本發(fā)明涉及一種Openstack訪問控制方法，尤其涉及一種基于密鑰算法和日志審計的Openstack訪問控制方法。

背景技術(shù)：

近年來，云計算發(fā)展迅速，特別是開源云OpenStack因其自帶靈活性的DNA越發(fā)受到關(guān)注，與唱衰OpenStack，相反的是OpenStack積累了廣泛的商業(yè)用戶基礎(chǔ)。然而作為最大的開源云，其運(yùn)行穩(wěn)定需要解決監(jiān)控、管理、計費(fèi)以及指標(biāo)衡量等一系列問題。此外，隨著網(wǎng)絡(luò)安全上升至國家戰(zhàn)略，防止出現(xiàn)“棱鏡門”事件，“安全可控”成為阻礙云特別是開源云持續(xù)發(fā)展的最大阻力?；诖?，真正實(shí)現(xiàn)從平臺到安全解決方案的自主、可控、標(biāo)準(zhǔn)化，無后門，提供開放、可靠、安全的云服務(wù)，顯得尤為重要。

Openstack是一個SOA的架構(gòu)，理論上各個子項目獨(dú)立提供相關(guān)的服務(wù)，互不依賴。例如User提供登陸，Nova提供計算服務(wù)，Quantum提供對象存儲服務(wù)，Glance提供鏡像服務(wù)等。但是實(shí)際上，所有組件都依賴于Keystone提供3A(Account,Authentication,Authorization)服務(wù)。除了3A之外，Keystone還對外提供服務(wù)目錄(ServiceCatalog)服務(wù)，類似于UDDI服務(wù)的概念，用戶(無論是Dashboard,APIClient)都需要訪問Keystone獲取服務(wù)列表，以及每個服務(wù)的地址(Openstack中稱為Endpoint)，Keystone與其他服務(wù)交互如圖1所示。目前市面上Openstack云平臺都是以keystone組件為核心的身份認(rèn)證與訪問控制的，用戶都是通過keystone的認(rèn)證權(quán)限才能調(diào)用其他服務(wù)；比如調(diào)用網(wǎng)絡(luò)組件Netutron，然后提供了安全組策略設(shè)置功能，用戶在自行設(shè)置防火墻規(guī)則過濾不符合規(guī)則的數(shù)據(jù)請求，每個用戶就可生成多個密鑰對，再與自己的個人虛擬機(jī)資源綁定，用戶憑借特有的私鑰證書訪問虛擬機(jī)。但是，現(xiàn)有安全手段對openstack平臺整體運(yùn)行狀態(tài)有兩大方面不足：一方面，監(jiān)控相對薄弱，不夠全面，缺少對用戶訪問行為、Openstack狀態(tài)行為等關(guān)鍵信息記錄。當(dāng)云平臺易受到惡意內(nèi)部用戶的訪問攻擊、破壞、甚至云資源的濫用等安全威脅。另一方面，由于X86架構(gòu)代碼公開，缺少字節(jié)碼加解密設(shè)計和代碼的函數(shù)細(xì)粒度的保護(hù)，這樣容易受到外部黑客的攻擊，從而造成不必要的損失。

由上可見，隨著默認(rèn)Openstack架構(gòu)系統(tǒng)部署上線后，平臺安全直接影響著默認(rèn)Openstack架構(gòu)集群使用的持續(xù)性、高可用性、生命周期、應(yīng)用訪問的安全等，避免因?yàn)閮?nèi)部破壞和外部攻擊，導(dǎo)致Openstack無法繼續(xù)工作，因此需要一種新的基于密鑰Openstack安全優(yōu)化方法，既可解決內(nèi)部審計問題又可解決外部異常攻擊等。

