CN103297266B - 一种基于企业集成总线的系统接入管理方法 - Google Patents

Abstract

本发明涉及一种基于企业集成总线的系统接入管理方法，该方法用的系统包括：人机界面：用于负责安全告警、配置错误、接入系统异常信息的展示与发布；监测与安全验证模块：用于实现总线接口的系统追踪监测、入侵检测、安全检测及安全日志记录；配置与服务注册模块：用于完成系统接入以及接入后的信息配置与服务注册；监测与安全验证模块和配置与服务注册模块分别与人机界面进行通信；监测与安全验证模块和配置与服务注册模块进行通信。步骤为：系统追踪；接入验证；标识绑定；服务注册。本发明优化总线接入管理流程，提高总线安全接入与配置管理的效率；实现系统的识别、检测、验证和接入管理，为信息系统以“即插即用”方式接入总线提供技术支持。

Description

一种基于企业集成总线的系统接入管理方法

技术领域

本发明涉及电力信息化领域，具体涉及一种基于企业集成总线的系统接入管理方法。

背景技术

随着电网企业信息化建设的稳步推进，大量信息系统几乎贯穿于电网企业的各个环节，信息系统间的相互协作与配合为提升企业生产经营管理水平、支撑异地信息联网与业务交互，实现集团化运作、集约化发展发挥了重要作用，然而信息系统的安全防护问题也日益突出，威胁着电力系统的可靠性与安全稳定运行。为此，国家电力监管委员会提出“安全分区、网络专用、横向隔离、纵向认证”的电力二次系统安全防护总体原则和系列防护规范，国家电网公司在企业信息化、集成化的过程中在此基础上不断完善防护机制，健全信息安全管理措施和安全技术手段，完善信息安全基础支撑平台，提升信息安全综合治理水平。但层层的安全检测与防护设计对系统集成的效率带来了新的挑战，原有的系统接入方法已无法满足松耦合的面向服务架构集成模式及系统即插即用需求对系统接入管理与服务快速追踪与定位的效率要求，需要在满足安防规范的前提下，优化系统集成接入管理流程，提高系统接入管理效率与服务定位速度，适应新技术下的系统集成需求。

目前，采用面向服务架构SOA和Web服务技术的总线型集成方案已成为企业信息集成的主流解决方案，面向服务的体系结构SOA支持将企业业务转换为一组相互连接、可重组的服务，在需要时通过网络访问这些服务并进行自由编排以完成企业某一特定业务，这些服务采用Web Service技术描述、实现和发布，支持松耦合集成。企业应用系统程序暴露自己的一些高层次功能作为服务接口提供给其它应用程序使用，满足能够远程服务调用，采用SOA结构进行企业应用集成需保证服务在接入和运行时能够动态的被发现和定位。然而包含服务的企业应用组件在接入总线时往往由于受到追踪、识别、检测、配置、定位等环节的层层把控而使系统接入效率不高，影响服务追踪与定位速度。

发明内容

针对现有技术的不足，本发明的目的是提供一种基于企业集成总线的系统接入管理方法，本发明优化总线接入管理流程，提高总线安全接入与配置管理的效率。

本发明的目的是采用下述技术方案实现的：

一种基于企业集成总线的系统接入管理方法，其改进之处在于，所述方法用的系统包括：

人机界面：用于负责安全告警、配置错误、接入系统异常信息的展示与发布；

监测与安全验证模块：用于实现总线接口的系统追踪监测、入侵检测、安全检测及安全日志记录；所述监测与安全验证模块包括数据分析与处理单元、接入监测单元、入侵监测单元、验证单元和数据库；

配置与服务注册模块：用于完成系统接入以及系统接入后的信息配置与服务注册；所述配置与服务注册模块包括配置单元、信息同步单元、服务检索与查询单元、服务注册单元、服务发布单元和服务管理中心；

所述方法包括下述步骤：

（1）系统追踪；

（2）接入验证；

（3）标识绑定；

（4）服务注册。

其中，所述步骤（1）中，系统追踪通过数据分析与处理单元、接入监测单元以及入侵监测单元实现，所述系统追踪包括下述步骤：

A、总线接口监控程序不间断进行接口侦听与监测；

B、判断是否监测到新系统物理接入且同时收到新系统接入请求：若监测到新系统物理接入且同时收到系统接入请求申请，则受理该接入请求并进入下一个步骤，否则调用网络入侵检测程序进行恶意入侵检测，隔离该接口并发出告警信息。

