專利名稱：虛擬計(jì)算平臺的安全性的制作方法
技術(shù)領(lǐng)域：
本發(fā)明一般涉及虛擬計(jì)算平臺。更特別地，但不是排他地，本 發(fā)明涉及使用于移動設(shè)備以及用于非移動設(shè)備的分布式虛擬計(jì)算平 臺安全。
背景技術(shù)：
一般的分布式虛擬計(jì)算平臺為移動用戶提供網(wǎng)絡(luò)環(huán)境以主控服 務(wù)，而不是在他們的計(jì)算、存儲以及通信資源都有限的移動終端上 運(yùn)行服務(wù)。用戶被允許將他們的服務(wù)推送到虛擬計(jì)算平臺上，并且 隨后在該虛擬計(jì)算平臺上主控他們的服務(wù)。作為示例，訂戶可以在
平臺上主控web服務(wù)器，而不是在他/她的移動終端上。同一虛擬計(jì) 算平臺也可以被應(yīng)用開發(fā)者用來開發(fā)對等應(yīng)用(例如，游戲應(yīng)用)。 虛擬計(jì)算平臺不限于只用于移動用戶，其也可以用于非移動設(shè)
備。具有非移動或固定終端的訂戶同樣可以決定在虛擬計(jì)算平臺上 運(yùn)行一些服務(wù)，例如，該訂戶可以不一直運(yùn)行她自己的臺式計(jì)算機(jī)， 而為了使得他/她的服務(wù)一直可用，他/她可以在此類虛擬計(jì)算平臺上 主控服務(wù)。
下面更詳細(xì)地描述一般的分布式虛擬計(jì)算平臺的架構(gòu)。分布式 虛擬計(jì)算平臺是運(yùn)營商或第三方服務(wù)提供商統(tǒng)一地提供給訂戶的硬 件資源的虛擬化。為設(shè)備提供此類虛擬計(jì)算平臺服務(wù)的術(shù)語"運(yùn)營 商，，和"服務(wù)提供商，，通常可以互換使用。在下面的描述中，將使用術(shù) 語運(yùn)營商。
圖1示出了用于所考慮的分布式虛擬計(jì)算平臺的一般框架。其 描述了運(yùn)營商提供的虛擬計(jì)算平臺服務(wù)中涉及的實(shí)體。這些實(shí)體包 括-服務(wù)平臺服務(wù)平臺100 (圖1 )是指運(yùn)營商提供的分布式虛擬計(jì) 算平臺。
—訂戶在下文中，訂戶是指虛擬計(jì)算平臺服務(wù)的訂戶，其能夠在 虛擬計(jì)算平臺上部署和維護(hù)他們的應(yīng)用，而不用在他們的諸如移 動或固定終端101、 102 (圖1 )的個人設(shè)備上運(yùn)行這些應(yīng)用。虛 擬計(jì)算平臺服務(wù)的訂戶不與移動服務(wù)訂戶混淆，移動服務(wù)訂戶從
移動運(yùn)營商訂閱移動通信服務(wù)。 -服務(wù)部署器服務(wù)部署器是訂戶用來將他/她的應(yīng)用部署到虛擬計(jì) 算平臺的軟件塊。部署器可以運(yùn)行在移動設(shè)備或任何聯(lián)網(wǎng)設(shè)備(諸 如PC)上。
-服務(wù)代理服務(wù)代理是虛擬計(jì)算平臺上的虛擬計(jì)算機(jī)器的實(shí)例， 其負(fù)責(zé)主控由特定訂戶部署的各種應(yīng)用。例如，訂戶可以在他/ 她的服務(wù)代理上主控web服務(wù)器和FTP服務(wù)器。圖l示出了移動 設(shè)備或終端101的所有者正在代理111 (代理1)中運(yùn)行他/她的 應(yīng)用，非移動設(shè)備或固定終端102的所有者正在代理112(代理2) 中運(yùn)行他/她的應(yīng)用。
-應(yīng)用應(yīng)用是指由訂戶在特定服務(wù)代理上運(yùn)行的應(yīng)用。示例包括 web服務(wù)器、FTP服務(wù)器、游戲服務(wù)器等。
