CN112769808B - 用于工业局域网的移动堡垒机及其运维方法、计算机设备 - Google Patents

用于工业局域网的移动堡垒机及其运维方法、计算机设备 Download PDF

Info

Publication number
CN112769808B
CN112769808B CN202011640121.4A CN202011640121A CN112769808B CN 112769808 B CN112769808 B CN 112769808B CN 202011640121 A CN202011640121 A CN 202011640121A CN 112769808 B CN112769808 B CN 112769808B
Authority
CN
China
Prior art keywords
maintenance
mobile
information
serial number
maintenance information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202011640121.4A
Other languages
English (en)
Other versions
CN112769808A (zh
Inventor
江辉
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Zhang Technology Guangzhou Co ltd
Original Assignee
Zhang Technology Guangzhou Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Zhang Technology Guangzhou Co ltd filed Critical Zhang Technology Guangzhou Co ltd
Priority to CN202011640121.4A priority Critical patent/CN112769808B/zh
Publication of CN112769808A publication Critical patent/CN112769808A/zh
Application granted granted Critical
Publication of CN112769808B publication Critical patent/CN112769808B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G06F21/73—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information by creating or determining hardware identification, e.g. serial numbers
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/20—Administration of product repair or maintenance
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H04L67/025—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP] for remote control or remote monitoring of applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/06—Protocols specially adapted for file transfer, e.g. file transfer protocol [FTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Business, Economics & Management (AREA)
  • Software Systems (AREA)
  • Human Resources & Organizations (AREA)
  • Economics (AREA)
  • Operations Research (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Entrepreneurship & Innovation (AREA)
  • Marketing (AREA)
  • Mathematical Physics (AREA)
  • Quality & Reliability (AREA)
  • Strategic Management (AREA)
  • Tourism & Hospitality (AREA)
  • General Business, Economics & Management (AREA)
  • Storage Device Security (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本申请涉及一种用于工业局域网的移动堡垒机运维方法、装置、计算机设备和存储介质。所述方法包括：从堡垒机主站中获取加密的运维信息，其中，所述加密的运维信息包括根据当前运维人员身份标识确定的授权运维资产对象；对所述加密的运维信息进行解密，获得解密后的运维信息；根据所述解密后的运维信息通过远程访问协议访问并控制所述授权运维资产对象。采用本方法能够能够实现集中远程管控OT工业现场所有资产。

