论文部分内容阅读
近年来,云计算技术代表信息技术领域正向规模化、集约化和专业化道路发展,给信息技术领域带来了深刻变革。虚拟化作为云计算的核心技术,是云计算技术区别于传统计算模式的重要特征。在云计算环境下,用户将自己的业务系统部署到云平台上,要求云平台对租户进行隔离保护,而提供多租户隔离保护最重要的一方面就是提供给租户良好的网络隔离环境。目前针对云平台多租户网络隔离的问题,以Openstack为首的各大云平台多数利用网络虚拟化技术为租户构建单独的隔离网络;另一方面,区别于传统网络,虚拟网络设备分布在云平台的各个节点,使得原来的可信边界被打破,导致基于虚拟化的网络面临更多的安全风险,用户不能完全信任云平台提供的网络隔离环境。本文即针对用户和云平台之间的信任问题,基于Openstack云平台,研究如何收集云平台多租户网络隔离相关证据,给用户提供一份云平台多租户网络隔离报告,并基于此提出了一种云平台多租户网络隔离可信性证据收集分析方法。该方法首先针对Openstack云平台多租户网络隔离场景,分析在该场景下多租户网络隔离面临的种种安全风险,形成云平台多租户网络隔离证据采集体系。证据采集树将要采集的Openstack云平台多租户网络隔离证据分为两类:二层网络隔离证据和三层网络隔离证据。之后针对这两类证据分别创新性地提出了各自的证据收集方法:对二层网络隔离证据,提出基于拓扑重构的方法,从云平台相应物理节点底层重构实时运行云平台的多租户网络拓扑,以便判断多租户隔离网络是否从底层被恶意渗透;针对三层网络隔离证据,提出策略重构的方法,通过采集路由规则、防火墙策略和OVS流表等信息并且对这些复杂的离散信息进行联合分析,构建云平台多租户三层网络通信策略矩阵,便于租户发现其三层网络隔离是否有异常通信连接。另一方面,由于云平台多租户网络隔离证据采集具有分布式特点,因此该方法又设计了基于AMQP机制的分布式取证方法,能够有效地统一下发各类网络证据采集请求,并且收集Openstack各个节点发送回的各类证据数据。最后,本文对该方法设计原型系统进行实现,证明了该方法能够全面准确地采集Openstack云平台各类网络证据,直观有效地向用户表达云平台当前多租户网络隔离状态,为解决云平台和用户之间的信任问题提供了良好的思路,有利于云计算的进一步推进市场化步伐。