一种基于系统重载的拟态安全实现系统及方法
【专利摘要】本发明公开了一种基于系统重载的拟态安全实现系统及方法，其中系统包括：存储模块，用于将不同类型的操作系统存储在网络设备的不同存储介质中或者同一存储介质的不同地址上；启动引导模块，预设加载上述操作系统的CPU运行程序，用于依据用户指示选择存储模块内的操作系统，并根据选择的操作系统，启动该CPU运行程序将所述操作系统加载到网络设备上；以及重载选择以及操作控制模块，用于通过重载选择以及操作控制模块实现下一次启动的操作系统及启动时间的选择，便于实现同一个网络设备上的操作系统重载。本发明从系统软件层面的，不断变换网络设备的操作系统以及运行软件，从而使得网络设备具备主动性、变化性以及随机性的防御能力，提高网络安全的可靠性。
【专利说明】一种基于系统重载的拟态安全实现系统及方法
【技术领域】
[0001]本发明涉及一种基于系统重载的拟态安全实现系统及方法。
【背景技术】
[0002]随着互联网的发展，网络越来越普及，相应的网络技术发展也越来越高端，但是随之的网络安全问题也愈来愈严峻，目前网络安全问题主要是不管从硬件到软件均存在一定的后门或者漏洞，黑客往往会利用软硬件的后门与漏洞实施攻击。究其当前网络设备无法抵御外部攻击的主要原因，皆是因为目前的网络设备或者系统均采用固定的硬件架构形式或者软件系统，易于被黑客攻破，且当前的网络设备或者系统对待外界攻击的防御形式仅为利用已知的后门及漏洞进行防御或漏洞补丁，其形式可称为被动防御，但是被动防御往往会给黑客带来可乘之机。
【发明内容】
[0003]鉴于已有技术存在的缺陷，本发明的目的是要提供一种基于系统重载的拟态安全实现系统及方法，本发明从系统软件层面的，不断变换网络设备的操作系统以及运行软件，从而使得网络设备具备主动性、变化性以及随机性的防御能力，提高网络安全的可靠性。
[0004]为了实现上述目的，本发明的技术方案:
[0005]一种基于系统重载的拟态安全实现系统，其特征在于:
[0006]包括
[0007]存储模块，用于将不同类型的操作系统存储在网络设备不同存储介质中或者同一存储介质的不同地址上；
[0008]启动引导模块，预设加载上述操作系统的CPU运行程序，用于依据用户指示选择存储模块内的操作系统，并根据选择的操作系统，启动该CPU运行程序将所述操作系统加载到网络设备上；
[0009]以及重载选择以及操作控制模块，用于通过重载选择以及操作控制模块实现下一次启动的操作系统及启动时间的选择，便于实现同一个网络设备上的操作系统重载。
[0010]所述重载选择以及操作控制模块执行重载操作是依据系统重载指示而启动内部预设的加载程序实现的，所述重载指示下达包括用户手动下达以及用户通过软件程序下达。
[0011]所述手动下达可通过设置对应不同操作系统的多个硬件按钮实现，每一硬件按钮对应一个操作系统的加载程序；所述软件程序下达可通过改变重载选择以及操作控制模块内加载程序的系统选择参数和启动时间参数，来实现下一次操作系统的重载。
[0012]所述系统还包括数据流控制模块，该数据流控制模块用于在系统重载时，将网络设备的数据平面与控制平面分隔开，使得数据平面独立实现交换功能，控制平面实现路由功能，以保证系统重载时候系统数据流的完整性；当系统重载完成后再由控制平面发送指令给数据平面，用以恢复控制平面对数据的控制。
[0013]一种基于系统重载的拟态安全实现方法，其特征在于:
[0014]包括
[0015]S1、将不同类型的操作系统存储在网络设备的不同存储介质中或者同一存储介质的不同地址上；
[0016]S2、预设加载上述操作系统的CPU运行程序，依据用户指示选择存储模块内的操作系统，并根据选择的操作系统，启动该CPU运行程序将所述操作系统加载到网络设备上；
[0017]S3、在完成所选择的操作系统的加载后对网络设备进行重载操作。
