CN117938543B - 一种基于拓扑差异性度量的网络动态防御方法及系统 - Google Patents

Abstract

本发明属于工控安全技术领域，公开了一种基于拓扑差异性度量的网络动态防御方法及系统，该方法通过绘制初始网络拓扑，将初始网络拓扑抽象建模为无向无权的连通图，并计算连通图的特征值；基于初始网络拓扑调整网络节点间连接关系，生成初始网络拓扑的变体，作为新网络拓扑；利用连通图的特征值序列计算新网络拓扑与初始网络拓扑间的差异值；在固定跳变周期内选择和初始网络拓扑具有极大差异值的新网络拓扑作为跳变目标网络拓扑；将跳变目标网络拓扑还原为流表，并推送至各交换机，完成网络拓扑跳变，从而实现网络动态防御。本发明可极大化跳变前后拓扑差异性，同时减少无效跳变次数降低跳变开销，并提高网络拓扑保护的效能。

Description

一种基于拓扑差异性度量的网络动态防御方法及系统

技术领域

本发明属于工控安全技术领域，具体涉及一种基于拓扑差异性度量的网络动态防御方法及系统。

背景技术

传统的静态网络安全防御由于漏洞存在的普遍性和攻防信息不对称处于“易攻难守”的局面。防御者面对未知的安全漏洞和层出不穷的攻击手段，往往处于被动防守的局面，且静态防御手段普遍具有滞后性和盲目性。动态网络防御的出现改变了传统被动、静态的防御思路。网络动态防御技术通过不断地改变网络的状态，使攻击者试图获取的攻击面处于动态变化之中，增大了攻击者探测攻击面、获取攻击链、实施攻击的难度和开销。相比于传统静态网络防御方法，网络动态防御逆转了攻防不对称的局面，具有动态、及时、高效等优势。

对于网络攻击而言，探测、扫描跳变目标网络拓扑并选取合适的目标和攻击方案是重要的前置步骤，因此网络拓扑的保护是网络动态防御的重要内容。但是，当前的动态拓扑保护方法尚存在拓扑变化前后可能具有较大相似性以及高额开销的问题。

发明内容

本发明的目的在于提出一种基于拓扑差异性度量的网络动态防御方法及系统，本发明基于拓扑差异性度量进行跳变，在保持网络正常通信业务不中断的前提下极大化跳变前后拓扑差异性，同时减少无效跳变次数降低跳变开销，进而抵御攻击者对于网络拓扑的扫描和测绘，提高网络拓扑保护的效能。

为了达成上述目的，本发明主要通过定义跳变前后网络拓扑差异值，量化求解具有极大拓扑差异值的新拓扑来对网络系统实施动态保护。本发明的技术方案如下：一种基于拓扑差异性度量的网络动态防御方法，包括：

绘制初始网络拓扑，将初始网络拓扑抽象建模为无向无权的连通图，并计算连通图的特征值；

基于初始网络拓扑调整网络节点间连接关系，生成初始网络拓扑的变体，所述变体作为新网络拓扑；

利用连通图的特征值序列计算新网络拓扑与初始网络拓扑间的差异值；在固定跳变周期内选择和初始网络拓扑具有极大差异值的新网络拓扑作为跳变目标网络拓扑；

将跳变目标网络拓扑还原为流表，并推送至各交换机，完成网络拓扑跳变，从而实现网络动态防御。

进一步优选，将初始网络拓扑抽象建模为无向无权的连通图，具体为：将初始网络拓扑G₁抽象建模为无自环和重边的连通图G₁(V,E)，其中，V={v₁,v₂,…,v_i,…,v_n}表示各网络节点集合，v_i表示第i个网络节点，i∈1～n，n为网络节点数量； E={e₁,e₂,…,e_k,…,e_m }表示网络节点间的链路集合，其中e_k表示第k条链路e_k，代表通过链路e_k连接的两个网络节点的直接连接关系，k∈1～m，m为链路数量。

