一種虛擬機遷移安全策略動態(tài)配置系統(tǒng)和方法
【專利摘要】本發(fā)明涉及一種虛擬機遷移安全策略動態(tài)配置系統(tǒng)和方法，在源主機節(jié)點和目標主機節(jié)點上均設(shè)置策略代理模塊，安全管理中心分別連接安全策略庫和策略協(xié)調(diào)模塊，策略協(xié)調(diào)模塊還與所有策略代理模塊連接；其中安全管理中心查詢安全策略數(shù)據(jù)庫判斷本地安全策略中間值是否違背全局安全策略，如果違背則將本地安全策略中間值調(diào)整為安全策略最終值，否則將本地安全策略中間值設(shè)定為安全策略最終值。由于在生成安全策略最終值的過程中引入全局安全策略，安全策略最終值無論如何都不能違背該全局安全策略，將虛擬機遷移后在目標主機節(jié)點上的局部安全策略調(diào)整納入到全局安全策略規(guī)劃中，從而有效地防止虛擬機遷移前后整體安全性的降低。
【專利說明】一種虛擬機遷移安全策略動態(tài)配置系統(tǒng)和方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及一種信息安全系統(tǒng)和方法，具體涉及ー種虛擬機遷移安全策略動態(tài)配置系統(tǒng)和方法。
【背景技術(shù)】
[0002]云計算是一種面向互聯(lián)網(wǎng)的分布式計算服務(wù)，作為IT資源和服務(wù)的ー種交付使用模型，它可以實現(xiàn)隨時隨地、便捷的、按需的從可配置計算資源共享池中獲取所需的資源(如網(wǎng)絡(luò)、服務(wù)器、存儲、應(yīng)用、服務(wù)等)，這些資源可以被迅速提供并發(fā)布，同時最小化管理成本或服務(wù)提供商的干渉。在云計算環(huán)境下，安全策略的實施由于網(wǎng)絡(luò)的虛擬化而面臨諸多難點，虛擬化使得傳統(tǒng)網(wǎng)絡(luò)邊界模糊，按照虛擬機方式劃分的不同網(wǎng)絡(luò)不在受到物理網(wǎng)絡(luò)邊界的限制，導(dǎo)致安全策略的部署和維護變的更加復(fù)雜，需要為各種安全服務(wù)組件提供一種適當?shù)陌踩呗圆渴鸷途S護模式。
[0003]虛擬機的動態(tài)遷移是云計算的特性之一，虛擬機會根據(jù)各種負載均衡策略以及安全管理及維護策略，進行動態(tài)遷移、部署、撤銷等操作，由負載較重的源主機節(jié)點上遷移到負載較輕的目標主機節(jié)點上，保證不同平臺的硬件資源充分利用。但是虛擬機的動態(tài)遷移將導(dǎo)致原有為虛擬機所設(shè)定的運行環(huán)境、安全策略失效的問題，比如，因為虛擬機的遷移，使得配置的網(wǎng)絡(luò)訪問規(guī)則在不同的主機服務(wù)器上不一致，就會使的遷移后的虛擬機面臨網(wǎng)絡(luò)安全風(fēng)險。
[0004]要解決因虛擬機遷移而帶來安全風(fēng)險，通常需要跟蹤虛擬機啟動、關(guān)閉、創(chuàng)建、遷移和刪除等操作，根據(jù)不同狀態(tài)采取相應(yīng)措施(如安全策略動態(tài)調(diào)整、策略跟隨等)，保證虛擬機遷移時安全策略一致性。在現(xiàn)有的虛擬化管理軟件和平臺化軟件產(chǎn)品中，虛擬機遷移是常備功能之一，這類虛擬機遷移的解決方案并沒有從安全的角度來考慮虛擬機遷移后是否能夠保障系統(tǒng)整體的安全性，而只是簡單調(diào)整遷移后虛擬機的網(wǎng)絡(luò)訪問策略，確保虛擬機遷移前后的網(wǎng)絡(luò)服務(wù)連續(xù)性，而對該虛擬機的安全控制涉及的很少或沒有考慮。這樣即使虛擬機能夠成功從源主機節(jié)點遷移到目標主機節(jié)點，井能保證服務(wù)連續(xù)性，卻仍然暴露在網(wǎng)絡(luò)安全風(fēng)險之下，相當于在虛擬機遷移之后，系統(tǒng)的整體安全性降低了。
[0005]另外，現(xiàn)有的虛擬機遷移安全解決方案并沒有從全局的角度來考慮安全策略的配置管理，這樣會導(dǎo)致在遷移前后對安全策略的管理比較復(fù)雜，涉及到遷移虛擬機出入口的所有安全訪問策略，以及和它相關(guān)聯(lián)的其他虛擬機的安全策略配置，一旦遷移過程頻繁發(fā)生，那么這種對策略的更新和同步將變的異常復(fù)雜。

