CN106991035B - 一种基于微服务架构的主机监控系统 - Google Patents

Abstract

本发明公开了一种基于微服务架构的主机监控系统，其中，包括：Jenkins持续部署环境模块，用于接收各个微服务的升级代码，并对应对各微服务进行代码更新、测试和部署，以及在服务端安装新的微服务；微服务模块，存储有多个微服务，每个微服务用于实现服务端的一项独立功能，向插件管理器提供功能服务，并对系统管理员提供服务端的操作接口；插件管理器用于为各个插件的运行提供基础环境并进行管理；插件是终端安全监控功能的最终执行单元，用于读取服务端下发的安全策略，并依据安全策略中描述对终端进行管控。

Description

一种基于微服务架构的主机监控系统

技术领域

本发明属于网络安全技术领域，特别涉及一种基于微服务架构的主机监控系统。

背景技术

近年来，内网安全问题日益成为人们关注的焦点，据统计，超过50％的网络安全问题源自于内部人员所为。因此，为了满足对内部信息安全监控的需要，主机监控系统应运而生，它能够有效控制内部用户对终端主机和网络的使用，防止内部违规行为的发生，同时具有强大的日志审计功能，以便相关人员日后审查、取证。

目前，主机监控系统主要基于C/S(客户端/服务端)和B/S(浏览器/服务端)的使用模式，管理员通过浏览器访问服务端，并对内网中的终端进行监控和管理。但随着内网计算机终端的日益增多、网络结构的愈发复杂，由此也引发了一些问题：1)网络负载加剧，当网络请求超过服务器并发处理能力后，会造成网络延迟甚至中断；2)主机和用户的逐渐增多，使得与用户相关联的安全策略变得繁杂，进而增加了管理员的运维管理难度；3)对于开发和部署人员而言，为了确保软件升级不影响当前系统正常运行，每次新功能的开发、测试、交付，都会耗费大量时间和精力。

发明内容

本发明的目的在于提供一种基于微服务架构的主机监控系统，用于解决上述现有技术的问题

本发明的一种基于微服务架构的主机监控系统，其中，包括：服务端和客户端，服务端包括：Nginx负载均衡模块、API接入点模块、etcd服务发现模块、Jenkins持续部署环境模块以及微服务模块；客服端包括插件管理器以及多个插件；Jenkins持续部署环境模块，用于接收各个微服务的升级代码，并对应对各微服务进行代码更新、测试和部署，以及在服务端安装新的微服务；微服务模块，存储有多个微服务，每个微服务用于实现服务端的一项独立功能，向插件管理器提供功能服务，并对系统管理员提供服务端的操作接口；etcd服务发现模块，用于获取每个微服务的更新信息以及新增加的微服务信息，并将微服务的访问接口发送给API接入点；API接入点模块，用于提供服务访问接口，客户端通过URL的形式经API接入点模块调用相应的微服务；Nginx负载均衡模块，用于将多个客户端的同一类型的访问，分散给同一微服务的多个副本，来实现网络负载均衡；插件管理器用于为各个插件的运行提供基础环境并进行管理；插件是终端安全监控功能的最终执行单元，用于读取服务端下发的安全策略，并依据安全策略中描述对终端进行管控。

根据本发明的基于微服务架构的主机监控系统的一实施例，其中，微服务的载体通过Docker实现。

根据本发明的基于微服务架构的主机监控系统的一实施例，其中，微服务包括：资产管理微服务模块，用于维护内网的资产数据，每台终端被认为是一个资产，进行资产的注册、登记和销毁；组织管理微服务模块，用于维护内网的组织机构和用户人员信息；策略管理微服务模块，用于维护着安全策略信息，提供安全策略的生成、修改、删除和拉取功能；审计管理微服务模块，用于维护着内网终端所产生的审计数据信息，支持对终端日志的搜集、整理、呈现以及导入导出；文件管理微服务模块，用于维护内网终端安全运行所需的各类文件数据，包括安全策略执行所依赖的插件以及终端上的各类补丁文件。

