CN104601530A - 云安全服务的实现方法及系统 - Google Patents

Abstract

本发明公开了一种云安全服务的实现方法及系统。其中，该方法包括：安全中间件接收来自云安全运营中心的执行消息，其中，安全中间件预置在安全引擎层，云安全运营中心预置在管理层；安全中间件根据执行消息执行相应的动态安全操作，得到执行结果；安全中间件根据执行结果对云安全策略进行动态调整。通过本发明，可以提高在非人工干预的条件下迅速应对安全威胁、处理安全事件的效率。

Description

云安全服务的实现方法及系统

技术领域

本发明涉及通信领域，具体而言，涉及一种云安全服务的实现方法及系统。

背景技术

由于云计算涉及个人和企业运算模式的改变，涉及个人和企业的敏感信息，因此云计算面临的第一个重要问题就是安全问题。

在云计算环境下，除了面对传统环境下的安全问题外，还有由于虚拟化以及数据的集中带来的新的安全威胁。

传统的安全防护设备（例如，网络层的防火墙、IPS（Intrusion Prevention System，入侵检测系统）、流量清洗设备，数据层的4A、UDS（Universal Distribute Storage，通用分布式存储）、杀毒软件等）都属于被动防御型设备，这些传统设备在云计算环境下很难相互协同提供智能化的安全服务。

目前业界针对云计算的安全问题一般有两种处理方式：1、是传统安全设备的虚拟化，虚拟化也包括两种方案：（1）把传统硬件的物理防火墙设备虚拟化为多个防火墙，让虚拟出来的不同防火墙处理经过防火墙的不同网段的数据，这种方案的好处是防火墙的策略配置更加灵活；（2）把传统硬件的物理防火墙改造成可以运行在虚拟化软件上的虚拟防火墙（软件防火墙），这种虚拟防火墙可以更好地服务于虚拟机，对于同一个物理机上虚拟的不同虚拟机，需要设置不同的防火墙策略。2、建立云安全中心，通过把安全设备或者安全服务云化的方式对外提供安全服务，这种方式需要在被服务的网络出口处部署代理，通过代理来监控被服务的网络情况。

传统安全设备的虚拟化解决了云计算虚拟化带来的安全威胁，但是，只能适用于有虚拟机的场景中；传统安全设备或者安全服务的云化解决了安全设备或者安全服务占用本地网络和资源的问题，但是，通过在网络出口处部署代理同时也给网络带来安全威胁。由此可见，这两种方式由于适用场景受限或引入新的安全威胁并不能很好地解决云计算的安全问题。

针对相关技术中不能很好地解决云计算的安全威胁的问题，目前尚未提出有效的解决方案。

发明内容

本发明提供了一种云安全服务的实现方法及系统，以至少解决相关技术中不能很好地解决云计算的安全威胁的问题。

根据本发明的一个方面，提供了一种云安全服务的实现方法，包括：安全中间件接收来自云安全运营中心的执行消息，其中，安全中间件预置在安全引擎层，云安全运营中心预置在管理层；安全中间件根据执行消息执行相应的动态安全操作，得到执行结果；安全中间件根据执行结果对云安全策略进行动态调整。

优选地，执行消息包括：网络扫描消息、或安全配置检查消息。

优选地，当执行消息为网络扫描消息时，云安全策略为网络扫描策略；当执行消息为安全配置检查消息，云安全策略为安全配置检查策略。

优选地，当执行消息为网络扫描消息时，安全中间件根据执行消息执行相应的动态安全操作，得到执行结果，包括：安全中间件对网络扫描消息进行解析，根据分析后的网络扫描消息调用相应的网络扫描器对现网进行扫描，并接收网络扫描器进行扫描后得到的扫描报告；安全中间件根据执行结果对云安全策略进行动态调整，包括：安全中间件根据现网的网络结构和服务器的部署情况分析扫描报告中的漏洞情况，并根据漏洞情况对网络扫描策略进行调整。

优选地，安全中间件根据漏洞情况对网络扫描策略进行调整，包括：在漏洞情况是扫描报告中存在SQ1注入漏洞的情况下，安全中间件通过向WEB防火墙发送安全策略的方式，使WEB防火墙启动对应于安全策略的安全功能，以对存在风险的WEB服务器进行安全防护，并接收WEB防火墙发送的防护日志。

