CN116488946B - 基于持续多模表决的恶意节点检测方法 - Google Patents

Abstract

本发明提供一种基于持续多模表决的恶意节点检测方法，对于用户的业务请求，通过在线的物理节点作为逻辑节点处理，通过逻辑拓扑生成模块输出链式的逻辑拓扑，逻辑拓扑的每个逻辑节点对应的物理节点，对当次业务请求是否放行做一次判断，然后每个表决组合执行一次多模表决，将该表决组合中代表“少数”的逻辑节点投出，并将其标识为可疑节点，对于投出的可疑节点，定位到与可疑节点相互纠缠的表决组合，完成一次基于表决的恶意节点发现过程，对与可疑节点纠缠的组合进行基于统计验证的恶意节点检测，以对基于表决的恶意节点的发现结果进行正确性验证。

Description

基于持续多模表决的恶意节点检测方法

技术领域

本发明涉及一种网络空间安全的分布式环境中的节点检测问题，尤其是涉及一种基于持续多模表决的恶意节点检测方法。

背景技术

随着互联网技术的发展，基于网络的应用迅速增加且日趋复杂，例如，智能交通系统、电子商务、远程办公等。这些任务的解决需要多个节点的信息交互、协调和协作，因此利用分布式协作完成业务服务成为一个主流的趋势。与此同时，我们不得不关注分布式协作引发的一系列安全问题，比如节点失效、节点故障、节点作恶等的风险问题。为应对相关风险问题，相关的容忍或解决方案成为分布式协作领域重点关注的问题。

当前已存在以容忍节点故障或节点失效为目的的共识机制（如PBFT、PoW、PoS等）、以保障业务可持续运行的多模表决机制（如少数服从多数），但尚未发现可以适配不同规模环境的、专门用于解决恶意节点发现的良好方案。尤其是在多个节点协同作恶时，如何精准检测多个恶意节点，甚至能够关联检测出分布式环境中未参与当前作恶活动的其他潜在恶意节点是当前研究的一大挑战。但这一问题的解决能够为恶意节点清洗提供充分的依据，进而可以确保分布式协作环境的健康运行，因此，需要提出更加符合实际需要的恶意节点检测方案。

为方便描述，本发明将这种分布式系统中存在的多个节点协同作恶的问题称为“多节点受控”问题。分布式拒绝服务攻击、多节点合谋攻击、大规模无差别攻击等攻击形式均属于多节点受控问题对应的攻击场景。

现有技术的缺点：

多节点受控是一种分布式系统中的、对攻击者作恶有利的非良性状态。针对这种非良性状态，典型的、应用于区块链环境中的PBFT（Practical Byzantine FaultTolerance）等共识协议作为分布式系统的容错机制，用于在存在故障和攻击的情况下，确保分布式系统的正确性和安全性。然而，这类方法并不会直接检测以发现恶意节点，只能通过检测节点行为的不一致性来识别故障节点和恶意节点。因此，这类方法并不是一种针对恶意节点的攻击检测机制。与区块链这种去中心化的账本场景不同，区块链不关心对作恶节点的发现，仅在发现不一致行为时放弃将交易打包上链。对比之下，在实际的攻防场景中却十分关心对恶意节点的发现，以防止作恶节点进一步的作恶行为或横向移动等；此外，只有准确定位恶意节点，才可以对其开展清洗和替换的操作，以此保证实际业务场景的健康运行。

多模表决机制（如简单的三模表决）采用“少数服从多数”投票方式实现多节点之间的相互协作，以保证业务的正常运行。若将这类多模表决机制应用于恶意节点的发现，仍存在两个关键的技术问题：

一是在大规模的分布式系统中，所有节点共同参与的“少数服从多数”表决面临的效率/资源损耗问题，需要所有节点同时在线。

二是在小规模的分布式系统中，比如采用三模表决的分布式系统，无法解决三个以上多节点连续作恶的问题。

发明内容

本发明提供了一种基于持续多模表决的恶意节点检测方法，用于解决分布式系统在实际业务场景下面临多节点受控攻击问题时缺乏及时恶意发现的问题，以及多节点协同作业时的效率和资源消耗问题，其技术方案如下所述：

一种基于持续多模表决的恶意节点检测方法，包括以下步骤：

S1：用户发送业务请求，由指定的多个物理节点协同提供业务服务，对每个在线的物理节点进行逻辑编号，作为逻辑节点；

S2：多个逻辑节点通过逻辑拓扑生成模块处理后，输出链式的逻辑拓扑，逻辑拓扑中，设定n个逻辑节点构成一个表决组合，每个逻辑节点应出现在n个表决组合中；

S3：逻辑拓扑的每个逻辑节点对应的物理节点，对当次业务请求是否放行做一次判断，若该逻辑节点认为当次业务请求应放行，则提供“放行”的判决结论，反之则提供“禁止”的判决结论；

