CN104077532A - 一种Linux虚拟化平台安全检测方法及系统 - Google Patents

Abstract

本发明公开了一种Linux虚拟化平台安全检测方法及系统。该方法包括以下步骤，分别设置安全管理域内各个虚拟域的安全策略等级和内容并下发至受控端；依据安全策略组合调用受控端虚拟域安全模块，对虚拟域进行分等级的安全检测；收集各虚拟域安全检测结果，形成安全管理域的安全事态信息。本发明安全管理域宏观的角度实时评估平台系统的安全态势，并在基于策略的条件下对安全态势的发展趋势进行预测。通过定制不同安全等级的安全检测策略，可以整合多种入侵检测的技术手段，将对单个域内系统的安全检测扩展至整个虚拟化平台，对整个安全管理域中各个独立的虚拟域提供个性化的安全检测方案。

Description

一种Linux虚拟化平台安全检测方法及系统

技术领域

本发明涉及计算机技术领域，具体地说，涉及一种Linux虚拟化平台安全检测方法及系统。

背景技术

随着科技的进步，越来越多的大型企业或者实验室趋向于使用虚拟化架构来节约服务器成本或者提高应用灵活性。虚拟化的实质是利用众多的虚拟机来代替原来的物理机来进行各项工作。在虚拟化平台中，每个用户不需要整套的硬件设备，只需一个终端显示设备。虚拟机运行在服务器上，由服务器分发给需要使用虚拟机的用户。并且，Linux虚拟化平台作为最底层的基础平台，在其上运行着多个虚拟域，每个域都管理着许多重要的数据。

目前Linux虚拟化环境没有统一的检测平台。现有的Linux虚拟化平台安全状态检测一般只涉及到单个虚拟域内部，各虚拟域独立进行内部安全检测。例如，现有的计算机杀毒工作方式中，通常需要每个用户在各个虚拟机里安装安全杀毒软件，单独对各个虚拟域进行病毒查杀。因此，各个虚拟域没有通过策略关联起来进行统一分析处理，以及给出指导意见，不能对整个虚拟化平台的安全性作出全面评估。

此外，虽然一些从事虚拟化产品的公司，如VMware、Critrix、Microsoft等针对自己的虚拟化服务器都开发了一套对服务器上的虚拟机的管理套件，这些套件主要强调对单个虚拟机的管理，例如开机、关机、对虚拟机进行快照和恢复快照等。

针对Linux系统，不仅鲜有厂家发行系统安全管理工具，更没有基于虚拟化平台发行一整套安全管理工具方案。因此，亟需一种能够针对整个虚拟化平台提供虚拟域整体化安全检测的Linux安全策略配置方法。

发明内容

本发明的目的之一在于提供一种Linux虚拟化平台安全检测方法，包括以下步骤：

分别设置安全管理域内各个虚拟域的安全策略等级和内容并下发至受控端；

依据安全策略组合调用受控端虚拟域安全模块，对虚拟域进行分等级的安全检测；

收集各虚拟域安全检测结果，形成安全管理域的安全事态信息。

根据本发明的实施例，所述分别设置安全管理域内各个虚拟域的安全策略等级和内容并下发至受控端包括：

在主控端分别为各个虚拟域设置安全策略等级；

根据不同等级设定相应等级的安全策略内容；

受控端通过网络监听的方式接收主控端设置的应用于本地虚拟域的安全策略。

根据本发明的实施例，所述依据安全策略组合调用受控端虚拟域安全模块包括：

在受控端提供多个对虚拟域进行本地安全态势检测的安全模块；

依据安全策略内容选择并调用所述安全模块中的至少一个，对本地虚拟域安执行符合全策略内容的安全检测。

根据本发明的实施例，所述收集各虚拟域安全检测结果，形成安全管理域的安全事态信息包括：

受控端对检测结果进行态势分析，对本地虚拟域进行安全审计和安全评估，将结果返回主控端；

在主控端接收受控端的虚拟域的安全检测结果；

根据全部虚拟域的安全检测结果进行安全管理域的安全态势分析，形成安全事态信息，实现对安全管理域内各个虚拟域的集中式管理。

根据本发明的实施例，所述安全模块包括病毒查杀模块、弱点扫描模块、漏洞检测模块、渗透检测模块、垃圾清理模块、启动加速模块和预警提示模块中的至少一种。

根据本发明的实施例，所述病毒查杀模块用于针对全盘、U盘、关键区域或者指定的区域的系统关键文件进行病毒扫描，其中系统关键文件包括/etc、/boot、/bin以及/sbin目录下的关键文件；

