CN116318945B - 一种基于内生动态防御架构的多目标服务功能链部署方法 - Google Patents

一种基于内生动态防御架构的多目标服务功能链部署方法 Download PDF

Info

Publication number
CN116318945B
CN116318945B CN202310223837.1A CN202310223837A CN116318945B CN 116318945 B CN116318945 B CN 116318945B CN 202310223837 A CN202310223837 A CN 202310223837A CN 116318945 B CN116318945 B CN 116318945B
Authority
CN
China
Prior art keywords
vnf
deployment
sub
copy
pool
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202310223837.1A
Other languages
English (en)
Other versions
CN116318945A (zh
Inventor
王然
余雪
陈悦苗
王祥彬
吴强
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nanjing University of Aeronautics and Astronautics
Original Assignee
Nanjing University of Aeronautics and Astronautics
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nanjing University of Aeronautics and Astronautics filed Critical Nanjing University of Aeronautics and Astronautics
Priority to CN202310223837.1A priority Critical patent/CN116318945B/zh
Publication of CN116318945A publication Critical patent/CN116318945A/zh
Application granted granted Critical
Publication of CN116318945B publication Critical patent/CN116318945B/zh
Priority to US18/581,424 priority patent/US12003528B1/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/50—Reducing energy consumption in communication networks in wire-line communication networks, e.g. low power modes or reduced link rate

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种基于内生动态防御架构的多目标服务功能链部署方法，解决当前SFC部署系统中面临的SFC、VNF易受攻击问题。所述方法主要通过构建一个内生动态防御架构来解决多目标部署问题，其中基础模式利用移动目标防御保障VNF的安全，增强模式利用拟态防御对VNF进行安全保护。构建模块中提出子池划分算法将异构副本池划分为多个子池，并从子池中选择VNF构成异构副本集；调度模块中提出副本VNF动态调度部署算法从异构副本集中选择部署集进行部署，并送至处理模块；输入模块将输入复制分发给处理模块；处理模块对部署集和输入进行处理，形成多个输出送至输出模块；输出模块对多个输出进行裁决。

