CN107786495A - 云环境网络安全防护系统 - Google Patents

云环境网络安全防护系统 Download PDF

Info

Publication number
CN107786495A
CN107786495A CN201610721139.4A CN201610721139A CN107786495A CN 107786495 A CN107786495 A CN 107786495A CN 201610721139 A CN201610721139 A CN 201610721139A CN 107786495 A CN107786495 A CN 107786495A
Authority
CN
China
Prior art keywords
cloud environment
flow
virtual machine
console
protection system
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201610721139.4A
Other languages
English (en)
Inventor
周益周
姚金利
曾颖明
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Institute of Computer Technology and Applications
Original Assignee
Beijing Institute of Computer Technology and Applications
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Institute of Computer Technology and Applications filed Critical Beijing Institute of Computer Technology and Applications
Priority to CN201610721139.4A priority Critical patent/CN107786495A/zh
Publication of CN107786495A publication Critical patent/CN107786495A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/02—Standardisation; Integration
    • H04L41/0246—Exchanging or transporting network management information using the Internet; Embedding network management web servers in network elements; Web-services-based protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种云环境网络安全防护系统，其中，包括：基础设施模块、控制模块和应用管理模块；该基础设施模块包括云环境中的安全设备、虚拟机、物理服务器及交换机；该交换机用于根据该应用管理模块下发给该控制模块的指令，将流量引入所需的该安全设备、该物理服务器或该虚拟机中；该控制模块进行协议转换，以控制控制网络流量的转发；应用管理模块用于对流量进行分析，并引入该安全设备中。本发明云环境网络安全防护系统针对现有技术的不足之处，提供云环境边界动态变化的安全防护能力，以及安全保护资源的动态调配能力，为云环境中的用户按需提供网络安全环境。

