CN110868371B - 安全策略的处理方法、系统、云管理平台和子网管理装置 - Google Patents

Abstract

本公开涉及一种安全策略的处理方法、系统、云管理平台和子网管理装置，涉及网络安全技术领域。该方法包括：响应于对应用的承载单元进行动态部署或弹性伸缩，设置在云网络端的云管理平台根据动态部署的策略或弹性伸缩的策略生成相应的安全策略；云管理平台根据安全策略生成部署方案；云管理平台根据部署方案，将安全策略和部署方案下发到承载单元所在的子网的网关，以便子网的网关根据部署方案将安全策略分配到承载单元上执行。本公开的技术方案能够降低成本、提高运行效率。

Description

安全策略的处理方法、系统、云管理平台和子网管理装置

技术领域

本公开涉及网络安全技术领域，特别涉及一种安全策略的处理方法、安全策略的处理装置、安全策略的处理系统、云管理平台和子网管理装置。

背景技术

云计算能够为用户提供更为安全、快捷的计算机服务。但是，云计算也带来了很多安全方面的问题，对用户和计算机体系带来危害。

在相关技术中，将传统的安全方案的虚拟化后直接应用到云计算环境，例如，在子网入口处通过IT人员或安全工程师对安全策略进行人工转译和分配。

发明内容

本公开的发明人发现上述相关技术中存在如下问题：需要人为干预，导致人工成本高；子网入口处规则膨胀，导致运行效率低。

鉴于此，本公开提出了一种安全策略的处理技术方案，能够降低成本、提高运行效率。

根据本公开的一些实施例，提供了一种安全策略的处理方法，包括：响应于对应用的承载单元进行动态部署或弹性伸缩，设置在云网络端的云管理平台根据所述动态部署的策略或所述弹性伸缩的策略生成相应的安全策略；所述云管理平台根据所述安全策略生成部署方案；所述云管理平台将所述安全策略和所述部署方案下发到所述承载单元所在的子网，以便所述子网根据所述部署方案将所述安全策略分配到所述承载单元上执行。

在一些实施例中，所述云管理平台生成所述安全策略相应的校验策略；所述云管理平台将所述校验策略下发给所述子网，以便所述子网根据所述校验策略校验所述安全策略是否生效，并将校验结果返回所述云管理平台。

在一些实施例中，所述动态部署的策略为根据网络资源使用情况对所述承载单元进行调度或搬迁的策略。

在一些实施例中，所述弹性伸缩的策略为根据网络资源使用情况对所述承载单元的容量进行扩大或缩小的策略。

在一些实施例中，所述安全策略包括是否允许所述子网中的网元访问所述子网中的所有服务器、是否允许外网访问所述子网中的网元的端口、是否允许所述子网中的网元访问所述子网中的应用服务器、是否允许所述子网中的网元访问所述子网中的数据库的端口中的一项或多项。

根据本公开的另一些实施例，提供一种安全策略的处理方法，包括：设置在子网端的子网管理装置接收云管理平台发来的安全策略和相应的部署方案，所述安全策略为所述云管理平台响应于对应用的承载单元进行动态部署或弹性伸缩，根据所述动态部署的策略或所述弹性伸缩的策略生成；所述子网管理装置根据所述部署方案将所述安全策略分配到所述承载单元上执行。

在一些实施例中，所述子网管理装置接收所述云管理平台发来的所述安全策略的校验策略；所述子网管理装置根据所述校验策略校验所述安全策略是否生效；所述子网管理装置将校验结果返回所述云管理平台。

根据本公开的又一些实施例，提供一种云管理平台，所述云管理平台被设置在云网络端，所述云管理平台包括：生成单元，用于响应于对应用的承载单元进行动态部署或弹性伸缩，根据所述动态部署的策略或所述弹性伸缩的策略生成相应的安全策略，还用于根据所述安全策略生成部署方案；发送单元，用于将所述安全策略和所述部署方案下发到所述承载单元所在的子网，以便所述子网根据所述部署方案将所述安全策略分配到所述承载单元上执行。

在一些实施例中，所述生成单元生成所述安全策略相应的校验策略；所述发送单元将所述校验策略下发给所述子网，以便所述子网根据所述校验策略校验所述安全策略是否生效，并将校验结果返回所述云管理平台。

根据本公开的又一些实施例，提供一种子网管理装置，所述子网管理装置被设置在子网端，所述子网管理装置包括：接收单元，用于接收云管理平台发来的安全策略和相应的部署方案，所述安全策略为所述云管理平台响应于对应用的承载单元进行动态部署或弹性伸缩，根据所述动态部署的策略或所述弹性伸缩的策略生成；分配单元，用于根据所述部署方案将所述安全策略分配到所述承载单元上执行。

