CN111130926B - 适用于加密机的状态监控方法、系统、装置及存储介质 - Google Patents

Abstract

本发明公开了一种适用于加密机的状态监控方法、系统、装置及存储介质，其中，所述状态监控方法包括：探测服务器创建探测进程，用于向加密机发送探测指令，其中，所述探测指令为模拟用户与所述加密机进行数据交互流程的模拟指令；所述探测服务器接收所述加密机根据所述探测指令生成的返回参数；所述探测服务器分析所述返回参数，获取所述加密机的运行状态。本发明通过旁路探测的方式，在满足加密机监管条例的前提下，监控加密机的状态。

Description

适用于加密机的状态监控方法、系统、装置及存储介质

技术领域

本发明涉及设备监控技术领域，更为具体而言，涉及一种适用于加密机的状态监控方法、系统、装置及存储介质。

背景技术

随着信息技术日新月异的发展，互联网技术深入人们日常生活的每一个角落。目前，以数据驱动业务的模式迅速发展，数据应用日益广泛，同时，业务种类也日益丰富。因此，使用加密机以保障信息的安全交互日益普遍。

加密机作为一种通过国家商用密码主管部门鉴定并批准使用的国内自主开发的主机加密设备，在银行、银联、第三方支付等金融机构广泛使用，主要用来加解密银行卡密码，计算交易MAC，保证交易中敏感数据的安全等。因此，一旦加密机出现运行异常，则会给企业和用户带来巨大的影响和损失。

目前，现有技术中通用的监控方法是直接在待监控的系统上部署探针程序，去获取操作系统的运行状态。但是，加密机作为特殊功能的密码运算服务器，在管理规范上不允许进行远程管理，同时也不允许部署探针程序。因此，目前对加密机的状态监控是一个空白点。

发明内容

为了解决现有技术中存在的上述问题，本发明提供了一种适用于加密机的状态监控方法、系统、装置及存储介质，在满足加密机监管条例的前提下，监控加密机的状态

根据本发明的实施方式，提供了一种适用于加密机的状态监控方法，所述方法包括：探测服务器创建探测进程，用于向加密机发送探测指令，其中，所述探测指令为模拟用户与所述加密机进行数据交互流程的模拟指令；所述探测服务器接收所述加密机根据所述探测指令生成的返回参数；所述探测服务器分析所述返回参数，获取所述加密机的运行状态。

在本发明的一些实施方式中，所述探测服务器创建探测进程前，所述状态监控方法还包括：检查所述探测服务器中正在运行的探测进程的数量，与预先设置的阈值进行比较；若所述探测服务器中正在运行的探测进程的数量小于所述阈值，则创建所述探测进程；若所述探测服务器中正在运行的探测进程的数量大于或等于所述阈值，则直接结束任务。

在本发明的一些实施方式中，所述探测服务器创建探测进程前，所述状态监控方法还包括：所述探测服务器向所述加密机发送连通性检查指令；若检查结果为可连通，则创建所述探测进程；若检查结果为不可连通，则直接结束任务。

在本发明的一些实施方式中，所述向所述加密机发送连通性检查指令包括：所述探测服务器向所述加密机发送ping指令，查看网络是否可达；若网络可达，则所述探测服务器向所述加密机发送telnet指令，查看端口是否可访问；若端口可访问，则所述检查结果为可连通。

在本发明的一些实施方式中，所述状态监控方法还包括：所述探测服务器获取所述加密机的运行状态后，生成探测结果并记录进日志中。

在本发明的一些实施方式中，所述状态监控方法还包括：所述探测服务器将所述探测结果与预设的阈值进行匹配；若匹配结果为所述加密机状态正常，则根据所述匹配结果生成并展示探测报告；若匹配结果为所述加密机状态异常，则根据所述匹配结果生成并展示探测报告，并发出警告。

同时，本发明提供了一种适用于加密机的状态监控系统，包括探测服务器与加密机，其中，所述探测服务器包括：探测模块，用于创建向所述加密机发送探测指令探测进程，其中，所述探测指令为模拟用户与所述加密机进行数据交互流程的模拟指令；接收模块，用于接收所述加密机根据所述探测指令生成的返回参数；分析模块，用于分析所述返回参数，获取所述加密机的运行状态。

