本发明及计算机桌面云技术领域，具体为一种构建桌面云虚拟可信安全墙的方法。
背景技术：
1983年美国国防部制定了世界上第一个《可信计算机系统评价准则》TCSEC。在TCSEC中第一次提出可信计算机和可信计算基TCB的概念，并把TCB作为系统安全的基础。1999年，IBM、HP、Intel、微软等著名IT企业发起成立了可信计算平台联盟TCPA。国内也有可信服务器、可信安全网关等相关的应用产品。并在国网电科院进行了实验性质的应用，目前可信计算已经成为世界信息安全领域的一个新潮流，并提出了“安全即服务”的理念。
目前，桌面云是可以通过客户端或者其他任何与网络相连的设备来访问跨平台的应用程序。桌面云改变了过去分散、独立的桌面系统环境，通过集中部署，IT人员在数据中心就可以完成所有的管理维护工作。桌面云的用户桌面环境都是托管在企业的数据中心，本地终端只是一个显示设备而已。随着用户规模增长，海量虚拟桌面环境的安全管理成为严峻的挑战。传统安全软件部署方式自动化程度低，用户桌面安全粒度粗放，管理人员难以跟进不同的组织、不同用户的个性需求进行精细化IT安全管理。
技术实现要素：
本发明所解决的技术问题在于提供一种为每个虚拟桌面构建一个虚拟可信安全墙，使得安全墙具备随桌面动态迁移的能力，实现“安全即服务”的目标，适合于企业运营监控等对安全性和实时性要求较高的应用，以解决上述背景技术中的缺点。
本发明所解决的技术问题采用以下技术方案来实现：
一种构建桌面云虚拟可信安全墙的方法，本发明中以TCM为可信根，将安全墙信任链和基础信任链一起形成二维信任链，并实现虚拟可信安全墙随虚拟桌面的同步迁移，构建二维信任链，通过二维信任链把信任关系从信任根扩展到整个桌面云系统。
在本发明中，所述基础信任链包括：TCM可信根、BIOS、MBR、OS Loader、OS Kernel、Service/Application、虚拟安全墙管理中心。
在本发明中，所述安全墙信任链包括：以虚拟安全墙管理中心为根，负方向指向桌面接入服务，正方向首先指向虚拟安全墙、再指向桌面接入服务和虚拟桌面应用，通过二维信任链把信任关系从信任根扩展到整个桌面云系统。
本发明中，虚拟可信安全墙随虚拟桌面的同步迁移，当桌面云的负载发生变化，随着虚拟桌面的迁移，虚拟可信安全墙要同步进行迁移。
虚拟可信安全墙体系结构，包括可信基础平台，虚拟可信安全墙管理中心和虚拟可信安全墙三部分：
1)、可信基础平台：
以TCM为可信根，构建二维信任链，基础信任链包括：TCM可信根、BIOS、MBR、OS Loader、OS Kernel、Service/Application、虚拟安全墙管理中心；安全墙信任链包括：虚拟安全墙管理中心、虚拟安全墙、桌面接入服务和虚拟桌面应用；
2)、虚拟可信安全墙管理中心
在桌面云中心和云终端之间部署虚拟可信安全墙管理中心来管理虚拟桌面安全，虚拟安全墙管理中心由虚拟安全墙创建、迁移及注销服务、安全墙信任链管理服务、状态监控及日志服务、用户安全设置服务、文件存储及传输加解密服务，用于实现安全墙生成及迁移、用户访问、数据存储、数据传输、用户使用行为监控等功能；
3)、虚拟可信安全墙
虚拟可信安全墙自动化分发到每个虚拟桌面环境中，以安全墙管理中心的实时加解密引擎为核心，通过主动加密技术和涉密访问控制技术将企业涉密数据与外界隔离，并建立与桌面接入服务和虚拟桌面的信任关系。还要收集桌面环境的日志信息、执行安全墙管理中心发送的安全动作指令。
在本发明中：安全墙信任链的建立：安全墙信任链把信任关系从信任根扩展到整个桌面云系统，可信密码模块为桌面云构建由虚拟安全墙管理中心、虚拟安全墙、桌面接入服务和虚拟桌面应用形成的安全墙信任链。首先在安全墙管理中心，通过安全墙信任链管理服务建立从虚拟安全墙管理中心到虚拟安全墙的信任关系；接下来，分别建立从虚拟安全墙到桌面接入服务的信任关系，和从虚拟安全墙到虚拟桌面的信任关系。最后，安全墙信任链和基础信任链一起形成二维信任链，这样通过一级度量一级，一级验证一级，当受到攻击和完整性被破坏时，可实现自我保护、自我管理和自我恢复。再以二维信任链作为安全支撑，通过对安全墙进行安全配置和管理，定制安全基线，形成一个牢固的安全防御体系。
本发明中，虚拟可信安全墙的迁移：当桌面云的负载发生变化，随着虚拟桌面的迁移，虚拟可信安全墙要同步进行迁移。首先，安全墙管理中心将在运虚拟安全墙A的配置信息导出到一个中间文件；接下来，生成一个虚拟安全墙B并导入中间文件的配置信息，同时分别建立从虚拟安全墙B到桌面接入服务的信任关系，和从虚拟安全墙B到虚拟桌面的信任关系；最后将虚拟安全墙A的负载切换到虚拟安全墙B上，并注销虚拟安全墙A及相应的信任关系。因为安全墙信任链的起点为虚拟安全墙，所以能够将信任链建立的信任关系保持下来。
