一種用于保護云系統(tǒng)的安全監(jiān)控方法
【技術領域】
[0001]本發(fā)明涉及計算機技術領域，具體說涉及一種用于保護云系統(tǒng)的安全監(jiān)控方法。
【背景技術】
[0002]隨著云計算概念的提出以及云技術的不斷應用，各式各樣的云系統(tǒng)產(chǎn)品也出現(xiàn)在大眾眼前。例如亞馬遜網(wǎng)頁服務(Amazon Web Services，AWS)、谷歌云平臺和蘋果的ICloud等。
[0003]云計算是建立在虛擬化基礎之上，利用虛擬機實現(xiàn)資源的充分利用和服務的提供。云計算可以分為三個層次的服務:基礎設施即服務(IaaS)，平臺即服務(PaaS)和軟件即服務(SaaS)。隨著云計算技術應用的不斷深入，用戶在關注云系統(tǒng)產(chǎn)品的使用便捷程度的同時也對云產(chǎn)品的安全問題越來越關注。尤其是自己放到云系統(tǒng)產(chǎn)品上運行或存儲的數(shù)據(jù)的安全問題。
[0004]在數(shù)據(jù)隱私保護方面，用戶信息存儲于自己的電腦中時，任何人需要這些信息都要經(jīng)過允許，黑客入侵則觸發(fā)了法律。但是，當用戶信息存儲于云系統(tǒng)產(chǎn)品上時，還沒有明確的法律規(guī)定云服務提供商或者其他官方機構(gòu)不能夠查看這些信息，以及這些隱私的泄漏會受到什么樣的處罰。
[0005]目前大多云系統(tǒng)產(chǎn)品只解決如何實現(xiàn)云平臺，但在如何保護云系統(tǒng)安全方面還沒有明確的答案。云系統(tǒng)的安全問題的解決是關系到云服務能否得到用戶認可的關鍵要素，云系統(tǒng)安全也是阻礙當前云計算應用的主要障礙之一。
[0006]因此，針對當前云系統(tǒng)的安全問題，需要一種用于保護云系統(tǒng)的安全監(jiān)控方法。

【發(fā)明內(nèi)容】

[0007]針對當前云系統(tǒng)的安全問題，本發(fā)明提供了一種用于保護云系統(tǒng)的安全監(jiān)控方法，所述方法包含以下步驟:
[0008]監(jiān)控步驟，基于可信的第三方認證中心針對云系統(tǒng)的應用層和/或基礎層進行安全監(jiān)控以獲取并記錄針對所述云系統(tǒng)執(zhí)行的操作；
[0009]驗證合法性步驟，通過所述第三方認證中心對所述操作進行合法性驗證，以判斷所述操作是否存在異常；
[0010]報警步驟，當所述操作存在異常時發(fā)出警報，其中，把針對所述云系統(tǒng)執(zhí)行的操作按比重劃分權值從而設定相應的報警優(yōu)先權，當針對所述云系統(tǒng)執(zhí)行的操作對所述云系統(tǒng)危害越大時，所述權值越大，相應的所述報警優(yōu)先權越高。
[0011]在一實施例中，針對所述應用層的安全監(jiān)控包括對所述云系統(tǒng)的云控制器節(jié)點進行監(jiān)控。
[0012]在一實施例中，針對所述應用層的安全監(jiān)控還包括針對所述云系統(tǒng)的系統(tǒng)資源進行監(jiān)控，在針對所述云系統(tǒng)的系統(tǒng)資源進行監(jiān)控時，對比之前獲取的所述系統(tǒng)資源的監(jiān)控記錄以及當前的所述系統(tǒng)資源以獲取針對所述云系統(tǒng)執(zhí)行的操作。
[0013]在一實施例中，在針對所述云系統(tǒng)的系統(tǒng)資源進行監(jiān)控時，利用操作文件、操作類型、操作時間以及操作用戶標記針對所述云系統(tǒng)執(zhí)行的操作，并采用摘要和對摘要加密的方式獲取所述監(jiān)控記錄，所述系統(tǒng)資源包含文件、文件夾以及命令，其中:
[0014]針對所述文件夾，對所述文件夾的子目錄和權限屬性進行記錄；
[0015]針對所述文件，對所述文件的內(nèi)容和屬性進行記錄；
[0016]針對所述命令，對所述命令的二進制文件內(nèi)容以及權限進行記錄。
