CN103973676B - 一种基于sdn的云计算安全保护系统及方法 - Google Patents

Abstract

本发明公开了一种基于SDN的云计算安全保护系统，该系统由控制器集群控制模块、环境监控模块和集群基础功能保障模块组成。控制器集群控制模块是整个系统的核心，它根据环境监控模块反馈的信息来获取当前网络如交换机增删、终端增删等变化情况以及云计算环境中虚拟机增删、迁移等变化情况。环境监控模块使用支持SDN的虚拟交换机和虚拟平台管理接口，在不影响正常业务工作的情况下自动识别如虚拟机迁移、虚拟机增删、其他业务流变化等而引起的安全需求的变化。集群基础功能保障模块对云环境中的多控制器进行协调管理。此外，本发明还公开了一种基于SDN的云计算安全保护方法。通过本发明能够实现在云环境中按需灵活快速的提供可定制的安全保护服务。

Description

一种基于SDN的云计算安全保护系统及方法

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于SDN的云计算安全保护系统及方法。

背景技术

目前我国众多行业都已在云计算上进行了大规模的投入，但云计算建设大多仍处于初级阶段。一些运营商、有实力的企业单位以及大型政府信息中心，经过几年的建设已经初步建成了基础设施即服务(IaaS)云，很多单位已经逐步将非核心的业务移植到云平台上，而核心业务的转移因担心数据中心和云平台遭到数据泄漏或导致业务中断而开展缓慢。这其中由于虚拟化技术的引入，打破了传统的网络边界的划分方式，另外虚拟机数量变化快也相应的要求安全防护能迅速与之相适应，这些使得传统的安全技术手段无法做到有效的安全防护。因此对于采用基于虚拟化的云平台架构搭建IT环境的政府及企业用户来说，安全性及合规性依然是他们需要考虑的首要因素，用户需要一套完整的安全方案可以为虚拟和物理环境都提供持续的保护，并满足其合规性检查的需要。

申请号为CN201310539052.1的发明专利申请涉及一种软件自定义网络安全实施方法、系统及控制器，属于网络技术安全领域。其公开的一种软件定义网络安全实施方法，包括：部署在控制器网络操作系统(NOS)中的安全核心模块实时检测网络状态信息；安全应用根据网络状态信息，分析网络安全状态，检测到网络安全威胁时，生成相应的安全策略；所述安全核心模块将所述安全应用生成的安全策略转换成流表项规则，安装或更新至数据层交换机。本发明还公开了另两种软件定义网络安全实施方法，一种软件定义网络安全实施系统及控制器。该技术方案有效地解决软件定义网络面临的安全问题。

该技术参考利用了SDN的三层模型，重点建立一个基于控制器的网络操作系统，在自动识别网络安全状态，自动生成策略并转化成流表下发至支持SDN的物理交换机或虚拟交换机，以实时智能的保护当前网络。

但该技术面临保护对象快速变化，如虚拟机突然增加或虚拟机大批量迁往异地的数据中心等情况，则防护压力变大，不足以应对安全保护需求，可能出现控制器网络操作系统无法追踪保护虚拟机或无法为激增的虚拟机提供安全防护的情况。

目前众多厂商都推出了自己的SVM(安全虚拟器件产品)。SVM具有快速部署，扩展性好，按需灵活提供服务的能力。

例如趋势科技Deep Security虚拟设备：以透明方式在VMware vSphere虚拟机上强行实施安全策略以进行无代理恶意软件防护、IDS/IPS、完整性监控、Web应用程序防护、应用程序控制和防火墙保护，如果需要，可以与DeepSecurity客户端配合使用进行日志检查和深度防御。

例如Vyatta可提供一个商业安全设备，为每一个网络类的包括云架构提供设备。Vyatta的产品线包括Vyatta虚拟网络设备。Vyatta在虚拟设备VMware，XEN，XenServer的虚拟机环境中工作。虚拟安全设备包括防火墙，IPSec和基于SSL的VPN，入侵检测，过滤，动态路由和基于路由器的NAT，DHCP等服务，这都是为IPv6的准备。

这些安全虚拟器件有些以虚拟机的方式向客户提供服务，有些与虚拟化平台结合向客户提供服务。它们能快速的安装部署在适用的虚拟化平台上，并且根据总控制中心的要求，在主机上部署或关闭。但是这些虚拟器件在精确追踪虚拟机之间的流量、流经指定用户(如IP或MAC地址等的用户)流量、虚拟机迁移时的流量等这些流量时，并不能高效完整的完成任务。

其中以虚拟机的方式向客户提供服务的虚拟器件的增删大多由人工完成，如果云环境中的虚拟机数量发生急剧的变化，很可能来不及应付云计算中变化的安全需求。

发明内容

本发明为了解决现有技术中云计算中安全保护的缺点或不足，采用了一种基于SDN的云计算安全保护方法的方案，从而实现了在云环境中按需灵活快速的提供可定制的安全保护服务的目的。

