CN111083113A - 拟态分发系统、方法及介质 - Google Patents

Abstract

本发明提供了一种拟态分发系统，包括：请求预处理模块：接收来自用户的服务请求，对服务请求进行预处理，然后发送至请求分发模块；请求分发模块：为预处理后的服务请求添加标识UUID，然后将服务请求分发至拟态执行模块上；拟态执行模块：对服务请求进行响应，得出响应结果，然后调用响应结果处理模块；响应结果处理模块：对响应结果进行表决，并返回响应结果给用户。本发明通过传统防御手段完成对服务请求执行的入口级安全防护，隔绝了已知web应用安全威胁；构建客户端服务请求1转N分发机制，根据管理服务提供的运行相关服务器的执行资源动态配置拟态执行模块，为相应的拟态执行模块提供了统一的服务请求分发。

Description

拟态分发系统、方法及介质

技术领域

本发明涉及网络安全技术领域，具体地，涉及一种拟态分发系统、方法及介质。

背景技术

在如今的互联网时代，网络空间安全问题日益成为最为严峻的挑战之一。信息系统的运行可能受到借助软硬件漏洞和后门进行的安全威胁攻击，如：基于应用层HTTP协议的网页篡改、蠕虫病毒、SQL注入，基于应用支撑层的web容器、分布式文件系统的后门和漏洞攻击，基于基础层的云容器、操作系统的后门和漏洞攻击。

拟态防御技术为应对网络空间中已知和未知的漏洞和后门的威胁，以多样化技术为基础，采用“动态异构冗余”(Dynamic Heterogeneous Redundancy，DHR)的系统架构，使用动态性、异构性和随机性等特性使系统具有内生的安全机理来提高系统的安全性。

拟态防御I【P】O模型包括输入激励、功能等价执行体、输出裁决器和拟态括号。拟态防御I【P】O模型中输入激励和执行体之间需存在一层输入代理，为括号内的执行体分发外部输入激励信息。功能等价执行体通过对运行节点的异构化使得系统具有了异构性的内生防御机制，但是功能等价执行体之间存在着同步和并发等问题，缺少统一的分发机制。

针对上述现有技术中的缺陷，本发明要解决的技术问题体现在以下几点：

1、本发明的分发系统在输入激励和执行体之间提供了一层请求分发机制，为拟态执行模块提供统一的服务请求分发。

2、本发明基于B/S通信协议的服务请求的接收，提供对已知web安全威胁攻击的主动阻断、诊断和清洗功能。

3、本发明提供N个拟态执行模块运行的服务请求响应在拟态择多策略下将服务请求响应返回给客户端。

专利文献(申请号：201810038734.7)公开了一种高效的实现拟态防御模型分发器的方法。本发明步骤如下：步骤(1)对于每个客户端发来的数据包，将其存放在分发器中，在分发器中维护一个虚拟SessionId到真实SessionId的映射表，客户端发来的请求中SessionId为虚拟SessionId，在映射表中替换为真实SessionId；步骤(2)当用户请求过大时，我们采取了“头复制，体链接”的方式，只对HTTP请求头进行复制，而请求体的数据采用链接方式即可。当分发器将请求复制分发给N个服务器后，此请求所占用空间即可收回；步骤(3)经过如上所述的两次预处理后，分发器就可以高效的将用户请求发送到服务器后端的执行体上，实现分发器的功能。本发明尽可能降低延时、提高效率，为整套系统提供了更加高效的解决方案。

技术要点比较：

1、分发：本发明基于服务请求唯一标识(UUID)来界定请求是否来自同一客户端。

2、资源调度：本发明中对拟态执行模块的请求分发基于管理服务对拟态执行模块的资源调度。

3、接收服务请求响应：本发明请求响应处理模块接收来自各个拟态执行模块的N个服务请求响应，调用表决服务得到最终的服务请求响应结果，并将其返回给客户端。

专利文献(申请号：201910528530.6)公开了一种拟态安全可靠转发系统及方法，该系统包括客户端、服务器、服务器健康检测模块和用于模块间通信管理的连接管理模块；当客户端访问服务器时，所述服务器响应客户端发送过来的请求，服务器生成Session并通过算法将Session保存到Session库中，所述服务器为一个以上，所有所述服务器通过服务器健康检测模块与客户端通讯连接；所述服务器健康检测模块为分发器，用于将所述客户端的请求分布到一个以上所述服务器上，并能够检测所有所述服务器Web服务是否正常，当客户端访问的任一所述服务器现问题时，分发器立刻将该访问转移到其他Web服务正常的服务器上，保证了服出务器能够及时更新Session库，避免了Session的过期和异常。