[0017]在一實施例中，針對所述基礎層的安全監(jiān)控包括特權域監(jiān)控，監(jiān)控所述云系統(tǒng)的包含可直接訪問物理硬件的真實的設備驅(qū)動的特權域以獲取所述云系統(tǒng)的基礎設施提供者針對所述云系統(tǒng)執(zhí)行的操作，其中，所述特權域用于輔助虛擬機監(jiān)視器管理其他的域并提供虛擬的資源服務。
[0018]在一實施例中，針對所述基礎層的安全監(jiān)控還包括開機啟動監(jiān)控，監(jiān)控并記錄所述云系統(tǒng)的開機啟動引導程序的加密內(nèi)容，并在所述云系統(tǒng)啟動時校驗開機啟動引導程序以獲取針對所述云系統(tǒng)的開機啟動引導程序的操作。
[0019]在一實施例中，在所述驗證合法性步驟中，每隔特定時長對所述特定時長內(nèi)針對所述云系統(tǒng)執(zhí)行的所有操作進行排查，當沒有存在異常時清除所述特定時長內(nèi)針對所述云系統(tǒng)執(zhí)行的所有操作的監(jiān)控記錄。
[0020]在一實施例中，所述方法還包含驗證服務提供商步驟，在所述第三方認證中心每次連接到云系統(tǒng)的服務提供商時對所述服務提供商進行安全驗證，所述監(jiān)控服務提供商步驟包含以下步驟:
[0021]所述第三方認證中心對所述服務提供商進行驗證；
[0022]當所述服務提供商進行通過驗證后，存儲所述服務提供商提交的認證數(shù)據(jù)；
[0023]依照特定的認證策略根據(jù)所述認證數(shù)據(jù)對所述服務提供商進行合法性認證以獲取認證結(jié)果；
[0024]當所述認證結(jié)果存在異常時發(fā)出警報。
[0025]在一實施例中，基于自我學習的方式構(gòu)建所述特定的認證策略，其中:
[0026]以基本的合法性驗證構(gòu)建最初的所述特定的認證策略；
[0027]當出現(xiàn)新的問題并確認合法后，將所述合法的問題加入所述特定的認證策略；
[0028]當操作確定是不合法時，直接將所述不合法的操作加入黑名單。
[0029]在一實施例中，在所述第三方認證中心對所述服務提供商進行驗證的過程中，當所述服務提供商向所述第三方認證中心注冊時，首先發(fā)送所述服務提供商形成的公鑰。
[0030]與現(xiàn)有技術相比，本發(fā)明具有如下優(yōu)點:
[0031]本發(fā)明的安全監(jiān)控方法針對云系統(tǒng)的應用層以及基礎層構(gòu)建了多重的安全監(jiān)控，能夠及時有效的對非法用戶對云系統(tǒng)實行的非法操作進行排查，大大提高了系統(tǒng)安全程度。
[0032]本發(fā)明的其它特征或優(yōu)點將在隨后的說明書中闡述。并且，本發(fā)明的部分特征或優(yōu)點將通過說明書而變得顯而易見，或者通過實施本發(fā)明而被了解。本發(fā)明的目的和部分優(yōu)點可通過在說明書、權利要求書以及附圖中所特別指出的步驟來實現(xiàn)或獲得。
【附圖說明】
[0033]附圖用來提供對本發(fā)明的進一步理解，并且構(gòu)成說明書的一部分，與本發(fā)明的實施例共同用于解釋本發(fā)明，并不構(gòu)成對本發(fā)明的限制。在附圖中:
[0034]圖1是根據(jù)本發(fā)明一實施例的云系統(tǒng)結(jié)構(gòu)簡圖。
【具體實施方式】
[0035]以下將結(jié)合附圖及實施例來詳細說明本發(fā)明的實施方式，借此本發(fā)明的實施人員可以充分理解本發(fā)明如何應用技術手段來解決技術問題，并達成技術效果的實現(xiàn)過程并依據(jù)上述實現(xiàn)過程具體實施本發(fā)明。需要說明的是，只要不構(gòu)成沖突，本發(fā)明中的各個實施例以及各實施例中的各個特征可以相互結(jié)合，所形成的技術方案均在本發(fā)明的保護范圍之內(nèi)。
[0036]隨著云計算技術應用的不斷深入，用戶在關注云系統(tǒng)產(chǎn)品的使用便捷程度的同時也對云產(chǎn)品的安全問題越來越關注。尤其是自己放到云系統(tǒng)產(chǎn)品上運行或存儲的數(shù)據(jù)的安全問題。云系統(tǒng)的安全問題的解決是關系到云服務能否得到用戶認可的關鍵要素，云系統(tǒng)安全也是阻礙當前云計算應用的主要障礙之一。
