CN113872951A - 混合云安全策略下发方法、装置、电子设备和存储介质 - Google Patents

Abstract

本申请实施例提供的混合云安全策略下发方法、装置、电子设备和存储介质，通过预先定义混合云场景下关联安全设备的安全能力，并根据定义的安全能力，生成对应的安全策略模板，以及通过安全策略模板，结合检测异常数据时产生的告警信息，将对应的安全策略下发给指定安全能力的安全设备，本申请实施例提供的混合云安全策略下发方法，避免了对异构接口不同的安全设备需要独立下发对应安全策略的问题，减少了下发操作的次数，从而提高了安全策略下发效率，实现了对混合云场景下异构安全设备的智能化管理。

Description

混合云安全策略下发方法、装置、电子设备和存储介质

技术领域

本发明涉及计算机安全领域，尤其涉及一种混合云安全策略下发方法、装置、电子设备和存储介质。

背景技术

混合云是近年来云计算的主要模式和发展方向。作为私有云与公有云的混合匹配，混合云兼顾了私有云的安全性和公有云的计算资源，具有更完善、可扩展、更节省的优点，得到了业界和学术界的众多关注。

在混合云场景下，不同的云平台内部通常会部署不同的厂商生产的安全设备，而不同厂商生产的安全设备间存在异构。这就导致现有技术下，对混合云的安全控制需要通过不同的异构安全设备上的不同接口分别进行。当网络规模较大，安全设备部署较多且设备类型异构严重时，相同的安全策略在各类异构安全设备下便无法批量下发，即需要对每一个异构安全设备单独下发对应的安全策略，换言之，需要进行大量的下发操作，才能完成对应安全设备的配置。

可见，相关技术下，采用上述方式管理混合云，会因大量独立的下发操作，出现安全策略下发效率低的问题。

发明内容

本申请实施例提供一种混合云安全策略下发方法、装置、电子设备和存储介质，用于解决现有技术中安全策略下发效率低的问题。

第一方面，本申请实施例提供的第一种混合云安全策略下发方法，应用于混合云场景，所述混合云场景关联具有不同数据来源的各个云平台，每个云平台对应至少一个安全设备，所述方法包括：

控制服务器接收混合云场景关联的任意一个云平台发送的告警信息，其中，所述告警信息是由所述任意一个云平台，基于对应的至少一个安全设备针对异常数据触发的告警操作产生的。

所述控制服务器基于预设的安全策略模板，获得与所述告警信息的告警类型对应的目标安全信息，并生成携带所述目标安全信息的目标安全指令，所述目标安全信息至少包含：目标安全策略的第一标识及对应的安全能力的第二标识，其中，所述目标安全策略表征针对所述异常数据的一种防护方法。

所述控制服务器将所述目标安全指令发送给至少一个目标云平台，以使所述至少一个目标云平台执行以下操作：基于所述第一标识获得所述目标安全策略，并将所述目标安全策略发往管辖范围内，支持所述第二标识关联的安全能力的安全设备。

第二方面，本申请实施例提供的第二种混合云安全策略下发方法，应用于混合云场景，所述混合云场景关联具有不同数据来源的各个云平台，每个云平台对应至少一个安全设备，所述方法包括：

云平台接收控制服务器发送的目标安全指令，其中，所述目标安全指令是所述控制服务器接收混合云场景关联的任意一个云平台发送的告警信息后，基于预设的安全策略模板及所述告警信息的告警类型生成的。

所述云平台基于所述目标安全指令获得目标安全信息，其中，所述目标安全信息中至少包含目标安全策略的第一标识及所述目标安全策略对应的安全能力的第二标识，所述目标安全策略表征所述云平台对应的至少一个安全设备针对异常数据的一种防护方法。

所述云平台基于所述第一标识，在预存的安全策略集合中，获得相应的目标安全策略，并将所述目标安全策略发往管辖范围内，具有所述目标安全信息中的第二标识表征的安全能力的安全设备。

第三方面，本申请实施例提供的第一种混合云安全策略下发装置，包括：

告警接收模块，用于接收混合云场景关联的任意一个云平台发送的告警信息，其中，所述告警信息是由所述任意一个云平台，基于对应的至少一个安全设备针对异常数据触发的告警操作产生的。

指令生成模块，用于基于预设的安全策略模板，获得与所述告警信息的告警类型对应的目标安全信息，并生成携带所述目标安全信息的目标安全指令，所述目标安全信息至少包含：目标安全策略的第一标识及对应的安全能力的第二标识，其中，所述目标安全策略表征针对所述异常数据的一种防护方法。

指令发送模块，用于将所述目标安全指令发送给至少一个目标云平台，以使所述至少一个目标云平台执行以下操作：基于所述第一标识获得所述目标安全策略，并将所述目标安全策略发往管辖范围内，支持所述第二标识关联的安全能力的安全设备。

