一种基于自适应异常感知的DHR智能裁决架构系统

本发明属于网络安全，具体的说是涉及一种基于自适应异常感知的dhr智能裁决架构的构建方法。

背景技术：

1、随着互联网技术及新型服务模式的兴起与发展，下一代网络基础设施建设已经逐步普及，设计研发人员将更多的精力集中于性能方面，而网络安全未受到足够重视，且由于软硬件设计缺陷或脆弱性导致的安全漏洞无法彻底避免，产品提供者有意设计或产业生态环境中无意引入的具有“暗功能”性质的软硬件代码无法彻底杜绝。由于无法实时管控软硬件产品内部的广义不确定性扰动，网络空间软硬件产品设计、制造和使用过程中存在的脆弱性或安全缺陷，便随着网络空间的急速膨胀，安全威胁就成为弥漫性问题，威胁弥漫在整个网络空间内。

2、为了解决以上问题，相关研究者提出了很多防御思想。美国最早提出了移动目标防御(moving target defense，mtd)思想，但是mtd防御思想具有固有缺陷，它只对攻击步骤的“扫描探测”阶段起作用，不具备通用性，而且mtd构建繁琐，频繁的移动目标会造成资源的消耗过大。2016年，邬江兴院士提出动态异构冗余架构(dynamic heterogeneousredundancy，dhr)，该架构通过动态异构冗余的拟态系统构造，让网络信息系统自身具备免疫力，颠覆了当前网络空间的攻守不平衡局面。由于拟态防御所具有的动态性、随机性等外在表象，从而对攻击者来说，拟态防御系统以规律不确定的方式在多样化环境间实施基于时空维度上的主动跳变或快速迁移，使攻击者难以观察和做出预测，从而增大基于漏洞和后门等攻击的难度和代价。

3、dhr架构突出的安全特性是入侵容忍能力，而这很大程度上依赖于裁决机制对多个执行体结果的综合性判决。dhr架构中裁决机制则是对异构执行体输出的冗余结果进行判定，输出最终的正确结果。作为系统输出前的最终环节，裁决的准确性直接影响架构的可靠性和可用性，一次错误的判决可能引发严重的安全问题。大数裁决虽然原理简单，仲裁速度快，但是容易被协同攻击导致一半以上的执行体被恶意利用，导致多模裁决失效，系统被攻击成功的问题。

技术实现思路

1、为了解决传统架构易被协同攻击使得一半以上的执行体被恶意利用导致裁决失效的问题，并弥补系统直接对执行体的输出结果进行可靠性评价方法的缺失，本发明提供了一种基于自适应异常感知的dhr智能裁决架构系统，以改进dhr架构中的裁决机制，通过在dhr裁决模块增加一种智能异常感知机制来辅助仲裁，对执行体的输出结果进行多特征提取及多模型训练，获取最优特征子集及最优训练模型，进而得到该执行体执行结果的异常分数，剔除异常分数高于阈值的输出结果，再进行多模裁决，充分考虑了裁决数据的可靠性，提升了裁决的准确性，提高了拟态防御系统抵御共模攻击的能力。

2、为了达到上述目的，本发明是通过以下技术方案实现的：

3、本发明是一种基于自适应异常感知的dhr智能裁决架构系统，所述dhr智能裁决架构系统包括

4、输入/输出模块：输入/输出模块与电网中的设备连接，输入模块负责将设备请求分发为n份并分发给执行机制中的n个异构执行体，输出模块负责将智能裁决机制反馈的仲裁结果返回给设备；

5、执行机制：执行机制中包含n个异构执行体，n为系统余度，执行机制由负反馈机制中的调度策略进行动态调度决定，每个异构执行体都独立处理输入模块传来的请求并输出结果，执行机制将每个异构执行体输出的结果发送给智能裁决机制进行仲裁；

6、异构执行体池：异构执行体池中包含m个功能等价、结构不同的执行体，其中，m＞n，负反馈机制确定调度策略后将从异构执行体池中选择n个异构执行体进入执行机制；

7、构件池：构件池包含不同的构件集合，通过不同的构建规则如随机抽取构建组成执行体，或者是等概率、不等概率某个构件被选中的概率从每个构件集合中选择某一构件组成异构执行体并进入异构执行体池；构件的异构性很大程度上决定了执行体的异构性。

