[發明專利]一種基于Kubernetes構建的容器云安全防護方法與系統

在審

• 申請號: 201811137300.9
• 申請日: 2018-10-05
• 公開（公告）號: CN109347814A
• 公開（公告）日: 2019-02-15
• 發明（設計）人: 關鍵;李斌
• 申請（專利權）人: 李斌
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于Kubernetes構建的容器云安全防護方法與系統，其特征在于包括：

在Kubernetes構建容器云集群的同時，本發明作為容器化的系統組件，部署在Kubernetes系統中，作為系統業務流量入口，起到安全防護的作用，系統具體包含：

傳輸層流量清洗子系統，用于接收客戶端的第一訪問請求，判斷是不是攻擊流量，要求擴展Linux內核，類似syn-proxy這樣的機制，攔截包括常見的傳輸層流量型攻擊，synflood,udp flood等；如果檢測為攻擊，直接丟棄，并記錄訪問日志，用于數據分析和可視化展示；如果不是，則轉發到應用層流量清洗子系統；

應用層流量清洗子系統，用于接收傳輸層清洗子系統過濾后的流量，并實現應用層攻擊檢測，根據協議，匹配規則庫中的規則，如果符合攻擊特征，直接丟棄，并記錄訪問日志，用于數據分析和可視化展示；如果不是，則轉發到后端容器云中真實的微服務地址；

容器云日志收集子系統，用于收集Kubernetes集群中所有微服務容器所產生的訪問日志，集成高可用的存儲系統，緩存系統確保數據正常及時寫入，過濾掉重復，或沒有價值的日志，用于日志解析子系統；

智能日志解析子系統，用于智能分析訪問日志，獲取攻擊行為的訪問，然后智能生成安全防護策略，并下發給清洗子系統，持續增強防護策略，進行再次的流量清洗；

以上所述的多層流量清洗，構建了一套縱深的防護體系，實現了防御的聯動，和防護策略的生成和下發，系統自身防護能力可持續性增強。

2.根據權利要求1所述的方法，其特征在于，所述的傳輸層流量清洗子系統，在傳輸層攔截攻擊流量，進一步包括：

提供四層負載均衡的能力，同時還包括：基于IP的黑白名單模塊，基于域名+IP的黑白名單模塊，基于IP+域名的地域訪問控制黑白名單模塊，基于IP的限速模塊，以及基于TCP/UDP協議特征攻擊檢測模塊，自定義協議特征以及配置策略更新模塊，完善的黑白名單機制，有效攔截攻擊流量。

3.根據權利要求2所述的方法，其特征在于，所述的黑白名單是在IP層攔截非法請求或放行正常請求：

所述的IP黑白名單模塊，即直接封禁攻擊IP，或加白某IP；所述的域名+IP黑白名單，即直接封禁訪問某域名的IP，或開放訪問某域名的IP訪問；所述的域名+IP地域訪問控制黑白名單，即直接封禁某區域訪問某個域名的IP，或開放某某地區域名的訪問；所述的IP限速，即限制某IP的訪問速率。

4.根據權利要求1所述的方法，其特征在于，所述的應用層流量清洗系統，針對應用層協議，通過規則匹配識別攻擊，其中具體包括：

根據維護的規則庫，匹配每一次應用層協議請求，來判斷是否是攻擊行為，也可設置白名單機制來跳過監測，提高轉發效率；非攻擊行為，通過反向代理的方式找到Kubernetes啟動的微服務，完成正常的業務交互；同時具有對微服務的監控功能，如果服務掉線，自動更新配置。

5.根據權利要求1所述的方法，其特征在于，所述的容器云日志收集子系統，收集所有Kubernetes集群下容器化的微服務的訪問日志，同時又確保日志數據的高質量，從訪問日志這個緯度，來增強可追溯性，方便故障排除，和后續的攻擊檢測。

6.根據權利要求1所述的方法，其特征在于，所述的智能解析日志下發攔截策略子系統，進一步包含：對日志的過濾，維護日志的特征庫，對日志智能分析，智能生成防護策略，自動下發防護策略到其他子系統，同時可以向管理員產生攻擊告警，可視化展示攻擊。

7.根據權利要求1，2，3，4，5，6所述的方法，其特征在于，構建了一個多層次，多緯度的攻擊檢測系統，系統包含IP層，傳輸層，應用層防護，以及根據訪問日志，智能生成防護策略，形成了一套安全可靠，可持續改進的容器化的容器云防護系統，具有可快速部署，快速橫向擴展的能力，來抵御基于容器云微服務的網絡攻擊。