CN112491786A

CN112491786A - 基于单向传输的安全运维方法和系统

Info

Publication number: CN112491786A
Application number: CN202011110180.0A
Authority: CN
Inventors: 李继勇; 吴慧文; 陈祖安
Original assignee: SINORALL INFORMATION ENGINEERING GROUP CO LTD; China Railway Information Technology Group Co ltd; China Railway Xinan Beijing Information Security Technology Co Ltd
Current assignee: SINORALL INFORMATION ENGINEERING GROUP CO LTD; China Railway Information Technology Group Co ltd; China Railway Xinan Beijing Information Security Technology Co Ltd
Priority date: 2020-10-16
Filing date: 2020-10-16
Publication date: 2021-03-12

Abstract

本公开提供了基于单向传输的安全运维方法和系统。所述方法包括：第一用户端接收用户根据第一显示信息进行的操作，生成操作指令，通过第一单向传输通道将所述操作指令发送至第二用户端；所述第二用户端访问运维对象，根据所述操作指令对运维对象进行操作，生成第二显示信息，通过第二单向传输通道将所述第二显示信息发送至所述第一用户端。以此方式，能够在运维过程中，通过单向传输通道实现了操作终端和运维终端的隔离，操作终端不会接受运维对象的数据或者向运维对象发送数据，从而提高了运维安全性。

Description

基于单向传输的安全运维方法和系统

技术领域

本公开的实施例一般涉及互联网安全技术领域，并且更具体地，涉及基于单向传输的安全运维方法和系统。

背景技术

信息系统普遍存在于各行业网络中，信息系统在使用的生命周期中不可避免会出现各种问题，需要对信息系统进行问题排查，此时，就需要用户单位，甚至是信息系统开发厂商的人员到现场对信息系统进行运维工作，但由于运维中可接触内部网络及关键信息数据，导致了运维中的各种安全风险，其突出体现在两类：

运维过程中不合规接入引入的风险：外部非可控计算机接入网络，引入网络攻击风险；外部介质接入计算机，引入病毒木马；通过互联网接入运维，引入攻击风险。

在线运维过程产生的风险：运维人员或计算机对业务服务器攻击，破坏其可用性；核心业务服务被注入恶意代码，窃取或破坏业务数据；以攻击服务器为跳板，渗透攻击内部网络。

现有的运维控制技术手段虽然能缓解运维风险，但是随着信息系统越来越复杂，运维方式越来越丰富，有时甚至需要应急进行互联网运维等等情形，这些方式就存在不足：

常规交换机、防火墙的访问控制手段对运维协议无安全过滤措施，可形成无法控制风险的运维通道；

监控手段并非专门为运维设计的，无法识别运维细节，无法实施细粒度的监视及控制；

即使专门解决运维安全问题的运维堡垒机产品，也存在风险：

代理风险：此类产品基于协议代理实现，运维协议(ssh、ftp等)自身的安全风险无法阻断，可被利用形成攻击，尤其是在互联网接入运维的情况下，这种风险更为突出；

运维过程中的上传文件潜在的恶意病毒木马可能感染被运维服务器，导致信息破坏及泄露风险；

自身风险：一旦堡垒机自身被攻击，可被利用作为跳板攻击内部网络。

发明内容

根据本公开的实施例，提供了一种能够有效降低运维风险的基于单向传输的安全运维方案。

在本公开的第一方面，提供了一种基于单向传输的安全运维方法，包括：

第一用户端接收用户根据第一显示信息进行的操作，生成操作指令，通过第一单向传输通道将所述操作指令发送至第二用户端；

所述第二用户端访问运维对象，根据所述操作指令对运维对象进行操作，生成第二显示信息，通过第二单向传输通道将所述第二显示信息发送至所述第一用户端。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述第一用户端接收用户根据第一显示信息进行的操作，生成操作指令，包括：

第一用户端接收用户根据第一显示信息对鼠标和/或键盘进行的操作，捕获用户针对鼠标和/或键盘的操作动作信息，生成操作指令。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述通过第一单向传输通道将所述操作指令发送至第二用户端，包括：

