CN109246097A - 基于国产安全管控平台的多级平台监控系统 - Google Patents

Abstract

本发明公开了一种基于国产安全管控平台的多级平台监控系统，拓扑设备树及设备在线信息采用低级中心向高级中心逐级上报方式，监控信息采用多级触发制来收取相应信息；一级中心既要向二级中心发送信息，又要向下属安控平台发送消息。一级中心可接收到二级中心上报的信息。二级中心既要向一级中心发送信息，又要向下属安控平台或者是三级中心进行发送消息；二级中心可接收到三级中心上报的信息。本发明解决现有管控方式结构不清晰，管控权限混乱，不易于大规模部署的问题，对计算平台集群进行细粒度划分，有效界定了计算平台的之间的功能和权限差异，制定了精准、恰当的管控系统。

Description

基于国产安全管控平台的多级平台监控系统

技术领域

本发明属信息安全领域可信计算技术，具体涉及一种基于国产安全管控平台的多级平台监控系统。

背景技术

国内外各种信息安全事件频发使得作为网络空间安全基础的计算平台安全日益受到人们的重视，大量使用国外理器芯片和操作系统构建的计算平台的安全性无法得到保证，唯有研发国产软硬件计算平台才能实现真正意义的自主可控。

目前虽然已有基于国产硬件的管控平台，但是管控方式粗放，层次不分明，缺乏有效的分级监控方式。

发明内容

本发明提供一种基于国产安全平台的分级管控系统，解决现有管控方式结构不清晰，管控权限混乱，不易于大规模部署的问题。达到对计算平台集群进行细粒度划分，有效界定了计算平台的之间的功能和权限差异，制定了精准、恰当的管控系统目的。

实现上述发明目的所采用的技术方案：提供一种基于国产安全管控平台的多级平台监控系统，监控过程如下。

（1）拓扑设备树及设备在线信息采用低级中心向高级中心逐级上报方式。拓扑设备树：三级中心以自己为根节点，把所有终端设备挂在自己名下，上报给二级中心。二级中心把所有三级中心拓扑，及二级所属的终端，构造拓扑，上报给一级中心。一级中心把所有二级中心拓扑，及一级所属的终端，构造拓扑，构造出全局拓扑图，形成设备树。设备在线信息：各级中心和各级终端都有一个“心跳检测代理”，各级中心都有一个“心跳监控程序”，各级终端通过其“心跳检测代理”来检测设备在线状态，全部上报到本级中心的“心跳监控程序”，由各级“心跳监控程序”再逐级上报。设备在线时，在设备树上显示为一个明亮的图标，设备不在线时，那么显示为一个灰色的图标。

（2）监控信息采用多级触发制来收取相应信息。监控信息包括监控设备基本信息、进程信息和网络信息。监控设备基本信息采用触发机制，包括监控终端设备信息和监控中心设备信息。

1）当前需要在一级中心监控三级终端设备AxByCz的基本信息，指令触发及信息收取过程如下。

第一步，在一级中心点击设备树上的AxByCz节点(其实为选中)，再点击“基本信息”项,确认后，触发指令发送逻辑处理。指令逻辑处理发现终端设备AxByCz是二级中心Ax，三级中心By所属设备。那么就把指令先发送到二级中心Ax。

第二步，在二级中心Ax，检测终端设备AxByCz是三级中心By的下属设备，那么把指令发送到三级中心By。

第三步，在三级中心By上，检测终端设备AxByCz所属，如果属于本中心，那么把指令发送到终端设备AxByCz。

第四步，在终端设备AxByCz，解析指令，收集信息。

第五步，收集信息完毕后，设备终端AxByCz，把指令所要求的信息反馈给三级中心By。

第六步，三级中心By把反馈信息再上报给二级中心Ax。

第七步，二级中心Ax再上报给一级中心。

第八步，一级中心收取到回馈信息后，进行解析，并在相应的页面上进行信息显示。

2）当前需要在一级中心监控三级中心AxBy的基本信息，指令触发及信息收取过程如下。

第一步，在一级中心点击设备树上的AxBy节点(其实为选中)，再点击”基本信息”项,确认后，触发指令发送逻辑处理。指令逻辑处理发现终端设备AxBy是二级中心Ax所属三级中心。那么就把指令先发送到二级中心Ax。

