CN115001936B - 一种基于管理代理的运维管理系统、方法及计算机设备 - Google Patents

一种基于管理代理的运维管理系统、方法及计算机设备 Download PDF

Info

Publication number
CN115001936B
CN115001936B CN202210839317.9A CN202210839317A CN115001936B CN 115001936 B CN115001936 B CN 115001936B CN 202210839317 A CN202210839317 A CN 202210839317A CN 115001936 B CN115001936 B CN 115001936B
Authority
CN
China
Prior art keywords
management
maintenance
management agent
link
server
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202210839317.9A
Other languages
English (en)
Other versions
CN115001936A (zh
Inventor
王吉伟
王立伟
刘伟
赵可
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Confident Information Co ltd
Original Assignee
Confident Information Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Confident Information Co ltd filed Critical Confident Information Co ltd
Priority to CN202210839317.9A priority Critical patent/CN115001936B/zh
Publication of CN115001936A publication Critical patent/CN115001936A/zh
Application granted granted Critical
Publication of CN115001936B publication Critical patent/CN115001936B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/04—Network management architectures or arrangements
    • H04L41/046—Network management architectures or arrangements comprising network management agents or mobile agents therefor
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/04—Network management architectures or arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/28—Restricting access to network management systems or functions, e.g. using authorisation function to access network configuration
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明属于信息安全技术领域，提供了一种基于管理代理的运维管理系统、方法及计算机设备，该方案通过在被管设备上安装管理代理设备，在运维服务器和被管设备之间建立安全加密链路，从而可以支持原有安全运维管理方式进行运维操作，可支持多种密码算法及安全协议，在此基础上使用原有安全运维管理方式进行运维操作，实现了运维服务器和被管设备之间的有效身份鉴别，并建立安全的加密信息传输通道，可以与现有运维安全审计、堡垒机等产品结合，实现统一设备运维入口，对授权人员的运维操作进行记录、分析、展现，有效加强内部业务操作行为监管，满足等保、密评及行业监管法规要求。

