CN110008707A - 一种it系统自动化运维脚本执行的安全保障方法 - Google Patents

Abstract

本发明涉及IT系统自动化运维脚本执行的安全保障方法，其通过脚本解析命令行以及预置匹配规则扫描，实现IT运维领域中对于自动化运维脚本执行的安全保障。其步骤如下：(1)逐行解析执行脚本命令，输出解析后的命令行；(2)根据敏感命令匹配规则对解析后的命令行进行正则运算，输出敏感命令行并保存；(3)自动通知审核人员对脚本的敏感命令行进行审核处理。本发明可有效解决IT运维领域中，自动化操作脚本含有动态参数执行的安全问题，并有效降低了人工大规模审核脚本敏感命令的工作量。

Description

一种IT系统自动化运维脚本执行的安全保障方法

技术领域

本发明涉及自动化运维领域，特别是通过脚本敏感命令、参数值组合扫描及动态审核技术，实现自动化操作脚本下发到目标设备之前进行安全审核，提高自动化运维安全性的IT系统自动化运维脚本执行的安全保障方法。

背景技术

下面的背景技术用于帮助读者理解本发明，而不能被认为是现有技术。

现代IT系统包含大量软硬件资源，IT运维人员一般都通过手工方式在资源设备上执行脚本，使得在IT系统运维过程中，缺少自动化。因此产生了自动化运维这样的产品技术，来运维这些软硬件资源信息。

然而传统的自动化运维产品技术，可自动批量下发脚本到资源设备上执行，并结合人工大批量审核脚本的敏感命令来确保脚本在资源设备上执行安全。但这种方式在大型IT环境中，会引起大量的人工审核敏感命令的工作量，也阻碍了自动化运维使用普及推广。

同时脚本中也通常使用命令组合动态参数值方式，使用通常的人工审核脚本敏感命令已失去实际意义，也无法做到审核实际执行脚本的目的，对目标设备上执行的安全性更加难以保障。

发明内容

本发明的目的即是解决传统自动化运维产品的不足，通过预置的脚本敏感命令和参数值规则匹配，以及指定脚本审核人员，可实现操作脚本在下发目标设备之前进行敏感命令和参数值进行规则匹配，匹配上之后则通知审核人员进行审核的方式来实现自动化运维脚本执行的安全保障。

具体的，本发明通过以下技术方案来实现：

一种IT系统自动化运维脚本执行的安全保障方法，利用脚本解析器解析脚本命令行，通过预置匹配规则进行正则运算，并输出敏感命令行，最后自动通知审核人对脚本的敏感命令行审核是否继续下发脚本到目标设备上执行；包括以下步骤：

1)预置规则：当系统安装后，自动调用初始化脚本对预置规则进行初始化，包括预置脚本敏感命令和参数值匹配规则，并允许根据需要再进行调整及指定脚本审核人员；

2)脚本解析：逐行读取脚本文件并根据脚本解析器进行命令行解析，输出解析后的命令行，并触发规则扫描；

3)规则扫描：根据匹配规则对解析后命令行进行正则运算，输出敏感命令行并记录；

4)动态审核：动态审核通知审核人员并对敏感命令行进行审核处理。

进一步地，步骤2)脚本解析中具体包括以下步骤：

(1)读取脚本文件，从上至下逐行读取并通过脚本解析器进行解析，输出解析后的命令行；

(2)再触发调用规则扫描对解析后的命令行进行逐行扫描处理；

(3)重复(1)和(2)步骤直至读取所有脚本行并扫描完成。

进一步地，步骤3)规则扫描中具体包括以下步骤：

(1)根据匹配规则表达式对解析后的命令行进行正则匹配运算，并输出敏感命令行；

(2)保存规则扫描后的敏感命令行。

进一步地，步骤4)动态审核中具体包括以下步骤：

(1)检查执行脚本是否存在敏感命令行，并返回检查结果；

(2)判断检查结果是否存在，如存在则获取脚本审核人员并通知其处理，否则不处理。

有益效果

本发明的IT系统自动化运维脚本执行的安全保障方法通过对操作脚本自动解析脚本与规则扫描并通知审核有效减少了人工审核的工作，也预防脚本里存在敏感命令在目标设备上执行带来的破坏，并提高自动化运维脚本安全性。