現(xiàn)將默認(rèn)Openstack架構(gòu)技術(shù)缺點(diǎn)總結(jié)如下：

1)、缺乏審計安全：Openstack目前主要以keystone組件為核心的身份認(rèn)證與訪問控制功能，但是現(xiàn)有安全手段對Openstack平臺整體運(yùn)行狀態(tài)的監(jiān)控相對薄弱，不夠全面，缺少對用戶訪問行為、虛擬機(jī)狀態(tài)行為等關(guān)鍵信息記錄。當(dāng)云平臺面臨惡意內(nèi)部用戶的訪問攻擊、破壞、或者云資源的濫用等安全威脅時，這一弱點(diǎn)尤為突出，將會面臨既缺乏及時處置的手段以避免或減少損失，又沒有事后追蹤、調(diào)查問責(zé)的證據(jù)。主要日志可以包括：訪問日志、用戶操作日志、審計模塊設(shè)計等。

2)、缺少X86底層安全保護(hù)：由于X86架構(gòu)代碼對外開放，而云平臺Openstack是立足于X86構(gòu)建的，所以只需要通過X86機(jī)器，然后接入Opensrack，就可以進(jìn)行安全攻擊，沒有任何防護(hù)手段。

3)、缺少函數(shù)的細(xì)粒度保護(hù)在使用云平臺時必須了解使用軟件的內(nèi)部構(gòu)造，明確需要保護(hù)的代碼和在操作過程中可以保持穩(wěn)定狀態(tài)的代碼，從而保證較好的兼容性。然而大部分云平臺安全都是使用Openstack自帶的代碼安全保護(hù)，缺少對原生代碼的細(xì)粒度保護(hù)，容易造成平臺不穩(wěn)定，出現(xiàn)兼容性問題。

4)、缺少安全的字節(jié)碼的加解密設(shè)計：保護(hù)好字節(jié)碼也是一個十分重要的問題，由于Openstack代碼開源，如果不注意字節(jié)碼的解密設(shè)計，平臺容易被破解，強(qiáng)制攻擊。因此需要一套屬于自己的加解密設(shè)計，從而保護(hù)平臺安全。

5)、對技術(shù)人員的依賴：目前云平臺安全策略實(shí)施，都是工程師人員人工手動參與分析保護(hù)，這就需要維護(hù)人員具有較高的技術(shù)能力，豐富的平臺和代碼經(jīng)驗(yàn)，以及對現(xiàn)場綜合環(huán)境熟悉，對業(yè)務(wù)知識存在依賴，因此若有種安全認(rèn)證平臺，將會大大降低人員水平技術(shù)依賴。

基于以上原因，需要一種安全優(yōu)化方法解決以上問題，因此需建立審計制度，實(shí)現(xiàn)X86的底層保護(hù)，特有的字節(jié)碼加解密設(shè)計和函數(shù)的細(xì)粒度保護(hù)。安全策略要從全局出發(fā)，具有持續(xù)的安全保護(hù)和審計分析能力，當(dāng)受到安全威脅時，增大黑客破解難度，給予工程師反映時間，采取相應(yīng)的安全措施，最終實(shí)現(xiàn)對平臺的保護(hù)。

技術(shù)實(shí)現(xiàn)要素：

本發(fā)明所要解決的技術(shù)問題是提供一種基于密鑰算法和日志審計的Openstack訪問控制方法，能夠保持云平臺高效運(yùn)行，有效避免因安全引起的相關(guān)性能問題，精簡易行，且廣泛適用于以O(shè)penstack為核心的業(yè)務(wù)生產(chǎn)系統(tǒng)，適用范圍廣泛。

本發(fā)明為解決上述技術(shù)問題而采用的技術(shù)方案是提供一種基于密鑰算法和日志審計的Openstack訪問控制方法，包括如下步驟：S1)獲取當(dāng)前用戶的賬號權(quán)限，資源訪問路徑信息以及訪問IP地址信息；S2)記錄用戶信息，生成安全審計登陸日志，分析是否存在異常用戶以及異常IP地址路徑；S3)讀取Openstack連接信息和安全策略，所述安全策略包括密鑰算法策略，底層X86平臺保護(hù)策略以及代碼函數(shù)安全讀取策略；S4)若用戶訪問符合安全策略，便直接登陸，反之則判定用戶為非法訪問。

