一種基于黑名單命令設置的運維操作控制系統及其方法
【專利摘要】本發明提供一種基于黑名單命令設置的運維操作控制系統及其方法。該系統包括：運維協議處理模塊，接收來自運維客戶端的終端命令信息，且逐個讀入終端命令信息中的字符從而形成命令字符；以及中間處理模塊，接收命令字符，判斷其對應的命令是否與黑名單列表的命令相匹配，根據匹配判斷結果輸出操作標志。運維協議處理模塊接收操作標志，并根據其執行或阻斷命令。相比于現有技術，本發明的中間處理模塊判斷命令字符是否與黑名單列表的命令相匹配，可從根源上管控高危運維操作，并且可以實現集中管控。并且，通過中間處理模塊對多臺設備進行黑名單部署，可以實現遠程動態管控，增強了管控的靈活性。
【專利說明】一種基于黑名單命令設置的運維操作控制系統及其方法【技術領域】
[0001]本發明涉及一種運維操作控制技術，尤其涉及一種基于黑名單命令設置的運維操作控制系統及其方法。
【背景技術】
[0002]隨著互聯網信息技術的迅速發展，各類信息系統層出不窮。快速建設的IT系統正從以前傳統封閉的業務系統向大型關鍵業務系統擴展。然而，IT系統的廣泛應用卻是一柄雙刃劍，在帶來規范、便捷、高效的辦公流程和業務模式的同時，也引發了對IT系統內部運維的防御難、控制難等諸多問題。這些問題不尋求解決之道，會嚴重威脅企業的信息安全。例如，若不及時防御和控制運維操作行為，內部業務數據可能被篡改、泄露、竊取；在服務器可訪問非法網站、出現誤操作；或者在關鍵服務器上進行亂操作等等。
[0003]為了解決這一問題，就需要一種切實可行的方法，來限制運維人員的操作行為。現有技術中的一種技術方案是在于，對不同的運維人員設置特定的操作權限，在目標運維機器上對該運維人員的可操作命令進行靜態設置，以便屏蔽高危命令，通過僅僅開放運維必須的命令權限來達到限制運維人員的目的。雖然上述方法可實現對運維人員操作行為的限制，但同時也存在很多不足之處。首先，該方法需要在目標運維機器上對用戶進行設置，因此對于運維機器數量較大的企業來說在操作上并不便利，需要重復進行大量的設置工作，較浪費時間；其次，該方法必須事先對各個用戶的命令操作權限進行靜態設置，在運維過程中不易于修改，無法實現對用戶操作權限的靈活變更和控制。
[0004]有鑒于此，在進行運維操作時，相關領域的技術人員迫切需要設計一種靈活的、可操作性強的運維操作控制方法來控制運維人員對目標運維機器的操作行為，以消除現有方法的上述缺陷。
【發明內容】
[0005]針對現有技術中的運維操作控制方法存在的上述缺陷，本發明提供一種基于黑名單命令設置的運維操作控制系統及其方法。
[0006]依據本發明的一個方面，提供了一種基于黑名單命令設置的運維操作控制系統，包括:
[0007]運維協議處理模塊，接收來自運維客戶端的終端命令信息，且逐個讀入所述終端命令信息中的字符從而形成命令字符；以及
[0008]中間處理模塊，與運維協議處理模塊進行雙向信息傳輸，所述中間處理模塊接收所述命令字符，判斷所述命令字符相對應的命令是否與黑名單列表的命令相匹配，并根據匹配判斷結果輸出操作標志，
[0009]其中所述運維協議處理模塊接收所述操作標志，并根據所述操作標志予以執行命令或阻斷命令。
[0010] 在其中的一實施例中，所述中間處理模塊包括:黑名單設置單元，用于設置黑名單命令； 命令拼接單元，用于接收來自所述運維協議處理模塊的命令字符，解析所述命令字符從而拼接出完整命令；以及命令處理單元，用于接收來自所述命令拼接單元的完整命令，并將所述完整命令與所述黑名單命令進行匹配，根據匹配判斷結果輸出所述操作標志。
[0011]在其中的一實施例中，所述黑名單設置單元根據不同協議的運維操作和運維場景需求來設置黑名單命令。
