CN110764827B - 计算机外围设备的管控系统及方法 - Google Patents

Abstract

本发明涉及计算机外围设备的管控方法及系统，所述管控系统包括相互连接的服务器端和客户端，其中，服务器端用于为外设接口管控功能提供统一的上层用户管控交互界面，客户端作为外设接口的宿主机，用于实现对外设接口的管控，并且，客户端包括相互连接的用户空间及内核空间，用户空间用于向内核空间提供外设接口的管控方式，由内核空间执行。所述管控方法包括：客户端接收服务器端发送的管控操作指令，开启对外设接口的管控；或者，客户端通过自身的本地管控指令，开启对外设接口的管控；客户端计算、反馈并记录管控结果，同时根据管控结果实现对外设接口的管控。本发明管控实时性高、管控方式灵活、管控粒度细、维护成本低。

Description

计算机外围设备的管控系统及方法

技术领域

本发明涉及数据安全技术领域，具体涉及一种计算机外围设备的管控系统及方法。

背景技术

随着数字化时代的迅猛发展，数据安全问题越来越受到各企业、组织与团体的重视。据2017年全国计算机和移动终端病毒第十六次调查分析知，目前信息泄露的途径主要有病毒感染、网络传播与移动存储介质窃取三种方式。目前现有技术已经从MAC强访、网络管理(iptables)与计算机外围设备管控等方面对信息泄露的三种途径作出了相应的应对措施，但是，鉴于病毒的爆发式增长与变异、暴露和未暴露的系统漏洞以及各种不可控的人为因素等问题，单方面的防护很难使得平台具有足够的安全性，所以，实现系统平台外设接口 (如：网口、USB口、PS/2口、串口与audio口)的细粒度管控，作为平台特殊情况下的安全加固则显得尤为必要。

发明内容

为解决现有技术存在的不足，本发明提供了一种计算机外围设备的管控系统，所述管控系统包括相互连接的服务器端和客户端，其中，服务器端用于为外设接口管控功能提供统一的上层用户管控交互界面，客户端作为外设接口的宿主机，用于实现对外设接口的管控，并且，

客户端包括相互连接的用户空间及内核空间，用户空间用于向内核空间提供外设接口的管控方式；

内核空间用于执行具体的管控。

其中，所述用户空间包括依次连接的策略模块、仲裁模块、守护进程模块以及审计模块，其中，

策略模块用于提供外设接口的类配置策略表及个体配置策略表，作为仲裁模块的仲裁依据；

仲裁模块用于行使外设接口管控的决策权；

守护进程模块同时与内核空间连接，用于实施外设接口管控；

审计模块用于记录外设接口管控中必要操作步骤的足迹。

其中，所述策略模块中，个体配置策略表的优先级高于类配置策略表的优先级。

其中，所述守护进程模块通过操作内核空间内的内核接口驱动模块，对计算机外设接口控制器的驱动进行强制卸载或挂载操作，以实现对外设接口的管控。

其中，所述客户端利用该客户端内的守护进程，通过消息中间件与服务器端进行通信。

其中，所述客户端还包括一个本地管控指令，以针对特定的外设接口设备或同类不同个体的外设接口设备进行管控，使外设接口的管控在客户端中有一定的自主性。

本发明另外提供了一种计算机外围设备的管控方法，包括如下步骤：

步骤S1：客户端接收服务器端发送的管控指令，开启对外设接口的管控；或者，客户端通过自身的本地管控指令，开启对外设接口的管控；

步骤S2：客户端计算、反馈并记录管控结果，同时根据管控结果实现对外设接口的管控。

其中，若客户端根据服务器端发送的管控指令开启对外设接口的管控，则所述步骤S2还包括如下步骤：

步骤S21：判断管控类别；

步骤S22：判断服务器端的用户权限，将其与客户端的用户权限进行对比，以判断服务器端是否有管控权限；若无管控权限，则直接结束；若有管控权限，在属于个体管控的情况下，执行步骤S23-步骤S24，在属于类管控的情况下，执行步骤S25-步骤S26；

步骤S23：读取个体配置策略表，若存在个体配置策略表，则直接获取管控指令；若不存在个体配置策略表，则读取类配置策略表，获取管控指令；

步骤S24：若个体配置策略表或类配置策略表提供的管控指令与服务器端提供的管控指令相同，则根据相同的管控指令进行管控；若个体配置策略表或类配置策略表提供的管控指令与服务器端提供的管控指令不同，则根据服务器端提供的管控指令进行管控，同时修改个体配置策略表或类配置策略表；

