一种基于拟态防御架构的安全接入方法及平台与流程

1.本发明涉及信息安全技术领域，尤其涉及一种基于拟态防御架构的安全接入方法及平台。


背景技术：

2.目前，随着网络技术的不断发展，越来越多的终端设备投入使用。随着运算能力的提升，终端设备所承担的工作也向更多、更复杂、更敏感的方向发展，越来越多的敏感数据将经由这些设备被收集、分析，完成相应的任务，越来越多的不法分子将会盯上这些敏感数据并妄图收集它们以达到不可告人的目的。
3.因此，网络系统的安全性也将会面临越来越严峻的考验，时刻关注网络系统的安全，并及时改进、提升系统安全性是一项亟待解决的问题。


技术实现要素：

4.有鉴于此，本发明提供了一种基于拟态防御架构的安全接入方法，能够根据拟态防御，对认证节点采用异构冗余的内生安全构造，保证认证过程的安全可靠。
5.本发明提供了一种基于拟态防御架构的安全接入方法，包括：
6.通过访问控制节点接收客户端发送的将认证信息封装成认证报文的报文；
7.通过所述访问控制节点分析接收到的所述报文是否为认证报文，若是，则将所述认证报文转发至拟态表决器；
8.通过所述拟态表决器将接收到的所述认证报文分发给三个功能等价的运行在异构平台的认证节点；
9.通过所述三个功能等价的运行在异构平台的认证节点分别对所述认证报文携带的信息进行认证，生成认证结果，并将所述认证结果响应给所述拟态表决器，其中，当认证通过时，所述认证结果包括一个key，当认证失败时，所述认证结果包括失败码；
10.通过所述拟态表决器对所述认证结果进行表决，若表决通过，则将三路响应信息合为一路后发送给所述访问控制节点；
11.当认证通过时，通过所述访问控制节点基于所述key生成会话id，并将所述会话id发送至所述客户端，以使所述客户端基于所述会话id与所述访问控制节点建立链接；
12.当认证失败时，通过所述访问控制节点将所述失败码发送至所述客户端。
13.优选地，当所述客户端与所述访问控制节点建立链接后，还包括：
14.通过所述访问控制节点接收所述客户端定时向所述访问控制节点发送的心跳报文。
15.优选地，当所述客户端与所述访问控制节点建立链接后，还包括：
16.通过所述访问控制节点接收所述客户端发送的资源访问报文，其中，所述资源访问报文中携带有所述会话id；
17.通过所述访问控制节点验证所述资源访问报文中携带的所述会话id是否合法，若
是，则将所述资源访问报文转发至业务资源，以使所述客户端基于所述资源访问报文从所述业务资源获取资源。
18.一种基于拟态防御架构的安全接入平台，包括：访问控制节点、拟态表决器，以及三个功能等价的运行在异构平台的认证节点；其中：
19.所述访问控制节点，用于接收客户端发送的封装了认证信息的认证报文；
20.所述访问控制节点，还用于分析接收到的所述报文是否为认证报文，若是，则将所述认证报文转发至所述拟态表决器；
21.所述拟态表决器，用于将接收到的所述认证报文分发给三个功能等价的运行在异构平台的认证节点；
22.所述三个功能等价的运行在异构平台的认证节点，用于分别对所述认证报文携带的信息进行认证，生成认证结果，并将所述认证结果响应给所述拟态表决器，其中，当认证通过时，所述认证结果包括一个key，当认证失败时，所述认证结果包括失败码；
23.所述拟态表决器，还用于对所述认证结果进行表决，若表决通过，则将三路响应信息合为一路后发送给所述访问控制节点；
24.当认证通过时，所述访问控制节点，还用于基于所述key生成会话id，并将所述会话id发送至所述客户端，以使所述客户端基于所述会话id与所述访问控制节点建立链接；
25.当认证失败时，所述访问控制节点，还用于将所述失败码发送至所述客户端。
26.优选地，当所述客户端与所述访问控制节点建立链接后，所述访问控制节点还用于接收所述客户端定时向所述访问控制节点发送的心跳报文。
27.优选地，当所述客户端与所述访问控制节点建立链接后，所述访问控制节点还用于接收所述客户端发送的资源访问报文，其中，所述资源访问报文中携带有所述会话id；
28.所述访问控制节点，还用于验证所述资源访问报文中携带的所述会话id是否合法，若是，则将所述资源访问报文转发至业务资源，以使所述客户端基于所述资源访问报文从所述业务资源获取资源。