Description

一种基于内生动态防御架构的多目标服务功能链部署方法
技术领域
本发明属于服务功能链编排技术，具体涉及一种基于内生动态防御架构的多目标服务功能链部署方法。
背景技术
虚拟化、IT化、软件化理念的引入，让5G网络具备了柔性、可编程性和智能化，也为设计、编排和部署各种移动服务以支持日益复杂和多变的客户需求提供了一种新颖的方式，使网络服务部署更加灵活和敏捷。NFV作为一种虚拟化技术，通过将软件网络功能部署在稳定的商用计算资源平台上，避免了传统的异构硬件网络功能部署过程中复杂的连接配置工作，再结合灵活的负载均衡等管理机制，有效解决了传统网络功能硬件设备存在的设备价格高、管理困难以及由连接配置和网络流量过载等引起的失效率高问题。SDN是一种设计、实现和管理网络的新型方法，它将网络控制管理(控制平面)和数据转发过程(数据平面)解耦合，以获得更好的用户体验，这种网络控制和数据的分离为网络灵活性和可控性提供了许多好处。可以说，NFV、SDN的出现使SFC的部署更加灵活和敏捷，但是这些技术带来便捷的同时，也使得SFC、VNF更容易受到攻击，使得传统的“外挂式”、“补丁式”网络安全机制对抗潜在的攻击与安全隐患更具挑战。
移动目标防御是美国国家科学技术委员会提出的基于动态化、随机化、多样化思想改造现有信息系统缺陷的理论和方法。其核心思想是构建动态、不确定的网络空间目标环境，增加攻击难度，以系统的随机性和不可预测性来对抗网络攻击。移动目标防御可在网络、平台、运行环境、软件、数据等多个层面实施，不断变化的目标系统环境和资源配置关系极大的增加了信息系统嗅探难度与系统缺陷的可利用性，是一种主要聚焦于系统运行时的内生安全技术。
拟态防御是我国邬江兴院士首创的技术体系，主张通过非侵入式拟态防御支撑工具、平台、产品构建视在结构可变的信息系统运行环境，可将随机发生的网络威胁事件量化为广义不确定扰动从多级差模基础设施环境逃逸的概率问题。拟态防御可以利用其自身的动态异构冗余机制，使攻击者在前阶段所作的嗅探、尝试等工作在漏洞利用阶段无法继承，并且以“快速规避”的思想产生对于入侵的容忍效果，确保系统的安全性与业务的连续性。它为解决组件级安全问题提供了新的视角，即系统本身具有典型的DHR结构模型，具有主动防御的能力。
进一步的指出，内生安全作为新兴的网络安全技术，构建了具备主动防御、态势感知、威胁清洗等能力的新型网络安全防御框架，典型内生安全技术包括拟态防御、移动目标防御、可信计算、零信任架构等，通过构建新型信息系统运行环境、关键系统资源访问认证等技术手段，内生安全技术在已知和未知网络威胁的防护上取得了良好的防御效果。基于此，如何将内生安全运用到SFC部署中以提高SFC、VNF的安全性是本发明研究的重点。
发明内容
发明目的：为了解决当前SFC部署系统中面临的SFC、VNF易受攻击，传统的“外挂式”、“补丁式”网络安全机制难以抵御攻击等问题，本发明提供一种基于内生动态防御架构的多目标服务功能链部署方法。
技术方案：一种基于内生动态防御架构的多目标服务功能链部署方法，包括如下步骤：
(1)构建一个内生动态防御架构以解决多目标SFC部署问题，包括以DHR架构作为拟态防御的核心架构，且内生动态防御架构包括基础模式和增强模式；
基础模式，利用移动目标防御保障VNF的安全，对VNF进行洗牌，即在生成VNF时，对IP地址、执行代码、生成参数进行动态变化，从而使攻击者难以预测和攻击；
增强模式，利用拟态防御对VNF进行安全保护，对易受攻击的VNF采用动态异构冗余架构，从而实现具有主动防御的能力；
(2)基于副本VNF间的异构性，将异构副本池FE分成一个以上的副本子池，其中共同漏洞多的VNF被分到同一子池中，共同漏洞少的被分到不同子池中；具体划分流程如下：
(21)选择p个与其他副本VNF异构度最大的VNF作为子池的初始中心；
(22)遍历异构副本池FE，计算副本VNF i和p个子池中心的异构度，并将i分配给与其异构度最小的子池中；
(23)更新子池的中心，将与每个子池中其余VNF的异构度总和最小的VNF设置为子池的中心，然后重复步骤(22)和(23)操作，直到子池中心未改变或达到最大迭代次数时终止；
(3)基于VNF间的异构度和历史信息表，通过副本VNF动态调度部署算法分别从子池中选择合适的VNF进行部署；
所述副本VNF动态调度部署算法包括如下三种方式：
1)基础模式，只使用MTD，不增加额外的副本，只对VNF进行定期洗牌；
2)增强模式-1，使用MTD和拟态防御，根据异构性选择多个具有等效功能的VNF，并定期对VNF洗牌；
3)增强模式-2，使用MTD和拟态防御，根据异构性选择多个具有等效功能的VNF并根据历史信息动态切换，以及定期对VNF洗牌。
进一步的，步骤(1)中对于增强模式采用DHR作为拟态防御的核心架构，其由输入模块、处理模块、输出模块、构建模块和调度模块组成；
所述输入模块，由用户输入和服务调度代理组成，SDA将用户输入复制n份形成n个子输入后，分发到处理模块中的部署集BE中；
所述处理模块，由部署集BE组成，部署集中的副本VNF对输入模块形成的n个子输入进行处理，形成n个子输出后，送至拟态决策点进行裁决；
所述输出模块，由MDP组成，对同一个输入消息的n个子输出进行裁决，如果存在k或k个以上结果一致，则输出该结果；否则，输出被阻止；
