[發(fā)明專利]一種云計(jì)算網(wǎng)絡(luò)服務(wù)器內(nèi)核安全訪問方法

在審

• 申請?zhí)枺?/td>: 201310426860.7
• 申請日: 2013-09-18
• 公開（公告）號: CN103457958A
• 公開（公告）日: 2013-12-18
• 發(fā)明（設(shè)計(jì)）人: 陳偉東;王超;徐崢;邢希雙
• 申請（專利權(quán)）人: 浪潮電子信息產(chǎn)業(yè)股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 暫無信息
• 代理人: 暫無信息

技術(shù)領(lǐng)域

本發(fā)明涉及云計(jì)算網(wǎng)絡(luò)服務(wù)器內(nèi)核安全訪問技術(shù)領(lǐng)域，特別涉及一種云計(jì)算網(wǎng)絡(luò)服務(wù)器內(nèi)核安全訪問方法。

背景技術(shù)

云計(jì)算網(wǎng)絡(luò)下的服務(wù)器多數(shù)部署在云計(jì)算中心，作分布式協(xié)同計(jì)算和集中管理。云計(jì)算除了帶來計(jì)算和應(yīng)用的巨大計(jì)算能力之外，也給云計(jì)算中心數(shù)據(jù)帶來了安全上的威脅。云計(jì)算的服務(wù)模式有SaaS(軟件即服務(wù))、PaaS(平臺即服務(wù))和IaaS(基礎(chǔ)架構(gòu)即服務(wù))，除了面臨傳統(tǒng)的數(shù)據(jù)破壞或丟失、帳號或服務(wù)破解、拒絕服務(wù)攻擊(Deninal?of?Service)、惡意軟件入侵、軟件漏洞等安全威脅外，云計(jì)算安全面臨的風(fēng)險(xiǎn)還有：特權(quán)用戶接入、數(shù)據(jù)位置、數(shù)據(jù)加密帶來的隔離或失效、災(zāi)難數(shù)據(jù)恢復(fù)和隱私暴露危險(xiǎn)。云計(jì)算虛擬化帶來的資源隔離問題、企業(yè)的關(guān)鍵數(shù)據(jù)安全面臨嚴(yán)重威脅，云計(jì)算網(wǎng)絡(luò)的安全需要對數(shù)據(jù)中心服務(wù)器和虛擬化資源在多個(gè)層面（發(fā)作、防御、響應(yīng)、及時(shí)恢復(fù)）作立體全面防御。

云計(jì)算安全要求對身份和訪問管理，對用戶提供信任和安全級別等。低風(fēng)險(xiǎn)數(shù)據(jù)可以被放心投入云中，高影響或關(guān)鍵數(shù)據(jù)要求系統(tǒng)的訪問控制保護(hù)和隱私安全。近年來APT（高級持續(xù)威脅）攻擊對網(wǎng)絡(luò)造成了嚴(yán)重威脅。現(xiàn)在相關(guān)組織正在積極制定云計(jì)算安全標(biāo)準(zhǔn)及測評體系，本發(fā)明在云計(jì)算中心服務(wù)器系統(tǒng)層、網(wǎng)絡(luò)層和應(yīng)用層建立多層立體防御體系，對云計(jì)算服務(wù)器安全體系做了可控制研究和實(shí)現(xiàn)。資源訪問控制方面采用下一代訪問控制技術(shù)(UCON)對云計(jì)算資源作保護(hù)訪問。在本質(zhì)上對病毒和惡意軟件做控制，監(jiān)控和禁用系統(tǒng)關(guān)鍵資源。在網(wǎng)絡(luò)層面禁止非法進(jìn)程和端口等訪問服務(wù)器，禁止隱藏通道的非法應(yīng)用。防止DDoS攻擊等。云計(jì)算提供商提供對數(shù)據(jù)監(jiān)管的機(jī)制，包括監(jiān)控、授權(quán)和訪問控制等。系統(tǒng)對監(jiān)管和訪問控制提供了審計(jì)機(jī)制。可信計(jì)算技術(shù)包括如下要求：確保系統(tǒng)資源和數(shù)據(jù)完整性；數(shù)據(jù)安全存儲和可信網(wǎng)絡(luò)連接等。云計(jì)算資源有數(shù)量巨多、分布離散、調(diào)度頻繁、對安全要求高等特征。