Description

一种基于管理代理的运维管理系统、方法及计算机设备
技术领域
本发明属于信息安全技术领域，尤其涉及一种基于管理代理的运维管理系统、方法及计算机设备。
背景技术
本部分的陈述仅仅是提供了与本发明相关的背景技术信息，不必然构成在先技术。
传统的安全运维系统，为了对运维人员的远程登录进行集中管理，会在机房里部署跳板机。跳板机就是通常的运维服务器或堡垒机，维护人员在维护过程中，首先要统一登录到这台服务器上，然后从这台服务器再登录到目标设备进行维护。
运维服务器通常使用浏览器、客户端软件运维，或使用常用协议进行运维操作，如采用ssh、telnet、rlogin、rdp、vnc等协议访问被管设备，存在一定的安全隐患，远程管理设备时，多运维人员使用相同的账号/密码对主机进行操作，容易造成账号的泄露，同时信息传输通道只能依赖于已有的通信协议或客户端软件，存在敏感信息传输泄密的风险。
发明内容
为了解决上述背景技术中存在的至少一项技术问题，本发明提供一种基于管理代理的运维管理系统、方法及计算机设备，其通过在被管设备上安装管理代理设备，在运维服务器和被管设备之间建立安全加密链路，可支持多种密码算法及安全协议，在此基础上使用原有安全运维管理方式进行运维操作，实现了运维服务器和被管设备之间的有效身份鉴别，并建立安全的加密信息传输通道。
为了实现上述目的，本发明采用如下技术方案：
本发明的第一个方面提供一种基于管理代理的运维管理系统，包括运维服务器和被管设备，在被管设备上安装管理代理设备，所述管理代理设备内置密码运算芯片和存储空间，所述存储空间内置服务软件；
所述被管设备用于通过管理代理设备的身份鉴别后，启动管理代理设备提供管理代理服务；
所述运维服务器用于根据运维指令向管理代理设备发送身份认证及安全连接请求，所述管理代理设备用于校验请求信息的有效性，校验通过后，向运维服务器发起连接，建立管理代理设备和运维服务器之间的安全链路，运维服务器沿用原有安全运维方式对被管设备进行管理维护操作；
操作完成后，断开安全链路链接，所述服务软件用于对管理维护操作进行日志记录，所述密码运算芯片用于采用管理代理密钥及证书进行数字签名。
作为一种可能的实施方式，所述被管设备包括链路客户端，所述运维服务器包括链路服务端；所述被管设备用于启动链路客户端，向运维服务器发出建立安全通道的请求，所述链路服务端收到请求后，用于与链路客户端加密算法协商、通信密钥协商及双方身份鉴别，鉴别通过后为被管设备分配虚拟IP地址，并在IP协议栈中添加对应虚拟路由，建立通信隧道进行数据传输。
作为一种可能的实施方式，所述运维服务器用于初始化认证根密钥和根证书，管理代理设备用于调用内部密码运算芯片，产生管理代理认证密钥，并向运维服务器申请管理代理认证证书，运维服务器用于对管理代理认证证书签发，并发送至管理代理设备，管理代理设备对签发的认证证书有效性进行验证后并导入。
作为一种可能的实施方式，所述链路服务端和链路客户端均包括链路主控模块、中间层驱动模块和网络驱动模块，运维服务器与被管设备之间建立通信隧道后，所述链路服务端链路主控模块用于通过TCP/IP协议栈将数据包发送到网络驱动模块，调用链路加密模块对数据包进行加密后通过中间层驱动模块进行传输；
所述链路客户端网络驱动模块接收加密后的数据包后，通过链路主控模块调用链路解密模块解密后获取到原始数据包。
作为一种可能的实施方式，所述在被管设备上安装管理代理设备具体为：管理代理设备为独立密码终端硬件，通过USB口或网口接入被管主机。
作为一种可能的实施方式，所述管理代理设备存储空间还用于存储运维服务器设备信息、运维管理员认证信息、运维安全链路信息以及运维操作信息，基于管理代理设备密钥和设备证书，对上述信息采用HMAC密码技术进行完整性防护，同时支持日志安全导出及运维服务器安全审计。
本发明的第二个方面提供一种基于管理代理的运维管理方法，包括如下步骤：
被管设备接入管理代理设备；
对被管设备进行身份鉴别，鉴别通过后，启动管理代理设备内置的管理代理服务；
根据管理被管设备指令，向管理代理服务发送身份认证及安全连接请求；
管理代理服务接收身份认证及安全连接请求后，对请求信息进行有效性校验，校验通过后由管理代理服务向运维服务器发起连接，建立管理代理服务与运维服务器之间的安全链路；
建立安全链路后，运维服务器沿用原有安全运维方式对被管设备进行管理维护操作；操作完成后，断开安全链路链接，管理代理对管理维护操作进行日志记录，并使用管理代理密钥及证书进行数字签名。
作为一种可能的实施方式，管理代理服务与运维服务器之间建立安全链路后，通过TCP/IP协议栈将数据包发送到网络驱动模块，调用链路加密模块对数据包进行加密后通过中间层驱动模块进行传输；
网络驱动模块接收加密后的数据包后，通过链路主控模块调用链路解密模块解密后获取到原始数据包。