【發(fā)明內(nèi)容】

[0006]本發(fā)明針對現(xiàn)有技術(shù)中在虛擬機發(fā)生遷移時不能夠保證系統(tǒng)的整體安全性問題，提出一種能夠自動發(fā)現(xiàn)遷移的源主機節(jié)點的地址和目標主機節(jié)點的地址，并對遷移前后虛擬機的運行環(huán)境的安全狀態(tài)所對應(yīng)的安全策略進行對比分析、統(tǒng)ー協(xié)調(diào)和相應(yīng)修改，確保系統(tǒng)整體在虛擬機發(fā)生遷移前后的安全性保持一致的虛擬機遷移安全策略動態(tài)配置系統(tǒng)；以及實現(xiàn)該系統(tǒng)的方法。
[0007]本發(fā)明的技術(shù)方案如下:
[0008]一種虛擬機遷移安全策略動態(tài)配置系統(tǒng)，其特征在于:它包括安全管理中心、策略協(xié)調(diào)模塊、策略代理模塊和全局安全策略庫，在源主機節(jié)點和目標主機節(jié)點上均設(shè)置所述策略代理模塊，所述安全管理中心分別連接所述安全策略庫和策略協(xié)調(diào)模塊，所述策略協(xié)調(diào)模塊還與所有所述策略代理模塊連接；設(shè)置在所述源主機節(jié)點上的策略代理模塊用于向所述策略協(xié)調(diào)模塊提供所述源主機節(jié)點的安全狀態(tài)信息；設(shè)置在所述目標主機節(jié)點上的策略代理模塊應(yīng)所述策略協(xié)調(diào)模塊發(fā)出的安全評估請求返回遷移參數(shù)，并執(zhí)行所述策略協(xié)調(diào)模塊發(fā)出的更新安全策略；所述策略協(xié)調(diào)模塊用于根據(jù)所述安全狀態(tài)信息觸發(fā)安全評估機制并發(fā)出所述安全評估請求，根據(jù)所述遷移參數(shù)生成安全評估結(jié)果，向所述安全管理中心發(fā)出包括所述安全評估結(jié)果和遷移前所述目標主機節(jié)點的本地安全策略中間值的安全策略更新請求，接收所述安全管理中心發(fā)出的安全策略最終值后生成所述更新安全策略；所述安全管理中心用于查詢所述安全策略數(shù)據(jù)庫并判斷所述本地安全策略中間值是否違背全局安全策略，如果違背則將所述本地安全策略中間值調(diào)整為安全策略最終值，否則將所述本地安全策略中間值設(shè)定為安全策略最終值。
[0009]所述安全狀態(tài)信息包括遷移虛擬機的目標主機節(jié)點、目標主機節(jié)點的地址和源主機節(jié)點的當前安全策略參數(shù)。
[0010]所述安全管理中心設(shè)置在云數(shù)據(jù)中心中或設(shè)置在虛擬機管理平臺中或為獨立的安全管理中心模塊。
[0011]如果將所述本地安全策略中間值更新為所述安全策略最終值，所述策略協(xié)調(diào)模塊向所述安全管理中心發(fā)送更新成功應(yīng)答；之后所述安全管理中心更新所述全局安全策略庫。
[0012]所述安全管理中心包括策略配置管理模塊，所述策略協(xié)調(diào)模塊包括安全策略生成模塊和安全策略緩存，所述策略代理模塊包括遷移事件監(jiān)控模塊和策略實施模塊；安全策略評估模塊包括設(shè)置在策略代理模塊中的下級安全策略評估模塊和設(shè)置在策略協(xié)調(diào)模塊中的上級安全策略評估模塊。
[0013]所述策略配置管理模塊用于維護和查詢所述全局安全策略庫，向所述安全策略生成模塊發(fā)出針對所述安全策略更新請求的包含所述安全策略最終值的安全策略更新應(yīng)答。
[0014]所述下級安全策略評估模塊用于響應(yīng)所述策略協(xié)調(diào)模塊發(fā)出的安全評估請求返回遷移參數(shù)；所述上級安全策略評估模塊用于根據(jù)所述遷移參數(shù)在具體情況的全局安全策略要求下，通過不同級別的安全評估方法生成安全評估結(jié)果。
[0015]所述安全策略生成模塊根據(jù)所述安全評估結(jié)果，結(jié)合所述安全策略緩存中存儲的遷移前所述目標主機的本地安全策略，生成所述本地安全策略中間值，并向所述策略配置管理模塊發(fā)出所述安全策略更新請求；所述安全策略生成模塊根據(jù)所述安全策略最終值生成更新安全策略，并將所述更新安全策略分發(fā)到所述目標主機節(jié)點的策略實施模塊上。
