CN109120702B - 隔离云的方法及系统 - Google Patents

隔离云的方法及系统 Download PDF

Info

Publication number
CN109120702B
CN109120702B CN201810971745.0A CN201810971745A CN109120702B CN 109120702 B CN109120702 B CN 109120702B CN 201810971745 A CN201810971745 A CN 201810971745A CN 109120702 B CN109120702 B CN 109120702B
Authority
CN
China
Prior art keywords
cloud
data
internet
isolated
request
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201810971745.0A
Other languages
English (en)
Other versions
CN109120702A (zh
Inventor
高振宇
高深
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Individual
Original Assignee
Individual
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Individual filed Critical Individual
Priority to CN201810971745.0A priority Critical patent/CN109120702B/zh
Publication of CN109120702A publication Critical patent/CN109120702A/zh
Application granted granted Critical
Publication of CN109120702B publication Critical patent/CN109120702B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/60—Scheduling or organising the servicing of application requests, e.g. requests for application data transmissions using the analysis and optimisation of the required network resources
    • H04L67/63—Routing a service request depending on the request content or context
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1097—Protocols in which an application is distributed across nodes in the network for distributed storage of data in networks, e.g. transport arrangements for network file system [NFS], storage area networks [SAN] or network attached storage [NAS]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提出了一种隔离云的方法及系统，包括：隔离云接收用户终端通过互联网发送的请求；隔离云对接收到的请求进行分析，查询该请求对应的文件和数据是否存储在隔离云上，如果存在直接调用对应的文件和数据并把结果发送至互联网上的用户终端；否则通过连接内网的第二网段IP地址将请求转发至云计算平台上；云计算平台对该请求进行分析并定位出存储对应文件和数据的云上的虚拟主机，或者提取或计算处理相应数据发送至隔离云；隔离云接收到来自云设备回送的数据，再发送至互联网用户。本发明在传统云架构与互联网之间，设立隔离云，云计算平台不再直接接受来自互联网的访问，也不再承受来自互联网的云攻击。

