[发明专利]一种基于虚拟网络环境的云安全系统及其部署框架

权利要求书

1.一种基于虚拟网络环境的云安全系统，采用SDN架构，其特征在于，包括：

SDN控制层(2)，用于接收界面管理层(1)下发的配置信息，并根据所述配置信息生成转发规则，将所述转发规则下发到转发层(3)；

转发层(3)包括多个虚拟路由器，所述虚拟路由器用于接管和转发源虚拟机的网络报文；

虚拟路由器(3)在接收到SDN控制层(2)下发的所述转发规则后，将所述网络报文发给安全防护层(4)进行安全防护，并将安全防护后的所述网络报文转发给所述虚拟路由器；

所述虚拟路由器根据所述转发规则，将安全防护后的所述网络报文发给目标虚拟机。

2.根据权利要求1所述的系统，其特征在于，所述安全防护层(4)包括以虚拟机形态或以硬件形态运行的虚拟防火墙、入侵防御系统、Web应用防护系统、分布式拒绝服务和/或负载均衡器。

3.根据权利要求1所述的系统，其特征在于，SDN控制层(2)包括配置节点(21)，其用于将界面管理层(1)发出的所述配置信息转化为内部数据结构，并向所述控制节点(22)发送所述转化为内部数据结构的所述配置信息。

4.根据权利要求1或2所述的系统，其特征在于，SDN控制层(2)还包括控制节点(22)，其用于根据配置节点(21)发送的所述配置信息生成转发规则，并将所述转发规则下发到所述转发层(3)。

5.根据权利要求4所述的系统，其特征在于，SDN控制层(2)还包括分析节点(23)，其用于采集云环境中的监测数据，对采集到的所述监测数据进行分析并将分析结果发送给所述界面管理层(1)展示；

所述监测数据包括：网络攻击类型、攻击总数、风险级别、虚拟机的网络流量、流量速率、累计流量、物理服务器的CPU利用率和内存使用率。

6.根据权利要求5所述的系统，其特征在于，所述分析节点(23)还用于采集配置节点(21)和控制节点(22)的CPU利用率和内存使用情况，以监控云安全系统本身的运行状况，并将采集到的所述CPU利用率和内存使用情况发送给界面管理层(1)展示。

7.根据权利要求4所述的系统，其特征在于，所述转发层(3)包括多个虚拟路由器，每个所述虚拟路由器包括：

用户态模块(10)接收到控制节点(22)发出的所述转发规则后，将所述转发规则转化成内部数据结构，并向内核态模块(20)发送所述转化为内部数据结构的所述转发规则；和

内核态模块(20)接收到用户态模块(10)发送的所述转发规则后，将所述网络报文发给安全防护层(4)进行安全防护，并根据所述转发规则对安全防护后的所述网络报文进行转发。

8.根据权利要求1、3、5或6所述的系统，其特征在于，所述界面管理层(1)通过虚拟防火墙和/或硬件防火墙的接口，对所述虚拟防火墙和/或硬件防火墙进行监控和管理。

9.根据权利要求1或7所述的系统，其特征在于，所述转发规则包括：源虚拟机名称、目标虚拟机名称、源虚拟机IP地址、目标虚拟机IP地址、源虚拟机所在服务器的IP地址、目标虚拟机所在服务器的IP地址和转发方式；

所述转发方式包括：直接转发、VLAN转发和隧道转发；

所述隧道转发包括：VLAN、VXLAN、MPLS转发。

10.一种虚拟网络环境的云安全系统的部署框架，其特征在于，包括多台物理服务器；

其中，至少一台物理服务器，用于配置权利要求1-7中任一项所述系统中的SDN控制层(2)，所述SDN控制层(2)在每台所述物理服务器上运行一个实例；

每台所述物理服务器上运行一个虚拟路由器，多个所述虚拟路由器组成所述系统中的转发层(3)。