CN111224990A - 一种分布式微隔离网络的流量牵引方法及*** - Google Patents

一种分布式微隔离网络的流量牵引方法及*** Download PDF

Info

Publication number
CN111224990A
CN111224990A CN202010023881.4A CN202010023881A CN111224990A CN 111224990 A CN111224990 A CN 111224990A CN 202010023881 A CN202010023881 A CN 202010023881A CN 111224990 A CN111224990 A CN 111224990A
Authority
CN
China
Prior art keywords
virtual machine
virtual
micro
unsafe
isolation
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202010023881.4A
Other languages
English (en)
Other versions
CN111224990B (zh
Inventor
段彬
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Wuhan Sipuling Technology Co Ltd
Original Assignee
Wuhan Sipuling Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Wuhan Sipuling Technology Co Ltd filed Critical Wuhan Sipuling Technology Co Ltd
Priority to CN202010023881.4A priority Critical patent/CN111224990B/zh
Publication of CN111224990A publication Critical patent/CN111224990A/zh
Application granted granted Critical
Publication of CN111224990B publication Critical patent/CN111224990B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提供一种分布式微隔离网络的流量牵引方法及***，通过使用OpenFlow协议收集、分析提取流量数据中的特征向量和流表项，获取分布式虚拟环境中虚拟机之间的通信关系，使用聚类处理对虚拟机进行微隔离分组，验证所述通信关系中的虚拟机之间是否存在网络攻击行为，根据验证结果对虚拟机的微隔离分组动态部署安全防护策略，不安全虚拟机所在的微隔离分组选举一个临时主控点，所述临时主控点为作为一个控制平面的虚拟机，直接将迁移消息透传到其他微隔离分组的控制平面，从而实现更便捷地迁移虚拟机数据。