-服務(wù)客戶端服務(wù)客戶端是可能正在訪問由某個服務(wù)訂戶主控的 應(yīng)用的客戶端。在web服務(wù)器的示例中，服務(wù)客戶端將是使用瀏 覽器訪問web服務(wù)器的任何用戶。服務(wù)客戶端可以從因特網(wǎng)訪問 web服務(wù)器，諸如圖1中的客戶端140-142，服務(wù)客戶端也可以從 移動網(wǎng)絡(luò)或/人本i也網(wǎng)絡(luò)103進(jìn)4亍訪問。
-服務(wù)管理進(jìn)程(daemon):服務(wù)管理進(jìn)程105 (圖1)是在虛擬 計(jì)算平臺中負(fù)責(zé)管理各種服務(wù)代理、服務(wù)部署等的進(jìn)程。例如， 服務(wù)管理進(jìn)程會在某些端口偵聽服務(wù)部署器請求以部署/修改在 月良務(wù)代理中運(yùn)行的應(yīng)用。服務(wù)管理進(jìn)程還負(fù)責(zé)認(rèn)證這些請求、在 平臺上分配資源等等。 一般的虛擬計(jì)算平臺允許多個用戶在同 一物理機(jī)器(也即服務(wù)平臺)上主控應(yīng)用。圖2示出了服務(wù)平臺100的內(nèi)部架構(gòu)。實(shí)際上， 服務(wù)平臺100例如可以通過運(yùn)行適當(dāng)?shù)牟僮飨到y(tǒng)160的功能強(qiáng)大的 計(jì)算機(jī)器來實(shí)現(xiàn)，該操作系統(tǒng)例如是Linux或增強(qiáng)的Linux操作系統(tǒng) (OS)。在一個示例中，Java虛擬機(jī)(VM)技術(shù)150可以用于允許 多個訂戶共享服務(wù)平臺的資源。在圖2中，正在運(yùn)行兩個服務(wù)代理。 服務(wù)代理111 (代理1 )屬于訂戶1 (未示出)，服務(wù)代理112 (代 理2)屬于訂戶2 (未示出)。訂戶1在平臺上主控兩個不同應(yīng)用或 服務(wù)，即應(yīng)用A和應(yīng)用C,其可以分別是HTTP服務(wù)器和FTP服務(wù) 器。訂戶2主控三個不同服務(wù)，即應(yīng)用B、應(yīng)用D和應(yīng)用E。虛擬計(jì)算平臺IOO還包括硬件170,諸如用于在存儲器172和》茲 盤173的輔助下執(zhí)行動作的處理單元171。硬件還包括用于接入因特 網(wǎng)和/或其他網(wǎng)絡(luò)的網(wǎng)絡(luò)4妾口 174。虛擬計(jì)算平臺遭受各種類型的攻擊，其中很多攻擊是只有此類平臺才有的。就描述的分布式虛擬計(jì)算平臺而言， 一個惡意的訂戶 有可能向其他訂戶發(fā)起攻擊。由于從一個服務(wù)代理到另一個服務(wù)代 理的業(yè)務(wù)量被視為"內(nèi)部"通信，因此這些攻擊是有可能的。 一種此 類安全威脅將在下文中更嚴(yán)格地描述。從以上描述可以理解，前述服務(wù)平臺的一個特殊的特性是不止 一個用戶正在共享計(jì)算和通信資源。每個服務(wù)代理都在沙箱環(huán)境(例 如，Java虛擬機(jī))中運(yùn)行，并且假設(shè)其不互相干擾。然而，運(yùn)行在 一個服務(wù)代理上的應(yīng)用可以向運(yùn)行在另 一個服務(wù)代理上的另 一應(yīng)用 正當(dāng)?shù)匕l(fā)送信息。這種內(nèi)部業(yè)務(wù)稱為進(jìn)程間通信(IPC)。