CN112202727B - 一种服务端验证用户管理方法、系统、终端及存储介质 - Google Patents

一种服务端验证用户管理方法、系统、终端及存储介质 Download PDF

Info

Publication number
CN112202727B
CN112202727B CN202010954417.7A CN202010954417A CN112202727B CN 112202727 B CN112202727 B CN 112202727B CN 202010954417 A CN202010954417 A CN 202010954417A CN 112202727 B CN112202727 B CN 112202727B
Authority
CN
China
Prior art keywords
service process
client
main service
auxiliary
main
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202010954417.7A
Other languages
English (en)
Other versions
CN112202727A (zh
Inventor
杨金林
霍文
范益
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Suzhou Inspur Intelligent Technology Co Ltd
Original Assignee
Suzhou Inspur Intelligent Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Suzhou Inspur Intelligent Technology Co Ltd filed Critical Suzhou Inspur Intelligent Technology Co Ltd
Priority to CN202010954417.7A priority Critical patent/CN112202727B/zh
Publication of CN112202727A publication Critical patent/CN112202727A/zh
Application granted granted Critical
Publication of CN112202727B publication Critical patent/CN112202727B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0654—Management of faults, events, alarms or notifications using network fault recovery
    • H04L41/0663—Performing the actions predefined by failover planning, e.g. switching to standby network elements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/10—Active monitoring, e.g. heartbeat, ping or trace-route
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/143—Termination or inactivation of sessions, e.g. event-controlled end of session
    • H04L67/145—Termination or inactivation of sessions, e.g. event-controlled end of session avoiding end of session, e.g. keep-alive, heartbeats, resumption message or wake-up for inactive or interrupted session

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Cardiology (AREA)
  • General Health & Medical Sciences (AREA)
  • Storage Device Security (AREA)
  • Hardware Redundancy (AREA)

Abstract

本发明提供一种服务端用户验证管理方法、系统、终端及存储介质，包括：将数据库中的安全策略集加载到内存，并创建主服务进程和辅服务进程，所述主服务进程和辅服务进程均挂载所述内存；所述辅服务进程确认所述主服务进程的状态异常，则终止所述主服务进程并将所述辅服务进程切换为新的主服务进程；利用当前主服务进程对客户端发送的用户登录信息进行校验，与通过校验的客户端建立通信连接，并监测与所述客户端的通信质量；利用当前主服务进程调取所述安全策略集对客户端发送的安全验证信息进行验证，并对通过验证的客户端提供与所述安全验证对应的服务项。本发明提高了服务端用户管理安全性，同时避免了堡垒机的单点故障，提高了稳定性。

