ICMP协议、ARP协议、RARP协议、DHCP协议和DNS协议。

一种网络靶场实战演练场景的操作机休眠网络托管方法，包括如下步骤：

（1）在队员主机请求连接操作机时，认证队员身份及权限，认证通过后连接操作机，并保存作战队员的操作记录；

（2）在操作机需要进行休眠处理时，休眠操作机，保存休眠状态操作机的网络配置记录，生成并下发虚拟交换机流表，将目标为休眠状态操作机的流量转向网络靶场控制节点；

（3）获取协议报文流量，针对休眠状态操作机的ARP协议、RARP协议、DHCP协议、ICMP协议流量回复对应的响应报文；

（4）定期向DHCP服务器发送休眠状态操作机的续约报文，保证休眠状态操作机的IP地址不过期；

（5）在队员主机请求连接休眠状态操作机时，恢复休眠状态操作机，清理保存的网络配置记录，并删除虚拟交换机对应流表记录。

进一步地，通过对操作机进行业务流量监控判断是否需要休眠操作机，判断方法为：

通过分析操作机所在计算节点上虚拟交换机的IP数据包监控操作机的网络流量，根据IP数据包的协议类型过滤非业务流量，标记最近一次业务流入记录及业务流出记录，对于持续设定时间内无业务流入且无业务流出记录的操作机，再基于控制节点上的操作记录进行零业务操作机判断，若对应的操作机在持续设定时间内不存在队员主机指令记录，则判断为零业务操作机，零业务操作机即为需要休眠的操作机。

有益效果：本发明通过流表报文转发及操作机休眠网络托管模块底层协议自动回复机制，将底层协议如ICMP、ARP、RARP、DHCP流量转到操作机休眠网络托管模块，并由操作机休眠网络托管模块进行自动回复，保证休眠状态的操作机的网络配置保持占用状态；并定期发送IP续约报文，保证休眠操作机的IP租约持续有效。此外，本发明通过操作机的持续时间内零业务流入流出记录及零操作记录来判断操作机处于零业务状态，对操作机进行休眠，释放操作机资源，避免无业务的资源占用。与现有技术相比，本发明具有如下优点：

1、运维灵活性更高。操作机处于休眠状态时，常用的命令依旧能识别IP处于占用状态，达到操作机业务休眠，网络状态不休眠的效果。

2、支持动态分配方式的DHCP服务器方案。休眠虚拟机的租约由操作机休眠网络托管模块负责进行续约，保证IP持续有效。

3、降低了闲置资源占用。通过无业务状态判定来释放资源，降低了闲置资源的浪费。

4、提升网络靶场支持操作机数量。对操作机进行自动休眠和恢复，提升了网络靶场可支持的操作机数量。

附图说明

图1为网络靶场实战演练场景的部署图。

图2为本发明实施例的操作机休眠网络托管系统在网络靶场实战演练场景的应用结构示意图。

图3为本发明另一实施例的操作机休眠网络托管系统在网络靶场实战演练场景的应用结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整的描述，显然，所描述的实施例仅只是本发明的一部分实施例，而不是全部的实施例。基于本发明的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的其他所有实施例，都属于本发明保护的范围。

如图2所示，本发明实施例公开的一种网络靶场实战演练场景的操作机休眠网络托管系统，包括部署在网络靶场控制节点的操作机管理模块和操作机休眠网络托管模块。其中，操作机管理模块，用于接收队员主机发起的操作机连接请求，在身份及权限校验通过后连接操作机，并保存作战队员的操作记录；以及用于休眠操作机或恢复操作机，并在操作机休眠时或恢复时通知操作机休眠网络托管模块。操作机休眠网络托管模块，用于操作机休眠时，保存休眠状态操作机的网络配置记录，生成并下发虚拟交换机流表，将目标为休眠状态操作机的流量转向网络靶场控制节点；操作机从休眠状态恢复时，清理保存的网络配置记录，并删除虚拟交换机对应流表记录；以及用于获取协议报文流量，针对休眠状态操作机的ARP协议、RARP协议、DHCP协议、ICMP协议流量回复对应的响应报文；以及定期向DHCP服务器发送休眠状态操作机的续约报文，保证休眠状态操作机的IP地址不过期。

