薛輝，鄧軍，葉柏龍

（1.湖南涉外經(jīng)濟(jì)學(xué)院，長(zhǎng)沙 410205；2.湖南科技職業(yè)學(xué)院，長(zhǎng)沙 410004；3.湖南大學(xué)，長(zhǎng)沙 410082）

可生存性網(wǎng)絡(luò)建模研究設(shè)計(jì)

薛輝1，鄧軍2，3，葉柏龍3

（1.湖南涉外經(jīng)濟(jì)學(xué)院，長(zhǎng)沙 410205；2.湖南科技職業(yè)學(xué)院，長(zhǎng)沙 410004；3.湖南大學(xué)，長(zhǎng)沙 410082）

應(yīng)用的角度論述當(dāng)前可生存性網(wǎng)絡(luò)的狀況出現(xiàn)的問(wèn)題,提出一種網(wǎng)絡(luò)可生存性模型，詳細(xì)分析模型的建立過(guò)程，并給出模型的使用情況和未來(lái)的研究方向。

可生存性；網(wǎng)絡(luò)協(xié)同；網(wǎng)絡(luò)流量；數(shù)據(jù)包

0 引言

可生存性網(wǎng)絡(luò)[1]是指受控網(wǎng)絡(luò)在受到攻擊、意外事故或故障時(shí)，仍然可以在規(guī)定時(shí)間內(nèi)完成其主要功能的能力。在網(wǎng)絡(luò)安全的基本屬性中，網(wǎng)絡(luò)可生存性更加關(guān)注網(wǎng)絡(luò)系統(tǒng)的可用性。從信息安全學(xué)科的現(xiàn)狀和發(fā)展趨勢(shì)來(lái)看，提高網(wǎng)絡(luò)的可生存性，是目前和未來(lái)應(yīng)付一切攻擊、入侵和破壞的最佳途徑之一。其主要技術(shù)手段是網(wǎng)絡(luò)控制和網(wǎng)絡(luò)監(jiān)測(cè)，其中監(jiān)測(cè)是基礎(chǔ)，控制是技術(shù)手段[2]。自上世紀(jì)90年代中期開(kāi)始，國(guó)內(nèi)外學(xué)術(shù)界就開(kāi)始了對(duì)互聯(lián)網(wǎng)進(jìn)行大量的監(jiān)測(cè)研究[3-5]。目前，在對(duì)數(shù)據(jù)包、流量監(jiān)測(cè)和流量建模的采樣以及流量壓縮方面的研究比較火熱，且取得了不少成果，但是綜合起來(lái)仍然還存在許多不足。

1 可生存性網(wǎng)絡(luò)現(xiàn)有的問(wèn)題

（1）監(jiān)測(cè)粒度不細(xì)。例如無(wú)法獲得高層協(xié)議流量指標(biāo)，對(duì)流級(jí)特別是業(yè)務(wù)流級(jí)的相關(guān)特征無(wú)法捕獲，任然停留在數(shù)據(jù)包級(jí)和數(shù)據(jù)鏈路級(jí)。

（2）數(shù)據(jù)包級(jí)監(jiān)測(cè)任然存在許多不足。特別是面對(duì)當(dāng)前更高、更快的流量監(jiān)測(cè)需求無(wú)法滿足[6]。

（3）當(dāng)前業(yè)務(wù)流級(jí)對(duì)實(shí)時(shí)流量監(jiān)測(cè)無(wú)法實(shí)施[7]。例如基于H.323的VoIP業(yè)務(wù)[8]由多個(gè)協(xié)議共同協(xié)調(diào)完成。根據(jù)目前的業(yè)務(wù)流監(jiān)測(cè)方法[8]在一個(gè)完整的VoIP會(huì)話過(guò)程中會(huì)得到8個(gè)相互獨(dú)立的業(yè)務(wù)流，割裂了具體業(yè)務(wù)所產(chǎn)生的多個(gè)流之間的關(guān)系，這樣將極大影響流量模型分析方法，無(wú)法有效指導(dǎo)實(shí)時(shí)流量控制的實(shí)施。

基于上述問(wèn)題的分析，本文提出一種基于協(xié)同式的面向業(yè)務(wù)流的可生存性網(wǎng)絡(luò)監(jiān)測(cè)與控制系統(tǒng)模型。采用面向業(yè)務(wù)流級(jí)的監(jiān)測(cè)、控制和監(jiān)控協(xié)同等技術(shù)。從骨干網(wǎng)絡(luò)上就開(kāi)始實(shí)施監(jiān)控分析，在匯聚接入層監(jiān)測(cè)中獲得來(lái)自終端的大量網(wǎng)絡(luò)運(yùn)行狀態(tài)信息，直接對(duì)異常流量進(jìn)行實(shí)時(shí)控制。

