CN104731892A - 一种集中式文件服务系统的拟态防篡改方法 - Google Patents

Abstract

本发明属于计算机科学与技术领域。具体涉及一种集中式文件服务系统的拟态防篡改方法，所针对的是中小型文件服务系统，其核心是单台的文件服务器或文件服务器集群。本发明用多个文件服务器变体替代单台文件服务器并在其中引入仲裁器。客户的文件写操作请求被同时递交给多个文件服务器，各文件服务器独立处理文件写请求，生成多个独立的文件副本。仲裁器对各文件副本进行裁决，删除安全性较差的副本，保留安全性最高的副本。本发明可以发现单个文件服务器的异常行为，可以纠正异常服务器对文件的篡改，可以提高文件服务系统的随机性和动态性，降低被劫持后的数据损失，提升集中式文件服务系统的整体安全性。

Description

一种集中式文件服务系统的拟态防篡改方法

技术领域

本发明属于计算机科学与技术信息安全领域，具体涉及一种集中式文件服务系统的拟态防篡改方法。

背景技术

文件服务是最常见的网络服务之一，中小型文件服务系统的使用范围十分广泛。小型文件服务系统通常由单台文件服务器和多个客户组成，中型文件服务系统中可能配置的是一个文件服务器集群。中小型文件服务系统通常采用集中式的文件管理方式，系统中的文件由文件服务器统一管理。客户直接向文件服务器提出操作请求，文件服务器处理客户的请求，将结果反馈给客户。

集中式文件服务系统结构简洁，管理方便，但存在着安全隐患。如果文件服务器中的漏洞或陷门被利用，整个文件服务系统就会被劫持，劫持者可以随意窃取、篡改系统中的文件。

对文件服务系统进行安全加固的措施有多种，如加强客户身份认证机制、加强访问控制机制、增加防火墙和入侵检测机制、增加加解密机制等，但应该承认文件服务系统中的漏洞和陷门总是存在的，不管如何增强，系统仍然有被劫持的可能性。

发明内容

本发明针对现有技术存在集中式文件服务器中的漏洞或陷门被利用，整个文件服务系统就会被劫持，劫持者可以随意窃取、篡改系统中的文件等问题，提出一种集中式文件服务系统的拟态防篡改方法，利用可能带有漏洞和陷门的文件服务器软件和硬件平台构建集中式的文件服务系统，在单个文件服务器可能被劫持的情况下，及时发现被篡改的文件并将其恢复到正常状态，解决集中式文件服务系统中的文件篡改问题。

本发明的技术方案是：一种集中式文件服务系统的拟态防篡改方法，硬件包括客户端、文件服务器、块设备管理器、文件操作收发器和仲裁器，分别运行在不同的计算机中，所述计算机是独立的计算机系统或为虚拟机，其特征在于：拟态防篡改的步骤为：

步骤一：引入同一文件服务器软件的多个变体，让不同的文件服务器运行不同的软件变体，将文件服务系统中的单文件服务器改为多文件服务器；

步骤二：设立块设备管理器，统一管理系统中的所有块设备RDisk，在块设备管理器中引入块设备虚拟化层，为系统中的每个文件服务器模拟出一块虚拟磁VDisk，在VDisk中记录文件服务器对RDisk的修改结果；

步骤三：设立仲裁器周期性地比较各VDisk中最近创建或修改过的文件，选出安全性最高的VDisk，将其内容同步到RDisk和其余VDisk中，让RDisk接受被选中文件服务器的修改结果，使各VDisk与RDisk回归一致。

所述的集中式文件服务系统的拟态防篡改方法，文件服务器软件变体是同一文件服务器软件在不同处理器、不同操作系统中采用不同的程序设计语言、不同的设计算法、由不同的开发团队开发的不同实现版本，如Windows中的NTFS、Linux中的NTFS、Unix中的NTFS；所有文件服务器软件变体的正常行为应该是一样的；文件服务器变体的数量应不少于3个，以便根据“少数服从多数”的原则对文件副本进行仲裁。

