[发明专利]一种基于Kubernetes构建的容器云安全防护方法与系统

权利要求书

1.一种基于Kubernetes构建的容器云安全防护方法与系统，其特征在于包括：

在Kubernetes构建容器云集群的同时，本发明作为容器化的系统组件，部署在Kubernetes系统中，作为系统业务流量入口，起到安全防护的作用，系统具体包含：

传输层流量清洗子系统，用于接收客户端的第一访问请求，判断是不是攻击流量，要求扩展Linux内核，类似syn-proxy这样的机制，拦截包括常见的传输层流量型攻击，synflood,udp flood等；如果检测为攻击，直接丢弃，并记录访问日志，用于数据分析和可视化展示；如果不是，则转发到应用层流量清洗子系统；

应用层流量清洗子系统，用于接收传输层清洗子系统过滤后的流量，并实现应用层攻击检测，根据协议，匹配规则库中的规则，如果符合攻击特征，直接丢弃，并记录访问日志，用于数据分析和可视化展示；如果不是，则转发到后端容器云中真实的微服务地址；

容器云日志收集子系统，用于收集Kubernetes集群中所有微服务容器所产生的访问日志，集成高可用的存储系统，缓存系统确保数据正常及时写入，过滤掉重复，或没有价值的日志，用于日志解析子系统；

智能日志解析子系统，用于智能分析访问日志，获取攻击行为的访问，然后智能生成安全防护策略，并下发给清洗子系统，持续增强防护策略，进行再次的流量清洗；

以上所述的多层流量清洗，构建了一套纵深的防护体系，实现了防御的联动，和防护策略的生成和下发，系统自身防护能力可持续性增强。

2.根据权利要求1所述的方法，其特征在于，所述的传输层流量清洗子系统，在传输层拦截攻击流量，进一步包括：

提供四层负载均衡的能力，同时还包括：基于IP的黑白名单模块，基于域名+IP的黑白名单模块，基于IP+域名的地域访问控制黑白名单模块，基于IP的限速模块，以及基于TCP/UDP协议特征攻击检测模块，自定义协议特征以及配置策略更新模块，完善的黑白名单机制，有效拦截攻击流量。

3.根据权利要求2所述的方法，其特征在于，所述的黑白名单是在IP层拦截非法请求或放行正常请求：

所述的IP黑白名单模块，即直接封禁攻击IP，或加白某IP；所述的域名+IP黑白名单，即直接封禁访问某域名的IP，或开放访问某域名的IP访问；所述的域名+IP地域访问控制黑白名单，即直接封禁某区域访问某个域名的IP，或开放某某地区域名的访问；所述的IP限速，即限制某IP的访问速率。

4.根据权利要求1所述的方法，其特征在于，所述的应用层流量清洗系统，针对应用层协议，通过规则匹配识别攻击，其中具体包括：

根据维护的规则库，匹配每一次应用层协议请求，来判断是否是攻击行为，也可设置白名单机制来跳过监测，提高转发效率；非攻击行为，通过反向代理的方式找到Kubernetes启动的微服务，完成正常的业务交互；同时具有对微服务的监控功能，如果服务掉线，自动更新配置。

5.根据权利要求1所述的方法，其特征在于，所述的容器云日志收集子系统，收集所有Kubernetes集群下容器化的微服务的访问日志，同时又确保日志数据的高质量，从访问日志这个纬度，来增强可追溯性，方便故障排除，和后续的攻击检测。

6.根据权利要求1所述的方法，其特征在于，所述的智能解析日志下发拦截策略子系统，进一步包含：对日志的过滤，维护日志的特征库，对日志智能分析，智能生成防护策略，自动下发防护策略到其他子系统，同时可以向管理员产生攻击告警，可视化展示攻击。

7.根据权利要求1，2，3，4，5，6所述的方法，其特征在于，构建了一个多层次，多纬度的攻击检测系统，系统包含IP层，传输层，应用层防护，以及根据访问日志，智能生成防护策略，形成了一套安全可靠，可持续改进的容器化的容器云防护系统，具有可快速部署，快速横向扩展的能力，来抵御基于容器云微服务的网络攻击。