[发明专利]一种基于云环境的安全访问控制方法、装置及系统

说明书

本发明公开了一种基于云环境的安全访问控制方法，通过云管平台的api获取业务虚拟机的镜像流量，并将该镜像流量发送至云安全审计虚拟机，该过程不需要对业务虚拟机的网络环境以及架构进行更改，其过程仅需要调用云管平台的api即可，从而可以实现在不需要更改云上业务主机网络架构的同时，通过云安全审计虚拟机实现安全访问控制。本发明还提供了一种基于云环境的安全访问控制装置以及一种基于云环境的安全访问控制系统，同样具有上述有益效果。

技术领域

本发明涉及云计算技术领域，特别是涉及一种基于云环境的安全访问控制方法，一种基于云环境的安全访问控制装置以及一种基于云环境的安全访问控制系统。

背景技术

随着云计算的大力发展，建立云数据中心已经是大势所趋。然而面临云环境下越来越海量的数据及越来越难以发现的病毒威胁，传统设备在保证性能要求的同时，往往难以兼顾安全要求。目前各大厂商都推出了自己的云安全产品，以赋能云上安全能力，但是市面上的安全产品依旧遵循传统安全产品的架构逻辑，大多仅仅是做了虚拟化，并没有根据云环境上一些特点提出针对性的解决方案，同时安全厂商无法改造云上网络环境，导致云上网络环境中安全能力难以落地实现。如何利用好云环境的特点进行云环境的安全防护，成为业内的热点话题。

经过实际调研，目前市场上存在大量来自不同厂商的不同型号、不同种类的云安全产品，但是都属于独立部署在云环境中的软件产品，一般都需要将虚拟机直接挂载在云安全产品上，或将流量牵引至云安全产品上实现对网络威胁的识别、防护。这种安全产品部署方式较为复杂，对云上业务主机的的网络改动较大；且一旦云安全产品宕机，难以实现业务迁移；另外也没有充分利用云平台原有的安全能力资源，造成一定程度的重复建设。所以如何提供一种部署简单，不需要更改云上业务主机网络架构的安全访问控制方案是本领域技术人员急需解决的问题。

发明内容

本发明的目的是提供一种基于云环境的安全访问控制方法，可以在不需要更改云上业务主机网络架构的同时实现安全访问控制；本发明的另一目的在于提供一种基于云环境的安全访问控制装置以及一种基于云环境的安全访问控制系统，可以在不需要更改云上业务主机网络架构的同时实现安全访问控制。

为解决上述技术问题，本发明提供一种基于云环境的安全访问控制方法，应用于云安全审计虚拟机，包括：

通过云管平台的api在虚拟网络层获取业务虚拟机的镜像流量；

对所述镜像流量进行审计；

当所述镜像流量异常时，调用所述云管平台的api，向异常的所述镜像流量所对应的业务虚拟机所处网络空间下发安全组策略，以通过所述安全组策略控制所述业务虚拟机的流量。

可选的，所述云安全审计虚拟机设置于单独的逻辑隔离网络空间。

可选的，所述通过云管平台的api在虚拟网络层获取业务虚拟机的镜像流量包括：

当所述业务虚拟机对外发起链接时，通过云管平台的api在虚拟网络层获取业务虚拟机的镜像流量。

可选的，所述对所述镜像流量进行审计包括：

调用设置于所述云安全审计虚拟机中的特征库，以所述业务虚拟机对外发起链接时的连接行为特征为索引，对所述镜像流量进行审计。

可选的，所述连接行为特征包括以下任意一项或任意组合：

时间特征、流量特征、频率特征。

可选的，所述对所述镜像流量进行审计包括：

调用设置于所述云安全审计虚拟机中的特征库，以所述业务虚拟机对外发起链接后发出的数据内容为索引，对所述镜像流量进行审计。

可选的，所述数据内容包括以下任意一项或任意组合：

报文首部、外连的地址、端口。