Description

一种服务端验证用户管理方法、系统、终端及存储介质
技术领域
本发明涉及用户管理技术领域，具体涉及一种服务端验证用户管理方法、系统、终端及存储介质。
背景技术
随着大数据、云计算等技术的快速发展和应用，数据中心规模成倍增长，主机安全访问逐渐成为一个常态的关注点。当前主机安全访问的突出矛盾为用户权限划分颗粒度粗、账号存在共用、操作不易追踪；另外，开源软件不断涌现的不能及时修复的新的CVE漏洞也给主机安全访问带来较大风险。
针对上述问题，当前多采用堡垒机（跳板机）方式解决。堡垒机功能强大，一般涵盖账号管理、授权控制、安全审计等功能，但其占用资源较多、成本较高，本身也存在潜在的安全威胁与安全漏洞，且存在单点故障及堡垒机绕过（内部其他横向移动）等问题。
发明内容
针对现有技术的上述不足，本发明提供一种服务端验证用户管理方法、系统、终端及存储介质，以解决上述技术问题。
第一方面，本发明提供一种服务端验证用户管理方法，包括：
将数据库中的安全策略集加载到内存，并创建主服务进程和辅服务进程，所述主服务进程和辅服务进程均挂载所述内存；
所述辅服务进程确认所述主服务进程的状态异常，则终止所述主服务进程并将所述辅服务进程切换为新的主服务进程；
利用当前主服务进程对客户端发送的用户登录信息进行校验，与通过校验的客户端建立通信连接，并监测与所述客户端的通信质量；
利用当前主服务进程调取所述安全策略集对客户端发送的安全验证信息进行验证，并对通过验证的客户端提供与所述安全验证对应的服务项。
进一步的，所述辅服务进程确认所述主服务进程的状态异常则终止所述主服务进程并将所述辅服务进程切换为新的主服务进程的方法，包括：
启动所述主服务进程和所述辅服务进程之间的双向心跳监测，并设定限绝时间；
若所述辅服务进程在所述限绝时间内未接收到所述主服务进程的心跳，则确认所述主服务进程的状态异常；
终止所述主服务进程，并启动所述辅服务进程切换为负责监听客户端请求的主协程的主服务进程；
利用分叉函数创建新的辅服务进程。
进一步的，所述利用当前主服务进程对用户登录信息进行校验并与通过校验的客户端建立通信连接，包括：
接收客户端发送的用户登录信息；
判断用户数据库中是否存在与所述用户登录信息匹配的用户信息：
若是，则判定所述用户登录信息通过校验并与所述客户端建立通信连接，将所述用户登录信息保存至分布式数据库的所述客户端对应的日志集合。
进一步的，所述监测与所述客户端的通信质量，包括：
所述主服务进程接收客户端定期发送的心跳信息；
若所述主服务进程在预设期限内未接收到所述客户端的心跳信息，则判定所述客户端状态异常；
所述主服务进程终止所述客户端的进程并断开与所述客户端的通信连接。
进一步的，所述利用当前主服务进程调取所述安全策略集对客户端发送的安全验证信息进行验证并对通过验证的客户端提供与所述安全验证对应的服务项，包括：
所述主服务进程接收客户端发送的安全验证信息，所述安全验证信息经过所述客户端的特殊符号过滤；
所述主服务进程根据所述安全验证信息判断所述客户端是否属于所述安全策略集中的白名单：
若是，执行所述客户端发送的请求，并将执行结果返回所述客户端，同时将请求执行信息保存至分布式数据库的所述客户端对应的日志集合中。
进一步的，所述方法还包括：
接收具有安全配置权限的客户端发送的安全策略配置文件；
对所述安全策略配置文件进行安全验证，并将通过安全验证的安全策略配置文件导入内存；
将导入内存的安全策略配置文件同步更新至数据库。
第二方面，本发明提供一种服务端验证用户管理系统，包括：
服务创建单元，配置用于将数据库中的安全策略集加载到内存，并创建主服务进程和辅服务进程，所述主服务进程和辅服务进程均挂载所述内存；
冗余监测单元，配置用于所述辅服务进程确认所述主服务进程的状态异常，则终止所述主服务进程并将所述辅服务进程切换为新的主服务进程；
登录校验单元，配置用于利用当前主服务进程对客户端发送的用户登录信息进行校验，与通过校验的客户端建立通信连接，并监测与所述客户端的通信质量；
安全验证单元，配置用于利用当前主服务进程调取所述安全策略集对客户端发送的安全验证信息进行验证，并对通过验证的客户端提供与所述安全验证对应的服务项。
进一步的，所述冗余监测单元包括：
监测启动模块，配置用于启动所述主服务进程和所述辅服务进程之间的双向心跳监测，并设定限绝时间；