本发明提供的一种基于SDN的云计算安全保护系统，其基于支持SDN的虚拟交换机和虚拟平台管理接口，在不影响正常业务工作的情况下自动识别如虚拟机迁移、虚拟机增删、其他业务流变化等而引起的安全需求的变化，制定新的安全策略，并且根据需要在云计算中心的各地各主机上快速的部署或关闭所需的安全虚拟器件，例如IDS、审计类产品、漏洞扫描、安全管理平台，并且向支持SDN的虚拟交换机更新安全策略，能实时有效的保护云计算中心的安全并且节省系统资源，该系统具体包括以下模块：

该系统由控制器集群控制模块、环境监控模块和集群基础功能保障模块组成。

控制器集群控制模块是整个系统的关键核心，它根据环境监控模块反馈的信息来获取当前网络如交换机增删、终端增删等变化情况以及云计算环境中虚拟机增删、迁移等变化情况；其包括安全决策模块、SDN控制器集群控制模块和SVM控制器集群控制模块。

安全决策模块根据获取的环境信息进行安全策略的创新、更改和删除，具体包括安全策略获取模块、安全策略分析模块、安全策略执行模块，安全策略获取模块分析从环境监控模块获取的环境信息，并根据算法得出相应的参数并传递给安全策略分析模块；接着安全策略分析模块根据上述参数获取虚拟机、网络和业务的变动情况，并将结果输出至安全策略执行模块；最后安全策略执行模块制定新的流量安全策略和虚拟安全器件所需的变动要求，通知SDN控制器集群控制模块和SVM控制器集群控制模块具体执行。

SDN控制器集群控制模块负责对网络流量规则的执行，包括流表生成模块、流表下发模块、交换机共享控制模块、交换机接口通信模块、虚拟交换机变动模块；流表生成模块根据安全决策模块发送的流量安全策略和虚拟安全器件变动要求生成需要变更的流表，接着虚拟交换机变动模块根据需要通知相应主机上生成/删除新的虚拟交换机或相应主机上的虚拟交换机生成/删除端口或生成/删除接口，最后流表下发模块将流表发送到指定的虚拟交换机处以更新流表规则。

SVM控制器集群控制模块负责完成主机上虚拟安全器件的变动工作，包括虚拟机创建部署模块、虚拟机中断模块、虚拟机关闭模块和虚拟机同步迁移模块；SVM控制器集群控制模块接受到安全决策模块发送的虚拟安全器件变动要求，选择上述四个模块中相应的模块与SDN控制器集群控制模块协调以完成在指定主机上增加、中止、复制安全虚拟器件的要求。

环境监控模块使用支持SDN的虚拟交换机和和虚拟平台管理接口，在不影响正常业务工作的情况下自动识别如虚拟机迁移、虚拟机增删、其他业务流变化等而引起的安全需求的变化；环境监控模块基于集群基础功能保障模块提供的基本功能，获取网络状态变化和虚拟机情况变化的信息，并向控制器集群控制模块反映；环境监控模块包括网络状态监控模块、虚拟机迁移监控模块、虚拟机状态监控模块、虚拟机资源变动监控模块，其中，网络状态监控模块对云环境中的网络环境进行观察，在网络流量异常时推送信息通知控制器集群控制模块；虚拟机迁移监控模块、虚拟机状态监控模块、虚拟机资源变动监控模块都是对云环境中虚拟机的状态进行监控并将获取的状态变化的信息加工后发送至控制器集群控制模块。

集群基础功能保障模块对云环境中的多控制器进行协调管理，包括状态分发/同步模块，网络通信模块，分布式存储管理模块，故障恢复模块，冗余备份模块；是整个系统工作的基础，确保整个控制集群能够在云环境中将所有的安全策略同步、获取所有实时的安全状态，以安全可靠的方式执行操作。

此外，本发明还提供一种基于SDN的云计算安全保护方法，该方法通过其云计算中主机上的虚拟交换机根据总控制平台下发的流表工作以保证安全，并且将所需监控的端口流量转发到指定的虚拟安全器件SVM上，并且将可疑的流量转发至总控制平台，而总控制平台根据支持SDN的虚拟交换机和虚拟化平台接口反馈的安全环境变化情况制定安全防护需求，下发流表至各主机上的相关虚拟交换机，并且通过接口调整各主机的安全虚拟器件，例如IDS入侵检测、安全审计、SOC安全管理平台、漏洞扫描等的增加和删除；其中云计算中的各主机的虚拟网桥已替换成支持SDN的虚拟交换机以符合SDN网络的要求；该方法的具体流程为：

s1、系统初始化，总控制平台通过云计算中的各主机的接口获取当前主机上的虚拟机情况和主机的资源使用情况，并且制定流量安全策略和虚拟安全器件生成要求，通知SDN控制器集群控制模块和SVM控制器集群控制模块具体执行。

s2、网络状态监控模块通过云计算的各个主机上的支持SDN的虚拟交换机进行信息收集工作，当支持SDN的虚拟交换机接收到的流无法满足流表规则时，虚拟交换机提取数据包的关键信息，并且将信息整理成固定的格式后向控制器集群控制模块的安全决策模块和SDN控制器发送，以反映当前变化的网络流量情况。

