CN101719842A - 一种基于云计算环境的分布式网络安全预警方法 - Google Patents

Abstract

本发明公开了一种基于云计算环境的分布式网络安全预警方法，属于网络安全技术领域。所述方法包括设置多个管理域，每个管理域包括一个控制中心节点和一个以上安全代理节点，控制中心节点之间对等连接，安全代理节点通过***设施发现异常事件，提取事件信息并生成报警消息，将所述报警信息发送至本域控制中心节点，控制中心节点接收本域安全代理节点和其他控制中心节点发送的报警消息，并将满足合并条件的中心节点合并为一个任务组；任务组中的安全代理节点之间对等连接，其中一个安全代理节点担任任务协调中心节点，协调组内安全代理节点共同完成任务；任务组通过任务协调中心节点和控制中心节点数据连接。

Description

一种基于云计算环境的分布式网络安全预警方法

技术领域

本发明涉及分布式网络，尤其涉及一种基于云计算环境的分布式网络安全预警方法，属于网络安全技术领域。

背景技术

目前网络恶意代码技术的发展趋势具有爆发性传播、自组织结构和分布式协作等主要特点，近年来以蠕虫、僵尸网络等为代表的新型恶意代码在互联网上以爆发性的速度进行传播，引发难以估量的潜在安全风险。网络黑客可以利用恶意代码搭建的分布式平台，实施大规模的网络入侵和攻击行为，包括窃取或破坏敏感信息、发动大范围的拒绝服务攻击，从事***活动，甚至瘫痪骨干网络服务。为了解决这个问题，几乎所有的网络中都部署了入侵检测***、防火墙、漏洞扫描器、防病毒网关等安全防护设施。尽管这些设施可以对特定类型的攻击行为和特征做出判断和响应，但是由于其安全防护视野仅仅局限于各自的安全域，所以产生的报警难免具有较高的误报率和漏报率，也缺少对异常事件进行全局分析和评估的手段，尤其是在对抗以自适应结构和分布式协作为特征的新型恶意代码时作用有限。因此，如何实现网络安全防护体系的动态自适应协作，组织各类异构网络安全设施有效的共享报警数据，并对安全事件进行全局协同关联分析已经成为目前网络安全领域的迫切需要解决的问题。

典型的分布式网络安全预警***都是以安全域为单位进行部署的网络安全防护设施构建而成的，仅在同一个安全域内的防护设施才具有一定的协作能力，必然就无法核查关于网络入侵和攻击行为的全局状态信息。而当攻击行为是通过网络恶意代码的大规模传播搭建的分布式平台来实施的时候，全局信息可以帮助相关组织机构作出及时准确的判断，分类和响应，而这是依靠传统的网络安全防护***难以实现的。因此，目前主流的分布式网络预警体系结构存在以下缺陷。第一，无自适应性，目前的网络预警模型均采用固定拓扑的体系结构，不具备根据网络安全态势自适应调整的能力，不适用于大规模网络环境；第二，生存性低，多数网络预警模型采用单一预警中心的架构，具有较高的单点失败风险，并且会在该预警中心附近造成网络拥塞；第三，数据流控制能力弱，主流网络预警模型均采用安全数据的集中型共享结构，不能根据攻击类型动态的选择需要交互的数据集，硬件资源和网络带宽的利用率都较低；第四，协作性差，无法对异构的安全防护设施的报警数据进行有效的聚合，跨安全域的数据交换也缺少有效的解决方案。

针对以上问题，发明人认为“协同安全”是应对恶意代码分布式攻击的必然趋势，其根本目标就在于实现不同安全域内异构防护设施的数据共享与资源调度。因此有必要提出一种新型的，具备动态自适应调整和跨安全域协作能力的分布式网络安全预警体系结构。

发明内容

本发明提供一种基于云计算环境的分布式网络安全预警方法，该方法可以有效的整合网络中各种异构安全防护***的数据和资源，使网络安全防护体系具备了动态自适应调整和跨安全域协作的能力，为在大规模网络中部署入侵关联分析，蠕虫特征提取，僵尸网络检测等分布式安全服务提供了基础设施。

