CN104270334A - 一种ssh网络安全访问协议监测方法 - Google Patents

Abstract

本发明提供了一种SSH网络安全访问协议监测方法，每当客户端或者服务器端有数据传输到SSH运维会话代理模块时，SSH运维会话代理模块会对截获数据包进行记录、分析，然后转发到通信的另一端，当客户端或运维设备服务器任意一方或两方会话断开，SSH会话代理模块自动切断另一端连接，释放相应的资源；数据处理单元一方面转发数据包，另一方面将数据写入共享缓区，以便记录数据完整记录运维人员的操作过程，包括执行的有效命令以及相应的结果。本发明实现了对SSH会话数据的记录、转发、监控，从而对运维人员实行监测，为运维安全提高保证，解决了账号共享问题，对于运维事故可以定位到个人，由于UNIX/linux操作系统占据了服务器操作系统的主要市场，本方法具有广泛的应用范围。

Description

一种SSH网络安全访问协议监测方法

技术领域

本发明涉及网络安全领域，具体涉及一种安全访问监测方法。

背景技术

当今的时代是一个信息化社会，信息系统已成为各企事业单位业务运营的基础，由于信息系统运维人员掌握着信息系统的最高权限，一旦运维操作出现安全问题将会给企业单位带来巨大的损失。因此，加强对运维人员操作行为的监管与审计是信息安全发展的必然趋势。

传统的网络服务程序，如rsh、FTP、POP和Telnet其本质上都是不安全的，因为它们在网络上用明文传送数据、用户帐号和用户口令，很容易受到中间人（man-in-the-middle）攻击方式的攻击。即存在另一个人或者一台机器冒充真正的服务器接收用户传给服务器的数据，然后再冒充用户把数据传给真正的服务器。

SSH是目前较可靠、专为远程登录会话和其他网络服务提供安全性的协议。利用SSH协议可以有效防止远程管理过程中的信息泄露问题，其可对所有传输的数据进行加密，也能够防止DNS欺骗和IP欺骗。所以SSH远程连接是UNIX/linux服务器远程运维最常用的客户端。因此，设计一种SSH会话数据的记录、转发、回放、监控的实现方法是很有必要的。

发明内容

发明目的：本发明的目的在于针对现有技术的不足，提供一可提高运维安全管控能力的SSH网络安全访问协议监测方法。

技术方案：本发明提供了一种SSH网络安全访问协议监测方法，对标准SSH会话的审计由SSH运维会话代理模块实现，包括以下步骤： 

（1）SSH运维会话代理模块初始化配置参数，建立监听端口，等待客户端的连接；

（2）客户端连接SSH协议服务单元，同时，SSH运维会话代理模块调用连接控制与认证模块验证客户端身份；

（3）通过身份验证之后，连接控制与认证模块返回实际运维设备的登录名和密码，由SSH协议客户端单元发起对实际运维设备的SSH会话请求，两个会话建立过程遵循标准的SSH协议协商过程；

（4）当两端会话建立成功后，客户端对运维设备进行操作，每当客户端或者服务器端有数据传输到SSH运维会话代理模块时，SSH运维会话代理模块会对截获数据包进行记录、分析，然后转发到通信的另一端，当客户端或运维设备服务器任意一方或两方会话断开，SSH会话代理模块自动切断另一端连接，释放相应的资源。

对SSH运维会话数据的记录和解析由数据处理单元实现，包括以下步骤：

（1）数据处理单元一方面转发数据包，另一方面将数据写入共享缓区，以便记录数据完整记录运维人员的操作过程，包括执行的有效命令以及相应的结果；

（2）如果当前会话正接受管理人员的监控，SSH运维会话代理模块会接收到SSH监控模块发来的消息，这时共享数据区会将相应会话的数据包发送给SSH 监控模块，并由该模块将数据发往客户端监控插件进行展示，从而实现SSH会话的实时监控功能；

（3）SSH运维会话代理模块接受管理模块发送的消息，在任意时刻，监控人员皆可主动切断运维人员的SSH运维会话，有效防止非法操作的发生。

有益效果：本发明提供了一种SSH会话数据的记录、转发、监控的方法，从而对运维人员实行监测，为运维安全提高保证，解决了账号共享问题，对于运维事故可以定位到个人，由于UNIX/linux操作系统占据了服务器操作系统的主要市场，本方法具有广泛的应用范围。

