安全管理模型在云計算環境中的應用

白 磊

0 引言

云計算[1]作為一種基于資源虛擬化的新型網絡計算模型[2]，以數據中心為基礎，通過咨詢的服務方式和可伸縮的計算資源來滿足用戶需求。但是隨著云計算運營商的快速發展，虛擬化技術在各行各業中越來越受到關注，從而使得越來越多的用戶將他們的數據和應用遷移到虛擬環境中，基于這種環境，虛擬機的數量也呈現增長的趨勢。與此同時，虛擬機如何實現有效、安全地部署和遷移以實現對數據資源的高效利用也已成為虛擬化管理的一個巨大挑戰。比方說，惡意用戶通過租用大量虛擬機來對云數據中心發起TCPSYN洪水攻擊，而外部環境卻無法有效辨別攻擊云數據中心的虛擬機，這樣的攻擊顯得更微妙、更難以被快速防御。

為了防御這種攻擊，基于虛擬機狀態遷移技術的虛擬機集群調度程序[3]被提出。文獻[4]在KVM虛擬化環境轉換模式中討論了動態移動的實現，且分析了動態遷移的可靠性和安全性。同時，Danev等[5]也在虛擬機安全遷移的vTPM原理和方法下，以硬件的方式研究該模型，繼而保證數據實時遷移的安全性。但通過對上述方法的深入研究，發現上述方法不足以保證虛擬環境的安全性，因此，本文基于對虛擬機安全模型的有效部署和管理，實現了一個安全管理關鍵技術研究與實現的動態遷移。

1 虛擬機安全管理模型

圖1展示了一種虛擬機安全管理模型，此模型可以分為四個部分：

（1）多物理服務器虛擬機管理系統；

（2）虛擬機狀態監測系統；

（3）基于AHP實時遷移虛擬機技術部署和調度方法；

（4）基于CUSUM算法的DDoS攻擊監測機制。

圖1 虛擬機安全管理模型

結合圖1可以分析，在用戶通過云數據中心獲取數據服務時，為了使多個用戶在相同的物理服務器上實現資源共享，需要使虛擬機實現安全有效的遷移。虛擬機遷移指的是一個主機上運行的虛擬機(源主機)在運行時可以將數據很便捷地遷移到另一個主機(目標主機)上。但是這種模式下的問題也較突出，例如當一個數據用戶在很短的時間內同時在云環境中撤回多個虛擬機時，它將導致物理服務器之間的負載變得不平衡。而且只要大量虛擬機的一些物理服務器上運行的任務發生閑置，同樣會導致虛擬機在向用戶提供服務的QoS請求過程中發生物理服務器負載不完整。

綜上所述，基于AHP的虛擬機具體的功能部署和調度方法包括以下四方面：監控物理服務器狀態的統計特征；了解虛擬機資源類型以及訪問特性；了解虛擬機資源分析的特點；以及在此基礎上對物理服務器的安全性能進行評估，繼而最終找到最適合的物理服務器部署或遷移以達到優化資源分配的虛擬機集群。

同樣還有另外一個不可被忽視的問題存在，即TCPSYN洪水攻擊。在TCPSYN洪水攻擊中，又以分布式拒絕服務攻擊為代表，其使用TCP/IP三路訪問，隱藏在不安全的數據庫中，由多個攻擊發起者向目標主機發送一個SYN+ACK數據包，但是收到SYN+ACK數據包后服務器沒有反應，隨后可以攻擊源IP地址并對攻擊發起人進行偽裝，從而導致物理服務器無法正常為用戶數據請求提供服務，繼而表現出極大的破壞性。因此便對互聯網的安全性、完整性、可用性構成了嚴重威脅。這時可以了解到基于CUSUM算法的DDoS攻擊檢測機制[6]，主要特點如下：可進行虛擬機網絡流量的信息統計，包括SYN+ACK數據包和FIN+RST數據包：設計和實現改進的CUSUM算法用于快速檢測惡意的虛擬機交易。其中，修改后的CUSUM算法從一個正常的TCP連接建立到結束有一個對稱的關系，即單個SYN包和一個FIN|RST包配對。當洪水攻擊發生時，SYN和FIN+RST數據包中一個數據包的數量將遠遠超過另一個，并通過檢測兩者之間的差異來進行辨別防御。

2 虛擬機安全管理的關鍵技術

無論是物理服務器發生負載太高、超過預定閾值的情況，還是發生低負荷狀態的情況，只要這種負載不平衡狀態影響到虛擬機通過QoS操作提供服務，那么便需要在物理服務器上進行虛擬機遷移、負載均衡。

首先，從云數據中心的使用中獲取物理服務器的現有資源，比如稱為N1的公式，同時獲取其他物理服務器的當前資源使用，如公式（2）表示HN。

其中HN+H1＜HP（HP表示使用閾值向量物理資源的虛擬函數）

基于此，需要對所有物理服務器的HN性能監測數據進行統計。

對于在物理服務器上運行著的所有虛擬機，令其運行，以實現數據資源的平均分配，然后計算它們的權重向量，例如以下列出的計算的公式即可用于估算虛擬機在遷移狀態下數據資源的使用情況。

H3={CPU3,MEM3,BandWid th3}

為了保證物理服務器在虛擬機遷移后并不影響其向數據用戶提供正常服務，需要將所需產品的管理服務器滿足方程，而且代表閾值向量的虛擬機物理資源用于向量剩余的物理服務器以及每個虛擬機，然后根據公式評估所有的物理服務器。