为实现上述目标，本发明的技术方案是：

一种基于云计算环境的分布式网络安全预警方法，所述方法包括设置多个管理域，每个管理域包括一个控制中心节点和一个以上与之数据连接的安全代理节点，所述多个管理域的控制中心节点之间对等连接，

所述安全代理节点通过***设施发现异常事件，提取事件信息并按设定格式生成报警消息，将所述报警信息发送至本管理域的控制中心节点，

控制中心节点接收来自本管理域的安全代理节点和其他控制中心节点发送的报警消息，并将满足设定的合并条件的一个以上中心节点合并为一个任务组；

任务组中的安全代理节点之间对等连接，其中一个安全代理节点担任任务协调中心节点，协调组内安全代理节点共同完成设定的任务；

所述任务组通过所述任务协调中心节点和一个控制中心节点数据连接。

优选地，一个安全代理节点可同时加入多个任务组。

优选地，所述任务协调中心节点收集组内各个成员节点的报警消息，进行数据融合和关联分析，由此提取异常事件的特征，并将所述特征发送至本管理域的控制中心；同时，所述任务协调中心节点制定访问控制策略，发布协同控制命令，协调组内各个安全代理对***设施的操作。

优选地，本发明方法在每个管理域中部署多个控制中心节点，仅其中之一处于激活状态，其余处于休眠状态，当所述激活状态下的控制中心节点瘫痪时，激活一个所述休眠状态下的控制中心节点担任新的控制中心节点。

优选地，当所述任务协调中心瘫痪时，根据设定的规则指定任务组内其他安全代理节点之一担任新的任务协调中心节点。

优选地，在上述方法中，控制中心节点之间和任务组中的安全代理节点之间均通过采用DHT算法路由的对等覆盖网结构对等连接。在该对等覆盖网结构中，使用XPath结构化语言作为对共享数据的全局统一查询接口。

优选地，所述任务协调中心节点通过下列方法协调组内安全代理节点共同完成设定的任务：

a)将原始任务T划分成子任务集T_s＝{T_si|i＝1...n}，并将T_si分配给组内各个安全代理节点；

b)任务组中每个安全代理节点均具有调度被分配的子任务在本地进行处理的线程，和监听其他节点发送的request消息的另一线程；

c)任务组中每个安全代理节点均维护一祖先节点列表ancestor_list，当该节点闲置时，依序向ancestor_list中的成员节点发送request消息；

d)当节点A收到节点B的request消息时，若节点B已在节点A的ancestor_list中，则节点A抛弃该request消息；否则，在本地的子任务集中选择r个尚未被调度的子任务，用dispatch消息回复节点B，同时节点A将其ancestor_list发送给节点B，节点B由此更新自身的ancestor_list。

进一步，所述任务协调中心节点通过下列方法协调组内安全代理节点共同完成设定的任务：

a)每个安全代理节点构造子节点列表child_list和淘汰节点列表obsolete_list，其中child_list记录该节点当前按M值从低到高排序的子节点，所述M＝C+N_d，其中C表示子节点的计算吞吐率，N_d表示子节点的网络延迟；

b)每次任务调度结束后刷新child_list，并将M值最高的子节点列入obsolete_list，obsolete_list中的节点的request消息在设定时间内得不到响应；

c)每段设定长度的时间后将M值最低的子节点发送给父节点，父节点将其列入自身的child_list。

下面对本发明方法作更为详细具体的说明。

本发明方法基于一组广泛分布在受保护网络中的自治节点构建而成的层次化动态对等覆盖网体系结构。设计这一体系结构的目的在于提供底层的分布式协作和数据共享框架，使得部署在大规模网络环境中的各类异构防护设施都能够接入到一个自适应的全局安全防护体系中，从而具备跨安全域的数据共享和对等协作能力，可以执行协同检测和防护任务。

上述体系结构的示意图如图1所示。该体系结构中包括四类角色的节点：

1)控制中心：每个管理域都配置一个控制中心，它负责管理域内的决策和协调，以及报警消息汇总和发布。各个管理域的控制中心，通过对等连接形成控制中心集群，从而进行数据共享和协同工作，实现全局检测和防护。