Description

用于工业局域网的移动堡垒机及其运维方法、计算机设备
技术领域
本申请涉及移动堡垒机技术领域，特别是涉及一种用于工业局域网的移动堡垒机及其运维方法、一种计算机设备和一种计算机存储介质。
背景技术
随着移动堡垒机技术的发展，为了实现对工业现场的资产进行管控，通过移动堡垒机实现对资产的运维，出现了移动堡垒机运维技术。移动堡垒机综合了核心系统运维和安全审计管控两大功能，切断终端计算机对网络和服务器资源的直接访问，采用协议代理的方式，接管了终端计算机对网络和服务器的访问。运维安全审计能够拦截非法访问和恶意攻击，对不合法命令进行命令阻断，过滤掉所有对目标设备的非法访问行为，并对内部人员误操作和非法操作进行审计监控，以便事后责任追踪。
传统技术中，在OT(Operation-Technology)环境下，工厂(电站)内的自动化控制系统中，为确保生产作业正常进行，大量设备按照管理规则划分部署在不同分区且独立组成小型局域网，各局域网通过边界设备的严格的策略控制，实现有限的互联互通；生产环境网络不进行外网互联；大量专用设备使用专用第三方厂家的远程管理协议并使用第三方非标准远程运维工作进行安全运维；设备标准的远程访问协议和数据库端口服务关闭；大量设备必须通过现场专用管理口或串口进行现场运维；大量防火墙使用不同的网络页面进行运维工作。
然而，目前的传统方法，市面上的安全审计系统(即堡垒机中负责特权访问管理的部分)部署后由于只支持同一网络下的在线资产设备的安全运维，而OT环境下大量设备按照管理规则划分部署在不同分区且独立组成小型局域网。传统的在线是一台堡垒机服务器(堡垒机主站)，运维用户通过该服务器上的规则访问授权资产。当各独立区域出现网络不可达的情况时，将无法实现对各个局域网中的相关资产进行集中运维。
发明内容
基于此，有必要针对上述技术问题，提供一种能够实现集中远程管控OT工业现场所有资产的用于工业局域网的移动堡垒机及其运维方法、一种计算机设备和一种计算机存储介质。
一种用于工业局域网的移动堡垒机运维方法，所述方法包括：
从堡垒机主站中获取加密的运维信息，其中，所述加密的运维信息包括根据当前运维人员身份标识确定的授权运维资产对象；
对所述加密的运维信息进行解密，获得解密后的运维信息；
根据所述解密后的运维信息通过远程访问协议访问并控制所述授权运维资产对象。
在其中一个实施例中，还包括：所述加密的运维信息还绑定有移动堡垒机的第一序列号；对所述加密的运维信息进行解密之前，还包括：
校验当前的移动堡垒机的第二序列号是否和所述第一序列号一致；
当所述第二序列号和所述第一序列号一致时，则根据所述加密的运维信息进行账号登录；
当所述第二序列号和所述第一序列号不一致时，提醒接入失败。
在其中一个实施例中，所述加密的运维信息还包括所述授权运维资产对象的有效时长、授权序列号；所述方法还包括：
校验从获取所述加密的运维信息到交还运维记录文件的第一时长是否小于所述有效时长；
当所述第一时长小于所述有效时长时，保持通过远程访问协议访问并控制所述授权运维资产对象的登录状态；
当所述第一时长不小于所述有效时长时，标识运维任务完成，并令所述授权序列号失效。
在其中一个实施例中，从堡垒机主站中获取加密的运维信息，包括：通过U盘和/或网络的方式从堡垒机主站中获取所述加密的运维信息。
在其中一个实施例中，在根据所述加密的运维信息进行账号登录之后，还包括：
通过后台对运维过程进行监控录屏，并根据监控录屏结果生成运维记录文件。
一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现以下步骤：
从堡垒机主站中获取加密的运维信息，其中，所述加密的运维信息包括根据当前运维人员身份标识确定的授权运维资产对象；
对所述加密的运维信息进行解密，获得解密后的运维信息；
根据所述解密后的运维信息通过远程访问协议访问并控制所述授权运维资产对象。
在一个实施例中，所述加密的运维信息还绑定有移动堡垒机的第一序列号；所述处理器执行所述计算机程序时实现以下步骤：
对所述加密的运维信息进行解密之前，还包括：
校验当前的移动堡垒机的第二序列号是否和所述第一序列号一致；
当所述第二序列号和所述第一序列号一致时，则根据所述加密的运维信息进行账号登录；
当所述第二序列号和所述第一序列号不一致时，提醒接入失败。
在一个实施例中，所述计算机程序被处理器执行时实现以下步骤：
所述加密的运维信息还包括所述授权运维资产对象的有效时长、授权序列号；所述方法还包括：
校验从获取所述加密的运维信息到交还运维记录文件的第一时长是否小于所述有效时长；
当所述第一时长小于所述有效时长时，保持通过远程访问协议访问并控制所述授权运维资产对象的登录状态；
当所述第一时长不小于所述有效时长时，标识运维任务完成，并令所述授权序列号失效。
一种用于工业局域网的移动堡垒机系统，包括堡垒机主站、授权运维资产对象、以及如前所述的移动堡垒机，其中，所述移动堡垒机用于从所述堡垒机主站获取所述加密的运维信息，并对所述加密的运维信息进行解密，获得解密后的运维信息，根据所述解密后的运维信息通过远程访问协议访问并控制所述授权运维资产对象；
所述堡垒机主站根据运维用户信息、运维资产对象信息和运维授权规则确定待运维信息；对所述待运维信息进行加密，获得加密的运维信息；