[0012]在其中的一實施例中，所述命令拼接單元解析所述命令字符時，剔除其中的命令提示符及終端打印干擾信息從而拼接出所述完整命令。
[0013]在其中的一實施例中，所述命令拼接單元執行多次拼接操作，直至所述命令字符中出現回車符時結束拼接。
[0014]在其中的一實施例中，所述命令處理單元在進行匹配判斷時，根據命令中是否包括參數以及參數的不同類型進行分類處理。
[0015]在其中的一實施例中，所述命令處理單元匹配判斷時的檢查粒度為字符級。
[0016]依據本發明的另一個方面，提供了一種基于黑名單命令設置的運維操作控制方法，該方法包括以下步驟:
[0017](a)接收來自運維客戶端的終端命令信息，且逐個讀入所述終端命令信息中的字符從而形成命令字符；
[0018](b)接收所述命令字符，判斷所述命令字符對應的命令是否與黑名單列表的命令相匹配，并根據匹配判斷結果輸出操作標志；
[0019](C)根據所述操作標志予以執行命令或阻斷命令。
[0020]在其中的一實施例中，于上述步驟(b)之前，還包括根據不同協議的運維操作和運維場景需求來設置黑名單命令的步驟。
[0021]在其中的一實施例中，上述步驟(b)還包括:接收來自所述運維協議處理模塊的命令字符，解析所述命令字符從而拼接出完整命令；以及接收來自所述命令拼接單元的完整命令，并將所述完整命令與所述黑名單命令進行匹配，根據匹配判斷結果輸出該操作標
O
[0022]采用本發明的基于黑名單命令設置的運維操作控制系統及其方法，利用運維協議處理模塊接收來自運維客戶端的終端命令信息，且逐個讀入終端命令信息中的字符從而形成命令字符，然后利用中間處理模塊接收來自運維協議處理模塊的命令字符，判斷該命令字符相對應的命令是否與黑名單列表的命令相匹配，并根據匹配判斷結果輸出操作標志，最后根據所輸出的操作標志予以執行命令或阻斷命令。相比于現有技術，本發明的運維操作控制方法通過加入中間處理模塊進行判斷來自客戶端的命令字符是否與黑名單列表的命令相匹配，可從根源上管控高危運維操作，并且可以實現集中管控。并且，通過中間處理模塊對多臺設備進行黑名單部署，可以實現遠程動態管控，增強了管控的靈活性。本發明的控制方法還可適用于多種文本運維協議，如SSH、TELNET、FTP、SFTP等，并針對不同的協議類型開發對應的中間處理模塊以滿足用戶的多方面需求。
【專利附圖】
【附圖說明】
[0023]讀者在參照附圖閱讀了本發明的【具體實施方式】以后，將會更清楚地了解本發明的各個方面。其中，[0024]圖1示出依據本發明的一實施方式，基于黑名單命令設置的運維操作控制系統的結構框圖；
[0025]圖2示出圖1的運維操作控制系統的中間處理模塊的結構示意圖；
[0026]圖3示出依據本發明的另一實施方式，基于黑名單命令設置的運維操作控制方法的流程框圖；以及
[0027]圖4示出采用圖3的運維操作控制方法來控制運維操作行為的一較佳實施例。【具體實施方式】
[0028]為了使本申請所揭示的技術內容更加詳盡與完備，可參照附圖以及本發明的下述各種具體實施例，附圖中相同的標記代表相同或相似的組件。然而，本領域的普通技術人員應當理解，下文中所提供的實施例并非用來限制本發明所涵蓋的范圍。此外，附圖僅僅用于示意性地加以說明，并未依照其原尺寸進行繪制。
[0029]如前文所述，隨著互聯網信息技術的迅速發展，各類信息系統層出不窮。快速建設的IT系統正從以前傳統封閉的業務系統向大型關鍵業務系統擴展。然而，IT系統的廣泛應用容易引發系統內部運維防御難、控制難等諸多問題。在傳統的運維管理審計過程中，通常以網絡層訪問控制以及主機層帳戶控制為主，由于操作系統自身功能閑置，其主流的操作系統、數據庫均無法進行細粒度的訪問授權(諸如指令級授權控制)，例如，第三方運維人員很有可能因為一個簡單的維護需求，而分配到一個超級用戶權限，藉由該超級用戶權限可以查看其它的運維操作行為，進而帶來一系列的潛在安全隱患。