可选的，模板生成模块，用于分别获取具有不同数据来源的各个云平台各自发送的安全注册信息；根据获得的各个安全注册信息，分别确定相应的云平台关联的至少一种安全能力，其中，每种安全能力表征为相应云平台对应的至少一个安全设备的一种防护类型；基于确定的各种安全能力各自对应的能力类型，分别确定所述各种安全能力各自与预设的各个安全策略之间的关联关系；获取所述各个安全策略各自对应的策略标识，以及所述各种安全能力各自的能力标识，结合所述关联关系，生成相应的安全策略模板。

一种可选的实施例中，根据获得的各个安全注册信息，分别确定相应的云平台关联的至少一种安全能力之后，所述模板生成模块还用于：

分别向所述各个云平台分别发送相应的注册确认信息。

一种可选的实施例中，基于预设的安全策略模板，获得与所述告警信息的告警类型对应的目标安全信息，并生成携带所述目标安全信息的目标安全指令时，所述指令生成模块具体用于：

基于预设的安全策略模板，获得与所述告警信息的告警类型对应的目标安全信息，并生成携带所述目标安全信息的目标安全指令，包括：

基于所述告警信息的告警类型，确定与所述告警类型对应的目标安全策略的第一标识。

基于所述第一标识，根据预设的安全策略模板中记录的，各个安全能力和各个安全策略之间的关联关系，获得与所述目标安全策略对应的安全能力的第二标识。

基于获得的所述目标安全策略的第一标识和所述目标安全策略对应的安全能力的第二标识生成相应的目标安全信息，以及进一步生成携带所述目标安全信息的目标安全指令。

一种可选的实施例中，基于所述告警信息的告警类型，确定与所述告警类型对应的目标安全策略的第一标识时，所述指令生成模块具体用于：

基于所述告警信息的告警类型，结合所述告警信息对应的异常数据的数据类型，根据预设的策略模型，确定关联的预定参数达到预设阈值的标识信息为第一标识，并将所述第一标识对应的安全策略作为目标安全策略。

第四方面，本申请实施例提供的第二种混合云安全策略下发装置，包括：

指令接收模块，用于接收控制服务器发送的目标安全指令，其中，所述目标安全指令是所述控制服务器接收混合云场景关联的任意一个云平台发送的告警信息后，基于预设的安全策略模板及所述告警信息的告警类型生成的。

获取模块，用于基于所述目标安全指令获得目标安全信息，所述目标安全信息中至少包含目标安全策略的第一标识及所述目标安全策略对应的安全能力的第二标识，其中，所述第一标识为所述目标安全策略的标识信息，所述目标安全策略表征所述目标云平台对应的至少一个安全设备针对异常数据的一种防护方法，以使所述安全能力表征为相应云平台对应的至少一个安全设备的一种防护类型。

策略下发模块，用于基于所述第一标识获得相应的目标安全策略，并将所述目标安全策略发往管辖范围内，具有所述目标安全信息中的第二标识表征的安全能力的安全设备。

第五方面，本申请实施例提供一种电子设备，包括处理器和存储器，其中，所述存储器存储有程序代码，当所述程序代码被所述处理器执行时，使得所述处理器执行第一方面或第二方面的混合云安全策略下发方法的步骤。

第六方面，本申请实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时，实现第一方面或第二方面的混合云安全策略下发方法。

第三方面至第六方面中任意一种实现方式所带来的技术效果可参见第一方面或第二方面中对应的实现方式所带来的技术效果，此处不再赘述。

本申请实施例中，通过预先定义混合云场景下，关联的具有不同数据来源的各个云平台，分别对应的至少一个安全设备的安全能力，并根据定义的安全能力，生成对应的安全策略模板，通过安全策略模板，实现安全策略-安全能力-安全设备的映射，当接收到告警信息时，根据这种映射关系，将对应的安全策略下发给指定安全能力的安全设备，这种方式避免了对异构接口不同的安全设备需要独立下发对应安全策略的问题，减少下发操作的次数，从而较现有技术而言，安全策略下发效率更高。此外，这种方式通过在一个统一的平台上，进行对混合云的安全控制，具体的，通过上述平台发出的安全控制指令，使得各云平台根据指令，批量下发对应的安全策略，实现了对混合云场景下，异构安全设备的智能化管理。

附图说明

图1为本申请实施例提供的一种混合云场景示意图；

图2为本申请实施例提供的一种混合云场景的安全控制***架构图；

图3为本申请实施例提供的一种安全策略模板生成方法；

图4为本申请实施例提供的第一种混合云安全策略下发方法示意图；

图5为本申请实施例提供的目标安全指令下发示例图；

图6为本申请实施例提供的第二种混合云安全策略下发方法示意图；

图7为本申请实施例提供的第一种混合云安全策略下发装置示意图；

图8为本申请实施例提供的第二种混合云安全策略下发装置示意图；

图9为本申请实施例提供的一种电子设备的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为提升安全策略下发效率，本申请实施例中，通过预先定义混合云场景下，关联的具有不同数据来源的各个云平台，分别对应的至少一个安全设备的安全能力，并根据定义的安全能力，生成对应的安全策略模板，通过安全策略模板，实现安全策略-安全能力-安全设备的映射，当接收到告警信息时，根据这种映射关系，将对应的安全策略下发给指定安全能力的安全设备，这种方式避免了对异构接口不同的安全设备需要独立下发对应安全策略的问题，减少下发操作的次数，从而较现有技术而言，安全策略下发效率更高。此外，这种方式通过在一个统一的平台上，进行对混合云的安全控制，具体的，通过上述平台发出的安全控制指令，使得各云平台根据指令，批量下发对应的安全策略，实现了对混合云场景下，异构安全设备的智能化管理。