作为一种可能的实施方式，启动管理代理设备内置的管理代理服务后进行运维管理初始化，具体包括：
运维服务器初始化认证根密钥和根证书；
管理代理设备调用内部密码运算芯片，产生管理代理认证密钥，并向运维服务器申请管理代理认证证书；
运维服务器签发管理代理认证证书，并发送至管理代理设备；
管理代理验证签发的认证证书有效性，并导入管理代理设备。
本发明的第三个方面提供一种计算机设备。
一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如第二个方面所述的一种基于管理代理的运维管理方法中的步骤。
与现有技术相比，本发明的有益效果是：
本发明通过在被管设备上安装管理代理，在运维服务器和被管设备之间建立VPN安全加密隧道，从而可以支持原有安全运维管理方式进行运维操作，实现了运维服务器和被管设备之间的有效身份鉴别，以及链路传输的机密性、完整性防护，支持多种加密算法，包括国际通用密码算法RSA、ECC等，以及国产SM2/SM3/SM4等密码算法，管理代理内置日志管理及完整性防护，可以实现安全日志审计。
本发明可以与现有运维安全审计、堡垒机等产品结合，实现统一设备运维入口，对授权人员的运维操作进行记录、分析、展现，有效加强内部业务操作行为监管，满足等保、密评及行业监管法规要求。
附图说明
构成本发明的一部分的说明书附图用来提供对本发明的进一步理解，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。
图1是现有的安全运维系统结构示意图；
图2是本发明实施例基于管理代理的运维管理系统结构示意图；
图3是本发明实施例管理代理设备和被管设备的连接示意图；
图4是本发明实施例管理代理配置的流程示意图；
图5是本发明实施例基于管理代理的安全运维流程示意图；
图6是本发明实施例基于管理代理的运维管理方法整体示意图。
具体实施方式
下面结合附图与实施例对本发明作进一步说明。
应该指出，以下详细说明都是例示性的，旨在对本发明提供进一步的说明。除非另有指明，本文使用的所有技术和科学术语具有与本发明所属技术领域的普通技术人员通常理解的相同含义。
需要注意的是，这里所使用的术语仅是为了描述具体实施方式，而非意图限制根据本发明的示例性实施方式。如在这里所使用的，除非上下文另外明确指出，否则单数形式也意图包括复数形式，此外，还应当理解的是，当在本说明书中使用术语“包含”和/或“包括”时，其指明存在特征、步骤、操作、器件、组件和/或它们的组合。
实施例一
如图1所示为传统的安全运维系统，维护人员在维护过程中，首先要统一登录到这台服务器上，然后从这台服务器再登录到目标设备进行维护。运维服务器通常使用浏览器、客户端软件运维，或使用常用协议进行运维操作，如采用ssh、telnet、rlogin、rdp、vnc等协议访问被管设备，存在一定的安全隐患，远程管理设备时，多运维人员使用相同的账号/密码对主机进行操作，容易造成账号的泄露，同时信息传输通道只能依赖于已有的通信协议或客户端软件，存在敏感信息传输泄密的风险。
如图2-图3所示，本实施例提供一种基于管理代理的运维管理系统，包括运维服务器和被管设备，在被管设备上安装管理代理；
所述管理代理设备内置密码运算芯片和存储空间，所述存储空间内置服务软件；
所述被管设备用于通过管理代理设备的身份鉴别后，启动管理代理设备提供管理代理服务；
所述运维服务器用于根据运维指令向管理代理设备发送身份认证及安全连接请求，所述管理代理设备用于校验请求信息的有效性，校验通过后，向运维服务器发起连接，建立管理代理设备和运维服务器之间的安全链路，运维服务器用于沿用原有安全运维方式对被管设备进行管理维护操作；
操作完成后，断开安全链路链接，所述服务软件用于对管理维护操作进行日志记录，所述密码运算芯片用于采用管理代理密钥及证书进行数字签名。
由于被管主机软硬件类型不一，同时部分主机也不支持安装第三方软件，因此在被管设备上安装管理代理设备具体为：管理代理设备为独立密码终端硬件，通过USB口或网口接入被管主机。
如图3所示，管理代理内置密码芯片，存储密钥及数字证书；服务软件也内置于管理代理存储空间中，同时负责记录管理运维日志信息；管理代理通过用户名/口令或生物特征技术等实现身份鉴别。
如图4所示，所述运维服务器用于初始化认证根密钥和根证书，管理代理设备用于调用内部密码运算芯片，产生管理代理认证密钥，并向运维服务器申请管理代理认证证书，运维服务器用于对管理代理认证证书签发，并发送至管理代理设备，管理代理设备对签发的认证证书有效性进行验证后并导入。