2)安全代理：安全代理提供一个通用接口，使各类异构的***设施可以接入到全局安全防护体系中。每个安全代理都可以同时加入多个任务组，一方面，它接收任务协调中心发布的安全策略和控制指令，指导***设施进行协同工作；另一方面，安全代理负责收集***设施检测到的异常事件，进行预处理后形成报警消息，再通过分布式消息共享机制发布到任务组中。

3)***设施：***设施是现有技术中对IDS、防火墙、漏洞扫描器、防病毒网关等各类异构网络安全防护设施的功能抽象，它是全局安全防护体系的数据提供者和功能执行者。

4)任务协调中心：一个以上的安全代理动态组建一个任务组。任务组是进行分布式协作的最小组织单位。每个任务组都会从组内安全代理中配置一个任务协调中心，一方面，它接受来自控制中心的任务命令，制定安全策略，协调任务组中的所有成员节点执行协同任务；另一方面，任务协调中心负责将各个成员节点收集到的报警消息进行数据融合和关联分析，并将提取的异常事件(比如网络入侵或攻击行为)的关键特征报告给其所在管理域的控制中心。

需要强调的是，上述节点角色类别只是对等覆盖网体系中的应用层功能的逻辑划分，并非一一对应物理网络节点，理论上每个物理网络节点都可以充当一个或多个独立的逻辑节点，只要其部署了相应的应用层模块并接入对等覆盖网体系即可。

另外，从逻辑结构来分析，上述体系结构形成三层覆盖网结构：

1)管理域

本发明根据网络拓扑结构以及安全防护设施的分布情况，将受保护网络划分成若干区域，称为管理域。设立管理域的目的在于将大规模网络划分成若干自治区域，使每个区域都具备自主决策和控制能力，再通过所有管理域之间的相互协作来实现整个受保护网络的安全性。虽然与传统网络安全防护体系中根据物理结构固定划分的安全域一样，每个管理域都对应一个或多个IP网段，所属网段的主机、服务器、路由器、网关等具有联网能力的设备，都是该管理域的负责范围。但是安全域是一个封闭的静态结构，不同的安全域的设施之间不存在协同工作和共享信息的能力。而该体系结构是一个动态组织的层次化对等结构，所有的管理域都通过对等覆盖网联系在一起，彼此协作组成一个全局网络安全防护体系。

各个管理域之间是互斥的关系，任何节点都只能加入一个管理域。该体系结构会维护管理域和IP地址之间的映射关系表，用于节点的起始引导，这个映射表存储在所有的控制中心上，并且可以进行动态调整。当一个节点申请加入该***时，它首先需要找到其IP地址所属管理域的控制中心。由于映射表是分布式存储在各个控制中心上，因此查询其中任何一个都可以获取引导信息。

控制中心在管理域中负责对等节点的起始引导，任务组的调度，网络攻击特征库的分布式存储，安全策略的制定和分发等功能。在每个管理域中均有多个节点部署控制中心的应用模块，但是其中只有一个处于激活状态，其它的处于休眠状态的控制中心节点用于管理域核心数据的备份，但是不参与管理域的控制。如果当前的控制中心由于硬件故障或是遭受DDOS攻击而瘫痪时，该管理域会随机选择激活休眠节点之一担任新的控制中心。即使在最极端的情况下，所有休眠的控制中心都无法被激活时，该体系结构亦可以动态调整管理域和IP地址的映射关系表，将当前管理域分拆成若干子域并入其它正常运行的控制中心。

2)任务组覆盖网

任务组是采用DHT算法构建的对等覆盖网结构，并在此基础上构建分布式消息共享机制。

当某个安全代理发现网络异常事件时，可以向所在管理域的控制中心申请建立一个任务组。如有其它安全代理发现具有相似特征的网络异常事件并申请创建任务组时，控制中心会查询网络异常事件库，若发现当前已经建立任务组对该事件进行协同分析时，该安全代理会被指派加入该任务组。