s3、虚拟机迁移监控模块通过与主机上的虚拟化平台的接口来监控虚拟机迁移的活动，具体为，虚拟机迁移监控模块通过此接口在虚拟机预备迁移时获取通知，并且获取相应的信息，如迁入的网络主机位置，原迁出的IP地址、相应的安全策略等，最后虚拟机迁移监控模块将信息整理成固定的格式反馈给控制器集群控制模块的安全决策模块。

s4、虚拟机状态监控模块、虚拟机资源变动监控模块都是对云环境中虚拟机的状态进行监控并将获取的状态变化的信息加工后发送至控制器集群控制模块；虚拟机状态监控模块对正在运行的虚拟机的状态进行监控，监控虚拟机所占网络资源、计算资源和存储的变化；虚拟机资源变动监控模块对虚拟机关闭和中断的情况进行监控；当虚拟机状态监控模块和虚拟机资源变动监控模块获取信息后整理成固定的格式反馈给控制器集群控制模块的安全决策模块。

s5、控制器集群控制模块的安全决策模块的安全策略获取模块分析从步骤s2至s4获取的当前环境的变化的环境信息，并根据算法得出当前环境的安全威胁级别和安全保护范围，并转化成相应的参数并传递给安全策略分析模块；安全策略分析模块根据参数依照系统默认的安全策略处理法规生成需要执行的安全策略；安全策略包括网络中各个节点需要遵守的流量发送规则和在哪台主机上需要建立多少数量什么类型的安全虚拟器件，以及主机上需要变动的虚拟交换机项目；然后，安全策略分析模块将结果输出至安全策略执行模块，最后安全策略执行模块通知SDN控制器集群控制模块和SVM控制器集群控制模块具体执行这些安全决策。

s6、SDN控制器集群控制模块的虚拟交换机变动模块根据步骤s5安全决策模块发送的流量安全策略和虚拟安全器件变动要求判断需要增加/更改/删除的主机上的虚拟交换机，然后通知相应主机上生成/更改/删除虚拟交换机或相应主机上的虚拟交换机生成/更改/删除端口或生成/删除接口。

s7、SDN控制器集群控制模块根据步骤s5安全策略执行模块的通知调用流表生成模块生成需要新增/更新/删除的流表，然后流表下发模块将流表发送到指定的虚拟交换机处以更新其上的流表规则。

s8、SVM控制器集群控制模块根据步骤s5安全策略执行模块通知的信息，完成主机上虚拟安全器件的变动工作，包括虚拟机创建部署模块、虚拟机中断模块、虚拟机关闭模块和虚拟机同步迁移模块，SVM控制器集群控制模块接受到安全决策模块发送的虚拟安全器件变动要求，选择这四个模块中相应的模块与SDN控制器集群控制模块协调以完成在指定主机上增加、中止、复制安全虚拟器件的要求，这样当主机上的虚拟机增加或删除时，主机可以提供与之相匹配的安全保障能力，并且防止资源的浪费；另外虚拟机在不同主机之间迁移时，也能保证原有的安全策略能不间断的随虚拟机迁移。

s9、最后SDN控制器集群控制模块的虚拟交换机变动模块再次检查网络中变更的虚拟安全器件和网络部分，对流表进行修正。

本发明技术方案带来的有益效果：本发明能有效应对云计算环境中保护的虚拟机突然增加或虚拟机大批量迁往异地的数据中心等安全保护需求迅速变化的情况。总控制平台通过支持SDN的虚拟交换机和虚拟化平台的接口，在不影响正常业务工作的情况下自动识别安全需求的变化，在云计算中心的各地各主机上快速的部署或关闭虚拟器件，能有效的保护云计算中心中网络环境和其中的虚拟机的安全。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1是本发明系统的功能模块图；

图2是本发明系统的网络拓扑图；

图3是本发明系统的物理架构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

一种基于SDN的云计算安全保护系统及方法针对云计算环境中动态变化的虚拟机数量和虚拟机迁移导致的虚拟机位置变换等与传统环境中不同的特征，对虚拟机进行保护。这种方法及系统基于支持SDN的虚拟交换机和虚拟平台管理接口，在不影响正常业务工作的情况下自动识别如虚拟机迁移、虚拟机增删、其他业务流变化等而引起的安全需求的变化，制定新的安全策略，并且根据需要在云计算中心的各地各主机上快速的部署或关闭所需的安全虚拟器件，例如IDS、审计类产品、漏洞扫描、安全管理平台等，并且向支持SDN的虚拟交换机更新安全策略，能实时有效的保护云计算中心的安全并且节省系统资源。

一种基于SDN的云计算安全保护方法的系统功能模块图如图1所示：

该系统由控制器集群控制模块、环境监控模块和集群基础功能保障模块组成。

控制器集群控制模块是整个系统的关键核心，它根据环境监控模块反馈的信息来获取当前网络如交换机增删、终端增删等变化情况以及云计算环境中虚拟机增删、迁移等变化情况。推荐控制器使用带外管理的方式，这样可以在不影响正常业务工作的情况下获得环境变化的信息。之后控制器根据设定的安全保护级别，识别安全需求的变化并自动调整安全策略，并且下发执行这些安全策略。安全策略的执行包括两种，一种是网络流量规则的执行，即SDN控制器下发流表至虚拟交换机；另一种是SVM的调整，即SVM控制器通知主机增加或关闭安全虚拟器件。

