[發明專利]一種PaaS平臺的安全運行方法和PaaS平臺

有效

• 申請號: 201310012275.2
• 申請日: 2013-01-11
• 公開（公告）號: CN103065081A
• 公開（公告）日: 2013-04-24
• 發明（設計）人: 劉沖
• 申請（專利權）人: 北京搜狐新媒體信息技術有限公司
• 主分類號: G06F21/51
• 分類號: G06F21/51
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 王寶筠

1.一種PaaS平臺的安全運行方法，其特征在于，包括：

管理服務器獲取應用程序代碼；

所述管理服務器為所述應用程序代碼調度分配應用程序節點和邏輯隔離方式；

所述應用程序節點從所述管理服務器下載所述應用程序代碼和邏輯隔離方式；

所述應用程序節點在Java代碼進入Java虛擬機時，通過JavaInstrumentation攔截所述Java代碼，所述Java代碼中包含所述應用程序代碼和用于運行所述應用程序代碼的服務程序代碼；

所述應用程序節點通過Java類加載器將所述Java代碼中包含的所述應用程序代碼和所述服務程序代碼進行相互隔離；

所述應用程序節點通過字節碼增強，將隔離出的所述應用程序代碼按照所述邏輯隔離方式進行的限制和屏蔽。

2.根據權利要求1所述的方法，其特征在于，所述管理服務器為所述應用程序調度分配應用程序節點包括：

管理服務器預先將PaaS平臺中的所有應用程序節點劃分為多個物理分組，其中，每個物理分組包括多個應用程序節點，每個應用程序節點用于運行至少一個應用程序；

管理服務器從多個物理分組中選擇一個物理分組，在選擇出的物理分組中調度分配所述應用程序節點。

3.根據權利要求1所述的方法，其特征在于，所述管理服務器為所述應用程序代碼分配的邏輯隔離方式包括以下任意一種或任意多種組合：

網絡層面的隔離、文件IO層面的隔離、Java?JDKAPI層面的隔離、進程和線程層面的隔離和應用程序節點主機操作系統層面的隔離。

4.根據權利要求3所述的方法，其特征在于，當所述邏輯隔離方式為網絡層面隔離時，所述應用程序節點通過字節碼增強，將隔離出的所述應用程序代碼按照所述邏輯隔離方式進行限制和屏蔽包括：

所述應用程序節點限制所述應用程序代碼的網絡訪問，屏蔽訪問的非法IP地址。

5.根據權利要求3所述的方法，其特征在于，當所述邏輯隔離方式為文件IO層面的隔離時，所述應用程序節點通過字節碼增強，將隔離出的所述應用程序代碼按照所述邏輯隔離方式進行限制和屏蔽包括：

所述應用程序節點限制所述應用程序代碼的文件讀寫操作和網絡IO操作。

6.根據權利要求3所述的方法，其特征在于，當所述邏輯隔離方式為JavaJDK?API層面的隔離時，所述應用程序節點通過字節碼增強，將隔離出的所述應用程序代碼按照所述邏輯隔離方式進行限制和屏蔽包括：

所述應用程序節點屏蔽JDK的黑名單類和函數、限制或屏蔽JDK的危險API調用、限制或屏蔽訪問系統屬性和環境變量，以及限制JDK反射機制的操作范圍。

7.根據權利要求3所述的方法，其特征在于，當邏輯隔離方式為進程和線程層面的隔離時，所述應用程序節點通過字節碼增強，將隔離出的所述應用程序代碼按照所述邏輯隔離方式進行限制和屏蔽包括：

所述應用程序節點限制或屏蔽所述應用程序代碼的進程和線程操作。

8.根據權利要求3所述的方法，其特征在于，當邏輯隔離方式為應用程序節點主機操作系統層面的隔離時，所述應用程序節點通過字節碼增強，將隔離出的所述應用程序代碼按照所述邏輯隔離方式進行限制和屏蔽包括：

所述應用程序節點限制或屏蔽訪問系統屬性和環境變量。

9.根據權利要求1～8中任意一項所述的方法，其特征在于，在所述應用程序節點從所述管理服務器下載所述應用程序代碼之后，所述方法還包括：

所述應用程序節點判斷所述應用程序代碼的文件格式是否合法；

如果是，在Java代碼進入Java虛擬機運行時，通過Java?Instrumentation攔截所述Java代碼；

否則，屏蔽非法格式文件，并記錄日志。

10.根據權利要求1～8中任意一項所述的方法，其特征在于，在所述應用程序節點從所述管理服務器下載所述應用程序代碼之后，所述方法還包括

所述應用程序節點判斷所述應用程序代碼是否存在可疑文件；

如果是，屏蔽可疑文件，并記錄日志；

否則，在Java代碼進入Java虛擬機運行時，通過Java?Instrumentation攔截所述Java代碼。