边缘计算环境下网络拓扑拟态关联图与主动防御模型研究

［杜翠凤 邹光健］

1 引言

边缘计算网络作为靠近用户、数据源的一侧的网络，将网络、计算、存储和业务核心能力下沉到边缘侧，为用户提供近实时计算和本地化处理能力，从而解决了传统云计算网络下海量数据计算效能、性能低的问题[1]。与云计算网络相比，边缘计算网络具有终端类型更加丰富，业务系统智能互联程度更高的特点[2]，这些特点使得边缘计算网络面临着严重的安全防护挑战：攻击者往往利用底层节点接入的开放性，利用边缘物联网终端、边缘计算网络服务器等设备作为跳板对系统进行攻击。为了确保系统通信路径的可用性，研究者往往采用网络拓扑拟态关联图[3]和通信路径协商确认机制[4]，在确保通信路径可靠性要求的基础上，增加通信路径选取的随机性，这种方法虽然在一定程度上降低了攻击者通过监听掌握可用通信路径信息后对系统发起跟随攻击的可能性，但随着攻击者网络规模的不断加大，通信路径存在多样性的情况下，攻击者往往采用半盲攻击的手段在拟态关联图存活时隙中进行攻击。那么就意味着：如果不压缩网络拓扑拟态关联图的存活时隙，攻击者在多次尝试攻击之后掌握网络存活时隙的情况下，就会利用路径存活时隙进行攻击，使得网络拓扑关联容易失效；如果减少通信路径多样性，一旦网络某些路径遭受攻击，那么系统通信安全可靠性将会大大降低。因此，如何保证网络通信路径多样性的条件下，根据网络安全可靠性来动态扩大和压缩网络拓扑拟态关联图，结合网络安全可靠性的变化方向来动态调整网络拓扑拟态关联图的存活时隙，实现边缘计算网络拓扑拟态关联图与主动防御模型的构建。

2 相关技术

2.1 边缘计算框架

第三代合作伙伴计划组织（3rd Generation Partnership Project，3GPP）将边缘计算纳入5G 服务化架构中，以解决5G 网络流量的快速疏导和业务连续性问题[6]。3GPP 对边缘计算的部署建议为：边缘计算可作为独立感知设备部署到网络末梢，可以作为物联网上面的汇聚层部署到物联网终端之上；也可以部署到连接物联网终端与云中心的任务位置中，具体的位置可结合业务和计算的需求进行适应性部署[7,8]。为了保证边缘计算处理数据的实时性，基于分层设计的边缘计算平台框架[9]被提出来，该框架自上至下包含：系统域、网络域、数据域和感知终端域。系统域作为云计算业务下沉到低层后的分布式互联子系统。网络域为系统互联、数据汇聚和承载提供海量联接、实时联接的服务。数据域实现对数据的清洗、聚合、语义化、分析等功能，并保护数据的安全与隐私。感知终端域包含终端设备和部分网关设备，实现现场感知设备的互联互通。

2.2 边缘计算环境下基于网络拓扑拟态关联图

从上面的边缘计算框架可知，整个边缘计算网络数据安全传输模型可抽象为3 层：系统层、网络层和感知层，系统层作为整个网络的控制层，控制低层多个分布式互联子系统的数据通信；网络层涵盖大量的边缘计算终端节点，承担感知层到系统层通信功能，通过无线或有线的方式将终端层和系统层进行联接，除此以外，终边缘计算终端节点之间可以相互通信。感知层包括大量的感知节点，通常通过无线的方式与边缘计算终端节点进行联接。

边缘计算网络中的每个感知节点均会记录可联接的边缘计算终端节点，每个感知节点可以从属于多个边缘计算终端节点，那么，为了保证数据安全传输，边缘计算终端节点不仅需要维护从一层网络邻居节点表，还需要维护每个从属感知节点的网络拓扑拟态关联通信路径空间队列。基于这个逻辑，本文采用网络拓扑关联图来模拟构建多路径动态通信联盟以实现网络攻击的主动防御，当系统层感知到网络受到攻击后，将改变网络拓扑；边缘计算终端节点感知到网络拓扑发生变化后，以分布式推进的方式交换信息，并通知感知节点切换传输路径以规避网络攻击。基于上述的逻辑，本文将边缘计算网络构成的网络拓扑视为多个子图，每个子图由一个感知节点和一个主站服务节点组成（主站节点位于系统层中）。在开始阶段，主站服务节点会根据子图为感知节点生成网络拓扑拟态关联节点空间队列，感知节点会根据终端路由表记录其所属的边缘计算终端节点ip 以及访问系统层主站服务节点的路径节点队列，并将数据按照既定的路径进行传输；一旦系统感知到网络攻击时，系统根据边缘计算终端节点的可靠性来筛选满足可靠性要求的可用路径，并动态裁剪异常状态的边缘计算终端节点，生成可用的网络拓扑拟态关联图。