控制器集群控制模块包括安全决策模块、SDN控制器集群控制模块和SVM控制器集群控制模块。安全决策模块根据获取的环境信息进行安全策略的创新、更改和删除，具体包括安全策略获取模块、安全策略分析模块、安全策略执行模块。安全策略获取模块分析从环境监控模块获取的环境信息，并根据算法得出相应的参数并传递给安全策略分析模块。接着安全策略分析模块根据上述参数获取虚拟机、网络和业务的变动情况，并将结果输出至安全策略执行模块。最后安全策略执行模块制定新的流量安全策略和虚拟安全器件所需的变动要求，通知SDN控制器集群控制模块和SVM控制器集群控制模块具体执行。

SDN控制器集群控制模块负责对网络流量规则的执行，包括流表生成模块、流表下发模块、交换机共享控制模块、交换机接口通信模块、虚拟交换机变动模块。流表生成模块根据安全决策模块发送的流量安全策略和虚拟安全器件变动要求生成需要变更的流表，接着虚拟交换机变动模块根据需要通知相应主机上生成/删除新的虚拟交换机或相应主机上的虚拟交换机生成/删除端口或生成/删除接口，最后流表下发模块将流表发送到指定的虚拟交换机处以更新流表规则。其中交换机共享控制模块和交换机接口通信模块是上述业务安全、高效的完成的保证。

SVM控制器集群控制模块负责完成主机上虚拟安全器件的变动工作，包括虚拟机创建部署模块、虚拟机中断模块、虚拟机关闭模块和虚拟机同步迁移模块。SVM控制器集群控制模块接受到安全决策模块发送的虚拟安全器件变动要求，选择上述四个模块中相应的模块与SDN控制器集群控制模块协调以完成在指定主机上增加、中止、复制安全虚拟器件的要求。这样当主机上的虚拟机增加或删除时，主机可以提供与之相匹配的安全保障能力，并且防止资源的浪费；另外虚拟机在不同主机之间迁移时，也能保证原有的安全策略能不间断的随虚拟机迁移。

环境监控模块使用支持SDN的虚拟交换机和和虚拟平台管理接口，在不影响正常业务工作的情况下自动识别如虚拟机迁移、虚拟机增删、其他业务流变化等而引起的安全需求的变化。环境监控模块基于集群基础功能保障模块提供的基本功能，获取网络状态变化和虚拟机情况变化的信息，并向控制器集群控制模块反映。环境监控模块包括网络状态监控模块、虚拟机迁移监控模块、虚拟机状态监控模块、虚拟机资源变动监控模块。

网络状态监控模块对云环境中的网络环境进行观察，在网络流量异常时推送信息通知控制器集群控制模块。具体为，网络状态监控模块基于支持SDN的虚拟交换机，当支持SDN的虚拟交换机接收到的流无法满足安全流表规则时向控制器集群控制模块的安全决策模块和SDN控制器发送提取的信息，以反映当前变化的网络流量情况。

虚拟机迁移监控模块、虚拟机状态监控模块、虚拟机资源变动监控模块都是对云环境中虚拟机的状态进行监控并将获取的状态变化的信息加工后发送至控制器集群控制模块。其中虚拟机迁移监控模块通过主机虚拟机平台的接口在虚拟机预备迁移时获取相应的信息，如迁入的网络主机位置，原迁出的IP地址、相应的安全策略等，并反馈到控制器集群控制模块。虚拟机状态监控模块对正在运行的虚拟机的状态进行监控，监控虚拟机所占网络资源、计算资源和存储的变化。虚拟机资源变动监控模块对虚拟机关闭和中断的情况进行监控。

集群基础功能保障模块对云环境中的多控制器进行协调管理，包括状态分发/同步模块，网络通信模块，分布式存储管理模块，故障恢复模块，冗余备份模块；是整个系统工作的基础，确保整个控制集群能够在云环境中将所有的安全策略同步、获取所有实时的安全状态，以安全可靠的方式执行操作。

其中特别的指出，集群基础功能保障模块通过网络通信模块使用南向接口协议与支持SDN的虚拟交换机进行安全通信，使用其他模块实现多控制器之间的流表的同步；同时也使用网络通信模块与主机的虚拟机监控器进行通信，以安全加密的方式将增删安全虚拟器件的指令传递执行下去。状态分发/同步模块是确保总控制中心的指令能及时可靠的到达虚拟交换机或主机的虚拟机监控器，并且实现策略指令的同步。冗余备份模块对各区域内的控制器进行冗余备份，以防止机器突然中断发生的信息丢失情况的出现。故障恢复模块在控制器、虚拟交换机、云主机发生故障后，快速的恢复相关安全保护的措施。

一种基于SDN的云计算安全保护方法，其云计算中主机上的虚拟交换机根据总控制平台下发的流表工作以保证安全，并且将所需监控的端口流量转发到指定的虚拟安全器件SVM上，并且将可疑的流量转发至总控制平台。而总控制平台根据支持SDN的虚拟交换机和虚拟化平台接口反馈的安全环境变化情况制定安全防护需求，下发流表至各主机上的相关虚拟交换机，并且通过接口调整各主机的安全虚拟器件，例如IDS入侵检测、安全审计、SOC安全管理平台、漏洞扫描等的增加和删除。其中云计算中的各主机的虚拟网桥已替换成支持SDN的虚拟交换机以符合SDN网络的要求。