如果"內(nèi) 部，，攻擊者希望向同一服務(wù)平臺的其他服務(wù)代理發(fā)起層-3 (公知的 OSI模型的網(wǎng)絡(luò)層)或?qū)?4 (傳輸層)攻擊，這將是非常容易的。這 是因?yàn)閮?nèi)部業(yè)務(wù)相比于外部業(yè)務(wù)，其典型地經(jīng)受較不嚴(yán)格的安全測 量(或者沒有)，而外部業(yè)務(wù)通常要被網(wǎng)絡(luò)中的一個或多個防火墻 過濾。第 一服務(wù)代理可以生成針對在同 一服務(wù)平臺上運(yùn)行的另 一服務(wù) 代理的分組，使得其過載或執(zhí)行非法操作。例如在(來自不同操作系統(tǒng)、產(chǎn)品等的)所有IP棧實(shí)現(xiàn)中，IP層檢查IP分組的源IP地址 和目的IP地址。如果它們相同(就是在單個服務(wù)平臺內(nèi)部的情形)， 則將該分組直接轉(zhuǎn)發(fā)到接收應(yīng)用。因此，惡意的服務(wù)代理可以毫不 費(fèi)力地就生成針對同 一服務(wù)平臺內(nèi)部的另 一服務(wù)代理的業(yè)務(wù)。在圖3所示的示例中，兩個訂戶，即訂戶1和訂戶2(未示出)， 目前正在服務(wù)平臺上主控應(yīng)用。訂戶1在服務(wù)代理111 (代理1 )上 主控應(yīng)用A和應(yīng)用C，而訂戶2在服務(wù)代理112 (代理2)上主控應(yīng) 用B、應(yīng)用D和應(yīng)用E。在圖3中，應(yīng)用C正在惡意生成針對應(yīng)用 D的分組。這些分組通過箭頭301所指示的簡單IPC通信從應(yīng)用C 被發(fā)送到應(yīng)用D,其中箭頭301穿過操作系統(tǒng)160,但是沒有到達(dá)網(wǎng) 絡(luò)接口 174。此操作可能造成受害的服務(wù)代理112和服務(wù)平臺100 過載，導(dǎo)致拒絕服務(wù)(DoS)。惡意的訂戶也可能向在同一服務(wù)平臺 上運(yùn)行的其他服務(wù)代理發(fā)起任何層-3或?qū)?4攻擊。此問題的一種解決方案是在服務(wù)平臺內(nèi)部運(yùn)行主機(jī)防火墻并且 策略規(guī)則指定只有具有相同源IP地址和目的IP地址的IP分組可以 濾過。通過主機(jī)防火墻意味著運(yùn)行在主機(jī)機(jī)器(此處服務(wù)平臺) 中的軟件防火墻過濾進(jìn)入和出自主機(jī)機(jī)器的業(yè)務(wù)。有時候這也稱為 私人防火墻。然后，該解決方案具有若干缺點(diǎn)。首先，由于服務(wù)平 臺不是針對網(wǎng)絡(luò)中心操作(使用網(wǎng)絡(luò)處理器等)設(shè)計(jì)的，因此服務(wù) 平臺會放慢。第二，單個訂戶可能使用不止一個服務(wù)代理，在這種 情況下不能避免對來自同一用戶的業(yè)務(wù)的不必要過濾。第三，由于 主機(jī)防火墻典型地不過濾應(yīng)用層攻擊，因此應(yīng)用層的攻擊不能夠被 濾除。發(fā)明內(nèi)容本發(fā)明的目的是提供一種針對虛擬計(jì)算平臺的安全問題的更好 的解決方案。根據(jù)本發(fā)明的第一方面，提供了一種虛擬計(jì)算平臺，其被配置 用于在平臺上運(yùn)行平臺訂戶的應(yīng)用，而不是在訂戶的個人設(shè)備上運(yùn)行應(yīng)用，該虛擬計(jì)算平臺適合于經(jīng)由外部安全裝置對從平臺第一應(yīng) 用指向平臺第二應(yīng)用的通信進(jìn)行路由。