如图5所示，所述被管设备包括链路客户端，所述运维服务器包括链路服务端；所述被管设备用于启动链路客户端，向运维服务器发出建立安全通道的请求，所述链路服务端收到请求后，用于与链路客户端加密算法协商、通信密钥协商及双方身份鉴别，鉴别通过后为被管设备分配虚拟IP地址，并在IP协议栈中添加对应虚拟路由，建立通信隧道进行数据传输。
所述链路服务端和链路客户端均包括链路主控模块、中间层驱动模块和网络驱动模块，运维服务器与被管设备之间建立通信隧道后，所述链路服务端链路主控模块用于通过TCP/IP协议栈将数据包发送到网络驱动模块，调用链路加密模块对数据包进行加密后通过中间层驱动模块进行传输；
所述链路客户端网络驱动模块接收加密后的数据包后，通过链路主控模块调用链路解密模块解密后获取到原始数据包。
所述管理代理设备作为独立设备，除运维服务器自身日志记录外，可在内部存储空间记录运维管理操作信息，包括且不限于下列信息：
（1）运维服务器设备信息
（2）运维管理员认证信息
（3）运维安全链路信息
（4）运维操作信息
同时基于管理代理设备密钥和设备证书，对上述信息采用HMAC等密码技术进行完整性防护，也支持日志安全导出及运维服务器安全审计。
实施例二
如图6所示，本实施例提供一种基于管理代理的运维管理方法，包括如下步骤：
步骤1：管理代理设备通过USB口或网口接入被管设备；
步骤2：被管设备在身份鉴别后，启动管理代理设备内置的管理代理服务；
步骤3：运维服务器在需要管理被管设备时，向被管设备管理代理服务发送身份认证及安全连接请求；
步骤4：被管设备管理代理服务接收身份认证及安全连接请求后，校验请求信息有效性，由管理代理服务反向运维服务器发起连接，建立点对点虚拟VPN安全隧道，安全隧道其他设备无法接入；
步骤5：管理代理同运维服务器建立安全隧道后，运维服务器可以沿用原有安全运维方式对被管设备进行管理维护操作；
步骤6：操作完成后，断开安全隧道链接，管理代理对管理维护操作进行日志记录，并使用管理代理密钥及证书进行数字签名。
其中，启动管理代理设备内置的管理代理服务后进行运维管理初始化，具体包括：
（1）运维服务器初始化认证根密钥和根证书；
（2）管理代理设备调用内部密码运算芯片，产生管理代理认证密钥，并向运维服务器申请管理代理认证证书；
（3）运维服务器签发管理代理认证证书，并发送至管理代理设备；
（4）管理代理设备验证签发的认证证书有效性，并导入管理代理设备。
其中，运维服务器与被管设备之间通过安全链路协议建立安全加密传输通道的过程包括：
（1）被管设备启动管理代理中的链路客户端，向运维服务器发出建立安全通道的请求；
（2）运维服务器链路服务程序链路主控模块收到请求后，实现与链路客户端加密算法协商、通信密钥协商及双方身份鉴别，运维服务器为被管设备分配虚拟IP地址，并在IP协议栈中添加对应虚拟路由，建立通信隧道。
（3）运维服务器与被管设备之间通信时，发送方应用程序通过TCP/IP协议栈将数据包发送到网络驱动模块，链路主控模块调用链路加密模块对数据包进行加密后通过中间层驱动模块进行传输；接收方通过网络驱动模块接收后，通过链路加密模块解密后获取到原始数据包。
（4）运维服务器与被管设备之间进行管理运维时，传输的数据包通过建立的安全通信隧道透明加密，实现身份鉴别和传输安全。
实施例三
本实施例提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如下步骤：
被管设备接入管理代理设备；
对被管设备进行身份鉴别，鉴别通过后，启动管理代理设备内置的管理代理服务；
根据管理被管设备指令，向管理代理服务发送身份认证及安全连接请求；
管理代理服务接收身份认证及安全连接请求后，对请求信息进行有效性校验，校验通过后由管理代理服务向运维服务器发起连接，建立管理代理服务与运维服务器之间的安全链路；
建立安全链路后，运维服务器沿用原有安全运维方式对被管设备进行管理维护操作；操作完成后，断开安全链路链接，管理代理对管理维护操作进行日志记录，并使用管理代理密钥及证书进行数字签名。
其中，管理代理服务与运维服务器之间建立安全链路后，通过TCP/IP协议栈将数据包发送到网络驱动模块，调用链路加密模块对数据包进行加密后通过中间层驱动模块进行传输；
网络驱动模块接收加密后的数据包后，通过链路主控模块调用链路解密模块解密后获取到原始数据包。
具体地，启动管理代理设备内置的管理代理服务后进行运维管理初始化，具体包括：
运维服务器初始化认证根密钥和根证书；
管理代理设备调用内部密码运算芯片，产生管理代理认证密钥，并向运维服务器申请管理代理认证证书；
运维服务器签发管理代理认证证书，并发送至管理代理设备；
管理代理设备验证签发的认证证书有效性，并导入管理代理设备。
以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种基于管理代理的运维管理系统，其特征在于，包括运维服务器和被管设备，在被管设备上安装管理代理设备，所述管理代理设备内置密码运算芯片和存储空间，所述存储空间内置服务软件；
