一种基于管理代理的运维管理系统、方法及计算机设备

摘要

本发明属于信息安全技术领域，提供了一种基于管理代理的运维管理系统、方法及计算机设备，该方案通过在被管设备上安装管理代理设备，在运维服务器和被管设备之间建立安全加密链路，从而可以支持原有安全运维管理方式进行运维操作，可支持多种密码算法及安全协议，在此基础上使用原有安全运维管理方式进行运维操作，实现了运维服务器和被管设备之间的有效身份鉴别，并建立安全的加密信息传输通道，可以与现有运维安全审计、堡垒机等产品结合，实现统一设备运维入口，对授权人员的运维操作进行记录、分析、展现，有效加强内部业务操作行为监管，满足等保、密评及行业监管法规要求。

权利要求

1.一种基于管理代理的运维管理系统，其特征在于，包括运维服务器和被管设备，在被管设备上安装管理代理设备，所述管理代理设备内置密码运算芯片和存储空间，所述存储空间内置服务软件；

所述被管设备用于通过管理代理设备的身份鉴别后，启动管理代理设备提供管理代理服务；

所述被管设备包括链路客户端，所述运维服务器包括链路服务端；所述被管设备用于启动链路客户端，向运维服务器发出建立安全通道的请求，所述链路服务端收到请求后，用于与链路客户端加密算法协商、通信密钥协商及双方身份鉴别，鉴别通过后为被管设备分配虚拟IP地址，并在IP协议栈中添加对应虚拟路由，建立通信隧道进行数据传输；所述链路服务端和链路客户端均包括链路主控模块、中间层驱动模块和网络驱动模块，运维服务器与被管设备之间建立通信隧道后，所述链路服务端链路主控模块用于通过TCP/IP协议栈将数据包发送到网络驱动模块，调用链路加密模块对数据包进行加密后通过中间层驱动模块进行传输；

所述链路客户端网络驱动模块接收加密后的数据包后，通过链路主控模块调用链路解密模块解密后获取到原始数据包；

所述运维服务器用于根据运维指令向管理代理设备发送身份认证及安全连接请求，所述管理代理设备用于校验请求信息的有效性，校验通过后，向运维服务器发起连接，建立管理代理设备和运维服务器之间的安全链路，运维服务器沿用原有安全运维方式对被管设备进行管理维护操作；

操作完成后，断开安全链路链接，所述服务软件用于对管理维护操作进行日志记录，所述密码运算芯片用于采用管理代理密钥及证书进行数字签名；

所述在被管设备上安装管理代理设备具体为：管理代理设备为独立密码终端硬件，通过USB口或网口接入被管主机。

2.如权利要求1所述的一种基于管理代理的运维管理系统，其特征在于，所述运维服务器用于初始化认证根密钥和根证书，管理代理设备用于调用内部密码运算芯片，产生管理代理认证密钥，并向运维服务器申请管理代理认证证书，运维服务器用于对管理代理认证证书签发，并发送至管理代理设备，管理代理设备对签发的认证证书有效性进行验证后并导入。

3.如权利要求1所述的一种基于管理代理的运维管理系统，其特征在于，所述管理代理设备存储空间还用于存储运维服务器设备信息、运维管理员认证信息、运维安全链路信息以及运维操作信息，基于管理代理设备密钥和设备证书，对上述信息采用HMAC密码技术进行完整性防护，同时支持日志安全导出及运维服务器安全审计。

4.一种基于管理代理的运维管理方法，其特征在于，包括如下步骤：

被管设备接入管理代理设备；

对被管设备进行身份鉴别，鉴别通过后，启动管理代理设备内置的管理代理服务；

根据管理被管设备指令，向管理代理服务发送身份认证及安全连接请求；

管理代理服务接收身份认证及安全连接请求后，对请求信息进行有效性校验，校验通过后由管理代理服务向运维服务器发起连接，建立管理代理服务与运维服务器之间的安全链路；

管理代理服务与运维服务器之间建立安全链路后，通过TCP/IP协议栈将数据包发送到网络驱动模块，调用链路加密模块对数据包进行加密后通过中间层驱动模块进行传输；

网络驱动模块接收加密后的数据包后，通过链路主控模块调用链路解密模块解密后获取原始数据包；

建立安全链路后，运维服务器沿用原有安全运维方式对被管设备进行管理维护操作；

操作完成后，断开安全链路链接，管理代理对管理维护操作进行日志记录，并使用管理代理密钥及证书进行数字签名。

5.如权利要求4所述的一种基于管理代理的运维管理方法，其特征在于，启动管理代理设备内置的管理代理服务后进行运维管理初始化，具体包括：运维服务器初始化认证根密钥和根证书；

