CN110474913A - 一种云环境下的虚拟化防护方法及终端 - Google Patents

Abstract

本发明公开一种云环境下的虚拟化防护方法及终端，在云环境下划分出多个虚拟安全域；预设各个虚拟机的安全等级，将具有相同安全等级并且具有相同安全需求的虚拟机归入同一个虚拟安全域；对同一个虚拟安全域内的各个虚拟机配置相同的安全访问控制策略；实现在云计算环境下虚拟安全域的有效划分，把相同安全等级、相同安全需求的虚拟机归入同一个虚拟安全域，可以对虚拟安全域的网络访问进行控制，虚拟安全域内的每个虚拟机都采用相同的安全访问控制策略，实现在虚拟化环境下的安全分域管理，在虚拟化层面对网络流量进行监控与防护，确保虚拟机安全，构建统一的云安全防护平台，实现云计算平台信息安全防护的集中管控，提高云环境下虚拟机的安全性。

Description

一种云环境下的虚拟化防护方法及终端

技术领域

本发明涉及虚拟机安全领域，尤其涉及一种云环境下的虚拟化防护方法及终端。

背景技术

云计算具有共享性、灵活性、高效性的特点，其有很强的扩展性和需要性，能够将很多计算机资源协调在一起，使用户通过网络就可以获取到无限的资源，同时获取的资源不受时间和空间的限制，因此，云计算广泛地被应用于人们的生活中，已经融入到现今的社会生活。

但是，安全性一直是云计算的一个主要问题，云计算下虚拟机的安全得不到保证，虚拟机自身的脆弱性及漏洞使得可通过篡改、拷贝、删除和修改配置数据或其他数据的方式以达到对虚拟机进行入侵的目的，或者存在入侵一台虚拟机进而对其他虚拟机虚脱发动攻击的情况，同时不同虚拟机之间的流量也无法得到有效的监控和防护，并且传统的安全硬件设备已逐渐不能满足云计算环境下的安全防护要求。

发明内容

本发明所要解决的技术问题是：提供一种云环境下的虚拟化防护方法及系统，能够提高云环境下虚拟机的安全性。

为了解决上述技术问题，本发明采用的一种技术方案为：

一种云环境下的虚拟化防护方法，包括步骤：

S1、在所述云环境下划分出多个虚拟安全域；

S2、预设各个虚拟机的安全等级，将具有相同安全等级并且具有相同安全需求的虚拟机归入同一个虚拟安全域；

S3、对同一个虚拟安全域内的各个虚拟机配置相同的安全访问控制策略。

为了解决上述技术问题，本发明采用的另一种技术方案为：

一种云环境下的虚拟化防护终端，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现以下步骤：

S1、在所述云环境下划分出多个虚拟安全域；

S2、预设各个虚拟机的安全等级，将具有相同安全等级并且具有相同安全需求的虚拟机归入同一个虚拟安全域；

S3、对同一个虚拟安全域内的各个虚拟机配置相同的安全访问控制策略。

本发明的有益效果在于：在云环境下划分出多个虚拟安全域，将具有相同安全等级并且具有相同安全需求的虚拟机归入同一个虚拟安全域，对同一个虚拟安全域内的各个虚拟机配置相同的安全访问控制策略，实现在云计算环境下虚拟安全域的有效划分，把相同安全等级、相同安全需求的虚拟机归入同一个虚拟安全域，可以对虚拟安全域的网络访问进行控制，虚拟安全域内的每个虚拟机都采用相同的安全访问控制策略，实现在虚拟化环境下的安全分域管理，在虚拟化层面对网络流量进行监控与防护，确保虚拟机安全，构建统一的云安全防护平台，实现云计算平台信息安全防护的集中管控，提高云环境下虚拟机的安全性。