在一些实施例中，子网管理装置，还包括：校验单元，用于根据校验策略校验所述安全策略是否生效；发送单元，用于将校验结果返回所述云管理平台；其中，所述接收单元接收所述云管理平台发来的所述安全策略的所述校验策略。

根据本公开的再一些实施例，提供一种安全策略的处理系统，包括：上述任一个实施例中的云管理平台；和上述任一个实施例中的子网管理装置。

根据本公开的再一些实施例，提供一种安全策略的处理装置，包括：存储器；和耦接至所述存储器的处理器，所述处理器被配置为基于存储在所述存储器装置中的指令，执行上述任一个实施例中的安全策略的处理方法。

根据本公开的再一些实施例，提供一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现上述任一个实施例中的安全策略的处理方法。

在上述实施例中，在承载单元发生变化的情况下，通过云端部署的云管理平台统一生成相应的安全策略并下发到子网中。这样，可以根据实际情况自动生成合适的安全策略，并在网络侧进行统一管理，从而降低了成本、提高了运行效率。

附图说明

构成说明书的一部分的附图描述了本公开的实施例，并且连同说明书一起用于解释本公开的原理。

参照附图，根据下面的详细描述，可以更加清楚地理解本公开，其中：

图1示出本公开的安全策略的处理方法的一些实施例的流程图；

图2示出本公开的安全策略的处理方法的另一些实施例的流程图；

图3示出本公开的安全策略的处理方法的又一些实施例的流程图；

图4示出本公开的安全策略的处理方法的再一些实施例的流程图；

图5示出本公开的交互过程的一些实施例的示意图；

图6示出本公开的云管理平台的一些实施例的框图；

图7示出本公开的子网管理装置的一些实施例的框图；

图8示出本公开的安全策略的处理系统的一些实施例的框图；

图9示出本公开的安全策略的处理装置的一些实施例的框图；

图10示出本公开的安全策略的处理装置的另一些实施例的框图。

具体实施方式

现在将参照附图来详细描述本公开的各种示例性实施例。应注意到：除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本公开的范围。

同时，应当明白，为了便于描述，附图中所示出的各个部分的尺寸并不是按照实际的比例关系绘制的。

以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本公开及其应用或使用的任何限制。

对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为授权说明书的一部分。

在这里示出和讨论的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它示例可以具有不同的值。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

图1示出本公开的安全策略的处理方法的一些实施例的流程图。

如图1所示，该方法包括：步骤110，生成安全策略；步骤120，生成部署方案；和步骤130，下发安全策略和部署方案。

在步骤110中，响应于对应用的承载单元进行动态部署或弹性伸缩，设置在云网络端的云管理平台根据动态部署的策略或弹性伸缩的策略生成相应的安全策略。例如，承载单元可以是部署在子网中的虚拟机或容器等。

在一些实施例中，动态部署的策略可以为根据网络资源使用情况对承载单元进行调度或搬迁的策略。例如，在应用运行过程中，由于底层资源池故障、高优先级应用挤占或应用所需资源增大等网络资源相关因素，需要对应用的承载单元进行调度搬迁，即，进行动态部署。

在一些实施例中，弹性伸缩的策略可以为根据网络资源使用情况对承载单元的容量进行扩大或缩小的策略。例如，弹性伸缩可以是对应用的承载单元进行容量扩大(scaleout)或缩小(scale in)。

在一些实施例中，安全策略中可以包括应用ID、承载单元ID和相应的策略内容。例如，安全策略可以包括是否允许子网中的网元访问子网中的所有服务器、是否允许外网访问子网中的网元的端口、是否允许子网中的网元访问子网中的应用服务器、是否允许子网中的网元访问子网中的数据库的端口中的一项或多项。

例如，由于底层环境变化，需要迁移承载应用的虚拟机(即，动态部署)。响应于这种情况，根据虚拟机的IP地址的变化，云管理平台自动生成、分配相应的安全策略。也可以对该安全策略在子网中的执行情况进行验证。

例如，由于业务压力增加，需要将WEB服务器的服务扩展为WEB1、WEB2(即，弹性伸缩)。响应于这种情况，云管理平台自动生成、分配WEB1、WEB2相关的安全策略。也可以对该安全策略在子网中的执行情况进行验证。

在一些实施例中，针对客户的应用，在同一个子网内部署WEB服务器、数据库、应用服务器、运维和以上4个网元管理下的4个虚拟机。在这种情况下，根据对承载应用的虚拟机进行的动态部署和弹性伸缩，可以生成安全策略：允许运维管理访问子网所有服务器；允许外网访问WEB服务器的80和8080端口；WEB服务器可以访问应用服务器；应用服务器可以访问数据库的3306端口等。

在上面的实施例中，在对承载单元进行动态部署和伸缩时，同步生成并分配安全策略，可以保证不会出现防护时隙，从而提高系统的安全性。

在步骤120中，云管理平台根据安全策略生成部署方案。例如，部署方案可以是将安全策略分配到相关的承载单元的方案。

在步骤130中，云管理平台根据部署方案，将安全策略和部署方案下发到承载单元所在的子网的网关，以便子网的网关根据部署方案将安全策略分配到承载单元上执行。

在一些实施例中，还可以生成校验策略来验证安全策略的执行情况。

图2示出本公开的安全策略的处理方法的另一些实施例的流程图。

如图2所示，相比于图1，本实施例中的处理方法还包括：步骤210，生成校验策略；和步骤220，下发校验策略。

在步骤210中，云管理平台生成安全策略相应的校验策略。

在一些实施例中，在单元测试的过程中，应用的承载单元为虚拟机A，在同一子网中还包括虚拟机B、虚拟机C和虚拟机D。动态部署的策略为从虚拟机A迁移到虚拟机B，生成的相应安全策略为Deny all to B、allow A to B。在这种情况下，可以生成对应的校验规则为：判断承载单元是否从虚拟机A迁移到虚拟机B而不是从其他虚拟机迁移到B，可以表示为：A to B is true、C to B is false、D to B is false。

在步骤220中，云管理平台将校验策略下发给子网的网关，以便子网的网关根据校验策略校验安全策略是否生效，并将校验结果返回云管理平台。这样，可以确保安全策略在子网中的相应承载单元上执行无误，从而提高系统的安全性。

上述实施例中，在承载单元发生变化的情况下，通过云端部署的云管理平台统一生成相应的安全策略并下发到子网中。这样，可以根据实际情况自动生成合适的安全策略，并在网络侧进行统一管理，从而降低了成本、提高了运行效率。

与云网络端的云管理平台相对应，子网端的子网管理装置可以通过图3中的步骤进行安全策略的处理。

图3示出本公开的安全策略的处理方法的又一些实施例的流程图。

如图3所示，该方法包括：步骤310，接收安全策略和部署方案；和步骤320，分配安全策略。

在步骤310中，设置在子网端的子网管理装置接收云管理平台发来的安全策略和相应的部署方案。例如，子网管理装置可以是子网的网关。

在步骤320中，子网管理装置根据部署方案将安全策略分配到所述承载单元上执行。这样，可以通过子网管理装置统一接收和分配安全策略，从而提高系统运行效率。

在一些实施例中，还可以通过图4中的步骤验证安全策略的执行情况。

图4示出本公开的安全策略的处理方法的再一些实施例的流程图。

如图4所示，相比于图3，本实施例中的处理方法还包括：步骤410，接收校验策略；步骤420，校验安全策略是否生效；返回校验结果。

在步骤410中，子网管理装置接收云管理平台发来的安全策略的校验策略。

在步骤420中，子网管理装置根据校验策略校验安全策略是否生效。

在步骤430中，子网管理装置将校验结果返回云管理平台。这样，可以确保安全策略在子网中的相应承载单元上执行无误，从而提高系统的安全性。

上述实施例中，在承载单元发生变化的情况下，通过云端部署的云管理平台统一生成相应的安全策略并下发到子网中。这样，可以根据实际情况自动生成合适的安全策略，并在网络侧进行统一管理，从而降低了成本、提高了运行效率。

为了更加清楚地说明本发明，下面通过图5对本公开的交互过程进行说明。

图5示出本公开的交互过程的一些实施例的示意图。

如图5所示，云管理平台51被布置在云网络端，子网52和子网53与云管理平台51相连。子网52中设置有子网管理装置520和虚拟机521、虚拟机522和虚拟机523。

在一些实施例中，响应于应用的承载单元从虚拟机521迁移到虚拟机522，云管理平台51生成相应的安全策略、分配策略和校验策略，并下发给相应的子网52中的子网管理装置520。

子网管理装置520接收安全策略、分配策略和校验策略，根据分配策略将安全策略分配到相关的网元，例如，相关的网元可以包括虚拟机521和虚拟机522。相关的网元执行安全策略，子网管理装置520根据校验策略验证安全策略是否被执行，并将校验结果返回云管理平台51。