Description

一种分布式微隔离网络的流量牵引方法及***
技术领域
本申请涉及网络安全技术领域，尤其涉及一种分布式微隔离网络的流量牵引方法及***。
背景技术
现在利用虚拟化技术构建数据中心越来越普遍了，带来了新的安全问题，在虚拟化网络环境中，大量流量数据通过虚拟交换机转发，不会经过防火墙，使得传统的安全防护措施失效。虚拟机之间的通信流量变得不可控，内部虚拟机的威胁无法被检测，也无法被控制。分布式虚拟环境存在海量的虚拟机，如何动态部署安全防护策略，也是急需要解决的技术问题。
同时，如何在虚拟机与虚拟机之间更方便地迁移数据，也是需要解决的技术问题。
因此，急需一种针对性分布式虚拟环境的安全防护方法和***。
发明内容
本发明的目的在于提供一种分布式微隔离网络的流量牵引方法及***，解决现有技术中针对海量虚拟机之间流量数据缺乏控制方法，缺乏动态部署安全防护策略，以及更便捷地迁移虚拟机数据的技术问题。
第一方面，本申请提供一种分布式微隔离网络的流量牵引方法，所述方法包括：
获取分布式虚拟网络中的流量数据，使用OpenFlow协议收集流量统计信息，分析提取流量数据中的特征向量和流表项，根据流表项的关联关系，得到所述分布式虚拟网络中各个虚拟机的通信关系；
所述得到所述分布式虚拟网络中各个虚拟机的通信关系之前，还包括获取所述分布式虚拟网络的所有节点标识，将所述节点标识与虚拟机标识组成新的唯一标识字符串，根据该唯一标识字符串和流表项的前后关联关系，生成所述分布式虚拟网络中各个虚拟机的通信关系；
根据生成的所述各个虚拟机的通信关系、业务数据的关联程度、各个虚拟机的相邻程度进行聚类处理，将所述分布式虚拟网络中所有虚拟机分成若干个微隔离分组；
所述聚类处理还可以包括根据各个虚拟机资源的利用情况、或者业务链中是否存在不常用使用到的通信链路；
验证所述通信关系中的虚拟机之间是否存在网络攻击行为，若存在则认定被攻击的虚拟机为不安全虚拟机，升级其所在微隔离分组的安全防护策略，并标记所述不安全虚拟机，暂停所述不安全虚拟机与其他虚拟机的通信；若不存在则认定被验证的虚拟机为安全虚拟机；
将所述不安全虚拟机的数据进行迁移，该不安全虚拟机所在的微隔离分组选举一个临时主控点，所述临时主控点为作为一个控制平面的虚拟机，该控制平面的虚拟机暂时不处理业务；
由所述临时主控点向临近微隔离分组的其他虚拟机广播迁移消息，并根据其他虚拟机的业务关联程度、负载情况选择出一个第二虚拟机，将所述不安全虚拟机的数据迁移到所述第二虚拟机；
其中包括所述临时主控点向核心虚拟交换设备发送迁移请求消息，所述迁移请求消息中携带有控制平面指示命令，所述核心虚拟交换设备根据所述控制平面指示命令，直接将所述迁移请求消息中包含的迁移消息透传到所述核心虚拟交换设备下的其他微隔离分组的控制平面，由其他微隔离分组的控制平面选择出一个所述第二虚拟机；
所述不安全虚拟机通过所述核心虚拟交换设备的业务平面，将迁移数据传输到所述第二虚拟机；
所述临时主控点向所在分组广播迁移消息，包括将所述不安全虚拟机剔除出微隔离分组的指示，分组内其他虚拟机接收到所述广播迁移消息后，能够根据所述指示，修改流表项内容；
所述临时主控点向所述不安全虚拟机发送响应消息，指示所述不安全虚拟机完成数据迁移，并删除所述不安全虚拟机上的安全防护策略，数据迁移完成后，所述临时主控点向微隔离分组内所有虚拟机广播临时主控点身份结束消息；
当一个微隔离分组的所有虚拟机都为安全虚拟机时，则为该微隔离分组下发普通安全防护策略，允许流量数据在分组内虚拟机之间正常传输，允许分组内虚拟机与其他分组的虚拟机交换流量数据；
所述升级其所在微隔离分组的安全防护策略，包括暂停分组内不安全虚拟机的通信、禁止分组内所有虚拟机的流量数据传输、禁止分组内虚拟机与其他分组的虚拟机交换流量数据；
定期反复验证所述不安全虚拟机的通信关系是否仍然存在网络攻击行为，若该网络攻击行为消除，则将所述不安全虚拟机标记为安全虚拟机，调整其所在微隔离分组的安全防护策略。
结合第一方面，在第一方面第一种可能的实现方式中，所述得到所述分布式虚拟网络中各个虚拟机的通信关系之前，还包括对流表项的预处理，删除虚拟机与外部服务器或网关之间的通信链路，删除不相关的字段，将源IP地址和目的IP地址作为匹配条件。
结合第一方面，在第一方面第二种可能的实现方式中，所述各个虚拟机的相邻程度包括判断虚拟机是否属于同一个集群或同一个节点。