所述弱点扫描模块用于对虚拟域的防火墙安全性、Selinux安全性、PAM密码安全性、软件版本固有漏洞、常用命令完整性和缺失以及日志信息进行扫描分析；

所述漏洞检测模块用于检测系统rootkit残留，判断是否存在安全隐患；

所述渗透检测模块用于检测当前登录账号的密码安全情况；

所述垃圾清理模块用于对虚拟域系统中的临时文件、上网记录、用户Cookie以及回收站垃圾文件进行清理；

所述启动加速模块用于列举分类虚拟域系统的启动服务，提供服务的相关描述以及优化推荐等功能供用户使用，对系统的非必要服务进行关闭和开启，从而提高系统的启动速度；

所述预警提示模块用于监视系统内具有suid属性的特权程序，防止非法的或多余的suid程序。

根据本发明的实施例，所述安全策略等级包括高级、中级和初级，其中，

高级安全策略的内容包括强制开启虚拟域内所有文件类型的全盘查杀，强制开启全部级别的弱点扫描，强制开启漏洞检测、渗透检测、垃圾清理以及预警提示，选择启动加速；

中级安全策略的内容包括强制开启虚拟域内可执行文件类型的全盘查杀，强制开启扫描紧急、严重级别的弱点，强制开启预警提示，选择启动漏洞检测、渗透检测、垃圾清理以及启动加速；

初级安全策略的内容包括强制开启虚拟域内关键区域的可执行文件类型的查杀，强制开启扫描紧急级别的弱点，选择启动预警提示、漏洞检测、渗透检测、垃圾清理以及启动加速。

根据本发明的另一方面，提供一种Linux虚拟化平台安全检测系统，包括主控端以及与主控端连接的多个受控端，所述主控端包括策略等级单元和策略内容单元，所述策略等级单元用于设置安全管理域内各个虚拟域的安全策略等级，所述策略内容单元用于设定与安全等级相对应的安全策略内容；主控端将安全策略下发至受控端，并收集各虚拟域安全检测结果，形成安全管理域的安全事态信息；

所述受控端包括多个对虚拟域进行本地安全态势检测的安全模块。

根据本发明的实施例，所述受控端依据安全策略内容选择并调用所述安全模块中的至少一个，对本地虚拟域安执行符合全策略内容的安全检测。

根据本发明的实施例，所述安全模块包括病毒查杀模块、弱点扫描模块、漏洞检测模块、垃圾清理模块、渗透检测模块、启动加速模块和预警提示模块中的至少一种；

所述病毒查杀模块用于针对全盘、U盘、关键区域或者指定的区域的系统关键文件进行病毒扫描，其中系统关键文件包括/etc、/boot、/bin以及/sbin目录下的关键文件；

所述弱点扫描模块用于对虚拟域的防火墙安全性、Selinux安全性、PAM密码安全性、软件版本固有漏洞、常用命令完整性和缺失以及日志信息进行扫描分析；

所述漏洞检测模块用于检测系统rootkit残留，判断是否存在安全隐患；

所述渗透检测模块用于检测当前登录账号的密码安全情况；

所述垃圾清理模块用于对虚拟域系统中的临时文件、上网记录、用户Cookie以及回收站垃圾文件进行清理；

所述启动加速模块用于列举分类虚拟域系统的启动服务，可以提供服务的相关描述以及优化推荐等功能供用户使用，可以对系统的非必要服务进行关闭和开启，从而提高系统的启动速度；

所述预警提示模块用于监视系统内具有suid属性的特权程序，防止非法的或多余的suid程序。

本发明带来了以下有益效果。

(1)通过定制不同安全等级的安全检测策略，可以整合多种入侵检测的技术手段，将对单个域内系统的安全检测扩展至整个虚拟化平台，对整个安全管理域中各个独立的虚拟域提供个性化的安全检测方案。

(2)从安全管理域宏观的角度实时评估平台系统的安全态势，并在基于策略的条件下对安全态势的发展趋势进行预测，为平台管理员的决策分析提供依据，将不安全因素带来的风险和损失降到最低。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所特别指出的结构来实现和获得。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例共同用于解释本发明，并不构成对本发明的限制。在附图中：

图1是根据本发明实施例的Linux虚拟化平台安全检测系统的示意图；

图2是根据本发明实施例的受控端结构示意图；

图3是根据本发明实施例的Linux虚拟化平台安全检测方法的步骤流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，以下结合附图对本发明作进一步地详细说明。