所述的集中式文件服务系统的拟态防篡改方法，所述块设备管理器通过块设备虚拟化层中的VDisk映射表实现VDiks的隔离功能，每台文件服务器都只能访问自己的VDisk。

所述的集中式文件服务系统的拟态防篡改方法，所述虚拟磁盘VDisk应是物理磁盘RDisk的镜像，初始情况下，VDisk上的文件系统应与RDisk上的文件系统完全一样；文件服务器对RDisk的修改结果全部记录在与之对应的VDisk中，RDisk保持不变。

所述的集中式文件服务系统的拟态防篡改方法，所述仲裁器能够读取所有VDisk中的数据块，便于比较各VDisk上文件系统的一致性；仲裁器在进行文件仲裁之前需要请求各文件服务器将缓存中的数据刷新到VDisk中；仲裁器选出一个安全性最高的VDisk，将其内容同步到RDisk和其余的VDisk中，让RDisk接受被选中的文件服务器的修改结果，使各VDisk与RDisk回归一致，并废弃其余文件服务器的修改结果。

所述的集中式文件服务系统的拟态防篡改方法，在所述仲裁器完成仲裁之后，各文件服务器在新的VDisk上重新开始工作，其中的缓存全部失效，各文件服务器看到的文件系统应与同步后的RDisk完全一致。

所述的集中式文件服务系统的拟态防篡改方法，所述文件操作收发器，用于统一管理针对文件服务器的文件操作请求；文件操作收发器接收来自客户的文件操作请求并将其转发给所有的文件服务器；或者仅转发给特定的几个文件服务器。

所述的集中式文件服务系统的拟态防篡改方法，所述文件操作收发器收集来自各文件服务器的操作结果并对其进行评估和筛选，仅将选出的一个操作结果返还给请求者客户；文件操作收发器能够停止转

发文件操作请求或者恢复转发文件操作请求；当需要停止转发文件操作请求时，文件操作收发器应保证所有的文件服务器停止在相同的操作位置，之前的操作已经完成，之后的操作都未转发；在恢复转发文件操作时，文件操作收发器应保证各文件服务器所面对的文件操作请求是完全一样的。

所述的集中式文件服务系统的拟态防篡改方法，所述仲裁器选用任意一种仲裁策略，只要能选出最安全的VDisk即可；仲裁策略包括择多策略，即少数服从多数，统计策略，统计各VDisk文件的一致性分值，评估策略，用现有的病毒检查评估个VDisk的安全性。

所述的集中式文件服务系统的拟态防篡改方法，所述仲裁器的仲裁周期是用户设定的仲裁时间间隔，可以是若干秒、若干分钟、若干小时、若干天。

本发明的有益效果是：1、文件服务系统由多个文件服务器变体组成，各变体服务器功能一致但实现各异，且运行在不同的硬件平台和操作系统环境中，变体服务器中的漏洞类型和存在位置各不相同，多个文件服务器变体同时被劫持的可能性很小。即使某个文件服务器变体被劫持，劫持者对文件的篡改操作也容易被仲裁器发现，篡改结果也容易被清除，文件服务系统的防篡改能力被有效提升。

2、在正常运行过程中，RDisk的内容保持不变，文件服务器对文件系统及其中文件的修改全都记录在与之关联的VDisk中，不会影响RDisk，修改结果容易检测，也容易回退。

3、仲裁器在文件系统级别上对最近创建或修改过的文件进行仲裁，仲裁的是各文件服务器的修改结果而不是修改过程，仲裁方法简单。仲裁器的运行独立于文件服务器，不受文件服务器的影响，也不影响文件服务器的正常工作，对文件服务系统的性能影响较小；文件服务系统中的多个变体服务器独立工作，但对外仅表现为一个文件服务系统，客户难以确定哪个文件服务器的写操作能够被真正实施，整个文件服务系统的随机性和动态性大大提升，对其预测的难度大大增加。文件操作收发器可对各文件服务器的读出结果进行比对，从中可发现异常的文件读操作和非法的数据泄露并将其丢弃，从而可提升文件服务系统的防窃取能力。