管理代理设备调用内部密码运算芯片，产生管理代理认证密钥，并向运维服务器申请管理代理认证证书；

运维服务器签发管理代理认证证书，并发送至管理代理设备；

管理代理设备验证签发的认证证书有效性，并导入管理代理设备。

6.一种基于管理代理的运维管理计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求4‑5中任一项所述的一种基于管理代理的运维管理方法中的步骤。

说明书

一种基于管理代理的运维管理系统、方法及计算机设备

技术领域

[0001] 本发明属于信息安全技术领域，尤其涉及一种基于管理代理的运维管理系统、方法及计算机设备。

背景技术

[0002] 本部分的陈述仅仅是提供了与本发明相关的背景技术信息，不必然构成在先技术。

[0003] 传统的安全运维系统，为了对运维人员的远程登录进行集中管理，会在机房里部署跳板机。跳板机就是通常的运维服务器或堡垒机，维护人员在维护过程中，首先要统一登录到这台服务器上，然后从这台服务器再登录到目标设备进行维护。

[0004] 运维服务器通常使用浏览器、客户端软件运维，或使用常用协议进行运维操作，如采用ssh、telnet、rlogin、rdp、vnc等协议访问被管设备，存在一定的安全隐患，远程管理设备时，多运维人员使用相同的账号/密码对主机进行操作，容易造成账号的泄露，同时信息传输通道只能依赖于已有的通信协议或客户端软件，存在敏感信息传输泄密的风险。

发明内容

[0005] 为了解决上述背景技术中存在的至少一项技术问题，本发明提供一种基于管理代理的运维管理系统、方法及计算机设备，其通过在被管设备上安装管理代理设备，在运维服务器和被管设备之间建立安全加密链路，可支持多种密码算法及安全协议，在此基础上使用原有安全运维管理方式进行运维操作，实现了运维服务器和被管设备之间的有效身份鉴别，并建立安全的加密信息传输通道。

[0006] 为了实现上述目的，本发明采用如下技术方案：

[0007] 本发明的第一个方面提供一种基于管理代理的运维管理系统，包括运维服务器和被管设备，在被管设备上安装管理代理设备，所述管理代理设备内置密码运算芯片和存储空间，所述存储空间内置服务软件；

[0008] 所述被管设备用于通过管理代理设备的身份鉴别后，启动管理代理设备提供管理代理服务；

[0009] 所述运维服务器用于根据运维指令向管理代理设备发送身份认证及安全连接请求，所述管理代理设备用于校验请求信息的有效性，校验通过后，向运维服务器发起连接，建立管理代理设备和运维服务器之间的安全链路，运维服务器沿用原有安全运维方式对被管设备进行管理维护操作；

[0010] 操作完成后，断开安全链路链接，所述服务软件用于对管理维护操作进行日志记录，所述密码运算芯片用于采用管理代理密钥及证书进行数字签名。

[0011] 作为一种可能的实施方式，所述被管设备包括链路客户端，所述运维服务器包括链路服务端；所述被管设备用于启动链路客户端，向运维服务器发出建立安全通道的请求，所述链路服务端收到请求后，用于与链路客户端加密算法协商、通信密钥协商及双方身份鉴别，鉴别通过后为被管设备分配虚拟IP地址，并在IP协议栈中添加对应虚拟路由，建立通信隧道进行数据传输。

[0012] 作为一种可能的实施方式，所述运维服务器用于初始化认证根密钥和根证书，管理代理设备用于调用内部密码运算芯片，产生管理代理认证密钥，并向运维服务器申请管理代理认证证书，运维服务器用于对管理代理认证证书签发，并发送至管理代理设备，管理代理设备对签发的认证证书有效性进行验证后并导入。