每个任务组中都有一个超级节点充当任务协调中心，它的职责是对各安全代理采集的网络异常数据实施数据融合和关联分析，提取攻击特征、入侵意图、攻击路径等信息。除此以外，任务协调中心还负责根据确定的检测结果，制定访问控制策略，发布协同控制命令，协调各个安全代理对***设施的操作，从而提供动态自适应的网络防护能力。当任务协调中心由于硬件故障或是遭到DDOS攻击而瘫痪时，根据超级节点动态选择算法指派其余成员节点之一担任新的任务协调中心。

在该体系结构中，各个任务组之间并不是互斥关系，一个安全代理可以同时加入多个任务组并行执行多项协同任务。但是，为了避免复杂的协作关系，通常限制一个安全代理最多只能在一个任务组中担任任务协调中心。

3)控制中心集群覆盖网

受保护网络中所有管理域的控制中心形成一个对等连接的覆盖网，称为控制中心集群。控制中心集群是全局唯一的，位于DPOH模型的最高层次，它的主要功能是实现网络攻击特征库的分布式共享。为了提高数据查询的效率和对等结构的鲁棒性，控制中心集群采用DHT算法进行节点路由，并在此基础上构建分布式数据存储机制。每个管理域在其内部的协同检测过程中都会发现大量攻击特征信息，通过控制中心集群的数据共享机制，各个管理域都可以高效的在全网范围内查询这些信息，提高协同防护的效率。

控制中心集群的另一个重要功能是实现协同任务的跨管理域协调。以协同检测为例，当管理域A的安全代理发现一个高威胁度的网络异常事件，并向其所从属的控制中心提出协同检测申请时，该控制中心可以在控制中心集群中进行广播查询，若管理域B的控制中心发现已经成立任务组对类似网络异常事件进行检测时，它便会向管理域A的控制中心回复相关的控制消息，这样管理域A的安全代理便可以加入到管理域B的任务组中进行一次协同检测任务。

总的来说，和现有技术相比，本发明方法具有以下优势：

1)自适应对等结构：传统的网络安全预警体系结构均采用固定拓扑结构，不具备根据网络安全态势自适应调整的能力，不适用于大规模网络环境。本发明一方面具备良好的可生存性，不存在单点依赖的问题，任何一个对等节点失效后，其功能都可以被其它节点所取代，使得攻击者无法通过瘫痪若干节点来破坏整个体系；另一方面又有良好的可扩展行，各个节点无需关心其所在的物理位置和拓扑结构，就可以很方便的加入全局体系之中。

2)分布式消息共享：实现高效率的分布式消息共享，是支撑云计算环境的核心技术之一。当攻击行为是通过网络恶意代码的大规模传播搭建的分布式平台来实施的时候，全局信息可以帮助相关组织机构作出及时准确的判断，分类和响应，而传统网络安全预警体系结构不具备数据共享的能力，或者采用低效的集中型共享结构，不能根据攻击类型动态的选择需要交互的数据集，硬件资源和网络带宽的利用率都较低。本发明可以有效的实现安全相关数据分布式共享，从而可以整合各类异构网络安全防护***的数据资源，实现了安全报警消息的分布式存储和查询机制，为在云计算环境下部署分布式网络安全服务提供基本的支撑。

3)分布式任务调度：实现计算任务的分布式调度，是支撑云计算环境的另一个核心技术。在基于云计算环境的分布式网络预警***下，客户端获取的网络安全服务并非由单一安全防护***提供，而是大量网络安全资源协同工作的成果。因此，分布式任务调度机制可以将任务组覆盖网的所有成员节点连接起来形成一个动态的，对等的和自组织的网格***，使每个节点都能参与对数据的分析，最终将分析结果汇总到一起，从而实现计算资源的合理配置。因此，本发明能够根据分布式攻击的全局状态和范围，动态的组织跨安全域协同检测和防护任务，最大可能的实现网络安全资源的“按需分配”。

附图说明

图1为本发明的总体结构示意图；其中：1-控制中心节点；2-安全代理节点；3-***设施；4-任务协调中心节点；7-管理域；8-控制中心集群覆盖网；9-任务组覆盖网；