附图说明

图1为本发明的IT系统自动化运维脚本执行的安全保障方法的流程示意图；

图2为脚本解析流程示意图；

图3为规则扫描流程示意图。

具体实施方式

下面结合附图和实例对本发明作进一步说明：

本发明的脚本执行的安全保障方法，在系统初始化时先进行规则预置，然后通过3个模块的运行来实现：脚本解析模块、规则扫描模块、动态审核模块。其中：1.脚本解析模块，通过脚本解析器对脚本从上至下逐行读取解析并输出解析后的脚本，再触发调用规则扫描对解析后的脚本进行规则匹配运算；2.规则扫描模块，获取解析后输出的脚本行，根据扫描规则进行正则匹配运算，输出敏感命令行并保存；3.动态审核模块，检查扫描结果是否存在敏感命令行，存在则自动通知审核人员进行审核处理，否则不处理。

图1为上述各模块的运行流程图；该图描述了数据流向：通常，脚本文件被执行的方式有三种：手工执行、定时执行和第三方调用执行。各系统提交需执行的脚本文件，首先通过脚本解析器对执行脚本进行逐行读取及解析处理，输出解析后的命令行并触发调用规则扫描；其次规则扫描被触发把解析后的命令行根据命令匹配规则进行正则运算，输出敏感命令行并触发调用动态审核；最后动态审核被触发调用后自动对脚本的敏感命令行进行判断，存在则自动通知审核人员进行审核处理，通过后才可继续执行脚本。

图2详细描述了本发明中的步骤1脚本解析过程；当执行脚本时，首先逐行读取脚本内容；其次读取每一行脚本内容通过脚本解析器进行解析，并输出CmdLine，如“脚本文件行内容：rm–rf${path}，path参数值：/,输出CmdLine：{“lineNum”:1,”parsedCmdLine”:”rm–rf/”}”；最后触发调用规则扫描对CmdLine进行扫描。

图3详细描述了本发明中的步骤2规则扫描过程；当被触发调用时，首先读取解析后的命令行CmdLine；其次读取命令行匹配规则对解析后的命令行CmdLine进行正则运算，并输出敏感命令行，如“CmdLine：{“lineNum”:1,”parsedCmdLine”:”rm–rf/”}，CmdRegex：rm–rf\/，输出ResultLine:{“lineNum”:1,”parsedCmdLine”:”rm–rf/”}“；最后将所有敏感命令行保存并和脚本文件建立关系，作为动态审核自动通知及审核人员审核脚本依据。

Claims (4)

1.一种IT系统自动化运维脚本执行的安全保障方法，其特征在于，利用脚本解析器解析脚本命令行，通过预置匹配规则进行正则运算，并输出敏感命令行，最后自动通知审核人对脚本的敏感命令行审核是否继续下发脚本到目标设备上执行；包括以下步骤：

(1)预置规则：当系统安装后，自动调用初始化脚本对预置规则进行初始化，包括预置脚本敏感命令和参数值匹配规则，并允许根据需要再进行调整及指定脚本审核人员；

(2)脚本解析：逐行读取脚本文件并根据脚本解析器进行命令行解析，输出解析后的命令行，并触发规则扫描；

(3)规则扫描：根据匹配规则对解析后命令行进行正则运算，输出敏感命令行并记录；

(4)动态审核：动态审核通知审核人员并对敏感命令行进行审核处理。

2.根据权利要求1所述的用于IT系统自动化运维脚本执行的安全保障方法，其特征在于，步骤2)脚本解析中具体包括以下步骤：

(1)读取脚本文件，从上至下逐行读取并通过脚本解析器进行解析，

输出解析后的命令行；

(2)再触发调用规则扫描对解析后的命令行进行逐行扫描处理；

(3)重复(1)和(2)步骤直至读取所有脚本行并扫描完成。

3.根据权利要求1所述的用于IT系统自动化运维脚本执行的安全保障方法，其特征在于，步骤3)规则扫描中具体包括以下步骤：

(1)根据匹配规则表达式对解析后的命令行进行正则匹配运算，并输出敏感命令行；

(2)保存规则扫描后的敏感命令行。

4.根据权利要求1所述的用于IT系统自动化运维脚本执行的安全保障方法，其特征在于，步骤4)动态审核中具体包括以下步骤：

(1)检查执行脚本是否存在敏感命令行，并返回检查结果；

(2)判断检查结果是否存在，如存在则获取脚本审核人员并通知其处理，否则不处理。