Description

云环境网络安全防护系统
技术领域
本发明属于网络安全技术领域，提出了一种云环境网络安全防护系统。
背景技术
在云环境中部署流量检测和过滤工具所面临的问题主要有以下两点。
云平台安全边界问题
云计算平台的边界防护方案通常根据网络的物理拓扑情况，手动的在网络边界搭建防火墙、入侵检测系统、WAF、漏洞扫描、抗DDOS、数据库审计等安全防护设备，用于检测网络环境并发现服务器或用户终端可能遭遇的攻击。使用SDN技术的云计算平台中被保护对象的物理边界处于动态变化之中，这将导致传统网络边界防护设备的部署和管理过程异常复杂，网络防护对象也异常僵化。
安全策略自动迁移
人工迁移安全策略的配置时间过长，也会出现配置错误等情况，会导致虚拟机迁移后无法继续接受原有安全策略的保护。因此，需要设计安全策略自动迁移机制，使得被检测虚拟机在迁移后，其对应的安全策略也随之迁移。
安全设备资源浪费
云环境中，部署在流量流通较大位置的安全设备性能会受到影响，而部署在流量较小位置的安全设备未发挥充分的作用。因此，除了计算、存储和网络资源可以通过统一配置管理，还需要安全设备可以进行统一管理。
云环境内部存在的攻击
现有的安全手段主要是防护来自外部的攻击，仅依靠主机监控、防病毒等安全手段防护虚拟机自身安全，而主机监控、防病毒的服务端可能无法与迁移后的虚拟机进行通信，同时也缺少检测当虚拟机向云环境内部的另一台虚拟机发送恶意流量行为的方法。
现有云环境中的安全防护主要是在每个虚拟机中做安全加固，对网络的防护不够周全，由于云环境中网络的灵活多变性，安全的防护也需要随着网络的变化而改变，单纯的硬件部署不足以应付网络变化带来的威胁，因此需要设计网络安全防护体系来应对网络变化所产生的不安全因素。
发明内容
本发明的目的在于提供一种云环境网络安全防护系统，用于解决上述现有技术的问题。
本发明的一种云环境网络安全防护系统，其中，包括：基础设施模块、控制模块和应用管理模块；该基础设施模块包括云环境中的安全设备、虚拟机、物理服务器及交换机；该交换机用于根据该应用管理模块下发给该控制模块的指令，将流量引入所需的该安全设备、该物理服务器或该虚拟机中；该控制模块进行协议转换，以控制控制网络流量的转发；应用管理模块用于对流量进行分析，并引入该安全设备中。
根据本发明的云环境网络安全防护系统的一实施例，其中，该交换机为支持SDN技术的交换机，该控制模块使用SDN控制器。
根据本发明的云环境网络安全防护系统的一实施例，其中，该安全设备包括：防火墙、入侵检测系统、Web应用防火墙、漏洞扫描、抗分布式拒绝服务以及数据库审计设备。
根据本发明的云环境网络安全防护系统的一实施例，其中，应用管理模块包括：全网流量控制台、应用服务器流量控制台、数据库服务器流量控制台、终端流量控制台以及安全策略控制台；该全网流量控制台用于对云环境的边界进行流量控制，将这些流量引入防火墙以及入侵检测系统设备；该应用服务器流量控制台用于对应用服务器区的边界进行流量控制，将这些流量引入Web应用防火墙以及抗分布式拒绝服务设备；该数据库服务器流量控制台用于对数据库区的边界进行流量控制，将这些流量引入数据库审计系统设备；该终端流量控制台用于对虚拟机的防护，当云环境内部虚拟机之间互相通信时，为发现内部存在的攻击行为，以将这部分流量引入入侵检测系统以及防火墙安全设备；安全策略控制台用于对虚拟机迁移后，进行安全策略迁移。
根据本发明的云环境网络安全防护系统的一实施例，其中，该安全策略控制台，用于在虚拟机迁移时，先获取虚拟机的安全策略，在虚拟机迁移过程中，迁出端的安全策略控制台将虚拟机的安全策略传输到迁入端的安全策略控制台，并在虚拟机迁移后，将安全策略下发至该虚拟机。
根据本发明的云环境网络安全防护系统的一实施例，其中，该应用管理模块还包括人机交互接口，用于以提供外部的WEB接口。
综上，本发明云环境网络安全防护系统针对现有技术的不足之处，提供云环境边界动态变化的安全防护能力，以及安全保护资源的动态调配能力，为云环境中的用户按需提供网络安全环境。
附图说明
图1所示为本发明云环境网络安全防护系统的结构图；
图2所示为应用管理模块的各流量控制台的工作流程图；
图3所示为应用管理模块的安全策略控制台的工作流程图。
具体实施方式
为使本发明的目的、内容、和优点更加清楚，下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。
图1所示为本发明云环境网络安全防护系统的结构图，如图1所示，本发明云环境网络安全防护系主要包括三个部分，分别是基础设施模块1、控制模块2和应用管理模块3。
