本发明涉及信息安全、云计算应用技术领域，尤其涉及到构建智能、快速和高效的安全运维服务云平台的框架。
背景技术：
本发明中包含的英文简称如下：
soc：securityoperationcenter安全管理中心
id：identifier身份识别唯一编号
ids：intrusiondetectionsystems入侵检测系统
snmp：simplenetworkmanagementprotocol简单网络管理协议
clf：commonlogformat普通日志格式
json：javascriptobjectnotationjava脚本对象符号
hdfs：hadoopdistributefilesystemhadoop分布式文件系统。
安全生产历来是保障各项工作有序开展的前提，也是考核各级领导干部的否决指标。网络及信息安全运维体系是各类企业安全生产工作的重要组成部分。保障网络及信息系统高效稳定地运行，是企业一切市场经营活动和正常运作的基础。
当前，企业it系统都不同程度地部署了各种不同的业务系统和安全设备，有效地提高了劳动生产率，降低了运营成本，已经成为企业高效运营的重要支撑和生产环节中不可缺少的一环。一方面，因为一旦网络及各业务系统出现安全事件或故障，如果不能及时发现、及时处理、及时恢复，这势必直接影响承载在其上所有业务的运行，影响企业的正常经营秩序，涉及到客户的系统将直接导致客户投诉，客户满意度下降，企业形象受到损害，对于企业网络的安全保障就显得格外重要；另一方面，由于各种网络攻击技术也变得越来越先进，越来越普及化，企业的网络系统面临着随时被攻击的危险，经常遭受不同程度的入侵和破坏，严重干扰了企业网络的正常运行；日益严峻的安全威胁迫使企业不得不加强对网络及业务系统的安全防护，不断追求多层次、立体化的安全防御体系，建设安全运维服务云平台，实时跟踪系统事件、实时检测和预测各种安全攻击、及时采取相应的控制动作，消除或缩减攻击所造成的损失或危害，尽一切可能来保护企业网络及业务系统的正常运营。
然而，安全运维服务云平台的功能还主要局限在信息采集和安全策略配置上，这些已有技术存在许多安全漏洞和隐患，也缺乏自动化的、智能化的安全运维手段，需要增强平台的核心功能和信息安全机制。
为此，如何利用信息化手段提高企业的运营效益，优化企业信息系统，使得它能够为各类企业提供专业的和高性价比的信息安全运维服务，即成为尤其是信息安全运维管理设计上必须要解决的一个重要课题。
技术实现要素：
本发明提供了一种智能化的安全运维服务云平台的实现架构，以保证平台的自动化运维、高可用性和抗攻击能力。
本发明的一种智能化的安全运维服务云平台的实现架构，应用于能够为多个企业提供各种安全服务和运维监控服务的安全运维监控服务平台中。
所述安全服务包括配置管理/基线管理、安全风险评估、威胁检测、漏洞扫描、防病毒等。
所述运维监控服务包括配置管理、故障管理、性能管理、问题管理、变更管理等。
所述架构包括被管网元、agent、告警关联模块、决策支持模块，以及数据库和事件/告警信息分布式存储。所述agent，它是一个软件模块，能够采集信息和执行相应的控制动作。
所述告警关联模块，它能够比照已知的安全攻击特征，分析来自各个agent的事件和告警信，等。
进一步地，设备agent可以分成两种情形：⑴无agent情形，即设备已经有agent，此时所述的安全运维服务云平台的agent负责接收设备已有agent的安全运维信息，以及向设备已有agent下发控制指令；⑵有agent情形，即设备没有agent，此时的安全运维服务云平台的agent负责采集被管网元的安全运维信息，以及向被管网元下发控制指令，等。
所述决策支持模块，负责智能决策，包括策略冲突解决子模块和可达性分析子模块。
本发明的一种智能化的安全运维服务云平台的实现架构，包括决策支持模块、告警关联模块、agent、数据库和事件/告警信息分布式存储模块，所述决策支持模块包括策略冲突解决子模块和可达性分析子模块，实现智能决策。通过本发明，安全运维服务云平台可以实现自动化运维，提升了安全运维服务云平台的核心竞争力。
附图说明
图1为本发明所述的一种智能化的安全运维服务云平台的实现架构的结构示意图；
图2为本发明所述的一种智能化的安全运维服务云平台的实现架构的告警关联过程实施例；
图3为本发明所述的一种智能化的安全运维服务云平台的实现架构的安全策略冲突检测分层模型的示意图。
具体实施方式
下面是根据附图和实例对本发明的进一步详细说明：
图1为本发明所述的一种智能化的安全运维服务云平台的实现架构的结构示意图。包括被管网元、agent、告警关联模块、决策支持模块，以及数据库和事件/告警信息分布式存储。
所述agent，它是一个软件模块，其功能包括⑴采集驻留在被管网元中的软件和硬件所产生的安全运维信息；⑵自动上报被管网元的事件信息；⑶执行初步的安全分析；⑷产生告警（当检测到异常时），并将告警转换成标准格式，使得告警能够在告警关联模块和决策支持模块中能够做进一步处理。
进一步地，设备agent可以分成两种情形：⑴如果设备已经有所述agent，并能够产生和发送日志，则安全运维服务云平台的agent就负责接收、处理和预分析设备agent发送过来的日志等信息；⑵如果设备没有agent，不能够产生和发送日志，则安全运维服务云平台的agent负责采集安全运维信息，例如，通过嗅探和分析网络流量等来获得相关信息。
所述告警关联模块，它通过比照已知的安全攻击特征，分析来自各个agent的事件和告警信息等；攻击特征可以通过单个规则或若干个规则的组合来表示，并存储在所述数据库中；如果发现异常或安全攻击，则告警关联模块产生告警，并上报给决策支持模块做进一步地处理，以及所述事件/告警信息分布式存储模块进行存储。
进一步地，所述告警关联模块，它是一个软件模块，按照比照已知的攻击特征，当与其中的特征相匹配时，则表示已经从来自agent的事件和告警信息中检测到异常或安全攻击，并将将此异常或安全攻击发送给决策支持模块。所述攻击特征将被定义成一系列关联规则，而每一个关联规则被定义成被分析信息的若干属性值（包括当前属性值和历史属性值等）。图2为本发明所述的一种智能化的安全运维服务云平台的实现架构的告警关联过程实施例。一组告警关联规则可以检测到，恶意用户为了获得管理员权限和重要服务器访问的权限，则在1分钟短时间内登录了10次或以上。下面的关联规则嵌入到安全运维服务云平台就是为了检测这种恶意的异常动作。
if((ipdestination==62.65.89.6)and(numberoffailedloginoccurences>=10)and(“failedlogin”)and(deltatime<60))
thencreatenewalarm“multiplefailedlogin”.