29.综上所述，本发明公开了一种基于拟态防御架构的安全接入方法，当需要实现可靠的网络接入时，首先通过访问控制节点接收客户端发送的将认证信息封装成认证报文的报文；然后通过访问控制节点分析接收到的报文是否为认证报文，若是，则将认证报文转发至拟态表决器；通过拟态表决器将接收到的认证报文分发给三个功能等价的运行在异构平台的认证节点；通过三个功能等价的运行在异构平台的认证节点分别对认证报文携带的信息进行认证，生成认证结果，并将认证结果响应给所述拟态表决器，其中，当认证通过时，认证结果包括一个key，当认证失败时，认证结果包括失败码；通过拟态表决器对认证结果进行表决，若表决通过，则将三路响应信息合为一路后发送给访问控制节点；当认证通过时，通过访问控制节点基于key生成会话id，并将会话id发送至客户端，以使客户端基于会话id与访问控制节点建立链接；当认证失败时，通过访问控制节点将失败码发送至客户端。本发明能够根据拟态防御，对认证节点采用异构冗余的内生安全构造，保证认证过程的安全可靠。
附图说明
30.为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现
有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
31.图1为本发明公开的一种基于拟态防御架构的安全接入方法实施例1的方法流程图；
32.图2为本发明公开的一种基于拟态防御架构的安全接入方法实施例2的方法流程图；
33.图3为本发明公开的一种基于拟态防御架构的安全接入平台实施例1的结构示意图；
34.图4为本发明公开的一种基于拟态防御架构的安全接入平台实施例2的结构示意图。
具体实施方式
35.下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
36.如图1所示，为本发明公开的一种基于拟态防御架构的安全接入方法实施例1的流程图，所述方法可以包括以下步骤：
37.s101、通过访问控制节点接收客户端发送的将认证信息封装成认证报文的报文；
38.当需要实现可靠的网络接入时，首先客户端将认证信息(如，证书)封装成认证报文，发送到访问控制节点。访问控制节点接收客户端发送的报文。
39.s102、通过访问控制节点分析接收到的报文是否为认证报文，若是，则将认证报文转发至拟态表决器；
40.在访问控制节点接收到客户端发送的将认证信息封装成认证报文的报文后，进一步对接收到的报文进行分析，通过分析当接收到的报文是认证报文时，将认证报文转发至拟态表决器。
41.s103、通过拟态表决器将接收到的认证报文分发给三个功能等价的运行在异构平台的认证节点；
42.拟态表决器在接收到访问控制节点发送的认证报文后，进一步将接收到的认证报文分发给三个功能等价的运行在异构平台的认证节点(认证节点1、认证节点2和认证节点3)。其中，认证节点1、认证节点2和认证节点3包括但不限于申威、x86、arm、龙芯等架构。
43.s104、通过三个功能等价的运行在异构平台的认证节点分别对认证报文携带的信息进行认证，生成认证结果，并将认证结果响应给拟态表决器，其中，当认证通过时，认证结果包括一个key，当认证失败时，认证结果包括失败码；
44.认证节点1、认证节点2和认证节点3分别对认证报文携带的信息进行认证，如果认证通过，则生成一个key的认证结果，如果认证失败，则生成相应的失败码的认证结果，并将生成的认证结果响应给拟态表决器。
45.s105、通过拟态表决器对认证结果进行表决，若表决通过，则将三路响应信息合为
一路后发送给访问控制节点；
46.然后通过拟态表决器对认证结果按照一定的算法进行表决，如果表决通过，则将三路响应信息合为一路，发给访问控制节点，如果表决不通过，表征此次认证存在漏洞利用嫌疑，拟态表决器将报警，并且丢掉此次响应结果。
47.s106、当认证通过时，通过访问控制节点基于key生成会话id，并将会话id发送至客户端，以使客户端基于会话id与访问控制节点建立链接；
48.访问控制节点收到响应信息后，如果认证成功，则在key的基础上，使用算法生成会话id，并将生成的会话id发送给客户端，客户端接收到认证成功的会话id，则认证成功，与访问控制节点建立链接。
49.s107、当认证失败时，通过访问控制节点将失败码发送至客户端。
50.访问控制节点收到响应信息后，如果认证失败，则发送失败码给客户端，客户端认证失败，不能与访问控制节点建立链接。