图6示出本公开的云管理平台的一些实施例的框图。

如图6所示，云管理平台6包括生成单元61和发送单元62。

响应于对应用的承载单元进行动态部署或弹性伸缩，生成单元61根据动态部署的策略或弹性伸缩的策略生成相应的安全策略。生成单元61根据安全策略生成部署方案。

发送单元62根据部署方案，将安全策略和部署方案下发到承载单元所在的子网的网关，以便子网的网关根据部署方案将安全策略分配到承载单元上执行。

在一些实施例中，生成单元61生成安全策略相应的校验策略。发送单元62将校验策略下发给子网的网关，以便子网的网关根据校验策略校验安全策略是否生效，并将校验结果返回云管理平台6。

图7示出本公开的子网管理装置的一些实施例的框图。

如图7所示，子网管理装置7包括接收单元71和分配单元72。

接收单元71接收云管理平台发来的安全策略和相应的部署方案。分配单元72根据部署方案将安全策略分配到承载单元上执行。

在一些实施例中，子网管理装置7还包括校验单元73和发送单元74。

校验单元73根据校验策略校验安全策略是否生效。发送单元74将校验结果返回云管理平台。接收单元71接收云管理平台发来的安全策略的校验策略。

在一些实施例中，子网管理装置7还包括设置在各承载单元中的执行单元，用于执行安全策略。

上述实施例中，在承载单元发生变化的情况下，通过云端部署的云管理平台统一生成相应的安全策略并下发到子网中。这样，可以根据实际情况自动生成合适的安全策略，并在网络侧进行统一管理，从而降低了成本、提高了运行效率。

图8示出本公开的安全策略的处理系统的一些实施例的框图。

如图8所示，安全策略的处理系统8包括上述任一个实施例中的云管理平台6和上述任一个实施例中的子网管理装置7。

图9示出本公开的安全策略的处理装置的一些实施例的框图。

如图9所示，该实施例的安全策略的处理装置9包括：存储器91以及耦接至该存储器91的处理器92，处理器92被配置为基于存储在存储器91中的指令，执行本公开中任意一个实施例中的安全策略的处理方法。

其中，存储器91例如可以包括系统存储器、固定非易失性存储介质等。系统存储器例如存储有操作系统、应用程序、引导装载程序(Boot Loader)、数据库以及其他程序等。

图10示出本公开的安全策略的处理装置的另一些实施例的框图。

如图10所示，该实施例的安全策略的处理装置10包括：存储器1010以及耦接至该存储器1010的处理器1020，处理器1020被配置为基于存储在存储器1010中的指令，执行前述任意一个实施例中的安全策略的处理方法。

存储器1010例如可以包括系统存储器、固定非易失性存储介质等。系统存储器例如存储有操作系统、应用程序、引导装载程序(Boot Loader)以及其他程序等。

安全策略的处理装置10还可以包括输入输出接口1030、网络接口1040、存储接口1050等。这些接口1030、1040、1050以及存储器1010和处理器1020之间例如可以通过总线1060连接。其中，输入输出接口1030为显示器、鼠标、键盘、触摸屏等输入输出设备提供连接接口。网络接口1040为各种联网设备提供连接接口。存储接口1040为SD卡、U盘等外置存储设备提供连接接口。

本领域内的技术人员应当明白，本公开的实施例可提供为方法、系统、或计算机程序产品。因此，本公开可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本公开可采用在一个或多个其中包含有计算机可用程序代码的计算机可用非瞬时性存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

至此，已经详细描述了根据本公开的安全策略的处理方法、系统、云管理平台和子网管理装置。为了避免遮蔽本公开的构思，没有描述本领域所公知的一些细节。本领域技术人员根据上面的描述，完全可以明白如何实施这里公开的技术方案。

可能以许多方式来实现本公开的方法和系统。例如，可通过软件、硬件、固件或者软件、硬件、固件的任何组合来实现本公开的方法和系统。用于所述方法的步骤的上述顺序仅是为了进行说明，本公开的方法的步骤不限于以上具体描述的顺序，除非以其它方式特别说明。此外，在一些实施例中，还可将本公开实施为记录在记录介质中的程序，这些程序包括用于实现根据本公开的方法的机器可读指令。因而，本公开还覆盖存储用于执行根据本公开的方法的程序的记录介质。

虽然已经通过示例对本公开的一些特定实施例进行了详细说明，但是本领域的技术人员应该理解，以上示例仅是为了进行说明，而不是为了限制本公开的范围。本领域的技术人员应该理解，可在不脱离本公开的范围和精神的情况下，对以上实施例进行修改。本公开的范围由所附权利要求来限定。

Claims (14)

1.一种安全策略的处理方法，包括：

响应于对应用的承载单元进行动态部署或弹性伸缩，设置在云网络端的云管理平台根据所述动态部署的策略或所述弹性伸缩的策略生成相应的安全策略，所述承载单元是部署在子网中的虚拟机或容器；

所述云管理平台根据所述安全策略生成部署方案，所述部署方案是将所述安全策略分配到相关的承载单元的方案；

所述云管理平台根据所述部署方案，将所述安全策略和所述部署方案下发到所述相关的承载单元所在的子网的网关，以便所述子网的网关根据所述部署方案将所述安全策略分配到所述相关的承载单元上执行。

2.根据权利要求1所述的处理方法，还包括：

所述云管理平台生成所述安全策略相应的校验策略；

所述云管理平台将所述校验策略下发给所述子网的网关，以便所述子网的网关根据所述校验策略校验所述安全策略是否生效，并将校验结果返回所述云管理平台。

3.根据权利要求1或2所述的处理方法，其中，

所述动态部署的策略为根据网络资源使用情况对所述承载单元进行调度或搬迁的策略。

4.根据权利要求1或2所述的处理方法，其中，

所述弹性伸缩的策略为根据网络资源使用情况对所述承载单元的容量进行扩大或缩小的策略。

5.根据权利要求1或2所述的处理方法，其中，

所述安全策略包括是否允许所述子网中的网元访问所述子网中的所有服务器、是否允许外网访问所述子网中的网元的端口、是否允许所述子网中的网元访问所述子网中的应用服务器、是否允许所述子网中的网元访问所述子网中的数据库的端口中的一项或多项。

6.一种安全策略的处理方法，包括：

设置在子网端的子网管理装置接收云管理平台发来的安全策略和相应的部署方案，所述安全策略为所述云管理平台响应于对应用的承载单元进行动态部署或弹性伸缩，根据所述动态部署的策略或所述弹性伸缩的策略生成，所述部署方案是将所述安全策略分配到相关的承载单元的方案，所述承载单元是部署在子网中的虚拟机或容器；

所述子网管理装置根据所述部署方案将所述安全策略分配到所述相关的承载单元上执行。

7.根据权利要求6所述的处理方法，还包括：

所述子网管理装置接收所述云管理平台发来的所述安全策略的校验策略；

所述子网管理装置根据所述校验策略校验所述安全策略是否生效；

所述子网管理装置将校验结果返回所述云管理平台。

8.一种云管理平台，所述云管理平台被设置在云网络端，所述云管理平台包括：

生成单元，用于响应于对应用的承载单元进行动态部署或弹性伸缩，根据所述动态部署的策略或所述弹性伸缩的策略生成相应的安全策略，所述承载单元是部署在子网中的虚拟机或容器，还用于根据所述安全策略生成部署方案，所述部署方案是将所述安全策略分配到相关的承载单元的方案；

发送单元，用于根据所述部署方案，将所述安全策略和所述部署方案下发到所述相关的承载单元所在的子网的网关，以便所述子网的网关根据所述部署方案将所述安全策略分配到所述相关的承载单元上执行。

9.根据权利要求8所述的云管理平台，其中，

所述生成单元生成所述安全策略相应的校验策略；

所述发送单元将所述校验策略下发给所述子网的网关，以便所述子网的网关根据所述校验策略校验所述安全策略是否生效，并将校验结果返回所述云管理平台。

10.一种子网管理装置，所述子网管理装置被设置在子网端，所述子网管理装置包括：

接收单元，用于接收云管理平台发来的安全策略和相应的部署方案，所述安全策略为所述云管理平台响应于对应用的承载单元进行动态部署或弹性伸缩，根据所述动态部署的策略或所述弹性伸缩的策略生成，所述部署方案是将所述安全策略分配到相关的承载单元的方案，所述承载单元是部署在子网中的虚拟机或容器；

分配单元，用于根据所述部署方案将所述安全策略分配到所述承载单元上执行。

11.根据权利要求10所述的子网管理装置，还包括：

校验单元，用于根据校验策略校验所述安全策略是否生效；

发送单元，用于将校验结果返回所述云管理平台；

其中，所述接收单元接收所述云管理平台发来的所述安全策略的所述校验策略。

12.一种安全策略的处理系统，包括：

如权利要求8或9所述的云管理平台；和

如权利要求10或11所述的子网管理装置。

13.一种安全策略的处理装置，包括：

存储器；和

耦接至所述存储器的处理器，所述处理器被配置为基于存储在所述存储器装置中的指令，执行权利要求1-5任一项所述的安全策略的处理方法，或者执行权利要求6或7所述的安全策略的处理方法。

14.一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现权利要求1-5任一项所述的安全策略的处理方法，或者实现权利要求6或7所述的安全策略的处理方法。

Images