[發明專利]一種分布式虛擬網絡的隔離攻擊方法及系統

在審

• 申請號: 202010023869.3
• 申請日: 2020-01-09
• 公開（公告）號: CN111277568A
• 公開（公告）日: 2020-06-12
• 發明（設計）人: 段彬
• 申請（專利權）人: 武漢思普崚技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24;G06K9/62
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種分布式虛擬網絡的隔離攻擊方法，其特征在于，所述方法包括：

獲取分布式虛擬網絡中的流量數據，使用OpenFlow協議收集流量統計信息，分析提取流量數據中的特征向量和流表項，根據流表項的關聯關系，得到所述分布式虛擬網絡中各個虛擬機的通信關系；

所述得到所述分布式虛擬網絡中各個虛擬機的通信關系之前，還包括獲取所述分布式虛擬網絡的所有節點標識，將所述節點標識與虛擬機標識組成新的唯一標識字符串，根據該唯一標識字符串和流表項的前后關聯關系，生成所述分布式虛擬網絡中各個虛擬機的通信關系；

根據生成的所述各個虛擬機的通信關系、業務數據的關聯程度、各個虛擬機的相鄰程度進行聚類處理，將所述分布式虛擬網絡中所有虛擬機分成若干個微隔離分組；

所述聚類處理還可以包括根據各個虛擬機資源的利用情況、或者業務鏈中是否存在不常用使用到的通信鏈路；

驗證所述通信關系中的虛擬機之間是否存在網絡攻擊行為，若存在則認定被攻擊的虛擬機為不安全虛擬機，升級其所在微隔離分組的安全防護策略，并標記所述不安全虛擬機，暫停所述不安全虛擬機與其他虛擬機的通信；若不存在則認定被驗證的虛擬機為安全虛擬機；

采集虛擬機之間的流量數據，清除數據中的冗余信息，根據來源的類型，分入對應的字段，合并成數據流；從合并后的數據流提取要素，發現要素中包括的行為動作、訪問對象、來源者地址、瞬時流量大小的信息，根據上述信息生成對應的關聯規則，組成頻繁模式樹狀結構；

根據所述頻繁模式樹狀結構，查詢地址相鄰相近的虛擬機態勢信息，判斷單個虛擬交換設備是否存在與地址相鄰相近虛擬機相同的安全漏洞，判斷單個虛擬交換設備的并發線程、帶寬、網絡拓撲、訪問頻率是否存在與所屬同層虛擬機相同的報警，判斷單個虛擬交換設備的流入量增長率、不同協議數據包分布比例、不同大小數據包分布比例是否存在與流量速度、流量總量相似虛擬機相同的變化，計算單個虛擬交換設備的安全態勢值；

將鄰近的若干個單個虛擬交換設備，或者依據有業務交互的若干個單個虛擬交換設備，組成局部網絡，由局部網絡內的每個虛擬交換設備對應的安全漏洞、并發線程、帶寬、網絡拓撲、訪問頻率、流入量增長率、不同協議數據包分布比例和不同大小數據包分布比例，根據業務優先級引入模糊處理計算局部網絡的安全態勢值；

根據多個局部網絡的拓撲關系，模糊處理計算整個網絡的安全態勢值，分別將單個虛擬交換設備、局部網絡和整個網絡的安全態勢值導入神經網絡模型，通過神經網絡模型推演，得出未來一段時間關于攻擊者來源和攻擊范圍的預測，根據所述預測的結果動態調整相關微隔離分組的安全防護策略；

當一個微隔離分組的所有虛擬機都為安全虛擬機時，則為該微隔離分組下發普通安全防護策略，允許流量數據在分組內虛擬機之間正常傳輸，允許分組內虛擬機與其他分組的虛擬機交換流量數據；

所述升級其所在微隔離分組的安全防護策略，包括暫停分組內不安全虛擬機的通信、禁止分組內所有虛擬機的流量數據傳輸、禁止分組內虛擬機與其他分組的虛擬機交換流量數據；

定期反復驗證所述不安全虛擬機的通信關系是否仍然存在網絡攻擊行為，若該網絡攻擊行為消除，則將所述不安全虛擬機標記為安全虛擬機，調整其所在微隔離分組的安全防護策略。

2.根據權利要求1所述的方法，其特征在于：所述得到所述分布式虛擬網絡中各個虛擬機的通信關系之前，還包括對流表項的預處理，刪除虛擬機與外部服務器或網關之間的通信鏈路，刪除不相關的字段，將源IP地址和目的IP地址作為匹配條件。

3.根據權利要求1-2任一項所述的方法，其特征在于：所述各個虛擬機的相鄰程度包括判斷虛擬機是否屬于同一個集群或同一個節點。

4.根據權利要求1-3任一項所述的方法，其特征在于：所述聚類處理使用的聚類算法包括K-Means算法、均值漂移聚類算法、基于密度的聚類算法、或凝聚層次聚類算法。