CN110175451A - 一种基于电力云的安全监控方法和系统 - Google Patents

Abstract

本发明公开了一种基于电力云的安全监控方法和系统，系统通过对宿主机运行状态、关键进程、网络状态等信息的监控，实现宿主机运行异常、非法进程、网络异常等安全事件的实时告警；通过对虚拟机操作系统、会话连接等信息的监控，实现虚拟机操作系统异常、非法访问等安全事件的实时告警；通过对云平台运行状态、虚拟机操作等信息的监控，实现对管理主机异常、云平台状态异常、虚拟机全生命周期安全事件的实时告警。在此基础上，建立核查、监视、分析、告警的网络安全综合管控机制，形成一套完整的电力调控云安全监控系统，保障调控云的安全运行。

Description

一种基于电力云的安全监控方法和系统

技术领域

本发明涉及一种基于电力云的安全监控方法和系统，属于安全监控技术领域。

背景技术

目前针对云计算资源监控的框架比较多。阿里云监控是一个为阿里云云服务器或者用户自有服务器提供监控服务的应用。阿里云监控通过在云服务器或者用户自有服务器中部署，将监测的性能数据发送至阿里云平台进行处理，可以对、内存、网络等进行监控，出现故障时进行报警。

CloudWatch是亚马逊的云监测服务，可以对云资源以及用户设置指标进行监测。通过定期的数据采集，用户可以免费获得、内存、磁盘等十个指标。同时，用户可以自定义的对其应用进行监测，得知应用的运行状态。

监控宝是一款可以对网站、服务器、服务进行监控的监控软件。它支持多种协议，能够准确的记录故障，并且具有丰富的统计报告和及时的告警机制，可以为用户提供站点的可用率、使用效率和吞吐率等指标的监测。

电力调控云是面向电网调度运行的企业私有云，不同于公共服务云和一般性的管理云，它具有网络互联专用、用户和虚拟机环境相对确定，各项业务均使用内网或内部服务(端口私有)，网络报文处理均使用自主程序的特点。但大部分是针对云计算厂商的公有云进行监控，目前并没有针对包括企业管理云、公共服务云以及生产控制云的电力云的安全监控方法和系统，而如果电力调控云受到攻击，可能会导致国网公司的敏感数据或敏感应用等信息被窃取或删除，会给国网公司带来不良的影响。

发明内容

本发明所要解决的技术问题是克服现有技术没有针对电力云(又称电力调控云)的安全监控方法和系统的缺陷，提供一种基于电力云的安全监控方法及监控系统。

为解决上述技术问题，本发明采用以下技术方案：

在一方面，本发明提供一种基于电力云的安全监控方法，所述电力云包括多台服务器，其中一台服务器作为云平台的控制节点，多台服务器作为云平台的计算节点，云平台的多个服务器之间构成分布式结构，其特征是，所述安全监控方法包括以下步骤：

分别采集宿主机、虚拟机以及云平台管理软件的信息；

对采集的信息数据格式和类型进行归一化管理；

对归一化后的信息数据进行安全事件分级和威胁分析，实现异常安全事件检测；

通过匹配异常检测规则库，周期性调用异常监测引擎，对异常安全事件进行告警和数据存储。

进一步地，通过在宿主机的操作系统上部署安全服务代理程序采集主机的信息。

进一步地，采集宿主机的信息的具体方式如下：

通过系统日志捕获操作系统内核动态信息；

调用系统提供的标准人机命令并读取预先选定的信息；

采用轮询方式，查询系统关键资源使用状态信息。

优选地，通过在虚拟机中部署Agent，采用与物理机相同的方式来采集虚拟机的信息。

优选地，通过调用Libvirt API实现虚拟机信息的获取。

进一步地，通过调用Libvirt API采集虚拟机信息的具体方式是：首先打开一个与虚拟机管理器VMM的连接conn；其次获得node计算节点中虚拟机实例的domain；然后调用相应的函数来获取虚拟机监控数据；最后关闭连接。