Description

隔离云的方法及系统
技术领域
本发明涉及互联网和云计算安全技术领域，特别涉及一种隔离云的方法及系统。
背景技术
目前，云服务已经成为互联网领域中的常用服务，其超大规模、虚拟化、高可靠性、通用性、高可扩展性、按需服务、廉价等优点都为互联网用户带来极大的便利。但另一方面，随着云计算的不断普及，安全问题已成为制约其发展的重要因素。
Gartner2009年的调查结果显示，70％以上受访企业的CTO认为近期不采用云计算的首要原因在于存在数据安全性与隐私性的忧虑。
而近来,Amazon,Google等云计算发起者不断爆出各种安全事故更加剧了人们的担忧。
Figure BDA0001776378990000011
例如，2009年3月,Google发生大批用户文件外泄事件。
Figure BDA0001776378990000012
2011年4月20-5月3日之间，Sony的4个云网站被攻穿，丢失了上亿的数据。面临243亿美元罚款的官司。
Figure BDA0001776378990000013
2015年6月4日，在云上的“首都之窗”网站发生了政治性篡改。这是安全等保3级的网站。
Figure BDA0001776378990000014
2017年11月30日讯亚马逊公共储存Amazon Web Services(简称AWS)
服务器泄露了美国陆军情报与安全司令部(INSCOM)至少100GB的“军事机密”文件。
更多的安全专家们的观点是：集中管理的云计算中心将成为黑客攻击的重点目标。由于系统的巨大规模以及前所未有的开放性与复杂性，其安全性面临着比以往更为严峻的考验。其安全风险不是减少而是增大了。
由于云计算采用虚拟化技术，使得用户业务系统不再明确地运行在物理的服务器上，而是在动态的虚拟机。这就使得多个数据源之间没有物理界限，一旦被侵入将难以设置隔离区。由此带来的结果是，原先一台服务器感染病毒，最多影响其所在公司设备，而云计算服务器一旦感染病毒，将影响大量企业甚至公共系统。
据360的报告，云的虚拟化漏洞爆发，从每年50个增加到每年103个，甚至更多。例如，2015年5月，CrowdStrike公司安全研究员称，一个名为“毒液(VENOM)”的漏洞使数以百万计的虚拟机处于网络攻击风险之中。该漏洞可以造成虚机逃逸，威胁到全球各大云服务提供商的数据安全。受影响的平台包括Xen、KVM、Oracle VM、Virtual Box和QEMU客户端。利用这个毒液漏洞，黑客可以透过云上虚拟主机里的Web服务器，利用毒液漏洞逃逸出该虚机，进入到虚拟层，进而攻击云上其他的虚拟主机，还可以攻击宿主机、网络。
通常，当黑客通过“直接入侵”或者“购买云主机”的方式，进入虚拟机之后，至少有这三种主要的攻击技术：
(1)利用虚拟化系统的漏洞，尝试控制虚拟化系统的执行流程，进行逃逸攻击，在宿主机中执行任意代码；
(2)利用漏洞造成宿主机的崩溃，导致该宿主机上的所有虚拟机停止服务；
(3)通过虚拟机中的通信机制以及网络划分规则，对同一宿主机上的其他虚拟机进行信道攻击和恶意扫描。
“层出不穷的云安全事件已经为我们敲响了虚拟化安全的警钟。”
经过深入研究，我们发现，云上的Web服务器是黑客攻入云的一个主要途径。
今天云上所提供的各种应用或服务，都离不开web服务器，都是通过Web服务器与用户的浏览器交流。都是基于http/https通信协议，接受来自访问者浏览器的请求，送回结果或服务。
不幸的是，今天所有的云上的网站使用的都是Apache、IIS等第二代Web服务器。这类第二代Web服务器由于它们的先天安全缺陷，会给云带来巨大安全隐患：
(1)给黑客提供了入侵云端数据库的暗道：因为第二代Web服务器给黑客提供了入侵后台的通道，相当于给云上数据库开了一个入口，为黑客从云端上实施爆库、脱库、敏感数据盗取提供了方便。如：SONY的多个云被黑客入侵，从中盗取上亿人数据的事件；
