[發明專利]一種同一安全域內虛機之間流量的防護方法

在審

• 申請號: 201410291666.7
• 申請日: 2014-06-26
• 公開（公告）號: CN104023035A
• 公開（公告）日: 2014-09-03
• 發明（設計）人: 魏道通
• 申請（專利權）人: 浪潮電子信息產業股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 濟南信達專利事務所有限公司 37100
• 代理人: 姜明

1.一種同一安全域內虛機之間流量的防護方法，其特征在于包括發送流量的源虛機、接收流量的目的虛機和可安全防護的安全虛機，這里的虛機是指虛擬交換機，其具體防護過程為：

一、在虛擬化平臺的虛擬層上部署安全虛機，該安全虛機內置流量接入引擎、流量分析引擎和響應引擎；

二、在安全虛機的端口與待防護虛機的虛擬網卡之間部署虛擬安全防護層，該虛擬安全防護層包括流量攔截引擎和響應接入引擎，所述待防護虛機即為源虛機和目的虛機；

三、源虛機發起網絡數據，虛擬防護層的流量攔截引擎截獲源虛機的虛擬網卡到虛擬交換機之間的流量，獲取源虛機、目的虛機和協議信息；

四、虛擬防護層代理端接受虛機網卡的數據，通過數據轉發操作交予安全虛機的流量接入引擎；

五、檢測虛擬流量，由流量分析引擎對虛機之間的流量依據預定義的安全規則進行檢測，并生成響應動作；

六、響應引擎把流量分析引擎執行的動作交予虛擬安全防護層的響應接入引擎；

七、響應接入引擎把安全虛機執行正常響應的流量交予目的虛機。

2.根據權利要求1所述的一種同一安全域內虛機之間流量的防護方法，其特征在于：所述虛擬安全防護層內還設置有虛機自動發現引擎，該虛機自動發現引擎檢查在虛擬化平臺上的所有虛機并添加到待防護列表中。

3.根據權利要求2所述的一種同一安全域內虛機之間流量的防護方法，其特征在于：所述安全虛機使用虛擬防火墻，該防火墻過濾虛機之間的流量，隔斷并阻斷所保護的虛機，配合虛擬安全防護層，根據預設的安全規則分析處理所轉發的通信流量，產生響應。

4.根據權利要求3所述的一種同一安全域內虛機之間流量的防護方法，其特征在于：所述響應包括：正常響應，即轉發和通過；異常響應，即報警和/或丟棄。

5.根據權利要求3所述的一種同一安全域內虛機之間流量的防護方法，其特征在于：所述預定義的安全規則儲存在策略庫內，該策略庫分為針對全局和單個虛機的全局和個性兩種，在策略庫內設置規則字段，該規則字段包括源虛機、目的虛機、協議、端口和動作。