[發明專利]虛擬機的安全接入控制實現方法和系統

有效

• 申請號: 201310459624.5
• 申請日: 2013-09-30
• 公開（公告）號: CN104519026B
• 公開（公告）日: 2018-11-30
• 發明（設計）人: 何明;樊寧;沈軍;金華敏
• 申請（專利權）人: 中國電信股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 中國國際貿易促進委員會專利商標事務所 11038
• 代理人: 王莉莉

1.一種虛擬機的安全接入控制實現方法，其特征在于，包括：

新建虛擬機時，虛擬機管理平臺將該新建虛擬機的屬性信息發送給策略管理控制器；所述新建虛擬機的屬性信息包括新建虛擬機的標識信息、工作狀態與表示虛擬機所在位置的網絡屬性信息；

策略管理控制器通知虛擬防火墻或者虛擬交換機限制該新建虛擬機的通信權限，使得該新建虛擬機只能與安全基線管理系統通信，并通知安全基線管理系統對該新建虛擬機進行安全合規性檢查檢查和修復；

安全基線管理系統對所述新建虛擬機進行安全合規性檢查，包括：所述安全基線管理系統檢查所述新建虛擬機在安全策略、系統配置與業務功能方面是否達到最新安全配置策略要求的標準；

在所述新建虛擬機未通過安全合規性檢查時，安全基線管理系統利用最新安全配置策略，對所述新建虛擬機未達到最新安全配置策略要求的標準的方面進行修復，并在修復完畢后通知策略管理控制器；

策略管理控制器通知虛擬防火墻或者虛擬交換機取消對所述新建虛擬機的通信權限限制。

2.根據權利要求1所述的方法，其特征在于，所述策略管理控制器通知虛擬防火墻或者虛擬交換機限制該新建虛擬機的通信權限包括：

策略管理控制器通知虛擬防火墻或者虛擬交換機，將所述新建虛擬機放到隔離區。

3.根據權利要求2所述的方法，其特征在于，所述策略管理控制器通知虛擬防火墻或者虛擬交換機取消對所述新建虛擬機的通信權限限制包括：

策略管理控制器通知虛擬防火墻或者虛擬交換機，將此新建虛擬機放到所屬工作區域，以與其它通信實體正常通信。

4.根據權利要求1至3任意一項所述的方法，其特征在于，所述安全基線管理系統對所述新建虛擬機進行安全合規性檢查還包括：

所述新建虛擬機在安全策略、系統配置與業務功能方面未達到或未完全達到最新安全配置策略要求的標準時，所述新建虛擬機未通過安全合規性檢查。

5.一種虛擬機的安全接入控制實現系統，其特征在于，包括：

虛擬機管理平臺，用于管理虛擬機，存儲有各虛擬機的屬性信息；以及在檢測到新建虛擬機時，將該新建虛擬機的屬性信息發送給策略管理控制器；所述新建虛擬機的屬性信息包括新建虛擬機的標識信息、工作狀態與表示虛擬機所在位置的網絡屬性信息；

策略管理控制器，用于通知虛擬防火墻或者虛擬交換機限制該新建虛擬機的通信權限，使得該新建虛擬機只能與安全基線管理系統通信，并通知安全基線管理系統對該新建虛擬機進行安全合規性檢查檢查和修復；以及接收到安全基線管理系統發送的修復完畢的通知消息后，通知虛擬防火墻或者虛擬交換機取消對所述新建虛擬機的通信權限限制；

安全基線管理系統，用于對所述新建虛擬機進行安全合規性檢查，具體檢查所述新建虛擬機在安全策略、系統配置與業務功能方面是否達到最新安全配置策略要求的標準；在所述新建虛擬機未通過安全合規性檢查時，利用最新安全配置策略，對所述新建虛擬機未達到最新安全配置策略要求的標準的方面進行修復，并在修復完畢后通知策略管理控制器；

虛擬防火墻或者虛擬交換機，用于根據策略管理控制器的通知限制該新建虛擬機的通信權限或者取消對所述新建虛擬機的通信權限限制。

6.根據權利要求5所述的系統，其特征在于，所述策略管理控制器通知虛擬防火墻或者虛擬交換機限制該新建虛擬機的通信權限時，具體通知虛擬防火墻或者虛擬交換機，將所述新建虛擬機放到隔離區；

所述虛擬防火墻或者虛擬交換機，具體用于將所述新建虛擬機放到隔離區。

7.根據權利要求6所述的系統，其特征在于，所述策略管理控制器通知虛擬防火墻或者虛擬交換機取消對所述新建虛擬機的通信權限限制時，具體通知虛擬防火墻或者虛擬交換機，將此新建虛擬機放到所屬工作區域；

所述虛擬防火墻或者虛擬交換機，具體用于將此新建虛擬機放到所屬工作區域以與其它通信實體正常通信。

8.根據權利要求5至7任意一項所述的系統，其特征在于，所述新建虛擬機在安全策略、系統配置與業務功能方面未達到或未完全達到最新安全配置策略要求的標準時，所述新建虛擬機未通過安全合規性檢查。