[0016]所述安全策略緩存用于緩存所述源主機節(jié)點和目標主機節(jié)點上的所有虛擬機的本地安全策略，并實時更新。
[0017]一種實現(xiàn)所述虛擬機遷移安全策略動態(tài)配置系統(tǒng)的方法，其步驟包括:
[0018]I)設(shè)置安全管理中心和策略協(xié)調(diào)模塊，在源主機節(jié)點和目標主機節(jié)點上分別設(shè)置策略代理模塊；
[0019]2)所述源主機節(jié)點上的策略代理模塊發(fā)現(xiàn)虛擬機遷移事件，獲取安全狀態(tài)信息，并向所述策略協(xié)調(diào)模塊發(fā)送；
[0020]3)所述策略協(xié)調(diào)模塊收到所述安全狀態(tài)信息后啟動安全評估過程，向所述目標主機節(jié)點上的策略代理模塊發(fā)送安全評估請求；
[0021]4)所述目標主機節(jié)點的策略代理模塊根據(jù)安全評估請求，將遷移參數(shù)發(fā)送所述策略協(xié)調(diào)模塊；
[0022]5)所述策略協(xié)調(diào)模塊根據(jù)所述遷移參數(shù)生成安全評估結(jié)果，同時查詢本地安全策略緩存中存儲的遷移前所述目標主機節(jié)點的本地安全策略后生成本地安全策略中間值；之后向所述安全管理中心發(fā)出包括安全評估結(jié)果和所述本地安全策略中間值的安全策略更新請求；
[0023]6)所述安全管理中心查詢查詢所述安全策略數(shù)據(jù)庫判斷所述本地安全策略中間值是否違背全局安全策略，如果違背則將所述本地安全策略中間值調(diào)整為安全策略最終值，否則將所述本地安全策略中間值設(shè)定為安全策略最終值；并將所述安全策略最終值下發(fā)到所述策略協(xié)調(diào)模塊中；
[0024]7)所述策略協(xié)調(diào)模塊根據(jù)所述安全策略最終值生成更新安全策略，并向所述目標主機節(jié)點上的策略代理模塊發(fā)出的更新安全策略；
[0025]8)所述目標主機節(jié)點的策略代理模塊執(zhí)行更新安全策略；
[0026]9)所述策略協(xié)調(diào)模塊更新安全策略緩存中的本地安全策略。
[0027]本發(fā)明的技術(shù)效果如下:
[0028]本發(fā)明的一種虛擬機遷移安全策略動態(tài)配置系統(tǒng)，在源主機節(jié)點和目標主機節(jié)點上均設(shè)置策略代理模塊，安全管理中心分別連接安全策略庫和策略協(xié)調(diào)模塊，策略協(xié)調(diào)模塊還與所有策略代理模塊連接；其中安全管理中心查詢安全策略數(shù)據(jù)庫判斷遷移前目標主機節(jié)點的本地安全策略中間值是否違背全局安全策略，如果違背則將本地安全策略中間值調(diào)整為安全策略最終值，否則將本地安全策略中間值設(shè)定為安全策略最終值。由于在生成安全策略最終值的過程中引入全局安全策略，安全策略最終值無論如何都不能違背該全局安全策略，將虛擬機遷移后在目標主機節(jié)點上的局部安全策略調(diào)整納入到全局安全策略規(guī)劃中，從而有效地防止虛擬機遷移前后整體安全性的降低。
[0029]本發(fā)明的策略協(xié)調(diào)模塊根據(jù)目標主機節(jié)點的遷移參數(shù)生成安全評估結(jié)果，從而引入安全評估機制，使得虛擬機遷移過程中，不僅僅是獲得服務(wù)連續(xù)性的特點，還能夠在虛擬機運行環(huán)境發(fā)生變化吋，安全功能仍然能夠發(fā)揮作用。除此之外，安全評估機制依據(jù)全局安全策略的要求，采用不同級別的安全評估方法以適應(yīng)不同的虛擬機安全遷移需求:即在安全等級要求嚴格的環(huán)境下，實現(xiàn)較為嚴格的安全評估方法；在安全等級要求一般的環(huán)境下，實現(xiàn)簡化的安全評估方法。
[0030]本發(fā)明由于在虛擬機遷移發(fā)生時對目標主機節(jié)點的網(wǎng)絡(luò)環(huán)境、安全域等遷移參數(shù)進行安全評估，并根據(jù)安全評估的等級選擇不同的安全評估方法，因此具備一定的擴展性和兼容性，不需要關(guān)注具體的安全評估方法，滿足不同安全等級需求的應(yīng)用環(huán)境，也能夠支持第三方安全評估工具。