在本发明的一些实施方式中，所述探测服务器还包括：条件检测模块，用于执行如下操作：检查所述探测服务器中正在运行的探测进程的数量，与预先设置的阈值进行比较；若所述探测服务器中正在运行的探测进程的数量小于所述阈值，则通知所述创建模块创建所述探测进程；若所述探测服务器中正在运行的探测进程的数量大于或等于所述阈值，则直接结束任务。

在本发明的一些实施方式中，所述探测服务器还包括：连通性检查模块，用于执行如下操作：向所述加密机发送连通性检查指令；若检查结果为可连通，则通知所述创建模块创建所述探测进程；若检查结果为不可连通，则直接结束任务。

在本发明的一些实施方式中，所述向所述加密机发送连通性检查指令包括：所述连通性检查模块向所述加密机发送ping指令，查看网络是否可达；若网络可达，则所述连通性检查模块向所述加密机发送telnet指令，查看端口是否可访问；若端口可访问，则所述检查结果为可连通。

在本发明的一些实施方式中，所述探测服务器还包括：记录模块，用于在所述分析模块获取所述加密机的运行状态后，生成探测结果并记录进日志中。

在本发明的一些实施方式中，所述探测服务器还包括：展示模块，用于执行如下操作：将所述探测结果与预设的阈值进行匹配；若匹配结果为所述加密机状态正常，则根据所述匹配结果生成并展示探测报告；若匹配结果为所述加密机状态异常，则根据所述匹配结果生成并展示探测报告，并发出警告。

此外，本发明提供了一种适用于加密机的状态监控装置，包括存储器和处理器，所述存储器用于存储一条或多条计算机可读指令；所述处理器用于执行所述一条或多条计算机可读指令从而实现前述任一项的状态监控方法。

本发明还提供了一种计算机存储介质，存储有一条或多条计算机程序，所述一条或多条计算机程序在执行时实现前述任一项的状态监控方法。

本发明通过探测服务器模拟用户与加密机进行的数据交互流程，实现以旁路探测的方式对加密机的状态进行监控，无需直接在加密机上部署探针程序，因此，满足加密机监管条例。同时，采用条件检查策略与连通性检查策略辅助探测，保证旁路探测手段不会对加密机的正常工作造成影响。并且，借助大数据处理手段，将探测结果进行可视化展示，与异常状态告警，有利于运维人员分析加密机的健康状态，提前对异常加密机进行处置，提高系统的可用性。此外，旁路探测的方式通用性强，可适用于各种类型的加密机。

附图说明

为了便于理解本发明，以下通过具体实施方式并结合附图对本发明进行具体说明。

图1是根据本发明实施方式的一种适用于加密机的状态监控方法的流程示意图；

图2是根据本发明实施方式的条件检查方法的流程示意图；

图3是根据本发明实施方式的连通性检查方法的流程示意图；

图4是根据本发明实施方式的信息展示方法的流程示意图；

图5是根据本发明实施方式的一种适用于加密机的状态监控系统的框图。

具体实施方式

以下结合附图和具体实施方式对本发明的各个方面进行详细阐述。其中，众所周知的模块、单元及其相互之间的连接、链接、通信或操作没有示出或未作详细说明。并且，所描述的特征、架构或功能可在一个或一个以上实施方式中以任何方式组合。本领域技术人员应当理解，下述的各种实施方式只用于举例说明，而非用于限制本发明的保护范围。还可以容易理解，本文所述和附图所示的各实施方式中的模块或单元或处理方式可以按各种不同配置进行组合和设计。

图1是根据本发明实施方式的一种适用于加密机的状态监控方法的流程示意图，在本发明的实施方式中，参照图1，该方法包括：

100：探测服务器创建探测进程，用于向加密机发送探测指令；

该探测服务器独立于加密机之外，由此，通过旁路探测的方式实现对加密机的状态监控。不必在加密机上部署探针程序，符合加密机监管条例。

在可选的实施方式中，该探测进程采用Python语言编写，封装有网络通断检测、端口监听检测、加密服务状态检测、标准化输出检测等功能模块。

101：探测服务器接收加密机根据探测指令生成的返回参数；

102：探测服务器分析返回参数，获取加密机的运行状态。

在本发明的实施方式中，探测指令为模拟用户与该加密机进行数据交互流程的模拟指令。具体而言，通过模拟用户请求加解密，获取加密机返回的结果，与预设的结果进行比对，判断加密机的运行状态是否正常。

