用于软件定义网络中数据库、应用程序与储存安全的系统的制作方法

本发明涉及一种用于数据库、应用程序与储存安全的系统，特别是关于一种用于软件定义网络中数据库、应用程序与储存安全的系统。

背景技术：

软件定义网络的网络组织技术已越来越为世人所接受。原则上，软件定义网络将网络设备，如路由器、分包交换器，以及LAN交换器的数据与控制平面，以两者间精良的应用程序编程接口(API)分开。相反地，在多数大型企业网络中，路由器与其它的网络设备同时含有数据与控制平面，这对较大规模的架构如大量终端系统、虚拟机及虚拟网络来说，调整网络设施与操作变得很困难。因而，OpenFlow规范渐渐成为用来实现软件定义网络的标准。

数据库或储存安全和软件定义网络安全一样重要。关于软件定义网络安全运作的详细描述，请参见图1。图1显示一种在一软件定义网络1中的传统数据库/应用程序安全方案(该软件定义网络1也可是一个数据网络)。在软件定义网络1中，通常有多个节点，比如路由器、交换器、应用程序服务器及主机。在图1中，为说明方便，一路由器2，两个LAN交换器3与3'、三个应用程序服务器4'、5与6，及两个主机7与8绘示于软件定义网络1中。路由器2连接到因特网11，主机7经由 LAN交换器3连接到软件定义网络1。应用程序服务器4'进一步经由一储存网络1'与一储存服务器4连接。储存网络1'可以是一个光纤信道网络或iSCSI网络，可连接到应用程序服务器5，以便应用程序服务器5能分享来自储存服务器4的服务。储存网络1'也可具有一交换器3"(SAN交换器)，该交换器3"将储存网络1'与其它储存网络连接但不经由以太网络(Ethernet)。储存服务器4具有一磁盘阵列12，该磁盘阵列12有两个硬盘与一个固态硬盘。储存服务器4具有服务器虚拟化的功能，以便一云端服务13、一邮件数据库14与一视频流数据库15通过分享磁盘阵列12资源而建立。应用程序服务器4'提供的应用，比如，视频流，可来自视频流数据库15到硬盘实体卷的映像。应用程序服务器6具有一硬盘16，它是一个邮件服务器，硬盘16用为电子邮件的数据库，供储存相关的数据。对软件定义网络1的运作来说，一软件定义网络控制服务器9包含一软件形式的软件定义网络控制器(如果软件定义网络1仅是一数据网络，软件定义网络控制服务器9就不是必要的)。软件定义网络控制服务器9可以依直接编程来配置及控制网络，其架构能由应用程序与网络服务抽象化而来。

对稽核与安全的目的来说，软件定义网络1进一步具有一安全单元10，其监听软件定义网络1中某些或所有节点的端口。安全单元10检查软件定义网络1中传输的封包，以登录或追踪相关的数据库活动。它可以在发现任何异常状态时提供警告。每一节点具有各自的保护机制，网管人员可以操纵保护机制来调节节点对应该异常状态。从而，软件定义网络1能顺利安全地运作。安全单元10也能是在软件定义网络控制服务器9运行的应用程序，而非一台独立的机器。

不过，以整体安全而言，在传统软件定义网络1中还是存在一些问题值得关注，其中最显著的就是安全漏洞。比如，假设磁盘阵列12中的硬盘与固态硬盘来自相同的制造商，它们可能会被设定每天自动地复制固态硬盘内容到某一硬盘中。安全漏洞可能会发生于硬盘的卷改变之后，储存数据改变但安全单元10并未发觉，由储存服务器4提供的服务改变卷中的内容但无法被侦测。安全漏洞相似的状况也发生在当一储存卷映像到其它卷中时、当储存卷错误地被指定给无权使用的用户时，或上述的几个状况的组合。当然，这些问题有些可以通过单一供货商的解决方案来解决。然而，如果该多个储存设备是"跨平台"或"多平台"，问题还是会存在。

另一个问题是关于可扩展性。如上所述，安全单元10是在一旁监测所有或选定的端口。如果来自用户(主机)的存取请求在软件定义网络1中或来自因特网大量增加，对由储存服务器4提供储存服务的应用程序服务器4'来说，软件定义网络1的流量太大，以至于安全单元10不可能聚集所有的封包并实时分析它们。即便所谓的"深度封包检测"，其架构也无法承受规模增长。

