CN113507441A - 安全资源扩充方法及安全防护管理平台、数据节点 - Google Patents

Abstract

本发明实施例提供一种安全资源扩充方法及安全防护管理平台、数据节点，涉及通信领域能够为数据节点扩充安全资源，以满足数据流量的安全防护需求。该方法包括：安全防护管理平台在确定第一数据节点的数据流量符合第一预设条件时，根据第一数据节点的第一安全资源使用情况和数据流量确定多余流量；安全防护管理平台在确定第一数据节点的安全资源不足时，向至少一个第二数据节点发送第一安全资源扩充消息；第一安全资源扩充消息包括目标流量和第一数据节点的第一安全服务，目标流量小于或等于多余流量；第二数据节点接收安全防护管理平台发送的第一安全资源扩充消息；第二数据节点根据目标流量和第一安全服务为第一数据节点配置安全资源。

Description

安全资源扩充方法及安全防护管理平台、数据节点

技术领域

本发明涉及通信领域，尤其涉及一种安全资源扩充方法及安全防护管理平台、数据节点。

背景技术

随着互联网技术的发展，数据中心需要处理的数据流量也越来越多。目前对于这些数据流量的安全防护，通常是由公网入口与数据中心之间部署的安全防护系统实现，该安全防护系统可以是防火墙、抗分布式拒绝服务攻击、入侵检测系统(intrusiondetection system，IDS)、入侵防御系统(intrusion prevention system，IPS)等。安全防护系统通常部署于硬件安全设备，由硬件安全设备执行对数据流量的安全防护。

但是，由于硬件安全设备对数据流量进行安全防护时，无法感知数据流量的变化情况。因此，在数据中心内的数据流量突增时，硬件安全设备的安全资源可能无法满足新增数据流量的防护需求，进而导致数据流量的丢包或时延增加等问题，使得用户体验较差。

发明内容

本发明的实施例提供一种安全资源扩充方法及安全防护管理平台、数据节点，能够为数据节点扩充安全资源，以满足数据流量的安全防护需求。

为达到上述目的，本发明的实施例采用如下技术方案：

第一方面，提供一种安全资源扩充方法，包括：安全防护管理平台在确定第一数据节点的数据流量符合第一预设条件时，根据第一数据节点的第一安全资源使用情况和数据流量确定多余流量；安全防护管理平台在确定第一数据节点的安全资源不足时，向至少一个第二数据节点发送第一安全资源扩充消息；第一安全资源扩充消息包括目标流量和第一数据节点的第一安全服务，目标流量小于或等于多余流量，第一安全服务用于指示第一数据节点的安全防护策略。

第二方面，提供一种安全资源扩充方法，包括：第二数据节点接收安全防护管理平台发送的第一安全资源扩充消息；第一安全资源扩充消息包括目标流量和第一数据节点的第一安全服务，目标流量小于或等于多余流量，第一安全服务用于指示第一数据节点的安全防护策略；第二数据节点根据目标流量和第一安全服务为第一数据节点配置安全资源。

第三方面，提供一种安全防护管理平台，包括：处理模块，用于在确定第一数据节点的数据流量符合第一预设条件时，根据第一数据节点的第一安全资源使用情况和数据流量确定多余流量；发送模块，用于在确定第一数据节点的安全资源不足时，向至少一个第二数据节点发送第一安全资源扩充消息；第一安全资源扩充消息包括目标流量和第一数据节点的第一安全服务，目标流量小于或等于多余流量，第一安全服务用于指示第一数据节点的安全防护策略。

第四方面，提供一种数据节点，包括：接收模块，用于接收安全防护管理平台发送的第一安全资源扩充消息；第一安全资源扩充消息包括目标流量和第一数据节点的第一安全服务，目标流量小于或等于多余流量，第一安全服务用于指示第一数据节点的安全防护策略；配置模块，用于根据接收模块接收到的目标流量和第一安全服务为第一数据节点配置安全资源。

第五方面，提供一种安全防护管理平台，包括：存储器、处理器、总线和通信接口；存储器用于存储计算机执行指令，处理器与存储器通过总线连接；当安全防护管理平台运行时，处理器执行存储器存储的计算机执行指令，以使安全防护管理平台执行如第一方面提供的安全资源扩充方法。

第六方面，提供一种计算机可读存储介质，计算机可读存储介质包括计算机执行指令，当计算机执行指令在计算机上运行时，使得计算机执行如第一方面提供的安全资源扩充方法。

第七方面，提供一种数据节点，包括：存储器、处理器、总线和通信接口；存储器用于存储计算机执行指令，处理器与存储器通过总线连接；当数据节点运行时，处理器执行存储器存储的计算机执行指令，以使数据节点执行如第二方面提供的安全资源扩充方法。

第八方面，提供一种计算机可读存储介质，计算机可读存储介质包括计算机执行指令，当计算机执行指令在计算机上运行时，使得计算机执行如第二方面提供的安全资源扩充方法。

本申请实施例提供的安全资源扩充方法中，安全防护管理平台能够对各个数据节点的安全资源进行管理，在确定第一数据节点的安全资源无法满足其处理的数据流量的安全防护需求时，可以调用第二数据节点的安全资源，以使得第一数据节点的多余流量可以由第二数据节点提供安全资源进行防护，从而避免第一数据节点因安全资源不足导致的数据流量延时、丢包等问题，提高用户体验。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种安全防护系统的架构示意图；