图2为本发明实施例安全代理节点的***组成与模块间详细关系示意图；

图3为本发明实施例任务协调中心节点的***组成与模块间详细关系示意图；

图4为本发明实施例控制中心节点的***组成与模块间详细关系示意图。

具体实施方式

下面结合附图通过实施例对本发明核心技术内容作进一步详细描述。

本实施例描述一个具体的基于云计算环境的分布式网络安全预警体系结构。

本实施例体系结构是由自上而下的三层对等覆盖网，和包括控制中心，任务协调中心和安全代理在内三类核心节点组成的动态层次化体系结构。在其基础上构建的原型***的总体功能可以概括如下：

1)将源于各类网络安全防护设施的报警信息进行一致化处理，通过动态组织的协同关联分析提取攻击特征，从而对局部的网络入侵或攻击进行预警；

2)生成全局攻击场景图并对未来的攻击意图和路径进行预判，从而进一步组织主动协同防护。

本实施例安全代理节点所包含的模块及模块之间的关系如图2所示：

1)报警消息生成

在本实施例的原型***中，选用Snort入侵检测软件作为***设施，并为Snort开发通过专用协议与安全代理节点通信的插件，使其可以将检测到的异常网络行为通过安全代理以报警消息的形式发布到整个分布式网络预警体系之中。当然，在具体的安全应用中，可将更多的异构网络安全设施接入到该***中，来实现更广泛意义的协同安全机制。

2)数据预处理

数据预处理的最终结果是将由各类异构网络安全防护设施所产生的具有不同表述方式的报警数据统一成具有相同格式的报警消息。本实施例在基于IDMEF的XML格式基础上进一步扩展，形成该体系结构的一致化消息处理框架。

3)报警消息聚合

本实施例在安全代理节点上采用基于分析报警根原因的报警分簇算法，从而可将类似的报警消息进行分组，归纳和总结，减少冗余报警对***的负载。该算法的一个前提假设就是每一个报警的产生都是根源于该报警的根原因，因此该方法的重点在于根原因的确认和分析。

任务协调中心节点所包含的模块及模块之间的关系如图3所示：

1)安全资源库

安全资源库主要保存与任务组相关的信息资源，用于支持在执行关联分析和协同防护时生成协作模型，安全资源库存储的具体数据包括：

a)该任务组中所有安全代理的注册信息，以及相应的访问控制级别。

b)该任务组中部署的网络安全防护设施清单，包括各个设施的类型码，IP地址，工作状态，对应安全代理的节点ID等信息。

c)该任务组在关联分析中获得的入侵报告消息的IP地址，发生频数，特征值等统计分析的结果。把这些数据保存起来并且提交给控制中心，有助于控制中心对整个受保护网络的安全态势进行评估。

2)协作模型生成

任务协调中心负责单一任务的协调控制，其核心功能就是为检测和防护生成自适应的协作模型。在本实施例中，参考专家***的设计原理，针对不同的网络报警类型和威胁程度，预置相应的安全规则。任务协调中心根据这些规则的指导，结合攻击特征库，安全策略库和安全资源库里的信息，建立初步的协作检测和防护模型。其后，任务协调中心还可以根据安全代理在协同检测和防护过程中的反馈信息，实时地调整协作模型的具体参数，以使模型对环境变化具有动态自适应的能力。

3)报警关联分析

在本实施例原型***中，采用目前比较成熟和易于实现的基于因果关系的报警关联与攻击场景图生成算法。算法的核心思想是任何攻击的发生必然有其条件，因而针对攻击的前提和结构就可以将两个独立的攻击事件结合起来，同时根据概率匹配算法得出匹配指数，进而生成攻击场景图。

控制中心节点所包含的模块及模块之间的关系如图4所示，在原型***中，控制中心节点主要承担以下功能：

1)接收并处理本管理域的安全代理发送的报警消息，组织任务组实施协同检测和防护；

2)接受并处理其它管理域的控制中心发送的报警消息，在全网范围内实施消息聚合，实现跨管理域的协同检测与防护。

3)将各个任务组生成的攻击场景图以及提取的攻击特征保存到攻击特征库中，对管理域内整体安全态势实施评估。并且在后续的协同检测和防护任务中，可以将关联分析的初步结果与攻击特征库中的数据进行匹配，进而假设今后可能发生的攻击并指导对其进行主动防御。

