CN112702205A - 拟态dhr架构下执行体状态监测方法及系统 - Google Patents

Abstract

本发明属于网络安全技术领域，特别涉及一种拟态DHR架构下执行体状态监测方法及系统，用于对系统中各执行体状态进行实时监控以保证动态异构冗余系统的运行性能，包含如下内容：监测系统内执行体多维状态数据，获取执行体状态异常数据，其中，多维状态数据包含进程状态、资源状态、系统配置文件及敏感日志；将状态异常数据反馈给裁决器，裁决器依据预设裁决策略判定异常执行体，发出异常报警信号，异常状态较为严重时通过调度模块对异常执行体清洗调度。本发明对执行体系统资源、进程状态、关键文件及敏感日志等进行多维状态监测解析，为执行体稳定安全运行提供必要条件，降低“攻击逃逸”风险，提高系统安全性、稳定性与可靠性，具有较好应用前景。

Description

拟态DHR架构下执行体状态监测方法及系统

技术领域

本发明属于网络安全技术领域，特别涉及一种拟态DHR架构下执行体状态监测方法及系统。

背景技术

随着信息技术的飞速发展，网络已经成为人们生产生活中不可分割的一部分，网络功能能否稳定运行，系统安全能否得到保障对人们生产生活的影响越来越深。对于网络攻击进行防御，难点在于攻击者与防御者双方不平等的博弈，攻击者往往用较小的代价即可导致系统扰动甚至瘫痪，同时系统自身软硬件漏洞后门不可避免导致未知攻击的固存性，从根本上抵御外在入侵及自身软硬件漏洞后门保证系统安全难以实现。网络攻击拟态防御技术改变了攻击者与防御者之间地位不平等的情况，为防御未知攻击提供了可能。拟态防御典型构造—动态异构冗余架构(Dynamic Heterogeneous Redundancy，DHR)是使用功能等价的多样化软硬异构构件搭建运行环境，通过策略调度、重构重组和虚拟化等多维动态的不确定性机制，使得针对系统的攻击难以实施。在DHR架构下，一般采取k/n表决的方法，即在n个执行体中，至少有k个执行体的运算结果一样，则以该结果作为系统输出并发送至裁决模块，执行体系统能够安全稳定运行至关重要。在实践中由于网络空间的复杂性和网络攻击的多样性，以及系统随机噪声误差等因素的影响，同时由于执行体自身软硬件不可避免后门漏洞，均会为执行体正常运行带来风险，从而影响执行体结果正确输出，导致错误结果的执行体个数到阈值k，甚至出现n个执行体的运算结果均为错误的情形(简称无法表决)导致“攻击逃逸”。

发明内容

为此，本发明提供一种拟态DHR架构下执行体状态监测方法及系统，通过对执行体系统资源、进程状态、关键文件及敏感日志等进行多维状态监测解析，为执行体稳定安全运行提供必要条件，降低“攻击逃逸”风险，提高系统安全性、稳定性与可靠性。

按照本发明所提供的设计方案，一种拟态DHR架构下执行体状态监测方法，用于对系统中各执行体状态进行实时监控以保证动态异构冗余系统的运行性能，包含如下内容：

监测系统内执行体的多维状态数据，获取执行体状态异常数据，其中，多维状态数据包含进程状态、资源状态、系统配置文件及敏感日志；

将状态异常数据反馈给裁决器，裁决器依据预设裁决策略判定异常执行体，发出异常报警信号，通过调度模块对异常执行体进行调度。

作为本发明拟态DHR架构下执行体状态监测方法，进一步的，依据系统配置文件获取进程名称，通过进程识别号获取进程状态，将进程状态异常的执行体信息进行封装并反馈给裁决器，其中，进程状态异常至少包含僵尸状态及已停止状态。

作为本发明拟态DHR架构下执行体状态监测方法，进一步地，依据系统资源文件或资源使用信息对系统资源进行量化，通过设定的阈值界限来获取资源状态异常的执行体，并将状态异常的执行体信息进行封装反馈给裁决器。