2 系統(tǒng)體系架構(gòu)建模分析

可生存性網(wǎng)絡(luò)是一個(gè)綜合性的問(wèn)題，例如在骨干層、匯聚層、接入層都存在不同分工，各個(gè)層次也有著不同的表征[9]，以此可在各層之間給予不同分工，它們相互獨(dú)立又相互協(xié)作，共同構(gòu)成多層次、協(xié)同分工的綜合解決方案。如圖1所示。

由圖1可以看出，在不同網(wǎng)絡(luò)層次實(shí)現(xiàn)安全檢測(cè)和控制，各層之間由控制管理中心來(lái)實(shí)施配置管理、任務(wù)調(diào)度和協(xié)同通信等，它們完成的功能及協(xié)作關(guān)系可分為三個(gè)層次：

圖1 模型技術(shù)體系架構(gòu)

（1）可生存性分析。在骨干網(wǎng)級(jí)別上可通過(guò)生存性分析監(jiān)測(cè)整個(gè)網(wǎng)絡(luò)的宏觀流量的狀態(tài)，得到全網(wǎng)安全評(píng)估態(tài)勢(shì)；根據(jù)得到的具體業(yè)務(wù)信息實(shí)時(shí)調(diào)整受控網(wǎng)絡(luò)的流量分布情況。具體負(fù)責(zé)業(yè)務(wù)識(shí)別，分析新業(yè)務(wù)產(chǎn)生機(jī)理、協(xié)議演進(jìn)過(guò)程和協(xié)議的鏈接過(guò)程，運(yùn)用反向工程的方法，分析公開(kāi)的、未公開(kāi)的新業(yè)務(wù)的協(xié)議特征（例如應(yīng)用層載荷特征字符串等），學(xué)習(xí)并自動(dòng)提取出新業(yè)務(wù)流量特征；在此基礎(chǔ)上，將端口動(dòng)態(tài)識(shí)別，有效載荷分析等手段結(jié)合神經(jīng)網(wǎng)絡(luò)、支持向量機(jī)等人工智能方法，實(shí)現(xiàn)智能可擴(kuò)展的新業(yè)務(wù)流量識(shí)別引擎。

（2）可生存性控制。位于匯聚接入層。是建模的核心部件；主要用于評(píng)估多個(gè)分布式網(wǎng)絡(luò)流量控制節(jié)點(diǎn)的協(xié)同控制和對(duì)業(yè)務(wù)的波及影響，設(shè)計(jì)面向業(yè)務(wù)的綜合控制效果評(píng)估函數(shù)，使用多個(gè)控制節(jié)點(diǎn)控制協(xié)同算法，減少多個(gè)控制任務(wù)的控制代價(jià)。根據(jù)業(yè)務(wù)監(jiān)控需求，使用自適應(yīng)流量控制方法將網(wǎng)絡(luò)測(cè)量獲得的流量信息進(jìn)行反饋調(diào)節(jié)。

對(duì)于網(wǎng)絡(luò)監(jiān)控協(xié)同結(jié)構(gòu)，借鑒自動(dòng)控制中反饋控制的理論和技術(shù)，評(píng)估階層式架構(gòu)和直接式架構(gòu)，制定以分布式網(wǎng)絡(luò)監(jiān)測(cè)為基礎(chǔ)的網(wǎng)絡(luò)流量監(jiān)控協(xié)同結(jié)構(gòu)。

在網(wǎng)絡(luò)監(jiān)控協(xié)同同步調(diào)度時(shí)，采用監(jiān)測(cè)協(xié)同、控制協(xié)同中同步技術(shù)及網(wǎng)絡(luò)時(shí)間協(xié)議(Network Time Protocol,NTP)等時(shí)間同步和減少時(shí)間誤差的方法，實(shí)現(xiàn)綜合面向網(wǎng)絡(luò)監(jiān)測(cè)協(xié)同、控制協(xié)同的同步需求。