上述的基于密鑰算法和日志審計的Openstack訪問控制方法，其中，所述步驟S2)包括賬號審計、權(quán)限審計、資源訪問審計、操作行為審計、內(nèi)容審計以及安全行為的審計，所述步驟S2)定義一次登錄或同一用戶多次登錄為同一類型，通過信息采集和審計分析，使用預(yù)設(shè)的安全規(guī)則判定審計記錄中的異常行為。

上述的基于密鑰算法和日志審計的Openstack訪問控制方法，其中，所述步驟S3)采用局部加密的方式，將解密算法放到每條指令中，且使得每條指令的加/解密算法均不相同，并可進(jìn)行重置。

上述的基于密鑰算法和日志審計的Openstack訪問控制方法，其中，所述步驟S3)選取預(yù)先設(shè)定的某個內(nèi)存值作為密鑰，防止對密鑰尾部字碼進(jìn)行篡改；所述步驟S3)采用指令Hash值算法作為隨后指令的加/解密密鑰，并采用對稱算法對具體登錄數(shù)據(jù)進(jìn)行加/解密運(yùn)算。

上述的基于密鑰算法和日志審計的Openstack訪問控制方法，其中，所述步驟S4)包括：當(dāng)用戶上的所有任務(wù)完成密鑰交互，成功登錄后，用戶提交相應(yīng)的活躍作業(yè)被終止，向Openstack用戶發(fā)送作業(yè)執(zhí)行結(jié)果，并同時向所有參與作業(yè)執(zhí)行的用戶發(fā)送作業(yè)，當(dāng)用戶完成消息，收到作業(yè)完成消息，則刪除當(dāng)前連接的用戶會話U_Session、代理證書和對稱Hash加密算法{Hash,Encrypt}；當(dāng)用戶出現(xiàn)任務(wù)不能再被執(zhí)行的錯誤時，用戶提交的活躍作業(yè)將被終止；用戶發(fā)送有關(guān)錯誤的信息，并同時將作業(yè)終止，當(dāng)收到作業(yè)終止消息后，則斷開當(dāng)前用戶的非法連接，同時刪除用戶實(shí)例、用戶的Session、代理證書和對稱Hash加密算法{Hash,Encrypt}，并斷開與Openstack所有的平臺機(jī)器連接。

上述的基于密鑰算法和日志審計的Openstack訪問控制方法，其中，所述步驟S3)中底層X86平臺保護(hù)策略包括：采用新的指令集編寫需要保護(hù)的主要代碼，并保持代碼長度不變；同時在Openstack的編譯器中嵌入新指令集解釋器；所述步驟S3)中代碼函數(shù)安全讀取策略包括：建立安全策略函數(shù)的特征代碼庫，利用待保護(hù)代碼與特征碼庫的匹配來定位函數(shù)；然后再遍歷代碼，對函數(shù)的交叉引用建立遍歷函數(shù)鏈，通過查找動態(tài)跳轉(zhuǎn)指令來進(jìn)行反饋分析。

上述的基于密鑰算法和日志審計的Openstack訪問控制方法，其中，所述步驟S3)利用函數(shù)初始時參數(shù)的進(jìn)出棧，函數(shù)結(jié)束時的end語句來匹配定位函數(shù)。

本發(fā)明對比現(xiàn)有技術(shù)有如下的有益效果：本發(fā)明提供的基于密鑰算法和日志審計的Openstack訪問控制方法，基于密鑰算法和日志審計對Openstack安全進(jìn)行優(yōu)化，通過多層維度和審計處理流程，從業(yè)務(wù)角度，安全全局考慮，給出一種可靠的安全實(shí)施方法，能夠保持云平臺高效運(yùn)行，有效避免因安全引起的相關(guān)性能問題，精簡易行，且廣泛適用于以O(shè)penstack為核心的業(yè)務(wù)生產(chǎn)系統(tǒng)，適用范圍廣泛。

