CN112866276B - 一种基于拟态服务功能构架的主次重置判决系统 - Google Patents

Abstract

本发明公开了一种基于拟态服务功能构架的主次重置判决系统，该系统包括控制分析器、分发器、主次执行体集合、SF执行体池、缓存器和反馈判决器；将区分好的的主次执行体的执行结果输入到缓存器，并由反馈判决器将缓存器的输出通过哈希映射存入哈希表，并且以累计相等哈希值的方式进行判决，然后及时反馈判决结果给控制分析器，选出新的主执行体及下线异常执行体，达到划分主次执行体以及主次重置的目的，本发明通过主次执行体的重置保证系统的安全性，以添加标识包头的方式使得系统可以区分属于不同主次重置周期的执行结果。在保持一定安全性的同时有效降低了拟态判决的时延。

Description

一种基于拟态服务功能构架的主次重置判决系统

技术领域

本发明涉及服务部署和拟态安全防御领域，具体涉及一种基于拟态服务功能构架的主次重置判决系统。

背景技术

随着软件定义网络(Software Defined Network，SDN)技术和网络功能虚拟化(Network Function Virtualization，NFV)技术的出现和运用，服务功能链的部署又重新焕发出了生机。面对层出不穷的网络攻击，SFC暴露出许多安全问题，传统的被动防御方法很难保证SFC的安全性。本发明提出了一种新型防御架构下的主次重置的判决系统。该系统通过维持动态性、异构性、冗余性以保证系统对外呈现的不确定性。在保证系统较低时延的前提下，大幅增加了攻击者的攻击成本，使得SFC的安全性得到了有效的提升。

传统判决系统中，所有需要判决的消息都会先发送至分发器。由分发器将收到的消息复制成n份然后发送给异构执行体集合。异构执行体执行相应的服务功能，然后将执行结果依次转发给判决器。判决器通过相应的判决算法将异构执行体的所有输出进行判决，最后将判决结果作为系统的最终输出。整个分发判决过程，在外界看来只有一个执行体在执行对应的服务功能。因此，传统判决系统在保证异构执行体执行正常功能的同时，还能迷惑攻击者，使其无法准确的判断是否攻击成功。目前拟态防御大多针对控制层面的安全问题进行研究，对于如何区分到达判决器的执行结果对应分发器的哪个输入的问题，提出的解决方案较少。传统拟态防御一般采用“多数一致性判决”方法，即如果超过半数的异构执行体输出的执行结果都一样，则将该执行结果视作最终判决结果并输出。

发明内容

本发明目的在于针对现有技术的不足，本发明提供一种基于拟态服务功能构架的主次重置判决系统，解决了高时延、高资源占用率、异构SF执行体的执行体速度不同的问题。

本发明所采用的技术方案如下：一种基于拟态服务功能构架的主次重置判决系统，该系统包括控制分析器、分发器、主次执行体集合、SF执行体池、缓存器和反馈判决器；

所述分发器给数据包加上标识包头，并负责完成数据包复制分发的工作。具体为：分发器将依据主次重置次数为到达分发器的每个数据包加上标识包头，定义标识包头如下：

H＝{h₀，h₁，…，h_d}，d→+∞

式中，H表示标识包头序号的集合，h_d表示主次重置次数为d的数据包的序号；分发器将加了标识包头的数据包复制成n份，分发至主次执行体集合；

所述主次执行体集合从SF执行体池中随机选择n个SF执行体，其中一个作为主执行体，剩余n-1个作为次执行体；主次执行体执行加了标识包头的数据包，将执行结果传递至缓存器；

所述缓存器根据SF执行体池中每个SF执行体不同的编号，给每个SF执行体设置不同的独立缓存池。缓存器将直接依据到达执行结果的编号将其存入对应的缓存池，将独立缓存池中全部数据通过SHA-256算法转化，缓存器接收完所有执行结果之后，转发至反馈判决器。

所述反馈判决器将缓存器的输出通过哈希映射存入哈希表，采用累计相同哈希值出现次数的方式进行判决，具体为：根据执行结果标识包头找到对应的主次重置期间执行结果的哈希表，查找哈希表中缓存器的输出相对应的位置是否有数值，若不存在则向该位置加入数值1，若已经存在数值，则将该数值加1，以半数为临界值即若哈希表中缓存器的输出相对应的位置的数值为

缓存器的输出则为判决结果，缓存器的输出大于半数的，将缓存器输出的标识包头和SF执行体编号作为正常SF执行体信息发送给控制分析器。然后将哈希表中其他缓存器的输出为非零值的的标识包头和SF执行体编号作为异常SF执行体信息发送给控制分析器并将哈希表清空，释放资源。

