拟态安全信息系统测评方法及技术研究

信息系统在社会中发挥着重要的作用,面临的安全问题日益严重。传统信息安全防御技术主要基于已知攻击方法或漏洞进行防御,无法有效应对未知攻击的威胁,难以全面防护Web系统的安全,基于动态异构冗余架构为拟态安全信息系统提供了本质安全和内生安全。研究了拟态信息系统的架构特征,给出了拟态安全信息系统的测评方法,并对拟态属性的验证方法和技术进行了分析。

面向拟态安全防御的异构功能等价体调度算法

拟态安全防御的一个关键环节是异构功能等价体的调度,现有的调度策略缺乏对冗余体间相似度的考虑,且调度算法较为单一。基于此,提出了一种兼顾动态性和可靠性的异构功能等价体调度算法——随机种子最小相似度算法,首先随机确定种子冗余体,然后再根据相似度指标选择整体相似度最小的最终调度方案。理论分析和仿真实验表明,该算法的调度周期远高于最长相异性距离算法,而失效率远低于随机调度算法,在动态性和可靠性之间达到了较好的平衡。

拟态计算与拟态安全防御的原意和愿景

以高效能和高安全性计算为目标,提出了以多维重构函数化体系结构与动态多变体运行机制为核心的拟态计算和拟态安全防御技术体系,并对二者的概念和机理从原意和愿景的角度进行了概略介绍,最后给出了需要进一步研究的主要科学与工程技术问题。

基于机器学习算法的网络空间拟态安全分层检测技术

目前提出的网络空间拟态安全分层检测技术数据覆盖率较低,因此误差消除率较差。选取一组原始数据特征集,通过特征集构建出一套能够自主分层的数据特征子集,应用此技术来初步降低数据维度,在网络空间中,依据神经网络系统,设立多层次的数据反馈模型,利用反馈模型实现安全检测。实验结果表明,该技术能够有效提高数据覆盖率,增加误差消除率。

基于拟态安全防御的LDoS攻击防御研究

LDoS是一种新型的拒绝服务攻击(DoS),对网络空间安全造成很大的威胁,受到了众多学者的重视,已成为网络空间安全很重要的课题之一。拟态安全防御是一种网络空间主被动融合防御体系,它有效改善了网络空间威胁的被动防御状态。文中分析了LDoS攻击原理及现有检测防御方法,概述了拟态安全防御的特点。基于拟态安全防御的特点,对LDoS攻击进行防御的可行性进行了分析,希望对该领域的研究提供一些有益的启示。

一种基于拟态安全防御的DNS框架设计

目前针对DNS服务器的恶意攻击频发,如DNS缓存投毒攻击,而DNS安全拓展协议(DNSSEC)在大规模部署时仍面临许多难题.本文提出一种简单易部署的,具有入侵容忍能力的主动防御架构——拟态DNS(Mimic DNS,M-DNS)——保证DNS安全.该架构由选调器和包含多个异构DNS服务器的服务器池组成.首先选调器动态选取若干服务器并行处理请求,然后对各服务器的处理结果采用投票机制决定最终的有效响应.实验仿真表明,相比当前传统架构,M-DNS可以降低缓存投毒攻击成功率约10个数量级.

动态异构冗余拟态安全控制器模型的仿真分析

本文主要基于SDN控制器层流规则,针对该控制器模型所受到的篡改攻击情况以及单点脆弱问题,提出可以构建动态异构冗余拟态安全控制器模型,展开对该控制器模型的系统化分析,并且采取针对性的判决机制,有效提升该控制器模型的稳定可靠性。由一系列的分布式冗余架构及相应的一致性完成了对该系统判决机制的稳定可靠性的决策。CFDA完成了系列性的完全数据处理及检测,以此提升了该控制器的稳定性和集群可拓展性、动态性。仿真研究结果显示,此种控制器很大程度地增强了系统的整体使用安全性、可靠性。

基于功能切片的拟态防御体系结构及安全等级评估方法

网络空间安全领域,邬江兴院士提出了拟态防御理论及动态异构冗余(DHR,dynamic heterogeneous redundancy)架构。目前对该机制的实现都着眼于系统全栈化,有复杂度大与成本高等问题。由于应用层具有可控性,有利于被引入该机制。因此,在应用层上通过对业务功能进行分割切片,再引入DHR架构,构建出了基于功能切片的拟态防御体系结构。同时,提出了一种拟态安全等级评估方法,并用此方法进行分析评估,最后通过实验验证了该体系结构的可行性和安全性。

拟态防御理论在企业内网安全防护中的应用

随着企业网络规模的不断扩大,企业内网的重要性日益凸显,但企业内网面临的威胁却层出不穷.目前业内采用的传统安全策略和常规安全防护技术不能够完全识别和防御这些威胁.在企业内网严峻的安全形势下,本文采用了引起业内广泛关注的拟态安全防御思想,提出了适用于企业内网的拟态网络模型,并基于模型实现了企业内网安全防护原型系统.实验结果表明,企业内网安全防护系统能够防御假冒用户、DDOS、网络蠕虫等多种攻击,并可以有效的阻断未知攻击,从而对于企业内网信息安全防护提供有力保障.