作为本发明拟态DHR架构下执行体状态监测方法，进一步地，监测并量化的系统资源包含：CPU、内存、TCP Socket连接、计划任务及用户组信息。

作为本发明拟态DHR架构下执行体状态监测方法，进一步地，通过计算CPU和内存利用率，依据CPU和/或内存利用率和/或是TCP Socket连接的连接数否超出对应阈值界限来获取资源状态异常的执行体；对计划任务及用户组信息相关文件进行哈希处理，并通过监控哈希处理结果文件，依据文件是否被篡改来获取资源状态异常的执行体。

作为本发明拟态DHR架构下执行体状态监测方法，进一步地，通过创建监测事件列表对系统内关键路径及核心文件进行实时监测，若关键路径下文件和/或核心文件发生篡改，则判定为状态异常，读取发生篡改事件的相关执行体信息通过封装反馈给裁决器；其中，监测事件列表中至少包含监测事件类别、关键路径及核心文件描述符。

作为本发明拟态DHR架构下执行体状态监测方法，进一步地，通过监测事件列表进行实时监测时，利用独立排队序列并通过文件读取函数来读取篡改事件的相关执行体信息。

作为本发明拟态DHR架构下执行体状态监测方法，进一步地，依据系统日志获取运行期间系统内执行体非法登录及配置数据相关文件，依据相关文件来获取状态异常的执行体，将执行体相关数据封装并反馈给裁决器。

作为本发明拟态DHR架构下执行体状态监测方法，进一步地，利用shell脚本将用户登录信息及操作命令写入缓存区，缓存区满或用于用户退出执行体后将缓存区内容写入指定目录，同时将该指定目录添加至监测事件列表。

进一步地，本发明还提供一种拟态DHR架构下执行体状态监测系统，用于对系统中各执行体状态进行实时监控以保证动态异构冗余系统的运行性能，包含：监测模块和裁决模块，其中：

监测模块，用于监测系统内执行体的多维状态数据，获取执行体状态异常数据，其中，多维状态数据包含进程状态、资源状态、系统配置文件及敏感日志；

裁决模块，用于将状态异常数据反馈给裁决器，裁决器依据预设裁决策略来判定异常执行体，发出异常报警信号，通过调度模块对异常执行体进行调度。

本发明的有益效果：

本发明通过收集执行体系统多维状态特征，对执行体系统进行全面有效的监测，为执行体稳定运行提供必要条件。进一步，根据调度算法在执行体处于隐患状态时及时探查，清洗，保证执行体的安全稳定运行；现有DHR架构仅对执行体输出结果进行裁决，未考虑执行体自身安全状况，本案中若执行体出现异常则可实现立即报警，并为裁决器提供多维信息输入，提高裁决结果的准确性及整个系统安全性，具有较好的应用前景。

附图说明：

图1为实施例中执行体状态监测流程示意；

图2为实施例中存在执行体监测的拟态架构示意；

图3为实施例中执行体状态监测工作原理示意。

具体实施方式：

为使本发明的目的、技术方案和优点更加清楚、明白，下面结合附图和技术方案对本发明作进一步详细的说明。

本发明实施例，参见图1所示，提供一种拟态DHR架构下执行体状态监测方法，用于对系统中各执行体状态进行实时监控以保证动态异构冗余系统的运行性能，包含如下内容：

S101、监测系统内执行体的多维状态数据，获取执行体状态异常数据，其中，多维状态数据包含进程状态、资源状态、系统配置文件及敏感日志；

S102、将状态异常数据反馈给裁决器，裁决器依据预设裁决策略来判定异常执行体，发出异常报警信号，通过调度模块对异常执行体进行调度。

通过收集执行体系统多维状态特征，对执行体系统进行全面有效的监测，为执行体稳定运行提供必要条件。进一步，根据调度算法在执行体处于隐患状态时及时探查，清洗，保证执行体的安全稳定运行；现有DHR架构仅对执行体输出结果进行裁决，未考虑执行体自身安全状况，本案中若执行体出现异常则可实现立即报警，并为裁决器提供多维信息输入，提高裁决结果的准确性及整个系统安全性。

作为本发明实施例中的拟态DHR架构下执行体状态监测方法，进一步的，依据系统配置文件获取进程名称，通过进程识别号获取进程状态，将进程状态异常的执行体信息进行封装并反馈给裁决器，其中，进程状态异常至少包含僵尸状态及已停止状态。

进程状态监测中，从配置文件中获取关键进程名称后得到进程pid，并根据pid值获取进程状态，若为僵尸或已停止及其他异常状态时，触发警报并封装发送异常进程信息至裁决器。

作为本发明实施例中的拟态DHR架构下执行体状态监测方法，进一步地，依据系统资源文件或资源使用信息对系统资源进行量化，通过设定的阈值界限来获取资源状态异常的执行体，并将状态异常的执行体信息进行封装反馈给裁决器。

通过对系统核心资源文件进行监测，或使用系统调用获取资源使用信息，并计算得出系统资源量化值，一旦超过设定阈值界限，即触发警报并封装发送异常信息至裁决器。

进一步地，监测并量化的系统资源包含：CPU、内存、TCP Socket连接、计划任务及用户组信息。进一步地，通过计算CPU和内存利用率，依据CPU和/或内存利用率和/或是TCPSocket连接的连接数否超出对应阈值界限来获取资源状态异常的执行体；对计划任务及用户组信息相关文件进行哈希处理，并通过监控哈希处理结果文件，依据文件是否被篡改来获取资源状态异常的执行体。

对执行体系统的CPU、内存、TCP Socket连接、计划任务、用户组信息进行监测并将其量化，设定关键资源安全阈值，一旦执行体系统受内外因素影响导致关键资源量化值超出设定阈值即触发警报，同时将异常资源信息封装并发送至裁决器。

作为本发明实施例中的拟态DHR架构下执行体状态监测方法，进一步地，通过创建监测事件列表对系统内关键路径及核心文件进行实时监测，若关键路径下文件和/或核心文件发生篡改，则判定为状态异常，读取发生篡改事件的相关执行体信息通过封装反馈给裁决器；其中，监测事件列表中至少包含监测事件类别、关键路径及核心文件描述符。进一步地，通过监测事件列表进行实时监测时，利用独立排队序列并通过文件读取函数来读取篡改事件的相关执行体信息。

创建由监测事件类别、关键路径及核心文件描述符等信息组成的监测事件列表，将监测事件类别、核心文件的描述符及关键路径等信息添加到监测列表中，进而对关键目录及核心文件进行实时监测，关键目录下文件及其他核心文件的任何操作篡改均会触发警报，同时对操作篡改事件类型进行读取，封装事件信息发送至裁决器。

作为本发明实施例中的拟态DHR架构下执行体状态监测方法，进一步地，依据系统日志获取运行期间系统内执行体非法登录及配置数据相关文件，依据相关文件来获取状态异常的执行体，将执行体相关数据封装并反馈给裁决器。进一步地，利用shell脚本将用户登录信息及操作命令写入缓存区，缓存区满或用于用户退出执行体后将缓存区内容写入指定目录，同时将该指定目录添加至监测事件列表。

由于执行体正常运行时不对外界开放，即不会被外界用户登录并下发命令，故在拟态系统正常运行时需监测执行体非法登录及配置命令情况，由于常规工具无法获取用户历史命令，本专利在/etc/profile文件中引入监控用户登录及配置命令的shell脚本，将用户登录信息及操作命令写入登录缓存，缓存区满或用户退出执行体后将缓冲区内容写入hiscmd目录下的文件，同时对hiscmd目录添加监测事件，当该目录下有文件生成可视为执行体受到攻击篡改即触发警报，封装用户信息及历史命令信息发送至裁决器。

进一步地，基于上述的方法，本发明实施例还提供一种拟态DHR架构下执行体状态监测系统，用于对系统中各执行体状态进行实时监控以保证动态异构冗余系统的运行性能，包含：监测模块和裁决模块，其中：

监测模块，用于监测系统内执行体的多维状态数据，获取执行体状态异常数据，其中，多维状态数据包含进程状态、资源状态、系统配置文件及敏感日志；

裁决模块，用于将状态异常数据反馈给裁决器，裁决器依据预设裁决策略来判定异常执行体，发出异常报警信号，通过调度模块对异常执行体进行调度。

参见图2和3所示，对拟态DHR架构下执行体中的进程状态、系统资源、关键路径、核心文件及敏感日志进行监测，发现异常攻击篡改及时触发警报，封装异常信息并发送至裁决器进行裁决分析，根据裁决结果及调度算法对异常执行体进行调度清洗，以保证整个系统安全、稳定、可靠。进程状态监测模块，对执行体系统关键管理与协议进程进行监测，关键进程运行状态异常时触发警报，同时将异常进程信息封装发送至裁决器。系统资源监测模块，对执行体系统的CPU、内存、TCP Socket连接、计划任务、用户组信息进行监测并将其量化，设定关键资源安全阈值，一旦执行体系统受内外因素影响导致关键资源量化值超出设定阈值即触发警报，同时将异常资源信息封装并发送至裁决器。文件监测模块，对执行体系统中配置的关键路径及核心文件进行监测，对于文件的任何恶意篡改操作均会被记录封装并触发警报，同时将封装信息发送至裁决模块。敏感日志监测模块，对执行体系统中的用户信息及用户命令信息进行监测，以防执行体系统被恶意访问及篡改，执行体正常运行时不对外部用户开放，当监测到执行体被登录时即视为被攻击并警报，同时将封装的历史用户及用户命令信息发送至裁决器。

确定需要监测的进程名称，对进程状态信息进行捕获与分析，并将异常进程信息发送至裁决器并进行警报；根据关键协议及管理进程名称，获取其pid，进而系统调用进程运行状态，判断是否为非激活状态进程、僵尸进程、停止进程等异常进程，如有异常进程报警，并将异常进程信息发送至裁决器。对关键系统资源进行实时监测，设置资源合理阈值并量化资源状态，一旦由内外原因导致系统资源使用异常，报警并封装异常信息发送至裁决器；解析stat文件获取并封装相应参数信息，计算cpu利用率，在cpu利用率超出设定安全阈值的时报警并发至裁决器；使用grep Mem系统调用获取内存信息，计算内存利用率，在内存利用率超出设定安全阈值的时报警并发至裁决器；使用netstat系统调用获取TCP Socket连接信息，在连接数超出设定安全阈值的时报警并发至裁决器。对用户信息文件进行哈希处理并监测该哈希文件，在该哈希文件被篡改时报警并封装信息发至裁决器。确定需要监测的关键目录路径与其他核心文件对关键路径下的文件与其他核心文件任何篡改操作均会触发报警并并发至裁决器。初始化时创建与一个独立排队序列对应的实例，同时返回文件描述符；添加包含文件描述符、监测文件与关键路径的监测列表项，返回监测队列描述符后进行实时监测；创建文件读取函数，在事件发生后对篡改事件信息进行读取，未发生事件时处于阻塞状态直到事件发生；对任何登录执行体的外部用户及用户命令进行监测，并将有无备份的用户信息及用户登录期间执行的命令发送至裁决器进行决策并报警，异常状态较为严重的，可通过调度对异常执行体执行清洗操作。

除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对步骤、数字表达式和数值并不限制本发明的范围。

基于上述的方法或系统，本发明实施例还提供一种网络设备，包括：一个或多个处理器；存储装置，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现上述的系统或执行上述的方法。

基于上述的系统，本发明实施例还提供一种计算机可读介质，其上存储有计算机程序，其中，该程序被处理器执行时实现上述的系统。

本发明实施例所提供的装置，其实现原理及产生的技术效果和前述系统实施例相同，为简要描述，装置实施例部分未提及之处，可参考前述系统实施例中相应内容。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统和装置的具体工作过程，可以参考前述系统实施例中的对应过程，在此不再赘述。

在这里示出和描述的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制，因此，示例性实施例的其他示例可以具有不同的值。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

附图中的流程图和框图显示了根据本发明的多个实施例的系统、系统和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个处理器可执行的非易失的计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述系统的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上所述实施例，仅为本发明的具体实施方式，用以说明本发明的技术方案，而非对其限制，本发明的保护范围并不局限于此，尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，其依然可以对前述实施例所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本发明实施例技术方案的精神和范围，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (10)

1.一种拟态DHR架构下执行体状态监测方法，用于对系统中各执行体状态进行实时监控以保证动态异构冗余系统的运行性能，其特征在于，包含如下内容：

监测系统内执行体的多维状态数据，获取执行体状态异常数据，其中，多维状态数据包含进程状态、资源状态、系统配置文件及敏感日志；

将状态异常数据反馈给裁决器，裁决器依据预设裁决策略来判定异常执行体，发出异常报警信号，通过调度模块对异常执行体进行调度。

2.根据权利要求1所述的拟态DHR架构下执行体状态监测方法，其特征在于，依据系统配置文件获取进程名称，通过进程识别号获取进程状态，将进程状态异常的执行体信息进行封装并反馈给裁决器，其中，进程状态异常至少包含僵尸状态及已停止状态。

3.根据权利要求1所述的拟态DHR架构下执行体状态监测方法，其特征在于，依据系统资源文件或资源使用信息对系统资源进行量化，通过设定的阈值界限来获取资源状态异常的执行体，并将状态异常的执行体信息进行封装反馈给裁决器。

4.根据权利要求3所述的拟态DHR架构下执行体状态监测方法，其特征在于，监测并量化的系统资源包含：CPU、内存、TCP Socket连接、计划任务及用户组信息。

5.根据权利要求4所述的拟态DHR架构下执行体状态监测方法，其特征在于，通过计算CPU和内存利用率，依据CPU和/或内存利用率和/或是TCP Socket连接的连接数否超出对应阈值界限来获取资源状态异常的执行体；对计划任务及用户组信息相关文件进行哈希处理，并通过监控哈希处理结果文件，依据文件是否被篡改来获取资源状态异常的执行体。

6.根据权利要求1所述的拟态DHR架构下执行体状态监测方法，其特征在于，通过创建监测事件列表对系统内关键路径及核心文件进行实时监测，若关键路径下文件和/或核心文件发生篡改，则判定为状态异常，读取发生篡改事件的相关执行体信息通过封装反馈给裁决器；其中，监测事件列表中至少包含监测事件类别、关键路径及核心文件描述符。

7.根据权利要求6所述的拟态DHR架构下执行体状态监测方法，其特征在于，通过监测事件列表进行实时监测时，利用独立排队序列并通过文件读取函数来读取篡改事件的相关执行体信息。

8.根据权利要求6所述的拟态DHR架构下执行体状态监测方法，其特征在于，依据系统日志获取运行期间系统内执行体非法登录及配置数据相关文件，依据相关文件来获取状态异常的执行体，将执行体相关数据封装并反馈给裁决器。

9.根据权利要求8所述的拟态DHR架构下执行体状态监测方法，其特征在于，利用shell脚本将用户登录信息及操作命令写入缓存区，缓存区满或用于用户退出执行体后将缓存区内容写入指定目录，同时将该指定目录添加至监测事件列表。

10.一种拟态DHR架构下执行体状态监测系统，用于对系统中各执行体状态进行实时监控以保证动态异构冗余系统的运行性能，其特征在于，包含：监测模块和裁决模块，其中：

监测模块，用于监测系统内执行体的多维状态数据，获取执行体状态异常数据，其中，多维状态数据包含进程状态、资源状态、系统配置文件及敏感日志；

裁决模块，用于将状态异常数据反馈给裁决器，裁决器依据预设裁决策略来判定异常执行体，发出异常报警信号，通过调度模块对异常执行体进行调度。

Images