[0030]為了避免或消除上述潛在安全隱患，傳統的運維管理審計可針對不同的運維人員設置特定的操作權限，每個運維人員只能對其對應操作權限內的運維操作行為進行維護。與此同時，在目標運維機器上對該運維人員的可操作命令進行靜態設置，以便屏蔽高危命令。雖然該方法可加強對運維人員操作行為的限制，然而，該方法需要在每臺目標運維機器上對用戶進行設置，操作上十分不便，而且必須事先對各個用戶的命令操作權限進行靜態設置，該命令操作權限在運維過程中不易于修改，控制策略呆板而不靈活。針對現有技術中的上述缺陷或不足，本發明提供了一種基于黑名單命令設置的運維操作控制系統和控制方法。
[0031]圖1示出依據本發明的一實施方式，基于黑名單命令設置的運維操作控制系統的結構框圖。
[0032]參照圖1，本發明的運維操作控制系統I設置于運維客戶端和運維目標設備之間，對運維客戶端發出的終端命令信息進行審計，當檢測到終端命令信息中包含高危命令時，立即實施阻斷；當檢測到終端命令信息中并無任何高危命令時，正常執行并將終端命令信息下發給運維目標設備。本領域的技術人員應當理解，圖1中的運維目標設備僅為示意性舉例，在一些實施例中，同一運維客戶端可對應兩個或兩個以上的多個運維目標設備。
[0033]運維操作控制系統I包括運維協議處理模塊10和中間處理模塊20。運維協議處理模塊10與中間處理模塊20進行雙向信息交互。具體地，運維協議處理模塊10接收來自運維客戶端的終端命令信息，且逐個讀入終端命令信息中的字符從而形成命令字符。中間處理模塊20接收來自運維協議處理模塊10的命令字符，判斷該命令字符相對應的命令是否與黑名單列表的命令相匹配，并根據匹配判斷結果輸出操作標志。運維協議處理模塊10接收來自中間處理模塊20反饋的該操作標志，根據該操作標志予以執行命令或阻斷命令。
[0034]例如，運維協議處理模塊10輸出操作標志，然后根據操作標志對運維命令進行處理，當操作標志顯示命令字符對應的命令與黑名單列表中的命令不匹配時(如圖1中的路徑Y所標示)，正常執行并將終端命令信息下發給運維目標設備。當操作標志顯示命令字符對應的命令與黑名單列表中的命令匹配成功時(如圖1中的路徑N所標示)，發送終止符到運維目標設備從而對終端命令信息中的高危命令實施阻斷。
[0035]由上述可知，本發明的運維操作控制系統藉由中間處理模塊提供命令級的細粒度訪問控制，可最大限度地保護用戶資源的安全。運維管理員可設定每個用戶可使用的黑名單列表，一旦運維人員執行黑名單命令，運維操作控制系統會自動阻斷其操作，從而最大限度地保護運維目標設備的安全，確保運維人員訪問過程的合規性。
[0036]亦由上述可知，相比于現有技術，本發明的運維操作控制系統通過加入中間處理模塊，判斷來自運維客戶端的命令字符是否與黑名單列表的命令相匹配，可從根源上管控高危運維操作，并且可實現集中管控。此外，該中間處理模塊還可對多臺運維目標設備進行黑名單部署，以便實現遠程動態管控，增強管控靈活性。
[0037]圖2示出圖1的運維操作控制系統的中間處理模塊的結構示意圖。
[0038]參照圖2，在該實施例中，中間處理模塊20包括命令拼接單元202、命令處理單元204和黑名單設置單元206。其中，命令拼接單元202從運維協議處理模塊10接收信息。命令處理單元204將信息發送給運維協議處理模塊10。并且，命令處理單元204與黑名單設置單元206進行信息交互，以進行匹配判斷。
[0039]黑名單設置單元206用于設置黑名單命令，諸如高危命令。較佳地，黑名單設置單元206根據不同協議的運維操作和運維場景需求來設置黑名單命令。例如，在一些實施例中，黑名單設置單元206根據SSH文本協議的運維操作設置黑名單列表。在一些實施例中，黑名單設置單元206根據TELNET文本協議的運維操作設置黑名單列表。
[0040]命令拼接單元202接收來自運維協議處理模塊10的命令字符，解析這些命令字符從而拼接出完整命令。較佳地，命令拼接單元202對所接收到的命令字符進行解析，剔除其中的命令提示符及終端打印的干擾信息，拼接出完整命令。此外，命令拼接單元202可通過執行多次拼接操作來拼接出完整命令，當命令字符中出現回車符時，命令拼接單元202結束拼接。
[0041]命令處理單元204與命令拼接單元202和黑名單設置單元206相連接。命令處理單元204接收來自命令拼接單元202的完整命令，并將該完整命令與黑名單列表中的黑名單命令進行匹配，根據匹配判斷結果輸出操作標志。在一實施例中，命令處理單元204調用黑名單設置單元206中的黑名單命令，并將其與所接收到的完整命令進行匹配判斷，輸出操作標志。在另一實施例中，命令處理單元204亦可將所接收到的完整命令發送至黑名單設置單元206，在黑名單設置單元206內部與其黑名單命令進行匹配判斷，產生操作標志，然后將該操作標志回送至命令處理單元204。
[0042]在一具體實施例中，命令處理單元204在進行匹配判斷時，根據命令中是否包括參數以及參數的不同類型進行分類處理。較佳地，命令處理單元204匹配判斷時的檢查粒度為字符級。也就是說，命令處理單元204將接收的完整命令中的逐個字符與黑名單列表進行匹配判斷，確保不會遺漏完整命令中的黑名單命令。[0043]圖3示出依據本發明的另一實施方式，基于黑名單命令設置的運維操作控制方法的流程框圖。其中，該運維操作控制方法對應于圖1中的運維操作控制系統。
[0044]參照圖3，在該控制方法中，首先，執行步驟S31，接收來自運維客戶端的終端命令信息，且逐個讀入終端命令信息中的字符從而形成命令字符。然后，執行步驟S33，接收步驟S31中所形成的命令字符，判斷命令字符對應的命令是否與黑名單列表的命令相匹配，并根據匹配判斷結果輸出操作標志。最后，在步驟S35，根據操作標志予以執行命令或阻斷命令。
[0045]結合圖3和圖1，在實際操作中，運維協議處理模塊10接收來自運維客戶端的終端命令信息，且逐個讀入終端命令信息中的字符從而形成命令字符。中間處理模塊20接收來自運維協議處理模塊10的命令字符，判斷命令字符對應的命令是否與黑名單列表的命令相匹配，并根據匹配判斷結果輸出操作標志。運維協議處理模塊10接收來自中間處理模塊20反饋的該操作標志，根據該操作標志予以執行命令或阻斷命令。
[0046]圖4示出采用圖3的運維操作控制方法來控制運維操作行為的一較佳實施例。
[0047]參照圖4和圖2，在該實施例中，運維操作控制方法還包括根據不同協議的運維操作和運維場景來設置黑名單命令的步驟(如步驟S37所示)。例如，黑名單設置單元206根據不同協議的運維操作和運維場景來設置黑名單命令。在一些實施例中，黑名單設置單元206根據SSH文本協議的運維操作設置黑名單列表。在一些實施例中，黑名單設置單元206根據TELNET文本協議的運維操作設置黑名單列表。
[0048]圖3的步驟S33還包括步驟S331和步驟S333。在步驟S331中，命令拼接單元202接收來自運維協議處理模塊10的命令字符，解析該命令字符從而拼接出完整命令。在步驟S333中，命令處理單元204接收來自命令拼接單元202的完整命令，并將該完整命令與黑名單設置單元206中的黑名單命令進行匹配，根據匹配判斷結果輸出該操作標志。
[0049]采用本發明的基于黑名單命令設置的運維操作控制系統及其方法，利用運維協議處理模塊接收來自運維客戶端的終端命令信息，且逐個讀入終端命令信息中的字符從而形成命令字符，然后利用中間處理模塊接收來自運維協議處理模塊的命令字符，判斷該命令字符相對應的命令是否與黑名單列表的命令相匹配，并根據匹配判斷結果輸出操作標志，最后根據所輸出的操作標志予以執行命令或阻斷命令。相比于現有技術，本發明的運維操作控制方法通過加入中間處理模塊進行判斷來自客戶端的命令字符是否與黑名單列表的命令相匹配，可從根源上管控高危運維操作，并且可以實現集中管控。并且，通過中間處理模塊對多臺設備進行黑名單部署，可以實現遠程動態管控，增強了管控的靈活性。本發明的控制方法還可適用于多種文本運維協議，如SSH、TELNET、FTP、SFTP等，并針對不同的協議類型開發對應的中間處理模塊以滿足用戶的多方面需求。
[0050]上文中，參照附圖描述了本發明的【具體實施方式】。但是，本領域中的普通技術人員能夠理解，在不偏離本發明的精神和范圍的情況下，還可以對本發明的【具體實施方式】作各種變更和替換。這些變更和替換都落在本發明權利要求書所限定的范圍內。
【權利要求】
1.一種基于黑名單命令設置的運維操作控制系統，其特征在于，所述運維操作控制系統包括: 運維協議處理模塊，接收來自運維客戶端的終端命令信息，且逐個讀入所述終端命令信息中的字符從而形成命令字符；以及 中間處理模塊，與運維協議處理模塊進行雙向信息傳輸，所述中間處理模塊接收所述命令字符，判斷所述命令字符相對應的命令是否與黑名單列表的命令相匹配，并根據匹配判斷結果輸出操作標志， 其中，所述運維協議處理模塊接收所述操作標志，并根據所述操作標志予以執行命令或阻斷命令。
2.根據權利要求1所述的運維操作控制系統，其特征在于，所述中間處理模塊包括: 黑名單設置單元，用于設置黑名單命令； 命令拼接單元，用于接收來自所述運維協議處理模塊的命令字符，解析所述命令字符從而拼接出完整命令；以及 命令處理單元，用于接收來自所述命令拼接單元的完整命令，并將所述完整命令與所述黑名單命令進行匹配，根據匹配判斷結果輸出所述操作標志。
3.根據權利要求2所述的運維操作控制系統，其特征在于，所述黑名單設置單元根據不同協議的運維操作和運維場景需求來設置黑名單命令。
4.根據權利要求2所述的運維操作控制系統，其特征在于，所述命令拼接單元解析所述命令字符時，剔除其中的命令提示符及終端打印干擾信息從而拼接出所述完整命令。
5.根據權利要求2所述的運維操作控制系統，其特征在于，所述命令拼接單元執行多次拼接操作，直至所述命令字符中出現回車符時結束拼接。
6.根據權利要求2所述的運維操作控制系統，其特征在于，所述命令處理單元在進行匹配判斷時，根據命令中是否包括參數以及參數的不同類型進行分類處理。
7.根據權利要求6所述的運維操作控制系統，其特征在于，所述命令處理單元匹配判斷時的檢查粒度為字符級。
8.一種基于黑名單命令設置的運維操作控制方法，其特征在于，該運維操作控制方法包括以下步驟: (a)接收來自運維客戶端的終端命令信息，且逐個讀入所述終端命令信息中的字符從而形成命令字符； (b)接收所述命令字符，判斷所述命令字符對應的命令是否與黑名單列表的命令相匹配，并根據匹配判斷結果輸出操作標志； (C)根據所述操作標志予以執行命令或阻斷命令。
9.根據權利要求8所述的運維操作控制方法，其特征在于，在上述步驟(b)之前，還包括根據不同協議的運維操作和運維場景需求來設置黑名單命令的步驟。
10.根據權利要求8所述的運維操作控制方法，其特征在于，上述步驟(b)還包括: 接收來自所述運維協議處理模塊的命令字符，解析所述命令字符從而拼接出完整命令；以及 接收來自所述命令拼接單元的完整命令，并將所述完整命令與所述黑名單命令進行匹配，根據匹配判斷結果輸出該操作標志。
【文檔編號】H04L29/08GK103973782SQ201410178295
【公開日】2014年8月6日 申請日期:2014年4月29日 優先權日:2014年4月29日
【發明者】提運強 申請人:上海上訊信息技術股份有限公司