CN111709043B - 一种图形化操作系统的命令控制方法 - Google Patents

Abstract

本发明提供一种图形化操作系统的命令控制方法，属于运维技术领域，本发明采用软件化交付模式，从接入策略、命令策略、操作资产范围上都与租户关联，满足分租户的使用需求。自研图形化操作系统的控制客户端，在租户许可情况下，安装到运维资产中，根据下发的策略控制运维资产的命令操作及命令提取。在事后审计中，首先采用大数据分析模式，从提取的命令(支持字符型和图型操作系统)中先进行检索，实现审计信息的迅速聚焦，降低了人工目视判断审计的工作量，提高了运维审计的可用性。

Description

一种图形化操作系统的命令控制方法

技术领域

本发明涉及运维技术，尤其涉及一种图形化操作系统的命令控制方法。

背景技术

从传统的IDC、设备托管等应用领域，发展到云中心模式，设备越来越多，并且随着管理深入要求设备密码周期性更新强密码，这些都对运维人员提出了很高的要求。堡垒机从IDC等应用场景中就一直使用，在云中因为安全及审计要求，更成为不可缺少的组成部分。但正因为如此，堡垒机在云模式下的有更高的支持要求。

首先，要满足多租户的使用需求，能够为某个租户配置个性化的密码、访问控制策略、管理资产范围等。并且要求在使用后能够按租户审计，传统的硬件盒子堡垒机在支持多租户方面比较欠缺。

其次，传统的堡垒机具备命令行模式的日志记录和命令控制功能，而windows大部分只能录像审计，部分能提供图像内容识别的系统在性能及控制方面用户体验较差。

第三，堡垒机长期以来，仅仅作为操作的审计系统存在，即为操作提供历史日志记录，作用和价值有限。在整个运维体系，特别是自动化、智能化的功能，需要打通从人到设备的通道，实现多种功能或命令的批量、自动执行，如巡检、配置等。堡垒机不应该是云平台外的附加部分，而应该是云平台不可分割的重要支撑手段。

堡垒机是传统的运维审计系统（装置），一般以硬件盒子的模式出现，核心功能是接入统一控制、操作记录（命令日志或图形录屏）、事后审计等。

在云环境中，首先，要满足多租户的使用需求，即要支持分权分域的分租户使用模式。其次，需审计对象相较传统模式增加很多，做事后人工审计不容易找到焦点。第三，传统堡垒机主要针对字符型操作系统（如linux、unix等）提供命令查询，而图形化界面只支持录像，无法提取信息。第四，命令控制也仅针对字符型操作系统，无法控制图形化的操作系统命令执行。

发明内容

为了解决以上技术问题，本发明提供了一种图形化操作系统的命令控制方法，实现审计信息的迅速聚焦，降低了人工目视判断审计的工作量，提高了运维审计的可用性。

本发明的技术方案是：

一种图形化操作系统的命令控制方法，采用软件化交付模式，从接入策略（时间控制、IP控制）、命令策略（禁用、二次授权）、操作资产范围上都与租户关联，满足分租户的使用需求。自研图形化操作系统（windows）的控制客户端，在租户许可情况下，安装到运维资产中，根据下发的策略控制运维资产的命令操作及命令提取。在事后审计中，首先采用大数据分析模式，从提取的命令（支持字符型和图型操作系统）中先进行检索。

另外，结合云环境中的其他使用需求，把堡垒机与运维工作结合起来，作为人机交互的统一执行层，发挥更大的价值。

a)云堡垒机全面支持字符型操作系统和图形化操作系统的命令策略，可以设置命令执行的阻断或二次鉴权策略。

b)无论windows以RDP协议还是其他协议接入，都可以支持与字符型操作系统一样的命令策略方式。

其主要实现步骤为：

a)租户（操作者）允许在windows里安装agent，该agent为钩子类程序，能够实时截获鼠标及键盘的操作，并在触发钩子程序时，自动获取操作位置的句柄及ID。

b)Agent还可以保持与堡垒机的通讯，实现预置命令策略的同步及运维实例操作时信息的交互，如二次鉴权的交互。

c)根据获取的句柄及ID，以及预先设置的命令策略（仅对windows系统本身的操作，应用不做控制）和句柄/ID与命令的对应关系，可以判断命令执行的去向（命令策略采取非禁止可操作的模式）。