從而，為了保護(hù)服務(wù)平臺免受介紹部分所描述的威脅，本發(fā)明 的 一 個基本思想是迫使在歸屬于不同訂戶的服務(wù)代理之間的進(jìn)程間通信(IPC)業(yè)務(wù)路由通過外部安全裝置(包括防火墻、web防護(hù)、 防病毒、反垃圾郵件等)。如前所述，主機(jī)防火墻通常只能夠處理 層-3或?qū)?4攻擊。在本發(fā)明的實(shí)施方式中，單獨(dú)的設(shè)備，例如應(yīng)用 層防火墻(web防護(hù)或類似的用于web業(yè)務(wù))被用于應(yīng)用層攻擊。 主機(jī)防火墻相比于外部安全裝置不是有效的解決方案，外部安全裝 置具有專門的硬件/軟件來處理業(yè)務(wù)。有利地，所述外部安全裝置是駐留于靠近所討論的虛擬計(jì)算平 臺的本地設(shè)備。更有利地，虛擬計(jì)算平臺包括平臺的內(nèi)部通信向外 部安全裝置組進(jìn)行路由所依據(jù)的規(guī)則。根據(jù)本發(fā)明的第二方面，提供一種用于虛擬計(jì)算平臺的方法， 該虛擬計(jì)算平臺被配置用于在平臺上運(yùn)行平臺訂戶的應(yīng)用，而不是 在訂戶的個人設(shè)備上運(yùn)行應(yīng)用，其中該方法包括經(jīng)由外部安全裝置對從平臺第 一應(yīng)用指向平臺第二應(yīng)用的通信 進(jìn)行^各由。根據(jù)本發(fā)明的第三方面，提供用于虛擬計(jì)算平臺的軟件，該虛 擬計(jì)算平臺被配置用于在平臺上運(yùn)行平臺訂戶的應(yīng)用，而不是在訂 戶的個人設(shè)備上運(yùn)行應(yīng)用，其中該軟件包括用于使得虛擬計(jì)算平臺經(jīng)由至少一個外部安全裝置對從平臺第 一應(yīng)用指向平臺第二應(yīng)用的通信進(jìn)行路由的程序代碼。軟件可以是計(jì)算機(jī)程序產(chǎn)品，包括存儲在諸如存儲器的介質(zhì)上 的程序代碼。根據(jù)本發(fā)明的第四方面，提供一種系統(tǒng)，包括虛擬計(jì)算平臺，其被配置用于在平臺上運(yùn)行平臺訂戶的應(yīng)用， 而不是在訂戶的個人設(shè)備上運(yùn)行應(yīng)用，該虛擬計(jì)算平臺適合于經(jīng)由 至少一個外部安全裝置對從平臺第一應(yīng)用指向平臺第二應(yīng)用的通信進(jìn)行路由，該系統(tǒng)還包括所述至少一個外部安全裝置用于根據(jù)由虛擬計(jì)算平臺路由的所述通信進(jìn)行接收和動作。從屬權(quán)利要求涉及本發(fā)明的不同實(shí)施方式。實(shí)施方式中所包含 的以及涉及本發(fā)明特定方面的主題在作必要的修正后可以應(yīng)用在本 發(fā)明的其他方面。


現(xiàn)在將參考附圖，以示例的方式描述本發(fā)明的實(shí)施方式，附圖中圖1示出了虛擬計(jì)算平臺的基本框架； 圖2示出了虛擬計(jì)算平臺的內(nèi)部架構(gòu)； 圖3說明了代理服務(wù)器之間的攻擊；以及 圖4說明了根據(jù)本發(fā)明實(shí)施方式的通信。
具體實(shí)施方式