结合第一方面，在第一方面第三种可能的实现方式中，所述聚类处理使用的聚类算法包括K-Means算法、均值漂移聚类算法、基于密度的聚类算法、或凝聚层次聚类算法。
第二方面，本申请提供一种分布式微隔离网络的流量牵引***，所述***包括：获取单元、分组单元和策略部署单元；
所述获取单元，用于获取分布式虚拟网络中的流量数据，使用OpenFlow协议收集流量统计信息，分析提取流量数据中的特征向量和流表项，根据流表项的关联关系，得到所述分布式虚拟网络中各个虚拟机的通信关系；
所述得到所述分布式虚拟网络中各个虚拟机的通信关系之前，还包括获取所述分布式虚拟网络的所有节点标识，将所述节点标识与虚拟机标识组成新的唯一标识字符串，根据该唯一标识字符串和流表项的前后关联关系，生成所述分布式虚拟网络中各个虚拟机的通信关系；
所述分组单元，用于根据生成的所述各个虚拟机的通信关系、业务数据的关联程度、各个虚拟机的相邻程度进行聚类处理，将所述分布式虚拟网络中所有虚拟机分成若干个微隔离分组；
所述聚类处理还可以包括根据各个虚拟机资源的利用情况、或者业务链中是否存在不常用使用到的通信链路；
所述策略部署单元，用于验证所述通信关系中的虚拟机之间是否存在网络攻击行为，若存在则认定被攻击的虚拟机为不安全虚拟机，升级其所在微隔离分组的安全防护策略，并标记所述不安全虚拟机，暂停所述不安全虚拟机与其他虚拟机的通信；若不存在则认定被验证的虚拟机为安全虚拟机；
将所述不安全虚拟机的数据进行迁移，该不安全虚拟机所在的微隔离分组选举一个临时主控点，所述临时主控点为作为一个控制平面的虚拟机，该控制平面的虚拟机暂时不处理业务；
由所述临时主控点向临近微隔离分组的其他虚拟机广播迁移消息，并根据其他虚拟机的业务关联程度、负载情况选择出一个第二虚拟机，将所述不安全虚拟机的数据迁移到所述第二虚拟机；
其中包括所述临时主控点向核心虚拟交换设备发送迁移请求消息，所述迁移请求消息中携带有控制平面指示命令，所述核心虚拟交换设备根据所述控制平面指示命令，直接将所述迁移请求消息中包含的迁移消息透传到所述核心虚拟交换设备下的其他微隔离分组的控制平面，由其他微隔离分组的控制平面选择出一个所述第二虚拟机；
所述不安全虚拟机通过所述核心虚拟交换设备的业务平面，将迁移数据传输到所述第二虚拟机；
所述临时主控点向所在分组广播迁移消息，包括将所述不安全虚拟机剔除出微隔离分组的指示，分组内其他虚拟机接收到所述广播迁移消息后，能够根据所述指示，修改流表项内容；
所述临时主控点向所述不安全虚拟机发送响应消息，指示所述不安全虚拟机完成数据迁移，并删除所述不安全虚拟机上的安全防护策略，数据迁移完成后，所述临时主控点向微隔离分组内所有虚拟机广播临时主控点身份结束消息；
当一个微隔离分组的所有虚拟机都为安全虚拟机时，则为该微隔离分组下发普通安全防护策略，允许流量数据在分组内虚拟机之间正常传输，允许分组内虚拟机与其他分组的虚拟机交换流量数据；
所述升级其所在微隔离分组的安全防护策略，包括暂停分组内不安全虚拟机的通信、禁止分组内所有虚拟机的流量数据传输、禁止分组内虚拟机与其他分组的虚拟机交换流量数据；
定期反复验证所述不安全虚拟机的通信关系是否仍然存在网络攻击行为，若该网络攻击行为消除，则将所述不安全虚拟机标记为安全虚拟机，调整其所在微隔离分组的安全防护策略。
结合第二方面，在第二方面第一种可能的实现方式中，所述得到所述分布式虚拟网络中各个虚拟机的通信关系之前，还包括对流表项的预处理，删除虚拟机与外部服务器或网关之间的通信链路，删除不相关的字段，将源IP地址和目的IP地址作为匹配条件。
结合第二方面，在第二方面第二种可能的实现方式中，所述各个虚拟机的相邻程度包括判断虚拟机是否属于同一个集群或同一个节点。
结合第二方面，在第二方面第三种可能的实现方式中，所述聚类处理使用的聚类算法包括K-Means算法、均值漂移聚类算法、基于密度的聚类算法、或凝聚层次聚类算法。
本发明提供一种分布式微隔离网络的流量牵引方法及***，通过使用OpenFlow协议收集、分析提取流量数据中的特征向量和流表项，获取分布式虚拟环境中虚拟机之间的通信关系，使用聚类处理对虚拟机进行微隔离分组，验证所述通信关系中的虚拟机之间是否存在网络攻击行为，根据验证结果对虚拟机的微隔离分组动态部署安全防护策略，不安全虚拟机所在的微隔离分组选举一个临时主控点，所述临时主控点为作为一个控制平面的虚拟机，直接将迁移消息透传到其他微隔离分组的控制平面，从而实现更便捷地迁移虚拟机数据。