异常判定模块，配置用于若所述辅服务进程在所述限绝时间内未接收到所述主服务进程的心跳，则确认所述主服务进程的状态异常；
服务切换模块，配置用于终止所述主服务进程，并启动所述辅服务进程切换为负责监听客户端请求的主协程的主服务进程；
进程重建模块，配置用于利用分叉函数创建新的辅服务进程。
第三方面，提供一种终端，包括：
处理器、存储器，其中，
该存储器用于存储计算机程序，
该处理器用于从存储器中调用并运行该计算机程序，使得终端执行上述的终端的方法。
第四方面，提供了一种计算机存储介质，所述计算机可读存储介质中存储有指令，当其在计算机上运行时，使得计算机执行上述各方面所述的方法。
本发明的有益效果在于，
本发明提供的服务端验证用户管理方法、系统、终端及存储介质，通过创建冗余的双服务进程，提高服务端稳定性，同时服务进程对用户的登录信息和安全验证两个验证过程分离，相较于现有验证方法在用户登录的同时进行安全验证，本发明可将用户登录过程和安全验证过程分开执行，已登录的用户在执行请求某项服务之前发送相应的安全验证请求，通过验证后提供该项服务，实现了对用户权限的精细化管理。本发明在不改变用户操作习惯的前提下，将权限颗粒细化到主机、用户、指令、指令参数和访问时间段，提高了安全性，同时避免了堡垒机的单点故障，提高了稳定性。
此外，本发明设计原理可靠，结构简单，具有非常广泛的应用前景。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是本发明一个实施例的方法的示意性流程图。
图2是本发明一个实施例的方法的用户登录的示意性流程图。
图3是本发明一个实施例的方法的客户端命令执行的示意性流程图。
图4是本发明一个实施例的系统的示意性框图。
图5为本发明实施例提供的一种终端的结构示意图。
具体实施方式
为了使本技术领域的人员更好地理解本发明中的技术方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。
下面对本发明中出现的关键术语进行解释。
堡垒机 Bastion Host 包含主机管理、权限控制、运维审计、安全合规等功能
心跳机制 Heartbeat 定时发送一个自定义的结构体(心跳包)，让对方知道自己还活着，以确保连接的有效性的机制
BSON 是一种类json的一种二进制形式的存储格式，简称Binary JSON
黑名单模式是指规则中设置不允许运行的名单列表
白名单模式是指规则中设置允许运行的名单列表
goroutine go协程是与其他函数或方法一起并发运行的函数或方法，看作是轻量级线程
图1是本发明一个实施例的方法的示意性流程图。其中，图1执行主体可以为一种服务端验证用户管理系统。
如图1所示，该方法包括：
步骤110，将数据库中的安全策略集加载到内存，并创建主服务进程和辅服务进程，所述主服务进程和辅服务进程均挂载所述内存；
步骤120，所述辅服务进程确认所述主服务进程的状态异常，则终止所述主服务进程并将所述辅服务进程切换为新的主服务进程；
步骤130，利用当前主服务进程对客户端发送的用户登录信息进行校验，与通过校验的客户端建立通信连接，并监测与所述客户端的通信质量；
步骤140，利用当前主服务进程调取所述安全策略集对客户端发送的安全验证信息进行验证，并对通过验证的客户端提供与所述安全验证对应的服务项。
具体的，所述服务端验证用户管理方法包括：
S1、将数据库中的安全策略集加载到内存，并创建主服务进程和辅服务进程，所述主服务进程和辅服务进程均挂载所述内存；所述辅服务进程确认所述主服务进程的状态异常，则终止所述主服务进程并将所述辅服务进程切换为新的主服务进程。
服务端在初始化时，先将数据库中的安全策略集加载到内存，首先创建主服务进程，然后fork（分叉函数）产生辅服务进程，主辅双服务独立运行。
启动双向心跳。主、辅服务进程之间启动心跳发送、心跳检测协程，定时向对方发送心跳以便通过双向心跳机制互为监护，同时主服务启动监听客户端请求的主协程，通过i/o多路复用的方式向客户端提供服务。
双服务监护。当辅服务进程未在限绝时间内检测到主服务进程心跳时，kill主服务进程，并启动监听客户端请求的主例程，使自身变为主服务进程对外提供服务，同时再次fork产生辅服务进程，以便继续互相监护。