图2为本发明实施例提供的一种安全资源扩充方法的流程示意图之一；

图3为本发明实施例提供的一种安全资源扩充方法的流程示意图之二；

图4为本发明实施例提供的一种安全资源扩充方法的流程示意图之三；

图5为本发明实施例提供的一种安全资源的获取流程示意图；

图6为本发明实施例提供的一种安全资源扩充方法的流程示意图之四；

图7为本发明实施例提供的一种安全资源释放方法的流程示意图；

图8为本发明实施例提供的一种安全防护管理平台的结构示意图；

图9为本发明实施例提供的一种数据节点的结构示意图；

图10为本发明实施例提供的又一种安全防护管理平台的结构示意图；

图11为本发明实施例提供的又一种数据节点的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明的是，本发明实施例中，“示例性的”或者“例如”等词用于表示作例子、例证或说明。本发明实施例中被描述为“示例性的”或者“例如”的任何实施例或设计方案不应被解释为比其它实施例或设计方案更优选或更具优势。确切而言，使用“示例性的”或者“例如”等词旨在以具体方式呈现相关概念。

为了便于清楚描述本发明实施例的技术方案，在本发明的实施例中，采用了“第一”、“第二”等字样对功能和作用基本相同的相同项或相似项进行区分，本领域技术人员可以理解“第一”、“第二”等字样并不是在对数量和执行次序进行限定。

数据中心日常处理的数据流量通常处于平稳变化的趋势，其自身部署的安全防护系统能够满足日常的数据流量防护需求(该安全防护系统可以为相应的硬件设备)。但是，在一些特殊场景下，数据中心的数据流量可能发生突增，例如，当某地举行大型赛事活动时，可能需要比日常情况下多数倍的数据流量，此时数据中心的安全防护系统需要进行安全防护的数据流量也相应的突增；而由于数据中心的安全防护系统能够处理的数据流量通常是一定的，因此对于突增的数据流量可能无法进行防护，或安全防护时可能导致数据丢包(如丢失部分数据包，以减少安全防护的数据流量)或数据延时等，从而影响用户的使用体验。

虽然，运维人员在发现数据中心的数据流量突增时，可以为数据中心配置新的硬件设备，以增加安全防护能力，但这种方式不仅时效性低，成本也较高。

随着云计算技术的发展，数据中心的安全防护功能可以在服务器上实现。鉴于云计算技术的资源弹性变化的特征，本申请实施例提供一种安全资源扩充方法，用于对数据节点的安全资源进行统一调用，以对数据节点的安全资源管理，使不同数据节点之间的安全资源可以相互调用，以实现对突增的数据流量的安全防护。

如图1所示，本申请实施例提供一种安全防护系统10，包括安全防护管理平台11和多个数据节点12(示例性的，如图1所示，数据节点12包括数据节点121、数据节点122和数据节点123)。

其中，安全防护管理平台11用于管理多个数据节点12的安全资源，并对数据节点12的安全资源使用情况进行统计。进一步的，安全防护管理平台11内可以存储数据节点12的网际互连协议(internet protocol，IP)地址和位置信息，以及数据节点12的安全服务。

数据节点12可以为数据中心，部署有安全资源池，用于对流经数据节点12的数据流量进行安全防护。这里的安全资源池包括中央处理器(central processing unit，CPU)、存储等软硬件资源，通过这些软硬件资源的配置即可以实现虚拟防火墙(virtualfirewall，vFW)、虚拟入侵防御系统(virtual intrusion prevention system，vIPS)、虚拟入侵检测系统(virtual intrusion detection system，vIDS)和抗虚拟抗分布式拒绝服务攻击等安全服务。

需要说明的是，数据节点12还部署有流量监测设备124，用于监测数据节点12的数量流量。

针对上述问题，如图2本申请实施例提供的安全资源扩充方法，具体包括：

S201、安全防护管理平台确定第一数据节点的数据流量。

一种可能的实现方式中，上述的数据流量可以由第一数据节点内的流量监测设备实时上报确定，也可以流量监测设备周期性上报确定。

S202、安全防护管理平台确定第一数据节点的数据流量符合第一预设条件。

其中，第一预设条件用于指示第一数据节点的数据流量大于第一阈值，且数据流量大于第一阈值的时间大于或等于第一时间段。

作为一种可能的实现方式，安全防护管理平台可以接收第一数据节点上报的流量信息，以指示第一数据节点此时处理的数据流量。在数据流量大于第一阈值，且大于第一阈值的时间大于或等于第一时间段时，确定第一数据节点的数据流量符合第一预设条件。

示例性的，第一阈值可以为2Gbps，第一时间段可以为30min。若第一数据节点的数据节点为3Gbps，且第一数据节点的数据流量为3Gbps的时间为31min，则可以确定第一数据节点的数据流量符合第一预设条件。

需要说明的是，这里的第一预设条件用于指示第一数据节点的安全资源无法满足数据流量的安全防护需求，本领域的技术人员可以根据需要设置。数据节点的安全资源可以由其内部署的安全资源池提供。

S203、安全防护管理平台在确定第一数据节点的数据流量符合第一预设条件时，根据第一数据节点的第一安全资源使用情况和数据流量确定多余流量。

作为一种可能的实现方式，安全防护管理平台内存储有第一数据节点的第一安全配置信息，用于指示第一数据节点的安全服务和安全资源。示例性的，第一安全配置信息可以如下表1所示：