HN+H3＜HP

R=Vector*HN1-3

由于該方法在公共介質中使用到存儲結構NFS、圖像文件和虛擬機存儲，因此在虛擬機部署過程中，可以對虛擬機映像文件傳輸進行忽略。

在TCPSYN洪水攻擊中，以分布式拒絕服務攻擊為代表，其使用TCP/IP三路訪問，隱藏在不安全的數據庫中，故而顯示出針對網絡安全、完整性、可用性的強大的且難以阻止的破壞，繼而構成嚴重威脅。因此，根據以上的評估過程，且在KVM的基礎上設計出DDoS攻擊檢測方法的CUSUM算法，主要特點如下。

（1）對虛擬機網絡流量信息進行統計分析，包括SYN數據包與FIN+RST數據包之間的關系。

（2）設計和改進的CUSUM算法，對TCPSYN洪水攻擊進行快速檢測，并對惡意虛擬機進行處理。且此種基于CUSUM算法的改進，在從建立到結束的過程中，SYN數據包和FIN|RST數據包二者實現配對。

（3）當TCPSYN洪水攻擊發生時，SYN數據包或FIN+RST數據包的數量將遠遠大于另一個，通過鑒別此種變化來實現攻擊檢測。

3 功能測試

測試環境為Red hat enterprise Linux 4操作系統以及三個物理服務器。

測試任務可以擬定為三個物理服務器通過一個統一的接口為簡單的云計算環境提供虛擬機租賃服務，用戶在云計算環境中，根據一個統一的順序應用四個虛擬機，其中涉及到應用程序流程的比較以及每個物理服務器之間資源的負載消耗。由于虛擬機應用程序的物理資源和時間是動態平衡過程中導致物理服務器負載不平衡的主要瓶頸，而虛擬機的動態遷移瓶頸恰好是資源和時間動態平衡的物理過程，因此，對于資源的消耗，可以使用虛擬機的數量進行遷移，從而進行粗略的量化。

圖2顯示了虛擬機AHP環境的層次分析結果。通過獲取資源特性的虛擬機計算權重向量，將資源利用率合并到物理服務器上，這便是基于權重向量計算層次分析中的每個物理服務器的分數。圖2中顯示，對于虛擬機1，其權重向量為[0.2，0.6，0.2]，并且是一種利用多個個體的組合所獲得的資源物理服務器，對物理服務器進行綜合計算后，物理服務器2的得分為36.122，物理服務器3的得分為42.288。其中較小的物理服務器得分表示當前的資源物理服務器可以滿足其余運行的虛擬機1，但是同時也表明部署虛擬機1是存在一定壓力的，因此選擇物理服務器2作為最佳物理服務器。

圖2 虛擬機AHP層次分析結果

針對虛擬機遭受TCPSYN洪水攻擊的情況，基于AHP的虛擬機層次分析也可以對DDoS攻擊檢測算法進行驗證，通過對TCPSYN洪水攻擊進行分析了解，可以知道應該避免高CPU需求的虛擬機部署在一個相對稀缺的CPU資源位置，因為物理服務器上內存資源的閑置將導致一個虛擬機提供的服務不能滿足QoS請求，這也將導致在相同的物理服務器上虛擬機爭奪CPU資源，從而使得虛擬機物理服務器更加容易遭到TCPSYN洪水攻擊。綜上所述，基于AHP虛擬機詳細功能部署和調度方法的DDoS攻擊檢測算法可以通過避免高CPU需求的虛擬機部署在一個相對稀缺的CPU資源位置、了解虛擬機資源的類型和其訪問特性來對物理服務器進行評估，從而找到最適合的方案來對物理服務器進行安全部署或遷移以達到優化資源安全分配虛擬機集群的目的。

4 結論

針對云計算的虛擬機安全管理需求所提出這種安全管理框架模型，通過討論虛擬機管理模型研究的功能配置，驗證了利用DDoS攻擊檢測方法來檢測通過租用大量虛擬機來啟動TCPSYN洪水攻擊的方法是可行的，且可以使虛擬機有效地部署和動態遷移。

參考文獻：

［1］Khan A.U.R.，Othman M.，Feng Xia，et al.Con?text-Aware Mobile Cloud Computing and Its Chal?lenges［J］.IEEE Cloud Computing，2015，2（3）：42-49.

［2］ Jain R.Paul S.Network virtualization andsoftwaredefined networking for cloud computing： a survey ［J］.IEEE Communications Magazine，2013，51（11）：24-31.

［3］Wei Z.，Xiaolin G.，Wei H.R.，et al.TCPDDOS attack detection on the host in the KVM virtualmachine environment［C］.2012 IEEE/ACIS 11thInternational Conference on Computer and Information Science.doi：10.1109/icis.2012.105.

［4］ YamunaDevi L.，Aruna P.，Sudha D.D.，et al.Security in Virtual Machine Live Migration forKVM［A］.Yamu?naDevi， 2011 International Conference on Process Au?tomation， Control and Computing （PACC） ［C］.USA：IEEEComputer Society Press，2011：1-6.

［5］ Danev B，Jayaram M R，Karame GO，et al.Enabling?secure VM-vTPM migration in private clouds［A］.Danev，240 the 27th Annual Computer SecurityApplica?tions Conference ［C］.USA： ACM Press， 2011：187-196.

［6］ Fen Y，Yiqun C，Hao H，et al.Detecting DDoSattack?based on compensation non-parameter CUSUM algorithm［J］.Journal on Communications， 2008， 29 （6）：126-132.