当主服务进程未检测到辅服务进程心跳时，重启辅服务进程，以便继续互相监护。
其中，安全策略集的配置方法为：只有root用户有权限进行安全策略配置，安全策略配置包括组、用户、命令和参数的增删改查。黑白名单支持单个命令的增删改，也支持文件导入，文件格式按照策略集合文档的格式组织数据。客户端将安全策略命令发送到主服务后，主服务安全验证，通过后，更新内存安全策略，并与MongoDB通信将相应策略持久化到安全策略集合中。同时记录日志。
S2、利用当前主服务进程对客户端发送的用户登录信息进行校验，与通过校验的客户端建立通信连接，并监测与所述客户端的通信质量。
如图2所示，具体流程为：
Step1:客户端向服务发起登陆请求
用户通过ssh/telnet/local方式登陆主机时系统自动启动客户端，获取用户名、登陆方式、登陆ip等关键信息后通过登陆模块发起登陆请求。
首次发送失败时，睡眠1s重新发送；若重发失败，则判断当前用户是否为root用户，是，则正常登陆；否，则打印错误信息，登陆失败。
发送成功等待服务端应答。
Step2：服务端登陆处理
主服务收到登陆请求后，通过登陆处理模块登陆审核，主要审核户名、登陆ip和时间段，条件都满足时允许登陆，否则，不允许登陆。
审核完成后将结果推送给客户端，并通过日志模块记录用户登陆信息到MongDB数据库的日志集合中。
Step3：客户端收到回复后，解析，若禁止登陆，则打印失败信息并退出登陆；若允许，则正常登陆并显示伪终端界面；同时启动心跳例程定时发送心跳，主服务每次接收到心跳数据就延长一个超时时间段。如果没有接到心跳数据，5秒后关闭连接并kill客户端进程。
S3、利用当前主服务进程调取所述安全策略集对客户端发送的安全验证信息进行验证，并对通过验证的客户端提供与所述安全验证对应的服务项。
如图3所示，具体流程为：
Step1:客户端过滤命令中的特殊字符
客户端读取用户通过伪终端界面输入的命令，并通过命令处理模块校验命令是否包含特殊字符，是，提示命令不符合安全要求，结束；否，准备发起安全验证申请。
Step2: 命令安全验证申请
过滤校验通过后，向主服务发起命令安全验证申请。首次发送失败时，等待1s重发申请，重发成功，等待主服务应答；重发失败则提示需要联系管理员人工干预。发送成功，等待主服务应答。
Step3：命令安全验证
所述命令处理模块主要负责命令分割、权限验证，支持正则表达式验证命令参数。
主服务收到安全验证申请后，通过命令处理模块进行命令分割、权限验证。若是白名单策略、命令和参数匹配成功，则返回允许，否则返回禁止；黑名单策略相反。验证完成后将结果推送给客户端，同时通过日志模块记录操作信息到MongDB数据库的日志集合中。
Step4：命令处理
客户端收到回复后，通过命令处理模块解析安全验证结果。若允许，则正常执行并在伪终端界面显示执行结果；若禁止，则打印禁止执行的提示信息，结束本次执行。
异常情况下，客户端未收到应答，则需要root用户人工干预。
如图4所示，该系统400包括：
服务创建单元410，配置用于将数据库中的安全策略集加载到内存，并创建主服务进程和辅服务进程，所述主服务进程和辅服务进程均挂载所述内存；
冗余监测单元420，配置用于所述辅服务进程确认所述主服务进程的状态异常，则终止所述主服务进程并将所述辅服务进程切换为新的主服务进程；
登录校验单元430，配置用于利用当前主服务进程对客户端发送的用户登录信息进行校验，与通过校验的客户端建立通信连接，并监测与所述客户端的通信质量；
安全验证单元440，配置用于利用当前主服务进程调取所述安全策略集对客户端发送的安全验证信息进行验证，并对通过验证的客户端提供与所述安全验证对应的服务项。
可选地，作为本发明一个实施例，所述冗余监测单元包括：
监测启动模块，配置用于启动所述主服务进程和所述辅服务进程之间的双向心跳监测，并设定限绝时间；
异常判定模块，配置用于若所述辅服务进程在所述限绝时间内未接收到所述主服务进程的心跳，则确认所述主服务进程的状态异常；
服务切换模块，配置用于终止所述主服务进程，并启动所述辅服务进程切换为负责监听客户端请求的主协程的主服务进程；
进程重建模块，配置用于利用分叉函数创建新的辅服务进程。
图5为本发明实施例提供的一种终端500的结构示意图，该终端500可以用于执行本发明实施例提供的服务端验证用户管理方法。