进一步优选，连通图的特征值的计算过程为：

获取连通图的度序列，将度序列转化为对角矩阵可得连通图的度对角矩阵，获取连通图的邻接矩阵；

将度对角矩阵与邻接矩阵相减得到差矩阵，获取差矩阵的特征值序列，即为连通图的特征值序列。

进一步优选，基于初始网络拓扑调整网络节点间连接关系，生成初始网络拓扑的变体，包含下述子过程：

输入初始网络拓扑的连通图；

网络节点连接切换：从任意网络节点出发，断开与该网络节点邻接的其他网络节点，并随机选择异于该网络节点及其邻接网络节点的其他网络节点进行连接；

重复网络节点连接切换，直至所有网络节点全部完成断开原连接并生成新连接；

若存在孤立网络节点，则将孤立网络节点与网络拓扑中其他任一连通网络节点连接，直至拓扑成为连通图，并返回新网络拓扑的连通图。

进一步优选，所述利用连通图的特征值序列计算新网络拓扑与初始网络拓扑间的差异值；在固定跳变周期内选择和初始网络拓扑具有极大差异值的新网络拓扑作为跳变目标网络拓扑，具体过程如下：

调用生成的新网络拓扑；

利用连通图的特征值序列计算新网络拓扑与初始网络拓扑间的差异值δ(G₁,G_new)，δ_crit是显著性水平下两个网络拓扑差异值的临界值，当δ(G₁,G_new)≥δ_crit时，认为在置信水平下，两个网络拓扑之间存在显著性差异；反之则没有显著性差异；

在跳变周期之内，若新生成具有显著性差异新网络拓扑与初始网络拓扑的差异值比之前循环中的差异值大则更新跳变目标网络拓扑，否则进入重新生成新网络拓扑并计算差异值；在跳变周期结束时，得到最终的跳变目标网络拓扑。

进一步地，所述利用连通图的特征值序列计算新网络拓扑与初始网络拓扑间的差异值，具体公式如下：

；

其中，μ_i(G₁)表示初始网络拓扑G₁的连通图的第i个特征值，μ_i(G_new)表示新网络拓扑G_new的连通图的第i个特征值，θ_i表示为第i个特征值的权值。

本发明还提供一种基于拓扑差异性度量的网络动态防御系统，包括：

网络拓扑初始化模块，用于绘制初始网络拓扑，将初始网络拓扑抽象建模为无向无权的连通图，并计算连通图的特征值；

新网络拓扑生成模块，用于基于初始网络拓扑调整网络节点间连接关系，生成初始网络拓扑的变体，所述变体作为新网络拓扑；

跳变目标网络拓扑筛选模块，用于利用连通图的特征值序列计算新网络拓扑与初始网络拓扑间的差异值；在固定跳变周期内选择和初始网络拓扑具有极大差异值的新网络拓扑作为跳变目标网络拓扑；

跳变控制模块，用于将跳变目标网络拓扑还原为流表，并推送至各交换机；

交换机负责部署接收到的流表，调整路由信息，进而改变网络拓扑，从而实现网络动态防御。

进一步优选，所述新网络拓扑生成模块的执行过程如下：

输入初始网络拓扑的连通图；

网络节点连接切换：从任意网络节点出发，断开与该网络节点邻接的其他网络节点，并随机选择异于该网络节点及其邻接网络节点的其他网络节点进行连接；

重复网络节点连接切换，直至所有网络节点全部完成断开原连接并生成新连接；

若存在孤立网络节点，则将孤立网络节点与网络拓扑中其他任一连通网络节点连接，直至拓扑成为连通图，并返回新网络拓扑的连通图。

进一步优选，所述变目标网络拓扑筛选模块的执行过程如下：

调用生成的新网络拓扑；

利用连通图的特征值序列计算新网络拓扑与初始网络拓扑间的差异值δ(G₁,G_new)，δ_crit是显著性水平下两个网络拓扑差异值的临界值，当δ(G₁,G_new)≥δ_crit时，认为在置信水平下，两个网络拓扑之间存在显著性差异；反之则没有显著性差异；

在跳变周期之内，若新生成具有显著性差异新网络拓扑与初始网络拓扑的差异值比之前循环中的差异值大则更新跳变目标网络拓扑，否则进入重新生成新网络拓扑并计算差异值；在跳变周期结束时，得到最终的跳变目标网络拓扑。

