國產(chǎn)平臺外圍設(shè)備管控系統(tǒng)研究與設(shè)計

◆趙 儉

（解放軍信息工程大學(xué) 河南 450000）

國產(chǎn)平臺外圍設(shè)備管控系統(tǒng)研究與設(shè)計

◆趙 儉

（解放軍信息工程大學(xué) 河南 450000）

本文針對國產(chǎn)平臺外圍設(shè)備的管控需求，研究設(shè)計了一種基于管控中心和管控代理的外圍設(shè)備集中式管控方案，實現(xiàn)管理域內(nèi)外圍設(shè)備的集中注冊、信息更新、設(shè)備注銷等，并依據(jù)管控策略實施只讀、讀寫和禁止使用等管控操作。該方案基于設(shè)備的硬件序列號作為設(shè)備的唯一標(biāo)識，經(jīng)實驗驗證該管控系統(tǒng)可有效實施外圍設(shè)備的精細(xì)化管控，提高國產(chǎn)平臺的外圍設(shè)備安全管理水平。

國產(chǎn)平臺；外圍設(shè)備；管控中心；管控代理；集中管控

0 引言

國內(nèi)外各種信息安全事件頻發(fā)使得作為網(wǎng)絡(luò)空間安全基礎(chǔ)的計算機平臺安全日益受到人們的重視，大量使用國外處理器芯片和操作系統(tǒng)構(gòu)建的計算機平臺的安全性無法得到保證，唯有研發(fā)國產(chǎn)軟硬件計算機平臺才能實現(xiàn)真正意義上的自主可控。目前廣泛應(yīng)用于通用平臺的外圍設(shè)備管控技術(shù)主要采用設(shè)備安全標(biāo)識和計算機端口封控的形式實施設(shè)備訪問控制，如移動硬盤、優(yōu)盤等具有存儲功能的外圍設(shè)備通過寫入特定標(biāo)識的方式對設(shè)備進行標(biāo)識，主機駐留標(biāo)識檢測軟件，插入設(shè)備后檢測到安全標(biāo)識則允許設(shè)備接入計算機，否則禁止訪問；或者直接封控計算機端口，達成設(shè)備管控的目的。這種采用設(shè)備安全標(biāo)識和封閉計算機端口的形式實施設(shè)備訪問控制方案，一方面需要對設(shè)備進行重新改造向設(shè)備寫入標(biāo)識信息，這增加管控開銷且易導(dǎo)致設(shè)備損毀；另一方面對于非存儲類設(shè)備因無法寫入標(biāo)識信息，只能通過端口控制，管控起來不夠靈活，要么對所有使用該端口的設(shè)備完全開放，要么全部封閉，不能針對某個特定設(shè)備實施精細(xì)化管控。

王義安等針對Windows平臺下外圍存儲設(shè)備的信息監(jiān)控需求，研究設(shè)計了利用文件過濾驅(qū)動技術(shù)針對單主機的外圍存儲設(shè)備管控策略進行設(shè)置和監(jiān)控訪問的外圍存儲設(shè)備監(jiān)控系統(tǒng)[1]；陳松政等提出一種按照角色、用戶組或用戶等不同粒度這一用戶身份標(biāo)識來控制外部設(shè)備訪問的方法，可以滿足不同單位或環(huán)境的多樣化需求，實現(xiàn)對數(shù)種外設(shè)的細(xì)粒度安全封控[2]；廖洪其等針對移動存儲設(shè)備的唯一性標(biāo)識管理技術(shù)進行研究，提出了一種軟硬件結(jié)合的基于特殊命令請求的唯一性表示方法[3]；熊聰聰?shù)妊芯刻岢鐾ㄟ^增加一個嵌入式系統(tǒng)平臺實現(xiàn)主機USB存儲設(shè)備的訪問控制方案[4]；申佳紅基于C/S模式設(shè)計與實現(xiàn)了一個移動儲存設(shè)備監(jiān)控平臺[5]；楊思燕通過截獲對USB可移動存儲設(shè)備內(nèi)文件操作的IRP，依據(jù)可控的安全進程規(guī)則與防拷貝功能設(shè)計開發(fā)了一款USB可移動存儲設(shè)備監(jiān)控軟件[6]；程光明等針對小衛(wèi)星星載計算機及其外圍設(shè)備管控的可靠性和性能需求，采用多任務(wù)并行運行機制的實時嵌入式操作系統(tǒng)，以提高了系統(tǒng)控制精度[7]；高群構(gòu)建了一個端口控制系統(tǒng)，該系統(tǒng)利用計算機管理策略集中管理局域網(wǎng)內(nèi)的計算機外設(shè)端口，達到內(nèi)網(wǎng)信息安全的目的[8]；王茹基于嵌入式系統(tǒng)和光網(wǎng)絡(luò)技術(shù)給出一種遠程控制IO端口數(shù)據(jù)雙向傳輸?shù)姆桨福瑢崿F(xiàn)基于光纖的遠程IO端口控制[9]；余坤杰基于GPRS技術(shù)實際實現(xiàn)了一個遠程I/O控制系統(tǒng)[10]，國外論文和專利涉及很多外設(shè)端口控制方法和技術(shù)的研究[11-15]，這些通用主機外圍設(shè)備標(biāo)識及管控技術(shù)方案的研究設(shè)計和系統(tǒng)研發(fā)為國產(chǎn)平臺設(shè)備管控提供了很好的借鑒。

