[发明专利]基于SDN的防护系统及其控制方法

权利要求书

1.一种基于SDN的防护系统的控制方法，所述基于SDN的防护系统包括多个租户组成的集群，其特征在于，所述控制方法包括：

通过SDN控制器将待镜像的流量配置到虚拟路由器上，所述待镜像的流量携带有虚拟网络的信息；

将所述待镜像的流量分配至与所述集群连接的一个或多个虚机，其中，每个所述虚机对应至少一个租户，一个或多个虚机所在的物理节点根据所述待镜像的流量所包含的IP信息和/或MPLS信息确定；以及，

利用所述虚机对所述待镜像的流量携带的虚拟网络的信息进行安全性分析，且响应于安全分析结果为存在威胁信息，生成安全策略。

2.根据权利要求1所述的基于SDN的防护系统的控制方法，其特征在于：所述通过SDN控制器将待镜像的流量配置到虚拟路由器上包括：

建立ArSDN旁路流量镜像；

通过SDN控制器将待镜像的流量配置到对应的ArSDN虚拟路由器上；以及，

在待镜像流量的IPOption字段中配置自定义的虚拟网络信息。

3.根据权利要求1所述的基于SDN的防护系统的控制方法，其特征在于，所述响应于安全分析结果为存在威胁信息，生成安全策略包括：

响应于安全分析结果为存在威胁信息，根据待镜像流量的虚拟网络信息以及虚机的IP信息，上报对应威胁信息的租户至云平台；

生成并下发安全策略阻断所述待镜像的流量或者关闭对应IP信息的虚机。

4.根据权利要求1所述的基于SDN的防护系统的控制方法，其特征在于，响应于安全分析结果为未检测到存在威胁信息，建立云平台和所述租户之间的连接。

5.根据权利要求1所述的基于SDN的防护系统的控制方法，其特征在于，利用所述虚机对所述待镜像的流量携带的虚拟网络的信息进行安全性分析包括：

提供虚拟检测设备形成的所述虚机，所述虚拟检测设备与所述集群并列运行；

利用所述并列运行的虚拟检测设备对所述待镜像的流量携带的虚拟网络的信息进行安全性分析，并生成所述安全分析结果，所述安全分析结果为多租户下的安全分析结果。

6.根据权利要求5所述的基于SDN的防护系统的控制方法，其特征在于，所述安全分析结果包括威胁信息等级或类别。

7.一种基于SDN的防护系统，其特征在于，所述基于SDN的防护系统包括云平台、SDN控制器、多个租户组成的集群以及安全管理平台；

所述SDN控制器用于将待镜像的流量配置到虚拟路由器上，所述待镜像的流量携带有虚拟网络的信息；

所述安全管理平台包括与所述集群连接的一个或多个虚机，所述安全管理平台用于将所述待镜像的流量分配至所述集群的一个或多个虚机，其中，一个或多个虚机所在的物理节点根据所述待镜像的流量所包含的IP信息和/或MPLS信息确定；所述虚机对所述待镜像的流量携带的虚拟网络的信息进行安全性分析；

所述云平台用于响应于安全分析结果，以及生成安全策略。

8.根据权利要求7所述的基于SDN的防护系统，其特征在于，所述分析结果为存在威胁信息时，所述安全管理平台上报对应威胁信息的租户至所述云平台，所述云平台生成并下发所述安全策略，所述安全策略包括所述云平台阻断所述待镜像的流量或者所述SDN控制器关闭所述虚机。

9.根据权利要求7所述的所述的基于SDN的防护系统，其特征在于，所述虚机包括虚拟检测设备，所述虚拟检测设备与所述集群并列运行；所述云平台还用于在根据所述安全分析结果确定所述集群安全后，继续建立与所述集群的连接。

10.根据权利要求9所述的所述的基于SDN的防护系统，其特征在于，所述安全分析结果包括威胁信息等级，所述威胁信息等级至少包括两级。

11.根据权利要求7至10任一项所述的基于SDN的防护系统，其特征在于，所述SDN控制器还用于在建立ArSDN旁路流量镜像后，将需要镜像的流量配置到对应的ArSDN虚拟路由器上。