基于群集技術的數據集中管控系統*

李本剛

（江蘇自動化研究所 連云港 222061）

1 引言

近年來，隨著計算機和網絡技術的高速發展，不管是黨政機關、還是各行各業，我國從國防建設、公共服務、科研生產到日常生活，均離不開計算機和網絡的支持。與此同時，承載這些服務的終端面臨未知邊界、虛假認證、缺少可控等諸多安全風險，危害信息安全的事件也不斷發生［1］。全球最具權威的IT研究與顧問咨詢公司Gartner曾指出，80%的安全攻擊、數據外泄及系統宕機事件均與前端計算機或是端點用戶相關，計算機（終端）的運行安全成為了最難以解決的信息化痛點。

2 當前面臨的主要問題

隨著計算機和網絡的普及，針對計算機的網絡攻擊也越來越頻繁，比如近期出現的incasefrmat計算機超級蠕蟲病毒，再比如早先年Tellyouthepass勒索病毒的泛濫［2］，再到利用EternalBlue（永恒之藍）進行漏洞攻擊等，均有一個顯著共性特點，即利用系統自身的漏洞或后門，在系統啟動過程中植入和攻擊。目前的解決思路主要是在操作系統上疊加應用級的管控軟件去解決問題，包括沙箱、還原軟件、主機審計、三合一［3］、應用防火墻、防病毒軟件等。主流的信息安全體系架構如圖1所示［4］。

圖1 信息安全體系框架圖

應用級的管控軟件都有一個共同的問題，就是依賴系統提供的權限和接口實現惡意程序和代碼的執行、寫入限制。如果操作系統自身的漏洞或是權限、接口、中斷被劫持接管，則這些管控不攻自破，并且這類應用級管控工具并無針對操作系統和應用系統的集群部署、災備、更新功能。且主流操作系統的代碼均掌握在國外，代碼的安全性未知，是否有后門和木馬無從確定，一旦出現伊朗震網病毒這種安全事件，就會面臨無法承受之痛［5］。

當前國家積極開展自主可控建設，但目前計算機系統自主可控技術還處于發展階段，存在普遍的碎片化、兼容性和不穩定性問題，原有很多Wintel體系的運維技術手段也并不適用［6］。從架構層面去解決龐大的計算機群的安全管理運維難題［7］，采用平臺級的集中管理型技術，從底層把國內外操作系統托舉起來、安全地管理起來，實現知識集中，信息加密存儲、傳輸、處理，并提供授權的安全可控的內部操作應用環境是一條可行的路線。

3 技術路線及實現方法

本研究從底層入手，基于服務器對用戶終端進行集中管理的C/S架構，終端采用分布式本地運算及可信計算的算法模型，采用專用協議，實現從服務器到終端、用戶終端操作系統和計算機硬件之間構建一個閉環安全層。在不改變現有運算模式的前提下、對運行環境實現可信任的安全可控［8］。采用群集文件系統對用戶的初始運行環境數據進行統一的后端標準化構建和管理，采用數據指針技術為每個用戶分配一個可信任的運行計算環境，構建一種特有的安全計算架構，透過專用磁盤扇區網絡傳輸協議將運行環境以本地磁盤扇區的方式緩存存儲在用戶硬盤上，針對扇區的數據指針技術可以有效防止數據篡改和訪問攻擊，確保磁盤I/O訪問的邏輯安全性和運行環境的可恢復性，從而建立數據動靜態安全體系和運維保障體系［9］。

3.1 基于群集文件和數據指針系統的集中管理技術

本研究設計了一種專用的群集磁盤扇區文件系統，以標準的磁盤扇區塊為存儲單位，在服務器端構建用戶終端需要的運行環境，包含文件系統、操作系統、驅動庫、應用軟件及配置。這些存儲單位采用數據指針架構進行管理，數據指針負責數據的組織調度。

當終端要運行計算環境時，后端服務器向其推送含有對應專有文件的五個庫表的數據指針，以數據指針為索引，終端將磁盤扇區數據有機組織起來形成完整的運行環境支撐。該群集文件系統和數據指針技術保證了在多終端同時運行的模式下，共享型的數據只讀，每臺終端的個性化數據單獨寫入存放。在使用過程中，所產生的數據變化造成的運行數據、用戶動態數據和程序修改等都受數據指針系統全程控制。

3.2 動態和靜態數據安全設計

本研究設計的磁盤扇區傳輸協議是一套計算機硬盤扇區數據管理與傳輸服務供應協議，是系統平臺的通訊基礎，位于客戶端操作系統之下，可直接對客戶端的硬盤扇區數據進行管理和控制，位于OSI 7層網絡模式中的數據鏈路層（在需要的時候也可轉換為網絡層協議），能夠將各種服務套件以扇區緩存的方式動態架構到終端的硬盤內，內含多組協議指令，可用于執行客戶端硬盤扇區數據的存取與管理工作（例如安裝、刪除、存儲空間調整、復制、存取管理、桌面環境整合）。

