[發明專利]一種虛擬機遷移安全策略動態配置系統和方法

有效

• 申請號: 201310356147.X
• 申請日: 2013-08-15
• 公開（公告）號: CN103457933B
• 公開（公告）日: 2016-11-02
• 發明（設計）人: 陳幼雷;張雅哲
• 申請（專利權）人: 中電長城網際系統應用有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京海虹嘉誠知識產權代理有限公司 11129
• 代理人: 李翀

技術領域

本發明涉及一種信息安全系統和方法，具體涉及一種虛擬機遷移安全策略動態配置系統和方法。

背景技術

云計算是一種面向互聯網的分布式計算服務，作為IT資源和服務的一種交付使用模型，它可以實現隨時隨地、便捷的、按需的從可配置計算資源共享池中獲取所需的資源（如網絡、服務器、存儲、應用、服務等），這些資源可以被迅速提供并發布，同時最小化管理成本或服務提供商的干涉。在云計算環境下，安全策略的實施由于網絡的虛擬化而面臨諸多難點，虛擬化使得傳統網絡邊界模糊，按照虛擬機方式劃分的不同網絡不在受到物理網絡邊界的限制，導致安全策略的部署和維護變的更加復雜，需要為各種安全服務組件提供一種適當的安全策略部署和維護模式。

虛擬機的動態遷移是云計算的特性之一，虛擬機會根據各種負載均衡策略以及安全管理及維護策略，進行動態遷移、部署、撤銷等操作，由負載較重的源主機節點上遷移到負載較輕的目標主機節點上，保證不同平臺的硬件資源充分利用。但是虛擬機的動態遷移將導致原有為虛擬機所設定的運行環境、安全策略失效的問題，比如，因為虛擬機的遷移，使得配置的網絡訪問規則在不同的主機服務器上不一致，就會使的遷移后的虛擬機面臨網絡安全風險。

要解決因虛擬機遷移而帶來安全風險，通常需要跟蹤虛擬機啟動、關閉、創建、遷移和刪除等操作，根據不同狀態采取相應措施（如安全策略動態調整、策略跟隨等），保證虛擬機遷移時安全策略一致性。在現有的虛擬化管理軟件和平臺化軟件產品中，虛擬機遷移是常備功能之一，這類虛擬機遷移的解決方案并沒有從安全的角度來考慮虛擬機遷移后是否能夠保障系統整體的安全性，而只是簡單調整遷移后虛擬機的網絡訪問策略，確保虛擬機遷移前后的網絡服務連續性，而對該虛擬機的安全控制涉及的很少或沒有考慮。這樣即使虛擬機能夠成功從源主機節點遷移到目標主機節點，并能保證服務連續性，卻仍然暴露在網絡安全風險之下，相當于在虛擬機遷移之后，系統的整體安全性降低了。

另外，現有的虛擬機遷移安全解決方案并沒有從全局的角度來考慮安全策略的配置管理，這樣會導致在遷移前后對安全策略的管理比較復雜，涉及到遷移虛擬機出入口的所有安全訪問策略，以及和它相關聯的其他虛擬機的安全策略配置，一旦遷移過程頻繁發生，那么這種對策略的更新和同步將變的異常復雜。

發明內容

本發明針對現有技術中在虛擬機發生遷移時不能夠保證系統的整體安全性問題，提出一種能夠自動發現遷移的源主機節點的地址和目標主機節點的地址，并對遷移前后虛擬機的運行環境的安全狀態所對應的安全策略進行對比分析、統一協調和相應修改，確保系統整體在虛擬機發生遷移前后的安全性保持一致的虛擬機遷移安全策略動態配置系統；以及實現該系統的方法。

本發明的技術方案如下：

一種虛擬機遷移安全策略動態配置系統，其特征在于：它包括安全管理中心、策略協調模塊、策略代理模塊和全局安全策略庫，在源主機節點和目標主機節點上均設置所述策略代理模塊，所述安全管理中心分別連接所述安全策略庫和策略協調模塊，所述策略協調模塊還與所有所述策略代理模塊連接；設置在所述源主機節點上的策略代理模塊用于向所述策略協調模塊提供所述源主機節點的安全狀態信息；設置在所述目標主機節點上的策略代理模塊應所述策略協調模塊發出的安全評估請求返回遷移參數，并執行所述策略協調模塊發出的更新安全策略；所述策略協調模塊用于根據所述安全狀態信息觸發安全評估機制并發出所述安全評估請求，根據所述遷移參數生成安全評估結果，向所述安全管理中心發出包括所述安全評估結果和遷移前所述目標主機節點的本地安全策略中間值的安全策略更新請求，接收所述安全管理中心發出的安全策略最終值后生成所述更新安全策略；所述安全管理中心用于查詢所述安全策略數據庫并判斷所述本地安全策略中間值是否違背全局安全策略，如果違背則將所述本地安全策略中間值調整為安全策略最終值，否則將所述本地安全策略中間值設定為安全策略最終值。

所述安全狀態信息包括遷移虛擬機的目標主機節點、目標主機節點的地址和源主機節點的當前安全策略參數。

所述安全管理中心設置在云數據中心中或設置在虛擬機管理平臺中或為獨立的安全管理中心模塊。

如果將所述本地安全策略中間值更新為所述安全策略最終值，所述策略協調模塊向所述安全管理中心發送更新成功應答；之后所述安全管理中心更新所述全局安全策略庫。