S4：每个表决组合执行一次多模表决，采用“少数服从多数”投票方式，将该表决组合中代表“少数”的逻辑节点投出，并将其标识为可疑节点；

S5：对于投出的可疑节点，定位到与可疑节点相互纠缠的表决组合，再次利用“少数服从多数”的投票机制建立共识，判断代表“少数”的表决组合，完成一次基于表决的恶意节点发现过程；

S6：对与可疑节点纠缠的组合进行基于统计验证的恶意节点检测，以对基于表决的恶意节点的发现结果进行正确性验证。

进一步的，步骤S1中，业务请求首先到达提供服务的物理节点拓扑中，每个逻辑节点都应与一个物理节点建立映射，对于每次业务请求，逻辑拓扑生成模块进行自动检查并做一次事实的逻辑拓扑构建。

进一步的，步骤S2中，对于每次业务请求，逻辑拓扑上的逻辑节点数量发生变化或者不变。

步骤S2中，链式的逻辑拓扑中，逻辑节点按照编号顺序，每n个逻辑节点构成一个表决组合，m个逻辑节点构成一个前后节点间相互关联的m个表决组合。

步骤S2中，所述n为不小于3的奇数。

进一步的，步骤S4中，可疑节点在表决组合中，代表“少数”时，做出的是“放行”或者“禁止”的判决结论。

进一步的，步骤S5中，代表“少数”的表决组合中，判决结论与恶意节点的判决结论相同，以此标识出恶意节点。

进一步的，步骤S6中，验证方式包括：（1）不同统计组中包含的节点数量，数量少的统计组通过“少数服从多数”的投票方式判决为恶意组，即该统计组中包含的所有节点均为恶意节点；（2）推理验证，完成全链节点的统计推理后，能够得出结论。

一种基于持续多模表决的恶意节点检测装置，包括：

逻辑拓扑生成模块：用于在业务请求发生时，将物理节点拓扑映射为逻辑节点拓扑；

持续多模表决接收模块：用于实时获取所有节点和所有组合的表决结果；

基于表决的恶意节点发现模块：用于提供所请求的业务服务是否放行的结论，并提供恶意节点的初次投票结果；

基于统计验证的恶意节点检测模块：用于验证恶意节点初次投票结果的正确性，并通过推理完成对整个链式拓扑中所有的恶意节点的检测。

所述基于持续多模表决的恶意节点检测方法，可同时适配不同规模的分布式系统，在达成共识的过程中，不需要所有节点同时在线，可平衡效率和资源损耗的问题；可以及时准确定位恶意节点，并可以解决多节点连续作恶的问题。

本发明具有以下有益效果：

（1）相互制约的逻辑拓扑的生成，可以形成节点间的行为制约效果，能够及时感知分布式系统中存在的异常行为。

（2）持续多模表决与基于表决的恶意节点发现：充分发挥组合间行为制约的价值，以准确定位可疑组合与可疑节点，即使节点连续作恶，也可以利用组合间的表决将其发现。

（3）基于统计验证的恶意节点检测：实现了基于推理的恶意节点验证，不需要链上所有节点或所有组合的参与，在一定程序上提高了验证效率，并降低了由于节点间通信带来的资源开销。

附图说明

图1是所述基于持续多模表决的恶意节点检测方法的示意图。

具体实施方式

如图1所示，所述基于持续多模表决的恶意节点检测方法，方案架构包括：（1）面向持续多模表决的逻辑拓扑生成和（2）持续多模表决与恶意节点检测两个部分。

（1）面向持续多模表决的逻辑拓扑生成：

在实际应用场景中，用户的业务请求会首先到达提供服务的物理节点拓扑中，并由指定的多个物理节点协同为此次请求提供业务服务。在本发明设计的方案中，会将物理节点拓扑做一层逻辑抽象，为每个在线的物理节点提供一个逻辑编号，比如①②③④等。这些具有逻辑编号的物理节点会自动由逻辑拓扑生成模块处理，输出一个相互纠缠的链式拓扑。在该拓扑中，这些逻辑节点之间的关系展示为持续多模表决模块展示的示例所示，具体而言，每三个逻辑节点将构成一个表决组合，且每个逻辑节点应出现在三个表决组合中。以13个逻辑节点为例，这些节点将构成一个前后节点间相互关联的13个表决组合：①②③、②③④、③④⑤、......、、/>①、/>①②。