所述构建模块，包括一个异构副本池FE和一个异构副本集AE；根据子池划分算法将异构副本池FE划分为p个子池，并根据调度算法从每个子池中选择一个副本，从而形成异构副本集AE；
所述调度模块，根据调度部署算法从异构副本集AE中选择n个副本作为处理模块中的部署集BE，在一个调度周期后，调度模块将BE下线，通过洗牌将其恢复到初始状态，并根据调度部署算法为下一个调度周期重新选择部署集。
进一步的，步骤(2)是通过Jaccard距离来衡量不同副本VNF之间的异构性，其中VNF fi和VNF fj之间的异构度表示如下：
αi＝[qvni1,qvni2,…,qvni|VN|]T
αj＝[qvnj1,qvnj2,…,qvnj|VN|]T
其中，αi和αj表示VNF fi和VNF fj的漏洞向量，当VNF fi有漏洞vnz时，qvnz＝1，否则qvnz＝0。
进一步的，步骤(3)中所述的副本VNF动态调度部署算法，具体流程如下：
(31)随机从某一子池中选择一个VNF加入到异构副本集AE中；
(32)依次遍历其余子池中的VNF，若采用增强模式-1，则选择与AE中的其他VNF异构度最大的副本加入到AE中；若采用增强模式-2，则结合历史信息表选择与AE中的其他VNF异构度最大的副本加入到AE中；
(33)遍历异构副本集AE，根据异构度选择部分VNF加入到部署集BE；
(34)若采用基础模式，则直接将原VNF加入到部署集BE中；
(35)采用基于DRL的算法对副本集BE进行部署，并定期对BE中的VNF进行洗牌。
更进一步的，步骤(1)所述的多目标SFC部署问题具体描述如下：
定义漏洞集为VN＝{vnz|z∈[1,|VN|]}，每个易受攻击的VNF都包含α个漏洞；异构副本VNF池为FE＝{fel|l∈[1,|FE|]}，每个副本VNF也包含α个漏洞；
对于SFC部署问题的目标函数如下：
min(f1+f2+f3)
s.t.C1,C2,C3
对于f1，Dμ为总响应时延，表达式如下：
Dμ＝Lμ+Pμ+Tμ+Wμ
其中为通信时延，/>为处理时延，/>为传输时延，/>为动态防御架构带来的额外时延；
对于f2，为平均防御成功率，其中q表示防御成功的次数，Q表示攻击总数；
对于f3，C(τ)表示总的部署成本，表达式如下所示：
C(τ)＝Coperational(τ)+Ccopy(τ)
Coperational(τ)表示总运营成本，即为服务器打开成本和成功放置VNF的成本之和：
表示请求rμ∈R中，VNF/>是否部署在服务器节点ni∈N上，/>表示请求rμ∈R中，虚拟链路/>是否映射到物理链路ej∈E上，ζc和ζB分别表示资源和带宽的单位成本，/>表示VNF/>的资源需求，ζO表示服务器打开成本；Ccopy(τ)＝Cpool(τ)+Cshuffling(τ)+Cswitching(τ)表示内生动态防御架构带来的额外成本，其中Cpool(τ)＝∑f∈FE ζcCf表示维护异构副本VNF池的成本，/>表示洗牌的成本，表示切换的成本。
有益效果：与现有技术相比，本发明所述方法通过构建内生动态防御架构使SFC和VNF具备主动防御的能力，通过拟态防御自身的动态异构冗余机制，使攻击者在前阶段所作的嗅探、尝试等工作在漏洞攻击阶段无法继承；通过移动目标防御构建动态、不确定的网络空间目标环境，增加攻击难度，以系统的随机性和不可预测性来对抗网络攻击，从而解决当前SFC部署系统中面临的SFC、VNF易受攻击，传统的“外挂式”、“补丁式”网络安全机制难以抵御攻击等问题。本发明基于该方法的实施包括提供一种子池划分算法和一种副本VNF动态调度部署算法，为选择、调度和部署VNF副本提供了新颖的方式，使VNF和SFC在部署过程中的安全性大大提高。
附图说明
图1为本发明所述方法的流程示意图；
图2为本发明所述方法的内生动态防御架构图；
图3为不同洗牌时间下，每个batch的平均时延对比图；
图4为不同洗牌时间下，每条SFC的平均成本对比图；
图5(a)为不同洗牌时间下，采用LpA的防御成功率对比图；
图5(b)为不同洗牌时间下，采用RdA的防御成功率对比图；
图5(c)为不同洗牌时间下，采用SeqA的防御成功率对比图；
图6(a)为不同洗牌时间下，采用增强模式-1和LpA的防御成功率对比图；
图6(b)为不同洗牌时间下，采用增强模式-1和RdA的防御成功率对比图；
图6(c)为不同洗牌时间下，采用增强模式-1和SeqA的防御成功率对比图；
图7(a)为不同洗牌时间下，采用增强模式-2和LpA的防御成功率对比图；
图7(b)为不同洗牌时间下，采用增强模式-2和RdA的防御成功率对比图；
图7(c)为不同洗牌时间下，采用增强模式-2和SeqA的防御成功率对比图。
具体实施方式
为了详细的说明本发明所公开的技术方案，下面结合附图和实施例对本发明做更进一步的说明。
本发明所提供的是一种基于内生动态防御架构的多目标服务功能链部署方法，主要用于解决当前SFC部署系统中面临的SFC、VNF易受攻击，传统的“外挂式”、“补丁式”网络安全机制难以抵御攻击等问题。
本发明提出的内生动态防御架构主要涉及移动目标防御和拟态防御两种防御方式，本发明是将它们和SFC部署相结合以提高安全性。
下面具体说明本发明所提供的技术方案实施过程。