根据本发明的基于微服务架构的主机监控系统的一实施例，其中，插件管理器包括：配置模块，用于维护客户端和服务端的基本配置信息，包括服务端IP地址、端口以及URL，并且向服务端发起注册请求，以便服务端将其纳为资产；控制模块，负责将服务端下发的安全策略调度给相应的插件，并且控制插件的启动和停止，在终端的正常使用过程中，该模块将各个插件始终维持在运行状态；升级模块，负责接收来自服务端的插件和补丁，执行插件和补丁的安装或更新，以及对整个客户端进行升级；通信模块，负责维持与服务端的通信数据连接，将终端信息、插件信息以及日志信息发送至服务端。

根据本发明的基于微服务架构的主机监控系统的一实施例，其中，插件包括：外设控制插件，用于对USB设备、串行设备、无线网卡、光驱以及打印机的使用进行允许或禁止的控制；软件控制插件，用于对终端上各类软件的运行进行运行或禁止的控制；网络控制插件，用于基于IP、端口或者协议类型，对终端的网络访问进行运行或禁止的控制；文件控制插件，用于对终端某个目录下的文件的操作行为进行控制。

本发明基于微服务架构的主机监控系统，充分考虑主机监控系统高可用性的原则，综合利用客户端的插件架构和服务端的微服务架构，采用开源、成熟、高效的技术和框架，弥补了传统主机监控系统在软件架构上的不足，有效减少了管理员的管理难度，增加了开发运维人员的开发部署效率。具体表现为：(1)客户端采用插件架构，使客户端软件具备良好的功能可扩展性，插件之间彼此独立，可按需进行定制，并且支持弹性管理，插件可以独立地安装、加载和卸载，使得服务端统一推送部署更为方便；(2)服务端采用微服务架构，每个微服务都是一个独立的部署单元，这些单元支持分布式，借助容器机制，保证互相隔离、彼此解耦，并且通过持续集成工具，每个微服务都可以进行持续集成式的开发，可以做到实时部署，不间断升级，同时在服务端入口引入负载均衡机制，保障了Web应用服务的高并发和高容错性；(3)通过引入优秀的第三方软件技术框架，使得主机监控系统具备跨平台、可靠性强的特点。

附图说明

图1所示为本发明基于微服务架构的主机监控系统的模块图；

图2所示为本发明的主机监控系统的一微服务的架构图；

图3所示为插件和插件管理器的示意图；

图4所示为本发明的基于微服务架构的主机监控系统典型部署使用流程图。

具体实施方式

为使本发明的目的、内容、和优点更加清楚，下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。

图1所示为本发明基于微服务架构的主机监控系统的模块图，如图1所示，本发明的基于微服务架构的主机监控系统主要由服务端和客户端两大部分组成，包括：服务端1、客户端2、客户端3。其中，服务端1以软件的形式部署在物理服务器或虚拟机之上。

如图1所示，服务端1包括Nginx负载均衡模块11、API接入点模块12、etcd服务发现模块13，Jenkins持续部署环境模块14，以及多个微服务模块。客服端1和2包括插件管理器以及多个插件。

如图1所示，为满足数量庞大的终端所产生的高并发的要求，在服务端1入口处，通过Nginx负载均衡模块11，其采用Nginx(一种高性能的HTTP和反向代理服务器)，用于将多个客户端的同一类型的访问，分散给同一微服务的多个副本，来实现网络负载均衡。

如图1所示，API接入点12提供REST(一种万维网软件架构风格，目的是便于不同软件/程序在网络中互相传递信息)风格的服务访问接口，客户端2和3的的插件管理器或系统管理员可以通过URL的形式调用相应的微服务，可以更高效地利用缓存来提高响应速度。

如图1所示，对于服务端1的应用服务，诸如组织管理、审计管理、策略管理等，按照业务功能将其分割分成微服务的形式，使其具有松耦合、可扩展、高可用、持续部署的特性。每个微服务都采用开源的Docker容器技术来实现，每个Docker是一个可灵活配置并管理的独立运行环境，内部运行着一个具有特定功能的微服务。该方式能够在降低服务器访问压力的同时，增加微服务之间的隔离性，避免互相影响，由此确保整个服务端的可靠。

