一种基于疫苗模型的云平台病毒查杀方法及查杀系统与流程

1.本发明属于云平台安全技术领域，涉及一种病毒查杀方法，尤其是涉及一种基于疫苗模型的云平台病毒查杀方法及查杀系统。


背景技术：

2.近年来，随着数字化转型的推进，云上安全得到日益的重视。目前常用的云上防护系统是安装防病毒软件，但在政务云等关键领域的云平台中，客户并不希望在虚拟机中安装第三方的杀毒软件。这一方面是因为第三方软件会有数据泄露的风险，另一方面是因为防病毒软件会对许多正常进程拦截和误杀，进而影响正常业务应用的功能和性能。在这种场景下，客户往往通过“信息安全态势感知系统”并配合运维人员手动查杀来实现病毒防范。“信息安全态势感知系统”是一个以“信息安全指标类数据”为对象的大数据管理系统，即对信息安全指标类数据进行大数据的搜集、存储、展示，帮助运维人员对信息安全态势的“宏观感知”。但当云平台上有大量虚拟机，例如有成千上万台虚拟机的情况下，运维人员根据信息安全态势感知平台的提示，要一台一台去排查是否感染病毒或木马显得效率低下，甚至无法完成。


技术实现要素：

3.本发明的目的就是为了克服上述现有技术存在的缺陷而提供一种提升木马或病毒的查杀效率的基于疫苗模型的云平台病毒查杀方法及查杀系统。
4.本发明的目的可以通过以下技术方案来实现：
5.一种基于疫苗模型的云平台病毒查杀方法，包括以下步骤：
6.实时获取云平台上各虚拟机的带有时间戳的状态数据，基于所述状态数据及事先设定的报警阈值判断是否触发对应虚拟机的告警信号；
7.在接收到某一虚拟机的告警信号时，判断是否接收到该虚拟机确认感染病毒或木马的信号；
8.在接收到所述确认感染病毒或木马的信号时，产生对应虚拟机的感染标记指标数据；
9.基于所述感染标记指标数据训练获得一基于机器学习算法的疫苗模型；
10.采用所述疫苗模型判断云平台上其他虚拟机是否感染病毒或木马。
11.所述状态数据包括cpu特征、内存特征、网络流特征和操作系统特征中的一种或多种特征的组合。
12.当所述状态数据中的某个指标超过预先设定的对应报警阈值时，触发所述告警信号。
13.进一步地，采用所述病毒疫苗模型判断云平台上其他虚拟机是否感染病毒或木马具体为：
14.将其他虚拟机与所述感染标记指标数据同类的指标数据输入到疫苗模型中，获得
感染判断结果。
15.进一步地，该方法还包括：在查找到感染的虚拟机后，使用自动化运维脚本对所有虚拟机进行批量处理。
16.进一步地，通过云平台上创建的一疫苗虚机获得所述疫苗模型。
17.本发明还提供一种基于疫苗模型的云平台病毒查杀系统，包括监控平台、时序数据库和运维终端，其中，
18.所述监控平台用于实时获取云平台上各虚拟机的带有时间戳的状态数据，并存储于所述时序数据库中，基于所述状态数据及事先设定的报警阈值判断是否触发对应虚拟机的告警信号；
19.所述运维终端用于接收某一虚拟机的告警信号及该虚拟机确认感染病毒或木马的信号，在同时接收到告警信号和确认信号时，产生对应虚拟机的感染标记指标数据，并在云平台上创建一疫苗虚机；
20.所述疫苗虚机基于所述感染标记指标数据训练获得一基于机器学习算法的疫苗模型，并采用所述疫苗模型判断云平台上其他虚拟机是否感染病毒或木马。
21.进一步地，所述监控平台为有代理监控平台或无代理监控平台。
22.进一步地，所述运维终端还用于接收用于判断是否触发告警信号的报警阈值。
23.进一步地，所述运维终端还用于创建用于对所有感染的虚拟机进行批量处理的自动化运维脚本。
24.与现有技术相比，本发明具有以下有益效果：
25.1、本发明实时判断云平台上的虚机是否感染病毒或木马，在有虚机受到感染时，训练获得一疫苗模型，通过该疫苗模型对其他虚机进行病毒查杀，及时性好，可靠性高，可实现批量的木马或病毒查杀，有效提高查杀效率。
26.2、本发明基于机器学习算法进行疫苗模型的构建和训练，实现对感染虚机的有效分类，分类精度高。
27.3、本发明对于感染的虚机，可以使用脚本批量处理，进一步提高处理效率。
附图说明
28.图1为本发明实施例的一种结构示意图；
29.图2为本发明的实施过程示意图。
具体实施方式
30.下面结合附图和具体实施例对本发明进行详细说明。本实施例以本发明技术方案为前提进行实施，给出了详细的实施方式和具体的操作过程，但本发明的保护范围不限于下述的实施例。
31.实施例1
32.本实施例提供一种基于疫苗模型的云平台病毒查杀方法，包括以下步骤：实时获取云平台上各虚拟机的带有时间戳的状态数据，基于状态数据判断是否触发对应虚拟机的告警信号；在接收到某一虚拟机的告警信号时，判断是否接收到该虚拟机感染病毒或木马的确认信号；在接收到确认信号时，产生对应虚拟机的感染标记指标数据；基于感染标记指
标数据训练获得一基于机器学习算法的疫苗模型；采用疫苗模型判断云平台上其他虚拟机是否感染病毒或木马。该通过机器学习技术，对已知病毒或木马建立病毒疫苗模型，通过该模型，帮助云运维管理员进行批量的木马或病毒查杀，有效提高查杀效率。