因此，为了解决上述问题，需要一种用于数据库、应用程序与储存安全的系统。特别是，该系统能用于软件定义储存的功能，并可运作于一软件定义网络环境中。

技术实现要素：

为了解决以上问题，本发明提供了一种用于软件定义网络中数据库、应用程序与储存安全的系统。该系统包括：一软件定义网络控制服务器，用以管理该软件定义网络中的所有节点； 一数据库监视服务器，用以接收在该软件定义网络中传输的封包、登录数据库或来自该多个封包的应用程序活动，以及为稽查与安全考虑追踪该数据库或应用程序活动；一储存设施，包括多个储存设备，该储存设施用以映像软件定义储存设备到该多个储存设备中的一个或多个卷，以及根据来自该多个节点的请求提供应用程序及/或数据库服务；以及一储存安全网关服务器，包括一储存安全模块，该储存安全网关服务器连接到该储存设施与该软件定义网络的一节点，用以监视该储存设施的数据流量、与该软件定义网络控制服务器沟通、登录应用程序与数据库的运作到软件定义储存中、储存应用程序与数据库的运作，以及提供一不正常信息到该数据库监视服务器，该不正常信息由一事件所触发。

依照本发明，该储存安全网关服务器进一步包含一软件定义储存控制器模块，用以指定、配置与监视该储存设施中的储存设备。该储存安全网关服务器进一步经由可编程端口与该软件定义网络控制服务器通讯。该储存安全网关服务器进一步发送该储存设施中改变的卷的记录到一缓冲存储设备，其中该改变的卷由该事件所触发。该储存安全网关服务器进一步对该储存设施改变的卷进行快照。该事件为一未授权请求要求数据复制、映像同步或删除、来自一未授权主机的一请求要求存取该储存设备，或未定义数据流量发生在该储存设施中两个储存设备之间或在该储存设施中一储存设备与一外部储存设备之间。该储存安全网关服务器在该不正常信息发出之前或之后，停止该事件的请求与该事件的处理流程。该储存安全模块运行在储存安全网关服务器中或一硬设备的应用程序软件中。

最好，该储存设备为硬盘或/及固态硬盘。该储存安全网关 服务器进一步经由一以太网连接线路连接到该软件定义网络。

本发明还提供了另一种用于软件定义网络中数据库、应用程序与储存安全的系统。该系统包括：一软件定义网络控制服务器，具有数据库监视软件，用以管理该软件定义网络中的所有节点、接收在该软件定义网络中传输的封包、登录数据库或来自该多个封包的应用程序活动，以及为稽查与安全考虑追踪该数据库或应用程序活动；一储存设施，包括多个储存设备，用以映像软件定义储存设备到该些储存设备中的一个或多个卷，以及根据来自该多个节点的请求提供应用程序及/或数据库服务；以及一储存安全网关服务器，具有一储存安全模块，该储存安全网关服务器连接到该储存设施与该软件定义网络的一节点，用以监视该储存设施的数据流量、与该软件定义网络控制服务器沟通、登录应用程序与数据库的运作到软件定义储存中、储存应用程序与数据库的运作，以及提供一不正常信息到该数据库监视服务器，该不正常信息由一事件所触发。

依照本发明，该储存安全网关服务器进一步包含一软件定义储存控制器模块，用以指定、配置与监视该储存设施中的储存设备。该储存安全网关服务器进一步经由可编程端口与该软件定义网络控制服务器通讯。该储存安全网关服务器进一步发送该储存设施中改变的卷的记录到一缓冲存储设备，其中该改变的卷由该事件所导致。该储存安全网关服务器进一步对该储存设施改变的卷进行快照。该事件为一未授权请求要求数据复制、映像同步或删除、来自一未授权主机的一请求要求存取该储存设备，或未定义数据流量发生在该储存设施中两个储存设备之间或在该储存设施中一储存设备与一外部储存设备之间。该储存安全网关服务器在该不正常信息发出之前或之后，停止 该事件的请求与该事件的处理流程。该储存安全模块运行在储存安全网关服务器中或一硬设备的应用程序软件中。

