一種基于虛擬環(huán)境的主動(dòng)防御木馬的方法
【專利摘要】本發(fā)明公開了一種基于虛擬環(huán)境的主動(dòng)防御木馬的方法，本發(fā)明首次將被保護(hù)的網(wǎng)絡(luò)服務(wù)器部署在動(dòng)態(tài)變化下的異構(gòu)配置環(huán)境的虛擬異構(gòu)系統(tǒng)之中。當(dāng)訪問請(qǐng)求產(chǎn)生時(shí)，隨機(jī)映射到不同的虛擬系統(tǒng)之中，使得每次訪問的環(huán)境均不同。將多個(gè)虛擬系統(tǒng)封裝為一個(gè)網(wǎng)絡(luò)服務(wù)器結(jié)點(diǎn)，增加了攻擊者利用環(huán)境漏洞的難度。同時(shí)，通過改變系統(tǒng)和配置結(jié)構(gòu)讓木馬失去生存環(huán)境，進(jìn)而達(dá)到主動(dòng)木馬防御的目的。
【專利說明】
-種基于虛擬環(huán)境的主動(dòng)防御木馬的方法
技術(shù)領(lǐng)域
[0001] 本發(fā)明設(shè)及網(wǎng)絡(luò)安全技術(shù)領(lǐng)域，尤其設(shè)及一種基于虛擬環(huán)境的網(wǎng)絡(luò)安全主動(dòng)防御 木馬的方法。
【背景技術(shù)】
[0002] 隨著互聯(lián)網(wǎng)技術(shù)與社會(huì)各行業(yè)的緊密結(jié)合和應(yīng)用，網(wǎng)絡(luò)安全已經(jīng)成為影響各行業(yè) 互聯(lián)網(wǎng)化的一個(gè)重要影響要素。木馬作為一個(gè)網(wǎng)絡(luò)攻擊者常用的技術(shù)手段，具有體量小、隱 蔽性強(qiáng)、危害性大等特點(diǎn)，難W進(jìn)行有效的防范?；诰W(wǎng)絡(luò)服務(wù)器的應(yīng)用，如B/S架構(gòu)中的服 務(wù)器端、C/S架構(gòu)中的服務(wù)器端，一旦被攻擊者植入木馬，便會(huì)被攻擊者進(jìn)行遠(yuǎn)程控制、修改 文件、盜取各種重要數(shù)據(jù)甚至控制遠(yuǎn)程硬件設(shè)備等非法安全行為。因此，網(wǎng)絡(luò)服務(wù)器需要一 種高效的方法防范木馬。
[0003] 常見的木馬防御方法有：
[0004] 1、不到不受信任的網(wǎng)站上下載軟件運(yùn)行；
[0005] 2、不隨便點(diǎn)擊來歷不明郵件所帶的附件；
[0006] 3、及時(shí)安裝相應(yīng)的系統(tǒng)補(bǔ)下程序；
[0007] 4、為系統(tǒng)選用合適的正版殺毒軟件，并及時(shí)升級(jí)相關(guān)的病毒庫(kù)；
[000引5、為系統(tǒng)所有的用戶設(shè)置合理的用戶口令。
[0009] 運(yùn)些方法還停留在盡可能阻止被木馬植入W及被植入后再查找、打補(bǔ)下的被動(dòng)防 御階段，因此一種主動(dòng)防御木馬的技術(shù)便顯得尤為重要。
[0010] 木馬病毒通常包括控制端和被控制端程序。其中，控制端主要進(jìn)行目標(biāo)機(jī)器漏桐 發(fā)現(xiàn)、利用漏桐植入木馬病毒、與植入木馬的被控制端進(jìn)行交互和實(shí)施攻擊行為。被控制端 主要進(jìn)行自我隱藏、自動(dòng)傳播、與控制端進(jìn)行交互和實(shí)施攻擊行為。其中木馬實(shí)施的關(guān)鍵要 素:一是需要知道被攻擊對(duì)象的相關(guān)屬性信息進(jìn)而發(fā)現(xiàn)漏桐;二是木馬植入與存活依賴于 具體的運(yùn)行環(huán)境。本發(fā)明根據(jù)木馬實(shí)施的要素特點(diǎn)，不斷改變被攻擊對(duì)象的運(yùn)行環(huán)境屬性， 使其難W發(fā)現(xiàn)漏桐并植入木馬；即使木馬已經(jīng)植入到運(yùn)行環(huán)境中，通過改變配置環(huán)境和恢 復(fù)初始狀態(tài)的方法，讓木馬無法存活并消失。