本发明还提供一种计算机可读存储介质，其上存有计算机程序，所述计算机程序被执行时，实现上述的基于拓扑差异性度量的网络动态防御方法。

本发明具有以下优点：在规模有限的网络中，实施网络拓扑跳变的过程包含对新旧网络拓扑的差异值量化，得到具有极大拓扑差异值的新拓扑，进而避免了因为网络拓扑相似性而导致的网络拓扑跳变防御失效。通过设置固定跳变周期和排除无效跳变的方式降低网络拓扑跳变的频率，进而降低了网络拓扑跳变的开销。

附图说明

图1为本发明实施例的初始网络拓扑的连通图；

图2为本发明实施例的第一次生成的新网络拓扑的连通图；

图3为本发明实施例的第二次生成的新网络拓扑的连通图；

图4为本发明的方法流程图；

图5为本发明的新网络拓扑生成流程图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚、明确，以下将参照附图和具体实施方式对本发明的技术方案进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

下面将结合附图1-图4，对本发明的流程和方法作进一步说明。一种基于拓扑差异性度量的网络动态防御方法，包括：

S1：绘制初始网络拓扑，将初始网络拓扑抽象建模为无向无权的连通图，并计算连通图的特征值。为了方便计算和抽象，对初始网络拓扑进行简化处理，忽略节点间连通关系的权值，忽略源、目的节点对之间的通信时延，将初始网络拓扑抽象为无向无权的连通图。具体地，本实施例以图1对应的网络拓扑进行说明。

S101：将初始网络拓扑G₁抽象建模为无自环和重边的连通图G₁(V,E)，其中，V={v₁,v₂,…,v_i,…,v_n}表示各网络节点集合，v_i表示第i个网络节点，i∈1～n，n为网络节点数量；E={e₁,e₂,…,e_k,…,e_m }表示网络节点间的链路集合，其中e_k表示第k条链路e_k，代表通过链路e_k连接的两个网络节点的直接连接关系，k∈1～m，m为链路数量。如图1所示，建立的连通图G₁(V,E)，其中网络节点集合为V={v₁,v₂,v₃,v₄,v₅,v₆,v₇,v₈}，网络节点间的链路集合为：E={e₁,e₂,e₃ ,e₄,e₅,e₆ ,e₇ }。

S102：获取连通图G₁(V,E)的度序列{d₁,d₂,…,d_n}，d₁,d₂,…,d_n分别表示连通图G₁ (V,E)的第1,2,…,n个度，将度序列转化为对角矩阵可得连通图G₁(V,E)的度对角矩阵D(G₁) =diag(d₁,d₂,…,d_n)，获取连通图G₁(V,E)的邻接矩阵A(G₁) ，邻接矩阵A(G₁)的元素为A_ij，若 第i个网络节点v_i与第j个网络节点v_j邻接，则A_ij=1,否则A_ij=0。本实施例对应的度序列为 {1,1,1,1,1,1,4,4}，对应的度对角矩阵为diag(1,1,1,1,1,1,4,4)，对应的邻接矩阵为A()中的元素满足A₁₇=A₂₇=A₃₇=A₄₈=A₅₈=A₆₈=A₇₁=A₇₂=A₇₃=A₇₈=A₈₄=A₈₅=A₈₆=A₈₇=1，其他元素全为 0。

S103：将度对角矩阵D(G₁) 与邻接矩阵A(G₁)相减得到矩阵{D(G₁)-A(G₁)}。获取矩阵{D(G₁)-A(G₁)}的特征值序列{μ₁(G₁),μ₂(G₁),…,μ_n(G₁)}, μ₁(G₁),μ₂(G₁),…,μ_n(G₁)分别表示矩阵{D(G₁)-A(G₁)}的第1,2,…,n个特征值，矩阵{D(G₁)-A(G₁)}的特征值序列即为初始网络拓扑G₁的连通图的特征值序列，μ₁(G₁),μ₂(G₁),…,μ_n(G₁)即表示初始网络拓扑G₁的连通图第1,2,…,n个特征值。本实施例所得特征值序列为{0,0.3542,1,1,1,1,4,5.6458}。

S2：基于初始网络拓扑调整网络节点间连接关系，生成初始网络拓扑的变体，所述变体作为新网络拓扑。为保证网络的通信业务不会因为网络拓扑变化而中断，新网络拓扑生成方法需要满足连通约束性条件，即在初始网络拓扑中任意连通的源、目的网络节点对，在新网络拓扑中也必须连通。参照图5，新网络拓扑生成包含下述子过程：