[0018]所述重载操作是依据系统重载指示而启动预设的加载程序实现的，所述重载指示下达包括用户手动下达以及用户通过软件程序下达。
[0019]所述手动下达可通过设置对应不同操作系统的多个硬件按钮实现，每一硬件按钮对应一个操作系统的加载程序；所述软件程序下达可通过改变重载选择以及操作控制模块内加载程序的系统选择参数和启动时间参数，来实现下一次操作系统的重载。
[0020]所述方法还包括S4:在系统重载时，将网络设备的数据平面与控制平面分隔开，使得数据平面独立实现交换功能，控制平面实现路由功能，以保证系统重载时候网络设备数据流的完整性；当系统重载完成后再由控制平面发送指令给数据平面，以恢复控制平面对数据的控制。
[0021 ] 与现有技术相比，本发明的有益效果:
[0022]本发明改变了现有网络设备单一固定的软件操作系统，易被黑客攻击的缺陷，以系统重载形式，为网络设备提供的动态性、非确定性的软件操作系统，便于网络设备以主动防御且可控的方式进行动态变化，从而大幅度的增加黑客攻击难度和成本，提高网络设备安全可靠性。
【专利附图】
【附图说明】
[0023]图1为本发明所述系统的电路原理示意图；
[0024]图2为本发明实施例所述网络设备的电路原理示意图；
[0025]图3为本发明所述实施例中的数据流控制模块的数据流原理示意图；
[0026]图4为本发明所述方法主要步骤流程示意图。
【具体实施方式】
[0027]为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图，对本发明进行进一步详细说明。
[0028]鉴于现有网络设备或者系统多为单一固定的操作系统，其抵御外部攻击所采用的方法或者技术均是针对已知的后门或者漏洞进行防御或者漏洞补丁，存在一定的滞后性、非主动性或者叫做被动防御，为了有效解决上述被动防御形式所存在的问题，本发明提出了以多种操作系统不定时、非确定性更换为基本原则的系统重载实现系统及方法。
[0029]本发明是通过拟态安全来主动抵御未知的后门与漏洞的。所谓拟态就是一种生物模仿另一种生物的外观和行为以获得生存好处的现象。本发明所述拟态的基本思想是以提供目标环境的动态性、非确定性、异构性、非持续性为目的，通过网络、平台、环境、软件、数据等结构的主动跳变或快速迁移实现拟态环境，以防御者可控的方式进行动态变化，对攻击者则表现为难以观察和预测的目标变化，从而大幅度的增加包括未知的可利用漏洞和后门在内的攻击难度和成本。
[0030]具体的，如图1所示，一种基于系统重载的拟态安全实现系统，其包括存储模块、启动引导模块、重载选择以及操作控制模块以及数据流控制模块。
[0031]所述存储模块，用于将不同类型的操作系统存储在网络设备不同存储介质中或者同一存储介质的不同地址上；通常来说，网络设备一般都是带有嵌入式操作系统的软硬件产品。为了实现其操作系统的重新加载，首先要将多个操作系统保存到其存储空间中，如FLASH、SD卡等存储介质中。但必须保证多个操作系统的存储，要分地址、分介质的存储(实现多个拟态变体分别存储)即存储在不同存储介质中或者同一存储介质的不同地址上；同时也可要求这多个操作系统的类型、版本至少有一个不一样。相应的，同时内部需要调用的系统软件即CPU运行程序也要求版本不一样。这样的话，由于操作系统及系统软件的多样性，从而加大网络攻击的难度。
[0032]例如如图2所示，网络设备其主要包括CPU芯片、CPLD芯片以及存储介质，其中包括FLASH、uBoot以及SD卡三种存储介质，可使得FLASH中的地址I存储linux3.x系统，FLASH中的地址2存储VxWorks2.x系统，FLASH中的地址3存储WinCE6.x系统，SD卡中的地址I存储linux2.X系统等，同时uBoot用于存储加载程序。