如图1所示，etcd服务发现模块13获取每个微服务的更新信息以及新增加的微服务信息，并将微服务的访问接口发送给API接入点12。etcd服务发现模块13是一个高可用的“键/值”存储服务，每个微服务自己随机获取一至多个可用端口并监听，当微服务启动完毕时开始向etcd服务发现模块13注册自己的服务地址，而微服务的使用者则从etcd服务发现模块13中获取所需服务的所有可用地址，从而实现微服务发现。

如图1所示，为了支持微服务的持续开发部署，本发明采用Jenkins持续部署环境模块14作为持续部署工具，Jenkins持续部署环境模块14对Docker支持友好，并有着强大的扩展能力和丰富的插件，可以实现各种复杂的流程。当开发人员提交新功能的代码后，Jenkins持续部署环境模块14能够捕捉到代码的更新，并自动对代码进行打包、测试和部署，及在服务端1安装新的微服务，由此缩短微服务的发布周期，减轻开发和运维人员的工作量。

如图1所示，微服务模块，存储有多个微服务，每个微服务用于实现服务端的一项独立功能，向插件管理器提供功能服务，并对系统管理员提供服务端的操作接口，Docker是微服务的具体载体；

如图1所示，客户端2和3插件管理器即是所谓的软件微内核，它为各个插件的运行提供基础环境并对其进行管理。多个插件是终端安全监控功能的最终执行单元，它读取服务端下发的安全策略，并依据安全策略中描述对终端进行管控。

图2所示为本发明的主机监控系统的一微服务的架构图，如图2所示，从业务功能的角度出发，本发明中服务端的微服务包括以下五种，并且支持扩展，包括：

1)资产管理微服务，维护着内网中的资产数据，每台终端被认为是一个资产，资产的注册、登记和销毁，均由该微服务实现。

2)组织管理微服务，维护着内网中的组织机构和用户人员信息，用户人员的查询、添加、修改和删除，均由该微服务实现。

3)策略管理微服务，维护着安全策略信息，安全策略能够指导插件的运行，该微服务提供安全策略的生成、修改、删除和拉取功能。常见的安全策略包括软件控制策略、外设控制策略、网络控制策略、文件控制策略。

4)审计管理微服务，维护着内网终端所产生的审计数据信息，支持对终端日志的搜集、整理、呈现、导入导出。能够方便管理员及时、准确地获悉当前各类违规告警信息。

5)文件管理微服务维护着内网终端安全运行所需的各类文件数据，包括安全策略执行所依赖的插件，以及终端上的各类补丁文件。

图3所示为插件和插件管理器的示意图，参考图1、图2以及图3所示，客户端软件遵循插件架构，由插件管理器和多个插件1-n两部分组成，插件架构，指的是软件的内核相对较小，主要功能和业务逻辑都通过插件实现。本发明里，插件管理器即是所谓的软件微内核，它为各个插件的运行提供基础环境。

插件管理器主要包括以下四个模块：

1)配置模块23，负责维护客户端和服务端的基本配置信息，包括服务端IP地址、端口、URL等，并且能够向服务端发起注册请求，以便服务端将其纳为资产；

2)控制模块21，负责将服务端下发的安全策略调度给相应的插件，并且控制插件的启动和停止，在终端的正常使用过程中，该模块将各个插件始终维持在运行状态；

3)升级模块24，负责接收来自服务端的插件和补丁，并在本地执行插件和补丁的安装或更新，如果补丁为客户端升级包，该模块能够对整个客户端进行升级；

4)通信模块22，负责维持与服务端的通信数据连接，将终端信息、插件信息、日志信息等发送至服务端。

如图1至图3所示，内网环境中的终端类型各式各样，有基于x86架构的Windows/Linux操作系统，也有基于ARM或MIPS架构的国产化操作系统等。插件管理器采用了Django(一个基于Python的轻量级开源Web应用框架)技术，将自身转变成终端上运行的小型Web服务，在终端和服务端之间，起到数据处理和通信代理的作用。

