CN109474609A - 一种云平台下租户安全威胁告警系统及其实现方法 - Google Patents

Abstract

本发明涉及一种云平台下租户安全威胁告警系统及其实现方法。本发明的安全威胁定义模块负责保存租户关心的安全威胁的关键信息，安全威胁收集模块负责收集与安全威胁定义模块保存的关键信息匹配的安全威胁信息，安全威胁处理模块负责转换收集到各式各样的安全威胁信息成统一的结构，安全威胁告警模块负责按照指定的方式进行告警，安全威胁修复模块负责对安全威胁进行修复。本发明能够实现云平台针对租户关心的安全威胁进行告警和处理，在出现安全威胁时，及时通知各租户并执行修复，让各租户远离安全威胁。

Description

一种云平台下租户安全威胁告警系统及其实现方法

技术领域

本发明涉及云计算安全技术领域，特别是一种云平台下租户安全威胁告警系统及其实现方法。

背景技术

随着云计算的发展，云平台资源弹性伸缩、高效利用等优点吸引了各行各业的使用者。在行业上云的同时，使用者也有很多新的忧虑，尤其是云平台信息安全方面；云平台的安全成为了使用者关注的重点。及时、高效地发现和处理云平台安全威胁显得尤为重要。而传统的云平台一般只针对资源使用情况进行告警，比如cpu、内存、存储使用率等，很少有专门针对云平台和租户自己关心的安全威胁进行告警和及时修复的。如果没有安全威胁的告警，使用者就无法及时知道所用平台、资源存在的问题，如果没有安全威胁的及时修复，就有可能长期暴露在可能被攻击的危险境地里。

发明内容

本发明解决的技术问题在于提出了一种云平台下租户安全威胁告警系统及其实现方法，可以让使用者及时了解平台、所用资源和自己关心的安全威胁，无需人工插手，就能实现修复，大大降低了被攻击的概率。

本发明解决上述技术问题的技术方案是：

所述的系统包括安全威胁定义模块、安全威胁收集模块、安全威胁处理模块、安全威胁告警模块和安全威胁修复模块；

所述的安全威胁定义模块负责保存租户关心的安全威胁的关键信息；

所述的安全威胁收集模块负责收集与安全威胁定义模块保存的关键信息匹配的安全威胁信息；

所述的安全威胁处理模块将收集到的安全威胁信息转换成统一的结构；

所述的安全威胁告警模块负责按照指定的方式进行告警；

所述的安全威胁修复模块负责对安全威胁进行修复。

所述的方法包括

由安全威胁定义模块定义来源支持插件式扩展，内置关键字匹配插件，用户自定义插件作为定义来源；

由安全威胁收集模块收集范围包括各大漏洞网站、安全信息披露网站及安全新闻，支持增加用户提供的安全信息检索网站；根据安全威胁定义模块保存的定义信息，在搜索范围里找到对应的内容保存下来，过滤无关内容；

由安全威胁处理模块作为统一的转换器，把安全威胁收集模块收集到的内容，统一转换成特定格式供后续处理；

由安全威胁告警模块提供由用户自定义告警频率和告警方式，以用户关心的安全威胁为基础，当出现相关信息时，按用户设定的告警频率和告警方式进行告警；告警方式支持邮件、短信、站内信和调用http接口；

安全威胁修复模块的修复操作默认是通过定义的快速匹配模板，在收集模块收集安全威胁信息时，匹配出相应的修复操作，支持插件式扩展，用户自定义匹配模板、匹配规则或者自定义修复操作。

所述安全威胁定义模块的定义插件步骤如下：1)参照模板例子创建新的定义模板，2)设置定义规则，3)设置操作入口，4)定义对应的实现类；

所述关键字的来源主要有两个方面，一是扫描归属于该租户的所有资源，提取关键字，二是由租户录入自己关心的关键字，增加关键字解析器扩展关键字来源。

所述解析器定义好匹配规则的模板，能按照定义的规则在相应的内容里快速匹配出需要的关键字；

增加关键字解析器步骤如下：1)分析全称结构，2)指定匹配规则，3)设置操作入口，4)定义对应的实现类。

所述安全威胁收集模块收集步骤如下：1)根据各大漏洞网站、安全信息披露网站及安全新闻等具体内容结构，定义对应的内容匹配模板；2)查询数据库，获取所有定义好的信息；3)搜索各大漏洞网站、安全信息披露网站及安全新闻，先用已定义好的网站内容匹配模板快速抽取每条漏洞、安全信息或安全新闻的关键性信息，根据上述定义的信息进行逐条匹配，认为这条信息需要收集，缓存此信息。

所述安全威胁处理模块的转换处理步骤如下：1)获取安全威胁收集模块缓存的所有安全威胁信息；2)获取所有租户设置的告警策略和修复策略；3)轮询所有安全威胁信息，根据内容解析模板、租户告警策略、修复策略和所需统一结构分解内容，统一结构包括安全威胁ID、关键字、版本、系统信息、租户id、修复操作列表、告警操作列表、收集时间；4)保存到数据库以待后续处理；5)清空安全威胁缓存。

所述安全威胁修复模块的新增修复插件步骤如下：1)参照模板例子创建新的修复模板，2)设置修复策略，3)设置操作入口，4)设置对应修复的实现类；

所述的模板是根据内容定义相应规则的，对于相同格式的内容可以使用一样或者类似的模板，在模板里定义好匹配规则之后，可以快速匹配出安全威胁关键字、内容和修复操作，修复操作可以设置执行策略；

所述的快速匹配模板，步骤如下：1)分析内容结构，2)指定匹配规则，3)设置操作入口，4)定义对应的实现类；

所述的执行策略，当对于某一产品，同时存在安全威胁收集模块收集到的安全威胁修复方法和用户自定义修复方法，可以根据策略执行修复；优先执行级高的修复方法，或者同时执行收集到的修复方法和用户自定义修复方法。

本发明通过上述模块的配合，可以灵活地定义关心的安全威胁，通过定义快速匹配模板抽取需要的信息，及时通知对应租户新发现的安全威胁，及时修复，让用户远离被攻击的危险。

附图说明

下面结合附图对本发明进一步说明：

图1为本发明的方法流程图。

具体实施方式

见图1所述，本发明的系统包括安全威胁定义模块、安全威胁收集模块、安全威胁处理模块、安全威胁告警模块和安全威胁修复模块；安全威胁定义模块负责保存租户关心的安全威胁的关键信息；安全威胁收集模块负责收集与安全威胁定义模块保存的关键信息匹配的安全威胁信息；安全威胁处理模块负责转换收集到各式各样的安全威胁信息成统一的结构；安全威胁告警模块负责按照指定的方式进行告警；安全威胁修复模块负责对安全威胁进行修复。

1、安全威胁定义模块的实现：

安全威胁定义模块接收的定义来源支持插件式扩展，内置关键字匹配插件，用户可以自定义其他插件作为定义来源。

定义插件步骤如下：1)参照模板例子创建新的定义模板，2)设置定义规则，3)设置操作入口，4)定义对应的实现类。

以内置的关键字匹配插件为例，创建关键字匹配插件定义模板key_define.yml；定义规则设置为扫描租户资源时，扫描结果里操作系统每个安装包的名字、租户资源名字和用户输入的关键字；操作入口设置为对应的关键字解析器实现类，然后在对应的实现类里实现相关解析逻辑，用于在扫描到的安装包全称、租户资源全称里解析出关键信息。例如扫描出安装包libvirt-1.2.8-16.el7_1.3.x86_64，根据解析规则解析出关键字libvirt、版本为1.2.8、系统信息为16.el7_1.3.x86_64，然后把这些信息跟租户id建立关联关系存到数据库里，以待后续匹配和处理使用。

关键字匹配插件，关键字的来源主要有两个方面，一是扫描归属于该租户的所有资源，提取关键字，二是由租户录入自己关心的关键字，可以增加关键字解析器扩展关键字来源。

关键字解析器，解析器是定义好匹配规则的模板，能按照定义的规则在相应的内容里快速匹配出需要的关键字。

增加关键字解析器步骤如下：1)分析全称结构，2)指定匹配规则，3)设置操作入口，4)定义对应的实现类。

以上述安装包libvirt-1.2.8-16.el7_1.3.x86_64为例，全称的结构为名称-版本-系统信息，指定匹配规则为{key}-{version}-{sys_info}，设置操作入口entry_point为RpmKeywordParser，并在RpmKeywordParser类里实现对应的解析逻辑。

以扫描linux系统安装包为例，先定义一个扫描插件linux_system_scan，里面定义扫描方法为列出所有当前系统所有已安装的安装包，匹配规则是只匹配出安装包名称和版本，把插件接入entry_point.txt文件，启动安全威胁定义模块代码，执行扫描，把匹配到的安装包名称和对应的版本号存到数据库。

2、安全威胁收集模块实现如下：

收集范围包括各大漏洞网站、安全信息披露网站及安全新闻，支持增加用户提供的安全信息检索网站。根据安全威胁定义模块保存的定义信息，在搜索范围里找到对应的内容保存下来，过滤无关内容。