附图说明
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明分布式微隔离网络的流量牵引方法的流程图；
图2为本发明分布式微隔离网络的流量牵引***的架构图。
具体实施方式
下面结合附图对本发明的优选实施例进行详细阐述，以使本发明的优点和特征能更易于被本领域技术人员理解，从而对本发明的保护范围做出更为清楚明确的界定。
图1为本申请提供的分布式微隔离网络的流量牵引方法的流程图，所述方法包括：
获取分布式虚拟网络中的流量数据，使用OpenFlow协议收集流量统计信息，分析提取流量数据中的特征向量和流表项，根据流表项的关联关系，得到所述分布式虚拟网络中各个虚拟机的通信关系；
所述得到所述分布式虚拟网络中各个虚拟机的通信关系之前，还包括获取所述分布式虚拟网络的所有节点标识，将所述节点标识与虚拟机标识组成新的唯一标识字符串，根据该唯一标识字符串和流表项的前后关联关系，生成所述分布式虚拟网络中各个虚拟机的通信关系；
根据生成的所述各个虚拟机的通信关系、业务数据的关联程度、各个虚拟机的相邻程度进行聚类处理，将所述分布式虚拟网络中所有虚拟机分成若干个微隔离分组；
所述聚类处理还可以包括根据各个虚拟机资源的利用情况、或者业务链中是否存在不常用使用到的通信链路；
验证所述通信关系中的虚拟机之间是否存在网络攻击行为，若存在则认定被攻击的虚拟机为不安全虚拟机，升级其所在微隔离分组的安全防护策略，并标记所述不安全虚拟机，暂停所述不安全虚拟机与其他虚拟机的通信；若不存在则认定被验证的虚拟机为安全虚拟机；
将所述不安全虚拟机的数据进行迁移，该不安全虚拟机所在的微隔离分组选举一个临时主控点，所述临时主控点为作为一个控制平面的虚拟机，该控制平面的虚拟机暂时不处理业务；
由所述临时主控点向临近微隔离分组的其他虚拟机广播迁移消息，并根据其他虚拟机的业务关联程度、负载情况选择出一个第二虚拟机，将所述不安全虚拟机的数据迁移到所述第二虚拟机；
其中包括所述临时主控点向核心虚拟交换设备发送迁移请求消息，所述迁移请求消息中携带有控制平面指示命令，所述核心虚拟交换设备根据所述控制平面指示命令，直接将所述迁移请求消息中包含的迁移消息透传到所述核心虚拟交换设备下的其他微隔离分组的控制平面，由其他微隔离分组的控制平面选择出一个所述第二虚拟机；
所述不安全虚拟机通过所述核心虚拟交换设备的业务平面，将迁移数据传输到所述第二虚拟机；
所述临时主控点向所在分组广播迁移消息，包括将所述不安全虚拟机剔除出微隔离分组的指示，分组内其他虚拟机接收到所述广播迁移消息后，能够根据所述指示，修改流表项内容；
所述临时主控点向所述不安全虚拟机发送响应消息，指示所述不安全虚拟机完成数据迁移，并删除所述不安全虚拟机上的安全防护策略，数据迁移完成后，所述临时主控点向微隔离分组内所有虚拟机广播临时主控点身份结束消息；
当一个微隔离分组的所有虚拟机都为安全虚拟机时，则为该微隔离分组下发普通安全防护策略，允许流量数据在分组内虚拟机之间正常传输，允许分组内虚拟机与其他分组的虚拟机交换流量数据；
所述升级其所在微隔离分组的安全防护策略，包括暂停分组内不安全虚拟机的通信、禁止分组内所有虚拟机的流量数据传输、禁止分组内虚拟机与其他分组的虚拟机交换流量数据；
定期反复验证所述不安全虚拟机的通信关系是否仍然存在网络攻击行为，若该网络攻击行为消除，则将所述不安全虚拟机标记为安全虚拟机，调整其所在微隔离分组的安全防护策略。
在一些优选实施例中，所述得到所述分布式虚拟网络中各个虚拟机的通信关系之前，还包括对流表项的预处理，删除虚拟机与外部服务器或网关之间的通信链路，删除不相关的字段，将源IP地址和目的IP地址作为匹配条件。
在一些优选实施例中，所述各个虚拟机的相邻程度包括判断虚拟机是否属于同一个集群或同一个节点。
在一些优选实施例中，所述聚类处理使用的聚类算法包括K-Means算法、均值漂移聚类算法、基于密度的聚类算法、或凝聚层次聚类算法。
图2为本申请提供的分布式微隔离网络的流量牵引***的架构图，所述***包括：获取单元、分组单元和策略部署单元；
所述获取单元，用于获取分布式虚拟网络中的流量数据，使用OpenFlow协议收集流量统计信息，分析提取流量数据中的特征向量和流表项，根据流表项的关联关系，得到所述分布式虚拟网络中各个虚拟机的通信关系；
