本发明公开一种云平台安全架构系统，其包括云端服务器、与所述云端服务器进行交互的一个或一个以上的客户端；所述云端服务器设置有云平台基础设施，客户端设置有云平台应用模块与云平台通信网络；所述云平台应用模块包含客户端应用程序安全架构，云平台通信网络包含客户端网络安全架构和客户端通信中心，云平台基础设施包含服务器安全架构；同时，公开上述云平台安全架构系统的实现方法。本发明能够对外来的恶意攻击进行有效防御。
1.一种云平台安全架构系统，其特征是：其包括云端服务器、与所述云端服务器进行交互的一个或一个以上的客户端；所述云端服务器设置有云平台基础设施，客户端设置有云平台应用模块与云平台通信网络；所述云平台应用模块包含客户端应用程序安全架构，云平台通信网络包含客户端网络安全架构和客户端通信中心，云平台基础设施包含服务器安全架构；
所述客户端应用程序安全架构，用于执行基于规范的检查，这种被动的检查包括系统设定值、登录文件、标准作业程序，检查正常则回到安全状态；若发现异常状态，则发送事件至客户端通信中心，客户端通信中心将信息传送至服务器安全监控模块进行数据搜集及判断，并开启网络安全框架的主动封包检查功能，检查正常则回到安全状态，若有问题则进一步进行异常检查和误用检查，问题解决回到安全状态，若有问题将事件传送至客户端通信中心，并透过客户端通信中心传送至服务器安全监控框架，等待服务器安全监控框架的指示，上述指示通过客户端通信中心传送至客户端应用程序安全架构；
所述客户端网络安全架构，用于将其网络功能运用到操作系统的网络层，在操作系统进行初步检测，若发现封包和其目的IP有异常传输的状况，则将此事件传送至客户端通信中心，客户端通信中心首先将事件传送至服务器安全监控模块，然后启动客户端应用程序安全架构的主动应用程序侦测功能，若正常回到安全状态，若发现有异常状况，传送事件至客户端通信中心，再由客户端通信中心传送至服务器安全监控框架进行等待命令处理的动作，服务器安全监控框架将指令传送给客户端通信中心再传送至客户端网络安全架构；
所述客户端通信中心，用于将攻击事件传送给服务器防御监控架构时，先了解攻击事件是网络攻击事件或病毒攻击事件，当两个攻击事件同时发生时就判断其相关性，若有关则判定为木马程序；若木马程序已经掌控客户端的权限，云端服务器无法进行网络扫毒的动作，就断绝该客户端与其他客户端的联机并排除该客户端与云端服务器的联机；若还掌控客户端的权限，则进行网络扫毒的动作。
2.一种云平台安全架构系统的实现方法，其特征是：其包括以下步骤：
S1、客户端应用程序安全架构执行基于规范的检查，这种被动的检查包括系统设定值、登录文件、标准作业程序，检查正常则回到安全状态；若发现异常状态，则发送事件至客户端通信中心，客户端通信中心将信息传送至服务器安全监控模块进行数据搜集及判断，并开启网络安全框架的主动封包检查功能，检查正常则回到安全状态，若有问题则进一步进行异常检查和误用检查，问题解决回到安全状态，若有问题将事件传送至客户端通信中心，并透过客户端通信中心传送至服务器安全监控框架，等待服务器安全监控框架的指示，上述指示通过客户端通信中心传送至客户端应用程序安全架构；
S2、客户端网络安全架构的网络功能运用到操作系统的网络层，在操作系统进行初步检测，若发现封包和其目的IP有异常传输的状况，则将此事件传送至客户端通信中心，客户端通信中心首先将事件传送至服务器安全监控模块，然后启动客户端应用程序安全架构的主动应用程序侦测功能，若正常回到安全状态，若发现有异常状况，传送事件至客户端通信中心，再由客户端通信中心传送至服务器安全监控框架进行等待命令处理的动作，服务器安全监控框架将指令传送给客户端通信中心再传送至客户端网络安全架构；