所述授权运维资产对象根据所述远程访问协议，获取所述移动堡垒机的控制指令，并根据所述控制指令完成相应的操作。
在一个实施例中，所述用于工业局域网的移动堡垒机系统，在所述移动堡垒机还用于当所述第一时长不小于所述有效时长时，标识运维任务完成，并令所述授权序列号失效；
所述堡垒机主站在获得运维记录文件时，记录所述失效的授权序列号。
上述用于工业局域网的移动堡垒机及其运维方法、计算机设备和存储介质，包括：从堡垒机主站中获取加密的运维信息，其中，所述加密的运维信息包括根据当前运维人员身份标识确定的授权运维资产对象；对所述加密的运维信息进行解密，获得解密后的运维信息；根据所述解密后的运维信息通过远程访问协议访问并控制所述授权运维资产对象。通过移动堡垒机从堡垒机主站中获取加密的运维信息，再对该加密的运维信息进行解密，从而获得解密后的运维信息，根据该解密后的运维信息可以通过相应的远程访问协议，对授权运维资产对象进行访问及控制。该移动堡垒机不同于堡垒机主站，而是和堡垒机主站(或堡垒机服务器)分离的移动控制终端，由于移动控制终端在获取到加密的运维信息之后，可以在其他区域网络中实现对相关授权资产对象的访问及控制。因而在多分区独立的小型局域网中，本申请仍能实现集中远程管控工业现场所有资产。
附图说明
图1为一个实施例中用于工业局域网的移动堡垒机运维方法的应用环境图；
图2为一个实施例中用于工业局域网的移动堡垒机运维方法的流程示意图；
图3为一个实施例中对第一序列号和第二序列号进行校验的流程示意图；
图4为一个实施例中用于工业局域网的移动堡垒机运维系统在实现对应方法时的流程示意图；
图5为一个实施例中用于工业局域网的移动堡垒机运维装置的结构框图。
具体实施方式
为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。
本申请提供的用于工业局域网的移动堡垒机运维方法，可以应用于如图1所示的应用环境中。其中，堡垒机主站102与移动堡垒机(本申请中的移动堡垒机即移动堡垒机终端)104之间可以通过网络或离线(例如U盘)的方式进行数据传输。
堡垒机主站102实现在线远程运维管控和离线现场运维管控功能。平台针对用户，资产进行4A(认证Authentication、授权Authorization、账号Account、审计Audit)授权管理，即将身份认证、授权、记账和审计，四大网络安全组成部分。针对能在线远程运维资产，平台使用在线远程运维管控功能进行远程运维；针对现场离线资产，平台使用专用移动堡垒机104(专用移动笔记本)下发授权规则，以进行离线现场运维。本申请针通过移动堡垒机104对现场离线资产进行离线运维。
移动堡垒机104中部署有移动堡垒机管理软件：部署移动堡垒机104上的软件，支持离线运维，录屏，授权管理，兼容通用登录协议和第三方工具授权。
运维人员或管理人员通过U盘拷贝或网络方式从堡垒机主站102中，下载加密的运维信息到移动堡垒机104。移动堡垒机104通过对加密的运维信息进行解密，从而获得解密的运维信息，并根据解密后的运维信息通过远程访问协议，访问并控制授权运维资产对象106。
在一个实施例中，如图2所示，提供了一种用于工业局域网的移动堡垒机运维方法，以该方法应用于图1中的终端为例进行说明，包括以下步骤：
步骤S202，从堡垒机主站中获取加密的运维信息，其中，所述加密的运维信息包括根据当前运维人员身份标识确定的授权运维资产对象。
其中，移动堡垒机主站即堡垒机服务器，在本申请中堡垒机服务器侧重安全审计系统服务器(属于堡垒机服务器，主要负责特权访问管理)。运维信息预先由管理人员在堡垒机主站(即安全运维审计管理平台服务器)中填写好，包括运维资产对象信息、运维用户信息和运维授权规则。其中，运维资产对象信息是指主机登录的账号和密码。运维用户信息是指具体运维人员身份标识，例如运维人员的姓名，账号，所属部门，所属组等。运维授权规则指运维授权规则指定具体用户授权运维具体的资产。运维授权规则是指指定具体一个或多个运维人员(或一组或多组运维人员)能通过具体的一种或多种远程访问协议(例如ssh，rdp，vnc，telnet，x11，http，https)访问一个特定的网络资产设备(例如服务器(包括windows，linux)，工作站，交换机，防火墙，工控机，加密机，隔离机，数据库，业务系统)。
根据当前运维人员身份标识确定的授权运维资产对象，是指根据当前运维人员身份标识确定授权运维资产对象，指定当前运维人员所能运维的资产对象权限。
移动堡垒机获得的运维信息是经过加密了的，可以采用对称加密技术，加密和解密的双方记录各自内部的key，使用AES算法进行加密解密。授权的运维人员从始至终都无法看到账号密码等相关的明文形式。
步骤S204，对所述加密的运维信息进行解密，获得解密后的运维信息。
其中，移动堡垒机在获得加密的运维信息之后，由于运维信息处于加密状态，需要先进行解密，才能使运维人员根据运维信息对其授权运维资产对象进行运维。解密后的运维信息对运维人员而言仍然是密文，因此运维人员拿到解密后的运维信息后，只能导入到移动堡垒机，而不能看到运维信息中具体的资产登录账号密码。
步骤S206，根据所述解密后的运维信息通过远程访问协议访问并控制所述授权运维资产对象。
