[發明專利]一種可按需服務的虛擬化網絡入侵檢測方法和裝置

在審

• 申請號: 201310516271.8
• 申請日: 2013-10-28
• 公開（公告）號: CN104580120A
• 公開（公告）日: 2015-04-29
• 發明（設計）人: 李陟;劉新剛;葉潤國;汪宏
• 申請（專利權）人: 北京啟明星辰信息技術股份有限公司;北京啟明星辰信息安全技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京安信方達知識產權代理有限公司 11262
• 代理人: 王丹;栗若木

1.一種按需服務的虛擬化網絡入侵檢測裝置，其特征在于，至少包括彈性服務調度模塊和本地檢測資源池管理模塊，其中：

所述彈性服務調度模塊，按照事先設定的安全策略中設置的每個網絡安全域邊界網絡業務流的服務帶寬評估本地檢測資源池中的剩余資源是否能夠提供本地檢測服務，若能夠提供本地檢測服務，則下發本地檢測資源調整的命令給所述本地檢測資源池管理模塊，若不能夠提供本地檢測服務，則根據所述安全策略將需要檢測的流量導出到外部硬件網絡入侵檢測產品中；

所述本地檢測資源池管理模塊，提供本地檢測資源池的分配和監控，并在接收到所述彈性服務調度模塊發起的本地檢測資源調整的命令時，從本地檢測資源池中的剩余資源分配相應的資源為本地檢測資源。

2.如權利要求1所述的裝置，其特征在于，該裝置還包括：

網絡數據包捕獲模塊，監聽虛擬交換機上的網絡數據流，從中捕獲事先設定的安全策略中指定網絡接口的數據包；

流量分類整形模塊，計算每個需要檢測的網絡流的實時流速，將所述網絡數據包捕獲模塊所捕獲的每個需要檢測的數據包放入虛擬網絡安全域邊界的待檢測隊列中，并在所述本地檢測資源池管理模塊分配有本地檢測資源時，使用本地檢測資源檢測所述待檢測隊列中的各數據包，在所述本地檢測資源池管理模塊未分配本地檢測資源時，使用外部硬件網絡入侵檢測產品檢測所述待檢測隊列中的各數據包。

3.如權利要求2所述的裝置，其特征在于，

所述流量分類整形模塊，判斷當前網絡流的實時流速小于所述安全策略中設置的該網絡流的帶寬上限時，將屬于該網絡流的數據包放入該網絡流對應的待檢測隊列，判斷當前網絡流的實時流速等于或大于所述安全策略中設置的該網絡流的帶寬上限，則根據安全策略進行帶寬限制或申請擴展檢測資源。

4.如權利要求1至3任一項所述的裝置，其特征在于，所述裝置通過Inter?VT-d技術為前端網絡入侵檢測虛擬機配置PCI透傳網卡專門用于流量的導出。

5.一種按需服務的虛擬化網絡入侵檢測方法，其特征在于，該方法包括：

按需服務的虛擬化網絡入侵檢測裝置按照事先設定的安全策略中設置的每個網絡安全域邊界網絡業務流的服務帶寬評估本地檢測資源池中的剩余資源是否能夠提供本地檢測服務，若能夠提供本地檢測服務，則從本地檢測資源池中的剩余資源中分配相應的資源為本地檢測資源以進行本地檢測，若不能夠提供本地檢測服務，則根據所述安全策略將需要檢測的流量導出到外部硬件網絡入侵檢測產品中。

6.如權利要求5所述的方法，其特征在于，按需服務的虛擬化網絡入侵檢測裝置按照事先設定的安全策略中設置的每個網絡安全域邊界網絡業務流的服務帶寬評估本地檢測資源池中的剩余資源是否能夠提供本地檢測服務指：

根據每個不同的網絡業務流的實際流量峰值選擇監控源，當某網絡業務流量較小，且本地檢測資源池的剩余資源可滿足其流量峰值時，判斷能夠提供本地檢測服務,將其監控源設置為本地入侵檢測資源池。

7.如權利要求5或6所述的方法，其特征在于，該方法還包括：

按需服務的虛擬化網絡入侵檢測裝置監聽虛擬交換機上的網絡數據流，從中捕獲事先設定的安全策略中指定網絡接口的數據包；

計算每個需要檢測的網絡流的實時流速，將所述網絡數據包捕獲模塊所捕獲的每個需要檢測的數據包放入本地檢測資源池中對應的虛擬網絡安全域邊界的待檢測隊列中，當分配有本地檢測資源時，使用本地檢測資源檢測所述待檢測隊列中的各數據包，當未分配本地檢測資源時，使用外部硬件網絡入侵檢測產品檢測所述待檢測隊列中的各數據包。

8.如權利要求7所述的方法，其特征在于，按需服務的虛擬化網絡入侵檢測裝置根據安全策略進行帶寬限制或申請擴展檢測資源的過程如下：

判斷當前網絡流的實時流速小于所述安全策略中設置的該網絡流的帶寬上限時，將屬于該網絡流的數據包放入該網絡流對應的待檢測隊列，判斷當前網絡流的實時流速等于或大于所述安全策略中設置的該網絡流的帶寬上限，則根據安全策略進行帶寬限制或申請擴展檢測資源。

9.如權利要求7所述的方法，其特征在于，所述按需服務的虛擬化網絡入侵檢測裝置通過Inter?VT-d技術為前端網絡入侵檢測虛擬機配置PCI透傳網卡專門用于流量的導出。