其中，所述步骤（2）中，接入认证用于检查接入总线的系统身份安全性与合法性，依次包含安全验证、权限验证以及网络验证；

安全验证是受理系统接入请求之后进行的安全性测试与验证，若存在安全隐患则发布告警信息；

权限验证是通过问答、数字证书或消息摘要、数字签字方式对系统身份、接入权限、访问权限进行验证，若存在权限错误，则给出权限错误信息提示；

网络验证用于检测系统的通信连接配置、通信接口兼容性问题，若存在通信连接错误或通信接口兼容性错误，则给出通信配置信息错误提示。

其中，所述步骤（3）中，所述标识绑定通过配置单元和信息同步单元实现，所述标识绑定包括下述步骤：

<1>资源配置更新：系统经过接入验证后，总线将调用配置程序、运行参数修改信息和系统运行配置文件重新进行总线运行参数配置；

<2>系统标识分配：为新接入系统分配唯一的全局资源标识并进行系统ID、IP地址参数配置信息绑定；

<3>配置信息网络同步：向总线上的所有系统发送绑定更新通知，在整个总线网络进行信息同步，完成新接入系统在整个总线网络中的标识分配与绑定。

其中，所述步骤（4）中，所述服务注册通过服务检索与查询单元、服务注册单元、服务发布单元和服务管理中心实现，所述服务注册包括下述步骤：

①服务注册：服务注册程序读入系统供调用的服务清单进行权限审核；

②服务目录更新：审核通过后向服务注册单元添加新服务并自动进行服务目录更新，

③服务发布：更新完成后向全网发布更新信息，接受总线上系统的服务搜索、查询以及调用请求，完成系统全部接入工作，接收总线统一调度与管理开始正常运行。

与现有技术比，本发明达到的有益效果是：

（1）本发明从安全防护与接入效率角度出发，通过对信息系统进行接入追踪、安全验证、标识绑定和服务注册与发布四个环节的接入管理，优化总线接入管理流程，提高总线安全接入与配置管理的效率。

（2）本发明提供的基于企业集成总线的系统接入管理方法，实现系统的快速识别、检测、验证和接入管理，为信息系统以“即插即用”方式接入总线提供技术支持。

附图说明

图1是本发明提供的基于企业集成总线的系统接入管理系统结构示意图；

图2是本发明提供的基于企业集成总线的系统接入管理方法流程图。

具体实施方式

下面结合附图对本发明的具体实施方式作进一步的详细说明。

本发明提供一种采用系统追踪、接入验证、标志绑定及服务注册四个流程解决异构信息系统接入企业集成总线的接入验证与管理问题，优化总线接入管理流程，提升运行管理效率。系统追踪通过监控总线接口识别新系统的接入，获取系统连接请求验证信息进行接入验证，验证通过以后，总线进行动态资源配置，并为新系统分配唯一标识并进行权限配置，同步所有相关配置信息进行标识绑定。标识绑定之后，新系统在总线上进行服务注册以提供服务查询、请求、调用等操作与其他系统进行服务交互，实现应用共享。

本发明提供的基于企业集成总线的系统接入管理系统结构示意图如图1所示，包括：人机界面、监测与安全验证模块、配置与服务注册模块三大部分；人机界面负责安全告警、配置错误、接入系统异常等信息的展示与发布，以便管理或运维人员了解系统的运行情况，进行运维决策。监测与安全验证模块和配置与服务注册模块分别与人机界面进行数据交互；所述监测与安全验证模块和配置与服务注册模块之间进行数据交互。

监测与安全验证模块用于实现总线接口的系统追踪监测、入侵检测、安全检测及安全日志记录功能。位于总线接入监测单元不间断侦听接口运行情况，获取的监测数据经过分析处理，发现异常则交由入侵检测单元进行网络攻击检测，若检测结果为恶意入侵则该接口进行安全隔离并发出告警信息，提示管理人员进行处理。若检测结果为系统正常接入则由安全检测单元进行安全检测、权限检测和网络验证，验证通过后申请进行系统运行配置。监测与安全验证模块包括数据分析与处理单元、接入监测单元、入侵监测单元、验证单元和数据库。

