CN105262776A - 一种基于标记及策略的云安全管理方法 - Google Patents

一种基于标记及策略的云安全管理方法 Download PDF

Info

Publication number
CN105262776A
CN105262776A CN201510773823.2A CN201510773823A CN105262776A CN 105262776 A CN105262776 A CN 105262776A CN 201510773823 A CN201510773823 A CN 201510773823A CN 105262776 A CN105262776 A CN 105262776A
Authority
CN
China
Prior art keywords
security
user
label
virtual machine
cloud
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201510773823.2A
Other languages
English (en)
Inventor
曹玲玲
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Inspur Electronic Information Industry Co Ltd
Original Assignee
Inspur Electronic Information Industry Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Inspur Electronic Information Industry Co Ltd filed Critical Inspur Electronic Information Industry Co Ltd
Priority to CN201510773823.2A priority Critical patent/CN105262776A/zh
Publication of CN105262776A publication Critical patent/CN105262776A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/46—Multiprogramming arrangements
    • G06F9/50—Allocation of resources, e.g. of the central processing unit [CPU]
    • G06F9/5061—Partitioning or combining of resources
    • G06F9/5072—Grid computing

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

本发明提供一种基于标记及策略的云安全管理方法，涉及云计算安全领域。本发明将STE的标签与中国墙的标签进行整合，使用同一安全标记同时支持两种安全机制，通过1）标签设计及安全策略和2）安全管理模块，设计安全管理模块进行安全数据维护、安全策略配置等管理及辅助工作，使得两种安全机制可以有效地协同运行在云计算环境中，来保证云计算虚拟化平台中客户虚拟机的安全。

