WO2014121510A1 - 实现云计算网络防攻击的方法、设备和网络 - Google Patents

实现云计算网络防攻击的方法、设备和网络 Download PDF

Info

Publication number
WO2014121510A1
WO2014121510A1 PCT/CN2013/071558 CN2013071558W WO2014121510A1 WO 2014121510 A1 WO2014121510 A1 WO 2014121510A1 CN 2013071558 W CN2013071558 W CN 2013071558W WO 2014121510 A1 WO2014121510 A1 WO 2014121510A1
Authority
WO
WIPO (PCT)
Prior art keywords
security
node
computing node
baseline
security detection
Prior art date
Application number
PCT/CN2013/071558
Other languages
English (en)
French (fr)
Inventor
叶思海
施迅
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to CN201380000333.8A priority Critical patent/CN103518359B/zh
Priority to PCT/CN2013/071558 priority patent/WO2014121510A1/zh
Publication of WO2014121510A1 publication Critical patent/WO2014121510A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/60—Subscription-based services using application servers or record carriers, e.g. SIM application toolkits

Definitions

  • Embodiments of the present invention relate to the field of computer networks and, more particularly, to methods, devices, and networks for implementing cloud computing network anti-attacks. Background technique
  • Cloud computing is an important innovation in computing models.
  • cloud computing networks effectively provide large-scale computing resources to users in the form of reliable services. , thereby freeing users from complex underlying hardware logic, software stacks, and network protocols.
  • virtualization technology brings a lot of convenience to the sharing and management of computing resources and becomes an important part of "cloud computing”.
  • the Virtual Machine Monitor (VMM) is the core of virtualization technology.
  • the server physical resources are converted into a set of logical resources that can be uniformly managed, flexibly scheduled, dynamically allocated, and based on these logical resources, multiple virtual machine execution environments running simultaneously and isolated from each other are built on a single physical server. As a result, higher resource utilization, lower hardware procurement costs and energy consumption, and lower maintenance costs can be achieved.
  • the cloud platform software refers to the software environment of the cloud computing infrastructure, including the virtualization platform software on the computing node and the cloud management software on the management node.
  • the embodiments of the present invention provide a method, a device, and a network for implementing an anti-attack of a cloud computing network, so as to solve the problem of low defense success rate.
  • a method for implementing an anti-attack of a cloud computing network including: Point configuration initialization security baseline, the security baseline includes at least one configuration parameter; sending a dynamic security detection request to the computing node, wherein the dynamic security detection request includes at least one configuration parameter for the computing node to perform dynamic security detection; and the receiving computing node according to dynamic security detection
  • the dynamic security detection result obtained by performing dynamic security detection in the secure execution environment; determining whether the security baseline of the computing node is changed according to the dynamic security detection result; if the security baseline of the computing node has been changed, detecting whether the change is The user actively modifies; if the change is user inactive modification, restores the compute node's security baseline to the initialized security baseline.
  • the security baseline is secured by a hardware cryptographic module for encrypting and storing information.
  • the configuration parameters included in the security baseline relate to configuration content of one or more of the following aspects: Basic input output system BIOS program Basic Input Output System Configuration, Hypervisor, Virtual Machine Management Configuration, Node Management Domain Program, Node Management Domain Configuration, Operating System, and Database.
  • the security baseline value issued when the new product is provisioned or the version is upgraded is configured as the initialized security baseline of the compute node.
  • the method before configuring the initialized security baseline for the computing node, the method further includes: calculating The node sends an initialization request; receives an initialization security detection result obtained after the computing node completes initialization; correspondingly, configuring the initialization security baseline for the computing node includes: configuring the initialization security detection result as an initialized security baseline.
  • the dynamic security detection request is periodically sent to the computing node; or the request for periodic dynamic security detection is sent to the computing node.
  • the computing node is isolated; the virtual machine running on the computing node is migrated to another computing node; Reverting to the initialized security baseline, where the method further includes: rejoining the compute node to the cloud computing network.
  • a seventh possible implementation if the change is user-active modification, the changed security baseline is replaced with the changed security baseline.
  • the second aspect provides a method for implementing an anti-attack of a cloud computing network, including: receiving a dynamic security detection request of a management node, where the dynamic security detection request includes a configuration parameter of a security baseline for dynamic security detection; Perform dynamic security detection in a secure execution environment to obtain dynamic security detection results; send dynamic security detection results to the management node.
  • the dynamic security detection result is secured and trusted by a hardware cryptographic module for encrypting and storing information.
  • the configuration parameter of the security baseline relates to configuration content of one or more of the following aspects: a basic input/output system BIOS program, Basic input and output system configuration, hypervisor, virtual machine management configuration, node management domain program, node management domain configuration, operating system, and database.
  • the dynamic security detection request periodically sent by the management node is received; or the periodic dynamic security detection sent by the management node is required. request.
  • a secure execution environment is created; and a dynamic security detection program is run in the security execution environment to detect a security state of the system; The dynamic safety test results obtained after the detection is output.
  • the third aspect provides a management node for implementing an anti-attack of a cloud computing network, including: a configuration module, configured to configure an initial security baseline for the computing node, the security baseline includes at least one configuration parameter; and a sending module, configured to the computing node Sending a dynamic security detection request, where the dynamic security detection request includes the at least one configuration parameter used by the computing node to perform dynamic security detection, and the receiving module is configured to receive, by the computing node, the dynamic security detection request sent by the sending module, The dynamic security detection result obtained by performing the dynamic security detection in the execution environment; the determining module, configured to determine, according to the dynamic security detection result received by the receiving module, whether the security baseline of the computing node is changed; and the detecting module, configured to determine the security of the computing node if the determining module determines The baseline has been changed to detect whether the change was actively modified by the user; the configuration module is also used to restore the compute node's security baseline to the initialized security baseline if the detection module detects a change to user inactive modification
  • the management node further includes a protection module, where the protection module is used to encrypt and store information to protect the security baseline from being secure and trusted.
  • the configuration parameter included in the security baseline relates to configuration content of one or more of the following aspects: basic input output system BIOS program, basic input and output system configuration, virtual machine management Sequence, virtual machine management configuration, node management domain program, node management domain configuration, operating system, and database.
  • the sending module is further configured to: before configuring the initialization security baseline for the computing node, Sending an initialization request to the computing node; the receiving module is further configured to receive a security baseline configured by the computing node to be initialized according to the initial security detection result.
  • the sending module is specifically configured to periodically send a dynamic security detection request to the computing node; or send a request periodic dynamic to the computing node. Security detection request.
  • the management node further includes an isolation module: an isolation module, configured to isolate the computing node; and a virtual machine that is running on the computing node Migrate to other compute nodes, restore the compute node's security baseline to the initialized security baseline, and then rejoin the compute nodes to the cloud computing network.
  • the configuration module is further configured to replace the initialization of the computing node with the changed security baseline if the user changes to the user. Security baseline.
  • the fourth aspect provides a computing node for implementing cloud computing network anti-attack, comprising: a receiving module, configured to receive a dynamic security detection request of the management node, where the dynamic security detection request includes a configuration parameter of a security baseline for dynamic security detection. And sending to the dynamic detection module; the dynamic detection module is configured to perform dynamic security detection to obtain a dynamic security detection result according to the dynamic security detection request received by the receiving module; and the sending module is configured to send the dynamic security detection to the management node. result.
  • the computing node further includes a protection module: the protection module is configured to encrypt and store information to protect the dynamic security detection result from being secure and trusted.
  • the configuration parameter of the security baseline relates to configuration content of one or more of the following aspects: basic input output system BIOS Programs, Basic Input Output System Configuration, Hypervisor, Virtual Machine Management Configuration, Node Management Domain Program, Node Management Domain Configuration, Operating System, and Database.
  • the receiving module is specifically configured to receive a dynamic security detection request periodically sent by the management node; or receive a request period sent by the management node. Request for sexual dynamic security detection.
  • the dynamic detection module is specifically configured to create a secure execution environment; by running a dynamic security detection program in the secure execution environment To detect the safety status of the system; output the dynamic safety test results obtained after the test.
  • a fifth aspect provides a management node for implementing an anti-attack of a cloud computing network, including: a processor, a memory, a sending interface, a receiving interface: a memory, an instruction for storing a processor to perform the following steps; a processor, configured to Calculating a security baseline initialized by the node configuration, the security baseline includes at least one configuration parameter, and a sending interface, configured to send a dynamic security detection request to the computing node, where the dynamic security detection request includes the at least one configuration parameter used by the computing node to perform dynamic security detection a receiving interface, configured to receive a dynamic security detection result that is sent by the computing node according to the dynamic security detection request sent by the sending interface, and is performed by performing dynamic security detection in the security execution environment; the processor is further configured to receive the dynamic according to the receiving interface
  • the security detection result determines whether the security baseline of the compute node is changed; if the processor determines that the security baseline of the compute node has been changed, detecting whether the change is a user active modification; and also for
  • the management node further includes a hardware cryptographic module:
  • the hardware cryptographic module is used to encrypt and store information to protect the security baseline from being secure and trusted.
  • the configuration parameter included in the security baseline relates to configuration content of one or more of the following aspects: a basic input/output system BIOS program, basic I/O system configuration, hypervisor, virtual machine management configuration, node management domain program, node management domain configuration, operating system, and database.
  • the processor is specifically configured to configure a security baseline value issued when the new product is provisioned or the version is upgraded as the computing node. Initialized security baseline.
  • the sending interface is further configured to: before configuring the initialization security baseline for the computing node, Sending an initialization request to the computing node; receiving the interface, and also receiving the computing node according to The security check result is configured as an initialized security baseline.
  • the sending interface is specifically configured to periodically send a dynamic security detection request to the computing node; or send the request periodic dynamic to the computing node. Security detection request.
  • the processor is further configured to isolate the computing node; and the virtual machine running on the computing node is migrated to another computing node, The compute node's security baseline is also restored to the initialized security baseline, and the compute node is rejoined to the cloud computing network.
  • the processor is further configured to replace the initialization of the computing node with the changed security baseline if the user changes to the active modification. Security baseline.
  • a computing node for implementing cloud computing network anti-attack including a processor, a memory, a receiving interface, and a sending interface: a memory, configured to store an instruction that the processor performs the following steps; and a receiving interface, configured to receive A dynamic security detection request of the management node, the dynamic security detection request includes a configuration parameter of a security baseline for dynamic security detection, and a processor configured to perform dynamic security detection in a secure execution environment according to the dynamic security detection request received by the receiving interface Dynamic security detection result;
  • the sending interface is used to send dynamic security detection results to the management node.
  • the computing node further includes a hardware cryptographic module:
  • the hardware cryptographic module is configured to encrypt and store information to protect the dynamic security detection result from being secure and trusted.
  • the configuration parameter of the security baseline relates to configuration content of one or more of the following aspects: basic input output system BIOS Programs, Basic Input Output System Configuration, Hypervisor, Virtual Machine Management Configuration, Node Management Domain Program, Node Management Domain Configuration, Operating System, and Database.
  • the receiving interface is specifically configured to receive a dynamic security detection request periodically sent by the management node; or receive a request period sent by the management node. Request for sexual dynamic security detection.
  • the processor is specifically configured to create a secure execution environment; by running a dynamic security detection program in the secure execution environment Detect the security status of the system; output the dynamic security test results obtained after the test.
  • a cloud computing network is provided, including any one of the foregoing management nodes or computing nodes.
  • the computing node is required to perform dynamic security detection, and the management node sends a dynamic security detection request to the computing node, and the computing node performs the security baseline configuration parameter in the dynamic security detection request in the security execution environment.
  • the management node determines whether the security baseline is changed according to the result of the dynamic security detection, and then performs subsequent security steps, so that after the attack, the attack is immediately detected and cleared in time before the harm occurs, and the attack is harmed. Minimized, thereby increasing the success rate of defense.
  • FIG. 1 is a schematic flowchart of a method for implementing an anti-attack of a cloud computing network according to an embodiment of the present invention.
  • FIG. 2 is a schematic flow chart of another method for implementing an anti-attack of a cloud computing network according to an embodiment of the present invention.
  • FIG. 3 is a schematic interaction diagram of a method for implementing an anti-attack of a cloud computing network according to an embodiment of the present invention.
  • FIG. 4 is a schematic interaction diagram of a method for implementing an anti-attack of a cloud computing network according to another embodiment of the present invention.
  • FIG. 5 is a schematic flow chart of a method for a computing node to perform dynamic security detection according to an embodiment of the present invention.
  • FIG. 9 is a schematic block diagram of another computing node in a cloud computing network in accordance with an embodiment of the present invention.
  • FIG. 10 is a schematic block diagram of a cloud computing network according to an embodiment of the present invention. detailed description
  • Malware can be installed and run on the user's computer or other terminal without explicitly prompting the user or without the user's permission, maliciously collecting user information, infringing user information and property security.
  • Common security software has anti-malware capabilities that identify the presence of malware through signatures and prevent it from being installed and running.
  • a malicious attack is a behavior that is initiated by a computer network and exploits computer system vulnerabilities, such as software defects, configuration errors, etc., to obtain computer system permissions.
  • malware such as viruses, Trojans, etc.
  • signature matching techniques are used for detection and protection, such as IDS (Intrusion Detection System) or IPS (Intrusion Prevention System).
  • IDS Intrusion Detection System
  • IPS Intrusion Prevention System
  • Defense system detect intrusion behavior in real time, and protect against intrusion behavior; use anti-virus software to detect files and malicious code in memory in real time, and prohibit it from running.
  • the prior art either defends a known attack method or predicts an unknown attack behavior to defend.
  • the embodiment of the present invention provides a new defense method.
  • a defense method is provided, which can be performed without attacking the attack method, and immediately after the attack occurs, the attack is immediately detected and cleared in time before the danger occurs. Normally, the hazard has not occurred in the initial stage of the attack. For example, the data has not been leaked. If it is processed in time, the harm of the attack can be minimized.
  • FIG. 1 is a schematic flowchart of a method 10 for implementing an anti-attack of a cloud computing network according to an embodiment of the present invention.
  • the device performing method 10 may be a cloud management server in a cloud computing network, and the cartridge is called a management node.
  • the computing node After the security node is set by the management node, the computing node is required to perform dynamic security detection, and the management node determines whether the security baseline is changed according to the received dynamic security detection result, and then performs subsequent security steps, so that after the attack Immediately before the hazard occurs, the attack is detected and cleared in time to minimize the harm of the attack, thereby improving the success rate of the defense.
  • the security baseline is secured by a hardware cryptographic module for encrypting and storing information.
  • the configuration parameters included in the security baseline relate to configuration content of one or more of the following aspects: a basic input output system BIOS program, a basic input output system configuration, a hypervisor, a virtual machine management configuration, Node management domain program, node management domain configuration, operating system and database, etc., but not limited to the above.
  • the security baseline value issued when the new product is provisioned or the version is upgraded is configured as the initial security baseline of the computing node.
  • the security baseline described as computing node configuration initialization includes: configuring the initialization security detection result as the initialized security baseline.
  • sending the dynamic security detection request to the computing node includes: periodically sending a dynamic security detection request to the computing node; or sending a periodic dynamic security detection to the computing node. Request.
  • restoring the security baseline of the computing node to the initialized security baseline includes: isolating the computing node; migrating a running virtual machine on the computing node to another computing Recovering the security baseline of the computing node to the initialized security baseline, wherein the method further comprises: rejoining the computing node to the cloud computing network.
  • the initialized security baseline of the computing node is replaced with the changed security baseline.
  • FIG. 2 is a schematic flow chart of another method 20 for implementing cloud computing network anti-attack according to an embodiment of the present invention.
  • the device performing method 20 may be a cloud computing server in a cloud computing network, and the cartridge is called a computing node.