【發(fā)明內(nèi)容】

[0011] 本發(fā)明目的在于針對(duì)現(xiàn)有技術(shù)的不足，提供一種基于虛擬環(huán)境的主動(dòng)防御木馬的 方法。本發(fā)明通過不斷改變應(yīng)用程序的運(yùn)行環(huán)境和運(yùn)行環(huán)境的回滾還原，使得攻擊者難W 發(fā)現(xiàn)運(yùn)行環(huán)境的漏桐，難W針對(duì)運(yùn)行環(huán)境的漏桐植入木馬病毒，即使植入也難W存活和存 在，大大提高網(wǎng)絡(luò)服務(wù)器的安全性。
[0012] 本發(fā)明的目的是通過W下技術(shù)方案來實(shí)現(xiàn)的：一種基于虛擬環(huán)境的主動(dòng)防御木馬 的方法，包括W下步驟：
[0013] (1)在系統(tǒng)初始化或運(yùn)行過程中，自動(dòng)搭建虛擬環(huán)境;該步驟通過W下子步驟來實(shí) 現(xiàn)：
[0014] (1.1)搭建虛擬環(huán)境￥={>1|1 = 1，2，***，11}，其中，11為搭建的虛擬系統(tǒng)的數(shù) 量，Vi為第i臺(tái)虛擬環(huán)境；
[00巧](1.2)在每個(gè)虛擬環(huán)境中使用不同的操作系統(tǒng)Sys={sysi|i = l，2，《 ? .,n}，其 中，sysi為第i臺(tái)虛擬環(huán)境的操作系統(tǒng)；
[0016] (1.3)在每個(gè)虛擬環(huán)境中使用不同的配置環(huán)境Ev={evi|i = l，2, . . .，n}，其 中，evi為第i臺(tái)虛擬環(huán)境的配置參數(shù)；
[0017] (1.4)在虛擬環(huán)境Vi中部署應(yīng)用服務(wù)，并為每個(gè)節(jié)點(diǎn)分配一個(gè)IP地址IP= Upi Ii = 1,2, ? ? ?，n巧P-個(gè)端口地址Pt={pti|i = l，2, ? ? ?，n}，其中，ipi代表第i個(gè)虛擬環(huán)境 的IP地址，Pti代表第i個(gè)虛擬環(huán)境的端口地址；
[001引（1.5)為服務(wù)提供獨(dú)立的數(shù)據(jù)交互通道Pi = {pii|i = l，2, ? ? ?，n}，其中，Pii代 表用戶與第i個(gè)虛擬環(huán)境的IP和端口中建立的獨(dú)立通道；
[0019] (2)將每次訪問映射到不同的虛擬環(huán)境中。
[0020] (3)、通過通道Pipe進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā)，使得第i臺(tái)虛擬環(huán)境Vi為用戶提供服務(wù)。
[0021 ] (4)、在連接超時(shí)、遭遇非法攻擊行為等條件下自動(dòng)銷毀通道Pipe。
[0022] (5)、在自身出現(xiàn)異常、遭遇非法攻擊行為、遭遇非法操作行為、達(dá)到規(guī)定生命期限 等條件下自動(dòng)銷毀虛擬系統(tǒng)sysi。
[0023] 進(jìn)一步地，所述步驟(2)通過W下子步驟來實(shí)現(xiàn)：
[0024] (2.1)獲取虛擬環(huán)境屬性信息，具體為：
[00巧](2.1.2)獲取虛擬環(huán)境的環(huán)境參數(shù):evi= {evij I j = l，2, ? ? ?，n}，其中evij表示 第i臺(tái)虛擬環(huán)境Vi的第j臺(tái)虛擬環(huán)境之間的環(huán)境參數(shù)；
[0026] (2.1.3)獲取虛擬環(huán)境的環(huán)境安全系數(shù):56={561|1 = 1，2，---，11}，其中561表 示第i臺(tái)虛擬環(huán)境Vi的安全系數(shù);其中，Se為自然數(shù)，值越大越不安全；
