CN110474981A - 一种软件定义动态安全存储方法及装置 - Google Patents

Abstract

本发明涉及一种软件定义动态安全存储方法及装置，主要步骤包括：软件定义存储路径模块能够创建多条虚拟链路并在进行存储数据时随机选择一条链路，软件定义存储节点模块随机选择要存储的目标服务器节点，数据同步模块将各个节点的最新数据同步到集群中各个节点，安全控制器对存储路径、存储节点动态维护和扩展，非周期性进行新增、淘汰和清洗，对存储节点和网络交换机下发策略。本发明实现了存储的动态安全防护，防止攻击者对存储路径的窃听以及对存储节点的持续探测和入侵，实现存储网络***的主动防御。

Description

一种软件定义动态安全存储方法及装置

技术领域

本发明涉及一种安全存储方法及装置，具体涉及一种软件定义动态安全存储方法及装置，属于计算机网络安全领域。

背景技术

数据是最核心资产，存储***作为数据的保存空间，是数据保护的最后一道防线；随着存储***由本地直连向着网络化和分布式的方向发展，并被网络上的众多计算机共享，使存储***变得更易受到攻击，相对静态的存储***往往成为攻击者的首选目标，达到窃取、篡改或破坏数据的目的。

针对数据存储的信息泄露事件可谓层出不穷。2016年，美国有线电视公司时代华纳旗下约有32万用户的邮件和密码信息被黑客窃取。2017年，仅上半年被盗的数据，就已经超过了2016年全年被盗数据总量。2018年3月，Facebook被曝出8700多万用户数据泄露，一家服务总统竞选团队的数据分析公司Cambridge Analytica获得了Facebook数用户的数据，随后这些数据被非法利用发送政治广告。2018年3月末，美国运动品牌Under Armour(安德玛)表示，其旗下健身应用MyFitnessPal因存在数据漏洞而遭到黑客攻击，造成超过1.5亿用户的数据外泄。2018年8月，根据暗网中文网帖子显示，华住旗下所有酒店的数据被公开售卖，其中包括汉庭酒店、美爵、禧玥、漫心、诺富特、美居、CitiGo、桔子、全季、星程、宜必思、怡莱、海友等多家华住旗下酒店均在其列。2019年荷兰非盈利机构GDI基金会研究人员发现，位于深圳的人脸识别公司发生大规模数据泄露事件，超过250万用户的680多万条信息记录被泄露，泄露数据包括身份证信息、人脸识别图像、24小时内的位置记录等敏感信息。

解决数据存储安全问题，传统方法是使用数据加密和认证授权管理技术。在安全存储中，利用技术手段把文件变为乱码(加密)存储，在使用文件的时候，用相同或不同的手段还原(解密)。这样，存储和使用，文件就在密文和明文状态两种方式切换。无论是对称加密还是非对称加密，密钥管理都是一个复杂的挑战，一旦密钥丢失，数据存储的安全性将荡然无存。证授权管理技术一方面依赖多因子认证等密码技术，同事还需要配置多种访问控制策略，一旦攻击者绕过认证，数据存储将以明文数据泄露。这类静态的被动防御方法很难抵抗攻击者的长期渗透和新的漏洞利用，并且对于数据存储链路中的窃听攻击毫无抵御能力。

分析可知，数据存储安全的弱点在于存储目标是静止的、防御策略是被动的。只有进行动态防御，才能抵御窃听攻击、APT攻击等威胁，软件定义网络（Software DefinedNetworking: SDN）技术，为实现数据存储安全的主动防御提供了新的方向。

发明内容

有鉴于此，本发明公开了一种软件定义动态安全存储方法及装置，主要步骤包括：定义存储路径模块能够创建多条虚拟链路并在进行存储数据时随机选择一条链路，软件定义存储节点模块随机选择要存储的目标服务器节点，数据同步模块将各个节点的最新数据同步到集群中各个节点，安全控制器对存储路径、存储节点动态维护和扩展，非周期性进行新增、淘汰和清洗，对存储节点和网络交换机下发策略。本发明实现了存储的动态安全防护，防止攻击者对存储路径的窃听以及对存储节点的持续探测和入侵，实现存储网络***的主动防御。

本发明的技术方案如下：一种软件定义动态安全存储方法，其步骤包括：

1）软件定义存储路径模块对存储的链路动态调度；

2）软件定义存储节点模块随机选择要存储的目标服务器节点；

3）数据同步模块将各个节点的最新数据同步到集群中各个节点；

4）安全控制器对存储路径、存储节点动态维护和扩展，非周期性进行新增、淘汰和清洗，对存储节点和网络交换机下发策略。

更进一步，所述软件定义存储路径模块能够创建多条虚拟链路并在进行存储数据时随机选择一条链路，从而防止在特定链路上恶意节点的数据窃听攻击和中间人攻击。

更进一步，所述软件定义存储节点模块通过如下操作实现节点目标的移动和混淆：

1) 通过虚拟化创建多样性、功能等价的多个存储节点集群，集群内存储节点IP地址为内部动态分配IP；

2)存储节点对外抽象为统一虚拟接口，用户只能通过接口进行数据存储调用；

3）在进行数据存储时，软件定义存储节点模块随机选择一个内部存储节点，将对外接口地址动态转换为内部真实的存储节点IP，在未建立存储会话时，***不创建外部接口和内部存储节点之间的转换关系。