如图1至图3所示，插件是终端安全监控功能的最终执行单元，它读取服务端下发的安全策略，并依据安全策略中描述对终端进行管控。从功能角度划分，插件包括外设控制插件、软件控制插件、网络控制插件、文件控制插件等，并且扩展方便。典型的插件描述如下。

1)外设控制插件25：对USB设备、串行设备、无线网卡、光驱、打印机等的使用进行“允许”或“禁止”的控制。

2)软件控制插件26：对终端上各类软件的运行进行“运行”或“禁止”的控制。

3)网络控制插件27：基于IP、端口或者协议类型，对终端的网络访问进行“运行”或“禁止”的控制。

4)文件控制插件28：对终端某个目录下的文件的操作行为进行控制，该操作行为包括文件读、写、重命名、删除等。

以外设控制插件25为例，当服务端1下发一条“禁止使用光驱”的安全策略后，经由插件管理器的数据转发，外设控制插件25会读取到该条策略，从而启动该插件中的光驱监控程序，一旦用户在终端上插入光驱，监控程序会捕捉到该操作并及时进行阻断，使得光驱失效，同时，外设控制插件25会生成一条日志，记录该用户的违规操作。

每个插件都是一套独立的程序执行环境，为了方便开发人员进行插件功能扩展，插件须遵循一定的编写规范和执行规范来适配插件管理器。在本发明中，编写完成的插件至少需要包括以下六个单元：

1)插件的可执行程序；

2)插件执行所依赖的库文件；

3)插件的唯一特征值；

4)插件运行时用来存放日志的目录；

5)插件运行时需要读取的策略文件；

6)插件运行过程中用来存放进程标识符的目录。

和常见的软件服务一样，插件的执行由以下四类命令组成：

1)start，启动插件，并保持运行状态；

2)stop，停止插件；

3)restart，重新启动运行中的插件；

4)status，查询插件当前状态，即运行或停止。

图4所示为本发明的基于微服务架构的主机监控系统典型部署使用流程图，参考图1至图4，本发明的基于微服务架构的主机监控系统，其典型部署使用流程包括以下步骤：

步骤1：服务端1部署微服务并提供服务接口。

(1)选择Linux作为服务器操作系统，在其上安装Docker容器环境，将五个基础微服务分别部署在五个Docker容器之中，五个微服务包括：资产管理、组织管理、策略管理、审计管理和文件管理。微服务之间彼此隔离，并且共享同一套数据库。

(2)微服务通过etcd服务发现模块13向外提供REST风格的API接入点，方便终端插件通过URL的形式对微服务进行资源访问。对资源的操作包括获取、创建、修改和删除，这些操作正好对应HTTP协议提供的GET、POST、PUT和DELETE方法。

步骤2：终端2和3部署客户端软件，包含插件管理器。

(1)虽然终端软硬件平台类型多样，但都支持Python运行环境，因此在终端可以很方便地部署基于Python编写的插件管理器，它包括四个模块：通信模块22、配置模块23、升级模块24和控制模块21，并且在本地使用SQLite数据库，用于存放配置信息、用户信息、日志信息等。

(2)客户端软件在初次部署时包含基本的功能插件，包括外设控制插件25和网络控制插件27，能够针对客户需求，进行默认的终端控制，比如在初装时就禁止终端使用USB存储设备，或者禁止终端连接互联网。

步骤3：终端2和3向服务端1进行注册并维持通信连接。

(1)在终端上，通过插件管理器的配置模块23，配置需要连接的服务端1的IP地址和端口号，并通过通信模块22向服务端1发送连接请求。

(2)终端和服务端1建立连接之后，终端2和3通过通信模块22向服务端1发送终端使用者的身份信息，执行注册操作。

(3)服务端1收到终端的注册信息，服务端1的组织管理微服务会判断收到的终端用户身份信息是否正确，若不正确，反馈错误信息；若正确，资产管理微服务将当前发起注册请求的终端转换成在网资产，并在后续管理中统一进行维护。

步骤4：服务端1通过下发策略对终端2和3进行管控。

(1)服务端1通过策略管理微服务新建一条安全策略，将该策略绑定至一个或多个资产，此时策略管理微服务会将该安全策略以JSON格式推送至被绑定的终端。

(2)终端插件管理器中的通信模块22接收到安全策略后，将安全策略转发至控制模块21，后者根据安全策略中的插件描述信息将安全策略保存至对应的插件的策略目录下。

(3)终端插件读取策略目录下的安全策略文件，并自动触发start命令启动插件，此时终端后台中该插件的主机监控进程保持运行。

(4)若终端用户违规操作，例如当前安全策略为“禁止使用光驱”，而用户插入了光盘，此时外设控制插件25会捕捉到该操作，并立即进行阻断。同时插件会自动生成审计日志，记录违规操作的时间、主客体、描述、结果等信息，并将审计日志存储于插件的日志目录。

(5)终端插件管理器的通信模块22循环读取插件日志目录中的日志，将日志信息发送至服务端1的审计管理微服务，后者进行日志数据的过滤、分析、匹配和保存，并且提供可视化的数据呈现，方便管理员进行查看和追溯。

步骤5：服务端1扩展微服务，终端2和3扩展插件。

(1)当服务端1功能需要扩展时，由开发人员向代码版本控制系统(如SVN、GIT等)提交新功能的代码，Jenkins持续部署工具将会自动捕捉到该代码的提交并将其进行打包，然后运行并测试打包后的代码。若代码测试通过，则生成基于该新功能的微服务，并将其部署在新创建的Docker容器中进行发布；若代码测试未通过，则反馈至开发人员进行修改。

(2)新发布的微服务启动完毕后，向etcd服务发现模块13注册自身的服务地址，etcd服务发现模块13将微服务名称、微服务URL地址等信息同步至终端插件管理器的配置模块23，便于之后的服务访问。

(3)若终端某个插件需要更新，此时服务端1通过文件管理微服务上传修改后的插件，终端插件管理器中的升级模块24检测到当前插件的唯一特征值和服务端1的插件唯一特征值不一致，于是向服务端1的文件管理微服务发起插件下载的请求。插件下载成功后，将收到的插件替换当前插件，并保留当前的安全策略和当前插件的运行状态，以此完成终端插件更新。

(4)若客户端需要更新，此时服务端1通过文件管理微服务上传客户端软件安装包，终端插件管理器中的升级模块24检测到当前客户端软件的版本号低于服务端上的安装包版本号，于是向服务端1的文件管理微服务发起安装包下载的请求。安装包下载成功后，升级模块24停止当前客户端软件主进程，随后覆盖安装新的客户端软件，并启动新的主进程，以此完成客户端软件更新。文件管理微服务用于向客户端提供软件安装包，更新数据等文件。

本发明提出一种基于微服务架构的主机监控系统。通过对内网环境中终端软件、用户、安全策略等关键要素的细粒度集中管控，实现信息实体安全可信、信息流程规范可控的基础计算环境。一方面，在客户端采用插件架构，即将终端安全功能设计成“插件管理器+插件”的形式，由同一个插件管理器管理多个插件，以此来降低插件之间的耦合性，实现终端安全功能模块的动态调整；另一方面，在服务端采用微服务架构，将固有统一的服务进行功能性解耦，拆分成若干个微服务，每个微服务均是自治和独立的，可以动态调节服务的资源分配，从而应对网络访问压力，同时，任何服务均可独立于其它服务完成部署，从而达到快速且可持续性的部署目标。