S201：输入初始网络拓扑的连通图G₁(V,E)；

S202：从任意网络节点出发，断开与该网络节点邻接的其他网络节点，并随机选择异于该网络节点及其邻接网络节点的其他网络节点进行连接；

S203：重复步骤S202，直至所有网络节点全部完成断开原连接并生成新连接；

S204：若存在孤立网络节点，则将孤立网络节点与网络拓扑中其他任一连通网络节点连接，直至拓扑成为连通图，并返回新网络拓扑G_new的连通图G_new(V,E)。本实施例按照上述步骤生成一个新网络拓扑G_new的连通图G_new(V,E)，如图2所示。

S3：利用连通图的特征值序列计算新网络拓扑与初始网络拓扑间的差异值；在固定跳变周期内选择和初始网络拓扑具有极大差异值的新网络拓扑作为跳变目标网络拓扑。具体过程如下：

S301：调用步骤S2生成的新网络拓扑G_new；

S302：利用连通图的特征值序列计算新网络拓扑与初始网络拓扑间的差异值δ(G₁,G_new)，δ_crit是显著性水平下两个网络拓扑差异值的临界值，当δ(G₁,G_new)≥δ_crit时，认为在置信水平下，两个网络拓扑之间存在显著性差异；反之则没有显著性差异；

；

其中，μ_i(G₁)表示初始网络拓扑G₁的连通图的第i个特征值，μ_i(G_new)表示新网络拓扑G_new的连通图的第i个特征值，θ_i表示为第i个特征值的权值；

S303：在跳变周期之内，循环重复步骤S301和步骤S302；若新生成具有显著性差异新网络拓扑G_new与初始网络拓扑G₁的差异值比之前循环中的差异值大则更新跳变目标网络拓扑，否则进入下一个循环；在跳变周期结束时，得到最终的跳变目标网络拓扑。

每一次跳变周期开始时的跳变目标网络拓扑为空，本实施例调用S2第一次生成的新网络拓扑G_new1的连通图G_new1(V,E)，如图2所示，计算可得对应的特征值序列为{0,0.1892,0.8207,1.2558,2.2216,3.3354,3.7575,4.4198}，为特征值的权值序列为{0,1,1,1,1,1,1,2}，设置δ_crit=2。则第一次生成的新网络拓扑G_new1与初始网络拓扑间的差异值δ(G₁,G_new1)=5.6255>2，认为具有显著性差异，跳变周期没有结束，进入下一个循环。

本实施例调用第二次生成的新网络拓扑G_new2的连通图如图3所示，计算可得对应的特征值序列为{0,0.5188,0.6571,1,2.3111,2.5293,4.1701,4.8136}，计算第一次生成的新网络拓扑G_new1与初始网络拓扑间的差异值δ(G₁,G_new2)=5.1822>2，则认为具有显著性差异；将该差异值与前一次差异值对比5.1822<5.6255，即第二次生成的新网络拓扑的差异值比第一次更小，则放弃更新跳变目标网络拓扑，并进入下一循环。此处第t+1次生成的新网络拓扑的差异值大于第t次所生成新网络拓扑的差异值，则更新跳变目标网络拓扑。以此类推，在跳变周期结束时得到具有极大差异值的跳变目标网络拓扑。

S4：将跳变目标网络拓扑还原为流表，并推送至各交换机，完成网络拓扑跳变，从而实现网络动态防御。跳变周期结束时，由控制器将跳变目标网络拓扑转换为流表，并推送至各交换机，交换机根据新流表进行数据转发，实现网络拓扑的跳变。

本发明的另一个实施例提供一种基于拓扑差异性度量的网络动态防御系统，由控制器和若干交换机组成，控制器包括网络拓扑初始化模块、新网络拓扑生成模块、跳变目标网络拓扑筛选模块和跳变控制模块；