表1

第一数据节点的安全服务包括虚拟防火墙和虚拟抗分布式拒绝服务攻击，规格用于指示相应安全服务提供的安全资源，如第一数据节点的虚拟防火墙可以为5Gbps的数据流量提供安全防护服务，虚拟抗分布式拒绝服务攻击可以为4Gbps的数据流量提供安全防护服务；策略则用于指示安全服务对应的安全防护策略，例如，虚拟防火墙的安全防护策略包括白名单列表和黑名单列表，对于白名单列表中的IP地址发来的数据流量允许通过，对于黑名单列表中的IP地址发来的数据流量则不允许通过，虚拟抗分布式拒绝服务攻击的安全防护策略可以参照本领域惯用的技术手段，这里不再赘述。

当然，上述表1的第一安全配置信息仅为示例性的，实际中，第一数据节点还可以提供其他安全服务，这里不再赘述。

进一步的，安全防护管理平台还可以对第一数据节点的第一安全资源使用情况进行统计，例如，已使用的安全资源和未使用的安全资源；根据第一安全资源使用情况和数据流量可以确定第一数据节点无法提供安全防护的流量，即确定多余流量。

示例性的，若通过第一数据节点的数据流量为7Gbps，则这些数据流量可以由第一数据节点提供虚拟防火墙和虚拟抗分布式拒绝服务攻击的安全服务，此时可以确定虚拟防火墙对应的多余流量为2Gbps，虚拟抗分布式拒绝服务攻击对应的多余流量为3Gbps。

在第一数据节点提供多项安全服务时，这些安全服务对经过第一数据节点的数据流量均提供安全防护服务，这里可以分别确定数据流量对不同安全服务之间对应的多余流量。

S204、安全防护管理平台判断第一数据节点的安全资源是否满足多余流量。

作为一种可能的实现方式，由于本申请中的安全资源是一种基于云计算技术的虚拟资源，因此安全防护管理平台可以通过对第一数据节点的CPU、存储等软硬件资源的管理，调整第一数据节点的安全资源。例如，第一数据节点存在剩余的CPU和存储等软硬件资源，则安全防护管理平台可以使用这些软硬件资源配置新的安全资源。

安全防护管理平台根据第一数据节点能够配置的新的安全资源即可以判断第一数据节点的安全资源是否满足多余流量，例如，若第一数据节点配置的新的安全资源为2Gbps，多余流量为1Gbps，则第一数据节点的安全资源能够满足多余流量的安全防护需求；若第一数据节点配置的新的安全资源为2Gbps，多余流量为3Gbps，则第一数据节点的安全资源无法满足多余流量的安全防护需求。

S205、安全防护管理平台在确定第一数据节点的安全资源不足时，向至少一个第二数据节点发送第一安全资源扩充消息。

其中，第一安全资源扩充消息包括目标流量和第一数据节点的第一安全服务，目标流量小于或等于多余流量，第一安全服务用于指示第一数据节点的安全防护策略。

作为一种可能的实现方式，这里的第二数据节点可以为安全防护管理平台内管理的其他数据节点，在第一数据节点无法为多余流量提供安全防护时，即可以通过第一安全资源扩充消息指示第二数据节点为多余流量提供安全防护。

由于第二数据节点在为多余流量提供安全防护时，还需要对自身的数据流量提供安全防护，因此安全防护管理平台还需要确定第二数据节点多余的安全资源，以使得第二数据节点多余的安全资源能够为多余流量提供安全防护。

在一个第二数据节点多余的安全资源可以为多余流量提供安全防护时，安全防护管理平台可以向该一个第二数据节点发送第一安全资源扩充消息，以使用该一个第二数据节点多余的安全资源为多余流量提供安全防护。例如，在多余流量由第二数据节点1提供安全防护时，安全防护管理平台可以向该第二数据节点1发送第一安全资源扩充消息，此时第一安全资源扩充消息包括多余流量。

在多个第二数据节点为多余流量提供安全防护时，安全防护管理平台可以向该多个第二数据节点发送第一安全资源扩充消息，以使用该多个第二数据节点多余的安全资源为多余流量提供安全防护。例如，在多余流量由第二数据节点2和第二数据节点3提供安全防护时，安全防护管理平台可以向第二数据节点2和第二数据节点3发送第一安全资源扩充消息，这些第一安全资源扩充消息包括目标流量，且这些目标流量之和为多余流量。这里第二数据节点2和第二数据节点3提供的安全服务可以相同，也可以不同，且目标流量可以根据第二数据节点2和第二数据节点3多余的安全资源确定。

进一步的，第一安全资源扩充消息还包括第一安全服务，以使得第二数据节点为多余流量提供安全防护时，提供的安全服务与第一安全服务相同。例如，第一数据节点为多余流量提供的安全服务为虚拟防火墙，则第二数据节点为多余流量提供的安全服务也为虚拟防火墙。

示例性的，在多余流量为5Gbps，且多余流量使用虚拟防火墙进行安全防护时，若第二数据节点1多余的安全资源为6Gbps，且第二数据节点1提供的安全服务为虚拟防火墙，则可以由第二数据节点1为多余流量提供安全防护；若第二数据节点2多余的安全资源为2Gbps，第二数据节点3多余的安全资源为4Gbps，第二数据节点4多余的安全资源为3Gbps，且第二数据节点2提供的安全服务为虚拟防火墙，第二数据节点3提供的安全服务为虚拟抗分布式拒绝服务攻击，第二数据节点4提供的安全服务为虚拟防火墙，则可以由第二数据节点2和第二数据节点4为多余流量提供安全防护，其中，第二数据节点2对应的目标流量可以为2Gbps，第二数据节点4对应的目标流量可以为3Gbps。

