一种故障处理方法及装置

技术领域

本申请涉及网络安全技术领域，尤其涉及一种故障处理方法及装置。

背景技术

安全领域软件即服务(Software as a Service，SaaS)云产品中可以创建、使用安全服务，安全服务对应的服务提供者是使用安全产品镜像文件所创建的虚拟机。安全服务创建完成后，将会在虚拟化平台上自动创建安全虚拟机。安全服务使用时，主要是配置安全规则、策略等。在安全服务中配置的各种防护、检测规则和策略(以下简称安全配置)，会直接下发到安全虚拟机中，使安全配置起到相应的作用。在安全服务的使用过程中，安全虚拟机无疑是十分重要的。安全虚拟机如果出现了故障，将会造成服务和业务的中断。因此，如何快速恢复安全虚拟机对提高安全SaaS云产品的可靠性极为重要。

现有技术产品管理员会定期为安全虚拟机做快照处理，这样，当安全虚拟机故障时，手动执行快照恢复来实现安全虚拟机的恢复，但是现有技术手动进行虚拟机快照恢复，操作极为繁琐；此外，虚拟机运行过程中，会产生越来越多的快照，在故障之前都要存储这些快照，会占用越来越多的磁盘空间。此外，由于快照是定时制作的，如果在最后一次快照制作之后产品管理员给安全虚拟机下发了安全配置，此配置将不会被记录到快照中，若此时安全虚拟机故障，则此时使用最新的快照恢复安全虚拟机时，会丢失安全配置，也即导致恢复的安全配置与下发的安全配置不一致。

因此，当安全虚拟机故障时，如何自动处理安全虚拟机以解除故障，且使得处理后的安全虚拟机的安全配置与产品管理员最新下发的安全配置保持一致是值得考虑的技术问题之一。

发明内容

有鉴于此，本申请提供一种故障处理方法及装置，用以在安全虚拟机故障时，自动维护安全虚拟机，使得维护的安全虚拟机中的安全配置与故障的安全虚拟机中产品管理员最新下发的安全配置一致。

