[发明专利]用于虚拟化网络的可扩缩安全架构的技术

权利要求书

1.一种网络功能虚拟化(NFV)安全架构的NFV安全服务控制器，所述NFV安全服务控制器用于管理所述NFV安全架构的安全监测服务，所述NFV安全控制器包括：

安全监测策略分发模块，用来经由安全通信信道、经由所述NFV安全架构的虚拟基础设施管理器(VIM)的NFV安全服务提供器，向所述NFV安全架构的虚拟网络功能(VNF)基础设施中所分布的一个或多个NFV安全服务代理传送安全监测策略，其中所述安全监测策略包括由所述NFV安全服务代理可用来监测所述NFV安全架构的遥测数据并且调整所述NFV安全服务代理的配置设定的监测规则的集合；以及

安全监测策略实施模块，用来实施传送给所述NFV安全架构的一个或多个安全监测组件的所述安全监测策略。

2.如权利要求1所述的NFV安全控制器，其中，经由所述安全通信信道传送所述安全监测策略包括经由所述NFV安全服务控制器与所述NFV安全服务提供器之间的通信所专用的安全通信信道向所述NFV安全服务提供器传送所述安全监测策略。

3.如权利要求1所述的NFV安全控制器，其中，经由所述安全通信信道传送所述安全监测策略包括建立可信根(RoT)，以便使用一个或多个安全密钥来保障所述通信信道。

4.如权利要求1所述的NFV安全控制器，其中，所述安全监测策略包含安全监测组件配置信息和遥测数据监测指令，以及

其中实施所述安全监测策略包括检验所述一个或多个NFV安全服务代理(i)被配置作为所述安全监测组件配置信息的函数，以及(ii)监测作为所述遥测数据监测指令的函数的所述遥测数据。

5.如权利要求1所述的NFV安全控制器，还包括：

安全通信模块，用来基于所述安全监测策略从与服务功能链的多个虚拟网络功能关联的多个服务代理来接收配置数据

受保护传输控制模块，用来保障所述服务功能链的所述多个虚拟网络功能的每个之间的通信路径；以及

NFV安全服务代理控制模块，用来基于所接收配置数据和所述安全监测策略来检验所述服务功能链的所述多个虚拟网络功能的拓扑。

6.如权利要求5所述的NFV安全控制器，其中，所述NFV安全服务代理控制模块还(i)激活所述服务功能链的所述多个虚拟网络功能，(ii)例示所述虚拟网络功能的至少一个虚拟网络功能上的所述一个或多个NFV安全服务代理的NFV安全代理，以及(iii)激活所述虚拟网络功能的所述至少一个虚拟网络功能上的所例示NFV安全服务代理。

7.如权利要求6所述的NFV安全控制器，其中，实施所述安全监测策略包括检验在所激活NFV安全服务代理所监测的所述遥测数据是按照所述安全监测策略的所述监测规则来监测的。

8.如权利要求1所述的NFV安全控制器，还包括安全监测策略管理模块，所述全监测策略管理模块用来基于由所述安全通信模块接收的矫正策略来更新所述安全监测策略，

其中，响应由NFV安全监测分析系统进行的将所述一个或多个NFV安全服务代理之一所传送的遥测数据的至少一部分识别为安全威胁的确定，而从通信上被耦合到所述NFV安全服务控制器的所述NFV安全监测分析系统来接收所述矫正策略，

其中，所述安全监测策略分发模块还向所述NFV安全架构的所述一个或多个安全监测组件传送所更新安全监测策略，并且

其中，所述安全监测策略实施模块还实施传送给所述NFV安全架构的所述一个或多个安全监测组件的所更新安全监测策略。

9.如权利要求8所述的NFV安全控制器，还包括：

安全监测策略管理模块，用来基于所述矫正策略来更新所述安全监测策略，

其中所述安全监测策略分发模块还向所述NFV安全架构的所述一个或多个安全监测组件传送所更新安全监测策略，以及

其中所述安全监测策略实施模块还实施被传送给所述NFV安全架构的所述一个或多个安全监测组件的所更新安全监测策略。