进一步的，

利用复式聚焦审计结果的搜索方法，通过输入关键字使用非结构化的搜索方法快速聚焦需要找的事件，然后通过结构化的传统查询方法（如运维资产实例、操作员、时间段等）进一步缩小范围，减少审计工作量。

减少运维人员寻找需审计事件的工作量，缩短时间，快速定位问题。

在全面支持字符型操作系统和图形化操作系统对命令提取结果的基础上，能够使用自动化方法获取审计焦点。

其主要实现步骤为：

a)在运维过程中，提取字符型操作系统及图形化操作系统的命令及返回结果，并记录存储，作为后续审计的信息来源。另外，同时存储运维资产实例、操作员、操作时间等信息。

b)使用非结构化的搜索方法，按照输入的关键字（主要是命令或表现的关键字，如LS等）搜索结果集为$R。

c)在$R的基础上，再按照设置的传统查询条件，进行过滤，进一步缩小结果集$RR。

d)运维人员在$RR上确认是否存在需要的审计内容。

进一步的，

利用云堡垒机作为人机交互集中代理

a)云堡垒机作为云平台（CMP，cloud manage platform）中唯一的人机交互系统。

b)云堡垒机负责云平台中所有需与资产实例交互的命令或功能操作。

其主要实现步骤为：

a)按照接入策略、命令策略、资产范围等给自动执行所使用的操作员（命令执行的操作者）赋权。

b)在云堡垒机中资产已经按照远程操作协议设置账号及其他配置，命令可执行，可操作。

c)在云平台中可以手动或自动执行命令、脚本（批命令）等形式，执行过程符合审计标准，可做事后审计。

通过延续传统堡垒机的运维审计功能并融合云环境的需求，可以在以下方面取得有益效果：

1）满足等保三级、安全审查等对运维审计的功能需求，又能体现云的操作特征和功能需求，使堡垒机的定位有了新的含义和用途。使云平台结构更清晰，扩展性和可用性更强。

2）通过堡垒机的集中接入代理作用，实现了日常运维中自动化需求，如巡检等，并结合预置的规则可以实现智能化自判，提高了运维效率，减少了运维人员工作量。

3）通过堡垒机的异地协同工具功能，能够快速集结不同地域的专家共同处理故障，缩短了排障时间，共享了运维技能，提升了用户满意度，提高了运维人员能力水平。

4）通过对命令行操作系统（专指linux、unix系列，包括服务器上使用的标准系统及交换机、防火墙上修改后的系统）和图形化操作系统（专指windows系列）的全面命令提取及控制，能够更准确搜索到需审计的对象，提高了审计的工作效率。

5）通过对图形化操作系统（windows）的命令控制，弥补了传统堡垒机对图形化操作系统只能录屏，无法控制的缺陷，实现了全面命令控制功能。

附图说明

图1 堡垒机功能结构图；

图2 多租户分权分域结构图；

图3 接入策略授权用户示意图；

图4 会话及命令策略授权用户；

图5 协同排障过程示意图；

图6 排障协同运维示意图；

图7 windows控制命令过程图；

图8 windows本地agent执行过程图；

图9 人机交互通道-批量命令执行示意图；

图10 堡垒机首页示意图；

图11 堡垒机运行概况示意图；

图12 运维操作示意图；

图13二次授权示意图；

图14操作执行窗口示意图（字符型操作系统）；

图15 审计回放示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例，基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1中的功能是本发明的全部功能内容，具有传统堡垒机的基本功能，还有为了在云中使用而改造的其他特色功能。这些功能主要有：

1）通过软件方式解决传统堡垒机无法支持多租户的方式。软件堡垒机更适合云的使用场景，可以根据租户要求部署堡垒机到路由（软）或网关（软）节点；也可以把公共堡垒机作为多个租户合用的系统，根据租户要求建立个性化的策略。

2）对图形化操作系统（windows）的实时命令控制。在传统堡垒机系统中由于windows系统一般通过RDP协议接入，都是流数据信息，无法区分命令，所以windows的运维一般都是录像。这种方式导致无法实现操作命令控制，也无法在发生问题时能够及时找到问题发生的时间及发生点（需要大批量、长时间的人工检查）。在本系统中，通过在windows系统里加载自研的客户端（钩子程序），能够实时捕获鼠标、快捷键、键盘输入等信息，根据下发的操作控制策略判断是否有权限。如果非法操作则给出提示，并实时中断。

