面向拟态防御系统的高阶异构度大数判决算法

异构系统之间的相似性会影响拟态防御系统异构执行体的选择和调度。目前多数针对执行体的异构性分析仍停留在二阶层面,但二阶异构度不适用于执行体数目较多的情况,难以准确评估拟态系统的防御能力。针对该问题,提出高阶异构度的概念,分析高阶异构的性质,解释高阶异构性在执行体调度及判决中所起的重要作用,并将其用于拟态防御系统安全性的量化分析。在此基础上,设计基于高阶异构度的大数判决算法,同时依据容斥原理计算系统失效率。实验结果表明,该算法可有效分析拟态系统的防御能力,并且随着执行体相似度增大以及执行体数目增多,准确性能够进一步提高。     

面向拟态构造Web服务器的执行体调度算法

调度是拟态构造Web服务器的重要机制,现有的调度算法多数缺乏对拟态构造Web服务器异构性和Web服务质量的考虑,不能解决调度机制带来的安全性和Web服务质量不稳定的问题。为此,提出基于最大异构性和Web服务质量的随机种子调度算法,通过计算拟态构造Web服务器所有阈值,随机选出种子执行体,根据最大异构性和Web服务质量确定调度方案。仿真结果表明,与随机调度算法相比,该算法具有较优的调度效果,在安全性、Web服务质量和动态性之间达到了较好的平衡。     

拟态防御Web服务器设计与实现

Web服务器系统作为重要的服务承载和提供平台,面临的安全问题日益严重.已有的防御技术主要基于已知攻击方法或漏洞信息进行防御,导致难以很好地应对未知攻击的威胁,从而难以全面防护web服务器系统的安全.论文首先提出了攻击链模型,对已有技术的问题和不足进行了深入的分析.在此基础上,提出了基于“动态异构冗余”结构的拟态防御模型,并描述了拟态防御模型的防御原理和特点.基于拟态防御模型构建了拟态防御web服务器,介绍了其架构,分析了拟态原理在web服务器上的实现.安全性和性能测试结果显示拟态防御web服务器能够在较小开销的前提下,防御测试中的全部攻击类型,说明拟态防御web服务器能够有效提升系统安全性,验证了拟态防御技术的有效性和可行性.最后讨论了拟态防御技术今后的研究前景和挑战.     

拟态通用运行环境的资源管理与调度技术

为达到拟态通用运行环境(MCOE)对已/未知后门和漏洞主动防御、安全威胁攻击及时阻断和数据完整性有效保障等拟态防御目标,提出拟态资源调度准则,基于该准则从拟态资源管理与MCOE框架的交互设计、拟态资源管理与调度等方面论述拟态资源管理服务与调度算法的设计与实现,构造拟态运行节点软硬件资源异构特征分类器及基于三级异构度分类的节点N元组和N异构执行体元组,实现N异构执行体、服务器运行节点资源及其资源对象的随机性、动态性和异构性最大化与资源调度负载均衡,并通过拟态管理服务实例验证了云容器集群上拟态资源管理调度算法的正确性与有效性。     

面向云应用的拟态云服务架构

针对单执行体的云应用服务缺乏异构性和动态性,难以应对未知漏洞和后门的安全威胁问题,提出一种拟态云服务架构,把云平台向用户提供的应用服务节点构造成基于拟态防御技术的服务包,使应用服务具有拟态构造带来的内生安全特性和鲁棒性,同时讨论了策略调度和裁决机制等两项关键的拟态云服务运行机制.经实验分析表明,拟态云服务具有较好的安全...     

应用于拟态Web服务器的相似度求解方法

拟态Web服务器中表决器通过计算并比较异构执行体响应网页的相似性来判断响应是否为合法输出,达到网页防篡改的目的.目前表决器中将网页整体作为字符串输入,采用字符串编辑距离方法计算网页的相似性,存在计算量大忽略网页原有结构信息等问题.本文采用改进简单树匹配方法,通过对网页DOM树匹配判别得到网页的相似性,DOM树节点匹配程度由节点字符串的编辑距离决定.将本文算法应用于拟态Web服务器上,进行网页篡改实验验证,与现使用算法相比,本文所采用算法在适应执行体异构性的基础上,提高了表决器的计算效率和准确性.     