配置与服务注册模块用于完成系统接入以后的信息配置与服务注册，总线为新接入的系统分配唯一资源标识并进行标识绑定，更新总线资源配置信息并在整个网络进行信息同步，配置工作完成以后，系统在总线服务注册中心进行服务注册，同时向全网进行服务信息发布并更新服务目录以供其他系统查询和调用，完成新系统的安全接入和进入正常运行过程。配置与服务注册模块包括配置单元、信息同步单元、服务检索与查询单元、服务注册单元、服务发布单元和服务管理中心。

监测与安全验证模块的数据分析与处理单元以及配置与服务注册模块的服务检索与查询单元分别与人机界面进行数据交互；验证单元与配置单元之间进行数据交互。

本发明提供的基于企业集成总线的系统接入管理方法流程如图2所示，包括下述步骤：

（1）系统追踪：

系统追踪作为集成总线接入管理的首要环节，由运行管理中心动态监测总线接入接口的传输、控制及运行情况，追踪监测新系统的软硬件接入和通信连接请求。该环节通过接口监测、数据分析与处理及入侵检测三个功能单元实现。接口监测单元调用接入监测程序不间断监测所有接口的接入与通信连接变化情况，并将监测数据传入数据分析与处理单元进行分析，判断是否出现检测到新系统接入、断开或通信连接请求、异常、恶意攻击等情况，系统正常接入则进行接入验证。入侵检测主要针对网络恶意攻击、系统非法接入、违反授权等接口安全威胁进行检测识别和隔离处理。

系统追踪包括下述步骤：

A、总线接口监控程序不间断进行接口侦听与监测；

B、判断是否监测到新系统物理接入且同时收到新系统接入请求：若监测到新系统物理接入且同时收到系统接入请求申请，则受理该接入请求并进入下一个步骤，否则调用网络入侵检测程序进行恶意入侵检测，隔离该接口并发出告警信息。

（2）接入验证：

接入认证主要是用于检查接入总线的系统身份安全性与合法性，包含安全验证、权限验证以及网络验证三大部分。安全验证是受理系统接入请求之后进行的安全性测试与验证，检测系统是否存在安全漏洞、携带病毒、含恶意代码等安全隐患。

权限验证是通过问答、数字证书或消息摘要、数字签字等方式对系统身份、接入权限、访问权限等进行验证，确保系统在满足安全接入的条件下具备总线接入权限，有效拦截越权访问或系统接入请求。同时，获取的系统权限信息也可以进行后续的授权管理及资源动态配置。

网络验证用于检测系统的通信连接配置、通信接口兼容性问题，确保系统能够在总线上进行无缝信息传输与数据交互。

在软件上，通过设计系统接入验证程序实现对新接入系统的安全、权限及网络信息验证。在硬件上，接入验证通过在认证服务器的基础上与交换机、集线器等网络设备协同工作来实现，接入网络的硬件终端通过安装代理，经过身份合法性检测之后接入交换机，接入以后需对对交换机进行重新配置。

（3）标识绑定：

标识绑定通过配置单元和信息同步单元实现，标识绑定包括下述步骤：

<1>系统经过接入验证以后，总线将调用配置程序、运行参数修改信息和系统运行配置文件重新进行总线运行参数配置；

<2>为新接入的系统分配唯一的全局资源标识并进行系统ID、IP地址参数配置信息绑定；

<3>向总线上的所有系统发送绑定更新通知，在整个总线网络进行信息同步。

系统标识绑定通过总线启动动态配置管理程序、在原有配置文件的基础上结合管理员录入的配置信息和总线动态运行配置信息共同生成新的总线配置文件，调用绑定程序对文件中的敏感信息进行写保护，设置修改权限，最后生成配置更新事件消息向总线上所有系统进行广播，收到消息的系统反馈接收成功信息并读取配置消息文件重新进行系统配置，配置操作完成之后向总线配置管理中心反馈配置结果信息，完成总线接入配置过程。