  • the computing node receives the dynamic security detection request sent by the management node, performs dynamic security detection in the security execution environment according to the configuration parameter of the security baseline in the dynamic security detection request, and the management node determines the security baseline according to the result of the dynamic security detection. Whether it is changed, and then the subsequent security steps are performed, so that after the attack, the attack is immediately detected and cleared in time before the hazard occurs, thereby minimizing the harm of the attack, thereby improving the success rate of the defense.
  • the configuration parameters of the security baseline relate to configuration content of one or more of the following aspects: basic input output system BIOS program, basic input output system configuration, virtual machine management program, virtual machine management configuration, node Management domain programs, node management domain configurations, operating systems, and databases, but are not limited to the above.
  • receiving the dynamic security detection request of the management node includes: receiving a dynamic security detection request periodically sent by the management node; or receiving a periodic dynamic security detection sent by the management node request.
  • performing dynamic security detection includes: creating a secure execution environment; detecting a security state of the system by running a dynamic security detection program in the security execution environment; and performing dynamic security detection after outputting the detection result.
  • FIG. 3 is a schematic interaction diagram of a method 300 for implementing an anti-attack of a cloud computing network according to an embodiment of the present invention.
  • the terms “system” and “network” are used interchangeably herein.
  • the cloud computing network includes a management node 301 and a plurality of computing nodes 302 managed by it. Next, the interaction between the two in the embodiment of the present invention is illustrated by only one management node and one computing node. S315.
  • the management node configures an initialization security baseline for the compute node.
  • the management node needs to select configuration objects and configuration content before configuration.
  • the configuration object can be all computing nodes under the management of the management node, or one or more designated computing nodes; the configuration content can be selected.
  • the security baseline includes at least one configuration parameter, which may include, but is not limited to, one or more of the following configuration contents: Basic Input Output System (BIOS) program, BIOS configuration, hypervisor, virtual machine management configuration, node management domain Programs, node management domain configurations, operating systems, databases, and more.
  • BIOS Basic Input Output System
  • the foregoing configuration parameters may be a basic input/output system (BIOS) program, a BIOS configuration, a hypervisor, a virtual machine management configuration, a node management domain program, a node management domain configuration, an operating system, a database, and the like.
  • BIOS basic input/output system
  • the digital fingerprint of the content, etc. but is not limited to the above.
  • the security baseline is protected by a hardware cryptographic module in trusted computing technology.
  • the configuration parameters used by the management node may come from a cloud computing node vendor, which is a security baseline value that is issued when a new product is provisioned or a version is upgraded.
  • the configuration parameters used by the management node are derived from the initial security detection results of the cloud computing node.
  • the management node uses the hardware cryptographic module to protect the security baseline security and credibility.
  • Trusted computing technology is an important method used to protect computer systems. An important application is to protect the integrity of the software.
  • Hardware cryptographic modules such as Trusted Platform Module (TPM) or Trusted Cryptography Module (TCM) are key components of trusted computing. They are based on cryptography and have computing and storage functions. Data protection, identity verification and integrity metrics, etc., can measure the integrity of the software and provide metric reports, which has important application value in the cloud computing environment.
  • TPM Trusted Platform Module
  • TCM Trusted Cryptography Module
  • the traditional trusted computing is mainly carried out in the system startup phase, and the hardware cryptographic module is used to measure and detect the running programs.
  • the hardware cryptographic module can be further used to actively detect the target program or system to protect the system.
  • SMM mode System Management Module
  • Intel TXT Trusted Execution Technology
  • dynamic security detection programs can be used in independent and undisturbed environments. The program detects and prevents malware from attacking and modifying the tomb.
  • the hardware password module is a hardware chip that is installed on the server board.
  • the hardware chip is simultaneously It is an embedded computing system featuring security and security functions. It has anti-attack, anti-tomb-proof and anti-detection capabilities in terms of physical security such as hardware encapsulation and functional interface standardization. It can ensure that the hardware cryptographic module itself and internal data are not Illegal attack.
  • the hardware cryptographic module uses a variety of password and access control technologies. Together, these protections ensure the security of the hardware cryptographic module itself, which can become the root of the system's hardware storage trust root and system credibility.
  • the security baseline is further protected by a hardware cryptographic module that encrypts and stores information, further enhancing the ability of the network to defend against attacks.
  • the management node sends a dynamic security detection request to the computing node.
  • the management node sends a dynamic security detection request to the selected one or more computing nodes. All configuration parameters including the security baseline in the dynamic security detection request are used by the compute node for dynamic security detection.
  • the management node may periodically send a dynamic security detection request to the computing node, or the management node may send a request for periodic dynamic security detection of the computing node.
  • a reasonable balance of the frequency of dynamic safety detection helps to achieve a stable defense success rate.
  • the computing node performs dynamic security detection in a secure execution environment according to the dynamic security detection request.
  • the computing node performs dynamic security detection on the configuration parameters of the security baseline according to the content of the request sent by the management node.
  • the embodiment of the invention can enable the dynamic security detection program to detect the target program in an independent and undisturbed environment, that is, in a secure execution environment, thereby avoiding malware attacking and tombing the dynamic security detection program. The details will be described later by the embodiment of Fig. 5.
  • the computing node uses the hardware cryptographic module to protect the dynamic security detection result security and credibility. As described above, by using the hardware cryptographic module in the trusted computing technology to protect the dynamic security detection result, the anti-attack capability of the computing node itself and the communication between the computing node and the management node can be improved.
  • the computing node sends the dynamic security detection result to the management node.
  • the management node determines whether the security baseline changes according to the dynamic security detection result.
  • the management node compares the configuration parameters in the initialized security baseline with the configuration parameters in the dynamic security detection results fed back by the computing node. If the two do not match, it determines that the security baseline is changed, and vice versa.
  • S350 If the security baseline has not been changed, that is, "NO” of S345, S350 is executed. If the security baseline has been changed, that is, "YES” of S345, S355 is executed. S350, the security baseline has not changed, and the compute node security status is normal.
  • the dynamic security detection result of the computing node conforms to the configured security baseline, and the security state of the computing node is recorded as normal in the management node, that is, the cloud management server. End of this dynamic security detection process for the compute node
  • the management node detects whether the change is a user active modification.
  • a time limit is set after learning, for example, the active modification in the plan, and the modification within the time limit is considered to be an active modification by the user.
  • the present invention is not limited to the implementation of various judgments.
  • the management node replaces the initialized security baseline of the compute node with the changed security baseline.
  • the management node compares the dynamically obtained security test results with the changed security baseline as a standard.
  • the management node isolates the compute node.
  • the dynamic security detection result of the compute node does not meet the security baseline of the configuration.
  • the security status of the compute node can be recorded as abnormal.
  • the management node isolates the compute node: the compute resource of the compute node is no longer used, the migration The virtual machine running on the compute node to the other compute nodes.
  • the security policy is optional, and the content of the security policy is also optional.
  • the present invention does not limit this.
  • the management node restores the security baseline of the computing node to the initialized security baseline.
  • the management node restores the configuration parameters that the compute node has changed to restore the compute node's security baseline to the initialized security baseline.
  • the embodiment of the present invention requires the computing node to perform dynamic security. Full detection, the management node determines whether the security baseline is changed according to the received dynamic security detection result, and then performs subsequent security steps, such as isolating the computing node, repairing the security baseline of the computing node, and then rejoining the computing node to the cloud computing
  • the network can, after being attacked, immediately detect the attack and clear it in time before the hazard occurs, and minimize the harm of the attack, thereby improving the success rate of the defense.
  • FIG. 4 is a schematic cross-sectional diagram of a method 400 for implementing cloud computing network anti-attack according to another embodiment of the present invention.
  • Method 400 differs from method 300 in how to configure a security baseline.
  • the configuration parameters used by the management node in method 400 are derived from the initial security detection results of the cloud computing node.
  • the management node sends a node initialization request to the computing node.
  • the initialization request includes the configuration parameters of the security baseline, and the computing node is required to perform security detection according to the configuration parameters and report the detection result.
  • the computing node initializes according to the initialization request and obtains an initial security detection result.
  • Regular initialization detection can be included in the initialization process of the compute node.
  • the configuration parameters of the security baseline can include the contents of the regular initialization detection, and the initialization security detection result is obtained after the detection.
  • the computing node sends an initial security detection result to the management node.
  • the management node configures a security baseline according to the initial security detection result.
  • the initial security detection result is configured as the computing node.
  • the security baseline can be configured to the remaining compute nodes without performing an initial security check on each node.
  • method 400 is similar to method 300.
  • the management node uses the hardware cryptographic module to protect the security baseline security and credibility.
  • Trusted computing technology is an important method used to protect computer systems. An important application of trusted computing technology is to protect the integrity of the software.
  • Hardware cryptographic modules such as Trusted Platform Module (TPM) or Trusted Cryptography Module (TCM) are key components of trusted computing. They are based on cryptography and have computing and storage functions. Data protection, identity verification and integrity metrics, etc., can measure the integrity of the software and provide metric reports, which has important application value in the cloud computing environment.
  • TPM Trusted Platform Module
  • TCM Trusted Cryptography Module
  • the traditional trusted computing is mainly carried out during the system startup phase, and the hardware cryptographic module is used to measure and detect the running programs.
  • the hardware cryptographic module can be further used to actively detect the target program or system, thereby protecting the system.
  • SMM mode System Management Module
  • Intel TXT Trusted Execution Technology
  • dynamic security detection programs can be used in independent and undisturbed environments. The program detects and prevents malware from attacking and modifying the tomb.
  • the hardware password module is a hardware chip that is installed on the server board.
  • the hardware chip is also an embedded computing system featuring security and security functions. It has anti-attack, anti-tomb-proof and anti-detection capabilities in terms of physical security such as hardware encapsulation and functional interface standardization, and can guarantee the hardware password module itself. And internal data is not illegally attacked.
  • the hardware password module uses a variety of password and access control technologies. Together, these protections ensure the security of the hardware cryptographic module itself, which can be the basis for the system's hardware storage trust root and system credibility.
  • the security baseline is protected by the hardware cryptographic module, which further improves the network's ability to defend against attacks.
  • the management node sends a dynamic security detection request to the computing node.
  • the management node sends a dynamic security detection request to the selected one or more computing nodes. All configuration parameters including the security baseline in the dynamic security detection request are used by the compute node for dynamic security detection.
  • the management node may periodically send a dynamic security detection request to the computing node, or the management node may send a request for periodic dynamic security detection of the computing node.
  • a reasonable balance of the frequency of dynamic safety detection helps to achieve a stable defense success rate.
  • the computing node performs dynamic security detection in a secure execution environment according to the dynamic security detection request.
  • the computing node performs dynamic security detection on the configuration parameters of the security baseline according to the content of the request sent by the management node.
  • the embodiment of the invention can enable the dynamic security detection program to detect the target program in an independent and undisturbed environment, that is, in a secure execution environment, thereby avoiding malware attacking and tombing the dynamic security detection program. The details will be described later by the embodiment of Fig. 5.
  • the computing node uses the hardware cryptographic module to protect the dynamic security detection result security and credibility.
  • the hardware cryptographic module in the trusted computing technology to protect the dynamic security detection results, it is possible to improve the defense of the computing node itself and the communication between the computing node and the management node. Ability to attack.
  • the computing node sends the dynamic security detection result to the management node.
  • the management node determines whether the security baseline changes according to the dynamic security detection result.
  • the management node detects whether the change is a user active modification.
  • the management node replaces the initialized security baseline of the compute node with the changed security baseline.
  • the management node isolates the compute node.
  • the management node restores the security baseline of the computing node to the initialized security baseline.
  • the management node first sends an initialization request to the computing node, and requests the computing node to perform initial security detection.
  • the management node sets a security baseline, and then the management node sends a request to request the computing node to perform dynamic security detection.
  • FIG. 5 is a schematic flow diagram of a method 500 for a computing node to perform dynamic security detection in accordance with an embodiment of the present invention.
  • the computing node first creates a secure execution environment, and then runs a dynamic security detection program in the secure execution environment to detect the security state of the system, and finally outputs the dynamic security detection result obtained after the detection, and the specific content is as follows.
  • the computing node initiates a security state detection process.
  • the process can be triggered by a request from a periodically received management node.
  • the periodic timer in the computing node triggers the detection process. S515, the computing node interrupts and saves the execution environment of the current computing node.
  • the execution environment of the current compute node includes the value of the CPU status register, the interrupt handler entry address, etc., so that the system can be resumed after the detection is completed, and the continuity of the service is not affected.
  • the computing node freezes a central processing unit (CPU) other than a BSP (Boot Strap Processor).
  • CPU central processing unit
  • BSP Bit Strap Processor
  • the computing node sets the BSP into a secure execution environment.
  • the secure execution environment of the embodiment of the present invention is a special execution mode, wherein the running code is a pre-set secure trusted code, and is not interrupted by interruption or the like during operation.
  • Running secure trusted code in a secure execution environment can be a metric trust root for the dynamic security state detection process, replacing the metric trust root in the BIOS when the compute node starts, that is, the security check trust root.
  • the safe execution environments that can be selected are: SMM mode (System Management Module; System Management Module;), Intel TXT (Trusted Execution Technology).
  • S530 Load the secure trusted code in the secure execution environment, and verify the digital signature of the secure trusted code to ensure that the secure and trusted code is secure and credible.
  • the security trusted code is also the dynamic security detection program in the context.
  • Dynamic security detection content can include: BIOS software, BIOS configuration, hypervisor, virtual machine management configuration, node management domain program, node management domain configuration, operating system and database.
  • the dynamic security detection of the content is preferably a digital fingerprint of the detected information content by a hash algorithm such as SHA-1, SHA-256, SM3, or the like.
  • the Hash calculation result of each part, that is, the digital fingerprint is output as a dynamic security detection result.
  • the dynamic security detection result is protected by the hardware cryptographic module of the computing node, that is, performing encryption and storage.
  • the hardware cryptographic module guarantees that the information stored in it can not be arbitrarily changed from hardware encapsulation and functional interface standardization. This feature can be used to protect dynamic detection results.
  • the hardware cryptographic module has an identity digital certificate, and digital signatures are transmitted before the dynamic detection result is transmitted, which ensures the integrity of the transmitted information, that is, is not modified by the tomb.
  • the configuration content detected by the dynamic security detection and the security detection at startup may be the same or different.
  • dynamic security detection and boot-time security detection can detect the same configuration content, such as: virtual machine management software, virtual machine management configuration, node management domain program, node management domain configuration, etc., they must be done in different ways.
  • the metric trust root of security detection at startup comes from the BIOS, and the dynamic root can not take advantage of the metric trust root in the BIOS. A new method must be used to construct this metric trust root.
  • the contents of the security check at startup can only be detected during system startup and will not be detected again after startup. Therefore, in FIG. 5, the dynamic security detection implemented in the embodiment of the present invention is a necessary supplement to the security detection when the computing node is started, and ensures the consistency of the software and the configuration of the computing node during the running, and achieves the real-time anti-attack effect.
  • FIG. 6A is a schematic block diagram of a management node 60 in a cloud computing network in accordance with an embodiment of the present invention.
  • the management node 60 includes a configuration module 61, a transmitting module 62, a receiving module 63, a determining module 64, and a detecting module 65.
  • the configuration module 61 configures an initialization security baseline for the compute node, the security baseline including at least one configuration parameter.
  • the transmitting module 62 sends a dynamic security detection request to the computing node, wherein the dynamic security detection request includes the at least one configuration parameter used by the configuration module for the computing node to perform dynamic security detection.