附图说明

图1为基于虚拟磁盘的集中式文件服务系统框架；

图2为VDisk与RDisk映射关系示意图；

图3是文件操作收发器工作示意图；

图4是RDisk同步操作示意图。

具体实施方式

实施例1：结合图1-图4，一种集中式文件服务系统的拟态防篡改方法，硬件包括客户端、文件服务器、块设备管理器、文件操作收发器和仲裁器，分别运行在不同的计算机中，所述计算机是独立的计算机系统或为虚拟机，拟态防篡改的步骤为：

步骤一：引入同一文件服务器软件的多个变体，让不同的文件服务器运行不同的软件变体，将文件服务系统中的单文件服务器改为多文件服务器。文件服务器软件变体是对同一文件服务器软件的不同实现，是针对不同处理器和不同操作系统的不同实现版本；所有文件服务器软件变体的正常行为应该是一样的；文件服务器变体的数量应不少于3个，以便根据“少数服从多数”的原则对文件副本进行仲裁。

步骤二：设立块设备管理器，统一管理系统中的所有块设备RDisk，在块设备管理器中引入块设备虚拟化层，为系统中的每个文件服务器模拟出一块虚拟磁VDisk，在VDisk中记录文件服务器对RDisk的修改结果；所述块设备管理器应具有隔离功能，文件服务器应只能访问自己的VDisk。虚拟磁盘VDisk应是物理磁盘RDisk的镜像，初始情况下，VDisk上的文件系统应与RDisk上的文件系统完全一样；文件服务器对RDisk的修改结果全部记录在与之对应的VDisk中，RDisk保持不变。。

步骤三：设立仲裁器周期性地比较各VDisk中最近创建或修改过的文件，选出安全性最高的VDisk，将其内容同步到RDisk和其余VDisk中，让RDisk接受被选中文件服务器的修改结果，使各VDisk与RDisk回归一致，并废弃其余文件服务器的修改结果。所述仲裁器能够读取所有VDisk中的数据块，便于比较各VDisk上文件系统的一致性；仲裁器选用任意一种仲裁策略，只要能选出最安全的文件副本即可；仲裁器在进行文件仲裁之前需要请求各文件服务器将缓存中的数据刷新到VDisk中；仲裁器完成仲裁之后，各文件服务器在新的VDisk上重新开始工作，其中的缓存全部失效，各文件服务器看到的文件系统应与同步后的RDisk完全一致。

集中式文件服务系统的拟态防篡改方法，其特征在于：所述文件操作收发器，用于统一管理针对文件服务器的文件操作请求；文件操作收发器接收来自客户的文件操作请求并将其转发给所有的文件服务器；或者仅转发给特定的几个文件服务器。所述文件操作收发器收集来自各文件服务器的操作结果并对其进行评估和筛选，仅将选出的一个操作结果返还给请求者客户；文件操作收发器能够停止转发文件操作请求或者恢复转发文件操作请求；当需要停止转发文件操作请求时，文件操作收发器应保证所有的文件服务器停止在相同的操作位置，之前的操作已经完成，之后的操作都未转发；在恢复转发文件操作时，文件操作收发器应保证各文件服务器所面对的文件操作请求是完全一样的。

集中式文件服务系统的拟态防篡改方法，所述仲裁器选用任意一种仲裁策略，只要能选出最安全的VDisk即可；仲裁策略包括择多策略，即少数服从多数，统计策略，统计各VDisk文件的一致性分值，评估策略，用现有的病毒检查评估个VDisk的安全性。仲裁器的仲裁周期是用户设定的仲裁时间间隔，可以是若干秒、若干分钟、若干小时、若干天。

实施例2，结合图1-图4，所述集中式文件服务系统的拟态防篡改方法，客户端FS Client、文件服务器FS Server、块设备管理器、文件操作收发器和仲裁器分别运行在不同的计算机中。这里说的计算机可以是独立的计算机系统，也可以是虚拟机。

所述拟态防篡改方法中，块设备管理器负责管理和驱动系统中的存储设备，如磁盘、盘阵等。块设备管理器将系统中的块设备抽象成逻辑块的数组，并向文件服务器提供统一的块操作接口。

所述拟态防篡改方法中，RDisk是系统中实际配置的物理块设备，可能是磁盘分区、独立磁盘、盘阵等。RDisk已被格式化，并已在其上安装了物理文件系统，如EXT、XFS、NTFS、FAT32等。RDisk中的文件由其上的物理文件系统统一管理，文件服务器对RDisk中文件的管理必须遵循该类物理文件系统的约定。

所述拟态防篡改方法中，文件服务器是同一物理文件系统的不同变体，其类型和版本与RDisk上的物理文件系统一致。如RDisk上的物理文件系统为NTFS，文件服务器可以是NTFS在Windows、Linux、Unix等操作系统中针对X86、PPC、ARM等处理器的实现。所有的文件服务器都可以将RDisk上的文件系统安装到本地，并对其实施独立的文件管理操作，如创建、删除、读、写文件等。

所述拟态防篡改方法中，块设备虚拟化层采用Copy on Write技术，以系统中实际的块设备RDisk和虚盘文件VDfile为基础，通过VDisk映射表为每个文件服务器虚拟出一个VDisk，使每个文件服务器都拥有独立的块设备。

虚盘文件VDfile用于记录文件服务器对RDisk的修改结果，可以是文件、磁盘分区或磁盘设备。VDisk = Rdisk ± VDfile，“±”操作的意思是用VDfile的内容覆盖RDisk。VDisk映射表记录VDisk数据块的存储位置，表项为空表示数据块在RDisk中，表项不空表示数据块在VDfile中。块设备虚拟化层为每块VDisk建立一个VDfile和一个VDisk映射表。当收到来自文件服务器j的块读写请求时，块设备虚拟化层仅访问与VDisk j对应的映射表和VDfile，从而实现VDisk的隔离与保护。

初始情况下，各VDfile文件都是空的，VDisk与RDisk完全一样。

文件服务器向VDisk的第i块写入数据的过程如下：

1）文件服务器将块号i和数据内容发送到块设备管理器的块设备虚拟化层。

2）块设备虚拟化层以i为索引查与文件服务器对应的VDisk映射表，获取映射表中第i项的值k；

a.如果映射表项不空，说明VDsik的第i块已被写过，其内容已被记录在VDfile的第k块中，用新数据将其覆盖即可；

b.如果映射表项为空，说明VDisk的第i块未被写过，k是在VDfile中新分配的一个空闲块的块号，新数据块应写在VDfile的第k块中，k的值也要记录在映射表中。

3）将数据内容写入VDfile的第k块中；

文件服务器从VDisk的第i块读出数据的过程如下：

1）文件服务器将块号i发送到块设备管理器的块设备虚拟化层；

2）块设备虚拟化层以块号i为索引查与文件服务器对应的VDisk映射表，获取i映射表中第i项的值k；

3）如果k不空，则读出VDfile的第k块；如果k为空，则读出RDisk的第i块。

如图2所示，文件服务器修改了VDisk的第1、13、15块，修改后的结果记录在VDfile文件的0、2、4块中，其余块未被改过。对文件服务器来说，RDisk是只读的，不管如何修改，其内容都保持不变。VDfile文件中仅记录文件服务器新写入的逻辑块，未修改过的块都在RDisk中。

当需要操作文件服务系统中的文件时，客户将文件操作请求递交给文件操作收发器。

文件操作收发器收集来自客户的文件操作请求，将它们加入到待发送请求队列中排队。收发器中的调度器决定请求转发的顺序和转发的方法，如将文件操作请求广播给所有的文件服务器，或仅转发给某个特定的文件服务器。转发后的请求被转移到待应答队列中，在其中等待来自文件服务器的操作应答，如图3所示。

收到请求的文件服务器独立完成文件级I/O决策，将文件I/O操作请求转化成块设备I/O操作请求，并将其递交给块设备管理器。块设备管理器在VDisk上实施块级的I/O操作，并将结果返还给文件操作收发器。

文件操作收发器收集来自文件服务器的操作结果。当各文件服务器的应答全部到达之后，收发器中对应答进行检查和评估，如比较各应答内容的一致性等，从中选出一个应答返还给请求者客户，并丢弃其余的应答。