附圖說明

圖1為Openstack的Keystone組件與其他服務(wù)交互示意圖；

圖2為本發(fā)明基于密鑰算法和日志審計的Openstack訪問控制流程圖；

圖3為本發(fā)明的Openstack訪問控制多維度安全實(shí)現(xiàn)流程圖；

圖4為本發(fā)明的Openstack訪問控制的安全審計流程圖；

圖5為本發(fā)明的Openstack訪問控制的密鑰實(shí)施流程圖；

圖6為本發(fā)明的Openstack訪問控制的代碼保護(hù)流程圖；

圖7為使用本發(fā)明的Openstack訪問控制后的安全日志審計狀況圖；

圖8為使用本發(fā)明的Openstack訪問控制后的密鑰安全執(zhí)行狀況圖；

圖9為使用本發(fā)明的Openstack訪問控制后的特征代碼使用狀況圖。

具體實(shí)施方式

下面結(jié)合附圖和實(shí)施例對本發(fā)明作進(jìn)一步的描述。

本發(fā)明充分考慮安全實(shí)施方法，理論應(yīng)用指導(dǎo)為核心思想，構(gòu)建一種全新的基于密鑰算法和日志審計的Openstack安全優(yōu)化方法。安全審計理論要求如下：

1)采用旁路技術(shù)，不影響被保護(hù)平臺的性能。2)使用簡單，不需要對被保護(hù)平臺進(jìn)行任何設(shè)置。3)審計精細(xì)度高，可審計并還原操作語句。4)采用分布式監(jiān)控與集中式管理的結(jié)構(gòu)，易于擴(kuò)展。5)完備的"三權(quán)分立"管理體系，適應(yīng)對敏感內(nèi)容審計的管理要求。

圖2為本發(fā)明基于密鑰算法和日志審計的Openstack訪問控制流程圖。

請參見圖2，本發(fā)明提供的基于密鑰算法和日志審計的Openstack訪問控制方法，利用“安全審計理論要求”，從實(shí)際業(yè)務(wù)角度出發(fā)，綜合考慮，確立平臺系統(tǒng)大小，Openstack安全優(yōu)化建設(shè)最優(yōu)方案，實(shí)施架構(gòu)，原理指導(dǎo)等。最終形成基于密鑰算法和日志審計的Openstack安全優(yōu)化方法整體流程：

S1)首先“開始階段”，獲取當(dāng)前用戶的賬號權(quán)限，資源訪問路徑信息，訪問IP地址等信息。

S2)再記錄用戶信息，生成安全審計登陸日志，分析是否存在異常用戶以及不合理的IP地址路徑等，以此避免非法訪問。

S3)通過“認(rèn)證平臺”，讀取Openstack連接信息，安全策略，包括密鑰算法策略，底層X86平臺保護(hù)策略、代碼函數(shù)安全讀取策略等。

S4)若用戶訪問符合安全策略，便可直接登陸，反之判斷用戶為非法訪問，將采取安全措施，同時通過安全策略審計，隨即向安全工程師發(fā)送告警信息。

以上任務(wù)步驟可以配置成單次運(yùn)行，在運(yùn)行結(jié)束后關(guān)閉，向維護(hù)人員輸出本次登陸情況；任何鏈接不可長時間占用鏈接登陸。

圖3為本發(fā)明的Openstack訪問控制多維度安全實(shí)現(xiàn)流程圖。

請繼續(xù)參見圖3，本發(fā)明的Openstack訪問控制主要分為三個維度來實(shí)現(xiàn)，主要實(shí)現(xiàn)如下。

一、日志審計：

該層主要負(fù)責(zé)賬號的審計、權(quán)限審計、資源訪問的審計、操作行為審計、內(nèi)容審計、安全行為的審計。

定義審計內(nèi)容，可定義一次登錄或同一用戶多次登錄為同一類型，通過信息采集和分析審計信息，使用既定的安全規(guī)則甄別審計記錄中的異常行為，主要步驟分為“用戶登錄”、“審計開始”“分析模塊”“結(jié)果響應(yīng)”幾大模塊，如圖4所示。

