[發明專利]一種云計算環境入侵檢測系統架構及其方法

有效

• 申請號: 201710567135.X
• 申請日: 2017-07-12
• 公開（公告）號: CN107295001B
• 公開（公告）日: 2018-10-02
• 發明（設計）人: 孫運雷;孔言;孫曉
• 申請（專利權）人: 中國石油大學（華東）
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 濟南圣達知識產權代理有限公司 37221
• 代理人: 張勇

1.一種云計算環境入侵檢測系統架構，其特征是：該系統架構包括：

云入侵檢測代理層，所述云入侵檢測代理層設置于虛擬機層級，用于當云用戶申請資源的同時需要額外的安全需求時，提供伴隨的監控服務形式為各個云區域內的虛擬機提供入侵檢測服務和安全防護；所述云入侵檢測代理層在同一云區域內共享信息；幫助在同一云區域內的虛擬機共同進行入侵威脅的預防；同一云區域內，在一個虛擬機檢測到入侵，通過所述云入侵檢測代理層進行檢測到入侵信息的信息共享，幫助其他虛擬機進行入侵威脅的預防；

云入侵檢測域控制層，所述云入侵檢測域控制層設置于云區域層級，用于負責其所在云區域中的每個云用戶的虛擬機提供入侵檢測服務，即控制所述云入侵檢測代理層，以及控制警報數據日志的中間傳輸；

云入侵檢測域控管理層，所述云入侵檢測域控管理層設置于整個云計算環境層級，用于管理每個云區域中的所述云入侵檢測域控制層，對其進行初期配置，以及檢測當前云計算環境中已出現的相關威脅；

和

云機器學習層，所述云機器學習層設置于整個云計算環境層級，用于根據機器學習的方式負責從警報、網絡傳輸流、日志信息中學習正常模式和攻擊模式的特征；

所述云入侵檢測代理層包括若干云計算環境的虛擬機管理器，一個云計算環境的虛擬機管理器上包括若干云入侵檢測代理模塊運行入侵檢測服務，一個云入侵檢測代理模塊至少監控同一個云區域中的一個虛擬機的源數據；所述云入侵檢測代理層的所述云入侵檢測代理模塊的數量根據云計算環境用戶數量和/或虛擬機數量改變；在云計算環境用戶數量較多和/或虛擬機實例較多的情況下，所述云入侵檢測代理模塊的數量根據遞當前虛擬機運行情況進行增加；將核心檢測服務基于云環境中的實際需求而調整檢測力度和檢測范圍，靈活部署入侵檢測服務數量滿足需求；

所述云入侵檢測域控管理層包括云入侵檢測域控管理模塊和子入侵檢測域控管理模塊，所述云入侵檢測域控管理模塊用于管理每個云區域中的所述云入侵檢測域控制模塊，對其進行初期配置，以及檢測當前云計算環境中已出現的相關威脅；所述子入侵檢測域控管理模塊用于當所述云入侵檢測域控管理模塊被惡意攻擊妥協后替代所述云入侵檢測域控管理模塊工作。

2.如權利要求1所述的一種云計算環境入侵檢測系統架構，其特征是：相同云計算環境的虛擬機管理器控制的不同所述云入侵檢測代理模塊之間進行信息共享。

3.如權利要求2所述的一種云計算環境入侵檢測系統架構，其特征是：所述云入侵檢測代理模塊包括：

數據采集模塊，所述數據采集模塊用于采集虛擬機的云計算環境綜合性能日志；

數據預處理模塊，所述數據預處理模塊用于對所述數據采集模塊采集的數據進行預處理；

核心檢測模塊，所述核心檢測模塊用于將所述數據預處理模塊預處理的數據根據入侵檢測模型進行入侵檢測；

和

信息共享模塊，所述信息共享模塊用于當所述核心檢測模塊檢測到入侵威脅，將入侵威脅信息通告至同一云計算環境的虛擬機管理器控制的其他云入侵檢測代理模塊。

4.如權利要求1所述的一種云計算環境入侵檢測系統架構，其特征是：所述云入侵檢測域控制層包括云入侵檢測域控制模塊，同一個云區域中設置一個所述云入侵檢測域控制模塊，所述云入侵檢測域控制模塊與同一云區域中的若干云入侵檢測代理模塊連接，所述云入侵檢測域控制模塊用于控制所述云入侵檢測代理模塊，負責其所在云區域中的每個云用戶的虛擬機提供入侵檢測服務，以及控制所述云入侵檢測代理模塊之間的警報數據日志傳輸。

5.如權利要求1所述的一種云計算環境入侵檢測系統架構，其特征是：所述云機器學習層包括云機器學習引擎，所述云機器學習引擎用于根據機器學習的方式負責從警報、網絡傳輸流、日志信息中學習正常模式和攻擊模式的特征。