[發明專利]一種針對虛擬化環境的流量檢測系統及方法

有效

• 申請號: 201610064084.4
• 申請日: 2016-01-29
• 公開（公告）號: CN105681313B
• 公開（公告）日: 2018-11-09
• 發明（設計）人: 馬曉禎;陳鐘;李青山;關志;沈瑋;仲雪;楊祖洋;吳琛;曹通;王曉青
• 申請（專利權）人: 博雅網信(北京)科技有限公司;北京大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26
• 代理公司: 沈陽東大知識產權代理有限公司 21109
• 代理人: 胡曉男

1.一種針對虛擬化環境的流量檢測系統，包括：

agent模塊：在虛擬化物理機hypervisor層中實現，對流經虛擬交換機的虛擬機流量實時采集，并與虛擬交換機上的流表做匹配：對于流表中匹配到的虛擬機流量，直接讓虛擬機流量通過虛擬交換機轉發，對于流表中未匹配到的虛擬機流量，則發送至異常流量檢測模塊并更新虛擬交換機流表；

異常流量檢測模塊：在虛擬化物理機hypervisor層安裝的虛擬交換機的Controller中實現，對未匹配到流表的虛擬機流量做流量檢測：對于檢測結果為正常的虛擬機流量在流表處新增流表項以允許該種虛擬機流量通過；對于檢測結果為異常的虛擬機流量在流表處修改流表項，設置訪問控制以阻斷流量異常的虛擬機；

控制模塊：在與物理交換機連接的物理機中實現，根據Spark計算集群實時處理的流經物理交換機的物理機流量的流量指標進行DFI檢測，決策出要阻斷的流量異常的物理機連接或要列入黑名單的物理機，并更新物理交換機流表；

其特征在于，所述控制模塊包括：

DFI檢測模塊：根據Spark計算集群實時處理的流經物理交換機的物理機流量的流量指標與對應的正常基線做對比，差異超過允許范圍時則流經物理交換機的物理機流量異常，否則，流經物理交換機的物理機流量正常；

配置下發模塊：根據DFI檢測結果決策出要阻斷的物理機連接或要列入黑名單的物理機，并更新物理交換機流表。

2.一種利用權利要求1所述的流量檢測系統進行虛擬化環境中虛擬機與虛擬機間流量檢測的方法，其特征在于，包括以下步驟：

采用sFlow協議實時采集流經hypervisor層虛擬交換機的虛擬機流量形成采集虛擬機流量的日志流數據，發送至虛擬交換機流表；

若采集到的同一hypervisor層流經虛擬交換機的兩個虛擬機流量匹配到虛擬交換機流表，則當前時刻流經虛擬交換機的該兩個虛擬機流量正常，直接讓虛擬機流量通過虛擬交換機轉發，否則，該兩個虛擬機流量未匹配到虛擬交換機流表，對當前時刻流經虛擬交換機的該兩個虛擬機流量進行異常流量檢測：對于檢測結果為正常的虛擬機流量在流表處新增流表項以允許該種虛擬機流量通過；對檢測結果為異常的虛擬機流量在流表處修改流表項，設置訪問控制以阻斷流量異常的虛擬機。

3.一種利用權利要求1所述的流量檢測系統進行虛擬化環境中虛擬機與虛擬機間流量檢測的方法，其特征在于，包括以下步驟：

采用sFlow協議實時采集流經某一hypervisor層虛擬交換機的虛擬機流量形成采集虛擬機流量的日志流數據，發送至虛擬交換機流表；

若采集到的當前hypervisor層流經虛擬交換機的虛擬機流量匹配到虛擬交換機流表，則當前時刻流經虛擬交換機的流量正常，直接讓虛擬機流量通過虛擬交換機轉發至物理交換機，否則，流經虛擬交換機的虛擬機流量未匹配到虛擬交換機流表，當前時刻流經虛擬交換機的流量需要進行異常流量檢測：對于檢測結果為正常的虛擬機流量在流表處新增流表項，以允許該種虛擬機流量通過虛擬交換機，對于檢測結果為異常的虛擬機流量，在流表處修改流表項，設置訪問控制以阻斷流量異常的虛擬機，結束流量檢測；

流量采集PC集群采用NetFlow協議實時采集流經物理交換機的物理機流量；

Spark計算集群實時處理流經物理交換機物理機流量的流量指標；

根據Spark計算集群實時處理的流經物理交換機的物理機流量的流量指標，與對應的正常基線做對比，若差異超過允許范圍，則流經物理交換機的物理機流量異常，阻斷的當前物理機的網絡連接，并更新物理交換機流表，結束流量檢測，否則，當前時刻流經物理交換機的物理機流量正常，物理交換機將虛擬機流量轉發至其他hypervisor層；

采用sFlow協議實時采集流經另一hypervisor層虛擬交換機的虛擬機流量形成采集流量的日志流數據，發送至虛擬交換機流表；

若采集到的當前hypervisor層流經虛擬交換機的虛擬機流量匹配到虛擬交換機流表，當前時刻流經虛擬交換機的流量正常，直接讓虛擬機流量通過虛擬交換機轉發；否則，流經虛擬交換機的虛擬機流量未匹配到虛擬交換機流表，當前時刻流經虛擬交換機的流量需要進行異常流量檢測：對于檢測結果為正常的虛擬機流量在流表處新增流表項，以允許該種虛擬機流量在通過虛擬交換機；對于檢測結果為異常的虛擬機流量在流表處修改流表項，設置訪問控制以阻斷流量異常的虛擬機，結束流量檢測。