优选地，安全中间件根据漏洞情况对网络扫描策略进行调整，包括：在漏洞情况是扫描报告中存在多种漏洞，且多种漏洞中存在与服务器不相符的漏洞情况下，安全中间件启动多个网络扫描器对与服务器不相符的漏洞继续进行扫描确认，并根据每个网络扫描器反馈的扫描报告进行汇总分析，提供对网络扫描策略的调整建议。

优选地，当执行消息为安全配置检查消息时，安全中间件根据执行消息执行相应的动态安全操作，得到执行结果，包括：安全中间件协同安全检查工具，根据安全配置检查消息对云环境下的租户主机进行安全配置检查，由安全检查工具获得安全配置检查结果；安全中间件根据执行结果对云安全策略进行动态调整，包括：安全中间件根据现网的网络结构和服务器的部署情况对安全配置检查结果进行分析，并根据分析结果对安全配置检查策略进行调整。

优选地，安全中间件根据分析结果对安全配置检查策略进行调整，包括：在服务器为特定服务器的情况下，安全中间件根据特定服务器的功能对特定服务器的配置继续进行检查，其中，特定服务器为预定类型的服务器；在服务器为邮件服务器的情况下，安全中间件对邮件服务器的服务端口和参数配置继续进行检查，并将检查报告发送给邮件服务器；在分析结果中存在常用配置问题的情况下，向服务器下发安全加固策略以对服务器进行安全加固操作。

根据本发明的另一方面，提供了一种云安全服务的实现系统，包括：预置在安全引擎层中的安全中间件，和预置在管理层的云安全运营中心，其中，安全中间件包括：接收模块，用于接收来自云安全运营中心的执行消息；执行模块，用于根据执行消息执行相应的动态安全操作，得到执行结果；调整模块，用于根据执行结果对云安全策略进行动态调整。

优选地，执行消息包括：网络扫描消息、或安全配置检查消息，其中，当执行消息为网络扫描消息时，云安全策略为网络扫描策略；当执行消息为安全配置检查消息，云安全策略为安全配置检查策略。

通过本发明，采用预置在安全引擎层中的安全中间件和预置在管理层中的云安全运营中心进行信息交互，从而实现云安全服务并可以对云安全策略进行调整的方式，解决了相关技术中不能很好地解决云计算的安全威胁的问题，可以动态调配安全设备或者安全服务，进而达到了提高在非人工干预的条件下迅速应对安全威胁、处理安全事件的效率的效果。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明实施例的云安全服务的实现方法的流程图；

图2是根据本发明实施例的云安全服务的实现系统的结构示意图；

图3是根据本发明优选实施例的动态云安全服务的实现系统的部署结构示意图；

图4是根据本发明优选实施例的安全中间件动态扩展的示意图；

图5是根据本发明优选实施例的调用网络扫描主机并启用web防火墙对有漏洞的服务器进行防护的示意图；

图6是根据本发明优选实施例的调用安全配置管理设备进行检查后再加固的示意图。

具体实施方式

下文中将参考附图并结合实施例来详细说明本发明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。

本发明实施例主要涉及云计算环境下的安全服务技术，可以通过将现有的传统安全设备组合在一起，以应对云计算环境下的安全威胁。具体地，通过云安全中心集成现有的安全设备，通过安全中间件来屏蔽不同厂商不同安全设备之间的差异，以及通过安全中间件调用安全设备或者安全服务，来实现动态调配安全设备或者安全服务，提供给云计算环境下租户租用的主机或者网络安全服务，实现安全服务的按需分配。进而，通过安全中间件动态调配安全设备或者安全服务，可以提高在非人工干预的条件下迅速应对安全威胁、处理安全事件的效率。

本实施例提供了云安全服务的实现方法。图1是根据本发明实施例的云安全服务的实现方法的流程图，如图1所示，该方法主要包括以下步骤（步骤S102-步骤S106）：

步骤S102，安全中间件接收来自云安全运营中心的执行消息，其中，安全中间件预置在安全引擎层，云安全运营中心预置在管理层；

步骤S104，安全中间件根据执行消息执行相应的动态安全操作，得到执行结果；

步骤S106，安全中间件根据执行结果对云安全策略进行动态调整。

通过上述各个步骤，安全中间件在与云安全运营中心进行信息交互后，可以实现云安全服务并可以对云安全策略进行调整，以达到动态调配安全设备或者安全服务的目的。通过这样的方式，可以提高在非人工干预的条件下迅速应对安全威胁、处理安全事件的效率。

在本实施例中，执行消息可以包括：网络扫描消息、或安全配置检查消息。优选地，当执行消息为网络扫描消息时，云安全策略为网络扫描策略；当执行消息为安全配置检查消息，云安全策略为安全配置检查策略。