本发明所述方法是以内生动态防御架构实现对SFC的部署，主要包括两种模式和五个模块。基础模式只涉及移动目标防御，增强模式涉及移动目标防御和拟态防御。输入模块负责复制输入并将其分发到处理模块；处理模块负责将从调度模块中获得的部署集和从输入模块获得的输入进行处理，形成子输出后送至输出模块；输出模块对从处理模块获得的子输出进行裁决；构建模块负责从异构副本池中获得异构副本集；调度模块负责根据调度部署算法从异构副本集中获得部署集。
如图1所示，基于上述的技术方案，本发明所述的方法的实施包括如下步骤：
(1)构建一个内生动态防御架构来解决多目标SFC部署问题，该架构包括两种模式和五个模块。
(2)基于副本VNF间的异构性，提出一种子池划分算法将异构副本池划分为多个子池。
(3)基于VNF间的异构度和历史信息表，提出一种副本VNF动态调度部署算法，分别从子池中选择合适的VNF进行部署。
针对本发明上述的步骤，进一步的说明本发明所述步骤的具体实施方式。
Step1、构建内生动态防御架构
如附图2所示，该架构包括如下两种模式：
基础模式，利用移动目标防御保障VNF的安全，对VNF进行洗牌，即在生成VNF时，对IP地址、执行代码、生成参数进行动态变化，从而使攻击者难以预测和攻击。
增强模式：利用拟态防御对VNF进行安全保护，即易受攻击的VNF可以采用动态异构冗余(DHR)架构，从而具有主动防御的能力。
DHR作为拟态防御的核心架构，由输入模块、处理模块、输出模块、构建模块和调度模块组成。具体内容如下：
1)输入模块由用户输入和服务调度代理(SDA)组成。SDA将用户输入复制n份形成n个子输入后，分发到处理模块中的部署集BE中。
2)处理模块由部署集BE组成，部署集中的副本VNF对输入模块形成的n个子输入进行处理，形成n个子输出后，送至拟态决策点(MDP)进行裁决。
3)输出模块由MDP组成，它对同一个输入消息的n个子输出进行裁决，如果存在k或k个以上结果一致，则输出该结果；否则，输出被阻止。
4)构建模块包括一个异构副本池FE和一个异构副本集AE。我们根据子池划分算法将异构副本池FE划分为p个子池，并根据调度算法从每个子池中选择一个副本，从而形成异构副本集AE。
5)在调度模块中，根据调度部署算法从异构副本集AE中选择n个副本作为处理模块中的部署集BE。在一个调度周期后，调度模块将BE下线，通过洗牌将其恢复到初始状态，并根据调度部署算法为下一个调度周期重新选择部署集。Step2、结合实际以及所提出的内生动态防御架构提出多目标SFC部署问题本发明定义漏洞集为VN＝{vnz|z∈[1,|VN|]}，每个易受攻击的VNF都包含α个漏洞；异构副本VNF池为FE＝{fel|l∈[1,|FE|]}，每个副本VNF也包含α个漏洞。
SFC部署问题的目标函数如下：
min(f1+f2+f3)
s.t.C1,C2,C3
对于f1，Dμ为总响应时延，即
Dμ＝Lμ+Pμ+Tμ+Wμ
其中为通信时延，/>为处理时延，/>为传输时延，/>为动态防御架构带来的额外时延。
对于f2，为平均防御成功率，其中其中q表示防御成功的次数，Q表示攻击总数。
对于f3，C(τ)表示总的部署成本，即
C(τ)＝Coperational(τ)+Ccopy(τ)
Coperational(τ)表示总运营成本，即为服务器打开成本和成功放置VNF的成本之和：
表示请求rμ∈R中，VNF/>是否部署在服务器节点ni∈N上，/>表示请求rμ∈R中，虚拟链路/>是否映射到物理链路ej∈E上，ζc和ζB分别表示资源和带宽的单位成本，/>表示VNF/>的资源需求，ζO表示服务器打开成本。Ccopy(τ)＝Cpool(τ)+Cshuffling(τ)+Cswitching(τ)表示内生动态防御架构带来的额外成本，其中Cpool(τ)＝∑f∈FE ζcCf表示维护异构副本VNF池的成本，/>表示洗牌的成本，/>表示切换的成本。
资源约束如下：
其中，表示部署在节点ni∈N上的VNF/>的服务实例的数量，/>表示节点ni∈N的资源(CPU和memory)大小。
带宽约束如下：
其中，ar,τ表示请求rμ∈R是否仍在服务当中，表示节点ni∈N的带宽大小。
延迟约束如下：
其中，表示最大最大端到端延迟大小。
Step3、设计子池划分算法
子池划分算法根据副本VNF的异构性，将异构副本池FE分成多个副本子池，其中共同漏洞多的VNF被分到同一子池中，共同漏洞少的被分到不同子池中。本发明中使Jaccard距离来衡量不同副本VNF之间的异构性，VNF fi和VNF fj之间的异构度表示如下：
αi＝[qvni1,qvni2,…,qvni|VN|]T
αj＝[qvnj1,qvnj2,…,qvnj|VN|]T
其中，αi和αj表示VNF fi和VNF fj的漏洞向量，当VNF fi有漏洞vnz时，qvnz＝1，否则qvnz＝0。
具体算法流程如下：
1)选择p个与其他副本VNF异构度最大的VNF作为子池的初始中心；
2)遍历FE，计算副本VNF i和p个子池中心的异构度，并将i分配给与其异构度最小的子池中；
3)更新子池的中心，即与每个子池中其余VNF的异构度总和最小的VNF将成为子池的中心，然后重复2)3)操作，直到子池中心未改变或达到最大迭代次数时终止。