其中，该终端500可以包括：处理器510、存储器520及通信单元530。这些组件通过一条或多条总线进行通信，本领域技术人员可以理解，图中示出的服务器的结构并不构成对本发明的限定，它既可以是总线形结构，也可以是星型结构，还可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。
其中，该存储器520可以用于存储处理器510的执行指令，存储器520可以由任何类型的易失性或非易失性存储终端或者它们的组合实现，如静态随机存取存储器（SRAM），电可擦除可编程只读存储器（EEPROM），可擦除可编程只读存储器（EPROM），可编程只读存储器（PROM），只读存储器（ROM），磁存储器，快闪存储器，磁盘或光盘。当存储器520中的执行指令由处理器510执行时，使得终端500能够执行以下上述方法实施例中的部分或全部步骤。
处理器510为存储终端的控制中心，利用各种接口和线路连接整个电子终端的各个部分，通过运行或执行存储在存储器520内的软件程序和/或模块，以及调用存储在存储器内的数据，以执行电子终端的各种功能和/或处理数据。所述处理器可以由集成电路(Integrated Circuit，简称IC) 组成，例如可以由单颗封装的IC 所组成，也可以由连接多颗相同功能或不同功能的封装IC而组成。举例来说，处理器510可以仅包括中央处理器(Central Processing Unit，简称CPU)。在本发明实施方式中，CPU可以是单运算核心，也可以包括多运算核心。
通信单元530，用于建立通信信道，从而使所述存储终端可以与其它终端进行通信。接收其他终端发送的用户数据或者向其他终端发送用户数据。
本发明还提供一种计算机存储介质，其中，该计算机存储介质可存储有程序，该程序执行时可包括本发明提供的各实施例中的部分或全部步骤。所述的存储介质可为磁碟、光盘、只读存储记忆体（英文：read-only memory，简称：ROM）或随机存储记忆体（英文：random access memory，简称：RAM）等。
因此，本发明通过创建冗余的双服务进程，提高服务端稳定性，同时服务进程对用户的登录信息和安全验证两个验证过程分离，实现了对用户权限的精细化管理。本发明在不改变用户操作习惯的前提下，将权限颗粒细化到主机、用户、指令、指令参数和访问时间段，提高了安全性，同时避免了堡垒机的单点故障，提高了稳定性，本实施例所能达到的技术效果可以参见上文中的描述，此处不再赘述。
本领域的技术人员可以清楚地了解到本发明实施例中的技术可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明实施例中的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中如U盘、移动硬盘、只读存储器（ROM，Read-Only Memory）、随机存取存储器（RAM，Random Access Memory）、磁碟或者光盘等各种可以存储程序代码的介质，包括若干指令用以使得一台计算机终端（可以是个人计算机，服务器，或者第二终端、网络终端等）执行本发明各个实施例所述方法的全部或部分步骤。
本说明书中各个实施例之间相同相似的部分互相参见即可。尤其，对于终端实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例中的说明即可。
在本发明所提供的几个实施例中，应该理解到，所揭露的系统和方法，可以通过其它的方式实现。例如，以上所描述的系统实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，系统或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。
尽管通过参考附图并结合优选实施例的方式对本发明进行了详细描述，但本发明并不限于此。在不脱离本发明的精神和实质的前提下，本领域普通技术人员可以对本发明的实施例进行各种等效的修改或替换，而这些修改或替换都应在本发明的涵盖范围内/任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (10)

1.一种服务端验证用户管理方法，其特征在于，包括：
将数据库中的安全策略集加载到内存，并创建主服务进程和辅服务进程，所述主服务进程和辅服务进程均挂载所述内存；
所述辅服务进程确认所述主服务进程的状态异常，则终止所述主服务进程并将所述辅服务进程切换为新的主服务进程；
利用当前主服务进程对客户端发送的用户登录信息进行校验，与通过校验的客户端建立通信连接，并监测与所述客户端的通信质量；
利用当前主服务进程调取所述安全策略集对客户端发送的安全验证信息进行验证，并对通过验证的客户端提供与所述安全验证对应的服务项。
2.根据权利要求1所述的方法，其特征在于，所述辅服务进程确认所述主服务进程的状态异常则终止所述主服务进程并将所述辅服务进程切换为新的主服务进程的方法，包括：
启动所述主服务进程和所述辅服务进程之间的双向心跳监测，并设定限绝时间；
若所述辅服务进程在所述限绝时间内未接收到所述主服务进程的心跳，则确认所述主服务进程的状态异常；
终止所述主服务进程，并启动所述辅服务进程切换为负责监听客户端请求的主协程的主服务进程；
利用分叉函数创建新的辅服务进程。
3.根据权利要求1所述的方法，其特征在于，所述利用当前主服务进程对用户登录信息进行校验并与通过校验的客户端建立通信连接，包括：
接收客户端发送的用户登录信息；
判断用户数据库中是否存在与所述用户登录信息匹配的用户信息：
若是，则判定所述用户登录信息通过校验并与所述客户端建立通信连接，将所述用户登录信息保存至分布式数据库的所述客户端对应的日志集合。
4.根据权利要求1所述的方法，其特征在于，所述监测与所述客户端的通信质量，包括：
所述主服务进程接收客户端定期发送的心跳信息；
若所述主服务进程在预设期限内未接收到所述客户端的心跳信息，则判定所述客户端状态异常；
所述主服务进程终止所述客户端的进程并断开与所述客户端的通信连接。
5.根据权利要求1所述的方法，其特征在于，所述利用当前主服务进程调取所述安全策略集对客户端发送的安全验证信息进行验证并对通过验证的客户端提供与所述安全验证对应的服务项，包括：
所述主服务进程接收客户端发送的安全验证信息，所述安全验证信息经过所述客户端的特殊符号过滤；
所述主服务进程根据所述安全验证信息判断所述客户端是否属于所述安全策略集中的白名单：
若是，执行所述客户端发送的请求，并将执行结果返回所述客户端，同时将请求执行信息保存至分布式数据库的所述客户端对应的日志集合中。
6.根据权利要求1所述的方法，其特征在于，所述方法还包括：
接收具有安全配置权限的客户端发送的安全策略配置文件；
对所述安全策略配置文件进行安全验证，并将通过安全验证的安全策略配置文件导入内存；
将导入内存的安全策略配置文件同步更新至数据库。
7.一种服务端验证用户管理系统，其特征在于，包括：
服务创建单元，配置用于将数据库中的安全策略集加载到内存，并创建主服务进程和辅服务进程，所述主服务进程和辅服务进程均挂载所述内存；
冗余监测单元，配置用于所述辅服务进程确认所述主服务进程的状态异常，则终止所述主服务进程并将所述辅服务进程切换为新的主服务进程；
登录校验单元，配置用于利用当前主服务进程对客户端发送的用户登录信息进行校验，与通过校验的客户端建立通信连接，并监测与所述客户端的通信质量；
安全验证单元，配置用于利用当前主服务进程调取所述安全策略集对客户端发送的安全验证信息进行验证，并对通过验证的客户端提供与所述安全验证对应的服务项。
8.根据权利要求7所述的系统，其特征在于，所述冗余监测单元包括：
监测启动模块，配置用于启动所述主服务进程和所述辅服务进程之间的双向心跳监测，并设定限绝时间；
异常判定模块，配置用于若所述辅服务进程在所述限绝时间内未接收到所述主服务进程的心跳，则确认所述主服务进程的状态异常；
服务切换模块，配置用于终止所述主服务进程，并启动所述辅服务进程切换为负责监听客户端请求的主协程的主服务进程；
进程重建模块，配置用于利用分叉函数创建新的辅服务进程。
9.一种终端，其特征在于，包括：
处理器；
用于存储处理器的执行指令的存储器；
其中，所述处理器被配置为执行权利要求1-6任一项所述的方法。
10.一种存储有计算机程序的计算机可读存储介质，其特征在于，该程序被处理器执行时实现如权利要求1-6中任一项所述的方法。
CN202010954417.7A 2020-09-11 2020-09-11 一种服务端验证用户管理方法、系统、终端及存储介质 Active CN112202727B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010954417.7A CN112202727B (zh) 2020-09-11 2020-09-11 一种服务端验证用户管理方法、系统、终端及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010954417.7A CN112202727B (zh) 2020-09-11 2020-09-11 一种服务端验证用户管理方法、系统、终端及存储介质

Publications (2)

Publication Number Publication Date
CN112202727A CN112202727A (zh) 2021-01-08
CN112202727B true CN112202727B (zh) 2023-01-10

Family

ID=74014771

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010954417.7A Active CN112202727B (zh) 2020-09-11 2020-09-11 一种服务端验证用户管理方法、系统、终端及存储介质

Country Status (1)

Country Link
CN (1) CN112202727B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113395287B (zh) * 2021-06-22 2022-06-28 杭州默安科技有限公司 一种记录网络攻击ip和命令执行回显的方法和系统
CN113849349A (zh) * 2021-09-29 2021-12-28 中国船舶重工集团公司第七0七研究所 一种面向多用户实现双机冗余的方法

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104753954A (zh) * 2015-04-13 2015-07-01 成都双奥阳科技有限公司 一种利用堡垒机保障网络安全的方法
CN105429972B (zh) * 2015-11-10 2019-05-24 华为技术有限公司 资源访问控制方法及设备
KR101905771B1 (ko) * 2016-01-29 2018-10-11 주식회사 엔오디비즈웨어 시스템 환경 및 사용자 행동 분석 기반의 자기 방어 보안 서버와 이의 작동 방법
CN111541665A (zh) * 2020-04-16 2020-08-14 苏州浪潮智能科技有限公司 数据访问方法、装置、存储介质及集群式的安全管理平台

Also Published As

Publication number Publication date
CN112202727A (zh) 2021-01-08

Similar Documents

Publication Publication Date Title
CN112202727B (zh) 一种服务端验证用户管理方法、系统、终端及存储介质
CN110764871B (zh) 一种基于云平台的拟态化应用封装与控制系统和方法
CN105511805A (zh) 集群文件系统的数据处理方法和装置
CN111490981B (zh) 访问管理方法、装置、堡垒机及可读存储介质
US8869234B2 (en) System and method for policy based privileged user access management
CN106911648B (zh) 一种环境隔离方法及设备
WO2014086149A1 (zh) 服务器账号密码管理方法、系统及服务器
CN112448956B (zh) 一种短信验证码的权限处理方法、装置和计算机设备
CN111885080B (zh) 一种登录服务架构、服务器及客户端
WO2024021703A1 (zh) 服务器的控制方法、服务器及存储介质
CN111414612A (zh) 操作系统镜像的安全保护方法、装置及电子设备
CN110874231A (zh) 终端版本更新的方法、设备和存储介质
CN107920063A (zh) 一种在线更新tokenID的方法
CN110990124A (zh) 云主机恢复方法和装置
CN108600156A (zh) 一种服务器及安全认证方法
CN113922975A (zh) 一种安全控制方法、服务器、终端、系统和存储介质
CN111581616A (zh) 一种多端登录控制的方法及装置
US20120174206A1 (en) Secure computing environment
CN115604315A (zh) 服务器的远程处理装置及方法、电子设备
CN115442798A (zh) 一种移动终端触摸屏失效替代装置与方法
CN114329444A (zh) 系统安全提升方法及装置
CN106997430B (zh) 防止linux服务设备被复制的方法和装置
US20140059661A1 (en) Management device, computer-readable recording medium, and management method
CN114513346B (zh) 一种网络主动防御系统
TWI717457B (zh) 環境隔離方法及設備

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant