CN111522611B

CN111522611B - 一种用于运维审计系统的协同运维方法

Info

Publication number: CN111522611B
Application number: CN202010246889.7A
Authority: CN
Inventors: 黄海; 范渊; 吴永越; 郑学新; 刘韬
Original assignee: Chengdu DBAPPSecurity Co Ltd
Current assignee: Chengdu DBAPPSecurity Co Ltd
Priority date: 2020-03-31
Filing date: 2020-03-31
Publication date: 2022-08-05
Anticipated expiration: 2040-03-31
Also published as: CN111522611A

Abstract

本发明公开了一种用于运维审计系统的协同运维方法，主连接模块将远程终端返回的会话数据镜像出来，镜像出来的会话数据由中继器Repeater同步分发到各个从连接模块，并由各个从连接模块同步分发到与从连接模块一一通讯连接的协同用户终端，由多个协同用户终端共同运维同一个远程终端会话。本发明实现一个远程终端会话的数据同时展示在多个用户终端上，并且多个用户终端可在同一个会话中进行运维操作；进行审计时可以将会话中每个人的操作分别审计；并且可提供无延迟的实时会话监控。

Description

一种用于运维审计系统的协同运维方法

技术领域

本发明涉及协同运维审计技术领域，具体涉及一种用于运维审计系统的协同运维方法。

背景技术

在运维审计领域中，通常情况都是一人一个运维会话；但是在一些涉密、合规的场景下，一项重要的操作往往需要两个或更多人来同时完成，如果两个人不在同一工作空间则没法完成操作；例如：在一些银行场景下重要密码是分段给两个或多个人保存的，需要用到密码时需要每个密码保管员分别输入自己保存的那段密码。而且，如果两个人在同一工作空间一起运维同一个会话，审计时无法区分每个操作分别对应的是哪一个自然人。

现有技术中有公开一些远程运维审计的方法，例如：申请号为CN201210591686.7；发明创造名称为：一种IT设备远程运维的方法和系统的中国发明专利，公开了一种IT设备远程运维的方法和系统，所述系统包括协议分发设备、协议适配设备、至少一个受控设备和至少一个用户终端，协议适配设备通过局域网与受控设备连接，协议分发设备通过广域网与用户终端连接，协议适配设备与协议分发设备间为网络通信连接。实施本发明的方法和系统，可将协议适配设备部署于内网以保证数据安全；并可通过一个web浏览器来访问不同的远程协议，而无须安装各种协议的专有客户端，降低对于客户端和操作系统的需求；同时提供多用户协同运维的手段。但是，该专利文献中公开的技术方案是一种用浏览器作为用户终端通连接上协议分发设备，并通过协议适配设备连接上受控设备方法，其中协议分发设备将各个协议数据桥接成了jpeg/png图片数据，协议适配设备实现各个协议都实现了相应的客户端适配。一方面，浏览器客户端有很多缺点，RDP图形协议中的文件传输、磁盘映射、打印机映射、多监视器映射、USB热插拔映射、rdp网关等功能都无法支持，字符协议的客户端密钥登录、angent forwarding、scp/rzsz文传输、脚本自动运维等功能也无法满足，丢失了原生客户端的很多特性功能；另一方面，其主要特征是实现了用一种浏览器客户端即可以运维各种协议的服务器，要求浏览器本身支持跨平台。

发明内容

本发明针对现有技术，提供了一种用于运维审计系统的协同运维方法，一是实现一个远程终端会话的数据同时展示在多个用户终端上，并且多个用户终端可在同一个会话中进行运维操作；二是进行审计时可以将会话中每个人的操作分别审计；三是可提供无延迟的实时会话监控。

本发明通过下述技术方案实现：一种用于运维审计系统的协同运维方法，在运维审计系统中设置一个主连接模块和至少一个通过Repeater（中继器）与主连接模块连接的从连接模块，进行协同运维；主连接模块、从连接模块中均包括模拟服务端、模拟用户端；Repeater（中继器）设置在主连接模块中，或者Repeater（中继器）独立设置在主连接模块、从连接模块之间；

所述协同运维方法为主连接模块将远程终端返回的会话数据镜像出来，镜像出来的会话数据由中继器Repeater同步分发到各个从连接模块，并由各个从连接模块同步分发到与从连接模块一一通讯连接的协同用户终端，由多个协同用户终端共同运维同一个远程终端会话。

使用本发明的技术方案，可以使多人在不通的工作空间在同一个会话中运维，并且审计会话能将每个人的操作给区分开来以满足审计的合规。同时，此方案也可以作为审计实时监控，审计员通过协同运维连接到会话但是禁止操作可以达到只读不写的效果，这样的实时监控的即时性非常的高没有任何延迟。而且，目前的运维审计系统中审计数据都是会经过一层缓存然后再给到实时审计模块的，此方案做为实时审计监控和直接运维的即时性一样。

而且，相对于利用可以运维各种协议的服务器进行远程运维的技术方案，本发明的主连接模块、从连接模块、中继器等构成的协同运维单元相当于代理协议模块，完全针对各个协议标准，完全兼容按协议标准实现的各种客户端，最大成度的还原了没有协议代理时的原生运维习惯。更进一步，本发明的协议代理是不对数据做渲染和转换的，相同数据带宽的情况下其CPU内存资源开销与背景技术中提及的专利（CN201210591686.7 一种IT设备远程运维的方法和系统）公开的技术方案有5倍以上的差距，因此极端情况下运维体验要流畅得多。

本发明与现有技术相比，具有以下优点及有益效果：

（1）本发明可以使多人在不通的工作空间在同一个会话中运维，而且审计会话能将每个人的操作给区分开来以满足审计的合规。

（2）本发明可以作为审计实时监控，审计员通过协同运维连接到会话但是禁止操作可以达到只读不写的效果，这样的实时监控的即时性非常的高没有任何延迟。

（3）本发明CPU内存资源开销很小，运维体验更加流畅。

附图说明

图1为本发明中协同运维单元的第一种架构示意图；

图2为本发明中协同运维单元的第二种架构示意图。

具体实施方式

为使本发明的目的、技术方案、优点更加清楚，下面将结合附图对实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例1：

一种用于运维审计系统的协同运维方法，在运维审计系统中设置一个主连接模块和至少一个通过Repeater（中继器）与主连接模块连接的从连接模块，进行协同运维；主连接模块、从连接模块中均包括模拟服务端、模拟用户端；Repeater（中继器）设置在主连接模块中，或者Repeater（中继器）独立设置在主连接模块、从连接模块之间；

本实施例的一个主要应用场景是：多人同时协同运维且分别审计每个人的操作。

本实施例中多个用户终端是在不同工作空间通过Repeater镜像分发（同步共享）的运维数据进行协同操作。例如：我们的PC电脑同时接了两套鼠标键盘，两个人分别使用一套鼠标键盘共享同一屏幕进行操作；然后再给PC电脑接一个显示器并且将显示设置为“复制屏幕”这样虽然是两个显示器但显示的是同一个数据来源相同的画面，两个人各自使用一套鼠标、键盘、显示器，但主机是同一个。

本实施例中协同运维单元的设计是一主多从，即一个Master+多个Slave。Master有权限控制Slave的输入权限：Master既可以响应Slave连接的Active/deactive请求，也可以主动设置Slave连接的状态。如果多个人都有控制权限，那情况就和上述两人同时操控一个主机一样。

本实施例的另一个主要应用场景是：审计员只读，仅进行审计实时监控。本实施例在协同运维时可以采用相同的数据通道进行实时审计，但是，协同运维和实时审计虽然都是走的同样的数据通道，但是双方的入口是不一样的，从运维入口接入的协同运维连接允许发起状态切换请求，从审计入口接入的连接则不允许状态切换请求。

实施例2：

本实施例在实施例1的基础上详细说明，一种用于运维审计系统的协同运维方法，基于运维审计系统中的协同运维单元进行协同运维。

所述协同运维单元包括主连接模块、从连接模块，主连接模块与运维审计系统中认证模块通讯连接，用户终端通过运维审计系统与远程终端通讯。

其中一种架构如图1所示，主连接模块包括相互通讯的模拟服务端、模拟用户端，从连接模块包括相互通讯的模拟服务端、模拟用户端，中继器设置在主连接模块中；此时，主连接模块和从连接模块不可以互换。