具体地，本申请是通过如下技术方案实现的：

根据本申请的第一方面，提供一种故障处理装置，应用于安全云平台，所述装置，包括：

确定模块，用于在监测到安全虚拟机发生故障时，确定所述安全虚拟机的地址信息和所支持的安全服务的服务类型；

删除模块，用于删除所述安全虚拟机；

创建模块，用于根据所述所支持的安全服务的服务类型，创建新的安全虚拟机，并将所述新的安全虚拟机的地址信息配置为故障的安全虚拟机的地址信息；

下发模块，用于将故障的安全虚拟机所支持的安全服务对应的安全配置下发给所述新的安全虚拟机。

可选地，根据所述所支持的安全服务的服务类型，创建新的安全虚拟机，包括：

根据服务类型与虚拟机模板之间的对应关系，确定所述所支持的安全服务的服务类型对应的虚拟机模板；

根据确定出的虚拟机模板，创建新的安全虚拟机。

可选地，本实施例提供的故障处理方法，还包括：

对所述新的安全虚拟机进行故障监控。

可选地，按照下述方法确认所述安全虚拟机发生故障：

使用探测工具对所述安全虚拟机进行探测，若探测失败则确认所述安全虚拟机发生故障；或者，

向所述安全虚拟机发送安全服务地址请求，接收所述安全虚拟机返回的请求地址信息；若返回的请求地址信息与预先配置的地址信息不一致时，则确认所述安全虚拟机故障。

可选地，每个安全服务的安全配置存储在数据库中；

将故障的安全虚拟机所支持的安全服务对应的安全配置下发给所述新的安全虚拟机，包括：

从所述数据库中获取所述所支持的安全服务对应的安全配置；

将获取到的安全配置下发给所述新的安全虚拟机。

根据本申请的第二方面，提供一种故障处理装置，应用于安全云平台，所述装置，包括：

确定模块，用于在监测到安全虚拟机发生故障时，确定所述安全虚拟机的地址信息和所支持的安全服务的服务类型；

删除模块，用于删除所述安全虚拟机；

创建模块，用于根据所述所支持的安全服务的服务类型，创建新的安全虚拟机，并将所述新的安全虚拟机的地址信息配置为故障的安全虚拟机的地址信息；

下发模块，用于将故障的安全虚拟机所支持的安全服务对应的安全配置下发给所述新的安全虚拟机。

可选地，所述创建模块，具体用于根据服务类型与虚拟机模板之间的对应关系，确定所述所支持的安全服务的服务类型对应的虚拟机模板；根据确定出的虚拟机模板，创建新的安全虚拟机。

可选地，本实施例提供的故障处理装置，还包括：

监控模块，用于对所述新的安全虚拟机进行故障监控。

可选地，本实施例提供的故障处理装置，还包括：

故障确认模块，用于使用探测工具对所述安全虚拟机进行探测，若探测失败则确认所述安全虚拟机发生故障；或者，向所述安全虚拟机发送安全服务地址请求，接收所述安全虚拟机返回的请求地址信息；若返回的请求地址信息与预先配置的地址信息不一致时，则确认所述安全虚拟机故障。

可选地，每个安全服务的安全配置存储在数据库中；则

所述下发模块，具体用于从所述数据库中获取所述所支持的安全服务对应的安全配置；将获取到的安全配置下发给所述新的安全虚拟机

根据本申请的第三方面，提供一种安全云平台，包括处理器和机器可读存储介质，机器可读存储介质存储有能够被处理器执行的计算机程序，处理器被计算机程序促使执行本申请实施例第一方面所提供的方法。

根据本申请的第四方面，提供一种机器可读存储介质，机器可读存储介质存储有计算机程序，在被处理器调用和执行时，计算机程序促使处理器执行本申请实施例第一方面所提供的方法。

本申请实施例的有益效果：

在安全虚拟机故障时，基于故障的安全虚拟机的相关信息创建一个新的安全虚拟机，使得新的安全虚拟机与故障的虚拟机完全一致，相当于自动恢复了故障的安全虚拟机，这样既保证了恢复的安全虚拟机(新建的安全虚拟机)中的安全配置与故障发生前下发的安全配置一致，也保证了新的安全虚拟机继续提供安全服务，从而保证了业务的正常运行。

附图说明

图1是本申请实施例提供的一种故障处理方法的流程图；

图2是本申请实施例提供的一种故障处理方法的应用场景示意图；

图3是本申请实施例提供的一种故障处理装置的结构示意图；

图4是本申请实施例提供的一种云安全平台的硬件结构示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相对应的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

下面对本申请提供的故障处理方法进行详细地说明。

参见图1，图1是本申请提供的一种故障处理方法的流程图，应用于云安全平台中，该方法可包括如下所示步骤：

S101、在监测到安全虚拟机发生故障时，确定所述安全虚拟机的地址信息和所支持的安全服务的服务类型。

具体地，云安全平台为每个安全虚拟机分配了一个安全服务虚拟机监控器，在安全虚拟机运行过程中，对应的安全服务虚拟机监控器会监控该安全虚拟机是否发生故障。当安全服务虚拟机监控器监测到其监控的安全虚拟机故障时，则会告知安全云平台中的安全服务管理器，该安全服务管理器会确定故障的安全虚拟机的地址信息和该安全虚拟机所支持的安全服务的服务类型。

可选地，本申请中的安全云平台可以为安全云服务器等等。

S102、删除故障的安全虚拟机。

具体地，该安全服务管理器会删除故障的安全虚拟机。具体来说，所有安全虚拟机均安装在虚拟化平台上，而虚拟化平台会对外暴露功能接口(管理接口)，则该安全服务管理器会调用虚拟化平台对外暴露的功能接口来删除该故障的安全虚拟机，需要说明的是，虚拟化平台可以但不限于为CAS、VMware等平台软件。