[0027] (2.1.4)獲取虛擬環(huán)境的環(huán)境參數(shù)的權(quán)重系數(shù):胖1={機(jī)山' =1，2，---，11}，其中 WiJ表示第i臺(tái)虛擬環(huán)境Vi的第j個(gè)環(huán)境參數(shù)的權(quán)重系數(shù)，其中：
[002引
[0029] (2.2)獲得虛擬環(huán)境的性能指標(biāo)P(Vi),V康示第i臺(tái)虛擬環(huán)境，其中：
[0030]
[0031] (2.3)獲得虛擬環(huán)境負(fù)載指標(biāo)為L(zhǎng)={li|i = l，2, ? ? ?，n}，li表示第i臺(tái)虛擬環(huán)境 的負(fù)載指標(biāo)；
[0032] (2.4)虛擬環(huán)境Vi每隔一個(gè)時(shí)間周期T將性能指標(biāo)P(Vi)和負(fù)載指標(biāo)為Ii發(fā)給分配 器；
[0033] (2.5)由下式計(jì)算負(fù)載安全冗余值：
[0034] R(Vi)= A tXliXSei/P(vi)
[0035] 式中，R(Vi)為第i臺(tái)虛擬環(huán)境Vi的負(fù)載安全冗余值；
[0036] (2.6)為了使各臺(tái)虛擬環(huán)境在一定安全級(jí)別下負(fù)載均衡，設(shè)置一個(gè)最小的負(fù)載安 全冗余值Rmin、一個(gè)最大負(fù)載安全冗余值Rmax ;
[0037] (2.7)構(gòu)建通道，該步驟具體為：當(dāng)?shù)趇臺(tái)虛擬環(huán)境節(jié)點(diǎn)的負(fù)載冗余值R(Vi)小于 Rmin時(shí)，該虛擬環(huán)境有權(quán)接收任務(wù)分配;分配器將訪問請(qǐng)求端口和虛擬環(huán)境端口間建立獨(dú)立 通道Pipe = (pipex，Vi)，其中pipex表示第X個(gè)用戶的獨(dú)立通道,Vi表示第i臺(tái)虛擬環(huán)境。
[0038] 本發(fā)明的有益效果是:本發(fā)明通過將多個(gè)虛擬環(huán)境對(duì)外封裝為一個(gè)網(wǎng)絡(luò)服務(wù)應(yīng)用 節(jié)點(diǎn)，將一個(gè)公網(wǎng)IP地址訪問映射為多個(gè)內(nèi)部局域網(wǎng)IP地址進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā)，能大大增加攻 擊者發(fā)現(xiàn)、利用環(huán)境漏桐的難度，也改變了木馬病毒所依賴的運(yùn)行環(huán)境，加固了傳統(tǒng)網(wǎng)絡(luò)應(yīng) 用服務(wù)器的安全性。
【附圖說明】
[0039] 圖1是虛擬環(huán)境生命周期圖；
[0040] 圖2是主動(dòng)防御層次結(jié)構(gòu)圖。
【具體實(shí)施方式】
[0041] 下面根據(jù)附圖1和2,詳細(xì)描述本發(fā)明的具體實(shí)施過程。
[0042] 本發(fā)明基于虛擬環(huán)境的主動(dòng)防御木馬的方法，包括W下步驟：
[0043] 1、在系統(tǒng)初始化或運(yùn)行過程中，自動(dòng)搭建虛擬環(huán)境;該步驟通過W下子步驟來實(shí) 現(xiàn)：
[0044] (1.1)搭建虛擬環(huán)境V={vi|i = l，2, ? ? ?，n}，其中，n為搭建的虛擬系統(tǒng)的數(shù) 量，Vi為第i臺(tái)虛擬環(huán)境；
[0045] (1.2)在每個(gè)虛擬環(huán)境中使用不同的操作系統(tǒng)Sys={sysi|i = l，2, ? ? ?，n}，其 中，sysi為第i臺(tái)虛擬環(huán)境的操作系統(tǒng)；
[0046] (1.3)在每個(gè)虛擬環(huán)境中使用不同的配置環(huán)境Ev={evi|i = l，2, ? ? ?，n}，其 中，evi為第i臺(tái)虛擬環(huán)境的配置參數(shù)；
[0047] (1.4)在虛擬環(huán)境Vi中部署應(yīng)用服務(wù)，并為每個(gè)節(jié)點(diǎn)分配一個(gè)IP地址IP= Upi Ii = 1,2, ? ? ?，n巧P-個(gè)端口地址Pt={pti|i = l，2, ? ? ?，n}，其中，ipi代表第i個(gè)虛擬環(huán)境 的IP地址，Pti代表第i個(gè)虛擬環(huán)境的端口地址；
[004引（1.5)為服務(wù)提供獨(dú)立的數(shù)據(jù)交互通道Pi = {pii|i = l，2, . . .，n}，其中，Pii代 表用戶與第i個(gè)虛擬環(huán)境的IP和端口中建立的獨(dú)立通道；
[0049] 2、將每次訪問映射到不同的虛擬環(huán)境中，該步驟通過W下子步驟來實(shí)現(xiàn)：
[0050] (2.1)獲取虛擬環(huán)境屬性信息，具體為：
[0051] (2.1.2)獲取虛擬環(huán)境的環(huán)境參數(shù):evi= {evij I j = l，2, ? ? ?，n}，其中evij表示 第i臺(tái)虛擬環(huán)境Vi的第j臺(tái)虛擬環(huán)境之間的環(huán)境參數(shù)；
[0052] (2.1.3)獲取虛擬環(huán)境的環(huán)境安全系數(shù):56={561|1 = 1，2，---，11}，其中561表 示第i臺(tái)虛擬環(huán)境Vi的安全系數(shù);其中，Se為自然數(shù)，值越大越不安全；
[0053] (2.1.4)獲取虛擬環(huán)境的環(huán)境參數(shù)的權(quán)重系數(shù):胖1={機(jī)山' =1，2，---，11}，其中 WiJ表示第i臺(tái)虛擬環(huán)境Vi的第j個(gè)環(huán)境參數(shù)的權(quán)重系數(shù)，其中：
[0化4]
[0055] (2.2)獲得虛擬環(huán)境的性能指標(biāo)P(Vi),Vi表示第i臺(tái)虛擬環(huán)境，其中：
[0化6]
[0057] (2.3)獲得虛擬環(huán)境負(fù)載指標(biāo)為L(zhǎng)={li|i = l，2, ? ? ?，n}，l康示第i臺(tái)虛擬環(huán)境 的負(fù)載指標(biāo)；
[0058] (2.4)虛擬環(huán)境Vi每隔一個(gè)時(shí)間周期T將性能指標(biāo)P(Vi)和負(fù)載指標(biāo)為Ii發(fā)給分配 器；
[0059] (2.5)由下式計(jì)算負(fù)載安全冗余值：
[0060] R(Vi) = A t X Ii X Sei/P(Vi)
[0061] 式中，R(Vi)為第i臺(tái)虛擬環(huán)境Vi的負(fù)載安全冗余值；
[0062] (2.6)為了使各臺(tái)虛擬環(huán)境在一定安全級(jí)別下負(fù)載均衡，設(shè)置一個(gè)最小的負(fù)載安 全冗余值Rmin、一個(gè)最大負(fù)載安全冗余值Rmax ;
[0063] (2.7)構(gòu)建通道，該步驟具體為：當(dāng)?shù)趇臺(tái)虛擬環(huán)境節(jié)點(diǎn)的負(fù)載冗余值R(Vi)小于 Rmin時(shí)，該虛擬環(huán)境有權(quán)接收任務(wù)分配;分配器將訪問請(qǐng)求端口和虛擬環(huán)境端口間建立獨(dú)立 通道Pipe = (pipex，Vi)，其中pipex表示第X個(gè)用戶的獨(dú)立通道，Vi表示第i臺(tái)虛擬環(huán)境；
[0064] 3、通過通道Pipe進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā)，使得第i臺(tái)虛擬環(huán)境Vi為用戶提供服務(wù)；
[0065] 4、在連接超時(shí)、遭遇非法攻擊行為等條件下自動(dòng)銷毀通道Pipe;
[0066] 5、在自身出現(xiàn)異常、遭遇非法攻擊行為、遭遇非法操作行為、達(dá)到規(guī)定生命期限等 條件下自動(dòng)銷毀虛擬系統(tǒng)sysi。
[0067] 圖1是虛擬環(huán)境生命周期圖，該圖說明了虛擬環(huán)境的完整的生命周期。具體分為如 下=個(gè)階段：
[0068] (1)創(chuàng)建階段:在系統(tǒng)初始化或者在運(yùn)行過程中，虛擬環(huán)境自動(dòng)的完成異構(gòu)操作系 統(tǒng)和配置環(huán)境的創(chuàng)建。該階段通過虛擬不同的狀態(tài)，完成漏桐的偽裝，增加攻擊者的漏桐發(fā) 現(xiàn)難度。
[0069] (2)執(zhí)行階段:建立用戶和虛擬環(huán)境下的應(yīng)用程序間的獨(dú)立通道。通過建立獨(dú)立的 通道確保用戶請(qǐng)求獨(dú)立于其他請(qǐng)求，降低禪合度，進(jìn)而確保防御過程的獨(dú)立性。當(dāng)通道執(zhí)行 過程中，通過行為檢測(cè)和態(tài)勢(shì)感知，判斷訪問行為的安全合法性，若發(fā)現(xiàn)通道中出現(xiàn)不安全 行為，將轉(zhuǎn)入通道銷毀過程；當(dāng)虛擬環(huán)境在運(yùn)行過程中，通過系統(tǒng)檢測(cè)和態(tài)勢(shì)感知，判斷系 統(tǒng)的安全合法性，若發(fā)現(xiàn)系統(tǒng)處于不安全狀態(tài)，將轉(zhuǎn)入系統(tǒng)銷毀過程；
[0070] (3)銷毀階段：當(dāng)通道處于銷毀階段或者請(qǐng)求超時(shí)的條件下，通道將進(jìn)行自我銷 毀。當(dāng)虛擬環(huán)境處于不安全狀態(tài)或者規(guī)定生命期限到達(dá)時(shí)，虛擬環(huán)境進(jìn)行自我銷毀。
[0071] 圖2是主動(dòng)防御層次結(jié)構(gòu)圖。該圖說明了防御的層次結(jié)構(gòu)。主要包括=個(gè)層次的防 御：
[0072] (1)現(xiàn)有防護(hù)層:主要通過現(xiàn)有的防火墻、WAF、指紋欺騙、蜜罐等技術(shù)手段完成的 防護(hù)；
[0073] (2)擬態(tài)防護(hù)層：主要通過改變虛擬環(huán)境配置參數(shù)，讓增加攻擊者的漏桐發(fā)現(xiàn)成 本；
[0074] (3)生存環(huán)境防護(hù)層:主要通過改變虛擬系統(tǒng)的類型，改變木馬的生存環(huán)境，從而 達(dá)到木馬無法運(yùn)行的目的。同時(shí)，通過虛擬系統(tǒng)還原恢復(fù)讓已經(jīng)植入的木馬被自動(dòng)銷毀。
【主權(quán)項(xiàng)】
1. 一種基于虛擬環(huán)境的主動(dòng)防御木馬的方法，其特征在于，包括W下步驟： (1) 在系統(tǒng)初始化或運(yùn)行過程中，自動(dòng)搭建虛擬環(huán)境;該步驟通過W下子步驟來實(shí)現(xiàn)： (1.1) 搭建虛擬環(huán)境V={vi|i = l，2，· · ·，η}，其中，η為搭建的虛擬系統(tǒng)的數(shù)量，VI為 第i臺(tái)虛擬環(huán)境； (1.2) 在每個(gè)虛擬環(huán)境中使用不同的操作系統(tǒng)Sys={sysi|i = l，2，· · ·，η}，其中， sysi為第i臺(tái)虛擬環(huán)境的操作系統(tǒng)； (1.3) 在每個(gè)虛擬環(huán)境中使用不同的配置環(huán)境Ev={evi|i = l，2，· · ·，η}，其中，evi 為第i臺(tái)虛擬環(huán)境的配置參數(shù)； (1.4) 在虛擬環(huán)境VI中部署應(yīng)用服務(wù)，并為每個(gè)節(jié)點(diǎn)分配一個(gè)IP地址IP={ipi|i = l， 2, · · ·，n巧P-個(gè)端口地址Pt={pti|i = l，2, · · ·，n}，其中，ipi代表第i個(gè)虛擬環(huán)境的 IP地址，pti代表第i個(gè)虛擬環(huán)境的端口地址； (1.5) 為服務(wù)提供獨(dú)立的數(shù)據(jù)交互通道Pi = {pii|i = l，2，· · ·，η}，其中，pii代表用 戶與第i個(gè)虛擬環(huán)境的IP和端口中建立的獨(dú)立通道； (2) 將每次訪問映射到不同的虛擬環(huán)境中。 (3) 、通過通道Pipe進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā)，使得第i臺(tái)虛擬環(huán)境VI為用戶提供服務(wù)。 (4) 、在連接超時(shí)、遭遇非法攻擊行為等條件下自動(dòng)銷毀通道Pipe。 (5) 、在自身出現(xiàn)異常、遭遇非法攻擊行為、遭遇非法操作行為、達(dá)到規(guī)定生命期限等條 件下自動(dòng)銷毀虛擬系統(tǒng)sysi。2. 根據(jù)權(quán)利要求1所述的基于虛擬環(huán)境的主動(dòng)防御木馬的方法，其特征在于，所述步驟 (2)通過W下子步驟來實(shí)現(xiàn)： (2.1)獲取虛擬環(huán)境屬性信息，具體為： (2.1.2) 獲取虛擬環(huán)境的環(huán)境參數(shù):6￥1={6￥：^|^'=1，2，《??，]1}，其中6￥^表示第；[臺(tái) 虛擬環(huán)境Vi的第j臺(tái)虛擬環(huán)境之間的環(huán)境參數(shù)； (2.1.3) 獲取虛擬環(huán)境的環(huán)境安全系數(shù):56={561|1 = 1，2，---，11}，其中561表示第1 臺(tái)虛擬環(huán)境VI的安全系數(shù);其中，Se為自然數(shù)，值越大越不安全； (2.1.4) 獲取虛擬環(huán)境的環(huán)境參數(shù)的權(quán)重系數(shù):胖1={￥^|^' = 1，2，《??，11}，其中*^表 示第i臺(tái)虛擬環(huán)境VI的第j個(gè)環(huán)境參數(shù)的權(quán)重系數(shù)，其中：(2.2) 獲得虛擬環(huán)境的性能指標(biāo)P(Vl)，v康示第i臺(tái)虛擬環(huán)境，其中：(2.3) 獲得虛擬環(huán)境負(fù)載指標(biāo)為L(zhǎng)=Ui|i = l，2，· · ·，η}，1ι表示第i臺(tái)虛擬環(huán)境的負(fù) 載指標(biāo)； (2.4) 虛擬環(huán)境VI每隔一個(gè)時(shí)間周期T將性能指標(biāo)P(vi)和負(fù)載指標(biāo)為h發(fā)給分配器； (2.5) 由下式計(jì)算負(fù)載安全冗余值： R(vi) = Δ t X li X Sei/P(vi) 式中，R(Vi)為第i臺(tái)虛擬環(huán)境Vi的負(fù)載安全冗余值； (2.6) 為了使各臺(tái)虛擬環(huán)境在一定安全級(jí)別下負(fù)載均衡，設(shè)置一個(gè)最小的負(fù)載安全冗 余值Rmin、一個(gè)最大負(fù)載安全冗余值Rmax ; (2.7)構(gòu)建通道，該步驟具體為：當(dāng)?shù)趇臺(tái)虛擬環(huán)境節(jié)點(diǎn)的負(fù)載冗余值R(Vi)小于Rmin時(shí)， 該虛擬環(huán)境有權(quán)接收任務(wù)分配;分配器將訪問請(qǐng)求端口和虛擬環(huán)境端口間建立獨(dú)立通道 Pipe = (pipex, Vi)，其中pipex表示第X個(gè)用戶的獨(dú)立通道,Vi表示第i臺(tái)虛擬環(huán)境。
【文檔編號(hào)】G06F21/56GK105847248SQ201610163933
【公開日】2016年8月10日
【申請(qǐng)日】2016年3月19日
【發(fā)明人】吳春明, 陳雙喜
【申請(qǐng)人】浙江大學(xué)