其中，远程访问协议可以是ssh，rdp，vnc，telnet，x11，http，https中任意一个或多个。在对运维信息解密之后，根据远程访问协议允许运维人员访问授权运维资产对象，完成相应的运维工作。
上述用于工业局域网的移动堡垒机运维方法中，通过移动堡垒机从堡垒机主站中获取加密的运维信息，再对该加密的运维信息进行解密，从而获得解密后的运维信息，根据该解密后的运维信息可以通过相应的远程访问协议，对授权运维资产对象进行访问及控制。该移动堡垒机不同于堡垒机主站，而是和堡垒机主站(或堡垒机服务器)分离的移动控制终端，由于移动控制终端在获取到加密的运维信息之后，可以在其他区域网络中实现对相关授权资产对象的访问及控制。因而在多分区独立的小型局域网中，本申请仍能实现集中远程管控工业现场所有资产。
在一个实施例中，如图3所示，所述加密的运维信息还绑定有移动堡垒机的第一序列号；对所述加密的运维信息进行解密之后，还包括：步骤S306，校验当前的移动堡垒机的第二序列号是否和所述第一序列号一致；当所述第二序列号和所述第一序列号一致时，则执行步骤S308，根据所述解密后的运维信息通过远程访问协议访问并控制所述授权运维资产对象；当所述第二序列号和所述第一序列号不一致时，执行步骤S310，提醒接入失败。
其中，每台移动堡垒机都有一个序列号，作为唯一标识，用于区分各个移动堡垒机。运维信息中绑定了移动堡垒机的序列号(称为第一序列号)，当前的移动堡垒机中存在的序列号(称为第二序列号)。在对加密的运维信息解密之后，还需要先校验当前的移动堡垒机的第二序列号是否和第一序列号一致，如果一致，说明当前的移动堡垒机是被指定的，因而根据解密后的运维信息通过远程访问协议访问并控制所述授权运维资产对象。如果不一致，则说明当前的移动堡垒机并不是被指定的，移动堡垒机会提醒接入失败，使运维人员不能进行账号登录，对授权资产对象进行运维。
本实施例中，通过校验第一序列号和第二序列号是否一致，再决定是否对加密的运维信息进行解密，有利于限定一份运维信息只能在指定的移动堡垒机上使用，在运维人员复制多份的情况下，也只能是在指定的一台移动堡垒机上使用，从而可以防止运维人员私下复制多份运维信息在多处使用。使运维人员只能使用特定的移动运维堡垒机笔记本获取加密的运维信息后，再获取资产访问授权，完成运维工作。
在一个实施例中，所述加密的运维信息还包括所述授权运维资产对象的有效时长、授权序列号；所述方法还包括：
校验从获取所述加密的运维信息到交还运维记录文件的第一时长是否小于所述有效时长；当所述第一时长小于所述有效时长时，保持通过远程访问协议访问并控制所述授权运维资产对象的登录状态；当所述第一时长不小于所述有效时长时，标识运维任务完成，并令所述授权序列号失效。
其中，授权序列号是和运维信息绑定在一起的序列号，作为授权记录，即每下发(对移动堡垒机主站而言)一次运维信息视为发生一次授权行为。
有效时长是指管理人员为运维人员设定的运维所需总时长，一般可以设为一周，视具体维修情况而定，且有效时长从对运维信息解密开始起算。第一时长是从获取加密的运维信息到交还运维记录文件的时间长度，当第一时长小于有效时长时，说明运维人员的运维时间还未达到给定的时间限制，移动堡垒机可以使运维人员继续通过远程访问协议访问并控制授权运维资产对象，保持有效登录的状态。当第一时长不小于有效时长时，说明运维人员的运维时间已经超出给定的时间限制，移动堡垒机将标识运维任务完成，并使之前有效登录的账号密码自动退出登录，并使授权序列号失效。
在本实施例中，当一次授权后，运维人员在该次授权运维的第一时长超过有效时长时，移动堡垒机记录授权规则信息失效，确保运维人员无法重复使用该加密的运维信息私下再进行运维。
在一个实施例中，从堡垒机主站中获取加密的运维信息，包括：通过U盘和/或网络的方式从堡垒机主站中获取所述加密的运维信息。
具体地，移动堡垒机主站和移动堡垒机之间可以通过U盘进行数据传输，也可通过网络的方式实现通信连接。以U盘为例，管理人员先根据运维人员和运维资产对象等，确定授权运维资产对象得到加密的运维信息。管理人员/运维人员通过U盘拷贝加密的运维信息之后，找到对应的移动堡垒机，并将该U盘插入到对应的移动堡垒机上，当第一序列号和第二序列号一致时，运维人员根据解密后的运维信息在移动堡垒机上可以通过远程访问协议访问、控制授权运维资产对象，对其进行运维。
本实施例中，通过U盘或网络的方式将加密的运维信息下载到可移动的终端中，运维人员拿取终端，离开原来的网络环境，到现场另外一个网络环境，根据下载的加密的运维信息被授权访问现场的资产设备。
在一个实施例中，当所述第一时长小于所述有效时长时，还包括：通过后台对运维过程进行监控录屏，并根据监控录屏结果生成运维记录文件。
其中，后台是指移动堡垒机的后台。运维人员完成登录操作后，在软件上标识工作完成。移动堡垒机通过后台可以对运维人员的运维过程进行监控录屏。运维记录文件是在监控录屏过程中记录的相关文件，包括审计视频。运维人员在运维完成后，需要将运维记录文件导出到U盘或以网络方式复制回堡垒机主站。
在本实施例中，通过对运维过程进行监控录屏，并根据监控录屏结果生成运维记录文件，有利于对运维人员的运维过程进行监督，同时，如果运维出现错误，通过对运维记录文件进行查询，也有利于减小运维出错的机会和运维难度。