具体地，网络配置包括IP地址、MAC地址、网关、子网掩码和DNS服务器地址。操作机的休眠是关闭、挂起或冻结操作机使操作机进入非正常运行可恢复的状态。

进一步地，为实现操作机的自动休眠操作，如图3所示，本发明另一实施例公开的一种网络靶场实战演练场景的操作机休眠网络托管系统还包括流量监控模块，用于分析操作机所在计算节点上虚拟交换机的IP数据包，根据IP数据包的协议类型过滤非业务流量，标记最近一次业务流入记录及业务流出记录，将持续设定时间内无业务流入且无业务流出记录的操作机信息发送至操作机管理模块；操作机管理模块在接收到无业务流入且无业务流出记录的操作机信息后基于操作记录进行零业务操作机判断，若对应的操作机在持续设定时间内不存在队员主机指令记录，则判断为零业务操作机，对零业务操作机进行休眠。

基于相同的发明构思，本发明实施例公开的一种网络靶场实战演练场景的操作机休眠网络托管方法，包括如下步骤：

（1）在队员主机请求连接操作机时，认证队员身份及权限，认证通过后连接操作机，并保存作战队员的操作记录；

（2）在操作机需要进行休眠处理时，休眠操作机，保存休眠状态操作机的网络配置记录，生成并下发虚拟交换机流表，将目标为休眠状态操作机的流量转向网络靶场控制节点；

（3）获取协议报文流量，针对休眠状态操作机的ARP协议、RARP协议、DHCP协议、ICMP协议流量回复对应的响应报文；

（4）定期向DHCP服务器发送休眠状态操作机的续约报文，保证休眠状态操作机的IP地址不过期；

（5）在队员主机请求连接休眠状态操作机时，恢复休眠状态操作机，清理保存的网络配置记录，并删除虚拟交换机对应流表记录。

可通过对操作机进行业务流量监控判断是否需要休眠操作机，判断方法为：通过分析操作机所在计算节点上虚拟交换机的IP数据包监控操作机的网络流量，根据IP数据包的协议类型过滤非业务流量，标记最近一次业务流入记录及业务流出记录，对于持续设定时间内无业务流入且无业务流出记录的操作机，再基于控制节点上的操作记录进行零业务操作机判断，若对应的操作机在持续设定时间内不存在队员主机指令记录，则判断为零业务操作机，零业务操作机即为需要休眠的操作机。

下面对采用本发明实施例的网络靶场实战演练场景的作战流程做进一步说明。具体作战流程包括：

1）指挥中心创建任务。指挥中心指挥官通过主机连接控制节点内任务管理模块（网络靶场平台现有模块）创建作战任务，并将任务指派给相应的作战小队或作战队员。

2）作战小队队员接收任务并创建任务专属操作机。作战小队队员接收指派的作战任务，可以接收指派到小队及个人的任务，并在网络靶场中的计算节点创建虚拟机作为作战用操作机，所有针对当前任务的作战操作都在将该操作机上执行，每个任务对应至少一台任务作战操作机，对应一名实际任务执行作战队员。

3）作战小队队员主机连接操作机管理模块发起操作机连接请求。队员主机连接网络靶场控制节点的操作机管理模块，操作机管理模块完成身份验证、授权控制、安全审计功能，承担了堡垒机的功能，实际应用组件如JumpServer、Guacamole等。

4）操作机管理模块认证作战小队队员身份及权限并连接操作机。操作机管理模块认证作战小队队员身份信息，并校验其对操作机的权限，校验通过后，通过远程控制协议连接操作机，远程控制协议如RDP、SSH、Telnet、VNC等，由此队员主机通过网络靶场操作机管理模块与操作机建立连接。

5）作战小队队员通过操作机执行任务。操作机管理模块保存队员所有操作记录，SSH连接以命令列表形式记录，如登录操作、文件修改操作、网络请求访问操作、文件上传操作、工具执行操作等。

6）流量监控模块监控操作机的网络流量情况。流量监控模块由服务组件及客户端组件组成，计算节点安装客户端组件，控制节点安装服务组件，客户端组件通过计算节点上的虚拟交换机分析计算节点上虚拟机的IP数据包，根据协议类型过滤非业务流量，记录最近一次业务流入时间及业务流出时间，并将最近一次业务流入记录及业务流出记录上报到服务组件。实际应用流量获取工具如基于OpenVswitch的tcpdump工具，非业务协议可以包含ICMP协议、ARP协议、RARP协议、DHCP协议、DNS协议等。

7）流量监控模块针对无业务流量虚拟机发送信号到操作机管理模块。流量监控模块针对持续时间内无业务流入且无业务流出记录的虚拟机触发信号反馈，将该持续零业务记录信号发送至操作机管理模块，零业务记录信号包含操作机IP地址及信号类型（零业务记录信号），实际应用中持续时间可根据业务情况调整，一般为30分钟。

8）操作机管理模块对触发持续零业务记录信号的操作机基于操作记录进行无业务状态判定。操作机管理模块接收到指定操作机的持续零业务记录信号，根据操作机IP查询操作机在持续时间内是否存在队员主机指令记录，若无，则判断该操作机持续时间内无业务。当队员在操作机仅做文件管理、文件修改、本地工具调用等不涉及到网络操作时，会出现操作机无业务流量但操作机依旧处于使用状态的情况，所以通过操作记录来做二次判定以准确判断零业务操作机。

9）操作机管理模块对零业务操作机进行休眠。操作机管理模块对零业务操作机生成内存磁盘快照并保存在快照存储模块（一般为NFS存储形式），断开队员主机与该操作机的连接（若存在），保留网络配置信息，并释放该虚拟机。实际应用快照生成工具如virsh，快照生成指令：virsh snapshot-create-as。

10）控制节点内操作机休眠网络托管模块维护休眠操作机的网络配置记录，生成并下发到操作机计算节点虚拟交换机流表，将目标为休眠操作机的流量转向控制节点。实际应用中通过SSH连接操作机所在计算节点采用OpenVswitch组件的ovs-ofctl命令工具针对操作机虚拟交换机下发流表，流表包含匹配项、动作，匹配项设置为休眠操作机的MAC地址及IP地址，动作设置为修改目标MAC地址为控制节点上操作机休眠托管模块监听虚拟网卡的MAC地址，命令如ovs-ofctl add-flow，或采用SDN控制器对所有虚拟交换机统一管理直接下发流表，如Open Daylight。

11）操作机休眠网络托管模块获取协议报文流量，针对休眠操作机的ARP协议、RARP协议、DHCP协议、ICMP协议流量回复对应的响应报文，其中包括DHCP REQUEST报文、ARPREPLY报文、ICMP REPLY报文、RARP REPLY报文，其中响应报文设置对应休眠操作机的MAC地址及IP地址。实际应用中基于Scapy工具分析协议流量，并构建正确的响应报文返回。

12）操作机休眠网络托管模块定期向DHCP服务器发送休眠操作机的续约报文，保证休眠操作机的IP地址不过期，即DHCP REQUEST报文，操作机进入休眠状态时、租约过去50%时、租约过去87.5%时、租约过去90%时、租约过去95%时发送DHCP REQUEST续约报文。

13）作战小队队员作战需要再次连接操作。操作机管理模块认证作战小队队员身份及权限，由快照存储模块存储的快照重新生成操作机并删除快照数据，操作机恢复休眠时的状态，并连接操作机。实际应用快照恢复工具有如virsh，快照恢复指令：virshsnapshot-revert。当操作机从休眠状态恢复，清理操作机休眠网络托管模块内的休眠操作机网络配置记录，并删除虚拟交换机对应流表记录。实际应用中采用OpenVswitch组件的ovs-ofctl命令工具删除虚拟交换机内的流表记录，命令如ovs-ofctl del-flows。

14）作战小队队员完成任务，释放操作机。作战小队队员完成作战任务后，释放当前任务用的操作机，即释放虚拟机资源。

Claims (9)

1.一种网络靶场实战演练场景的操作机休眠网络托管系统，其特征在于，包括部署在网络靶场控制节点的操作机管理模块和操作机休眠网络托管模块；

所述操作机管理模块，用于接收队员主机发起的操作机连接请求，在身份及权限校验通过后连接操作机，并保存作战队员的操作记录；以及用于休眠操作机或恢复操作机，并在操作机休眠时或恢复时通知操作机休眠网络托管模块；