  • the receiving module 63 receives the dynamic security detection result obtained by the computing node according to the dynamic security detection request sent by the sending module by performing dynamic security detection in a secure execution environment.
  • the determining module 64 determines whether the security baseline of the computing node is changed according to the dynamic security detection result received by the receiving module.
  • the detecting module 65 detects whether the change is a user active modification when the determining module determines that the security baseline of the computing node has been changed.
  • the configuration module 61 is further configured to restore the security baseline of the computing node to the initialized security baseline when the detecting module detects that the change is a user inactive modification.
  • the management node of the embodiment of the present invention sets a security baseline, and then the management node sends a request to request the computing node to perform dynamic security detection, and determines whether the security baseline is changed according to the received dynamic security detection result, and then performs subsequent security steps, thereby After being attacked, the attack is detected and cleared in time before the hazard occurs, and the harm of the attack is minimized, thereby improving the success rate of the defense.
  • the management node 60 may further include a protection module 66 and an isolation module 67.
  • the protection module 66 encrypts and stores information to protect the security baseline from being secure and trusted.
  • the configuration parameter included in the security baseline used by the configuration module 61 relates to configuration content of one or more of the following aspects: a basic input/output system BIOS program, a basic input/output system configuration, and a virtual machine management. Programs, virtual machine management configurations, node management domain programs, node management domain configurations, operating systems, and databases, but are not limited to the above.
  • the configuration module 64 configures the security baseline value issued when the new product is provisioned or the version is upgraded as the initialized security baseline of the computing node.
  • the sending module 62 further sends an initialization request to the computing node before configuring the initialized security baseline for the computing node; the receiving module 63 further receives the computing node according to the initialization request.
  • the initialization security detection result obtained after the initialization is completed; correspondingly, the configuration module 64 configures the initialization security detection result as the initialized security baseline.
  • the sending module 62 periodically sends a dynamic security detection request to the computing node, or sends a request for periodic dynamic security detection to the computing node.
  • the isolation module 67 isolates the computing node; migrates the running virtual machine on the computing node to another computing node, and restores the security baseline of the computing node to the initialization The security baseline is then rejoined to the cloud computing network.
  • the configuration module is further configured to replace the initialized security baseline of the computing node with the changed security baseline when the change is actively modified by the user.
  • FIG. 7 is a schematic block diagram of a compute node 70 in a cloud computing network in accordance with an embodiment of the present invention.
  • the computing node includes a receiving module 71, a dynamic detecting module 72, and a transmitting module 73.
  • the receiving module 71 receives a dynamic security detection request of the management node, where the dynamic security detection request includes configuration parameters of the security baseline for dynamic security detection and is sent to the dynamic detection module;
  • the dynamic detection module 72 is configured according to the dynamic security detection request received by the receiving module.
  • the dynamic security detection is performed in the security execution environment to obtain the dynamic security detection result and sent to the sending module.
  • the computing node in the embodiment of the present invention receives the dynamic security detection request sent by the management node, according to the configuration parameter of the security baseline in the dynamic security detection request.
  • the management node determines whether the security baseline is changed according to the result of the dynamic security detection, and then performs subsequent security steps, so that after the attack, the attack is immediately detected and cleared in time before the hazard occurs. , minimizing the risk of attack, thereby increasing the success rate of defense.
  • the computing node 70 may further include a protection module 74.
  • the protection module 74 encrypts and stores information to protect the dynamic security detection result from being secure and trusted.
  • the configuration parameter of the security baseline received by the receiving module 71 relates to one or more of the following aspects.
  • Configuration contents Basic input and output system BIOS program, basic input and output system configuration, hypervisor, virtual machine management configuration, node management domain program, node management domain configuration, operating system and database, but not limited to the above.
  • the receiving module 71 specifically receives the dynamic security detection request periodically sent by the management node; or receives a request for periodic dynamic security detection sent by the management node.
  • the dynamic detection module 72 specifically creates a secure execution environment; detects a security state of the system by running a dynamic security detection program in the security execution environment; and outputs a dynamic security detection result obtained after the detection.
  • the computing node 70 implements the embodiment of any of Figures 1 through 5, as described in detail above.
  • FIG 8 is a schematic block diagram of another management node 80 in a cloud computing network in accordance with an embodiment of the present invention.
  • the management node 80 includes a processor 81, a memory 82, a transmission interface 83, and a receiving interface 84.
  • a hardware cryptographic module 85 can also be included.
  • the memory 82 stores instructions for the processor to perform the following steps.
  • the processor 81 configures an initialization security baseline for the compute node, the security baseline including at least one configuration parameter.
  • the sending interface 83 sends a dynamic security detection request to the computing node, wherein the dynamic security detection request includes the at least one configuration parameter used by the processor for the computing section Click to perform dynamic security detection.
  • the receiving interface 84 receives the dynamic security detection result obtained by the computing node according to the dynamic security detection request sent by the sending interface by performing dynamic security detection in a secure execution environment.
  • the processor 81 further determines, according to the dynamic security detection result received by the receiving interface, whether the security baseline of the computing node is changed; when the processor determines that the security baseline of the computing node has been changed, detecting the Whether the change is a user's active modification; and is also used to restore the compute node's security baseline to the initialized security baseline when the processor detects the change as a user inactive modification.
  • the method disclosed in the foregoing embodiments of the present invention may be applied to the processor 81 or by the processor.
  • each step of the above method may be completed by an integrated logic circuit of hardware in the processor 81 or an instruction in the form of software.
  • the processor 81 described above may be a general purpose processor, a digital signal processor (DSP), an application specific integrated circuit (ASIC), an off-the-shelf programmable gate array (FPGA) or other programmable logic device, discrete gate or transistor logic device, discrete hard Figure.
  • the general purpose processor may be a microprocessor or the processor or any conventional processor or the like.
  • the steps of the method disclosed in the embodiments of the present invention may be directly implemented as a hardware processor, or may be performed by a combination of hardware and software modules in a hardware processor.
  • the software modules can be located in a conventional storage medium such as random access memory, flash memory, read only memory, programmable read only memory or electrically erasable programmable memory, registers, and the like.
  • the storage medium is located in the memory 82, and the processor 81 reads the information in the memory 82 and combines the hardware to perform the steps of the above method.
  • the management node 80 may further include a hardware cryptographic module 85 that encrypts and stores information to protect the security baseline from being secure and trusted.
  • the security baseline used by the processor 81 includes configuration parameters related to configuration content of one or more aspects: basic input output system BIOS program, basic input/output system configuration, and virtual machine management. Program, virtual machine management configuration, node management domain program, node management domain configuration, operating system and database, etc., but not limited to the above.
  • the processor 81 may configure the security baseline value issued when the new product is provisioned or version upgraded to the initialized security baseline of the compute node.
  • the sending interface 83 sends an initialization request to the computing node before the security baseline configured for the computing node is configured.
  • the receiving interface is further used. Receiving, by the computing node, an initialization security detection result obtained after the initialization is completed according to the initialization request; correspondingly, the processor configures the initialization security detection result as the initialized security baseline.
  • the sending interface 83 periodically sends a dynamic security detection request to the computing node; or sends a request for periodic dynamic security detection to the computing node.
  • the processor 81 also isolates the computing node; migrates the running virtual machine on the computing node to another computing node, and restores the security baseline of the computing node to the Initialize the security baseline and then rejoin the compute node to the cloud computing network.
  • the processor 81 also replaces the initialized security baseline of the computing node with the changed security baseline when the change is actively modified by the user.
  • the management node 80 implements any of the embodiments of Figures 1 through 4, and the details are described above.
  • the computing node After the security node is set by the management node, the computing node is required to perform dynamic security detection, and the management node determines whether the security baseline is changed according to the received dynamic security detection result, and then performs subsequent security steps, so that after the attack Immediately before the hazard occurs, the attack is detected and cleared in time to minimize the harm of the attack, thereby improving the success rate of the defense.
  • FIG. 9 is a schematic block diagram of another computing node 90 in a cloud computing network in accordance with an embodiment of the present invention.
  • the computing node 90 includes a processor 91, a memory 92, a receiving interface 93, and a transmitting interface 94.
  • a hardware cryptographic module 95 can also be included.
  • the memory 92 stores instructions for the processor to perform the steps described below.
  • the receiving interface 93 receives a dynamic security detection request from the management node, the dynamic security detection request including configuration parameters of the security baseline for dynamic security detection and sent to the processor.
  • the processor 91 sends the dynamic security detection result to the management node at the security sending interface 94 according to the dynamic security detection request received by the receiving interface.
  • the method disclosed in the foregoing embodiments of the present invention may be applied to the processor 91 or by the processor.
  • each step of the foregoing method may be completed by an integrated logic circuit of hardware in the processor 91 or an instruction in a form of software.
  • the processor 91 described above may be a general purpose processor, a digital signal processor (DSP), an application specific integrated circuit (ASIC), an off-the-shelf programmable gate array. (FPGA) or other programmable logic device, discrete gate or transistor logic device, discrete hardmap.
  • the general purpose processor may be a microprocessor or the processor or any conventional processor or the like.
  • the steps of the method disclosed in the embodiments of the present invention may be directly implemented as a hardware processor, or may be performed by a combination of hardware and software modules in a hardware processor.
  • the software modules can be located in a conventional storage medium such as random access memory, flash memory, read only memory, programmable read only memory or electrically erasable programmable memory, registers, and the like.
  • the storage medium is located in the memory 92.
  • the processor 91 reads the information in the memory 92 and completes the steps of the above method in combination with its hardware.
  • the computing node 90 may further include a hardware cryptographic module 95 that encrypts and stores information to protect the dynamic security detection result from security and trustworthiness.
  • the configuration parameter of the security baseline received by the receiving interface 93 relates to configuration content of one or more of the following aspects: a basic input/output system BIOS program, a basic input/output system configuration, and a hypervisor , virtual machine management configuration, node management domain program, node management domain configuration, operating system and database, but not limited to the above.
  • the receiving interface 93 specifically receives the dynamic security detection request periodically sent by the management node; or receives the request sent by the management node for periodic dynamic security detection.
  • the processor 91 specifically creates a secure execution environment; detects a security state of the system by running a dynamic security detection program in the secure execution environment; and outputs a dynamic security detection result obtained after the detection.
  • the computing node 90 implements the embodiment of any of Figures 1 through 5, as described in detail above.
  • the computing node receives the dynamic security detection request sent by the management node, performs dynamic security detection in the security execution environment according to the configuration parameter of the security baseline in the dynamic security detection request, and the management node determines the security baseline according to the result of the dynamic security detection. Whether it is changed, and then the subsequent security steps are performed, so that after the attack, the attack is immediately detected and cleared in time before the hazard occurs, thereby minimizing the harm of the attack, thereby improving the success rate of the defense.
  • FIG. 10 is a schematic block diagram of a cloud computing network 100 in accordance with an embodiment of the present invention.
  • the cloud computing network 100 which may also be referred to as a cloud computing system, includes a management node and a plurality of computing nodes, and embodiments of the present invention in FIGS. 1 through 5 may be implemented.
  • the management node 101 may also be referred to as a cloud management server.
  • the management node and the computing node can communicate through various existing network connections.
  • the management node 101 may include a node initialization module 1011, a hardware cryptographic module 1012, a security policy management module 1013, a security isolation module 1014, and the like; the computing nodes 102 to 10n may include a security state dynamic detection module. 1021 and hardware cryptographic module 1022.
  • a node initialization module 1011 a hardware cryptographic module 1012
  • a security policy management module 1013 a security isolation module 1014
  • the computing nodes 102 to 10n may include a security state dynamic detection module. 1021 and hardware cryptographic module 1022.
  • Management Node 101 A system for managing, maintaining, and distributing IT (Information Technology) resources, including computing resources, storage resources, network resources, and so on. Generally, only cloud administrators with specific permissions can initiate processes such as dynamic state detection and node initialization through the management node.
  • IT Information Technology
  • the security policy management module 1013 may be an option for managing a response policy adopted by the system when the security state dynamic detection result is abnormal, and may be preset.
  • a security policy is: isolating the node, and performing configuration initialization on the node. , revert to the state of the security configuration baseline and rejoin the cloud computing network.
  • Security Isolation Module 1014 An enforcement unit for the security policy that is used to enforce the security policy of the isolated compute node.
  • the security isolation module 1014 is identical or similar in function to the isolation module or processor in the aforementioned management node.
  • the node initialization module 1011 is configured to generate or refresh a configuration parameter of the security baseline of the security state detection when the new computing node joins the management of the cloud management server, or after the software version and configuration of the computing node are changed.
  • the configuration parameters of the security baseline involve one or more of the following configuration contents: Basic Input Output System BIOS Program, Basic Input Output System Configuration, Hypervisor, Virtual Machine Management Configuration, Node Management Domain Program, Node Management Domain Configuration, Operation System and database.
  • the security isolation module 1014 functions the same as or similar to the configuration module or processor in the aforementioned management node.
  • Hardware cryptographic module 1012 A cryptographic module in hardware form that provides functions such as random number generation, cryptographic algorithms, and confidential information storage, such as TPM or TCM.
  • the hardware password module 1012 of the management node is used to protect the security and trust of the security baseline.
  • the hardware cryptographic module 1012 has the same or similar function as the protection module or hardware cryptographic module in the aforementioned management node.
  • Compute node 102 A physical server used to provide computing resources in a cloud environment.
  • the security state dynamic monitoring module 1021 creates a secure running environment to avoid the interference of the business running process or malware to the detecting process; and performs the security state of the computing node in the safe running environment Detect, and transmit the test results to the cloud management server securely and credibly.
  • the security state dynamic monitoring module 1021 has the same or similar functionality as the dynamic detection module or processor in the aforementioned computing node.
  • Hardware cryptographic module 1022 A cryptographic module in hardware form that provides functions such as random number generation, cryptographic algorithms, and confidential information storage, such as TPM/TCM.
  • the hardware cryptographic module in the computing node is used to protect the security and credibility of the dynamic security detection result.
  • the hardware cryptographic module 1022 has the same or similar functionality as the protection module or hardware cryptographic module in the aforementioned computing node.
  • the computing node is required to perform dynamic security detection, and the management node sends a dynamic security detection request to the computing node, and the computing node performs security execution according to the configuration parameters of the security baseline in the dynamic security detection request.
  • Dynamic security detection is performed in the environment, and the management node determines whether the security baseline is changed according to the result of the dynamic security detection, and then performs subsequent security steps, so that after the attack, the attack is immediately detected and cleared in time before the harm occurs, and the attack is attacked. The hazard is minimized, thereby increasing the success rate of defense.
  • the disclosed systems, devices, and methods may be implemented in other ways.
  • the device embodiments described above are merely illustrative.
  • the division of the unit is only a logical function division.
  • there may be another division manner for example, multiple units or components may be combined or Can be integrated into another system, or some features can be ignored, or not executed.
  • the coupling or direct coupling or communication connection shown or discussed may be an indirect coupling or communication connection through some interface, device or unit, and may be electrical, mechanical or otherwise.
  • each functional unit in each embodiment of the present invention may be integrated into one processing unit, or each unit may exist physically separately, or two or more units may be integrated into one unit.
  • the functions, if implemented in the form of software functional units and sold or used as separate products, may be stored in a computer readable storage medium.
  • the technical solution of the present invention which is essential to the prior art or part of the technical solution, may be embodied in the form of a software product stored in a storage medium, including
  • the instructions are used to cause a computer device (which may be a personal computer, server, or network device, etc.) to perform all or part of the steps of the methods described in various embodiments of the present invention.
  • the foregoing storage medium includes: a U disk, a mobile hard disk, a read-only memory (ROM), a random access memory (RAM), a magnetic disk or an optical disk, and the like, which can store program codes. .