收集步骤如下：1)根据各大漏洞网站、安全信息披露网站及安全新闻等具体内容结构，定义对应的内容匹配模板，方便在特定的内容结构中快速抽取到所需信息，以免耗费大量时间在无关信息的处理上；2)查询数据库，获取所有定义好的信息，如上述的关键字libvirt、版本1.2.8、系统信息16.el7_1.3.x86_64为一组的安全威胁信息列表；3)搜索各大漏洞网站、安全信息披露网站及安全新闻，先用已定义好的网站内容匹配模板快速抽取每条漏洞、安全信息或安全新闻的关键性信息，根据上述定义的信息进行逐条匹配，例如抽取到的某条关键性信息里包含libvirt、1.2.8、el7、x86_64等关键信息，认为这条信息需要收集，缓存此信息。

以漏洞爬虫为例，针对某一特定安全漏洞网站，指定对应格式内容匹配模板，当爬虫启动时，根据模板规则快速匹配出每个漏洞的内容，判断该漏洞内容是否包含系统自身相关或租户感兴趣部分，如果无关就不收集，有关就收集并通知收集器收集归类，等待收集完毕推送给对应的用户。

3、安全威胁处理模块实现如下：

处理模块负责转换收集到各式各样的安全威胁信息成统一的结构，是一个统一的转换器，把收集模块收集到的各种格式的内容，统一转换成特定格式供后续处理。

由于是从各大漏洞网站、安全信息披露网站及安全新闻收集回来的信息，内容结构差异大，需要转换成统一的结构。处理步骤如下：1)获取上述收集模块缓存的所有安全威胁信息；2)获取所有租户设置的告警策略和修复策略；3)轮询上述所有安全威胁信息，根据内容解析模板、租户告警策略、修复策略和所需统一结构分解内容，统一结构包括安全威胁ID、关键字、版本、系统信息、租户id、修复操作列表、告警操作列表、收集时间等；4)保存到数据库以待后续处理；5)清空安全威胁缓存，以免重复处理相同的信息。

以漏洞信息处理为例，收集模块把收集到的漏洞信息通知到处理模块，当处理模块拿到对应信息时，按照漏洞通知信息模型，转化漏洞原始信息。例如在漏洞原始信息中年匹配出对应的漏洞编号、内容、涉及产品、发布日期、链接、修复方案等信息。

4、安全威胁告警模块实现如下：

用户可以自定义告警频率和告警方式，以用户关心的安全威胁为基础，当出现相关信息时，按用户设定的告警频率和告警方式进行告警，支持邮件、短信、站内信和调用http接口等方式。

告警操作保存在上述统一结构的告警操作列表里，租户可以设置告警频率和告警方式。例如某租户设置告警频率为10分钟，告警方式是发邮件，当出现该与该租户相关的安全威胁信息时，每隔10分钟判断一次该安全威胁列表是否已被处理，如果未处理则发邮件通知租户处理，如果已处理则设为已告警并处理，不再发送告警邮件。

5、安全威胁修复模块实现如下：

修复操作可以使用在收集模块收集到的对应修复操作，也可以使用用户自定义操作。假设a产品出现安全威胁，在收集模块收集到的对应修复操作是替换b.jar，用户只希望在a产品出现安全威胁时，通知人工操作，并且设置用户策略优先，那么就只会执行通知用户执行人工操作。

修复操作默认是通过定义的快速匹配模板，在收集模块收集安全威胁信息时，匹配出相应的修复操作，支持插件式扩展，用户可以自定义匹配模板、匹配规则或者自定义修复操作。

新增修复插件步骤如下：1)参照模板例子创建新的修复模板，2)设置修复策略，3)设置操作入口，4)设置对应修复的实现类。

以上述libvirt为例，定义修复模板libvirt_repair.yml，设置修复策略为优先级策略，用户自定义修复方法优先级设为最高优先级，设置操作入口entry_point为UserDefinedLibvirtRepair，并在UserDefinedLibvirtRepair类里实现如下逻辑：1)备份当前libvirt安装包，2)停止系统内正在执行并与libvirt有关的进程，3)执行收集到的修复操作，4)启动上述进程，验证是否能正常运行，5)如果无异常则发出已修复信号，6)如果出现异常情况回滚到原来版本，发出异常信号，就可以实现使用用户自定义修复方法修复该安全威胁。

模板是根据特定内容定义相应规则的，对于特定格式的内容可以使用一样或者类似的模板，在模板里定义好匹配规则之后，可以快速匹配出安全威胁关键字、内容和修复操作等。修复操作可以设置执行策略。

定义快速匹配模板步骤如下：1)分析内容结构，2)指定匹配规则，3)设置操作入口，4)定义对应的实现类。

以内容“libvirt1.2.8版本存在漏洞，需要更换为libvirt1.2.9版本”为例，内容结构为关键字+版本+“版本存在漏洞”+修复操作，匹配规则设定为{keyword}+{version}+“版本存在漏洞，”+{repair_action}，设置操作入口entry_point为ScanLibvirtRepair，并在ScanLibvirtRepair类里实现更换版本逻辑。

