[发明专利]一种虚拟化安全监控方法和系统

说明书

技术领域

本发明涉及虚拟化技术领域，特别是涉及一种虚拟化安全监控方法和系统。

背景技术

随着虚拟化技术的发展，云计算的前景已毋庸置疑。但当前用户在考虑应用云计算服务时还存在很多的疑虑，其中，安全问题占据着所有担心要素的首位。国内外很多的云计算数据中心都遭受过黑客和病毒的攻击，出现过断网的情况，很多在线服务出现宕机时间，影响了大量的用户。

云安全技术多集中在虚拟化方面，虚拟化时云计算的支撑技术，它实现了各种资源的逻辑抽象和统一表示，用以支持云计算中心根据用户业务需求的变化，快速、灵活、弹性地调用，响应用户的应用请求并提供服务，提高资源的利用率。然而，虚拟化的结果使得许多传统的安全防护手段面临着新的挑战甚至失效。虚拟化环境下计算、存储、网络结构、服务提供模式等的改变，带来了应用进程间的相互影响更加难以监测和跟踪，数据的隔离与访问控制管理更加复杂，传统的分区域界线模糊，对使用者身份、权限和行为的鉴别、控制与审计变得更为更要等一系列问题，对安全提出了更高的要求。

发明内容

本发明的目的是提供一种虚拟化安全监控方法和系统，可以既保证虚拟化环境中来宾虚拟机的服务，又能保证虚拟化的安全监测和跟踪。

为解决上述技术问题，本发明提供了如下技术方案：

一种虚拟化安全监控方法，包括：

建立一个异于特权域管理虚拟机的驱动代理虚拟机；

通过所述驱动代理虚拟机获取虚拟化平台中来宾域的虚拟机的通信数据包；

通过所述驱动代理虚拟机对所述通信数据包进行安全检测；

在检测到所述通信数据包安全时，根据所述通信数据包中包含的硬件请求，访问对应的硬件资源。

优选地，所述在检测到所述通信数据包安全时，根据所述通信数据包中包含的硬件请求，访问对应的硬件资源，包括：

在检测到所述通信数据包安全时，向所述虚拟化平台的所述特权域管理虚拟机发送所述通信数据包；

通过所述特权域管理虚拟机解析所述所述通信数据包，获取所述硬件请求；

根据所述特权域管理虚拟机的对应控制信号和所述硬件请求，访问对应的硬件资源。

一种虚拟化安全监控系统，包括：

客户端虚拟机，用于响应用户的操作，发出服务请求；

服务端虚拟机，用于响应所述服务请求，根据虚拟化平台中的硬件资源为所述客户端虚拟机进行服务响应；

驱动代理虚拟机，用于获取虚拟化平台中来宾域的所述客户端虚拟机和所述服务端虚拟机的通信数据包，并对所述通信数据包进行安全检测，并在检测到所述通信数据包安全时，根据所述通信数据包中包含的硬件请求，访问对应的硬件资源。

优选地，所述驱动代理虚拟机包括：

第一网络后端，用于与所述客户端虚拟机的网络前端连接；

第二网络后端，用于与所述服务端虚拟机的网络前端连接；

第一虚拟交换机，用于获取虚拟化平台中来宾域的所述客户端虚拟机和所述服务端虚拟机的通信数据包，并对所述通信数据包进行安全检测，并在检测到该通信数据包安全时，根据所述通信数据包中包含的硬件请求，访问对应的硬件资源；

第一PCI驱动，用于连接所述第一虚拟交换机和外界的硬件设备，以供所述第一虚拟交换机访问对应的硬件资源。

优选地，还包括：特权域管理虚拟机，与所述驱动代理虚拟机连接，用于在所述驱动代理虚拟机检测到所述通信数据包安全时，获取并解析所述通信数据包，以获取所述硬件请求，响应用户的操作生成相应的控制信号，并根据所述硬件请求，访问对应的硬件资源。

优选地，所述特权域管理虚拟机包括：特权域网络端，用于与所述驱动代理虚拟机连接；特权域虚交换机，用于执行网络管理，控制对硬件资源的访问；第二PCI驱动，用于连接所述特权域虚拟交换机和外界的硬件设备，以供所述特权域虚拟交换机访问对应的硬件资源；

其中，所述驱动代理虚拟机包括：第一网络后端，用于与所述客户端虚拟机的网络前端连接；第二网络后端，用于与所述服务端虚拟机的网络前端连接；第一虚拟交换机，用于获取虚拟化平台中来宾域的所述客户端虚拟机和所述服务端虚拟机的通信数据包，并对所述通信数据包进行安全检测，并在检测到该通信数据包安全时，根据所述通信数据包中包含的硬件请求，访问对应的硬件资源；第三网络后端，用于与所述特权域网络端连接进行数据交互。

与现有技术相比，上述技术方案具有以下优点：