[發明專利]一種基于云環境的安全訪問控制方法、裝置及系統

在審

• 申請號: 202110982827.7
• 申請日: 2021-08-25
• 公開（公告）號: CN113656837A
• 公開（公告）日: 2021-11-16
• 發明（設計）人: 牟向陽;鄭舟
• 申請（專利權）人: 杭州安恒信息安全技術有限公司
• 主分類號: G06F21/62
• 分類號: G06F21/62;G06F9/455
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 王云曉

本發明公開了一種基于云環境的安全訪問控制方法，通過云管平臺的api獲取業務虛擬機的鏡像流量，并將該鏡像流量發送至云安全審計虛擬機，該過程不需要對業務虛擬機的網絡環境以及架構進行更改，其過程僅需要調用云管平臺的api即可，從而可以實現在不需要更改云上業務主機網絡架構的同時，通過云安全審計虛擬機實現安全訪問控制。本發明還提供了一種基于云環境的安全訪問控制裝置以及一種基于云環境的安全訪問控制系統，同樣具有上述有益效果。

技術領域

本發明涉及云計算技術領域，特別是涉及一種基于云環境的安全訪問控制方法，一種基于云環境的安全訪問控制裝置以及一種基于云環境的安全訪問控制系統。

背景技術

隨著云計算的大力發展，建立云數據中心已經是大勢所趨。然而面臨云環境下越來越海量的數據及越來越難以發現的病毒威脅，傳統設備在保證性能要求的同時，往往難以兼顧安全要求。目前各大廠商都推出了自己的云安全產品，以賦能云上安全能力，但是市面上的安全產品依舊遵循傳統安全產品的架構邏輯，大多僅僅是做了虛擬化，并沒有根據云環境上一些特點提出針對性的解決方案，同時安全廠商無法改造云上網絡環境，導致云上網絡環境中安全能力難以落地實現。如何利用好云環境的特點進行云環境的安全防護，成為業內的熱點話題。

經過實際調研，目前市場上存在大量來自不同廠商的不同型號、不同種類的云安全產品，但是都屬于獨立部署在云環境中的軟件產品，一般都需要將虛擬機直接掛載在云安全產品上，或將流量牽引至云安全產品上實現對網絡威脅的識別、防護。這種安全產品部署方式較為復雜，對云上業務主機的的網絡改動較大；且一旦云安全產品宕機，難以實現業務遷移；另外也沒有充分利用云平臺原有的安全能力資源，造成一定程度的重復建設。所以如何提供一種部署簡單，不需要更改云上業務主機網絡架構的安全訪問控制方案是本領域技術人員急需解決的問題。

發明內容

本發明的目的是提供一種基于云環境的安全訪問控制方法，可以在不需要更改云上業務主機網絡架構的同時實現安全訪問控制；本發明的另一目的在于提供一種基于云環境的安全訪問控制裝置以及一種基于云環境的安全訪問控制系統，可以在不需要更改云上業務主機網絡架構的同時實現安全訪問控制。

為解決上述技術問題，本發明提供一種基于云環境的安全訪問控制方法，應用于云安全審計虛擬機，包括：

通過云管平臺的api在虛擬網絡層獲取業務虛擬機的鏡像流量；

對所述鏡像流量進行審計；

當所述鏡像流量異常時，調用所述云管平臺的api，向異常的所述鏡像流量所對應的業務虛擬機所處網絡空間下發安全組策略，以通過所述安全組策略控制所述業務虛擬機的流量。

可選的，所述云安全審計虛擬機設置于單獨的邏輯隔離網絡空間。

可選的，所述通過云管平臺的api在虛擬網絡層獲取業務虛擬機的鏡像流量包括：

當所述業務虛擬機對外發起鏈接時，通過云管平臺的api在虛擬網絡層獲取業務虛擬機的鏡像流量。

可選的，所述對所述鏡像流量進行審計包括：

調用設置于所述云安全審計虛擬機中的特征庫，以所述業務虛擬機對外發起鏈接時的連接行為特征為索引，對所述鏡像流量進行審計。

可選的，所述連接行為特征包括以下任意一項或任意組合：

時間特征、流量特征、頻率特征。

可選的，所述對所述鏡像流量進行審計包括：

調用設置于所述云安全審計虛擬機中的特征庫，以所述業務虛擬機對外發起鏈接后發出的數據內容為索引，對所述鏡像流量進行審計。

可選的，所述數據內容包括以下任意一項或任意組合：

報文首部、外連的地址、端口。