具体的流程如下所示：

1、系统初始化，总控制平台通过云计算中的各主机的接口获取当前主机上的虚拟机情况和主机的资源使用情况，并且制定流量安全策略和虚拟安全器件生成要求，通知SDN控制器集群控制模块和SVM控制器集群控制模块具体执行。总控制平台向云计算中的各主机的支持SDN的虚拟交换机下发基本的由安全规则制定出的流表，通过接口在相应主机上部署所需的安全虚拟器件。

2、网络状态监控模块通过云计算的各个主机上的支持SDN的虚拟交换机进行信息收集工作。当支持SDN的虚拟交换机接收到的流无法满足流表规则时，虚拟交换机提取数据包的关键信息，并且将信息整理成固定的格式后向控制器集群控制模块的安全决策模块和SDN控制器发送，以反映当前变化的网络流量情况。

3、虚拟机迁移监控模块通过与主机上的虚拟化平台的接口来监控虚拟机迁移的活动。具体为，虚拟机迁移监控模块通过此接口在虚拟机预备迁移时获取通知，并且获取相应的信息，如迁入的网络主机位置，原迁出的IP地址、相应的安全策略等。最后虚拟机迁移监控模块将信息整理成固定的格式反馈给控制器集群控制模块的安全决策模块。

4、虚拟机状态监控模块、虚拟机资源变动监控模块都是对云环境中虚拟机的状态进行监控并将获取的状态变化的信息加工后发送至控制器集群控制模块。虚拟机状态监控模块对正在运行的虚拟机的状态进行监控，监控虚拟机所占网络资源、计算资源和存储的变化。虚拟机资源变动监控模块对虚拟机关闭和中断的情况进行监控。当虚拟机状态监控模块和虚拟机资源变动监控模块获取信息后整理成固定的格式反馈给控制器集群控制模块的安全决策模块。

5、控制器集群控制模块的安全决策模块的安全策略获取模块分析从以上2至4步获取的当前环境的变化的环境信息，并根据算法得出当前环境的安全威胁级别和安全保护范围，并转化成相应的参数并传递给安全策略分析模块。安全策略分析模块根据参数依照系统默认的安全策略处理法规生成需要执行的安全策略。安全策略包括网络中各个节点需要遵守的流量发送规则和在哪台主机上需要建立多少数量什么类型的安全虚拟器件，以及主机上需要变动的虚拟交换机项目。然后，安全策略分析模块将结果输出至安全策略执行模块。最后安全策略执行模块通知SDN控制器集群控制模块和SVM控制器集群控制模块具体执行这些安全决策。

6、SDN控制器集群控制模块的虚拟交换机变动模块根据第5步安全决策模块发送的流量安全策略和虚拟安全器件变动要求判断需要增加/更改/删除的主机上的虚拟交换机，然后通知相应主机上生成/更改/删除虚拟交换机或相应主机上的虚拟交换机生成/更改/删除端口或生成/删除接口。

7、SDN控制器集群控制模块根据第5步安全策略执行模块的通知调用流表生成模块生成需要新增/更新/删除的流表，然后流表下发模块将流表发送到指定的虚拟交换机处以更新其上的流表规则。这些虚拟交换机根据总控制平台下发的流表工作以保证安全，并且将所需监控的端口流量转发到指定的虚拟安全器件SVM上，并且将可疑的流量转发至总控制平台。

8、SVM控制器集群控制模块根据第5步安全策略执行模块通知的信息，完成主机上虚拟安全器件的变动工作，包括虚拟机创建部署模块、虚拟机中断模块、虚拟机关闭模块和虚拟机同步迁移模块。SVM控制器集群控制模块接受到安全决策模块发送的虚拟安全器件变动要求，选择这四个模块中相应的模块与SDN控制器集群控制模块协调以完成在指定主机上增加、中止、复制安全虚拟器件的要求。这样当主机上的虚拟机增加或删除时，主机可以提供与之相匹配的安全保障能力，并且防止资源的浪费；另外虚拟机在不同主机之间迁移时，也能保证原有的安全策略能不间断的随虚拟机迁移。

9、最后SDN控制器集群控制模块的虚拟交换机变动模块再次检查网络中变更的虚拟安全器件和网络部分，对流表进行修正。

本发明的一种基于SDN的云计算安全保护系统可以部署在物理服务器或者虚拟服务器上，也可以部署在物理个人计算机或虚拟机上。一个云计算环境按照规模分为多个云计算管理工作组，一个云计算管理工作组包含500台以内的物理主机。每个云计算管理工作组由一个控制器对其中的网络和安全虚拟器件SVM进行管理。其中，安全虚拟器件SVM可独立或与其他虚拟机一起部署在云计算平台中，利用云计算平台强大的计算能力为云平台中基于虚拟机运行的系统提供全面的、高性能的网络安全保护。系统的网络拓扑图如图2所示。其中实线表示控制网络，虚线表示业务网络。