第二步，在二级中心Ax，检测终端设备AxBy所属，如果属于本中心，那么就把指令发送到三级中心 By。

第三步，在三级中心By上，解析指令，收集信息。

第四步，再把信息逐级向上反馈，直至显示。

各级中心之间、各级中心与其终端之间都是通过启用rabbitmq-server服务(通信守护进程)，以消息队列的方式进行通信的。

所述每级中心有含有“中心设备树信息上报代理”， 每级中心通过其“中心设备树信息上报代理”实现逐级上报，设备树传递的信息主要发生在各级中心与中心之间。“中心设备树信息上报代理”获取信息代理设计的方法如下：

该设计设定为三级配管中心，上级配管中心监控其终端或下级中心，各级之间通信是通过Rabbimq-server进行发送，触发事件为用户触发相应的功能按钮或切换标签页，每切换一次标签页或触发功能按钮，下级中心或终端代理端会通过接收函数接收到上级中心请求获取信息数据包，解析数据包并根据要求遍历的目录，查找所需要的基本信息，进程信息和网络信息。获取到相应信息后将内存拷贝进buf当中，封装后利用中心发送函数进行发送，发送至上层中心。

首先上层界面程序中添加click事件，在中心设备树信息上报代理的接收发送代理中增加获取网络信息的部分。在上层界面中触发中心名称，在上层进行查数据库进行判断，确定中心后，则上层会调用发送函数向终端代理发送buf，buf[0]=1时，获取CPU和进程信息，buf[0]=2时，获取网络信息，CPU和进程信息写入结构体填进buf发送到A代理程序，再有A代理程序发送至B代理程序，在由B代理程序进行解析插入数据库工作，之后上层界面通过查找相关数据表进行显示。网络功能查询之后写入结构体填写buf直接发送到上层，解析之后直接显示。如果为终端，则调用终端发送函数，发送到终端代理，进行CPU进程网络信息的显示。

本发明是对基于国产平台的管控方式进行的优化，引入了分级的思想，建立了基于国产平台的多级管控平台。建立了一套基于国产平台的多级通信方式。本系统主要功能指标有：

1.构建监控关系拓扑图，树形实现，称之为设备树。

2.监控设备的基本信息，如设备名称、设备ID、设备IP、设备所属层次(一级|二级|三级)、设备角色(中心|终端)、CPU名称型号、CPU频率、CPU使用率、CPU温度、内存名称型号、内存频率、内存大小、内存使用率等等。

3.监控设备的进程信息。

4.监控设备的网络信息、如网络连接、网络流量等。

附图说明

图1是本发明多级平台监控系统关系拓扑图。

图2是本发明多级管控系统结构图。

图3是多级管控系统通信原理框架图。

具体实施方式

目前国内外各种信息安全事件频发使得作为网络空间安全基础的计算平台安全日益受到人们的重视，大量使用国外处理器芯片和操作系统构建的计算平台的安全性无法得到保证。本实施例为国产平台提供一套安全可靠的管控方案，以确保管控特定的计算平台只能够在合法的权限能运行计算。包括多级管控通信、多级平台中心监控和获取信息代理设计内容。本系统理论上可以支持无线级别，但是在实现上会随着层次的深入，设备拓扑关系愈加复杂，所以本系统最多支持三级监管，整个监控系统只有两种设备角色：中心和终端。“根”为一级中心，一级中心可以监控二级中心和一级终端，二级中心监控三级中心和二级终端，三级中心只能监控三级终端，如图1所示。

多级管控通信。

本管控平台的多级管控通信方式是在rabbitmq的基础上进行改造，实现多级管控底层通信的功能。底层通过rabbitmq进行配置，通过通信协议进行通信。

多级平台中心监控。

功能需求：多级树状显示。

详细解释：如果说这里是一级中心，通过监控的这个树状图能查看到它下面的所有的中心和终端，以及下属中心的终端，即：一级中心能看“所有”。二级中心，能看到所有三级中心的状态以及其下面的终端，三级中心能看到所有属于其范围内的终端。