為國產(chǎn)平臺的外圍設(shè)備提供一套安全可靠的管控方案，以確保只有合法注冊的外圍設(shè)備才能在指定管控域內(nèi)使用，并進行日志記錄，以大大降低設(shè)備濫用所造成的信息泄露隱患；同時一旦發(fā)生安全事件，可通過日志審計很方便地進行調(diào)查取證，提高國產(chǎn)平臺的外圍設(shè)備安全管理水平。因此，研究國產(chǎn)平臺外圍設(shè)備管控方案以從技術(shù)上解決外圍設(shè)備不受控制地隨意接入計算機所帶來的各種安全威脅具有重要的現(xiàn)實意義。

1 系統(tǒng)方案和功能設(shè)計

1.1 系統(tǒng)方案

國產(chǎn)平臺外圍設(shè)備管控方案系統(tǒng)架構(gòu)如圖1所示。系統(tǒng)采用中心式管控方法，具體實施部件包括管控中心和管控代理兩部分，平臺外圍設(shè)備管控管理員工作于管控中心，在管控中心進行設(shè)備注冊、設(shè)備信息更新、設(shè)備注銷及設(shè)備啟閉等管控操作，管控代理依據(jù)管控中心的管控指令解析執(zhí)行。

圖1 國產(chǎn)平臺外圍設(shè)備管控方案系統(tǒng)架構(gòu)圖

國產(chǎn)平臺外圍設(shè)備管控方案的基本思想可以概括為：通過設(shè)置設(shè)備管控中心，在該中心進行設(shè)備注冊以建立被管計算機外圍設(shè)備白名單，并建立與之對應(yīng)的設(shè)備管控策略（數(shù)據(jù)雙向/單向傳輸、啟/閉等），將該白名單及管控策略發(fā)布到各被管計算機。被管計算機上駐留的管控代理即可依據(jù)該白名單和管控策略實施其外圍設(shè)備的管控操作，并將管控結(jié)果實時上報管控中心。在管控中心建立設(shè)備管控日志，以備進行設(shè)備管控安全審計。管控中心的設(shè)備注冊信息可根據(jù)需要及時進行更新、刪除，并與各管控代理進行設(shè)備信息同步。管控中心可依據(jù)設(shè)備管控策略發(fā)起指定設(shè)備的授啟、關(guān)閉等操作。

依據(jù)此設(shè)備管控方案只有在管控中心合法注冊過的設(shè)備才能在指定的被管計算機平臺依據(jù)其管控策略明確的使用方法進行操作使用。管控中心設(shè)備管控模塊與受控平臺之間的信息交互流程如圖2所示。

圖2 設(shè)備管理模塊與平臺I/O模塊之間的信息交互圖

管理中心對于域內(nèi)受控平臺外圍I/O設(shè)備管控操作主要通過采用命令報文的形式進行發(fā)送，管理代理對管理報文解析后的管理命令執(zhí)行相應(yīng)的管控操作并返回管理結(jié)果信息。設(shè)備注冊和刪除在管理中心統(tǒng)一進行，任何未注冊或已刪除的設(shè)備無法在管理域內(nèi)的計算平臺上操作使用。

