CN103634167B - 云环境中对目标主机进行安全配置检查的方法和系统 - Google Patents

Abstract

本发明公开了一种云环境中对目标主机进行安全配置检查的方法和系统，所述方法包括：任务调度节点在接收到安全配置的检查任务后，对于每个任务执行节点，根据该节点到该检查任务所涉及的目标主机的网络延时、带宽、包到达率，以及该任务执行节点的总性能能力和已经占用的性能，以及该检查任务中各检查项的性能消耗之和，计算出该任务执行节点执行该检查任务的性能消耗；任务调度节点将该检查任务发送给性能消耗最小的任务执行节点进行任务执行；应用本发明，提升云环境中对海量目标主机的安全配置检查任务的执行效率。

Description

云环境中对目标主机进行安全配置检查的方法和系统

技术领域

本发明涉及计算机通信技术，尤其涉及一种云环境中对目标主机进行安全配置检查的方法和系统。

背景技术

云计算由并行计算、分布式计算、网络计算演化而来，是一种新兴的商业计算模型，包括基础设施即服务、平台即服务、软件即服务，以及依托于互联网的各种技术趋势。

随着云计算的快速发展，云计算用户的数据和应用安全、云计算服务平台自身的安全、云计算资源的滥用三类云计算的安全问题日益突出，关于云计算安全性越来越受到重视。

目前，针对云计算服务平台自身的安全，防止由于服务器或者网络设备等目标主机的配置失误而造成的损失，提出了一种采用单节点部署的云环境安全配置检查的方法，建立可对目标主机的各个安全配置检查点进行检查的测评脚本库；通过测评脚本库执行模块识别被测目标主机，从测评脚本库中选择合适的测评脚本，并执行该测评脚本；通过脚本返回数据分析模块将测评脚本执行返回结果进行分析形成测评结果，并存入数据库中；通过测评报告生成模块自动生成该目标主机安全的测评报告。

由上述可见，现有的单节点部署的云环境安全配置检查的方法，采用单节点部署，当对多个目标主机执行安全配置检查任务时，只能将检查任务顺序列队依次执行，无论采用何种算法进行调度，执行安全配置检查任务耗费时间长，效率低下。

发明内容

本发明实施例提供了一种云环境中对目标主机进行安全配置检查的方法和系统，用以通过分布式架构实现对云环境中海量的目标主机进行安全配置检查的任务，提升安全配置检查任务的执行效率。

根据本发明的一个方面，提供了一种云环境中对目标主机进行安全配置检查的方法，包括：任务调度节点在接收到安全配置的检查任务后，对于每个任务执行节点，根据该节点到该检查任务所涉及的目标主机的网络延时、带宽、包到达率，以及该任务执行节点的总性能能力和已经占用的性能，以及该检查任务中各检查项的性能消耗之和，计算出该任务执行节点执行该检查任务的性能消耗；所述任务调度节点将该检查任务发送给性能消耗最小的任务执行节点进行任务执行：接收到该检查任务的任务执行节点，向设备管理子系统请求所述目标主机的权限及系统信息，并对于该检查任务中每个检查项，向基线管理子系统请求对应该检查项的检测模块；之后，该任务执行节点根据请求到的所述目标主机的权限及系统信息，分别运行各检测模块实现对所述目标主机的各检查项的安全配置检查。

进一步，所述根据该节点到该检查任务所涉及的目标主机的网络延时、带宽、包到达率，该任务执行节点的总性能能力和已经占用的性能，以及该检查任务中各检查项的性能消耗之和，计算出该任务执行节点执行该检查任务的性能消耗具体为：

根据如下公式1计算出该任务执行节点执行该检查任务的性能消耗：

其中，C_job为该任务执行节点执行该待执行的检查任务的性能消耗；Delay为该任务执行节点到该待执行的检查任务所涉及的目标主机的网络延时；C_occupied为该任务执行节点当前已经占用的性能；C_capacity为该任务执行节点的总性能能力；Band为该任务执行节点到该待执行的检查任务所涉及的目标主机的带宽；Rate为该任务执行节点到该待执行的检查任务所涉及的目标主机的到达率；k为该待执行的检查任务中检查项的编号，为1～n的自然数；C_k为该任务执行节点执行第k个检查项的性能消耗；n为该待执行的检查任务检查项总数。

进一步，所述检查任务是由管理员通过所述任务调度节点的管理界面配置到所述任务调度节点中的；以及

所述方法还包括：

所述任务调度节点接收到由管理员配置的报告分析任务后，根据该报告分析任务所需分析的检查结果报告总数，以及该报告分析任务所涉及的目标主机的总数，计算出该报告分析任务的性能消耗；并