拟态防御体系OSPF协议研究及分析

网络空间拟态防御技术是一种基于动态异构冗余的新型主动防御技术，通过引入多个异构冗余的执行体，增强广义鲁棒性，通过对多个执行体的策略或者周期性调度，对外呈现特征的不确定性变化，增强安全性。路由协议安全是网络安全的重要组成部分，OSPF协议作为网络空间中部署最广泛、实现最复杂的路由协议，如何实现各异构执行体OSPF协议功能的等价，是支持拟态防御的网络设备亟需解决的问题。首先，科学阐述了拟态防御的设计思想，详细描述了支持拟态防御的路由器的体系结构，论述了OSPF协议在拟态防御体系结构中的处理方法，通过引入OSPF协议代理实现各异构执行体OSPF协议功能的等价，在支持拟态防御的路由器原型样机中验证了该方法的可行性和高性能。最后，结合几种经典的OSPF路由攻击产生的路由器安全风险进行了具体说明及实验验证，实验表明该方法能够有效提高其应对OSPF网络攻击的能力。     

动态异构冗余架构下Web实践及安全性分析

当前网络环境下安全事件频发,攻防双方处于极度失衡状态,对其进行解决刻不容缓.针对目前安全领域内缺乏有效的防御手段的现状,对拟态安全防御技术进行分析、探索、实践.在对现有防御技术探讨的基础上,通过对拟态安全防御中核心思想、架构设计的引入与分析,构建一种动态异构冗余架构下的典型Web服务系统,并在实验中证实该系统的安全稳定性.进一步地,从攻击行为模型和安全防护概率角度出发,对系统的安全性进行分析.仿真结果表明,系统在动态异构冗余架构下能够增强防护能力,这对现网环境下网络安全改造方案具有指导意义,为下一步构造安全稳固的系统提供了理论支撑.     

拟态通用运行环境的框架设计

为实现信息系统安全防御的目的,针对动态异构冗余(DHR)架构设计拟态通用运行环境(MCOE)框架。以拟态化改造后功能等价的异构冗余信息系统应用程序,以及异构化的信息系统运行环境设施为对象,为N异构执行体构建面向服务请求的资源调度、分发、执行、表决、安全威胁清洗恢复以及管理的自动化运行支撑环境,提供拟态产品的分发、表决统一集成接口规范。在该框架中,服务请求主键驱动的N个异构执行体和MCOE分发、内部表决、外部表决、协同执行、管理5个服务器交互运行。仿真结果表明,该设计可有效抵御软硬件后门和漏洞引发的网络攻击。     

一种基于执行体异构度的拟态裁决优化方法

网络空间拟态防御技术通过构建动态异构冗余的系统架构来提高系统的安全性能,而裁决器的表决机制是防御链中的关键步骤,直接影响拟态系统的安全性和效率。针对拟态表决环节的任务特性,对一致表决算法进行改进,设计基于执行体异构度的拟态裁决优化方法。结合拟态防御系统的异构特性,在选择执行体表决输出时引入执行体间的异构度作为决策因素,同时综合考虑执行体数目和历史记录信息,使表决算法更适用于拟态架构面临的威胁场景。实验结果表明,与一致表决算法相比,该算法能够显著提高拟态系统的安全性能,有效规避共模逃逸的风险。     

基于Linux名字空间的Web服务器动态防御方法

Web服务器广泛部署在以Docker容器为代表的云计算平台上,面临着严峻的安全挑战。为了提高此类Web服务器的安全防御能力,提出一种基于Linux名字空间的Web服务器动态防御方法。该方法能够保证在Web服务正常工作的前提下,首先使用名字空间构建Web服务器运行环境;其次,通过多环境的交替运行来实现Web服务器的动态变换以迷惑入侵者,增加入侵者对Web服务器的攻击难度;最后,通过定期主动清除并重建Web服务器的运行环境来消除入侵行为对Web服务器的影响,最终实现有效提高Web服务器的动态防御能力。实验结果表明,所提方法能够有效增强Web服务器的安全性,同时对系统性能影响很小,请求响应100 KB数据的时间损耗为0.02~0.07 ms。     

基于SSL的嵌入式Web服务器安全设计与实现

嵌入式Web服务器与传统Web服务器一样,面临网络安全问题。介绍嵌入式Web技术的体系结构和特点,给出一种基于SSL协议的嵌入式Web服务器安全增强方案设计。分析并选择适合的SSL协议和Web服务器软件包,构建一个安全的嵌入式Web服务器系统,测试并分析该系统的安全性。实验表明,该安全方案可以保障嵌入式Web服务器信息服务的机密性、完整性和不可否认性,达到了安全增强的效果。     

web服务器拟态防御原理验证系统测试与分析

web服务器拟态防御原理验证系统是基于拟态防御原理的新型web安全防御系统,利用异构性、冗余性、动态性等特性阻断或扰乱网络攻击,以达成系统安全风险可控的要求。针对传统的测试方法实施于web服务器拟态防御原理验证系统中存在不足、不适应复杂安全功能测试以及难以实现准确度量等问题,本文提出了适用于拟态防御架构的web服务器测试方法,基于让步规则改进了灰盒测试,还丰富了漏洞和后门利用复杂度的含义。并以此为基础设计适于该系统的测试方案、测试原则和测试方法,在性能、兼容性、功能实现、HTTP协议一致性,安全性这些方面进行了全面的测试和分析。     

Web应用服务器研究综述

Web应用服务器是Web计算环境下产生的新型中间件,为创建、部署、运行、集成和管理事务性Web应用提供一个跨平台的运行环境,被认为是自关系型数据库以来最令人激动的企业应用技术.诸多IT企业纷纷推出其各自的Web应用服务器产品和系统,学术界也对这种热门领域产生了浓厚的兴趣.在分析Web计算环境下传统中间件发展所遇到的问题的基础上,介绍Web应用服务器的起源和发展、运行模式以及评测基准,然后对Web应用服务器研究现状进行综述,主要包括Web应用服务器的定义、体系结构、组件容器、分布事务处理、负载平衡、高速缓存、Web Service等研究热点和关键技术.根据评测基准,对若干主流Web应用服务器从功能和性能两个方面进行分析和比较.此外,还指出了Web应用服务器目前存在的不足以及未来的发展趋势.     

流媒体服务器性能评价模型

针对流媒体服务提供商需要了解流媒体服务器的性能从而选择合适的服务器,但目前尚无合适的流媒体服务器性能评测方案的问题,通过分析流媒体服务器主要的评价指标,利用多属性决策建立评价模型,通过实验测试3台流媒体服务器的性能评价指标,进行服务器性能优劣排序,从而选择合适的服务器。     

一个网络文件存储系统TNS关键技术

基于多服务器架构、为多用户服务的网络文件存储系统普遍存在资源分配不均,重复文件多,存储空间浪费严重的问题。设计并实现了TNS网络文件存储系统,该系统基于多服务器存储架构,分别由用户服务器、索引服务器、数据服务器、共享服务器、管理服务器和登录服务器组成,为多用户服务,采用一致性Hash实现负载均衡,支持在客户端进行文件粒度的重复数据删除。经过实际生产环境运行测试,具有良好的负载均衡能力和重复数据删除功能,可以有效节省存储空间,提高存储设备利用率。     

一种面向DDoS攻击的网络安全态势评估方法

从网络拥塞对应用服务器及网络结构造成的影响出发,引入图论的相关算法,提出一种面向DDoS攻击的网络安全态势评估方法,根据拥塞链路与服务器的距离以及拥塞链路是否处于网络映射图的最小边割集内,计算攻击行为对网络安全态势的影响值,以此进行态势的量化分析。最后使用网络仿真工具验证了该方法的适用性。     

基于Apache的低交互蜜罐设计与实现

蜜罐是一种新型的网络防御工具，其伪装的逼真程度和欺骗的成功率一直是设计的难点。很多蜜罐通过脚本来模拟网络服务，使用静态欺骗来保护网络，很容易暴露。本文设计并实现了一种基于Apache的低交互蜜罐——Honeyweb，具有http协议检测、动态欺骗、与其他网络安全设备联动以及日志等功能，能根据不同的http请求作出动态欺骗响应。实验表明，部署它能在很大程度上影响黑客的判断力，消耗攻击资源，甚至阻止攻击．从而实现主动防御、保护Web服务器免受攻击的目的。     

The Design of a Generic Intrusion-Tolerant Architecture for Web Servers

Nowadays, more and more information systems are connected to the Internet and offer Web interfaces to the general public or to a restricted set of users. Such openness makes them likely targets for intruders, and conventional protection techniques have been shown insufficient to prevent all intrusions in such open systems. This paper proposes a generic architecture to implement intrusion-tolerant Web servers. This architecture is based on redundancy and diversification principles, in order to increase the system resilience to attacks: usually, an attack targets a particular software, running on a particular platform, and fails on others. The architecture is composed of redundant proxies that mediate client requests to a redundant bank of diversified COTSfootnote{Commercial Off The Shelf.} application servers. The redundancy is deployed here to increase system availability and integrity. To improve performance, adaptive redundancy is applied: the redundancy level is selected according to the current alert level. The architecture can be used for static servers, i.e., for Web distribution of stable information (updated off-line), as well as for fully dynamic systems where information updates are executed immediately on an on-line database. The feasibility of this architecture has been demonstrated by implementing an example of a travel agency Web server.     

基于Web的海量存储柔性分布式文件服务器设计

分析了以往分布式文件服务器的不足 ,提出了一种以J2EE技术为核心的基于Web的支持海量文件存储的分布式文件服务器的设计方案。该分布式文件服务器由一个集中控制单元和多个本地文件服务器组成。集中控制单元对文件逻辑信息进行集中式管理 ;文件的物理信息则由位于Web不同节点上的本地文件服务器管理。