Description

一种基于标记及策略的云安全管理方法
技术领域
本发明涉及云计算安全领域，尤其涉及一种基于标记及策略的云安全管理方法。
背景技术
一个安全的云操作系统，首先要明确安全需求，一般来说，操作系统的安全需求可以归纳为四个方面：机密性（confidentiality）、完整性（integrity）、可追究性（accountability）和可用性（availability）。上述安全需求转化为一系列的安全策略，比如访问控制策略（ACP）和访问支持策略（ASP），前者反应系统的机密性和完整性需求，后者反应系统的可追究性和可用性需求。说一个系统是安全的，并非指该系统就是绝对安全，而是说这个系统的实现达到了当初设计时所制定的安全策略。
为了进一步设计安全的操作系统，还需要将安全需求、安全策略抽象为安全模型。安全模型是对安全策略所表达的安全需求的简单、抽象和无歧义的描述，它为安全策略关联上对应的实现机制，从而为开发安全系统提供方针，即安全模型描述了对于某个安全策略需要使用什么样的机制来实现，模型的实现则描述了如何把特定的机制应用于实际的系统当中。安全模型除了具备精确无歧义、简易抽象、容易理解的特点之外，还具有一般性，即安全模型只是关注安全相关的问题，不过度涉及系统的功能和实现。
安全模型可以分为非形式化和形式化两种安全模型。非形式化模型仅模拟系统的安全功能，形式化安全模型则借助数学模型，精确地描述安全性及其在系统中使用的情况。1988年，Brewer和Nash根据现实的商业策略提出了中国墙（ChineseWall）模型，该模型试图解决的问题是：为了保护相互竞争的客户，咨询公司需要在代理间建立密不可透的“墙”，比如分析员面对客户：银行A，石油公司A，石油公司B，则一旦分析员访问了石油公司A或B，则都不能再访问石油公司B或A，因为A和B处于竞争关系，因而用户只能访问其中之一；初始之时用户可以随意访问任意一个客体，但是一旦访问过一个客体，就不能再访问与该客体有竞争关系的其他客体，或者叫做不能访问其利益冲突类。这里体现了自由选择和强制控制的微妙组合。
作为一种全新的计算与服务模式，云计算技术在近年来得到了快速发展，并在社会生活中扮演着越来越重要的角色。然而云安全事故的频发严重制约云计算产业的发展壮大，凸显了云计算安全问题的重要性。云计算面临的安全风险是与其自身的技术特点和服务模式紧密关联的。与传统的网络或集群应用模式相比，虚拟化技术是云计算最突出的特点之一。虚拟化共享技术的引入，在提高资源利用效率的同时，由于虚拟机环境的动态性等特点以及技术漏洞所带来的相对于物理环境的弱安全性，为虚拟化环境的安全留下了隐患。因此，建立有效的虚拟机安全机制就成为了云计算虚拟化安全研究的一个重要课题。
发明内容
本发明根据云计算环境的要求，结合用户标记和安全策略，提出了一种基于标记及策略的云安全管理方法。使其能够同时满足STE模型与中国墙模型的要求。设计安全管理模块进行安全数据维护、安全策略配置等管理及辅助工作，使得两种安全机制可以有效地协同运行在云计算环境中，来保证云计算虚拟化平台中客户虚拟机的安全。
标签设计及安全策略
用户标记及安全策略是安全机制工作的基础，即安全机制的正常工作都依赖于安全用户标记。本文提出了自己的安全标记设计及生成方法，使其能够同时满足STE模型与中国墙模型的要求。STE模型是TE模型的简化模型，其思想是将系统中的主体被划分成若干不同的域，定义不同的域标签赋予每个主体及每个客体。STE模型访问控制的执行方法就是根据主体和客体的标签是否相同进行访问行为控制。而中国墙策略模型是一种经典的隔离机制模型，用于避免利害相关的信息进入同一个控制域中。在中国墙模型中，实现一个运行态排除规则，这一规则定义一组互斥的负载类型标签，即一个冲突集；任意时刻，在一个Hypervisor平台上只允许加载冲突集一种标签的负载。本文就是将STE的标签与中国墙的标签进行整合，使用同一安全标记同时支持两种安全机制。
设置二级用户标签作为一个用户的唯一标志，其形式为组织标签、个人标签；在本方法场景下，冲突集信息应是用户提出需要与自己虚拟机进行隔离的用户名称集合，反映自己的安全需求；每个云用户应提出自己的冲突集，并由安全管理节点将所有用户的需求整合成统一安全策略并部署到云平台中。
安全管理模块设计
安全管理模块的主要工作有4个方面；(1)管理云用户标签；（2）管理云平台安全策略；（3）向新建虚拟机添加标签开始访问控制保护；（4）维护云平台各计算节点虚拟机运行情况。
在设计上，向计算节点发出虚拟机及资源标签添加命令的功能被放在管理模块，弥补了从计算节点进行管理会导致的安全链断裂问题，管理模块有更好的视角监控虚拟机启动过程及用户信息。此外，安全管理模块还需要维护一个表来记录当前云计算所有计算节点运行了哪些虚拟机以及这些虚拟机的标签，为隔离机制提供支持。该模块需要实现的具体功能主要有：
（1）向上层提供接口接收经中间件层发来的用户注册信息及冲突集要求；
（2）根据用户的信息进行运算，得到两级用户安全标记并记录；
（3）整合所有用户标签及冲突集要求，形成安全策略文档；
（4）将安全策略文件部署给访问控制及隔离模块；
（5）向虚拟机启动过程提供各种信息支持；
（6）与虚拟机建立命令协调，调用计算节点访问控制功能添加主客体标签；
（7）维护云平台虚拟机运行信息。
基于以上分析，本文安全管理模块需要在虚拟机生命周期的3个过程中介入进行安全配置。
本发明的有益效果是
本发明根据云计算环境的要求，结合用户标记和安全策略，提出了安全标记设计及生成方法，使其能够同时满足STE模型与中国墙模型的要求。设计安全管理模块进行安全数据维护、安全策略配置等管理及辅助工作，使得两种安全机制可以有效地协同运行在云计算环境中，来保证云计算虚拟化平台中客户虚拟机的安全。
附图说明
图1是安全管理模块工作流程图。
具体实施方式
下面对本发明的内容进行更加详细的阐述：
标签设计及安全策略
在用户标签的设计上，考虑到云计算不仅会存在个人用户，还需要同时满足组织机构用户的安全要求，云计算中一些组织机构希望能够与和自己有利益关系的其他组织的虚拟机进行隔离，但不清楚对方组织内部的结构，此时就需要进行组织间的隔离。本文设计了二级用户标签作为一个用户的唯一标志，其形式为（组织标签.个人标签）。这样设计既可以满足云计算从组织角度进行隔离的要求，又能将用户标签精确到每一个用户可以为细粒度的访问控制提供基础。标签的生成方法可以是直接对组织名和用户名的直接引用也可采用对用户名和组织名计算摘要值作为标签的方式，例如对用户名和组织名称进行MD5运算作为对应的用户和组织标记，这样可以使得用户标签具有唯一性。用户标签在用户向云平台注册时生成，从用户虚拟机建立起就对虚拟机及属于该虚拟机的资源进行标记，对客户虚拟机整个生命周期进行保护。设计了用户标签后，还需要对应的安全策略来指导安全机制的执行。由于统一了安全标签，同样需要设计统一的云平台安全策略。访问控制的STE策略相对简单，只需要告知计算节点所有用户标签就可以执行访问控制。而中国墙策略定义了一组冲突集，冲突集信息是执行隔离控制的根本依据。在本文场景下，冲突集信息应是用户提出需要与自己虚拟机进行隔离的用户名称集合，反映自己的安全需求。每个云用户应提出自己的冲突集，并由安全管理节点将所有用户的需求整合成统一安全策略并部署到云平台中。
安全管理模块设计
安全管理模块的主要工作有4个方面；(1)管理云用户标签；（2）管理云平台安全策略；（3）向新建虚拟机添加标签开始访问控制保护；（4）维护云平台各计算节点虚拟机运行情况。
在设计上，向计算节点发出虚拟机及资源标签添加命令的功能被放在管理模块，弥补了从计算节点进行管理会导致的安全链断裂问题，管理模块有更好的视角监控虚拟机启动过程及用户信息。此外，安全管理模块还需要维护一个表来记录当前云计算所有计算节点运行了哪些虚拟机以及这些虚拟机的标签，为隔离机制提供支持。该模块需要实现的具体功能主要有：
（1）向上层提供接口接收经中间件层发来的用户注册信息及冲突集要求；
（2）根据用户的信息进行运算，得到两级用户安全标记并记录；
（3）整合所有用户标签及冲突集要求，形成安全策略文档；
（4）将安全策略文件部署给访问控制及隔离模块；
（5）向虚拟机启动过程提供各种信息支持；
（6）与虚拟机建立命令协调，调用计算节点访问控制功能添加主客体标签；
（7）维护云平台虚拟机运行信息。
基于以上分析，本文安全管理模块需要在虚拟机生命周期的3个过程中介入进行安全配置，使得访问控制机制和隔离机制可以对云计算中的虚拟机进行保护。因此，基于用户标记及安全策略的云管理机制能够较好地防护针对客户机操作系统的攻击，对客户机操作系统的安全起到有效的保护作用。