所述被管设备用于通过管理代理设备的身份鉴别后，启动管理代理设备提供管理代理服务；
所述被管设备包括链路客户端，所述运维服务器包括链路服务端；所述被管设备用于启动链路客户端，向运维服务器发出建立安全通道的请求，所述链路服务端收到请求后，用于与链路客户端加密算法协商、通信密钥协商及双方身份鉴别，鉴别通过后为被管设备分配虚拟IP地址，并在IP协议栈中添加对应虚拟路由，建立通信隧道进行数据传输；所述链路服务端和链路客户端均包括链路主控模块、中间层驱动模块和网络驱动模块，运维服务器与被管设备之间建立通信隧道后，所述链路服务端链路主控模块用于通过TCP/IP协议栈将数据包发送到网络驱动模块，调用链路加密模块对数据包进行加密后通过中间层驱动模块进行传输；
所述链路客户端网络驱动模块接收加密后的数据包后，通过链路主控模块调用链路解密模块解密后获取到原始数据包；
所述运维服务器用于根据运维指令向管理代理设备发送身份认证及安全连接请求，所述管理代理设备用于校验请求信息的有效性，校验通过后，向运维服务器发起连接，建立管理代理设备和运维服务器之间的安全链路，运维服务器沿用原有安全运维方式对被管设备进行管理维护操作；
操作完成后，断开安全链路链接，所述服务软件用于对管理维护操作进行日志记录，所述密码运算芯片用于采用管理代理密钥及证书进行数字签名；
所述在被管设备上安装管理代理设备具体为：管理代理设备为独立密码终端硬件，通过USB口或网口接入被管主机。
2.如权利要求1所述的一种基于管理代理的运维管理系统，其特征在于，所述运维服务器用于初始化认证根密钥和根证书，管理代理设备用于调用内部密码运算芯片，产生管理代理认证密钥，并向运维服务器申请管理代理认证证书，运维服务器用于对管理代理认证证书签发，并发送至管理代理设备，管理代理设备对签发的认证证书有效性进行验证后并导入。
3.如权利要求1所述的一种基于管理代理的运维管理系统，其特征在于，所述管理代理设备存储空间还用于存储运维服务器设备信息、运维管理员认证信息、运维安全链路信息以及运维操作信息，基于管理代理设备密钥和设备证书，对上述信息采用HMAC密码技术进行完整性防护，同时支持日志安全导出及运维服务器安全审计。
4.一种基于管理代理的运维管理方法，其特征在于，包括如下步骤：
被管设备接入管理代理设备；
对被管设备进行身份鉴别，鉴别通过后，启动管理代理设备内置的管理代理服务；
根据管理被管设备指令，向管理代理服务发送身份认证及安全连接请求；
管理代理服务接收身份认证及安全连接请求后，对请求信息进行有效性校验，校验通过后由管理代理服务向运维服务器发起连接，建立管理代理服务与运维服务器之间的安全链路；
管理代理服务与运维服务器之间建立安全链路后，通过TCP/IP协议栈将数据包发送到网络驱动模块，调用链路加密模块对数据包进行加密后通过中间层驱动模块进行传输；
网络驱动模块接收加密后的数据包后，通过链路主控模块调用链路解密模块解密后获取原始数据包；
建立安全链路后，运维服务器沿用原有安全运维方式对被管设备进行管理维护操作；操作完成后，断开安全链路链接，管理代理对管理维护操作进行日志记录，并使用管理代理密钥及证书进行数字签名。
5.如权利要求4所述的一种基于管理代理的运维管理方法，其特征在于，启动管理代理设备内置的管理代理服务后进行运维管理初始化，具体包括：
运维服务器初始化认证根密钥和根证书；
管理代理设备调用内部密码运算芯片，产生管理代理认证密钥，并向运维服务器申请管理代理认证证书；
运维服务器签发管理代理认证证书，并发送至管理代理设备；
管理代理设备验证签发的认证证书有效性，并导入管理代理设备。
6.一种基于管理代理的运维管理计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求4-5中任一项所述的一种基于管理代理的运维管理方法中的步骤。
CN202210839317.9A 2022-07-18 2022-07-18 一种基于管理代理的运维管理系统、方法及计算机设备 Active CN115001936B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210839317.9A CN115001936B (zh) 2022-07-18 2022-07-18 一种基于管理代理的运维管理系统、方法及计算机设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210839317.9A CN115001936B (zh) 2022-07-18 2022-07-18 一种基于管理代理的运维管理系统、方法及计算机设备