3）会话及命令二次鉴权。出于安全考虑，部分用户登录的会话或者操作的命令，按照预置的策略不允许执行，需要在可控、可视范围内操作。按照二次授权的方式对会话及命令进行控制，即权限低的用户发起这些操作时需要高权限用户进行二次授权许可。

4）堡垒机作为人与设备之间的交互通道。在云平台中，堡垒机作为运维、运营等使用人员对设备（包括虚拟设备）操作的直接和唯一通道。把操作对象和上层应用解耦合分层管理，有助于实现更多接入协议适配和复用，实现更大范围的设备管理。

5）堡垒机作为异地专家排障的协同操作工具。云中心的日常运维分为：现场一线、集中二线和研发三线，如果发生故障按照分层递进的顺序处理解决。虽然是集中，但大部分专家都不在一个物理地点办公，如果发生严重故障时需要不同地域的专家同时参与解决。在排障过程中，通过堡垒机的操作信息共享及监督机制，可以针对同一个设备操作，实现异地协同办公，提升了运维效率，积累了经验提高了运维水平。这种方便的运维手段，缩短了排障时间，直接提升了客户满意度。

传统堡垒机具有的协议适配接入、命令发送控制、操作系统账户管理等常用功能，不再提供具体的实现方法，典型界面如图10堡垒机首页、图11堡垒机运行监控、图12授权资产的运维操作、图13操作执行窗口中的二次命令授权、图14命令执行窗口、图15审计回放中的记录回放等。针对本发明增加或加强的功能实现说明如下：

1）多租户支持。首先提供接入及命令的配置策略，形成不同策略，然后以租户（操作用户）为唯一标志，匹配接入策略、命令策略，并为租户分配可操作的资产对象（先按照数据权限范围限定，再增加或减少需要管理的资产实例）。

接入策略从时间和设备上进行控制，即可以限定某个操作用户可访问的时间段，或者接入使用哪个设备（根据IP地址判断）。

命令策略采取不限制即可用的模式，除个别命令或命令的参数禁止使用或需要二次授权使用外，其他命令可不经授权直接使用。

策略配置及资产分配的具体结构如图2所示，接入策略如图3所示，命令策略如图4所示。

2）排障协同工具。堡垒机的基础功能就是免密在授权范围内安全操作资产设备（包含虚拟设备），所以在日常运维时堡垒机也是唯一操作资产的途径。云服务是一个综合性工程，涉及更多的技能和原理性知识，在排除障碍时往往需要分布在不同机房专家的互相配合。浪潮云堡垒机提供协同排障，即提供处于不同位置的专家通过堡垒机操作同一台资产设备的功能。具体实现为由一名运维专家发起对资产的连接会话，该会话可以被其他专家看到（如果某专家没有对设备的操作权限，可以用临时授权，会话结束授权即终止）。任何一个专家操作的命令及返回的信息，都可以被其他专家看到。如果其他专家需要获取执行权，则通过抢占会话操作权即可。操作过程如图5所示，操作界面如图6所示。

3）图形化操作系统命令控制（windows）。字符型的操作系统（主要是linux、unix，以及基于这些改造的操作系统），一般通过SSH协议操作资产设备，其实质是远程执行命令的方式。而windows一般通过RDP协议传送，因为是码流无法获取有用的命令或操作信息。部分开发商基于录屏的图片实现文本内容提取（类似于OCR功能），不论提取内容的准确度如何，也无法实现命令限制，无法阻止用户对应该禁止命令的操作（windows的权限管理可对某个用户操作限制但繁琐也不灵活，windows的dos模式也不在讨论范围内）。因为RDP码流的实现原理，无法在堡垒机侧实现阻断性操作，所以必须在windows系统里安装代理实现阻断。该功能的实现过程为：a）按照windows的标准功能梳理菜单、窗口及按钮对应的变量句柄；b）建立句柄与命令/功能的对应关系；c）按照命令的设置策略与字符型操作系统一样预置禁止或二次授权的命令项。d）安装agent到资产对象的windows操作系统中，并同步设置的命令策略到资产本地；e）agent是一个钩子程序，具有获取鼠标、键盘操作的功能，并通过按键触发获取句柄的操作；f）通过句柄判断本地同步过来的策略，是否可继续操作，如果不能则阻断；g）如果命令是需要二次授权，则回复给堡垒机体系，进行二次授权；h）该过程中所有的操作都被记录，并根据获取的句柄自动匹配为不同的命令或功能。实现过程如图7所示，windows系统里需安装的agent实现过程如图8所示。

4）审计焦点搜索。堡垒机的基础功能是运维审计，即能够提供对某个事件的操作记录，如谁删除了某台服务器的某个配置文件。如果依赖人员对记录的命令进行回放，人工寻找工作量非常大，也不容易发现。在本发明中，除引入非结构化数据的搜索之外，还结合结构化数据的特征进行辅助。谁删除了配置文件，会搜索删除命令，但可能符合条件的记录比较多，需要进一步缩写范围，如时间段、运维人员、资产设备等。具体实现为：a）根据输入的离散关键字，按照非结构化的搜索获取符合条件的结果集$R；b）按照预置的范围条件，如时间段、运维人员、资产设备的单一或组合条件，对$R进行符合条件的筛选，进一步缩小范围结果集为$RR；c）在$RR中再由人工确认是否为需要的信息；d）根据确定的记录，找到对应的存储，回放操作。

5）人机交互通道。云堡垒机提供人机交互的通道，所有的操作（脚本、命令）可以自动化或手动在授权的资产范围内执行，使堡垒机发挥更大的价值和作用。具体实现为：a）根据租户的权限范围分配管理的资产，配置接入及命令执行策略；b）增加或维护待执行的脚本（windows系统也要转换为命令）；c）选择资产手动或自动执行预置的脚本程序，实现某个运维目标。

以上所述仅为本发明的较佳实施例，仅用于说明本发明的技术方案，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (3)

1.一种图形化操作系统的命令控制方法，其特征在于，

采用软件化交付模式，从接入策略即时间控制和IP控制、命令策略即禁用和二次授权、操作资产范围上都与租户关联；将图形化操作系统的控制客户端在租户许可情况下安装到运维资产中，根据下发的策略控制运维资产的命令操作及命令提取；在事后审计中，首先采用大数据分析模式，从提取的命令中先进行检索；

主要实现步骤为：

a) 图形化操作系统的控制客户端即在windows里安装agent，该agent为钩子类程序，实时截获鼠标及键盘的操作，并在触发钩子程序时，自动获取操作位置的句柄及ID；

b)agent保持与堡垒机的通讯，实现预置命令策略的同步及运维实例操作时信息的交互；

c)根据获取的句柄及ID，以及预先设置的命令策略和句柄/ID与命令的对应关系，判断命令执行的去向；

agent根据下发的操作控制策略判断是否有权限，如果非法操作则给出提示，并实时中断；

按照二次授权的方式对会话及命令进行控制，即权限低的用户发起这些操作时需要高权限用户进行二次授权许可；

通过输入关键字使用非结构化的搜索方法快速聚焦需要找的事件，然后通过结构化的传统查询方法进一步缩小范围；

其主要实现步骤为：

a)在运维过程中，提取字符型操作系统及图形化操作系统的命令及返回结果，并记录存储，作为后续审计的信息来源；同时存储运维资产实例、操作员、操作时间信息；

b)使用非结构化的搜索方法，按照输入的关键字搜索结果集为$R；

c)在$R的基础上，再按照设置的传统查询条件，进行过滤，进一步缩小结果集$RR；

d)在$RR上确认是否存在需要的审计内容。

2.根据权利要求1所述的方法，其特征在于，

将云堡垒机作为云平台中唯一的人机交互系统；云堡垒机负责云平台中所有需与资产实例交互的命令或功能操作。

3.根据权利要求2所述的方法，其特征在于，

实现步骤为：

a)按照接入策略、命令策略、资产范围给自动执行所使用的操作员赋权；

c)在云堡垒机中资产已经按照远程操作协议设置账号及其他配置，命令可执行，可操作；

d)在云平台中可以手动或自动执行命令、脚本，执行过程符合审计标准，可做事后审计。

Images