进一步地，通过监控Open Stack中的Ceilometer组件实现云平台管理软件的信息采集，采集虚拟机全生命周期运行关键事件，包括虚拟机的创建、销毁、迁移以及添加删除接口信息。

优选地，采集宿主机的信息包括宿主机运行状态、进程监视以及网络监视信息；采集虚拟机的信息包括：虚拟机状态运行信息、操作系统信息以及会话连接信息。

在另一方面，本发明提供一种基于电力云的安全监控系统，所述电力云包括多台服务器，其中一台服务器作为云平台的控制节点，多台服务器作为云平台的计算节点，云平台的多个服务器之间构成分布式结构，其特征是，所述安全监控系统包括：

信息采集模块、数据处理模块、数据分析模块以及告警和存储模块；

所述信息采集模块，用于分别采集宿主机、虚拟机、云平台管理软件的信息；

所述数据处理模块，用于对信息采集模块采集的信息数据格式和类型进行归一化管理；

所述数据分析模块，用于对归一化后的信息进行安全事件分级和威胁分析，实现异常安全事件检测；

所述告警和存储模块，用于通过匹配异常检测规则库，周期性调用异常监测引擎，对异常安全事件进行告警和数据存储。

进一步地，所述数据分析模块包括：运行分析模块、安全报表模块、对比分析模块；

所述运行分析模块包括：依据云平台运行告警、宿主机和虚拟机离线、网络流量等情况进行告警数量、主机离线情况、网络流量情况统计分析的运行指标分析模块，针对主机类型、告警类型进行统计分析的运行统计分析模块以及对主机类型、告警类型进行告警、离线、网络流量趋势分析的运行趋势分析模块；

所述安全报表模块，用于使用报表工具，生成用户所需的各种安全运行报表；

所述对比分析模块，用于用户定义的对比安全指标、对比类型，生成自定义安全对比，并在对比界面展示。

本发明所达到的有益效果：

1.本发明通过对电力调控云宿主机、虚拟机和管理软件的运行信息分析发现安全隐患，在此基础上，建立核查、监视、分析、告警的网络安全综合管控机制，形成一套完整的电力调控云安全监控系统，来保障调控云的安全运行；

2.本发明通过对宿主机运行状态、关键进程、网络状态等信息的监控，实现宿主机运行异常、非法进程、网络异常等安全事件的实时告警；通过对虚拟机操作系统、会话连接等信息的监控，实现虚拟机操作系统异常、非法访问等安全事件的实时告警；通过对云平台运行状态、虚拟机操作等信息的监控，实现对管理主机异常、云平台状态异常、虚拟机全生命周期安全事件的实时告警。

附图说明

图1是本发明具体实施例总体安全监控方法设计示意图；

图2是本发明具体实施例操作系统安全服务代理程序整体架构示意图；

图3是本发明具体实施例虚拟机监控数据采集流程图；

图4是本发明具体实施例系统功能框架示意图。

具体实施方式

下面结合附图对本发明作进一步描述。以下实施例仅用于更加清楚地说明本发明的技术方案，而不能以此来限制本发明的保护范围。

实施例：一种基于电力云的安全监控方法，如图1所示，图1是本发明具体实施例系统总体设计结构示意图：调控云平台在部署过程中，一台服务器作为云平台的控制节点，多台服务器作为云平台的计算节点，云平台的多个服务器之间构成一种分布式的结构。

云安全监控系统主要通过相应的信息采集模块采集宿主机、虚拟机、云平台的安全事件信息；

然后通过安全事件数据处理模块对数据格式和类型进行归一化管理；

再通过数据实时分析模块完成安全事件分级和威胁分析；

最后通过告警和存储模块完成安全事件的告警和数据的存储。系统总体设计架构如图1所示。

以上实施例中，通过安全事件数据处理模块对数据格式和类型进行归一化管理包括：a)对采集到的信息进行格式化处理；

b)对日志信息进行分析处理，提取出需要的事件信息(如用户添加事件)；

c)以分钟级为统计间隔，对重复出现的事件进行归并处理；

d)根据参数配置，对采集到的事件进行分析处理，形成新的事件。例如针对CPU利用率，如果采集到的CPU利用率为90％，超过了当前设定的阈值80％，则分析产生CPU利用率越限事件；