[0031]本發(fā)明優(yōu)化了本地安全策略和全局安全策略的更新過程，一旦虛擬機發(fā)生由源主機節(jié)點到目標主機節(jié)點遷移，安全策略緩存由于能夠向安全管理中心的策略配置管理模塊提供遷移前目標主機節(jié)點的本地安全策略中間值與全局安全策略相匹配，判斷是否將本地安全策略中間值作為安全策略最終值，從而可節(jié)省目標主機節(jié)點的安全策略更新的效率，當虛擬機遷移頻繁發(fā)生吋，安全策略的更新操作效率更高。
【專利附圖】

【附圖說明】
[0032]圖1是本發(fā)明的虛擬機遷移安全策略動態(tài)配置系統(tǒng)結(jié)構(gòu)示意圖
[0033]圖2是本發(fā)明的系統(tǒng)各部分具體結(jié)構(gòu)示意圖
[0034]圖3是本發(fā)明的虛擬機遷移安全策略動態(tài)配置方法流程示意圖
【具體實施方式】
[0035]下面結(jié)合附圖對本發(fā)明進行說明。
[0036]在以下描述中，ー些具體細節(jié)為計算機領(lǐng)域的技術(shù)人員提供對本發(fā)明的整體理解。在實施例中，以示意圖或者框圖的形式表明實現(xiàn)具體功能的元件，以便突出技術(shù)重點，而不會在不必要的細節(jié)方面模糊本發(fā)明。比如，由于本領(lǐng)域普通技術(shù)人員的理解范圍中涵蓋了關(guān)于網(wǎng)絡(luò)通信、電磁信號指令技術(shù)、用戶端接ロ或輸入/輸出技術(shù)等本領(lǐng)域中公開的、常識性的細節(jié)，因而在實施例中最大程度上省略了上述技術(shù)細節(jié)，而不認為這些細節(jié)是獲得本發(fā)明完整技術(shù)方案所必須的特征。
[0037]如圖1所示，本發(fā)明的虛擬機遷移安全策略動態(tài)配置系統(tǒng)主要包括安全管理中心
1、策略協(xié)調(diào)模塊2、策略代理模塊3和全局安全策略庫4。當設(shè)置于源主機節(jié)點5地址VM3上的虛擬機需要遷移到目標主機節(jié)點6的地址VMl上時，上述系統(tǒng)會分析目標主機節(jié)點6上安全策略并進行適應(yīng)性修改，確保云數(shù)據(jù)中心的整體運行環(huán)境在虛擬機發(fā)生遷移前后的安全性保持一致。
[0038]策略代理模塊3設(shè)置在源主機節(jié)點5和目標主機節(jié)點6上，策略代理模塊3負責(zé)與策略協(xié)調(diào)模塊2進行數(shù)據(jù)交換，由設(shè)置在源主機節(jié)點5上的策略代理模塊3向策略協(xié)調(diào)模塊2提供包括虛擬機遷移事件的發(fā)現(xiàn)、定位和源主機節(jié)點5的當前安全策略參數(shù)的安全狀態(tài)信息，其中當前安全策略參數(shù)包括與安全策略緩存中存儲的本地安全策略相同；由設(shè)置在目標主機節(jié)點6上的策略代理模塊3接收策略協(xié)調(diào)模塊2發(fā)出的安全評估請求，井根據(jù)安全評估請求向策略協(xié)調(diào)模塊2提交包括遷移參數(shù)(包括目標主機節(jié)點6的網(wǎng)絡(luò)環(huán)境、IP地址、安全域信息等環(huán)境變量和狀態(tài)參數(shù))的安全狀態(tài)更新請求，之后接收策略協(xié)調(diào)模塊2發(fā)出的更新安全策略，并在目標主機節(jié)點6上執(zhí)行更新安全策略。除上述元素之外，安全狀態(tài)信息還包括源主機節(jié)點5的軟硬件系統(tǒng)配置、網(wǎng)絡(luò)配置和安全域信息等，安全狀態(tài)信息將用作在安全管理中心I中判斷是否需要將遷移前目標主機節(jié)點6的本地安全策略中間值更新為安全策略最終值的依據(jù)。