步骤S25：读取类配置策略表及个体配置策略表，若个体配置策略表提供的管控指令与服务器端提供的管控指令相同，则根据相同的管控指令进行管控；若个体配置策略表提供的管控指令与服务器端提供的管控指令不同，则根据个体配置策略表的管控指令进行管控；若不存在个体配置策略表，则根据服务器端提供的管控指令进行管控；

步骤S26：判断类配置策略表提供的管控指令与服务器端提供的管控指令是否相同，在不同的情况下，根据服务器端提供的管控指令修改类配置策略表。

其中，所述步骤S22中，服务器端的用户权限包括两种：服务器端root用户权限，其级别为1，以及，服务器端普通用户权限，其级别为3；

客户端的用户权限也包括两种：客户端root用户权限，其级别为2，以及，客户端普通用户权限，其级别为4；

级别1至级别4，其权限级别逐渐降低。

其中，若客户端通过自身的本地管控指令开启对外设接口的管控，则所述步骤S2中，直接通过客户端内储存的类配置策略表或个体配置策略表进行管控，其中，个体配置策略表的优先级高于类配置策略表的优先级。

其中，根据服务器端发送的管控指令开启对外设接口的管控的优先级，高于客户端通过自身的本地管控指令开启对外设接口的管控的优先级。

本发明提供的计算机外围设备的管控方法及系统，管控实时性高、管控方式灵活、管控粒度细、维护成本低。

附图说明

图1：本发明的计算机外围设备的管控系统的系统架构图。

图2：本发明的计算机外围设备的管控方法一较佳实施例的逻辑实现流程图。

附图标记说明

10-服务器端、20-客户端、30-用户空间、40-内核空间、31-策略模块、32-仲裁模块、33-守护进程模块、34-审计模块。

具体实施方式

为了对本发明的技术方案及有益效果有更进一步的了解，下面结合附图详细说明本发明的技术方案及其产生的有益效果。

图1为本发明的计算机外围设备的管控系统的系统架构图，如图1所示，本发明以C/S架构为框架进行实现，分为服务器端10和客户端20，客户端20进一步包括用户空间30和内核空间40，用户空间30用于向内核空间40提供外设接口的管控方式，由内核空间40执行。

服务器端10为外设接口管控功能提供统一的上层用户管控交互界面（WEB界面），系统安全管理员和运维人员可通过访问网址的形式，访问该上层用户管控交互界面，通过操作交互界面，然后对各客户端20进行外设接口的管控操作。

客户端20作为被管控机器，是受控外设接口的宿主机。当客户端20接收到服务器端10的管控指令时，由客户端20的守护进程执行实际的外设接口管控操作。考虑到服务器端10和客户端20有可能会出现断连或是网络异常等情况，在客户端20另外提供一个本地管控指令(ppictl，图未视)。该指令可针对某类外设接口设备或是同类不同个体的外设接口进行管控操作，使外设接口的管控在客户端20中同样有一定的自主性，在服务器端10针对客户端20没有管控权限，或者，服务器端10与客户端20未连接时，客户端20可通过本地管控指令，自主执行管控指令。

请继续参阅图1所示，客户端20执行管控指令的守护进程涉及到策略模块31、仲裁模块32、守护进程模块33与审计模块34。

策略模块31：主要由类配置策略表与个体配置策略表组成。

类配置策略表记载外设接口类信息，包括类型、状态、个体数（num）、周期与用户权限（permission）。其中，对类型（type）进行的细粒度划分有：网口（Ethernet）、U口（USB）、PS/2口（ps2）、串口（serio）与音频口（audio）。状态（status）有0、1、2三种，0表示：类外设接口禁用，1表示：类外设接口启用，2表示：该软件为出厂状态，用户未曾使用。个体数（num）是外设接口管控进一步的细粒度体现，指该类下面包含可细分的个体数，如一台机器的USB口可能有3/4/5/6个不等，那么num数就是机器中的实际个数，双网口计算机的Ethernet类num数为2。周期（circle）有forever、ltime、once三种，forever指设定为永久生效，ltime为一段时间生效，如一周、一月，可按照时间情况自行设定，once是仅针对此次使用的设置生效，重启后便无效。