所述的执行策略，当对于某一产品，同时存在收集模块收集到的安全威胁修复方法和用户自定义修复方法，可以根据策略执行修复。优先策略是执行优先级高的修复方法，并策略是同时执行收集到的修复方法和用户自定义修复方法。

整个流程结束。

Claims (6)

1.一种云平台下租户安全威胁告警系统，其特征在于：所述的系统包括安全威胁定义模块、安全威胁收集模块、安全威胁处理模块、安全威胁告警模块和安全威胁修复模块；

所述的安全威胁定义模块负责保存租户关心的安全威胁的关键信息；

所述的安全威胁收集模块负责收集与安全威胁定义模块保存的关键信息匹配的安全威胁信息；

所述的安全威胁处理模块将收集到的安全威胁信息转换成统一的结构；

所述的安全威胁告警模块负责按照指定的方式进行告警；

所述的安全威胁修复模块负责对安全威胁进行修复。

2.一种权利要求1所述系统的实现方法，其特征在于：所述的方法包括

由安全威胁定义模块定义来源支持插件式扩展，内置关键字匹配插件，用户自定义插件作为定义来源；

由安全威胁收集模块收集范围包括各大漏洞网站、安全信息披露网站及安全新闻，支持增加用户提供的安全信息检索网站；根据安全威胁定义模块保存的定义信息，在搜索范围里找到对应的内容保存下来，过滤无关内容；

由安全威胁处理模块作为统一的转换器，把安全威胁收集模块收集到的内容，统一转换成特定格式供后续处理；

由安全威胁告警模块提供由用户自定义告警频率和告警方式，以用户关心的安全威胁为基础，当出现相关信息时，按用户设定的告警频率和告警方式进行告警；告警方式支持邮件、短信、站内信和调用http接口；

安全威胁修复模块的修复操作默认是通过定义的快速匹配模板，在收集模块收集安全威胁信息时，匹配出相应的修复操作，支持插件式扩展，用户自定义匹配模板、匹配规则或者自定义修复操作。

3.根据权利要求2所述的方法，其特征在于：

所述安全威胁定义模块的定义插件步骤如下：1)参照模板例子创建新的定义模板，2)设置定义规则，3)设置操作入口，4)定义对应的实现类；

所述关键字的来源主要有两个方面，一是扫描归属于该租户的所有资源，提取关键字，二是由租户录入自己关心的关键字，增加关键字解析器扩展关键字来源。

所述解析器定义好匹配规则的模板，能按照定义的规则在相应的内容里快速匹配出需要的关键字；

增加关键字解析器步骤如下：1)分析全称结构，2)指定匹配规则，3)设置操作入口，4)定义对应的实现类。

4.根据权利要求2所述的方法，其特征在于：

所述安全威胁收集模块收集步骤如下：1)根据各大漏洞网站、安全信息披露网站及安全新闻等具体内容结构，定义对应的内容匹配模板；2)查询数据库，获取所有定义好的信息；3)搜索各大漏洞网站、安全信息披露网站及安全新闻，先用已定义好的网站内容匹配模板快速抽取每条漏洞、安全信息或安全新闻的关键性信息，根据上述定义的信息进行逐条匹配，认为这条信息需要收集，缓存此信息。

5.根据权利要求2所述的方法，其特征在于：

所述安全威胁处理模块的转换处理步骤如下：1)获取安全威胁收集模块缓存的所有安全威胁信息；2)获取所有租户设置的告警策略和修复策略；3)轮询所有安全威胁信息，根据内容解析模板、租户告警策略、修复策略和所需统一结构分解内容，统一结构包括安全威胁ID、关键字、版本、系统信息、租户id、修复操作列表、告警操作列表、收集时间；4)保存到数据库以待后续处理；5)清空安全威胁缓存。

6.根据权利要求2所述的方法，其特征在于：

所述安全威胁修复模块的新增修复插件步骤如下：1)参照模板例子创建新的修复模板，2)设置修复策略，3)设置操作入口，4)设置对应修复的实现类；

所述的模板是根据内容定义相应规则的，对于相同格式的内容可以使用一样或者类似的模板，在模板里定义好匹配规则之后，可以快速匹配出安全威胁关键字、内容和修复操作，修复操作可以设置执行策略；

所述的快速匹配模板，步骤如下：1)分析内容结构，2)指定匹配规则，3)设置操作入口，4)定义对应的实现类；

所述的执行策略，当对于某一产品，同时存在安全威胁收集模块收集到的安全威胁修复方法和用户自定义修复方法，可以根据策略执行修复；优先执行级高的修复方法，或者同时执行收集到的修复方法和用户自定义修复方法。