另一种架构如图2所示，主连接模块包括相互通讯的模拟服务端、模拟用户端，从连接模块包括相互通讯的模拟服务端、模拟用户端，中继器单独设置在主连接模块、从连接模块之间；此时，主连接模块和从连接模块可以互换。进一步，此架构下可以衍生出来一些应用场景:协同客户端竞争上岗，可以请求切换成Master；如果协同运维只允许同一时间只能一个人操作，也可以通过切换Master方式完成。

采用上述架构中的任意一种，运维审计系统调用协同运维单元进行协同运维时，用户终端分为主用户终端、协同用户终端；主用户终端、主连接模块、远程终端之间通讯连接且此连接为主连接，协同用户终端、从连接模块、主连接模块之间通讯连接且此连接为从连接。

其中，

主连接，即Master连接；

从连接，即Slave连接；

中继器，即Repeater。

基于上述运维审计系统，一种用于运维审计系统的协同运维方法，包括以下步骤：

步骤S100：主连接模块的模拟服务端接收主用户终端连接请求，验证用户登录合法性后，主连接模块的模拟用户端连接到远程终端，并设置为Master连接；

所述步骤S100具体包括步骤如下：

步骤S110：在运维审计系统中，主连接模块的模拟服务端分别监听各个协议的端口，等待新的连接请求；

其中，模拟服务端监听的各个协议的端口包括但不限于RDP、VNC图形协议和SSH、TELNET、RLOGIN字符协议；

步骤S120：主连接模块的模拟服务端收到新的连接请求，与主用户终端建立连接，主连接模块的模拟服务端接收到主用户终端的凭据后向认证模块发起用户身份验证请求，若验证成功则继续步骤S130，若验证失败则断开连接；

步骤S130：主连接模块的模拟用户端获取到主用户终端要连接的远程终端，记为目标远程终端，主连接模块的模拟用户端连接到目标远程终端，并将连接设置为Master连接；

步骤S200：Repeater在内部地址进行监听，并生成一个指向自己监听地址的令牌，记为Repeater令牌；

所述步骤S200具体包括步骤如下：

步骤S210：Repeater在内部地址进行监听，等待新的连接请求；

其中，监听的内容包括但不限于本地回环地址、本地套接字、管道等通信方式；

步骤S220：Repeater根据连接来源、目标、用户信息进行哈希计算得到一个唯一令牌，Repeater令牌对应着Repeater的监听地址；

步骤S300：协同用户终端连接到从连接模块的模拟服务器，通过用户合法性验证后，连接到Repeater令牌指向的Repeater监听地址；

所述步骤S300具体包括步骤如下：

步骤S310：协同用户终端获取到需要协同会话的Repeater令牌，连接到从连接模块的模拟服务端并传递用户身份信息、令牌信息；

步骤S320：从连接模块的模拟服务端收到新的连接请求，与协同用户终端建立连接，从连接模块的模拟服务端接收到协同用户终端的凭据后向认证模块发起用户身份验证请求，若验证成功则继续步骤S330，若验证失败则断开协同连接；

步骤S330：从连接模块的模拟服务端使用收到的Repeater令牌查询令牌对应的Repeater监听地址，调用从连接模块的模拟用户端并使从连接模块的模拟用户端连接到Repeater；

步骤S400：Repeater接收到新的连接后设置为Slave连接，Repeater将Master连接当前状态通过Slave连接同步到协同用户终端；

所述步骤S400具体包括步骤如下：

步骤S410：Repeater接收并建立新的连接，并设置为Slave连接，将Slave连接放到Slave连接列表中，并将此Slave连接状态设置为Deactive；

其中，Slave连接状态用于控制协同用户终端是否被允许进行运维操作，Deactive状态不允许运维操作，Active状态允许运维操作；

步骤S420：Repeater获取Master连接中缓存的当前会话数据，将数据返回给从连接模块的模拟用户端；

步骤S430：从连接模块的模拟用户端接收Repeater分发的数据，调用从连接模块的模拟服务端将数据发送到协同用户终端，使协同用户终端和主用户终端数据达到一致；

步骤S500：主连接模块的模拟用户端接收到远程终端返回的数据，调用主连接模块的模拟服务端将数据返回给主用户终端，调用Repeater将数据分发给每个Slave连接；主连接模块的模拟服务端接收主用户终端的数据并调用主连接模块的模拟用户端发送到远程终端，repeater接收Slave连接发送过来的数据并调用Master连接的模拟用户端发送到远程终端；

所述步骤S500具体包括步骤如下：

步骤S510：主连接模块的模拟用户端接收到远程终端返回的数据，调用主连接模块的模拟服务端将数据发送给用户终端；

步骤S520：主连接模块的模拟用户端接收到远程终端返回的数据，调用Repeater将数据分发给每个Slave连接；

所述步骤S520具体包括：

步骤S521：Repeater遍历Slave连接列表，将数据发送给从连接模块的模拟用户端；

步骤S522：从连接模块的模拟用户端接收到Repeater返回的数据，调用从连接模块的模拟服务端将数据发送到协同用户终端；

步骤S530：主连接模块的模拟服务端接收主连接模块的用户终端数据并调用主连接模块的模拟用户端发送到远程终端；

步骤S540：repeater接收Slave连接发送的数据并调用主连接模块的模拟用户端发送到远程终端；

所述步骤S540具体包括：

步骤S541：从连接模块的模拟服务端接收到协同用户终端数据，调用从连接模块的模拟用户端将数据发送到Repeater；

步骤S542：Repeater接收到Slave连接发送的数据，检查当前Slave连接状态，若为Active则调用主连接模块的模拟用户端将数据发送到远程终端，若为Deactive则将数据Drop掉；

所述步骤S600具体包括步骤如下：

步骤S610：Repeater检测是否有新的连接，若有则跳转步骤S410，若没有则继续步骤S620；

步骤S620：Repeater检测是否有Slave连接断开，若有则将Slave连接从Slave连接列表中移除并释放资源，若没有则继续步骤S630；

步骤S630：Repeater接收Slave连接的Active/Deactive指令，并将对应的Slave连接状态设置为指定状态；

步骤S640：检查Master连接是否断开，若连接正常跳到步骤S510继续执行，若连接断开则运维结束。

以上所述，仅是本发明的较佳实施例，并非对本发明做任何形式上的限制，凡是依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化，均落入本发明的保护范围之内。

Claims

1.一种用于运维审计系统的协同运维方法，其特征在于：在运维审计系统中设置一个主连接模块和至少一个通过Repeater与主连接模块连接的从连接模块，进行协同运维；主连接模块、从连接模块中均包括模拟服务端、模拟用户端；Repeater设置在主连接模块中，或者Repeater独立设置在主连接模块、从连接模块之间；

所述协同运维方法为主连接模块将远程终端返回的会话数据镜像出来，镜像出来的会话数据由中继器Repeater同步分发到各个从连接模块，并由各个从连接模块同步分发到与从连接模块一一通讯连接的协同用户终端，由多个协同用户终端共同运维同一个远程终端会话；

具体包括以下步骤：

步骤S200：Repeater在内部地址进行监听，并生成一个指向自己监听地址的Repeater令牌；

步骤S500：Master连接的模拟用户端接收到远程终端返回的数据，调用Master连接的模拟服务端将数据返回给主用户终端，调用Repeater将数据分发给每个Slave连接；Master连接的模拟服务端接收主用户终端数据并调用Master连接的模拟用户端发送到远程终端，Repeater接收Slave连接发送过来的数据并调用Master连接的模拟用户端发送到远程终端；

步骤S600：Repeater接收新的Slave连接和/或释放已断开的Slave连接和/或响应Slave连接的激活请求，直到Master连接断开后结束会话。

2.根据权利要求1所述的一种用于运维审计系统的协同运维方法，其特征在于：所述步骤S100具体包括以下步骤：

步骤S120：主连接模块的模拟服务端收到新的连接请求，与主用户终端建立连接，主连接模块的模拟服务端接收到用户终端的凭据后向认证模块发起用户身份验证请求，若验证失败则断开连接；

步骤S130：主连接模块的模拟用户端获取到用户终端要连接的远程终端与目标的远程终端建立连接，并将连接设置为Master连接。

3.根据权利要求2所述的一种用于运维审计系统的协同运维方法，其特征在于：所述步骤S200具体包括以下步骤：

步骤S210：Repeater在内部地址进行监听，等待新的连接请求；

步骤S220：Repeater根据连接来源、目标、用户信息进行哈希计算得到一个唯一令牌，即Repeater令牌，Repeater令牌对应着Repeater的监听地址。

4.根据权利要求3所述的一种用于运维审计系统的协同运维方法，其特征在于：所述步骤S300具体包括以下步骤：

步骤S320：从连接模块的模拟服务端收到新的连接请求，与协同用户终端建立连接，从连接模块的模拟服务端接收到协同用户终端的凭据后向认证模块发起用户身份验证请求，若验证失败则断开协同连接；

步骤S330：从连接模块的模拟服务端使用收到的Repeater令牌查询Repeater令牌对应的Repeater监听地址，从连接模块的模拟用户端连接到Repeater。

5.根据权利要求4所述的一种用于运维审计系统的协同运维方法，其特征在于：所述步骤S400具体包括以下步骤：

步骤S410：Repeater接收并建立新的连接，将新连接放到从连接列表中，并将此从连接状态设置为Deactive；其中，从连接状态用于控制协同用户终端是否被允许进行运维操作，Deactive状态不允许运维操作，Active状态允许运维操作；

步骤S420：Repeater获取主连接中缓存的当前会话数据，将数据返回给从连接的模拟用户端；

步骤S430：从连接的模拟用户端接收Repeater分发的数据，调用从连接的模拟服务端将数据发送到协同用户终端，此时协同用户终端和主用户终端数据达到一致。

6.根据权利要求5所述的一种用于运维审计系统的协同运维方法，其特征在于：所述步骤S500具体包括以下步骤：

步骤S510：主连接的模拟用户端接收到远程终端返回的数据，调用主连接的模拟服务端将数据发送给主用户终端；

步骤S520：主连接的模拟用户端接收到远程终端返回的数据，调用Repeater将数据分发给每个从连接；

步骤S530：主连接的模拟服务端接收主用户终端的数据并调用主连接的模拟用户端发送到远程终端；

步骤S540：Repeater接收从连接发送的数据并调用主连接的模拟用户端发送到远程终端。

7.根据权利要求6所述的一种用于运维审计系统的协同运维方法，其特征在于：所述步骤S520具体包括以下步骤：

步骤S521：Repeater遍历从连接列表，将数据发送给从连接的模拟用户端；

步骤S522：从连接的模拟用户端接收到Repeater返回的数据，调用从连接的模拟服务端将数据发送到协同用户终端。

8.根据权利要求6所述的一种用于运维审计系统的协同运维方法，其特征在于：所述步骤S540具体包括以下步骤：

步骤S541：从连接的模拟服务端接收到协同用户终端的数据，调用从连接的模拟用户端将数据发送到Repeater；

步骤S542：Repeater接收到从连接发送的数据，检查当前从连接状态，若为Active则调用主连接的模拟用户端将数据发送到远程终端，若为Deactive则将数据Drop掉。

9.根据权利要求6所述的一种用于运维审计系统的协同运维方法，其特征在于：所述步骤S600具体包括以下步骤：

步骤S610：Repeater检测是否有新的连接，有则跳到S410；

步骤S620：Repeater检测是否有从连接断开，有则将从连接由从连接列表中移除并释放资源；

步骤S630：Repeater接收从连接的Active/Deactive指令，并将对应的从连接状态设置为指定状态；

步骤S640：检查主连接是否断开，若连接正常跳到步骤S510继续执行，若连接断开则运维结束。