网络拓扑初始化模块，用于绘制初始网络拓扑，将初始网络拓扑抽象建模为无向无权的连通图，并计算连通图的特征值；

新网络拓扑生成模块，用于基于初始网络拓扑调整网络节点间连接关系，生成初始网络拓扑的变体，所述变体作为新网络拓扑；

跳变目标网络拓扑筛选模块，用于利用连通图的特征值序列计算新网络拓扑与初始网络拓扑间的差异值；在固定跳变周期内选择和初始网络拓扑具有极大差异值的新网络拓扑作为跳变目标网络拓扑；

跳变控制模块，用于将跳变目标网络拓扑还原为流表，并推送至各交换机；

交换机负责部署接收到的流表，调整路由信息，进而改变网络拓扑，从而实现网络动态防御。

其中，新网络拓扑生成模块的执行过程如下：

输入初始网络拓扑的连通图；

网络节点连接切换：从任意网络节点出发，断开与该网络节点邻接的其他网络节点，并随机选择异于该网络节点及其邻接网络节点的其他网络节点进行连接；

重复网络节点连接切换，直至所有网络节点全部完成断开原连接并生成新连接；

若存在孤立网络节点，则将孤立网络节点与网络拓扑中其他任一连通网络节点连接，直至拓扑成为连通图，并返回新网络拓扑的连通图。

其中，跳变目标网络拓扑筛选模块的执行过程如下：

调用生成的新网络拓扑；

利用连通图的特征值序列计算新网络拓扑与初始网络拓扑间的差异值δ(G₁,G_new)，δ_crit是显著性水平下两个网络拓扑差异值的临界值，当δ(G₁,G_new)≥δ_crit时，认为在置信水平下，两个网络拓扑之间存在显著性差异；反之则没有显著性差异；

在跳变周期之内，若新生成具有显著性差异新网络拓扑与初始网络拓扑的差异值比之前循环中的差异值大则更新跳变目标网络拓扑，否则进入重新生成新网络拓扑并计算差异值；在跳变周期结束时，得到最终的跳变目标网络拓扑。

本发明的另一个实施例提供一种计算机可读存储介质，其上存有计算机程序，所述计算机程序被执行时，实现上述的基于拓扑差异性度量的网络动态防御方法。

显然，上述实施例仅仅是为清楚地说明所作的举例，而并非对实施方式的限定。对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其它不同形式的变化或变动。这里无需也无法对所有的实施方式予以穷举。而由此所引伸出的显而易见的变化或变动仍处于本发明创造的保护范围之中。

Claims (6)

1.一种基于拓扑差异性度量的网络动态防御方法，其特征在于，包括：

绘制初始网络拓扑，将初始网络拓扑抽象建模为无向无权的连通图，并计算连通图的特征值；其中，连通图的特征值的计算过程为：获取连通图的度序列，将度序列转化为对角矩阵可得连通图的度对角矩阵，获取连通图的邻接矩阵；将度对角矩阵与邻接矩阵相减得到差矩阵，获取差矩阵的特征值序列，即为连通图的特征值序列；

基于初始网络拓扑调整网络节点间连接关系，生成初始网络拓扑的变体，所述变体作为新网络拓扑；

利用连通图的特征值序列计算新网络拓扑与初始网络拓扑间的差异值；在固定跳变周期内选择和初始网络拓扑具有极大差异值的新网络拓扑作为跳变目标网络拓扑；具体过程如下：

调用生成的新网络拓扑；

利用连通图的特征值序列计算新网络拓扑与初始网络拓扑间的差异值δ(G₁,G_new)，

；

其中，μ_i(G₁)表示初始网络拓扑G₁的连通图的第i个特征值，μ_i(G_new)表示新网络拓扑G_new的连通图的第i个特征值，θ_i表示为第i个特征值的权值；

δ_crit是显著性水平下两个网络拓扑差异值的临界值，当δ(G₁,G_new)≥δ_crit时，认为在置信水平下，两个网络拓扑之间存在显著性差异；反之则没有显著性差异；

在跳变周期之内，若新生成具有显著性差异新网络拓扑与初始网络拓扑的差异值比之前循环中的差异值大则更新跳变目标网络拓扑，否则进入重新生成新网络拓扑并计算差异值；在跳变周期结束时，得到最终的跳变目标网络拓扑；

