谈“软件定义安全”的云计算安全实现方式

开辟者大年夜赛路演 | 12月16日，技巧立异，北京不见不散

基于安然域安排响应的防护办法，实现纵深防御，知足云寂?娼台的安然保障请求。

应用背景

跟着云计算、软件定义收集SDN等新技巧的广泛应用，以及伴随新型进击方法的出现，传统收集安然模式面对着巨大年夜挑衅。在云计算情况中，物理安然设备不克不及监控和懂得虚拟化数据流，难以对其进行有效防护;传统安然架构不克不及供给按需弹性的收集安然功能，无法适应云计算情况灵活的营业成长需求。

在软件定义收集SDN的基本上提出“软件定义安然SDS”的安然防护思路，实现云计算情况的安然由营业和应用驱动，大年夜而实现复杂收集的安然防护，晋升安然防护才能和用户安然体验。

基于“软件定义安然”的防护思路

软件定义安然SDS是大年夜软件定义收集SDN引申而来，道理是精晓过安然数据平面与控制平面分别，对物理及虚拟的安然设备与其接入模式、安排方法、实现功能进行懂灯揭捉?，底层抽象为安然资本池里的资本，顶层同一经由过程软件编程的方法进行智能化、主动化的营业编排和治理，以完成响应的安然功能，大年夜而实现一种灵活的安然防护。

在云计算情况中应用虚拟化技巧实现安然设备的资本池化，并经由过程安然控制平台与SDN控制器的协同，使云计算情况中的流量经由特定安然设备，实现安然检测、过滤等安然防护功能。此外根据应用所需的安然需求就可以大年夜资本池中找到响应安然资本，而不消关怀物理上安然设备安排在哪里，也不须要推敲安然设备若何布线划区。

图1 软件定义安然的防护架构

如图1：作为安然操作体系的安然控制平台，向上为安然应用供给编程接口，向下供给安然设备资本池化治理，器械向可适配不合的营业治理平台(如云治理平台、SDN控制平台和定制的治理平台等)。在内部，大年夜这些不合的接口获得信息转化成标准的安然策略、资产库信息、日记告警，并应用这些信息完成义务调剂、智能决定计划和敕令推送，将以往须要人工完成或半主动完成的治理流程转换成了接近全主动化控制。

图 2 收集安然设备安排方法

如图2：虚拟安然设备可以安排在计算节点或安然节点上，工作在二/三层收集。计算节点和安然节点内Hypervisor的虚拟交换机连接到SDN控制器，安然控制平台经由过程SDN控制器开放的北向接口与之连接。

图 3 应用SDN技巧实现流量牵引的道理

如图3：当吸结束解析安然策略后，安然控制平台经由过程SDN控制器向虚拟交换机下发流表，依次在源节点的虚拟交换机、源目节点间的地道(GRE/VXLAN等)和目标节点的虚拟交换机之间建立一条路径，如许本来虚拟机VM1经由过程源节点虚拟交换机直接到 VM2的流量，就沿着上述指定路径先到了目标节点的虚拟安然设备，当处理完毕之后，数据流大年夜安然设备的输出网卡返回到最终的目标虚拟机VM2。