在一个实施例中，如图1所示，一种用于工业局域网的移动堡垒机104系统，包括堡垒机主站102、授权运维资产对象106、以及移动堡垒机104，其中，所述移动堡垒机104用于从所述堡垒机主站102获取所述加密的运维信息，并对所述加密的运维信息进行解密，获得解密后的运维信息，根据所述解密后的运维信息通过远程访问协议访问并控制所述授权运维资产对象106；
所述堡垒机主站102根据运维用户信息、运维资产对象信息和运维授权规则确定待运维信息；对所述待运维信息进行加密，获得加密的运维信息；
所述授权运维资产对象106根据所述远程访问协议，获取所述移动堡垒机104的控制指令，并根据所述控制指令完成相应的操作。
其中，堡垒机主站102作为服务器，存储有运维用户信息、运维资产对象信息和运维授权规则，堡垒机主站102根据特定运维用户信息以及运维资产对象，并设置一定的运维授权规则，从而确定待运维信息。其中，待运维信息是根据当前运维人员身份标识确定的授权运维资产对象106的信息，与加密的运维信息相比，处于暂未加密的状态。
为了防止账号密码泄露，堡垒机主站102对待运维信息通过对称加密技术对其进行加密，获得加密的运维信息，从而使运维人员无法直接获得明文形式的运维信息，不易泄露账号密码。
运维人员或管理人员通过U盘或网络方式从堡垒机主站102获取到加密的运维信息之后，如果第一序列号和第二序列号匹配成功，则根据所述解密后的运维信息通过远程访问协议访问并控制所述授权运维资产对象。在得到解密后的运维信息之后，运维人员可以根据该解密后的运维信息对授权资产对象通过远程访问协议进行访问并控制。
授权运维资产对象106根据匹配的远程访问协议，可以和移动堡垒机104进行通信，获取移动堡垒机104的控制指令，并根据控制指令完成相应的操作。其中，控制指令是在运维人员成功登录移动堡垒机104时，根据解密后的运维信息中的授权规则，由堡垒机终端发出的与运维工作相关的、控制授权运维资产对象106的控制指令。
在本实施例中，移动堡垒机从堡垒机主站获取加密的运维信息，再根据该加密的运维信息对授权运维资产对象进行访问、控制。与传统的由运维用户从在线堡垒机服务器上获取规则，根据该规则访问授权资产的方式不同。在OT环境下，当各独立区域网络出现不能互联的情况下，本申请能实现对各个区域网络(局域网)中的相关资产进行集中运维。
在其中一个实施例中，用于工业局域网的移动堡垒机系统，还在所述移动堡垒机还用于当所述第一时长不小于所述有效时长时，标识运维任务完成，并令所述授权序列号失效；
所述堡垒机主站在获得运维记录文件时，记录所述失效的授权序列号。
其中，当第一时长不小于有效时长时，移动堡垒机将使授权序列号失效。失效的授权序列号对应的账号密码无法在移动堡垒机登录，到达有效时长时会被移动堡垒机自动退出。
移动堡垒机记录的运维记录文件，需要复制回堡垒机主站。当复制回堡垒机主站时，堡垒机主站在获得该交还的运维记录文件之后，将记录该失效的授权序列号。
在本实施例中，通过移动堡垒机使过期的运维信息失效，从而运维人员私下保留加密的运维信息将失效，即使重新导入移动堡垒机也无法再私下进行运维。
在一个实施例中，如图4所示，用于工业局域网的移动堡垒机系统：包括堡垒机主站、移动堡垒机和授权运维对象。
在实现离线运维的过程中：移动堡垒机执行步骤S402-S416，堡垒机主站执行S418，其中：
S402，从堡垒机主站中获取加密的运维信息；
S404，对所述加密的运维信息进行解密，获得解密后的运维信息；
S406，校验当前的移动堡垒机的第二序列号是否和所述第一序列号一致；
当所述第二序列号和所述第一序列号一致时，执行S408，根据所述解密后的运维信息通过远程访问协议访问并控制所述授权运维资产对象；
当所述第二序列号和所述第一序列号不一致时，执行S410，提醒接入失败；
在执行完S408之后，执行S412，检验第一时长是否小于有效时长；
当所述第一时长小于所述有效时长时，执行S414，保持通过远程访问协议访问并控制所述授权运维资产对象的登录状态，通过后台对运维过程进行监控录屏，并根据监控录屏结果生成运维记录文件；
当所述第一时长不小于所述有效时长时，执行S416，标识运维任务完成，并令所述授权序列号失效；
S418，获取运维记录文件，并记录所述授权序列号失效。
具体地，移动堡垒机可以由运维人员通过U盘拷贝、或网络传输数据的方式从堡垒机主站中获取加密的运维信息，加密的运维信息包括：根据当前运维人员身份标识确定的授权运维资产对象、授权运维资产对象的有效时长和授权序列号。根据当前运维人员身份标识确定的授权运维资产对象，其中包含两个账号密码，其一是根据运维人员的身份标识，例如姓名、所属部门等设置的通用账号密码；另一是根据堡垒机主站中设置的运维授权规则，当前运维人员用于对授权运维资产对象进行运维时的授权账号密码。
当移动堡垒机获得加密的运维信息后，会对加密的运维信息进行解密，从而获得解密后的运维信息，在有效时长内，解密后运维信息中的授权账号密码和通用账号密码都可以正常在移动堡垒机上登录。在对加密的运维信息进行解密之后，移动堡垒机还会校验其自身的第一序列号，和解密后的运维信息中的第一序列号是否一致。如果第一序列号和第二序列号一致，移动堡垒机将根据一种或多种远程访问协议访问并控制授权运维资产对象。与此同时，移动堡垒机的后台将会对运维过程进行监控录屏，根据监控录屏结果生成运维记录文件。当运维人员的第一时长不小于有效时长时，移动堡垒机终端将使授权账号密码退出登录，即使运维人员之后私下通过U盘重新插入到该移动堡垒机上，也无法实现正常登录。