（4）服务注册

系统完成标识绑定与接入配置过程正式投入运行之前，还需要在总线上的服务注册中心进行服务注册，服务注册通过服务检索与查询单元、服务注册单元、服务发布单元和服务管理中心实现，所述服务注册包括下述步骤：

①服务注册：服务注册程序读入系统供调用的服务清单进行权限审核；

②服务目录更新：审核通过后向服务注册单元添加新服务并自动进行服务目录更新；

③服务发布：更新完成后向全网发布更新信息，接受总线上系统的服务搜索、查询以及调用请求，完成系统全部接入工作，从而正式接受总线管理调度完成接入操作正式进入运行阶段。

本发明从安全防护与接入效率角度出发，通过对信息系统进行接入追踪、安全验证、标识绑定和服务注册与发布四个环节的接入管理，优化总线接入管理流程，提高总线安全接入与配置管理的效率。本发明实现系统的快速识别、检测、验证和接入管理，为信息系统以“即插即用”方式接入总线提供技术支持。

最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制，尽管参照上述实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者等同替换，而未脱离本发明精神和范围的任何修改或者等同替换，其均应涵盖在本发明的权利要求范围当中。

Claims (1)

1.一种基于企业集成总线的系统接入管理方法，其特征在于，所述方法用的系统包括：

人机界面：用于负责安全告警、配置错误、接入系统异常信息的展示与发布；

监测与安全验证模块：用于实现总线接口的系统追踪监测、入侵检测、安全检测及安全日志记录；所述监测与安全验证模块包括数据分析与处理单元、接入监测单元、入侵监测单元、验证单元和数据库；

配置与服务注册模块：用于完成系统接入以及系统接入后的信息配置与服务注册；所述配置与服务注册模块包括配置单元、信息同步单元、服务检索与查询单元、服务注册单元、服务发布单元和服务管理中心；

所述方法包括下述步骤：

(1)系统追踪；

(2)接入验证；

(3)标识绑定；

(4)服务注册；

所述步骤(1)中，系统追踪通过数据分析与处理单元、接入监测单元以及入侵监测单元实现，所述系统追踪包括下述步骤：

A、总线接口监控程序不间断进行接口侦听与监测；

B、判断是否监测到新系统物理接入且同时收到新系统接入请求：若监测到新系统物理接入且同时收到系统接入请求申请，则受理该接入请求并进入下一个步骤，否则调用网络入侵检测程序进行恶意入侵检测，隔离该接口并发出告警信息；

所述步骤(2)中，接入认证用于检查接入总线的系统身份安全性与合法性，依次包含安全验证、权限验证以及网络验证；

安全验证是受理系统接入请求之后进行的安全性测试与验证，若存在安全隐患则发布告警信息；

权限验证是通过问答、数字证书或消息摘要、数字签字方式对系统身份、接入权限、访问权限进行验证，若存在权限错误，则给出权限错误信息提示；

网络验证用于检测系统的通信连接配置、通信接口兼容性问题，若存在通信连接错误或通信接口兼容性错误，则给出通信配置信息错误提示；

所述步骤(3)中，所述标识绑定通过配置单元和信息同步单元实现，所述标识绑定包括下述步骤：

<1>资源配置更新：系统经过接入验证后，总线将调用配置程序、运行参数修改信息和系统运行配置文件重新进行总线运行参数配置；

<2>系统标识分配：为新接入系统分配唯一的全局资源标识并进行系统ID、IP地址参数配置信息绑定；

<3>配置信息网络同步：向总线上的所有系统发送绑定更新通知，在整个总线网络进行信息同步，完成新接入系统在整个总线网络中的标识分配与绑定；

所述步骤(4)中，所述服务注册通过服务检索与查询单元、服务注册单元、服务发布单元和服务管理中心实现，所述服务注册包括下述步骤：

①服务注册：服务注册程序读入系统供调用的服务清单进行权限审核；

②服务目录更新：审核通过后向服务注册单元添加新服务并自动进行服务目录更新，

③服务发布：更新完成后向全网发布更新信息，接受总线上系统的服务搜索、查询以及调用请求，完成系统全部接入工作，接收总线统一调度与管理开始正常运行。