[发明专利]一种面向拟态防御的两级多层资源调度方法及系统

说明书

本发明提供了一种面向拟态防御的两级多层资源调度方法及系统，包括在拟态系统中建立调度对象，包括：执行体部署方案、后备执行体池以及工作执行体组；在三者间进行两级调度，采用多种调度策略确定多层调度目标，为拟态系统在创建、初始化、执行体清洗恢复阶段提供执行体和资源的调度服务。本方法通过对执行体部署方案、后备执行体的两级调度，提高了调度结果的随机性和异构性。通过综合使用多种调度策略形成的多层调度，满足拟态系统初始化、清洗恢复等多种场景下的调度。

技术领域

本发明涉及网络安全技术，具体地，涉及一种面向拟态防御的两级多层资源调度方法及系统。

背景技术

为应对日益增多的网络攻击所造成的信息泄露、系统失效等损失，以及传统被动防御技术无法有效防御未知漏洞威胁的不足，我国自主研发的拟态防御理论经试验和实战验证，能够有效防御恶意攻击威胁，尤其是防御利用未知漏洞后门攻击的威胁，使得网络攻击的成功率呈指数级下降。

拟态防御理论的核心是“动态异构冗余”(Dynamic Heterogeneous Redundancy，DHR)的系统架构。基于“独立开发的系统发送共享设计缺陷导致共模故障情况的概率很低”的公识，拟态系统架构的异构性能够有效地将已知或未知的差模攻击造成的风险降低到可接受范围。通过在拟态系统架构的异构冗余执行体组上执行相同的任务，即使执行体组中执行元素各自存在不同的缺陷，在对某次恶意任务的运算结果进行拟态裁决后仍能得到正确的输出。同时，拟态系统架构的动态性能够有效抵御共模攻击的威胁，降低攻击逃逸的概率。通过对拟态系统架构的异构冗余执行体进行替换，动态改变系统的攻击表面，使得攻击过程无法复现从而切断攻击链，达到提高系统安全性的目的。拟态系统架构中所使用的执行体或资源调度算法通过组合不同的异构资源生成执行体，决定了拟态系统动态性和异构性，是提高系统安全性的基础。

在申请号为CN202010283009.3的中国发明专利申请文件中，公开了一种基于多级队列的拟态防御动态调度方法。该方法为：在拟态防御系统中，包括多个功能相同结构各异的异构执行体、执行体服务器的待选集合、一个多级队列容器、一个策略调度器，首先建立独立的数据库用于存储时间随机阈值和任务随机阈值，然后通过执行体之间的相似度对异构执行体服务集进行初始化，初始化的服务集在多级队列容器的第一级队列中，最后策略调度器根据多级队列容器的状态，实现对异构执行体的变换。本发明不依赖于拟态防御架构的反馈机制，也限制了架构中的异构执行体出现同宗同源漏洞，并且可以适应不同的任务负载，提高了防御架构的安全性和可靠性。

目前的拟态调度算法一般为随机调度或基于系数的调度。其中，随机调度算法虽然简单易实现，但由于用于生成执行体的异构资源集合往往较小，如：操作系统指令集不超过10种，即使完全随机调度，同样的异构资源组合被重复调用的概率仍然相对较高；基于系数的调度算法一般是在随机调度算法的基础上，通过系统调整各种资源被调用的概率，由于调度系数往往通过机器学习等方法进行调整，调度结果往往具有偏向性，在一定程度上损失了随机性。另外，为了提高拟态系统在遭受攻击时执行体的清洗恢复速度，待调度的执行体往往提前创建好后放在执行体池中，调度算法的服务对象是执行体池，由于软硬件资源有限，执行体池一般较小，这在很大程度上限制了调度的动态性和异构性。

发明内容

针对现有技术中的缺陷，本发明的目的是提供一种面向拟态防御的两级多层资源调度方法及系统。

根据本发明提供的一种面向拟态防御的两级多层资源调度方法，包括在拟态系统中建立调度对象，调度对象包括：执行体部署方案、后备执行体池以及工作执行体组；在三者间进行两级调度，采用多种调度策略确定多层调度目标，为拟态系统在创建、初始化、执行体清洗恢复阶段提供执行体和资源的调度服务。

优选的，所述两级调度包括执行体部署方案到后备执行体池的调度和后备执行体池到工作执行体组的调度。

优选的，在执行体清洗恢复阶段的执行体清洗过程中，被清洗执行体直接回退到执行体部署方案。