[發明專利]一種虛擬機遷移安全策略動態配置系統和方法

有效

• 申請號: 201310356147.X
• 申請日: 2013-08-15
• 公開（公告）號: CN103457933B
• 公開（公告）日: 2016-11-02
• 發明（設計）人: 陳幼雷;張雅哲
• 申請（專利權）人: 中電長城網際系統應用有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京海虹嘉誠知識產權代理有限公司 11129
• 代理人: 李翀

1.一種虛擬機遷移安全策略動態配置系統，其特征在于：它包括安全管理中心、策略協調模塊、策略代理模塊和全局安全策略庫，在源主機節點和目標主機節點上均設置所述策略代理模塊，所述安全管理中心分別連接所述安全策略庫和策略協調模塊，所述策略協調模塊還與所有所述策略代理模塊連接；設置在所述源主機節點上的策略代理模塊用于向所述策略協調模塊提供所述源主機節點的安全狀態信息；設置在所述目標主機節點上的策略代理模塊應所述策略協調模塊發出的安全評估請求返回遷移參數，并執行所述策略協調模塊發出的更新安全策略；所述策略協調模塊用于根據所述安全狀態信息觸發安全評估機制并發出所述安全評估請求，根據所述遷移參數生成安全評估結果，向所述安全管理中心發出包括所述安全評估結果和遷移前所述目標主機節點的本地安全策略中間值的安全策略更新請求，接收所述安全管理中心發出的安全策略最終值后生成所述更新安全策略；所述安全管理中心用于查詢所述安全策略數據庫并判斷所述本地安全策略中間值是否違背全局安全策略，如果違背則將所述本地安全策略中間值調整為安全策略最終值，否則將所述本地安全策略中間值設定為安全策略最終值。

2.如權利要求1所述的一種虛擬機遷移安全策略動態配置系統，其特征在于：所述安全狀態信息包括遷移虛擬機的目標主機節點、目標主機節點的地址和源主機節點的當前安全策略參數。

3.如權利要求1所述的一種虛擬機遷移安全策略動態配置系統，其特征在于：所述安全管理中心設置在云數據中心中或設置在虛擬機管理平臺中或為獨立的安全管理中心模塊。

4.如權利要求1所述的一種虛擬機遷移安全策略動態配置系統，其特征在于：如果將所述本地安全策略中間值更新為所述安全策略最終值，所述策略協調模塊向所述安全管理中心發送更新成功應答；之后所述安全管理中心更新所述全局安全策略庫。

5.如權利要求1或2或3或4所述的一種虛擬機遷移安全策略動態配置系統，其特征在于：所述安全管理中心包括策略配置管理模塊，所述策略協調模塊包括安全策略生成模塊和安全策略緩存，所述策略代理模塊包括遷移事件監控模塊和策略實施模塊；安全策略評估模塊包括設置在策略代理模塊中的下級安全策略評估模塊和設置在策略協調模塊中的上級安全策略評估模塊。

6.如權利要求5所述的一種虛擬機遷移安全策略動態配置系統，其特征在于：所述策略配置管理模塊用于維護和查詢所述全局安全策略庫，向所述安全策略生成模塊發出針對所述安全策略更新請求的包含所述安全策略最終值的安全策略更新應答。

7.如權利要求5所述的一種虛擬機遷移安全策略動態配置系統，其特征在于：所述下級安全策略評估模塊用于響應所述策略協調模塊發出的安全評估請求返回遷移參數；所述上級安全策略評估模塊用于根據所述遷移參數在具體情況的全局安全策略要求下，通過不同級別的安全評估方法生成安全評估結果。

8.如權利要求5所述的一種虛擬機遷移安全策略動態配置系統，其特征在于：所述安全策略生成模塊根據所述安全評估結果，結合所述安全策略緩存中存儲的遷移前所述目標主機的本地安全策略，生成所述本地安全策略中間值，并向所述策略配置管理模塊發出所述安全策略更新請求；所述安全策略生成模塊根據所述安全策略最終值生成更新安全策略，并將所述更新安全策略分發到所述目標主機節點的策略實施模塊上。

9.如權利要求5所述的一種虛擬機遷移安全策略動態配置系統，其特征在于：所述安全策略緩存用于緩存所述源主機節點和目標主機節點上的所有虛擬機的本地安全策略，并實時更新。

10.一種實現如權利要求1-9所述的虛擬機遷移安全策略動態配置系統的方法，其步驟包括：

1）設置安全管理中心和策略協調模塊，在源主機節點和目標主機節點上分別設置策略代理模塊；

2）所述源主機節點上的策略代理模塊發現虛擬機遷移事件，獲取安全狀態信息，并向所述策略協調模塊發送；

3）所述策略協調模塊收到所述安全狀態信息后啟動安全評估過程，向所述目標主機節點上的策略代理模塊發送安全評估請求；

4）所述目標主機節點的策略代理模塊根據安全評估請求，將遷移參數發送所述策略協調模塊；

5）所述策略協調模塊根據所述遷移參數生成安全評估結果，同時查詢本地安全策略緩存中存儲的遷移前所述目標主機節點的本地安全策略后生成本地安全策略中間值；之后向所述安全管理中心發出包括安全評估結果和所述本地安全策略中間值的安全策略更新請求；

6）所述安全管理中心查詢查詢所述安全策略數據庫判斷所述本地安全策略中間值是否違背全局安全策略，如果違背則將所述本地安全策略中間值調整為安全策略最終值，否則將所述本地安全策略中間值設定為安全策略最終值；并將所述安全策略最終值下發到所述策略協調模塊中；

7）所述策略協調模塊根據所述安全策略最終值生成更新安全策略，并向所述目標主機節點上的策略代理模塊發出的更新安全策略；

8）所述目標主機節點的策略代理模塊執行更新安全策略；

9）所述策略協調模塊更新安全策略緩存中的本地安全策略。