包含在本專利申請介紹部分的主題用于支持此詳細(xì)描述。因此， 本發(fā)明的實(shí)施方式也在圖1示出的框架中操作，并且按照圖2所示 的內(nèi)部架構(gòu)進(jìn)行操作。為了保護(hù)圖1和圖2所示的服務(wù)平臺免受介 紹部分所描述的安全威脅，本發(fā)明實(shí)施方式的基本思想是迫使在歸 屬于不同訂戶的服務(wù)代理之間的進(jìn)程間通信(IPC)業(yè)務(wù)路由通過外 部安全裝置(包括防火墻、web防護(hù)等)。如此，在此實(shí)施方式中除了能夠被一般的網(wǎng)絡(luò)防火墻過濾的層-3和層-4攻擊之外，借助于 諸如web防護(hù)的應(yīng)用層過濾器也可以避免應(yīng)用層攻擊。在本實(shí)施方式中，要求操作系統(tǒng)內(nèi)核以特定方式運(yùn)行。該操作 操作內(nèi)核是操作系統(tǒng)的中心部分。就圖2和圖3而言，操作系統(tǒng)內(nèi) 核是操作系統(tǒng)方塊160的一部分。任何合適的操作系統(tǒng)都可以使用， 例如Linux或增強(qiáng)的Linux操作系統(tǒng)。出于本實(shí)施方式的目的，該操 作系統(tǒng)內(nèi)核包含用于告知如何處理IPC的代碼。根據(jù)本實(shí)施方式，IPC按照以下規(guī)則進(jìn)行處理- 迫使在歸屬于不同訂戶的不同服務(wù)代理之間的IPC通過外部安全 裝置(如圖4箭頭402所示)。在此示例性情形中，外部安全裝 置包括安全網(wǎng)關(guān)191、防火墻192、防病毒"&備193以及web防 護(hù)194。-為了獲得更好的性能，在歸屬于同一訂戶的不同服務(wù)代理之間的 IPC不會被路由至外部安全裝置(如圖4箭頭401所示)。 在圖4中，消息41代表服務(wù)代理111、 112與服務(wù)管理進(jìn)程105 之間的控制和監(jiān)視消息，也即在服務(wù)代理lll、 112與服務(wù)管理進(jìn)程 105之間的交互。對于控制目的，例如，如果用戶希望停用其服務(wù)代 理之一，則發(fā)送命令到服務(wù)管理進(jìn)程，服務(wù)管理進(jìn)程繼而發(fā)送控制 消息給代理以停用該代理。對于監(jiān)視目的，例如，如果訂戶或服務(wù) 管理進(jìn)程希望監(jiān)視代理的資源使用，通過使用控制消息可以達(dá)到目 的。消息42是在服務(wù)管理進(jìn)程105和外部安全裝置191-194之間發(fā) 送的策略配置消息。關(guān)于策略配置消息，以防火墻192作為示例。 術(shù)語"策略"，除了別的以外，在此處是指防火墻192將用來過濾業(yè) 務(wù)的已安裝過濾規(guī)則集合。在本實(shí)施方式中，服務(wù)管理進(jìn)程105負(fù) 責(zé)向防火墻192發(fā)送此策略，基本上是配置防火墻以使其將以希望 的方式進(jìn)行過濾。例如，如果允許HTTP服務(wù)，則防火墻中應(yīng)打開 特定端口 (例如，端口號80)。在本實(shí)施方式中，此策略也可以隨 著時間以及當(dāng)新訂戶加入時或當(dāng)啟用新的代理時改變。在這種情形 下，特定于該訂戶或代理的新規(guī)則可能需要傳送至防火墻。對于所 述外部安全裝置中的其他設(shè)備，策略配置相對應(yīng)地工作。更具體地，操作系統(tǒng)內(nèi)核可以被編程(可能添加包括希望的程 序代碼的適當(dāng)?shù)能浖K)以如下操作- 當(dāng)用戶被添加到服務(wù)平臺時，唯一的用戶id/群組id由OS分配 給該用戶。此標(biāo)識符將他/她識別為服務(wù)平臺的訂戶。服務(wù)代理 繼承了其所有者(訂戶)的所有許可。此處，許可是指服務(wù)平臺的各種資源的訪問權(quán)限。