用户权限（permission）是针对用户进行等级划分的，默认服务端为客户端的上级，以上级中心的root权限为最高级别，设定为1，上级中心普通用户权限设定为3，客户端root用户权限设定为2，客户端普通用户权限设定为4，优先级按照数字越小，优先级越高来判定。

个体配置策略表记载的外设接口个体信息有：类型、个体信息、状态、周期与用户权限。类型（type）是指个体属于类策略配置表中的哪一类，个体信息（info）是唯一标识符，如U口中的U1口、U2口或者是网口中Ethernet1或Ethernet2等。状态、周期及用户权限与类配置策略表中的含义相同。

仲裁模块32：行使外设接口管控的决策权，通过读取策略库中的类配置策略表与个体配置策略表相关信息，结合管控优先级，对端口状态作出仲裁。其中管控优先级体现在策略配置表中用户权限的优先级以及默认规定的个体管控策略高于类管控策略优先级等方面。最终，将仲裁结果传递给守护进程实施管控执行。

也就是说，仲裁模块32在计算仲裁管控决策时，在服务器端10的权限高于客户端20的情况下，默认以服务器端10提供的管控指令为准，仅在服务器端10没有管控权限的情况下，以客户端20内的类配置策略表与个体配置策略表计算管控指令；需要注意的是，在以服务器端10提供的管控指令为准时，仍需要根据类配置策略表与个体配置策略表计算管控指令，其目的是为了在类配置策略表与个体配置策略表的管控指令与服务器端10提供的管控指令不一致的情况下，对类配置策略表与个体配置策略表的信息进行修改。

守护进程模块33：是外设接口管控的具体实施者。外设接口的应用原理遵循PCI协议，由内核的接口控制器进行驱动，外设接口驱动挂载在系统/sys/bus总线下。当守护进程模块33拿到仲裁模块32返回的仲裁结果后，即通过操作内核接口驱动模块，对计算机外设接口控制器的驱动进行强制卸载/挂载操作，以此实现外设接口的管控功能。

审计模块34：用于记录外设接口管控过程中必要操作步骤的足迹，它为审计管理员提供必要的提示信息与告警信息。审计模块34中记录的日志级别包括LOG_INFO，LOG_WARN和LOG_ERROR三个级别。LOG_ERROR级别最高，一旦出现LOG_ERROR则说明上述各模块执行过程出现错误。LOG_WARN级别次之，它是告警信息的提示记录。LOG_INFO级别最低，主要是将策略模块31、仲裁模块32以及守护进程模块33必要操作的提示信息进行记录。审计模块34作为外设接口管控后期追踪的有效手段，通过查阅并分析其日志记录，便可获取在时间段中各外设接口的使用情况与管控情况。

图2为本发明的计算机外围设备的管控方法一较佳实施例的逻辑实现流程图，请结合图1-图2所示，本发明的计算机外围设备的管控系统，其具体的工作方式如下：

一、管控环境

用两台相同的机器，一台作为服务器，一台作为客户端。在客户端，由守护进程（包含外设接口管控主程序）通过消息中间件与服务器端进行通信，时刻等待接收服务器端发送的管控指令。同时，如上文所述，考虑到服务器端和客户端可能会断连或出现网络异常等情况，客户端还提供一个本地管控指令（ppictl），该指令可针对某类外设接口设备或是同类不同个体的外设接口进行管控操作，使外设接口的管控在客户端中同样有一定的自主性。

二、管控前提条件

1、服务器端已安装外设接口管控交互界面及其相关程序。

2、服务器端与客户端已部署消息中间件及其通信环境（作为服务器端与客户端的通信连接）。

3、客户端已安装外设接口管控程序（ppi_server）及其相关程序，策略库中的类配置策略表和个体配置策略表均为初始状态。

三、管控的步骤

1、系统外设接口是计算机系统内置硬件，在系统启动初始化时，经过BIOS环节进行默认扫描检查，在内核启动过程中对外设接口控制器驱动进行加载。

2、客户端开机并启动外设接口管控守护进程：ppi_server。

3、ppi_server进程首先检测客户端网口（Ethernet）、U口（USB）、PS/2口（ps2）、串口（serio）与音频口（audio）等状态，并将检测的结果写入到类配置策略表和个体配置策略表中。初次写入按照默认格式（类型、状态、个体数、周期与用户权限）进行。

