[發明專利]一種動態部署安全能力的實現方法

有效

• 申請號: 201710326354.9
• 申請日: 2017-05-10
• 公開（公告）號: CN107346259B
• 公開（公告）日: 2020-09-08
• 發明（設計）人: 馬秀娟;吳震;張露晨;李傳海;胡國華;王秀文;蘇沐冉;何清林;張家琦;王子厚
• 申請（專利權）人: 國家計算機網絡與信息安全管理中心
• 主分類號: G06F9/455
• 分類號: G06F9/455;G06F9/50;H04L29/06
• 代理公司: 北京君尚知識產權代理有限公司 11200
• 代理人: 司立彬

本發明公開了一種動態部署安全能力的實現方法。本方法為：1)云網絡的云安全中心創建一安全虛機，并加載安全能力的鏡像到該安全虛機；安全虛機為運行安全業務的虛擬機；2)云安全中心將路由策略發送給云租戶網絡的虛擬路由器，將相應的業務流量牽引到該安全虛機上；3)當云網絡中存在多個安全虛機時，云安全中心選取一安全虛機作為主安全虛機；并將需安全防護的流量牽引到該主安全虛機；4)該主安全虛機將流量分配給其他安全虛機并建立一分流規則表；5)云安全中心監控各安全虛機的設定關鍵性能指標，確定是否存在需要釋放的安全虛機；當待釋放的安全虛機流連接數為0時釋放該安全虛機。本發明根據用戶的實際業務流量大小來進行彈性伸縮。

技術領域

本發明涉及一種動態部署安全能力的實現方法，屬于網絡安全技術領域。

背景技術

隨著云計算業務的廣泛發展，云安全業務也得到同步發展。云安全產品能力當前主要的部署形態有兩種：

1)硬件部署方案：直接旁路部署在云數據中心核心交換機或者串接在云數據中心出口網絡處，重點實現針對整個云平臺業務的安全防護。

2)軟件部署方案：將傳統的安全能力軟件化，并搭建一個服務器集群形成安全能力池化，重點針對云上租戶業務提供安全防護。

當前云安全部署方案中，無論是硬件還是軟件方案，都很難實現完全自動化的動態彈性部署。

當前云安全能力容量都是用戶事先設置好的，需要云租戶實現選擇開通多大安全容量的業務，比如需要開通1Gbps的虛擬防火墻業務等，如果流量超出開通的安全業務承載能力則會導致流量被丟棄。

發明內容

針對現有技術中存在的技術問題，本發明的目的在于提供一種動態彈性部署安全能力的實現方法，可以根據用戶的實際業務流量大小來進行彈性伸縮，同時可以實現用戶業務流量自動引流。

本發明的技術方案為：

一種動態部署安全能力的實現方法，其步驟為：

1)云網絡的云安全中心創建一安全虛機，并加載安全能力的鏡像到該安全虛機；所述安全虛機為運行安全業務的虛擬機；

2)所述云安全中心將生成的路由策略發送給目標云租戶網絡的虛擬路由器，所述虛擬路由器根據該路由策略將相應的業務流量牽引到該安全虛機上；

3)所述云安全中心獲取該安全虛機的設定關鍵性能指標，當該安全虛機的若干關鍵性能指標達到預先設置的閾值，則創建一新的安全虛機并加載安全能力的鏡像；當云網絡中存在一個或多個安全虛機時，所述云安全中心選取一安全虛機作為主安全虛機；并將云網絡中所有云租戶網絡中需安全防護的流量牽引到該主安全虛機；

4)該主安全虛機根據流量的五元組，將流量分配給其他安全虛機并建立、維護一分流規則表；該分流規則表包括若干分流規則，每一分流規則包括一流量的五元組及處理該流量的安全虛機地址；

5)所述云安全中心監控各安全虛機的設定關鍵性能指標，確定是否存在需要釋放的安全虛機；如果存在待釋放的安全虛機，則該主安全虛機將該待釋放的安全虛機的地址從該分流規則表中去掉，并維持該分流規則表中已創建的分流規則，當待釋放的安全虛機流連接數為0時釋放該安全虛機，并刪除該分流規則表中對應的分流規則。

進一步的，確定是否存在需要釋放的安全虛機的方法為：所述云安全中心監控各安全虛機的設定關鍵性能指標的指標值；對于處理同一目標云租戶網絡的流量的N臺安全虛機，如果該N臺安全虛機的每一關鍵性能指標均滿足設定條件，則從該N臺安全虛機中選取一安全虛機進行釋放，且所選取的安全虛機非該主安全虛機；所述設定條件為：(C1+C2+……+C_N)(N-1)*M，M為設定的閾值，C1、C2、……C_N分別為各安全虛機的同一關鍵性能指標的指標值。