仲裁器是一个特殊的文件服务器，可以访问各VDisk中的文件系统。由于仲裁器看到的是文件系统，因而可以利用成熟的技术和工具，在文件系统级检查各VDisk中文件系统的完整性、一致性、安全性等。

仲裁器独立于文件服务器和块设备管理器之外，不参与常规的文件I/O操作，平时可以处于睡眠状态。在适当的时候，如定时器到期、系统空闲、文件服务器故障、管理员请求等，仲裁器才启动运行。仲裁器启动之后，逐个检查各个VDisk中的文件系统，如比较最近修改过的文件，看它们在各个文件系统中的内容是否一致等，对各文件服务器的文件系统进行安全性评估，从中选出一个安全性、可靠性最高的VDisk，作为同步源。

在选出同步源之后，如时机成熟，仲裁器启动同步操作，将同步源的VDfile文件中的内容逐块复制到RDisk中，而后清空各VDisk的映射表和VDflie文件，并请求各文件服务器释放与文件系统相关的缓存或重装文件系统，从而进入下一个同步周期。当各文件服务器再次开始处理文件操作请求时，它们所看到的又是完全一样的文件系统。除被选为同步源的文件服务器之外，其余文件服务器对文件系统的修改，不管是合法的还是非法的，均被废弃，各文件服务器又处于一致的状态。

如图4所示，文件服务器x在运行过程中试图修改RDisk的第1、13、15块，修改企图被记录在VDfile x中。在进行同步操作时，如仲裁器选中VDisk x为同步源，那么文件VDfile x的内容被逐块拷贝到RDisk中，等价于RDisk接受了文件服务器x的文件修改企图。拷贝工作完成之后，RDisk与VDisk x中的文件系统完全一样，相当于在上一个周期中文件服务器x直接修改了RDisk，它对文件系统的修改被采纳。其余VDisk的映射表和VDfile文件被清空，相当于在上一个周期中其余文件服务器对文件系统的修改被废弃。

由于缓存的存在，当仲裁器需要检查某个文件服务器的文件系统时，需要先请求该文件服务器刷新缓存，即将文件服务器对文件系统的修改全部写回VDisk，以便仲裁器能从中读出文件系统的最新状态。

在仲裁器进行同步操作之前，需要同时停止所有文件服务器的文件修改动作，并需要保证各文件服务器停止在相同的操作位置。在同步完毕之后、各文件服务器开始下一周期的服务之前，各文件服务器所面对的文件操作请求必须是完全一样的。如果在新的周期开始时，文件服务器所面对的文件操作请求有差异，就有可能造成文件系统的不一致。如文件操作请求Q已在同步之前被文件服务器1处理过但未被文件服务器2处理，那么在新的周期中，文件服务器2会比文件服务器1多做一次文件操作Q，VDisk1就会与Vdisk2不同。

当需要进行VDisk到RDisk的同步时，仲裁器向文件操作收发器发出暂停转发请求的指令。当收到暂停指令之后，文件操作收发器停止向文件服务器转发文件操作请求，并等待已转发的请求处理完毕；当待应答请求队列变空后，说明所有已转发的请求已被所有的文件服务器处理完毕，可请求各文件服务器刷新自己的缓存，将所有的修改写回自己的VDisk；当刷新工作完成之后，说明各文件服务器已进入空闲状态，告知仲裁器可以启动仲裁或同步操作。

在同步工作完成之后，仲裁器再向文件操作收发器发出恢复转发请求的指令。收到恢复指令之后，文件收发器重启请求转发工作，将待转发请求队列中的文件操作请求逐个发送到文件服务器，从而开始新的处理周期。

由于文件操作收发器的加入，在新的处理周期开始之时，各文件服务器面对的是完全一样的文件系统和完全一样的文件操作请求队列，可保证文件系统的一致性。

Claims (10)

1.一种集中式文件服务系统的拟态防篡改方法，硬件包括客户端、文件服务器、块设备管理器、文件操作收发器和仲裁器，分别运行在不同的计算机中，所述计算机是独立的计算机系统或为虚拟机，其特征在于：拟态防篡改的步骤为：

步骤一：引入同一文件服务器软件的多个变体，让不同的文件服务器运行不同的软件变体，将文件服务系统中的单文件服务器改为多文件服务器；

步骤二：设立块设备管理器，统一管理系统中的所有块设备RDisk，在块设备管理器中引入块设备虚拟化层，为系统中的每个文件服务器模拟出一块虚拟磁VDisk，在VDisk中记录文件服务器对RDisk的修改结果；

步骤三：设立仲裁器周期性地比较各VDisk中最近创建或修改过的文件，选出安全性最高的VDisk，将其内容同步到RDisk和其余VDisk中，让RDisk接受被选中文件服务器的修改结果，使各VDisk与RDisk回归一致。

2.根据权利要求1所述的集中式文件服务系统的拟态防篡改方法，其特征在于：文件服务器软件变体是同一文件服务器软件在不同处理器、不同操作系统中采用不同的程序设计语言、不同的设计算法、由不同的开发团队开发的不同实现版本，如Windows中的NTFS、Linux中的NTFS、Unix中的NTFS；所有文件服务器软件变体的正常行为应该是一样的；文件服务器变体的数量应不少于3个，以便根据“少数服从多数”的原则对文件副本进行仲裁。

3.根据权利要求1所述的集中式文件服务系统的拟态防篡改方法，其特征在于：所述块设备管理器通过块设备虚拟化层中的VDisk映射表实现VDiks的隔离功能，每台文件服务器都只能访问自己的VDisk。

4.根据权利要求1所述的集中式文件服务系统的拟态防篡改方法，其特征在于：所述虚拟磁盘VDisk应是物理磁盘RDisk的镜像，初始情况下，VDisk上的文件系统应与RDisk上的文件系统完全一样；文件服务器对RDisk的修改结果全部记录在与之对应的VDisk中，RDisk保持不变。

5.根据权利要求1所述的集中式文件服务系统的拟态防篡改方法，其特征在于：所述仲裁器能够读取所有VDisk中的数据块，便于比较各VDisk上文件系统的一致性；仲裁器在进行文件仲裁之前需要请求各文件服务器将缓存中的数据刷新到VDisk中；仲裁器选出一个安全性最高的VDisk，将其内容同步到RDisk和其余的VDisk中，让RDisk接受被选中的文件服务器的修改结果，使各VDisk与RDisk回归一致，并废弃其余文件服务器的修改结果。

6.根据权利要求1所述的集中式文件服务系统的拟态防篡改方法，其特征在于：在所述仲裁器完成仲裁之后，各文件服务器在新的VDisk上重新开始工作，其中的缓存全部失效，各文件服务器看到的文件系统应与同步后的RDisk完全一致。

7.根据权利要求1所述的集中式文件服务系统的拟态防篡改方法，其特征在于：所述文件操作收发器，用于统一管理针对文件服务器的文件操作请求；文件操作收发器接收来自客户的文件操作请求并将其转发给所有的文件服务器；或者仅转发给特定的几个文件服务器。

8.根据权利要求7所述的集中式文件服务系统的拟态防篡改方法，其特征在于：所述文件操作收发器收集来自各文件服务器的操作结果并对其进行评估和筛选，仅将选出的一个操作结果返还给请求者客户；文件操作收发器能够停止转

发文件操作请求或者恢复转发文件操作请求；当需要停止转发文件操作请求时，文件操作收发器应保证所有的文件服务器停止在相同的操作位置，之前的操作已经完成，之后的操作都未转发；在恢复转发文件操作时，文件操作收发器应保证各文件服务器所面对的文件操作请求是完全一样的。

9.根据权利要求5所述的集中式文件服务系统的拟态防篡改方法，其特征在于：所述仲裁器选用任意一种仲裁策略，只要能选出最安全的VDisk即可；仲裁策略包括择多策略：即少数服从多数，统计策略：统计各VDisk文件的一致性分值，评估策略，用现有的病毒检查评估个VDisk的安全性。

10.根据权利要求1所述的集中式文件服务系统的拟态防篡改方法，其特征在于：所述仲裁器的仲裁周期是用户设定的仲裁时间间隔为秒、分钟、小时、天。