S3、客户端通信中心将攻击事件传送给服务器防御监控架构时，先了解攻击事件是网络攻击事件或病毒攻击事件，当两个攻击事件同时发生时就判断其相关性，若有关则判定为木马程序；若木马程序已经掌控客户端的权限，云端服务器无法进行网络扫毒的动作，就断绝该客户端与其他客户端的联机并排除该客户端与云端服务器的联机；若还掌控客户端的权限，则进行网络扫毒的动作。
3.根据权利要求2所述的云平台安全架构系统的实现方法，其特征是：其步骤S3中，当攻击事件为病毒攻击时，也需判定是否为能够掌控的情况，若无法掌控，则断绝该客户端与其他客户端的联机，并排除该客户端与云端服务器的联机；若能够掌控则直接进行网络扫毒；最后，若是来自外网的攻击，则对所有客户端进行警告，避免攻击IP进行联机。
一种云平台安全架构系统及其实现方法
技术领域
[0001] 本发明属于云平台安全防护技术领域，尤其是涉及一种云平台安全架构系统及其实现方法。
背景技术
[0002] 以服务为基础的云平台是互联网时代信息基础设施的重要形态，是高性能和分布式计算发展的最新形式。它以新的业务模式提供高性能、低成本的计算与数据服务，支撑各类信息化应用。云平台作为一种以虚拟化为基础、以服务为特征、以按需使用为业务模式的新型信息化形态，可以将物理资源虚拟化为虚拟机资源池，灵活调用软硬件资源，实现对用户的按需访问；而且在运行过程中根据用户并发量不同，实时迁移虚拟机资源，一方面保证提供高质量服务，另一方面最小化资源成本，提高CPU、内存等利用率。
[0003] 作为一项新生事物，云平台在提供方便易用与低成本特性的同时也带来了新的挑 战。安全问题首当其冲，并且随着云平台的不断普及，其重要性呈现逐步上升趋势，已成为制约云平台发展的核心因素。近年来，国内外的多起重大安全事件已经充分证明了上述安全风险的现实存在性和危害。多起云平台安全攻击造成云平台潜在用户对云平台产品和服务的顾虑，云平台是否能够抵御网络攻击，其防御体系是否完备等安全问题成为用户采用云平台服务和产品犹豫不决的原因，也是云平台应用和推广的主要障碍，严重影响了云平台产业的发展，安全攻防问题成为云平台服务的核心问题。因此，对云平台环境的安全攻防进行系统研究显得迫切而重要。
[0004] 目前，对于云平台危害最大的是成长快速且难以消灭的殭尸网络（Botnet），透过Botnet，黑客可以进行DOS攻击、DDOS攻击和各式各样的间谍网络操作；已有许多人使用Honeypot针对这个问题进行解决，但是，造成云平台消耗太多的资源在信息安全问题上。
[0005] 现有的网络技术、网站、服务器—客户端服务大多采取开源软件进行建置，因此现在整个计算机网络环境多为相同的软件结构、架在不同的硬件上面，黑客可以利用各种计算机或各种与计算机兼容的软硬件设施对行攻击，因此这种由不同组织、不同服务所搭建起来的混合式平台面临遭受到与个人计算机相同攻击手段的严重问题。
发明内容
[0006] 为解决上述问题，本发明的目的是提供一种云平台安全架构系统及其实现方法，其能够对外来的恶意攻击进行防御。
[0007] 为实现上述发明目的，本发明采用如下技术方案：
[0008] 一种云平台安全架构系统，其包括云端服务器、与所述云端服务器进行交互的一个或一个以上的客户端；所述云端服务器设置有云平台基础设施，客户端设置有云平台应用模块与云平台通信网络；所述云平台应用模块包含客户端应用程序安全架构，云平台通信网络包含客户端网络安全架构和客户端通信中心，云平台基础设施包含服务器安全架构。
[0009] 进一步地，上述的客户端应用程序安全架构，与客户端通信中心连接，用于执行基于规范的包括系统设定值、登录文件、标准作业程序的检查；在发现异常状态时，发送事件至客户端通信中心。
[0010] 进一步地，上述的客户端网络安全架构，用于防御僵尸网络，客户端网络安全架构首先在操作系统进行初步的检测，发现封包和其目的IP有异常传输的状况则将此事件传送至通信中心。
[0011] 上述的客户端通信中心，用于接受云端服务器应用安全架构命令，将信息传送至服务器安全监控模块进行数据搜集及判断，并开启网络安全框架的主动封包检查功能；传送事件至服务器安全架构，传送指令至客户端应用程序安全架构和客户端网络安全架构。