S206、第二数据节点接收安全防护管理平台发送的第一安全资源扩充消息。

S207、第二数据节点根据目标流量和第一安全服务为第一数据节点配置安全资源。

作为一种可能的实现方式，第二数据节点可以是一个，也可以是多个。在第二数据节点为一个时，该第二数据节点可以根据第一安全资源扩充消息携带的多余流量以及自身多余的安全资源为第一数据节点的多余流量配置安全资源，以使得多余流量可以使用第二数据节点的安全资源进行安全防护；在第二数据节点为多个时，该多个第二数据节点可以根据第一安全资源扩充消息携带的目标流量以及自身多余的安全资源为第一数据节点的目标流量配置安全资源。

示例性的，第二数据节点为一个时，若多余流量为2Gbps，则第二数据节点为第一数据节点配置的安全资源可以为2Gbps；若第二数据节点包括第二数据节点2和第二数据节点3，且第二数据节点2处理的目标流量为1Gbps，第三数据节点3处理的目标流量为1Gbps，则第二数据节点2为第一数据节点配置的安全资源为1Gbps，第二数据节点3为第一数据节点配置的安全资源为1Gbps。

需要说明的是，第一安全资源扩充消息还包括第一数据节点的IP地址，第二数据节点配置的安全资源仅用于对第一安全资源扩充消息携带的IP地址发来的数据流量进行安全防护。

本申请实施例中，第二数据节点为第一数据节点配置的安全资源可以由相应的CPU和存储等资源提供。

一些实施例中，第二数据节点为第一数据节点配置安全资源之后，即可以通知安全防护管理平台，以使得第一数据节点将多余流量转发至第二数据节点，使其为多余流量提供安全防护，如图3所示，具体如下：

S208、第二数据节点向安全防护管理平台发送第一安全资源扩充完成消息。

其中，第一安全资源扩充完成消息用于指示第二数据节点已为第一数据节点配置安全资源。

S209、安全防护管理平台接收第二数据节点发送的第一安全资源扩充完成消息。

S2010、安全防护管理平台向第一数据节点发送第二安全资源扩充完成消息，以使第一数据节点将目标流量转发至第二数据节点。

其中，第二安全资源扩充完成消息包括第二数据节点的网际互连协议地址和目标流量。

作为一种可能的实现方式，第二数据节点为多余流量或目标流量配置相应的安全资源之后，即可以向安全防护管理平台返回第一安全资源扩充完成消息，以指示相应的安全资源已扩充完成。

安全防护管理平台在根据第一安全资源扩充完成消息确定第二数据节点已完成安全资源扩充之后，即可以将该消息通过第二安全资源扩充完成消息通知第一数据节点，以使得第一数据节点能够将多余流量或目标流量转发至相应的第二数据节点，由第二数据节点的安全资源提供安全防护功能。

需要说明的是，由于这里多余流量需要由第一数据节点转发至第二数据节点，因此第二安全资源扩充完成消息需要携带第二数据节点的IP地址，以实现数据流量的转发。

一些实施例中，在第二数据节点为第一数据节点扩充安全资源完成后，第一数据节点即可以将多余流量转发至第二数据节点，由第二数据节点为多余流量提供安全防护，即在步骤S2010之后，还包括：

S2011、第一数据节点向第二数据节点转发目标流量。

S2012、第二数据节点根据扩充的安全资源为目标流量进行安全防护。

作为一种可能的实现方式，第一数据节点可以根据第二安全资源扩充完成消息携带的第二数据节点的IP地址，将目标流量转发至相应的第二数据节点，第二数据节点即可以根据已配置的安全资源及安全服务提供安全防护。

示例性的，在第二数据节点包括一个时，第一数据节点可以将多余流量转发该一个第二数据节点；在第二数据节点包括多个时，第一数据节点可以将目标流量转发给对应的第二数据节点；第二数据节点接收转发来的目标流量之后，即可以为其进行安全防护。

本申请实施例中，基于云计算技术，数据节点可以提供的安全防护系统可以由安全防护管理平台进行统一的调度、管理，在第一数据节点的安全资源不足以支持其安全防护需求时，可以调用第二数据节点的安全资源为多余流量提供安全防护，从而及时对多余流量进行处理，避免数据流量的延时、丢包等问题，提高用户体验。

一些实施例中，安全防护管理平台在确定需要为第一数据节点扩充安全资源之后，可以确定第二数据节点，并将第二数据节点的安全资源作为第一数据节点的扩充安全资源，对多余流量进行安全防护。如图4所示，在确定第一数据节点的安全资源不足时，第二数据节点的确定方法可以如下：

S301、安全防护管理平台根据第一数据节点的第一位置和多余流量，以及多个目标数据节点的目标位置、目标安全资源使用情况，确定第二数据节点。

作为一种可能的实现方式，上述的目标数据节点可以为除第一数据节点之外的数据节点，第二数据节点可以为目标数据节点中的任一数据节点。

由于安全防护管理平台内存储有所有数据节点的位置信息，因此这里可以根据目标数据节点与第一数据节点的距离确定第二数据节点。例如，目标数据节点包括目标数据节点1、目标数据节点2、目标数据节点3…，则安全防护管理平台可以根据目标数据节点1的目标位置与第一数据节点的第一位置确定两者之间的第一距离，根据目标数据节点2的目标位置与第一数据节点的第一位置确定两者之间的第二距离，目标数据节点3的目标位置与第一数据节点的第一位置确定两者之间的第三距离…；若第一距离小于第二距离，且第二距离小于第三距离，则可以将目标数据节点1确定为候选第二数据节点。