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Storage Device Security (AREA)

Abstract

一种实现云计算网络防攻击的方法、设备和网络，以解决防卫成功率低的问题。方法包括：为计算节点配置初始化的安全基线，安全基线包括至少一个配置参数；向计算节点发送动态安全检测请求，其中动态安全检测请求包括至少一个配置参数用于计算节点执行动态安全检测；接收计算节点根据动态安全检测请求发送的、通过在安全执行环境中执行动态安全检测获得的动态安全检测结果；根据动态安全检测结果确定计算节点的安全基线是否更改；如果计算节点的安全基线已被更改，则检测更改是否是用户主动修改；如果更改为用户非主动修改，则将计算节点的安全基线恢复到初始化的安全基线。上述技术方案在受到攻击后，将攻击的危害减到最小，由此提高了防卫成功率。

Description

实现云计算网络防攻击的方法、 设备和网络 技术领域
本发明实施例涉及计算机网络领域， 并且更具体地， 涉及实现云计算网 络防攻击的方法、 设备和网络。 背景技术
云计算是计算模型的一次重要革新，通过将各种互联的计算资源进行有 效整合并实现多层次的虚拟化与抽象， 云计算网络有效地将大规模的计算资 源以可靠服务的形式提供给用户， 从而将用户从复杂的底层硬件逻辑、 软件 栈与网络协议解放出来。其中虚拟化技术给计算资源的共享与管理带来很多 的便利之处，成为 "云计算"的重要组成部分。虚拟机监控器（VMM, Virtual Machine Monitor )是虚拟化技术的核心， 通过对服务器物理资源的抽象， 将 中央处理器（ Central Processing Unit, CPU )、 内存和输入输出（ Input/Output, I/O )等服务器物理资源转化为一组可统一管理、 灵活调度、 动态分配的逻 辑资源， 并基于这些逻辑资源在单个物理服务器上构建多个同时运行、 相互 隔离的虚拟机执行环境。 从而， 可实现更高的资源利用率、 更低的硬件采购 成本和能耗以及更低的维护成本。
然而， 网络^艮容易受到攻击， 攻击者墓改云平台软件或植入恶意代码， 攻击的目的是窃取数据或破坏软件的正常运行。 其中， 云平台软件指云计算 基础架构的软件环境， 包括计算节点上的虚拟化平台软件和管理节点上的云 管理软件。
现有技术中， 对已知的攻击行为， 防卫比较容易实现； 但对未知的攻击 行为， 通常采用的是开发智能行为分析系统， 比如： 分析用户行为或软件行 为， 判断是否为不友好的攻击行为等。 这种方法代价大、 算法复杂且防卫成 功率低。 发明内容
有鉴于此， 本发明实施例提供一种实现云计算网络防攻击的方法、 设备 和网络， 以解决防卫成功率低的问题。
第一方面， 提供了一种实现云计算网络防攻击的方法， 包括： 为计算节 点配置初始化的安全基线， 安全基线包括至少一个配置参数； 向计算节点发 送动态安全检测请求，其中动态安全检测请求包括至少一个配置参数用于计 算节点执行动态安全检测； 接收计算节点根据动态安全检测请求发送的、 通 过在安全执行环境中执行动态安全检测获得的动态安全检测结果； 根据动态 安全检测结果确定计算节点的安全基线是否更改； 如果计算节点的安全基线 已被更改， 则检测更改是否是用户主动修改； 如果更改为用户非主动修改， 则将计算节点的安全基线恢复到初始化的安全基线。
在第一种可能的实现方式中， 由用于加密且存储信息的硬件密码模块保 护安全基线安全可信。
结合第一方面或第一方面的第一种可能的实现方式，在第二种可能的实 现方式中， 安全基线包括的配置参数涉及以下一个或多个方面的配置内容： 基本输入输出系统 BIOS程序、 基本输入输出系统配置、 虚拟机管理程序、 虚拟机管理配置、 节点管理域程序、 节点管理域配置、 操作系统和数据库。
结合第一方面或第一方面的上述可能的实现方式，在第三种可能的实现 方式中，将新产品供应或版本升级时发布的安全基线值配置为所述计算节点 的初始化的安全基线。
结合第一方面或第一方面的第二至第三种的任一可能的实现方式，在第 四种可能的实现方式中， 在为计算节点配置初始化的安全基线前， 方法还包 括： 向计算节点发送初始化请求； 接收计算节点完成初始化后获得的初始化 安全检测结果； 相应， 为计算节点配置初始化的安全基线包括： 将初始化安 全检测结果配置为初始化的安全基线。
结合第一方面或第一方面的上述可能的实现方式，在第五种可能的实现 方式中， 向计算节点周期性发送动态安全检测请求； 或向计算节点发送要求 周期性动态安全检测的请求。
结合第一方面或第一方面的上述可能的实现方式，在第六种可能的实现 方式中，隔离计算节点；将计算节点上正运行的虚拟机迁移到其他计算节点； 将计算节点的安全基线恢复到初始化的安全基线， 其中方法还包括： 将计算 节点重新加入云计算网络。
结合第一方面或第一方面的上述可能的实现方式，在第七种可能的实现 方式中， 如果更改为用户主动修改， 则以更改后的安全基线取代计算节点的 初始化的安全基线。 第二方面， 提供了一种实现云计算网络防攻击的方法， 包括： 接收管理 节点的动态安全检测请求， 动态安全检测请求包括用于动态安全检测的安全 基线的配置参数； 根据动态安全检测请求， 在安全执行环境中执行动态安全 检测获得动态安全检测结果； 向管理节点发送动态安全检测结果。
在第一种可能的实现方式中， 由用于加密且存储信息的硬件密码模块保 护动态安全检测结果安全可信。
结合第二方面或第二方面的第一种可能的实现方式，在第二种可能的实 现方式中， 安全基线的配置参数涉及以下一个或多个方面的配置内容： 基本 输入输出系统 BIOS程序、 基本输入输出系统配置、 虚拟机管理程序、 虚拟 机管理配置、 节点管理域程序、 节点管理域配置、 操作系统和数据库。
结合第二方面或第二方面的上述可能的实现方式，在第三种可能的实现 方式中， 接收管理节点周期性发送的动态安全检测请求； 或接收管理节点发 送的要求周期性动态安全检测的请求。
结合第二方面或第二方面的上述可能的实现方式，在第四种可能的实现 方式中， 创建安全执行环境； 通过在所述安全执行环境中运行动态安全检测 程序以检测系统的安全状态； 输出检测后获得的动态安全检测结果。
第三方面， 提供了一种实现云计算网络防攻击的管理节点， 包括： 配置 模块， 用于为计算节点配置初始化的安全基线， 安全基线包括至少一个配置 参数； 发送模块， 用于向计算节点发送动态安全检测请求， 其中动态安全检 测请求包括所述至少一个配置参数用于计算节点执行动态安全检测；接收模 块， 用于接收计算节点根据发送模块发送的动态安全检测请求发送的、 通过 在安全执行环境中执行动态安全检测获得的动态安全检测结果； 确定模块， 用于根据接收模块接收的动态安全检测结果确定计算节点的安全基线是否 更改； 检测模块， 用于如果确定模块确定计算节点的安全基线已被更改， 则 检测更改是否是用户主动修改； 配置模块还用于如果检测模块检测到更改为 用户非主动修改， 则将计算节点的安全基线恢复到初始化的安全基线。
在第一种可能的实现方式中， 管理节点还包括保护模块， 保护模块用于 加密且存储信息以保护安全基线安全可信。
结合第三方面或第三方面的第一种可能的实现方式，在第二种可能的实 现方式中， 所述安全基线包括的配置参数涉及以下一个或多个方面的配置内 容： 基本输入输出系统 BIOS程序、 基本输入输出系统配置、 虚拟机管理程 序、 虚拟机管理配置、 节点管理域程序、 节点管理域配置、 操作系统和数据 库。
结合第三方面或第三方面的上述可能的实现方式，在第三种可能的实现 方式中，
结合第三方面或第三方面的第二种和第三种任一可能的实现方式，在第 四种可能的实现方式中， 发送模块， 还用于在为计算节点配置初始化的安全 基线前， 向计算节点发送初始化请求； 接收模块， 还用于接收计算节点根据 始化安全检测结果配置为初始化的安全基线。
结合第三方面或第三方面的上述可能的实现方式，在第五种可能的实现 方式中， 发送模块具体用于向计算节点周期性发送动态安全检测请求； 或向 计算节点发送要求周期性动态安全检测的请求。
结合第三方面或第三方面的上述可能的实现方式，在第六种可能的实现 方式中， 管理节点还包括隔离模块： 隔离模块， 用于隔离计算节点； 将计算 节点上正运行的虚拟机迁移到其他计算节点，还将计算节点的安全基线恢复 到初始化的安全基线， 然后将计算节点重新加入云计算网络。
结合第三方面或第三方面的上述可能的实现方式，在第七种可能的实现 方式中， 配置模块， 还用于如果更改为用户主动修改， 则以更改后的安全基 线取代计算节点的初始化的安全基线。
第四方面， 提供了一种实现云计算网络防攻击的计算节点， 包括： 接收 模块， 用于接收管理节点的动态安全检测请求， 动态安全检测请求包括用于 动态安全检测的安全基线的配置参数并发送到动态检测模块； 动态检测模 块， 用于根据接收模块接收的动态安全检测请求， 在安全执行环境中执行动 态安全检测获得动态安全检测结果； 发送模块， 用于向管理节点发送动态安 全检测结果。
在第一种可能的实现方式中， 计算节点还包括保护模块： 保护模块用于 加密且存储信息以保护动态安全检测结果安全可信。
结合第四方面或第四方面的第一种可能的实现方式，在第二种可能的实 现方式中， 所述安全基线的配置参数涉及以下一个或多个方面的配置内容： 基本输入输出系统 BIOS程序、 基本输入输出系统配置、 虚拟机管理程序、 虚拟机管理配置、 节点管理域程序、 节点管理域配置、 操作系统和数据库。 结合第四方面或第四方面的上述可能的实现方式，在第三种可能的实现 方式中， 接收模块具体用于接收管理节点周期性发送的动态安全检测请求； 或接收管理节点发送的要求周期性动态安全检测的请求。
结合第四方面或第四方面的上述可能的实现方式，在第四种可能的实现 方式中， 动态检测模块， 具体用于创建安全执行环境； 通过在所述安全执行 环境中运行动态安全检测程序以检测系统的安全状态； 输出检测后获得的动 态安全检测结果。
第五方面， 提供了一种实现云计算网络防攻击的管理节点， 包括： 处理 器、 存储器、 发送接口、 接收接口： 存储器， 用于存储处理器执行以下步骤 的指令； 处理器， 用于为计算节点配置初始化的安全基线， 安全基线包括至 少一个配置参数； 发送接口， 用于向计算节点发送动态安全检测请求， 其中 动态安全检测请求包括所述至少一个配置参数用于计算节点执行动态安全 检测； 接收接口， 用于接收计算节点根据发送接口发送的动态安全检测请求 发送的、 在安全执行环境中通过执行动态安全检测获得的动态安全检测结 果； 处理器， 还用于根据接收接口接收的动态安全检测结果确定计算节点的 安全基线是否更改； 如果处理器确定计算节点的安全基线已被更改， 则检测 更改是否是用户主动修改； 且还用于处理器检测到更改为用户非主动修改， 则将计算节点的安全基线恢复到初始化的安全基线。
在第一种可能的实现方式中， 管理节点还包括硬件密码模块： 硬件密码 模块用于加密且存储信息以保护安全基线安全可信。
结合第五方面或第五方面的第一种可能的实现方式，在第二种可能的实 现方式中， 所述安全基线包括的配置参数涉及以下一个或多个方面的配置内 容： 基本输入输出系统 BIOS程序、 基本输入输出系统配置、 虚拟机管理程 序、 虚拟机管理配置、 节点管理域程序、 节点管理域配置、 操作系统和数据 库。
结合第五方面或第五方面的上述可能的实现方式，在第三种可能的实现 方式中，处理器具体用于将新产品供应或版本升级时发布的安全基线值配置 为所述计算节点的初始化的安全基线。
结合第五方面或第五方面的第二种至第三种任一可能的实现方式，在第 四种可能的实现方式中， 发送接口， 还用于在为计算节点配置初始化的安全 基线前， 向计算节点发送初始化请求； 接收接口， 还用于接收计算节点根据 化安全检测结果配置为初始化的安全基线。
结合第五方面或第五方面的上述可能的实现方式，在第五种可能的实现 方式中， 发送接口具体用于向计算节点周期性发送动态安全检测请求； 或向 计算节点发送要求周期性动态安全检测的请求。
结合第五方面或第五方面的上述可能的实现方式，在第六种可能的实现 方式中， 处理器， 还用于隔离计算节点； 将计算节点上正运行的虚拟机迁移 到其他计算节点， 还将计算节点的安全基线恢复到初始化的安全基线， 然后 将计算节点重新加入云计算网络。
结合第五方面或第五方面的上述可能的实现方式，在第七种可能的实现 方式中， 处理器， 还用于如果更改为用户主动修改， 则以更改后的安全基线 取代计算节点的初始化的安全基线。
第六方面，提供了一种实现云计算网络防攻击的计算节点，包括处理器、 存储器、 接收接口和发送接口： 存储器， 用于存储处理器执行下述步骤的指 令； 接收接口， 用于接收管理节点的动态安全检测请求， 动态安全检测请求 包括用于动态安全检测的安全基线的配置参数； 处理器， 用于根据接收接口 接收的动态安全检测请求，在安全执行环境中执行动态安全检测获得动态安 全检测结果； 发送接口， 用于向管理节点发送动态安全检测结果。
在第一种可能的实现方式中， 计算节点还包括硬件密码模块： 硬件密码 模块用于加密且存储信息以保护动态安全检测结果安全可信。
结合第六方面或第六方面的第一种可能的实现方式，在第二种可能的实 现方式中， 所述安全基线的配置参数涉及以下一个或多个方面的配置内容： 基本输入输出系统 BIOS程序、 基本输入输出系统配置、 虚拟机管理程序、 虚拟机管理配置、 节点管理域程序、 节点管理域配置、 操作系统和数据库。
结合第六方面或第六方面的上述可能的实现方式，在第三种可能的实现 方式中， 接收接口具体用于接收管理节点周期性发送的动态安全检测请求； 或接收管理节点发送的要求周期性动态安全检测的请求。
结合第六方面或第六方面的上述可能的实现方式，在第四种可能的实现 方式中， 处理器， 具体用于创建安全执行环境； 通过在所述安全执行环境中 运行动态安全检测程序以检测系统的安全状态； 输出检测后获得的动态安全 检测结果。 第七方面， 提供了一种云计算网络， 包括上述任一项管理节点或计算节 点。
通过上述技术方案， 管理节点设置安全基线后， 要求计算节点执行动态 安全检测， 管理节点向计算节点发送动态安全检测请求， 计算节点根据动态 安全检测请求中安全基线的配置参数， 在安全执行环境中执行动态安全检 测， 管理节点根据动态安全检测的结果确定安全基线是否被更改， 进而执行 后续的安全步骤， 从而可以在受到攻击后， 在危害发生之前， 即时发现攻击 并及时清除， 将攻击的危害减到最小， 由此提高了防卫成功率。 附图说明