更进一步，所述数据同步模块性将各个存储节点存储的数据通过内部接口归档、合并；

更进一步，所述安全控制器通过如下方式实现动态安全策略：

1) 将网络链路进行统一管理和抽象化管理，动态维护多条虚拟链路；

2) 对存储节点进行动态增加、删减、IP地址替换等操作，维护存储节点在网络中的身份属性;

3）根据安全需求，下发动态存储流标规则到SDN交换机，转换外部接口和存储节点内部IP的链路连通性；

4)对超时策略下发流标失效操作，对超时存储节点进行回收和清洗。

更进一步，所述安全控制器为多样性控制器冗余，多控制器随机遴选一个为主控制器，其余控制器为待机从控制器。

本发明还提出一种软件定义动态安全存储装置，包括软件定义存储路径模块、软件定义存储节点模块、数据同步模块、安全控制器，

所述软件定义存储路径模块能够创建多条虚拟链路并在进行存储数据时随机选择一条链路，从而防止在特定链路上恶意节点的数据窃听攻击和中间人攻击；

所述软件定义存储节点模块通过虚拟化创建多样性、功能等价的多个存储节点集群，集群内存储节点IP地址为内部动态分配IP，在进行数据存储时，软件定义存储节点模块随机选择一个内部存储节点，将对外接口地址动态转换为内部真实的存储节点IP，在未建立存储会话时，***不创建外部接口和内部存储节点之间的转换关系，存储节点对外抽象为统一虚拟接口，用户只能通过接口进行数据存储调用，从而实现节点目标的移动和混淆；

所述数据同步模块性将各个存储节点存储的数据通过内部接口归档、合并；

所述安全控制器为多样性控制器冗余，多控制器随机遴选一个为主控制器，其余控制器为待机从控制器，对存储路径、存储节点动态维护和扩展，非周期性进行新增、淘汰和清洗，对存储节点和网络交换机下发策略。

本发明的有益效果为：

本发明提供了一种软件定义动态安全存储方法及装置，能够创建多条虚拟链路并在进行存储数据时随机选择一条链路，随机选择要存储的目标服务器节点，数据同步模块将各个节点的最新数据同步到集群中各个节点，多样化安全控制器保障安全策略的可靠性。本发明实现了存储的动态安全防护，防止攻击者对存储路径的窃听以及对存储节点的持续探测和入侵，实现存储网络***的主动防御。

附图说明

附图1是本发明软件定义动态安全存储装置的架构示意图。

具体实施方式

下面结合附图和实施例对本发明作进一步描述。

本发明的一实施例中公开的软件定义动态安全存储方法，其步骤为：

1）软件定义存储路径模块能够创建多条虚拟链路并在进行存储数据时随机选择一条链路，从而防止在特定链路上恶意节点的数据窃听攻击和中间人攻击；

2）软件定义存储节点模块通过虚拟化创建多样性、功能等价的多个存储节点集群，集群内存储节点IP地址为内部动态分配IP，在进行数据存储时，软件定义存储节点模块随机选择一个内部存储节点，将对外接口地址动态转换为内部真实的存储节点IP，在未建立存储会话时，***不创建外部接口和内部存储节点之间的转换关系，存储节点对外抽象为统一虚拟接口，用户只能通过接口进行数据存储调用，从而实现节点目标的移动和混淆；

3）数据同步模块性将各个存储节点存储的数据通过内部接口归档、合并；

4）安全控制器为多样性控制器冗余，多控制器随机遴选一个为主控制器，其余控制器为待机从控制器，对存储路径、存储节点动态维护和扩展，非周期性进行新增、淘汰和清洗，对存储节点和网络交换机下发策略。

以下通过具体的例子对附图中软件定义动态安全存储方法及装置进行进一步的说明。

如附图1所示，一种软件定义动态安全存储装置，包括软件定义存储路径模块、软件定义存储节点模块、数据同步模块、安全控制器。其主要步骤包括：

1、 所述软件定义存储路径模块能够创建多条虚拟链路并在进行存储数据时随机选择一条链路，从而防止在特定链路上恶意节点的数据窃听攻击和中间人攻击；

2、所述软件定义存储节点模块通过如下操作实现节点目标的移动和混淆：

（a） 通过虚拟化创建多样性、功能等价的多个存储节点集群，集群内存储节点IP地址为内部动态分配IP；

（b）存储节点对外抽象为统一虚拟接口，用户只能通过接口进行数据存储调用；

（c）在进行数据存储时，软件定义存储节点模块随机选择一个内部存储节点，将对外接口地址动态转换为内部真实的存储节点IP，在未建立存储会话时，***不创建外部接口和内部存储节点之间的转换关系；