e)处理完成后，形成统一格式的数据发送至存储模块和数据分析模块。

宿主机信息采集内容主要包括运行状态、进程监视、网络监视等信息，采集信息包括用户登录、外设使用、资源使用率、权限变更、端口监听、网卡流量、等信息。具体的宿主机安全事件信息中的运行状态信息具体包括：链路和操作信息，CPU、内存、硬盘利用率，电源模块、主板、风扇温度状态以及USB设备插拔运行状态；进程监视信息包括：僵尸进程数、未释放的TCP连接数，非法链路、非法操作告警，用户权限变更以及关键目录文件变更；所述网络监视信息包括网络端口监听信息以及网卡、主机外网连接状态。以上除了CPU、内存、硬盘利用率、僵尸进程数、未释放的TCP连接数和网络端口监听信息采集频率为周期采集，采集周期可配置，其它信息采集可以为事件触发。所采集的信息用于行为监视、设备监视或者安全告警。

虚拟机信息采集内容主要包括运行信息、操作系统、会话连接等信息，具体采集信息包括：运行信息包括CPU使用率、内存使用率等信息；操作系统包括操作系统日志、用户危险操作等信息；会话连接包括网卡状态TCP连接数等信息。

云平台管理软件信息采集主要包括运行状态和虚拟机操作信息，运行状态包括云管理软件计算、网络、存储、镜像服务等信息；虚拟机操作主要包括虚拟机创建、销毁、迁移、添加删除接口等信息

实施例2：在以上实施例的基础上，在具体实施例中，宿主机的安全事件即宿主机的信息采集通过在操作系统上部署安全服务代理程序读取主机硬件配置、系统运行状态、用户登录/退出、外网连接监视、硬件异常监视等信息，

方式如下：通过系统日志捕获操作系统内核动态信息；调用系统提供的标准人机命令并读取相关信息；采用轮询方式，查询系统关键资源使用状态信息。

上述方式不改变操作系统源码，保证了操作系统源码的安全性和完整性。操作系统通过内核层感知发生的所有事件，感知模块通过操作系统标准接口(包括但不限于sysfs、procfs、hotplug等接口技术)，捕获特定的安全事件如设备接入、用户操作、重要目录变更、权限变更等信息并转发到信息采集模块。安全服务代理程序主要实现对宿主机操作系统信息采集功能，对宿主机操作系统重要事件的监视功能，对主机操作系统的安全核查功能，核查完成后将核查结果上报至信息采集模块。

宿主机设备采集由宿主机操作系统负责数据收集并通过消息总线进行发送，云安全监控系统通过消息总线获取宿主机采集信息，操作系统安全服务代理程序整体架构如图2所示。

子进程1：通过UDP套接字接收登录成功/退出/操作/回显/登录失败等信息，维护SSH/X11/本地活跃信息链表，发送到平台。

子进程2：获取系统配置及运行状态信息，通过消息总线发送到平台。

子进程3：监测USB设备拔插事件，通过消息总线发送到平台。

子进程4：监测光驱使用情况，通过消息总线发送到平台。

子进程5：创建多线程，监测串口/网卡链路/外网访问/重要目录修改等信息，通过消息总线发送到平台。

目前，虚拟机信息的采集方式有两种，一种方式是在虚拟机中部署Agent，采用与物理机相同的方式来采集数据；另一种方式是通过Libvirt来获取虚拟机的数据，由于Libvirt是Hypervisor的统一接口，而Hypervisor负责管理虚拟机，所以通过调用可以获得准确的虚拟机相关数据。