[0039]策略協(xié)調(diào)模塊2設(shè)置在安全管理中心I ー側(cè)，在接收到設(shè)置在源主機節(jié)點5上的策略代理模塊3發(fā)出的虛擬機遷移事件的安全狀態(tài)信息后，觸發(fā)安全評估機制，向目標主機節(jié)點6上的策略代理模塊3發(fā)送安全評估請求；接收到目標主機節(jié)點6的遷移參數(shù)后生成安全評估結(jié)果，在查詢本地安全策略緩存中存儲的目標主機節(jié)點6的本地安全策略后生成本地安全策略中間值，之后向安全管理中心I發(fā)出對目標主機節(jié)點6的包括安全狀態(tài)信息、遷移參數(shù)、安全評估結(jié)果和本地安全策略中間值的安全策略更新請求；策略協(xié)調(diào)模塊2接收安全管理中心I針對安全策略更新請求的包含安全策略最終值的安全策略更新應(yīng)答，根據(jù)安全策略最終值生成更新安全策略，之后向設(shè)置在目標主機節(jié)點6上的策略代理模塊3發(fā)出的更新安全策略；策略代理模塊3執(zhí)行更新安全策略后，向安全管理中心I返回更新成功應(yīng)答。
[0040]安全管理中心I通常設(shè)置在云數(shù)據(jù)中心中，也可設(shè)置在虛擬機管理平臺中，或以獨立的安全管理中心模塊的形式存在。在本實施例中，安全管理中心I主要負責(zé)但不限于對云數(shù)據(jù)中心的整體運行環(huán)境進行安全策略的配置管理，并維護與之連接的全局安全策略數(shù)據(jù)庫4。安全管理中心I同策略協(xié)調(diào)模塊2進行通信，獲取由策略協(xié)調(diào)模塊2輸入的安全策略更新請求(包括安全狀態(tài)信息、遷移參數(shù)、安全評估結(jié)果和本地安全策略中間值)；安全管理中心I查詢?nèi)职踩呗詳?shù)據(jù)庫4并綜合了安全狀態(tài)信息、遷移參數(shù)、安全評估結(jié)果之后，判斷本地安全策略中間值是否違背全局安全策略，如果違背，則調(diào)整本地安全策略中間值生成安全策略最終值，否則，認可本地安全策略中間值即為安全策略最終值；并將包含安全策略最終值的安全策略更新應(yīng)答下發(fā)到策略協(xié)調(diào)模塊2中。
[0041]安全策略最終值的生成方法具體包括:從本地安全策略中間值的中間值規(guī)則中提取規(guī)則關(guān)聯(lián)方，比如源主機節(jié)點和目標主機節(jié)點的標識；之后依據(jù)規(guī)則關(guān)聯(lián)方，從全局安全策略數(shù)據(jù)庫4中查詢相關(guān)規(guī)則，比較中間值規(guī)則是否同全局安全策略規(guī)則相違背；如果違背，則放棄該中間值規(guī)則，以查詢出的全局安全策略規(guī)則為安全策略最終值，如果不違背，則直接將該中間值規(guī)則作為安全策略最終值。
[0042]如圖2所示，本實施例中，安全管理中心I具體包括策略配置管理模塊11 ;策略協(xié)調(diào)模塊2具體包括安全策略生成模塊21、安全策略緩存22、安全策略分發(fā)模塊23 ;策略代理模塊3具體包括遷移事件監(jiān)控模塊31和策略實施模塊32。
[0043]策略配置管理模塊11主要用于管理維護全局安全策略庫4，還負責(zé)通過聯(lián)系策略協(xié)調(diào)模塊2中的安全策略生成模塊21，發(fā)出針對安全策略更新請求的包含安全策略最終值的安全策略更新應(yīng)答，對遷移到目標主機節(jié)點6上的虛擬機的安全策略進行統(tǒng)ー協(xié)調(diào)和更新，以確保全局安全策略的一致性，保證遷移前后系統(tǒng)的整體安全性不變。
[0044]安全策略評估模塊分為上級安全策略評估模塊24和下級安全策略評估模塊34兩部分。其中，下級安全策略評估模塊34設(shè)置在策略代理模塊3中，它主要是響應(yīng)策略協(xié)調(diào)模塊2發(fā)出的安全評估請求，并根據(jù)安全評估請求返回目標主機節(jié)點6的遷移參數(shù)，實現(xiàn)對目標主機節(jié)點6環(huán)境變量及狀態(tài)參數(shù)的收集和反饋。上級安全策略評估模塊24設(shè)置在策略協(xié)調(diào)模塊2中，在接收到目標主機節(jié)點6的遷移參數(shù)后，依據(jù)具體情況下的全局安全策略的要求，通過不同級別的安全評估方法生成安全評估結(jié)果，以適應(yīng)不同的虛擬機安全遷移需求:即在安全等級要求嚴格的環(huán)境下，實現(xiàn)較為嚴格的安全評估方法；在安全等級要求一般的環(huán)境下，實現(xiàn)簡化的安全評估方法。