(2)给云计算开了一个入侵窗口：黑客从入侵的Web虚机上逃逸后，由于云计算没有“水密隔舱”结构，黑客可以经过虚拟层入侵其他Web虚机，入侵数据库虚机，或攻击宿主机。
(3)云上的Web服务器自身更不安全，会受到两方面的攻击威胁：来自正面互联网的和来自背面的云上的其它被攻穿的Web虚机。云上Web被攻穿的概率要大于云下的Web服务器多倍。
(4)不能抗御“未知攻击”：今天云的安全，只能靠FW、WAF等周边安全产品提供保护，对于新发生的“未知攻击”束手无策。
云计算平台在实践运行中还有一个未解难题：即使发现了重大安全漏洞，也不能轻易打补丁。因为一个云平台上可以运行成百上千、上万个，甚至更多的用户的各种应用服务，包括：SaaS或PaaS。计算机系统如果打安全补丁的话通常都必须重新启动系统。在单机时代影响不大。但是在云上简直就是一场灾难：云上的所有用户的应用系统都必须跟着停止运营，直到云平台打完了补丁、再启动以后，每个系统才能跟着重新启动。这将带来巨大的损失。如有关资料显示：全球三大云供应商：亚马逊AWS、微软Azure、google一年的停机损失高达：190多亿美金！
一方面，云的虚拟化漏洞爆发，另一方面，云安全漏洞却难以修补；再加上网络战时代的互联网环境空前险恶，未知攻击主流化。传统的安全防护措施，包括云的安全防护措施越来越不够用，并不能从根本上解决这些由于云计算平台的“弱安全性”带来的安全漏洞或安全隐患。这个难题不解决的话势将影响到云计算的未来。
为此，本发明提出了全新的解决方案和技术，解决上述的云计算的安全问题。
发明内容
本发明的目的旨在至少解决所述技术缺陷之一。
为此，本发明的目的在于提出一种隔离云的方法及系统。
为了实现上述目的，本发明的实施例提供一种隔离云的方法，在互联网和云计算平台之间设置隔离云，所述方法包括如下步骤：
步骤S1，所述隔离云接收用户通过互联网发送的基于http或https的请求，其中，所述隔离云通过自带的第一网段IP地址接收所述请求；
步骤S2，所述隔离云对接收到的请求进行分析，查询该请求对应的文件或数据是否存储在隔离云上，如果存在则执行步骤S3，否则执行步骤S4；
步骤S3，直接调用对应数据或文件并发送至互联网上的用户；
步骤S4，如果请求的数据或文件未存储在隔离云上，则通过隔离云的链接内网的第二网段IP地址将所述请求转发至所述云计算平台上；
步骤S5，所述云计算平台对该请求进行分析并在内部多个虚拟主机中定位出存储对应数据的相关虚拟主机，并把按照该虚拟主机的使用者事先设置的系统、程序和逻辑而得到的相应数据或文件，发送至所述隔离云；
步骤S6，所述隔离云接收到来自所述云计算平台回送的数据，并将该数据通过所述第一网段的IP地址发送至所述互联网用户。
进一步，还包括如下步骤：互联网设备根据用户的请求，通过交换机与所述云设备进行通信，对云设备进行配置。
进一步，在所述隔离云上设置有多个独立的工作区域，对应云平台上的多个虚拟主机。
进一步，每个所述独立工作区域可以存储一个或多个所述服务客户的数据或有关文件，以及Web服务器http server。
进一步，上述Web服务器使用第三代Web服务器，使得隔离云在提供符合国际W3C标准的http与https功能的同时，还具有网页不可篡改、不可挂马、不可暗链、不可替换、切断入侵后台数据库的通道、防数据被盗、高可信和抗攻击、特别可以抗“未知攻击”的技术特征。
进一步，隔离云为云技术平台提供了“异构”和“隔离”架构，“异构”使得任何针对云计算平台的虚拟层漏洞的攻击都将失效，因为在隔离云里没有云的虚拟层结构，“隔离”使得云计算离开空前险恶的互联网，不再接受来自互联网的攻击，不允许来自互联网的访问请求直接进入到云上的虚拟主机里，解决了云的“弱安全”的难题。
进一步，实现动态灾备，即使云计算平台停机了，隔离云上的Web服务器仍然可以继续对外提供服务，从而解决了云计算不敢打补丁、难以填补安全漏洞的难题。