智慧交通拟态安全芯片系统原型设计

拟态计算(mimic computing)是一种具备高安全属性的新型计算体系结构,其通过异构冗余构建了具备安全属性的计算空间,从理论上解决了信息系统安全的可信、可测问题。智慧交通系统对于网络安全尤其重视,拟态安全架构可以大大降低安全风险,但是智慧交通系统对于整体系统的体积、功耗、成本比较敏感,而使用分立器件搭建异构冗余处理系统必然带来系统复杂度、成本、功耗的增加。一种比较有效的解决方法是将整个拟态系统芯片化,能够大大降低系统成本、功耗。论文重点介绍了基于FPGA的原型设计的智慧交通拟态安全芯片系统。仿真实验结果表明,该系统能够成功实现,且资源占用情况合理,满足智慧交通领域拟态防御系统的要求。

基于主动防御的高安全分布式存储系统研究

面向重要信息系统中海量数据高安全和高性能存储与访问需求,基于主动防御理论体系,结合软件定义分布式存储技术,提出基于主动防御的高安全分布式存储系统架构设计,在分布式存储硬件平台和元数据管理等层面,引入异构功能等价执行体、拟态多模判决和动态调度等设计,从存储系统架构层面,避免传统分布式存储单一架构存在的共错风险,有效提升分布式存储系统对未知后门和漏洞等潜在威胁和风险的抵御能力。

MNOS：拟态网络操作系统设计与实现

控制层的漏洞利用攻击,如恶意APP、流表篡改等是软件定义网络(software defined networking,SDN)面临的主要威胁之一,而传统基于漏洞修复技术的防御策略无法应对未知漏洞或后门.提出一种基于拟态防御思想的网络操作系统安全架构——拟态网络操作系统(mimic network operating system,MNOS)——保障SDN控制层安全.该架构采用异构冗余的网络操作系统(network operating system,NOS),并在传统的SDN数据层和控制层间增设了拟态层,实现动态调度功能.首先拟态层动态选取若干NOS作为激活态并行提供服务,然后根据各NOS的处理结果决定最终的有效响应返回底层交换机.实验评估表明:在增加有限的时延开销下,MNOS可以有效降低SDN控制层被成功攻击的概率,并具备良好的容错/容侵能力;在此基础上,提出的选调策略和判决机制,可以有效提升系统的异构度和判决的准确性,进一步提升安全性能.

软件定义网络下的拟态防御实现架构

针对传统防御技术难以应对未知漏洞和后门的问题,拟态安全防御(MSD,mimic security defense)通过构造动态异构冗余模型,提高系统的不确定性,增加攻击者的攻击难度和成本,提升网络安全性能。基于软件定义网络,提出了一种拟态防御的实现架构,首先,按照非相似余度准则构建异构冗余执行体,而后借助软件定义网络的集中管理控制实现动态选调和多模判决等功能。实验验证了架构的入侵容忍能力和可用性。

基于拟态防御原理的分布式多接入边缘计算研究

多接入边缘计算在网络边缘提供高性能的网络资源,但由于其位置管理分散,所以对安全性能要求较高。基于拟态防御原理提出了分布式多接入边缘计算的拟态防御架构,通过分割数据与校验填充,转发至多个边缘节点处理,并根据校验分析实现了多模裁决与动态调度的拟态防御机制。仿真结果表明,在增加时延成本的情况下,该架构可有效降低数据被篡改和被泄露的概率。提出了基于置信度与时延成本的边缘节点调度策略,提升了系统的效率与安全性能。

基于clang的可执行文件碎片化编译技术

提出可执行文件碎片化编译技术,将可执行文件中的静态链接在编译时自动转为动态链接。每个动态库采用多样化编译至若干个变体,运行时随机调用。增加软件运行时状态的不确定性,更大程度地保护软件。

基于FPGA的CAN总线通信系统

CAN总线是目前应用最广泛的现场总线之一,其性能和安全性已经得到了越来越多应用的证实。为了实现这种具有较高可靠性的通信,在Xilinx公司提供的VC709上通过AXI4总线实现了与CAN模块的通信,成功完成上位机与FPGA之间的CAN通信并运用到拟态安全系统中。结果表明,CAN总线和通信系统能够实现数据安全高速的收发,在拟态安全控制领域有着很好的应用。

一种基于GTP协议的“动态隧道”防御方法

针对移动通信网中用户分组数据在x GSN设备中的安全传输和隐私保护问题,提出一种基于GTP协议的"动态隧道"防御方法,构建拟态网关,让SGSN和GGSN之间用于传输用户分组数据的隧道标志(TEID)动态变化,打破TEID与用户身份标志的静态对应关系,从而保护用户分组数据。理论分析和仿真结果表明,"动态隧道"方法能提高系统安全性,有效保护用户隐私信息,而且通信开销和延时较低。