Publications (2)

Publication Number Publication Date
CN115001936A CN115001936A (zh) 2022-09-02
CN115001936B true CN115001936B (zh) 2023-05-02

Family

ID=83021713

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210839317.9A Active CN115001936B (zh) 2022-07-18 2022-07-18 一种基于管理代理的运维管理系统、方法及计算机设备

Country Status (1)

Country Link
CN (1) CN115001936B (zh)

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110851837A (zh) * 2019-11-04 2020-02-28 中电长城(长沙)信息技术有限公司 一种基于可信计算的自助设备、其安全管理系统及方法

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040199768A1 (en) * 2003-04-04 2004-10-07 Nail Robert A. System and method for enabling enterprise application security
CN1787513A (zh) * 2004-12-07 2006-06-14 上海鼎安信息技术有限公司 安全远程访问系统和方法
CN104580189B (zh) * 2014-12-30 2019-02-12 北京奇虎科技有限公司 一种安全通信系统
CN106452763B (zh) * 2016-12-01 2019-07-30 中孚信息股份有限公司 一种通过远程虚拟usb设备使用密码钥匙方法
CN109728909B (zh) * 2019-03-21 2021-07-27 郑建建 基于USBKey的身份认证方法和系统
CN112887287A (zh) * 2021-01-18 2021-06-01 杭州安恒信息技术股份有限公司 堡垒机、运维审计方法、电子装置和存储介质

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110851837A (zh) * 2019-11-04 2020-02-28 中电长城(长沙)信息技术有限公司 一种基于可信计算的自助设备、其安全管理系统及方法

Also Published As

Publication number Publication date
CN115001936A (zh) 2022-09-02

Similar Documents

Publication Publication Date Title
CN110784491B (zh) 一种物联网安全管理系统
CN111416807B (zh) 数据获取方法、装置及存储介质
CN105162808B (zh) 一种基于国密算法的安全登录方法
CN101129014B (zh) 用于建立多个会话的系统和方法
US10735195B2 (en) Host-storage authentication
CN103747036A (zh) 一种桌面虚拟化环境下的可信安全增强方法
CN103916363B (zh) 加密机的通讯安全管理方法和系统
CN108809633B (zh) 一种身份认证的方法、装置及系统
US7316030B2 (en) Method and system for authenticating a personal security device vis-à-vis at least one remote computer system
CN102811225B (zh) 一种ssl中间代理访问web资源的方法及交换机
CN107018154A (zh) 一种基于应用层用于连接内网和外网的路由器和路由方法
CN111756530B (zh) 量子服务移动引擎系统、网络架构及相关设备
CN100550030C (zh) 在便携式终端主机上添加可信平台的方法
CN108289074A (zh) 用户账号登录方法及装置
CN113872992B (zh) 一种在BMC系统中实现远程Web访问强安全认证的方法
CN100484027C (zh) 一种应用简单网络管理协议的网络管理系统和方法
CN114139176A (zh) 一种基于国密的工业互联网核心数据的保护方法及系统
CN114760070A (zh) 数字证书颁发方法、数字证书颁发中心和可读存储介质
JPH10242957A (ja) ユーザ認証方法およびシステムおよびユーザ認証用記憶媒体
CN112733129A (zh) 一种服务器带外管理的可信接入方法
CN115001936B (zh) 一种基于管理代理的运维管理系统、方法及计算机设备
CN108809938B (zh) 一种密码设备的远程管控实现方法及系统
CN103269301A (zh) 桌面型IPSecVPN密码机及组网方法
CN115865907A (zh) 桌面云服务器与终端安全通信方法
CN112738122B (zh) 一种轨道交通领域复杂场景下的在线密钥管理系统及方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant