[发明专利]实现云计算网络防攻击的方法、设备和网络

说明书

技术领域

本发明实施例涉及计算机网络领域，并且更具体地，涉及实现云计算网络防攻击的方法、设备和网络。

背景技术

云计算是计算模型的一次重要革新，通过将各种互联的计算资源进行有效整合并实现多层次的虚拟化与抽象，云计算网络有效地将大规模的计算资源以可靠服务的形式提供给用户，从而将用户从复杂的底层硬件逻辑、软件栈与网络协议解放出来。其中虚拟化技术给计算资源的共享与管理带来很多的便利之处，成为“云计算”的重要组成部分。虚拟机监控器（VMM，Virtual Machine Monitor）是虚拟化技术的核心，通过对服务器物理资源的抽象，将中央处理器（Central Processing Unit，CPU）、内存和输入输出（Input/Output，I/O）等服务器物理资源转化为一组可统一管理、灵活调度、动态分配的逻辑资源，并基于这些逻辑资源在单个物理服务器上构建多个同时运行、相互隔离的虚拟机执行环境。从而，可实现更高的资源利用率、更低的硬件采购成本和能耗以及更低的维护成本。

然而，网络很容易受到攻击，攻击者篡改云平台软件或植入恶意代码，攻击的目的是窃取数据或破坏软件的正常运行。其中，云平台软件指云计算基础架构的软件环境，包括计算节点上的虚拟化平台软件和管理节点上的云管理软件。

现有技术中，对已知的攻击行为，防卫比较容易实现；但对未知的攻击行为，通常采用的是开发智能行为分析系统，比如：分析用户行为或软件行为，判断是否为不友好的攻击行为等。这种方法代价大、算法复杂且防卫成功率低。

发明内容

本发明实施例提供一种实现云计算网络防攻击的方法、设备和网络，以解决防卫成功率低的问题。

第一方面，提供了一种实现云计算网络防攻击的方法，包括：为计算节点配置初始化的安全基线，安全基线包括至少一个配置参数；向计算节点发送动态安全检测请求，其中动态安全检测请求包括至少一个配置参数用于计算节点执行动态安全检测；接收计算节点根据动态安全检测请求发送的、通过在安全执行环境中执行动态安全检测获得的动态安全检测结果；根据动态安全检测结果确定计算节点的安全基线是否更改；如果计算节点的安全基线已被更改，则检测更改是否是用户主动修改；如果更改为用户非主动修改，则将计算节点的安全基线恢复到初始化的安全基线。

在第一种可能的实现方式中，由用于加密且存储信息的硬件密码模块保护安全基线安全可信。

结合第一方面或第一方面的第一种可能的实现方式，在第二种可能的实现方式中，安全基线包括的配置参数涉及以下一个或多个方面的配置内容：基本输入输出系统BIOS程序、基本输入输出系统配置、虚拟机管理程序、虚拟机管理配置、节点管理域程序、节点管理域配置、操作系统和数据库。

结合第一方面或第一方面的上述可能的实现方式，在第三种可能的实现方式中，将新产品供应或版本升级时发布的安全基线值配置为所述计算节点的初始化的安全基线。

结合第一方面或第一方面的第二至第三种的任一可能的实现方式，在第四种可能的实现方式中，在为计算节点配置初始化的安全基线前，方法还包括：向计算节点发送初始化请求；接收计算节点完成初始化后获得的初始化安全检测结果；相应，为计算节点配置初始化的安全基线包括：将初始化安全检测结果配置为初始化的安全基线。

结合第一方面或第一方面的上述可能的实现方式，在第五种可能的实现方式中，向计算节点周期性发送动态安全检测请求；或向计算节点发送要求周期性动态安全检测的请求。

结合第一方面或第一方面的上述可能的实现方式，在第六种可能的实现方式中，隔离计算节点；将计算节点上正运行的虚拟机迁移到其他计算节点；将计算节点的安全基线恢复到初始化的安全基线，其中方法还包括：将计算节点重新加入云计算网络。

结合第一方面或第一方面的上述可能的实现方式，在第七种可能的实现方式中，如果更改为用户主动修改，则以更改后的安全基线取代计算节点的初始化的安全基线。

第二方面，提供了一种实现云计算网络防攻击的方法，包括：接收管理节点的动态安全检测请求，动态安全检测请求包括用于动态安全检测的安全基线的配置参数；根据动态安全检测请求，在安全执行环境中执行动态安全检测获得动态安全检测结果；向管理节点发送动态安全检测结果。

在第一种可能的实现方式中，由用于加密且存储信息的硬件密码模块保护动态安全检测结果安全可信。