进一步，在互联网与隔离云之间，在隔离云和云计算平台之间各设一个防火墙，在两个防火墙之间形成DMZ区，隔离云被安置在DMZ区内，通向互联网，云计算平台则在DMZ之后，第一道防火墙可以设置成：接受来自互联网的基于http或https的请求，并将其导向隔离云的第一网段IP地址；第二道防火墙设置成：与隔离云第二网段IP的之间可以相互通信，不接受来自第一网段的通信包。
进一步，隔离云将取代Apache、IIS等第二代Web服务器，消除了由于二代为web由于自身没有抗攻击力并带有先天安全缺陷，放在云上使用的话会给云带来攻击窗口伤害和的问题。
进一步，隔离云将为云计算平台提供了高可信&抗攻击，特别是抗“未知攻击”的能力。帮助云以及云上运行的各种应用在网络战时代的、未知攻击主流化的日益严峻的互联网环境里可以更长久、更健壮地运行。
本发明还提出一种用于实现上述权利要求任一项所述隔离云的方法的隔离云的系统。
根据本发明实施例的隔离云的方法及系统，在传统云架构与互联网之间，设立一个隔离云。该隔离云具有以下特点：
(1)直接回答访问者的请求：不同于传统的依赖于攻击特征值、只会拦截的周边防御技术，隔离云直接回答来自互联网的请求。高可信抗攻击，特别是抗“未知攻击”。
(2)双层云结构：两个云不再同一个物理结构上。物理隔离，而不是逻辑隔离。异构可以有效的避免“毒液漏洞”、逃逸攻击等各种针对云的攻击。
(3)由的隔离区执行符合W3C标准的HTTP服务：接受请求、送还结果。
(4)将应用服务器、数据库、CMS、后台管理系统等留在云上；或者只将DB、共享资源池放到云上，发挥云的优势，从而实现与分散主机负荷、优势互补、取长补短。
(5)不可篡改、不可挂马、防数据泄露、防爆库、高可信、抗攻击、特别是抗“未知攻击”。
(6)即使被攻击，由于与传统云设备隔离，也会不影响云平台整体安全。
(7)在隔离云的前端，仍旧可以设置方式FW、WAF等周边安全产品。
基于此，本发明实现的云计算不再直接接受来自互联网的访问，不再承受来自互联网的云攻击。在云上各类应用一般都以Web为界面，通过互联网与访问者对话，使用云上的第三代Web服务器可以避免给云增加安全裂隙、避免降低云的安全性。
本发明附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。
附图说明
本发明的上述和/或附加的方面和优点从结合下面附图对实施例的描述中将变得明显和容易理解，其中：
图1为根据本发明实施例的隔离云的方法的流程图；
图2为根据本发明一个实施例的互联网-隔离云-传统云的架构图；
图3为根据本发明另一个实施例的互联网-隔离云-传统云的架构图；
图4为根据本发明实施例的隔离云的隔离区-无菌区的分布示意图。
具体实施方式
下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，旨在用于解释本发明，而不能理解为对本发明的限制。
本发明提出一种隔离云的方法及系统，通过在互联网和云计算平台之间设置隔离云，实现互联网与云计算平台之间不直接实现数据传输，而是设置隔离云作为DMZ，从而避免黑客通过互联网发起的病毒攻击等，不会威胁到云设备上存储数据的安全。
如图1所示，本发明实施例的基于的隔离云的方法，包括如下步骤：在互联网和云计算平台之间设置隔离云，方法包括如下步骤：
步骤S1，隔离云接收用户通过互联网发送的基于http或https的请求，其中，所述隔离云通过自带的第一网段IP地址接收所述请求，其中，隔离云通过第一网段IP地址接收请求。
互联网上的用户向隔离云发起请求，该数据第一网段IP地址发送(例如：80.1.1.x)。
步骤S2，隔离云对接收到的请求进行分析，查询该请求对应的文件或数据是否存储在隔离云上，如果存在则执行步骤S3，否则执行步骤S4。
隔离云在接收到用户的请求后，首先对该请求进行分析，包括：请求来源、请求内容、请求的接收时间等。然后，判断该请求的内容是否在隔离云本地上有存储。
步骤S3，直接调用对应数据或文件或文件的计算结果并发送至互联网上的用户。
当判断用户请求的数据或文件位于隔离云上时，则从于隔离云的本地直接调取相应数据或文件或文件的计算结果发送至用户，而无需再从传统云设备上进行请求。这种方式存在以下两个优点：
(1)直接从隔离云调取数据，无需经过传统云设备，降低了数据通信的时长，提高了数据传输效率，反馈及时，用户体验度高；
(2)直接从隔离云调取数据，无需经过传统云设备，从而避免黑客通过互联网发起的病毒攻击等，不会威胁到云设备上存储数据的安全。
需要说明的是，隔离云的本地存储有云设备上的部分数据，例如：客户预存系统设备的基础信息、工作状态信息等。这是由用户在选择隔离云服务时进行选择的。即，用户在选择隔离云服务后，可以根据需要设置部分数据存储在隔离云上，从而在需要调取上述数据时，无需到达传统云设备，可以直接从隔离云上获取。
参考图2和图3，在隔离云上设置有多个存储区域，每个存储区域的大小相同，用于存储相应的数据或文件。
需要说明的是，根据服务客户的优先级，每个存储区域存储一个或多个服务客户的数据或文件。具体来说，隔离云服务根据用户选择的服务等级，可以分别提供不同优先级服务。
例如，当用户选择高优先级服务时，则将该用户的数据或文件单独存储在一个存储区域中，即使该存储区域尚有剩余空间，也不会存入其他用户的数据或文件，即为该用户提供专属存储空间。
当用户选择低优先级服务时，则将该用户的数据或文件与其他同样选择低优先级服务的用户的数据或文件，共同存储在一个存储区域。即，多个用户公用一个存储区域。
参考图4，在隔离云上设置隔离区和无菌区。其中，隔离区中可以存储免疫化静态文件群，例如html、jpg等格式文件。无菌区存储负载均衡、静态文件群html、jpg等格式文件。
步骤S4，如果请求的数据或文件未存储在隔离云上，则通过隔离云的链接内网的第二网段IP地址将所述请求转发至所述云计算平台上。
参考图2和图3，互联网-隔离云、隔离云-传统云设备，两者的数据通信通过不同的网段。例如，图3中，互联网-隔离云(80.1.1.x)、隔离云-传统云设备(10.5.5.x)；图4中，互联网-隔离云(192.168.170.0)、隔离云-传统云设备(10.5.5.x)。通过这种方式，可以保证互联网-隔离云-传统云设备之间的数据隔离，保证传统云设备上数据的安全性。
步骤S5，云计算平台对该请求进行分析并在内部多个虚拟主机中定位出存储对应数据或文件的相关虚拟主机，并把按照该虚拟主机的使用者事先设置的系统、程序和逻辑而得到的相应数据或文件，发送至隔离云。
在本发明的一个实施例中，在隔离云上设置有多个独立的工作区域，对应云平台上的多个虚拟主机。每个独立工作区域可以存储一个或多个所述服务客户的数据或有关文件，以及Web服务器http server。上述Web服务器使用第三代Web服务器，使得隔离云在提供符合国际W3C标准的http与https功能的同时，还具有网页不可篡改、不可挂马、不可暗链、不可替换、切断入侵后台数据库的通道、防数据被盗、高可信和抗攻击、特别可以抗“未知攻击”的技术特征。
参考图2和图3可知，在传统云设备上设置有多个虚机，每个虚机上均存储相应服务客户的数据，数据内容由客户上传。例如：客户可以将后台管理系统、内容管理系统(CMS)、数据库等内容放在传统云设备的虚机上，这是根据客户的需要可以自行设置。
此外，互联网设备还可以根据用户的请求，通过交换机与云设备进行通信，对云设备进行配置。参考图4，在传统云设备上，可以配置如下内容：在虚机1上配置后台管理系统、CMS；在虚机2上配置应用服务器；在虚机3上配置数据库服务器(DB server)。
当然，上述的配置仅是出于实例的目的，具体配置方案是根据客户的需要可以在传统云设备上进行设置。
步骤S6，隔离云接收到来自所述云计算平台回发送的数据，并将该数据通过所述第一网段的IP地址发送至所述互联网用户。
在本发明的一个实施例中，隔离云在将数据或文件发送至互联网之前，对数据进行加密处理以进行免疫化逆变换，由互联网终端呈现的前台发布页面为标准html格式的原始页面，而在隔离区里存放的文件是经过免疫化变换的不可读、不可改的格式，后台数据为加密处理后的页面，以确保万一隔离区后台被入侵后，数据信息不会被识别出，文件不能被篡改。(详细的技术原理请参照发明人的CN100594484C中国发明专利)