- 當(dāng)服務(wù)代理通過使用面向連接通信(例如TCP和/或SCTP業(yè)務(wù)(流控制傳輸協(xié)議))向另一服務(wù)代理發(fā)出套接字(socket)開 放系統(tǒng)呼叫來嘗試打開通信套接字(此處套接字是指通常在 TCP/IP網(wǎng)絡(luò)中將數(shù)據(jù)引導(dǎo)至適當(dāng)?shù)膽?yīng)用的公知方法)時，內(nèi)核 檢查請求進(jìn)程(即，發(fā)起請求的進(jìn)程)和目的進(jìn)程(即，代表 通信中的另一端點(diǎn)的進(jìn)程)是否屬于由用戶id/群組id所標(biāo)識的 同一訂戶D如果是，則將執(zhí)行"常規(guī)，，IPC操作(即，業(yè)務(wù)不會被轉(zhuǎn)發(fā)至外部配置的安全設(shè)備(外部防火墻等))；。如果否，則設(shè)置標(biāo)記以使得內(nèi)核將把所有業(yè)務(wù)轉(zhuǎn)發(fā)給外部配置的安全設(shè)備。- 當(dāng)服務(wù)代理使用無連接通信(例如，IP通信、UDP業(yè)務(wù)(用戶 數(shù)據(jù)報協(xié)議))生成目標(biāo)為同一服務(wù)分組平臺上的另一服務(wù)代 理的分組(例如，IP分組)時，內(nèi)核確定請求進(jìn)程和目的進(jìn)程 是否屬于如用戶id/群組id所標(biāo)識的同一訂戶d如果是，則執(zhí)行"常規(guī)"IPC操作；d如果否，則設(shè)置標(biāo)記以使得內(nèi)核將把分組轉(zhuǎn)發(fā)給外部配置 的安全設(shè)備。對于用戶是透明的。本發(fā)明的實(shí)施方式可以通過對現(xiàn)有操作系統(tǒng)內(nèi)核進(jìn)行適當(dāng)?shù)臄U(kuò) 展來實(shí)現(xiàn)。如前面所提到的，根據(jù)本發(fā)明的實(shí)施方式，每個訂戶被 標(biāo)識并且分配了唯一的群組和用戶標(biāo)識符。當(dāng)服務(wù)代理向在同 一機(jī) 器上運(yùn)行的另一服務(wù)代理發(fā)起IPC時，采取以下由偽碼表示的動作IF (Communication is connection-oriented (TCP or SCTP)) { /* Inside socket一open() */IF (both sending and receiving process belongs to same user) {Do normal processing; } ELSE {Set flag so that ip—output() will force all traffic to the externally configured security appliances;ELSE IF (Communication is connection-less (UDP)) { /* Inside udp一outputO */IF (Both sending and receiving process belongs to same user) {Do normal processing; } ELSE {Forward the packet to externally configured security appliances;ip一output()函數(shù)可以如下修改ip一output() {if (flag is set) {Forward the packet to externally configured security appliances; } else {Do normal processing;應(yīng)當(dāng)注意，盡管已經(jīng)描述了在歸屬于同 一訂戶的不同服務(wù)代理 之間的通信不會被路由至外部安全裝置，在其他實(shí)施方式中，這種 類型的通信也通過外部安全裝置。