一种虚拟化运维堡垒系统技术方案

本发明专利技术涉及一种虚拟化运维堡垒系统，涉及网络安全技术领域。本发明专利技术通过采取部署在云平台内虚拟机的方式，直接取消了硬件成本；通过与云平台固有组件配合，可以实现大量终端与运维目标的同时连接，也可以在运维空闲时释放资源，保证了极高的资源使用率；与云平台固有组件配合，简易的获取云内部署的全部资源，极大的简化了初始化操作。通过图形化审计可以完整的记录全部运维操作，方便事故后的定责。

【技术实现步骤摘要】
一种虚拟化运维堡垒系统
本专利技术涉及网络安全
，具体涉及一种虚拟化运维堡垒系统。
技术介绍
目前，对数据中心网络(包括云平台及云平台外部的所有设备及设备做组成的网络)内部的网络设备、服务器以及安全设备进行运维调试，通常采用方法两种方法。其一为直接将运维计算机与交换机或目标设备连接，通过访问运维目标的管理页面进行运维；其二为在运维人员和目标设备之间架设一台堡垒机，采取统一的单点登录方式，通过堡垒机的网页代理进行远程操控运维。第一种运维方法因为没有对运维计算机、运维人员访问网络设备进行隔离、访问监控与访问控制，存在运维人员越权访问其他网络设备的风险，目前已基本淘汰。第二种运维方法，对传统数据中心网络而言，使用硬件形式的堡垒机较能满足运维需求，但往往会因为物理设备自身性能有限制、质量难以受控等问题导致运维效率低、效果差。目前大多数据中心网络建设都采用云计算的网络架构，相比以往传统数据中心网络，网络规模急剧扩大、设备数量激增，且不仅仅需要对设备运维，同时需要对虚拟机进行相应的维护，传统硬件堡垒机面临着运维资源添加方式复杂、多线程同时运维容量低、需要对多个虚拟资源统一操作时效率差、运维操作审计不全面等多个挑战。且传统堡垒机往往仅具备安全代理功能，对审计只停留在命令行的输入记录阶段，对日益增多的图形化操作没有新的审计手段。因此传统的硬件堡垒机已经不适应现在的运维需求。
技术实现思路
(一)要解决的技术问题本专利技术要解决的技术问题是：如何解决面对大型云架构网络运维手段繁琐且效率低的问题。(二)技术方案为了解决上述技术问题，本专利技术提供了一种虚拟化运维堡垒系统，包括:虚拟化安装模块，用于在系统初始化过程中对本系统进行部署，使本系统与云平台同时搭建；资源获取模块，用于在系统初始化过程中基于云平台资源中心获取数据中心网络中所有需要有运维操作的资源，并建立与资源中心的实时连接；连接控制模块，用于在系统初始化后控制用户与运维目标的连接数，基于云平台的内存、CPU实时分配特性，与云平台建立接口，根据需求对云平台进行弹性分配要求；授权管理模块，用于在系统初始化后对用户是否有权限访问运维目标的权限进行控制，其中通过信任度计算模型为管理者提供授权依据；操作控制模块，用于在用户访问运维目标过程中限制用户使用本系统时所输入的指令；操作审计模块，用于在用户访问运维目标过程中采取输入拦截及屏幕抓取方式，对通过本系统的行为操作进行审计，并以视频文件、文本形式发送到本系统数据库内保存。优选地，所述虚拟化安装模块以及资源获取模块组成系统初始化的模块，其中，所述虚拟化安装模块采取两种方法进行系统部署，其一为直接与云平台同时部署，即将本系统的安装程序与云平台搭建程序打包，当完成对所属云平台的主实体服务器的环境配置与搭建后，开启一台虚拟机，并在虚拟机内安装操作系统并启动本系统的安装包，将程序自动部署在云平台内；其二为手动部署，即手动申请云平台的一套虚拟机资源，以人工部署方式将程序安装到虚拟机内。优选地，所述资源获取模块对数据中心网络中运维目标资源的获取，根据资源所属位置的不同分为两种途径：其一为资源在云平台内，即为虚拟资源，也根据云平台类型的不同包含实体宿主机，对于此类资源的获取采取与云平台底层的管理程序hypervisor建立接口，获取云平台内的所有资源的实例名、运行状态、操作系统、公网IP地址以及内网IP地址，并通过具体的操作系统与IP地址建立连接；其二为资源在云平台外，对于此类资源的获取采取人工填写其实例名、IP地址、操作系统类型的方式。