所述操作机休眠网络托管模块，用于操作机休眠时，保存休眠状态操作机的网络配置记录，生成并下发虚拟交换机流表，将目标为休眠状态操作机的流量转向网络靶场控制节点；操作机从休眠状态恢复时，清理保存的网络配置记录，并删除虚拟交换机对应流表记录；以及用于获取协议报文流量，针对休眠状态操作机的ARP协议、RARP协议、DHCP协议、ICMP协议流量回复对应的响应报文；以及定期向DHCP服务器发送休眠状态操作机的续约报文，保证休眠状态操作机的IP地址不过期。

2.根据权利要求1所述的网络靶场实战演练场景的操作机休眠网络托管系统，其特征在于，所述网络配置包括IP地址、MAC地址、网关、子网掩码和DNS服务器地址。

3.根据权利要求1所述的网络靶场实战演练场景的操作机休眠网络托管系统，其特征在于，操作机的休眠是关闭、挂起或冻结操作机使操作机进入非正常运行可恢复的状态。

4.根据权利要求1所述的网络靶场实战演练场景的操作机休眠网络托管系统，其特征在于，操作机休眠时，生成并下发的虚拟交换机流表包含匹配项和动作，所述匹配项设置为休眠状态操作机的MAC地址及IP地址，动作设置为修改目标MAC地址为网络靶场控制节点上操作机休眠网络托管模块监听虚拟网卡的MAC地址。

5.根据权利要求1所述的网络靶场实战演练场景的操作机休眠网络托管系统，其特征在于，所述操作机休眠网络托管模块，在操作机进入休眠状态时、租约过去50%时、租约过去87.5%时、租约过去90%时、租约过去95%时向DHCP服务器发送DHCP REQUEST续约报文。

6.根据权利要求1所述的网络靶场实战演练场景的操作机休眠网络托管系统，其特征在于，还包括流量监控模块，用于分析操作机所在计算节点上虚拟交换机的IP数据包，根据IP数据包的协议类型过滤非业务流量，标记最近一次业务流入记录及业务流出记录，将持续设定时间内无业务流入且无业务流出记录的操作机信息发送至操作机管理模块；所述操作机管理模块在接收到无业务流入且无业务流出记录的操作机信息后基于操作记录进行零业务操作机判断，若对应的操作机在持续设定时间内不存在队员主机指令记录，则判断为零业务操作机，对零业务操作机进行休眠。

7.根据权利要求6所述的网络靶场实战演练场景的操作机休眠网络托管系统，其特征在于，所述流量监控模块过滤的非业务流量的协议类型包括ICMP协议、ARP协议、RARP协议、DHCP协议和DNS协议。

8.一种网络靶场实战演练场景的操作机休眠网络托管方法，其特征在于，包括如下步骤：

（1）在队员主机请求连接操作机时，认证队员身份及权限，认证通过后连接操作机，并保存作战队员的操作记录；

（2）在操作机需要进行休眠处理时，休眠操作机，保存休眠状态操作机的网络配置记录，生成并下发虚拟交换机流表，将目标为休眠状态操作机的流量转向网络靶场控制节点；

（3）获取协议报文流量，针对休眠状态操作机的ARP协议、RARP协议、DHCP协议、ICMP协议流量回复对应的响应报文；

（4）定期向DHCP服务器发送休眠状态操作机的续约报文，保证休眠状态操作机的IP地址不过期；

（5）在队员主机请求连接休眠状态操作机时，恢复休眠状态操作机，清理保存的网络配置记录，并删除虚拟交换机对应流表记录。

9.根据权利要求8所述的网络靶场实战演练场景的操作机休眠网络托管方法，其特征在于，通过对操作机进行业务流量监控判断是否需要休眠操作机，判断方法为：

通过分析操作机所在计算节点上虚拟交换机的IP数据包监控操作机的网络流量，根据IP数据包的协议类型过滤非业务流量，标记最近一次业务流入记录及业务流出记录，对于持续设定时间内无业务流入且无业务流出记录的操作机，再基于控制节点上的操作记录进行零业务操作机判断，若对应的操作机在持续设定时间内不存在队员主机指令记录，则判断为零业务操作机，零业务操作机即为需要休眠的操作机。

Images