下面详细叙述支撑整个云计算环境的两个核心技术的实现。

1)基于DHT的分布式消息共享机制

为了增强异构网络安全防护设施的可交互性，并且使得本发明具有高可扩展性，本实施例采用一个基于IDMEF的一致化消息处理框架，将XML格式作为数据表示和交换的应用标准。如上面所述，作为核心拓扑结构的任务组覆盖网和控制中心集群覆盖网均是采用DHT算法进行节点路由。因此，作为云计算环境的核心技术之一，本实施例实现在结构化对等覆盖网中的安全消息的分布式共享。

a)存储XML树

在每个XML文档中，所有中间节点只包含路径信息，而实际应用所需的信息都包含在叶子节点中，这些叶子节点包括文本节点，属性节点和空元素。因此，本实施例算法只将XML树中的每个叶子节点都映射到Chord网络中，并不映射中间节点。具体说，对于每个要存储的XML文档，首先提取所有的叶子节点，将每个叶子节点表示为五元组：

(PID，DID，pe，tag，value)，

其中PID是提供原始XML文档的Chord节点的唯一标识符，DID是XML文档的在原始节点上的唯一标识符，pe是该叶子节点的路径表达式，tag是保存节点结构信息的Dewey序列，value就是该叶子节点的值。该算法首先将给定的XML文档转换成一棵XML树，将其中的三个叶子的内容提取出来，并且保存成上述的五元组形式。其后，以每个叶子的名称作为关键字，用Chord算法进行DHT路由，从而实现整个XML文档的分布式存储。

b)查询叶子节点

在本实施例中，使用XPath格式来构造对分布式共享数据的查询消息。XPath表达式使用路径序列来选取XML文档中的节点和节点集，路径序列中的每个元素都是由轴(Axes)，节点(Nodes)和谓语(Predicates)三部分组成。根据原型***的实际应用需求，只选取XPath表达式的一个子集来实现分布式查询功能，这个子集可以表达三种节点关系，分别是子节点轴(“/”)，后代节点轴(“//”)和谓语(“[]”)。

这里，先讨论最简单的情形，即对叶子节点的查询。假定XPath查询消息r的表达式是：

|s₁|s₂|...|s_n，

其中s_i表示路径序列中每个节点的名称，s_n是叶子节点，“|”表示轴，包括子节点(“/”)和后代节点(“//”)两种关系，对谓语节点的处理在下文中再加以讨论。对叶子节点的查询算法如下：

i.从XPath查询消息中提取最后一个节点的名称(即叶子节点s_n)，将其作为关键字，使用Chord算法进行DHT路由；

ii.对在Chord网络中搜索到的每一个匹配关键字s_n的五元组(PID，DID，pe，tag，value)，检查其路径表达式pe是否与消息r的字符模式相一致，并将其中不符合的过滤掉。

c)查询内部节点

对内部节点的查询就是要重构以该内部节点为根的XML片段。虽然在Chord网络中并没有存储任何内部节点的值，但是由于保存了叶子节点的Dewey序列tag，因而拥有重构XML子树所必需的结构化信息。同样的，首先假定XPath查询消息r的表达式是：

|s₁|s₂|...|s_n，

其中s_i表示路径序列中每个节点的名称，“|”表示轴，包括子节点(“/”)和后代节点(“//”)两种关系。对内部节点的查询算法如下：

i.根据查询消息r所对应的路径序列，遍历该XML文档所对应的路径前缀树，若发现s_n没有子节点，则将消息r作为输入参数调用算法2)；

ii.若s_n有子节点，则对s_n的每个子节点c_i，构造查询消息r_i＝|s₁|s₂|...|s_n|c_i，重复步骤i；

iii.根据查询到的所有叶子节点的内容，重构以内部节点s_n为根的XML子树，其中每个叶子节点的Dewey序列tag可以用以确定该节点与其兄弟节点的相对位置。

d)查询谓语节点

谓语节点用于对XML片段的条件查询，为了支持谓语节点，进一步扩展出两阶段查询算法。假定有这样一个XPath查询消息：

r＝/Alert[@messageid＝″001″]/Source；

i.首先将这个查询消息分拆成两部分r₁＝/Alert/@messageid和r₂＝/Alert/Source；

ii.第一阶段查询(条件查询)：以消息r1为输入参数，调用算法2)，对查询到的每个五元组(PID，DID，pe，tag，value)，检查其value是否为“001”，将符合该条件的(PID，DID)对保留下来，作为下一阶段查询的输入参数；