[0033]所述启动引导模块，内部预设加载上述操作系统的CPU运行程序，用于依据用户指示选择存储模块内的操作系统，并根据选择的操作系统，启动该CPU运行程序将所述操作系统加载到网络设备上，该用户指示在实现系统首次运行时可通过硬件按钮或者网络接口下达，指定选用何种操作系统；在系统重载阶段可由重载选择以及操作控制模块进行选择控制，即按照系统重载指示选择加载相应的操作系统。
[0034]进一步的，所述启动引导模块还可将选择的操作系统加载到网络设备的不同存储介质、或同存储介质不同地址上进行引导操作。
[0035]所述重载选择以及操作控制模块，用于通过重载选择以及操作控制模块实现下一次启动的操作系统及启动时间的选择，便于实现同一个网络设备上的操作系统重载。
[0036]所述重载选择以及操作控制模块执行重载操作是依据系统重载指示而启动内部预设的加载程序实现的，所述重载指示下达包括用户手动下达以及用户通过软件程序下达。
[0037]所述手动下达可通过设置对应不同操作系统的多个硬件按钮实现，每一硬件按钮对应一个操作系统的加载程序；所述软件程序下达可通过改变重载选择以及操作控制模块内加载程序的系统选择参数和启动时间参数，来实现下一次操作系统的重载。
[0038]具体的，启动引导模块完成选定的操作系统加载引导操作后，等待下一次重载命令，即系统重载指示的下达，当采用手动下达重载指示时，相应设置若干硬件按钮与各个操作系统——对应的加载控制程序，即硬件按钮I对应linux3.X系统，硬件按钮2对应Vxfforks2.X系统，硬件按钮3对应WinCE6.x系统，硬件按钮4对应linux2.x系统，当需要重载时，用户按下硬件按钮1，对应的加载控制程序触发启动引导模块按照选定的linux3.X系统，将其加载到网络设备上；当采用软件程序下达重载指示时，一方面可在重载选择以及操作控制模块内设置相应的加载程序，设定在不同时间段内采用何种操作系统或者随机地从若干操作系统中任意调用一种操作系统进行加载；另一方面，可通过网络接口对现有的重载选择以及操作控制模块内设置的加载程序进行修改，即若原定设定下一时刻需要加载VxWorks2.X系统,但是现在修改为linux3.x系统等。其下一次启动的操作系统,下一次启动的时间等条件均可按照用户需要进行设定。
[0039]但是上述过程并不是下电，是一个系统重载的过程，那么为了保证当网络设备准备系统重载时到系统重载结束，整个过程，保证数据流完整通过设备，不发生丢包现象。
[0040]所述系统还包括数据流控制模块，该数据流控制模块相当于二层数据交换机的作用，用于在系统重载时，将系统的数据平面与控制平面分隔开，使得数据平面独立实现交换功能，控制平面实现路由功能，以保证系统重载时候系统数据流的完整性；当系统重载完成后再由控制平面发送指令给数据平面，以恢复控制平面对数据的控制。
[0041]为了达到数据的完整性，需要将该设备的数据平面和控制平面分开。数据平面可以独立实现交换功能，控制平面实现路由功能。系统重载影响控制平面的程序，但不影响数据平面的功能，以此来保证系统重载时，数量流量不会断开。如图3，系统重载时，控制平面不对数据平面产生作用时，数据平面的将以广播的方式将数据转发到各个接口上去。其中虚线是控制平面起作用时，从EthO进来的数据，只从Ethl输出。这个路由过程由控制平面下发控制指令。由于控制平面进行系统重载，无法下发控制指令。故重载时，在数据平面上使得从EthO进入的数据会从Ethl、Eth2和Eth3三个网口都输出，实现数据流的完整性。
[0042]同时基于上述原理，本发明还设计了一种基于系统重载的拟态安全实现方法，其特征在于:
[0043]包括
[0044]S1、将不同类型的操作系统存储在网络设备的不同存储介质中或者同一存储介质的不同地址上；通常来说，网络设备一般都是带有嵌入式操作系统的软硬件产品。为了实现其操作系统的重新加载，首先要将多个操作系统保存到其存储空间中，如FLASH、SD卡等存储介质中。但必须保证多个操作系统的存储，要分地址、分介质的存储(实现多个拟态变体分别存储)即存储在不同存储介质中或者同一存储介质的不同地址上；同时也可要求这多个操作系统的类型、版本至少有一个不一样。相应的，同时内部需要调用的系统软件即CPU运行程序也要求版本不一样。这样的话，由于操作系统及系统软件的多样性，从而加大网络攻击的难度。
