保障业务虚拟机安全的系统及方法.pdf

本发明提供了一种保障业务虚拟机安全的系统及方法，该系统包括安全管理中心和位于物理服务器上的一一对应的业务虚拟机和安全虚拟机，其中：所述安全管理中心，用于获得当前业务虚拟机迁移前后所属的源物理服务器信息和目标物理服务器信息，将当前业务虚拟机对应的安全虚拟机同步迁移到目标物理服务器上，并通过虚拟化平台中的虚拟化管理服务器向所述当前业务虚拟机对应的安全虚拟机发送安全策略；所述安全虚拟机，用于接收来自所述安全管理中心的所述安全策略，根据所述安全策略对对应的业务虚拟机进行实时安全监控。本发明通过在所关注的业务虚拟机发生迁移时，将对应的安全虚拟机同步迁移到目标物理服务器上，实现了对业务虚拟机的不间断监控。

权利要求书一种保障业务虚拟机安全的系统，其特征在于，该系统包括安全管理中心和位于物理服务器上的一一对应的业务虚拟机和安全虚拟机，其中：
所述安全管理中心，用于获得当前业务虚拟机迁移前后所属的源物理服务器信息和目标物理服务器信息，将当前业务虚拟机对应的安全虚拟机同步迁移到目标物理服务器上，并通过虚拟化平台中的虚拟化管理服务器向所述当前业务虚拟机对应的安全虚拟机发送安全策略；
所述安全虚拟机，用于接收来自所述安全管理中心的所述安全策略，根据所述安全策略对对应的业务虚拟机进行实时安全监控。
根据权利要求1所述的系统，其特征在于：
所述安全虚拟机为一个运行在虚拟机监视器上的特权虚拟机，所述特权虚拟机，用于通过虚拟机监视器提供的监控接口实现对对应的业务虚拟机的安全监控。
根据权利要求1所述的系统，其特征在于：
所述安全虚拟机为在所述虚拟化平台上加载的一个虚拟机，所述安全管理中心，还用于通过所述虚拟管理服务器配置所述安全虚拟机所在物理服务器上的虚拟交换机上的镜像端口，使得所述安全虚拟机对进出对应的业务虚拟机的网络流量进行监控。
根据权利要求1所述的系统，其特征在于：
所述安全管理中心位于一台单独的物理服务器上，或者与所述虚拟管理服务器集成在一起。
根据权利要求2所述的系统，其特征在于：
所述安全虚拟机，还用于通过所述监控接口对对应的业务虚拟机的网络流量以及内部行为进行安全监控。
根据权利要求1所述的系统，其特征在于：
所述安全虚拟机，还用于在检测到攻击事件后向所述安全管理中心发送所述攻击事件；
所述安全管理中心，还用于在收到所述攻击事件后，对所述攻击事件进行关联分析和做出响应。
根据权利要求1‑6任一权利要求所述的系统，其特征在于：
所述安全管理中心，还用于在所述虚拟管理服务器注册虚拟机迁移事件，以及接收所述虚拟管理服务器在当前业务虚拟机迁移时发送的迁移通知事件，并根据所述迁移通知事件获得所述当前业务虚拟机迁移前后所属的源物理服务器信息和目标物理服务器信息。
一种保障业务虚拟机安全的方法，其特征在于，该方法包括：
获得当前业务虚拟机发生迁移前后所属的源物理服务器信息和目标物理服务器信息；
将当前业务虚拟机对应的安全虚拟机同步迁移到目标物理服务器上，并向迁移后的安全虚拟机发送安全策略，使得该迁移后的安全虚拟机根据所述安全策略对对应的当前业务虚拟机进行实时安全监控。
根据权利要求8所述的方法，其特征在于：
所述获得当前业务虚拟机发生迁移前后所属的源物理服务器信息和目标物理服务器信息之前，该方法还包括：
注册所述当前业务虚拟机迁移事件，接收所述当前业务虚拟机发生迁移时发送的迁移通知事件；
所述获得当前业务虚拟机发生迁移前后所属的源物理服务器信息和目标物理服务器信息，包括：
根据所述迁移通知事件获得当前业务虚拟机发生迁移前后所属的源物理服务器信息和目标物理服务器信息。
根据权利要求8或9所述的方法，其特征在于，所述方法还包括：
在监控到攻击事件后，对所述攻击事件进行关联分析和做出响应。

说明书保障业务虚拟机安全的系统及方法
技术领域
本发明涉及虚拟机安全领域，尤其涉及一种保障业务虚拟机安全的系统及方法。
背景技术
