[發(fā)明專利]一種基于Kubernetes構建的容器云安全防護方法與系統(tǒng)

在審

• 申請?zhí)枺?/td>: 201811137300.9
• 申請日: 2018-10-05
• 公開（公告）號: CN109347814A
• 公開（公告）日: 2019-02-15
• 發(fā)明（設計）人: 關鍵;李斌
• 申請（專利權）人: 李斌
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于Kubernetes構建的容器云安全防護方法與系統(tǒng)，其特征在于包括：

在Kubernetes構建容器云集群的同時，本發(fā)明作為容器化的系統(tǒng)組件，部署在Kubernetes系統(tǒng)中，作為系統(tǒng)業(yè)務流量入口，起到安全防護的作用，系統(tǒng)具體包含：

傳輸層流量清洗子系統(tǒng)，用于接收客戶端的第一訪問請求，判斷是不是攻擊流量，要求擴展Linux內核，類似syn-proxy這樣的機制，攔截包括常見的傳輸層流量型攻擊，synflood,udp flood等；如果檢測為攻擊，直接丟棄，并記錄訪問日志，用于數(shù)據(jù)分析和可視化展示；如果不是，則轉發(fā)到應用層流量清洗子系統(tǒng)；

應用層流量清洗子系統(tǒng)，用于接收傳輸層清洗子系統(tǒng)過濾后的流量，并實現(xiàn)應用層攻擊檢測，根據(jù)協(xié)議，匹配規(guī)則庫中的規(guī)則，如果符合攻擊特征，直接丟棄，并記錄訪問日志，用于數(shù)據(jù)分析和可視化展示；如果不是，則轉發(fā)到后端容器云中真實的微服務地址；

容器云日志收集子系統(tǒng)，用于收集Kubernetes集群中所有微服務容器所產生的訪問日志，集成高可用的存儲系統(tǒng)，緩存系統(tǒng)確保數(shù)據(jù)正常及時寫入，過濾掉重復，或沒有價值的日志，用于日志解析子系統(tǒng)；

智能日志解析子系統(tǒng)，用于智能分析訪問日志，獲取攻擊行為的訪問，然后智能生成安全防護策略，并下發(fā)給清洗子系統(tǒng)，持續(xù)增強防護策略，進行再次的流量清洗；

以上所述的多層流量清洗，構建了一套縱深的防護體系，實現(xiàn)了防御的聯(lián)動，和防護策略的生成和下發(fā)，系統(tǒng)自身防護能力可持續(xù)性增強。

2.根據(jù)權利要求1所述的方法，其特征在于，所述的傳輸層流量清洗子系統(tǒng)，在傳輸層攔截攻擊流量，進一步包括：

提供四層負載均衡的能力，同時還包括：基于IP的黑白名單模塊，基于域名+IP的黑白名單模塊，基于IP+域名的地域訪問控制黑白名單模塊，基于IP的限速模塊，以及基于TCP/UDP協(xié)議特征攻擊檢測模塊，自定義協(xié)議特征以及配置策略更新模塊，完善的黑白名單機制，有效攔截攻擊流量。

3.根據(jù)權利要求2所述的方法，其特征在于，所述的黑白名單是在IP層攔截非法請求或放行正常請求：

所述的IP黑白名單模塊，即直接封禁攻擊IP，或加白某IP；所述的域名+IP黑白名單，即直接封禁訪問某域名的IP，或開放訪問某域名的IP訪問；所述的域名+IP地域訪問控制黑白名單，即直接封禁某區(qū)域訪問某個域名的IP，或開放某某地區(qū)域名的訪問；所述的IP限速，即限制某IP的訪問速率。

4.根據(jù)權利要求1所述的方法，其特征在于，所述的應用層流量清洗系統(tǒng)，針對應用層協(xié)議，通過規(guī)則匹配識別攻擊，其中具體包括：

根據(jù)維護的規(guī)則庫，匹配每一次應用層協(xié)議請求，來判斷是否是攻擊行為，也可設置白名單機制來跳過監(jiān)測，提高轉發(fā)效率；非攻擊行為，通過反向代理的方式找到Kubernetes啟動的微服務，完成正常的業(yè)務交互；同時具有對微服務的監(jiān)控功能，如果服務掉線，自動更新配置。

5.根據(jù)權利要求1所述的方法，其特征在于，所述的容器云日志收集子系統(tǒng)，收集所有Kubernetes集群下容器化的微服務的訪問日志，同時又確保日志數(shù)據(jù)的高質量，從訪問日志這個緯度，來增強可追溯性，方便故障排除，和后續(xù)的攻擊檢測。

6.根據(jù)權利要求1所述的方法，其特征在于，所述的智能解析日志下發(fā)攔截策略子系統(tǒng)，進一步包含：對日志的過濾，維護日志的特征庫，對日志智能分析，智能生成防護策略，自動下發(fā)防護策略到其他子系統(tǒng)，同時可以向管理員產生攻擊告警，可視化展示攻擊。

7.根據(jù)權利要求1，2，3，4，5，6所述的方法，其特征在于，構建了一個多層次，多緯度的攻擊檢測系統(tǒng)，系統(tǒng)包含IP層，傳輸層，應用層防護，以及根據(jù)訪問日志，智能生成防護策略，形成了一套安全可靠，可持續(xù)改進的容器化的容器云防護系統(tǒng)，具有可快速部署，快速橫向擴展的能力，來抵御基于容器云微服務的網絡攻擊。