技术要点比较：

1、分发：客户端发起请求到分发服务器后，分发服务器复制服务请求为N个，分别向N个拟态执行模块分发服务请求。

2、客户端：本发明中客户端仅需完成发起服务请求和接收服务请求响应这两个操作，因此客户端对于后端拟态分发系统是无感知的，可以最大化的隐藏拟态分发系统，提高防御优势。

专利文献CN109408452A(申请号：201810082096.9)公开了一种拟态工控处理器及数据处理方法，涉及工控处理器领域，包括：多个CPU内核、总线互连模块、拟态功能模块和多个处理器接口，拟态功能模块单元，实现处理器输入或者输出数据的拟态化计算与处理，当向处理器接口输出数据时，对接收到的多个下行数据进行拟态判决，根据判决结果向处理器接口输出正确状态的下行数据；当接收处理器接口输入数据时，确定流量处理能力满足预设条件的CPU内核的内核标识，再通过总线互联模块将接收到的上行数据发送给与上行数据携带的内核标识所对应的CPU内核。

发明内容

针对现有技术中的缺陷，本发明的目的是提供一种拟态分发系统、方法及介质。

根据本发明提供的拟态分发系统，包括：

请求预处理模块：接收来自用户的服务请求，对服务请求进行预处理，然后发送至请求分发模块；

请求分发模块：为预处理后的服务请求添加标识UUID，然后将服务请求分发至拟态执行模块上；

拟态执行模块：对服务请求进行响应，得出响应结果，然后调用响应结果处理模块；

响应结果处理模块：对响应结果进行表决，并返回响应结果给用户。

优选地，所述请求预处理模块包括：对服务请求进行过滤，将过滤后的服务请求转发至请求分发模块。

优选地，所述过滤方式包括根据已知威胁进行过滤。

优选地，所述请求的接收和发送方式包括客户端和浏览器。

优选地，所述请求分发模块包括：

根据服务请求的服务器资源进行分发，将具有标识UUID的服务请求复制并分发到拟态执行模块上。

优选地，所述服务器资源包括：标识UUID和服务请求。

优选地，所述拟态执行模块为一个或者多个。

优选地，所述响应结果处理模块包括：接收来自拟态执行模块的具有相同标识UUID的服务请求的响应结果，对响应结果进行一致性表决，获取唯一的服务请求响应结果，并将唯一的服务请求响应结果转发给用户。

根据本发明提供的拟态分发方法，包括：

请求预处理步骤：接收来自用户的服务请求，对服务请求进行预处理，然后执行请求分发步骤；

请求分发步骤：为预处理后的服务请求添加标识UUID，然后执行拟态执行步骤；

拟态执行步骤：对具有标识UUID的服务请求进行响应，得出响应结果，然后执行响应结果处理步骤；

响应结果处理步骤：对响应结果进行表决，并返回响应结果给用户。

与现有技术相比，本发明具有如下的有益效果：

1、通过传统防御手段完成对服务请求执行的入口级安全防护，隔绝了已知web应用安全威胁；

2、构建客户端服务请求1转N分发机制，根据管理服务提供的运行相关服务器的执行资源动态配置拟态执行模块，为相应的拟态执行模块提供了统一的服务请求分发；

3、分发系统全程基于UUID进行服务请求分发，以UUID识别拟态执行模块执行的服务请求和服务请求响应的对应关系，并调用表决服务得到服务请求响应结果。

附图说明

通过阅读参照以下附图对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：

图1为拟态分发系统流程图。

具体实施方式

下面结合具体实施例对本发明进行详细说明。以下实施例将有助于本领域的技术人员进一步理解本发明，但不以任何形式限制本发明。应当指出的是，对本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变化和改进。这些都属于本发明的保护范围。

如图1所示，请求预处理模块接收来自客户端的服务请求，并过滤成有效服务请求，然后发送至请求分发模块，请求分发模块根据管理服务运行的服务请求的相关服务器的执行资源对服务请求进行分发，分发至异构执行体，异构执行体对服务请求进行响应，得出响应结果，表决服务对响应结果进行表决，然后将表决后的响应结果返回给客户端。

根据本发明提供的拟态分发系统，构建异构化N冗余拟态执行模块分发环境，服务请求预处理模块通过web应用防火墙在应用层的安全规则进行有效的数据过滤，实现对web应用的安全防护，并将经过过滤后不含有已知威胁的请求转发至请求分发模块。

请求分发模块通过改造Nginx反向代理服务构建客户端服务请求1转N分发机制，构建出具有相同服务请求唯一标识(uuid)的N个服务请求，同时根据管理服务提供的运行相关服务器的执行资源构建出具有服务请求唯一标识、N个拟态执行模块、表决服务的运行节点和执行资源的服务请求分配配置文件。

{

"uuid"：{"id"："8758a9f7-da4b-11e9-8926-3c970ec4052a"，"app_name"："ybs"}

"heterogeneity"：[{"ip"："192.168.2.28"，"port"："8080"}，

{"ip"："192.168.2.75"，"port"："8082"}，

{"ip"："192.168.2.32"，"port"："3080"}]，

"judge"：{"ip"："192.168.2.35"，"port"："8080"}

}

请求分发模块基于服务请求分配配置文件中执行体的地址信息进行服务请求的分发。

在拟态执行模块执行完成后，请求响应处理模块收到来自N个拟态执行模块的服务请求响应，在接收到N个具有相同服务请求唯一标识的服务请求响应后将其打包，发送给外部的表决服务，接收表决服务返回的服务请求响应结果并将其返回给客户端(或浏览器)。

经过如上所述的分发系统的处理后，可以将客户端服务请求发送到拟态执行模块上，将最终的服务请求响应结果返回给客户端(或浏览器)，实现分发系统与客户端(或浏览器)的交互，防止因客户端和拟态执行模块直接通信而引入的安全威胁。

本领域技术人员知道，除了以纯计算机可读程序代码方式实现本发明提供的系统、装置及其各个模块以外，完全可以通过将方法步骤进行逻辑编程来使得本发明提供的系统、装置及其各个模块以逻辑门、开关、专用集成电路、可编程逻辑控制器以及嵌入式微控制器等的形式来实现相同程序。所以，本发明提供的系统、装置及其各个模块可以被认为是一种硬件部件，而对其内包括的用于实现各种程序的模块也可以视为硬件部件内的结构；也可以将用于实现各种功能的模块视为既可以是实现方法的软件程序又可以是硬件部件内的结构。

以上对本发明的具体实施例进行了描述。需要理解的是，本发明并不局限于上述特定实施方式，本领域技术人员可以在权利要求的范围内做出各种变化或修改，这并不影响本发明的实质内容。在不冲突的情况下，本申请的实施例和实施例中的特征可以任意相互组合。

Claims (10)

1.一种拟态分发系统，其特征在于，包括：

请求预处理模块：接收来自用户的服务请求，对服务请求进行预处理，然后发送至请求分发模块；

请求分发模块：为预处理后的服务请求添加标识UUID，然后将服务请求分发至拟态执行模块上；

拟态执行模块：对服务请求进行响应，得出响应结果，然后调用响应结果处理模块；

响应结果处理模块：对响应结果进行表决，并返回响应结果给用户。

2.根据权利要求1所述的拟态分发系统，其特征在于，所述请求预处理模块包括：对服务请求进行过滤，将过滤后的服务请求转发至请求分发模块。

3.根据权利要求2所述的拟态分发系统，其特征在于，所述过滤方式包括根据已知威胁进行过滤。

4.根据权利要求1所述的拟态分发系统，其特征在于，所述请求的接收和发送方式包括客户端和浏览器。

5.根据权利要求1所述的拟态分发系统，其特征在于，所述请求分发模块包括：

根据服务请求的服务器资源进行分发，将具有标识UUID的服务请求复制并分发到拟态执行模块上。

6.根据权利要求5所述的拟态分发系统，其特征在于，所述服务器资源包括：标识UUID和服务请求。

7.根据权利要求1所述的拟态分发系统，其特征在于，所述拟态执行模块为一个或者多个。

8.根据权利要求1所述的拟态分发系统，其特征在于，所述响应结果处理模块包括：接收来自拟态执行模块的具有相同标识UUID的服务请求的响应结果，对响应结果进行一致性表决，获取唯一的服务请求响应结果，并将唯一的服务请求响应结果转发给用户。

9.一种拟态分发方法，其特征在于，包括：

请求预处理步骤：接收来自用户的服务请求，对服务请求进行预处理，然后执行请求分发步骤；

请求分发步骤：为预处理后的服务请求添加标识UUID，然后执行拟态执行步骤；

拟态执行步骤：对具有标识UUID的服务请求进行响应，得出响应结果，然后执行响应结果处理步骤；

响应结果处理步骤：对响应结果进行表决，并返回响应结果给用户。

10.一种存储有计算机程序的计算机可读存储介质，其特征在于，所述计算机程序被处理器执行时实现权利要求9所述的方法的步骤。

Images