在可选的实施方式中，在向加密机发送探测指令的时候，可以将16进制的探测指令进行二进制编码，并且封装成二进制报文，再通过Python的Socket模块将二进制报文发送给加密机。发送成功以后，如果能正常返回参数，可以将返回参数进行16进制编码，然后根据预配置的文件中的返回标识判断该加解密的结果是否正确。

在可选的实施方式中，除了加密机返回的返回参数之外，还可以记录发送探测指令的时间和接收到返回参数的时间，将发送探测指令的时间和接收到返回参数的时间的差值作为交易响应时间，作为判断加密机运行状态的指标之一。

由于加密机如同黑盒子，探测方案必须要保证探测行为不会对加密机的正常交易产生影响。在本发明的实施方式中，需要在创建探测进程前对探测进程和加密机的状态进行检测。

可选的，在本发明的一些实施方式中，分别给出一种对探测进程和加密机的状态进行检测的方法，具体如下：

(1)对探测进程：保证探测进程的并行数量在预设的阈值范围之内。

在本发明的实施方式中，如果探测进程或者加密机出现异常情况，导致两者间的连接没有被及时释放，在下一个探测周期时，新的探测进程会重新发起探测。基于此，如果不限定探测进程的并行数量，会导致加密机连接了大量不释放的探测进程从而拒绝服务，影响正常交易。由此，需要限定探测进程的并行数量。

如图2所示，在本发明的实施方式中，给出了一种条件检查方法，包括：

103：探测服务器检查探测服务器中正在运行的探测进程的数量，与预先设置的阈值进行比较；

104：判断探测服务器中正在运行的探测进程的数量是否小于该阈值，如是，跳转至105，如否，跳转至106；

105：创建探测进程；

106：直接结束任务。

(2)对加密机：保证在发送探测指令时，加密机是可连通的。

如图3所示，在本发明的实施方式中，给出了一种连通性检查方法，包括：

107：探测服务器向加密机发送连通性检查指令；

108：判断检查结果是否为可连通，如是，跳转至109，如否，跳转至110；

109：创建探测指令；

110：直接结束任务。

在本发明的实施方式中，步骤107可以通过以下方式实现：

探测服务器向所述加密机发送ping指令，查看网络是否可达；若网络可达，则探测服务器向所述加密机发送telnet指令，查看端口是否可访问；若端口可访问，则检查结果为可连通。

在可选的实施方式中，在发送ping和telnet命令的时候，还可以设定ping的数据包数量，telnet的超时时间，以免当加密机出现异常的时候，ping和telnet探测耗费大量时间，影响后续探测。

此外，在本发明的实施方式中，该状态监控方法还包括：探测服务器获取加密机的运行状态后，生成探测结果并记录进日志中。由此，实现对探测结果的保存，方便日后统计分析。

在可选的实施方式中，部署在探测服务器上的日志文件采集进程会定期的将产生的日志文件传输至监控数据存储服务器。传输成功以后，采集进程会删除该日志文件。

由于探测过程中保留了多种错误码和状态信息，用户直接观看难以理解，因此，在本发明的实施方式中，通过将其转义成用户能够理解的文字信息后进行展示，方便用户查阅。

具体的，如图4所示，给出了一种信息展示方法，包括：

111：探测服务器将探测结果与预设的阈值进行匹配；

112：判断匹配结果是否为加密机状态正常，若是，跳转至113，若否跳转至114；

113：根据匹配结果生成并展示探测报告；

114：根据匹配结果生成并展示探测报告，并发出警告。

在可选的实施方式中，也可以先对获取到的加密机的运行状态进行转义，再生成便于查阅的探测结果并记录进日志中。

在可选的实施方式中，展示可以包括打印展示，在打印之前探测服务器会判断输出路径是否具有读写权限，文件名是否存在。通过后，会按照预先定义的打印模板将探测报告输出到文件中。

本发明的实施方式通过探测服务器模拟用户与加密机进行的数据交互流程，实现以旁路探测的方式对加密机的状态进行监控，无需直接在加密机上部署探针程序，因此满足加密机监管条例。同时，采用条件检查策略与连通性检查策略辅助探测，保证旁路探测手段不会对加密机的正常工作造成影响。并且，借助大数据处理手段，将探测结果进行可视化展示，与异常状态告警，有利于运维人员分析加密机的健康状态，提前对异常加密机进行处置，提高系统的可用性。此外，旁路探测的方式通用性强，可适用于各种类型的加密机。