最好，该储存设备为硬盘或/及固态硬盘。该储存安全网关服务器进一步经由一以太网连接线路连接到该软件定义网络。

储存安全网关服务器能由观察数据库监视服务器能接触到的储存设备的操作状况，分担数据库监视服务器的负担，从而能筛选出安全漏洞的问题，达到储存安全或网络安全的目的。此外，数据库监视服务器能持续接收封包，而安全漏洞问题筛选的工作是分散到一或多个储存安全网关服务器中，即使软件定义网络变得越来越大且更多的节点加入其中，该架构仍然能够很顺利地工作。可扩展性不会成为软件定义网络的困扰。

附图说明

图1为一种现有的软件定义网络中的数据库/应用程序安全方案；

图2为本发明一实施例的用于数据库、应用程序与储存安全的系统；

图3为一储存安全网关服务器的架构；

图4为本发明另一实施例的用于数据库、应用程序与储存安全的系统；

图5为一软件定义网络控制服务器的架构。

附图标记说明：1-软件定义网络；1'-储存网络；2-路由器；3-交换器；3'-交换器；3"-交换器；4-储存服务器；4'-应用程序服务器；5-应用程序服务器；6-应用程序服务器；7-主机；8-主机；9-软件定义网络控制服务器；10-安全单元；11-因特网； 12-磁盘阵列；13-云端服务；14-邮件数据库；15-视频流数据库；16-硬盘；20-系统；20a-系统；21-软件定义网络；21'-储存网络；21"-以太网连接线路；200-软件定义网络控制服务器；201-软件定义网络控制服务器；210-数据库监视服务器；220-储存安全网关服务器；220'-应用程序服务器；221-储存安全模块；222-软件定义储存控制器模块；230-储存设施；231-第一硬盘；232-第二硬盘；233-固态硬盘；234-云端应用程序；235-邮件数据库；236-视频流数据库；250-应用程序服务器；251-第四硬盘；260-第一主机；270-第二主机；280-第三主机。

具体实施方式

本发明将参照下列的实施方式而更具体地描述。

如图2与图3所示，该些图示描述本发明在一软件定义网络21中一种用于数据库、应用程序与储存安全的系统20的实施例。系统20中的元件由一虚线框所环绕。系统20包括一软件定义网络控制服务器200、一数据库监视服务器210、一储存安全网关服务器220与一储存设施230。在软件定义网络21中，有可能包括其它的节点，比如主机、路由器、交换器与转接器。系统10能经由许多节点的链接应用到软件定义网络上。以下详细说明每个元件的功能。

软件定义网络控制服务器200是用来操作软件定义网络21的主要元件，它由指定往来节点间封包的流量，管理软件定义网络21中的所有节点。虽然图2仅显示多个主机请求软件定义储存设备，对应用程序或数据库服务进行存取，事实上，软件定义网络中应有数以万计的主机，由众多的交换器与路由器连接。图2仅用于说明聚焦在系统20在软件定义网络21中如何 运作及表现。

数据库监视服务器210能接收软件定义网络21中传输的封包。它附于软件定义网络21上，监听所有或部分节点的端口。因此，数据库监视服务器210能登录数据库或来自封包的应用程序活动，进一步为稽核与安全的目的，追踪该数据库或应用程序活动。

储存安全网关服务器220包括两个模块：一储存安全模块221与一软件定义储存控制器模块222，如图3所示。一应用程序服务器220'为软件定义网络21中的一节点，并经由一储存网络21'连接到储存安全网关服务器220。应用程序服务器220'能根据来自软件定义网络21其它节点(主机)的请求，提供多个服务。储存安全网关服务器220进一步直接连接储存设施230，并经由应用程序服务器220'连接软件定义网络21。如背景技术中所提到的，储存网络21'可以是一个光纤信道网络或一个iSCSI网络。它连接到其它应用程序服务器(未绘示)，以便其它应用程序服务器能分享来自储存设施230的服务。软件定义储存控制器模块222能指定、配置与监视储存设施230中的储存设备。该多个储存设备可能都是硬盘，也可能都是固态硬盘。最常见的是该多个储存设备是硬盘与固态硬盘的混合组合。在本实施例中有三个储存设备：一第一硬盘231、一第二硬盘232与一固态硬盘233。因此，储存安全网关服务器220扮演储存控制服务器的角色。储存设施230能从储存设备的一个卷或多个卷中映像为软件定义储存设备，且依照来自软件定义网络21中节点的请求，提供给应用程序及/或数据库服务。从而，应用程序服务器220'能从储存设施230中提供一特定的服务(应用程序或数据库)。为了具体说明，以一云端应用程序234、一 邮件数据库235与一视频流数据库236作为服务说明。

