[發明專利]一種基于云環境的安全訪問控制方法、裝置及系統

在審

• 申請號: 202110982827.7
• 申請日: 2021-08-25
• 公開（公告）號: CN113656837A
• 公開（公告）日: 2021-11-16
• 發明（設計）人: 牟向陽;鄭舟
• 申請（專利權）人: 杭州安恒信息安全技術有限公司
• 主分類號: G06F21/62
• 分類號: G06F21/62;G06F9/455
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 王云曉

1.一種基于云環境的安全訪問控制方法，其特征在于，應用于云安全審計虛擬機，包括：

通過云管平臺的api在虛擬網絡層獲取業務虛擬機的鏡像流量；

對所述鏡像流量進行審計；

當所述鏡像流量異常時，調用所述云管平臺的api，向異常的所述鏡像流量所對應的業務虛擬機所處網絡空間下發安全組策略，以通過所述安全組策略控制所述業務虛擬機的流量。

2.根據權利要求1所述的方法，其特征在于，所述云安全審計虛擬機設置于單獨的邏輯隔離網絡空間。

3.根據權利要求2所述的方法，其特征在于，所述通過云管平臺的api在虛擬網絡層獲取業務虛擬機的鏡像流量包括：

當所述業務虛擬機對外發起鏈接時，通過云管平臺的api在虛擬網絡層獲取業務虛擬機的鏡像流量。

4.根據權利要求3所述的方法，其特征在于，所述對所述鏡像流量進行審計包括：

調用設置于所述云安全審計虛擬機中的特征庫，以所述業務虛擬機對外發起鏈接時的連接行為特征為索引，對所述鏡像流量進行審計。

5.根據權利要求4所述的方法，其特征在于，所述連接行為特征包括以下任意一項或任意組合：

時間特征、流量特征、頻率特征。

6.根據權利要求3所述的方法，其特征在于，所述對所述鏡像流量進行審計包括：

調用設置于所述云安全審計虛擬機中的特征庫，以所述業務虛擬機對外發起鏈接后發出的數據內容為索引，對所述鏡像流量進行審計。

7.根據權利要求6所述的方法，其特征在于，所述數據內容包括以下任意一項或任意組合：

報文首部、外連的地址、端口。

8.根據權利要求1所述的方法，其特征在于，所述當所述鏡像流量異常時，調用所述云管平臺的api，向異常的所述鏡像流量所對應的業務虛擬機所處網絡空間下發安全組策略，以通過所述安全組策略控制所述業務虛擬機的流量包括：

當所述鏡像流量處于第一狀態時，保持所述業務虛擬機對外發起的鏈接；

當所述鏡像流量處于第二狀態時，調用所述云管平臺的api，向所述第二狀態的所述鏡像流量所對應的業務虛擬機所處網絡空間下發安全組策略，以通過所述安全組策略阻斷所述業務虛擬機發出的流量數據；

當所述鏡像流量處于第三狀態時，重復至所述對所述鏡像流量進行審計的步驟，直至所述鏡像流量處于所述第一狀態或所述第二狀態。

9.一種基于云環境的安全訪問控制裝置，其特征在于，應用于云安全審計虛擬機，包括：

獲取模塊，用于通過云管平臺的api在虛擬網絡層獲取業務虛擬機的鏡像流量；

審計模塊，用于對所述鏡像流量進行審計；

控制模塊，用于當所述鏡像流量異常時，調用所述云管平臺的api，向異常的所述鏡像流量所對應的業務虛擬機所處網絡空間下發安全組策略，以通過所述安全組策略控制所述業務虛擬機的流量。

10.一種基于云環境的安全訪問控制系統，其特征在于，包括云管平臺、云安全審計虛擬機以及業務虛擬機，所述云管平臺與所述云安全審計虛擬機通信連接，所述云管平臺與所述業務虛擬機通信連接；

所述云安全審計虛擬機用于：

通過所述云管平臺的api在虛擬網絡層獲取所述業務虛擬機的鏡像流量；

對所述鏡像流量進行審計；

當所述鏡像流量異常時，調用所述云管平臺的api，向異常的所述鏡像流量所對應的業務虛擬機所處網絡空間下發安全組策略，以通過所述安全組策略控制所述業務虛擬機的流量。