二、密鑰策略：

密鑰策略是一個十分重要的問題。本發(fā)明在設(shè)計中采用局部加密的原則，將解密算法放到每條指令做每一步解析的過程當(dāng)中，且使得每條指令的加/解密算法不相同，可以進(jìn)行重置，所有可選的加/解密算法預(yù)先設(shè)置在OPCODE表中，算法將隨著OPCODE表的映射變化而進(jìn)行變換。可以對其中密鑰采用防止尾部字碼篡改的原則，采用指令Hash值算法作為隨后指令的加/解密密鑰，采用對稱算法對具體登錄數(shù)據(jù)進(jìn)行加/解密運(yùn)算。過程如下：

M1＝Hash(Encrypt(指令1，Am))

M2＝Hash(Encrypt(指令2，M2))

……

Mn＝Hash(Encrypt(指令n，Mn-1))

其中Am是取預(yù)先設(shè)定的某個內(nèi)存值，若攻擊者對程序進(jìn)行逆向攻擊，有可能會改變此內(nèi)存值，則其無法恢復(fù)正確密鑰，從而起到保護(hù)Openstack平臺作用，如圖5所示。

當(dāng)用戶上的所有任務(wù)完成密鑰交互，成功登錄后，用戶提交相應(yīng)的活躍作業(yè)被終止，Openstack用戶發(fā)送作業(yè)執(zhí)行結(jié)果，并同時向所有參與作業(yè)執(zhí)行的用戶發(fā)送作業(yè)，當(dāng)用戶完成消息，收到作業(yè)完成消息，將會刪除當(dāng)前連接的用戶會話U_Session、代理證書和對稱Hash加密算法{Hash,Encrypt}。

當(dāng)用戶出現(xiàn)任務(wù)不能再被執(zhí)行的錯誤時，用戶提交的活躍作業(yè)將被終止；用戶發(fā)送有關(guān)錯誤的信息，并同時將作業(yè)終止，當(dāng)收到作業(yè)終止消息后，將會斷開當(dāng)前用戶的非法連接，同時刪除用戶實(shí)例、用戶的Session、代理證書和對稱Hash加密算法{Hash,Encrypt}，并斷開與Openstack所有的平臺機(jī)器連接。

三、代碼保護(hù)層：

該層負(fù)責(zé)對底層代碼以及應(yīng)用關(guān)鍵代碼進(jìn)行關(guān)鍵性保護(hù)，防止黑客篡改代碼，植入木馬。

云平臺軟件保護(hù)思想：希望通過設(shè)定獨(dú)立的指令系統(tǒng)，構(gòu)造獨(dú)一無二的計算機(jī)及其匯編器和調(diào)試器，以此用來編寫保護(hù)殼的大部分重要代碼，這種方式可以有效保護(hù)注冊算法不被逆向。云平臺軟件X86代碼保護(hù)的總體流程如圖6所示：因此本發(fā)明可以對X86云平臺保護(hù),建立屬于自己的指令集，另外基于編碼復(fù)雜度的考慮，由于待保護(hù)程序本身就是用X86云平臺，所以代碼長度并不用進(jìn)行修改，可以避免函數(shù)中跳轉(zhuǎn)偏移的修復(fù)，指令集加密。代碼保護(hù)總體流程如下：

1)源程序輸入，基于既定規(guī)則實(shí)現(xiàn)編譯，轉(zhuǎn)化規(guī)則；

2)本地虛擬平臺指令轉(zhuǎn)化，設(shè)定并提取保護(hù)對象，同時將信息保存記錄。

3)其規(guī)則為Openstack編譯器轉(zhuǎn)化，最終將需要保護(hù)代碼轉(zhuǎn)化為指令，實(shí)現(xiàn)代碼嵌入Openstack解釋器，從而輸出程序代碼，最終實(shí)現(xiàn)用戶的安全登錄策略。