iii.第二阶段查询(目标查询)：以消息r₂为输入参数，调用算法3)，对查询到的每个五元组(PID，DID，pe，tag，value)，检查其(PID，DID)对是否和第一阶段查询的结果相匹配，并将其中不符合的过滤掉。

2)基于自组织网格的分布式任务调度算法

任务组覆盖网是进行分布式消息共享的最小单位，但是对数据的分析任务是由任务协调中心来承担的，任务组中的安全代理节点的计算资源被闲置。本实施例的基本思路就是在任务组上再构造一层任务调度覆盖网，将所有成员节点连接起来形成一个小型的网格***，通过任务调度算法使每个节点都能参与对数据的分析计算，最终将分析结果汇总到一起，从而实现计算资源的按需配置。但是与传统的网格***不同，任务组是一个动态的，对等的和自组织的体系结构无法像传统的网格***那样采用集中化的任务调度算法。为了适应分布式协同安全的具体需求，本实施例提出一个分布式的，自组织的任务调度算法。

基本的调度算法如下：

i.初始节点将原始任务T划分成子任务集T_s＝{T_si|i＝1...n}，其中的每个元素T_si都是彼此独立的子任务；

ii.任务组中每个安全代理节点都有的一个线程调度这些子任务在本地进行处理，另一个线程监听其他节点发送的request消息；

iii.任务组中每个安全代理节点都会维护一个祖先节点列表ancestor_list，当该节点没有任务正在被处理时，它就会按次序向ancestor_list的成员节点发送request消息；

iv.如果节点A接受到节点B的request消息，就会在本地的子任务集中选择r个尚未被调度子任务，用dispatch消息回复节点B，这样节点A就和节点B形成了一对parent/child关系。同时节点A会将自己的ancestor_list发送给节点B，使节点B能够更新自己的ancestor_list。

v.为了保证这个任务调度过程中不出现循环调度，如果节点A接受到节点B的request消息，但是发现节点B出现在自己的ancestor_list中，这样节点就会抛弃这个request消息。

上述基本调度算法可以使任务组从初始的对等结构，不断的调整形成一个较为稳定的树状结构的任务调度覆盖网。但是任务组的各个成员节点的计算性能以及物理网络带宽都存在着差异，理想情况下应该使性能较高的节点优先得到调度，性能较低的节点最后得到调度。但按照上述基本调度算法，不同性能的节点在树状结构上中分布基本上是随机的，因此，进一步设计一个动态优化算法，使得高性能节点的分布更靠近树根，而性能低的节点集中于叶子。

首先定义节点的性能度量M＝C+N_d，其中C表示计算吞吐率，N_d表示网络延迟。在M值无法准确测量时，采用的计算方法是统计前后两次调度r个子任务之间的时间间隔T_r，并取R次的平均值，作为M的近似值。

分布式任务调度的动态优化算法如下：

i.每个安全代理节点构造子节点列表child_list和淘汰节点列表obsolete_list，child_list记录着该节点目前所有的子节点，并且按照M值从低到高排序；

ii.横向优化：每次任务调度结束后重新计算child_list中成员节点的M值，性能好的子节点下次优先得到调度，性能最差的进入obsolete_list，进入obsolete_list的节点在制定时间内的request消息将不会得到响应；

iii.纵向优化：每个一段时间内将M值最低的子节点推荐给父节点，从而使父节点的child_list得到更新。

尽管为说明目的公开了本发明的具体实施例和附图，其目的在于帮助理解本发明的内容并据以实施，但是本领域的技术人员可以理解：在不脱离本发明及所附的权利要求的精神和范围内，各种替换、变化和修改都是可能的。因此，本发明不应局限于最佳实施例和附图所公开的内容，本发明要求保护的范围以权利要求书界定的范围为准。