1.2 功能分析

國產(chǎn)平臺外圍設(shè)備管控系統(tǒng)方案設(shè)計的管控中心和管控代理的功能具體分析如下：

（1）管控中心

管控中心由系統(tǒng)平臺外圍設(shè)備管控管理員操作使用，以軟件形式部署于管控中心主機。管控中心包括了設(shè)備管控模塊（設(shè)備注冊、設(shè)備信息更新、設(shè)備注銷、信息編碼等）、數(shù)據(jù)收發(fā)模塊和管控日志、設(shè)備注冊/管控策略等數(shù)據(jù)庫。其主要功能包括管控中心所轄管控域內(nèi)計算平臺外圍設(shè)備的注冊、信息更新和注銷等基本管理操作，并可向指定設(shè)備發(fā)出啟閉控制指令，管控操作記錄存入日志數(shù)據(jù)庫形成管控日志，注冊信息及其管控策略（只讀、讀寫、禁止等）存入相應(yīng)的數(shù)據(jù)庫。

系統(tǒng)管控的平臺外圍設(shè)備采用先注冊再使用的方式進行集中管理。所有需要在系統(tǒng)管控域內(nèi)計算平臺上使用的外圍設(shè)備首先必須在管控中心進行登記注冊，填寫設(shè)備名稱、類別、使用單位、使用人員、設(shè)備物理標(biāo)識等信息，將該信息存入設(shè)備注冊信息數(shù)據(jù)庫，將設(shè)備的管控策略存入其對應(yīng)的策略庫，將設(shè)備注冊日志記入設(shè)備管控日志庫，同時將該設(shè)備的注冊信息經(jīng)過信息編碼模塊編碼后經(jīng)由數(shù)據(jù)收發(fā)模塊發(fā)送到管控域內(nèi)各計算平臺中駐留的設(shè)備管控代理。

當(dāng)已注冊設(shè)備信息發(fā)生變化如變更使用人員等時則可在管控中心進行設(shè)備信息更新，從設(shè)備注冊信息庫中調(diào)出該設(shè)備注冊信息后進行編輯更新，完成后重新存入數(shù)據(jù)庫，同時將信息更新日志記入設(shè)備管控日志庫，并將該設(shè)備的更新信息經(jīng)過信息編碼模塊編碼后經(jīng)由數(shù)據(jù)收發(fā)模塊發(fā)送到管控域內(nèi)各計算平臺中駐留的設(shè)備管控代理。

若設(shè)備損毀或其它原因?qū)е略O(shè)備已無法使用，則可進行設(shè)備注銷操作，在設(shè)備信息庫中將該設(shè)備的信息刪除，同時將設(shè)備注銷信息記入設(shè)備管控日志庫，并將該設(shè)備的注銷信息經(jīng)過信息編碼模塊編碼后經(jīng)由數(shù)據(jù)收發(fā)模塊發(fā)送到管控域內(nèi)各計算平臺中駐留的設(shè)備管控代理，設(shè)備管控代理將本地的該設(shè)備注冊信息刪除。

若管控中心需要指定某臺設(shè)備啟動或停止工作，可在管控中心由設(shè)備啟閉模塊發(fā)出管控指令，經(jīng)由信息編碼模塊編碼后經(jīng)由數(shù)據(jù)收發(fā)模塊發(fā)送到管控域內(nèi)各計算平臺中駐留的設(shè)備管控代理，同時接收管控代理端返回的設(shè)備管控狀態(tài)信息存入設(shè)備管控日志庫，以供以后將陸續(xù)開展的設(shè)備管控日志審計。

（2）管控代理

管控代理以軟件形式駐留于管控域內(nèi)受控計算平臺，用于同步管控中心的設(shè)備注冊、信息更新、注銷、設(shè)備管控策略等信息，并接收管控中心的管控指令，實施相應(yīng)的管控操作，管控代理包括了設(shè)備檢測模塊、代理控制模塊（控制單元、信息解碼、標(biāo)識匹配等）、數(shù)據(jù)收發(fā)模塊、執(zhí)行模塊以及設(shè)備注冊/管控策略數(shù)據(jù)庫。