數據在動態使用和傳輸過程中，在數據指針的控制下呈現。一旦服務器與終端的安全進程被打斷，將馬上被服務器所發現，服務器的群集文件系統和磁盤扇區傳輸協議將中止數據的組織和調度，從而使得數據無法被非法獲取［10］。同樣的原理，終端如果與服務器端未建立合法的通訊、獲取授權的數據指針，則終端的扇區數據缺乏組織與調度，同樣無法恢復和呈現成可訪問的明文信息。則終端在未啟動情況下的靜態數據安全防護問題也得到了解決。

圖2 基于微系統認證的數據安全策略

3.3 以本地緩存技術為基礎的運維保障技術

本研究還開發了磁盤本地緩存技術（Local Cache），除了解決前后端運行環境的高效運維外，還從本質上解決可信終端的運行計算速度問題、對網絡的帶寬占用問題以及對服務器要求高等問題。

通過此一架構，用戶終端無需安裝部署任何系統，只需開機即可從服務器以隨需的方式獲取運行環境，并以磁盤本地緩存技術（Local Cache）將本次獲取的扇區數據同步至本地物理磁盤保存、服務器的數據指針記錄這一操作；用戶重復運行系統或應用，則會在服務器數據指針的指引下將I/O訪問指向本地磁盤的緩存數據。用戶運行時產生的寫入數據則一律在數據指針的指引下以磁盤本地緩存技術（Local Cache）寫入本地磁盤，服務器只需采用數據指針同步記錄操作索引，用戶后期調用這些數據時，數據指針負責將其涉及到的前后端數據組織起來供用戶運行環境使用。用戶在運行環境時采用本地化運算模式，以上的機制徹底解決用戶對服務器和網絡的重復性占用和I/O性能要求。

同樣，此種架構可確保用戶終端獲得災難恢復的能力，一旦系統損壞或是被篡改，則服務器的數據指針就可糾正此一錯誤，敏捷而快速地將磁盤本地緩存恢復到標準可用狀態［11］，確保業務連續性。

4 功能價值

除了能對現有的國外Wintel系統的支持，基于群集技術的數據集中管控還能在自主可控計算機平臺上完成兼容部署實施，并在確保合規性的前提下穩定運行、實現智能化運維和安全保障。

隨著自主可控產業的不斷發展，相關軟硬件設備也在不斷的完善和升級，但依然面臨軟件生態不健全和運行穩定性欠佳的問題，據不完全統計目前自主可控硬件設備的良品率不到80%，終端存在一定比例的異常重啟、藍屏、死機等故障，而發展所需的不斷迭代，也導致了國產系統和應用都要不斷升級更新的問題，對運維體系更是帶來了巨大的壓力。國內相關機構轉換思路，顛覆以往通過應用層管控打造安全和運維體系架構的模式，繼而采用基于群集文件系統的新技術，實現了對原有Wintel系統和國產化系統以下幾個管控目標。

1）自主可控：實現新型的、跨平臺的、完全自主可控的、從底層對操作系統及數據的進行支撐和安全管理的計算機軟硬件支撐平臺。在實現信息化建設的安全目標、降低方案風險的前提下，抵御信息安全攻擊，確保系統穩定運行。

2）安全保密：從底層接管對操作系統和應用的管理，建立獨立的數據防護邊界，無論是系統在運行時、還是關機時外接端口均可封堵，即使設備及存儲介質被竊，也可做到數據無法外泄；還可提供安全接口，與上層的安全工具結合，變孤島式的工具管理為聯動安全，打造更加安全的信息安全體系。

3）運行保障：此種系統工作在底層，權限比文件系統和操作系統更高，可無視系統破壞、病毒及惡意代碼，發生任何突發系統及軟件災難，都可瞬間恢復，提供7*24h的應急運行保障機制［12］；大規模系統部署、更新及升級也無需逐臺進行，可在中心統一部署、自動推送，簡化信息化運維工作。

4）兼容性好：軟件代碼自主可控，支持自主可控硬件，無縫支持現有的國外主流操作系統及自主可控操作系統和應用，從底層對其進行支撐，以更高的權限對其進行管理。

5）管理有效：通過一臺服務器，管理所轄的計算機設備，真正實現有效監控、監管，必要時（例如設備遺失或被他人截獲）可讓其無法可用。可對所有計算機的系統和數據以自有的安全數據格式自動備份，在后臺安全存放，實現高性能、高安全性的系統及數據容災機制。

5 結語

保障信息安全就是保障企業生命。信息化是個系統工程、體系工程，一味地加裝應用安全工具治標不治本，因此，需要從架構入手、真正掌握信息安全的主動權。在當前國際風云變幻的大環境下，本文提出的基于群集技術的數據集中管控解決方案，為信息安全系統的后續發展提供技術參考和研究方向，以期可以為企事業單位保障信息安全、降低總擁有成本、提高生產效率添磚加瓦。