发送端如下。

（1）三级中心往二级中心上报，三级中心只要报相应数据库表里面的内容。

（2）二级中心往一级中心上报相应数据库表里面的内容。

（3）一级中心是设备树根，所有业务处理的终点，包含有所有设备的数据。

接收端如下。

(1)接收的消息解析出来插入到本机中心的相关数据表里面。

(2)上层界面在显示的时候，本机中心下面的下拉框在相关数据表里面进行查找，下级中心的下级在C数据表里面进行查找。

(3)下级中心要定时发消息给上级中心，告诉上级中心其状态。

具体监控过程如下。

（1）拓扑设备树及设备在线信息采用低级中心向高级中心逐级上报方式。拓扑设备树：三级中心以自己为根节点，把所有终端设备挂在自己名下，上报给二级中心。二级中心把所有三级中心拓扑，及二级所属的终端，构造拓扑，上报给一级中心。一级中心把所有二级中心拓扑，及一级所属的终端，构造拓扑，构造出全局拓扑图，形成设备树。设备在线信息：各级中心和各级终端都有一个“心跳检测代理”，各级中心都有一个“心跳监控程序”，各级终端通过其“心跳检测代理”来检测设备在线状态，全部上报到本级中心的“心跳监控程序”，由各级“心跳监控程序”再逐级上报。设备在线时，在设备树上显示为一个明亮的图标，设备不在线时，那么显示为一个灰色的图标。

（2）监控信息采用多级触发制，来收取相应信息。监控信息包括设备基本信息、进程信息和网络信息。查看设备信息，采用触发机制，即想查看某个设备的信息，在设备树上，通过组合点击设备节点和信息项，再通过逐级触发式或者指令传递式来获取相应的信息。

查看终端设备信息。当前需要在一级中心查看三级终端设备A005B010C100的基本信息，指令触发及信息收取过程如下：

首先，在一级中心点击设备树上的A005B010C100节点(其实为选中)，再点击“基本信息”项,确认后，触发指令发送逻辑处理。指令逻辑处理发现终端设备A005B010C100是二级中心A005，三级中心B010所属设备。那么就把指令先发送到二级中心A005。

然后，在二级中心A005，检测终端设备A005B010C100是三级中心B010的下属设备，那么把指令发送到三级中心B010。

第三，在三级中心B010上，检测终端设备A005B010C100所属，如果属于本中心，那么把指令发送到终端设备A005B010C100。

第四，在终端设备A005B010C100，解析指令，收集信息。

第五，收集信息完毕后，设备终端A005B010C100，把指令所要求的信息反馈给三级中心B010。

第六，三级中心B010把反馈信息再上报给二级中心A005。

第七，二级中心A005再上报给一级中心。

第八，一级中心收取到回馈信息后，进行解析，并在相应的页面上进行信息显示。

查看中心设备信息。当前需要在一级中心查看三级中心A005B010的基本信息，指令触发及信息收取过程如下：

首先，在一级中心点击设备树上的A005B010节点(其实为选中)，再点击”基本信息”项,确认后，触发指令发送逻辑处理。指令逻辑处理发现终端设备A005B010是二级中心A005所属三级中心。那么就把指令先发送到二级中心A005。

然后，在二级中心A005，检测终端设备A005B010所属，如果属于本中心，那么就把指令发送到三级中心 B010。

第三，在三级中心B010上，解析指令，收集信息。

最后，再把信息逐级向上反馈，直至显示。

每级中心有含有“中心设备树信息上报代理”， 每级中心通过其“中心设备树信息上报代理”实现逐级上报，设备树传递的信息主要发生在各级中心与中心之间。

获取信息代理设计。

该设计设定为三级配管中心，上级配管中心可监控其终端或下级中心，各级之间通信是通过Rabbimq-server进行发送，触发事件为用户触发相应的功能按钮或切换标签页，每切换一次标签页或触发功能按钮，下级中心或终端代理端会通过接收函数接收到上级中心请求获取信息数据包，解析数据包并根据要求遍历的目录，查找所需要的基本信息，进程信息和网络信息。获取到相应信息后将内存拷贝进buffer当中，封装后利用中心发送函数进行发送，发送至上层中心。

首先上层界面程序中添加click事件，在接收发送代理中增加获取网络信息的部分。在上层界面中触发中心名称，在上层进行查数据库进行判断，如果TYPE为‘00’中心，则上层会调用发送函数向代理发送buf，buf[0]=1时，获取CPU和进程信息，buf[0]=2时，获取网络信息，CPU和进程信息写入结构体填进buf发送到A代理程序,再有A代理程序发送至B代理程序，在由B代理程序进行解析插入数据库工作，之后上层界面通过查找相关数据表进行显示。网络功能查询之后写入结构体填写buf直接发送到上层，解析之后直接显示。如果为终端，则调用终端发送函数，发送到终端代理，进行CPU进程网络信息的显示。

Claims (5)