具体来说，隔离云在将请求的数据发送至互联网上前，首先对数据进行加密处理(免疫化变换)，实现数据传输到互联网上并通过平台显示时，前端平台显示原始数据页面(即，加密处理不会影响前台显示内容)，该页面对应的后台数据则是以加密形式呈现。并且，即使有恶意攻击进入到后台，篡改内容，由于其篡改内容与加密方式不同，从而不会影响到前台显示，前台依旧显示原始数据页面。
此外，本发明可以为用户的官网提供服务接口，用户通过服务接口登录隔离云服务平台，填写基本信息和请求信息。当隔离云服务平台的后台审核通过用户的身份和请求信息，向用户返回确认指令，从而用户可以通过隔离云服务平台实现数据传输、数据隔离和数据配置等操作。
本发明的隔离云为云技术平台提供了“异构”和“隔离”架构，“异构”使得任何来自互联网针对云计算平台的虚拟层漏洞的攻击都将失效，因为在隔离云里没有云的虚拟层结构，“隔离”使得云计算离开空前险恶的互联网，不再接受来自互联网的攻击，不允许来自互联网的访问请求直接进入到云上的虚拟主机里，解决了云的“弱安全”的难题。
本发明可以可以实现动态灾备，即使云计算平台停机了，隔离云上的Web服务器仍然可以继续对外提供服务，从而解决了云计算不敢打补丁、难以填补安全漏洞的难题。避免了由于打补丁或其他原因引发的云计算停机而带来的巨大的赔偿损失。
在互联网与隔离云之间，在隔离云和云计算平台之间各设一个防火墙，在两个防火墙之间形成DMZ区，隔离云被安置在DMZ区内，通向互联网，云计算平台则在DMZ之后，第一道防火墙可以设置成：接受来自互联网的基于http或https的请求，并将其导向隔离云的第一网段IP地址；第二道防火墙设置成：与隔离云第二网段IP的之间可以相互通信，不接受来自第一网段的通信包。隔离云将取代Apache、IIS等第二代Web服务器，消除了由于二代为web由于自身没有抗攻击力并带有先天安全缺陷，放在云上使用的话会给云带来攻击窗口伤害和的问题。
除此之外，本发明还提供一种隔离云的系统，该系统为可以实现上述隔离云的方法的硬件+软件系统。
根据本发明实施例的隔离云的方法及系统，在传统云架构与互联网之间，设立一个隔离云。该隔离云具有以下特点：
(1)直接回答访问者的请求：不同于传统的依赖于攻击特征值、只会拦截的周边防御技术，隔离云直接回答来自互联网的请求。高可信抗攻击，特别是抗“未知攻击”。
(2)双层云结构：两个云不再同一个物理结构上。物理隔离，而不是逻辑隔离。异构可以有效的避免“毒液漏洞”、逃逸攻击等各种针对云的攻击。
(3)由的隔离区执行符合W3C标准的HTTP服务：接受请求、送还结果。
(4)将应用服务器、数据库、CMS、后台管理系统等留在云上；或者只将DB、共享资源池放到云上，发挥云的优势，从而实现与分散主机负荷、优势互补、取长补短。
(5)不可篡改、不可挂马、防数据泄露、防爆库、高可信、抗攻击、特别是抗“未知攻击”。
(6)即使被攻击，由于与传统云设备隔离，也会不影响云平台整体安全。
(7)在前端，仍旧可以方式FW、WAF等周边安全产品。
基于此，本发明实现的云计算不再直接接受来自互联网的访问，不再承受来自互联网的云攻击。在云上各类应用一般都以Web为界面，通过互联网与访问者对话，使用云上的第三代Web服务器可以避免给云增加安全裂隙、避免降低云的安全性。
在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。
尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在不脱离本发明的原理和宗旨的情况下在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。本发明的范围由所附权利要求及其等同限定。