可选地，在删除故障的安全虚拟机后，可以暂停用于监控故障的安全虚拟机的安全服务虚拟机监控器的监控任务。

S103、根据所述所支持的安全服务的服务类型，创建新的安全虚拟机，并将所述新的安全虚拟机的地址信息配置为故障的安全虚拟机的地址信息。

具体地，为了能够获得与故障的安全虚拟机相同的处理机制，本步骤会利用故障的安全虚拟机所支持的安全服务的服务类型，创建一个新的安全虚拟机，然后将新创建的安全虚拟机的地址信息配置为故障的安全虚拟机的地址信息，创建的安全虚拟机与故障的安全虚拟机完全相同。

S104、将故障的安全虚拟机所支持的安全服务对应的安全配置下发给所述新的安全虚拟机。

具体地，为了使得新创建的安全虚拟机的安全配置与故障的虚拟机所支持的安全配置完全相同，本步骤直接将故障的安全虚拟机所支持的安全服务对应的安全配置下发给上述新的安全虚拟机，其中，上述故障的安全虚拟机所支持的安全服务对应的安全配置为产品管理员最新下发至故障的安全虚拟机的安全配置。

通过实施本实施例提供的故障处理方法，在安全虚拟机故障时，基于故障的安全虚拟机的相关信息创建一个新的安全虚拟机，使得新的安全虚拟机与故障的虚拟机完全一致，相当于恢复了故障的安全虚拟机，这样既保证了恢复的安全虚拟机(新建的安全虚拟机)中的安全配置与故障发生前下发的安全配置一致，也保证了新的安全虚拟机继续提供安全服务，从而保证了业务的正常运行。

可选地，在执行步骤S103时，可以按照下述过程实施：根据服务类型与虚拟机模板之间的对应关系，确定所述所支持的安全服务的服务类型对应的虚拟机模板；根据确定出的虚拟机模板，创建新的安全虚拟机。

具体地，本实施例会预先配置各个服务类型分别对应的虚拟机模板并存储，这样当确定出故障的安全虚拟机所支持的安全服务的服务类型后，可以根据记录的服务类型与虚拟机模板的对应关系，确定出故障的安全虚拟机所支持的安全服务的服务类型对应的虚拟机模板，然后利用确定出的虚拟机模板创建新的安全虚拟机，从而保证新的安全虚拟机与故障的安全虚拟机所支持的安全服务的服务类型相同。在此基础上，将新的安全虚拟机的地址信息配置为故障的安全虚拟机的地址信息，使得新的安全虚拟机与故障的安全虚拟机相同，能够代替故障的安全虚拟机，后续原本要转发到故障的安全虚拟机上业务会直接转发新的安全虚拟机上，使得新的安全虚拟机为该业务提供正常服务。

此外，在创建新的安全虚拟机时，是在虚拟化平台中创建该新的安全虚拟机，则可以调用虚拟化平台对外暴露的功能接口，利用确定出的虚拟机模板创建新的安全虚拟机。

可选地，在创建新的安全虚拟机后，本实施例提供的故障处理方法，还包括：对新的安全虚拟机进行故障监控。

具体地，会为新的安全虚拟机分配一个安全服务虚拟机监控器，由该安全服务虚拟机监控器来监测新的安全虚拟机。

需要说明的是，本申请中，在确认安全虚拟机不健康时，可以理解为该安全虚拟机发生故障。

在此基础上，基于上述任一实施例，可以按照下述方法确认安全虚拟机发生故障：使用探测工具对所述安全虚拟机进行探测，若探测失败则确认所述安全虚拟机发生故障。

一种实施例中，安全服务虚拟机监控器可以利用ping工具确认是否可以探测到该安全虚拟机的地址，若探测到该安全虚拟机的地址，表明该安全虚拟机当前可用，若探测不到则表明该安全虚拟机的地址不通，也即表明该安全虚拟机不健康，也即确定该安全虚拟机发生故障。

另一种实施例中，安全服务虚拟机监控器还可以使用telnet命令探测安全虚拟机对外提供服务的端口，若探测确认该端口不通，则也可以确认该安全虚拟机不健康，也即确认该安全虚拟机故障。

可选地，基于上述任一实施例，还可以按照下述方法确认安全虚拟机故障：向所述安全虚拟机发送安全服务地址请求，接收所述安全虚拟机返回的请求地址信息；若返回的请求地址信息与预先配置的地址信息不一致时，则确认所述安全虚拟机故障。

具体地，安全服务虚拟机监控器可以利用http工具请求向其监控的安全虚拟机发送安全服务地址请求，以请求该安全虚拟机所支持的安全服务的地址信息，若该安全虚拟机返回的请求地址信息与为所支持的安全服务预先配置的地址信息(实际地址信息)不一致，则确认该安全虚拟机不健康，也即确认该安全虚拟机故障。可选地，上述地址信息可以为所支持的安全服务指定的统一资源定位符(Uniform Resource Locator，URL)。

可选地，安全服务虚拟机监控器可以每隔固定时间探测对应的安全虚拟机是否故障，上述固定时间可以为5秒等等。当监控到对应的安全虚拟机故障时，则触发执行图1所示的流程，同时该安全服务虚拟机监控器暂停执行监控操作。

基于上述任一实施例，本实施例中每个安全服务的安全配置存储在数据库中；则在此基础上，可以按照下述过程执行步骤S104：从所述数据库中获取所述所支持的安全服务对应的安全配置；将获取到的安全配置下发给所述新的安全虚拟机。

具体地，针对每个安全虚拟机，云安全平台会将为该安全虚拟机最新下发的安全配置存储到数据库中，这样，当安全虚拟机故障时，按照图1的流程创建新的安全虚拟机后，可以从数据库中查询到故障的安全虚拟机所支持的安全服务对应的安全配置，查询到的安全配置即为最新下发到故障的安全虚拟机中的安全配置，然后将查询到的安全配置下发给新的安全虚拟机，这样一来，保证了新的安全虚拟机与故障的虚拟机完全一致，相当于恢复了故障的安全虚拟机，而且由于新的安全虚拟机的地址信息是故障的安全虚拟机的地址信息，使得后续原本要发送给故障的安全虚拟机的业务可以顺利发送给新的安全虚拟机，使得新的安全虚拟机代替故障的安全虚拟机提供业务服务，从而保证了业务的顺利执行。

基于同一发明构思，本申请还提供了应用故障处理方法的应用场景示意图，参考图2所示，包括：安全SaaS云平台(安全云平台)、虚拟化平台和数据库，其中，安全SaaS云平台用于执行图1所示的流程，虚拟机平台用于安全虚拟机的运行环境，数据库用于存储各个安全虚拟机所支持的安全服务对应的安全配置，且虚拟化平台对外暴露有管理接口，安全SaaS云平台可以通过该管理接口管理虚拟化平台中的安全虚拟机；此外，安全SaaS云平台配置有各种安全服务，然后将每个安全服务对应的安全配置下发到安全虚拟机，这样一来，该安全虚拟机就可以提供所支持的安全服务。当安全虚拟机开始运行时，为了监控该安全虚拟机的状态，安全SaaS云平台可以在其内为该安全虚拟机配置安全服务虚拟机监控器，这样安全服务虚拟机监控器可以监控该安全虚拟机的状态，然后当监控到安全虚拟机故障时，则会触发图1的流程，即，在监测到安全虚拟机发生故障时，确定该安全虚拟机的地址信息和该安全虚拟机所支持的安全服务的服务类型；然后删除该安全虚拟机，同时暂停监控该安全虚拟机的安全服务虚拟机监控器的监控工作；此外，可以根据确定出的所支持的安全服务的访问类型创建新的安全虚拟机，以及将该新的安全虚拟机的地址信息配置为故障的安全虚拟机的地址信息，使得新的安全虚拟机与故障的安全虚拟机具有相同的运行环境，以及向外提供故障的安全虚拟机的地址信息；在此基础上，可以从数据库中查询故障的安全虚拟机所支持的安全服务对应的安全配置，然后将故障的安全虚拟机所支持的安全服务对应的安全配置下发给所述新的安全虚拟机，进一步使得新的安全虚拟机与故障的安全虚拟机具有相同的配置，从而可以代替故障的安全虚拟机提供服务。

基于同一发明构思，本申请还提供了与上述故障处理方法对应的故障处理装置。该故障处理装置的实施具体可以参考上述对故障处理方法的描述，此处不再一一论述。

参见图3，图3是本申请一示例性实施例提供的一种故障处理装置，应用于安全云平台，上述装置，包括：

确定模块301，用于在监测到安全虚拟机发生故障时，确定所述安全虚拟机的地址信息和所支持的安全服务的服务类型；

删除模块302，用于删除所述安全虚拟机；

创建模块303，用于根据所述所支持的安全服务的服务类型，创建新的安全虚拟机，并将所述新的安全虚拟机的地址信息配置为故障的安全虚拟机的地址信息；

下发模块304，用于将故障的安全虚拟机所支持的安全服务对应的安全配置下发给所述新的安全虚拟机。

需要说明的是，上述确定模块301、删除模块302、创建模块303和下发模块304可以设置于安全云平台中的安全服务管理器中。

可选地，创建模块302，具体用于根据服务类型与虚拟机模板之间的对应关系，确定所述所支持的安全服务的服务类型对应的虚拟机模板；根据确定出的虚拟机模板，创建新的安全虚拟机。

可选地，本实施例提供的故障处理装置，还包括：

监控模块(图中未示出)，用于对所述新的安全虚拟机进行故障监控。

需要说明的是，上述故障确认模块可以设置在图2中安全服务虚拟机监控器中。

可选地，本实施例提供的故障处理装置，还包括：

故障确认模块(图中未示出)，用于使用探测工具对所述安全虚拟机进行探测，若探测失败则确认所述安全虚拟机发生故障；或者，向所述安全虚拟机发送安全服务地址请求，接收所述安全虚拟机返回的请求地址信息；若返回的请求地址信息与预先配置的地址信息不一致时，则确认所述安全虚拟机故障。

需要说明的是，上述故障确认模块可以设置在图2中安全服务虚拟机监控器中。

可选地，本实施例中每个安全服务的安全配置存储在数据库中；则

上述下发模块304，具体用于从所述数据库中获取所述所支持的安全服务对应的安全配置；将获取到的安全配置下发给所述新的安全虚拟机。

本申请实施例提供了一种安全云平台，如图4所示，包括处理器401和机器可读存储介质402，机器可读存储介质402存储有能够被处理器401执行的计算机程序，处理器401被计算机程序促使执行本申请实施例所提供的故障处理方法。

上述计算机可读存储介质可以包括RAM(Random Access Memory，随机存取存储器)、DDR SRAM(Double Data Rate Synchronous Dynamic Random Access Memory，双倍速率同步动态随机存储器)，也可以包括NVM(Non-volatile Memory，非易失性存储器)，例如至少一个磁盘存储器。可选的，计算机可读存储介质还可以是至少一个位于远离前述处理器的存储装置。

上述处理器可以是通用处理器，包括CPU(Central Processing Unit，中央处理器)、NP(Network Processor，网络处理器)等；还可以是DSP(Digital Signal Processor，数字信号处理器)、ASIC(Application Specific Integrated Circuit，专用集成电路)、FPGA(Field-Programmable Gate Array，现场可编程门阵列)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

另外，本申请实施例提供了一种机器可读存储介质，机器可读存储介质存储有计算机程序，在被处理器调用和执行时，计算机程序促使处理器执行本申请实施例所提供的故障处理方法。

对于安全云平台以及机器可读存储介质实施例而言，由于其涉及的方法内容基本相似于前述的方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

上述装置中各个单元/模块的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元/模块可以是或者也可以不是物理上分开的，作为单元/模块显示的部件可以是或者也可以不是物理单元/模块，即可以位于一个地方，或者也可以分布到多个网络单元/模块上。可以根据实际的需要选择其中的部分或者全部单元/模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。