附图说明

图1为本发明实施例的一种云环境下的虚拟化防护方法的步骤流程图；

图2为本发明实施例的一种云环境下的虚拟化防护终端的结构示意图；

标号说明：

1、一种云环境下的虚拟化防护终端；2、存储器；3、处理器。

具体实施方式

为详细说明本发明的技术内容、所实现目的及效果，以下结合实施方式并配合附图予以说明。

请参照图1，一种云环境下的虚拟化防护方法，包括步骤：

S1、在所述云环境下划分出多个虚拟安全域；

S2、预设各个虚拟机的安全等级，将具有相同安全等级并且具有相同安全需求的虚拟机归入同一个虚拟安全域；

S3、对同一个虚拟安全域内的各个虚拟机配置相同的安全访问控制策略。

从上述描述可知，本发明的有益效果在于：在云环境下划分出多个虚拟安全域，将具有相同安全等级并且具有相同安全需求的虚拟机归入同一个虚拟安全域，对同一个虚拟安全域内的各个虚拟机配置相同的安全访问控制策略，实现在云计算环境下虚拟安全域的有效划分，把相同安全等级、相同安全需求的虚拟机归入同一个虚拟安全域，可以对虚拟安全域的网络访问进行控制，虚拟安全域内的每个虚拟机都采用相同的安全访问控制策略，实现在虚拟化环境下的安全分域管理，在虚拟化层面对网络流量进行监控与防护，确保虚拟机安全，构建统一的云安全防护平台，实现云计算平台信息安全防护的集中管控，提高云环境下虚拟机的安全性。

进一步的，所述步骤S3之后还包括步骤：

S4、接收客户端发送的资源访问请求，所述资源访问请求中包含所述资源所在的虚拟机及对应的虚拟安全域；

S5、判断所述资源访问请求中的虚拟机是否在对应的虚拟安全域，并且所述对应的虚拟安全域中是否保存有所述客户端要访问的资源，若是，则将所述客户端要访问的资源反馈给所述客户端，否则，向所述客户端发送当前无可访问的资源的反馈信息。

由上述描述可知，当客户端请求访问资源时，只有其请求访问的资源所在虚拟机在对应的虚拟安全域中，并且请求访问的资源在对应的虚拟安全域中，才会将客户端要访问的资源反馈给所述客户端，由此保证了虚拟环境中资源访问的安全性。

进一步的，还包括虚拟防火墙和虚拟网络对象；

通过所述虚拟机、虚拟防火墙和虚拟网络对象对所述虚拟机所处的虚拟安全域进行实时侦测。

由上述描述可知，通过虚拟机、虚拟防火墙和虚拟网络对象对所述虚拟机所处的虚拟安全域进行实时侦测，能够对虚拟安全域进行全方位地监测，进一步保证安全性。

进一步的，当虚拟网络对象检测到不同虚拟安全域之间的网络访问异常或者所述虚拟防火墙拦截到异常访问时，向对应的客户端发送访问异常的提示信息。

由上述描述可知，通过虚拟网络对象或虚拟防火墙对异常访问进行实时监控并反馈，能够让用户及时获知异常访问。

进一步的，其特征在于，所述步骤S2之后还包括：

保存虚拟机的资源与其对应的虚拟安全域之间的关联关系，并保存至虚拟安全域关系列表中；

所述否则，向所述客户端发送当前无可访问的资源的反馈信息包括：

否则，判断是否是资源的虚拟安全域信息发生改变，若是，则在所述虚拟安全域关系列表中确定与所述资源位于同一虚拟安全域的虚拟机，并向所述客户端发送重新建立资源访问请求的通知信息，所述通知信息包括所述资源改变后的虚拟机及对应的虚拟安全域；

否则，向所述客户端发送当前无可访问的资源的反馈信息。

由上述描述可知，通过虚拟安全域关系列表的建立，以便及时对资源的变动进行保存，当判断资源的虚拟安全域信息发生改变时，能够从所述虚拟安全域关系列表中确定所述资源改变后的虚拟机及其对应的虚拟安全域，并通知客户端根据改变后的资源对应关系进行重新建立资源访问请求，既保证了客户端获取资源的安全性，也保证客户端获取资源的可靠性。

请参照图2，一种云环境下的虚拟化防护终端，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现以下步骤：

S1、在所述云环境下划分出多个虚拟安全域；

S2、预设各个虚拟机的安全等级，将具有相同安全等级并且具有相同安全需求的虚拟机归入同一个虚拟安全域；

S3、对同一个虚拟安全域内的各个虚拟机配置相同的安全访问控制策略。

从上述描述可知，本发明的有益效果在于：在云环境下划分出多个虚拟安全域，将具有相同安全等级并且具有相同安全需求的虚拟机归入同一个虚拟安全域，对同一个虚拟安全域内的各个虚拟机配置相同的安全访问控制策略，实现在云计算环境下虚拟安全域的有效划分，把相同安全等级、相同安全需求的虚拟机归入同一个虚拟安全域，可以对虚拟安全域的网络访问进行控制，虚拟安全域内的每个虚拟机都采用相同的安全访问控制策略，实现在虚拟化环境下的安全分域管理，在虚拟化层面对网络流量进行监控与防护，确保虚拟机安全，构建统一的云安全防护平台，实现云计算平台信息安全防护的集中管控，提高云环境下虚拟机的安全性。

进一步的，所述步骤S3之后还包括步骤：

S4、接收客户端发送的资源访问请求，所述资源访问请求中包含所述资源所在的虚拟机及对应的虚拟安全域；

S5、判断所述资源访问请求中的虚拟机是否在对应的虚拟安全域，并且所述对应的虚拟安全域中是否保存有所述客户端要访问的资源，若是，则将所述客户端要访问的资源反馈给所述客户端，否则，向所述客户端发送当前无可访问的资源的反馈信息。

由上述描述可知，当客户端请求访问资源时，只有其请求访问的资源所在虚拟机在对应的虚拟安全域中，并且请求访问的资源在对应的虚拟安全域中，才会将客户端要访问的资源反馈给所述客户端，由此保证了虚拟环境中资源访问的安全性。

进一步的，还包括虚拟防火墙和虚拟网络对象；

通过所述虚拟机、虚拟防火墙和虚拟网络对象对所述虚拟机所处的虚拟安全域进行实时侦测。

由上述描述可知，通过虚拟机、虚拟防火墙和虚拟网络对象对所述虚拟机所处的虚拟安全域进行实时侦测，能够对虚拟安全域进行全方位地监测，进一步保证安全性。

进一步的，当虚拟网络对象检测到不同虚拟安全域之间的网络访问异常或者所述虚拟防火墙拦截到异常访问时，向对应的客户端发送访问异常的提示信息。

由上述描述可知，通过虚拟网络对象或虚拟防火墙对异常访问进行实时监控并反馈，能够让用户及时获知异常访问。

进一步的，其特征在于，所述步骤S2之后还包括：

保存虚拟机的资源与其对应的虚拟安全域之间的关联关系，并保存至虚拟安全域关系列表中；

所述否则，向所述客户端发送当前无可访问的资源的反馈信息包括：

否则，判断是否是资源的虚拟安全域信息发生改变，若是，则在所述虚拟安全域关系列表中确定与所述资源位于同一虚拟安全域的虚拟机，并向所述客户端发送重新建立资源访问请求的通知信息，所述通知信息包括所述资源改变后的虚拟机及对应的虚拟安全域；

否则，向所述客户端发送当前无可访问的资源的反馈信息。

由上述描述可知，通过虚拟安全域关系列表的建立，以便及时对资源的变动进行保存，当判断资源的虚拟安全域信息发生改变时，能够从所述虚拟安全域关系列表中确定所述资源改变后的虚拟机及其对应的虚拟安全域，并通知客户端根据改变后的资源对应关系进行重新建立资源访问请求，既保证了客户端获取资源的安全性，也保证客户端获取资源的可靠性。

实施例一

请参照图1，一种云环境下的虚拟化防护方法，包括步骤：

S1、在所述云环境下划分出多个虚拟安全域；

S2、预设各个虚拟机的安全等级，将具有相同安全等级并且具有相同安全需求的虚拟机归入同一个虚拟安全域；

S3、对同一个虚拟安全域内的各个虚拟机配置相同的安全访问控制策略；

S4、接收客户端发送的资源访问请求，所述资源访问请求中包含所述资源所在的虚拟机及对应的虚拟安全域；

S5、判断所述资源访问请求中的虚拟机是否在对应的虚拟安全域，并且所述对应的虚拟安全域中是否保存有所述客户端要访问的资源，若是，则将所述客户端要访问的资源反馈给所述客户端，否则，向所述客户端发送当前无可访问的资源的反馈信息；