在本实施例中，当执行消息为网络扫描消息时，

步骤S104可以通过这样的方式来实现：安全中间件对网络扫描消息进行解析，根据分析后的网络扫描消息调用相应的网络扫描器对现网进行扫描，并接收网络扫描器进行扫描后得到的扫描报告；

步骤S106可以通过这样的方式来实现：安全中间件根据现网的网络结构和服务器的部署情况分析扫描报告中的漏洞情况，并根据漏洞情况对网络扫描策略进行调整。

其中，步骤S106具体可以采用这样的方式：

（1）在漏洞情况是扫描报告中存在SQ1注入漏洞的情况下，安全中间件通过向WEB防火墙发送安全策略的方式，使WEB防火墙启动对应于安全策略的安全功能，以对存在风险的WEB服务器进行安全防护，并接收WEB防火墙发送的防护日志。

（2）在漏洞情况是扫描报告中存在多种漏洞，且多种漏洞中存在与服务器不相符的漏洞情况下，安全中间件启动多个网络扫描器对与服务器不相符的漏洞继续进行扫描确认，并根据每个网络扫描器反馈的扫描报告进行汇总分析，提供对网络扫描策略的调整建议。

在本实施例中，当执行消息为安全配置检查消息时，

步骤S104可以通过这样的方式来实现：安全中间件协同安全检查工具，根据安全配置检查消息对云环境下的租户主机进行安全配置检查，由安全检查工具获得安全配置检查结果；

步骤S106可以通过这样的方式来实现：安全中间件根据现网的网络结构和服务器的部署情况对安全配置检查结果进行分析，并根据分析结果对安全配置检查策略进行调整。

其中，步骤S106具体可以采用这样的方式：

（1）在服务器为特定服务器的情况下，安全中间件根据特定服务器的功能对特定服务器的配置继续进行检查，其中，特定服务器为预定类型的服务器；

（2）在服务器为邮件服务器的情况下，安全中间件对邮件服务器的服务端口和参数配置继续进行检查，并将检查报告发送给邮件服务器；

（3）在分析结果中存在常用配置问题的情况下，向服务器下发安全加固策略以对服务器进行安全加固操作。

在实际应用中，通过图1所示的流程，可以快速、智能应对云环境下的安全威胁，而且，通过安全中间件对不同厂商的不同安全设备的差异进行屏蔽的方式，可以为租户提供无感知的安全服务，同时也通过安全中间件智能和快速地调用安全设备和安全服务的方式协同应对安全威胁，提高了处理安全事件的效率。

图2是根据本发明实施例的云安全服务的实现系统的结构示意图，该装置用以实现上述实施例提供的云安全服务的实现方法，如图2所示，该系统主要包括：预置在安全引擎层中的安全中间件，和预置在管理层的云安全运营中心，其中，安全中间件包括：接收模块10、执行模块20以及调整模块30。

其中，接收模块10，用于接收来自云安全运营中心的执行消息；执行模块20，用于根据执行消息执行相应的动态安全操作，得到执行结果；调整模块30，用于根据执行结果对云安全策略进行动态调整。

在本实施例中，执行消息可以包括：网络扫描消息、或安全配置检查消息，其中，当执行消息为网络扫描消息时，云安全策略为网络扫描策略；当执行消息为安全配置检查消息，云安全策略为安全配置检查策略。

采用上述实施例提供的云安全服务的实现方法及系统，预置在安全引擎层中的安全中间件可以与预置在管理层中的云安全运营中心进行信息交互，从而实现云安全服务并可以对云安全策略进行调整的方式，以这样的方式，可以动态调配安全设备或者安全服务，进而能够提高在非人工干预的条件下迅速应对安全威胁、处理安全事件的效率。

以下结合图3至图6以及优选实施例对上述实施例提供的云安全服务的实现方法及系统的实现过程进行更加详细的说明和描述。

图3是根据本发明优选实施例的动态云安全服务的实现系统的部署结构示意图，如图3所示，云安全运营中心完全融合到云计算资源池中，在本优选实施例中，云安全运营中心作为云计算资源池的一部分，可以没有属于自己的分离开来的数据库，也可以没有属于自己的分离开来的管理门户，而是可以在云计算资源池的数据库中增加云安全运营中心的相关表，在云计算资源池的管理门户中增加云安全运营中心的相关页面。也就是说，安全也可以作为服务的资源对租户开放。