（3）可生存性監(jiān)測(cè)。用于監(jiān)測(cè)用戶終端和服務(wù)器，負(fù)責(zé)網(wǎng)絡(luò)可生存性監(jiān)測(cè)調(diào)度及協(xié)同。在面對(duì)復(fù)雜的網(wǎng)絡(luò)拓?fù)涓采w時(shí)，可結(jié)合業(yè)務(wù)監(jiān)測(cè)需求和業(yè)務(wù)邏輯拓?fù)涮卣鳎镁W(wǎng)絡(luò)最優(yōu)覆蓋或冗余覆蓋的流量監(jiān)測(cè)調(diào)度算法和協(xié)同算法，找出最佳鏈路和節(jié)點(diǎn)；再根據(jù)得到的網(wǎng)絡(luò)拓?fù)鋱D中的節(jié)點(diǎn)和鏈路按其重要性進(jìn)行評(píng)估和分析，綜合節(jié)點(diǎn)合并和鏈路合并情況，采取最優(yōu)或冗余的流量監(jiān)測(cè)節(jié)點(diǎn)部署算法，捕獲最佳監(jiān)測(cè)點(diǎn)；當(dāng)網(wǎng)絡(luò)拓?fù)浒l(fā)生動(dòng)態(tài)變化時(shí)，可使用流量監(jiān)測(cè)節(jié)點(diǎn)的遷移機(jī)制及遷移技術(shù)動(dòng)態(tài)實(shí)現(xiàn)。

由上可以看出，在三個(gè)層面上，每層都負(fù)有各自的職能，但彼此都必須協(xié)同和相互依賴才能完成，這樣做的目的就是根據(jù)網(wǎng)絡(luò)流量實(shí)時(shí)情況，相互協(xié)同參考，使受控網(wǎng)絡(luò)系統(tǒng)在遭受攻擊、故障和意外時(shí)仍能及時(shí)、高效地完成其主要任務(wù)。

3 模型的設(shè)計(jì)與實(shí)現(xiàn)

3.1 可生存性網(wǎng)絡(luò)監(jiān)測(cè)和可生存性分析子系統(tǒng)設(shè)計(jì)

本子系統(tǒng)采用三層的結(jié)構(gòu)方式，即流量監(jiān)測(cè)模塊、控制協(xié)同模塊和可生存性分析模塊。分別負(fù)責(zé)對(duì)來(lái)自網(wǎng)絡(luò)的業(yè)務(wù)數(shù)據(jù)進(jìn)行采集、協(xié)同控制和網(wǎng)絡(luò)可生存性分析等，為用戶提供更優(yōu)級(jí)的服務(wù)。如圖2所示。

圖2 流量監(jiān)測(cè)和可生存性分析系統(tǒng)框架結(jié)構(gòu)圖

流量監(jiān)測(cè)模塊：受控網(wǎng)絡(luò)在每個(gè)測(cè)量點(diǎn)部署專門的探針（Probe），其功能負(fù)責(zé)對(duì)業(yè)務(wù)數(shù)據(jù)的采集、測(cè)量和導(dǎo)入。將測(cè)量的結(jié)果經(jīng)過(guò)數(shù)據(jù)加密后再傳入可生存性控制子系統(tǒng)，如果測(cè)量的結(jié)果未及時(shí)上傳則保留在本地的探針中。探針工具主要包括路由器、流量捕獲器、業(yè)務(wù)仿真器和端到端測(cè)量器等。

控制協(xié)同模塊：負(fù)責(zé)收集來(lái)自監(jiān)測(cè)模塊的業(yè)務(wù)數(shù)據(jù)和發(fā)送調(diào)度任務(wù)及測(cè)量命令；這些任務(wù)的收集、調(diào)度、控制以及數(shù)據(jù)的分析和可視化工作都由控制協(xié)同模塊負(fù)責(zé)完成。由于流量監(jiān)測(cè)時(shí)捕獲的數(shù)據(jù)量大，因此要求將清洗后的各種業(yè)務(wù)數(shù)據(jù)和指令實(shí)時(shí)存入到業(yè)務(wù)數(shù)據(jù)庫(kù)中，供以后分析控制使用。

可生存性分析模塊：主要負(fù)責(zé)去掉與測(cè)量行為不相關(guān)的初始級(jí)業(yè)務(wù)數(shù)據(jù)，構(gòu)造出各種行為指標(biāo)數(shù)據(jù)集合。業(yè)務(wù)數(shù)據(jù)按任務(wù)進(jìn)行分類，整體分析出受控網(wǎng)絡(luò)的路由、流量狀況、應(yīng)用行為、性能和各種故障，最終以查詢、可視化和告警的形式實(shí)時(shí)告知用戶。

由上設(shè)計(jì)可以看出：網(wǎng)絡(luò)可生存性監(jiān)測(cè)與可行性分析分別由網(wǎng)絡(luò)監(jiān)測(cè)管理探針和監(jiān)測(cè)管理分析子系統(tǒng)組成；根據(jù)監(jiān)測(cè)管理任務(wù)部署與測(cè)試點(diǎn)部署算法，監(jiān)測(cè)管理分析子系統(tǒng)可以向信息采集探針加載監(jiān)測(cè)管理任務(wù)。而如何控制管理任務(wù)調(diào)度是本次設(shè)計(jì)的核心技術(shù)之一（詳見(jiàn)3.2可生存性網(wǎng)絡(luò)控制子系統(tǒng)）。本系統(tǒng)采用集中式控制和分布式測(cè)量的方式主要體現(xiàn)在采用分布式測(cè)量可以根據(jù)不同用戶的需求部署實(shí)施時(shí)采用不同類型的探針?lè)绞娇梢栽黾酉到y(tǒng)的靈活性、可擴(kuò)展性和開(kāi)放性。使用可行性分析模塊便于集中控制管理，通過(guò)該平臺(tái)可以綜合分析整個(gè)網(wǎng)絡(luò)流量數(shù)據(jù)，評(píng)估系統(tǒng)整體性能，這也是本次建模的創(chuàng)新之處。

3.2 可生存性網(wǎng)絡(luò)控制子系統(tǒng)設(shè)計(jì)

圖3 控制系統(tǒng)體系結(jié)構(gòu)圖

可生存性網(wǎng)絡(luò)控制系統(tǒng)負(fù)責(zé)管理日常管理業(yè)務(wù)調(diào)度，結(jié)構(gòu)設(shè)計(jì)如圖3所示。由圖可以看出：系統(tǒng)設(shè)計(jì)成兩個(gè)部分：業(yè)務(wù)控制樣機(jī)和用戶管理端，前者是受控系統(tǒng)，后者由用戶操作管理。用戶管理端負(fù)責(zé)業(yè)務(wù)控制樣機(jī)的啟動(dòng)、配置信息的設(shè)置和管理策略的制定，以及日志的自動(dòng)生成。業(yè)務(wù)控制樣機(jī)部分主要負(fù)責(zé)數(shù)據(jù)包的捕獲、識(shí)別、打標(biāo)簽，并進(jìn)行流量整型和啟動(dòng)可生存性流量監(jiān)測(cè)子系統(tǒng)。

業(yè)務(wù)控制樣機(jī)主要包括數(shù)據(jù)幀過(guò)濾和標(biāo)記模塊、流量整形模塊和控制命令解析模塊。系統(tǒng)根據(jù)來(lái)自用戶管理端的管理策略和配置信息，以指令的形式調(diào)用數(shù)據(jù)幀過(guò)濾和標(biāo)記模塊和流量整形模塊分別進(jìn)行數(shù)據(jù)包過(guò)濾、打標(biāo)簽和流量整形。首先來(lái)自網(wǎng)卡的原始數(shù)據(jù)幀進(jìn)入控制系統(tǒng)后，分解成一個(gè)個(gè)數(shù)據(jù)包，再以數(shù)據(jù)包的形式捕獲，網(wǎng)絡(luò)數(shù)據(jù)包捕獲是實(shí)現(xiàn)流量控制的基礎(chǔ)。只有獲得數(shù)據(jù)包才能進(jìn)行下一步處理。然后當(dāng)獲取到數(shù)據(jù)包后，還需要對(duì)不同的包進(jìn)行區(qū)分和過(guò)濾，打上不同的標(biāo)記，形成不同的分類。不同分類有不同的帶寬限制，再進(jìn)入流量整形模塊對(duì)不同隊(duì)列進(jìn)行調(diào)度和整形。不同的整形算法各有優(yōu)缺點(diǎn)，綜合比較后網(wǎng)絡(luò)流量控制器調(diào)度合適的算法作為最終的整形算法。大量的網(wǎng)絡(luò)流量控制命令構(gòu)成控制規(guī)則庫(kù)?？刂埔?guī)則庫(kù)的實(shí)現(xiàn)方式將影響網(wǎng)絡(luò)流量的響應(yīng)時(shí)間和處理時(shí)間，采用基于XML的控制規(guī)則庫(kù)配置模塊負(fù)責(zé)完成，這樣還可以方便記錄、跟蹤和修改。