所述得到所述分布式虚拟网络中各个虚拟机的通信关系之前，还包括获取所述分布式虚拟网络的所有节点标识，将所述节点标识与虚拟机标识组成新的唯一标识字符串，根据该唯一标识字符串和流表项的前后关联关系，生成所述分布式虚拟网络中各个虚拟机的通信关系；
所述分组单元，用于根据生成的所述各个虚拟机的通信关系、业务数据的关联程度、各个虚拟机的相邻程度进行聚类处理，将所述分布式虚拟网络中所有虚拟机分成若干个微隔离分组；
所述聚类处理还可以包括根据各个虚拟机资源的利用情况、或者业务链中是否存在不常用使用到的通信链路；
所述策略部署单元，用于验证所述通信关系中的虚拟机之间是否存在网络攻击行为，若存在则认定被攻击的虚拟机为不安全虚拟机，升级其所在微隔离分组的安全防护策略，并标记所述不安全虚拟机，暂停所述不安全虚拟机与其他虚拟机的通信；若不存在则认定被验证的虚拟机为安全虚拟机；
将所述不安全虚拟机的数据进行迁移，该不安全虚拟机所在的微隔离分组选举一个临时主控点，所述临时主控点为作为一个控制平面的虚拟机，该控制平面的虚拟机暂时不处理业务；
由所述临时主控点向临近微隔离分组的其他虚拟机广播迁移消息，并根据其他虚拟机的业务关联程度、负载情况选择出一个第二虚拟机，将所述不安全虚拟机的数据迁移到所述第二虚拟机；
其中包括所述临时主控点向核心虚拟交换设备发送迁移请求消息，所述迁移请求消息中携带有控制平面指示命令，所述核心虚拟交换设备根据所述控制平面指示命令，直接将所述迁移请求消息中包含的迁移消息透传到所述核心虚拟交换设备下的其他微隔离分组的控制平面，由其他微隔离分组的控制平面选择出一个所述第二虚拟机；
所述不安全虚拟机通过所述核心虚拟交换设备的业务平面，将迁移数据传输到所述第二虚拟机；
所述临时主控点向所在分组广播迁移消息，包括将所述不安全虚拟机剔除出微隔离分组的指示，分组内其他虚拟机接收到所述广播迁移消息后，能够根据所述指示，修改流表项内容；
所述临时主控点向所述不安全虚拟机发送响应消息，指示所述不安全虚拟机完成数据迁移，并删除所述不安全虚拟机上的安全防护策略，数据迁移完成后，所述临时主控点向微隔离分组内所有虚拟机广播临时主控点身份结束消息；
当一个微隔离分组的所有虚拟机都为安全虚拟机时，则为该微隔离分组下发普通安全防护策略，允许流量数据在分组内虚拟机之间正常传输，允许分组内虚拟机与其他分组的虚拟机交换流量数据；
所述升级其所在微隔离分组的安全防护策略，包括暂停分组内不安全虚拟机的通信、禁止分组内所有虚拟机的流量数据传输、禁止分组内虚拟机与其他分组的虚拟机交换流量数据；
定期反复验证所述不安全虚拟机的通信关系是否仍然存在网络攻击行为，若该网络攻击行为消除，则将所述不安全虚拟机标记为安全虚拟机，调整其所在微隔离分组的安全防护策略。
在一些优选实施例中，所述得到所述分布式虚拟网络中各个虚拟机的通信关系之前，还包括对流表项的预处理，删除虚拟机与外部服务器或网关之间的通信链路，删除不相关的字段，将源IP地址和目的IP地址作为匹配条件。
在一些优选实施例中，所述各个虚拟机的相邻程度包括判断虚拟机是否属于同一个集群或同一个节点。
在一些优选实施例中，所述聚类处理使用的聚类算法包括K-Means算法、均值漂移聚类算法、基于密度的聚类算法、或凝聚层次聚类算法。
具体实现中，本发明还提供一种计算机存储介质，其中，该计算机存储介质可以存储有程序，该程序执行时可包括本发明各个实施例中的部分或全部步骤。所述的存储介质可以为磁碟、光盘、只读存储记忆体(简称：ROM)或随机存储记忆体(简称：RAM)等。
本领域的技术人员可以清楚地了解到本发明实施例中的技术可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明实施例中的技术方案本质上或者对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机、服务器、或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。
本说明书各个实施例之间相同相似的部分互相参见即可。尤其，对于实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例中的说明即可。
以上所述的本发明实施方式并不构成对本发明保护范围的限定。

