[发明专利]对云计算系统内的交互数据进行安全保护的方法及装置

说明书

本发明涉及一种用于对云计算系统内的交互数据进行安全保护的方法及装置，其中方法包括：获取去往或来自虚拟节点的数据包并获取数据包的网络地址；对数据包进行识别处理以获得安全特征，利用安全特征查询安全会话表，根据查询结果确定数据包的安全状态并且确定数据包需要进行安全检测时，暂停对数据包进行转发处理；基于访问控制策略确定是否允许数据包在虚拟节点间进行传递，在确定允许数据包在虚拟节点间进行传递的情况下，通过数据通道发送检测结果以促使安全会话表增加与数据包相关联的会话项；以及根据会话项对数据包进行转发处理。本发明将会话表结合在虚拟机管理系统中，既对云租户屏蔽了网络拓扑的细节，又提升了安全检测的性能。

技术领域

本发明涉及计算机安全领域，并且更具体地涉及一种用于对云计算系统内的交互数据进行安全保护的方法及装置。

背景技术

通常，云环境中的交互数据分为两类，其中一类是穿越云计算系统边界，与云外部主机通信的交互数据，被称为南北向交互数据。另一类是云计算系统中虚拟机到虚拟机的交互数据，被称为东西向交互数据。云环境中约70％交互数据属于东西向交互数据。因此，传统的南北向交互数据防护方案无法保证东西向交互数据的安全。由于虚拟机之间缺乏威胁隔离机制，因此网络威胁一旦侵入云计算系统内部，通常能够在云计算系统内肆意蔓延。

目前，针对东西向交互数据的防护问题，许多安全厂商提出两种解决方案：第一种方案是把东西向交互数据引流到云计算系统外部的安全设备中。在这种情况下，即使同一台服务器内虚拟机间的交互数据，也发往外部物理防火墙以对交互数据进行防护处理。这种方式需要把虚拟机的内部交互数据表示转换为传统的基于数据包的交互数据表示。这种交互数据转换的开销较大，并且需要额外的交换机等设备。第二种方案是在云计算系统中创建特定虚拟机，在特定虚拟机中部署虚拟安全网关。这种方式需要云租户配置虚拟网络拓扑，并通过配置默认网关等方式把内部交互数据引到虚拟安全网关中。此外，在第二种方案中，云租户需要了解云平台的网络拓扑并且进行复杂的配置。此外，虚拟安全网关运行在虚拟机中，因此性能较差。

为此，现有技术中存在对能够对云计算系统内的交互数据进行高效安全保护的技术方案的需求。

发明内容

针对现有技术中云计算系统内的交互数据防护方案的弊端，本发明提供了一种能够解决上述问题的新的防护方案。本发明的方案把安全防护装置直接嵌入在云平台中，在不改变网络拓扑的前提下，将交互数据检测引入安全检测单元。本发明将传统安全设备中的会话表直接实现在虚拟机管理系统中，既对云租户屏蔽了网络拓扑的细节，又提升了安全检测的性能。

根据本发明的一个方面，提供一种用于对云计算系统内的交互数据进行安全保护的方法，所述方法包括：

获取去往/来自虚拟节点的数据包并获取所述数据包的网络地址；

对所述数据包进行识别处理以获得安全特征，利用所述安全特征查询安全会话表，根据查询结果确定所述数据包的安全状态，当所述安全状态表明所述数据包需要进行安全检测时，暂停对所述数据包进行转发处理；

基于预先设置的访问控制策略确定是否允许所述数据包在虚拟节点间进行传递，在确定允许所述数据包在虚拟节点间进行传递的情况下，通过数据通道发送检测结果以促使所述安全会话表增加与所述数据包相关联的会话项；以及

根据所述会话项对所述数据包进行转发处理。

其中，在获取去往/来自虚拟节点的数据包之前还包括：对通过所述云计算系统内的虚拟交换机进行传输的数据进行监听。

其中，在获取所述数据包的网络地址之后并且在对所述数据包进行识别处理以获得安全特征之前还包括：当所述网络地址不是数据通道的MAC地址时，确定需要对所述数据包进行识别处理。

其中，在获取所述数据包的网络地址之后还包括：当所述网络地址是数据通道的MAC地址时，确定不需要对所述数据包进行识别处理，并且根据安全会话表中的相应会话项对数据包进行转发处理。