[0013] 作为一种可能的实施方式，所述链路服务端和链路客户端均包括链路主控模块、中间层驱动模块和网络驱动模块，运维服务器与被管设备之间建立通信隧道后，所述链路服务端链路主控模块用于通过TCP/IP协议栈将数据包发送到网络驱动模块，调用链路加密模块对数据包进行加密后通过中间层驱动模块进行传输；

[0014] 所述链路客户端网络驱动模块接收加密后的数据包后，通过链路主控模块调用链路解密模块解密后获取到原始数据包。

[0015] 作为一种可能的实施方式，所述在被管设备上安装管理代理设备具体为：管理代理设备为独立密码终端硬件，通过USB口或网口接入被管主机。

[0016] 作为一种可能的实施方式，所述管理代理设备存储空间还用于存储运维服务器设备信息、运维管理员认证信息、运维安全链路信息以及运维操作信息，基于管理代理设备密钥和设备证书，对上述信息采用HMAC密码技术进行完整性防护，同时支持日志安全导出及运维服务器安全审计。

[0017] 本发明的第二个方面提供一种基于管理代理的运维管理方法，包括如下步骤：

[0018] 被管设备接入管理代理设备；

[0019] 对被管设备进行身份鉴别，鉴别通过后，启动管理代理设备内置的管理代理服务；

[0020] 根据管理被管设备指令，向管理代理服务发送身份认证及安全连接请求；

[0021] 管理代理服务接收身份认证及安全连接请求后，对请求信息进行有效性校验，校验通过后由管理代理服务向运维服务器发起连接，建立管理代理服务与运维服务器之间的安全链路；

[0022] 建立安全链路后，运维服务器沿用原有安全运维方式对被管设备进行管理维护操作；操作完成后，断开安全链路链接，管理代理对管理维护操作进行日志记录，并使用管理代理密钥及证书进行数字签名。

[0023] 作为一种可能的实施方式，管理代理服务与运维服务器之间建立安全链路后，通过TCP/IP协议栈将数据包发送到网络驱动模块，调用链路加密模块对数据包进行加密后通过中间层驱动模块进行传输；

[0024] 网络驱动模块接收加密后的数据包后，通过链路主控模块调用链路解密模块解密后获取到原始数据包。

[0025] 作为一种可能的实施方式，启动管理代理设备内置的管理代理服务后进行运维管理初始化，具体包括：

[0026] 运维服务器初始化认证根密钥和根证书；

[0027] 管理代理设备调用内部密码运算芯片，产生管理代理认证密钥，并向运维服务器申请管理代理认证证书；

[0028] 运维服务器签发管理代理认证证书，并发送至管理代理设备；

[0029] 管理代理验证签发的认证证书有效性，并导入管理代理设备。

[0030] 本发明的第三个方面提供一种计算机设备。

[0031] 一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如第二个方面所述的一种基于管理代理的运维管理方法中的步骤。

[0032] 与现有技术相比，本发明的有益效果是：

[0033] 本发明通过在被管设备上安装管理代理，在运维服务器和被管设备之间建立VPN安全加密隧道，从而可以支持原有安全运维管理方式进行运维操作，实现了运维服务器和被管设备之间的有效身份鉴别，以及链路传输的机密性、完整性防护，支持多种加密算法，包括国际通用密码算法RSA、ECC等，以及国产SM2/SM3/SM4等密码算法，管理代理内置日志管理及完整性防护，可以实现安全日志审计。

[0034] 本发明可以与现有运维安全审计、堡垒机等产品结合，实现统一设备运维入口，对授权人员的运维操作进行记录、分析、展现，有效加强内部业务操作行为监管，满足等保、密评及行业监管法规要求。

附图说明

[0035] 构成本发明的一部分的说明书附图用来提供对本发明的进一步理解，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。

[0036] 图1是现有的安全运维系统结构示意图；

[0037] 图2是本发明实施例基于管理代理的运维管理系统结构示意图；

[0038] 图3是本发明实施例管理代理设备和被管设备的连接示意图；

[0039] 图4是本发明实施例管理代理配置的流程示意图；

[0040] 图5是本发明实施例基于管理代理的安全运维流程示意图；

[0041] 图6是本发明实施例基于管理代理的运维管理方法整体示意图。

具体实施方式

[0042] 下面结合附图与实施例对本发明作进一步说明。

[0043] 应该指出，以下详细说明都是例示性的，旨在对本发明提供进一步的说明。除非另有指明，本文使用的所有技术和科学术语具有与本发明所属技术领域的普通技术人员通常理解的相同含义。