4、设计副本VNF动态调度部署算法
所述副本VNF动态调度部署算法的目的是结合历史信息以及VNF间的异构性，从子池中选择合适的VNF进行部署，以提高SFC的安全性。具体描述如下：
所述副本VNF动态调度部署算法包括三种方式：
1)基础模式，即只使用MTD，不增加额外的副本，只对VNF进行定期洗牌。
2)增强模式-1，即使用MTD和拟态防御，根据异构性选择多个具有等效功能的VNF，并定期对VNF洗牌。
3)增强模式-2，即使用MTD和拟态防御，根据异构性选择多个具有等效功能的VNF并根据历史信息动态切换，以及定期对VNF洗牌。
具体算法流程如下：
1)随机从某一子池中选择一个VNF加入到异构副本集AE中；
2)依次遍历其余子池中的VNF，若采用增强模式-1，则选择与AE中的其他VNF异构度最大的副本加入到AE中；若采用增强模式-2，则结合历史信息表选择与AE中的其他VNF异构度最大的副本加入到AE中；
3)遍历异构副本集AE，根据异构度选择部分VNF加入到部署集BE；
4)若采用基础模式，则直接将原VNF加入到部署集BE中；
5)采用基于DRL的算法对副本集BE进行部署，并定期对BE中的VNF进行洗牌。
本实施例中为了验证本发明的实际效果，设计了攻击算法对部署的VNF进行攻击模拟。所述攻击算法一共包括三种不同的攻击方式，具体描述如下：
1)随机攻击(RdA)，即攻击者随机生成漏洞来攻击易受攻击的VNF。
2)局部偏好攻击(LpA)，即攻击成功率高的漏洞在之后产生的概率较大。
3)顺序攻击(SeqA)，即攻击者按照顺序产生漏洞来攻击易受攻击的VNF，它可以以一定的概率改变产生漏洞的顺序。
本发明中假设每次攻击仅利用一个漏洞，对于易受攻击的VNF一共攻击N次，每次攻击采用以上三种方式产生漏洞。若b个VNF同时存在超过b/2+1个共同漏洞，则攻击成功，反之攻击失败，并将多模判决中有问题的VNF进行标记，以降低其之后被选择的概率，提高系统的安全性。
图3比较了当洗牌时间从5到25变化时，四种方法每个batch的平均时延。从图中可以看出，随着洗牌时间的增加，四种方法的时延都逐渐减少，没有内生安全的SFC部署算法的时延最低，增强模式-2方法的时延最高。在增强模式-2中，每个易受攻击的VNF在部署过程中额外多了一个从历史信息表中选择历史安全防御成功率最高的副本进行切换的步骤，与增强模式-1相比，增加了额外的切换时间。基础模式的时延之所以低于增强模式，是因为它只进行了简单的洗牌，不涉及额外的复制和相关操作。结合图5可以看出，系统的安全性需要以牺牲时延为代价。
接下来，本实施例中探讨了当洗牌时间从5到25变化时，四种方法每条SFC的平均成本。从图4可以看出，随着洗牌时间的增加，四种方法的成本逐渐降低，没有内生安全的SFC部署算法成本最低，而增强型模式-2不仅有洗牌功能，还充分考虑了副本的异构性性和历史信息，所以其成本始终最高。在增强型模式-2中，易受攻击的VNF在部署过程中还需要额外的从历史信息表中选择历史安全防御成功率最高的副本进行切换，与增强型模式-1相比，增加了冗余的切换成本。结合图5可以看出，为了提高系统的安全性，也需要牺牲一定的成本。
本实施例中比较了几种算法在洗牌时间从5到25变化时采用不同攻击方法的防御成功率。从图5可以看出，在三种不同的攻击方法中，随着洗牌时间的变化，增强模式-2的防御成功率总是最高的，而没有内生安全的SFC部署算法的防御成功率总是最低的。从图5(a)和图5(c)可以看出，基础模式和增强模式-1的防御成功率随着洗牌时间的增加而下降。在增强模式-2中，易受攻击的VNF部署过程中会根据历史信息表动态选择历史安全防御最高的副本进行切换，所以增强模式-2的防御成功率并不总是随着洗牌时间的增加而降低。从图5(b)可以看出，由于RdA具有随机性，所以得到的结果也有一定的随机性。但总的来说，本发明提出的内生动态防御架构在三种攻击方式下都能明显提高SFC的安全性。
图6比较了在增强模式-1下，不同数量的子池在洗牌时间从5到25变化时使用不同攻击方法的防御成功率。从这三幅图中可以看出，无论攻击方式如何变化，洗牌时间如何变化，子池为4时的防御成功率总是高于子池为3和6时的。同一子池中的VNF间的异构度较小，而不同子池间的VNF的异构度较大，这是划分子池的基础。图6表明，对于固定数量的副本VNF来说，子池数量过大或过小都不合适。当子池数量较大时，子池之间的异构性降低，从而使得从不同子池中选择的VNF之间的异构性降低，因此防御成功率会降低；当子池数量较小时，一些异构性较大的副本会被划分到同一个子池中，这可能导致从不同子池中选择的VNF之间的异构性降低，从而使得防御成功率下降。同样，由于RdA带有随机性，因此得到的防御成功率并不总是随着洗牌时间的增加而减少，而LpA和SeqA则会。
图7显示，当子池数量为4时防御成功率大体上是最高的，当子池数量为3或6时，防御成功率偶尔会大于子池为4时的。这是由于本发明提出的增强模式-2，与增强模式-1相比，包括一个额外的基于历史信息表进行维护的步骤，这使得子池为4时的防御成功率不一定高于子池为3或6时的防御成功率，使得增强模式-2下的防御成功率总是高于增强模式-1下的防御成功率，也使得增强模式-2下的防御成功率不会总是随着洗牌时间的增加而降低。