近年来，随着虚拟化技术的日益成熟，服务器虚拟化已经在各行业得到广泛应用。服务器虚拟化是一种全虚拟化技术，它可以将一台物理服务器虚拟成多台独立的虚拟机，我们可以在不同虚拟机上安装不同的操作系统，部署不同的业务，一台虚拟机崩溃或被攻击不会对该物理服务器上其它虚拟机造成影响。服务器虚拟化技术可以实现数据中心IT资源的整合，提高服务器的资源利用率，减少服务器硬件的购置数量，可以大大节约企业的购置和运营成本。此外，采用服务器虚拟化技术可以构建资源高度共享和服务高度可靠的服务器集群系统，与传统的服务器集群相比，具有更好的成本优势。
动态性是服务器虚拟化的一个显著特点，也就是说，在虚拟化环境中，可以将一台物理服务器上的虚拟机迁移到其它物理服务器上，并可以确保虚拟机业务的不间断性。服务器虚拟化的这种动态特性可以实现虚拟化环境中资源的优化配置，从而可能实现一个绿色节能的新型数据中心。
但服务器虚拟化动态特性可能使得传统安全监控设备无法正常工作。传统网络安全监控设备一般假设被监控对象是静止不动的，但这个假设在虚拟化环境中不再成立。当所监控的虚拟机迁移时，传统的网络安全设备无法感知到虚拟机的迁移，无法确保虚拟机迁移后安全策略的一致性。因此，有必要研发一种适合动态虚拟化环境能够为特定虚拟机提供不间断安全保障的方法和系统，确保虚拟机在迁移过程中的安全策略一致性。
发明内容
本发明提供了一种保障业务虚拟机安全的系统和方法，以解决如何在动态虚拟化环境中实现对承载着重要业务的业务虚拟机的连续安全监控问题。
本发明提供了一种保障业务虚拟机安全的系统，该系统包括安全管理中心和位于物理服务器上的一一对应的业务虚拟机和安全虚拟机，其中：
所述安全管理中心，用于获得当前业务虚拟机迁移前后所属的源物理服务器信息和目标物理服务器信息，将当前业务虚拟机对应的安全虚拟机同步迁移到目标物理服务器上，并通过虚拟化平台中的虚拟化管理服务器向所述当前业务虚拟机对应的安全虚拟机发送安全策略；
所述安全虚拟机，用于接收来自所述安全管理中心的所述安全策略，根据所述安全策略对对应的业务虚拟机进行实时安全监控。
优选地，所述安全虚拟机为一个运行在虚拟机监视器上的特权虚拟机，所述特权虚拟机，用于通过虚拟机监视器提供的监控接口实现对对应的业务虚拟机的安全监控。
优选地，所述安全虚拟机为在所述虚拟化平台上加载的一个虚拟机，所述安全管理中心，还用于通过所述虚拟管理服务器配置所述安全虚拟机所在物理服务器上的虚拟交换机上的镜像端口，使得所述安全虚拟机对进出对应的业务虚拟机的网络流量进行监控。
优选地，所述安全管理中心位于一台单独的物理服务器上，或者与所述虚拟管理服务器集成在一起。
优选地，所述安全虚拟机，还用于通过所述监控接口对对应的业务虚拟机的网络流量以及内部行为进行安全监控。
优选地，所述安全虚拟机，还用于在检测到攻击事件后向所述安全管理中心发送所述攻击事件；
所述安全管理中心，还用于在收到所述攻击事件后，对所述攻击事件进行关联分析和做出响应。
优选地，所述安全管理中心，还用于在所述虚拟管理服务器注册虚拟机迁移事件，以及接收所述虚拟管理服务器在当前业务虚拟机迁移时发送的迁移通知事件，并根据所述迁移通知事件获得所述当前业务虚拟机迁移前后所属的源物理服务器信息和目标物理服务器信息。
本发明还提供了一种保障业务虚拟机安全的方法，该方法包括：
获得当前业务虚拟机发生迁移前后所属的源物理服务器信息和目标物理服务器信息；
将当前业务虚拟机对应的安全虚拟机同步迁移到目标物理服务器上，并向迁移后的安全虚拟机发送安全策略，使得该迁移后的安全虚拟机根据所述安全策略对对应的当前业务虚拟机进行实时安全监控。
优选地，所述获得当前业务虚拟机发生迁移前后所属的源物理服务器信息和目标物理服务器信息之前，该方法还包括：
注册所述当前业务虚拟机迁移事件，接收所述当前业务虚拟机发生迁移时发送的迁移通知事件；
所述获得当前业务虚拟机发生迁移前后所属的源物理服务器信息和目标物理服务器信息，包括：
根据所述迁移通知事件获得当前业务虚拟机发生迁移前后所属的源物理服务器信息和目标物理服务器信息。