如图1所示，基础设施模块1包括云环境中的安全设备13、虚拟机14、物理服务器12及支持SDN技术的交换机11。
对于一较佳实施例，安全设备13可以包括：防火墙、入侵检测系统(IDS)、Web应用防火墙(WAF)、漏洞扫描、抗分布式拒绝服务(DDos)、数据库审计等安全防护设备。
如图1所示，支持SDN技术的交换机11可以根据应用管理模块3下发给控制模块2的指令，将流量引入所需的安全设备13、物理服务器12或虚拟机14中。
如图1所示，控制模块2使用SDN控制器通过SDN协议控制网络流量的转发。
如图1所示，应用管理模块3中分为全网流量控制台31、应用服务器流量控制台32、数据库服务器流量控制台33、终端流量控制台34、安全策略控制台35和人机交互接口36，全网流量控制台31主要是针对云环境的边界进行流量控制，将这些流量引入防火墙以及入侵检测系统(IDS)等安全设备；应用服务器流量控制台32主要是针对应用服务器区的边界进行流量控制，将这些流量引入Web应用防火墙(WAF)、抗分布式拒绝服务(DDos)等安全设备；数据库服务器流量控制台33主要是针对数据库区的边界进行流量控制，将这些流量引入数据库审计系统等安全设备；终端流量控制台34主要是针对虚拟机14的防护，当云环境内部虚拟机之间互相通信时，为发现内部存在的攻击行为，需要将这部分流量引入入侵检测系统(IDS)、防火墙等安全设备；安全策略控制台35主要是针对虚拟机迁移后，其本身的安全策略也随之迁移，对于虚拟机中的防病毒系统、主机监控系统等安全防护系统，在虚拟机迁移时，先获取虚拟机的安全策略，在虚拟机迁移过程中，应用管理模块3的源端(迁出端)的安全策略控制台将虚拟机的安全策略传输到目的端(迁入端)的安全策略控制台，并在虚拟机迁移后，将安全策略下发至该虚拟机，确保虚拟机迁移后的安全性。
应用管理模块3的人机交互接口36以WEB接口的形式，使管理员可以方便的控制安全设备，保护云环境的安全。
参考图1，在SDN架构的云环境中，使用SDN交换机11和SDN控制器2替代传统交换机和路由器的报文转发，SDN控制器2通过执行应用管理模块3对网络的控制命令，管控基础设施的所有网络设备，包括SDN交换机11和物理服务器12的虚拟交换机，负责数据包的转发和路由控制。SDN控制器2是本系统利用SDN协议构建可编程网络的关键部件。虚拟交换机直接处理虚拟机之间流量，由SDN控制器2控制，SDN控制器2会根据应用管理模块3传来的命令(丢弃、重定向或正常转发)，创建一个流表项插入到虚拟交换机的流表中，从而操控流量的去向。
图2所示为应用管理模块的各流量控制台的工作流程图，参考图1以及图2，应用管理模块3的全网流量控制台31、应用服务器流量控制台32、数据库流量控制台33、终端流量控制台34针对的安全设备13和防护对象不同，但工作原理基本相似。SDN控制器2接收到由虚拟交换机发送过来的流量时，会对该流量进行分析，记录下该虚拟交换机的ID以及发送数据包的虚拟机14对应在虚拟交换机上的虚拟网卡号。应用管理模3块会将制定的流量转发规则发送到SDN控制器2。分析收到的流量是否为新流量，如果为否，则向虚拟交换机添加留表项；如果为新流量，则制定一条流量控制规则，使获得的流量先转发到流量检测安全设备13中，并向虚拟交换机添加流表项。经过检测的流量会根据规则转发至服务器12或虚拟机14中，未经过检测的流量会会被发送至流量检测安全设备13中，待检测后在发送至目的地址。
图3所示为应用管理模块的安全策略控制台的工作流程图，如图3所示，当云环境中虚拟机迁移时，系统加载安全策略迁移模块，安全策略迁移模块开始运行，将迁移虚拟机14对应的安全策略；若策略迁移成功，虚拟机14开始迁移；若失败，则重新开始安全策略的迁移。
本发明云环境网络安全防护系统针对现有技术的不足之处，提供云环境边界动态变化的安全防护能力，以及安全保护资源的动态调配能力，为云环境中的用户按需提供网络安全环境。本发明定义的云环境下的网络安全防护体系，是使用网络的思想，实现通过管理网络安全设备达到管理云环境网络安全的目的。网络安全防护体系可明确安全防护的对象，针对云计算环境中物理边界变化及虚拟机迁移导致虚拟机网络流量无法确定的问题；安全防护体系可为云环境中的安全防护对象按需提供安全支持。对于防火墙、入侵检测系统等检测全网流量的安全设备，需将网络内所有流量引入到此类设备，对于抗DDos攻击、WAF、数据库审计等检测独立安全域(如应用系统服务器或数据库服务器域)流量的安全设备，需将这类安全域内的流量引入到此类安全设备。
以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变形，这些改进和变形也应视为本发明的保护范围。