Claims (8)

1.一种分布式微隔离网络的流量牵引方法，其特征在于，所述方法包括：
获取分布式虚拟网络中的流量数据，使用OpenFlow协议收集流量统计信息，分析提取流量数据中的特征向量和流表项，根据流表项的关联关系，得到所述分布式虚拟网络中各个虚拟机的通信关系；
所述得到所述分布式虚拟网络中各个虚拟机的通信关系之前，还包括获取所述分布式虚拟网络的所有节点标识，将所述节点标识与虚拟机标识组成新的唯一标识字符串，根据该唯一标识字符串和流表项的前后关联关系，生成所述分布式虚拟网络中各个虚拟机的通信关系；
根据生成的所述各个虚拟机的通信关系、业务数据的关联程度、各个虚拟机的相邻程度进行聚类处理，将所述分布式虚拟网络中所有虚拟机分成若干个微隔离分组；
所述聚类处理还可以包括根据各个虚拟机资源的利用情况、或者业务链中是否存在不常用使用到的通信链路；
验证所述通信关系中的虚拟机之间是否存在网络攻击行为，若存在则认定被攻击的虚拟机为不安全虚拟机，升级其所在微隔离分组的安全防护策略，并标记所述不安全虚拟机，暂停所述不安全虚拟机与其他虚拟机的通信；若不存在则认定被验证的虚拟机为安全虚拟机；
将所述不安全虚拟机的数据进行迁移，该不安全虚拟机所在的微隔离分组选举一个临时主控点，所述临时主控点为作为一个控制平面的虚拟机，该控制平面的虚拟机暂时不处理业务；
由所述临时主控点向临近微隔离分组的其他虚拟机广播迁移消息，并根据其他虚拟机的业务关联程度、负载情况选择出一个第二虚拟机，将所述不安全虚拟机的数据迁移到所述第二虚拟机；
其中包括所述临时主控点向核心虚拟交换设备发送迁移请求消息，所述迁移请求消息中携带有控制平面指示命令，所述核心虚拟交换设备根据所述控制平面指示命令，直接将所述迁移请求消息中包含的迁移消息透传到所述核心虚拟交换设备下的其他微隔离分组的控制平面，由其他微隔离分组的控制平面选择出一个所述第二虚拟机；
所述不安全虚拟机通过所述核心虚拟交换设备的业务平面，将迁移数据传输到所述第二虚拟机；
所述临时主控点向所在分组广播迁移消息，包括将所述不安全虚拟机剔除出微隔离分组的指示，分组内其他虚拟机接收到所述广播迁移消息后，能够根据所述指示，修改流表项内容；
所述临时主控点向所述不安全虚拟机发送响应消息，指示所述不安全虚拟机完成数据迁移，并删除所述不安全虚拟机上的安全防护策略，数据迁移完成后，所述临时主控点向微隔离分组内所有虚拟机广播临时主控点身份结束消息；
当一个微隔离分组的所有虚拟机都为安全虚拟机时，则为该微隔离分组下发普通安全防护策略，允许流量数据在分组内虚拟机之间正常传输，允许分组内虚拟机与其他分组的虚拟机交换流量数据；
所述升级其所在微隔离分组的安全防护策略，包括暂停分组内不安全虚拟机的通信、禁止分组内所有虚拟机的流量数据传输、禁止分组内虚拟机与其他分组的虚拟机交换流量数据；
定期反复验证所述不安全虚拟机的通信关系是否仍然存在网络攻击行为，若该网络攻击行为消除，则将所述不安全虚拟机标记为安全虚拟机，调整其所在微隔离分组的安全防护策略。
2.根据权利要求1所述的方法，其特征在于：所述得到所述分布式虚拟网络中各个虚拟机的通信关系之前，还包括对流表项的预处理，删除虚拟机与外部服务器或网关之间的通信链路，删除不相关的字段，将源IP地址和目的IP地址作为匹配条件。
3.根据权利要求1-2任一项所述的方法，其特征在于：所述各个虚拟机的相邻程度包括判断虚拟机是否属于同一个集群或同一个节点。
4.根据权利要求1-3任一项所述的方法，其特征在于：所述聚类处理使用的聚类算法包括K-Means算法、均值漂移聚类算法、基于密度的聚类算法、或凝聚层次聚类算法。
5.一种分布式微隔离网络的流量牵引***，其特征在于，所述***包括：获取单元、分组单元和策略部署单元；
所述获取单元，用于获取分布式虚拟网络中的流量数据，使用OpenFlow协议收集流量统计信息，分析提取流量数据中的特征向量和流表项，根据流表项的关联关系，得到所述分布式虚拟网络中各个虚拟机的通信关系；
所述得到所述分布式虚拟网络中各个虚拟机的通信关系之前，还包括获取所述分布式虚拟网络的所有节点标识，将所述节点标识与虚拟机标识组成新的唯一标识字符串，根据该唯一标识字符串和流表项的前后关联关系，生成所述分布式虚拟网络中各个虚拟机的通信关系；
所述分组单元，用于根据生成的所述各个虚拟机的通信关系、业务数据的关联程度、各个虚拟机的相邻程度进行聚类处理，将所述分布式虚拟网络中所有虚拟机分成若干个微隔离分组；
所述聚类处理还可以包括根据各个虚拟机资源的利用情况、或者业务链中是否存在不常用使用到的通信链路；
所述策略部署单元，用于验证所述通信关系中的虚拟机之间是否存在网络攻击行为，若存在则认定被攻击的虚拟机为不安全虚拟机，升级其所在微隔离分组的安全防护策略，并标记所述不安全虚拟机，暂停所述不安全虚拟机与其他虚拟机的通信；若不存在则认定被验证的虚拟机为安全虚拟机；
将所述不安全虚拟机的数据进行迁移，该不安全虚拟机所在的微隔离分组选举一个临时主控点，所述临时主控点为作为一个控制平面的虚拟机，该控制平面的虚拟机暂时不处理业务；
由所述临时主控点向临近微隔离分组的其他虚拟机广播迁移消息，并根据其他虚拟机的业务关联程度、负载情况选择出一个第二虚拟机，将所述不安全虚拟机的数据迁移到所述第二虚拟机；
其中包括所述临时主控点向核心虚拟交换设备发送迁移请求消息，所述迁移请求消息中携带有控制平面指示命令，所述核心虚拟交换设备根据所述控制平面指示命令，直接将所述迁移请求消息中包含的迁移消息透传到所述核心虚拟交换设备下的其他微隔离分组的控制平面，由其他微隔离分组的控制平面选择出一个所述第二虚拟机；
所述不安全虚拟机通过所述核心虚拟交换设备的业务平面，将迁移数据传输到所述第二虚拟机；
所述临时主控点向所在分组广播迁移消息，包括将所述不安全虚拟机剔除出微隔离分组的指示，分组内其他虚拟机接收到所述广播迁移消息后，能够根据所述指示，修改流表项内容；
所述临时主控点向所述不安全虚拟机发送响应消息，指示所述不安全虚拟机完成数据迁移，并删除所述不安全虚拟机上的安全防护策略，数据迁移完成后，所述临时主控点向微隔离分组内所有虚拟机广播临时主控点身份结束消息；
当一个微隔离分组的所有虚拟机都为安全虚拟机时，则为该微隔离分组下发普通安全防护策略，允许流量数据在分组内虚拟机之间正常传输，允许分组内虚拟机与其他分组的虚拟机交换流量数据；
所述升级其所在微隔离分组的安全防护策略，包括暂停分组内不安全虚拟机的通信、禁止分组内所有虚拟机的流量数据传输、禁止分组内虚拟机与其他分组的虚拟机交换流量数据；
定期反复验证所述不安全虚拟机的通信关系是否仍然存在网络攻击行为，若该网络攻击行为消除，则将所述不安全虚拟机标记为安全虚拟机，调整其所在微隔离分组的安全防护策略。
6.根据权利要求5所述的***，其特征在于，所述得到所述分布式虚拟网络中各个虚拟机的通信关系之前，还包括对流表项的预处理，删除虚拟机与外部服务器或网关之间的通信链路，删除不相关的字段，将源IP地址和目的IP地址作为匹配条件。
7.根据权利要求5-6任一项所述的***，其特征在于，所述各个虚拟机的相邻程度包括判断虚拟机是否属于同一个集群或同一个节点。
8.根据权利要求5-7任一项所述的***，其特征在于，所述聚类处理使用的聚类算法包括K-Means算法、均值漂移聚类算法、基于密度的聚类算法、或凝聚层次聚类算法。
CN202010023881.4A 2020-01-09 2020-01-09 一种分布式微隔离网络的流量牵引方法及*** Active CN111224990B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010023881.4A CN111224990B (zh) 2020-01-09 2020-01-09 一种分布式微隔离网络的流量牵引方法及***