[0045]例如如图2所示，网络设备其主要包括CPU芯片、CPLD芯片以及存储介质，其中包括FLASH、uBoot以及SD卡三种存储介质，可使得FLASH中的地址I存储linux3.x系统，FLASH中的地址2存储VxWorks2.x系统，FLASH中的地址3存储WinCE6.x系统，SD卡中的地址I存储linux2.X系统等，同时uBoot用于存储加载程序。
[0046]S2、在网络设备预设加载上述操作系统的CPU运行程序，依据用户指示选择存储模块内的操作系统，并根据选择的操作系统，启动该CPU运行程序将所述操作系统加载到网络设备上。该用户指示在实现系统首次运行时可通过硬件按钮或者网络接口下达，指定选用何种操作系统；在系统重载阶段可由重载选择以及操作控制模块进行选择控制，即按照系统重载指示选择加载相应的操作系统。
[0047]S3、在完成所选择的操作系统的加载后对网络设备进行重载操作。
[0048]所述重载操作是依据系统重载指示而启动预设的加载程序实现的，所述重载指示下达包括用户手动下达以及用户通过软件程序下达。
[0049]所述手动下达可通过设置对应不同操作系统的多个硬件按钮实现，每一硬件按钮对应一个操作系统的加载程序；所述软件程序下达可通过改变重载选择以及操作控制模块内加载程序的系统选择参数和启动时间参数，来实现下一次操作系统的重载。
[0050]具体的，在完成选定的操作系统加载引导操作后，等待下一次重载命令，即系统重载指示的下达，当采用手动下达重载指示时，相应设置若干硬件按钮与各个操作系统一一对应的加载控制程序，即硬件按钮I对应linux3.X系统，硬件按钮2对应VxWorks2.x系统，硬件按钮3对应WinCE6.X系统，硬件按钮4对应linux2.x系统，当需要重载时，用户按下硬件按钮1，对应的加载控制程序触发启动引导模块按照选定的linux3.X系统，将其加载到网络设备上；当采用软件程序下达重载指示时，一方面可在重载选择以及操作控制模块内设置相应的加载程序，设定在不同时间段内采用何种操作系统或者随机地从若干操作系统中任意调用一种操作系统进行加载；另一方面，可通过网络接口对现有的重载选择以及操作控制模块内设置的加载程序进行修改，即若原定设定下一时刻需要加载VXWorkS2.X系统，但是现在修改为linux3.x系统等。其下一次启动的操作系统，下一次启动的时间等条件均可按照用户需要进行设定。
[0051]但是上述过程并不是下电，是一个系统重载的过程，那么为了保证当网络设备准备系统重载时到系统重载结束，整个过程，保证数据流完整通过设备，不发生丢包现象。
[0052]所述方法还包括S4:在系统重载时，将网络设备的数据平面与控制平面分隔开，使得数据平面独立实现交换功能，控制平面实现路由功能，以保证系统重载时候网络设备数据流的完整性；当系统重载完成后再由控制平面发送指令给数据平面，以恢复控制平面对数据的控制。
[0053]为了达到数据的完整性，需要将该设备的数据平面和控制平面分开。数据平面可以独立实现交换功能，控制平面实现路由功能。系统重载影响控制平面的程序，但不影响数据平面的功能，以此来保证系统重载时，数量流量不会断开。如图3，系统重载时，控制平面不对数据平面产生作用时，数据平面的将以广播的方式将数据转发到各个接口上去。其中虚线是控制平面起作用时，从EthO进来的数据，只从Ethl输出。这个路由过程由控制平面下发控制指令。由于控制平面进行系统重载，无法下发控制指令。故重载时，在数据平面上使得从EthO进入的数据会从Ethl、Eth2和Eth3三个网口都输出，实现数据流的完整性。