Claims (8)

1.一种隔离云的方法，其特征在于，在互联网和云计算平台之间设置隔离云，所述方法包括如下步骤：
步骤S1，所述隔离云接收用户通过互联网发送的基于http或https的请求，其中，所述隔离云通过自带的第一网段IP地址接收所述请求；
步骤S2，所述隔离云对接收到的请求进行分析，查询该请求对应的文件或数据是否存储在隔离云上，如果存在则执行步骤S3，否则执行步骤S4；
步骤S3，直接调用对应数据或文件或文件的运算结果并发送至互联网上的用户；
根据服务客户的优先级，每个存储区域存储一个或多个服务客户的数据或文件；隔离云服务根据用户选择的服务等级，分别提供不同优先级服务；当用户选择高优先级服务时，则将该用户的数据或文件单独存储在一个存储区域中，即使该存储区域尚有剩余空间，也不会存入其他用户的数据或文件，即为该用户提供专属存储空间；
当用户选择低优先级服务时，则将该用户的数据或文件与其他同样选择低优先级服务的用户的数据或文件，共同存储在一个存储区域；即，多个用户公用一个存储区域；
步骤S4，如果请求的数据或文件未存储在隔离云上，则通过隔离云的链接内网的第二网段IP地址将所述请求转发至所述云计算平台上；
步骤S5，所述云计算平台对该请求进行分析并在内部多个虚拟主机中定位出存储对应数据的相关虚拟主机，并把按照该虚拟主机的使用者事先设置的系统、程序和逻辑而得到的相应数据或文件或文件的运算结果，发送至所述隔离云；
步骤S6，所述隔离云接收到来自所述云计算平台回送的数据，并将该数据通过所述第一网段的IP地址发送至所述互联网上的用户；
隔离云在将数据或文件发送至互联网之前，对数据进行加密处理以进行免疫化逆变换，由互联网终端呈现的前台发布页面为标准html格式的原始页面，而在隔离区里存放的文件是经过免疫化变换的不可读、不可改的格式，后台数据为加密处理后的页面，以确保万一隔离区后台被入侵后，数据信息不会被识别出，文件不能被篡改；
隔离云在将请求的数据发送至互联网上前，首先对数据进行加密处理，实现数据传输到互联网上并通过平台显示时，前端平台显示原始数据页面，该页面对应的后台数据则是以加密形式呈现；并且，即使有恶意攻击进入到后台，篡改内容，由于其篡改内容与加密方式不同，从而不会影响到前台显示，前台依旧显示原始数据页面；
为用户的官网提供服务接口，用户通过服务接口登录隔离云服务平台，填写基本信息和请求信息；当隔离云服务平台的后台审核通过用户的身份和请求信息，向用户返回确认指令，从而用户通过隔离云服务平台实现数据传输、数据隔离和数据配置操作；
隔离云为云技术平台提供了“异构”和“隔离”架构，“异构”使得任何针对云计算平台的虚拟层漏洞的攻击都将失效，因为在隔离云里没有云的虚拟层结构，“隔离”使得云计算离开空前险恶的互联网，不再接受来自互联网的攻击，不允许来自互联网的访问请求直接进入到云上的虚拟主机里，解决了云的“弱安全”的难题；
在互联网与隔离云之间，在隔离云和云计算平台之间各设一个防火墙，在两个防火墙之间形成DMZ区，隔离云被安置在DMZ区内，通向互联网，云计算平台则在DMZ之后，第一道防火墙可以设置成：接受来自互联网的基于http或https的请求，并将其导向隔离云的第一网段IP地址；第二道防火墙设置成：与隔离云第二网段IP的之间可以相互通信，不接受来自第一网段的通信包。
2.如权利要求1所述的隔离云的方法，其特征在于，还包括如下步骤：互联网设备根据用户的请求，通过交换机与云设备进行通信，对云设备进行配置。
3.如权利要求1所述的隔离云的方法，其特征在于，在所述隔离云上设置有多个独立的工作区域，对应云计算平台上的多个虚拟主机。
4.如权利要求3所述的隔离云的方法，其特征在于，每个所述独立工作区域可以存储一个或多个所述服务客户的数据或有关文件，以及Web服务器http server。
5.如权利要求4所述的隔离云的方法，其特征在于，还包括如下：上述Web服务器使用第三代Web服务器，使得隔离云在提供符合国际W3C标准的http与https功能的同时，还具有网页不可篡改、不可挂马、不可暗链、不可替换、切断入侵后台数据库的通道、防数据被盗、高可信和抗攻击、特别可以抗“未知攻击”的技术特征。
6.如权利要求1所述的隔离云的方法，其特征还在于：实现动态灾备，即使云计算平台停机了，隔离云上的Web服务器仍然可以继续对外提供服务，从而解决了云计算不敢打补丁、难以填补安全漏洞的难题。
7.如权利要求1所述的隔离云的方法，其特征还在于：隔离云将取代Apache和IIS的第二代Web服务器，消除了由于二代为web由于自身没有抗攻击力并带有先天安全缺陷，放在云上使用的话会给云带来攻击窗口和潜在威胁伤害和的问题。
8.如权利要求1所述的隔离云的方法，其特征还在于：隔离云将为云计算平台提供了高可信和抗攻击，特别是抗“未知攻击”的能力；帮助云以及云上运行的各种应用在网络战时代的、未知攻击主流化的日益严峻的互联网环境里可以更长久、更健壮地运行。
CN201810971745.0A 2018-08-24 2018-08-24 隔离云的方法及系统 Active CN109120702B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201810971745.0A CN109120702B (zh) 2018-08-24 2018-08-24 隔离云的方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810971745.0A CN109120702B (zh) 2018-08-24 2018-08-24 隔离云的方法及系统