8、智能裁决机制：智能裁决机制主要分为智能异常感知模块和多模裁决模块两个部分，所述智能异常感知模块内包含经过异常流量训练好的深度学习模型，对异构执行体的输出结果进行异常分数计算，根据计算结果判断该输出结果是否超出异常阈值，如果超过阈值，则认为该输出结果对应的执行体发生未知错误或被攻击，需要删除该输出结果并通知负反馈机制对异构执行体进行处理，反之，将结果输入到多模裁决模块进行仲裁，所述多模裁决模块将最终的仲裁结果发至输出模块和负反馈机制；

9、负反馈机制：负反馈机制是dhr智能裁决架构系统中的重要控制环节，所述负反馈机制根据智能裁决机制的反馈信息更换调度策略，对出现未知错误或被攻击的异构执行体进行清洗重组和复原操作。

10、本发明的进一步改进在于：所述智能裁决机制实现裁决的过程具体包括如下步骤：

11、步骤1、输入模块或输出模块与电网中的设备连接，输入模块负责将设备请求分发为n份并分发给执行机制中的n个异构执行体，输出模块负责将智能裁决机制反馈的仲裁结果返回给步骤2用以制定构件池的构建规则；

12、步骤2、在裁决任务即将开始时，根据所述负反馈机制反馈后的结果制定异构池构建规则，从每个构件池中选择某一构件组成异构执行体并进入异构执行体池；

13、步骤3、当需要执行裁决任务时，由所述负反馈机制确定动态调度策略，将从异构执行体池中选择n个执行体进入执行机制，n为系统余度；

14、步骤4、执行机制中包含n个异构执行体，由所述负反馈机制中的调度策略进行动态调度决定，每个异构执行体独立处理输入模块传来的请求并输出结果，执行机制将每个异构执行体输出的结果发送给智能裁决机制进行仲裁；

15、步骤5、通过引入深度学习对异构执行体的输出结果进行智能异常感知，再结合多模裁决模块进行仲裁，直接异构对执行体的输出结果进行可靠性评定；

16、步骤6、负反馈机制根据智能裁决机制的反馈信息更换调度策略，对出现未知错误或被攻击的执行体进行清洗重组和复原操作。

17、本发明的进一步改进在于：步骤2中，从构件池中选择m个异构执行体放入异构执行体池中，异构执行体的选择具体包括如下步骤：

18、步骤21、确定构件种类，且每一类构件分别有多种功能等价但结构不同的执行体；

19、步骤22、根据6中负反馈机制反馈后的结果指定满足系统安全性和效率的异构执行体池构建规则；

20、步骤23、每次构建异构执行体池时，根据所制定的异构执行体池构建规则，选取异构度大且满足要求的异构执行体，避免出现共模漏洞。

21、本发明的进一步改进在于：步骤3中执行体的动态调度包括如下步骤：

22、步骤31、每次动态调度时，计算异构执行体池中的执行体的历史置信度ct以及执行体之间的异构度安全度最终得到调度可靠度chst；

23、步骤32、根据调度可靠度chst对异构执行体池中的异构执行体进行排序，并选择调度可靠度最高的执行体作为本次被调度的执行体进入执行机制。

24、本发明的进一步改进在于：在步骤31中，执行体的历史置信度由各执行体的运行结果yi,t、系统裁决结果yt以及到截止时间执行体i被调度的次数ζi,t决定，历史置信度ct的计算过程为

25、执行体之间的异构度由异构执行体间的异构度组成的异构度矩阵确定，异构度的计算过程为ωn表示异构执行体池中n个执行体的集合；

26、执行体之间的安全度由异构执行体间的相对安全度组成的安全度矩阵确定，安全度的计算过程为

27、调度可靠度chst则与历史置信度ct、异构度和安全度成正相关，调度可靠度的计算过程为

28、本发明的进一步改进在于：步骤5中，智能异常感知和多模裁决冲裁具体包括如下步骤：

29、步骤51、对需要裁决的原始数据进行数据预处理，使每一维特征对目标函数的影响相同，使用极大极小归一化方法将所有原始数据特征映射到[0,1]之间；

30、步骤52、对步骤51预处理后的数据集进行特征提取，保留重要数据删除冗余数据，增加所选特征在后续深度学习训练时的权重，筛选出特征子集后会送到决策树模型进行评估，最后选择出适用于该场景的最优特征子集和最优特征提取方法；

31、步骤53、使用深度学习方法进行模型训练，并对不同模型的输出结果进行比较，选择最优模型的结果作为最终异常分数计算模型；

32、步骤54、在步骤53确定最优的异常分数计算模型后，将模型分类器sigmoid函数的输出结果ai认为是执行体i输出结果的异常分数，那么异常分数集合为a＝{a1,a2,...,an|0≤ai≤1}；

33、步骤55、在步骤54得到每个执行体输出结果的异常分数后，基于异常结果筛选的多模裁决将每个输出结果的异常分数与预先设置的阈值δ进行比较；

34、步骤56、当异常分数大于等于阈值时，则认为该执行体发生未知错误或被攻击成功，需要删除该执行体的输出结果并通知负反馈机制对该执行体进行替换清洗；

35、步骤57、当异常分数小于阈值，则认为该执行体正常运行，该执行体输出结果进入多模裁决环节；

36、步骤58、当所有输出结果的异常分数均高于阈值或a中最小异常值amin≥0.6，则认为所有执行体输出结果异常，发生共模逃逸，系统被攻击成功；

37、步骤59、当所有输出结果的异常分数均小于阈值，这时基于异常结果筛选的多模裁决等同于传统的多模裁决。

38、本发明的进一步改进在于：步骤51具体为：步骤s51中的网络流量数据特征属于连续型，且包含很多的冗余无用数据特征，各个特征的量纲和数据级差异较大，因此需要对原始数据进行特征缩放，使每一维特征对目标函数的影响相同，使用极大极小归一化方法将所有原始数据特征映射到[0,1]之间，假设x为原始数据，xnormalization为归一化后的数据，max(x)和min(x)表示原始数据中各列特征的极大值和极小值，归一化后的数据为

39、本发明的进一步改进在于：步骤52中，通过pearson相关系数、基于树模型的特征选择和递归特征消除法三种特征提取方法对数据集进行特征提取，保留重要数据删除冗余数据，增加所选特征在后续模型训练时权重，筛选出特征子集后会送到决策树模型进行评估，最后选择出适用于该场景的最优特征子集和最优特征提取方法。

40、本发明的进一步改进在于：步骤53中，使用了多层感知机(mlp)、深度神经网络(dnn)、卷积神经网络(cnn)、循环神经网络(rnn)进行模型训练，并对不同模型的输出结果进行比较，选择最优模型的结果作为最终异常分数计算模型。

41、本发明的进一步改进在于：步骤6中具体包括以下步骤：

42、步骤61、根据步骤5中的异常值和裁决结果对参加裁决的异构执行体的历史置信度进行动态更新，得到该执行体在下一次进入异构执行体池时的历史置信度ct+1，历史置信度的动态更新过程为并将结果返回步骤31对历史置信度进行实时更新。

43、步骤62、若步骤5中的异常值过高或者一个或几个执行体的运行结果与裁决结果相差过大则判定执行体异常，并对该执行体进行清洗重组和复原操作。

44、本发明的有益效果是：

45、一、本发明提供了系统直接对执行体的输出结果进行可靠性评价的方法。本框架基于异常结果筛选的多模裁决将每个执行体输出结果的异常分数与提前预设好的阈值进行比较，异常分数越高表示该输出结果发生错误的概率越大，对应的执行体发生未知错误或被攻击成功的概率越大，将超过阈值的输出结果删除后进行多模裁决，直接对执行体的输出结果进行可靠性判断，更加直观评价了dhr架构的整体安全性和脆弱程度。

46、二、本发明采用基于多特征提取的自适应异常感知模型需要根据异常数据集训练合适的模型，根据训练好的模型来判断执行体输出结果是否异常，提升裁决数据的可靠性，解决了现有技术中针对dhr架构中裁决机制实施原理简单，仲裁速度快，容易被协同攻击导致一半以上的执行体被恶意利用，导致多模裁决失效，系统被攻击成功的问题。

47、三、本发明的动态调度机制将历史置信度、异构度、和安全度三个指标综合得到调度可靠性指标，并进行动态更新，从而使得负反馈调度机制具有动态感知能力，进一步保障系统的动态性与安全性。

48、四、本发明在在dhr架构的基础上增加智能异常感知模块，模块内包含经过异常流量训练好的深度学习模型，能够对执行体的输出结果进行异常分数计算，并根据计算结果判断该输出结果是否超出异常阈值，若超过阈值，则删除该输出结果并通知负反馈机制对执行体进行清洗重组和复原操作；反之，将结果输入到多模裁决部分进行仲裁，提高系统感知异常的能力，保证系统的稳定运行。