[发明专利]用于自动选择安全虚拟机的系统和方法

说明书

本发明涉及用于自动选择安全虚拟机的系统和方法。本文中公开了选择用于虚拟基础设施中的虚拟机(VM)的安全虚拟机(SVM)的系统和方法。一方面，示例性方法包括：形成SVM列表，其中SVM为VM执行安全任务，并且VM包括配置为与SVM交互的安全代理；确定安全代理的限制要求，并且从SVM列表中移除不符合关于安全代理的交互区域的限制的限制要求的SVM；轮询列表中剩余的SVM以确定所述SVM的网络可访问性，并移除不可访问的SVM；对于列表中剩余的每个可访问SVM，确定SVM的标记是否与VM的安全代理的标记匹配，并移除标记与安全代理的标记不匹配的SVM；以及将剩余SVM的列表提供给VM的安全代理。

技术领域

本发明涉及网络安全领域，并且更具体地，涉及在虚拟环境中自动选择安全虚拟机的系统和方法。

背景技术

云技术已成为现代计算机技术中不可缺少的部分。云技术采用虚拟机，虚拟机在功能上类似于物理机。在一方面，虚拟机(VM)是一种程序环境，其虚拟化物理机(例如计算机或服务器)内部的计算环境，使得操作系统能够以另一台计算机的形式工作。多个VM可以用于形成虚拟环境。虚拟环境是在一个或多个物理机(也称为“主机”)上的(一个或多个)管理程序的控制下运行的VM的集合。在这种情况下，VM利用主机的由管理程序(即，由VM的监控器)控制的计算资源。

如同任何物理机(诸如计算设备，例如个人计算机)一样，虚拟机容易受到恶意软件(恶意程序)攻击。因此，需要使用用于保护VM的防病毒系统。防病毒系统设计成检测并移除恶意软件。然而，在虚拟环境中实现防病毒系统会带来一些技术问题。首先，VM没有物理硬盘驱动器(physical hard disk drive，HDD)，并且VM利用在创建该VM的主机的硬盘驱动器上分配给该VM的空间。因此，在VM上执行的输入/输出操作给主机的处理器带来巨大的负担。额外的负担甚至可能导致在执行任务时长时间冻结主机以及VM本身。因此，需要减少在VM上执行的输入/输出操作的次数和量。

减少输入/输出操作的次数的一种方法是使用分布式防病毒系统，在该系统中，划分由于努力保护VM免受恶意软件的影响而产生的任务。在一示例中，分布式防病毒系统可以包括以下组件：用于执行防病毒扫描任务的VM，其也被称为安全VM(Security VM，SVM)；以及位于需要保护的网络中的每个VM上的安全代理。安全代理执行两种类型的功能：用于监控VM的第一功能，以及用于与SVM进行交互的第二功能。安全代理与SVM的交互用于将数据传输到SVM进行分析、从SVM获得数据分析结果、以及从SVM接收指令以便根据获得的结果在VM上执行必要的动作。

然而，这种方法也有一些缺点。对于由两个或更多个主机组成的虚拟基础设施，通常采用通过将VM迁移到工作负载较小的另一台主机来减轻一台主机的计算资源的负担的技术，其中可能有必要将已迁移的VM重新连接至另一SVM。将安全代理连接至必要的SVM通常不是容易的任务，因为需要同时考虑可能出现的许多标准和限制。例如，存在调节VM如何在特定虚拟环境中操作的规则。例如，可能存在以下一项或多项：用于调节VM本身之间以及与SVM之间的交互的规则，有关用户限制和企业限制两者的安全策略，对VM在网络中的位置及其交互的区域的限制等。为了举例说明，可能出现这样的情况：根据客户公司的安全策略的要求，不同VM组的数据不允许位于同一网络点，即，不同VM组的数据不允许位于同一数据库内或同一SVM上。在另一种情况下，当使用自动选择SVM进行连接时，VM可能会执行与位于不同集群或数据中心的SVM的连接，即使安全策略可能会禁止这样做。进一步将这种方法复杂化，VM和SVM之间的路由如果位于不同的集群或数据中心，则可能组织该路由，使其包括通过地球的不同半球中的网络的路线，这使得VM的功能复杂化。

此外，还需要考虑到危害SVM的正常运行能力的防病毒系统。例如，当在单个主机中部署大量VM时，SVM上的工作负载也会增加，这可能导致SVM本身发生故障。在另一示例中，VM和SVM之间的连接可能断开。因此，在分布式方法的情况下，VM的防病毒保护变得难以实现，即使不是完全不可能的。

因此，需要一种在选择用于连接位于VM上的安全代理的SVM时满足安全策略的解决方案。