系统的物理架构示意图如图3所示，其中实线表示控制网络，虚线表示业务网络。

总控制平台是带外传输的，不占用云计算原环境中的网络资源，而且具有较好的安全性。总控制平台与各主机直接通信，其中SDN控制模块与主机上支持SDN的交换机直接通信，调整网络流向及根据安全策略增删流表；SVM控制模块与主机的虚拟机监控器直接通信，根据安全需要增删安全虚拟器件SVM。

本系统的总控制平台识别安全需求的变化并自动调整安全策略，并且下发执行网络流量规则和SVM的调整，在SDN控制器下发流表至虚拟交换机，通过虚拟化平台接口调整SVM。安全虚拟器件SVM代替了原有硬件设备的产品交付方式，更加快捷、高效，且节约成本；目前涵盖了市场上大部分的安全产品，包括IDS入侵检测、安全审计、SOC安全管理平台、漏洞扫描等。本系统提供接口，允许使用第三方的安全器件。

1、高效集成的入侵检测系统

入侵检测虚拟化器件与防火墙全面联动，实时监控网络传输，自动检测可疑行为，分析来自网络外部和内部的入侵信号。在虚拟机受到危害之前发出警告，实时对攻击做出反应，并提供补救措施，最大程度地为网络系统提供安全保障。

2、合规性审计

IT管理者、合规性审计人员可以利用审计虚拟化器件，定义和报告在其环境中开展合规性运营应满足的具体要求(包括企业、集团法规或政府相关政策)。云平台管理员可以快速查看环境内部的总体合规性状态，并确定每台虚拟机触发违规警报的具体情况。虚拟化器件基于“数据捕获→应用层数据分析→监控、审计和响应”的模式提供各项安全功能，使得它的审计功能大大优于基于日志收集的审计系统，通过收集一系列极其丰富的审计数据，结合细粒度的审计规则、以满足对敏感信息的特殊保护需求。这种连续的监控能够确保当虚拟机监控器的配置和接入权限出现变化时将被详细审查，从而减少了虚拟平台管理员做出错误或不适当的操作。

3、强大的安全综合管理

SOC虚拟化器件以业务和服务为核心，把多种的安全器件、安全策略、安全事件进行统一集中式的实时动态管理，提高运营效率，提升智能化风险管理水平。透过收集各种网络信息，包括SNMP、NetFlow，得到最完整的网络信息，关联分析异常流量，快速定位异常并进行排除。系统通过长时间的基于流量的基准分析，一旦出现异常，及时触发预警，在问题出现初期就进行排查，帮助管理员发现网络中的异常流量并作合理控制，构建了一个智能化的、一体化的、立体联动的防护体系。

4、按需扫描漏洞

与入侵检测系统等被动防御手段相比，漏洞扫描是一种主动的防范措施，可以有效避免黑客对于虚拟机的攻击行为，防患于未然。漏洞扫描虚拟器件可以对主机内部外部的客户虚拟机漏洞扫描、Web漏洞扫描、弱密码扫描等脆弱性检测，支持IP地址段批量反查域名、内网穿透扫描、可利用漏洞显示等。可以按需提供扫描，定制单次、周期执行的扫描计划，定时对虚拟机进行漏洞扫描。

5、细粒度的数据库审计

数据库审计虚拟化器件可保护业界主流的数据库系统，防止受到特权滥用、已知漏洞攻击、人为失误等等的侵害。当用户与数据库进行交互时，数据库审计虚拟化器件会自动根据预设置的风险控制策略，结合对数据库活动的实时监控信息，进行特征检测及审计规则检测，任何尝试的攻击或违反审计规则的操作都会被检测到并实时阻断或告警。

针对本发明还可以考虑利用与虚拟化平台结合的虚拟安全器件SVM。如果是商业软件，则大多需要与虚拟平台厂商进行沟通，获取极高的操作权限。但实际上实施的难度较大。或者开源软件中寻找适合的接口完成，但需要考虑这个高权限接口带来的安全问题。

以上对本发明实施例所提供的一种基于SDN的云计算安全保护系统及方法进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种基于SDN的云计算安全保护系统，其特征在于，该系统基于支持SDN的虚拟交换机和虚拟平台管理接口，在不影响正常业务工作的情况下自动识别虚拟机迁移、虚拟机增删、其他业务流变化而引起的安全需求的变化，制定新的安全策略，并且根据需要在云计算中心的各地各主机上快速的部署或关闭所需的安全虚拟器件，并且向支持SDN的虚拟交换机更新安全策略，能实时有效的保护云计算中心的安全并且节省系统资源，该系统具体包括以下模块：

该系统由控制器集群控制模块、环境监控模块和集群基础功能保障模块组成；

控制器集群控制模块是整个系统的关键核心，它根据环境监控模块反馈的信息来获取当前网络中交换机增删、终端增删变化情况以及云计算环境中虚拟机增删、迁移这些变化情况；其包括安全决策模块、SDN控制器集群控制模块和SVM控制器集群控制模块；