附图说明

图1为本发明方法的现场设备网络拓扑结构示意图；

图2为代理程序工作流程图；

图3为SSH运维会话代理转发解析流程图；

图4为数据处理单元解析数据的算法流程图。

具体实施方式

下面对本发明技术方案进行详细说明，但是本发明的保护范围不局限于所述实施例。

实施例：提出了一种SSH网络安全访问协议监测方法实现SSH会话数据的记录、转发、回放、监控等功能。

图1所示是本实施例的现场设备网络拓扑结构示意图。运维人员即运维客户端通过SSH会话代理服务器访问远程设备，且代理服务器将客户的请求转发给后台服务器（SSH服务器和SFTP服务器），并将后台服务器发回的结果转发给客户。

图2为本实施例代理程序工作流程图。首先SSH运维会话代理模块初始化配置参数，建立监听端口，等待客户端的连接。客户端连接SSH协议服务单元，此过程中，代理模块调用连接控制与认证模块验证客户端身份。通过身份验证之后，认证模块会返回实际运维设备的登录名和密码，由SSH协议客户端单元发起对实际运维设备的SSH会话请求，两个会话建立过程遵循标准的SSH协议协商过程。当两端会话建立成功后，客户端就可以对运维设备进行操作了。每当客户端或者服务器端有数据传输到代理模块时，代理模块会对截获数据包进行记录、分析，然后转发到通信的另一端。当客户端或运维设备服务器任意一方或两方会话断开，SSH会话代理模块会自动切断另一方连接，释放相应的资源。

图3为本实施例SSH运维会话代理转发解析流程图。线程开始，首先添加新的会话，若失败则退出。若成功则获取客户端用户名和密码并认证，认证失败则退出；若认证成功，则开始连接远程服务器。通过使用远程服务器的用户名密码登上目标设备远程服务器，启动数据处理单元，直到会话终止或连接断开或超时。数据处理单元实现SSH运维会话数据的记录和解析，一方面转发数据包，另一方面将数据写入共享缓区，以便把数据记录下来实现完整记录运维人员的操作过程，包括选择执行的有效命令以及相应的结果等，如果工作模式不是免检，那么解析数据，并将数据写到缓冲区，循环操作，直到会话终止。终止会话后要执行清理工作，释放内存。

如果当前会话正接受管理人员的监控，代理模块会接收到SSH 监控模块发来的消息，这时共享数据区会将相应会话的数据包发送给监控模块，并由该模块将数据发往客户端监控插件进行展示，从而实现SSH会话的实时监控功能。SSH运维会话代理模块能够接受管理模块发送的消息，在任意时刻，监控人员都可以主动切断运维人员的SSH运维会话，有效防止非法操作的发生。

图4为上述步骤中数据处理单元解析数据的算法流程图。该算法首先要初始化一个有效的待解匹配的终端控制码表，然后对缓冲区的字符逐个进行解析。读取输入缓冲区的一个字节后与控制码表进行比对，若不是控制字符，则将它存入到输出缓冲区。若读到的是一个控制字符，则判断控制字符是否是结束符。如果不是结束符，继续读输入缓冲区的字节；如果是结束符，按照相应的终端控制码的功能对输出缓冲区进行处理。当输入缓冲区处理完成之后，根据当前输出缓冲区以及光标的位置输出有效的命令内容。

Claims (1)

1.一种SSH网络安全访问协议监测方法，其特征在于：对标准SSH会话的审计由SSH运维会话代理模块实现，包括以下步骤： 

（1）SSH运维会话代理模块初始化配置参数，建立监听端口，等待客户端的连接；

（2）客户端连接SSH协议服务单元，同时，SSH运维会话代理模块调用连接控制与认证模块验证客户端身份；

（3）通过身份验证之后，连接控制与认证模块返回实际运维设备的登录名和密码，由SSH协议客户端单元发起对实际运维设备的SSH会话请求，两个会话建立过程遵循标准的SSH协议协商过程；

（4）当两端会话建立成功后，客户端对运维设备进行操作，每当客户端或者服务器端有数据传输到SSH运维会话代理模块时，SSH运维会话代理模块会对截获数据包进行记录、分析，然后转发到通信的另一端，当客户端或运维设备服务器任意一方或两方会话断开，SSH会话代理模块自动切断另一端连接，释放相应的资源；

对SSH运维会话数据的记录和解析由数据处理单元实现，包括以下步骤：

（1）数据处理单元一方面转发数据包，另一方面将数据写入共享缓区，以便记录数据完整记录运维人员的操作过程，包括执行的有效命令以及相应的结果；

（2）如果当前会话正接受管理人员的监控，SSH运维会话代理模块会接收到SSH监控模块发来的消息，这时共享数据区会将相应会话的数据包发送给SSH 监控模块，并由该模块将数据发往客户端监控插件进行展示，从而实现SSH会话的实时监控功能；

（3）SSH运维会话代理模块接受管理模块发送的消息，在任意时刻，监控人员皆可主动切断运维人员的SSH运维会话，有效防止非法操作的发生。