Claims (3)

1.一种基于内生动态防御架构的多目标服务功能链部署方法，其特征在于：包括如下步骤：
(1)构建一个内生动态防御架构以解决多目标SFC部署问题，包括以DHR架构作为拟态防御的核心架构，且内生动态防御架构包括基础模式和增强模式；
基础模式，利用移动目标防御保障VNF的安全，对VNF进行洗牌，即在生成VNF时，对IP地址、执行代码、生成参数进行动态变化，从而使攻击者难以预测和攻击；
增强模式，利用拟态防御对VNF进行安全保护，对易受攻击的VNF采用动态异构冗余架构，从而实现具有主动防御的能力；
所述的多目标SFC部署问题具体描述如下：
定义漏洞集为VN＝{vnz∣z∈[1,|VN|]}，每个易受攻击的VNF都包含α个漏洞；异构副本VNF池为FE＝{fel∣l∈[1,|FE|]}，每个副本VNF也包含α个漏洞；
对于SFC部署问题的目标函数如下：
min(f1+f2+f3)
s.t.C1,C2,C3
式中，C1，C2、C3分别表示资源约束、带宽约束和延迟约束；
对于f1，Dμ为总响应时延，表达式如下：
Dμ＝Lμ+Pμ+Tμ+Wμ
其中为通信时延，/>为处理时延，为传输时延，/>为动态防御架构带来的额外时延；
对于f2，为平均防御成功率，其中q表示防御成功的次数，Q表示攻击总数；
对于f3，C(τ)表示总的部署成本，表达式如下所示：
C(τ)＝Coperational(τ)+Ccopy(τ)
Coperational(τ)表示总运营成本，即为服务器打开成本和成功放置VNF的成本之和：
表示请求rμ∈R中，VNF/>是否部署在服务器节点ni∈N上，/>表示请求rμ∈R中，虚拟链路/>是否映射到物理链路ej∈E上，ζc和ζB分别表示资源和带宽的单位成本，/>表示VNF/>的资源需求，ζO表示服务器打开成本；Ccopy(τ)＝Cpool(τ)+Cshuffling(τ)+Cswitching(τ)表示内生动态防御架构带来的额外成本，其中Cpool(τ)＝∑f∈FEζcCf表示维护异构副本VNF池的成本，/>表示洗牌的成本，/>表示切换的成本；
(2)基于副本VNF间的异构性，根据共同漏洞将异构副本池FE划分不同的副本子池，具体划分流程如下：
(21)选择p个与其他副本VNF异构度最大的VNF作为子池的初始中心；
(22)遍历异构副本池FE，计算副本VNF i和p个子池中心的异构度，并将i分配给与其异构度最小的子池中；
(23)更新子池的中心，将与每个子池中其余VNF的异构度总和最小的VNF设置为子池的中心，然后重复步骤(22)和(23)操作，直到子池中心未改变或达到最大迭代次数时终止；
(3)基于VNF间的异构度和历史信息表，通过副本VNF动态调度部署算法分别从子池中选择合适的VNF进行部署；具体流程如下：
(31)随机从某一子池中选择一个VNF加入到异构副本集AE中；
(32)依次遍历其余子池中的VNF，若采用增强模式-1，则选择与AE中的其他VNF异构度最大的副本加入到AE中；若采用增强模式-2，则结合历史信息表选择与AE中的其他VNF异构度最大的副本加入到AE中；
(33)遍历异构副本集AE，根据异构度选择部分VNF加入到部署集BE；
(34)若采用基础模式，则直接将原VNF加入到部署集BE中；
(35)采用基于DRL的算法对副本集BE进行部署，并定期对BE中的VNF进行洗牌；
所述副本VNF动态调度部署算法包括如下三种方式：
1)基础模式，只使用MTD，不增加额外的副本，只对VNF进行定期洗牌；
2)增强模式-1，使用MTD和拟态防御，根据异构性选择多个具有等效功能的VNF，并定期对VNF洗牌；
3)增强模式-2，使用MTD和拟态防御，根据异构性选择多个具有等效功能的VNF并根据历史信息动态切换，以及定期对VNF洗牌。
2.根据权利要求1所述的基于内生动态防御架构的多目标服务功能链的部署方法，其特征在于：步骤(1)中对于增强模式采用DHR作为拟态防御的核心架构，其由输入模块、处理模块、输出模块、构建模块和调度模块组成；
所述输入模块，由用户输入和服务调度代理组成，SDA将用户输入复制n份形成n个子输入后，分发到处理模块中的部署集BE中；
所述处理模块，由部署集BE组成，部署集中的副本VNF对输入模块形成的n个子输入进行处理，形成n个子输出后，送至拟态决策点进行裁决；
所述输出模块，由MDP组成，对同一个输入消息的n个子输出进行裁决，如果存在k或k个以上结果一致，则输出该结果；否则，输出被阻止；
所述构建模块，包括一个异构副本池FE和一个异构副本集AE；根据子池划分算法将异构副本池FE划分为p个子池，并根据调度算法从每个子池中选择一个副本，从而形成异构副本集AE；
所述调度模块，根据调度部署算法从异构副本集AE中选择n个副本作为处理模块中的部署集BE，在一个调度周期后，调度模块将BE下线，通过洗牌将其恢复到初始状态，并根据调度部署算法为下一个调度周期重新选择部署集。
3.根据权利要求1所述的基于内生动态防御架构的多目标服务功能链的部署方法，其特征在于：步骤(2)是通过Jaccard距离来衡量不同副本VNF之间的异构性，其中VNF fi和VNF fj之间的异构度表示如下：
αi＝[qvni1,qvni2,…,qvni|VN|]T
αj＝[qvnj1,qvnj2,…,qvnj|VN|]T
其中，αi和αj表示VNF fi和VNF fj的漏洞向量，当VNF fi有漏洞vnz时，qvnz＝1，否则qvnz＝0。
CN202310223837.1A 2023-03-09 2023-03-09 一种基于内生动态防御架构的多目标服务功能链部署方法 Active CN116318945B (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN202310223837.1A CN116318945B (zh) 2023-03-09 2023-03-09 一种基于内生动态防御架构的多目标服务功能链部署方法
US18/581,424 US12003528B1 (en) 2023-03-09 2024-02-20 Endogenous dynamic defense architecture-based multi-objective service function chain deployment method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202310223837.1A CN116318945B (zh) 2023-03-09 2023-03-09 一种基于内生动态防御架构的多目标服务功能链部署方法