安全决策模块根据获取的环境信息进行安全策略的创新、更改和删除，具体包括安全策略获取模块、安全策略分析模块、安全策略执行模块，安全策略获取模块分析从环境监控模块获取的环境信息，并根据算法得出相应的参数并传递给安全策略分析模块；接着安全策略分析模块根据上述参数获取虚拟机、网络和业务的变动情况，并将结果输出至安全策略执行模块；最后安全策略执行模块制定新的流量安全策略和虚拟安全器件所需的变动要求，通知SDN控制器集群控制模块和SVM控制器集群控制模块具体执行；

SDN控制器集群控制模块负责对网络流量规则的执行，包括流表生成模块、流表下发模块、交换机共享控制模块、交换机接口通信模块、虚拟交换机变动模块；流表生成模块根据安全决策模块发送的流量安全策略和虚拟安全器件变动要求生成需要变更的流表，接着虚拟交换机变动模块根据需要通知相应主机上生成/删除新的虚拟交换机或相应主机上的虚拟交换机生成/删除端口或生成/删除接口，最后流表下发模块将流表发送到指定的虚拟交换机处以更新流表规则；

SVM控制器集群控制模块负责完成主机上虚拟安全器件的变动工作，包括虚拟机创建部署模块、虚拟机中断模块、虚拟机关闭模块和虚拟机同步迁移模块；SVM控制器集群控制模块接受到安全决策模块发送的虚拟安全器件变动要求，选择虚拟机创建部署模块、虚拟机中断模块、虚拟机关闭模块、虚拟机同步迁移模块这四个模块中相应的子功能模块，与SDN控制器集群控制模块协调以完成在指定主机上增加、中止、复制安全虚拟器件的要求；

环境监控模块使用支持SDN的虚拟交换机和和虚拟平台管理接口，在不影响正常业务工作的情况下自动识别虚拟机迁移、虚拟机增删、其他业务流变化而引起的安全需求的变化；环境监控模块基于集群基础功能保障模块提供的基本功能，获取网络状态变化和虚拟机情况变化的信息，并向控制器集群控制模块反映；环境监控模块包括网络状态监控模块、虚拟机迁移监控模块、虚拟机状态监控模块、虚拟机资源变动监控模块，其中，网络状态监控模块对云环境中的网络环境进行观察，在网络流量异常时推送信息通知控制器集群控制模块；虚拟机迁移监控模块、虚拟机状态监控模块、虚拟机资源变动监控模块都是对云环境中虚拟机的状态进行监控并将获取的状态变化的信息加工后发送至控制器集群控制模块；

集群基础功能保障模块对云环境中的多控制器进行协调管理，包括状态分发/同步模块，网络通信模块，分布式存储管理模块，故障恢复模块，冗余备份模块，集群基础功能保障模块是整个系统工作的基础，确保整个控制集群能够在云环境中将所有的安全策略同步、获取所有实时的安全状态，以安全可靠的方式执行操作。

2.根据权利要求1所述的系统，其特征在于，安全虚拟器件包括但不限于IDS、审计类产品、漏洞扫描、安全管理平台。

3.根据权利要求1所述的系统，其特征在于，控制器推荐使用带外管理的方式，这样能够在不影响正常业务工作的情况下获得环境变化的信息，之后控制器根据设定的安全保护级别，识别安全需求的变化并自动调整安全策略，并且下发执行这些安全策略。

4.根据权利要求1或3所述的系统，其特征在于，安全策略的执行包括两种，一种是网络流量规则的执行，即SDN控制器下发流表至虚拟交换机；另一种是SVM的调整，即SVM控制器通知主机增加或关闭安全虚拟器件。

5.根据权利要求1所述的系统，其特征在于，网络状态监控模块基于支持SDN的虚拟交换机，当支持SDN的虚拟交换机接收到的流无法满足安全流表规则时向控制器集群控制模块的安全决策模块和SDN控制器发送提取的信息，以反映当前变化的网络流量情况。

6.根据权利要求1所述的系统，其特征在于，虚拟机迁移监控模块通过主机虚拟机平台的接口在虚拟机预备迁移时获取相应的信息，主要包括迁入的网络主机位置、原迁出的IP地址、相应的安全策略、相连转发设备上的相关状态，并反馈到控制器集群控制模块；虚拟机状态监控模块对正在运行的虚拟机的状态进行监控，监控虚拟机所占网络资源、计算资源和存储的变化；虚拟机资源变动监控模块对虚拟机关闭和中断的情况进行监控。

7.根据权利要求1所述的系统，其特征在于，集群基础功能保障模块通过网络通信模块使用南向接口协议与支持SDN的虚拟交换机进行安全通信，使用其他模块实现多控制器之间的流表的同步；同时也使用网络通信模块与主机的虚拟机监控器进行通信，以安全加密的方式将增删安全虚拟器件的指令传递执行下去；状态分发/同步模块是确保总控制中心的指令能及时可靠的到达虚拟交换机或主机的虚拟机监控器，并且实现策略指令的同步；冗余备份模块对各区域内的控制器进行冗余备份，以防止机器突然中断发生的信息丢失情况的出现；故障恢复模块在控制器、虚拟交换机、云主机发生故障后，快速的恢复相关安全保护的措施。