要强调的是虽然有三个储存设备用来描述本发明，实际上，一个储存设施可能包括数百到数千个储存设备。储存设施也可以是一个磁盘阵列(RAID)。

通过储存安全模块221，储存安全网关服务器220能监视储存设施230中储存设备的数据流量。比如，软件定义网络21中的节点有两个主机，一第一主机260与一第二主机270。它们被授权可对邮件服务电子，存取应用程序服务器220'，而应用程序服务器220'获得储存安全网关服务器220提供的储存功能。当然，两个主机是用来说明本发明，软件定义网络21实际上应有很多数量的主机(或其它形式的节点)。第一硬盘231与第二硬盘232指定给邮件数据库235，用来储存来自第一主机260与第二主机270的电子邮件。这些数据依照储存安全网关服务器220设定的原则，可能实体上储存于第一硬盘231与第二硬盘232的特定卷中。例如，第一主机260指定给第一硬盘231的一第一卷，第二主机270指定给第二硬盘232的一第二卷。在储存设备间传输的每一个封包，将由储存安全网关服务器220所监视。

储存安全网关服务器220进一步经由一以太网连接线路21"连接到软件定义网络21，以便储存安全网关服务器220能与数据库监视服务器210及软件定义网络控制服务器200沟通。当然，储存安全网关服务器220与软件定义网络控制服务器200之间的连接可经应用程序服务器220'而实现，视网络的设计而定。同时，它能登录应用程序与数据库运作，并储存应用程序与数据库的运作，前述的应用程序与数据库(在此实施例中为 电子邮件活动)映像到软件定义储存设备。最好，储存安全网关服务器220经软件定义网络控制服务器200的可编程端口(属于操作系统或一应用程序服务)与软件定义网络控制服务器200进行通讯。

非常重要的是储存安全网关服务器220能提供一不正常信息给数据库监视服务器210，这不正常信息是由一事件所触发。此处，事件可以由数据库监视服务器210与储存安全网关服务器220之间的营运方针来界定。该营运方针定义发生于储存设备中，任何不正常(或未授权)的情况，前述的状况无法由数据库监视服务器210藉"监测"封包而侦测出，因此造成安全漏洞。比如，来自第一主机260的一未授权请求要求第二硬盘232进行数据复制、数据同步映像或数据删除。实际上，这可能是一个用户要获取其它电子邮件服务，比如备份他的电子邮件或移除所有很久之前收发的电子邮件。虽然第一主机260被授权存取储存安全网关服务器220，任何未授权命令或请求应在它危及储存设施230运作前被注意到。该事件也可能是要求存取一未许可证存储设备的一个请求。比如，一未授权第三主机280想要存取固态硬盘233。此外，某些储存设备间的预设动作，虽未被该营运方针允许，也能被视为该事件。比如，储存设备制造商可能有提供他们储存设备间相互数据备份的功能，比如，第二硬盘232与固态硬盘233相互备份数据。未定义数据流量发生在两个储存设备之间。未定义数据流量不仅存在于储存设备之间，也可发生在储存设施230中的一储存设备与一外部储存设备间，比如，固态硬盘233与一第四硬盘251之间。如果这样的数据流量为储存安全网关服务器220所发现，该不正常信息就应该被触发。

要强调的是在本实施例里，虽然只有一个储存安全网关服务器220与一个储存设施230使用于软件定义网络21中，事实上，对任何的软件定义网络来说，储存设施的数量并不限定，数个储存设施能同时在线运作并与数据库监视服务器210互动。此外，除了管理员，数据库监视服务器210也能通知储存安全网关服务器220，来安排新的储存设备组态给受该事件影响的一应用程序或数据库。或者，依照该营运方针，储存安全网关服务器220能自动安排储存设备组态并接着反馈这改变给数据库监视服务器210。比如，邮件数据库235的反应时间超过其定义的时间，储存安全网关服务器220将交换储存设备，由第二硬盘232变成固态硬盘233，而第一硬盘231仍用于邮件数据库235。

