[发明专利]一种针对虚拟化环境的流量检测系统及方法

摘要

本发明提供一种针对虚拟化环境的流量检测系统及方法，系统包括：agent模块，流表中匹配到的虚拟机流量直接通过虚拟交换机转发，流表中未匹配到的虚拟机流量发送至异常流量检测模块并更新虚拟交换机流表；异常流量检测模块，对于检测结果为正常的虚拟机流量在流表处新增流表项以允许该种虚拟机流量通过；对于检测结果为异常的虚拟机流量在流表处修改流表项，设置访问控制以阻断流量异常的虚拟机；控制模块：决策出要阻断的流量异常的物理机连接或要列入黑名单的物理机并更新物理交换机流表。本发明可以检测虚拟机之间、物理机之间、虚拟机和物理机之间的异常流量，更加适应流量海量性、实时性检测等要求，可以对虚拟化流量进行更加全面的检测。

主权项

1.一种针对虚拟化环境的流量检测系统，包括：agent模块：在虚拟化物理机hypervisor层中实现，对流经虚拟交换机的虚拟机流量实时采集，并与虚拟交换机上的流表做匹配：对于流表中匹配到的虚拟机流量，直接让虚拟机流量通过虚拟交换机转发，对于流表中未匹配到的虚拟机流量，则发送至异常流量检测模块并更新虚拟交换机流表；异常流量检测模块：在虚拟化物理机hypervisor层安装的虚拟交换机的Controller中实现，对未匹配到流表的虚拟机流量做流量检测：对于检测结果为正常的虚拟机流量在流表处新增流表项以允许该种虚拟机流量通过；对于检测结果为异常的虚拟机流量在流表处修改流表项，设置访问控制以阻断流量异常的虚拟机；控制模块：在与物理交换机连接的物理机中实现，根据Spark计算集群实时处理的流经物理交换机的物理机流量的流量指标进行DFI检测，决策出要阻断的流量异常的物理机连接或要列入黑名单的物理机，并更新物理交换机流表；其特征在于，所述控制模块包括：DFI检测模块：根据Spark计算集群实时处理的流经物理交换机的物理机流量的流量指标与对应的正常基线做对比，差异超过允许范围时则流经物理交换机的物理机流量异常，否则，流经物理交换机的物理机流量正常；配置下发模块：根据DFI检测结果决策出要阻断的物理机连接或要列入黑名单的物理机，并更新物理交换机流表。