本發(fā)明建立一套屬于自己的安全策略函數(shù)的特征代碼庫，利用待保護(hù)代碼與特征碼庫的匹配來定位函數(shù)，利用函數(shù)的特征值如函數(shù)初始時參數(shù)的進(jìn)出棧，函數(shù)結(jié)束時的end語句等；然后再遍歷代碼，對函數(shù)的交叉引用建立遍歷函數(shù)鏈，通過查找動態(tài)跳轉(zhuǎn)指令來進(jìn)行反饋分析。

以上的安全策略工作完成后，本發(fā)明全方位，多維度，系統(tǒng)地闡述了對Openstack安全優(yōu)化的解決方案的原理、應(yīng)用場景、問題概述等，以滿足生產(chǎn)系統(tǒng)業(yè)務(wù)的安全需求，從而保證高度的保密策略，安全策略的智能化，密鑰策略的準(zhǔn)確性，當(dāng)收到非法破壞時，將自動告警等。

下面給出使用本發(fā)明Openstack安全優(yōu)化方法案例效果，某核心業(yè)務(wù)系統(tǒng)為例，以下內(nèi)容為基于密鑰算法和日志審計的Openstack安全優(yōu)化方法部署后，安全日志審計情況如圖7所示；密鑰安全執(zhí)行情況如圖8所示，未部署安全策略策略時，密鑰保護(hù)未實(shí)施，處于“0狀態(tài)”。圖9為基于本發(fā)明自定義的一套安全策略函數(shù)的特征代碼庫使用狀況，詳細(xì)記錄了一個月的特征代碼的使用狀況。

綜上所述，本發(fā)明基于密鑰算法和日志審計對Openstack安全進(jìn)行優(yōu)化，通過多層維度和審計處理流程，從業(yè)務(wù)角度，安全全局考慮，給出一種可靠的安全實(shí)施方法。具體優(yōu)點(diǎn)如下：1)從全局角度出發(fā)，基于密鑰算法和日志審計的安全策略建設(shè)。與現(xiàn)有Openstack默認(rèn)安全策略相比較，本發(fā)明不僅僅針對單個用戶的安全訪問，而是通過實(shí)際數(shù)據(jù)采集和周密算法分析，從全局出發(fā)，提出Openstack最優(yōu)方案，安全策略建設(shè)的最佳實(shí)踐方案。2)實(shí)現(xiàn)安全問題提前預(yù)警。通過定制循環(huán)執(zhí)行的定時任務(wù)，通過數(shù)據(jù)采集和分析來捕捉客觀變化，順應(yīng)安全業(yè)務(wù)的發(fā)展變化，自動提前發(fā)出異常用戶訪問和非法行為的預(yù)警信號，可有效避免異常狀況發(fā)生。3)保持安全業(yè)務(wù)的高效連續(xù)性。通過新的安全策略方法，當(dāng)出現(xiàn)安全異常時，可第一時間通知安全工程師，保障了業(yè)務(wù)的連續(xù)性。4)對安全人員的依賴度大幅降低。本發(fā)明中，審計和安全防護(hù)，全部從技術(shù)角度提出建議，不需人員對業(yè)務(wù)知識的了解。因?yàn)閷?shí)現(xiàn)了提前預(yù)警，維護(hù)人員便可有足夠的時間去管理系統(tǒng)，對維護(hù)人員的技術(shù)水平依賴也大大下降。5)本發(fā)明簡單易用。創(chuàng)造性地提出了多層級安全策略，通過簡單的操作，即可完成安全訪問任務(wù)和審計日志的定制，以及后續(xù)的信息采集、分析、計算等操作全部有裝置自動完成，從而操作簡單，對使用人員的要求降低。

雖然本發(fā)明已以較佳實(shí)施例揭示如上，然其并非用以限定本發(fā)明，任何本領(lǐng)域技術(shù)人員，在不脫離本發(fā)明的精神和范圍內(nèi)，當(dāng)可作些許的修改和完善，因此本發(fā)明的保護(hù)范圍當(dāng)以權(quán)利要求書所界定的為準(zhǔn)。