[发明专利]一种用于云基础设施的安全评测方法

说明书

技术领域

本发明涉及信息安全技术领域，尤其是一种用于云基础设施的安全评测方法。

背景技术

云基础设施：是指为支撑各种云计算服务而构建的软硬件体系的统称，它包含物理基础设施资源和虚拟基础设施资源。虚拟基础设施资源是在物理基础设施资源的基础上利用虚拟化技术构建的虚拟资源，涉及操作系统、存储、网络以及CPU等一系列硬件和软件资源。

信息安全科目：按照信息系统安全涉及的不同领域，分为系统安全、行为安全、数据安全、网络安全、终端安全等科目。

信息安全评测：利用人工、半自动化和自动化工具对计算机系统进行安全测试和评价，其目的在于检验是否满足安全需求并弄清期望结果与测试实际结果的差别，从而发现系统存在的安全问题。

资源单位：对云基础设施测评时，将可量化额度的计算、存储等物理资源集合抽象为一个可独立运行的实体。具体通过虚拟化技术实现。

测评镜像：将资源单位、测评软件程序等打包成一个虚拟机镜像。

测评活动：对云基础设施中指定范围内的或者全部资源进行从安装测评镜像到记录测评结果的安全测评过程。

测评需求书：一种文档，其62记录了本次测评活动的关键技术点，例如对多大物理网络边界范围内的云基础实施设备进行测评、测评人员、测评时间及其他有关要求。

测评报告：通过分析测评数据，对云基础设施的不同信息安全领域和整体安全状态进行评价、并给出整改建议的文档。

轮询调度算法：算法原理是每一次把来自用户的请求轮流分配给请求者器，从1开始，直到N(请求者个数)，然后重新开始循环。算法的优点是其简洁性和公平性，它无需记录当前所有连接的状态，所以是无状态调度。

云计算作为一种能够提供资源共享、按需服务的新型信息技术，当前已经在电子政务、教育、医疗等较大范围内得到普及。由政府、企业牵头建设的大型云基础设施日益增多。然而，在享受云计算带来便捷、易扩展计算和存储能力的同时，由于云计算在网络拓扑结构、使用模式等方面都与传统计算机系统有着巨大区别，许多传统安全防护措施在云计算环境中失效，云基础设施自身安全正面临着巨大挑战。近年来相关的信息安全事故常有发生。

评估系统的安全性是研究系统安全状态的重要手段和前提。与针对传统计算机系统的信息安全评估一样，云基础设施的安全性评估需要对其进行安全评测，其目的在于检验是否满足云计算的安全需求并弄清期望结果与测试结果的差别，从而发现系统存在的安全问题。

经检索，发明人发现，与本申请最为相关的文献有：

1、CN2012101308311(名称：一种云计算环境安全量化评估系统)的中国专利申请公开了一种云计算环境安全量化评估系统。所述的系统分为三部分，分别为：信息采集模块，管理分析模块和Web查询模块，所述三大功能模块可挂接方式连接。该发明基于云计算环境安全量化评估指标模型，采用自动化、半自动化、人工访谈等多种形式相结合的方式，对各类云计算环境进行信息安全量化评估。

2、《云计算平台的访问控制评测技术研究》(李文雪，哈尔滨工业大学，2013，硕士学位论文)设计并实现了能对系统的访问控制安全性进行自动化评测的系统。该系统通过向待测系统中嵌入访问控制测试接口，实现远程对待测系统的访问控制安全性进行评测。该评测系统采用C/S架构，主要分为两部分：评测工具客户端和待测系统。评测工具客户端的功能子模块包括：界面、测试库、测试分析模块、测试用例生成模块、测试执行模块、测试结果采集模块，测试结果处理模块和部署于待测系统的测试接口。

3、CN201110316666.4(名称：一种面向云计算的网络安全预警方法)的中国专利申请公开了网络安全预警方法。为了保证云计算环境下网络通信的安全可靠，动态实时地识别和监控云计算环境下各种攻击企图和行为，为面向云计算下各种网络攻击提供实时预警和安全防护的方法。它主要有安全事件采集器、安全事件处理器、安全状态分析器以及网络安全预警操作核心等部分组成。通过Agent技术和Apriori关联规则算法来解决云计算环境下网络安全预警问题。

纵观现有技术发现存在以下方面的问题：

1、现有已公开的资料多是用户自己编写评测脚本去测试云基础设施的安全状态，但受限于技术水平，这样未必能够全面和深入的了解云基础设施的安全状况。市面上已经有不少开源的功能全面、性能较好的评测软件，例如漏洞扫描的Nessus，入侵检测的Snort等，完全可以按需组合不同的评测软件，对云基础设施实施更全面、深入的安全状态评估。