傳統(tǒng)基于屬性訪問的控制模型不能滿足云安全的復(fù)雜要求，UCON（usage?control)訪問控制技術(shù)除了具有傳統(tǒng)的訪問控制模型外，還增加了義務(wù)(Obligations)、條件（Conditions）等因素。對訪問的信任度和引用計(jì)數(shù)等作控制，信任度不同，則訪問權(quán)限不同。引用計(jì)數(shù)到一定值時(shí)，更多的資源訪問會被禁止。虛擬化安全的防范采用和UCON訪問控制近似的方法，針對虛擬化存儲等特點(diǎn)作了定制剪裁。虛擬化網(wǎng)絡(luò)的安全在傳輸層和會話層作訪問控制。

目前的服務(wù)器資源訪問技術(shù)，采用對主機(jī)的進(jìn)程、文件、注冊表等資源在內(nèi)核層作訪問控制。在云計(jì)算的復(fù)雜環(huán)境下，服務(wù)器內(nèi)核加固技術(shù)對信用等級、分布式計(jì)算存儲和基于Internet的訪問控制能力明顯不足。

發(fā)明內(nèi)容

為了解決現(xiàn)有技術(shù)的問題，本發(fā)明基于下一代訪問控制模型，在主體客體屬性等方面又添加了新的訪問控制元素，增加了信用管理和關(guān)鍵資源的引用計(jì)數(shù)等，在訪問數(shù)量達(dá)到一定級別時(shí)，采取禁止訪問等策略，在網(wǎng)絡(luò)訪問方面，加強(qiáng)對服務(wù)器通信的監(jiān)控，監(jiān)控異常流量和DNS流量等，對非法通信的禁止等。

本發(fā)明所采用的技術(shù)方案如下：

一種云計(jì)算網(wǎng)絡(luò)服務(wù)器內(nèi)核安全訪問方法，包括在存儲和文件層用采用下一代訪問控制技術(shù)的訪問控制模型對系統(tǒng)資源控制；在服務(wù)器虛擬化平臺采用可定制裁減的訪問控制模型，對云計(jì)算虛擬化安全作防護(hù)。

方法具體包括用戶訪問云計(jì)算服務(wù)器和虛擬化服務(wù)器時(shí)的控制方法和云計(jì)算服務(wù)器和虛擬機(jī)網(wǎng)絡(luò)訪問控制時(shí)的控制方法。

用戶訪問云計(jì)算服務(wù)器和虛擬化服務(wù)器時(shí)的控制方法包括：

A1、身份和域等認(rèn)證；

B1、根據(jù)用戶身份、信任度和資源引用計(jì)數(shù)等得到資源訪問權(quán)限；

C1、訪問前，訪問中和訪問后滿足相應(yīng)的條件可改變主體和客體的屬性，執(zhí)行相應(yīng)的權(quán)利和義務(wù)；

D1、在內(nèi)核層對關(guān)鍵資源訪問做比對，作相應(yīng)的只讀、可寫或禁用等操作；

E1、虛擬化系統(tǒng)安全采用定制剪裁的訪問控制策略，根據(jù)虛擬機(jī)的存儲等特征保證安全。

云計(jì)算服務(wù)器和虛擬機(jī)網(wǎng)絡(luò)訪問控制時(shí)的控制方法包括：

A2、網(wǎng)絡(luò)安全域劃分及邊界防護(hù)、網(wǎng)絡(luò)資源的訪問控制；

B2、遠(yuǎn)程接入安全；

C2、DDoS攻擊危險(xiǎn)及防御，禁止非法接入設(shè)備；

D2、網(wǎng)絡(luò)安全審計(jì)系統(tǒng)；

E2、虛擬機(jī)上的網(wǎng)絡(luò)控制在傳輸層作控制，禁止非法通信。