混合云场景关联至少一个公有云与至少一个私有云，在本申请实施例中，仅以两个公有云及一个私有云作为表示，参阅图1所示，通过具有不同数据来源的公有云A，公有云B，私有云C构建混合云场景。其中，构成公有云A，公有云B，私有云C的多台物理设备基于局域网，广域网，虚拟专用网和/或应用程序编程接口(Application ProgrammingInterface，API)相互连接，具体而言，上述每个云平台都应分别对应至少一个物理设备。并且，公有云A，公有B，私有云C也分别与第三方的混合云管理监控平台间建立数据传输通道，这样，当任意一个云平台检测到异常数据时，就可将相关的告警信息发往管理监控平台，使得混合云管理监控平台能够根据接收到的告警信息进行分析，实现对应安全策略的调配。

本申请实施例基于统一的策略分配来实现对应安全策略的下发，为便于理解，参阅图2所示，本申请实施例给出一种混合云场景的安全控制***的具体架构。其中，该安全控制***架构基于上述公有云A，公有云B，私有云C对应的混合云场景，每个云平台各自对应着多个安全设备，为了便于管理，在每个云平台的安全设备前端部署有对应的安全控制代理模块，用于当对应的安全设备检测到异常数据时，触发相应告警操作，同时产生相应告警信息并发送给位于控制服务器上的混合云管理监控平台。混合云管理监控平台上部署有四个模块，分别是注册管理模块，异构策略适配模块，安全控制模块及安全控制策略编排模块。每个模块各自的执行功能参阅下表1所示：

表1

可选的，上述安全控制代理模块还可用于：当相应云平台对应的安全能力发送变动时，则基于变动后的安全能力，生成对应的安全注册修改信息，并发送给混合云管理监控平台。

基于上述安全控制***，对图1所示的各个云平台各自对应的安全设备的安全能力进行注册，参阅图3所示，具体步骤包括：

步骤301：控制服务器分别获取具有不同数据来源的各个云平台各自发送的安全注册信息。

本申请实施例中，混合云管理监控平台分别获取公有云A，公有云B，私有云C各自的安全注册信息，上述安全注册信息中包含有相应云平台对应的各个安全设备的设备名称，设备型号等，例如，参阅图4所示，公有云A下关联有对应的安全设备1，安全设备2，…，安全设备n，以公有云A为例，则对应的安全注册信息如下表2所示：

表2

安全设备	安全类型	设备名称	产商	型号
					安全设备1	WAF	Intnet 1	K	1U
安全设备2	NF	Intnet 2	K	2U
					安全设备3	NF	Intnet 3	Y	4U
...	…	…	…	…
					安全设备n	WAF	Intnet n	Z	8U

步骤302：控制服务器根据获得的各个安全注册信息，分别确定相应的云平台关联的至少一种安全能力，其中，每种安全能力表征为相应云平台对应的至少一个安全设备的一种防护类型。

根据获得的公有云A，公有云B，私有云C各自的安全注册信息，由混合云管理监控平台上的异构策略适配模块对所有的安全策略进行统一适配，即对每一个安全设备，定义其安全能力，从而将不同厂商、不同设备型号但具备相同安全能力的安全设备进行关联，这样就可以基于每种安全能力，向对应的安全设备批量下发安全策略。并且，基于对应的每个安全设备定义的安全能力的类型进行汇总，就可对应表征相应云平台关联的至少一种安全能力，每种安全能力都表征为相应云平台对应的至少一个安全设备的一种防护类型。

例如，以公有云A为例，混合云管理监控平台中的安全策略适配模块根据上述表2所述的公有云A的安全注册信息，定义公有云A中每个安全设备的安全能力，参阅下表3所示：

表3

其中，每个安全设备对应一种安全能力，每种安全能力分别表示对应安全设备的安全信息集合，可选的，每种安全能力中至少包含：对应安全设备的安全类型，设备名称，生产厂商及设备型号。

参阅下表4所示，同时，安全策略适配模块根据公有云B对应的安全注册信息，定义的公有云B下的各个安全设备的安全能力为：

表4

安全设备	安全能力(CLOUD_SC_)
		安全设备1	IPS_Intnet1_X_1U
安全设备2	NF_Intnet 2_Z_2U
		安全设备3	NF_Intnet 3_Y_4U
...	…
		安全设备n	IPS_Intnet n_Z_2U