本发明充分考虑主机监控系统高可用性的原则，综合利用客户端的插件架构和服务端的微服务架构，采用开源、成熟、高效的技术和框架，弥补了传统主机监控系统在软件架构上的不足，有效减少了管理员的管理难度，增加了开发运维人员的开发部署效率。具体表现为：(1)客户端采用插件架构，使客户端软件具备良好的功能可扩展性，插件之间彼此独立，可按需进行定制，并且支持弹性管理，插件可以独立地安装、加载和卸载，使得服务端统一推送部署更为方便；(2)服务端采用微服务架构，每个微服务都是一个独立的部署单元，这些单元支持分布式，借助容器机制，保证互相隔离、彼此解耦，并且通过持续集成工具，每个微服务都可以进行持续集成式的开发，可以做到实时部署，不间断升级，同时在服务端入口引入负载均衡机制，保障了Web应用服务的高并发和高容错性；(3)通过引入优秀的第三方软件技术框架，使得主机监控系统具备跨平台、可靠性强的特点。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变形，这些改进和变形也应视为本发明的保护范围。

Claims (5)

1.一种基于微服务架构的主机监控系统，其特征在于，包括：服务端以及多个客户端；

服务端包括：Nginx负载均衡模块、API接入点模块、etcd服务发现模块、Jenkins持续部署环境模块以及微服务模块；

客户端包括插件管理器以及多个插件；

Jenkins持续部署环境模块，用于接收各个微服务的升级代码，并对应对各微服务进行代码更新、测试和部署，以及在服务端安装新的微服务；

微服务模块，存储有多个微服务，每个微服务用于实现服务端的一项独立功能，向插件管理器提供功能服务，并对系统管理员提供服务端的操作接口；

etcd服务发现模块，用于获取每个微服务的更新信息以及新增加的微服务信息，并将微服务的访问接口发送给API接入点模块；

API接入点模块，用于提供服务访问接口，客户端通过URL的形式经API接入点模块调用相应的微服务；

Nginx负载均衡模块，用于将多个客户端的同一类型的访问，分散给同一微服务的多个副本，来实现网络负载均衡；

插件管理器用于为各个插件的运行提供基础环境并进行管理；

插件是客户端安全监控功能的最终执行单元，用于读取服务端下发的安全策略，并依据安全策略中描述对客户端进行管控。

2.如权利要求1所述的基于微服务架构的主机监控系统，其特征在于，微服务的载体通过Docker实现。

3.如权利要求1所述的基于微服务架构的主机监控系统，其特征在于，微服务包括：

资产管理微服务模块，用于维护内网的资产数据，每台客户端被认为是一个资产，进行资产的注册、登记和销毁；

组织管理微服务模块，用于维护内网的组织机构和用户人员信息；

策略管理微服务模块，用于维护着安全策略信息，提供安全策略的生成、修改、删除和拉取功能；

审计管理微服务模块，用于维护着内网客户端所产生的审计数据信息，支持对客户端日志的搜集、整理、呈现以及导入导出；

文件管理微服务模块，用于维护内网客户端安全运行所需的各类文件数据，包括安全策略执行所依赖的插件以及客户端上的各类补丁文件。

4.如权利要求1所述的基于微服务架构的主机监控系统，其特征在于，插件管理器包括：

配置模块，用于维护客户端和服务端的基本配置信息，包括服务端IP地址、端口以及URL，并且向服务端发起注册请求，以便服务端将其纳为资产；

控制模块，负责将服务端下发的安全策略调度给相应的插件，并且控制插件的启动和停止，在客户端的正常使用过程中，该模块将各个插件始终维持在运行状态；

升级模块，负责接收来自服务端的插件和补丁，执行插件和补丁的安装或更新，以及对整个客户端进行升级；

通信模块，负责维持与服务端的通信数据连接，将客户端信息、插件信息以及日志信息发送至服务端。

5.如权利要求1所述的基于微服务架构的主机监控系统，其特征在于，插件包括：

外设控制插件，用于对USB设备、串行设备、无线网卡、光驱以及打印机的使用进行允许或禁止的控制；

软件控制插件，用于对客户端上各类软件的运行进行允许或禁止的控制；

网络控制插件，用于基于IP、端口或者协议类型，对客户端的网络访问进行运行或禁止的控制；

文件控制插件，用于对客户端某个目录下的文件的操作行为进行控制。

Images