所述控制分析器一旦接收到异常SF执行体信息，直接将对应的SF执行体下线，然后从SF执行体池选择一个新的SF执行体上线，放入主次执行体集合中。

进一步地，所述主次重置的过程具体为：每隔一段时间T，依据反馈判决器的判决结果，通过控制分析器将主执行体转换为次执行体同时从次执行体中选择一个作为主执行体。

进一步地，当执行结果存入独立缓存池之前，缓存器会先查看独立缓存池中是否有数据。如果独立缓存池为空，则通过SHA-256算法将执行结果转化。然后将执行结果的标识包头以及转化结果存入独立缓存池。如果独立缓存池非空，缓存器将会从独立缓存池中获取执行结果的标识包头与缓存池中的SHA-256算法转化结果。然后，比较到达执行结果的标识包头与缓存池中的执行结果的标识包头是否一致，若一致，则将到达执行结果与缓存池中内容结合的数据通过SHA-256算法进行转换，用新的转化结果覆盖之前缓存池中的内容；若到达的执行结果标识包头与缓存池中的执行结果的标识包头不一致,则先将之前缓存池中的内容发送给反馈判决器，然后将新到达的执行结果通过SHA-256算法将执行结果转化，用新的转化结果覆盖之前缓存池中的内容。

进一步地，哈希表中缓存器的输出相对应的位置的数值后面以链表的方式链接有标识包头和SF执行体编号。

进一步地，判断后续的相同标识包头的缓存器的输出执行结果是否与之前的缓存器的输出执行结果相同，若相同，则将缓存器输出的标识包头和SF执行体编号作为正常SF执行体信息发送给控制分析器，若不相同，将缓存器输出的标识包头和SF执行体编号作为异常SF执行体信息发送给控制分析器。

采用上述的技术方案，本发明的有益效果如下：

本发明采用了一种基于主次重置的拟态服务功能构架的判决系统，该系统通过设置主次执行体保证系统的低时延，通过主次执行体的重置保证系统的安全性，以添加标识包头的方式使得系统可以区分属于不同主次重置周期的执行结果。

本发明解决了传统判决系统异构SF执行体执行速度不同、高时延、高资源占用的问题；

为解决时延与资源利用问题，本发明采用SHA-256算法对SF执行体的执行结果进行加密，把任意长的消息转化为较短的、固定长度的消息摘要。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请实施例一提供的一种基于主次重置的拟态服务功能构架的判决系统架构图；

图2为分发器工作流程图；

图3为解决反馈判决器高内存开销问题的流程示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

实施例一：

图1为本申请实施例一提供的一种基于拟态服务功能构架的主次重置判决系统架构图，该系统解决了传统判决系统无法满足数据转发层面多数据低时延要求的问题，该系统主要流程包括：

分发器将数据包转发给主次执行体集合，次执行体将执行结果输入到缓存器，反馈判决器将缓存器的输出通过哈希映射存入哈希表，并且以累计相等哈希值的方式进行判决，然后及时反馈判决结果给控制分析器，选出新的主执行体组合及下线异常执行体。

实施例二：

图2为本申请实施例二提供的一种基于拟态服务功能构架的主次重置判决系统为解决不同SF执行体执行速度不同而给数据包加上标识包头的流程示意图，具体如下：

假设SF执行体池由m个异构SF执行体组成。为了区分不同SF执行体的输出，本发明为SF执行体池中的每个SF执行体都设置独一无二的编号。SF执行体池中所有的SF执行体集合可以表示如下：

SF＝{SFx₁，SFx₂，…，SFx_m}

为了使SF执行体的输入与输出一一对应，设置SF执行体每次执行过滤操作后都会输出一个空结果。将从集合SF中选出的n个在线SF执行体中选取一个作为主执行体，剩余的SF执行体为次执行体。

规定每隔一段时间T，将主执行体转换为次执行体同时从次执行体中选择一个作为主执行体，将该过程称为主次重置。

其中，T_i表示从第(i-1)次主次重置到第i次主次重置对应的时间段，称之为第i个主次重置周期。

定义P₁表示到达分发器的数据包集合

P₁＝{p₁，p₂，…，p_j}，j→+∞

任何到达分发器的数据包p_l，都会先去除NSH包头，然后复制成n份并同时转发给各个主次执行体。对于

SFx_i输出的执行结果的集合如下：

其中x_ip^l代表SFx_i输出的第l个执行结果。那么集合SF的执行结果可以表示如下：

由于所有SF执行体接收到的数据包最初都在分发器中复制，然后同时发送给各个主次执行体，所以每个主次重置周期内发送给各个SF主次执行体的数据包个数是一样的。为了解决不同SF执行体执行速度不同带来的时序问题，系统设置了标识包头。