参阅上表4所示，公有云B中，每个安全设备对应一种安全能力，每种安全能力分别表示对应安全设备的安全信息集合，可选的，每种安全能力中至少包含：对应安全设备的安全类型，设备名称，生产厂商及设备型号。

参阅下表5所示，安全策略适配模块根据私有云C对应的安全注册信息，定义的私有云C下的各个安全设备的安全能力为：

表5

安全设备	安全能力(CLOUD_SC_)
		安全设备1	IPS_Intnet1_X_8U
安全设备2	DDOS_Intnet 2_Z_4U
		安全设备3	DDOS_Intnet 3_X_4U
...	…
		安全设备n	IPS_Intnet n_Z_8U

参阅上表5所述，私有云C中，每个安全设备对应一种安全能力，而每种安全能力分别表示对应安全设备的安全信息集合，可选的，每种安全能力中至少包含：对应安全设备的安全类型，设备名称，生产厂商及设备型号。

可选的，根据获得的各个安全注册信息，分别确定相应的云平台关联的至少一种安全能力之后，还包括：向相应的各个云平台发送对应的注册确认信息。

例如，根据对应公有云A的安全注册信息确认公有云A关联的安全能力后，控制服务器上的混合云管理监控平台向公有云A发送相应的注册确认信息。

步骤303：控制服务器基于确定的各种安全能力各自对应的能力类型，分别确定所述各种安全能力各自与预设的各个安全策略之间的关联关系。

可选的，参阅下表6所示，由于设备型号及设备名称对安全策略的选取影响较小，因此本申请实施例中，依据安全设备的安全类型及生产厂商，来判定安全能力的类型，则根据上述步骤，混合云场景对应的不同类型的安全能力包括：

表6

安全能力类型
	WAF_K
WAF_Z
	NF_K
NF_Y
	NF_Z
IPS_X
	IPS_Z
DDOS_X
	DDOS_Z

基于上述可知，公有云A，公有云B，私有云C的混合云场景关联有不同类型的安全能力，根据上述各种类型的安全能力，分别定义每个安全能力与预设的各个安全策略之间的对应关系。例如，根据每种安全能力类型的名称，与预设的各个安全策略各自对应的名称进行适配，找到对应每种安全能力类型的安全策略。

步骤304：控制服务器获取所述各个安全策略各自对应的策略标识，以及所述各种安全能力各自的能力标识，结合所述关联关系，生成相应的安全策略模板。

具体的，混合云管理监控平台中的安全策略模板编排模块根据确定的各种安全能力各自对应的能力类型，分别确定所述各种安全能力各自与预设的各个安全策略之间的关联关系，并生成对应的安全策略模板。

例如，由上述可知，若根据安全策略的名称与各个安全能力的名称进行适配，则基于上述公有云A，公有云B，私有云C的混合云场景的安全能力，对应的安全策略模板的部分参阅表7所示：

表7

根据上表7，各自找到上述安全能力对应的安全策略标识。例如，安全能力CLOUD_SC_WAF_Intnet1_K_1U对应安全策略标识SC_TACTICS_WAF_K，这种方式下，可以认为是具有SC_TACTICS_WAF_K标识的安全策略与具有安全能力CLOUD_SC_WAF_Intnet1_K_1U的安全设备之间存在映射关系，即将现有技术模式下，安全设备-安全策略的映射变为安全设备-安全能力-安全策略的映射，这种模式屏蔽了安全设备之间的API接口差异，将具有相同安全能力的安全设备之间关联在一起，因此同一种安全能力对应的安全策略便可对各个云平台批量下发，有效提高了安全策略的下发效率。基于上述步骤，参阅图4所示，为本申请实施例提供的一种混合云安全策略下发方法，包括：

步骤401：控制服务器接收混合云场景关联的任意一个云平台发送的告警信息，其中，所述告警信息是由所述任意一个云平台，基于对应的至少一个安全设备针对异常数据触发的告警操作产生的。

本申请实施例中，图2所示的公有云平台A基于对应的安全设备1，安全设备2，…，安全设备n针对异常数据触发的告警操作产生相应的告警信息，例如，参阅图5所示，公有云A下的安全设备1上的下一代防火墙(WAF)安全防护***检测到异常数据X，则公有云A上的安全控制代理A针对异常数据X触发相应的告警操作，并产生对应针对异常数据X的告警信息X，以及将告警信息X发往控制服务器上的混合云管理监控平台。

步骤402：控制服务器基于预设的安全策略模板，获得与所述告警信息的告警类型对应的目标安全信息，并生成携带所述目标安全信息的目标安全指令，所述目标安全信息至少包含：所述目标安全策略的第一标识及对应的安全能力的第二标识，其中，所述目标安全策略表征针对所述异常数据的一种防护方法。

由上述表1所示，由混合云管理监控平台中的安全控制模块，基于预设的安全策略模板，获得与所述告警信息的告警类型对应的目标安全信息，并生成携带所述目标安全信息的目标安全指令，具体的，包含以下步骤：

步骤4021：控制服务器基于所述告警信息的告警类型，确定与所述告警类型对应的目标安全策略的第一标识。

可选的，基于所述告警信息的告警类型，结合所述告警信息对应的异常数据的数据类型，根据预设的策略模型，确定相关预定参数达到预设阈值的标识信息为第一标识，以使所述第一标识对应的安全策略为目标安全策略。

例如，公有云A下的安全设备1上的下一代防火墙(WAF)安全防护***检测到异常数据X，并触发相应的告警信息X发往混合云管理监控平台，在平台上，基于相关安全管理人员判断，或基于预设的策略模型，根据告警信息X的告警类型(例如，异常数据X的数据类型)，及安全防护***的类型(WAF)，确定出对应实施的目标安全策略的第一标识。例如，基于上述告警信息X，相关安全管理人员判断应采用IPS类型的安全策略，即对应的安全策略包括：SC_TACTICS_IPS_X安全策略与SC_TACTICS_IPS_Z安全策略，则对应的目标安全策略的第一标识包括SC_TACTICS_IPS_X与SC_TACTICS_IPS_Z。

步骤4022：控制服务器基于所述第一标识，根据预设的安全策略模板中记录的，各个安全能力和各个安全策略之间的关联关系，获得与所述目标安全策略对应的安全能力的第二标识。

例如，基于上述第一标识SC_TACTICS_IPS_X与SC_TACTICS_IPS_Z，由上表7确定对应的安全能力的第二标识参阅下表8所示：

表8

第二标识(CLOUD_SC_)
	IPS_Intnet1_X_1U
IPS_Intnet1_X_8U
	IPS_Intnet n_Z_2U
IPS_Intnet n_Z_8U

步骤4023：控制服务器基于获得的所述目标安全策略的第一标识和所述目标安全策略对应的安全能力的第二标识，生成相应的目标安全信息，以及进一步生成携带所述目标安全信息的目标安全指令。

基于上述第一标识SC_TACTICS_IPS_X与SC_TACTICS_IPS_Z，第二标识(参阅表8所示)，控制服务器生成相应的目标安全信息，并进一步生成携带上述目标安全信息的目标安全指令。

步骤403：控制服务器将所述目标安全指令发送给至少一个目标云平台，以使所述至少一个目标云平台执行以下操作：基于所述第一标识获得所述目标安全策略，并将所述目标安全策略发往管辖范围内，支持所述第二标识关联的安全能力的安全设备。

参阅图5所示，将上述目标安全指令发送给至少一个目标云平台，例如，本申请实施例中，相关安全管理人员根据告警信息，确定公有云B及私有云C为目标云平台，则将携带有基于上述第一标识(SC_TACTICS_IPS_X与SC_TACTICS_IPS_Z)，第二标识(参阅表8所示)的目标安全指令分别发往公有云B及私有云C。

本申请实施例提供的混合云安全策略下发方法，通过预先定义混合云场景下，关联的具有不同数据来源的各个云平台，分别对应的至少一个安全设备的安全能力，并根据定义的安全能力，生成对应的安全策略模板，通过安全策略模板，实现安全策略-安全能力-安全设备的映射，当接收到混合云场景下关联的任意一个云平台发送的告警信息时，根据这种映射关系，将对应的安全策略下发给指定安全能力的安全设备，从而避免了对异构接口不同的安全设备需要独立下发对应安全策略的问题，减少了下发操作的次数，提高了安全策略下发效率。此外，这种方式通过在一个统一的平台上，进行对混合云的安全控制，具体的，通过上述平台发出的安全控制指令，使得各云平台根据指令，批量下发对应的安全策略，实现了对混合云场景下，异构安全设备的智能化管理。

参阅图6所示，本申请实施例提供了第二种混合云安全策略下发方法，该方法应用于关联具有不同数据来源的各个云平台的混合云场景，其中，每个云平台对应至少一个安全设备，该方法包括：

步骤601：云平台接收控制服务器发送的目标安全指令，其中，所述目标安全指令是所述控制服务器接收混合云场景关联的任意一个云平台发送的告警信息后，基于预设的安全策略模板及所述告警信息的告警类型生成的。

步骤602：云平台基于所述目标安全指令获得目标安全信息，其中，所述目标安全信息中至少包含目标安全策略的第一标识及所述目标安全策略对应的安全能力的第二标识，所述目标安全策略表征所述云平台对应的至少一个安全设备针对异常数据的一种防护方法。

步骤603：云平台基于所述第一标识，在预存的安全策略集合中，获得相应的目标安全策略，并将所述目标安全策略发往管辖范围内，具有所述目标安全信息中的第二标识表征的安全能力的安全设备。

该方法对混合云场景下关联的每个云平台进行操作，具体的，通过每个云平台接收目标安全指令；并基于目标安全指令获得目标安全信息，其中，目标安全信息中包含了目标安全策略的第一标识及目标安全策略对应的安全能力的第二标识；以及基于目标安全信息中的第一标识，在预存的安全策略集合中获得相应的目标安全策略，再将目标安全策略发往管辖范围内，具有所述目标安全信息中的第二标识表征的安全能力的安全设备。通过上述步骤可知，此种方法通过每个云平***立接收目标安全指令，并分别根据上述目标安全指令，将目标安全策略发往对应安全能力的安全设备，这种批量下发的方式，减少了下发操作的次数，从而提高了安全策略下发效率。

参阅图7所示，为本申请实施例提供的第一种混合云安全策略下发装置(如，控制服务器)，该装置应用于关联具有不同数据来源的各个云平台的混合云场景，其中，每个云平台对应至少一个安全设备，该装置包括告警接收模块701，指令生成模块702，指令发送模块，其中：

告警接收模块701：用于接收混合云场景关联的任意一个云平台发送的告警信息，其中，所述告警信息是由所述任意一个云平台，基于对应的至少一个安全设备针对异常数据触发的告警操作产生的。

指令生成模块702：用于基于预设的安全策略模板，获得与所述告警信息的告警类型对应的目标安全信息，并生成携带所述目标安全信息的目标安全指令，所述目标安全信息至少包含：目标安全策略的第一标识及对应的安全能力的第二标识，其中，所述目标安全策略表征针对所述异常数据的一种防护方法。

指令发送模块703：用于将所述目标安全指令发送给至少一个目标云平台，以使所述至少一个目标云平台执行以下操作：基于所述第一标识获得所述目标安全策略，并将所述目标安全策略发往管辖范围内，支持所述第二标识关联的安全能力的安全设备。

可选的，上述装置还包括：

模板生成模块700，用于分别获取具有不同数据来源的各个云平台各自发送的安全注册信息；根据获得的各个安全注册信息，分别确定相应的云平台关联的至少一种安全能力，其中，每种安全能力表征为相应云平台对应的至少一个安全设备的一种防护类型；基于确定的各种安全能力各自对应的能力类型，分别确定所述各种安全能力各自与预设的各个安全策略之间的关联关系；获取所述各个安全策略各自对应的策略标识，以及所述各种安全能力各自的能力标识，结合所述关联关系，生成相应的安全策略模板。

一种可选的实施例中，根据获得的各个安全注册信息，分别确定相应的云平台关联的至少一种安全能力之后，所述模板生成模块700还用于：

分别向所述各个云平台分别发送相应的注册确认信息。

一种可选的实施例中，基于预设的安全策略模板，获得与所述告警信息的告警类型对应的目标安全信息，并生成携带所述目标安全信息的目标安全指令时，所述指令生成模块702具体用于：

基于预设的安全策略模板，获得与所述告警信息的告警类型对应的目标安全信息，并生成携带所述目标安全信息的目标安全指令，包括：

基于所述告警信息的告警类型，确定与所述告警类型对应的目标安全策略的第一标识。

基于所述第一标识，根据预设的安全策略模板中记录的，各个安全能力和各个安全策略之间的关联关系，获得与所述目标安全策略对应的安全能力的第二标识。

基于获得的所述目标安全策略的第一标识和所述目标安全策略对应的安全能力的第二标识生成相应的目标安全信息，以及进一步生成携带所述目标安全信息的目标安全指令。

一种可选的实施例中，基于所述告警信息的告警类型，确定与所述告警类型对应的目标安全策略的第一标识时，所述指令生成模块702具体用于：

基于所述告警信息的告警类型，结合所述告警信息对应的异常数据的数据类型，根据预设的策略模型，确定关联的预定参数达到预设阈值的标识信息为第一标识，并将所述第一标识对应的安全策略作为目标安全策略。

参阅图8所示，为本申请实施例提供的第二种混合云安全策略下发装置(如，云平台)，该装置应用于关联具有不同数据来源的各个云平台的混合云场景，其中，每个云平台对应至少一个安全设备，该装置包括指令接收模块801，获取模块802，策略下发模块803，其中：指令接收模块801：用于接收控制服务器发送的目标安全指令，其中，所述目标安全指令是所述控制服务器接收混合云场景关联的任意一个云平台发送的告警信息后，基于预设的安全策略模板及所述告警信息的告警类型生成的。

获取模块802：用于基于所述目标安全指令获得目标安全信息，所述目标安全信息中至少包含目标安全策略的第一标识及所述目标安全策略对应的安全能力的第二标识，其中，所述第一标识为所述目标安全策略的标识信息，所述目标安全策略表征所述目标云平台对应的至少一个安全设备针对异常数据的一种防护方法，以使所述安全能力表征为相应云平台对应的至少一个安全设备的一种防护类型。

策略下发模块803：用于基于所述第一标识获得相应的目标安全策略，并将所述目标安全策略发往管辖范围内，具有所述目标安全信息中的第二标识表征的安全能力的安全设备。

与上述申请实施例基于同一发明构思，本申请实施例中提供了一种电子设备，该电子设备适应于控制服务器与云平台，可以用于混合云场景下的安全策略下发。在一种实施例中，该电子设备可以是服务器，也可以是终端设备或其他电子设备。在该实施例中，电子设备的结构可以如图9所示，包括存储器901，通讯接口903以及一个或多个处理器902。

存储器901，用于存储处理器902执行的计算机程序。存储器901可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作***，以及运行即时通讯功能所需的程序等；存储数据区可存储各种即时通讯信息和操作指令集等。

存储器901可以是易失性存储器(volatile memory)，例如随机存取存储器(random-access memory，RAM)；存储器901也可以是非易失性存储器(non-volatilememory)，例如只读存储器，快闪存储器(flash memory)，硬盘(hard disk drive，HDD)或固态硬盘(solid-state drive，SSD)、或者存储器901是能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。存储器901可以是上述存储器的组合。

处理器902，可以包括一个或多个中央处理单元(Central Processing Unit，CPU)或者为数字处理单元等。处理器902，用于调用存储器901中存储的计算机程序时实现上述混合云安全策略下发方法。

通讯接口903用于与终端设备和其他服务器进行通信。

本申请实施例中不限定上述存储器901、通讯接口903和处理器902之间的具体连接介质。本申请实施例在图9中以存储器901和处理器902之间通过总线904连接，总线904在图9中以粗线表示，其它部件之间的连接方式，仅是进行示意性说明，并不引以为限。总线904可以分为地址总线、数据总线、控制总线等。为便于表示，图9中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

与上述申请实施例基于同一发明构思，根据本申请的一个方面，提供了一种计算机程序产品或计算机程序，该计算机程序产品或计算机程序包括计算机指令，该计算机指令存储在计算机可读存储介质中。计算机设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该计算机设备执行上述实施例中的第一种芯片间连通性在线检测方法的步骤；或者，计算机设备的处理器从计算机可读存储介质读取该计算机指令，使得该处理器执行第二种芯片间连通性在线检测方法的步骤。所述程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的***、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

本申请实施例提供的混合云安全策略下发方法，通过预先定义混合云场景下，关联的具有不同数据来源的各个云平台，分别对应的至少一个安全设备的安全能力，并根据定义的安全能力，生成对应的安全策略模板，通过安全策略模板，实现安全策略-安全能力-安全设备的映射，当接收到混合云场景下关联的任意一个云平台发送的告警信息时，根据这种映射关系，将对应的安全策略下发给指定安全能力的安全设备，从而避免了对异构接口不同的安全设备需要独立下发对应安全策略的问题，减少了下发操作的次数，提高了安全策略下发效率。此外，这种方式通过在一个统一的平台上，进行对混合云的安全控制，具体的，通过上述平台发出的安全控制指令，使得各云平台根据指令，批量下发对应的安全策略，实现了对混合云场景下，异构安全设备的智能化管理。

综上所述，本申请实施例提供的混合云安全策略下发方法，能够提高安全策略的下发效率。

本领域内的技术人员应明白，本申请的实施例可提供为方法、***、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请的方法、设备(***)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims (10)

1.一种混合云安全策略下发方法，其特征在于，应用于混合云场景，所述混合云场景关联具有不同数据来源的各个云平台，每个云平台对应至少一个安全设备，所述方法包括：

控制服务器接收混合云场景关联的任意一个云平台发送的告警信息，其中，所述告警信息是由所述任意一个云平台，基于对应的至少一个安全设备针对异常数据触发的告警操作产生的；

所述控制服务器基于预设的安全策略模板，获得与所述告警信息的告警类型对应的目标安全信息，并生成携带所述目标安全信息的目标安全指令，所述目标安全信息至少包含：目标安全策略的第一标识及对应的安全能力的第二标识，其中，所述目标安全策略表征针对所述异常数据的一种防护方法；

所述控制服务器将所述目标安全指令发送给至少一个目标云平台，以使所述至少一个目标云平台执行以下操作：基于所述第一标识获得所述目标安全策略，并将所述目标安全策略发往管辖范围内，支持所述第二标识关联的安全能力的安全设备。

2.如权利要求1所述的方法，其特征在于，控制服务器接收混合云场景下关联的任意一个云平台发送的告警信息之前，还包括：

控制服务器分别获取具有不同数据来源的各个云平台各自发送的安全注册信息；

所述控制服务器根据获得的各个安全注册信息，分别确定相应的云平台关联的至少一种安全能力，其中，每种安全能力表征为相应云平台对应的至少一个安全设备的一种防护类型；

所述控制服务器基于确定的各种安全能力各自对应的能力类型，分别确定所述各种安全能力各自与预设的各个安全策略之间的关联关系；

所述控制服务器获取所述各个安全策略各自对应的策略标识，以及所述各种安全能力各自的能力标识，结合所述关联关系，生成相应的安全策略模板。

3.如权利要求2所述的方法，其特征在于，所述控制服务器根据获得的各个安全注册信息，分别确定相应的云平台关联的至少一种安全能力之后，还包括：

所述控制服务器分别向所述各个云平台分别发送相应的注册确认信息。

4.如权利要求2或3所述的方法，其特征在于，所述控制服务器基于预设的安全策略模板，获得与所述告警信息的告警类型对应的目标安全信息，并生成携带所述目标安全信息的目标安全指令，包括：

所述控制服务器基于所述告警信息的告警类型，确定与所述告警类型对应的目标安全策略的第一标识；

所述控制服务器基于所述第一标识，根据预设的安全策略模板中记录的，各个安全能力和各个安全策略之间的关联关系，获得与所述目标安全策略对应的安全能力的第二标识；

所述控制服务器基于获得的所述目标安全策略的第一标识和所述目标安全策略对应的安全能力的第二标识生成相应的目标安全信息，以及进一步生成携带所述目标安全信息的目标安全指令。

5.如权利要求4所述的方法，其特征在于，所述控制服务器基于所述告警信息的告警类型，确定与所述告警类型对应的目标安全策略的第一标识，包括：

所述控制服务器基于所述告警信息的告警类型，结合所述告警信息对应的异常数据的数据类型，根据预设的策略模型，确定关联的预定参数达到预设阈值的标识信息为第一标识，并将所述第一标识对应的安全策略作为目标安全策略。

6.一种混合云安全策略下发方法，其特征在于，应用于混合云场景，所述混合云场景关联具有不同数据来源的各个云平台，每个云平台对应至少一个安全设备，所述方法包括：

云平台接收控制服务器发送的目标安全指令，其中，所述目标安全指令是所述控制服务器接收混合云场景关联的任意一个云平台发送的告警信息后，基于预设的安全策略模板及所述告警信息的告警类型生成的；

所述云平台基于所述目标安全指令获得目标安全信息，其中，所述目标安全信息中至少包含目标安全策略的第一标识及所述目标安全策略对应的安全能力的第二标识，所述目标安全策略表征所述云平台对应的至少一个安全设备针对异常数据的一种防护方法；

所述云平台基于所述第一标识，在预存的安全策略集合中，获得相应的目标安全策略，并将所述目标安全策略发往管辖范围内，具有所述目标安全信息中的第二标识表征的安全能力的安全设备。

7.一种混合云安全策略下发装置，其特征在于，应用于混合云场景，所述混合云场景关联具有不同数据来源的各个云平台，每个云平台对应至少一个安全设备，包括：

告警接收模块，用于接收混合云场景关联的任意一个云平台发送的告警信息，其中，所述告警信息是由所述任意一个云平台，基于对应的至少一个安全设备针对异常数据触发的告警操作产生的；

指令生成模块，用于基于预设的安全策略模板，获得与所述告警信息的告警类型对应的目标安全信息，并生成携带所述目标安全信息的目标安全指令，所述目标安全信息至少包含：目标安全策略的第一标识及对应的安全能力的第二标识，其中，所述目标安全策略表征针对所述异常数据的一种防护方法；

指令发送模块，用于将所述目标安全指令发送给至少一个目标云平台，以使所述至少一个目标云平台执行以下操作：基于所述第一标识获得所述目标安全策略，并将所述目标安全策略发往管辖范围内，支持所述第二标识关联的安全能力的安全设备；

可选的，模板生成模块，用于分别获取具有不同数据来源的各个云平台各自发送的安全注册信息；根据获得的各个安全注册信息，分别确定相应的云平台关联的至少一种安全能力，其中，每种安全能力表征为相应云平台对应的至少一个安全设备的一种防护类型；基于确定的各种安全能力各自对应的能力类型，分别确定所述各种安全能力各自与预设的各个安全策略之间的关联关系；获取所述各个安全策略各自对应的策略标识，以及所述各种安全能力各自的能力标识，结合所述关联关系，生成相应的安全策略模板。

8.一种混合云安全策略下发装置，其特征在于，应用于混合云场景，所述混合云场景关联具有不同数据来源的各个云平台，每个云平台对应至少一个安全设备，包括：

指令接收模块，用于接收控制服务器发送的目标安全指令，其中，所述目标安全指令是所述控制服务器接收混合云场景关联的任意一个云平台发送的告警信息后，基于预设的安全策略模板及所述告警信息的告警类型生成的；

获取模块，用于基于所述目标安全指令获得目标安全信息，所述目标安全信息中至少包含目标安全策略的第一标识及所述目标安全策略对应的安全能力的第二标识，其中，所述第一标识为所述目标安全策略的标识信息，所述目标安全策略表征所述目标云平台对应的至少一个安全设备针对异常数据的一种防护方法，以使所述安全能力表征为相应云平台对应的至少一个安全设备的一种防护类型；

策略下发模块，用于基于所述第一标识获得相应的目标安全策略，并将所述目标安全策略发往管辖范围内，具有所述目标安全信息中的第二标识表征的安全能力的安全设备。

9.一种电子设备，包括存储器，处理器及存储在存储器上并可在处理器运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1-5中任一所述方法的步骤，或使得所述处理器执行权利要求6所述方法的步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1-5中任一所述方法的步骤，或使得所述处理器执行权利要求6所述方法的步骤。

Images