第一单向传输通道根据第一预设规则对所述操作指令进行合法性验证，响应于所述操作指令合法，将所述操作指令发送至第二用户端。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述第一预设规则包括以下中的一项或多项：

对所述操作指令是否具有数字签名进行校验，和/或，对所述操作指令的数据格式进行检查，确保符合格式要求，和/或，对键盘数据输入进行频率检查。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述第二用户端访问运维对象，根据所述操作指令对运维对象进行操作，生成第二显示信息，包括：

第二用户端访问运维对象，根据所述操作指令针对所述第一显示信息的操作动作信息，对运维对象的显示界面进行操作，并截取图像信息，生成第二显示信息。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述通过第二单向传输通道将所述第二显示信息发送至所述第一用户端，包括：

第二单向传输通道根据第二预设规则对所述第二显示信息进行合法性验证，响应于所述第二显示信息合法，将所述第二显示信息发送至第一用户端。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述第二预设规则包括以下中的一项或多项：

对所述第二显示信息是否具有数字签名进行校验，和/或，对所述第二显示信息数据格式进行检查，确保符合格式要求。

在本公开的第二方面，提供了一种基于单向传输的安全运维系统，包括：

第一用户端，用于接收用户根据第一显示信息进行的操作，生成操作指令并发送至第一单向传输通道；

第一单向传输通道，用于根据第一预设规则对所述操作指令进行合法性验证并单向传输所述操作指令；

第二用户端，用于访问运维对象，根据所述操作指令对运维对象进行操作，生成第二显示信息并发送至第二单向传输通道；

第二单向传输通道，用于根据第二预设规则对所述第二显示信息进行合法性验证并单向传输所述第二显示信息。

在本公开的第三方面，提供了一种电子设备，包括存储器和处理器，所述存储器上存储有计算机程序，所述处理器执行所述程序时实现如以上所述的方法。

在本公开的第四方面，提供了一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现如以上所述的方法。

应当理解，发明内容部分中所描述的内容并非旨在限定本公开的实施例的关键或重要特征，亦非用于限制本公开的范围。本公开的其它特征将通过以下的描述变得容易理解。

通过本公开的基于单向传输的安全运维方法，能够在运维过程中，通过单向传输通道实现了操作终端和运维终端的隔离，操作终端不会接受运维对象的数据或者向运维对象发送数据，从而提高了运维安全性。

附图说明

结合附图并参考以下详细说明，本公开各实施例的上述和其他特征、优点及方面将变得更加明显。在附图中，相同或相似的附图标记表示相同或相似的元素，其中：

图1示出了本公开实施例一的基于单向传输的安全运维方法的流程图；

图2示出了本公开实施例二的基于单向传输的安全运维方法的流程图；

图3示出了本公开实施例三的基于单向传输的安全运维系统的功能结构示意图；

图4示出了本公开实施例四的基于单向传输的安全运维设备的结构示意图。

具体实施方式

为使本公开实施例的目的、技术方案和优点更加清楚，下面将结合本公开实施例中的附图，对本公开实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本公开一部分实施例，而不是全部的实施例。基于本公开中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的全部其他实施例，都属于本公开保护的范围。

另外，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

本公开实施例的基于单向传输的安全运维方法，能够在运维过程中，通过单向传输通道实现了操作终端和运维终端的隔离，操作终端不会接受运维对象的数据或者向运维对象发送数据，从而提高了运维安全性。

具体地，如图1所示，为本公开实施例一的基于单向传输的安全运维方法的流程图。从图1中可以看出，本实施例的方法，可以包括以下步骤：

S101：第一用户端接收用户根据第一显示信息进行的操作，生成操作指令，通过第一单向传输通道将所述操作指令发送至第二用户端。

本实施例中的第一用户端是指操作主机，可以是运维人员的随身携带的终端，也可以是被运维单位用于运维的终端，包括台式机、平板电脑等。本实施例中的第二用户端是指运维主机，即访问运维对象的终端，该终端可以是实体机也可以是虚拟机，访问方式可以是直接接入或者通过网络接入等。运维过程可以包括多个重复的环节，本实施例针对其中的一个环节进行说明。

