摘要：擬態通用運行環境(MCOE)實現了基于JAVA、C/C++開發的信息系統擬態防御架構，提供了擬態防御所需功能的服務器(分發、協同執行、內部和外部二表決、擬態管理等)。達到對已未知后門和漏洞主動防御、安全威脅攻擊及時阻斷、數據完整性確保等主要擬態防御目標。擬態防御目標的實現取決于面向服務請求執行的N異構執行體及其構造化運行節點軟硬件資源調度的隨機性、動態性和異構性(三性)達到的程度。

　　本文首先提出了達到三性最大化的擬態資源調度準則;并基于準則從擬態資源管理與MCOE框架交互設計、擬態資源管理、擬態資源調度等方面論述了擬態資源調度算法和管理服務的設計與實現，重點描述了擬態運行節點軟硬件資源異構特征分類器的構造，基于分類器的、具有三級異構度分類的節點N元組和N異構執行體元組(支持容器和虛擬機鏡像)的構建，以及遵循負載均衡的、不同等級的N元組及其運行節點資源調度的隨機性、動態性實現;并通過示例驗證了算法的有效性。

　　關鍵詞：擬態通用運行環境;擬態資源管理;資源狀態;資源調度;N異構執行體;分發表決

　　0概述

　　擬態信息系統是實現擬態化構造的信息系統，它基于鄔江興提出的擬態防御理論[1],為系統運行環境的基礎、應用支撐和應用三層(以下簡稱三層)軟硬件設施可能遭受的安全威脅攻擊提供主動防御能力[2]，確保處于威脅攻擊狀態下的系統功能的正確可靠運行、運行過程數據的完整性和防竊取。擬態信息系統主要由系統客戶端程序、應用服務程序功能等價的冗余異構執行體或包含冗余異構執行體的云容器或虛擬機應用鏡像(以下統稱為異構執行體)的集合、擬態防御架構[3]和異構冗余集成化運行環境設施組成。

　　擬態信息系統按其開發語言可分為腳本和源語言兩類。其中基于腳本的信息系統擬態防御產品已由信大開發[4]，并得到了廣泛應用。本文研究的擬態防御技術面向JAVA和C/C++開發的B/S、C/S信息系統，基于上述組成進行開發和構建，其中擬態防御架構由MCOE實現，異構冗余集成化運行環境由支持N異構執行體、MCOE各服務器運行的，具有三層軟硬件異構特征運行節點(如CPU：申威、飛騰、兆芯;操作系統：紅旗、麒麟。

　　Web容器：Tomcat、JBoss)和構造化的擬態軟件產品環境設施組成。MCOE提供應用服務請求的分發(N異構執行體運行節點)、執行、表決和安全威脅診斷等服務功能，實現了服務請求執行過程的自動化，達到了已未知后門和漏洞主動防御、安全威脅攻擊及時阻斷、數據完整性確保等擬態防御目標。

　　它由分發器、N異構執行體服務請求執行過程的內部和服務請求響應二表決器(以下統稱為內部和外部二表決器)、管理者和代理二管理器三類服務器組成。三類服務器主要功能分別為：1)擬態分發器：面向客戶端應用服務請求，提供其接收、處理、分發以及N個異構執行體運行節點服務器的服務請求響應結果的接收、處理和轉發客戶端等功能。2)內部和外部二表決器：分別針對服務請求執行過程中形成的N個關鍵結果數據(內部)和請求響應結果數據的表決調用，提供相應表決調用服務，實施表決結果的異常診斷和魯棒性處理過程，反饋表決結果。3)管理者和代理：管理者提供了擬態應用管理、擬態資源管理和擬態安全管理等功能。代理執行管理者命令，周期性或心跳地歸集和上報各運行環境節點的軟硬件運行過程形成的數據(如日志和資源狀態)。

　　本文主要從擬態資源的管理體系架構、狀態管理、調度服務三方面進行了設計論述。重點圍繞達到調度的N異構執行體、服務器運行節點資源及其資源對象(云容器、虛擬機)三性最大化和資源調度負載均衡的目標，詳細描述了擬態資源調度的算法設計與實現。

　　1擬態資源管理與MCOE框架的交互設計

　　擬態資源管理提供擬態資源的狀態管理和調度服務，主要功能包括：創建和實時維護集成化環境的運行節點資源、資源對象異構特征和狀態全局映像(擬態資源狀態管理);提供交互式資源和資源對象的狀態和調度管理;基于實時的異構特征和狀態全局映像，提供相應資源和資源對象異構特征最大化的N個異構執行體、分發器、內部和外部二表決器的運行節點資源和資源對象的調度請求服務。資源調度[6]服務請求響應結果主要包括N個異構執行體、運行節點、按需云容器或虛擬機。