运维人员对授权运维资产对象进行运维之后，运维人员将运维记录文件交还至堡垒机主站。堡垒机主站将记录该次运维的授权号失效。当该授权号失效后，运维人员无法再次利用该解密(加密)的运维信息，通过移动堡垒机登录授权账号密码对授权运维资产对象进行运维。并且在第一次将运维记录文件交还给堡垒机主站之后，堡垒机主站不再接收对应该同一个授权序列号的运维记录文件。
应该理解的是，虽然上述实施例涉及的各流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，上述实施例涉及的各流程图中的至少一部分步骤可以包括多个步骤或者多个阶段，这些步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤中的步骤或者阶段的至少一部分轮流或者交替地执行。
在一个实施例中，如图5所示，提供了一种用于工业局域网的移动堡垒机运维装置，包括：加密信息获取模块502、解密信息获取模块504和资产对象控制模块506，其中：
加密信息获取模块502，用于从堡垒机主站中获取加密的运维信息，其中，所述加密的运维信息包括根据当前运维人员身份标识确定的授权运维资产对象；
解密信息获取模块504，用于对所述加密的运维信息进行解密，获得解密后的运维信息；
资产对象控制模块506，用于根据所述解密后的运维信息通过远程访问协议访问并控制所述授权运维资产对象。
在一个实施例中，所述加密的运维信息还绑定有移动堡垒机的第一序列号；用于工业局域网的移动堡垒机运维装置，还包括：
序列号校验模块，用于校验当前的移动堡垒机的第二序列号是否和所述第一序列号一致；
当所述第二序列号和所述第一序列号一致时，则根据所述加密的运维信息进行账号登录；
当所述第二序列号和所述第一序列号不一致时，提醒接入失败。
在一个实施例中，所述加密的运维信息还包括所述授权运维资产对象的有效时长、授权序列号；用于工业局域网的移动堡垒机运维装置，还包括：
时长校验模块，用于校验从获取所述加密的运维信息到交还运维记录文件的第一时长是否小于所述有效时长；
当所述第一时长小于所述有效时长时，保持通过远程访问协议访问并控制所述授权运维资产对象的登录状态；
当所述第一时长不小于所述有效时长时，标识运维任务完成，并令所述授权序列号失效。
在一个实施例中，用于工业局域网的移动堡垒机运维装置，还包括：运维文件记录模块，用于通过后台对运维过程进行监控录屏，并根据监控录屏结果生成运维记录文件。
关于用于工业局域网的移动堡垒机运维装置的具体限定可以参见上文中对于用于工业局域网的移动堡垒机运维方法的限定，在此不再赘述。上述用于工业局域网的移动堡垒机运维装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。
在一个实施例中，提供了一种计算机设备，包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现以下步骤：
从堡垒机主站中获取加密的运维信息，其中，所述加密的运维信息包括根据当前运维人员身份标识确定的授权运维资产对象；
对所述加密的运维信息进行解密，获得解密后的运维信息；
根据所述解密后的运维信息通过远程访问协议访问并控制所述授权运维资产对象。
在一个实施例中，所述加密的运维信息还绑定有移动堡垒机的第一序列号；处理器执行计算机程序时还实现以下步骤：
对所述加密的运维信息进行解密之前，还包括：
校验当前的移动堡垒机的第二序列号是否和所述第一序列号一致；
当所述第二序列号和所述第一序列号一致时，则根据所述加密的运维信息进行账号登录；
当所述第二序列号和所述第一序列号不一致时，提醒接入失败。
在一个实施例中，处理器执行计算机程序时还实现以下步骤：
所述加密的运维信息还包括所述授权运维资产对象的有效时长、授权序列号；所述方法还包括：
校验从获取所述加密的运维信息到交还运维记录文件的第一时长是否小于所述有效时长；
当所述第一时长小于所述有效时长时，保持通过远程访问协议访问并控制所述授权运维资产对象的登录状态；
当所述第一时长不小于所述有效时长时，标识运维任务完成，并令所述授权序列号失效。
在一个实施例中，处理器执行计算机程序时还实现以下步骤：从堡垒机主站中获取加密的运维信息，包括：通过U盘和/或网络的方式从堡垒机主站中获取所述加密的运维信息。
在一个实施例中，处理器执行计算机程序时还实现以下步骤：在根据所述加密的运维信息进行账号登录之后，还包括：
通过后台对运维过程进行监控录屏，并根据监控录屏结果生成运维记录文件。
在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现上述各方法实施例中的步骤。
以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。
以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (8)