[0044] 需要注意的是，这里所使用的术语仅是为了描述具体实施方式，而非意图限制根据本发明的示例性实施方式。如在这里所使用的，除非上下文另外明确指出，否则单数形式也意图包括复数形式，此外，还应当理解的是，当在本说明书中使用术语“包含”和/或“包括”时，其指明存在特征、步骤、操作、器件、组件和/或它们的组合。

[0045] 实施例一

[0046] 如图1所示为传统的安全运维系统，维护人员在维护过程中，首先要统一登录到这台服务器上，然后从这台服务器再登录到目标设备进行维护。运维服务器通常使用浏览器、客户端软件运维，或使用常用协议进行运维操作，如采用ssh、telnet、rlogin、rdp、vnc等协议访问被管设备，存在一定的安全隐患，远程管理设备时，多运维人员使用相同的账号/密码对主机进行操作，容易造成账号的泄露，同时信息传输通道只能依赖于已有的通信协议或客户端软件，存在敏感信息传输泄密的风险。

[0047] 如图2‑图3所示，本实施例提供一种基于管理代理的运维管理系统，包括运维服务器和被管设备，在被管设备上安装管理代理；

[0048] 所述管理代理设备内置密码运算芯片和存储空间，所述存储空间内置服务软件；

[0049] 所述被管设备用于通过管理代理设备的身份鉴别后，启动管理代理设备提供管理代理服务；

[0050] 所述运维服务器用于根据运维指令向管理代理设备发送身份认证及安全连接请求，所述管理代理设备用于校验请求信息的有效性，校验通过后，向运维服务器发起连接，建立管理代理设备和运维服务器之间的安全链路，运维服务器用于沿用原有安全运维方式对被管设备进行管理维护操作；

[0051] 操作完成后，断开安全链路链接，所述服务软件用于对管理维护操作进行日志记录，所述密码运算芯片用于采用管理代理密钥及证书进行数字签名。

[0052] 由于被管主机软硬件类型不一，同时部分主机也不支持安装第三方软件，因此在被管设备上安装管理代理设备具体为：管理代理设备为独立密码终端硬件，通过USB口或网口接入被管主机。

[0053] 如图3所示，管理代理内置密码芯片，存储密钥及数字证书；服务软件也内置于管理代理存储空间中，同时负责记录管理运维日志信息；管理代理通过用户名/口令或生物特征技术等实现身份鉴别。

[0054] 如图4所示，所述运维服务器用于初始化认证根密钥和根证书，管理代理设备用于调用内部密码运算芯片，产生管理代理认证密钥，并向运维服务器申请管理代理认证证书，运维服务器用于对管理代理认证证书签发，并发送至管理代理设备，管理代理设备对签发的认证证书有效性进行验证后并导入。

[0055] 如图5所示，所述被管设备包括链路客户端，所述运维服务器包括链路服务端；所述被管设备用于启动链路客户端，向运维服务器发出建立安全通道的请求，所述链路服务端收到请求后，用于与链路客户端加密算法协商、通信密钥协商及双方身份鉴别，鉴别通过后为被管设备分配虚拟IP地址，并在IP协议栈中添加对应虚拟路由，建立通信隧道进行数据传输。

[0056] 所述链路服务端和链路客户端均包括链路主控模块、中间层驱动模块和网络驱动模块，运维服务器与被管设备之间建立通信隧道后，所述链路服务端链路主控模块用于通过TCP/IP协议栈将数据包发送到网络驱动模块，调用链路加密模块对数据包进行加密后通过中间层驱动模块进行传输；

