一种面向拟态防御的两级多层资源调度方法及系统技术方案

本发明专利技术提供了一种面向拟态防御的两级多层资源调度方法及系统，包括在拟态系统中建立调度对象，包括：执行体部署方案、后备执行体池以及工作执行体组；在三者间进行两级调度，采用多种调度策略确定多层调度目标，为拟态系统在创建、初始化、执行体清洗恢复阶段提供执行体和资源的调度服务。本方法通过对执行体部署方案、后备执行体的两级调度，提高了调度结果的随机性和异构性。通过综合使用多种调度策略形成的多层调度，满足拟态系统初始化、清洗恢复等多种场景下的调度。

【技术实现步骤摘要】
一种面向拟态防御的两级多层资源调度方法及系统
本专利技术涉及网络安全技术，具体地，涉及一种面向拟态防御的两级多层资源调度方法及系统。
技术介绍
为应对日益增多的网络攻击所造成的信息泄露、系统失效等损失，以及传统被动防御技术无法有效防御未知漏洞威胁的不足，我国自主研发的拟态防御理论经试验和实战验证，能够有效防御恶意攻击威胁，尤其是防御利用未知漏洞后门攻击的威胁，使得网络攻击的成功率呈指数级下降。拟态防御理论的核心是“动态异构冗余”(DynamicHeterogeneousRedundancy，DHR)的系统架构。基于“独立开发的系统发送共享设计缺陷导致共模故障情况的概率很低”的公识，拟态系统架构的异构性能够有效地将已知或未知的差模攻击造成的风险降低到可接受范围。通过在拟态系统架构的异构冗余执行体组上执行相同的任务，即使执行体组中执行元素各自存在不同的缺陷，在对某次恶意任务的运算结果进行拟态裁决后仍能得到正确的输出。同时，拟态系统架构的动态性能够有效抵御共模攻击的威胁，降低攻击逃逸的概率。通过对拟态系统架构的异构冗余执行体进行替换，动态改变系统的攻击表面，使得攻击过程无法复现从而切断攻击链，达到提高系统安全性的目的。拟态系统架构中所使用的执行体或资源调度算法通过组合不同的异构资源生成执行体，决定了拟态系统动态性和异构性，是提高系统安全性的基础。在申请号为CN202010283009.3的中国专利技术专利申请文件中，公开了一种基于多级队列的拟态防御动态调度方法。该方法为：在拟态防御系统中，包括多个功能相同结构各异的异构执行体、执行体服务器的待选集合、一个多级队列容器、一个策略调度器，首先建立独立的数据库用于存储时间随机阈值和任务随机阈值，然后通过执行体之间的相似度对异构执行体服务集进行初始化，初始化的服务集在多级队列容器的第一级队列中，最后策略调度器根据多级队列容器的状态，实现对异构执行体的变换。本专利技术不依赖于拟态防御架构的反馈机制，也限制了架构中的异构执行体出现同宗同源漏洞，并且可以适应不同的任务负载，提高了防御架构的安全性和可靠性。目前的拟态调度算法一般为随机调度或基于系数的调度。其中，随机调度算法虽然简单易实现，但由于用于生成执行体的异构资源集合往往较小，如：操作系统指令集不超过10种，即使完全随机调度，同样的异构资源组合被重复调用的概率仍然相对较高；基于系数的调度算法一般是在随机调度算法的基础上，通过系统调整各种资源被调用的概率，由于调度系数往往通过机器学习等方法进行调整，调度结果往往具有偏向性，在一定程度上损失了随机性。另外，为了提高拟态系统在遭受攻击时执行体的清洗恢复速度，待调度的执行体往往提前创建好后放在执行体池中，调度算法的服务对象是执行体池，由于软硬件资源有限，执行体池一般较小，这在很大程度上限制了调度的动态性和异构性。
技术实现思路
针对现有技术中的缺陷，本专利技术的目的是提供一种面向拟态防御的两级多层资源调度方法及系统。根据本专利技术提供的一种面向拟态防御的两级多层资源调度方法，包括在拟态系统中建立调度对象，调度对象包括：执行体部署方案、后备执行体池以及工作执行体组；在三者间进行两级调度，采用多种调度策略确定多层调度目标，为拟态系统在创建、初始化、执行体清洗恢复阶段提供执行体和资源的调度服务。优选的，所述两级调度包括执行体部署方案到后备执行体池的调度和后备执行体池到工作执行体组的调度。优选的，在执行体清洗恢复阶段的执行体清洗过程中，被清洗执行体直接回退到执行体部署方案。优选的，所述执行体部署方案到后备执行体池的调度包括在为拟态应用创建执行体前，从该应用执行体的部署方案中，使用调度方法选择所需数量的执行体部署方案进行执行体创建，生成的执行体集合即为后备执行体池。优选的，所述后备执行体池到工作执行体组的调度包括在创建工作执行体时，从后备的执行体中调度选择所需数量的执行体，将其作为工作执行体，然后再重复执行体部署方案到后备执行体池的调度，对后备执行体池进行补充。优选的，多种所述调度策略具体包括以下：异构最大化调度策略：该调度策略所调度出的目标集合各种资源多种异构特征的异构度都达到最大异构；某资源特征异构最大化调度策略：该调度策略一般在无法满足全局异构最大化调度时使用；资源特征差异最大化调度策略：该调度策略调度出的目标集合满足与另一目标集合异构特征的差异最大；随机调度策略：该调度策略调度出的目标集合满足在调度对象中的随机性，通过动态、随机的异构资源对系统进行防护。优选的，所述调度策略还包括基于机器学习的调度策略。根据本专利技术提供的一种面向拟态防御的两级多层资源调度系统，包括以下模块：部署模块：在拟态系统中建立执行体部署方案、后备执行体池以及工作执行体组；调度模块：在部署模块的三者间进行两级调度；调用模块：采用多种调度策略确定多层调度目标。优选的，所述调度模块包括执行体部署方案到后备执行体池的调度模块和后备执行体池到工作执行体组的调度模块。优选的，所述调用模块包括：异构最大化调度策略模块、某资源特征异构最大化调度策略模块、资源特征差异最大化调度策略模块以及随机调度策略模块。与现有技术相比，本专利技术具有如下的有益效果：1.通过对执行体部署方案、后备执行体的两级调度，使得调度对象不仅局限于已部署好的执行体池，突破了硬件资源对调度对象范围的局限性，提高了调度结果的随机性和异构性。2.通过综合使用多种调度策略形成的多层调度，满足拟态系统初始化、清洗恢复等多种场景下的调度。多种调度策略互相弥补缺点、突出优点、有机结合，达到各场景下拟态系统的动态性和异构性最优化，最大程度保证系统安全。3.通过逆向二进制指数退避算法，对被清洗的执行体再次调度概率进行动态调整，避免了短时间高密度攻击可能带来的攻击逃逸，并且维持了调度对象范围的最大化。附图说明通过阅读参照以下附图对非限制性实施例所作的详细描述，本专利技术的其它特征、目的和优点将会变得更明显：图1为本申请实施例一种面向拟态防御的两级多层资源调度方法的交互图。具体实施方式下面结合具体实施例对本专利技术进行详细说明。以下实施例将有助于本领域的技术人员进一步理解本专利技术，但不以任何形式限制本专利技术。应当指出的是，对本领域的普通技术人员来说，在不脱离本专利技术构思的前提下，还可以做出若干变化和改进。这些都属于本专利技术的保护范围。参照图1，一种面向拟态防御的两级多层资源调度方法，通过在拟态系统创建、初始化、执行体清洗恢复等阶段提供执行体和资源的调度服务，保证了拟态系统的动态性和异构性。该方法主要包括执行体部署方案、后备执行体池、工作执行体组三者间的两级调度过程，多种调度策略形成的多层调度目标确定过程。面向拟态防御的两级多层资源调度方法在拟态系统生命周期内主要的调度对象包括：(1)执行体部署方案：执行体部署方案描述了将组成执行体的各种组件镜像以何种方式部署在哪些虚拟或物理计本文档来自技高网...