当被分析的信息匹配关联规则时，则产生一个“多次登录失败”的新告警，并将此告警发送给决策支持模块。
当告警关联模块检测到异常或安全攻击时，所述决策支持模块就要进行决策了，这是为了保证所服务的企业it网络的安全和可靠。其决策的依据就是配置在每个被管网元（或设备）中的安全策略。
进一步地，所述决策支持模块，包括策略冲突解决子模块和可达性分析子模块。
每一个安全策略是通过xacml进行描述的。基于xacml引擎描述的安全策略，可以通过⑴主体（subject）、⑵客体或资源（object）、⑶动作（action）、⑷环境（environment）的属性来表示。
安全策略被分成两个不同的类：⑴授权，允许主体在客体上执行某种操作；⑵禁止，不允许主体在客体上执行某种操作。因此，安全策略可能发生冲突，特别是当两个策略同时应用到同一个客体（或资源）时，可能会出现“允许”和“不允许”对同一个客体进行操作，这就发生安全策略冲突了。
另一方面，安全策略就是由一系列规则所组成，其目的就是决定是否允许访问某个客体（或资源）。因此，安全策略可能发生冲突，特别是当两个策略同时应用到同一个客体时，可能会出现“允许”和“不允许”对同一个客体进行操作，这就发生策略冲突了。这就是所述策略冲突解决子模块的功能。
所述策略冲突解决子模块，引进了xacml组合算法，可以很好地解决策略中的规则之间的冲突和策略之间的冲突问题。标准的组合算法是：⑴否认覆盖（denyoverrides）、⑵允许重写（permit-overrides）、⑶第一个适用（first-applicable）、⑷只有一个适用（only-one-applicable）。图3为本发明所述的一种智能化的安全运维服务云平台的实现架构的安全策略冲突检测分层模型的示意图，它是一个分层的架构，帮助决策支持模块中的策略冲突解决子模块进行策略冲突解析，从中发现冲突的安全策略，并按照严重程度先后排列。
所述可达性分析子模块，其功能包括⑴确保所创建的安全策略不被破坏，⑵当策略发生冲突时进行解析。⑶执行可达性分析，可达性分析就是监控所有的网络数据路径，并验证与已创建的安全策略的兼容性。每一个网络数据路径通过配置相应的网络组件（硬件和/或软件）来创建。如果决策支持模块发现了错误的配置，则执行相应的控制动作（例如，一条非授权的网络数据路径，通过修改防火墙的规则，来关闭它）。
所述可达性分析子模块，其主要分析过程如下：
⑴所配置的每一条规则的格式需要标准化，诸如：(源ip,源port,目
标ip,目标port,操作,[可选])，其中，源ip和目标ip为单个ip地址，或一组ip；源port和目标port为单个port或一组port；操作字段要么是接受（客体就是当前设备），要么是接受/转发（客体不是当前设备，但必须要转发），要么是登录，要是镜像。
⑵含有一组ip地址或一组port的规则需要分解成多条规则，诸如：
(源ip:192.168.0.1,源port:n,目标ip:192.168.10.10,目标port:80,443,协议:tcp,操作:接受)，按照80和443两个不同的端口，可以分解成两条规则。
⑶创建可达性矩阵，诸如，按照操作类型分为四个组：“接受”
的规则、“接受/转发”的规则、“登录”的规则、“镜像”的规则。
⑷通过比较规则的属性进行分析，例如，对于防火墙来说，需要计
算哪一些规则是可以“接受”，哪一些规则是可以“接受/转发”，哪一些规则是可以“登录”，哪一些规则是可以“镜像”。
可达性分析的最终结果，需要报告所检测到的异常或安全攻击等安全问题，并提出相应的补救措施，例如，修改防火墙的访问规则，以及安全加固策略，打开或关闭防火墙的端口。
以上所述仅为本发明的较佳实施例，并非用来限定本发明的实施范围；凡是依本发明所作的等效变化与修改，都被视为本发明的专利范围所涵盖。