1.一种用于工业局域网的移动堡垒机运维方法，其特征在于，所述方法包括：
通过U盘和/或网络的方式从堡垒机主站中获取加密的运维信息，其中，所述加密的运维信息包括根据当前运维人员身份标识确定的授权运维资产对象、移动堡垒机的第一序列号、所述授权运维资产对象的有效时长、授权序列号；
对所述加密的运维信息进行解密，获得解密后的运维信息；
校验当前的移动堡垒机的第二序列号是否和所述第一序列号一致；
若一致，则根据所述解密后的运维信息通过远程访问协议访问并控制所述授权运维资产对象；
若不一致，则提醒接入失败；
校验从获取所述加密的运维信息到交还运维记录文件的第一时长是否小于所述有效时长；
当所述第一时长小于所述有效时长时，保持通过远程访问协议访问并控制所述授权运维资产对象的登录状态；
当所述第一时长不小于所述有效时长时，标识运维任务完成，并令所述授权序列号失效。
2.根据权利要求1所述的方法，其特征在于，所述校验从获取所述加密的运维信息到交还运维记录文件的第一时长是否小于所述有效时长还包括：
当所述第一时长超过所述有效时长时，记录授权规则信息失效。
3.根据权利要求2所述的方法，其特征在于，当所述第一时长小于所述有效时长时，还包括：
通过后台对运维过程进行监控录屏，并根据监控录屏结果生成运维记录文件。
4.一种用于工业局域网的移动堡垒机运维装置，其特征在于，所述装置包括：
加密信息获取模块，用于通过U盘和/或网络的方式从堡垒机主站中获取加密的运维信息，其中，所述加密的运维信息包括根据当前运维人员身份标识确定的授权运维资产对象、移动堡垒机的第一序列号、所述授权运维资产对象的有效时长、授权序列号；
解密信息获取模块，用于对所述加密的运维信息进行解密，获得解密后的运维信息；
序列号校验模块，用于校验当前的移动堡垒机的第二序列号是否和所述第一序列号一致；
资产对象控制模块，用于若一致，则根据所述解密后的运维信息通过远程访问协议访问并控制所述授权运维资产对象；若不一致，则提醒接入失败；
时长校验模块，用于校验从获取所述加密的运维信息到交还运维记录文件的第一时长是否小于所述有效时长；当所述第一时长小于所述有效时长时，保持通过远程访问协议访问并控制所述授权运维资产对象的登录状态；当所述第一时长不小于所述有效时长时，标识运维任务完成，并令所述授权序列号失效。
5.根据权利要求4所述的装置，其特征在于，所述装置还包括：
运维文件记录模块，用于通过后台对运维过程进行监控录屏，并根据监控录屏结果生成运维记录文件。
6.一种移动堡垒机，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现以下步骤：
通过U盘和/或网络的方式从堡垒机主站中获取加密的运维信息，其中，所述加密的运维信息包括根据当前运维人员身份标识确定的授权运维资产对象、移动堡垒机的第一序列号、所述授权运维资产对象的有效时长、授权序列号；
对所述加密的运维信息进行解密，获得解密后的运维信息；
校验当前的移动堡垒机的第二序列号是否和所述第一序列号一致；
若一致，则根据所述解密后的运维信息通过远程访问协议访问并控制所述授权运维资产对象；
若不一致，则提醒接入失败；
校验从获取所述加密的运维信息到交还运维记录文件的第一时长是否小于所述有效时长；
当所述第一时长小于所述有效时长时，保持通过远程访问协议访问并控制所述授权运维资产对象的登录状态；
当所述第一时长不小于所述有效时长时，标识运维任务完成，并令所述授权序列号失效。
7.根据权利要求6所述的移动堡垒机，其特征在于，所述计算机程序被处理器执行时实现以下步骤：
所述加密的运维信息还包括所述授权运维资产对象的有效时长、授权序列号；还包括：
当所述第一时长超过所述有效时长时，记录授权规则信息失效。
8.一种用于工业局域网的移动堡垒机系统，包括堡垒机主站、授权运维资产对象、以及如权利要求6至7任一项所述的移动堡垒机。
CN202011640121.4A 2020-12-31 2020-12-31 用于工业局域网的移动堡垒机及其运维方法、计算机设备 Active CN112769808B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202011640121.4A CN112769808B (zh) 2020-12-31 2020-12-31 用于工业局域网的移动堡垒机及其运维方法、计算机设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202011640121.4A CN112769808B (zh) 2020-12-31 2020-12-31 用于工业局域网的移动堡垒机及其运维方法、计算机设备

