[发明专利]应用于动态虚拟化环境的分布式入侵检测系统及方法

权利要求书

1.一种应用于动态虚拟化环境的分布式入侵检测系统，其特征在于，该系统包括检测管理中心和位于物理服务器上的入侵检测引擎，其中：

所述检测管理中心，用于获得当前虚拟机迁移前后所属的源物理服务器信息和目标物理服务器信息，通过虚拟化平台中的虚拟化管理服务器对源物理服务器上的入侵检测引擎进行停止入侵检测配置和对目标物理服务器上的入侵检测引擎进行开始入侵检测配置；

所述入侵检测引擎，用于在配置了开始入侵检测安全策略后对对应的物理服务器上的特定虚拟机进行入侵检测，在配置了停止入侵检测安全策略后，停止对对应物理服务器上的特定虚拟机进行入侵检测。

2.根据权利要求1所述的系统，其特征在于：

所述特定虚拟机是指配置在检测管理中心上的安全策略要求监控的一个或多个虚拟机。

3.根据权利要求1所述的系统，其特征在于：

所述入侵检测引擎包括一个运行在虚拟机监视器上的虚拟机和一个位于所述虚拟机监视器中的内核模块，所述虚拟机为一个享有调用所述虚拟机监视器内监控接口的特权虚拟机，所述特权虚拟机，用于接收来自所述检测管理中心的安全策略和配置所述内核模块；所述内核模块，用于完成对所述特定虚拟机的入侵检测；或者

所述入侵检测引擎为在所述虚拟化平台上加载的一个虚拟机，所述检测管理中心，还用于通过所述虚拟管理服务器配置对应物理服务器上的虚拟交换机上的镜像端口，使得虚拟机形态的入侵检测引擎能够捕获到进出对应物理服务器上的特定控虚拟机的网络流量，从而实现入侵检测。

4.根据权利要求1所述的系统，其特征在于：

所述检测管理中心位于一台单独的物理服务器上，或者与所述虚拟管理服务器集成在一起。

5.根据权利要求3所述的系统，其特征在于：

所述内核模块，还用于通过所述监控接口对对应物理服务器上的特定虚拟机的网络流量以及内部行为进行安全监控。

6.根据权利要求1所述的系统，其特征在于：

所述入侵检测引擎，还用于在检测到攻击事件后向所述检测管理中心发送所述攻击事件；

所述检测管理中心，还用于在收到所述攻击事件后，对所述攻击事件进行关联分析和做出响应。

7.根据权利要求1-6任一权利要求所述的系统，其特征在于：

所述检测管理中心，还用于在所述虚拟管理服务器注册虚拟机迁移事件，以及接收所述虚拟管理服务器在迁移虚拟机时发送的迁移通知事件，并根据所述迁移通知事件获得虚拟机迁移前后所属的源物理服务器信息和目标物理服务器信息。

8.一种应用于动态虚拟化环境的分布式入侵检测方法，其特征在于，该方法包括：

获得当前虚拟机发生迁移前后所属的源物理服务器信息和目标物理服务器信息；

对所述源物理服务器信息对应的源物理服务器上的入侵检测引擎进行配置，使所述源物理服务器上的入侵检测引擎停止对所述源物理服务器上的虚拟机进行监控；对所述目标物理服务器信息对应的目标物理服务器上的入侵检测引擎进行配置，使所述目标物理服务器上的入侵检测引擎开始对所述目标物理服务器上的虚拟机进行监控。

9.根据权利要求8所述的方法，其特征在于：

所述获得当前虚拟机发生迁移前后所属的源物理服务器信息和目标物理服务器信息之前，该方法还包括：

注册所述当前虚拟机迁移事件，接收所述当前虚拟机发生迁移时发送的迁移通知事件；

所述获得当前虚拟机发生迁移前后所属的源物理服务器信息和目标物理服务器信息，包括：

根据所述迁移通知事件获得迁移前后所属的源物理服务器信息和目标物理服务器信息。

10.根据权利要求8或9所述的方法，其特征在于，所述方法还包括：

在监控到攻击事件后，对所述攻击事件进行关联分析和做出响应。