51.综上所述，在上述实施例中，当需要实现可靠的网络接入时，首先通过访问控制节点接收客户端发送的将认证信息封装成认证报文的报文；然后通过访问控制节点分析接收到的报文是否为认证报文，若是，则将认证报文转发至拟态表决器；通过拟态表决器将接收到的认证报文分发给三个功能等价的运行在异构平台的认证节点；通过三个功能等价的运行在异构平台的认证节点分别对认证报文携带的信息进行认证，生成认证结果，并将认证结果响应给所述拟态表决器，其中，当认证通过时，认证结果包括一个key，当认证失败时，认证结果包括失败码；通过拟态表决器对认证结果进行表决，若表决通过，则将三路响应信息合为一路后发送给访问控制节点；当认证通过时，通过访问控制节点基于key生成会话id，并将会话id发送至客户端，以使客户端基于会话id与访问控制节点建立链接；当认证失败时，通过访问控制节点将失败码发送至客户端。能够根据拟态防御，对认证节点采用异构冗余的内生安全构造，保证认证过程的安全可靠。
52.如图2所示，为本发明公开的一种基于拟态防御架构的安全接入方法实施例2的流程图，所述方法可以包括以下步骤：
53.s201、通过访问控制节点接收客户端发送的将认证信息封装成认证报文的报文；
54.当需要实现可靠的网络接入时，首先客户端将认证信息(如，证书)封装成认证报文，发送到访问控制节点。访问控制节点接收客户端发送的报文。
55.s202、通过访问控制节点分析接收到的报文是否为认证报文，若是，则将认证报文转发至拟态表决器；
56.在访问控制节点接收到客户端发送的将认证信息封装成认证报文的报文后，进一步对接收到的报文进行分析，通过分析当接收到的报文是认证报文时，将认证报文转发至拟态表决器。
57.s203、通过拟态表决器将接收到的认证报文分发给三个功能等价的运行在异构平台的认证节点；
58.拟态表决器在接收到访问控制节点发送的认证报文后，进一步将接收到的认证报文分发给三个功能等价的运行在异构平台的认证节点(认证节点1、认证节点2和认证节点3)。其中，认证节点1、认证节点2和认证节点3包括但不限于申威、x86、arm、龙芯等架构。
59.s204、通过三个功能等价的运行在异构平台的认证节点分别对认证报文携带的信
息进行认证，生成认证结果，并将认证结果响应给拟态表决器，其中，当认证通过时，认证结果包括一个key，当认证失败时，认证结果包括失败码；
60.认证节点1、认证节点2和认证节点3分别对认证报文携带的信息进行认证，如果认证通过，则生成一个key的认证结果，如果认证失败，则生成相应的失败码的认证结果，并将生成的认证结果响应给拟态表决器。
61.s205、通过拟态表决器对认证结果进行表决，若表决通过，则将三路响应信息合为一路后发送给访问控制节点；
62.然后通过拟态表决器对认证结果按照一定的算法进行表决，如果表决通过，则将三路响应信息合为一路，发给访问控制节点，如果表决不通过，表征此次认证存在漏洞利用嫌疑，拟态表决器将报警，并且丢掉此次响应结果。
63.s206、当认证通过时，通过访问控制节点基于key生成会话id，并将会话id发送至客户端，以使客户端基于会话id与访问控制节点建立链接；
64.访问控制节点收到响应信息后，如果认证成功，则在key的基础上，使用算法生成会话id，并将生成的会话id发送给客户端，客户端接收到认证成功的会话id，则认证成功，与访问控制节点建立链接。
65.s207、当认证失败时，通过访问控制节点将失败码发送至客户端；
66.访问控制节点收到响应信息后，如果认证失败，则发送失败码给客户端，客户端认证失败，不能与访问控制节点建立链接。
67.s208、通过访问控制节点接收客户端定时向所述访问控制节点发送的心跳报文；
68.当客户端与访问控制节点建立链接后，客户端可以定时向访问控制节点发送心跳报文，通过访问控制节点接收客户端定时向访问控制节点发送的心跳报文，可以维持客户端与访问控制节点之前的链接，否则访问控制节点将与客户端断开链接。
69.s209、通过访问控制节点接收客户端发送的资源访问报文，其中，资源访问报文中携带有所述会话id；
70.当客户端与访问控制节点建立链接后，客户端还可以向访问控制节点发送资源访问报文，其中，资源访问报文中携带有所述会话id；
71.s210、通过访问控制节点验证资源访问报文中携带的会话id是否合法，若是，则将资源访问报文转发至业务资源，以使客户端基于资源访问报文从业务资源获取资源。
72.访问控制节点再接收到客户端发送的资源访问报文后，对资源访问报文中携带的会话id进行验证，如果合法，则将资源访问报文转发至业务资源，以使客户端基于资源访问报文从业务资源获取资源。