管控代理的工作過程描述如下：

數(shù)據(jù)收發(fā)模塊接收到管控中心的數(shù)據(jù)指令信息后交由代理控制模塊，由其中的信息解碼模塊完成指令/數(shù)據(jù)的解析，依據(jù)解析結(jié)果實施后續(xù)的管控操作。

若是設(shè)備注冊、信息更新、設(shè)備注銷等信息直接將解析后對應(yīng)的設(shè)備信息及其管控策略在其本地設(shè)備注冊信息/管控策略庫中更新即可（插入、更新或刪除）。

若是設(shè)備啟/閉命令，則由控制單元向執(zhí)行模塊發(fā)出啟/閉命令，由執(zhí)行模塊實施具體的啟閉操作并返回執(zhí)行結(jié)果狀態(tài)信息，該狀態(tài)信息經(jīng)數(shù)據(jù)收發(fā)模塊返回給管控中心。

一般情況下，當(dāng)計算平臺有設(shè)備接入時，其中駐留的管控代理開始工作，由設(shè)備檢測模塊進行檢測以獲取該設(shè)備的物理標(biāo)識，將該物理標(biāo)識與本地設(shè)備注冊信息庫中設(shè)備的標(biāo)識部分進行標(biāo)識比對匹配，若能匹配上則表示該設(shè)備是注冊過的合法設(shè)備，按照其對應(yīng)的管控策略實施管控操作，若不匹配，則說明該設(shè)備未注冊，按照管控策略，禁止該設(shè)備在計算平臺上使用。

2 外圍設(shè)備管控系統(tǒng)實現(xiàn)

依據(jù)系統(tǒng)方案和功能設(shè)計要求基于國產(chǎn)申威處理器和中標(biāo)麒麟操作系統(tǒng)平臺，在QT環(huán)境下采用C/S模式開發(fā)了一套外圍設(shè)備管控系統(tǒng)。要實現(xiàn)國產(chǎn)平臺外圍設(shè)備的管控需要六大步，具體實現(xiàn)如下：

2.1 設(shè)備物理標(biāo)識獲取

設(shè)備物理標(biāo)識獲取是設(shè)備管控的準(zhǔn)備環(huán)節(jié)。設(shè)備物理標(biāo)識獲取的核心任務(wù)是獲取接入計算平臺的設(shè)備唯一性的物理標(biāo)識，以作為個性化管控設(shè)備的依據(jù)，進而在管控中心進行設(shè)備注冊時將該物理標(biāo)識作為設(shè)備注冊信息主鍵存入設(shè)備注冊信息數(shù)據(jù)庫。

2.2 設(shè)備管控策略制定

設(shè)備管控策略是對設(shè)備實施管控的依據(jù)。設(shè)備管控策略制定的主要任務(wù)就是針對具體的設(shè)備明確其允許操作的類型（只讀、讀寫、禁止操作等），進而在管控中心進行設(shè)備注冊時將該設(shè)備管控策略存入設(shè)備管控策略數(shù)據(jù)庫。

2.3 系統(tǒng)部署

在管理中心主機部署管控中心，以進行設(shè)備登記注冊、信息更新、注銷和啟閉等設(shè)備管控操作；在管控域內(nèi)各計算平臺部署管控代理，以接收管控中心的管控命令實施管控操作。

2.4 設(shè)備登記注冊、信息更新、注銷等設(shè)備管理

設(shè)備登記注冊是國產(chǎn)平臺設(shè)備管控的基礎(chǔ)，依據(jù)先注冊再使用的思想，所有需要使用的外圍設(shè)備必須在管控中心先行注冊登記，建立設(shè)備白名單，并將設(shè)備注冊和管控策略信息存儲于設(shè)備注冊信息和管控策略信息庫，該信息庫同步到各管控代理；對于設(shè)備信息更新、注銷等管理過程和設(shè)備注冊無異，需要同時將設(shè)備信息與管控代理端的設(shè)備注冊、管控策略信息庫同步。

具體步驟如下：

（1）在設(shè)備注冊模塊將設(shè)備物理標(biāo)識、管控策略等信息登記注冊，分別存入設(shè)備注冊信息庫、管控策略信息庫，并將設(shè)備管理信息存入設(shè)備管控日志數(shù)據(jù)庫。

（2）將設(shè)備注冊信息庫、管控策略信息庫更新的內(nèi)容進行信息編碼。

（3）信息編碼后的設(shè)備信息經(jīng)由數(shù)據(jù)收發(fā)模塊發(fā)送到管控域內(nèi)所有計算平臺的管控代理。

（4）管控代理的數(shù)據(jù)收發(fā)模塊接收到信息后由信息解碼模塊進行解碼。

（5）解碼后獲取的設(shè)備信息存入本地設(shè)備注冊信息庫和管控策略庫。

2.5 設(shè)備啟閉等設(shè)備控制操作

設(shè)備啟閉等設(shè)備控制操作是國產(chǎn)平臺設(shè)備控制的具體體現(xiàn)。具體步驟如下：

（1）管控中心選擇指定控制設(shè)備并發(fā)出設(shè)備啟/閉命令。

（2）信息編碼模塊將該啟閉命令進行編碼。

（3）編碼完成后的設(shè)備控制命令經(jīng)由數(shù)據(jù)收發(fā)模塊發(fā)送到指定的計算平臺管控代理。

（4）管控代理的數(shù)據(jù)收發(fā)模塊接收到信息后由信息解碼模塊進行解碼。

（5）依據(jù)解碼后獲取的設(shè)備控制命令信息由設(shè)備控制單元向執(zhí)行模塊發(fā)出設(shè)備控制操作。

（6）執(zhí)行模塊進行設(shè)備控制并將設(shè)備控制結(jié)果狀態(tài)信息經(jīng)數(shù)據(jù)收發(fā)模塊返回給管控中心。

（7）管控中心將該設(shè)備的管控狀態(tài)信息存入管控日志數(shù)據(jù)庫。

2.6 計算平臺隨機接入外設(shè)的管控

計算平臺隨機接入外設(shè)的管控是國產(chǎn)平臺設(shè)備管控系統(tǒng)的管控中心和管控代理部署完成后進行設(shè)備自主管控的運行模式。具體管控步驟如下：

（1）將設(shè)備接入駐留管控代理的被管計算平臺。

（2）管控代理中的設(shè)備檢測模塊進行設(shè)備檢測獲取其唯一性的物理標(biāo)識。

（3）管控代理中的標(biāo)識匹配模塊依據(jù)設(shè)備檢測模塊獲取的設(shè)備物理標(biāo)識與本機設(shè)備注冊信息數(shù)據(jù)庫進行匹配（查找是否為白名單），若能匹配則表示該設(shè)備是合法注冊的設(shè)備，到其設(shè)備管控策略庫檢索其管控策略后轉(zhuǎn)步驟○4，否則禁止設(shè)備操作（即策略為禁止）。

（4）依據(jù)該管控策略向執(zhí)行模塊發(fā)出相應(yīng)的設(shè)備控制操作。

（5）執(zhí)行模塊進行設(shè)備控制并將設(shè)備控制結(jié)果狀態(tài)信息經(jīng)數(shù)據(jù)收發(fā)模塊返回給管控中心。

（6）管控中心將該設(shè)備的管控狀態(tài)信息存入管控日志數(shù)據(jù)庫。

3 系統(tǒng)分析

國產(chǎn)平臺外圍設(shè)備管控系統(tǒng)采用中心式管控方式，管控域內(nèi)計算平臺外圍設(shè)備全部受管控中心實時掌控，具體來說有以下優(yōu)點：

（1）基于先注冊再使用的思想，建立設(shè)備白名單，將設(shè)備注冊和管控策略信息存儲于設(shè)備注冊信息和管控策略信息庫，并將信息庫同步到各管控代理，實現(xiàn)簡單，安全可靠。

（2）利用設(shè)備物理標(biāo)識作為設(shè)備唯一性標(biāo)識，管控代理駐留的計算平臺檢測到接入外圍設(shè)備后獲取設(shè)備物理標(biāo)識并將其與管控中心同步的設(shè)備注冊管控策略庫比對，以確定其是否為合法注冊的設(shè)備及其管控策略，按管控策略實施管控操作，并向管控中心返回狀態(tài)信息，因此，可以針對各個設(shè)備制定其個性化的管控策略，達到精細(xì)化管控的目的。