【技术保护点】
1.一种面向拟态防御的两级多层资源调度方法，其特征在于，包括在拟态系统中建立调度对象，调度对象包括：执行体部署方案、后备执行体池以及工作执行体组；在三者间进行两级调度，采用多种调度策略确定多层调度目标，为拟态系统在创建、初始化、执行体清洗恢复阶段提供执行体和资源的调度服务。/n

【技术特征摘要】
1.一种面向拟态防御的两级多层资源调度方法，其特征在于，包括在拟态系统中建立调度对象，调度对象包括：执行体部署方案、后备执行体池以及工作执行体组；在三者间进行两级调度，采用多种调度策略确定多层调度目标，为拟态系统在创建、初始化、执行体清洗恢复阶段提供执行体和资源的调度服务。


2.根据权利要求1所述的一种面向拟态防御的两级多层资源调度方法，其特征在于：所述两级调度包括执行体部署方案到后备执行体池的调度和后备执行体池到工作执行体组的调度。


3.根据权利要求1所述的一种面向拟态防御的两级多层资源调度方法，其特征在于：在执行体清洗恢复阶段的执行体清洗过程中，被清洗执行体直接回退到执行体部署方案。


4.根据权利要求2所述的一种面向拟态防御的两级多层资源调度方法，其特征在于：所述执行体部署方案到后备执行体池的调度包括在为拟态应用创建执行体前，从该应用执行体的部署方案中，使用调度方法选择所需数量的执行体部署方案进行执行体创建，生成的执行体集合即为后备执行体池。


5.根据权利要求2所述的一种面向拟态防御的两级多层资源调度方法，其特征在于：所述后备执行体池到工作执行体组的调度包括在创建工作执行体时，从后备的执行体中调度选择所需数量的执行体，将其作为工作执行体，然后再重复执行体部署方案到后备执行体池的调度，对后备执行体池进行补充。


6.根据权利要求1所述的一种面向拟态防御的两级多层资源...

【专利技术属性】
技术研发人员：朱丹江，付琳，余新胜，邵培南，解维，
申请(专利权)人：华东计算技术研究所中国电子科技集团公司第三十二研究所，
类型：发明
国别省市：上海;31