与此同时，由于对Libvirt的调用是部署在物理操作系统中的，所以这种方式降低了监控系统对虚拟机性能的影响，提高了用户的体验。

虚拟机信息采集通过调用Libvirt API实现虚拟机监控数据的获取，Libvirt是一个能够对虚拟机、虚拟网络和虚拟存储进行管理的开源的应用程序接口、守护进程和管理工具。它使用一个守护进程完成管理工作，同时提供了一套API供用户或其他工具对各种不同形式的虚拟机进行管理。调控云平台采用Libvirt来对各个虚拟机进行管理，因此，可通过Libvirt API来获取各个虚拟机的监控状态信息数据。

如图4所示，通过调用Libvirt API采集虚拟机监控数据时，

首先打开一个与VMM(虚拟机管理器)的连接(conn)；其次获得node(计算节点)中虚拟机实例的domain；然后调用相应的函数来获取虚拟机监控数据；最后关闭连接。

云管理软件的信息采集主要通过监控Open Stack中的Ceilometer组件实现，重点关注虚拟机全生命周期运行关键事件，包括虚拟机的创建、销毁、迁移、添加删除接口等信息，Celiometer是OpenStack的计量与监控组件，用来获取和保存计量与监控的各种测量值，并根据测量值进行报警。OpenStack提供开放源码软件，建立公共和私有云，它提供了一个部署云的操作平台或工具集，其宗旨在于：帮助组织运行为虚拟计算或存储服务的云，为公有云、私有云，也为大云、小云提供可扩展的、灵活的云计算。

同时，这些保存下来的测量值也可以被第三方系统获取，用来做更进一步的分析、处理或展示。

实施3：一种基于电力云的安全监控系统，如图4所示，所述电力云包括多台服务器，其中一台服务器作为云平台的控制节点，多台服务器作为云平台的计算节点，云平台的多个服务器之间构成分布式结构，其特征是，所述安全监控系统包括：

信息采集模块、数据处理模块、数据分析模块以及告警和存储模块；

所述信息采集模块，用于分贝采集宿主机、虚拟机、云平台管理软件的信息；

所述数据处理模块，用于对信息采集模块采集的信息数据格式和类型进行归一化管理；

所述数据分析模块，用于对归一化后的信息进行安全事件分级和威胁分析，实现异常安全事件检测；

所述告警和存储模块，用于通过匹配异常检测规则库，周期性调用异常监测引擎，对异常安全事件进行告警和数据存储。

数据分析模块需要通过对调控云安全事件与告警数据进行不同维度的分析与挖掘，提供多视角、多层次的分析结果，展示调控云安全运行情况。在以上实施例基础上，数据分析模块包括运行分析模块、安全报表模块以及对比分析指标分析模块；

运行分析模块主要从统计的角度分析平台运行的告警数、资产数及在线率等相关指标。运行分析模块主要包括运行指标分析模块、运行统计分析模块、运行趋势分析模块功能。

运行指标分析模块依据云平台运行告警、宿主机和虚拟机离线、网络流量等情况进行告警数量、主机离线情况、网络流量情况统计分析；

运行统计分析模块针对主机类型、告警类型等进行统计分析；

运行趋势分析模块针对主机类型、告警类型等进行告警、离线、网络流量趋势分析。

安全报表模块使用报表工具，生成用户所需的各种安全运行报表。通过数据统计、图形展示、表格展示等多种数据展示手段，按照用户指定的格式，生成日报、月报、年报及自定义时间段的统计报表，并提供导出功能。

对比分析模块根据用户自己的关注点，自定义生成个性化对比界面。针对用户定义的对比安全指标、对比类型，生成自定义安全对比。对比分析模块支持图形展示和表格展示，并能够查询和导出。

告警和存储模块，用于遵循《GB/T 31992-2015电力系统通用告警格式》，设计实时告警、历史告警功能。

实时告警针对管理平台的告警情况，提供告警提示窗、告警悬浮窗、告警轮播等多种方式实时展示告警情况；安全事件告警规则依据数据的源IP、源端口、目的IP和目的端口进行分析，通过建立异常检测规则库，周期性的调用异常检测引擎，进行规则匹配。规则库的字段包括节点信息、安全告警发生次数、发生时间、告警内容、是否解决、解决方法等信息。安全事件告警设计筛选、搜索、内容检索和排序功能。

