[发明专利]虚拟机数据保护系统和方法

说明书

技术领域

本发明涉及云计算虚拟化数据安全技术领域，特别涉及一种虚拟机数据保护系统和方法。

背景技术

目前对虚拟设备的安全访问主要有以下三种方式：

技术1：防火墙技术。防火墙技术可以有效防范来自外部非法访问攻击，但是对于突破防火墙到达虚拟机内部的非法访问和虚拟机之间的非法访问无法处理。

技术2：数据隔离技术。数据隔离技术在存储云系统主节点中建立安全策略配置来进行访问控制，与云主机的数据隔离和保护方式不一致。

技术3：身份认证与访问控制系统。该方式主要在虚拟设备外部使用身份认证与访问控制系统，但是对虚拟设备之间的数据访问控制不足。

因此，在多租户虚拟机环境下，虚拟机部署的服务有漏洞或者配置错误、虚拟机的应用或内核有bug，可能导致被云外或其他虚拟机非法访问。

发明内容

本发明的发明人发现上述现有技术中存在问题，并因此针对所述问题中的至少一个问题提出了一种新的技术方案。

本发明的一个目的是提供一种用于虚拟机数据保护的技术方案。

根据本发明的第一方面，提供了一种虚拟机数据保护系统，包括虚拟机特权域Domain0和一个以上非特权域，还包括：

位于特权域Domain0的:

安全策略模块，用于根据安全策略设置安全规则，对用户身份和角色进行认证；

数据标记模块，用于根据安全策略对用户数据进行标记；

网络隔离模块，用于对非法数据行为和流向进行控制和操作；

和

位于非特权域的：

数据审查模块，用于关联所有虚拟机内的资源，监控数据的操作行为和流向，将确定的非法数据行为和流向发送给网络隔离模块以便进行控制和操作。

可选地，数据标记模块将数据流打上标记或者唯一标识符。

可选地，标记内容的编码规则根据安全策略层级确定。

可选地，网络隔离模块干扰对共享硬件资源的虚拟机的探测，对做出非法动作的虚拟机进行网络隔离控制。

可选地，网络隔离控制包括中断网络访问或关闭虚拟机；

或

干扰策略包括转到沙箱运行命令、杀死命令线程、或反馈伪数据。

根据本发明的另一方面，提供一种虚拟机数据保护方法，包括：

在虚拟机特权域Domain0内根据安全策略设置安全规则，对用户身份和角色进行认证；

在虚拟机特权域Domain0根据安全策略对用户数据进行标记；

在虚拟机特权域Domain0对非法数据行为和流向进行控制和操作；

以及，

在各个虚拟机的非特权域内关联所有虚拟机内的资源，监控数据的操作行为和流向，将确定的非法数据行为和流向发送给所述虚拟机特权域Domain0以便进行控制和操作。

可选地，根据安全策略对用户数据进行标记包括：根据所述安全策略将数据流打上标记或者唯一标识符，标记内容的编码规则根据安全策略层级确定。

可选地，对非法数据行为和流向进行控制和操作包括：干扰对共享硬件资源的虚拟机的探测；对做出非法动作的虚拟机进行网络隔离控制。

可选地，网络隔离控制包括中断网络访问或关闭虚拟机。

本发明的一个优点在于，对访问虚拟机数据的请求在Domain0中进行验证、标记和网络控制，结合虚拟机内部的数据行为和流向监控，达到对虚拟机数据安全访问的目的。

通过以下参照附图对本发明的示例性实施例的详细描述，本发明的其它特征及其优点将会变得清楚。

附图说明

构成说明书的一部分的附图描述了本发明的实施例，并且连同说明书一起用于解释本发明的原理。

参照附图，根据下面的详细描述，可以更加清楚地理解本发明，其中：

图1示出根据本发明的虚拟机数据保护系统的一个实施例的结构图。

图2示出根据本发明的虚拟机数据保护方法的一个实施例的流程图。

图3示出根据本发明的虚拟机数据保护系统的另一个实施例的结构图。

图4示出根据本发明的虚拟机数据保护方法的另一个实施例的流程图。

具体实施方式

现在将参照附图来详细描述本发明的各种示例性实施例。应注意到：除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本发明的范围。

同时，应当明白，为了便于描述，附图中所示出的各个部分的尺寸并不是按照实际的比例关系绘制的。