[发明专利]一种基于SDN的云计算安全保护系统及方法

摘要

本发明公开了一种基于SDN的云计算安全保护系统，该系统由控制器集群控制模块、环境监控模块和集群基础功能保障模块组成。控制器集群控制模块是整个系统的核心，它根据环境监控模块反馈的信息来获取当前网络如交换机增删、终端增删等变化情况以及云计算环境中虚拟机增删、迁移等变化情况。环境监控模块使用支持SDN的虚拟交换机和虚拟平台管理接口，在不影响正常业务工作的情况下自动识别如虚拟机迁移、虚拟机增删、其他业务流变化等而引起的安全需求的变化。集群基础功能保障模块对云环境中的多控制器进行协调管理。此外，本发明还公开了一种基于SDN的云计算安全保护方法。通过本发明能够实现在云环境中按需灵活快速的提供可定制的安全保护服务。

主权项

一种基于SDN的云计算安全保护系统，其特征在于，该系统基于支持SDN的虚拟交换机和虚拟平台管理接口，在不影响正常业务工作的情况下自动识别虚拟机迁移、虚拟机增删、其他业务流变化而引起的安全需求的变化，制定新的安全策略，并且根据需要在云计算中心的各地各主机上快速的部署或关闭所需的安全虚拟器件，并且向支持SDN的虚拟交换机更新安全策略，能实时有效的保护云计算中心的安全并且节省系统资源，该系统具体包括以下模块：该系统由控制器集群控制模块、环境监控模块和集群基础功能保障模块组成；控制器集群控制模块是整个系统的关键核心，它根据环境监控模块反馈的信息来获取当前网络中交换机增删、终端增删变化情况以及云计算环境中虚拟机增删、迁移这些变化情况；其包括安全决策模块、SDN控制器集群控制模块和SVM控制器集群控制模块；安全决策模块根据获取的环境信息进行安全策略的创新、更改和删除，具体包括安全策略获取模块、安全策略分析模块、安全策略执行模块，安全策略获取模块分析从环境监控模块获取的环境信息，并根据算法得出相应的参数并传递给安全策略分析模块；接着安全策略分析模块根据上述参数获取虚拟机、网络和业务的变动情况，并将结果输出至安全策略执行模块；最后安全策略执行模块制定新的流量安全策略和虚拟安全器件所需的变动要求，通知SDN控制器集群控制模块和SVM控制器集群控制模块具体执行；SDN控制器集群控制模块负责对网络流量规则的执行，包括流表生成模块、流表下发模块、交换机共享控制模块、交换机接口通信模块、虚拟交换机变动模块；流表生成模块根据安全决策模块发送的流量安全策略和虚拟安全器件变动要求生成需要变更的流表，接着虚拟交换机变动模块根据需要通知相应主机上生成/删除新的虚拟交换机或相应主机上的虚拟交换机生成/删除端口或生成/删除接口，最后流表下发模块将流表发送到指定的虚拟交换机处以更新流表规则；SVM控制器集群控制模块负责完成主机上虚拟安全器件的变动工作，包括虚拟机创建部署模块、虚拟机中断模块、虚拟机关闭模块和虚拟机同步迁移模块；SVM控制器集群控制模块接受到安全决策模块发送的虚拟安全器件变动要求，选择虚拟机创建部署模块、虚拟机中断模块、虚拟机关闭模块、虚拟机同步迁移模块这四个模块中相应的子功能模块，与SDN控制器集群控制模块协调以完成在指定主机上增加、中止、复制安全虚拟器件的要求；环境监控模块使用支持SDN的虚拟交换机和和虚拟平台管理接口，在不影响正常业务工作的情况下自动识别虚拟机迁移、虚拟机增删、其他业务流变化而引起的安全需求的变化；环境监控模块基于集群基础功能保障模块提供的基本功能，获取网络状态变化和虚拟机情况变化的信息，并向控制器集群控制模块反映；环境监控模块包括网络状态监控模块、虚拟机迁移监控模块、虚拟机状态监控模块、虚拟机资源变动监控模块，其中，网络状态监控模块对云环境中的网络环境进行观察，在网络流量异常时推送信息通知控制器集群控制模块；虚拟机迁移监控模块、虚拟机状态监控模块、虚拟机资源变动监控模块都是对云环境中虚拟机的状态进行监控并将获取的状态变化的信息加工后发送至控制器集群控制模块；集群基础功能保障模块对云环境中的多控制器进行协调管理，包括状态分发/同步模块，网络通信模块，分布式存储管理模块，故障恢复模块，冗余备份模块，集群基础功能保障模块是整个系统工作的基础，确保整个控制集群能够在云环境中将所有的安全策略同步、获取所有实时的安全状态，以安全可靠的方式执行操作。