为了更清楚地说明本发明实施例的技术方案， 下面将对实施例或现有技 术描述中所需要使用的附图作筒单地介绍， 显而易见地， 下面描述中的附图 仅仅是本发明的一些实施例， 对于本领域普通技术人员来讲， 在不付出创造 性劳动的前提下， 还可以根据这些附图获得其他的附图。
图 1是本发明实施例的实现云计算网络防攻击的方法的示意流程图。 图 2 是本发明实施例的实现云计算网络防攻击的另一方法的示意流程 图。
图 3是本发明实施例的实现云计算网络防攻击的方法的示意交互图。 图 4 是本发明另一实施例的实现云计算网络防攻击的方法的示意交互 图。
图 5 是本发明实施例的计算节点执行动态安全检测的方法的示意流程 图。
图 6A和图 6B是本发明实施例的云计算网络中管理节点的示意框图。 图 7A和图 7B是本发明实施例的云计算网络中计算节点的示意框图。 图 8是本发明实施例的云计算网络中另一管理节点的示意框图。
图 9是本发明实施例的云计算网络中另一计算节点的示意框图。
图 10是本发明实施例的云计算网络的示意框图。 具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行 清楚、 完整地描述， 显然， 所描述的实施例是本发明一部分实施例， 而不是 全部的实施例。 基于本发明中的实施例， 本领域普通技术人员在没有做出创 造性劳动前提下所获得的所有其他实施例， 都属于本发明保护的范围。
恶意软件会在未明确提示用户或未经用户许可的情况下，在用户计算机 或其他终端上安装运行， 恶意收集用户信息， 侵害用户信息和财产安全。 常 见的安全软件具备防恶意软件功能， 通过特征码识别恶意软件的存在， 阻止 其安装和运行。
恶意攻击是指通过计算机网络发起的， 利用计算机系统的漏洞， 例如软 件缺陷、 配置错误等， 获取计算机系统权限的行为。 当前， 针对恶意软件例 如病毒、 木马软件等， 以及网络攻击行为， 采用的都是特征码匹配技术进行 检测和防护， 例如采用 IDS ( Intrusion Detection System, 入侵检测系统）或 IPS ( Intrusion Prevention System, 入侵防御系统）， 实时检测入侵行为， 根 据入侵行为进行防护； 采用防病毒软件实时检测文件、 内存中恶意代码的出 现， 禁止其运行。
这种方法， 针对已知的攻击行为， 比较容易实现。 对未知的攻击行为， 却无法判断。 恶意软件防护只能防卫安全软件可识别的恶意软件， 存在漏判 的可能性。 例如危害极大的 Oday ( 0日）攻击， 是利用未公开的软件系统漏 洞实施的攻击， 在 IDS或 IPS或防病毒软件中还没有能够识别的特征码， 无 法被检测到。 针对未知的攻击行为， 通常采用的开发智能识别系统代价大、 算法复杂且防卫成功率低。 如果系统的配置被人为或恶意软件修改， 网络安 全存在极大隐患。
现有技术要么对已知的攻击方法进行防卫，要么预测未知的攻击行为进 行防卫， 本发明实施例提供了一种新的防卫方式。 在本发明实施例中， 提供 了一种防卫的方法， 可以不用针对攻击方法进行， 而是在受到攻击后， 在危 害发生之前， 即时发现攻击并及时清除。 通常情况下， 在攻击发生的初始阶 段， 危害还没有发生， 例如数据还没有泄露， 如果及时处理， 可以将攻击的 危害减到最小。
图 1是本发明实施例的实现云计算网络防攻击的方法 10的示意流程图。 执行方法 10的设备可以是云计算网络中的云管理服务器， 筒称为管理节点。
511 , 为计算节点配置初始化的安全基线， 安全基线包括至少一个配置 参数。
512, 向计算节点发送动态安全检测请求， 其中动态安全检测请求包括 至少一个配置参数用于计算节点执行动态安全检测。
513 , 接收计算节点根据动态安全检测请求发送的、 通过在安全执行环 境中执行动态安全检测获得的动态安全检测结果。
514 , 根据动态安全检测结果确定计算节点的安全基线是否更改。
S15 , 当计算节点的安全基线已被更改时， 则检测更改是否是用户主动 修改。
S16, 当更改为用户非主动修改时， 则将计算节点的安全基线恢复到初 始化的安全基线。
本发明实施例通过管理节点设置安全基线后，要求计算节点执行动态安 全检测， 管理节点根据接收的动态安全检测的结果确定安全基线是否被更 改， 进而执行后续的安全步骤， 从而可以在受到攻击后， 在危害发生之前， 即时发现攻击并及时清除，将攻击的危害减到最小，由此提高了防卫成功率。
可选的， 作为不同的实施例， 由用于加密且存储信息的硬件密码模块保 护所述安全基线安全可信。
可选的， 作为不同的实施例， 安全基线包括的配置参数涉及以下一个或 多个方面的配置内容： 基本输入输出系统 BIOS程序、 基本输入输出系统配 置、虚拟机管理程序、虚拟机管理配置、 节点管理域程序、 节点管理域配置、 操作系统和数据库等， 但不限于上述内容。
可选的， 作为不同的实施例， 将新产品供应或版本升级时发布的安全基 线值配置为所述计算节点的初始化的安全基线。
可选的， 作为不同的实施例， 在所述为计算节点配置初始化的安全基线 前， 向所述计算节点发送初始化请求； 接收所述计算节点完成初始化后获得 的初始化安全检测结果；相应，所述为计算节点配置初始化的安全基线包括： 将所述初始化安全检测结果配置为所述初始化的安全基线。
可选的， 作为不同的实施例， 向所述计算节点发送动态安全检测请求， 具体包括： 向所述计算节点周期性发送动态安全检测请求； 或向所述计算节 点发送要求周期性动态安全检测的请求。
可选的， 作为不同的实施例， 将所述计算节点的安全基线恢复到所述初 始化的安全基线， 包括： 隔离所述计算节点； 将所述计算节点上正运行的虚 拟机迁移到其他计算节点； 将所述计算节点的安全基线恢复到所述初始化的 安全基线， 其中所述方法还包括： 将所述计算节点重新加入云计算网络。 可选的， 作为不同的实施例， 当所述更改为用户主动修改时， 则以更改 后的安全基线取代所述计算节点的初始化的安全基线。
图 2是本发明实施例的实现云计算网络防攻击的另一方法 20的示意流 程图。 执行方法 20的设备可以是云计算网络中的云计算服务器， 筒称为计 算节点。
521 , 接收管理节点的动态安全检测请求， 动态安全检测请求包括用于 动态安全检测的安全基线的配置参数。
522, 根据动态安全检测请求， 在安全执行环境中执行动态安全检测获 得动态安全检测结果。
S23, 向管理节点发送动态安全检测结果。
本发明实施例通过计算节点接收管理节点发送的动态安全检测请求，根 据动态安全检测请求中安全基线的配置参数，在安全执行环境中执行动态安 全检测， 管理节点根据动态安全检测的结果确定安全基线是否被更改， 进而 执行后续的安全步骤， 从而可以在受到攻击后， 在危害发生之前， 即时发现 攻击并及时清除， 将攻击的危害减到最小， 由此提高了防卫成功率。
可选的， 作为不同的实施例， 由用于加密且存储信息的硬件密码模块保 护所述动态安全检测结果安全可信。
可选的， 作为不同的实施例， 安全基线的配置参数涉及以下一个或多个 方面的配置内容： 基本输入输出系统 BIOS程序、 基本输入输出系统配置、 虚拟机管理程序、 虚拟机管理配置、 节点管理域程序、 节点管理域配置、 操 作系统和数据库， 但不限于上述内容。
可选的，作为不同的实施例，接收管理节点的动态安全检测请求， 包括： 接收所述管理节点周期性发送的动态安全检测请求； 或接收所述管理节 点发送的要求周期性动态安全检测的请求。
可选的， 作为不同的实施例， 执行动态安全检测， 包括： 创建安全执行 环境； 通过在所述安全执行环境中运行动态安全检测程序以检测系统的安全 状态； 输出检测后获得的动态安全检测结果。
图 3是本发明实施例的实现云计算网络防攻击的方法 300 的示意交互 图。 本文中术语"系统"和"网络"在本文中常被可互换使用。 云计算网络中包 括一个管理节点 301和其所管理的多个计算节点 302, 接下来出于筒洁， 仅 通过一个管理节点和一个计算节点说明本发明实施例中两者的交互。 S315 , 管理节点为计算节点配置初始化的安全基线。
管理节点在配置之前需要选择配置对象和配置内容。 配置对象可以是该 管理节点管理之下的所有计算节点， 也可以是一台或多台指定的计算节点； 配置内容可以选择。 安全基线包括至少一个配置参数， 配置参数可以涉及但 不限于以下一个或多个方面的配置内容： 基本输入输出系统（BIOS )程序、 BIOS 配置、 虚拟机管理程序、 虚拟机管理配置、 节点管理域程序、 节点管 理域配置、 操作系统和数据库等。
作为一种优选的实现方法， 上述配置参数可以是基本输入输出系统 ( BIOS )程序、 BIOS配置、 虚拟机管理程序、 虚拟机管理配置、 节点管理 域程序、 节点管理域配置、 操作系统和数据库等内容的数字指纹等， 但不限 于上述内容。 安全基线通过可信计算技术中的硬件密码模块进行保护。
在本实施例中， 管理节点使用的配置参数可以来自于云计算节点供应 商， 为在新产品供应或版本升级时发布的安全基线值。 或者， 可选的， 管理 节点使用的配置参数来自于云计算节点的初始化安全检测结果。
S320, 管理节点使用硬件密码模块保护安全基线安全可信。
可信计算技术是用来保护计算机系统的重要方法， 其重要应用是保护软 件的完整性。
硬件密码模块例如可信平台模块（ Trusted Platform Module, TPM )或可 信密码模块（Trusted Cryptography Module, TCM )等是可信计算的关键部 件， 它以密码技术为核心， 具有计算与存储功能， 支持数据保护、 身份证明 和完整性度量等， 可对软件进行完整性度量并提供度量报告， 这在云计算环 境中具有重要的应用价值。
通过虚拟化技术与可信计算技术的融合，我们可以对一些传统非虚拟化 计算机环境下的安全问题提出新的解决方法。传统的可信计算主要在系统启 动阶段进行， 利用硬件密码模块对运行的程序等进行度量以及检测。 而在虚 拟机系统中， 可以进一步使用硬件密码模块来主动检测目标程序或系统， 从 而对系统进行保护。 同时通过虚拟化技术、 SMM模式（ System Management Module, 系统管理模块 )或 Intel TXT ( Trusted Execution Technology, 可信 计算技术）等， 使得动态安全检测程序可以在独立、 不受干扰的环境中， 对 目标程序进行检测， 避免了恶意软件对其进行攻击与墓改。
硬件密码模块是一块安装在服务器主板上的硬件芯片。该硬件芯片同时 是一个以安全保密功能为特色的嵌入式计算系统，在物理安全方面例如硬件 封装、 功能接口标准化等方面具有防攻击、 防墓改、 防探测的能力， 可以保 证硬件密码模块自身以及内部数据不被非法攻击。 在技术安全方面， 硬件密 码模块采用了多种密码和访问控制技术。这些保护措施共同确保了硬件密码 模块自身的安全， 从而可以成为系统的硬件存储信任根和系统可信的基点。
通过用于加密且存储信息的硬件密码模块对安全基线进行保护， 进一步 提高了网络防攻击的能力。
S325 , 管理节点向计算节点发送动态安全检测请求。
管理节点向上述选定的一台或多台计算节点发送动态安全检测请求。动 态安全检测请求中包括安全基线的所有配置参数用于计算节点进行动态安 全检测。
可选的， 作为不同的实施例， 管理节点可以周期性地向计算节点发送动 态安全检测请求， 或者管理节点可以发送要求计算节点周期性动态安全检测 的请求。 合理平衡动态安全检测的频率有助于获得稳定的防卫成功率。
S330 , 计算节点根据动态安全检测请求， 在安全执行环境中执行动态安 全检测。
计算节点根据管理节点发送的请求中的内容，对安全基线的配置参数进 行动态安全检测。 本发明实施例可以使动态安全检测程序在独立、 不受干扰 的环境中， 也就是在安全执行环境中对目标程序进行检测， 避免了恶意软件 对动态安全检测程序进行攻击与墓改。 具体内容稍后由图 5的实施例说明。
S335 , 计算节点使用硬件密码模块保护动态安全检测结果安全可信。 如前所述，通过使用可信计算技术中的硬件密码模块对动态安全检测结 果保护，可以提高计算节点自身以及计算节点与管理节点之间通信时的防攻 击能力。
S340 , 计算节点将动态安全检测结果发送到管理节点。
S345 , 管理节点根据动态安全检测结果， 确定安全基线是否改变。 管理节点将初始化的安全基线中配置参数与计算节点反馈的动态安全 检测结果中的配置参数进行比较， 如果两者不符， 则确定安全基线被改变， 反之安全基线未更改。
如果安全基线未更改， 即 S345的 "否"， 则执行 S350。 如果安全基线 已更改， 即 S345的 "是" , 则执行 S355。 S350 , 安全基线未更改， 记录计算节点安全状态为正常。
该计算节点的动态安全检测结果符合其配置的安全基线， 则在管理节 点， 即云管理服务器中记录该计算节点的安全状态为正常。 对于该计算节点 的本次动态安全检测流程结束
S355 , 当安全基线已更改时， 则管理节点检测该更改是否是用户主动修 改。
如果该更改为用户主动修改， 即 S355的 "是" 则执行 S360; 如果该更 改为用户非主动修改， 即 S355的 "否" 则执行 S365。
可选的， 可以人工判断来确定修改是否为用户主动操作， 例如已知对计 算节点的软件或硬件正在进行升级。 或者， 可选的， 在获知例如计划中的主 动修改后设置一个时限， 该时限内的修改均认为是用户主动修改。 对各种判 断的实现方法， 本发明不做限定。
S360 ,管理节点以更改后的安全基线取代该计算节点的初始化的安全基 线。
接下来， 在随后的动态安全检测中， 管理节点以更改后的安全基线作为 标准， 与再次获得的动态安全检测结果进行比较。
S365 , 管理节点将该计算节点隔离。
计算节点的动态安全检测结果不符合其配置的安全基线， 当获知安全基 线的更改为用户非主动修改， 可以记录计算节点安全状态为异常。 同时， 优 选的， 查询预先配置的安全策略， 再执行查询到的安全策略。
举例来说， 例如虚拟机管理程序检测异常， 而安全策略配置为 "当虚拟 机管理程序检测异常时隔离计算节点"， 则管理节点隔离该计算节点： 不再 使用该计算节点的计算资源， 迁移正运行在该计算节点上的虚拟机到其它计 算节点。