2.3 基于网络拓扑拟态关联图的主动防御模型

网络主动防御的本质是保证系统网络安全可靠性性能减损最小的情况下，通过网络拓扑关联图和动态通信路径调整，实现系统网络安全可靠性减损最小。而网络拓扑关联图、动态通信路径调整取决于其生存时隙。当系统没有检测到网络攻击时，生存时隙设置为无限大，此时，攻击者通过对目标系统进行扫描和探测的行为来获取有效的攻击路径，进而进入跟随攻击和半盲攻击，系统的可靠性将会降低；相反，如果生存时隙设置为一个很小的值，高频的路径调整会给边缘感知节点的传输带来较大的风险，带来较大的系统服务性能可靠性减损。因此，本文需要采取一种基于系统性能可靠性减损最小的生存时隙自适应更新的方法，动态调整网络拓扑拟态关联图和通信路径，实现网络主动防御。

3 边缘计算环境下网络拓扑拟态关联图与主动防御模型

3.1 基于通信路径和节点可靠性构建网络拓扑拟态关联图

网络拓扑拟态关联图综合考量通信路径和边缘计算终端节点的可靠性，这是因为从感知节点向主站服务节点进行数据传输过程中，通信路径的失效会直接影响数据的传输；同理，边缘计算终端节点、网络隔离身份认证节点的可靠性会影响数据的处理流程，同样会影响数据传输。本文通过构建感知节点和主站服务节点之间的网络拓扑拟态关联图，获取每一个感知节点数据传输路径集合。基于通信路径和节点可靠性构建网络拓扑拟态关联图如图1所示。

图1 基于通信路径和节点可靠性构建网络拓扑拟态关联图

3.2 计算通信路径和节点可靠性，寻找满足可靠性要求的网络拓扑拟态关联图

根据可靠性理论[10]，通信路径的可靠性服从泊松分布，基于时变函数，通信路径的可靠性可以表示为。

节点可靠性可以用网络隔离身份认证节点和主站服务节点正常工作的概率和节点当前的资源可用性来表示。

节点i 正常工作的概率A（i）：

其中，MTTF 表示故障间隔时间，MTTR 表示停机时间。

除了考虑节点i 正常工作的概率，还要考虑节点i 的资源占用情况，资源占用情况需要考虑节点的计算资源、存储资源以及带宽资源的占用情况。占用情况的表达式为。

其中，w1、w2、w3三者之和为1，不同物理节点的配置，设置值是不一样的。其中Ci、Mi、Bi 表示物理节点i 最大的计算资源、存储资源以及带宽资源。cj、mj、bj 表示物理节点i 已经被虚拟网络功能占用的计算资源、存储资源以及带宽资源。

当资源被占用，节点i 的资源可用率可以表示为。

综合节点正常工作的概率和节点当前的资源可用率，节点i 的可靠性表示为：

整条通信路径涵盖的有m 个节点的可靠性为：

基于节点和通信路径的可靠性，计算感知节点到主站服务节点的其中一条通信路径p 的可靠性：

将通信路径p 的可靠性与设定的可靠性阈值进行比较，如果大于设定可靠性阈值，那么将其纳入通信路径集合A，否则，将其剔除。

3.3 结合通信路径可靠的系统网络安全可靠性预测

假设在某一个存活时隙内所有感知节点的通信路径集合A 中存在n 条可靠路径，根据网络安全“慢增长，快减小”原则，第t 个存活时隙的网络安全可靠性SA 为。

3.4 基于系统性能可靠性变动的动态存活时隙求解

由于过长的存活时隙会增加通信轮径被扫描探测和攻击的可能性，然后过短的存活时隙又会引起网络传输质量的下降，因此，本文在考虑数据交互高安全、高可靠的需求，构建一个基于系统性能可靠性变动的动态存活时隙调整方法，以节省网络资源消耗。

公式9 展现存活时隙动态调整策略的计算方法，该策略指通信双方按照既定策略扩大或者压缩通信路径存活时间，以降低半盲攻击情况下攻击者通过掌握系统状态空间发起跟随攻击的可能性。