73.综上所述，本实施例在上述实施例的基础上，在客户端与访问控制节点建立链接后，还可以进一步通过访问控制节点接收客户端发送的资源访问报文，以维持客户端与访问控制节点之前的链接。同时，还可以通过访问控制节点验证客户端发送的资源访问报文中携带的会话id是否合法，当合法时，客户端可以基于资源访问报文从业务资源获取资源。
74.如图3所示，为本发明公开的一种基于拟态防御架构的安全接入平台实施例1的结构示意图，所述平台可以包括：访问控制节点31、拟态表决器32，以及三个功能等价的运行在异构平台的认证节点(认证节点1、认证节点2和认证节点3)；其中：
75.访问控制节点31，用于接收客户端发送的封装了认证信息的认证报文；
76.当需要实现可靠的网络接入时，首先客户端将认证信息(如，证书)封装成认证报文，发送到访问控制节点。访问控制节点接收客户端发送的报文。
77.访问控制节点31，还用于分析接收到的报文是否为认证报文，若是，则将认证报文转发至拟态表决器32；
78.在访问控制节点接收到客户端发送的将认证信息封装成认证报文的报文后，进一步对接收到的报文进行分析，通过分析当接收到的报文是认证报文时，将认证报文转发至拟态表决器。
79.拟态表决器32，用于将接收到的认证报文分发给三个功能等价的运行在异构平台的认证节点(认证节点1、认证节点2和认证节点3)；
80.拟态表决器在接收到访问控制节点发送的认证报文后，进一步将接收到的认证报文分发给三个功能等价的运行在异构平台的认证节点(认证节点1、认证节点2和认证节点3)。其中，认证节点1、认证节点2和认证节点3包括但不限于申威、x86、arm、龙芯等架构。
81.通过三个功能等价的运行在异构平台的认证节点(认证节点1、认证节点2和认证节点3)分别对认证报文携带的信息进行认证，生成认证结果，并将认证结果响应给拟态表决器32，其中，当认证通过时，认证结果包括一个key，当认证失败时，认证结果包括失败码；
82.认证节点1、认证节点2和认证节点3分别对认证报文携带的信息进行认证，如果认证通过，则生成一个key的认证结果，如果认证失败，则生成相应的失败码的认证结果，并将生成的认证结果响应给拟态表决器。
83.拟态表决器32，用于对认证结果进行表决，若表决通过，则将三路响应信息合为一路后发送给访问控制节点31；
84.然后通过拟态表决器对认证结果按照一定的算法进行表决，如果表决通过，则将三路响应信息合为一路，发给访问控制节点，如果表决不通过，表征此次认证存在漏洞利用嫌疑，拟态表决器将报警，并且丢掉此次响应结果。
85.当认证通过时，访问控制节点31，用于基于key生成会话id，并将会话id发送至客户端，以使客户端基于会话id与访问控制节点建立链接；
86.访问控制节点收到响应信息后，如果认证成功，则在key的基础上，使用算法生成会话id，并将生成的会话id发送给客户端，客户端接收到认证成功的会话id，则认证成功，与访问控制节点建立链接。
87.当认证失败时，访问控制节点31，用于将失败码发送至客户端。
88.访问控制节点收到响应信息后，如果认证失败，则发送失败码给客户端，客户端认证失败，不能与访问控制节点建立链接。
89.综上所述，在上述实施例中，当需要实现可靠的网络接入时，首先通过访问控制节点接收客户端发送的将认证信息封装成认证报文的报文；然后通过访问控制节点分析接收到的报文是否为认证报文，若是，则将认证报文转发至拟态表决器；通过拟态表决器将接收到的认证报文分发给三个功能等价的运行在异构平台的认证节点；通过三个功能等价的运行在异构平台的认证节点分别对认证报文携带的信息进行认证，生成认证结果，并将认证结果响应给所述拟态表决器，其中，当认证通过时，认证结果包括一个key，当认证失败时，认证结果包括失败码；通过拟态表决器对认证结果进行表决，若表决通过，则将三路响应信息合为一路后发送给访问控制节点；当认证通过时，通过访问控制节点基于key生成会话
id，并将会话id发送至客户端，以使客户端基于会话id与访问控制节点建立链接；当认证失败时，通过访问控制节点将失败码发送至客户端。能够根据拟态防御，对认证节点采用异构冗余的内生安全构造，保证认证过程的安全可靠。
90.如图4所示，为本发明公开的一种基于拟态防御架构的安全接入平台实施例2的结构示意图，所述平台可以包括：访问控制节点41、拟态表决器42，以及三个功能等价的运行在异构平台的认证节点(认证节点1、认证节点2和认证节点3)；其中：
91.访问控制节点41，用于接收客户端发送的封装了认证信息的认证报文；
92.当需要实现可靠的网络接入时，首先客户端将认证信息(如，证书)封装成认证报文，发送到访问控制节点。访问控制节点接收客户端发送的报文。