Claims (6)

1.一种云环境网络安全防护系统，其特征在于，包括：基础设施模块、控制模块和应用管理模块；
该基础设施模块包括云环境中的安全设备、虚拟机、物理服务器及交换机；
该交换机用于根据该应用管理模块下发给该控制模块的指令，将流量引入所需的该安全设备、该物理服务器或该虚拟机中；
该控制模块进行协议转换，以控制控制网络流量的转发；
应用管理模块用于对流量进行分析，并引入该安全设备中。
2.如权利要求1所述的云环境网络安全防护系统，其特征在于，该交换机为支持SDN技术的交换机，该控制模块使用SDN控制器。
3.如权利要求1所述的云环境网络安全防护系统，其特征在于，该安全设备包括：防火墙、入侵检测系统、Web应用防火墙、漏洞扫描、抗分布式拒绝服务以及数据库审计设备。
4.如权利要求3所述的云环境网络安全防护系统，其特征在于，应用管理模块包括：全网流量控制台、应用服务器流量控制台、数据库服务器流量控制台、终端流量控制台以及安全策略控制台；
该全网流量控制台用于对云环境的边界进行流量控制，将这些流量引入防火墙以及入侵检测系统设备；该应用服务器流量控制台用于对应用服务器区的边界进行流量控制，将这些流量引入Web应用防火墙以及抗分布式拒绝服务设备；该数据库服务器流量控制台用于对数据库区的边界进行流量控制，将这些流量引入数据库审计系统设备；该终端流量控制台用于对虚拟机的防护，当云环境内部虚拟机之间互相通信时，为发现内部存在的攻击行为，以将这部分流量引入入侵检测系统以及防火墙安全设备；安全策略控制台用于对虚拟机迁移后，进行安全策略迁移。
5.如权利要求4所述的云环境网络安全防护系统，其特征在于，该安全策略控制台，用于在虚拟机迁移时，先获取虚拟机的安全策略，在虚拟机迁移过程中，迁出端的安全策略控制台将虚拟机的安全策略传输到迁入端的安全策略控制台，并在虚拟机迁移后，将安全策略下发至该虚拟机。
6.如权利要求5所述的云环境网络安全防护系统，其特征在于，该应用管理模块还包括人机交互接口，用于以提供外部的WEB接口。
CN201610721139.4A 2016-08-24 2016-08-24 云环境网络安全防护系统 Pending CN107786495A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610721139.4A CN107786495A (zh) 2016-08-24 2016-08-24 云环境网络安全防护系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610721139.4A CN107786495A (zh) 2016-08-24 2016-08-24 云环境网络安全防护系统

Publications (1)

Publication Number Publication Date
CN107786495A true CN107786495A (zh) 2018-03-09

Family

ID=61393579

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610721139.4A Pending CN107786495A (zh) 2016-08-24 2016-08-24 云环境网络安全防护系统

Country Status (1)

Country Link
CN (1) CN107786495A (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108234223A (zh) * 2018-04-19 2018-06-29 郑州云海信息技术有限公司 一种数据中心综合管理系统的安全服务设计方法
CN108833335A (zh) * 2018-04-16 2018-11-16 中山大学 一种基于云计算管理平台Openstack的网络安全功能服务链系统
CN108924085A (zh) * 2018-05-24 2018-11-30 中国科学院计算机网络信息中心 网络调度方法、装置及存储介质
CN109889530A (zh) * 2019-03-05 2019-06-14 北京长亭科技有限公司 Web应用防火墙系统及计算机存储介质
CN112306673A (zh) * 2020-09-18 2021-02-02 浪潮思科网络科技有限公司 一种用于云计算和边缘计算协同的sdn系统
CN112995031A (zh) * 2021-05-11 2021-06-18 金锐同创(北京)科技股份有限公司 网络流量引导方法及装置

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103973676A (zh) * 2014-04-21 2014-08-06 蓝盾信息安全技术股份有限公司 一种基于sdn的云计算安全保护系统及方法
CN104753951A (zh) * 2015-04-13 2015-07-01 成都双奥阳科技有限公司 一种基于软件定义的网络安全流安全平台
CN105227664A (zh) * 2015-10-10 2016-01-06 蓝盾信息安全技术股份有限公司 一种云计算中心的基础安全服务引擎
KR20160063155A (ko) * 2014-11-26 2016-06-03 쿨클라우드(주) Sdn 기반의 에러 탐색 네트워크 시스템
US20160182541A1 (en) * 2014-12-18 2016-06-23 Gwangju Institute Of Science And Technology Method for detecting intrusion in network