Claims (5)

1.一种基于标记及策略的云安全管理方法，其特征在于，将STE的标签与中国墙的标签进行整合，使用同一安全标记同时支持两种安全机制；
包括：1）标签设计及安全策略
设置二级用户标签作为一个用户的唯一标志，其形式为组织标签、个人标签；在本方法场景下，冲突集信息应是用户提出需要与自己虚拟机进行隔离的用户名称集合，反映自己的安全需求；每个云用户应提出自己的冲突集，并由安全管理节点将所有用户的需求整合成统一安全策略并部署到云平台中；
2）安全管理模块
安全管理模块的主要工作有4个方面；(2.1)管理云用户标签；（2.2）管理云平台安全策略；（2.3）向新建虚拟机添加标签开始访问控制保护；（4）维护云平台各计算节点虚拟机运行情况。
2.根据权利要求1所述的方法，其特征在于，向计算节点发出虚拟机及资源标签添加命令的功能被放在管理模块。
3.根据权利要求1所述的方法，其特征在于，
安全管理模块还需要维护一个表来记录当前云计算所有计算节点运行了哪些虚拟机以及这些虚拟机的标签，为隔离机制提供支持。
4.根据权利要求1所述的方法，其特征在于，
安全管理模块：
（1）向上层提供接口接收经中间件层发来的用户注册信息及冲突集要求；
（2）根据用户的信息进行运算，得到两级用户安全标记并记录；
（3）整合所有用户标签及冲突集要求，形成安全策略文档；
（4）将安全策略文件部署给访问控制及隔离模块；
（5）向虚拟机启动过程提供各种信息支持；
（6）与虚拟机建立命令协调，调用计算节点访问控制功能添加主客体标签；
（7）维护云平台虚拟机运行信息。
5.根据权利要求4所述的方法，其特征在于，安全管理模块需要在虚拟机生命周期的3个过程中介入进行安全配置。
CN201510773823.2A 2015-11-13 2015-11-13 一种基于标记及策略的云安全管理方法 Pending CN105262776A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201510773823.2A CN105262776A (zh) 2015-11-13 2015-11-13 一种基于标记及策略的云安全管理方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201510773823.2A CN105262776A (zh) 2015-11-13 2015-11-13 一种基于标记及策略的云安全管理方法

Publications (1)

Publication Number Publication Date
CN105262776A true CN105262776A (zh) 2016-01-20

Family

ID=55102281

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201510773823.2A Pending CN105262776A (zh) 2015-11-13 2015-11-13 一种基于标记及策略的云安全管理方法

Country Status (1)