Claims (10)

1.一种基于云计算环境的分布式网络安全预警方法，其特征在于，所述方法包括设置多个管理域，每个管理域包括一个控制中心节点和一个以上与之数据连接的安全代理节点，所述多个管理域的控制中心节点之间对等连接，

所述安全代理节点通过***设施发现异常事件，提取事件信息并按设定格式生成报警消息，将所述报警信息发送至本管理域的控制中心节点，

控制中心节点接收来自本管理域的安全代理节点和其他控制中心节点发送的报警消息，并将满足设定的合并条件的一个以上中心节点合并为一个任务组；

任务组中的安全代理节点之间对等连接，其中一个安全代理节点担任任务协调中心节点，协调组内安全代理节点共同完成设定的任务；

所述任务组通过所述任务协调中心节点和一个控制中心节点数据连接。

2.如权利要求1所述的基于云计算环境的分布式网络安全预警方法，其特征在于，所述任务协调中心节点收集组内各个成员节点的报警消息，进行数据融合和关联分析，由此提取异常事件的特征，并将所述特征发送至本管理域的控制中心。

3.如权利要求2所述的基于云计算环境的分布式网络安全预警方法，其特征在于，所述任务协调中心节点制定访问控制策略，发布协同控制命令，协调组内各个安全代理对***设施的操作。

4.如权利要求1所述的基于云计算环境的分布式网络安全预警方法，其特征在于，在每个管理域中部署多个控制中心节点，仅其中之一处于激活状态，其余处于休眠状态，当所述激活状态下的控制中心节点瘫痪时，激活一个所述休眠状态下的控制中心节点担任新的控制中心节点。

5.如权利要求1所述的基于云计算环境的分布式网络安全预警方法，其特征在于，一个安全代理节点同时加入多个任务组。

6.如权利要求1所述的基于云计算环境的分布式网络安全预警方法，其特征在于，当所述任务协调中心瘫痪时，根据设定的规则指定任务组内其他安全代理节点之一担任新的任务协调中心节点。

7.如权利要求1所述的基于云计算环境的分布式网络安全预警方法，其特征在于，所述控制中心节点之间和所述任务组中的安全代理节点之间均通过采用DHT算法路由的对等覆盖网结构对等连接。

8.如权利要求7所述的基于云计算环境的分布式网络安全预警方法，其特征在于，在所述对等覆盖网结构中，使用XPath结构化语言作为对共享数据的全局统一查询接口。

9.如权利要求1所述的基于云计算环境的分布式网络安全预警方法，其特征在于，所述任务协调中心节点通过下列方法协调组内安全代理节点共同完成设定的任务：

a)将原始任务T划分成子任务集T_s＝{T_si|i＝1...n}，并将T_si分配给组内各个安全代理节点；

b)任务组中每个安全代理节点均具有调度被分配的子任务在本地进行处理的线程，和监听其他节点发送的request消息的另一线程；

c)任务组中每个安全代理节点均维护一祖先节点列表ancestor_list，当该节点闲置时，依序向ancestor_list中的成员节点发送request消息；

d)当节点A收到节点B的request消息时，若节点B已在节点A的ancestor_list中，则节点A抛弃该request消息；否则，在本地的子任务集中选择r个尚未被调度的子任务，用dispatch消息回复节点B，同时节点A将其ancestor_list发送给节点B，节点B由此更新自身的ancestor_list。

10.如权利要求9所述的基于云计算环境的分布式网络安全预警方法，其特征在于，所述任务协调中心节点通过下列方法协调组内安全代理节点共同完成设定的任务：

a)每个安全代理节点构造子节点列表child_list和淘汰节点列表obsolete_list，其中child_list记录该节点当前按M值从低到高排序的子节点，所述M＝C+N_d，其中C表示子节点的计算吞吐率，N_d表示子节点的网络延迟；

b)每次任务调度结束后刷新child_list，并将M值最高的子节点列入obsolete_list，obsolete_list中的节点的request消息在设定时间内得不到响应；

c)每段设定长度的时间后将M值最低的子节点发送给父节点，父节点将其列入自身的child_list。

Images