进一步的，由于安全防护管理平台内还存储有所有数据节点的安全资源使用情况以及安全服务等信息，因此在确定候选第二数据节点之后，安全防护管理平台还需要进一步确定候选第二数据节点剩余的安全资源是否满足多余流量的安全防护需求，以及候选第二数据节点的安全服务是否与第一数据节点的安全服务相同；在第二数据节点剩余的安全资源能够满足多余流量的安全防护需求，且其提供的安全服务与第一数据节点的安全服务一致时，可以将候选第二数据节点确定为第二数据节点。

一些实施例中，在候选第二数据节点与第一数据节点的安全服务一致，但候选第二数据节点剩余的安全资源不足以满足多余流量的安全防护需求时，安全防护管理平台还可以再次从目标数据节点中确定候选第二数据节点，如将上述的目标数据节点2确定为候选第二数据节点；在目标数据节点2提供的安全服务与第一数据节点的安全服务一致时，即可以将这两个候选第二数据节点确定为第二数据节点。

一些实施例中，在多余流量对应不同的安全服务时，可以根据不同的安全服务确定不同的第二数据节点，如多余流量对应第一安全服务、第二安全服务(第一安全服务和第二安全服务对应的多余流量可以不同)，则这里可以确定第二数据节点1和第二数据节点2，由第二数据节点1为第一安全服务对应的多余流量提供安全资源，由第二数据节点2为第二安全服务对应的多余流量提供安全资源。当然，在第二数据节点3包括第一安全服务和第二安全服务时，这里可以确定由第二数据节点3为第一安全服务和第二安全服务对应的多余流量提供安全资源。

需要说明的是，上述目标数据节点与第一数据节点的安全服务一致，是指目标数据节点提供的安全服务包括第一数据节点处理数据流量时的安全服务，目标数据节点还可以包括其他安全服务。

一种可能的实现方式中，在候选第二数据节点存在剩余的安全资源，但其提供的安全服务与第一数据节点不同时，安全防护管理平台还可以向候选第二数据节点发送相应的安全服务应用程序，以使得候选第二数据节点可以通过安全服务应用程序部署与第一数据节点对应的安全服务，进而将该候选第二数据节点确定为第二数据节点。

上述确定第二数据节点的方法仅为示例性的，本领域的技术人员可以根据需要确定第二数据节点，使得第二数据节点可以满足多余流量的安全防护需求即可。

本申请实施例中根据距离确定第二数据节点，可以使得第二数据节点更快的为多余流量提供安全防护，减少数据传输的延迟。

一些实施例中，安全防护管理平台为实现对各个数据节点安全资源的调用，在执行上述步骤S201-S209时，还需要监测各个数据节点的安全资源使用情况，具体包括：

S401、安全防护管理平台更新数据节点的安全资源使用情况。

作为一种可能的实现方式，数据节点的安全资源使用情况可以是安全防护管理平台主动触发上报事件，也可以是数据节点周期性向安全防护管理平台上报。

需要说明的是，步骤S401可以是在步骤S201-S209之前执行，也可以是在步骤S201-S209之后执行。

一些实施例中，根据安全资源使用情况更新方式的不同，如图5所示，步骤S401可以包括：

S4011a、安全防护管理平台向数据节点发送查询请求消息。

其中，查询请求消息用于查询数据节点的安全资源使用情况，以及数据节点的安全服务。

S4012a、数据节点向安全防护管理平台发送查询请求响应消息。

其中，查询请求响应消息包括数据节点的安全资源使用情况，以及数据节点提供的安全服务。

S4013a、安全防护管理平台根据查询请求响应消息更新本地相应数据节点的安全资源使用情况和安全服务。

作为一种可能的实现方式，安全防护管理平台可以对数据节点的安全资源使用情况和提供的安全服务进行统计。安全防护管理平台可以周期性的向数据节点发送查询请求消息，以获取数据节点的安全资源使用情况及提供的安全服务，进而根据查询请求响应消息携带的安全资源使用情况、安全服务，更新本地存储的安全资源使用情况、安全服务。

一些实施例中，步骤S401还可以包括：

S4011b、数据节点向安全防护管理平台发送安全资源配置消息。

其中，安全资源配置消息包括数据节点的安全资源使用情况，以及数据节点提供的安全服务。

S4012b、安全防护管理平台根据安全资源配置消息更新本地相应数据节点的安全资源使用情况和安全服务。

作为一种可能的实现方式，数据节点也可以周期性的主动向安全防护管理平台上报自身的安全资源使用情况和安全服务，进而根据安全资源配置消息携带的安全资源使用情况、安全服务，更新本地存储的安全资源使用情况、安全服务。

需要说明的是，上述的安全资源使用情况包括数据节点的总安全资源、已使用的安全资源，以及未使用的安全资源，安全服务可以是vFW、vIPS和vIDS等。

本实施例提供了两种更新数据节点安全资源使用情况的更新方法，以便于安全防护管理平台后续调用各个数据节点的安全资源为多余流量提供安全防护。

一些实施例中，在第一数据节点还剩余CPU和存储等资源时，安全防护管理平台还可以使用这些剩余的CPU和存储等资源扩充安全资源，为多余流量提供安全防护服务。即如图6所示，在步骤S204之后，还包括：

S2013、安全防护管理平台在确定第一数据节点的安全资源满足多余流量时，向第一数据节点发送第二安全资源扩充消息。

其中，第二安全资源扩充消息包括多余流量。

S2014、第一数据节点根据多余流量配置安全资源。

作为一种可能的实现方式，第一数据节点接收第二安全资源扩充消息之后，即可以使用本地剩余的CPU和存储等资源配置新的安全资源，以为多余流量提供安全防护。

S2015、第一数据节点向安全防护管理平台发送第三安全资源扩充完成消息。

其中，第三安全资源扩充完成消息用于指示第一数据节点配置新的安全资源。

作为一种可能的实现方式，第一数据节点配置新的安全资源之后，即可以使用新配置的安全资源为多余流量提供安全防护；同时，向安全防护管理平台发送第三安全资源扩充完成消息，以指示第一数据节点已为多余流量配置安全资源。

需要说明的是，安全防护管理平台接收第三安全资源扩充完成消息之后，即可以根据其携带的安全资源信息更新本地存储的安全资源使用情况。

本申请实施例提供了一种数据节点根据自身的软硬件资源扩充安全资源的方式，能够满足新增数据流量的安全防护需求，避免数据流量的延时、丢包等问题，提高用户体验。

一些实施例中，在第一数据节点的数据流量减少时，第一数据节点和第二数据节点扩增的安全资源即可以释放，减少相应数据节点的软硬件消耗。如图7所示，数据节点释放安全资源的流程具体如下：

S501、安全防护管理平台确定数据节点的数据流量。

S502、安全防护管理平台确定数据节点的数据流量符合第二预设条件。

其中，第二预设条件用于指示数据节点的数据流量小于第二阈值，且数据流量小于第二阈值的时间大于或等于第二时间段。第一阈值大于第二阈值，且第一时间段可以与第二时间段相同，也可以不同。

作为一种可能的实现方式，安全防护管理平台可以接收数据节点上报的流量信息，以指示数据节点此时处理的数据流量。在数据流量小于第二阈值，且小于第二阈值的时间大于或等于第二时间段时，确定第一数据节点的数据流量符合第二预设条件。

S503、安全防护管理平台确定数据节点存在扩充的安全资源。

作为一种可能的实现方式，由于安全防护管理平台存储有数据节点的安全资源使用情况，因此安全防护管理平台可以根据数据节点在本地存储的安全资源使用情况确定相应的数据节点是否存在扩充的安全资源。

S504、安全防护管理平台向数据节点发送安全资源释放消息。

其中，安全资源释放消息用于指示数据节点释放扩充的安全资源。

S505、数据节点根据安全资源释放消息释放对应安全资源占用的软硬件资源。

作为一种可能的实现方式，数据节点接收安全资源释放消息之后，即可以释放多余流量占用的安全资源，如上述第二数据节点扩充的安全资源，或第一数据节点扩充的安全资源。

进一步的，由于这些安全资源是由数据节点的CPU和存储等软硬件资源提供的，因此这里数据节点即可以释放扩充的安全资源占用的软硬件资源；另外，由于数据节点的安全资源池中通常包括安全资源，因此在多余流量使用安全资源池中的安全资源进行安全防护时，这里还可以使数据节点释放安全资源池中被临时占用的安全资源。

S506、数据节点向安全防护管理平台发送安全资源释放完成消息。

其中，安全资源释放完成消息用于指示数据节点已释放相应的安全资源。

S507、安全防护管理平台更新本地的安全资源使用情况。

作为一种可能的实现方式，数据节点释放安全资源占用的CPU和存储等资源后，即可以向安全防护管理平台发送安全资源释放完成消息，以使安全防护管理平台更新本地存储的数据节点的安全资源使用情况。

本实施例中，安全防护管理平台在数据节点的数据流量减少时，即可以释放多余流量占用的CPU和存储等安全资源，以方便后续数据节点的安全资源扩充。

如图8所示，本申请实施例提供一种安全防护管理平台60，包括：

处理模块601，用于在确定第一数据节点的数据流量符合第一预设条件时，根据第一数据节点的第一安全资源使用情况和数据流量确定多余流量。

发送模块602，用于在确定第一数据节点的安全资源不足时，向至少一个第二数据节点发送第一安全资源扩充消息；第一安全资源扩充消息包括目标流量和第一数据节点的第一安全服务，目标流量小于或等于多余流量，第一安全服务用于指示第一数据节点的安全防护策略。

一些实施例中，安全防护管理平台60还包括节点确定模块603。

节点确定模块603，用于根据第一数据节点的第一位置和处理模块601确定的多余流量，以及多个目标数据节点的目标位置、目标安全资源使用情况，确定第二数据节点。

一些实施例中，安全防护管理平台60还包括接收模块604。

接收模块604，用于接收第二数据节点发送的第一安全资源扩充完成消息；第一安全资源扩充完成消息用于指示第二数据节点已为第一数据节点配置安全资源。

发送模块602，还用于向第一数据节点发送第二安全资源扩充完成消息，以使第一数据节点将目标流量转发至第二数据节点；第二安全资源扩充完成消息包括第二数据节点的网际互连协议地址和目标流量。

如图9所示，本申请实施例提供一种数据节点70，包括：

接收模块701，用于接收安全防护管理平台发送的第一安全资源扩充消息；第一安全资源扩充消息包括目标流量和第一数据节点的第一安全服务，目标流量小于或等于多余流量，第一安全服务用于指示第一数据节点的安全防护策略。

配置模块702，用于根据接收模块701接收到的目标流量和第一安全服务为第一数据节点配置安全资源。

一些实施例中，数据节点70还包括发送模块703。

发送模块703，用于向安全防护管理平台发送第一安全资源扩充完成消息；第一安全资源扩充完成消息用于指示第二数据节点已为第一数据节点配置安全资源。

关于上述实施例中的装置，其中各个模块执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。

如图10所示，本发明实施例还提供另一种安全防护管理平台，包括存储器81、处理器82、总线83和通信接口84；存储器81用于存储计算机执行指令，处理器82与存储器81通过总线83连接；当安全防护管理平台运行时，处理器82执行存储器81存储的计算机执行指令，以使安全防护管理平台执行如上述实施例提供的安全资源扩充方法。

在具体的实现中，作为一种实施例，处理器82(82-1和82-2)可以包括一个或多个CPU，例如图10中所示的CPU0和CPU1。且作为一种实施例，安全防护管理平台可以包括多个处理器82，例如图10中所示的处理器82-1和处理器82-2。这些处理器82中的每一个CPU可以是一个单核处理器(single-CPU)，也可以是一个多核处理器(multi-CPU)。这里的处理器82可以指一个或多个设备、电路、和/或用于处理数据(例如计算机程序指令)的处理核。

存储器81可以是只读存储器(read-only memory，ROM)或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器(random access memory，RAM)或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器(electricallyerasable programmable read-only memory，EEPROM)、只读光盘(compact disc read-only memory，CD-ROM)或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。存储器81可以是独立存在，通过总线83与处理器82相连接。存储器81也可以和处理器82集成在一起。

在具体的实现中，存储器81，用于存储本申请中的数据和执行本申请的软件程序对应的计算机执行指令。处理器82可以通过运行或执行存储在存储器81内的软件程序，以及调用存储在存储器81内的数据，安全防护管理平台的各种功能。

通信接口84，使用任何收发器一类的装置，用于与其他设备或通信网络通信，如控制系统、无线接入网(radio access network，RAN)，无线局域网(wireless local areanetworks，WLAN)等。通信接口84可以包括接收单元实现接收功能，以及发送单元实现发送功能。

总线83，可以是工业标准体系结构(industry standard architecture，ISA)总线、外部设备互连(peripheral component interconnect，PCI)总线或扩展工业标准体系结构(extended industry standard architecture，EISA)总线等。该总线83可以分为地址总线、数据总线、控制总线等。为便于表示，图10中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

本发明实施例还提供一种计算机可读存储介质，计算机可读存储介质包括计算机执行指令，当计算机执行指令在计算机上运行时，使得计算机执行如上述实施例提供的安全资源扩充方法。

本发明实施例还提供一种计算机程序，该计算机程序可直接加载到存储器中，并含有软件代码，该计算机程序经由计算机载入并执行后能够实现上述实施例提供的安全资源扩充方法。

如图11所示，本发明实施例还提供另一种数据节点，包括存储器91、处理器92、总线93和通信接口94；存储器91用于存储计算机执行指令，处理器92与存储器91通过总线93连接；当数据节点运行时，处理器92执行存储器91存储的计算机执行指令，以使数据节点执行如上述实施例提供的安全资源扩充方法。

在具体的实现中，作为一种实施例，处理器92(92-1和92-2)可以包括一个或多个CPU，例如图11中所示的CPU0和CPU1。且作为一种实施例，安全防护管理平台可以包括多个处理器92，例如图11中所示的处理器92-1和处理器92-2。这些处理器92中的每一个CPU可以是一个单核处理器(single-CPU)，也可以是一个多核处理器(multi-CPU)。这里的处理器92可以指一个或多个设备、电路、和/或用于处理数据(例如计算机程序指令)的处理核。

存储器91可以是只读存储器(read-only memory，ROM)或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器(random access memory，RAM)或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器(electricallyerasable programmable read-only memory，EEPROM)、只读光盘(compact disc read-only memory，CD-ROM)或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。存储器91可以是独立存在，通过总线93与处理器92相连接。存储器91也可以和处理器92集成在一起。

在具体的实现中，存储器91，用于存储本申请中的数据和执行本申请的软件程序对应的计算机执行指令。处理器92可以通过运行或执行存储在存储器91内的软件程序，以及调用存储在存储器91内的数据，数据节点的各种功能。

通信接口94，使用任何收发器一类的装置，用于与其他设备或通信网络通信，如控制系统、无线接入网(radio access network，RAN)，无线局域网(wireless local areanetworks，WLAN)等。通信接口94可以包括接收单元实现接收功能，以及发送单元实现发送功能。

总线93，可以是工业标准体系结构(industry standard architecture，ISA)总线、外部设备互连(peripheral component interconnect，PCI)总线或扩展工业标准体系结构(extended industry standard architecture，EISA)总线等。该总线93可以分为地址总线、数据总线、控制总线等。为便于表示，图11中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

本发明实施例还提供一种计算机可读存储介质，计算机可读存储介质包括计算机执行指令，当计算机执行指令在计算机上运行时，使得计算机执行如上述实施例提供的安全资源扩充方法。

本发明实施例还提供一种计算机程序，该计算机程序可直接加载到存储器中，并含有软件代码，该计算机程序经由计算机载入并执行后能够实现上述实施例提供的安全资源扩充方法。

本领域技术人员应该可以意识到，在上述一个或多个示例中，本发明所描述的功能可以用硬件、软件、固件或它们的任意组合来实现。当使用软件实现时，可以将这些功能存储在计算机可读介质中或者作为计算机可读介质上的一个或多个指令或代码进行传输。计算机可读介质包括计算机存储介质和通信介质，其中通信介质包括便于从一个地方向另一个地方传送计算机程序的任何介质。存储介质可以是通用或专用计算机能够存取的任何可用介质。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述模块或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。例如多个单元或组件可以结合或者可以集成到另一个装置，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是一个物理单元或多个物理单元，即可以位于一个地方，或者也可以分布到多个不同地方。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个可读取存储介质中。基于这样的理解，本申请实施例的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该软件产品存储在一个存储介质中，包括若干指令用以使得一个设备(可以是单片机，芯片等)或处理器(processor)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (12)

1.一种安全资源扩充方法，其特征在于，包括：

安全防护管理平台在确定第一数据节点的数据流量符合第一预设条件时，根据所述第一数据节点的第一安全资源使用情况和所述数据流量确定多余流量；

所述安全防护管理平台在确定所述第一数据节点的安全资源不足时，向至少一个第二数据节点发送第一安全资源扩充消息；所述第一安全资源扩充消息包括目标流量和所述第一数据节点的第一安全服务，所述目标流量小于或等于所述多余流量，所述第一安全服务用于指示所述第一数据节点的安全防护策略。

2.根据权利要求1所述的安全资源扩充方法，其特征在于，在所述根据所述第一数据节点的第一安全资源使用情况和所述数据流量确定多余流量之后，还包括：

所述安全防护管理平台根据所述第一数据节点的第一位置和所述多余流量，以及多个目标数据节点的目标位置、目标安全资源使用情况，确定所述第二数据节点。

3.根据权利要求2所述的安全资源扩充方法，其特征在于，所述方法还包括：

所述安全防护管理平台接收所述第二数据节点发送的第一安全资源扩充完成消息；所述第一安全资源扩充完成消息用于指示所述第二数据节点已为所述第一数据节点配置安全资源；

所述安全防护管理平台向所述第一数据节点发送第二安全资源扩充完成消息，以使所述第一数据节点将所述目标流量转发至所述第二数据节点；所述第二安全资源扩充完成消息包括所述第二数据节点的网际互连协议地址和所述目标流量。

4.一种安全资源扩充方法，其特征在于，包括：

第二数据节点接收安全防护管理平台发送的第一安全资源扩充消息；所述第一安全资源扩充消息包括目标流量和第一数据节点的第一安全服务，所述目标流量小于或等于多余流量，所述第一安全服务用于指示所述第一数据节点的安全防护策略；

所述第二数据节点根据所述目标流量和所述第一安全服务为所述第一数据节点配置安全资源。

5.根据权利要求4所述的安全资源扩充方法，其特征在于，所述第二数据节点根据所述目标流量和所述第一安全服务为所述第一数据节点配置安全资源之后，还包括：

所述第二数据节点向所述安全防护管理平台发送第一安全资源扩充完成消息；所述第一安全资源扩充完成消息用于指示所述第二数据节点已为所述第一数据节点配置安全资源。

6.一种安全防护管理平台，其特征在于，包括：

处理模块，用于在确定第一数据节点的数据流量符合第一预设条件时，根据所述第一数据节点的第一安全资源使用情况和所述数据流量确定多余流量；

发送模块，用于在确定所述第一数据节点的安全资源不足时，向至少一个第二数据节点发送第一安全资源扩充消息；所述第一安全资源扩充消息包括目标流量和所述第一数据节点的第一安全服务，所述目标流量小于或等于所述多余流量，所述第一安全服务用于指示所述第一数据节点的安全防护策略。

7.根据权利要求6所述的安全防护管理平台，其特征在于，还包括节点确定模块；

所述节点确定模块，用于根据所述第一数据节点的第一位置和所述处理模块确定的所述多余流量，以及多个目标数据节点的目标位置、目标安全资源使用情况，确定所述第二数据节点。

8.根据权利要求7所述的安全防护管理平台，其特征在于，还包括接收模块；

所述接收模块，用于接收所述第二数据节点发送的第一安全资源扩充完成消息；所述第一安全资源扩充完成消息用于指示所述第二数据节点已为所述第一数据节点配置安全资源；

所述发送模块，还用于向所述第一数据节点发送第二安全资源扩充完成消息，以使所述第一数据节点将所述目标流量转发至所述第二数据节点；所述第二安全资源扩充完成消息包括所述第二数据节点的网际互连协议地址和所述目标流量。

9.一种数据节点，其特征在于，包括：

接收模块，用于接收安全防护管理平台发送的第一安全资源扩充消息；所述第一安全资源扩充消息包括目标流量和第一数据节点的第一安全服务，所述目标流量小于或等于多余流量，所述第一安全服务用于指示所述第一数据节点的安全防护策略；

配置模块，用于根据所述接收模块接收到的所述目标流量和所述第一安全服务为所述第一数据节点配置安全资源。

10.根据权利要求9所述的数据节点，其特征在于，还包括发送模块；

所述发送模块，用于向所述安全防护管理平台发送第一安全资源扩充完成消息；所述第一安全资源扩充完成消息用于指示第二数据节点已为所述第一数据节点配置安全资源。

11.一种安全防护管理平台，其特征在于，包括存储器、处理器、总线和通信接口；所述存储器用于存储计算机执行指令，所述处理器与所述存储器通过所述总线连接；当所述安全防护管理平台运行时，所述处理器执行所述存储器存储的所述计算机执行指令，以使所述安全防护管理平台执行如权利要求1-3任一项所述的安全资源扩充方法。

12.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质包括计算机执行指令，当所述计算机执行指令在计算机上运行时，使得所述计算机执行如权利要求1-3任一项所述的安全资源扩充方法。

Images