图5是根据本发明实施方式的一种适用于加密机的状态监控系统1的框图，参照图5，该自动变更系统1包括加密机11与探测服务器12。其中，探测服务器12包括：探测模块123，用于创建向加密机11发送探测指令探测进程，该探测指令为模拟用户与加密机11进行数据交互流程的模拟指令；接收模块124，用于接收加密机11根据探测指令生成的返回参数；分析模块125，用于分析返回参数，获取加密机11的运行状态。

在本发明的实施方式中，如图5所示，探测服务器12还包括条件检测模块121，用于执行如下操作：检查探测服务器12中正在运行的探测进程的数量，与预先设置的阈值进行比较；若探测服务器12中正在运行的探测进程的数量小于该阈值，则通知创建模块123创建探测进程；若探测服务器12中正在运行的探测进程的数量大于或等于该阈值，则直接结束任务。

在本发明的实施方式中，如图5所示，探测服务器12还包括连通性检查模块122，用于执行如下操作：向加密机11发送连通性检查指令；若检查结果为可连通，则通知创建模块123创建所述探测进程；若检查结果为不可连通，则直接结束任务。

在可选的实施方式中，连通性检查模块122向所述加密机11发送连通性检查指令包括：连通性检查模块122向加密机11发送ping指令，查看网络是否可达；若网络可达，则连通性检查模块122向加密机11发送telnet指令，查看端口是否可访问；若端口可访问，则检查结果为可连通。

在本发明的实施方式中，探测服务器12还包括记录模块126，用于在分析模块125获取加密机11的运行状态后，生成探测结果并记录进日志中；展示模块127，用于执行如下操作：将探测结果与预设的阈值进行匹配；若匹配结果为加密机11状态正常，则根据匹配结果生成并展示探测报告；若匹配结果为加密机11状态异常，则根据匹配结果生成并展示探测报告，并发出警告。

可选的，本发明实施方式提供了一种适用于加密机的状态监控装置，该状态监控装置包括存储器，用于存储一条或多条计算机可读指令；处理器，用于执行所述一条或多条计算机可读指令从而实现本发明前述实施方式或实现方式所提供的适用于加密机的状态监控方法。可选地，在本发明实施方式的一种实现方式中，所述适用于加密机的状态监控装置还可以包括用于进行数据通信的输入输出接口。例如，所述处理装置可以是计算机、智能终端、服务器等。

本发明实施方式还提供了一种计算机存储介质，存储有一条或多条计算机程序，用于在执行时实现本发明前述实施方式或实现方式提供的适用于加密机的状态监控方法。例如，所述存储介质可以包括硬盘、软盘、光盘、磁带、磁盘、优盘、闪存等。

虽然本文举例描述了一些实施方式，但是，在不脱离本发明实质的前提下，可以对这些实施方式进行各种变形，所有这些变形仍属于本发明的构思，并且落入本发明权利要求所限定的保护范围。

本文所公开的具体实施方式仅用于举例说明本发明，对于本领域技术人员而言，显然可以根据本文的教导进行各种修改，可以采用各种等同的方式实施本发明，因此，本发明上述公开的特定的实施方式仅仅是示例性的，其保护范围不受在此公开的结构或设计的细节所限，除非在权利要求中另有说明。因此，上述公开的特定的示例性的实施方式可进行各种替换、组合或修改，其所有的变形都落入本文公开的范围内。在缺少本文没有具体公开的任何元件或缺少本文公开的任选的部件的情况下，本文示例性公开的适用于加密机的状态监控方法、系统、装置及存储介质仍可适当地实施。上述公开的所有的数值和范围也可进行一定变化。每当公开了具有下限和上限的数值范围，落入此范围内的任何数值及任何被包含的范围都被具体地公开了。具体而言，本文公开的数值的任一范围均可理解为列举了包含在较宽数值范围内的任一数值和范围。同样，除非申请人明确且清楚地另有定义，权利要求中的术语具有它们的清楚、通常的含义。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件结合硬件平台的方式来实现。基于这样的理解，本发明的技术方案对背景技术做出贡献的全部或者部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施方式或者实施方式的某些部分所述的方法。

此外，权利要求书中的部件的数量包括一个或至少一个，除非另有说明。如果本发明中的用词或术语与其它文献中的用法或含义存在不一致，则应当以与本发明所定义的为准。

Claims (12)

1.一种适用于加密机的状态监控方法，其特征在于，所述状态监控方法包括：

探测服务器创建探测进程，用于向加密机发送探测指令，其中，所述探测指令为模拟用户与所述加密机进行数据交互流程的模拟指令；

所述探测服务器接收所述加密机根据所述探测指令生成的返回参数；

所述探测服务器分析所述返回参数，获取所述加密机的运行状态；

其中，所述探测服务器创建探测进程前，所述状态监控方法还包括：

检查所述探测服务器中正在运行的探测进程的数量，与预先设置的阈值进行比较；

若所述探测服务器中正在运行的探测进程的数量小于所述阈值，则创建所述探测进程；

若所述探测服务器中正在运行的探测进程的数量大于或等于所述阈值，则直接结束任务。

2.如权利要求1所述的状态监控方法，其特征在于，所述探测服务器创建探测进程前，所述状态监控方法还包括：

所述探测服务器向所述加密机发送连通性检查指令；

若检查结果为可连通，则创建所述探测进程；

若检查结果为不可连通，则直接结束任务。

3.如权利要求2所述的状态监控方法，其特征在于，所述向所述加密机发送连通性检查指令包括：

所述探测服务器向所述加密机发送ping指令，查看网络是否可达；

若网络可达，则所述探测服务器向所述加密机发送telnet指令，查看端口是否可访问；

若端口可访问，则所述检查结果为可连通。

4.如权利要求1所述的状态监控方法，其特征在于，所述状态监控方法还包括：

所述探测服务器获取所述加密机的运行状态后，生成探测结果并记录进日志中。

5.如权利要求4所述的状态监控方法，其特征在于，所述状态监控方法还包括：

所述探测服务器将所述探测结果与预设的阈值进行匹配；

若匹配结果为所述加密机状态正常，则根据所述匹配结果生成并展示探测报告；

若匹配结果为所述加密机状态异常，则根据所述匹配结果生成并展示探测报告，并发出警告。

6.一种适用于加密机的状态监控系统，包括探测服务器与加密机，其特征在于，所述探测服务器包括：

探测模块，用于创建向所述加密机发送探测指令探测进程，其中，所述探测指令为模拟用户与所述加密机进行数据交互流程的模拟指令；

接收模块，用于接收所述加密机根据所述探测指令生成的返回参数；

分析模块，用于分析所述返回参数，获取所述加密机的运行状态；

其中，所述探测服务器还包括：

条件检测模块，用于执行如下操作：

检查所述探测服务器中正在运行的探测进程的数量，与预先设置的阈值进行比较；

若所述探测服务器中正在运行的探测进程的数量小于所述阈值，则通知所述创建模块创建所述探测进程；

若所述探测服务器中正在运行的探测进程的数量大于或等于所述阈值，则直接结束任务。

7.如权利要求6所述的状态监控系统，其特征在于，所述探测服务器还包括：

连通性检查模块，用于执行如下操作：

向所述加密机发送连通性检查指令；

若检查结果为可连通，则通知所述创建模块创建所述探测进程；

若检查结果为不可连通，则直接结束任务。

8.如权利要求7所述的状态监控系统，其特征在于，所述向所述加密机发送连通性检查指令包括：

所述连通性检查模块向所述加密机发送ping指令，查看网络是否可达；

若网络可达，则所述连通性检查模块向所述加密机发送telnet指令，查看端口是否可访问；

若端口可访问，则所述检查结果为可连通。

9.如权利要求6所述的状态监控系统，其特征在于，所述探测服务器还包括：

记录模块，用于在所述分析模块获取所述加密机的运行状态后，生成探测结果并记录进日志中。

10.如权利要求9所述的状态监控系统，其特征在于，所述探测服务器还包括：

展示模块，用于执行如下操作：

将所述探测结果与预设的阈值进行匹配；

若匹配结果为所述加密机状态正常，则根据所述匹配结果生成并展示探测报告；

若匹配结果为所述加密机状态异常，则根据所述匹配结果生成并展示探测报告，并发出警告。

11.一种适用于加密机的状态监控装置，包括存储器和处理器，其特征在于，

所述存储器用于存储一条或多条计算机可读指令；

所述处理器用于执行所述一条或多条计算机可读指令以实现如权利要求1-5中任一项所述的方法。

12.一种计算机存储介质，存储有一条或多条计算机程序，其特征在于，所述一条或多条计算机程序在被处理器执行时实现如权利要求1-5中任一项所述的方法。

Images