本文采用遗传算法来寻找公式9 的最优值。遗传算法是一种基于自然选则和自然遗传机制的搜索优化算法，是借鉴自燃选择过程优胜劣汰原则模仿适合生存的基本进化过程。遗传算法是一种典型的迭代算法，它从一组随机产生的解开始，在每个迭代过程实现模拟生物进化和遗传的操作，从而产生一组新的解，新解又有适应度给出评价，不断重复，直到算法达到某种要求的收敛。

具体步骤如下。

Step1：将模态X 和模态Y 进行染色体编码，随机产生初始种群，种群大小为P，L 为一个染色体长度（编码长度），种群记为Pop。

Step2：将二进制染色体转化为十进制数，并计算当代种群个体的适应度值。

Step3：找出当代中的最优个体和最优适应度值（寻找公式9 的最优值），并从当代种群进行选择运算，本次采用了轮盘赌选择算法，选择后的种群记为S_pop。

Step4：对种群S_pop 进行交叉，本次交叉采用的是自适应的双点交叉，然后再进行变异。

Step5：求出变异后的最优适应度值以及对应的最优个体与Step3 中的最优个体进行比较，如果变异后的最优适应度值大于Step3 中的最优适应度值，则不做改变，如果变异后的最优适应度值小于Step3 中的最优适应度值，则将变异后的最差适应度值对应的个体由Step3 中选出的最优个体替换，即最优保存策略。

Step6：若循环次数大于最大迭代次数，输出统计结果，如收敛曲线等，整个算法终止，否则，将返回到step2。

4 实验分析

为了验证本文所提算法的有效性和可行性，本文借鉴Sheyner 构建一个实验网络，其拓扑结构如图2 所示。本文通过对网络拓扑拟态关联算法进行系统仿真，网络可用地址数量为28 个，可用端口为500 个，初始关联存活时隙为60 s。

图2 实验网的网络拓扑图

安全威胁来自于外网的黑客，黑客通过外部的网络越过隔离区的防火墙访问内网的客户端，在通过劫持客户端来实现对系统的攻击。系统为了抵御黑客的攻击，采用网络拓扑拟态关联技术来抵御网络攻击，并针对网络攻击的强度，对网络拓扑关联图、通信路径以及存活时隙进行自动调整，增加黑客攻击网络路径命中的难度。

攻击方式采用半盲攻击方式下的DDoS 攻击手段测试网络拓扑拟态关联系统在不同的拓扑关联算法中所达到的传输效率。图3 显示了简单拓扑算法和本文算法的抗DDoS 性能。结果表明，随着攻击的深入，本文提出的网络拓扑拟态关联策略和动态存活时隙能够更有效抵御DDoS 攻击，这是因为本文的算法能够针对网络攻击的强度对网络的拓扑拟态关联图和通信路径进行动态调整；除此之外，基于系统的性能可靠性动态调整存活时隙，从而增加DDoS 攻击的难度，即使当攻击比例超过50%的的情况（一般的可用路径受到黑客攻击），DDoS 攻击进入一种盲攻击状态而造成网络传输效率迅速下降的情况下，本文的算法仍然能够呈慢减少的趋势。

图3 DDoS 攻击防御效果对比图

为了证明本文算法所提的动态存活时隙在抵御攻击过程的作用，本文分别在有攻击和无攻击的场景下衡量主机的平均网络传输效率。由图4 可知，在无攻击情况下，本文的算法与简单拓扑算法的传输效率差异性不大；在受到网络攻击强度不大的情况下，本文能够根据网络安全可靠性来动态扩大和压缩网络拓扑拟态关联图，从而保证主机平均传输效率比简单拓扑算法的传输效率要高。随着攻击的持续，本文算法能够根据网络安全可靠性动态调节通信路径的存活时隙，图4 展现本文算法的存活时隙的周期分别为60 s，41 s，29 s，21 s，数据传输效率约为上一期的90%，85%和80%。由此可知，本文所提出的算法能够较好应对网络攻击，通过对网络拓扑拟态关联图的动态扩展和压缩来保证较好的传输效率，除此以外，本文算法通过动态调整存活时隙周期来保证通信路径的可用性，以此实现主动防御的目的。

图4 在攻击强度不大情况下的网络传输效率对比

5 结束语

本文提出一种在边缘计算网络环境环境下的主动防御技术，该技术针对攻击强度结合网络安全可靠性来动态调整网络拓扑拟态关联图，该方法能够在保证网络通信路径多样性的基础上动态调整网络存活时隙，从而比传统的简单拓扑算法的网络传输效率更高。由此可知，本文提出的算法更能满足边缘计算网络环境下的高实时约束的要求，为网络提供良好的数据交互效率。