将跳变目标网络拓扑还原为流表，并推送至各交换机，完成网络拓扑跳变，从而实现网络动态防御。

2.根据权利要求1所述的基于拓扑差异性度量的网络动态防御方法，其特征在于，将初始网络拓扑抽象建模为无向无权的连通图，具体为：将初始网络拓扑G₁抽象建模为无自环和重边的连通图G₁(V,E)，其中，V={v₁,v₂,…,v_i,…,v_n}表示各网络节点集合，v_i表示第i个网络节点，i∈1～n，n为网络节点数量； E={e₁,e₂,…,e_k,…,e_m }表示网络节点间的链路集合，其中e_k表示第k条链路e_k，代表通过链路e_k连接的两个网络节点的直接连接关系，k∈1～m，m为链路数量。

3.根据权利要求1所述的基于拓扑差异性度量的网络动态防御方法，其特征在于，基于初始网络拓扑调整网络节点间连接关系，生成初始网络拓扑的变体，包含下述子过程：

输入初始网络拓扑的连通图；

网络节点连接切换：从任意网络节点出发，断开与该网络节点邻接的其他网络节点，并随机选择异于该网络节点及其邻接网络节点的其他网络节点进行连接；

重复网络节点连接切换，直至所有网络节点全部完成断开原连接并生成新连接；

若存在孤立网络节点，则将孤立网络节点与网络拓扑中其他任一连通网络节点连接，直至拓扑成为连通图，并返回新网络拓扑的连通图。

4.一种基于拓扑差异性度量的网络动态防御系统，其特征在于，包括：

网络拓扑初始化模块，用于绘制初始网络拓扑，将初始网络拓扑抽象建模为无向无权的连通图，并计算连通图的特征值；其中，连通图的特征值的计算过程为：获取连通图的度序列，将度序列转化为对角矩阵可得连通图的度对角矩阵，获取连通图的邻接矩阵；将度对角矩阵与邻接矩阵相减得到差矩阵，获取差矩阵的特征值序列，即为连通图的特征值序列；

新网络拓扑生成模块，用于基于初始网络拓扑调整网络节点间连接关系，生成初始网络拓扑的变体，所述变体作为新网络拓扑；

跳变目标网络拓扑筛选模块，用于利用连通图的特征值序列计算新网络拓扑与初始网络拓扑间的差异值；在固定跳变周期内选择和初始网络拓扑具有极大差异值的新网络拓扑作为跳变目标网络拓扑；跳变目标网络拓扑筛选模块的执行过程如下：调用生成的新网络拓扑；

利用连通图的特征值序列计算新网络拓扑与初始网络拓扑间的差异值δ(G₁,G_new)，

；

其中，μ_i(G₁)表示初始网络拓扑G₁的连通图的第i个特征值，μ_i(G_new)表示新网络拓扑G_new的连通图的第i个特征值，θ_i表示为第i个特征值的权值；

δ_crit是显著性水平下两个网络拓扑差异值的临界值，当δ(G₁,G_new)≥δ_crit时，认为在置信水平下，两个网络拓扑之间存在显著性差异；反之则没有显著性差异；

在跳变周期之内，若新生成具有显著性差异新网络拓扑与初始网络拓扑的差异值比之前循环中的差异值大则更新跳变目标网络拓扑，否则进入重新生成新网络拓扑并计算差异值；在跳变周期结束时，得到最终的跳变目标网络拓扑；

跳变控制模块，用于将跳变目标网络拓扑还原为流表，并推送至各交换机；

交换机负责部署接收到的流表，调整路由信息，进而改变网络拓扑，从而实现网络动态防御。

5.根据权利要求4所述的基于拓扑差异性度量的网络动态防御系统，其特征在于，新网络拓扑生成模块的执行过程如下：

输入初始网络拓扑的连通图；

网络节点连接切换：从任意网络节点出发，断开与该网络节点邻接的其他网络节点，并随机选择异于该网络节点及其邻接网络节点的其他网络节点进行连接；

重复网络节点连接切换，直至所有网络节点全部完成断开原连接并生成新连接；

若存在孤立网络节点，则将孤立网络节点与网络拓扑中其他任一连通网络节点连接，直至拓扑成为连通图，并返回新网络拓扑的连通图。

6.一种计算机可读存储介质，其特征在于，其上存有计算机程序，所述计算机程序被执行时，实现如权利要求1至3中任意一项所述的基于拓扑差异性度量的网络动态防御方法。