Publications (2)

Publication Number Publication Date
CN116318945A CN116318945A (zh) 2023-06-23
CN116318945B true CN116318945B (zh) 2023-10-20

Family

ID=86802591

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202310223837.1A Active CN116318945B (zh) 2023-03-09 2023-03-09 一种基于内生动态防御架构的多目标服务功能链部署方法

Country Status (2)

Country Link
US (1) US12003528B1 (zh)
CN (1) CN116318945B (zh)

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109491668A (zh) * 2018-10-11 2019-03-19 浙江工商大学 一种sdn/nfv服务部署的拟态防御构架及方法
CN109525418A (zh) * 2018-10-11 2019-03-26 浙江工商大学 一种拟态防御下服务部署执行体集合异构度保证的调度方法
CN109587168A (zh) * 2018-12-29 2019-04-05 河南信大网御科技有限公司 软件定义网络中基于拟态防御的网络功能部署方法
CN109842528A (zh) * 2019-03-19 2019-06-04 西安交通大学 一种基于sdn和nfv的服务功能链的部署方法
CN111163070A (zh) * 2019-12-18 2020-05-15 浙江工商大学 一种拟态防御下服务链安全部署的正确链路判决方法、装置、设备及介质
CN111866038A (zh) * 2019-04-25 2020-10-30 华东计算技术研究所（中国电子科技集团公司第三十二研究所） 基于异构多副本的分布式存储动态防御系统及方法
CN112822192A (zh) * 2021-01-06 2021-05-18 中山大学 一种面向用户需求的安全功能服务网系统及其实现方法
CN115001831A (zh) * 2022-06-09 2022-09-02 北京交通大学 基于恶意行为知识库动态部署网络安全服务的方法及系统

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9778912B2 (en) * 2011-05-27 2017-10-03 Cassy Holdings Llc Stochastic processing of an information stream by a processing architecture generated by operation of non-deterministic data used to select data processing modules
US9021589B2 (en) * 2012-06-05 2015-04-28 Los Alamos National Security, Llc Integrating multiple data sources for malware classification
US9756015B2 (en) * 2015-03-27 2017-09-05 International Business Machines Corporation Creating network isolation between virtual machines
US10162681B2 (en) * 2015-07-24 2018-12-25 International Business Machines Corporation Reducing redundant validations for live operating system migration
CA3001463A1 (en) * 2015-10-08 2017-07-06 Siege Technologies LLC Assessing effectiveness of cybersecurity technologies
US20180332073A1 (en) * 2017-05-10 2018-11-15 Government Of The United States, As Represented By The Secretary Of The Air Force Moving Target Defense for Distributed Systems
US11228616B2 (en) * 2017-12-06 2022-01-18 Qatar Foundation Methods and systems for monitoring network security
CN112313915B (zh) * 2018-11-05 2021-08-31 北京大学深圳研究生院 基于gspn和鞅理论网络空间拟态防御的安全性建模量化方法
EP4204972A4 (en) * 2020-08-31 2024-03-06 Seraphic Algorithms Ltd. METHOD AND SYSTEM FOR EXPLOIT PREVENTION AND MALICIOUS CODE NEUTRALIZATION FOR JAVASCRIPT ENABLED APPLICATIONS
WO2022147466A1 (en) * 2020-12-31 2022-07-07 Virsec Systems, Inc. Protecting against memory deserialization attacks