[0045]安全策略生成模塊21根據(jù)上級安全評估模塊24生成的安全評估結(jié)果，結(jié)合安全策略緩存22中存儲的關(guān)于遷移前該虛擬機的本地安全策略，生成遷移前目標主機節(jié)點6的本地安全策略中間值，井向策略配置管理模塊11發(fā)出對目標主機節(jié)點6的包括遷移參數(shù)、安全評估結(jié)果和本地安全策略中間值的安全策略更新請求。安全策略生成模塊21還接收來自策略配置管理模塊11的包含安全策略最終值的安全策略更新應(yīng)答，將目標主機節(jié)點6的本地安全策略中間值更新為安全策略最終值，并根據(jù)安全策略最終值生成更新安全策略，之后調(diào)用安全策略分發(fā)模塊23將更新安全策略分發(fā)到目標主機節(jié)點6的策略實施模塊32上。
[0046]安全策略緩存22用于緩存策略協(xié)調(diào)模塊2所連接的源主機節(jié)點5和目標主機節(jié)點6上的所有虛擬機在遷移前的本地安全策略(包括本地安全策略中間值)，并實時更新。一旦虛擬機發(fā)生由源主機節(jié)點5到目標主機節(jié)點6遷移，安全策略緩存22由于能夠向安全管理中心I的策略配置管理模塊11提供目標主機節(jié)點6的本地安全策略中間值與全局安全策略相匹配，判斷是否將本地安全策略中間值作為安全策略最終值，從而可節(jié)省目標主機節(jié)點6的安全策略更新的效率。
[0047]安全策略分發(fā)模塊23用于將包含安全策略最終值的更新后的安全策略分發(fā)到目的地主機節(jié)點6上，井向安全管理中心I轉(zhuǎn)交由策略代理模塊3中策略實施模塊32發(fā)出的更新成功應(yīng)答。
[0048]遷移事件監(jiān)控模塊31用于對源主機節(jié)點5上發(fā)生的虛擬機遷移事件進行監(jiān)控，能夠獲取遷移虛擬機的目標主機節(jié)點6、源主機節(jié)點5的當前安全策略參數(shù)、目標主機節(jié)點6的地址等安全狀態(tài)信息，井向策略協(xié)調(diào)模塊2中的上級安全策略評估模塊24提供上述安全狀態(tài)信息。
[0049]策略實施模塊32用于將安全策略生成模塊21發(fā)出的更新安全策略部署到目標主機節(jié)點6中，井向安全策略分發(fā)模塊23發(fā)出更新成功應(yīng)答。
[0050]如圖3所示，本發(fā)明的虛擬機遷移安全策略動態(tài)配置方法包括以下步驟:
[0051]I)在云數(shù)據(jù)中心、虛擬機管理平臺或獨立的安全管理中心模塊上設(shè)置安全管理中心1，在安全管理中心I 一側(cè)設(shè)置策略協(xié)調(diào)模塊2，在源主機節(jié)點5和目標主機節(jié)點6上設(shè)置策略代理模塊3 ;上級安全策略評估模塊24設(shè)置在策略協(xié)調(diào)模塊2中，下級安全策略評估模塊34設(shè)置在策略代理模塊3中；
[0052]2)源主機節(jié)點5上的策略代理模塊3發(fā)現(xiàn)虛擬機遷移事件，并獲取遷移虛擬機的目標主機節(jié)點6、源主機節(jié)點5的當前安全策略參數(shù)、目標主機節(jié)點6的地址等安全狀態(tài)信息；
[0053]3)策略協(xié)調(diào)模塊2接收到源主機節(jié)點5上策略代理模塊3發(fā)出的安全狀態(tài)信息后，啟動安全評估過程，向目標主機節(jié)點6上的策略代理模塊3發(fā)送安全評估請求；
[0054]4)目標主機節(jié)點6的策略代理模塊3根據(jù)安全評估請求，將安全評估過程需要的目標主機節(jié)點6的遷移參數(shù)的安全狀態(tài)更新請求返回給策略協(xié)調(diào)模塊2 ；
[0055]5)策略協(xié)調(diào)模塊2根據(jù)遷移參數(shù)，依據(jù)具體情況下的全局安全策略的要求，通過不同級別的安全評估方法生成安全評估結(jié)果；策略協(xié)調(diào)模塊2在查詢本地安全策略緩存中存儲的本地安全策略后生成本地安全策略中間值；之后向安全管理中心I發(fā)出對目標主機節(jié)點6的包括遷移參數(shù)、安全評估結(jié)果和本地安全策略中間值的安全策略更新請求；