93.访问控制节点41，用于分析接收到的报文是否为认证报文，若是，则将认证报文转发至拟态表决器42；
94.在访问控制节点接收到客户端发送的将认证信息封装成认证报文的报文后，进一步对接收到的报文进行分析，通过分析当接收到的报文是认证报文时，将认证报文转发至拟态表决器。
95.拟态表决器42，用于将接收到的认证报文分发给三个功能等价的运行在异构平台的认证节点(认证节点1、认证节点2和认证节点3)；
96.拟态表决器在接收到访问控制节点发送的认证报文后，进一步将接收到的认证报文分发给三个功能等价的运行在异构平台的认证节点(认证节点1、认证节点2和认证节点3)。其中，认证节点1、认证节点2和认证节点3包括但不限于申威、x86、arm、龙芯等架构。
97.三个功能等价的运行在异构平台的认证节点(认证节点1、认证节点2和认证节点3)分别对认证报文携带的信息进行认证，生成认证结果，并将认证结果响应给拟态表决器，其中，当认证通过时，认证结果包括一个key，当认证失败时，认证结果包括失败码；
98.认证节点1、认证节点2和认证节点3分别对认证报文携带的信息进行认证，如果认证通过，则生成一个key的认证结果，如果认证失败，则生成相应的失败码的认证结果，并将生成的认证结果响应给拟态表决器。
99.拟态表决器42，用于对认证结果进行表决，若表决通过，则将三路响应信息合为一路后发送给访问控制节点41；
100.然后通过拟态表决器对认证结果按照一定的算法进行表决，如果表决通过，则将三路响应信息合为一路，发给访问控制节点，如果表决不通过，表征此次认证存在漏洞利用嫌疑，拟态表决器将报警，并且丢掉此次响应结果。
101.当认证通过时，访问控制节点41，用于基于key生成会话id，并将会话id发送至客户端，以使客户端基于会话id与访问控制节点建立链接；
102.访问控制节点收到响应信息后，如果认证成功，则在key的基础上，使用算法生成会话id，并将生成的会话id发送给客户端，客户端接收到认证成功的会话id，则认证成功，与访问控制节点建立链接。
103.当认证失败时，访问控制节点41，用于将失败码发送至客户端；
104.访问控制节点收到响应信息后，如果认证失败，则发送失败码给客户端，客户端认证失败，不能与访问控制节点建立链接。
105.访问控制节点41，用于接收客户端定时向访问控制节点发送的心跳报文；
106.当客户端与访问控制节点建立链接后，客户端可以定时向访问控制节点发送心跳报文，通过访问控制节点接收客户端定时向访问控制节点发送的心跳报文，可以维持客户端与访问控制节点之前的链接，否则访问控制节点将与客户端断开链接。
107.访问控制节点41，用于接收客户端发送的资源访问报文，其中，资源访问报文中携带有所述会话id；
108.当客户端与访问控制节点建立链接后，客户端还可以向访问控制节点发送资源访问报文，其中，资源访问报文中携带有所述会话id；
109.访问控制节点41，用于验证资源访问报文中携带的会话id是否合法，若是，则将资源访问报文转发至业务资源，以使客户端基于资源访问报文从业务资源获取资源。
110.访问控制节点再接收到客户端发送的资源访问报文后，对资源访问报文中携带的会话id进行验证，如果合法，则将资源访问报文转发至业务资源，以使客户端基于资源访问报文从业务资源获取资源。
111.综上所述，本实施例在上述实施例的基础上，在客户端与访问控制节点建立链接后，还可以进一步通过访问控制节点接收客户端发送的资源访问报文，以维持客户端与访问控制节点之前的链接。同时，还可以通过访问控制节点验证客户端发送的资源访问报文中携带的会话id是否合法，当合法时，客户端可以基于资源访问报文从业务资源获取资源。
112.本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。
113.专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。
114.结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(ram)、内存、只读存储器(rom)、电可编程rom、电可擦除可编程rom、寄存器、硬盘、可移动磁盘、cd
‑
rom、或技术领域内所公知的任意其它形式的存储介质中。
115.对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。