定义标识包头：

H＝{h₀，h₁，…，h_d}，d→+∞

分发器将依据主次重置次数为到达的每个数据包加上标识包头，缓存器将通过标识包头区分数据包对应哪种主次执行体组合。假设b代表主次重置次数，那么对于每个p_l∈P₁，分发器会先给数据包加上h_b。然后将h_bp_l复制为n份同时发送给各个主次执行体。此时SFx_i的执行结果集合可以分类为

其中

代表与第b+1个主次重置周期内分发器发送的数据包对应的SFx_i的执行结果集合。缓存器一旦接收完

的所有元素，就会将之前接收到的所有执行结果转发至反馈判决器，然后继续接收

的元素。

实施例三

图3为本申请实施例三提供的一种基于拟态服务功能构架的主次重置判决系统为解决反馈判决器高内存开销问题的流程示意图，具体方法如下：

所有被选中作为判决依据的次执行体执行结果都会暂时缓存在缓存器。缓存器根据执行体池中每个SF执行体不同的编号，通过分类模块给每个SF执行体设置不同的独立缓存池

POOL＝{pool₁，pool₂，…，pool_m}

缓存器将直接依据到达执行结果h_bx_ip^l的编号包头x_i将其存入对应的缓存池pool_i。假设缓存器目前接收到的SFx_i的执行结果为h_bx_ip^l，由于SFx_i按照分发器的发送顺序依次对到达数据包进行处理，所以当它接收到h_b+1x_ip^l时，我们认为此时SFx_i已经将第b+1个主次重置周期所有被选中进行判决的元素存入pool_i。此时，缓存器将取出pool_i中所有的元素发送给反馈判决器，然后将h_b+1x_ip^l存入pool_i。

当h_b+1x_ip^l到达时，如果直接提取出所有执行结果并依次发送至反馈判决器，那么必然会增加判决时延以及反馈判决器的内存开销。考虑到执行结果的大小并不确定，本发明采用SHA-256算法对执行结果进行加密。SHA-256算法是把任意长的消息转化为较短的、固定长度的消息摘要的算法，本发明用映射函数F_SHA-256(K)＝V表示SHA-256算法转换加密过程。缓存器将信息发送给反馈判决器前，会先通过SHA-256算法将pool_i中提取出来的全部数据都转化为h_buⁱ，然后将h_buⁱ发送至反馈判决器进行判决。

缓存器将直接依据到达执行结果h_bx_ip^l的编号包头x_i将其存入对应的缓存池pool_i。我们将pool_i设置为临界资源。当h_bx_ip^l存入pool_i之前，缓存器会先查看pool_i中是否有数据。如果pool_i为空，则通过SHA-256算法将h_bx_ip^l转化为u_i，即F_SHA-256(h_bx_ip^l)＝u_i。然后将标识包头h_b以及u_i存入pool_i。如果pool_i非空，缓存器将会从pool_i中获取h_b与u_i。然后，比较到达执行结果的标识包头是否为h_b，若标识包头为h_b，则用SHA-256算法将u_i与h_bx_ip^l内容结合的数据进行转换为(u_i)_new，即：

(u_i)_new＝F_SHA-256(h_bx_ip^l+(u_i)_old)

最后，用(u_i)_new覆盖pool_i中的(u_i)_old。若到达的执行结果标识包头不为h_b，则将先前已存在的x_i以及h_b封装进u_i形成h_bx_iu_i，然后将h_bx_iu_i发送给反馈判决器。最后，用SHA-256算法将新到达的执行结果转换为(u_i)_new，并将其标识包头和(u_i)_new覆盖pool_i中的h_b与(u_i)_old。

实施例四

本发明实施例四还提供了一种基于拟态服务功能构架的主次重置判决系统的判决策略，具体如下：

为了降低两两对比判决带来的巨大时间复杂度，本文采用累计相同哈希值出现次数的方式进行判决。定义

U_b＝{h_bx₁u₁，h_bx₂u₂，…，h_bx_mu_m}

表示缓存器发送给反馈判决器的所有带标识包头h_b的数据集合。由于在缓存器已经通过SHA-256算法将执行结果哈希化，所以反馈判决器只需要将h_bx_iu_i的标识包头h_b以及执行体编号包头x_i脱下。然后根据h_b找出第b次与第b+1次重置期间产生的执行结果对应的哈希表