8.一种基于SDN的云计算安全保护方法，其特征在于，该方法通过其云计算中主机上的虚拟交换机根据总控制平台下发的流表工作以保证安全，并且将所需监控的端口流量转发到指定的虚拟安全器件SVM上，并且将可疑的流量转发至总控制平台，而总控制平台根据支持SDN的虚拟交换机和虚拟化平台接口反馈的安全环境变化情况制定安全防护需求，下发流表至各主机上的相关虚拟交换机，并且通过接口调整各主机的安全虚拟器件，包括IDS入侵检测、安全审计、SOC安全管理平台、漏洞扫描的增加和删除；其中云计算中的各主机的虚拟网桥已替换成支持SDN的虚拟交换机以符合SDN网络的要求；该方法的具体流程为：

s1、系统初始化，总控制平台通过云计算中的各主机的接口获取当前主机上的虚拟机情况和主机的资源使用情况，并且制定流量安全策略和虚拟安全器件生成要求，通知SDN控制器集群控制模块和SVM控制器集群控制模块具体执行；

s2、网络状态监控模块通过云计算的各个主机上的支持SDN的虚拟交换机进行信息收集工作，当支持SDN的虚拟交换机接收到的流无法满足流表规则时，虚拟交换机提取数据包的关键信息，并且将信息整理成固定的格式后向控制器集群控制模块的安全决策模块和SDN控制器发送，以反映当前变化的网络流量情况；

s3、虚拟机迁移监控模块通过与主机上的虚拟化平台的接口来监控虚拟机迁移的活动，具体为，虚拟机迁移监控模块通过此接口在虚拟机预备迁移时获取通知，并且获取相应的信息，主要包括迁入的网络主机位置、原迁出的IP地址、相应的安全策略、相连转发设备上的相关状态，最后虚拟机迁移监控模块将信息整理成固定的格式反馈给控制器集群控制模块的安全决策模块；

s4、虚拟机状态监控模块、虚拟机资源变动监控模块都是对云环境中虚拟机的状态进行监控并将获取的状态变化的信息加工后发送至控制器集群控制模块；虚拟机状态监控模块对正在运行的虚拟机的状态进行监控，监控虚拟机所占网络资源、计算资源和存储的变化；虚拟机资源变动监控模块对虚拟机关闭和中断的情况进行监控；当虚拟机状态监控模块和虚拟 机资源变动监控模块获取信息后整理成固定的格式反馈给控制器集群控制模块的安全决策模块；

s5、控制器集群控制模块的安全决策模块的安全策略获取模块分析从步骤s2至s4获取的当前环境的变化的环境信息，并根据算法得出当前环境的安全威胁级别和安全保护范围，并转化成相应的参数并传递给安全策略分析模块；安全策略分析模块根据参数依照系统默认的安全策略处理法规生成需要执行的安全策略；安全策略包括网络中各个节点需要遵守的流量发送规则和在哪台主机上需要建立多少数量什么类型的安全虚拟器件，以及主机上需要变动的虚拟交换机项目；然后，安全策略分析模块将结果输出至安全策略执行模块，最后安全策略执行模块通知SDN控制器集群控制模块和SVM控制器集群控制模块具体执行这些安全决策；

s6、SDN控制器集群控制模块的虚拟交换机变动模块根据步骤s5安全决策模块发送的流量安全策略和虚拟安全器件变动要求判断需要增加/更改/删除的主机上的虚拟交换机，然后通知相应主机上生成/更改/删除虚拟交换机或相应主机上的虚拟交换机生成/更改/删除端口或生成/删除接口；

s7、SDN控制器集群控制模块根据步骤s5安全策略执行模块的通知调用流表生成模块生成需要新增/更新/删除的流表，然后流表下发模块将流表发送到指定的虚拟交换机处以更新其上的流表规则；

s8、SVM控制器集群控制模块根据步骤s5安全策略执行模块通知的信息，完成主机上虚拟安全器件的变动工作，包括虚拟机创建部署模块、虚拟机中断模块、虚拟机关闭模块和虚拟机同步迁移模块，SVM控制器集群控制模块接受到安全决策模块发送的虚拟安全器件变动要求，选择这四个模块中相应的模块与SDN控制器集群控制模块协调以完成在指定主机上增加、中止、复制安全虚拟器件的要求，这样当主机上的虚拟机增加或删除时，主机可以提供与之相匹配的安全保障能力，并且防止资源的浪费；另外虚拟机在不同主机之间迁移时，也能保证原有的安全策略能不间断的随虚拟机迁移；

s9、最后SDN控制器集群控制模块的虚拟交换机变动模块再次检查网络中变更的虚拟安全器件和网络部分，对流表进行修正。

9.根据权利要求8所述的方法，其特征在于，步骤s1中，总控制平台向云计算中的各主机的支持SDN的虚拟交换机下发基本的由安全规则制定出的流表，通过接口在相应主机上部署所需的安全虚拟器件。

10.根据权利要求8所述的方法，其特征在于，步骤s7中，虚拟交换机根据总控制平台下发的流表工作以保证安全，并且将所需监控的端口流量转发到指定的虚拟安全器件SVM上，并且将可疑的流量转发至总控制平台。