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103973676A (zh) * 2014-04-21 2014-08-06 蓝盾信息安全技术股份有限公司 一种基于sdn的云计算安全保护系统及方法
KR20160063155A (ko) * 2014-11-26 2016-06-03 쿨클라우드(주) Sdn 기반의 에러 탐색 네트워크 시스템
US20160182541A1 (en) * 2014-12-18 2016-06-23 Gwangju Institute Of Science And Technology Method for detecting intrusion in network
CN104753951A (zh) * 2015-04-13 2015-07-01 成都双奥阳科技有限公司 一种基于软件定义的网络安全流安全平台
CN105227664A (zh) * 2015-10-10 2016-01-06 蓝盾信息安全技术股份有限公司 一种云计算中心的基础安全服务引擎

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
周益周等: ""云环境下软件定义入侵检测系统设计"", 《信息网络安全》 *

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108833335A (zh) * 2018-04-16 2018-11-16 中山大学 一种基于云计算管理平台Openstack的网络安全功能服务链系统
CN108234223A (zh) * 2018-04-19 2018-06-29 郑州云海信息技术有限公司 一种数据中心综合管理系统的安全服务设计方法
CN108234223B (zh) * 2018-04-19 2021-09-07 郑州云海信息技术有限公司 一种数据中心综合管理系统的安全服务设计方法
CN108924085A (zh) * 2018-05-24 2018-11-30 中国科学院计算机网络信息中心 网络调度方法、装置及存储介质
CN109889530A (zh) * 2019-03-05 2019-06-14 北京长亭科技有限公司 Web应用防火墙系统及计算机存储介质
CN109889530B (zh) * 2019-03-05 2020-10-27 北京长亭未来科技有限公司 Web应用防火墙系统及计算机存储介质
CN112306673A (zh) * 2020-09-18 2021-02-02 浪潮思科网络科技有限公司 一种用于云计算和边缘计算协同的sdn系统
CN112306673B (zh) * 2020-09-18 2023-04-07 浪潮思科网络科技有限公司 一种用于云计算和边缘计算协同的sdn系统
CN112995031A (zh) * 2021-05-11 2021-06-18 金锐同创(北京)科技股份有限公司 网络流量引导方法及装置
CN112995031B (zh) * 2021-05-11 2021-09-14 金锐同创(北京)科技股份有限公司 网络流量引导方法及装置

Similar Documents

Publication Publication Date Title
CN107786495A (zh) 云环境网络安全防护系统
CN103561011B (zh) 一种SDN控制器盲DDoS攻击防护方法及系统
KR101070614B1 (ko) 봇넷 정보를 이용한 악성 트래픽 격리 시스템과 봇넷 정보를 이용한 악성 트래픽 격리 방법
CN106789865B (zh) 一种基于gre网络结合sdn技术和蜜罐技术的网络安全防护方法
CN106534195A (zh) 一种基于攻击图的网络攻击者行为分析方法
CN101399749A (zh) 一种报文过滤的方法、系统和设备
JP2011519533A (ja) パケットベースのネットワークのための攻撃保護
CN111294333B (zh) 一种开放式的自适应漏洞演练平台的构建系统
CN104660610A (zh) 一种基于云计算环境下的智能安全防护系统及其防护方法
CN108234677A (zh) 一种面向多区块链平台的区块链网络节点服务装置
CN108156079A (zh) 一种基于云服务平台的数据包转发系统及方法
CN105429974B (zh) 一种面向sdn的入侵防御系统和方法
CN105553948A (zh) 一种基于虚拟机的弹性防攻击方法
Park et al. Dynamic virtual network honeypot
KR20100072975A (ko) 플로우 및 세션 기반의 네트워크 트래픽 관리 장치 및 그 방법
CN105933301A (zh) 一种基于sdn实现网络蠕虫集中防控的方法和装置
Hariri et al. Quality-of-protection (QoP)-an online monitoring and self-protection mechanism
JP2006067078A (ja) ネットワークシステムおよび攻撃防御方法
Sebbar et al. New context-based node acceptance CBNA framework for MitM detection in SDN Architecture
Hu et al. Research of DDoS attack mechanism and its defense frame
Jinhui The current main distributed denial of service and defence methods
Barika et al. Agent IDS based on misuse approach
CN205510110U (zh) 用于分布式网络平台的网络漏洞扫描系统
CN101729544B (zh) 一种安全能力协商方法和系统
CN104519030A (zh) 一种用于安全性检测的方法和装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20180309

RJ01 Rejection of invention patent application after publication