在本优选实施例中，安全中间件可以屏蔽不同安全厂商的不同安全设备之间的差异，使租户面对的是一种具体的安全服务而不是繁杂的安全设备，同时安全中间件可以通过扩展与不同厂商的安全设备之间的接口来增加安全设备，使云安全运营中心提供丰富的、差异化的安全服务，安全中间件通过预置的安全策略动态提供安全服务以快速应对安全威胁。

图4是根据本发明优选实施例的安全中间件动态扩展的示意图，如图4所示，云安全中心可以通过安全中间件来扩展对安全设备以及服务的控制：云安全中心系统对安全能力的支持基于统一通信方式和消息结构的安全中间件，安全中间件屏蔽安全能力细节的不同，对云安全运营中心采用统一的通信方式和消息结构。当系统需要对一个新的安全能力进行支持时，只要基于该安全能力提供的接口，开发一个独立的安全中间件的调用接口，就可以采用统一的通信方式和消息结构与云安全运营中心进行交互，并由系统管理员在管理门户中进行该安全能力的添加即可。

图5是根据本发明优选实施例的调用网络扫描主机并启用web防火墙对有漏洞的服务器进行防护的示意图，如图5所示，展示了安全中间件与网络扫描器以及web防火墙相互协调，实现动态防护：

安全中间件首先接收云安全中心发送过来的网络扫描策略，分析并解析这些策略。

安全中间件根据解析得到的扫描策略调用相应的网络扫描器。

安全中间件接收网络扫描器的扫描报告。

安全中间件收到扫描报告后，根据现网的网络结构以及服务器的部署情况，分析目前扫描报告中的漏洞情况，根据漏洞的情况会做下面的调整：

1、如果扫描报告中有sql注入漏洞，则安全中间件下发安全策略到web防火墙，启动web防火墙对有web服务器的主机进行防护。web防火墙根据安全中间件下发的安全策略，启动相应的安全防护功能，对有风险的web服务器进行安全防护。web防火墙将自身的防护日志发送给安全中间件。

2、如果扫描报告中有多种漏洞，并且这些漏洞与现网的机器并不相符合，有可能是误报，则安全中间件会启动多个网络扫描器对有疑问的漏洞的网络继续扫描确认。每个网络扫描器扫描的报告会返回到安全中间件，安全中间件会根据多份报告的汇总分析，给出建议。

图6是根据本发明优选实施例的调用安全配置管理设备进行检查后再加固的示意图，如图6所示，安全中间件可以通过与安全检查工具协同实现对云环境下的主机进行动态检查以及动态的安全加固：

安全检查工具是对主机的配置进行检查，并根据预先设置的标准配置对主机的配置进行调整的安全设备。

安全中间件首先收到安全中心对云环境下的租户的主机进行安全配置检查的消息。

安全中间件根据现网的网络结构以及服务器的部署情况，分析目前扫描报告中的漏洞情况。

安全检查工具获得主机安全检查的结果。

云安全中间件收到扫描报告后，根据现网的网络结构以及服务器的功能情况，分析目前检查工具对服务器的检查结果，做下面的调整策略：

1、如果服务器是特定的服务器，将根据服务器的功能对服务器的配置做更加严格的检查，如服务器是邮件服务器，则对服务器上开启的服务端口以及邮件服务器的参数配置做进一步的检查，再根据返回的检查报告，返回给租户邮件服务器配置的问题以及可能遇到的风险。

2、如果检查的结果中的一些配置问题是常用的配置问题，则下发安全加固策略，对服务器的配置脆弱性进行安全加固，并返回加固报告给租户。

本优选实施例提供的技术方案，通过整合传统的安全设备以及安全服务，既可以利用传统的安全设备和安全服务，也可以利用虚拟化的安全设备和安全服务，通过分析这些安全设备和服务的日志情况，再通过安全中间件来驱动安全设备或者安全服务来应对安全威胁，从而提供了应对安全问题的效率。

需要说明的是，上述各个模块是可以通过硬件来实现的。例如：一种处理器，包括上述各个模块，或者，上述各个模块分别位于一个处理器中。

在另外一个实施例中，还提供了一种软件，该软件用于执行上述实施例及优选实施方式中描述的技术方案。

在另外一个实施例中，还提供了一种存储介质，该存储介质中存储有上述软件，该存储介质包括但不限于：光盘、软盘、硬盘、可擦写存储器等。

从以上的描述中，可以看出，本发明实现了如下技术效果：预置在安全引擎层中的安全中间件和预置在管理层中的云安全运营中心可以进行信息交互，实现云安全服务并可以对云安全策略进行调整的方式，通过这种方式，达到了提高在非人工干预的条件下迅速应对安全威胁、处理安全事件的效率的效果。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种云安全服务的实现方法，其特征在于，包括：

