云计算技术的不断趋于成熟,使得企业和个人更加倾向于通过租用云计算服务来降低IT资源的管理和维护成本。在Iaa S云计算环境下,租户网络及数据会以虚拟网络和虚拟机镜像的形式承载于云端,用户失去了对网络和数据的绝对管控。目前已有研究提出在虚拟网络中以加密隧道方式传输用户数据或利用网络监控方式对虚拟网络中传输数据进行数据审计,然而,这些工作侧重解决虚拟网络外部安全威胁,对于虚拟网络内部威胁关注较少。由于租户网络的管理接口完全暴露给了云服务提供商,恶意的内部云管理或运维人员有可能利用自身的高权限,非法管理配置租户网络,窃取用户数据,例如,可直接对虚拟网络设备进行非授权操作,或者通过非法的接口调用间接管理配置租户的虚拟网络等。因此,如何发现并防御内部恶意人员带来的安全威胁以实现对租户虚拟网络的保护已经变为当前函待解决的云计算安全问题。由以上问题,我们提出一种虚拟网络保护框架(VNGuarder),借助对云计算环境下的虚拟网络的服务特征以及对虚拟网络中存在的内部威胁的深入分析,重点研究了其中的数据转发控制、租户正常行为构建以及基于行为回溯的内部威胁发现等关键技术方法。主要研究结果如下:1.提出一种基于虚拟网络设备的数据转发控制方法。该方法借鉴SDN思想,首先利用SDN控制器对云环境中的虚拟网络交换机进行流表监控,以明确虚拟网络交换机中的流表是否为恶意内部人员的非法更改或注入;之后,当虚拟交换机中出现恶意流表时,SDN控制器中的监控模块将信息传递给转发控制模块,由转发控制模块制定控制策略,将恶意注入的流表进行删除或者将恶意更改的流表进行重新下发,实现对虚拟网络设备直接操作的内部恶意行为的阻断;最后,在真实云环境下进行模拟实验,实验结果表明提出方法能有效发现内部人员恶意注入或更改的非法流表行为且对虚拟网络云服务连接性能影响不大。2.提出一种基于可信调用层次关联的租户行为构建方法。该方法首先对云服务虚拟网络生命周期进行分析,总结出合法租户管理虚拟网络的完整流程;其次,引入可信调用层次关联的思想,对开源云平台Openstack中的Neutron网络组件源码进行可信调用层次关联分析;最后,采用有限状态机描述租户的正常行为,并基于可信调用层次关联给出有限状态机生成算法实现租户正常行为的构建。最后,通过实例分析说明了提出方法的效果。3.提出一种基于行为追溯的虚拟网络内部威胁监测方法。该方法首先在虚拟网络服务模块,远程过程调用接口,虚拟网络服务插件,虚拟网络服务代理等不同节点多层次上设置采集点,融合日志监控和行为追溯分析各接口通过采集点获取的行为信息;之后,与之前层次关联分析获得的的租户正常行为进行对比,并给出行为匹配算法,通过判断各层次行为是否完全匹配来识别恶意的内部威胁行为;最后,通过实验验证该方法,结果表明提出方法可发现内部人员对虚拟网络的非法管理配置行为,并且具有较高的准确率。4.实现了VNGuarder原型,首先,基于Open Stack框架以及上述研究成果,给出了VNGuarder的设计思想、体系架构和执行过程。之后,搭建Open Stack云平台并部署VNGuarder原型;最后,对部署VNGuarder前后的云服务操作系统性能及宿主机性能进行比较,实验结果表明,VNGuarder具有较好的实用性并且不会对系统造成大的性能影响。