[发明专利]对云计算系统内的交互数据进行安全保护的方法及装置

权利要求书

1.一种用于对云计算系统内的交互数据进行安全保护的方法，所述方法包括：

位于虚拟机监视器层的获取模块获取去往/来自虚拟节点的数据包并获取所述数据包的网络地址；

位于虚拟机监视器层的数据转发模块对所述数据包进行识别处理以获得安全特征，利用所述安全特征查询安全会话表，根据查询结果确定所述数据包的安全状态，当所述安全状态表明所述数据包需要进行安全检测时，暂停对所述数据包进行转发处理，所述数据转发模块能够将所述数据包通过数据通道转发到位于虚拟机中的安全检测模块；

位于虚拟机中的安全检测模块基于预先设置的访问控制策略确定是否允许所述数据包在虚拟节点间进行传递，在确定允许所述数据包在虚拟节点间进行传递的情况下，通过数据通道发送检测结果以促使所述安全会话表增加与所述数据包相关联的会话项；以及

数据转发模块根据所述会话项对所述数据包进行转发处理；

其中所述数据通道用于对所述数据包进行串行化并且将经过串行化的数据包作为载荷进行封装，以及所述数据通道将检测结果转换为与会话项匹配的数据结构，将所述数据结构作为荷载进行封装;

其中在获取所述数据包的网络地址之后并且在对所述数据包进行识别处理以获得安全特征之前还包括：当所述网络地址不是数据通道的MAC 地址时，确定需要对所述数据包进行识别处理。

2.根据权利要求1 所述的方法，在获取去往/来自虚拟节点的数据包之前还包括：对通过所述云计算系统内的虚拟交换机进行传输的数据进行监听。

3.根据权利要求1 所述的方法，其中在获取所述数据包的网络地址之后还包括：当所述网络地址是数据通道的MAC 地址时，确定不需要对所述数据包进行识别处理，并且根据安全会话表中的相应会话项对数据包进行转发处理。

4.一种用于对云计算系统内的交互数据进行安全保护的装置，所述装置包括：

位于虚拟机监视器层的获取模块，获取去往/来自虚拟节点的数据包并获取所述数据包的网络地址；

位于虚拟机监视器层的数据转发模块，对所述数据包进行识别处理以获得安全特征，利用所述安全特征查询安全会话表，根据查询结果确定所述数据包的安全状态，当所述安全状态表明所述数据包需要进行安全检测时，暂停对所述数据包进行转发处理；以及根据所述会话项对所述数据包进行转发处理, 所述数据转发模块能够将所述数据包通过数据通道转发到位于虚拟机中的安全检测模块；以及

位于虚拟机中的安全检测模块，基于预先设置的访问控制策略确定是否允许所述数据包在虚拟节点间进行传递，在确定允许所述数据包在虚拟节点间进行传递的情况下，通过数据通道发送检测结果以促使所述安全会话表增加与所述数据包相关联的会话项；

其中所述数据通道用于对所述数据包进行串行化并且将经过串行化的数据包作为载荷进行封装，以及所述数据通道将检测结果转换为与会话项匹配的数据结构，将所述数据结构作为荷载进行封装；

其中当所述网络地址不是数据通道的MAC地址时，所述数据转发模块确定需要对所述数据包进行识别处理。

5.根据权利要求4 所述的装置，还包括监听模块，用于对通过所述云计算系统内的虚拟交换机进行传输的数据进行监听。

6.根据权利要求4所述的装置，当所述网络地址是数据通道的MAC地址时，所述数据转发模块确定不需要对所述数据包进行识别处理，并且根据安全会话表中的相应会话项对数据包进行转发处理。

7.一种用于对云计算系统内的交互数据进行安全保护的系统，其特征在于，包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为：执行权利要求1 至3任意一项所述的用于对云计算系统内的交互数据进行安全保护的方法。