基于云桌面的分布式堡壘研究

邱素貞+蔡大海

摘 要：通過分析現有堡壘機的應用實踐和技術瓶頸，提出了在云桌面環境下的分布式云堡壘技術，闡述了“分布式云堡壘”的原理、設計方法和實際效果，以解決現有堡壘機計算資源消耗過大、延時嚴重的應用問題，并增強訪問過程中的控制能力，細化日志審計粒度。

關鍵詞：云桌面；分布式堡壘；嵌入式代理；計算資源

中圖分類號：TP334.7 文獻標識碼：A DOI：10.15913/j.cnki.kjycx.2017.11.071

為了保障IT資源遠程運維管理方式的安全性，堡壘機技術被大量使用。但現有堡壘機技術存在性能、過程控制命中率、日志審計粒度等諸多問題。筆者通過研究在云桌面環境下的分布式云堡壘技術，可有效解決現有堡壘機計算資源消耗過大、延時嚴重的應用問題，并增強訪問過程控制能力，細化日志審計粒度。

1 堡壘機應用現狀分析

由于網絡規模龐大，遠程運維和管理是最為高效的必然選擇。為了確保遠程運維的安全，目前，大部分企業已構建4A平臺，實現集中賬號管理、授權管理、認證管理和審計管理，并已經得到全面應用和推廣。在日常的運維操作過程中，運維人員都需要通過4A平臺的集中接入通道——堡壘機連接到被管資源中進行維護操作。4A平臺總體架構如圖1所示。

在4A平臺架構下，4A平臺門戶為用戶訪問提供前端Portal服務，堡壘主機則作為后端統一接入通道，為用戶資源訪問提供集中接入通道服務。根據技術形態，堡壘主機分為字符堡壘主機和圖形堡壘主機，相互結合使用。

1.1 字符堡壘主機

字符堡壘主機通過邏輯串行的方式部署在網絡中，對命令行方式的訪問操作（比如通過telnet、SSH等協議）進行協議代理和轉發，對操作指令進行審計和過程控制。

1.2 圖形堡壘主機

通過虛擬化發布技術對圖形化操作工具（比如pl_sql、toad、C/S應用客戶端）進行集中發布，以圖形錄像方式對操作行為進行記錄，同時，還能夠對維護的工具進行限制。

隨著堡壘機的規模使用，在應用、性能、審計等方面存在一些問題，而這些問題一直無法得到有效解決，主要體現在以下5方面：①圖形堡壘提供客戶端工具發布和訪問服務，部分客戶端工具需要消耗大量的CPU和內存，占用服務器資源過大，造成系統訪問和操作響應緩慢。②圖形堡壘以圖形錄像方式對用戶操作行為進行記錄審計，圖形錄像日志不便于檢索和關聯分析，影響審計效果。③字符堡壘主機支持的協議有限，僅支持SSH、TELNET等有限的協議，使用范圍有限，不支持Oracle等私有協議解析和審計。④基于堡壘主機實現的金庫模式存在準確度不高，而且依賴維護工具。⑤隨著云桌面深入推廣，云桌面系統和圖形堡壘形成了2層虛擬化嵌套的結構，產生了操作延時。

鑒于以上問題，需要研究建立一套基于云桌面環境的堡壘主機系統，以解決上述性能、審計等方面的問題。

2 分布式云堡壘設計與實現

2.1 技術原理設計

在運維環境中，運維人員使用的個人終端都是采用的Windows操作系統。隨著云桌面的應用推廣，運維人員均通過虛擬桌面訪問生產網絡。

為了解決云桌面系統和圖形堡壘所形成的2層虛擬化嵌套結構所產生的操作延時問題，可以通過直接對云桌面操作系統進行控制，以減少虛擬化次數，同時，通過對操作系統底層驅動對用戶的維護和操作過程進行監控，通過協議分析技術還原操作的整個過程，可達到精確管控和字符審計的目的。

通過在虛擬桌面模板中內嵌分布式云堡壘模塊，可實現對虛擬桌面的應用授權、訪問控制和操作審計，減少圖像堡壘機虛擬化發布所造成的延時，并通過操作系統底層驅動監控機制，提升審計能力，降低傳統堡壘機單點故障風險。

2.2 分布式云堡壘架構設計

2.2.1 分布式云堡壘采用分布式架構

由云桌面操作系統嵌入式代理、云堡壘服務引擎和管理中心組成。分布式云堡壘體系架構圖如圖2所示。

2.2.2 云桌面操作系統嵌入式代理

云桌面操作系統或者之上部署的客戶端工具所產生的所有操作行為都要通過底層驅動轉化為網絡通信協議，云堡壘嵌入式代理部署在操作系統層通過SPI技術捕獲操作系統的底層驅動及通信協議，并將這些協議轉發給服務引擎進行深入分析，從而判斷是否是違規操作。云堡壘嵌入式代理以底層驅動方式存在，對使用人員無感知，并將與堡壘主機的交互過程，比如越權操作的阻斷提醒等通過驅動技術與Windows操作系統融合，以操作系統提醒的方式展現給運維人員，提高了系統的親和度和管控能力。

2.2.3 服務引擎

服務引擎是“分布式云堡壘”的核心功能模塊，通過協議捕獲、協議分析、策略匹配、協議重組、協議轉發、執行反饋等功能對嵌入式代理轉發的協議進行深入分析，實現基于策略的管控，并將分析的結果反饋給嵌入式代理。

2.2.4 管理中心

負責對“分布式云堡壘”的日常運行進行配置管理和策略定義，在4A平臺中進行統一管理。

2.3 分布式云堡壘技術設計

“分布式云堡壘”的具體設計主要包括代理層、服務引擎層和管理層。

2.3.1 代理層

代理層是“分布式云堡壘”的核心，主要包括嵌入式代理、協議分析、身份認證、訪問控制和日志審計組件。嵌入式代理采用SPI技術，當云桌面本地啟動客戶端調用操作系統API接口時，嵌入式代理中的數據接收模塊就會主動阻斷客戶端與API的通信，將數據流指向數據發送模塊，發送給上層的協議分析模塊。同時，可提供對傳統協議解析信息（源IP地址、端口號、從賬號、操作指令）的擴展，增加了主賬號、終端IP地址、應用程序等信息，以實現事中的訪問控制和日志關聯審計。

2.3.2 服務層

服務層為代理層提供協議解釋、策略服務和集中化日志存儲服務。協議解析主要包括預存儲和匹配步驟。預存儲是將網絡協議的特征字符信息存儲到內容存儲器中，將存儲器中的特征字符信息相對應的返回值存儲在隨機存儲器中。匹配步驟是將待識別的數據包提取包頭數據，將包頭數據與內容存儲器中的特征字符信息進行匹配，確定與待識別數據包相匹配的特征字符信息后，從隨機存儲器中獲取相對應的返回值，根據所確定的特征字符信息和相對應的返回值生成網絡協議識別結果。通過統計分析和協議解析的結果形成統計分析日志存入數據庫中。策略服務則為代理層提供用戶身份鑒別、訪問權限控制、日志審計等策略更新服務。

2.3.3 管理層

管理層主要對云堡壘相關的用戶賬號認證、授權、審計等提供統一管理以及版本統一發布功能。

3 分布式云堡壘應用效果

分布式云堡壘上線后，對云桌面終端通信進行隔離，所有到生產資源的通信訪問全部由通信網關代理完成。這種通信全代理方式，在滿足當前業務功能（防繞行、審計、金庫）的基礎上，為將來拓展更多的通信相關的業務功能奠定了基礎。

隨著分布式云堡壘技術在云桌面環境內的推廣應用，取得了以下應用效果：①將堡壘嵌入到云桌面操作系統內，減少了虛擬化發布環節所消耗的計算資源，大大減少了資源訪問延時；②拓展了協議支持范圍，同時，能對通信的數據進行上行和下行的雙向管控；③在操作系統協議層進行監控，提高了現有金庫模式的命中率，提升了管控的安全水平；④解決了虛擬化發布只能記錄圖形日志，不方便檢索，也不能進行深度關聯分析；⑤將原有字符堡壘主機、圖形堡壘主機的功能整合，方便部署和管理；⑥能更好地適用于未來桌面云化的發展趨勢，同時，也能夠靈活地部署在現有網絡架構中。

4 結束語

本文分析了現有堡壘機技術在運維中所存在的問題，并結合云桌面技術推廣應用，設計了在云桌面環境下的分布式云堡壘技術架構，有效減少了虛擬發布所需的計算資源消耗，降低了訪問延時出現的可用性，并提升了日志審計能力，降低了網絡信息安全風險。

參考文獻

[1]吳耀芳，來學嘉.基于應用代理的運維堡壘機研究[J].微型電腦應用，2013，29（08）.

[2]趙瑞霞，王會平.構建堡壘主機抵御網絡攻擊[J].網絡安全技術與應用，2010（08）.

[3]鄧小榕，陳龍，王國胤.安全審計數據的綜合審計分析方法[J].重慶郵電學院學報（自然科學版），2005，17（05）.

〔編輯：張思楠〕

文章編號：2095-6835（2017）11-0073-02