优选地，所述连接控制模块和授权管理模块组成系统管理模块；所述连接控制模块采取自身状态监控，并与云平台底层管理程序hypervisor建立连接的方式实现控制，系统监控自身的同时用户并发数，并设置多个阈值，当并发数超过阈值时则向hypervisor发出请求，申请更多的内存，保证系统自身的可用性。设阈值为c，当当前并发数降低到小于预设阈值c时，则系统开始计时，计时分为两种情况停止，并返回不同的结果，其一是计时超过设定的时间，则停止计时，向hypervisor发出请求返还一定的内存；其二是当前并发数大于或等于阈值c，则停止计时，不做任何动作，以ck表示系统设置的第k个阈值，则将其集合记作C＝{c1,c2,…,cK}，其中c1<c2<c3<…<ck。设各个变量的持续不变时间超过设定计时时间T’的状态，d表示当前的并发数，则对于任意结点ci,cj∈C∪ci<cj，都有ci<d<cj，当任意时刻d<ci时，则计时器开始计时，计数器计数时间t>T’，则向云平台申请内存获取。优选地，所述授权管理模块采取对使用本系统的角色分组，根据管理员对用户组的访问权限设置，开启或屏蔽用户发起的连接请求，使具体用户连接到目的资源受控；所述信任度计算模型中，为每个系统用户创建一个角色，每个角色通过本系统进行一次运维操作后会得到上级管理员用户的一次评价，正面评价则增加信任度，负面评价减少信任度，设置用户的信任度作为授权因素，管理员可实时查看信任度的值；设C’为角色，角色基于IP地址建立，以IP地址作为表示方法；设T为信任度，信任度是体现角色以往行为可信情况的标准，每个角色对应一个信任度，T∈[0,5]，信任度以等级划分，通过其值的从属范围分为高信任度Th，中信任度Tm，低信任度Tl和零信任度Tz四个等级，Th∈[4,5]，Tm∈(2,4)，Tl∈(0,2]，Tz＝0；设Tu为信任度更新值，信任度更新值是影响信任度的变量之一；设为信任矢量，信任矢量是二进制值，是影响信任度更新值的变量之一，每个角色对应一个信任矢量；设τ为行为量值，行为量值是影响信任度更新值的变量之一，行为量值的取值根据管理员评价等级得到；设DT为信任度数据库，用于存储角色、信任度和信任矢量的数据；设Ti为第i次计算得出的信任度；设为第i次计算得出的信任矢量；在所述信任度计算模型中，对于角色操作后的评价带来的信任度更新值影响存储在信任矢量中，信任矢量对信任度更新值进行更新，信任矢量是一个8位二进制向量，经管理员评价后，负评价写入0，正常行为数据包写入1，即1代表可信，0代表不可信，将0或1写入在二进制向量的最左端，同时将最右端的数值抹消，得到第i次计算得出的信任矢量从而得到任意一次计算得到的信任矢量角色的信任度的更新通过信任度更新值Tu进行更新，信任度更新值函数为Tu(τ)，若要表示第i次计算得到的信任度更新值函数，则在Tu上加下标i，行为量值τ的取值根据管理员评价等级得到，管理员给出用户上次运维操作三种评价结果，分别为高评价、中评价、低评价及差评价，其中高评价对应的行为量值τh＝8；中评价对应的行为量值τm＝12；低评价对应的行为量值τn＝16，差评价对应的行为量值τl＝20；对角色的信任度进行求和计算，计算方法为Ti＝(1+αTui)Ti-1，该公式中使用的信任度更新值函数省略了“(τ)”，α为调整参数，当为低、差评价时α＝-1，高、中评价时α＝1。将Ti、记录到信任度数据库中，对应覆盖Ti-1、优选地，所述操作控制模块和操作审计模块组成功能运行模块；所述操作控制模块具体用于对用户的键盘输入进行读取，对恶意的字符输入进行本文档来自技高网...