优选地，所述方法还包括：在监控到攻击事件后，对所述攻击事件进行关联分析和做出响应。
上述保障业务虚拟机安全的系统和方法，通过监控整个虚拟化环境中业务虚拟机的运行状态，当发现所关注的业务虚拟机发生迁移时，将对应的安全虚拟机同步迁移到目标物理服务器上，从而实现对业务虚拟机的不间断监控，实现业务虚拟机迁移过程中的安全策略的一致性。
附图说明
图1为本发明保障业务虚拟机安全的系统实施例的结构示意图；
图2为采用虚拟机监控器监控接口的安全虚拟机的结构示意图；
图3为采用虚拟交换机镜像端口的安全虚拟机的结构示意图；
图4为本发明保障业务虚拟机安全的系统在虚拟机迁移过程中的工作流程图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚明白，下文中将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。
本发明提供了一种保障业务虚拟机安全的系统，该系统包括安全管理中心和位于物理服务器上的一一对应的业务虚拟机和安全虚拟机，其中：
所述安全管理中心，用于获得当前业务虚拟机迁移前后所属的源物理服务器信息和目标物理服务器信息，将当前业务虚拟机对应的安全虚拟机同步迁移到目标物理服务器上，并通过虚拟化平台中的虚拟化管理服务器向所述当前业务虚拟机对应的安全虚拟机发送安全策略；
所述安全虚拟机，用于接收来自所述安全管理中心的所述安全策略，根据所述安全策略对对应的业务虚拟机进行实时安全监控。
如图1所示，为本发明保障业务虚拟机安全的系统实施例的结构示意图，该系统包括一个安全管理中心11和一个或多个用来保障业务虚拟机安全的安全虚拟机(VM)12，各安全虚拟机直接接受安全管理中心的集中管理。所述安全虚拟机为部署在虚拟机监视器13上的普通虚拟机或特权虚拟机，它接收来自安全管理中心的安全策略，根据安全策略实现对特定的业务虚拟机的安全监控；所述的安全虚拟机和所保护的业务虚拟机之间存在一一对应关系，即一个业务虚拟机需要部署一个的安全虚拟机，并且业务虚拟机和相对应的安全虚拟机必须在同一台物理服务器上。所述安全虚拟机在检测到针对业务虚拟机的攻击事件后，将攻击事件及时通知给安全管理中心，并且，安全虚拟机还根据安全管理中心下发的安全策略对本次攻击进行响应。
上述安全管理中心一方面需要根据安全策略需要为特定的业务虚拟机部署相伴随的安全虚拟机，实现对特定的业务虚拟机的安全面的安全监控；另一方面，安全管理中心还对所部署的安全虚拟机的状态进行实时监控。安全管理中心要实现这些功能，就必须和虚拟化环境中的虚拟管理服务器14进行通信。目前常见的虚拟管理服务器软件都提供公开的虚拟资源管理接口，包括VMware、Hyper‑V和Redhat的RHEV虚拟化平台。安全管理中心通过调用虚拟管理服务器所提供的公开接口实现对安全虚拟机的部署、配置和状态监控。比如，对于VMware虚拟化环境，其虚拟管理服务器为VCenter Server，它所提供的公开的虚拟化接口为VMware vsphere API；如果采用VMwareCloud Director来构建私有云，则可能会用到VMware Cloud Director软件提供的vCloud API。
为了实时跟踪虚拟化环境中各业务虚拟机的运行状态，所述安全管理中心通过虚拟管理服务器所提供的公开接口注册虚拟机迁移事件通知。当所关注的业务虚拟机发生迁移时，安全管理中心将及时获得通知，它将与该业务虚拟机对应的安全虚拟机同步迁移到业务虚拟机所迁移到的目标服务器上，并配置迁移后的安全虚拟机对迁移后的业务虚拟机进行安全监控，实现对所述的业务虚拟机的不间断的安全监控。
如图2所示，本发明的安全虚拟机为一个运行在虚拟机监视器上的特权虚拟机，所述特权虚拟机接收安全管理中心的安全策略，并对特定的业务虚拟机进行安全监控。所述特权虚拟机的特权体现在它可以调用底层虚拟机监视器所提供的监控接口实现对虚拟机监控器上其它虚拟机的安全监控。在VMware vsphere环境中，所述的虚拟机监控器提供的监控接口为VMsafe，VMsafe接口允许特权虚拟机通过在虚拟机监视器中加载安全模块来实现对其它虚拟机CPU、内存、网络流和磁盘I/O的全面监控，从而可以实现各种安全功能，包括入侵检测、内存扫描、磁盘杀毒和网络流量分析等。采用该方法实现的安全虚拟机可以实现对特定的业务虚拟机网络流和内部行为的全面监控。
如图3所示，本发明的安全虚拟机还可以为一个运行在虚拟机监视器上的普通虚拟机，所述普通虚拟机接收来自安全管理中心的安全策略，并对特定的业务虚拟机进行安全监控。所述的安全虚拟机并不需要调用底层虚拟机监控器所提供的监控接口，而是通过配置物理服务器上的虚拟交换机的镜像端口(SPAN)，从而实现对进出特定的业务虚拟机网络流量的全面监控。采用普通虚拟机方式实现的安全虚拟机由于不依赖于底层虚拟机监控器所提供的监控接口，因此，可以在那些不提供虚拟机监控器监控接口的虚拟化平台上运行。当然，与采用虚拟机监控器接口的安全虚拟机实现方法相比，采用普通虚拟机实现安全虚拟机的方法只能监控特定的业务虚拟机的网络流量，而不能监控发生在业务虚拟机内部的内部行为。
上述保障业务虚拟机的系统中，安全管理中心可以作为一个软件运行在一台单独物理服务器上，也可以作为一个管理模块和虚拟管理服务器集成在一起；同时，安装了安全管理中心软件的服务器还可以为一台虚拟机，运行在虚拟化环境中。
上述保障业务虚拟机安全的系统具有如下优点：1)安全管理中心能够监控到整个虚拟化环境中业务虚拟机的运行状态，当发现所关注的业务虚拟机发生迁移时，可以将对应的安全虚拟机同步迁移到目标服务器上，从而实现对业务虚拟机的不间断监控，实现业务虚拟机迁移过程中的安全策略的一致性；2)保障业务虚拟机安全的安全虚拟机为一个软件形态产品，可以自动部署和导入导出，灵活方便，成本也低；3)所有的安全虚拟机由集中的安全管理中心进行统一管理，简化了对业务虚拟机的安全管理。
本发明还提供了一种保障业务虚拟机安全的方法，如图4所示，该方法为上述保障业务虚拟机安全的系统在虚拟机迁移过程中的工作过程，所述过程包括以下步骤：
步骤401、安全管理中心向虚拟化环境中的虚拟管理服务器注册虚拟机迁移通知事件；
该步骤为可选步骤；
步骤402、当虚拟机迁移时，安全管理中心获得虚拟机迁移通知事件，安全管理中心确定业务虚拟机迁移前后所属的源和目标物理服务器；
安全管理中心确定业务虚拟机迁移前后所属的源和目标物理服务器之前的操作为可选步骤；
步骤403、安全管理中心将与业务虚拟机相关的安全虚拟机迁移到业务虚拟机迁移后的目标物理服务器上；
步骤404、安全管理中心向迁移后的安全虚拟机发送安全策略，使其开始对所述的迁移后的业务虚拟机进行实时安全监控。
另外，在监控到攻击事件后，还可以对所述攻击事件进行关联分析和做出响应。
上述保障业务虚拟机安全的方法，通过监控整个虚拟化环境中业务虚拟机的运行状态，当发现所关注的业务虚拟机发生迁移时，可以将对应的安全虚拟机同步迁移到目标服务器上，从而实现对业务虚拟机的不间断监控，实现业务虚拟机迁移过程中的安全策略的一致性。
本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序来指令相关硬件完成，上述程序可以存储于计算机可读存储介质中，如只读存储器、磁盘或光盘等。可选地，上述实施例的全部或部分步骤也可以使用一个或多个集成电路来实现。相应地，上述实施例中的各模块/单元可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。本发明不限制于任何特定形式的硬件和软件的结合。
以上实施例仅用以说明本发明的技术方案而非限制，仅仅参照较佳实施例对本发明进行了详细说明。本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的精神和范围，均应涵盖在本发明的权利要求范围当中。