应用于动态虚拟化环境的分布式入侵检测系统及方法

摘要

本发明提供了一种应用于动态虚拟化环境的分布式入侵检测系统及方法，该系统包括检测管理中心和位于物理服务器上的入侵检测引擎，其中：所述检测管理中心，用于获得当前虚拟机迁移前后所属的源物理服务器信息和目标物理服务器信息，通过虚拟化平台中的虚拟化管理服务器对源物理服务器上的入侵检测引擎进行停止入侵检测配置和对目标物理服务器上的入侵检测引擎进行开始入侵检测配置；所述入侵检测引擎，用于在配置了开始入侵检测安全策略后对对应的物理服务器上的特定虚拟机进行入侵检测，在配置了停止入侵检测安全策略后，停止对对应物理服务器上的特定虚拟机进行入侵检测。本发明可实现对虚拟机的连续监控。

主权项

一种应用于动态虚拟化环境的分布式入侵检测系统，其特征在于，该系统包括检测管理中心和位于物理服务器上的入侵检测引擎，其中：所述检测管理中心，用于获得当前虚拟机迁移前后所属的源物理服务器信息和目标物理服务器信息，通过虚拟化平台中的虚拟管理服务器对源物理服务器上的入侵检测引擎进行停止入侵检测配置和对目标物理服务器上的入侵检测引擎进行开始入侵检测配置；所述入侵检测引擎，用于在配置了开始入侵检测安全策略后对对应的物理服务器上的特定虚拟机进行入侵检测，在配置了停止入侵检测安全策略后，停止对对应物理服务器上的特定虚拟机进行入侵检测；所述入侵检测引擎包括一个运行在虚拟机监视器上的虚拟机和一个位于所述虚拟机监视器中的内核模块，所述虚拟机为一个享有调用所述虚拟机监视器内监控接口的特权虚拟机，所述特权虚拟机，用于接收来自所述检测管理中心的安全策略和配置所述内核模块；所述内核模块，用于完成对所述特定虚拟机的入侵检测；或者所述入侵检测引擎为在所述虚拟化平台上加载的一个虚拟机，所述检测管理中心，还用于通过所述虚拟管理服务器配置对应物理服务器上的虚拟交换机上的镜像端口，使得虚拟机形态的入侵检测引擎能够捕获到进出对应物理服务器上的特定虚拟机的网络流量，从而实现入侵检测；所述内核模块，还用于通过所述监控接口对对应物理服务器上的特定虚拟机的网络流量以及内部行为进行安全监控；所述检测管理中心，还用于在所述虚拟管理服务器注册虚拟机迁移事件，以及接收所述虚拟管理服务器在迁移虚拟机时发送的迁移通知事件，并根据所述迁移通知事件获得虚拟机迁移前后所属的源物理服务器信息和目标物理服务器信息。