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109491668A (zh) * 2018-10-11 2019-03-19 浙江工商大学 一种sdn/nfv服务部署的拟态防御构架及方法
CN109525418A (zh) * 2018-10-11 2019-03-26 浙江工商大学 一种拟态防御下服务部署执行体集合异构度保证的调度方法
CN109587168A (zh) * 2018-12-29 2019-04-05 河南信大网御科技有限公司 软件定义网络中基于拟态防御的网络功能部署方法
CN109842528A (zh) * 2019-03-19 2019-06-04 西安交通大学 一种基于sdn和nfv的服务功能链的部署方法
CN111866038A (zh) * 2019-04-25 2020-10-30 华东计算技术研究所（中国电子科技集团公司第三十二研究所） 基于异构多副本的分布式存储动态防御系统及方法
CN111163070A (zh) * 2019-12-18 2020-05-15 浙江工商大学 一种拟态防御下服务链安全部署的正确链路判决方法、装置、设备及介质
CN112822192A (zh) * 2021-01-06 2021-05-18 中山大学 一种面向用户需求的安全功能服务网系统及其实现方法
CN115001831A (zh) * 2022-06-09 2022-09-02 北京交通大学 基于恶意行为知识库动态部署网络安全服务的方法及系统

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
谢记超 ; 伊鹏 ; 张震 ; 张传浩 ; 谷允捷 ; .基于异构备份与重映射的服务功能链部署方案.网络与信息安全学报.2018,(06),全文. *
谭晶磊 ; 张红旗 ; 雷程 ; 刘小虎 ; 王硕 ; .面向SDN的移动目标防御技术研究进展.网络与信息安全学报.2018,(07),全文. *

Also Published As

Publication number Publication date
CN116318945A (zh) 2023-06-23
US12003528B1 (en) 2024-06-04

Similar Documents

Publication Publication Date Title
Islam et al. Blockchain-SDN-based energy-aware and distributed secure architecture for IoT in smart cities
Liu et al. A framework of fog computing: Architecture, challenges, and optimization
Gao et al. Hierarchical multi-agent optimization for resource allocation in cloud computing
CN109587168B (zh) 软件定义网络中基于拟态防御的网络功能部署方法
Liu et al. Towards security-aware virtual network embedding
Yang et al. Timely-throughput optimal coded computing over cloud networks
Hu et al. Anomaly detection system in secure cloud computing environment
Liu et al. Joint SFC deployment and resource management in heterogeneous edge for latency minimization
Li et al. Improving Cloud Survivability through Dependency based Virtual Machine Placement.
KR102454398B1 (ko) 분산형 소프트웨어 정의 네트워킹 방법 및 장치
CN114626547A (zh) 一种基于区块链的群组协同学习方法
KR100742357B1 (ko) 지능형 분산 서버 시스템 및 이의 운용방법
Tessier et al. Topology-aware data aggregation for intensive I/O on large-scale supercomputers
Kong et al. A secure container deployment strategy by genetic algorithm to defend against co-resident attacks in cloud computing
CN110149221B (zh) 一种基于联盟链的自适应网络的构建方法及装置
CN116318945B (zh) 一种基于内生动态防御架构的多目标服务功能链部署方法
Li et al. A highly compatible verification framework with minimal upgrades to secure an existing edge network
Filiposka et al. Community-based complex cloud data center
Xie et al. A service function chain deployment scheme based on heterogeneous backup
CN109542623B (zh) 虚拟系统在服务器中的优化部署方法
US12058201B2 (en) Read access for computational results of a distributed network
Jiang et al. SHARON: Secure and Efficient Cross-shard Transaction Processing via Shard Rotation
JP2008009621A (ja) 遺伝的アルゴリズムの処理方法及びこれを用いた列車運行シミュレート方法
Zhu et al. MHSDN: a hierarchical software defined network reliability framework design
Zhang et al. Multi‐Task Assignment Method of the Cloud Computing Platform Based on Artificial Intelligence

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
CB03 Change of inventor or designer information
CB03 Change of inventor or designer information

Inventor after: Wang Ran

Inventor after: Yu Xue

Inventor after: Chen Yuemiao

Inventor after: Wang Xiangbin

Inventor after: Wu Qiang

Inventor before: Wang Ran

Inventor before: Yu Xue

Inventor before: Chen Yuemiao

Inventor before: Wang Xiangbin

Inventor before: Wu Qiang

GR01 Patent grant
GR01 Patent grant