　　其中：N個異構執行體的源代碼以及相應運行節點三層軟硬件的異構性，決定了擬態系統主動防御[7]三層相應軟硬件后門或漏洞安全威脅的水平[4];異構執行體、運行節點資源和資源對象(如容器、虛擬機)的調度隨機性和動態變化性能有效阻斷黑客對系統的網絡攻擊;上述三性最大化是擬態資源調度實現的目標。因此，擬態資源管理特別是資源調度[8]是MCOE擬態防御機制實現的基礎和關鍵。作為擬態管理服務的組成，它與N異構執行體、MCOE各服務器、集成化運行環境設施的管理關系。

　　擬態資源管理基于B/S架構，為應用客戶端程序和MCOE其它服務器提供WEB服務訪問接口組件;擬態資源管理基于擬態管理Web服務器的管理者和管理者代理(M/A)架構，實施基于命令策略文件profile驅動的對象管理和資源狀態的實時歸集。管理者和管理者代理的接口遵循MCOE要求的HTTP通信協議。

　　其與外部主要接口關系：擬態資源調度現有研究工作主要基于N異構體隨機性和相似度比較方法。文獻[9][9]提出了一種功能等價體調度裝置及其方法，采取的完全隨機選擇異構功能等價體為外部服務請求提供服務的方式降低攻擊者對某些漏洞和后門的探知或利用的可能性。劉勤讓等人[10]和張杰鑫等人[11]先后提出和完善的隨機種子最小相似度算法(RandomSeed&MinimumSimilarity，RSMS)也是首先隨機選取冗余體，再進行最小相似性比較;而實際擬態應用場景中，異構執行體和運行環境節點軟硬件的相似度是可預先確定的，工程上需要綜合考慮N異構執行體和運行節點資源的隨機性、動態性、異構性。

　　2擬態資源管理服務框架設計

　　擬態資源狀態管理為客戶端提供資源狀態查詢、監管和調度功能。1)節點資源歸集和上報：管理者代理心跳[12]歸集和上報分發、N異構執行體、內部和外部二表決四類服務器節點以及相應云容器和虛擬機資源運行狀態信息;對于服務器或云集群，基于其集群服務器[13、14]API獲取相應節點或云容器和虛擬機資源狀態信息。2)映像和表維護：擬態資源異構特征和狀態管理基于上報的節點資源狀態，并基于節點資源狀態的變化同步更新環境節點異構特征和狀態的內存映像和表，同時更新運行節點記錄。3)資源調度：擬態資源調度管理依據設計的調度算法為分發、N異構執行體、內部和外部二表決服務器調度相應的運行節點或云容器、虛擬機計算資源。

　　3擬態資源調度服務

　　擬態資源調度服務主要為客戶端服務請求的執行分別提供N異構執行體服務器、分發服務器、內部和外部二表決服務器的運行資源調度。其調度目標在于最大化地確保N個服務器運行節點三層軟硬件的隨機性、動態性和異構性，并實現資源的調度[16]和負載均衡[17]。分發、內部和外部二表決服務器的資源調度是單一服務器運行資源的調度，是N異構執行體服務器的N=1特例，以下主要以N異構執行體為對象，描述資源調度的設計與實現。

　　3.1擬態資源調度基礎數據結構

　　擬態應用為擬態資源管理創建了資源管理所需的基礎表，給出了三層軟硬件通用異構特征的8位二進制數字化表示，其中：異構特征表征為：一位為1、七位為0。最多表示8個異構特征;多于8個異構特征的情況，依相似度合并為8個表征。實際上大多數軟硬件異構特征≤3。

　　4結束語

　　本文基于網絡安全領域的顛覆性技術擬態防御的指導思想，結合在研的MCOE運行環境中資源管理和調度問題，給出了擬態通用運行環境的資源管理技術的設計與實現，特別是針對現有資源狀態的調度和實現。最后通過擬態管理服務的簡單示例驗證對于云容器集群上資源管理的擬態調度方案的有效性。未來將結合現有資源狀態與Kubernetes本身的調度機制實現算法的優化和高效執行。

　　參考文獻

　　[1]鄔江興.網絡空間擬態防御導論[M].北京:科學出版社,2017.

　　[2]斯雪明,王偉,曾俊杰,楊本朝,李光松,苑超,張帆.擬態防御基礎理論研究綜述[J].中國工程科學,2016,18(06):62-68.

　　[3]鄔江興.網絡空間擬態防御原理[M].北京:科學出版社,2018.

　　[4]仝青,張錚,張為華,鄔江興.擬態防御Web服務器設計與實現[J].軟件學報,2017,28(04):883-897.

　　[5]李文亮.GPU集群調度管理系統關鍵技術的研究[D].華中科技大學,2011.

　　相關刊物推薦：《中國工程科學》雜志反映我國工程科技領域研究動向，記載我國工程科技領域學術成果，探討我國工程科技領域未來發展。雜志內容涉及國家重大工程技術項目、國家科技攻關項目和自然科學基金課題。《中國工程科學》和《ENGINEERING SCIENCES》雜志是中國科技論文統計源期刊(中國科技核心期刊)。