（3）現(xiàn)有商用平臺的設(shè)備管控技術(shù)主要采用設(shè)備安全標(biāo)識和計算機端口封控的形式實施設(shè)備訪問控制，該方法需要對設(shè)備進行重新改造向設(shè)備寫入標(biāo)識信息，這增加管控開銷且易導(dǎo)致設(shè)備損毀，另外，對于非存儲類設(shè)備因無法寫入標(biāo)識信息，只能通過端口控制，管控起來不夠靈活，要么對所有使用該端口的設(shè)備完全開放，要么全部封閉，系統(tǒng)管控方案對被管控的設(shè)備無需寫入標(biāo)識信息，可直接采購?fù)ㄓ猛鈬O(shè)備不加任何改造地使用，大大降系統(tǒng)部署成本。

4 結(jié)語

計算平臺外圍設(shè)備的管控是信息安全管理的重要組成部分，本文針對國產(chǎn)計算平臺外圍設(shè)備管控的實際應(yīng)用需求，在分析目前通用計算平臺設(shè)備管控方案的基礎(chǔ)上，提出了一種基于管控中心和管控代理方式的外圍設(shè)備管控方案，并予以實現(xiàn)；對系統(tǒng)各功能模塊及工作流程進行了詳細(xì)介紹，并分析了系統(tǒng)的特點。經(jīng)測試，該系統(tǒng)能夠?qū)崿F(xiàn)外圍設(shè)備的精細(xì)化管控，確保合法注冊設(shè)備的按需管控并有效阻止非法設(shè)備的接入，保障了計算平臺的安全，對國產(chǎn)平臺外圍設(shè)備的管控研究具有一定的參考價值。

[1]王義安，吳中偉，蔡圣聞，謝俊元.Windows平臺下外圍存儲設(shè)備信息監(jiān)控[J].計算機應(yīng)用研究，2007.

[2]陳松政，魏立峰.基于用戶身份標(biāo)識的外設(shè)訪問控制方法[J].計算機工程與科學(xué)，2015.

[3]廖洪其，凌捷，郝彥軍，柯鋼.USB移動存儲設(shè)備的惟一性識別方法研究[J].計算機工程與設(shè)計，2010.

[4]熊聰聰，汪鵬.一種新型的USB存儲設(shè)備訪問控制方案[J].自動化儀表，2011.

[5]申佳紅.移動存儲設(shè)備監(jiān)控平臺的設(shè)計與實現(xiàn)[D].成都：電子科技大學(xué)，2014.

[6]楊思燕.USB 可移動存儲設(shè)備監(jiān)控軟件研究與實現(xiàn).計算機技術(shù)與發(fā)展[J].2013.

[7]程光明，廖明宏，吳翔虎.小衛(wèi)星星載計算機及其外圍設(shè)備的管理[J].哈爾濱工業(yè)大學(xué)學(xué)報，2002.

[8]高群.端口控制系統(tǒng)的研究與實現(xiàn)[D].武漢：華中科技大學(xué)，2007.

[9]王茹.基于光纖的遠程IO端口控制系統(tǒng)[J].電子設(shè)計工程，2014.

[10]余坤杰.一種基于GPRS無線通信的遠程I/O控制終端實現(xiàn)[J].電視技術(shù)，2006.

[11]Wu L，Su K，Cai S，et al.An I/O Efficient Approach for Detecting All Accepting Cycles[J].IEEE Transactions on Software Engineering，2015.

[12]Betti E，Bak S,Pellizzoni R,et al.Real-Time I/O Ma nagement System with COTS Peripherals[J] .Compu-ters IEE E Transactions on，2013.

[13]Bak S,Betti E,Pellizzoni R,et al.Real-Time Control o f I/O COTS Peripherals for Embedded Systems[C] //2009 30 th IEEE Real-Time Systems Symposium.IEEECompu-ter Soc iety,2009.

[14]Masaomi M.I/O CONTROL SYSTEM,I/O CONT ROL METHOD,AND COMPUTER SYSTEM, WO/2015/0 79482[P].2015.

[15]Iba T,Toyohara Y,Kubota N，et al.COMPUTER AN D COMPUTER I/O CONTROL METHOD,WO/2015/114 745[P].2015.