33.上述方法中，状态数据包括但不限于cpu特征、内存特征、网络流特征(源端口、目的端口、源地址，目的地址，协议)及操作系统特征中的一种或多种特征的组合。当状态数据中的某个指标超过预先设定的对应报警阈值时，触发告警信号。报警阈值可由运维人员设置。
34.上述方法中，采用病毒疫苗模型判断云平台上其他虚拟机是否感染病毒或木马具体为：将其他虚拟机与感染标记指标数据同类的指标数据输入到疫苗模型中，获得感染判断结果。
35.在优选的实施方式中，该方法还包括：在查找到感染的虚拟机后，使用如ansible等自动化运维脚本对所有虚拟机进行批量处理。
36.上述方法中，通过云平台上创建的一疫苗虚机获得疫苗模型。这台“疫苗虚机”一方面用于训练模型，一方面也用于判断业务虚拟机是否感染木马或病毒。
37.上述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储器(rom，read
‑
only memory)、随机存取存储器(ram，random access memory)、磁碟或者光盘等各种可以存储程序代码的介质。
38.上述方法适合任何技术实现的iaas云平台，包括开源的openstack和闭源的阿里云(飞天操作系统)等，同时适合任何技术实现的云平台监控软件，例如prometheus、zabbix等。
39.实施例2
40.本实施例提供一种基于疫苗模型的云平台病毒查杀系统，参考图1所示，包括监控平台、时序数据库和运维终端，其中，监控平台用于实时获取云平台上各虚拟机的带有时间戳的状态数据，并存储于时序数据库中，基于状态数据判断是否触发对应虚拟机的告警信号；运维终端用于接收某一虚拟机的告警信号及该虚拟机感染病毒或木马的确认信号，在同时接收到告警信号和确认信号时，产生对应虚拟机的感染标记指标数据，并在云平台上创建一疫苗虚机；疫苗虚机基于感染标记指标数据训练获得一基于机器学习算法的疫苗模型，并采用疫苗模型判断云平台上其他虚拟机是否感染病毒或木马。
41.如图1所示的各部分具体说明如下：
42.物理机1：物理机是云平台向下管理的对象。
43.云平台2：云平台用于对下管理物理机，对上将物理机的计算、存储和网络资源抽象为虚机，并按需提供服务(即基础设施即服务，iaas)。
44.虚机3：虚机是云平台上的逻辑计算单元。其中有一台为“疫苗虚机”，其他都是业务虚机。业务虚机用于承载客户业务，业务虚机中可能有被木马或被病毒感染，如图1中的有填充方式块所示。
45.疫苗虚机4：承载在云平台上的虚机的一个，当云运维管理员需要训练“疫苗”模型时，会按需创建一台“疫苗虚机”。这台“疫苗虚机”一方面用于训练模型，一方面也用于判断业务虚拟机是否感染木马或病毒。
46.监控平台5：用于监控虚拟机内包括但不限于cpu特征、内存特征、网络流特征(源端口、目的端口、源地址，目的地址，协议)和操作系统特征中的一种或多种特征的组合。监控平台可分为有代理和无代理两种。有代理模式需要在虚拟机中安装代理层序，无代理模式不需要在虚拟机中安装代理程序，而是通过云平台相关功能获得虚拟机的运行参数。
47.时序数据库6：用于存放虚拟机带有时间戳的状态信息。例如每个虚拟机每隔10秒钟的cpu占用率、内存占用率和网络流量数据。
48.运维终端7：实现云平台的运维，还用于接收用于判断是否触发告警信号的报警阈值以及创建用于对所有感染的虚拟机进行批量处理的自动化运维脚本。
49.上述系统可以用机器学习算法训练一个病毒疫苗模型，并用该模型去查找感染同种病毒或木马的虚机，并用脚本进行批量隔离、杀毒等处理。参考图2所示，具体实现过程包括以下步骤：
50.s101、运维终端在云平台监控软件上设定报警阈值，例如虚机的cpu利用率超过90％时报警。
51.s102、虚拟机通过监控软件上报状态和时间戳。
52.s103、监控平台可以提供接口接收上报状态，接口格式可以是restful api形式，将虚拟机状态和时间戳被监控系统存储在时序数据库中，时序数据库的具体实现可以是influxdb，opentsdb等。
53.s104、判断是否触发报警。
54.s105、对于触发报警的虚拟机，管理员通过联系虚拟机拥有者等方式对是否中毒进行具体分析，排查是否感染病毒或木马，若是，则产生感染的确认信号。
55.s106、在确认感染病毒或木马后，则对虚机及相关指标数据进行标记。
56.s107、通过标记数据对模型进行训练，获得识别病毒的疫苗模型，该疫苗模型的实现可以基于“深度神经网络”(dnn)，实现对感染虚机的分类。
57.s108、通过该疫苗模型判断云平台上其他虚机是否感染，具体方法是将其他虚机的同类指标数据输入到疫苗模型中，疫苗模型会输出虚机是否感染的结果。
58.s109、对于感染的虚机，运维人员用脚本批量处理，该处理脚本可以是ansible等自动化运维脚本。
59.以上详细描述了本发明的较佳具体实施例。应当理解，本领域的普通技术人员无需创造性劳动就可以根据本发明的构思作出诸多修改和变化。因此，凡本技术领域中技术人员依本发明的构思在现有技术的基础上通过逻辑分析、推理或者有限的实验可以得到的技术方案，皆应在由权利要求书所确定的保护范围内。