1.一种基于国产安全管控平台的多级平台监控系统,其特征在于，监控过程如下：

（1）拓扑设备树及设备在线信息采用低级中心向高级中心逐级上报方式；拓扑设备树：三级中心以自己为根节点，把所有终端设备挂在自己名下，上报给二级中心；二级中心把所有三级中心拓扑，及二级所属的终端，构造拓扑，上报给一级中心；一级中心把所有二级中心拓扑，及一级所属的终端，构造拓扑，构造出全局拓扑图，形成设备树；设备在线信息：各级中心和各级终端都有一个“心跳检测代理”，各级中心都有一个“心跳监控程序”，各级终端通过其“心跳检测代理”来检测设备在线状态，全部上报到本级中心的“心跳监控程序”，由各级“心跳监控程序”再逐级上报；设备在线时，在设备树上显示为一个明亮的图标，设备不在线时，那么显示为一个灰色的图标；

（2）监控信息采用多级触发制来收取相应信息；监控信息包括监控设备基本信息、进程信息和网络信息；

1）当前需要在一级中心监控三级终端设备AxByCz的基本信息，指令触发及信息收取过程如下：

第一步，在一级中心点击设备树上的AxByCz节点(其实为选中)，再点击“基本信息”项,确认后，触发指令发送逻辑处理；指令逻辑处理发现终端设备AxByCz是二级中心Ax，三级中心By所属设备；那么就把指令先发送到二级中心Ax；

第二步，在二级中心Ax，检测终端设备AxByCz是三级中心By的下属设备，那么把指令发送到三级中心By；

第三步，在三级中心By上，检测终端设备AxByCz所属，如果属于本中心，那么把指令发送到终端设备AxByCz；

第四步，在终端设备AxByCz，解析指令，收集信息；

第五步，收集信息完毕后，设备终端AxByCz，把指令所要求的信息反馈给三级中心By；

第六步，三级中心By把反馈信息再上报给二级中心Ax；

第七步，二级中心Ax再上报给一级中心；

第八步，一级中心收取到回馈信息后，进行解析，并在相应的页面上进行信息显示；

2）当前需要在一级中心监控三级中心AxBy的基本信息，指令触发及信息收取过程如下：

第一步，在一级中心点击设备树上的AxBy节点(其实为选中)，再点击”基本信息”项,确认后，触发指令发送逻辑处理；指令逻辑处理发现终端设备AxBy是二级中心Ax所属三级中心；那么就把指令先发送到二级中心Ax；

第二步，在二级中心Ax，检测终端设备AxBy所属，如果属于本中心，那么就把指令发送到三级中心 By；

第三步，在三级中心By上，解析指令，收集信息；

第四步，再把信息逐级向上反馈，直至显示。

2.根据权利要求1所述的基于国产安全管控平台的多级平台监控系统,其特征在于，各级中心之间、各级中心与其终端之间都是通过启用rabbitmq-server服务，以消息队列的方式进行通信的。

3.根据权利要求1所述的基于国产安全管控平台的多级平台监控系统,其特征在于，所述每级中心有含有“中心设备树信息上报代理”， 每级中心通过其“中心设备树信息上报代理”实现逐级上报，设备树传递的信息主要发生在各级中心与中心之间。

4.根据权利要求3所述的基于国产安全管控平台的多级平台监控系统,其特征在于，“中心设备树信息上报代理”获取信息代理设计的方法如下：

该设计设定为三级配管中心，上级配管中心监控其终端或下级中心，各级之间通信是通过Rabbimq-server进行发送，触发事件为用户触发相应的功能按钮或切换标签页，每切换一次标签页或触发功能按钮，下级中心或终端代理端会通过接收函数接收到上级中心请求获取信息数据包，解析数据包并根据要求遍历的目录，查找所需要的基本信息，进程信息和网络信息；获取到相应信息后将内存拷贝进buf当中，封装后利用中心发送函数进行发送，发送至上层中心；

首先上层界面程序中添加click事件，在中心设备树信息上报代理的接收发送代理中增加获取网络信息的部分；在上层界面中触发中心名称，在上层进行查数据库进行判断，确定中心后，则上层会调用发送函数向终端代理发送buf，buf[0]=1时，获取CPU和进程信息，buf[0]=2时，获取网络信息，CPU和进程信息写入结构体填进buf发送到A代理程序，再有A代理程序发送至B代理程序，在由B代理程序进行解析插入数据库工作，之后上层界面通过查找相关数据表进行显示；网络功能查询之后写入结构体填写buf直接发送到上层，解析之后直接显示；如果为终端，则调用终端发送函数，发送到终端代理，进行CPU进程网络信息的显示。

5.根据权利要求1所述的基于国产安全管控平台的多级平台监控系统,其特征在于，监控设备信息采用触发机制，包括监控终端设备信息和监控中心设备信息。