本发明的实施例提供基于客户端/服务器(C/S)模式的可视化监测管理平台，各虚拟域(Client)根据安全管理域(Server)下发的策略操作指令对本域系统文件、操作、配置、服务等的安全性进行检测与分析，从而提供一种完整的、全平台的安全策略配置方法。

首先对本实施例提供的安全检测方法的应用环境进行说明，如图1所示，Linux虚拟化平台安全检测系统为多域管理系统，包括一个主控端11和多个受控端13。安全管理域中安装的态势感知工具端为主控端(Server)11，用于提取已经连接的多个受控端13的相关信息，实现策略配置下发、操作指令下发、执行结果收集。各虚拟域中安装的态势感知代理工具为受控端(Client)13，用于通过网络监听方式接受主控端11下发的策略配置以及操作指令，并将本地执行结果反馈到主控端11。各受控端13可以和主控端11经过虚拟机监视器12通过TCP/IP协议实现端口监听、指令下发、结果反馈以及信息收集等相关的通信。

具体而言，在主控端11中包括主控端代理111，用于实现主控端11和虚拟机监视器12之间的信息转发；策略等级单元112，用于设置安全管理域内各个虚拟域的安全策略等级；策略内容单元113，用于设定与安全等级相对应的安全策略内容。

图2示出了本实施例中受控端13的结构示意图。在受控端13中设置受控端代理131，用于实现受控端13和虚拟机监视器12之间的信息转发；还设置有安全模块，包括病毒查杀模块132、弱点扫描模块133、漏洞检测模块134、垃圾清理模块135、渗透检测模块136、启动加速模块137和预警提示模块138。可根据安全策略内容组合调用所述安全模块，用于完成对本地虚拟域的安全检测。

主控端11制定与受控端13相对应的策略配置，使之能够根据各个受控端安全级别的不同，针对受控端关注的安全模块进行功能组合方式的检测与分析。根据功能定义细化后，策略等级单元112可以制定出高、中、初三种安全级别的安全策略，通过受控端内不同的安全模块功能相互组合的方式，可以实现完整的基于策略的安全事态检测。

受控端13的安全模块主要保障系统关键文件安全、服务运行安全、系统漏洞、用户账号安全以及系统特权程序安全等。其中：

1)系统关键文件安全主要包括/etc、/boot、/bin、/sbin等系统目录下的关键文件安全，病毒查杀模块132可以根据主控端的策略配置对全盘、U盘、关键区域或者指定区域的关键文件进行病毒扫描，查杀各种病毒木马；

2)服务运行安全包括服务启动与运行安全、端口开放等内容，弱点扫描模块133能够对本域的防火墙安全性、Selinux安全性、软件版本固有漏洞、常用命令完整性和缺失、日志信息等服务的常见安全弱点进行扫描分析；

3)系统漏洞主要指系统脆弱性等内容，漏洞检测模块134能够检测系统rootkit残留，是否存在安全隐患，防止被黑客软件利用；

4)用户账号安全包括身份认证配置情况、用户密码安全情况等内容，渗透检测模块136能够检测当前登录账号的密码安全性，是否为弱密码；

5)系统特权程序安全主要包括监视系统内具有suid属性的特权程序，防止非法的或多余的suid程序等，预警提示模块138能够针对系统已存在的安全隐患对系统的安全性给出引导性的提示，并对正在发生的或可能发生的非法特权行为进行预警提示；

6)此外，对系统中的临时文件、上网记录、用户Cookie以及回收站垃圾文件进行及时清理也是比较重要的，垃圾清理模块135能够提供这些功能；

7)启动加速模块137能够列举分类系统的启动服务，可以提供服务的相关描述以及优化推荐等功能供用户使用，可以对系统的非必要服务进行关闭和开启，从而提高系统的启动速度。

优选的，在受控端还可设置安全审计模块1391和安全评估模块1392。安全审计模块1391用于对本地虚拟域的安全事件进行审计，安全评估模块1392能够对所有子功能模块的进展情况和报告输出进行执行结果收集整理，针对虚拟域已存在的安全隐患对系统的安全性进行评分及低、中、高分析定级。

在表1中示出了受控端各个安全模块的功能列表。

表1

图3为本实施例提供的安全检测方法的步骤流程图。以下结合图3对本实施例的步骤作详细说明。

在步骤S301中，分别设置安全管理域内各个虚拟域的安全策略等级和内容并下发至受控端。

在实际应用中，主控端连接受控端。首先主控端11和受控端13通过虚拟机监视器12建立TCP/IP连接；然后创建心跳测试连接，即在受控端添加定时器函数，定时发送心跳包信号给主控端。

主控端11确定受控端13的安全策略等级。

策略等级分为高级、中级以及初级，系统初始化时有一个默认的安全策略等级(一般为中级)。管理员可以根据需要设定安全策略等级，如受控端是为核心级用户提供存储关键核心数据等服务，对安全的要求非常高，则可设为高级；如受控端为重要级用户提供存储重要数据等服务，对安全的要求较高，则可设为中级；如受控端为普通级用户提供存储普通文档等服务，对安全的要求一般，则可设为初级。

主控端确定受控端的安全策略等级之后，对受控端策略的具体内容进行设置，实现安全模块功能的相互组合。受控端通过网络监听的方式接收主控端设置的应用于本地虚拟域的安全策略。

策略的设置如表2所示：

1)对于高级策略，强制开启所有文件类型的全盘查杀，强制开启全部级别弱点的扫描，强制开启漏洞检测、渗透检测、垃圾清理以及预警提示，启动加速是可选项，可以设置为开启或关闭；

2)对于中级策略，强制开启可执行文件类型的全盘查杀，强制开启扫描紧急、严重级别的弱点，强制开启预警提示，漏洞检测、渗透检测、垃圾清理以及启动加速都是可选项，可以设置为开启或关闭；

3)对于初级策略，强制开启关键区域的可执行文件类型的查杀，强制开启扫描紧急级别的弱点，预警提示、漏洞检测、渗透检测、垃圾清理以及启动加速都是可选项，可以设置为开启或关闭。

表2

在步骤S302中，依据安全策略组合调用受控端虚拟域安全模块，对虚拟域进行分等级的安全检测。

受控端依据安全策略内容选择并调用所述安全模块中的至少一个，对本域进行木马病毒查杀、系统弱点扫描、漏洞检测、渗透检测、垃圾文件清理、系统启动加速、预警提示等功能模块相互组合的安全检测。

在步骤S303中，收集各虚拟域安全检测结果，形成安全管理域的安全事态信息。

受控端对检测结果进行态势分析，包括本域的综合评分和等级评估，并进行安全报告输出、安全审计检查，实时或定时地返回相关数据，以使主控端得到最新的安全态势信息。

在主控端接收受控端的虚拟域的安全检测结果；并根据全部虚拟域的安全检测结果进行安全管理域的安全态势分析，确定受控端的安全状态，进行汇总、显示，并根据检测结果进行整个虚拟化平台的综合评分和等级评估，并给出建设性的修复建议供平台管理员参考使用，实现对安全管理域内各个虚拟域的集中式管理。

优选的，平台管理员可以根据主控端的修复建议，对受控端进行相应的加固。

本发明从整个虚拟化平台考虑，以平台管理员易操作性为出发点，整合多种入侵检测的技术手段，将对单个域内系统的安全检测扩展至整个虚拟化平台，可设置多个等级的安全策略，并进行策略的高度定制化，使得平台管理员对各个域的安全级别有个总体了解，从而实现了一种完整、全面且可视化的Linux虚拟化平台安全策略配置方法。

虽然本发明所公开的实施方式如上，但所述的内容只是为了便于理解本发明而采用的实施方式，并非用以限定本发明。任何本发明所属技术领域内的技术人员，在不脱离本发明所公开的精神和范围的前提下，可以在实施的形式上及细节上作任何的修改与变化，但本发明的专利保护范围，仍须以所附的权利要求书所界定的范围为准。

Claims (10)

1.一种Linux虚拟化平台安全检测方法，其特征在于，包括以下步骤：

分别设置安全管理域内各个虚拟域的安全策略等级和内容并下发至受控端；

依据安全策略组合调用受控端虚拟域安全模块，对虚拟域进行分等级的安全检测；

收集各虚拟域安全检测结果，形成安全管理域的安全事态信息。

2.根据权利要求1所述的方法，其特征在于，所述分别设置安全管理域内各个虚拟域的安全策略等级和内容并下发至受控端包括：

在主控端分别为各个虚拟域设置安全策略等级；

根据不同等级设定相应等级的安全策略内容；

受控端通过网络监听的方式接收主控端设置的应用于本地虚拟域的安全策略。

3.根据权利要求1所述的方法，其特征在于，所述依据安全策略组合调用受控端虚拟域安全模块包括：

在受控端提供多个对虚拟域进行本地安全态势检测的安全模块；

依据安全策略内容选择并调用所述安全模块中的至少一个，对本地虚拟域安执行符合全策略内容的安全检测。

4.根据权利要求1所述的方法，其特征在于，所述收集各虚拟域安全检测结果，形成安全管理域的安全事态信息包括：

受控端对检测结果进行态势分析，对本地虚拟域进行安全审计和安全评估，将结果返回主控端；

在主控端接收受控端的虚拟域的安全检测结果；

根据全部虚拟域的安全检测结果进行安全管理域的安全态势分析，形成安全事态信息，实现对安全管理域内各个虚拟域的集中式管理。

5.根据权利要求1-4中任一项所述的方法，其特征在于，所述安全模块包括病毒查杀模块、弱点扫描模块、漏洞检测模块、渗透检测模块、垃圾清理模块、启动加速模块和预警提示模块中的至少一种。

6.根据权利要求5所述的方法，其特征在于，所述病毒查杀模块用于针对全盘、U盘、关键区域或者指定的区域的系统关键文件进行病毒扫描，其中系统关键文件包括/etc、/boot、/bin以及/sbin目录下的关键文件；

所述弱点扫描模块用于对虚拟域的防火墙安全性、Selinux安全性、PAM密码安全性、软件版本固有漏洞、常用命令完整性和缺失以及日志信息进行扫描分析；

所述漏洞检测模块用于检测系统rootkit残留，判断是否存在安全隐患；

所述渗透检测模块用于检测当前登录账号的密码安全情况；

所述垃圾清理模块用于对虚拟域系统中的临时文件、上网记录、用户Cookie以及回收站垃圾文件进行清理；

所述启动加速模块用于列举分类虚拟域系统的启动服务，提供服务的相关描述以及优化推荐等功能供用户使用，对系统的非必要服务进行关闭和开启，从而提高系统的启动速度；

所述预警提示模块用于监视系统内具有suid属性的特权程序，防止非法的或多余的suid程序。

7.根据权利要求5所述的方法，其特征在于，所述安全策略等级包括高级、中级和初级，其中，

高级安全策略的内容包括强制开启虚拟域内所有文件类型的全盘查杀，强制开启全部级别的弱点扫描，强制开启漏洞检测、渗透检测、垃圾清理以及预警提示，选择启动加速；

中级安全策略的内容包括强制开启虚拟域内可执行文件类型的全盘查杀，强制开启扫描紧急、严重级别的弱点，强制开启预警提示，选择启动漏洞检测、渗透检测、垃圾清理以及启动加速；

初级安全策略的内容包括强制开启虚拟域内关键区域的可执行文件类型的查杀，强制开启扫描紧急级别的弱点，选择启动预警提示、漏洞检测、渗透检测、垃圾清理以及启动加速。

8.一种Linux虚拟化平台安全检测系统，包括主控端以及与主控端连接的多个受控端，其特征在于，

所述主控端包括策略等级单元和策略内容单元，所述策略等级单元用于设置安全管理域内各个虚拟域的安全策略等级，所述策略内容单元用于设定与安全等级相对应的安全策略内容；主控端将安全策略下发至受控端，并收集各虚拟域安全检测结果，形成安全管理域的安全事态信息；

所述受控端包括多个对虚拟域进行本地安全态势检测的安全模块。

9.根据权利要求8所述的系统，其特征在于，所述受控端依据安全策略内容选择并调用所述安全模块中的至少一个，对本地虚拟域安执行符合全策略内容的安全检测。

10.根据权利要求9所述的系统，其特征在于，所述安全模块包括病毒查杀模块、弱点扫描模块、漏洞检测模块、垃圾清理模块、渗透检测模块、启动加速模块和预警提示模块中的至少一种；

所述病毒查杀模块用于针对全盘、U盘、关键区域或者指定的区域的系统关键文件进行病毒扫描，其中系统关键文件包括/etc、/boot、/bin以及/sbin目录下的关键文件；

所述弱点扫描模块用于对虚拟域的防火墙安全性、Selinux安全性、PAM密码安全性、软件版本固有漏洞、常用命令完整性和缺失以及日志信息进行扫描分析；

所述漏洞检测模块用于检测系统rootkit残留，判断是否存在安全隐患；

所述渗透检测模块用于检测当前登录账号的密码安全情况；

所述垃圾清理模块用于对虚拟域系统中的临时文件、上网记录、用户Cookie以及回收站垃圾文件进行清理；

所述启动加速模块用于列举分类虚拟域系统的启动服务，提供服务的相关描述以及优化推荐等功能供用户使用，对系统的非必要服务进行关闭和开启，从而提高系统的启动速度；

所述预警提示模块用于监视系统内具有suid属性的特权程序，防止非法的或多余的suid程序。