安全策略是可选项，安全策略的内容也是可选项，本发明对此不做限定。
S370,管理节点将所述计算节点的安全基线恢复到所述初始化的安全基 线。
管理节点将计算节点已更改的配置参数恢复，从而将该计算节点的安全 基线恢复到初始化的安全基线。
S375 , 恢复的计算节点重新加入云计算网络。
本发明实施例通过管理节点设置安全基线后，要求计算节点执行动态安 全检测， 管理节点根据接收的动态安全检测的结果确定安全基线是否被更 改， 进而执行后续的安全步骤， 例如隔离该计算节点， 修复该计算节点的安 全基线， 然后将该计算节点重新加入云计算网络， 从而可以在受到攻击后， 在危害发生之前， 即时发现攻击并及时清除， 将攻击的危害减到最小， 由此 提高了防卫成功率。
图 4是本发明另一实施例的实现云计算网络防攻击的方法 400的示意交 互图。 方法 400与方法 300不同之处在于如何配置安全基线。 方法 400中管 理节点使用的配置参数来自于云计算节点的初始化安全检测结果。
S401 , 管理节点向计算节点发送节点初始化请求。
初始化请求中包括安全基线的配置参数，要求计算节点根据配置参数执 行安全检测并上报检测结果。
S405 , 计算节点根据初始化请求进行初始化并获得初始化安全检测结 果。
计算节点的初始化过程中可以包括常规的初始化检测。安全基线的配置 参数可以包括常规的初始化检测的内容， 检测后获得初始化安全检测结果。
S410, 计算节点向管理节点发送初始化安全检测结果。
S415 , 管理节点根据初始化安全检测结果配置安全基线。
可选的，作为另一实施例， 当多个计算节点具有相同的软、硬件配置时， 只要初始化安全检测一个计算节点获得初始化安全检测结果， 接下来， 将初 始化安全检测结果配置为该计算节点的安全基线后， 可以将该安全基线配置 给其余的计算节点， 而不需要对每个节点执行初始化安全检测。
接下来， 方法 400与方法 300类似。
S320， 管理节点使用硬件密码模块保护安全基线安全可信。
可信计算技术是用来保护计算机系统的重要方法。可信计算技术的重要 应用是保护软件的完整性。
硬件密码模块例如可信平台模块（ Trusted Platform Module, TPM )或可 信密码模块（Trusted Cryptography Module, TCM )等是可信计算的关键部 件， 它以密码技术为核心， 具有计算与存储功能， 支持数据保护、 身份证明 和完整性度量等， 可对软件进行完整性度量并提供度量报告， 这在云计算环 境中具有重要的应用价值。
通过虚拟化技术与可信计算技术的融合，我们可以对一些传统非虚拟化 计算机环境下的安全问题提出新的解决方法。传统的可信计算主要在系统启 动阶段进行， 利用硬件密码模块对运行的程序等进行度量以及检测。 而在虚 拟机系统中， 可以进一步使用硬件密码模块来主动检测目标程序或系统， 从 而对系统进行保护。 同时通过虚拟化技术、 SMM模式（ System Management Module, 系统管理模块）或 Intel TXT ( Trusted Execution Technology, 可信 计算技术）等， 使得动态安全检测程序可以在独立、 不受干扰的环境中， 对 目标程序进行检测， 避免了恶意软件对其进行攻击与墓改。
硬件密码模块是一块安装在服务器主板上的硬件芯片。该硬件芯片同时 是一个以安全保密功能为特色的嵌入式计算系统，在物理安全方面例如硬件 封装、 功能接口标准化等方面具有防攻击、 防墓改、 防探测的能力， 可以保 证硬件密码模块自身以及内部数据不被非法攻击。 在技术安全方面， 硬件密 码模块采用了多种密码和访问控制技术。这些保护措施共同确保了硬件密码 模块自身的安全， 从而可以成为系统的硬件存储信任根和系统可信的基点。
通过硬件密码模块对安全基线进行保护， 进一步提高了网络防攻击的能 力。
S325 , 管理节点向计算节点发送动态安全检测请求。
管理节点向上述选定的一台或多台计算节点发送动态安全检测请求。动 态安全检测请求中包括安全基线的所有配置参数用于计算节点进行动态安 全检测。
可选的， 作为不同的实施例， 管理节点可以周期性地向计算节点发送动 态安全检测请求， 或者管理节点可以发送要求计算节点周期性动态安全检测 的请求。 合理平衡动态安全检测的频率有助于获得稳定的防卫成功率。
S330, 计算节点根据动态安全检测请求， 在安全执行环境中执行动态安 全检测。
计算节点根据管理节点发送的请求中的内容，对安全基线的配置参数进 行动态安全检测。 本发明实施例可以使动态安全检测程序在独立、 不受干扰 的环境中， 也就是在安全执行环境中对目标程序进行检测， 避免了恶意软件 对动态安全检测程序进行攻击与墓改。 具体内容稍后由图 5的实施例说明。
S335 , 计算节点使用硬件密码模块保护动态安全检测结果安全可信。 如前所述，通过使用可信计算技术中的硬件密码模块对动态安全检测结 果保护，可以提高计算节点自身以及计算节点与管理节点之间通信时的防攻 击能力。
S340 , 计算节点将动态安全检测结果发送到管理节点。
S345 , 管理节点根据动态安全检测结果， 确定安全基线是否改变。
如果安全基线未更改， 即 S345的 "否"， 则执行 S350。 如果安全基线 已更改， 即 S345的 "是"， 则执行 S355。
S350 , 安全基线未更改， 记录计算节点安全状态为正常。
S355 , 当安全基线已更改时， 则管理节点检测该更改是否是用户主动修 改。
如果该更改为用户主动修改， 即 S355的 "是" 则执行 S360; 如果该更 改为用户非主动修改， 即 S355的 "否" 则执行 S365。
S360 ,管理节点以更改后的安全基线取代该计算节点的初始化的安全基 线。
S365 , 管理节点将该计算节点隔离。
S370 ,管理节点将所述计算节点的安全基线恢复到所述初始化的安全基 线。
S375 , 恢复的计算节点重新加入云计算网络。
本发明实施例管理节点首先向计算节点发送初始化请求，要求计算节点 执行初始化安全检测， 根据得到的初始化安全检测结果， 管理节点设置安全 基线， 接下来管理节点发送请求要求计算节点执行动态安全检测， 并根据接 收的动态安全检测的结果确定安全基线是否被更改， 进而执行后续的安全步 骤， 例如隔离该计算节点， 修复该计算节点的安全基线， 然后将该计算节点 重新加入云计算网络， 从而可以在受到攻击后， 在危害发生之前， 即时发现 攻击并及时清除， 将攻击的危害减到最小， 由此提高了防卫成功率。
图 5是本发明实施例的计算节点执行动态安全检测的方法 500的示意流 程图。 其中， 计算节点首先创建安全执行环境， 接着通过在该安全执行环境 中运行动态安全检测程序以检测系统的安全状态， 最后输出检测后获得的动 态安全检测结果， 具体内容如下。
S510 , 计算节点启动安全状态检测过程。
如前所述，可选的，该过程可以由周期性接收到的管理节点的请求触发。 或者， 当从动态安全检测请求中获知要求周期性检测的周期和内容后， 计算 节点内的周期性定时器触发检测过程。 S515 , 计算节点中断和保存当前计算节点的执行环境。
当前计算节点的执行环境包括 CPU状态寄存器的值、 中断处理程序入 口地址等， 以便检测完成后能够恢复系统运行， 且不影响业务的连续性。
S520, 计算节点冻结除 BSP ( Boot Strap Processor, 启动捆绑处理器） 之外其它的中央处理器（ CPU )。
即保证只有 BSP在运行，避免其他处理器继续运行业务从而干扰安全状 态检测的执行。
S525 , 计算节点设置 BSP进入安全执行环境。
本发明实施例的安全执行环境是一种特殊的执行模式， 其中运行的代码 是预先设置的安全可信代码， 运行中不会受到中断等干扰。 在安全执行环境 中运行安全可信代码可以成为动态安全状态检测过程的度量信任根，代替了 计算节点启动时位于 BIOS中的度量信任根， 也就是安全检测信任根。 可以 选用的安全执行环境有： SMM模式（System Management Module, 系统管 理模块；)、 Intel TXT ( Trusted Execution Technology, 可信计算技术）等。
S530, 在安全执行环境中加载安全可信代码， 检验安全可信代码的数字 签名以保证安全可信代码安全可信。
其中， 安全可信代码也就是上下文中的动态安全检测程序。
S535 , 通过安全执行环境中运行安全可信代码检测系统的安全状态。 动态安全检测内容可包括： BIOS软件、 BIOS配置、 虚拟机管理程序、 虚拟机管理配置、节点管理域程序、节点管理域配置、操作系统和数据库等。 可选的， 对这些内容的动态安全检测优选地是通过哈希 （Hash )算法， 如： SHA-1、 SHA-256, SM3等计算被检测信息内容的数字指纹。
S540, 检测完成后唤醒除 BSP之外的中央处理器， 恢复检测前的执行 环境。
S545, 输出动态安全检测结果。
将各部分的 Hash计算结果， 也就是数字指纹作为动态安全检测结果输 出。 可选的， 动态安全检测结果由该计算节点的硬件密码模块保护， 即执行 加密和存储。 硬件密码模块从硬件封装、 功能接口标准化等各方面都保证了 保存于其中的信息不能被随意更改， 利用这个特点可以保护动态检测结果。 此外，硬件密码模块具有身份数字证书，传输动态检测结果前进行数字签名， 可以确保传输信息的完整性， 也就是不被墓改。 动态安全检测和启动时安全检测所检测的配置内容可以相同，也可以不 同。 即使动态安全检测和启动时安全检测可以检测相同的配置内容， 例如： 虚拟机管理软件、 虚拟机管理配置、 节点管理域程序、 节点管理域配置等， 但它们必须采用不同的方式进行。 这是因为， 启动时安全检测的度量信任根 来自于 BIOS, 而动态检测时无法利用 BIOS 中的度量信任根， 必须采取新 的方法构建这个度量信任根。 此外， 启动时安全检测的检查内容都只能在系 统启动期间， 启动之后不会再次检测。 因此， 图 5中， 本发明实施例中实现 的动态安全检测是对计算节点启动时安全检测的必要补充，确保了计算节点 在运行期间软件和配置的一致性， 达到实时防攻击的效果。
图 6A是本发明实施例的云计算网络中管理节点 60的示意框图。管理节 点 60包括配置模块 61、 发送模块 62、 接收模块 63、 确定模块 64和检测模 块 65。
配置模块 61 为计算节点配置初始化的安全基线， 所述安全基线包括至 少一个配置参数。
发送模块 62向所述计算节点发送动态安全检测请求， 其中所述动态安 全检测请求包括所述配置模块使用的所述至少一个配置参数用于所述计算 节点执行动态安全检测。
接收模块 63接收所述计算节点根据所述发送模块发送的所述动态安全 检测请求发送的、通过在安全执行环境中执行动态安全检测获得的动态安全 检测结果。
确定模块 64根据所述接收模块接收的所述动态安全检测结果确定所述 计算节点的安全基线是否更改。
检测模块 65当所述确定模块确定所述计算节点的安全基线已被更改时， 则检测所述更改是否是用户主动修改。
所述配置模块 61还用于当所述检测模块检测到所述更改为用户非主动 修改时， 则将所述计算节点的安全基线恢复到所述初始化的安全基线。
本发明实施例的管理节点设置安全基线，接下来管理节点发送请求要求 计算节点执行动态安全检测， 并根据接收的动态安全检测的结果确定安全基 线是否被更改， 进而执行后续的安全步骤， 从而可以在受到攻击后， 在危害 发生之前， 即时发现攻击并及时清除， 将攻击的危害减到最小， 由此提高了 防卫成功率。 可选的， 如图 6B所示， 另一种实现方式中， 管理节点 60还可以包括保 护模块 66和隔离模块 67。
可选的， 作为不同的实施例， 保护模块 66加密且存储信息以保护所述 安全基线安全可信。
可选的， 作为不同的实施例， 配置模块 61使用的所述安全基线包括的 配置参数涉及以下一个或多个方面的配置内容： 基本输入输出系统 BIOS程 序、 基本输入输出系统配置、 虚拟机管理程序、 虚拟机管理配置、 节点管理 域程序、 节点管理域配置、 操作系统和数据库， 但不限于上述内容。
可选的， 作为不同的实施例， 配置模块 64将新产品供应或版本升级时 发布的安全基线值配置为所述计算节点的初始化的安全基线。
可选的， 作为不同的实施例， 发送模块 62还在所述为计算节点配置初 始化的安全基线前， 向所述计算节点发送初始化请求； 接收模块 63还接收 所述计算节点根据所述初始化请求完成初始化后获得的初始化安全检测结 果； 相应， 配置模块 64将所述初始化安全检测结果配置为所述初始化的安 全基线。
可选的， 作为不同的实施例， 发送模块 62具体向所述计算节点周期性 发送动态安全检测请求； 或向所述计算节点发送要求周期性动态安全检测的 请求
可选的， 作为不同的实施例， 隔离模块 67 隔离所述计算节点； 将所述 计算节点上正运行的虚拟机迁移到其他计算节点，还将所述计算节点的安全 基线恢复到所述初始化的安全基线， 然后将所述计算节点重新加入云计算网 络。
可选的， 作为不同的实施例， 配置模块， 还用于当所述更改为用户主动 修改时， 则以更改后的安全基线取代所述计算节点的初始化的安全基线。
管理节点 60实现了图 1至图 4中的实施例， 具体细节参见上述说明。 图 7是本发明实施例的云计算网络中计算节点 70的示意框图。 计算节 点包括接收模块 71、 动态检测模块 72和发送模块 73。
接收模块 71接收管理节点的动态安全检测请求， 所述动态安全检测请 求包括用于动态安全检测的安全基线的配置参数并发送到所述动态检测模 块；
动态检测模块 72根据所述接收模块接收的所述动态安全检测请求， 在 安全执行环境中执行动态安全检测获得动态安全检测结果并发送到所述发 送模块； 本发明实施例的计算节点接收管理节点发送的动态安全检测请求，根据 动态安全检测请求中安全基线的配置参数，在安全执行环境中执行动态安全 检测， 管理节点根据动态安全检测的结果确定安全基线是否被更改， 进而执 行后续的安全步骤， 从而可以在受到攻击后， 在危害发生之前， 即时发现攻 击并及时清除， 将攻击的危害减到最小， 由此提高了防卫成功率。
可选的， 作为另一种实现方式， 如图 7B所示， 计算节点 70还可以包括 保护模块 74。
