[发明专利]应用于动态虚拟化环境的分布式入侵检测系统及方法

说明书

技术领域

本发明涉及一种入侵检测系统，尤其涉及一种应用于动态虚拟化环境的分布式入侵检测系统及方法。

背景技术

服务器虚拟化是一种新型IT技术，它可以将一台物理服务器虚拟成多台虚拟的逻辑上隔离的服务器，并在各虚拟机上部署不同的业务，这样可以提高服务器的资源利用率，减少服务器硬件的购置数量，也可以大大节约企业的购置和运营费用。同时，基于服务器虚拟化技术的服务器集群技术在数据保护和灾难恢复方面也具有非常明显的优势。

服务器虚拟化的一个主要特点是动态性，即运行在某一物理服务器上的虚拟机可以在不中断其业务的情况下动态迁移到其它物理服务器上，从而实现虚拟化环境中资源的优化配置。但服务器虚拟化的这种动态特性使得传统的入侵检测系统无法正常工作。传统入侵检测系统假设其所在网络环境是静态的，所监控的对象所在位置也是静态的。但在虚拟化环境中，当所监控的虚拟机迁移时，传统的入侵检测系统则无法感知到虚拟机的迁移，因此无法实现对虚拟机的连续监控。因此，有必要研发一种适合动态虚拟化环境的分布式入侵检测系统，实现对虚拟机在动态迁移过程中的不间断的安全监控。

发明内容

本发明实施例提供了一种应用于动态虚拟化环境的分布式入侵检测系统及方法，以解决在动态虚拟化环境中，无法对虚拟机进行连续监控的问题。

本发明实施例提供了一种应用于动态虚拟化环境的分布式入侵检测系统，该系统包括检测管理中心和位于物理服务器上的入侵检测引擎，其中：

所述检测管理中心，用于获得当前虚拟机迁移前后所属的源物理服务器信息和目标物理服务器信息，通过虚拟化平台中的虚拟化管理服务器对源物理服务器上的入侵检测引擎进行停止入侵检测配置和对目标物理服务器上的入侵检测引擎进行开始入侵检测配置；

所述入侵检测引擎，用于在配置了开始入侵检测安全策略后对对应的物理服务器上的特定虚拟机进行入侵检测，在配置了停止入侵检测安全策略后，停止对对应物理服务器上的特定虚拟机进行入侵检测。

优选地，所述特定虚拟机是指配置在检测管理中心上的安全策略要求监控的一个或多个虚拟机。

优选地，所述入侵检测引擎包括一个运行在虚拟机监视器上的虚拟机和一个位于所述虚拟机监视器中的内核模块，所述虚拟机为一个享有调用所述虚拟机监视器内监控接口的特权虚拟机，所述特权虚拟机，用于接收来自所述检测管理中心的安全策略和配置所述内核模块；所述内核模块，用于完成对所述特定虚拟机的入侵检测；或者

所述入侵检测引擎为在所述虚拟化平台上加载的一个虚拟机，所述检测管理中心，还用于通过所述虚拟管理服务器配置对应物理服务器上的虚拟交换机上的镜像端口，使得虚拟机形态的入侵检测引擎能够捕获到进出对应物理服务器上的特定控虚拟机的网络流量，从而实现入侵检测。

优选地，所述检测管理中心位于一台单独的物理服务器上，或者与所述虚拟管理服务器集成在一起。

优选地，所述内核模块，还用于通过所述监控接口对对应物理服务器上的特定虚拟机的网络流量以及内部行为进行安全监控。

优选地，所述入侵检测引擎，还用于在检测到攻击事件后向所述检测管理中心发送所述攻击事件；

所述检测管理中心，还用于在收到所述攻击事件后，对所述攻击事件进行关联分析和做出响应。

优选地，所述检测管理中心，还用于在所述虚拟管理服务器注册虚拟机迁移事件，以及接收所述虚拟管理服务器在迁移虚拟机时发送的迁移通知事件，并根据所述迁移通知事件获得虚拟机迁移前后所属的源物理服务器信息和目标物理服务器信息。

本发明实施例还提供了一种应用于动态虚拟化环境的分布式入侵检测方法，该方法包括：

获得当前虚拟机发生迁移前后所属的源物理服务器信息和目标物理服务器信息；

对所述源物理服务器信息对应的源物理服务器上的入侵检测引擎进行配置，使所述源物理服务器上的入侵检测引擎停止对所述源物理服务器上的虚拟机进行监控；对所述目标物理服务器信息对应的目标物理服务器上的入侵检测引擎进行配置，使所述目标物理服务器上的入侵检测引擎开始对所述目标物理服务器上的虚拟机进行监控。

优选地，所述获得当前虚拟机发生迁移前后所属的源物理服务器信息和目标物理服务器信息之前，该方法还包括：

注册所述当前虚拟机迁移事件，接收所述当前虚拟机发生迁移时发送的迁移通知事件；

所述获得当前虚拟机发生迁移前后所属的源物理服务器信息和目标物理服务器信息，包括：