本发明提供的基于电力云的安全监控方法和系统系统，实现了对国网调控云平台宿主机、虚拟机等资源进行实时安全监控，及时发现安全隐患并告警。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变形，这些改进和变形也应视为本发明的保护范围。

Claims (10)

1.一种基于电力云的安全监控方法，所述电力云包括多台服务器，其中一台服务器作为云平台的控制节点，多台服务器作为云平台的计算节点，云平台的多个服务器之间构成分布式结构，其特征是，所述安全监控方法包括以下步骤：

分别采集宿主机、虚拟机以及云平台管理软件的信息；

对采集的信息数据格式和类型进行归一化管理；

对归一化后的信息数据进行安全事件分级和威胁分析，实现异常安全事件检测；

通过匹配异常检测规则库，周期性调用异常监测引擎，对异常安全事件进行告警和数据存储。

2.根据权利要求1所述的一种基于电力云的安全监控方法，其特征是，通过在宿主机的操作系统上部署安全服务代理程序采集宿主机的信息。

3.根据权利要求2所述的一种基于电力云的安全监控方法，其特征是，采集宿主机信息的具体方式如下：

通过系统日志捕获操作系统内核动态信息；

调用系统提供的标准人机命令并读取预先选定的信息；

采用轮询方式，查询系统关键资源使用状态信息。

4.根据权利要求1所述的一种基于电力云的安全监控方法，其特征是，通过在虚拟机中部署Agent，采用与物理机相同的方式来采集虚拟机的信息。

5.根据权利要求1所述的一种基于电力云的安全监控方法，其特征是，通过调用Libvirt API实现虚拟机信息的获取。

6.根据权利要求5所述的一种基于电力云的安全监控方法，其特征是，通过调用Libvirt API采集虚拟机信息的具体方式是：首先打开一个与虚拟机管理器VMM的连接conn；其次获得node计算节点中虚拟机实例的domain；然后调用相应的函数来获取虚拟机监控数据；最后关闭连接。

7.根据权利要求1所述的一种基于电力云的安全监控方法，其特征是，通过监控OpenStack中的Ceilometer组件实现云平台管理软件的信息采集，采集虚拟机全生命周期运行关键事件，包括虚拟机的创建、销毁、迁移以及添加删除接口信息。

8.根据权利要求1所述的一种基于电力云的安全监控方法，其特征是，采集宿主机的信息包括宿主机运行状态、进程监视以及网络监视信息；采集虚拟机的信息包括：虚拟机状态运行信息、操作系统信息以及会话连接信息。

9.一种基于电力云的安全监控系统，所述电力云包括多台服务器，其中一台服务器作为云平台的控制节点，多台服务器作为云平台的计算节点，云平台的多个服务器之间构成分布式结构，其特征是，所述安全监控系统包括：

信息采集模块、数据处理模块、数据分析模块以及告警和存储模块；

所述信息采集模块，用于分别采集宿主机、虚拟机、云平台管理软件的信息；

所述数据处理模块，用于对信息采集模块采集的信息数据格式和类型进行归一化管理；

所述数据分析模块，用于对归一化后的信息进行安全事件分级和威胁分析，实现异常安全事件检测；

所述告警和存储模块，用于通过匹配异常检测规则库，周期性调用异常监测引擎，对异常安全事件进行告警和数据存储。

10.根据权利要求9所述的一种基于电力云的安全监控方法，其特征是，所述数据分析模块包括：运行分析模块、安全报表模块、对比分析模块；

所述运行分析模块包括：依据云平台运行告警、宿主机和虚拟机离线、网络流量等情况进行告警数量、主机离线情况、网络流量情况统计分析的运行指标分析模块，针对主机类型、告警类型进行统计分析的运行统计分析模块以及对主机类型、告警类型进行告警、离线、网络流量趋势分析的运行趋势分析模块；

所述安全报表模块，用于使用报表工具，生成用户所需的各种安全运行报表；

所述对比分析模块，用于用户定义的对比安全指标、对比类型，生成自定义安全对比，并在对比界面展示。