保护模块 74加密且存储信息以保护所述动态安全检测结果安全可信 此外， 作为不同的实施例， 可选的， 接收模块 71接收的所述安全基线 的配置参数涉及以下一个或多个方面的配置内容： 基本输入输出系统 BIOS 程序、 基本输入输出系统配置、 虚拟机管理程序、 虚拟机管理配置、 节点管 理域程序、 节点管理域配置、 操作系统和数据库， 但不限于上述内容。
作为不同的实施例， 可选的， 接收模块 71具体接收所述管理节点周期 性发送的动态安全检测请求； 或接收所述管理节点发送的要求周期性动态安 全检测的请求。
作为不同的实施例， 可选的， 动态检测模块 72具体创建安全执行环境； 通过在所述安全执行环境中运行动态安全检测程序以检测系统的安全状态； 输出检测后获得的动态安全检测结果。
计算节点 70实现了图 1至图 5中任一的实施例， 具体细节参见上述说 明。
图 8是本发明实施例的云计算网络中另一管理节点 80的示意框图。 管 理节点 80包括处理器 81、 存储器 82、 发送接口 83、 接收接口 84, 可选的， 还可以包括硬件密码模块 85。
存储器 82存储所述处理器执行以下步骤的指令。
处理器 81 为计算节点配置初始化的安全基线， 所述安全基线包括至少 一个配置参数。
发送接口 83向所述计算节点发送动态安全检测请求， 其中所述动态安 全检测请求包括所述处理器使用的所述至少一个配置参数用于所述计算节 点执行动态安全检测。
接收接口 84接收所述计算节点根据所述发送接口发送的所述动态安全 检测请求发送的、通过在安全执行环境中执行动态安全检测获得的动态安全 检测结果。
处理器 81还根据所述接收接口接收的所述动态安全检测结果确定所述 计算节点的安全基线是否更改； 当所述处理器确定所述计算节点的安全基线 已被更改时， 则检测所述更改是否是用户主动修改； 且还用于当所述处理器 检测到所述更改为用户非主动修改时， 则将所述计算节点的安全基线恢复到 所述初始化的安全基线。
上述本发明实施例揭示的方法可以应用于处理器 81 中， 或者由处理器
81实现。 在实现过程中， 上述方法的各步骤可以通过处理器 81中的硬件的 集成逻辑电路或者软件形式的指令完成。 上述的处理器 81可以是通用处理 器、 数字信号处理器 （DSP )、 专用集成电路（ ASIC )、 现成可编程门阵列 ( FPGA )或者其他可编程逻辑器件、 分立门或者晶体管逻辑器件、 分立硬 图。 通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器 等。 结合本发明实施例所公开的方法的步骤可以直接体现为硬件处理器执行 完成， 或者用硬件处理器中的硬件及软件模块组合执行完成。 软件模块可以 位于随机存储器， 闪存、 只读存储器， 可编程只读存储器或者电可擦写可编 程存储器、 寄存器等本领域成熟的存储介质中。 该存储介质位于存储器 82, 处理器 81读取存储器 82中的信息， 结合其硬件完成上述方法的步骤。
可选的， 作为另一种实现方式， 管理节点 80还可以包括硬件密码模块 85, 硬件密码模块 85加密且存储信息以保护所述安全基线安全可信。
可选的， 作为不同的实施例， 处理器 81使用的所述安全基线包括的配 置参数涉及以下一个或多个方面的配置内容:基本输入输出系统 BIOS程序、 基本输入输出系统配置、 虚拟机管理程序、 虚拟机管理配置、 节点管理域程 序、 节点管理域配置、 操作系统和数据库等， 但不限于以上内容。
可选的， 作为不同的实施例， 处理器 81可以将新产品供应或版本升级 时发布的安全基线值配置为所述计算节点的初始化的安全基线。
可选的， 作为不同的实施例， 发送接口 83还在所述为计算节点配置初 始化的安全基线前， 向所述计算节点发送初始化请求； 所述接收接口， 还用 于接收所述计算节点根据所述初始化请求完成初始化后获得的初始化安全 检测结果； 相应， 所述处理器将所述初始化安全检测结果配置为所述初始化 的安全基线。
可选的， 作为不同的实施例， 发送接口 83具体向所述计算节点周期性 发送动态安全检测请求； 或向所述计算节点发送要求周期性动态安全检测的 请求。
可选的， 作为不同的实施例， 处理器 81还隔离所述计算节点； 将所述 计算节点上正运行的虚拟机迁移到其他计算节点，还将所述计算节点的安全 基线恢复到所述初始化的安全基线， 然后将所述计算节点重新加入云计算网 络。
可选的， 作为不同的实施例， 处理器 81还当所述更改为用户主动修改 时， 则以更改后的安全基线取代所述计算节点的初始化的安全基线。
管理节点 80实现了图 1至图 4中的任一实施例， 具体细节参见上述说 明。
本发明实施例通过管理节点设置安全基线后，要求计算节点执行动态安 全检测， 管理节点根据接收的动态安全检测的结果确定安全基线是否被更 改， 进而执行后续的安全步骤， 从而可以在受到攻击后， 在危害发生之前， 即时发现攻击并及时清除，将攻击的危害减到最小，由此提高了防卫成功率。
图 9是本发明实施例的云计算网络中另一计算节点 90的示意框图。 计 算节点 90包括处理器 91、存储器 92、接收接口 93和发送接口 94, 可选的， 还可以包括硬件密码模块 95。
存储器 92存储所述处理器执行下述步骤的指令。
接收接口 93接收管理节点的动态安全检测请求， 所述动态安全检测请 求包括用于动态安全检测的安全基线的配置参数并发送到所述处理器。
处理器 91根据所述接收接口接收的所述动态安全检测请求， 在安全执 发送接口 94向所述管理节点发送所述动态安全检测结果。
上述本发明实施例揭示的方法可以应用于处理器 91 中， 或者由处理器
81实现。 在实现过程中， 上述方法的各步骤可以通过处理器 91中的硬件的 集成逻辑电路或者软件形式的指令完成。 上述的处理器 91可以是通用处理 器、 数字信号处理器 （DSP )、 专用集成电路（ ASIC )、 现成可编程门阵列 ( FPGA )或者其他可编程逻辑器件、 分立门或者晶体管逻辑器件、 分立硬 图。 通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器 等。 结合本发明实施例所公开的方法的步骤可以直接体现为硬件处理器执行 完成， 或者用硬件处理器中的硬件及软件模块组合执行完成。 软件模块可以 位于随机存储器， 闪存、 只读存储器， 可编程只读存储器或者电可擦写可编 程存储器、 寄存器等本领域成熟的存储介质中。 该存储介质位于存储器 92, 处理器 91读取存储器 92中的信息， 结合其硬件完成上述方法的步骤。
可选的， 作为另一种实现方式， 计算节点 90还可以包括硬件密码模块 95, 硬件密码模块 95加密且存储信息以保护所述动态安全检测结果安全可 信。
可选的， 作为不同的实施例， 接收接口 93接收的所述安全基线的配置 参数涉及以下一个或多个方面的配置内容： 基本输入输出系统 BIOS程序、 基本输入输出系统配置、 虚拟机管理程序、 虚拟机管理配置、 节点管理域程 序、 节点管理域配置、 操作系统和数据库， 但不限于上述内容。
可选的， 作为不同的实施例， 接收接口 93具体接收所述管理节点周期 性发送的动态安全检测请求； 或接收所述管理节点发送的要求周期性动态安 全检测的请求。
可选的， 作为不同的实施例， 处理器 91具体创建安全执行环境； 通过 在所述安全执行环境中运行动态安全检测程序以检测系统的安全状态； 输出 检测后获得的动态安全检测结果。
计算节点 90实现了图 1至图 5中任一的实施例， 具体细节参见上述说 明。
本发明实施例通过计算节点接收管理节点发送的动态安全检测请求，根 据动态安全检测请求中安全基线的配置参数， 在安全执行环境中执行动态安 全检测， 管理节点根据动态安全检测的结果确定安全基线是否被更改， 进而 执行后续的安全步骤， 从而可以在受到攻击后， 在危害发生之前， 即时发现 攻击并及时清除， 将攻击的危害减到最小， 由此提高了防卫成功率。
图 10是本发明实施例的云计算网络 100的示意框图。 云计算网络 100 也可以称为云计算系统， 包括一个管理节点和多个计算节点， 可以实现图 1 至图 5中本发明的实施例。 其中， 管理节点 101也可以称为云管理服务器， 所管理的计算节点有 n-1个， 如图中 102至 10η所示， 其中 n为正整数。 管 理节点和计算节点之间可以通过既有的各种网络连接方式通信。
作为本发明实施例的一种实现方式， 管理节点 101可以包括节点初始化 模块 1011、硬件密码模块 1012,安全策略管理模块 1013和安全隔离模块 1014 等； 计算节点 102至 10η可以包括安全状态动态检测模块 1021和硬件密码 模块 1022。 下面筒单介绍一下各节点及其单元的主用作用。
管理节点 101: 用于管理、 维护和分配 IT ( Information Technology, 信 息技术）资源的系统， IT资源包括计算资源、 存储资源、 网络资源等。 通常 只有具有特定权限的云管理员才能通过管理节点发起安全状态动态检测和 节点初始化等流程。
安全策略管理模块 1013: 可以是可选项，用于管理安全状态动态检测结 果发生异常时系统采取的应对策略， 可以预设置， 例如一种安全策略为： 隔 离该节点，并对该节点进行配置初始化，恢复到安全配置基线的状态,重新加 入云计算网络。
安全隔离模块 1014: 为安全策略的执行单元，用于执行隔离计算节点的 安全策略。 安全隔离模块 1014与前述管理节点中的隔离模块或处理器的功 能相同或相似。
节点初始化模块 1011:用于当新计算节点加入到云管理服务器的管理之 下时， 或者计算节点的软件版本、 配置发生改变之后， 生成或刷新安全状态 检测的安全基线的配置参数。安全基线的配置参数涉及以下一个或多个方面 的配置内容： 基本输入输出系统 BIOS程序、 基本输入输出系统配置、 虚拟 机管理程序、 虚拟机管理配置、 节点管理域程序、 节点管理域配置、 操作系 统和数据库。 安全隔离模块 1014与前述管理节点中的配置模块或处理器的 功能相同或相似。
硬件密码模块 1012:硬件形式的密码模块，提供随机数生成、密码算法、 机密信息存储等功能， 如 TPM或 TCM。 在本发明实施例中， 管理节点的硬 件密码模块 1012用于保护安全基线的安全可信。硬件密码模块 1012与前述 管理节点中的保护模块或硬件密码模块的功能相同或相似。
计算节点 102: 用于提供云环境中计算资源的物理服务器。
安全状态动态监测模块 1021: 创建安全运行环境，避免业务运行流程或 恶意软件对检测过程的干扰； 在安全运行环境中对计算节点的安全状态进行 检测， 并将检测结果安全可信的传送给云管理服务器。 安全状态动态监测模 块 1021与前述计算节点中的动态检测模块或处理器的功能相同或相似。
硬件密码模块 1022:硬件形式的密码模块，提供随机数生成、密码算法、 机密信息存储等功能， 如 TPM/TCM。 在本发明实施例中， 计算节点中的硬 件密码模块用于保护动态安全检测结果的安全可信。 硬件密码模块 1022与 前述计算节点中的保护模块或硬件密码模块的功能相同或相似。
在该云计算网络中， 管理节点设置安全基线后， 要求计算节点执行动态 安全检测， 管理节点向计算节点发送动态安全检测请求， 计算节点根据动态 安全检测请求中安全基线的配置参数， 在安全执行环境中执行动态安全检 测， 管理节点根据动态安全检测的结果确定安全基线是否被更改， 进而执行 后续的安全步骤， 从而可以在受到攻击后， 在危害发生之前， 即时发现攻击 并及时清除， 将攻击的危害减到最小， 由此提高了防卫成功率。
本领域普通技术人员可以意识到， 结合本文中所公开的实施例描述的各 示例的单元及算法步骤， 能够以电子硬件、 或者计算机软件和电子硬件的结 合来实现。 这些功能究竟以硬件还是软件方式来执行， 取决于技术方案的特 定应用和设计约束条件。 专业技术人员可以对每个特定的应用来使用不同方 法来实现所描述的功能， 但是这种实现不应认为超出本发明的范围。
所属领域的技术人员可以清楚地了解到， 为描述的方便和筒洁， 上述描 述的系统、 装置和单元的具体工作过程， 可以参考前述方法实施例中的对应 过程， 在此不再赘述。
在本申请所提供的几个实施例中， 应该理解到， 所揭露的系统、 装置和 方法， 可以通过其它的方式实现。 例如， 以上所描述的装置实施例仅仅是示 意性的， 例如， 所述单元的划分， 仅仅为一种逻辑功能划分， 实际实现时可 以有另外的划分方式， 例如多个单元或组件可以结合或者可以集成到另一个 系统， 或一些特征可以忽略， 或不执行。 另一点， 所显示或讨论的相互之间 的耦合或直接耦合或通信连接可以是通过一些接口， 装置或单元的间接耦合 或通信连接， 可以是电性， 机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作 为单元显示的部件可以是或者也可以不是物理单元， 即可以位于一个地方， 或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或 者全部单元来实现本实施例方案的目的。 另外， 在本发明各个实施例中的各功能单元可以集成在一个处理单元 中， 也可以是各个单元单独物理存在， 也可以两个或两个以上单元集成在一 个单元中。
所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使 用时， 可以存储在一个计算机可读取存储介质中。 基于这样的理解， 本发明 的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部 分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质 中， 包括若干指令用以使得一台计算机设备（可以是个人计算机， 服务器， 或者网络设备等）执行本发明各个实施例所述方法的全部或部分步骤。 而前 述的存储介质包括： U盘、移动硬盘、只读存储器（ ROM , Read-Only Memory )、 随机存取存储器（RAM, Random Access Memory ), 磁碟或者光盘等各种可 以存储程序代码的介质。
以上所述， 仅为本发明的具体实施方式， 但本发明的保护范围并不局限 于此， 任何熟悉本技术领域的技术人员在本发明揭露的技术范围内， 可轻易 想到变化或替换， 都应涵盖在本发明的保护范围之内。 因此， 本发明的保护 范围应所述以权利要求的保护范围为准。