用戶在實(shí)際操作網(wǎng)絡(luò)流量控制器時(shí)，用戶管理端和流量控制器樣機(jī)必然存在數(shù)據(jù)交互和指令發(fā)送，所以兩者之間的通信通過(guò)通信模塊進(jìn)行加密，增加其安全性。在用戶端的前臺(tái)軟件中由策略管理模塊對(duì)可能發(fā)生沖突的流量控制策略進(jìn)行合并，在流量控制樣機(jī)上用心跳檢測(cè)法控制流量進(jìn)程的狀態(tài)。

4 結(jié)語(yǔ)

該模型是在響應(yīng)湖南省教育廳基金項(xiàng)目的要求下，由多家高校和企業(yè)共同完成研發(fā)。目前已經(jīng)成功運(yùn)行在多個(gè)企業(yè)或政府網(wǎng)絡(luò)安全平臺(tái)上，用戶只需在管理端點(diǎn)擊控制器按鈕就可監(jiān)控整個(gè)受控網(wǎng)絡(luò)，因此具有較大的理論研究?jī)r(jià)值和廣泛的市場(chǎng)前景。但是，隨著網(wǎng)絡(luò)規(guī)模的不斷增大，特別是大數(shù)據(jù)時(shí)代的到來(lái)，當(dāng)前網(wǎng)絡(luò)還面臨著許多挑戰(zhàn)，如何將網(wǎng)絡(luò)監(jiān)測(cè)協(xié)同和控制協(xié)同更好地結(jié)合是我們課題組今后研究的重點(diǎn)。

[1]趙成麗.網(wǎng)絡(luò)信息系統(tǒng)可生存性的若干關(guān)鍵技術(shù)研究[D].吉林大學(xué),2013.

[2]楊威;謝永強(qiáng);熊煥.網(wǎng)絡(luò)可生存性技術(shù)研究綜述[J].計(jì)算機(jī)工程與設(shè)計(jì),2011,32(7)2298-2230.

[3]曾彬，張大方，黎文偉,等.面向網(wǎng)絡(luò)行為特征分析的網(wǎng)絡(luò)監(jiān)測(cè)系統(tǒng)設(shè)計(jì)及實(shí)現(xiàn)[J].計(jì)算機(jī)科學(xué)2009,36（1）86-91.

[4]Katz D,Ward D.Bidirectional Forwarding Detection[R].Draft IETF-Bfd Base 02.Txt,2010

[5]鄧軍.一種多功能網(wǎng)絡(luò)監(jiān)控與防御平臺(tái)設(shè)計(jì)與實(shí)現(xiàn)[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2011,5(5):67-70.

[6]薛輝,鄧軍,葉柏龍,陸蘭.一種分布式網(wǎng)絡(luò)入侵防御系統(tǒng)[J].計(jì)算機(jī)系統(tǒng)應(yīng)用，2011,20（7）22-25.

[7]曾彬.基于主動(dòng)測(cè)試的網(wǎng)絡(luò)性能監(jiān)測(cè)技術(shù)研究[D].湖南大學(xué)，2009.

[8]畢夏安,張大方.基于H.323協(xié)議的VoIP語(yǔ)音流量識(shí)別[J].計(jì)算機(jī)應(yīng)用,2014,9:23-25.

[9]鄧軍.一種分布式網(wǎng)站安全防護(hù)系統(tǒng)[J].計(jì)算機(jī)系統(tǒng)應(yīng)用，2012,(21)3:42-45.

Research and Design of Survivability Network Modeling

XUE Hui1，DENG Jun2，3，YE Bai-long3
（1.Hunan International Economics University,Changsha 410205；2.Hunan Vocational College of Science and Technology, Changsha 410004；3.Hu'nan University,Changsha 410082）

Discusses the problems in current network survivability situation from the angle of application，proposes a network survivability model and detailed analysis of the establishing process of the model,presents the usage of the model and the future research direction.

Survivability;Network Coordination;Network Traffic;Network Packet

1007-1423（2017）05-0044-04

10.3969/j.issn.1007-1423.2017.05.011

薛輝（1974-），女，湖南益陽(yáng)人，碩士，副教授，研究方向?yàn)檐浖较?、軟件工程、網(wǎng)絡(luò)安全

鄧軍（1973-），男，湖南永州人，碩士，副教授，研究方向?yàn)檐浖こ?、網(wǎng)絡(luò)安全、機(jī)器學(xué)習(xí)

葉柏龍（1964-），男，浙江諸暨人，碩士，教授，主要研究領(lǐng)域?yàn)檐浖こ?、網(wǎng)絡(luò)安全、大數(shù)據(jù)

2016-11-29

2017-02-10

湖南省教育廳一般基金資助項(xiàng)目（No.14C0651）