还包括虚拟防火墙和虚拟网络对象；

其中，虚拟机指的是通过软件模拟的具有完整硬件系统功能的、运行在一个完全隔离环境中的完整计算机系统；

虚拟防火墙负责安全访问控制策略的具体实施，对各个虚拟安全域之间的安全进行防护和访问控制，同时，监控和限制各个虚拟安全域之间的流量；

虚拟网络对象包括安全访问控制策略中时间表、服务、应用程序、扫描方式的集合；

通过所述虚拟机、虚拟防火墙和虚拟网络对象对所述虚拟机所处的虚拟安全域进行实时侦测；

当虚拟网络对象检测到不同虚拟安全域之间的网络访问异常或者所述虚拟防火墙拦截到异常访问时，向对应的客户端发送访问异常的提示信息，由所述客户端显示信息以提示用户；

所述步骤S2之后还包括：

保存虚拟机的资源与其对应的虚拟安全域之间的关联关系，并保存至虚拟安全域关系列表中；

所述虚拟安全域关系列表中保存了各个资源对应保存的虚拟机以及虚拟机所在的虚拟安全域；

所述否则，向所述客户端发送当前无可访问的资源的反馈信息包括：

否则，判断是否是资源的虚拟安全域信息发生改变，若是，则在所述虚拟安全域关系列表中确定与所述资源位于同一虚拟安全域的虚拟机，并向所述客户端发送重新建立资源访问请求的通知信息，所述通知信息包括所述资源改变后的虚拟机及对应的虚拟安全域，这样客户端能够根据所述资源改变后的虚拟机及对应的虚拟安全域重新建立数据内容的访问连接以获取所述资源；

否则，向所述客户端发送当前无可访问的资源的反馈信息；

其中，还包括基于内容的统一智能安全网关，管理虚拟机及虚拟机间的网络配置、数据加密和特定访问策略的制定等；

上述反馈信息、通知信息、提示信息等的发送可以通过一通信单元来执行，通信单元用于响应客户端的调用，按照接收到的标识信息将获取到的信息以浏览视图的形式发送至匹配的客户端及服务器；

当所述客户端接收到所述浏览视图时显示所述浏览视图，并响应用户操作对所述数据内容进行相应的操作。

实施例二

请参照图2，一种云环境下的虚拟化防护终端1，包括存储器2、处理器3及存储在所述存储器2上并可在所述处理器3上运行的计算机程序，所述处理器3执行所述计算机程序时实现实施例一中的各个步骤。

综上所述，本发明提供的一种云环境下的虚拟化防护方法及终端，在云环境下划分出多个虚拟安全域，将具有相同安全等级并且具有相同安全需求的虚拟机归入同一个虚拟安全域，对同一个虚拟安全域内的各个虚拟机配置相同的安全访问控制策略，并通过虚拟机、虚拟防火墙和虚拟网络对象对所述虚拟机所处的虚拟安全域进行实时侦测，当监测到异常访问时，进行及时通知，并能够对资源所处的虚拟机及对应的虚拟安全域进行动态改变并配置，实现在云计算环境下虚拟安全域的有效划分，把相同安全等级、相同安全需求的虚拟机归入同一个虚拟安全域，可以对虚拟安全域的网络访问进行控制，虚拟安全域内的每个虚拟机都采用相同的安全访问控制策略，实现在虚拟化环境下的安全分域管理，在虚拟化层面对网络流量进行监控与防护，确保虚拟机安全，构建统一的云安全防护平台，实现云计算平台信息安全防护的集中管控，利用虚拟化技术将安全设备进行融合，实现安全设备功能、接口、技术路线的统一化和硬件设备软件化，实现适应云计算动态化环境下的安全策略的动态配置，对云环境下的各个虚拟机进行基于虚拟安全域的划分、管控以及防护，保障云环境下业务系统安全，提高云环境下虚拟机的安全性。

以上所述仅为本发明的实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等同变换，或直接或间接运用在相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (10)

1.一种云环境下的虚拟化防护方法，其特征在于，包括步骤：

S1、在所述云环境下划分出多个虚拟安全域；

S2、预设各个虚拟机的安全等级，将具有相同安全等级并且具有相同安全需求的虚拟机归入同一个虚拟安全域；

S3、对同一个虚拟安全域内的各个虚拟机配置相同的安全访问控制策略。

2.根据权利要求1所述的一种云环境下的虚拟化防护方法，其特征在于，所述步骤S3之后还包括步骤：

S4、接收客户端发送的资源访问请求，所述资源访问请求中包含所述资源所在的虚拟机及对应的虚拟安全域；

S5、判断所述资源访问请求中的虚拟机是否在对应的虚拟安全域，并且所述对应的虚拟安全域中是否保存有所述客户端要访问的资源，若是，则将所述客户端要访问的资源反馈给所述客户端，否则，向所述客户端发送当前无可访问的资源的反馈信息。

3.根据权利要求1所述的一种云环境下的虚拟化防护方法，其特征在于，还包括虚拟防火墙和虚拟网络对象；

通过所述虚拟机、虚拟防火墙和虚拟网络对象对所述虚拟机所处的虚拟安全域进行实时侦测。

4.根据权利要求3所述的一种云环境下的虚拟化防护方法，其特征在于，当虚拟网络对象检测到不同虚拟安全域之间的网络访问异常或者所述虚拟防火墙拦截到异常访问时，向对应的客户端发送访问异常的提示信息。

5.根据权利要求2所述的一种云环境下的虚拟化防护方法，其特征在于，所述步骤S2之后还包括：

保存虚拟机的资源与其对应的虚拟安全域之间的关联关系，并保存至虚拟安全域关系列表中；

所述否则，向所述客户端发送当前无可访问的资源的反馈信息包括：

否则，判断是否是资源的虚拟安全域信息发生改变，若是，则在所述虚拟安全域关系列表中确定与所述资源位于同一虚拟安全域的虚拟机，并向所述客户端发送重新建立资源访问请求的通知信息，所述通知信息包括所述资源改变后的虚拟机及对应的虚拟安全域；

否则，向所述客户端发送当前无可访问的资源的反馈信息。

6.一种云环境下的虚拟化防护终端，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现以下步骤：

S1、在所述云环境下划分出多个虚拟安全域；

S2、预设各个虚拟机的安全等级，将具有相同安全等级并且具有相同安全需求的虚拟机归入同一个虚拟安全域；

S3、对同一个虚拟安全域内的各个虚拟机配置相同的安全访问控制策略。

7.根据权利要求6所述的一种云环境下的虚拟化防护终端，其特征在于，所述步骤S3之后还包括步骤：

S4、接收客户端发送的资源访问请求，所述资源访问请求中包含所述资源所在的虚拟机及对应的虚拟安全域；

S5、判断所述资源访问请求中的虚拟机是否在对应的虚拟安全域，并且所述对应的虚拟安全域中是否保存有所述客户端要访问的资源，若是，则将所述客户端要访问的资源反馈给所述客户端，否则，向所述客户端发送当前无可访问的资源的反馈信息。

8.根据权利要求6所述的一种云环境下的虚拟化防护终端，其特征在于，还包括虚拟防火墙和虚拟网络对象；

通过所述虚拟机、虚拟防火墙和虚拟网络对象对所述虚拟机所处的虚拟安全域进行实时侦测。

9.根据权利要求8所述的一种云环境下的虚拟化防护终端，其特征在于，当虚拟网络对象检测到不同虚拟安全域之间的网络访问异常或者所述虚拟防火墙拦截到异常访问时，向对应的客户端发送访问异常的提示信息。

10.根据权利要求7所述的一种云环境下的虚拟化防护终端，其特征在于，所述步骤S2之后还包括：

保存虚拟机的资源与其对应的虚拟安全域之间的关联关系，并保存至虚拟安全域关系列表中；

所述否则，向所述客户端发送当前无可访问的资源的反馈信息包括：

否则，判断是否是资源的虚拟安全域信息发生改变，若是，则在所述虚拟安全域关系列表中确定与所述资源位于同一虚拟安全域的虚拟机，并向所述客户端发送重新建立资源访问请求的通知信息，所述通知信息包括所述资源改变后的虚拟机及对应的虚拟安全域；

否则，向所述客户端发送当前无可访问的资源的反馈信息。