Claims

权利要求
1、 一种实现云计算网络防攻击的方法， 其特征在于， 包括：
为计算节点配置初始化的安全基线， 所述安全基线包括至少一个配置参 数；
向所述计算节点发送动态安全检测请求， 其中所述动态安全检测请求包 括所述至少一个配置参数用于所述计算节点执行动态安全检测；
接收所述计算节点根据所述动态安全检测请求发送的、通过在安全执行 环境中执行动态安全检测获得的动态安全检测结果；
根据所述动态安全检测结果确定所述计算节点的安全基线是否更改； 如果所述计算节点的安全基线已被更改， 则检测所述更改是否是用户主 动修改；
如果所述更改为用户非主动修改， 则将所述计算节点的安全基线恢复到 所述初始化的安全基线。
2、 根据权利要求 1所述的方法， 其特征在于， 由用于加密且存储信息 的硬件密码模块保护所述安全基线安全可信。
3、 根据权利要求 1或 2所述的方法， 其特征在于， 所述安全基线包括 的配置参数涉及以下一个或多个方面的配置内容：
基本输入输出系统程序、 基本输入输出系统配置、 虚拟机管理程序、 虚 拟机管理配置、 节点管理域程序、 节点管理域配置、 操作系统和数据库。
4、 根据权利要求 1至 3任一项所述的方法， 其特征在于， 所述为计算 节点配置初始化的安全基线， 包括：
将新产品供应或版本升级时发布的安全基线值配置为所述计算节点的 初始化的安全基线。
5、 根据权利要求 1至 3任一项所述的方法， 其特征在于， 在所述为计 算节点配置初始化的安全基线前， 所述方法还包括：
向所述计算节点发送初始化请求；
接收所述计算节点完成初始化后获得的初始化安全检测结果； 相应地， 所述为计算节点配置初始化的安全基线包括： 将所述初始化安 全检测结果配置为所述计算节点的初始化的安全基线。
6、 根据权利要求 1至 4任一项所述的方法， 其特征在于， 所述向所述 计算节点发送动态安全检测请求， 具体包括： 向所述计算节点周期性发送动态安全检测请求； 或向所述计算节点发送 要求周期性动态安全检测的请求。
7、 根据权利要求 1至 5任一项所述的方法， 其特征在于， 所述将所述 计算节点的安全基线恢复到所述初始化的安全基线 , 包括：
隔离所述计算节点；
将所述计算节点上正运行的虚拟机迁移到其他计算节点；
将所述计算节点的安全基线恢复到所述初始化的安全基线， 其中所述方 法还包括： 将所述计算节点重新加入云计算网络。
8、 根据权利要求 1至 6任一项所述的方法， 其特征在于， 所述方法还 包括：
如果所述更改为用户主动修改， 则以更改后的安全基线取代所述计算节 点的初始化的安全基线。
9、 一种实现云计算网络防攻击的方法， 其特征在于， 包括：
接收管理节点的动态安全检测请求， 所述动态安全检测请求包括用于动 态安全检测的安全基线的配置参数；
根据所述动态安全检测请求执行动态安全检测获得动态安全检测结果； 向所述管理节点发送所述动态安全检测结果。
10、 根据权利要求 9所述的方法， 其特征在于， 由用于加密且存储信息 的硬件密码模块保护所述动态安全检测结果安全可信。
11、 根据权利要求 9或 10所述的方法， 其特征在于， 所述安全基线的 配置参数涉及以下一个或多个方面的配置内容：
基本输入输出系统程序、 基本输入输出系统配置、 虚拟机管理程序、 虚 拟机管理配置、 节点管理域程序、 节点管理域配置、 操作系统和数据库。
12、 根据权利要求 9至 11任一项所述的方法， 其特征在于， 所述接收 管理节点的动态安全检测请求， 包括：
接收所述管理节点周期性发送的动态安全检测请求； 或
接收所述管理节点发送的要求周期性动态安全检测的请求。
13、 根据权利要求 9至 12任一项所述的方法， 其特征在于， 所述执行 动态安全检测， 包括：
创建安全执行环境；
通过在所述安全执行环境中运行动态安全检测程序以检测系统的安全 状态；
输出检测后获得的动态安全检测结果。
14、 一种实现云计算网络防攻击的管理节点， 其特征在于， 包括： 配置模块， 用于为计算节点配置初始化的安全基线， 所述安全基线包括 至少一个配置参数；
发送模块， 用于向所述计算节点发送动态安全检测请求， 其中所述动态 安全检测请求包括所述至少一个配置参数用于所述计算节点执行动态安全 检测；
接收模块， 用于接收所述计算节点根据所述发送模块发送的所述动态安 全检测请求发送的、通过在安全执行环境中执行动态安全检测获得的动态安 全检测结果；
确定模块， 用于根据所述接收模块接收的所述动态安全检测结果确定所 述计算节点的安全基线是否更改；
检测模块， 用于如果所述确定模块确定所述计算节点的安全基线已被更 改， 则检测所述更改是否是用户主动修改；
所述配置模块还用于如果所述检测模块检测到所述更改为用户非主动 修改， 则将所述计算节点的安全基线恢复到所述初始化的安全基线。
15、 根据权利要求 14所述的管理节点， 其特征在于， 所述管理节点还 包括：
保护模块， 用于加密且存储信息以保护所述安全基线安全可信。
16、 根据权利要求 14或 15所述的管理节点， 其特征在于， 所述安全基 线包括的配置参数涉及以下一个或多个方面的配置内容：
基本输入输出系统程序、 基本输入输出系统配置、 虚拟机管理程序、 虚 拟机管理配置、 节点管理域程序、 节点管理域配置、 操作系统和数据库。
17、 根据权利要求 14至 16任一项所述的管理节点， 其特征在于： 所述配置模块具体用于将新产品供应或版本升级时发布的安全基线值 配置为所述计算节点的初始化的安全基线。
18、 根据权利要求 14至 16任一项所述的管理节点， 其特征在于： 所述发送模块， 还用于在所述为计算节点配置初始化的安全基线前， 向 所述计算节点发送初始化请求；
所述接收模块，还用于接收所述计算节点根据所述初始化请求完成初始 化后获得的初始化安全检测结果；
相应地， 所述配置模块将所述初始化安全检测结果配置为所述初始化的 安全基线。
19、 根据权利要求 14至 18任一项所述的管理节点， 其特征在于： 所述发送模块具体用于向所述计算节点周期性发送动态安全检测请求； 或向所述计算节点发送要求周期性动态安全检测的请求。
20、 根据权利要求 14至 19任一项所述的管理节点， 其特征在于， 所述 管理节点还包括：
隔离模块， 用于隔离所述计算节点； 将所述计算节点上正运行的虚拟机 迁移到其他计算节点，还将所述计算节点的安全基线恢复到所述初始化的安 全基线， 然后将所述计算节点重新加入云计算网络。
21、 根据权利要求 14至 20任一项所述的管理节点， 其特征在于： 所述配置模块， 还用于如果所述更改为用户主动修改， 则以更改后的安 全基线取代所述计算节点的初始化的安全基线。
22、 一种实现云计算网络防攻击的计算节点， 其特征在于， 包括： 接收模块， 用于接收管理节点的动态安全检测请求， 所述动态安全检测 请求包括用于动态安全检测的安全基线的配置参数；
动态检测模块， 用于根据所述接收模块接收的所述动态安全检测请求， 在安全执行环境中执行动态安全检测获得动态安全检测结果；
23、 根据权利要求 22所述的计算节点， 其特征在于， 所述计算节点还 包括：
保护模块， 用于加密且存储信息以保护所述动态安全检测结果安全可 信。
24、 根据权利要求 22或 23所述的计算节点， 其特征在于， 所述安全基 线的配置参数涉及以下一个或多个方面的配置内容：
基本输入输出系统程序、 基本输入输出系统配置、 虚拟机管理程序、 虚 拟机管理配置、 节点管理域程序、 节点管理域配置、 操作系统和数据库。
25、 根据权利要求 22至 24任一项所述的计算节点， 其特征在于： 所述接收模块具体用于接收所述管理节点周期性发送的动态安全检测 请求； 或接收所述管理节点发送的要求周期性动态安全检测的请求。
26、 根据权利要求 22至 25任一项所述的计算节点， 其特征在于： 所述动态检测模块， 具体用于创建安全执行环境； 通过在所述安全执行 环境中运行动态安全检测程序以检测系统的安全状态； 输出检测后获得的动 态安全检测结果。
27、一种实现云计算网络防攻击的管理节点，其特征在于， 包括处理器、 存储器、 发送接口、 接收接口：
所述存储器， 用于存储所述处理器执行以下步骤的指令；
所述处理器， 用于为计算节点配置初始化的安全基线， 所述安全基线包 括至少一个配置参数；
所述发送接口， 用于向所述计算节点发送动态安全检测请求， 其中所述 动态安全检测请求包括所述至少一个配置参数用于所述计算节点执行动态 安全检测；
所述接收接口， 用于接收所述计算节点根据所述发送接口发送的所述动 态安全检测请求发送的、通过在安全执行环境中执行动态安全检测获得的动 态安全检测结果；
所述处理器，还用于根据所述接收接口接收的所述动态安全检测结果确 定所述计算节点的安全基线是否更改； 如果所述处理器确定所述计算节点的 安全基线已被更改， 则检测所述更改是否是用户主动修改； 且还用于如果所 述处理器检测到所述更改为用户非主动修改， 则将所述计算节点的安全基线 恢复到所述初始化的安全基线。
28、 根据权利要求 27所述的管理节点， 其特征在于， 还包括： 硬件密码模块， 用于加密且存储信息以保护所述安全基线安全可信。
29、 根据权利要求 27或 28所述的管理节点， 其特征在于， 所述安全基 线包括的配置参数涉及以下一个或多个方面的配置内容：
基本输入输出系统程序、 基本输入输出系统配置、 虚拟机管理程序、 虚 拟机管理配置、 节点管理域程序、 节点管理域配置、 操作系统和数据库。
30、 根据权利要求 27至 29任一项所述的管理节点， 其特征在于： 所述处理器具体用于将新产品供应或版本升级时发布的安全基线值配 置为所述计算节点的初始化的安全基线。
31、 根据权利要求 27至 29任一项所述的管理节点， 其特征在于： 所述发送接口， 还用于在所述为计算节点配置初始化的安全基线前， 向 所述计算节点发送初始化请求；
所述接收接口，还用于接收所述计算节点根据所述初始化请求完成初始 化后获得的初始化安全检测结果；
相应地， 所述处理器将所述初始化安全检测结果配置为所述初始化的安 全基线。
32、 根据权利要求 27至 31任一项所述的管理节点， 其特征在于： 所述发送接口具体用于向所述计算节点周期性发送动态安全检测请求； 或向所述计算节点发送要求周期性动态安全检测的请求。
33、 根据权利要求 27至 32任一项所述的管理节点， 其特征在于： 所述处理器， 还用于隔离所述计算节点； 将所述计算节点上正运行的虚 拟机迁移到其他计算节点，还将所述计算节点的安全基线恢复到所述初始化 的安全基线， 然后将所述计算节点重新加入云计算网络。
34、 根据权利要求 27至 33任一项所述的管理节点， 其特征在于： 所述处理器， 还用于如果所述更改为用户主动修改， 则以更改后的安全 基线取代所述计算节点的初始化的安全基线。
35、一种实现云计算网络防攻击的计算节点，其特征在于， 包括处理器、 存储器、 接收接口和发送接口：
所述存储器， 用于存储所述处理器执行下述步骤的指令；
所述接收接口， 用于接收管理节点的动态安全检测请求， 所述动态安全 检测请求包括用于动态安全检测的安全基线的配置参数；
所述处理器， 用于根据所述接收接口接收的所述动态安全检测请求， 在 安全执行环境中执行动态安全检测获得动态安全检测结果；
36、 根据权利要求 35所述的计算节点， 其特征在于， 所述计算节点还 包括：
硬件密码模块， 用于加密且存储信息以保护所述动态安全检测结果安全 可信。
37、 根据权利要求 35或 36所述的计算节点， 其特征在于， 所述安全基 线的配置参数涉及以下一个或多个方面的配置内容：
基本输入输出系统程序、 基本输入输出系统配置、 虚拟机管理程序、 虚 拟机管理配置、 节点管理域程序、 节点管理域配置、 操作系统和数据库。
38、 根据权利要求 35至 37任一项所述的计算节点， 其特征在于： 所述接收接口具体用于接收所述管理节点周期性发送的动态安全检测 请求； 或接收所述管理节点发送的要求周期性动态安全检测的请求。
39、 根据权利要求 35至 38任一项所述的计算节点， 其特征在于： 所述处理器， 具体用于创建安全执行环境； 通过在所述安全执行环境中 运行动态安全检测程序以检测系统的安全状态； 输出检测后获得的动态安全 检测结果。
40、 一种云计算网络， 其特征在于， 包括如权利要求 14到 39任一项的 管理节点或计算节点。
PCT/CN2013/071558 2013-02-08 2013-02-08 实现云计算网络防攻击的方法、设备和网络 WO2014121510A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201380000333.8A CN103518359B (zh) 2013-02-08 2013-02-08 实现云计算网络防攻击的方法、设备和网络
PCT/CN2013/071558 WO2014121510A1 (zh) 2013-02-08 2013-02-08 实现云计算网络防攻击的方法、设备和网络

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2013/071558 WO2014121510A1 (zh) 2013-02-08 2013-02-08 实现云计算网络防攻击的方法、设备和网络

Publications (1)

Publication Number Publication Date
WO2014121510A1 true WO2014121510A1 (zh) 2014-08-14

Family

ID=49899390

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/071558 WO2014121510A1 (zh) 2013-02-08 2013-02-08 实现云计算网络防攻击的方法、设备和网络

Country Status (2)

Country Link
CN (1) CN103518359B (zh)
WO (1) WO2014121510A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109947557A (zh) * 2017-12-20 2019-06-28 慧与发展有限责任合伙企业 用于云平台的分布式生命周期管理
CN112148545A (zh) * 2020-10-26 2020-12-29 腾讯科技（深圳）有限公司 嵌入式系统的安全基线检测方法以及安全基线检测系统

Families Citing this family (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104346574A (zh) * 2014-10-23 2015-02-11 武汉大学 基于配置规范的主机安全配置漏洞自动修复方法及系统
CN105592015B (zh) * 2014-10-24 2019-05-24 中国移动通信集团广东有限公司 云环境下的安全检查方法及装置
CN106559249A (zh) * 2015-09-30 2017-04-05 中国联合网络通信集团有限公司 检查安全基线的方法及装置
CN106656915A (zh) * 2015-10-30 2017-05-10 深圳市中电智慧信息安全技术有限公司 基于可信计算的云安全服务器
CN106372512A (zh) * 2016-08-25 2017-02-01 浪潮电子信息产业股份有限公司 一种任务式的安全基线执行方法
CN109905347A (zh) * 2017-12-07 2019-06-18 中移(苏州)软件技术有限公司 安全基线配置方法、装置、设备、云主机、介质及系统
CN108108210A (zh) * 2018-01-11 2018-06-01 上海有云信息技术有限公司 安全产品的管理方法、装置、服务器及存储介质
CN110008706B (zh) * 2019-03-05 2021-03-23 烽台科技（北京）有限公司 主机安全状态管理方法、装置及终端设备
CN112436957B (zh) * 2020-11-03 2023-03-14 深圳市永达电子信息股份有限公司 基于云计算的pdrr网络安全保障模型并行实现系统
CN115499144A (zh) * 2021-06-18 2022-12-20 中兴通讯股份有限公司 入侵检测方法、装置和系统、电子设备、计算机可读介质
CN114844831B (zh) * 2022-03-18 2024-02-27 奇安信科技集团股份有限公司 行为安全基线的编辑数据路由方法、装置和设备

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080222729A1 (en) * 2007-03-05 2008-09-11 Songqing Chen Containment of Unknown and Polymorphic Fast Spreading Worms
CN101515320A (zh) * 2009-04-10 2009-08-26 中国科学院软件研究所 一种攻击时漏洞检测方法及其系统
CN102708330A (zh) * 2012-05-10 2012-10-03 深信服网络科技（深圳）有限公司 一种防止系统被入侵的方法、入侵防御系统及计算机

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080222729A1 (en) * 2007-03-05 2008-09-11 Songqing Chen Containment of Unknown and Polymorphic Fast Spreading Worms
CN101515320A (zh) * 2009-04-10 2009-08-26 中国科学院软件研究所 一种攻击时漏洞检测方法及其系统
CN102708330A (zh) * 2012-05-10 2012-10-03 深信服网络科技（深圳）有限公司 一种防止系统被入侵的方法、入侵防御系统及计算机

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109947557A (zh) * 2017-12-20 2019-06-28 慧与发展有限责任合伙企业 用于云平台的分布式生命周期管理
CN109947557B (zh) * 2017-12-20 2023-09-29 慧与发展有限责任合伙企业 用于云平台的分布式生命周期管理
CN112148545A (zh) * 2020-10-26 2020-12-29 腾讯科技（深圳）有限公司 嵌入式系统的安全基线检测方法以及安全基线检测系统

Also Published As

Publication number Publication date
CN103518359A (zh) 2014-01-15
CN103518359B (zh) 2017-10-10

Similar Documents

Publication Publication Date Title
WO2014121510A1 (zh) 实现云计算网络防攻击的方法、设备和网络
RU2738021C2 (ru) Система и способы для дешифрования сетевого трафика в виртуализированной среде
Xu et al. Dominance as a new trusted computing primitive for the internet of things
US10778720B2 (en) System and method for security health monitoring and attestation of virtual machines in cloud computing systems
Dunn et al. Cloaking malware with the trusted platform module
US9948640B2 (en) Secure server on a system with virtual machines
CN111158906B (zh) 一种主动免疫可信云系统
US8910238B2 (en) Hypervisor-based enterprise endpoint protection
KR101636816B1 (ko) 메모리 액세스 제어를 제공하는 장치, 시스템, 및 방법
US20150052616A1 (en) Protected mode for securing computing devices
US10691475B2 (en) Security application for a guest operating system in a virtual computing environment
Xu et al. Data-provenance verification for secure hosts
Ling et al. Secure boot, trusted boot and remote attestation for ARM TrustZone-based IoT Nodes
Huber et al. The lazarus effect: Healing compromised devices in the internet of small things
Varadharajan et al. Counteracting security attacks in virtual machines in the cloud using property based attestation
Schiffman et al. Verifying system integrity by proxy
Denz et al. A survey on securing the virtual cloud
Jin et al. Cloud virtual machine lifecycle security framework based on trusted computing
Hosseinzadeh et al. Recent trends in applying TPM to cloud computing
Ozga et al. TRIGLAV: Remote Attestation of the Virtual Machine's Runtime Integrity in Public Clouds
Jiang et al. Implementing a arm-based secure boot scheme for the isolated execution environment
Jin et al. Trusted attestation architecture on an infrastructure-as-a-service
CN113906424A (zh) 用于磁盘认证的装置和方法
CN115879064A (zh) 一种程序运行方法、装置、处理器、芯片及电子设备
Zhao et al. SOMR: Towards a security-oriented MapReduce infrastructure

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13874513

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13874513

Country of ref document: EP

Kind code of ref document: A1