有益效果
本发明提出了一种虚拟可信安全墙体系结构，在可信计算基础平台的基础上，为每个虚拟桌面构建一个虚拟可信安全墙，能够为业务应用提供了一种安全性和实时性很高的桌面访问手段。为增强桌面云的安全性，由安全墙信任链和基础信任链一起形成二维信任链，把信任关系从信任根扩展到整个桌面云系统。针对云环境中的动态特性,使得虚拟可信安全墙具备随虚拟桌面动态迁移的能力，实现“安全即服务”的目标。
附图说明
图1为一种构建桌面云虚拟可信安全墙的方法的示意图。
具体实施方式
为了使本发明实现的技术手段、创作特征、达成目的与功效易于明白了解，下面结合具体图示，进一步阐述本发明。
一种构建桌面云虚拟可信安全墙的方法，本发明中以TCM为可信根，将安全墙信任链和基础信任链一起形成二维信任链，并实现虚拟可信安全墙随虚拟桌面的同步迁移，构建二维信任链，通过二维信任链把信任关系从信任根扩展到整个桌面云系统。
在本发明中，所述基础信任链包括：TCM可信根、BIOS、MBR、OS Loader、OS Kernel、Service/Application、虚拟安全墙管理中心。
在本发明中，所述安全墙信任链包括：以虚拟安全墙管理中心为根，负方向指向桌面接入服务，正方向首先指向虚拟安全墙、再指向桌面接入服务和虚拟桌面应用，通过二维信任链把信任关系从信任根扩展到整个桌面云系统。
本发明中，虚拟可信安全墙随虚拟桌面的同步迁移，当桌面云的负载发生变化，随着虚拟桌面的迁移，虚拟可信安全墙要同步进行迁移。
虚拟可信安全墙体系结构，包括可信基础平台，虚拟可信安全墙管理中心和虚拟可信安全墙三部分：
1)、可信基础平台：
以TCM为可信根，构建二维信任链，基础信任链包括：TCM可信根、BIOS、MBR、OS Loader、OS Kernel、Service/Application、虚拟安全墙管理中心；安全墙信任链包括：虚拟安全墙管理中心、虚拟安全墙、桌面接入服务和虚拟桌面应用；
2)、虚拟可信安全墙管理中心
在桌面云中心和云终端之间部署虚拟可信安全墙管理中心来管理虚拟桌面安全，虚拟安全墙管理中心由虚拟安全墙创建、迁移及注销服务、安全墙信任链管理服务、状态监控及日志服务、用户安全设置服务、文件存储及传输加解密服务，用于实现安全墙生成及迁移、用户访问、数据存储、数据传输、用户使用行为监控等功能；
3)、虚拟可信安全墙
虚拟可信安全墙自动化分发到每个虚拟桌面环境中，以安全墙管理中心的实时加解密引擎为核心，通过主动加密技术和涉密访问控制技术将企业涉密数据与外界隔离，并建立与桌面接入服务和虚拟桌面的信任关系。还要收集桌面环境的日志信息、执行安全墙管理中心发送的安全动作指令。
在本发明中：安全墙信任链的建立：安全墙信任链把信任关系从信任根扩展到整个桌面云系统，可信密码模块为桌面云构建由虚拟安全墙管理中心、虚拟安全墙、桌面接入服务和虚拟桌面应用形成的安全墙信任链。首先在安全墙管理中心，通过安全墙信任链管理服务建立从虚拟安全墙管理中心到虚拟安全墙的信任关系；接下来，分别建立从虚拟安全墙到桌面接入服务的信任关系，和从虚拟安全墙到虚拟桌面的信任关系。最后，安全墙信任链和基础信任链一起形成二维信任链，这样通过一级度量一级，一级验证一级，当受到攻击和完整性被破坏时，可实现自我保护、自我管理和自我恢复。再以二维信任链作为安全支撑，通过对安全墙进行安全配置和管理，定制安全基线，形成一个牢固的安全防御体系。
本发明中，虚拟可信安全墙的迁移：当桌面云的负载发生变化，随着虚拟桌面的迁移，虚拟可信安全墙要同步进行迁移。首先，安全墙管理中心将在运虚拟安全墙A的配置信息导出到一个中间文件；接下来，生成一个虚拟安全墙B并导入中间文件的配置信息，同时分别建立从虚拟安全墙B到桌面接入服务的信任关系，和从虚拟安全墙B到虚拟桌面的信任关系；最后将虚拟安全墙A的负载切换到虚拟安全墙B上，并注销虚拟安全墙A及相应的信任关系。因为安全墙信任链的起点为虚拟安全墙，所以能够将信任链建立的信任关系保持下来。
以上显示和描述了本发明的基本原理和主要特征及本发明的优点，本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下，本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内，本发明要求保护范围由所附的权利要求书及其等效物界定。