[0054]如图4所示，本发明所述的系统或者方法在将不同类型的操作系统存储在网络设备的不同存储介质中或者同一存储介质的不同地址上后。随后在接收到用户指示或者重载指示时，利用启动引导模块进行系统重载，同时数据流控制模块以广播方式保证数据流的完整性；最后在重载完成后，恢复数据平面并等待下一次启动时机。
[0055]以上所述，仅为本发明较佳的【具体实施方式】，但本发明的保护范围并不局限于此，任何熟悉本【技术领域】的技术人员在本发明揭露的技术范围内，根据本发明的技术方案及其发明构思加以等同替换或改变，都应涵盖在本发明的保护范围之内。
【权利要求】
1.一种基于系统重载的拟态安全实现系统，其特征在于: 包括 存储模块，用于将不同类型的操作系统存储在网络设备不同存储介质中或者同一存储介质的不同地址上； 启动引导模块，预设加载上述操作系统的0^运行程序，用于依据用户指示选择存储模块内的操作系统，并根据选择的操作系统，启动该0^运行程序将所述操作系统加载到网络设备上； 以及重载选择以及操作控制模块，用于通过重载选择以及操作控制模块实现下一次启动的操作系统及启动时间的选择，便于实现同一个网络设备上的操作系统重载。
2.根据权利要求1所述的基于系统重载的拟态安全实现系统，其特征在于:所述重载选择以及操作控制模块执行重载操作是依据系统重载指示而启动内部预设的加载程序实现的，所述重载指示下达包括用户手动下达以及用户通过软件程序下达。
3.根据权利要求2所述的基于系统重载的拟态安全实现系统，其特征在于: 所述手动下达可通过设置对应不同操作系统的多个硬件按钮实现，每一硬件按钮对应一个操作系统的加载程序；所述软件程序下达可通过改变重载选择以及操作控制模块内加载程序的系统选择参数和启动时间参数，来实现下一次操作系统的重载。
4.根据权利要求1所述的基于系统重载的拟态安全实现系统，其特征在于:所述系统还包括数据流控制模块，该数据流控制模块用于在系统重载时，将网络设备的数据平面与控制平面分隔开，使得数据平面独立实现交换功能，控制平面实现路由功能，以保证系统重载时候系统数据流的完整性；当系统重载完成后再由控制平面发送指令给数据平面，用以恢复控制平面对数据的控制。
5.一种基于系统重载的拟态安全实现方法，其特征在于: 包括 31、将不同类型的操作系统存储在网络设备的不同存储介质中或者同一存储介质的不同地址上； 32、预设加载上述操作系统的0^运行程序，依据用户指示选择存储模块内的操作系统，并根据选择的操作系统，启动该0^运行程序将所述操作系统加载到网络设备上； 33、在完成所选择的操作系统的加载后对网络设备进行重载操作。
6.根据权利要求5所述的基于系统重载的拟态安全实现方法，其特征在于:所述重载操作是依据系统重载指示而启动预设的加载程序实现的，所述重载指示下达包括用户手动下达以及用户通过软件程序下达。
7.根据权利要求6所述的基于系统重载的拟态安全实现方法，其特征在于:所述手动下达可通过设置对应不同操作系统的多个硬件按钮实现，每一硬件按钮对应一个操作系统的加载程序；所述软件程序下达可通过改变重载选择以及操作控制模块内加载程序的系统选择参数和启动时间参数，来实现下一次操作系统的重载。
8.根据权利要求5所述的基于系统重载的拟态安全实现方法，其特征在于:所述方法还包括34:在系统重载时，将网络设备的数据平面与控制平面分隔开，使得数据平面独立实现交换功能，控制平面实现路由功能，以保证系统重载时候网络设备数据流的完整性；当系统重载完成后再由控制平面发送指令给数据平面，以恢复控制平面对数据的控制。
【文档编号】G06F21/57GK104408372SQ201410705755
【公开日】2015年3月11日 申请日期:2014年11月26日 优先权日:2014年11月26日
【发明者】奚东志, 袁林, 魏长城, 张晓雷, 栾慎亭, 张宇, 路婧 申请人:大连梯耐德网络技术有限公司