值得说明的是，（1）每个逻辑节点都应与一个物理节点建立映射。但在每次业务请求时，这种映射关系可以改变。因为即使每次业务请求发生时，逻辑拓扑生成模块都会自动检查并做一次事实的逻辑拓扑构建。（2）每次业务请求时，逻辑拓扑上的节点数量并不要求要与前序业务请求时的节点数量保持一致。

（2）持续多模表决与恶意节点检测：

逻辑节点拓扑建立完成后，首先需要每个逻辑拓扑节点对应的物理节点对当次业务请求是否放行做一次判断，若该节点认为当次业务请求应放行，则提供“放行”的判决结论，反之则提供“禁止”的判决结论。

其次，每个表决组合中执行一次多模表决（如图1所示为“三模表决”），仍以逻辑拓扑有13个节点构成为例，则共有13个表决组合会同步执行13次多模表决。每次组合表决的输出：首先应包含采用“少数服从多数”投票方式的表决结果（“放行”或“禁止”）；其次，若一个组合中的三个节点有不同的表决输出，则应将与多数节点的表决结果不一致的节点投出，将其标识为“可疑节点”。以图1所示为例，①②的表决结果均为“禁止”，③的表决结果为“放行”，则该组合采用“少数服从多数”投票方式，输出该组合的表决结果为“禁止”，同时该组合还将③号节点投出，并将其标识为“可疑节点”。

仍以图1所示为例，假定③④两个节点为受控恶意节点，则通过13个组合的持续多模表决，会有4个组合给出表决结果的同时，投出了可疑节点分别为③、②、⑤、④。

之后，该方案的思路是定位与4个可疑节点相互纠缠的共6个组合，即：①②③、②③④、③④⑤、④⑤⑥、⑤⑥⑦、①②。基于这6个组合的表决结果，再次利用“少数服从多数”的投票机制建立共识，此时，①②③、④⑤⑥、⑤⑥⑦、/>①②这4个组合的表决结果为“禁止”，②③④、③④⑤这2个组合的表决结果为“放行”，则4：2投出表决结果为“禁止”，同时应暂时相信“禁止”对应组合中投出的恶意节点，即4:2投出③④是恶意节点，由此便完成了一次基于表决的恶意节点发现过程。所述相互纠缠以N模表决为例，表示一个节点应位于N个不同的表决组合中，并且一个表决组合中也应包含N个不同的节点，其中N≥3。

最后，该方案对与可疑节点纠缠的组合进行基于统计验证的恶意节点检测，以对基于表决的恶意节点的发现结果进行正确性验证。以图1所示为例，在①②③构成的表决组合中，③和①②由于节点表决结果的不同，被划分到“放行”和“禁止”两个不同的统计组中；同理，在②③④组合中，③④被划分到“放行”统计组，②被划分到“禁止”统计组；依次对不同组合做相同处理。统计结果为，“放行”统计组包含③④共2个节点，“禁止”组合包含①②⑤⑥⑦共6个节点。由此，可以从两个层面验证③④节点为恶意节点：一是不同统计组中包含的节点数量，数量少的统计组通过“少数服从多数”的投票方式可以判决为恶意组，即该统计组中包含的所有节点均为恶意节点；二是推理验证，首先看包含少数节点的组，由于③④是连续的，因此需要观测③的前序节点和④的后序节点，通过对前序节点和后序节点所在的统计组进行观测，可以通过相互纠缠的组合原则，推理整个链式拓扑中所有节点所在的统计组，以完成推理后的所有节点的表决结果做“少数服从多数”的投票是一种更为可信的验证方案。由于③的前序节点②和④的后序节点⑤均位于“禁止”组，结合“禁止”组的其余节点，则可以推理⑧-/>号节点均位于“禁止”组。这样推理的原因是⑧-/>号节点纠缠的组合由于没有可疑节点被投出，因此，组合内的节点表决结果都是一致的，比如可以推理⑧与⑦应在同一个统计组，同理也可以推理⑧-/>号节点也应与⑦在同一个统计组。进而，完成全链节点的统计推理后，可以得出结论，“禁止”组包含11个节点，“放行”组仅包含③④两个节点，因此可以确认③④为恶意节点。