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010023881.4A CN111224990B (zh) 2020-01-09 2020-01-09 一种分布式微隔离网络的流量牵引方法及***

Publications (2)

Publication Number Publication Date
CN111224990A true CN111224990A (zh) 2020-06-02
CN111224990B CN111224990B (zh) 2022-05-03

Family

ID=70829457

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010023881.4A Active CN111224990B (zh) 2020-01-09 2020-01-09 一种分布式微隔离网络的流量牵引方法及***

Country Status (1)

Country Link
CN (1) CN111224990B (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111752679A (zh) * 2020-06-22 2020-10-09 中国电子科技集团公司第五十四研究所 一种安全服务链动态编排装置
CN113542160A (zh) * 2021-05-27 2021-10-22 贵州电网有限责任公司 一种基于sdn的云内东西向流量牵引方法与***
WO2022067539A1 (zh) * 2020-09-29 2022-04-07 山石网科通信技术股份有限公司 网络流量处理方法、装置、存储介质及计算机设备
CN116193432A (zh) * 2023-05-04 2023-05-30 国网浙江省电力有限公司信息通信分公司 一种基于5g网络的信息安全鉴权方法及***

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102082692A (zh) * 2011-01-24 2011-06-01 华为技术有限公司 基于网络数据流向的虚拟机迁移方法、设备和集群***
CN103902885A (zh) * 2014-03-04 2014-07-02 重庆邮电大学 面向多安全等级虚拟桌面***虚拟机安全隔离***及方法
CN105577702A (zh) * 2016-03-15 2016-05-11 耿童童 一种虚拟机级安全防护***及方法
CN106874070A (zh) * 2017-02-24 2017-06-20 郑州云海信息技术有限公司 一种虚拟机的迁移方法及装置
CN107179957A (zh) * 2016-03-10 2017-09-19 阿里巴巴集团控股有限公司 物理机故障分类处理方法、装置和虚拟机恢复方法、***
CN109167795A (zh) * 2018-09-27 2019-01-08 深信服科技股份有限公司 一种安全防御***及方法
US20190273718A1 (en) * 2018-03-01 2019-09-05 ShieldX Networks, Inc. Intercepting network traffic routed by virtual switches for selective security processing
CN110378103A (zh) * 2019-07-22 2019-10-25 电子科技大学 一种基于OpenFlow协议的微隔离防护方法及***

