云环境下云计算的虚拟机流量检测系统研究.docxVIP

云环境下云计算的虚拟机流量检测系统研究 0 主机的安全防护策略 传统网络保护主要由网络边界的安全组件（ids）负责，比如防火墙、入侵检测系统（ids）等。这些安全设备可以识别和过滤流量，确保网络安全。然而由于云计算底层架构通过虚拟化技术实现, 虚拟机 ( Virtual Machine, VM) 间的通信过程在物理机的共享内存中完成［1］, 流量并不经过网络边界的安全组件, 因此如果攻击来自云内部, 则传统的安全防护措施将完全失效。 针对上述问题, 文献[2 - 3]采取监控虚拟机运行状态的方式来保障虚拟机系统的安全, 通常的做法是从文件和进程的角度来实施监控。比如监视系统日志文件的异常, 保护敏感的数据文件, 拦截文件存取操作, 禁止非法和高危险的系统调用, 拦截操作系统事件并进行语义重构等。文献[4 - 5]则通过在虚拟机间执行严格的访问控制机制实现保障措施, 如实现或改进BLP ( Bell-La Padula) 模型, 基于这类思想, 目前也实现了许多典型的应用和模型, 比如思科的网络准入控制 ( Network Admission Control, NAC) 、可信计算组的可信网络连接 ( Trusted Network Connect, TNC) 和微软的网络访问保护 ( Network Access Protection, NAP) 等。以上这类基于主机的做法在一定程度上提高了虚拟机系统的安全性, 但是在其他方面也存在一些不足: 1) 每台主机都肩负着自身的防护任务, 从而增加了主机的负荷和运行成本; 2) 由于所有策略都是基于主机的, 且缺乏信息交流和共享的机制, 因此防护单元无法获得其他主机的防护信息和攻击形势, 从而导致防护信息的局限性。 由于传统的安全防护手段已经发展得较为成熟, 为了在云计算场景中使用传统的安全防护措施, 本文提出了一种通过Open Flow技术［6］进行流量重定向的方法, 并据此构建了多模块的分布式流量检测系统。在系统中, Open Flow虚拟交换机和控制器替代传统交换机协作完成数据包转发动作, 并根据需求动态制定重定向规则, 从而保证在可控的情形下将需要检测的流量重定向到安全设备进行处理。 1 研究项目和理论模型 随着互联网规模的不断扩大, 各种新型网络应用层出不穷, 因此对网络创新性的要求也在不断提高。然而现有的网络架构在诸多方面存在先天不足, 作为网络核心的路由器和交换机设备无法在当前网络架构的基础上提供适应网络发展要求的扩展性, 而且这些设备的处理逻辑烧录在硬件中, 无法轻易修改, 从而使得网络创新更加艰难。为了解决当前TCP/IP体系结构所面临的问题, 许多国家和机构相继开展了新型互联网的研究和实验工作, 如美国的GENI ( Global Environment for Network Innovations)［7］和Planet Lab项目［8］、欧盟的未来互联网研究与实验项目 ( Future Internet Experimentand Research, FIRE)［9］、日本的Core Lab［10］等。目前, 提供可编程接口的软件化路由方案得到了广泛的关注, 其中软件定义网络 ( Software Defined Network, SDN) 的新型网络架构引起了学术界和产业界的极大反响。与此同时, Open Flow初步实现了SDN的设计思想, 推动了SDN技术向前发展, 并成为了应用最为广泛的SDN的一种实现方式。 Open Flow的概念最早由斯坦福大学的Mc Keown等［6］提出, 后成为GENI计划的子项目。Open Flow的核心思想是将传统网络设备的转发动作进行分解, 原来一步完成的动作现由Open Flow虚拟交换机和控制器协作完成, 从而将网络设备转发过程中的数据平面和控制平面分离以实现网络处理层次的扁平化［11］。在这种分离架构中, 研究人员可以通过高层的控制平面灵活、高效地制定个性化的转发策略或测试新的网络协议等, 从而在现有网络结构的基础上实现和部署新型网络架构［12］。 在Open Flow虚拟网络中, 通常包括两类最重要的组件:Open Flow虚拟交换机和控制器。虚拟交换机通过其维护的流表 ( Flow Table) 决定数据包如何转发, 流表定义了许多包括一系列匹配字段 ( 如数据包入口、IP地址、协议类型、链路层地址、端口号等) 、计数器及动作 ( 如转发、丢弃、修改包头域等) 的流表项 ( Flow entry) , 在转发时虚拟交换机将抽取数据包信息并与流表项中的字段进行匹配, 一旦匹配成功就执行相应的动作［13］。虚拟交换机只负责根据流表指示转发数据却不关心流表如何制定, 实际上流表由控制器制定并下发给虚拟交换机, 并