[发明专利]一种多协议的网络微隔离方法及系统

说明书

本发明提供一种多协议的网络微隔离方法及系统，通过使用OpenFlow协议收集、分析提取流量数据中的特征向量和流表项，获取分布式虚拟环境中虚拟机之间的通信关系，使用聚类处理对虚拟机进行微隔离分组，验证所述通信关系中的虚拟机之间是否存在网络攻击行为，根据验证结果对虚拟机的微隔离分组动态部署安全防护策略，不安全虚拟机所在的微隔离分组选举一个临时主控点，所述临时主控点为作为一个控制平面的虚拟机，直接将迁移消息透传到其他微隔离分组的控制平面，并且考虑协议的多样性，有分别地部署防护策略。

技术领域

本申请涉及网络安全技术领域，尤其涉及一种多协议的网络微隔离方法及系统。

背景技术

现在利用虚拟化技术构建数据中心越来越普遍了，带来了新的安全问题，在虚拟化网络环境中，大量流量数据通过虚拟交换机转发，不会经过防火墙，使得传统的安全防护措施失效。虚拟机之间的通信流量变得不可控，内部虚拟机的威胁无法被检测，也无法被控制。分布式虚拟环境存在海量的虚拟机，如何动态部署安全防护策略，也是急需要解决的技术问题。

同时，如何在虚拟机与虚拟机之间更方便地迁移数据，并且考虑协议的多样性，有分别地部署防护策略，也是需要解决的技术问题。

因此，急需一种针对性分布式虚拟环境的安全防护方法和系统。

发明内容

本发明的目的在于提供一种多协议的网络微隔离方法及系统，解决现有技术中针对海量虚拟机之间流量数据缺乏控制方法，缺乏动态部署安全防护策略，以及针对协议多样性部署防护策略的技术问题。

第一方面，本申请提供一种多协议的网络微隔离方法，所述方法包括：

获取分布式虚拟网络中的流量数据，使用OpenFlow协议收集流量统计信息，分析提取流量数据中的特征向量和流表项，根据流表项的关联关系，得到所述分布式虚拟网络中各个虚拟机的通信关系；

所述得到所述分布式虚拟网络中各个虚拟机的通信关系之前，还包括获取所述分布式虚拟网络的所有节点标识，将所述节点标识与虚拟机标识组成新的唯一标识字符串，根据该唯一标识字符串和流表项的前后关联关系，生成所述分布式虚拟网络中各个虚拟机的通信关系；

根据生成的所述各个虚拟机的通信关系、业务数据的关联程度、各个虚拟机的相邻程度进行聚类处理，将所述分布式虚拟网络中所有虚拟机分成若干个微隔离分组；

所述聚类处理还可以包括根据各个虚拟机资源的利用情况、或者业务链中是否存在不常用使用到的通信链路；

分析识别流量数据的协议类型，根据所述协议类型查询对应的安全防护策略集合，得到对应的一个或多个安全防护策略；

验证所述通信关系中的虚拟机之间是否存在网络攻击行为，若存在攻击行为，则认定被攻击的虚拟机为不安全虚拟机，在所述查询得到的一个或多个安全防护策略中，选择一个比当前策略等级更高的安全防护策略，应用于其所在微隔离分组，并标记所述不安全虚拟机，暂停所述不安全虚拟机与其他虚拟机的通信；若不存在攻击行为则认定被验证的虚拟机为安全虚拟机；

将所述不安全虚拟机的数据进行迁移，该不安全虚拟机所在的微隔离分组选举一个临时主控点，所述临时主控点为作为一个控制平面的虚拟机，该控制平面的虚拟机暂时不处理业务；

由所述临时主控点向临近微隔离分组的其他虚拟机广播迁移消息，并根据其他虚拟机的业务关联程度、负载情况选择出一个第二虚拟机，将所述不安全虚拟机的数据迁移到所述第二虚拟机；

其中包括所述临时主控点向核心虚拟交换设备发送迁移请求消息，所述迁移请求消息中携带有控制平面指示命令，所述核心虚拟交换设备根据所述控制平面指示命令，直接将所述迁移请求消息中包含的迁移消息透传到所述核心虚拟交换设备下的其他微隔离分组的控制平面，由其他微隔离分组的控制平面选择出一个所述第二虚拟机；