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102082692A (zh) * 2011-01-24 2011-06-01 华为技术有限公司 基于网络数据流向的虚拟机迁移方法、设备和集群***
CN103902885A (zh) * 2014-03-04 2014-07-02 重庆邮电大学 面向多安全等级虚拟桌面***虚拟机安全隔离***及方法
CN107179957A (zh) * 2016-03-10 2017-09-19 阿里巴巴集团控股有限公司 物理机故障分类处理方法、装置和虚拟机恢复方法、***
CN105577702A (zh) * 2016-03-15 2016-05-11 耿童童 一种虚拟机级安全防护***及方法
CN106874070A (zh) * 2017-02-24 2017-06-20 郑州云海信息技术有限公司 一种虚拟机的迁移方法及装置
US20190273718A1 (en) * 2018-03-01 2019-09-05 ShieldX Networks, Inc. Intercepting network traffic routed by virtual switches for selective security processing
CN109167795A (zh) * 2018-09-27 2019-01-08 深信服科技股份有限公司 一种安全防御***及方法
CN110378103A (zh) * 2019-07-22 2019-10-25 电子科技大学 一种基于OpenFlow协议的微隔离防护方法及***

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
游益峰: "面向虚拟化环境的微隔离技术的研究", 《中国优秀硕士学位论文全文数据库》 *

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111752679A (zh) * 2020-06-22 2020-10-09 中国电子科技集团公司第五十四研究所 一种安全服务链动态编排装置
WO2022067539A1 (zh) * 2020-09-29 2022-04-07 山石网科通信技术股份有限公司 网络流量处理方法、装置、存储介质及计算机设备
US11874901B2 (en) 2020-09-29 2024-01-16 Hillstone Networks Co., Ltd. Method, device for processing network flow, storage medium and computer device
CN113542160A (zh) * 2021-05-27 2021-10-22 贵州电网有限责任公司 一种基于sdn的云内东西向流量牵引方法与***
CN116193432A (zh) * 2023-05-04 2023-05-30 国网浙江省电力有限公司信息通信分公司 一种基于5g网络的信息安全鉴权方法及***

Also Published As

Publication number Publication date
CN111224990B (zh) 2022-05-03

Similar Documents

Publication Publication Date Title
CN111224990B (zh) 一种分布式微隔离网络的流量牵引方法及***
CN111262841B (zh) 一种虚拟微隔离网络的资源调度方法及***
Lv et al. Communication-aware container placement and reassignment in large-scale internet data centers
CN111273995A (zh) 一种虚拟微隔离网络的安全调度方法及***
US8797876B2 (en) Identification of underutilized network devices
CN111212079B (zh) 一种基于业务的微隔离流量牵引方法及***
CN111176795B (zh) 一种分布式虚拟网络的动态迁移方法及***
CN111431881B (zh) 一种基于windows操作***的诱捕节点实现方法及装置
CN102402466B (zh) 一种解决虚拟化平台多边冲突的方法及***
CN111901317B (zh) 一种访问控制策略处理方法、***和设备
CN105429946A (zh) 一种基于sdn虚拟交换机的防伪造ip的***及方法
CN106911572A (zh) 一种基于sdn架构实现的虚拟机的报文处理方法及装置
CN111258711B (zh) 一种多协议的网络微隔离方法及***
CN111224989A (zh) 一种虚拟微隔离网络的攻击面防护方法及***
CN111262840A (zh) 一种虚拟网络的攻击面转移方法及***
CN111277568A (zh) 一种分布式虚拟网络的隔离攻击方法及***
CN117319212B (zh) 云环境下多租户隔离的密码资源自动化调度***及其方法
CN106874371A (zh) 一种数据处理方法及装置
CN113395183B (zh) 网络仿真平台vlan互联的虚拟节点调度方法与***
CN111443986A (zh) 一种分布式虚拟环境的微隔离防护方法及***
CN112948054B (zh) 一种基于虚拟化技术的公交混合云平台***
CN113891309A (zh) 无线传感器网络中恶意节点的检测方法、***和汇聚节点
CN114465986B (zh) Ip地址冲突处理方法及电子设备、计算机可读存储介质
Zhiyong et al. Research on Backup Bethod of Service Function Chain Based on Security Classification
CN113852479B (zh) 一种安全网络构建方法、装置、设备和计算机存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant