[发明专利]一种多租户云平台安全隔离的主动检测方法

摘要

本发明公开了一种多租户云平台安全隔离的主动检测方法，实现在运行时对多租户云平台的安全隔离性进行实时检测。方法步骤包括：(1)定义图模型；(2)定义检测基准；(3)初始状态生成；(4)初始隔离检测；(5)运行时隔离检测。本发明方法以图的形式对多租户云平台的配置状态进行组织建模,并建立了基于租户安全隔离的检测基准和基于用户组安全隔离的检测基准，然后实施安全隔离检测，以及时发现潜在隔离失效威胁对云内租户造成的危害。本方法具有可扩展性强、时效性高的特点，解决了现有多租户云平台中的安全隔离检测问题，提高了多租户云平台的安全能力，从而满足现有应用场景的需求。

主权项

1.一种多租户云平台安全隔离的主动检测方法，其特征在于：包括以下步骤：(1)定义图模型：定义包含多租户云平台中各个节点的有向图模型G＝(V，E，C)，V表示云平台中所有提供服务的节点的集群，集群中任一节点满足vi∈V；E表示各节点之间的边，集群中存在任一条边ei,j即表示节点vi可访问另一节点vj，ei,j∈E；C表示节点之间的连通关系，ci,j表示节点vi与vj之间的连通关系，ci,j∈C，i,j表示两个节点的标识；构建有向图模型时，若ci,j＝1，则认为图G中vi与vj之间存在边ei,j，若ci,j＝0，则vi与vj之间不存在边ei,j；上述有向图模型G以二维邻接矩阵的形式存储，记为：(2)定义检测基准：在多租户云平台中，存在多个租户，由管理员管理，属于不同租户的节点之间不可发起非法访问；每个租户内部，存在多个用户组，由管理员或租户管理员管理，属于不同用户组的节点不可发起非法访问；安全隔离包含两类场景：一是不同租户之间的安全隔离，需验证各个租户之间是否存在非法访问的潜在威胁；二是同一租户内不同用户组之间的安全隔离，需验证同一租户内不同用户组之间是否存在非法访问的潜在威胁；针对以上场景，分别定义基于租户安全隔离的检测基准和基于用户组安全隔离的检测基准；(21)基于租户安全隔离的检测基准：当攻击者获得管理员权限或多租户云平台内部存在恶意管理员时，多租户云平台的配置可被恶意篡改，使原本属于不同租户的节点之间可以发起非法访问，租户安全隔离被破坏，建立租户与节点的正确映射关系f，作为租户安全隔离的检测基准；若n表示节点的标识，tenentn表示标识为n的节点所属租户的标识，将映射关系记为：f(n)＝tenentn；(22)基于用户组安全隔离的检测基准：针对多租户云平台中属于同一租户的用户组，定义L为用户组等级，L值为uppr、normal或lower；L值为uppr的用户组可访问非uppr的所有用户组，不可被其他用户组访问；L值为normal的用户组可与L值同为normal且标记值同为x的用户组互访，x为大于零的整数；L值为lower的用户组可被所有用户组访问，不可发起访问；对于用户组内的节点，若n表示节点的标识，leveln表示标识为n的节点的标记值，则节点n的标记值leveln定义为：当攻击者获得管理员或租户管理员权限，以及多租户云平台内部存在恶意管理员或恶意租户管理员时，用户组的等级配置可被恶意篡改，使不同等级的用户组的节点之间可发起非法访问，用户组安全隔离被破坏；建立同一租户内各个用户组与节点的正确映射关系y，作为用户组安全隔离的检测基准，将映射关系记为：y(n)＝leveln；(3)初始状态生成：采集初始状态下多租户云平台中所有节点的配置数据，依据步骤(1)中所定义的有向图模型G＝(V，E，C)，遍历配置数据并记录当前遍历节点vi与其他节点vj的连通关系ci,j∈C；若vi与vj连通，则ci,j＝1，否则ci,j＝0，然后以步骤(1)所述定义构建基于初始状态的图模型Ginit；(4)初始隔离检测：依据步骤(2)中所述检测基准，检测步骤(3)中所述有向图Ginit是否满足安全隔离，检测过程包括初始化节点标记和初始化节点检测两个阶段：(41)初始化节点标记过程为：依次遍历步骤(3)所述有向图Ginit中的所有节点；遍历过程中，将当前访问节点标记为待检测节点，并从尾端插入待检测队列Detect；(42)初始化节点检测过程为：从待检测队列Detect头端依次读取节点直至队列为空，将当前读取节点记为vdet，检测vdet是否符合安全隔离需求，并在检测完成后将vdet从头端移出待检测队列Detect，具体检测内容包括：基于检测基准(21)执行的租户安全隔离检测，基于检测基准(22)执行的用户组安全隔离检测；(5)运行时隔离检测：将当前运行时刻记为time，若在time时刻，管理员或租户管理员对云平台实施配置操作导致有向图状态将发生更新，则将当前有向图记为Gtime，并依据步骤(2)中所述检测基准，在更新时检测Gtime是否满足安全隔离需求，检测过程包括更新时节点标记和更新时节点检测两个阶段：(51)更新时节点标记过程为：步骤(5)中所述配置操作包括创建实例、删除实例、创建安全策略、删除安全策略；当云平台中的管理员或租户管理员实施上述操作时，增量更新图模型Gtime，并将被更新节点标记为待检测节点，从尾端插入待检测队列Eetect；(52)更新时节点检测过程为：从待检测队列Eetect头端依次读取节点直至队列为空，将当前读取节点记为vdet，检测vdet是否符合安全隔离需求，并在检测完成后将vdet从头端移出待检测队列Detect，具体检测内容包括：基于检测基准(21)执行的租户安全隔离检测，基于检测基准(22)执行的用户组安全隔离检测。