[0056]6)安全管理中心I查詢?nèi)职踩呗詭?，判斷本地安全策略中間值是否違背全局安全策略，如果違背，則調(diào)整本地安全策略中間值生成安全策略最終值；否則，認可本地安全策略中間值即為安全策略最終值；并將包含安全策略最終值的安全策略更新應(yīng)答下發(fā)到策略協(xié)調(diào)模塊2中；
[0057]7)策略協(xié)調(diào)模塊2根據(jù)安全策略最終值生成更新安全策略，之后向設(shè)置在目標主機節(jié)點6上的策略代理模塊3發(fā)出的更新安全策略；
[0058]8)目標主機節(jié)點6的策略代理模塊3執(zhí)行更新安全策略后，向策略協(xié)調(diào)模塊2返回更新成功應(yīng)答；
[0059]9)策略協(xié)調(diào)模塊2更新安全策略緩存中的本地安全策略；
[0060]10)如果需要將本地安全策略中間值更新為安全策略最終值，則策略協(xié)調(diào)模塊2向安全管理中心I發(fā)送更新成功應(yīng)答；安全管理中心I根據(jù)安全策略最終值的變化更新全局安全策略庫4。
[0061]應(yīng)當指出，以上所述【具體實施方式】可以使本領(lǐng)域的技術(shù)人員更全面地理解本發(fā)明創(chuàng)造，但不以任何方式限制本發(fā)明創(chuàng)造。因此，盡管本說明書參照附圖和實施例對本發(fā)明創(chuàng)造已進行了詳細的說明，但是，本領(lǐng)域技術(shù)人員應(yīng)當理解，仍然可以對本發(fā)明創(chuàng)造進行修改或者等同替換，總之，一切不脫離本發(fā)明創(chuàng)造的精神和范圍的技術(shù)方案及其改進，其均應(yīng)涵蓋在本發(fā)明創(chuàng)造專利的保護范圍當中。
【權(quán)利要求】
1.一種虛擬機遷移安全策略動態(tài)配置系統(tǒng)，其特征在于:它包括安全管理中心、策略協(xié)調(diào)模塊、策略代理模塊和全局安全策略庫，在源主機節(jié)點和目標主機節(jié)點上均設(shè)置所述策略代理模塊，所述安全管理中心分別連接所述安全策略庫和策略協(xié)調(diào)模塊，所述策略協(xié)調(diào)模塊還與所有所述策略代理模塊連接；設(shè)置在所述源主機節(jié)點上的策略代理模塊用于向所述策略協(xié)調(diào)模塊提供所述源主機節(jié)點的安全狀態(tài)信息；設(shè)置在所述目標主機節(jié)點上的策略代理模塊應(yīng)所述策略協(xié)調(diào)模塊發(fā)出的安全評估請求返回遷移參數(shù)，并執(zhí)行所述策略協(xié)調(diào)模塊發(fā)出的更新安全策略；所述策略協(xié)調(diào)模塊用于根據(jù)所述安全狀態(tài)信息觸發(fā)安全評估機制并發(fā)出所述安全評估請求，根據(jù)所述遷移參數(shù)生成安全評估結(jié)果，向所述安全管理中心發(fā)出包括所述安全評估結(jié)果和遷移前所述目標主機節(jié)點的本地安全策略中間值的安全策略更新請求，接收所述安全管理中心發(fā)出的安全策略最終值后生成所述更新安全策略；所述安全管理中心用于查詢所述安全策略數(shù)據(jù)庫并判斷所述本地安全策略中間值是否違背全局安全策略，如果違背則將所述本地安全策略中間值調(diào)整為安全策略最終值，否則將所述本地安全策略中間值設(shè)定為安全策略最終值。
2.如權(quán)利要求1所述的ー種虛擬機遷移安全策略動態(tài)配置系統(tǒng)，其特征在于:所述安全狀態(tài)信息包括遷移虛擬機的目標主機節(jié)點、目標主機節(jié)點的地址和源主機節(jié)點的當前安全策略參數(shù)。
3.如權(quán)利要求1所述的ー種虛擬機遷移安全策略動態(tài)配置系統(tǒng)，其特征在于:所述安全管理中心設(shè)置在云數(shù)據(jù)中心中或設(shè)置在虛擬機管理平臺中或為獨立的安全管理中心模塊。
4.如權(quán)利要求1所述 的ー種虛擬機遷移安全策略動態(tài)配置系統(tǒng)，其特征在于:如果將所述本地安全策略中間值更新為所述安全策略最終值，所述策略協(xié)調(diào)模塊向所述安全管理中心發(fā)送更新成功應(yīng)答；之后所述安全管理中心更新所述全局安全策略庫。