在实施例的一个例子中，储存安全网关服务器220能进一步经由一应用程序服务器250，发送储存设施230中改变的卷的记录到一缓冲存储设备，即第四硬盘251。事实上，缓冲存储设备可以是任何连接到软件定义网络21的储存设备，甚至是储存安全网关服务器220内的一个储存设备或储存设施230中任何可用的储存设备。前述改变的卷由该上述界定的事件所导致，该记录能被用于后续对该事件的分析。如果需要，该储存安全网关服务器220可进行推回(rolling back)作业。那么，储存安全网关服务器220可快取储存设施230改变的卷的影像，用于之后数据库的推回作业。为了实现这样的目的，储存安全网关服务器220可以提供应用程序编程接口(API)，以与其它数据库/应用程序工具或模块沟通，以保护整个储存设施230。这样的工具或模块能帮助重建储存的影像，并测试出其它那些储存设施230内的档案或数据可能被非法存取。如果事件涉及 储存安全严重的漏洞，储存安全网关服务器220能在该不正常信息发出之前或之后，停止该事件的请求与该事件的处理流程。这样能防止储存设施230中的储存设备受紧急事件的损害。

实际上，储存安全模块221可以是运行在储存安全网关服务器220的应用程序软件，或者是一个硬设备，使储存安全网关服务器220的功能分散到两个机器中。也就是说，有两个服务器连接到储存设施230。一个用来运作储存设施230及提供来自储存设施230的服务(应用程序或数据库)，而另外一个负责储存安全。

由以上描述可知，很明显，储存安全网关服务器220的储存安全模块221能由监视储存设施230中储存设备的操作状况，分担传统数据库监视服务器的工作负担，而该多个储存设备是传统数据库监视服务器无法顾及的，从而就能筛选出安全漏洞的问题，达到储存安全或网络安全的目的。此外，数据库监视服务器210能持续接收封包，而安全漏洞问题的筛选工作分布到一个或多个储存安全网关服务器220中。这使得架构能顺利运作，即使软件定义网络21变得越来越大，且更多的节点(比如主机)加入也不会影响结构的顺利运作。可扩展性不会是系统10的困难挑战。

依照本发明的精神，数据库监视服务器210无须是一台独立的机器，它可以是在软件定义网络控制服务器操作系统中运作的软件。在本实施例中，前述的架构描述于图4中，软件定义网络控制服务器的详细解说绘示于图5。使用图2中相同的元件，一系统20a包含了一软件定义网络控制服务器201、该储存安全网关服务器220及储存设施230。储存安全网关服务 器220与储存设施230的功能及运作方式图同前所述，无须重复说明。软件定义网络控制服务器201具有一数据库监视软件。从而，软件定义网络控制服务器201不仅能管理软件定义网络21中的所有节点，也能接受软件定义网络21中传输的封包、登录数据库或来自封包的应用程序活动，并为了稽核与安全考虑，追踪该数据库或应用程序活动。简言之，软件定义网络控制服务器201合并了前一实施例中的软件定义网络控制服务器200与数据库监视服务器210。

本发明具有多个优点。先前的数据库效能调整工具侦测储存设备的指令与响应时间。数据库管理员以经验并耗时费工分析登录/追踪资料后，手动尝试重新分布数据记录及/或储存块大小来增进其效能。而通过本发明新提出的架构，储存安全网关服务器与软件定义网络控制服务器进行通讯，并接收及分析结果。储存安全网关服务器能基于该营运方针，自动执行重新分布数据库到不同的储存层(诸如由硬盘到固态硬盘)或其它的运作中。该储存安全网关服务器能备用作为QoS工具，以达成软件定义储存或软件定义网络的需求。此外，本发明可促使数据虚拟实现(整个系统影像或环境)。通过储存安全网关服务器定义的软件定义储存与营运方针的快照功能，能于遇到问题的一个关注时间点，立即建构数据虚拟实现，而不是仅对最新的系统环境与数据输入进行推回作业。

虽然本发明已以实施方式揭露如上，然其并非用以限定本发明，任何所属技术领域中具有通常知识者，在不脱离本发明的精神和范围内，当可作些许之更动与润饰，因此本发明的保护范围当视本案权利要求所界定为准。