可以這樣做是為了進(jìn)一步提高抵 抗"攻擊"的安全性，該"攻擊"由歸屬于訂戶的不同的可能發(fā)生故障的 應(yīng)用/服務(wù)代理所導(dǎo)致。本發(fā)明的實(shí)施方式與現(xiàn)有操作系統(tǒng)一起工作，并且也與現(xiàn)有防 火墻、安全網(wǎng)關(guān)和其他安全設(shè)備一起工作。所提供的機(jī)制也可以應(yīng) 用在未來的虛擬計(jì)算環(huán)境中。已經(jīng)描述了本發(fā)明的特定實(shí)現(xiàn)和實(shí)施方式。本領(lǐng)域技術(shù)人員很 清楚，本發(fā)明并不局限于上述實(shí)施方式的細(xì)節(jié)，而是可以在不偏離 本發(fā)明特征的情況下，使用等同手段以其他實(shí)施方式實(shí)現(xiàn)。本發(fā)明 的范圍只由所附專利權(quán)利要求書限制。
權(quán)利要求
1. 一種虛擬計(jì)算平臺，被配置用于在該平臺上運(yùn)行平臺訂戶的應(yīng)用，而不是在訂戶的個人設(shè)備上運(yùn)行應(yīng)用，所述虛擬計(jì)算平臺適合于經(jīng)由外部安全裝置對從平臺第一應(yīng)用指向平臺第二應(yīng)用的通信進(jìn)行路由。
2. 根據(jù)權(quán)利要求1所述的虛擬計(jì)算平臺，其中所述虛擬計(jì)算平 臺被配置以迫使在歸屬于不同訂戶的應(yīng)用之間的進(jìn)程間通信路由通 過所述外部安全裝置。
3. 根據(jù)權(quán)利要求1或2所述的虛擬計(jì)算平臺，其中所述虛擬計(jì) 算平臺包括主機(jī)機(jī)器，并且所述外部安全裝置是位于所述主機(jī)機(jī)器 外部的獨(dú)立設(shè)備。
4. 根據(jù)前述任一權(quán)利要求所述的虛擬計(jì)算平臺，其中所述虛擬 計(jì)算平臺適合于將所述通信路由至保護(hù)網(wǎng)絡(luò)的周圍或域免受外界攻 擊的鄰近的外部安全裝置，并且其中所述虛擬計(jì)算平臺屬于所述周 圍或域的內(nèi)部。
5. 根據(jù)前述任一權(quán)利要求所述的虛擬計(jì)算平臺，其中所述虛擬 計(jì)算平臺包括平臺的內(nèi)部通信向外部安全裝置組進(jìn)行路由所依據(jù)的規(guī)則。
6. 根據(jù)前述任一權(quán)利要求所述的虛擬計(jì)算平臺，其中所述虛擬 計(jì)算平臺是網(wǎng)絡(luò)中的共享平臺。
7. 根據(jù)前述任一權(quán)利要求所述的虛擬計(jì)算平臺，其中所述第一 應(yīng)用和第二應(yīng)用是服務(wù)器應(yīng)用或代理服務(wù)器。
8. 根據(jù)前述任一權(quán)利要求所述的虛擬計(jì)算平臺，其中所述外部 安全裝置選自包括以下內(nèi)容的組防火墻、安全網(wǎng)關(guān)、應(yīng)用層防火 墻、web防護(hù)、防病毒設(shè)備和反垃圾郵件設(shè)備。