5.如權(quán)利要求1或2或3或4所述的ー種虛擬機遷移安全策略動態(tài)配置系統(tǒng)，其特征在于:所述安全管理中心包括策略配置管理模塊，所述策略協(xié)調(diào)模塊包括安全策略生成模塊和安全策略緩存，所述策略代理模塊包括遷移事件監(jiān)控模塊和策略實施模塊；安全策略評估模塊包括設(shè)置在策略代理模塊中的下級安全策略評估模塊和設(shè)置在策略協(xié)調(diào)模塊中的上級安全策略評估模塊。
6.如權(quán)利要求5所述的ー種虛擬機遷移安全策略動態(tài)配置系統(tǒng)，其特征在于:所述策略配置管理模塊用于維護和查詢所述全局安全策略庫，向所述安全策略生成模塊發(fā)出針對所述安全策略更新請求的包含所述安全策略最終值的安全策略更新應(yīng)答。
7.如權(quán)利要求5所述的ー種虛擬機遷移安全策略動態(tài)配置系統(tǒng)，其特征在于:所述下級安全策略評估模塊用于響應(yīng)所述策略協(xié)調(diào)模塊發(fā)出的安全評估請求返回遷移參數(shù)；所述上級安全策略評估模塊用于根據(jù)所述遷移參數(shù)在具體情況的全局安全策略要求下，通過不同級別的安全評估方法生成安全評估結(jié)果。
8.如權(quán)利要求5所述的ー種虛擬機遷移安全策略動態(tài)配置系統(tǒng)，其特征在于:所述安全策略生成模塊根據(jù)所述安全評估結(jié)果，結(jié)合所述安全策略緩存中存儲的遷移前所述目標主機的本地安全策略，生成所述本地安全策略中間值，并向所述策略配置管理模塊發(fā)出所述安全策略更新請求；所述安全策略生成模塊根據(jù)所述安全策略最終值生成更新安全策略，并將所述更新安全策略分發(fā)到所述目標主機節(jié)點的策略實施模塊上。
9.如權(quán)利要求5所述的ー種虛擬機遷移安全策略動態(tài)配置系統(tǒng)，其特征在于:所述安全策略緩存用于緩存所述源主機節(jié)點和目標主機節(jié)點上的所有虛擬機的本地安全策略，并實時更新。
10.一種實現(xiàn)如權(quán)利要求1-9所述的虛擬機遷移安全策略動態(tài)配置系統(tǒng)的方法，其步驟包括: 1)設(shè)置安全管理中心和策略協(xié)調(diào)模塊，在源主機節(jié)點和目標主機節(jié)點上分別設(shè)置策略代理模塊； 2)所述源主機節(jié)點上的策略代理模塊發(fā)現(xiàn)虛擬機遷移事件，獲取安全狀態(tài)信息，井向所述策略協(xié)調(diào)模塊發(fā)送； 3)所述策略協(xié)調(diào)模塊收到所述安全狀態(tài)信息后啟動安全評估過程，向所述目標主機節(jié)點上的策略代理模塊發(fā)送安全評估請求； 4)所述目標主機節(jié)點的策略代理模塊根據(jù)安全評估請求，將遷移參數(shù)發(fā)送所述策略協(xié)調(diào)豐吳塊； 5)所述策略協(xié)調(diào)模塊根據(jù)所述遷移參數(shù)生成安全評估結(jié)果，同時查詢本地安全策略緩存中存儲的遷移前 所述目標主機節(jié)點的本地安全策略后生成本地安全策略中間值；之后向所述安全管理中心發(fā)出包括安全評估結(jié)果和所述本地安全策略中間值的安全策略更新請求； 6)所述安全管理中心查詢查詢所述安全策略數(shù)據(jù)庫判斷所述本地安全策略中間值是否違背全局安全策略，如果違背則將所述本地安全策略中間值調(diào)整為安全策略最終值，否則將所述本地安全策略中間值設(shè)定為安全策略最終值；并將所述安全策略最終值下發(fā)到所述策略協(xié)調(diào)模塊中； 7)所述策略協(xié)調(diào)模塊根據(jù)所述安全策略最終值生成更新安全策略，并向所述目標主機節(jié)點上的策略代理模塊發(fā)出的更新安全策略； 8)所述目標主機節(jié)點的策略代理模塊執(zhí)行更新安全策略； 9)所述策略協(xié)調(diào)模塊更新安全策略緩存中的本地安全策略。
【文檔編號】H04L29/08GK103457933SQ201310356147
【公開日】2013年12月18日 申請日期:2013年8月15日 優(yōu)先權(quán)日:2013年8月15日
【發(fā)明者】陳幼雷, 張雅哲 申請人:中電長城網(wǎng)際系統(tǒng)應(yīng)用有限公司