本公开的技术方案的运维原理是第一用户端显示第二用户端回传的运维过程中访问运维对象的画面，然后运维人员根据该画面通过输入设备(例如鼠标、键盘)在第一用户端对回传的画面(第一显示信息)进行操作，例如第一显示信息为第二用户端回传的运维过程中访问运维对象的画面截图，第一用户端捕获输入设备针对第一显示信息的操作动作(例如在第一显示信息上的点击位置、点击次数、点击类型(包括左击和右击)、偏移距离、键盘输入信息等)，并将该操作动作通过第一单向传输通道发送至第二用户端，第一单向传输通道只用于将操作动作的相关信息发送至第二用户端，而不会将第二用户端的数据发送至第一用户端，即保证了第一用户端和第二用户端之间的单向传输。第二用户端接收到的第一用户端通过第一单向传输通道发送的操作动作信息后，根据该操作动作信息对运维对象进行操作，按照预设频率截取屏幕画面并通过第二单向传输通道发送至第一用户端，作为下个重复环节中的第一显示信息。重复上述过程，直到完成对运维对象的运维。

当利用本公开实施例的方法对运维对象进行运维时，运维人员首先可以登录第一用户端或者通过第一用户端建立与第二用户端的连接。具体地，当第一用户端为运维人员携带的设备时，运维人员可以通过第一用户端建立与第二用户端的连接，当第一用户端为台式计算机，例如专门用于运维的设备，则可以预先为每个运维人员分配一个登陆账号，运维人员可以通过对应的登陆账号登陆第一用户端，建立与第二用户端的连接。

当运维人员通过第一用户端建立与第二用户端的连接后，第二用户端会按照预设时间间隔截取第二用户端的当前屏幕的图像信息，例如每秒25帧，当然，可以根据实际需要降低预设时间间隔，例如每秒30帧或更多。第二用户端截取的是自身的全部屏幕信息或增量屏幕信息，然后将截取的当前屏幕的图像信息按照截取的先后顺序发送至第一用户端，第一用户端对接收到的图像信息进行显示，即第一显示信息，运维人员根据显示的内容进行操作，例如通过控制鼠标移动第一用户端屏幕上的光标对所述第一显示信息进行操作，例如点击、移动、左击、右击等，或者通过键盘输入信息等，但是在第一用户端上第一显示信息不会针对运维人员的操作进行反应。同时，第一用户端捕获对所述第一显示信息的操作动作，生成操作指令，通过第一单向传输通道将所述操作指令发送至第二用户端。

S102：所述第二用户端访问运维对象，根据所述操作指令对运维对象进行操作，生成第二显示信息，通过第二单向传输通道将所述第二显示信息发送至所述第一用户端。

所述第二用户端访问运维对象，并在接收到的所述第一用户端发送的操作指令后，根据所述操作指令的内容对当前的显示画面进行操作，由于第二用户端是直接访问运维对象的，因此，根据所述操作指令的内容对当前的显示画面进行操作后，当前的显示画面是会进行反应的，在当前画面反应后，截取反应后的画面，生成第二显示信息，并通过第二单向传输通道将所述第二显示信息发送至所述第一用户端。这里的第二显示信息即为下一环节的第一显示信息。

如图2所示，为本公开实施例二的基于单向传输的安全运维方法的流程图。本实施例针对交互的具体过程对本公开的技术方案进行说明。

第一用户端接收用户(运维人员)根据第一显示信息进行的操作，生成操作指令，该操作指令是针对第一用户端当前显示的由第二用户端发送的第一显示信息，并将生成的操作指令发送至第一单向传输通道。由于第二用户端发送显示信息的频率为25帧/秒或者更高，因此，在第一用户端显示的效果就是用户点击第一显示信息后，第一显示信息针对用户的操作进行反应。在实际应用中，第一用户端可以具有鼠标键盘捕获模块及屏幕信息渲染展示模块，其中鼠标键盘捕获模块负责实时获取第一用户端(操作终端)的鼠标及键盘操作，将操作信息进行记录，并拦截操作在本地的释放，然后将鼠标键盘操作信息发送给第一单向传输通道。屏幕信息渲染展示模块负责接收第二单向传输通道发送过来的显示信息，并解压后进行屏幕渲染及显示。

第一单向传输通道在接收到所述操作指令后，根据第一预设规则对所述操作指令进行合法性验证，包括对所述操作指令是否具有数字签名进行校验，和/或，对所述操作指令的数据格式进行检查，确保符合格式要求，和/或，对键盘数据输入进行频率检查。具体地，在第一用户端生成操作指令后，会对生成的操作指令进行签名，并且用预设的格式对所述操作指令进行封装，第一单向传输通道对生成的操作指令的签名进行验证，并检验生成的操作指令的格式是否为预先设定的格式，同时对键盘数据输入的频率进行检查，避免攻击者模拟键盘操作自动发送键盘数据。当验证通过后，第一单向传输通道将所述操作指令发送至第二用户端。

本实施例中的第一单向传输通道可以基于单向光信号通信原理实现，具体地，可以基于光对管等低带宽传输机制实现，在适应鼠标键盘消息传输的同时，降低传输能力，减少攻击风险，增强攻击难度。

第二用户端为实际访问运维对象的用户端(即运维终端)，第二用户端根据接收到第一用户端通过第一单向传输通道发送的操作指令对运维对象进行操作，生成第二显示信息，通过第二单向传输通道将所述第二显示信息发送至所述第一用户端。在实际应用中，第二用户端上可以具有鼠标键盘释放模块及屏幕信息捕获模块，其中鼠标键盘释放模块负责接收第一单向传输通道发动的第一用户端(操作终端)的实际鼠标键盘操作信息(操作指令)，并在本地操作系统中释放，成为本地的鼠标键盘操作。当运维终端对运维对象运维时，本地操作系统将显示运维屏幕信息，屏幕信息捕获模块负责对运维屏幕进行捕获，形成运维显示信息，并通过第二单向传输通道发送给第一用户端。为了提升运维屏幕捕获及传输效率，可采用增量捕获方式，减少捕获信息量，另外，为了提供流畅的显示效果，可以按每秒钟25张或更高显示镜像的频率进行捕获。

第二单向传输通道在接收到的第二显示信息后，根据第二预设规则对所述第二显示信息进行合法性验证，第二预设规则包括对所述第二显示信息是否具有数字签名进行校验，和/或，对所述第二显示信息数据格式进行检查，确保符合格式要求。具体地，在第二用户端生成第二显示信息后，会对生成的第二显示信息进行签名，第二单向传输通道对生成的第二显示信息的签名进行验证，并验证第二显示信息的格式是否为图片格式。当验证通过后，将所述第二显示信息发送至第一用户端。

在某些运维场景中，往往同时会有多个人对相同或不同的运维对象进行运维，该模式下，运维终端将不是一个独立的计算机，运维终端将由多个虚拟机构成，每个虚拟机具有独立的操作系统，可成为独立的运维主机。在使用时，每一台操作终端与一个虚拟机对应，形成一对一的运维关系。根据操作终端的数量可以灵活扩展运维虚拟机的数量。单向传输通道可以由一台设备组成，也可以适应更多主机运维，由多台设备以集群方式部署。此模式通过横向扩展，理论上可支持任意数量的操作主机同时进行运维工作。

为了进一步提升运维过程的安全，可在运维终端与运维对象之间部署堡垒机产品，通过对运维协议的深度检查及过滤，提升运维整体的可控性。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本公开并不受所描述的动作顺序的限制，因为依据本公开，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于可选实施例，所涉及的动作和模块并不一定是本公开所必须的。

以上是关于方法实施例的介绍，以下通过装置实施例，对本公开所述方案进行进一步说明。

如图3所示，为本公开实施例三的基于单向传输的安全运维系统的功能结构示意图，本实施例的基于单向传输的安全运维系统，包括：

第一用户端301，用于根据第一预设规则对所述操作指令进行合法性验证并单向传输所述操作指令。

第一单向传输通道302，用于根据第一预设规则对所述操作指令进行合法性验证。

第二用户端303，用于访问运维对象，根据所述操作指令对运维对象进行操作，生成第二显示信息并发送至第二单向传输通道。

第二单向传输通道304，用于根据第二预设规则对所述第二显示信息进行合法性验证并单向传输所述第二显示信息。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，所述描述的模块的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

图4示出了本公开实施例四的基于单向传输的安全运维设备的结构示意图。图4示出的终端设备仅仅是一个示例，不应对本申请实施例的功能和使用范围带来任何限制。

如图4所示，计算机系统包括中央处理单元(CPU)401，其可以基于存储在只读存储器(ROM)402中的程序或者从存储部分408加载到随机访问存储器(RAM)403中的程序而执行各种适当的动作和处理。在RAM403中，还存储有系统操作所需的各种程序和数据。CPU 401、ROM 402以及RAM 403通过总线404彼此相连。输入/输出(I/O)接口405也连接至总线404。

以下部件连接至I/O接口405：包括键盘、鼠标等的输入部分406；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分407；包括硬盘等的存储部分408；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分409。通信部分409经由诸如因特网的网络执行通信处理。驱动器410也基于需要连接至I/O接口405。可拆卸介质411，诸如磁盘、光盘、磁光盘、半导体存储器等等，基于需要安装在驱动器410上，以便于从其上读出的计算机程序基于需要被安装入存储部分408。

特别地，基于本公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，所述计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分409从网络上被下载和安装，和/或从可拆卸介质411被安装。在该计算机程序被中央处理单元(CPU)401执行时，执行本申请的方法中限定的上述功能。

本文中以上描述的功能可以至少部分地由一个或多个硬件逻辑部件来执行。例如，非限制性地，可以使用的示范类型的硬件逻辑部件包括：场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、负载可编程逻辑设备(CPLD)等等。

用于实施本公开的方法的程序代码可以采用一个或多个编程语言的任何组合来编写。这些程序代码可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器或控制器，使得程序代码当由处理器或控制器执行时使流程图和/或框图中所规定的功能/操作被实施。程序代码可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本公开的上下文中，机器可读介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的程序。机器可读介质可以是机器可读信号介质或机器可读储存介质。机器可读介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。

此外，虽然采用特定次序描绘了各操作，但是这应当理解为要求这样操作以所示出的特定次序或以顺序次序执行，或者要求所有图示的操作应被执行以取得期望的结果。在一定环境下，多任务和并行处理可能是有利的。同样地，虽然在上面论述中包含了若干具体实现细节，但是这些不应当被解释为对本公开的范围的限制。在单独的实施例的上下文中描述的某些特征还可以组合地实现在单个实现中。相反地，在单个实现的上下文中描述的各种特征也可以单独地或以任何合适的子组合的方式实现在多个实现中。

尽管已经采用特定于结构特征和/或方法逻辑动作的语言描述了本主题，但是应当理解所附权利要求书中所限定的主题未必局限于上面描述的特定特征或动作。相反，上面所描述的特定特征和动作仅仅是实现权利要求书的示例形式。

Claims

1.一种基于单向传输的安全运维方法，其特征在于，包括：

2.根据权利要求1所述的基于单向传输的安全运维方法，其特征在于，所述第一用户端接收用户根据第一显示信息进行的操作，生成操作指令，包括：

3.根据权利要求2所述的基于单向传输的安全运维方法，其特征在于，所述通过第一单向传输通道将所述操作指令发送至第二用户端，包括：

4.根据权利要求3所述的基于单向传输的安全运维方法，其特征在于，所述第一预设规则包括以下中的一项或多项：

5.根据权利要求4所述的基于单向传输的安全运维方法，其特征在于，所述第二用户端访问运维对象，根据所述操作指令对运维对象进行操作，生成第二显示信息，包括：

6.根据权利要求5所述的基于单向传输的安全运维方法，其特征在于，所述通过第二单向传输通道将所述第二显示信息发送至所述第一用户端，包括：

7.根据权利要求6所述的基于单向传输的安全运维方法，其特征在于，所述第二预设规则包括以下中的一项或多项：

8.一种基于单向传输的安全运维系统，其特征在于，包括：

9.一种电子设备，包括存储器和处理器，所述存储器上存储有计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1～7中任一项所述的方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1～7中任一项所述的方法。