安全中间件接收来自云安全运营中心的执行消息，其中，所述安全中间件预置在安全引擎层，所述云安全运营中心预置在管理层；

所述安全中间件根据所述执行消息执行相应的动态安全操作，得到执行结果；

所述安全中间件根据所述执行结果对云安全策略进行动态调整。

2.根据权利要求1所述的方法，其特征在于，所述执行消息包括：网络扫描消息、或安全配置检查消息。

3.根据权利要求2所述的方法，其特征在于，

当所述执行消息为所述网络扫描消息时，所述云安全策略为网络扫描策略；

当所述执行消息为所述安全配置检查消息，所述云安全策略为安全配置检查策略。

4.根据权利要求3所述的方法，其特征在于，当所述执行消息为所述网络扫描消息时，

所述安全中间件根据所述执行消息执行相应的动态安全操作，得到执行结果，包括：所述安全中间件对所述网络扫描消息进行解析，根据分析后的网络扫描消息调用相应的网络扫描器对现网进行扫描，并接收所述网络扫描器进行扫描后得到的扫描报告；

所述安全中间件根据所述执行结果对云安全策略进行动态调整，包括：所述安全中间件根据所述现网的网络结构和服务器的部署情况分析所述扫描报告中的漏洞情况，并根据所述漏洞情况对所述网络扫描策略进行调整。

5.根据权利要求4所述的方法，其特征在于，所述安全中间件根据所述漏洞情况对所述网络扫描策略进行调整，包括：

在所述漏洞情况是所述扫描报告中存在SQ1注入漏洞的情况下，所述安全中间件通过向所述WEB防火墙发送安全策略的方式，使所述WEB防火墙启动对应于所述安全策略的安全功能，以对存在风险的WEB服务器进行安全防护，并接收所述WEB防火墙发送的防护日志。

6.根据权利要求4所述的方法，其特征在于，所述安全中间件根据所述漏洞情况对所述网络扫描策略进行调整，包括：

在所述漏洞情况是所述扫描报告中存在多种漏洞，且所述多种漏洞中存在与所述服务器不相符的漏洞情况下，所述安全中间件启动多个所述网络扫描器对所述与所述服务器不相符的漏洞继续进行扫描确认，并根据每个所述网络扫描器反馈的扫描报告进行汇总分析，提供对所述网络扫描策略的调整建议。

7.根据权利要求3所述的方法，其特征在于，当所述执行消息为所述安全配置检查消息时，

所述安全中间件根据所述执行消息执行相应的动态安全操作，得到执行结果，包括：所述安全中间件协同安全检查工具，根据所述安全配置检查消息对云环境下的租户主机进行安全配置检查，由所述安全检查工具获得安全配置检查结果；

所述安全中间件根据所述执行结果对云安全策略进行动态调整，包括：所述安全中间件根据所述现网的网络结构和服务器的部署情况对所述安全配置检查结果进行分析，并根据分析结果对所述安全配置检查策略进行调整。

8.根据权利要求7所述的方法，其特征在于，所述安全中间件根据所述分析结果对所述安全配置检查策略进行调整，包括：

在所述服务器为特定服务器的情况下，所述安全中间件根据所述特定服务器的功能对所述特定服务器的配置继续进行检查，其中，特定服务器为预定类型的服务器；

在所述服务器为邮件服务器的情况下，所述安全中间件对所述邮件服务器的服务端口和参数配置继续进行检查，并将检查报告发送给所述邮件服务器；

在所述分析结果中存在常用配置问题的情况下，向所述服务器下发安全加固策略以对所述服务器进行安全加固操作。

9.一种云安全服务的实现系统，其特征在于，包括：预置在安全引擎层中的安全中间件，和预置在管理层的云安全运营中心，其中，所述安全中间件包括：

接收模块，用于接收来自所述云安全运营中心的执行消息；

执行模块，用于根据所述执行消息执行相应的动态安全操作，得到执行结果；

调整模块，用于根据所述执行结果对云安全策略进行动态调整。

10.根据权利要求9所述的系统，其特征在于，所述执行消息包括：网络扫描消息、或安全配置检查消息，其中，

当所述执行消息为所述网络扫描消息时，所述云安全策略为网络扫描策略；

当所述执行消息为所述安全配置检查消息，所述云安全策略为安全配置检查策略。