Country Link
CN (1) CN105262776A (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105978915A (zh) * 2016-07-19 2016-09-28 浪潮电子信息产业股份有限公司 一种基于云资源控制的安全隔离方法
CN109729075A (zh) * 2018-12-13 2019-05-07 国云科技股份有限公司 一种云平台组件安全策略实现方法
CN111147467A (zh) * 2019-12-19 2020-05-12 紫光云技术有限公司 一种云平台下PaaS类产品的安全策略设置方法及装置
CN111708733A (zh) * 2020-05-28 2020-09-25 浪潮电子信息产业股份有限公司 一种策略检测方法、系统、设备及计算机可读存储介质
CN115065529A (zh) * 2022-06-13 2022-09-16 北京寰宇天穹信息技术有限公司 一种基于融合主客体关键信息的可信标签的访问控制方法

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20100067696A1 (en) * 2003-09-15 2010-03-18 Anspach Steve S Standard telephone equipment (STE) based deployable secure communication system
CN102307185A (zh) * 2011-06-27 2012-01-04 北京大学 适用于存储云内的数据隔离方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20100067696A1 (en) * 2003-09-15 2010-03-18 Anspach Steve S Standard telephone equipment (STE) based deployable secure communication system
CN102307185A (zh) * 2011-06-27 2012-01-04 北京大学 适用于存储云内的数据隔离方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
乔然，胡俊，荣星: "《云计算客户虚拟机间的安全机制研究与实现》", 《计算机工程》 *

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105978915A (zh) * 2016-07-19 2016-09-28 浪潮电子信息产业股份有限公司 一种基于云资源控制的安全隔离方法
CN109729075A (zh) * 2018-12-13 2019-05-07 国云科技股份有限公司 一种云平台组件安全策略实现方法
CN109729075B (zh) * 2018-12-13 2021-07-30 国云科技股份有限公司 一种云平台组件安全策略实现方法
CN111147467A (zh) * 2019-12-19 2020-05-12 紫光云技术有限公司 一种云平台下PaaS类产品的安全策略设置方法及装置
CN111708733A (zh) * 2020-05-28 2020-09-25 浪潮电子信息产业股份有限公司 一种策略检测方法、系统、设备及计算机可读存储介质
CN115065529A (zh) * 2022-06-13 2022-09-16 北京寰宇天穹信息技术有限公司 一种基于融合主客体关键信息的可信标签的访问控制方法
CN115065529B (zh) * 2022-06-13 2023-11-03 北京寰宇天穹信息技术有限公司 一种基于融合主客体关键信息的可信标签的访问控制方法

Similar Documents

Publication Publication Date Title
CN105262776A (zh) 一种基于标记及策略的云安全管理方法
US8490150B2 (en) System, method, and software for enforcing access control policy rules on utility computing virtualization in cloud computing systems
CN103139159B (zh) 云计算架构中的虚拟机之间的安全通信
Tian et al. Optimized cloud resource management and scheduling: theories and practices
CN101562609B (zh) Vpn网络安全漏洞检测全局准入控制系统
CN110990150A (zh) 容器云平台的租户管理方法、系统、电子设备及存储介质
CN105190545B (zh) 虚拟化方法和装置及计算机设备
CN101997912A (zh) 基于Android平台的强制访问控制装置及控制方法
CN102904889B (zh) 支持跨平台统一管理的强制访问控制系统及方法
CN105245543A (zh) 一种基于安全标记随机化的操作系统强制访问控制方法
CN101727555A (zh) 一种操作系统的访问控制方法及其实现平台
Song et al. A load balancing scheme using federate migration based on virtual machines for cloud simulations
CN103763369B (zh) 一种基于san存储系统的多重权限分配方法
DE112020000303T5 (de) Testen von speicherschutz-hardware in einer umgebung einer sicheren virtuellen maschine
Toahchoodee et al. On the formalization and analysis of a spatio-temporal role-based access control model
CN104767829B (zh) 一种基于物联网感知设备云端仿真节点的云服务系统
CN103500304A (zh) 基于Xen的虚拟机个性化安全监控系统及监控方法
CN106296530A (zh) 针对非聚合基础设施的信任覆盖
Keshavarzi et al. Research challenges and prospective business impacts of cloud computing: A survey
DE112020000286T5 (de) Sicheres ein-/auslagern mit seitenänderungserkennung
CN105049409A (zh) 分布式云环境下的安全访问控制架构及其访问方法
Schmieders et al. Runtime model-based privacy checks of big data cloud services
Bellini et al. Cloud knowledge modeling and management
Hauck et al. Challenges and opportunities of cloud computing
CN105049408A (zh) 一种用于分布式云环境之间互访的安全访问控制架构及其访问方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20160120

WD01 Invention patent application deemed withdrawn after publication