3、所述数据同步模块性将各个存储节点存储的数据通过内部接口归档、合并；

4、所述安全控制器通过如下方式实现动态安全策略：

（a） 将网络链路进行统一管理和抽象化管理，动态维护多条虚拟链路；

（b）对存储节点进行动态增加、删减、IP地址替换等操作，维护存储节点在网络中的身份属性;

（c）根据安全需求，下发动态存储流标规则到SDN交换机，转换外部接口和存储节点内部IP的链路连通性；

（d）对超时策略下发流标失效操作，对超时存储节点进行回收和清洗；

5、所述安全控制器进一步的特性为多样性控制器冗余，多控制器随机遴选一个为主控制器，其余控制器为待机从控制器。

以上所述本发明的具体实施方式目的是为了更好地理解本发明的使用，并不构成对本发明保护范围的限定。任何在本发明的精神和原则实质之内所做的修改、变形和等同替换等，都应属于本发明的权利要求的保护范围之内。

Claims (7)

1.一种软件定义动态安全存储方法，其步骤包括：

1）软件定义存储路径模块对存储的链路动态调度；

2）软件定义存储节点模块随机选择要存储的目标服务器节点；

3）数据同步模块将各个节点的最新数据同步到集群中各个节点；

4）安全控制器对存储路径、存储节点动态维护和扩展，非周期性进行新增、淘汰和清洗，对存储节点和网络交换机下发策略。

2.如权利要求1所述的软件定义动态安全存储方法，其特征在于，所述软件定义存储路径模块能够创建多条虚拟链路并在进行存储数据时随机选择一条链路，从而防止在特定链路上恶意节点的数据窃听攻击和中间人攻击。

3.如权利要求1所述的软件定义动态安全存储方法，其特征在于，所述软件定义存储节点模块通过如下操作实现节点目标的移动和混淆：

1) 通过虚拟化创建多样性、功能等价的多个存储节点集群，集群内存储节点IP地址为内部动态分配IP；

2)存储节点对外抽象为统一虚拟接口，用户只能通过接口进行数据存储调用；

3）在进行数据存储时，软件定义存储节点模块随机选择一个内部存储节点，将对外接口地址动态转换为内部真实的存储节点IP，在未建立存储会话时，***不创建外部接口和内部存储节点之间的转换关系。

4.如权利要求1所述的软件定义动态安全存储方法，其特征在于，所述数据同步模块性将各个存储节点存储的数据通过内部接口归档、合并。

5.如权利要求1所述的软件定义动态安全存储方法，其特征在于，所述安全控制器通过如下方式实现动态安全策略：

1) 将网络链路进行统一管理和抽象化管理，动态维护多条虚拟链路；

2) 对存储节点进行动态增加、删减、IP地址替换等操作，维护存储节点在网络中的身份属性;

3）根据安全需求，下发动态存储流标规则到SDN交换机，转换外部接口和存储节点内部IP的链路连通性；

4)对超时策略下发流标失效操作，对超时存储节点进行回收和清洗。

6.如权利要求1或5所述的软件定义动态安全存储方法，其特征在于，所述安全控制器为多样性控制器冗余，多控制器随机遴选一个为主控制器，其余控制器为待机从控制器。

7.一种软件定义动态安全存储装置，包括软件定义存储路径模块、软件定义存储节点模块、数据同步模块、安全控制器，

所述软件定义存储路径模块能够创建多条虚拟链路并在进行存储数据时随机选择一条链路，从而防止在特定链路上恶意节点的数据窃听攻击和中间人攻击；

所述软件定义存储节点模块通过虚拟化创建多样性、功能等价的多个存储节点集群，集群内存储节点IP地址为内部动态分配IP，在进行数据存储时，软件定义存储节点模块随机选择一个内部存储节点，将对外接口地址动态转换为内部真实的存储节点IP，在未建立存储会话时，***不创建外部接口和内部存储节点之间的转换关系，存储节点对外抽象为统一虚拟接口，用户只能通过接口进行数据存储调用，从而实现节点目标的移动和混淆；

所述数据同步模块性将各个存储节点存储的数据通过内部接口归档、合并；

所述安全控制器为多样性控制器冗余，多控制器随机遴选一个为主控制器，其余控制器为待机从控制器，对存储路径、存储节点动态维护和扩展，非周期性进行新增、淘汰和清洗，对存储节点和网络交换机下发策略。