本发明利用的装置，包括（1）逻辑拓扑生成模块、（2）持续多模表决接收模块、（3）基于表决的恶意节点发现模块、（4）基于统计验证的恶意节点检测模块。其中，

逻辑拓扑生成模块：用于在业务请求发生时，将物理节点拓扑映射为逻辑节点拓扑；

持续多模表决接收模块：用于实时获取所有节点和所有组合的表决结果；

基于表决的恶意节点发现模块：用于提供所请求的业务服务是否放行的结论，并提供恶意节点的初次投票结果；

基于统计验证的恶意节点检测模块：用于验证恶意节点初次投票结果的正确性，并通过推理完成对整个链式拓扑中所有的恶意节点的检测。

本发明具有以下特点：

（1）面向持续多模表决的逻辑拓扑设计。以持续三模表决为例，使得任意一个参与表决的节点出现在三个表决组合中，且每个组合应包含三个不同的节点。

（2）持续多模表决与恶意节点检测的算法设计，在解决多节点连续作恶问题的同时，平衡效率和资源损耗的问题。

本发明可动态适配不同规模的分布式系统，在达成共识的过程中，由于逻辑拓扑是动态生成的，因此，不需要所有节点同时在线，通过仅利用在线节点或部分在线节点参与提供业务请求服务即可，可平衡效率和资源损耗的问题；由于逻辑节点拓扑由多个相互纠缠的组合构成，在多个节点相互协同提供业务服务时，节点之间的行为通过相互纠缠的组合形成了一种相互制约的关系。因此，当存在多个受控节点意图作恶时，可被关联节点及关联组合及时发现，因此本方案可以及时准确定位恶意节点，并能够解决多节点连续作恶的问题。

Claims (9)

1.一种基于持续多模表决的恶意节点检测方法，包括以下步骤：

S1：用户发送业务请求，由指定的多个物理节点协同提供业务服务，对每个在线的物理节点进行逻辑编号，作为逻辑节点；

S2：多个逻辑节点通过逻辑拓扑生成模块处理后，输出链式的逻辑拓扑，逻辑拓扑中，设定n个逻辑节点构成一个表决组合，每个逻辑节点应出现在n个表决组合中；

S3：逻辑拓扑的每个逻辑节点对应的物理节点，对当次业务请求是否放行做一次判断，若该逻辑节点认为当次业务请求应放行，则提供放行的判决结论，反之则提供禁止的判决结论；

S4：每个表决组合执行一次多模表决，采用少数服从多数投票方式，将该表决组合中代表少数的逻辑节点投出，并将其标识为可疑节点；

S5：对于投出的可疑节点，定位到与可疑节点相互纠缠的表决组合，再次利用少数服从多数的投票机制建立共识，判断代表少数的表决组合，完成一次基于表决的恶意节点发现过程；

S6：对与可疑节点纠缠的组合进行基于统计验证的恶意节点检测，以对基于表决的恶意节点的发现结果进行正确性验证。

2.根据权利要求1所述的基于持续多模表决的恶意节点检测方法，其特征在于：步骤S1中，业务请求首先到达提供服务的物理节点拓扑中，每个逻辑节点都应与一个物理节点建立映射，对于每次业务请求，逻辑拓扑生成模块进行自动检查并做一次事实的逻辑拓扑构建。

3.根据权利要求1所述的基于持续多模表决的恶意节点检测方法，其特征在于：步骤S2中，对于每次业务请求，逻辑拓扑上的逻辑节点数量发生变化或者不变。

4.根据权利要求1所述的基于持续多模表决的恶意节点检测方法，其特征在于：步骤S2中，链式的逻辑拓扑中，逻辑节点按照编号顺序，每n个逻辑节点构成一个表决组合，m个逻辑节点构成一个前后节点间相互关联的m个表决组合。

5.根据权利要求1所述的基于持续多模表决的恶意节点检测方法，其特征在于：步骤S2中，所述n个逻辑节点的n为不小于3的奇数。

6.根据权利要求1所述的基于持续多模表决的恶意节点检测方法，其特征在于：步骤S4中，可疑节点在表决组合中，代表少数时，做出的是放行或者禁止的判决结论。

7.根据权利要求1所述的基于持续多模表决的恶意节点检测方法，其特征在于：步骤S5中，代表少数的表决组合中，判决结论与恶意节点的判决结论相同，以此标识出恶意节点。

8.根据权利要求1所述的基于持续多模表决的恶意节点检测方法，其特征在于：步骤S6中，验证方式包括：不同统计组中包含的节点数量，数量少的统计组通过少数服从多数的投票方式判决为恶意组，即该统计组中包含的所有节点均为恶意节点；推理验证，完成全链节点的统计推理后，能够得出结论。

9.根据权利要求1~8所述的基于持续多模表决的恶意节点检测方法应用的检测装置，其特征在于：包括：

逻辑拓扑生成模块：用于在业务请求发生时，将物理节点拓扑映射为逻辑节点拓扑；

持续多模表决接收模块：用于实时获取所有节点和所有组合的表决结果；

基于表决的恶意节点发现模块：用于提供所请求的业务服务是否放行的结论，并提供恶意节点的初次投票结果；

基于统计验证的恶意节点检测模块：用于验证恶意节点初次投票结果的正确性，并通过推理完成对整个链式拓扑中所有的恶意节点的检测。