[0037]針對當前云系統(tǒng)的安全問題，本發(fā)明提出了一種用于保護云系統(tǒng)的安全監(jiān)控方法。
[0038]云計算是建立在虛擬化基礎之上，利用虛擬機實現(xiàn)資源的充分利用和服務的提供。云計算可以分為三個層次的服務:基礎設施即服務(IaaS)，平臺即服務(PaaS)和軟件即服務(SaaS)。按照基本功能可以將一個云系統(tǒng)劃分為應用層和基礎層兩大部分，其中，應用層主要包括虛擬機服務系統(tǒng)，是面向用戶的；基礎層則主要包括云系統(tǒng)的硬件設備，主要由基礎設施提供商(硬件供應商/擁有者)提供并設置。
[0039]本發(fā)明的系統(tǒng)安全監(jiān)控方法主要針對云系統(tǒng)的應用層和/或基礎層進行安全監(jiān)控。本發(fā)明的安全監(jiān)控方法針對云系統(tǒng)的應用層以及基礎層構(gòu)建了多重的安全監(jiān)控，能夠及時有效的對非法用戶對云系統(tǒng)實行的非法操作進行排查，大大提高了系統(tǒng)安全程度。
[0040]為了保證監(jiān)控的安全性，避免安全漏洞，如圖1所示，在本實施例中，本發(fā)明的監(jiān)控方法主要基于可信的第三方認證中心103執(zhí)行監(jiān)控步驟?；诳尚诺牡谌秸J證中心103針對云系統(tǒng)100的應用層110和/或基礎層120進行安全監(jiān)控以獲取針對云系統(tǒng)執(zhí)行的操作。
[0041]將獲取到的針對云系統(tǒng)執(zhí)行的操作利用操作文件，操作類型，操作時間以及操作用戶標記以創(chuàng)建監(jiān)控記錄，然后加密并保存到第三方認證中心103。為保證監(jiān)控記錄的安全性，監(jiān)控記錄在上傳至第三方認證中心103保存的同時也留存一份本地保存。
[0042]接著，執(zhí)行驗證合法性步驟，通過第三方認證中心103對監(jiān)控記錄中的操作進行合法性驗證，以判斷操作是否存在異常。在執(zhí)行驗證合法性步驟時，本實施例的方法還把針對云系統(tǒng)執(zhí)行的操作按比重劃分權值，當操作對系統(tǒng)危害越大，權值越大，報警優(yōu)先權越高。這樣有利于及時發(fā)現(xiàn)問題和處理問題。
[0043]在本實施例中，根據(jù)云系統(tǒng)的具體應用情況確定一特定時長，每隔特定時長對特定時長內(nèi)針對云系統(tǒng)執(zhí)行的所有操作進行排查，當沒有存在異常時清除特定時長內(nèi)針對云系統(tǒng)執(zhí)行的所有操作的監(jiān)控記錄。即，每隔一段時間，比如一個月或者更短，對整個云系統(tǒng)進行一次評估，如果合格，可以把這一段時間內(nèi)的合法操作監(jiān)控記錄清除。
[0044]最后，報警步驟，當所述操作存在異常時發(fā)出警報。其中，把針對云系統(tǒng)執(zhí)行的操作按比重劃分權值從而設定相應的報警優(yōu)先權，當針對云系統(tǒng)執(zhí)行的操作對云系統(tǒng)危害越大時，權值越大，相應的報警優(yōu)先權越高。
[0045]接下來首先詳細說明本實施例的安全監(jiān)控方法的各個步驟。在云系統(tǒng)的使用過程中，非法使用者往往會以各種方式竊取合法使用者的用戶身份對云系統(tǒng)進行非法操作。為了排查非法使用者，本實施例采用了監(jiān)控用戶操作的方法。當用戶的操作為非法操作時該用戶即為非法使用者，需要發(fā)出警報。
[0046]本實施例的云系統(tǒng)100是基于開源的軟件基礎結(jié)構(gòu)(Elastic Utility ComputingArchitecture for Linking Your Programs To Useful Systems，Eucalyptus)構(gòu)建的。在Eucalyptus中，如圖1所示，用戶101直接面對應用層110進行操作。應用層110包含云控制器(CLC)節(jié)點111，云控制器(CLC)節(jié)點111是從客戶端進入云系統(tǒng)的接口，其為云提供邏輯決定。云控制器(CLC) 111執(zhí)行對客戶端進行認證的服務，并