Publications (2)

Publication Number Publication Date
CN109120702A CN109120702A (zh) 2019-01-01
CN109120702B true CN109120702B (zh) 2021-07-27

Family

ID=64860687

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810971745.0A Active CN109120702B (zh) 2018-08-24 2018-08-24 隔离云的方法及系统

Country Status (1)

Country Link
CN (1) CN109120702B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114553460A (zh) * 2021-12-20 2022-05-27 东方博盾(北京)科技有限公司 一种互联网影子防御方法和系统

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102436560A (zh) * 2011-08-22 2012-05-02 高振宇 计算机自防御系统及方法
CN105468430A (zh) * 2014-09-04 2016-04-06 中国石油化工股份有限公司 基于虚拟化技术的勘探应用云桌面构建方法
CN105592089A (zh) * 2015-12-29 2016-05-18 中国银联股份有限公司 一种云计算下的租户安全隔离方法
CN106713375A (zh) * 2015-07-21 2017-05-24 中国移动通信集团重庆有限公司 云资源的调配方法及装置
CN108234523A (zh) * 2018-03-08 2018-06-29 江苏省广播电视总台 一种应用于电视台的多层次内外网数据交互系统

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100594484C (zh) * 2003-03-04 2010-03-17 高振宇 网站服务器系统
US8504530B2 (en) * 2010-06-26 2013-08-06 Asibo Inc. Global information management system and method

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102436560A (zh) * 2011-08-22 2012-05-02 高振宇 计算机自防御系统及方法
CN105468430A (zh) * 2014-09-04 2016-04-06 中国石油化工股份有限公司 基于虚拟化技术的勘探应用云桌面构建方法
CN106713375A (zh) * 2015-07-21 2017-05-24 中国移动通信集团重庆有限公司 云资源的调配方法及装置
CN105592089A (zh) * 2015-12-29 2016-05-18 中国银联股份有限公司 一种云计算下的租户安全隔离方法
CN108234523A (zh) * 2018-03-08 2018-06-29 江苏省广播电视总台 一种应用于电视台的多层次内外网数据交互系统

Also Published As

Publication number Publication date
CN109120702A (zh) 2019-01-01

Similar Documents

Publication Publication Date Title
Amara et al. Cloud computing security threats and attacks with their mitigation techniques
Iqbal et al. On cloud security attacks: A taxonomy and intrusion detection and prevention as a service
Devi et al. An Appraisal over Intrusion Detection systems in cloud computing security attacks
US10769275B2 (en) Systems and methods for monitoring bait to protect users from security threats
Gupta et al. Taxonomy of cloud security
Man et al. A collaborative intrusion detection system framework for cloud computing
Djenna et al. Security problems in cloud infrastructure
Lemoudden et al. A Survey of Cloud Computing Security Overview of Attack Vectors and Defense Mechanisms.
Shajan et al. Survey of security threats and countermeasures in cloud computing
CN109120702B (zh) 隔离云的方法及系统
Süß et al. Cloud security and security challenges revisited
US20150172310A1 (en) Method and system to identify key logging activities
Pascariu et al. Investigative analysis and technical overview of ransomware based attacks. case study: WannaCry
Hatwar et al. Cloud computing security aspects, vulnerabilities and countermeasures
Droppa et al. Analysis of cybersecurity in the real environment
Kamatchi et al. Security Mapping of a Usage Based Cloud System.
CN106598713A (zh) 虚拟机安全动态迁移的方法及系统
Singh et al. Cloud Computing Security and Privacy Issues-A Systematic Review
Santwana et al. Hypervisor based Mitigation Technique for Keylogger Spyware Attacks
Wani et al. A Survey of security issues and attacks in cloud and their possible defenses
Win et al. Handling the hypervisor hijacking attacks on virtual cloud environment
Gahane et al. The Research Study on Identification of Threats and Security Techniques in Cloud Environment
Saravanan et al. A Concept of security and vulnerability attacks, protection process in virtualization for cloud computing
Borse et al. Cloud based cyber physical systems security issues: A survey
Monshizadeh et al. Mobile virtual network operators (MVNO) security

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant