容器云中基于信号博弈的容器迁移与蜜罐部署策略

SaaS云中的多租户共存和资源共享模式会带来严重的安全隐患。一方面逻辑上命名空间的软隔离容易被绕过或突破,另一方面由于共享宿主机操作系统和底层物理资源容易遭受同驻攻击,对容器云中数据可用性、完整性、机密性产生严重威胁。针对SaaS云服务容易遭受容器逃逸、侧信道等同驻攻击的问题,网络欺骗技术通过隐藏执行体的业务功能和特征属性,增加云环境的不确定度,降低攻击的有效性。针对容器易遭受同驻攻击的安全威胁,结合动态迁移、虚拟蜜罐等安全技术,研究经济合理的网络欺骗方法降低同驻攻击带来的安全威胁。具体而言,提出一种基于信号博弈的容器迁移与蜜罐部署策略。依据容器面临的安全威胁分析,使用容器迁移和蜜罐两种技术作为防御方法,前者基于移动目标防御的思想提高系统的不可探测性,后者通过布置诱饵容器或提供虚假服务来迷惑攻击者;鉴于网络嗅探是网络攻击链的前置步骤,将攻防过程建模为双人不完整信息的信号博弈,发送者根据自己类型选择释放一个信号,接收者仅能够获取到发送者释放的信号,而不能确定其类型。对这个完全但不完美的信息动态博弈构建博弈树,设置攻防双方不同策略组合的开销和收益;对攻防模型进行均衡分析确定最优的欺骗策略。...     

基于子图同构的vEPC虚拟网络分层协同映射算法

5G及未来移动通信网络虚拟化的场景下,资源的管理与编排是实现虚拟化演进分组核心网(vEPC)业务高效部署的关键问题。vEPC中业务功能的载体是服务功能链(SFC),不同服务功能链的控制信令与多媒体数据流呈现负载差异化特点。该文针对传统算法资源定比分配所导致的负载不均问题,提出服务功能链的控制层和转发层解耦的映射模型,解耦后不同层的服务链可以独立地扩容和缩容,实现资源精准按需切片。拓扑映射阶段引入图相似理论,提出一种基于子图同构的虚拟网络映射算法VF2-H,依据节点的全局资源度优选映射子网,通过图特征分析设置剪枝条件,采用回溯机制进行启发式搜索。仿真结果表明,该算法在租户请求接收率、长期收益开销比等方面均具有良好的性能。     

面向云网融合SaaS安全的虚拟网络功能映射方法

在云网融合背景下,承载软件即服务（SaaS）业务功能的云基础设施可能横跨多个数据中心和归属网络,难以保证云资源安全可控。为缩短SaaS业务服务的处理时延,设计基于冗余执行和交叉检验的SaaS组合服务模式,并对容器、Hypervisor和云基础设施的安全威胁进行建模,建立拟态化虚拟网络功能映射模型和安全性优化机制。在此基础上,提出基于近端策略优化的PJM算法。实验结果表明,与CCMF、JEGA和QVNE算法相比,PJM算法在满足安全性约束的条件下,能够降低约12.2%业务端到端时延。     

SaaS云环境下基于容器指纹匿名的网络欺骗方法

随着云计算技术在各重点行业领域的普及推广和企业级SaaS业务规模不断扩大,云环境的安全问题也日益突出。针对目标云资源的定位是网络攻击的前置步骤,网络欺骗技术能够有效扰乱攻击者网络嗅探获得的信息,隐藏重要网络资产的指纹信息(服务端口、操作系统类型等)。然而由于虚假指纹和真实设备之间往往存在对应关系,高级攻击者可以通过多维信息定位到伪装过的目标设备。基于容器指纹匿名的欺骗方法的原理是试图将重要的敏感业务隐藏到大量普通的非敏感业务中,利用多种欺骗技术的组合来对抗网络侦察。批量处理的匿名算法会损失云服务快速便捷的特性,云服务需要采用一种实时强的连续匿名方法。为应对重要云资源被定位追踪的问题,本文提出一种基于容器指纹匿名的网络欺骗方法,通过修改云资源池中容器的指纹满足匿名化标准,制造虚假的云资源视图,提高攻击者网络侦查与嗅探的难度。为降低容器指纹修改的开销和可能导致服务延时,提出一种基于语义等级的范畴属性度量方法,并作为容器指纹匿名算法的优化目标。鉴于需要修改伪装的容器指纹信息是一个持续产生的数据流,为实现容器指纹的实时在线快速匿名,提出一种基于数据流匿名的动态指纹欺骗算法CFDAA,通过时延控...     

基于粒子群优化算法的5G网络切片功能迁移机制

在5G的多应用场景中,数据流量经常出现剧增的情况,网络切片中虚拟机资源可能无法满足用户正常需求。鉴于此,提出了一种以负载均衡为目标的网络切片功能迁移机制。该机制基于粒子群优化算法,将虚拟机模拟成粒子,每次迁移过程中,将所有的粒子分成若干个子群,在群内和群间同时应用粒子群优化算法,参照历史最优解和当前全局最优解更新粒子位置,通过选取标记因子较小的粒子实时比较合适度等参数确定最佳目标粒子,完成迁移过程,该机制既提高了收敛速度,又提高了算法精度。通过与其他迁移方法比较,结果表明,所提迁移机制具有精度高、收敛快的优点,并能提升资源的使用效率,降低了数据中心的能耗,具有较好的自适应性。     

基于改进式贪婪算法的5G网络切片动态资源调度策略

为了解决移动通信网络中资源利用率和用户体验质量的瓶颈问题,5G 引入网络切片来应对用户的巨大资源需求。提出了一种基于改进式贪婪算法的网络切片动态资源调度策略,在切片调度和用户调度阶段,设计了一种两层模型,即切片?用户模型,并且结合改进式贪婪算法,使服务权重值最大的切片和优先级最高的用户组合,完成相应的服务。该方法是将全局资源最优问题简化为规模更小的子问题,通过每一次切片和用户的最佳组合,从而使整个系统的资源和用户的体验质量达到最优。Matlab的仿真结果表明,基于改进式贪婪算法的网络切片动态资源调度策略在系统剩余资源利用率、系统达到平均的QoE水平、系统吞吐量等方面都显优于现行的资源调度策略,能够更好地满足用户的需求。     

容器云中基于Stackelberg博弈的动态异构调度方法

容器技术以其灵活、高效的特性促进了云计算的快速发展,但同时引入了如同驻攻击、逃逸攻击和共模攻击等安全威胁.针对这些安全威胁,提出一种容器云中基于Stackelberg博弈的动态异构式调度方法.首先,构建异构镜像资源池以抑制云上基于共模漏洞的攻击扩散;进而,将攻防交互过程建模为Stackelberg博弈模型;最后,对攻防...     

一种面向安全的虚拟网络功能动态异构调度方法

网络功能虚拟化(NFV)为服务链构建带来了灵活性与动态性,然而,软件化与虚拟化环境可能存在软件漏洞、后门等安全风险,对服务链(SC)的安全产生影响。为此,该文提出一种服务链上虚拟网络功能(VNF)调度方法。首先,为虚拟网络功能构建异构镜像池,避免利用共模漏洞的大范围攻击;随后,以特定周期选择服务链虚拟网络功能进行调度,加载异构镜像对该网络功能的执行实体进行替换;最后,考虑调度对网络功能性能的影响,应用斯坦科尔伯格博弈对攻防过程建模,以最优化防御者收益为目标求解服务链上各网络功能的调度概率。实验表明,该方法能够降低攻击者攻击成功率,同时将调度产生的开销控制在可接受范围内。