[0057] 所述链路客户端网络驱动模块接收加密后的数据包后，通过链路主控模块调用链路解密模块解密后获取到原始数据包。

[0058] 所述管理代理设备作为独立设备，除运维服务器自身日志记录外，可在内部存储空间记录运维管理操作信息，包括且不限于下列信息：

[0059] （1）运维服务器设备信息

[0060] （2）运维管理员认证信息

[0061] （3）运维安全链路信息

[0062] （4）运维操作信息

[0063] 同时基于管理代理设备密钥和设备证书，对上述信息采用HMAC等密码技术进行完整性防护，也支持日志安全导出及运维服务器安全审计。

[0064] 实施例二

[0065] 如图6所示，本实施例提供一种基于管理代理的运维管理方法，包括如下步骤：

[0066] 步骤1：管理代理设备通过USB口或网口接入被管设备；

[0067] 步骤2：被管设备在身份鉴别后，启动管理代理设备内置的管理代理服务；

[0068] 步骤3：运维服务器在需要管理被管设备时，向被管设备管理代理服务发送身份认证及安全连接请求；

[0069] 步骤4：被管设备管理代理服务接收身份认证及安全连接请求后，校验请求信息有效性，由管理代理服务反向运维服务器发起连接，建立点对点虚拟VPN安全隧道，安全隧道其他设备无法接入；

[0070] 步骤5：管理代理同运维服务器建立安全隧道后，运维服务器可以沿用原有安全运维方式对被管设备进行管理维护操作；

[0071] 步骤6：操作完成后，断开安全隧道链接，管理代理对管理维护操作进行日志记录，并使用管理代理密钥及证书进行数字签名。

[0072] 其中，启动管理代理设备内置的管理代理服务后进行运维管理初始化，具体包括：

[0073] （1）运维服务器初始化认证根密钥和根证书；

[0074] （2）管理代理设备调用内部密码运算芯片，产生管理代理认证密钥，并向运维服务器申请管理代理认证证书；

[0075] （3）运维服务器签发管理代理认证证书，并发送至管理代理设备；

[0076] （4）管理代理设备验证签发的认证证书有效性，并导入管理代理设备。

[0077] 其中，运维服务器与被管设备之间通过安全链路协议建立安全加密传输通道的过程包括：

[0078] （1）被管设备启动管理代理中的链路客户端，向运维服务器发出建立安全通道的请求；

[0079] （2）运维服务器链路服务程序链路主控模块收到请求后，实现与链路客户端加密算法协商、通信密钥协商及双方身份鉴别，运维服务器为被管设备分配虚拟IP地址，并在IP协议栈中添加对应虚拟路由，建立通信隧道。

[0080] （3）运维服务器与被管设备之间通信时，发送方应用程序通过TCP/IP协议栈将数据包发送到网络驱动模块，链路主控模块调用链路加密模块对数据包进行加密后通过中间层驱动模块进行传输；接收方通过网络驱动模块接收后，通过链路加密模块解密后获取到原始数据包。

[0081] （4）运维服务器与被管设备之间进行管理运维时，传输的数据包通过建立的安全通信隧道透明加密，实现身份鉴别和传输安全。

[0082] 实施例三

[0083] 本实施例提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如下步骤：

[0084] 被管设备接入管理代理设备；

[0085] 对被管设备进行身份鉴别，鉴别通过后，启动管理代理设备内置的管理代理服务；

[0086] 根据管理被管设备指令，向管理代理服务发送身份认证及安全连接请求；

[0087] 管理代理服务接收身份认证及安全连接请求后，对请求信息进行有效性校验，校验通过后由管理代理服务向运维服务器发起连接，建立管理代理服务与运维服务器之间的安全链路；

[0088] 建立安全链路后，运维服务器沿用原有安全运维方式对被管设备进行管理维护操作；操作完成后，断开安全链路链接，管理代理对管理维护操作进行日志记录，并使用管理代理密钥及证书进行数字签名。

[0089] 其中，管理代理服务与运维服务器之间建立安全链路后，通过TCP/IP协议栈将数据包发送到网络驱动模块，调用链路加密模块对数据包进行加密后通过中间层驱动模块进行传输；

[0090] 网络驱动模块接收加密后的数据包后，通过链路主控模块调用链路解密模块解密后获取到原始数据包。

[0091] 具体地，启动管理代理设备内置的管理代理服务后进行运维管理初始化，具体包括：

[0092] 运维服务器初始化认证根密钥和根证书；

[0093] 管理代理设备调用内部密码运算芯片，产生管理代理认证密钥，并向运维服务器申请管理代理认证证书；

[0094] 运维服务器签发管理代理认证证书，并发送至管理代理设备；

[0095] 管理代理设备验证签发的认证证书有效性，并导入管理代理设备。

[0096] 以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。