最后，查找

中与u_i相对应的位置是否有记录，若不存在则向该位置加入数值1，并将h_bx_i以链表的方式链接在

中u_i对应的值后面。若已经存在数值，则将该数值加一，并向该值所链接的链表中加入h_bx_i。以半数为临界值，即若

中u_i对应的值为

那么u_i则为判决结果。若

中u_i对应值大于半数，则将该值后链接的所有信息作为正常SF执行体信息发送给控制分析器。然后将

中其他非零值后链接的所有信息作为异常SF执行体信息发送给控制分析器并将

清空，释放资源。然后判断之后到达的所有U_b的元素在去掉标识包头h_b以及执行体编号包头x_i后是否等于u_i，如果等于u_i则将其对应的h_bx_i作为正常执行体信息发送给控制分析器。若不等于u_i，则将其对应的h_bx_i作为异常执行体信息发送给控制分析器。所述控制分析器一旦接收到异常SF执行体信息，直接将对应的SF执行体下线，然后从SF执行体池选择一个新的SF执行体上线，放入主次执行体集合中。

上述实施例用来解释说明本发明，而不是对本发明进行限制，在本发明的精神和权利要求的保护范围内，对本发明作出的任何修改和改变，都落入本发明的保护范围。

Claims (4)

1.一种基于拟态服务功能构架的主次重置判决系统，其特征在于，该系统包括控制分析器、分发器、主次执行体集合、SF执行体池、缓存器和反馈判决器；

所述分发器给数据包加上标识包头，并负责完成数据包复制分发的工作；具体为：分发器将依据主次重置次数为到达分发器的每个数据包加上标识包头，所述主次重置的过程具体为：每隔一段时间T，依据反馈判决器的判决结果，通过控制分析器将主执行体转换为次执行体同时从次执行体中选择一个作为主执行体；定义标识包头如下：

H＝{h₀,h₁,…,h_d},d→+∞

式中，H表示标识包头序号的集合，h_d表示主次重置次数为d的数据包的序号；分发器将加了标识包头的数据包复制成n份，分发至主次执行体集合；

所述主次执行体集合从SF执行体池中随机选择n个SF执行体，其中一个作为主执行体，剩余n-1个作为次执行体；主次执行体执行加了标识包头的数据包，将执行结果传递至缓存器；

所述缓存器根据SF执行体池中每个SF执行体不同的编号，给每个SF执行体设置不同的独立缓存池；缓存器将直接依据到达执行结果的编号将其存入对应的缓存池，将独立缓存池中全部数据通过SHA-256算法转化，缓存器接收完所有执行结果之后，转发至反馈判决器；

所述反馈判决器将缓存器的输出通过哈希映射存入哈希表，采用累计相同哈希值出现次数的方式进行判决，具体为：根据执行结果标识包头找到对应的主次重置期间执行结果的哈希表，查找哈希表中缓存器的输出相对应的位置是否有数值，若不存在则向该位置加入数值1，若已经存在数值，则将该数值加1，以半数为临界值即若哈希表中缓存器的输出相对应的位置的数值为

缓存器的输出则为判决结果，缓存器的输出大于半数的，将缓存器输出的标识包头和SF执行体编号作为正常SF执行体信息发送给控制分析器；然后将哈希表中其他缓存器的输出为非零值的的标识包头和SF执行体编号作为异常SF执行体信息发送给控制分析器并将哈希表清空，释放资源；

所述控制分析器一旦接收到异常SF执行体信息，直接将对应的SF执行体下线，然后从SF执行体池选择一个新的SF执行体上线，放入主次执行体集合中。

2.根据权利要求1所述的一种基于拟态服务功能构架的主次重置判决系统，其特征在于，当执行结果存入独立缓存池之前，缓存器会先查看独立缓存池中是否有数据；如果独立缓存池为空，则通过SHA-256算法将执行结果转化；然后将执行结果的标识包头以及转化结果存入独立缓存池；如果独立缓存池非空，缓存器将会从独立缓存池中获取执行结果的标识包头与缓存池中的SHA-256算法转化结果；然后，比较到达执行结果的标识包头与缓存池中的执行结果的标识包头是否一致，若一致，则将到达执行结果与缓存池中内容结合的数据通过SHA-256算法进行转换，用新的转化结果覆盖之前缓存池中的内容；若到达的执行结果标识包头与缓存池中的执行结果的标识包头不一致,则先将之前缓存池中的内容发送给反馈判决器，然后将新到达的执行结果通过SHA-256算法将执行结果转化，用新的转化结果覆盖之前缓存池中的内容。

3.根据权利要求1所述的一种基于拟态服务功能构架的主次重置判决系统，其特征在于，哈希表中缓存器的输出相对应的位置的数值后面以链表的方式链接有标识包头和SF执行体编号。

4.根据权利要求1所述的一种基于拟态服务功能构架的主次重置判决系统，其特征在于，判断后续的相同标识包头的缓存器的输出执行结果是否与之前的缓存器的输出执行结果相同，若相同，则将缓存器输出的标识包头和SF执行体编号作为正常SF执行体信息发送给控制分析器，若不相同，将缓存器输出的标识包头和SF执行体编号作为异常SF执行体信息发送给控制分析器。

Images