4、客户端开机执行完毕后，客户端通过类配置策略表和个体配置策略表进行的自主管控已执行完毕。如果没有服务器端提供管控指令，则以客户端获取的管控指令执行。

5、在服务器端外设接口管控主界面中，假设运维人员对U口类实施管控操作，操作指令通过消息中间件传递给客户端。

6、客户端接收到服务器管控U口指令，对信息包进行解析，并初步判断是类管控或者个体管控（即，服务器所欲对某一类设备进行管控，还是仅欲管控某一具体类别的设备，同一服务器在个体管控或类别管控上，会存在不同的权限），并根据监测结果进入相应处理逻辑单元。

7、检查服务器端运维人员的登录权限是否高于类配置策略表中的用户权限，如果高，那么则进行下一步操作，如果低，则此次管控操作结束返回，并提示管控权限不足。

8、仲裁模块接收到服务器端的管控指令，按照仲裁的逻辑算法进行计算，并将计算结果返回给守护进程，同时根据计算结果，根据服务器端提供的管控指令对类配置策略表中与个体配置策略表进行变更。

具体的执行方法如下：

（1）当客户端守护进程模块接收到服务器端传输的管控指令时，如果属于类管控，读取类配置策略表及个体配置策略表，若个体配置策略表提供的管控指令与服务器端提供的管控指令相同，则根据相同的管控指令进行管控；若个体配置策略表提供的管控指令与服务器端提供的管控指令不同，则根据个体配置策略表的管控指令进行管控；若不存在个体配置策略表，则根据服务器端提供的管控指令进行管控；之后判断类配置策略表提供的管控指令与服务器端提供的管控指令是否相同，在不同的情况下，根据服务器端提供的管控指令修改类配置策略表。

（2）当客户端守护进程模块接收到服务器端传输的管控指令时，如果属于个体管控，首先与策略模块中的个体配置策略表进行策略匹配，如果管控指令与个体配置策略表中的管控策略相同，则直接返回，继续以相同的管控指令执行；如果不同，则以服务器端的管控指令为准，并根据服务器端的管控指令对个体配置策略表进行修改；

如果策略模块中不存在对应的个体配置策略表，则将管控指令与类配置策略表进行策略匹配，如果管控指令与类配置策略表中的管控策略相同，则直接返回，继续以相同的管控指令执行；如果不同，则以服务器端的管控指令为准，并根据服务器端的管控指令对类配置策略表进行修改。

9、守护进程模块中的管控实施执行程序：以仲裁模块计算出的最终结果对外设接口实施禁用或放行操作。禁用操作为卸载过程，使外设接口控制器与内核控制器驱动进行分离，以此禁止外设接口的合法使用。放行操作为重组过程，使外设接口控制器与内核控制器驱动再次组合，允许外设接口的合法使用。当然，在实现管控时，也可以通过对接口驱动进行添加或移除操作，以实现对外设接口的禁用或放行。

10、审计模块记载管控过程中的重要步骤以及相关错误、告警与提示信息等，便于后续系统管理人员的足迹追溯。

本发明中，所谓的“PCI”，是指部件互联标准 (Peripheral ComponentInterconnect)，是计算机系统中通用的总线接口标准。

本发明中，所谓的“BUS”，是指总线（母线），是处理器和设备之间的通道。总线有多种类型，每种总线可以挂载多个设备。它可以是物理总线（如PCI、I2C总线）的抽象，也可以是出于设备驱动模型架构需要而定义的虚拟的platform总线。Linux设备驱动模型的设备必须挂靠在某个总线上，无论这个bus是物理的还是虚拟的。

本发明的有益效果如下：

1、管控实时性高

本发明中，当系统管理员或运维人员对受控机外设接口进行管控时，客户端开机后管控操作立即生效，实时性高。

2、管控方式灵活。

具体表现在外设接口的管控方式，一方面支持运维人员在服务器端管控界面的手动管控操作，另一方面支持运维人员进行策略配置后的自动管控。同时，考虑到服务器端与客户端存在网络异常与断连的情况，为客户端提供了本地的外设接口管控指令。

3、管控粒度细

具体表现在本发明的外设接口管控可针对某类（如：网口、U口、PS/2口、串口与音频口）外设接口进行管控，也可针对同类不同个体（如：U口中的不同单独个体，双网口中的某个）的外设接口进行管控。

4、维护成本低。

本发明所提供的外设接口管控方法，运维人员可快速上手，无需固定专门人员进行维护。

虽然本发明已利用上述较佳实施例进行说明，然其并非用以限定本发明的保护范围，任何本领域技术人员在不脱离本发明的精神和范围之内，相对上述实施例进行各种变动与修改仍属本发明所保护的范围，因此本发明的保护范围以权利要求书所界定的为准。

Claims (7)

1.一种计算机外围设备的管控系统，其特征在于：所述管控系统包括相互连接的服务器端和客户端，其中，服务器端用于为外设接口管控功能提供统一的上层用户管控交互界面，客户端作为外设接口的宿主机，用于实现对外设接口的管控，并且，

客户端包括相互连接的用户空间及内核空间，用户空间用于向内核空间提供外设接口的管控方式；

内核空间用于执行具体的管控；

所述用户空间包括依次连接的策略模块、仲裁模块、守护进程模块以及审计模块，其中，

策略模块用于提供外设接口的类配置策略表及个体配置策略表，作为仲裁模块的仲裁依据；

仲裁模块用于行使外设接口管控的决策权；

守护进程模块同时与内核空间连接，用于实施外设接口管控；

审计模块用于记录外设接口管控中必要操作步骤的足迹；

所述守护进程模块通过操作内核空间内的内核接口驱动模块，对计算机外设接口控制器的驱动进行强制卸载或挂载操作，以实现对外设接口的管控；

所述客户端还包括一个本地管控指令，以针对特定的外设接口设备或同类不同个体的外设接口设备进行管控，使外设接口的管控在客户端中有一定的自主性。

2.如权利要求1所述的计算机外围设备的管控系统，其特征在于：所述策略模块中，个体配置策略表的优先级高于类配置策略表的优先级。

3.如权利要求1所述的计算机外围设备的管控系统，其特征在于：所述客户端利用该客户端内的守护进程，通过消息中间件与服务器端进行通信。

4.一种计算机外围设备的管控方法，其特征在于，包括如下步骤：

步骤S1：客户端接收服务器端发送的管控指令，开启对外设接口的管控；或者，客户端通过自身的本地管控指令，开启对外设接口的管控；

步骤S2：客户端计算、反馈并记录管控结果，同时根据管控结果实现对外设接口的管控；

则所述步骤S2还包括如下步骤：

步骤S21：判断管控类别；

步骤S22：判断服务器端的用户权限，将其与客户端的用户权限进行对比，以判断服务器端是否有管控权限；若无管控权限，则直接结束；若有管控权限，在属于个体管控的情况下，执行步骤S23-步骤S24，在属于类管控的情况下，执行步骤S25-步骤S26；

步骤S23：读取个体配置策略表，若存在个体配置策略表，则直接获取管控指令；若不存在个体配置策略表，则读取类配置策略表，获取管控指令；

步骤S24：若个体配置策略表或类配置策略表提供的管控指令与服务器端提供的管控指令相同，则根据相同的管控指令进行管控；若个体配置策略表或类配置策略表提供的管控指令与服务器端提供的管控指令不同，则根据服务器端提供的管控指令进行管控，同时修改个体配置策略表或类配置策略表；

步骤S25：读取类配置策略表及个体配置策略表，若个体配置策略表提供的管控指令与服务器端提供的管控指令相同，则根据相同的管控指令进行管控；若个体配置策略表提供的管控指令与服务器端提供的管控指令不同，则根据个体配置策略表的管控指令进行管控；若不存在个体配置策略表，则根据服务器端提供的管控指令进行管控；

步骤S26：判断类配置策略表提供的管控指令与服务器端提供的管控指令是否相同，在不同的情况下，根据服务器端提供的管控指令修改类配置策略表。

5.如权利要求4所述的计算机外围设备的管控方法，其特征在于，所述步骤S22中，服务器端的用户权限包括两种：服务器端root用户权限，其级别为1，以及，服务器端普通用户权限，其级别为3；

客户端的用户权限也包括两种：客户端root用户权限，其级别为2，以及，客户端普通用户权限，其级别为4；

级别1至级别4，其权限级别逐渐降低。

6.如权利要求4所述的计算机外围设备的管控方法，其特征在于，若客户端通过自身的本地管控指令开启对外设接口的管控，则所述步骤S2中，直接通过客户端内储存的类配置策略表或个体配置策略表进行管控，其中，个体配置策略表的优先级高于类配置策略表的优先级。

7.如权利要求4-6中任一项所述的计算机外围设备的管控方法，其特征在于，根据服务器端发送的管控指令开启对外设接口的管控的优先级，高于客户端通过自身的本地管控指令开启对外设接口的管控的优先级。

Images