[0012] 上述的云平台安全架构系统的实现方法，其包括以下步骤：
[0013] S1、客户端应用程序安全架构执行基于规范的检查，这种被动的检查包括系统设定值、登录文件、标准作业程序，检查正常则回到安全状态；若发现异常状态，则发送事件至客户端通信中心，客户端通信中心将信息传送至服务器安全监控模块进行数据搜集及判断，并开启网络安全框架的主动封包检查功能，检查正常则回到安全状态，若有问题则进一步进行异常检查和误用检查，问题解决回到安全状态，若有问题将事件传送至客户端通信中心，并透过客户端通信中心传送至服务器安全监控框架，等待服务器安全监控框架的指示，上述指示通过客户端通信中心传送至客户端应用程序安全架构；
[0014] S2、客户端网络安全架构的网络功能运用到操作系统的网络层，在操作系统进行初步检测，若发现封包和其目的IP有异常传输的状况，则将此事件传送至客户端通信中心，客户端通信中心首先将事件传送至服务器安全监控模块，然后启动客户端应用程序安全架构的主动应用程序侦测功能，若正常回到安全状态，若发现有异常状况，传送事件至客户端通信中心，再由客户端通信中心传送至服务器安全监控框架进行等待命令处理的动作，服务器安全监控框架将指令传送给客户端通信中心再传送至客户端网络安全架构；
[0015] S3、客户端通信中心将攻击事件传送给服务器防御监控架构时，先了解攻击事件是网络攻击事件或病毒攻击事件，当两个攻击事件同时发生时就判断其相关性，若有关则判定为木马程序；若木马程序已经掌控客户端的权限，云端服务器无法进行网络扫毒的动作，就断绝该客户端与其他客户端的联机并排除该客户端与云端服务器的联机；若还掌控客户端的权限，则进行网络扫毒的动作。
[0016] 进一步地，上述的步骤S3中，当攻击事件为病毒攻击时，也需判定是否为能够掌控的情况，若无法掌控，则断绝该客户端与其他客户端的联机，并排除该客户端与云端服务器的联机；若能够掌控则直接进行网络扫毒；最后，若是来自外网的攻击，则对所有客户端进行警告，避免攻击IP进行联机。
[0017] 由于采用如上所述的技术方案，本发明具有如下优越性：
[0018] 该云平台安全架构系统及其实现方法，其提供一种新的云端模型与其内建的安全组件设计，由于只有在适当的云架构模型设计搭配内建的防御组件才能有效的将云端设施基础防御的根基做好，尤其云架构与云安全组件必须一体化，且云平台所有的客户端都必须使用相同的结构进行软件设计，这样能够利用云平台架构的优势对外来的恶意攻击进行防御；本发明的云平台安全架构系统为一种自动运行的设计，这是一种自动化处理的安全机制，不需要人工进行操作，以框架的形式设计各个部分，便于以后的研究人员对算法进行优化与调整，透过框架的形式能够适时地进行调整并改善本架构能达到的安全效果。
附图说明
[0019] 图1是本发明云平台安全架构系统的结构框图；
[0020] 图2是客户端应用程序安全架构的流程图；
[0021] 图3是客户端网络安全架构的流程图；
[0022] 图4是服务器安全架构的流程图。实施方式
[0023] 下面结合附图和实施例对本发明的技术方案作进一步详细说明。
[0024] 如图1所示，该云平台安全架构系统，其包括云端服务器、与所述云端服务器进行交互的一个或一个以上的客户端；所述云端服务器设置有云平台基础设施，客户端设置有云平台应用模块与云平台通信网络；所述云平台应用模块包含客户端应用程序安全架构，云平台通信网络包含客户端网络安全架构和客户端通信中心，云平台基础设施包含服务器安全架构；
[0025] 上述的客户端应用程序安全架构，与客户端通信中心连接，用于执行基于规范的包括系统设定值、登录文件、标准作业程序的检查；在发现异常状态时，发送事件至客户端通信中心；
[0026] 上述的客户端网络安全架构，用于防御僵尸网络，客户端网络安全架构首先在操作系统进行初步的检测，发现封包和其目的IP有异常传输的状况则将此事件传送至通信中心；
[0027] 上述的客户端通信中心，用于接受云端服务器应用安全架构命令，将信息传送至服务器安全监控模块进行数据搜集及判断，并开启网络安全框架的主动封包检查功能；传送事件至服务器安全架构，传送指令至客户端应用程序安全架构和客户端网络安全架构；一旦客户端通信中心与作业系统、应用程序无法进行对话，该客户端即被视为失去控制，云平台系统将会封锁该客户端与云端服务器下的任何客户端的通信；客户端通信中心在客户端中拥有最高权限，客户端通信中心能够被视为第三层的安全防护，仅次于服务器安全架构，黑客可以突破应用程序，亦可以攻陷网络检查层，但是黑客无法攻陷客户端通信中心，因为客户端通信中心无可以被更改权限或被删除的信息；
[0028] 上述的服务器安全架构，用于构建云平台系统内部安全防御机制，当客户端通信中心将攻击事件传送给服务器安全架构的时，会先确认是网络攻击事件还是病毒攻击事件，并判断两个事件的关联性，假如有关联性，则判定为木马程序；如果不能操控客户端权限，则断绝该客户端与其他客户端的联机并排除该客户端与云端服务器的联机,假如还可以操控客户端的权限，则进行网络扫毒的动作；另外，当攻击事件为病毒攻击时，也需判定是否为可以操控的情况，假如无法操控，则断绝该客户端与其他客户端的联机并排除该客户端与云端服务器的联机，如果可以操控则直接进行网络扫毒；最后，如果是单纯来自外网的攻击，则对所有客户端进行警告，并封锁来自外网的攻击。
[0029] 上述的云平台安全架构系统的实现方法，其包括以下步骤：
[0030] S1、客户端应用程序安全架构执行基于规范的检查，这种被动的检查包括系统设定值、登录文件、标准作业程序，检查正常则回到安全状态；若发现异常状态，则发送事件至客户端通信中心，客户端通信中心将信息传送至服务器安全监控模块进行数据搜集及判断，并开启网络安全框架的主动封包检查功能，检查正常则回到安全状态，若有问题则进一步进行异常检查和误用检查，问题解决回到安全状态，若有问题将事件传送至客户端通信中心，并透过客户端通信中心传送至服务器安全监控框架，等待服务器安全监控框架的指示，上述指示通过客户端通信中心传送至客户端应用程序安全架构，如图2所示；
[0031] S2、客户端网络安全架构的网络功能运用到操作系统的网络层，在操作系统进行初步检测，若发现封包和其目的IP有异常传输的状况，则将此事件传送至客户端通信中心，客户端通信中心首先将事件传送至服务器安全监控模块，然后启动客户端应用程序安全架构的主动应用程序侦测功能，若正常回到安全状态，若发现有异常状况，传送事件至客户端通信中心，再由客户端通信中心传送至服务器安全监控框架进行等待命令处理的动作，服务器安全监控框架将指令传送给客户端通信中心再传送至客户端网络安全架构，如图3所示；
[0032] S3、客户端通信中心将攻击事件传送给服务器防御监控架构时，先了解攻击事件是网络攻击事件或病毒攻击事件，当两个攻击事件同时发生时就判断其相关性，若有关则判定为木马程序；若木马程序已经掌控客户端的权限，云端服务器无法进行网络扫毒的动作，就断绝该客户端与其他客户端的联机并排除该客户端与云端服务器的联机；若还掌控客户端的权限，则进行网络扫毒的动作，如图4所示；
[0033] 上述的步骤S3中，当攻击事件为病毒攻击时，也需判定是否为能够掌控的情况，若无法掌控，则断绝该客户端与其他客户端的联机，并排除该客户端与云端服务器的联机；若能够掌控则直接进行网络扫毒；最后，若是来自外网的攻击，则对所有客户端进行警告，避免攻击IP进行联机。
[0034] 以上所述仅为本发明的较佳实施例，而非对本发明的限制，在不脱离本发明的精神和范围的情况下，凡依本发明申请专利范围所作的均等变化与修饰，皆应属本发明的专利保护范围之内。