9. 一種用于虛擬計(jì)算平臺的方法，該虛擬計(jì)算平臺被配置用于 在平臺上運(yùn)行平臺訂戶的應(yīng)用，而不是在訂戶的個人設(shè)備上運(yùn)行應(yīng) 用，其中所述方法包括經(jīng)由外部安全裝置對從平臺第 一應(yīng)用指向平臺第二應(yīng)用的通信 進(jìn)行路由。
10. 根據(jù)權(quán)利要求9所述的方法，其中所述方法包括迫使在歸 屬于不同訂戶的應(yīng)用之間的進(jìn)程間通信路由通過所述外部安全裝置 或外部安全裝置組。
11. 根據(jù)權(quán)利要求9或IO所述的方法，其中所述通信被路由至 保護(hù)網(wǎng)絡(luò)的周圍或域免受外界攻擊的鄰近的外部安全裝置，并且其 中所述虛擬計(jì)算平臺屬于所述周圍或域的內(nèi)部。
12. —種用于虛擬計(jì)算平臺的軟件，該虛擬計(jì)算平臺被配置用 于在平臺上運(yùn)行平臺訂戶的應(yīng)用，而不是在訂戶的個人設(shè)備上運(yùn)行 應(yīng)用，其中所述軟件包括用于使得所述虛擬計(jì)算平臺經(jīng)由至少一個外部安全裝置對從平 臺第 一 應(yīng)用指向平臺第二應(yīng)用的通信進(jìn)行路由的程序代碼。
13. 根據(jù)權(quán)利要求12所述的軟件，其中所述軟件包括所述外部安全裝置或外部安全裝置組的程序代碼。
14. 根據(jù)權(quán)利要求12或13所述的軟件，其中所述軟件包括用于使得所述虛擬計(jì)算平臺將所述通信路由至保護(hù)網(wǎng)絡(luò)的周圍或域免受外界攻擊的鄰近的外部安全裝置的程序代碼，其中所述虛 擬計(jì)算平臺屬于所述周圍或域的內(nèi)部。
15. —種系統(tǒng)，包括虛擬計(jì)算平臺，其被配置用于在平臺上運(yùn)行平臺訂戶的應(yīng)用， 而不是在訂戶的個人設(shè)備上運(yùn)行應(yīng)用，該虛擬計(jì)算平臺適合于經(jīng)由 至少一個外部安全裝置對從平臺第 一應(yīng)用指向平臺第二應(yīng)用的通信 進(jìn)行路由，所述系統(tǒng)還包括所述至少一個外部安全裝置，用于根據(jù)由所述虛擬計(jì)算平臺路 由的所述通信進(jìn)行接收和動作。
16. 根據(jù)權(quán)利要求15所述的系統(tǒng)，其中所述虛擬計(jì)算平臺被配 置以迫使在歸屬于不同訂戶的應(yīng)用之間的進(jìn)程間通信路由通過所述至少一個外部安全裝置。
17.根據(jù)權(quán)利要求15或16所述的系統(tǒng)，其中所述至少一個外 部安全裝置是保護(hù)網(wǎng)絡(luò)的周圍或域免受外界攻擊的鄰近的外部安全 裝置，并且其中所述虛擬計(jì)算平臺屬于所述周圍或域的內(nèi)部。
全文摘要
本發(fā)明涉及虛擬計(jì)算平臺，用于為該虛擬計(jì)算平臺的訂戶提供用于在該平臺上運(yùn)行他們的應(yīng)用的裝置，而不是在他們的移動設(shè)備上運(yùn)行應(yīng)用。該虛擬計(jì)算平臺適合于經(jīng)由外部安全裝置組對從平臺第一應(yīng)用指向平臺第二應(yīng)用的內(nèi)部通信進(jìn)行路由。外部安全裝置組可以包括防火墻、安全網(wǎng)關(guān)、應(yīng)用層防火墻、web防護(hù)、防病毒設(shè)備和反垃圾郵件設(shè)備。
文檔編號G06F9/318GK101305582SQ200680042178
公開日2008年11月12日 申請日期2006年9月4日 優(yōu)先權(quán)日2005年9月27日
發(fā)明者R·G·拉克施米·納拉雅南, T·K·陳 申請人:諾基亞公司