【技术保护点】
1.一种虚拟化运维堡垒系统，其特征在于，包括:虚拟化安装模块，用于在系统初始化过程中对本系统进行部署，使本系统与云平台同时搭建；资源获取模块，用于在系统初始化过程中基于云平台资源中心获取数据中心网络中所有需要有运维操作的资源，并建立与资源中心的实时连接；连接控制模块，用于在系统初始化后控制用户与运维目标的连接数，基于云平台的内存、CPU实时分配特性，与云平台建立接口，根据需求对云平台进行弹性分配要求；授权管理模块，用于在系统初始化后对用户是否有权限访问运维目标的权限进行控制，其中通过信任度计算模型为管理者提供授权依据；操作控制模块，用于在用户访问运维目标过程中限制用户使用本系统时所输入的指令；操作审计模块，用于在用户访问运维目标过程中采取输入拦截及屏幕抓取方式，对通过本系统的行为操作进行审计，并以视频文件、文本形式发送到本系统数据库内保存。

【技术特征摘要】
1.一种虚拟化运维堡垒系统，其特征在于，包括:虚拟化安装模块，用于在系统初始化过程中对本系统进行部署，使本系统与云平台同时搭建；资源获取模块，用于在系统初始化过程中基于云平台资源中心获取数据中心网络中所有需要有运维操作的资源，并建立与资源中心的实时连接；连接控制模块，用于在系统初始化后控制用户与运维目标的连接数，基于云平台的内存、CPU实时分配特性，与云平台建立接口，根据需求对云平台进行弹性分配要求；授权管理模块，用于在系统初始化后对用户是否有权限访问运维目标的权限进行控制，其中通过信任度计算模型为管理者提供授权依据；操作控制模块，用于在用户访问运维目标过程中限制用户使用本系统时所输入的指令；操作审计模块，用于在用户访问运维目标过程中采取输入拦截及屏幕抓取方式，对通过本系统的行为操作进行审计，并以视频文件、文本形式发送到本系统数据库内保存。2.如权利要求1所述的系统，其特征在于，所述虚拟化安装模块以及资源获取模块组成系统初始化的模块，其中，所述虚拟化安装模块采取两种方法进行系统部署，其一为直接与云平台同时部署，即将本系统的安装程序与云平台搭建程序打包，当完成对所属云平台的主实体服务器的环境配置与搭建后，开启一台虚拟机，并在虚拟机内安装操作系统并启动本系统的安装包，将程序自动部署在云平台内；其二为手动部署，即手动申请云平台的一套虚拟机资源，以人工部署方式将程序安装到虚拟机内。3.如权利要求2所述的系统，其特征在于，所述资源获取模块对数据中心网络中运维目标资源的获取，根据资源所属位置的不同分为两种途径：其一为资源在云平台内，即为虚拟资源，也根据云平台类型的不同包含实体宿主机，对于此类资源的获取采取与云平台底层的管理程序hypervisor建立接口，获取云平台内的所有资源的实例名、运行状态、操作系统、公网IP地址以及内网IP地址，并通过具体的操作系统与IP地址建立连接；其二为资源在云平台外，对于此类资源的获取采取人工填写其实例名、IP地址、操作系统类型的方式。4.如权利要求1所述的系统，其特征在于，所述连接控制模块和授权管理模块组成系统管理模块；所述连接控制模块采取自身状态监控，并与云平台底层管理程序hypervisor建立连接的方式实现控制，系统监控自身的同时用户并发数，并设置多个阈值，当并发数超过阈值时则向hypervisor发出请求，申请更多的内存，保证系统自身的可用性。设阈值为c，当当前并发数降低到小于预设阈值c时，则系统开始计时，计时分为两种情况停止，并返回不同的结果，其一是计时超过设定的时间，则停止计时，向hypervisor发出请求返还一定的内存；其二是当前并发数大于或等于阈值c，则停止计时，不做任何动作，以ck表示系统设置的第k个阈值，则将其集合记作C＝{c1,c2,…,cK}，其中c1<c2<c3<…<ck。设各个变量的持续不变时间超过设定计时时间T’的状态，d表示当前的并发数，则对于任意结点ci,cj∈C∪ci<cj，都有ci<d<cj，当任意时刻d<ci时，则计时器开始计时，计数器计数时间t>T’，则向云平台申请内存获取。5.如权利要求4所述的系统，其特征在于，所述授权管理模块采取对使用本系统的角色分组，根据管理员对用户组的访问权限设置，开启或屏蔽用户发起的连接请求，使具体用户连接到目的资源受控；所述信任度计算模型中，为每个系统用户创建一个角色，每个角色通过本系统进行一次运维操作后会得到上级管理员用户...

【专利技术属性】
技术研发人员：姜琦，吴朝雄，石波，于冰，王晓菲，郭敏，
申请(专利权)人：北京计算机技术及应用研究所，
类型：发明
国别省市：北京,11