Publications (2)

Publication Number Publication Date
CN112769808A CN112769808A (zh) 2021-05-07
CN112769808B true CN112769808B (zh) 2023-10-20

Family

ID=75698360

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202011640121.4A Active CN112769808B (zh) 2020-12-31 2020-12-31 用于工业局域网的移动堡垒机及其运维方法、计算机设备

Country Status (1)

Country Link
CN (1) CN112769808B (zh)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113642046A (zh) * 2021-07-27 2021-11-12 上海上讯信息技术股份有限公司 批量下发运维列表的方法及设备
CN113938321B (zh) * 2021-12-16 2022-04-08 杭州乒乓智能技术有限公司 可扩展的运维管理系统、方法、电子设备和可读存储介质
CN114282245A (zh) * 2021-12-27 2022-04-05 北京天融信网络安全技术有限公司 审计方法、装置、电子设备和计算机可读存储介质
CN114978677A (zh) * 2022-05-20 2022-08-30 中国电信股份有限公司 资产访问控制方法、装置、电子设备和计算机可读介质
CN115296848B (zh) * 2022-07-05 2023-08-25 北京瑞和云图科技有限公司 一种基于多局域网环境的堡垒机系统及堡垒机访问方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108965388A (zh) * 2018-06-13 2018-12-07 新华三信息安全技术有限公司 一种运维审计方法及装置
CN110011848A (zh) * 2019-04-03 2019-07-12 鼎信信息科技有限责任公司 一种移动运维审计系统
WO2020098336A1 (zh) * 2018-11-16 2020-05-22 京东城市(南京)科技有限公司 数据共享方法、装置、数字网关及计算机可读存储介质

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN202818335U (zh) * 2011-12-31 2013-03-20 北京市国路安信息技术有限公司 一种运维管理系统
CN107493287A (zh) * 2017-08-25 2017-12-19 天津中新智冠信息技术有限公司 工控网络数据安全系统
CN108984379A (zh) * 2018-07-10 2018-12-11 湖南人文科技学院 一种调度数据网远程访问加固及集中监控的系统及方法
CN111786826A (zh) * 2020-06-29 2020-10-16 杭州安恒信息技术股份有限公司 工控设备运维审计系统、工控设备运维方法、计算机设备

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108965388A (zh) * 2018-06-13 2018-12-07 新华三信息安全技术有限公司 一种运维审计方法及装置
WO2020098336A1 (zh) * 2018-11-16 2020-05-22 京东城市(南京)科技有限公司 数据共享方法、装置、数字网关及计算机可读存储介质
CN110011848A (zh) * 2019-04-03 2019-07-12 鼎信信息科技有限责任公司 一种移动运维审计系统

Also Published As

Publication number Publication date
CN112769808A (zh) 2021-05-07

Similar Documents

Publication Publication Date Title
CN112769808B (zh) 用于工业局域网的移动堡垒机及其运维方法、计算机设备
JP4016019B2 (ja) 許可されたリモート・アクセスをターゲット・システムに対して行うための装置、システム、および方法
TWI620084B (zh) 散發使用者憑證之裝置、方法及系統
KR100783446B1 (ko) 유에스비 디바이스를 이용한 데이터 보안 시스템, 장치 및방법
CN105103488A (zh) 借助相关联的数据的策略施行
US20100186075A1 (en) Method and system for accessing devices in a secure manner
KR20080071529A (ko) 하드웨어 키를 통하여 저장장치 데이터의 암호화 및억세스를 수행하는 장치 및 방법
US20160204935A1 (en) Systems and methods with cryptography and tamper resistance software security
CN101098224B (zh) 对数据文件动态加解密的方法
CN102859929A (zh) 向在线安全设备供应更新离线身份数据生成和离线设备绑定
KR101809974B1 (ko) 다중 사용자의 인증요소를 조합하여 보안키를 생성하는 보안인증시스템 및 보안인증방법
US20150188910A1 (en) Policy group based file protection system, file protection method thereof, and computer readable medium
EP1953668A2 (en) System and method of data encryption and data access of a set of storage devices via a hardware key
JP2006155554A (ja) データベース暗号化及びアクセス制御方法、セキュリティ管理装置
US8832446B2 (en) Secure data transfer in an automation network
KR102356474B1 (ko) 클라우드 서비스 기반의 원격통제 기능이 탑재된 스마트워크 지원시스템
CN112347451A (zh) 一种基于区块链技术的mes数据管理追踪方法及系统
CN115037547B (zh) 软件授权方法及系统
US20220182229A1 (en) Protected protocol for industrial control systems that fits large organizations
CN105516056B (zh) 加密文件保护系统及其保护方法
JP2007156516A (ja) アクセス制御装置、アクセス制御プログラムおよびアクセス制御方法
RU2571372C1 (ru) Система защиты информации от несанкционированного доступа к информации, содержащей сведения, составляющие государственную тайну
RU2504835C1 (ru) Система защиты информации от несанкционированного доступа к информации, содержащей сведения, составляющие государственную тайну
CN110972141B (zh) 信息验证方法、装置、电子设备及可读存储介质
RU2648942C1 (ru) Система защиты информации от несанкционированного доступа

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
CB02 Change of applicant information
CB02 Change of applicant information

Address after: Room 701, No. 1025 Gaopu Road, Tianhe District, Guangzhou City, Guangdong Province, 510000

Applicant after: ZHANG TECHNOLOGY (GUANGZHOU) Co.,Ltd.

Address before: Room 202, 2nd Floor, No. 1035 Gaopu Road, Tianhe District, Guangzhou City, Guangdong Province, 510000 (for office purposes only) (not intended for use as a factory building)

Applicant before: ZHANG TECHNOLOGY (GUANGZHOU) Co.,Ltd.

GR01 Patent grant
GR01 Patent grant