对于每个任务执行节点，根据该节点到该报告分析任务所涉及的各目标主机的平均网络延时、平均带宽、平均包到达率，以及该任务执行节点的总性能能力和已经占用的性能，以及该报告分析任务的性能消耗，计算出该任务执行节点执行该报告分析任务的性能消耗；

所述任务调度节点将该报告分析任务发送给执行该报告分析任务的性能消耗最小的任务执行节点进行任务执行：

接收到该报告分析任务的任务执行节点，向报告存储子系统请求该报告分析任务所需分析的各检查结果报告所涉及的历史记录；对请求的历史记录进行分析后生成该报告分析任务的各检查结果报告。

进一步，所述根据该节点到该报告分析任务所涉及的各目标主机的平均网络延时、平均带宽、平均包到达率，以及该任务执行节点的总性能能力和已经占用的性能，以及该报告分析任务的性能消耗，计算出该任务执行节点执行该报告分析任务的性能消耗具体为：

根据如下公式3计算出该任务执行节点执行该报告分析任务的性能消耗：

其中，C_job'为该任务执行节点执行该待执行的报告分析任务的性能消耗；Delay'为该任务执行节点到该待执行的报告分析任务所涉及的目标主机的网络延时；C_occupied为该任务执行节点当前已经占用的性能；C_capacity为该任务执行节点的总性能能力；Band'为该任务执行节点到该待执行的报告分析任务所涉及的目标主机的带宽；Rate'为该任务执行节点到该待执行的报告分析任务所涉及的目标主机的到达率；N_job为该待执行的报告分析任务的性能消耗。

进一步，在所述任务调度节点在接收到安全配置的检查任务，或所述任务调度节点接收到由管理员配置的报告分析任务后，还包括：

所述任务调度节点将接收的检查任务或报告分析任务作为待执行任务，根据管理员为该待执行任务配置的优先级，将该待执行任务到存储到对应的优先级队列中；

所述任务调度节点每隔设定周期轮询各优先级队列，确定出存储有待执行任务的最高优先级的优先级队列，并将确定出的优先级队列中最先存入的一个待执行任务取出；并对于每个任务执行节点，计算出该任务执行节点执行该待执行任务的性能消耗；

所述任务调度节点将该待执行任务发送给性能消耗最小的任务执行节点进行任务执行。

进一步，在所述任务调度节点将该待执行任务发送给性能消耗最小的任务执行节点之前，还包括：

所述任务调度节点对于每个任务执行节点，根据该任务执行节点已经占用的性能，以及该任务执行节点执行该待执行任务的性能消耗，判断该任务执行节点是否处于过载临近状态；

若所述任务调度节点判断出所有的任务执行节点都处于过载临近状态，则等待其中一个任务执行节点在完成之前为其分配的任务，并处于非过载临近状态后，将该待执行任务发送给该非过载临近状态的任务执行节点进行任务执行。

进一步，在所述任务调度节点将该待执行任务发送给性能消耗最小的任务执行节点进行任务执行之后，还包括：

该任务执行节点在完成该待执行任务后，向所述任务调度节点报告该待执行任务执行完毕；所述任务调度节点更新该任务执行节点的已经占用的性能；

之后，该任务执行节点将该待执行任务的处理结果存储到所述报告存储子系统。

进一步，所述任务执行节点将该待执行任务的处理结果存储到所述报告存储子系统具体包括：

所述任务执行节点在完成该待执行任务后，向所述报告存储子系统的存储控制中心发送报告存储请求；

所述存储控制中心对于所述报告存储子系统的每个报告存储节点，根据该报告存储节点到该任务执行节点的网络延时、带宽、包到达率，以及该报告存储节点的总存储空间和已占用空间，计算该报告存储节点到该任务执行节点的存储消耗；

所述存储控制中心选取存储消耗最小的报告存储节点作为被选报告存储节点后，向所述任务执行节点返回被选报告存储节点的网络地址信息；

所述任务执行节点根据返回的网络地址信息，向所述被选报告存储节点传送所述处理结果。

进一步，在所述任务执行节点根据返回的网络地址信息，向所述被选报告存储节点传送所述处理结果后，还包括：

所述存储控制中心根据各报告存储节点的地理位置信息，确定出所述被选报告存储节点的三类备份节点：第一类备份节点为与所述被选报告存储节点在同一机架上的报告存储节点；第二类备份节点为与所述被选报告存储节点在同一机房，不同机架上的报告存储节点；第三类备份节点为与所述被选报告存储节点在不同机房的报告存储节点；

对于每类备份节点，所述存储控制中心计算该类备份节点中的每个报告存储节点到所述被选报告存储节点的存储消耗，选取存储消耗最小的报告存储节点作为该类备份节点中的优选的被选备份节点；所述存储控制中心通知所述被选报告存储节点将所述处理结果分别备份到所述三类备份节点中优选的被选备份节点中；

所述存储控制中心根据预先设定的备份份数和备份原则，确定出每类备份节点中被选备份节点的个数；若其中一类备份节点中被选备份节点的个数大于1，则所述存储控制中心计算该类备份节点中的每个报告存储节点到所述优选的被选备份节点的存储消耗，并按计算出的存储消耗从小到大的顺序选取相应个数的报告存储节点作为该类备份节点中的被选备份节点；并通知该类备份节点中的优选的被选备份节点将所述处理结果备份到该类备份节点中其它被选备份节点中；

之后，所述存储控制中心将所述处理结果的文件名和文件校验和、以及存储所述处理结果及其备份的报告存储节点的标识对应存储。

根据本发明的另一个方面，还提供了一种云环境中对目标主机进行安全配置检查的系统，包括：任务执行子系统、设备管理子系统、基线管理子系统；其中，所述任务执行子系统中包括：任务调度节点和多个任务执行节点；所述任务调度节点用于在接收到安全配置的检查任务后，对于每个任务执行节点，根据该节点到该检查任务所涉及的目标主机的网络延时、带宽、包到达率，以及该任务执行节点的总性能能力和已经占用的性能，以及该检查任务中各检查项的性能消耗之和，计算出该任务执行节点执行该检查任务的性能消耗；所述任务调度节点将该检查任务发送给性能消耗最小的任务执行节点；所述任务执行节点用于在接收到该检查任务后向设备管理子系统请求所述目标主机的权限及系统信息，并对于该检查任务中每个检查项，向基线管理子系统请求对应该检查项的检测模块；之后，该任务执行节点根据请求到的所述目标主机的权限及系统信息，分别运行各检测模块实现对所述目标主机的各检查项的安全配置检查。

较佳地，所述任务调度节点还用于接收到由管理员配置的报告分析任务后，根据该报告分析任务所需分析的检查结果报告总数，以及该报告分析任务所涉及的目标主机的总数，计算出该报告分析任务的性能消耗；并

对于每个任务执行节点，根据该节点到该报告分析任务所涉及的各目标主机的平均网络延时、平均带宽、平均包到达率，以及该任务执行节点的总性能能力和已经占用的性能，以及该报告分析任务的性能消耗，计算出该任务执行节点执行该报告分析任务的性能消耗；所述任务调度节点将该报告分析任务发送给执行该报告分析任务的性能消耗最小的任务执行节点；

所述任务执行节点还用于接收到该报告分析任务后向报告存储子系统请求该报告分析任务所需分析的各检查结果报告所涉及的历史记录；对请求的历史记录进行分析后生成该报告分析任务的各检查结果报告。

较佳地，所述任务调度节点还用于在接收到安全配置的检查任务、或报告分析任务后，将接收的检查任务或报告分析任务作为待执行任务，根据管理员为该待执行任务配置的优先级，将该待执行任务到存储到对应的优先级队列中；

所述任务调度节点每隔设定周期轮询各优先级队列，确定出存储有待执行任务的最高优先级的优先级队列，并将确定出的优先级队列中最先存入的一个待执行任务取出；并对于每个任务执行节点，计算出该任务执行节点执行该待执行任务的性能消耗；将该待执行任务发送给性能消耗最小的任务执行节点进行任务执行。

较佳地，所述系统还包括：报告存储子系统；

所述任务执行节点还用于在完成该待执行任务后，向所述任务调度节点报告该待执行任务执行完毕；之后，将该待执行任务的处理结果存储到所述报告存储子系统；所述任务调度节点更新该任务执行节点的已经占用的性能。

较佳地，所述报告存储子系统具体包括：存储控制中心和多个报告存储节点；

所述存储控制中心用于接收到任务执行节点发送的所述处理结果的报告存储请求后，对于所述报告存储子系统的每个报告存储节点，根据该报告存储节点到该任务执行节点的网络延时、带宽、包到达率，以及该报告存储节点的总存储空间和已占用空间，计算该报告存储节点到该任务执行节点的存储消耗；并选取存储消耗最小的报告存储节点作为被选报告存储节点后，向所述任务执行节点返回被选报告存储节点的网络地址信息；

所述任务执行节点根据返回的网络地址信息，向所述被选报告存储节点传送所述处理结果。

较佳地，所述存储控制中心还用于返回被选报告存储节点的网络地址信息后，根据各报告存储节点的地理位置信息，确定出所述被选报告存储节点的三类备份节点：第一类备份节点为与所述被选报告存储节点在同一机架上的报告存储节点；第二类备份节点为与所述被选报告存储节点在同一机房，不同机架上的报告存储节点；第三类备份节点为与所述被选报告存储节点在不同机房的报告存储节点；

对于每类备份节点，所述存储控制中心计算该类备份节点中的每个报告存储节点到所述被选报告存储节点的存储消耗，选取存储消耗最小的报告存储节点作为该类备份节点中的优选的被选备份节点；所述存储控制中心通知所述被选报告存储节点将所述处理结果分别备份到所述三类备份节点中优选的被选备份节点中；

所述存储控制中心根据预先设定的备份份数和备份原则，确定出每类备份节点中被选备份节点的个数；若其中一类备份节点中被选备份节点的个数大于1，则所述存储控制中心计算该类备份节点中的每个报告存储节点到所述优选的被选备份节点的存储消耗，并按计算出的存储消耗从小到大的顺序选取相应个数的报告存储节点作为该类备份节点中的被选备份节点；并通知该类备份节点中的优选的被选备份节点将所述处理结果备份到该类备份节点中其它被选备份节点中；

所述存储控制中心还用于将所述处理结果的文件名和文件校验和、以及存储所述处理结果及其备份的报告存储节点的标识对应存储。

较佳地，所述设备管理子系统具体包括：设备管理中心节点和多个设备分发节点；

所述设备管理中心节点用于接收管理员录入的所述云环境中的目标主机的物理地址信息，和权限及系统信息后，计算该目标主机到每个设备分发节点的存储消耗；选择存储消耗最小的设备分发节点作为优选的被选设备分发节点；将该目标主机的权限及系统信息备份到所述优选的被选设备分发节点中；

所述设备管理中心节点还用于选择n个机房，对于每个选择的机房，分别计算所述优选的被选设备分发节点到该机房中各设备分发节点的存储消耗，选取计算的存储消耗最小的设备分发节点作为该机房的被选设备分发节点；所述设备管理中心节点通知所述优选的被选设备分发节点将该目标主机的权限及系统信息备份到各机房的被选设备分发节点中；其中，所述n为预设的设备信息备份数。

本发明实施例的技术方案，采用多个任务执行节点分布式架构，可执行海量目标主机的安全配置检查任务，由于可以并行执行安全配置检查任务，因此本发明的技术方案耗费时间短，效率高。

附图说明

图1为本发明实施例的云环境中对目标主机进行安全配置检查的系统结构图；

图2为本发明实施例的任务执行节点将该待执行任务的处理结果存储到报告存储子系统的方法流程示意图；

图3为本发明实施例的云环境中对目标主机进行安全配置检查的方法流程示意图。

具体实施方式

以下将结合附图对本发明的技术方案进行清楚、完整的描述，显然，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所得到的所有其它实施例，都属于本发明所保护的范围。

本申请使用的“模块”、“系统”等术语旨在包括与计算机相关的实体，例如但不限于硬件、固件、软硬件组合、软件或者执行中的软件。例如，模块可以是，但并不仅限于：处理器上运行的进程、处理器、对象、可执行程序、执行的线程、程序和/或计算机。举例来说，计算设备上运行的应用程序和此计算设备都可以是模块。一个或多个模块可以位于执行中的一个进程和/或线程内，一个模块也可以位于一台计算机上和/或分布于两台或更多台计算机之间。

本发明实施例提供了一种云环境中对目标主机进行安全配置检查的方法及系统，采用多个任务执行节点分布式架构，可执行海量目标主机的安全配置检查任务，由于可以并行执行安全配置检查任务，因此本发明的技术方案耗费时间短，效率高。

下面结合附图详细说明本发明实施例的技术方案。本发明实施例的云环境中对目标主机进行安全配置检查的系统结构图，参见图1，包括：任务执行子系统101、设备管理子系统102、基线管理子系统103；其中，

任务执行子系统101采用分布式结构，以高效实现海量目标主机的安全配置检查任务；其中包括：任务调度节点1011和多个任务执行节点1012；

其中，任务调度节点1011用于在接收到安全配置的检查任务后，对于每个任务执行节点，根据该节点到该检查任务所涉及的目标主机的网络延时、带宽、包到达率，以及该任务执行节点的总性能能力和已经占用的性能，以及该检查任务中各检查项的性能消耗之和，计算出该任务执行节点执行该检查任务的性能消耗，并将该检查任务作为待执行任务，发送给性能消耗最小的任务执行节点；

此外，任务调度节点1011还用于接收到由管理员配置的报告分析任务后，根据该报告分析任务所需分析的检查结果报告总数，以及该报告分析任务所涉及的目标主机的总数，计算出该报告分析任务的性能消耗；并对于每个任务执行节点，根据该节点到该报告分析任务所涉及的各目标主机的平均网络延时、平均带宽、平均包到达率，以及该任务执行节点的总性能能力和已经占用的性能，以及该报告分析任务的性能消耗，计算出该任务执行节点执行该报告分析任务的性能消耗；所述任务调度节点将该报告分析任务作为待执行任务，发送给执行该报告分析任务的性能消耗最小的任务执行节点；

任务执行节点1012用于在接收到检查任务后，向设备管理子系统102请求目标主机的权限及系统信息，并对于该检查任务中每个检查项，向基线管理子系统103请求对应该检查项的检测模块；之后，该任务执行节点根据请求到的目标主机的权限及系统信息，分别运行各检测模块实现对目标主机的各检查项的安全配置检查；

任务执行节点1012还用于接收到报告分析任务后向报告存储子系统请求该报告分析任务所需分析的各检查结果报告所涉及的历史记录；对请求的历史记录进行分析后生成该报告分析任务的各检查结果报告。

上述的设备管理子系统102也采用分布式结构，以实现对海量目标主机的相关信息的管理，其具体包括：设备管理中心节点1021和多个设备分发节点1022；

其中，设备管理中心节点1021用于接收管理员录入的云环境中的目标主机的物理地址信息，和权限及系统信息后，计算该目标主机到每个设备分发节点的存储消耗；选择存储消耗最小的设备分发节点1022作为优选的被选设备分发节点；将该目标主机的权限及系统信息备份到优选的被选设备分发节点1022中。其中，目标主机的物理地址信息以及权限信息包括：目标的系统类型、检查目标系统的网管方式、登陆的用户名和密码、目标主机所配置的配置检查条目，目标系统的物理位置信息，即机架和机房信息等。

由于对设备分发节点进行优选，从而使得设备管理子系统102对海量目标主机的相关信息的管理更为合理化。

设备管理中心节点1021接收到任务执行节点1012发送的目标主机的权限及系统信息的请求后，向任务执行节点1012返回对应的目标主机的权限及系统信息。

更优地，设备管理中心节点1021还可以进行多个备份：设备管理中心节点1021在确定出优选的被选设备分发节点1022后，进一步选择n个机房，对于每个选择的机房，分别计算所述优选的被选设备分发节点到该机房中各设备分发节点的存储消耗，选取计算的存储消耗最小的设备分发节点作为该机房的被选设备分发节点；其中，n为预设的设备信息备份数。

设备管理中心节点1021通知述优选的被选设备分发节点将该目标主机的权限及系统信息备份到各机房的被选设备分发节点中。

上述的基线管理子系统103具体包括，用于存储各类系统的基线检查条目以及对应的检测模块。基线管理子系统103接收到任务执行节点1012发送的检测模块的请求后，向任务执行节点1012返回对应的检测模块。

进一步，云环境中对目标主机进行安全配置检查的系统还可包括：报告存储子系统104。

报告存储子系统104也可采用分布式结构，以提高对海量任务处理结果的存储效率，具体包括：储控制中心1041和多个报告存储节点1042；

上述的任务执行节点1012还用于在完成由任务调度节点1011发送的待执行任务后，向所述任务调度节点报告该待执行任务执行完毕；之后，将该待执行任务的处理结果存储到报告存储子系统104。

任务调度节点1011更新该任务执行节点的已经占用的性能。

存储控制中心1041用于接收到任务执行节点1012发送的处理结果的报告存储请求后，对于报告存储子系统104的每个报告存储节点，根据该报告存储节点到该任务执行节点的网络延时、带宽、包到达率，以及该报告存储节点的总存储空间和已占用空间，计算该报告存储节点到该任务执行节点的存储消耗；并选取存储消耗最小的报告存储节点作为被选报告存储节点后，任务执行节点1012返回被选报告存储节点的网络地址信息；

多个报告存储节点1042用于存储任务执行节点1012传送的处理结果。

进一步，关于任务执行子系统101中的任务调度节点1011和任务执行节点1012、以及存储控制中心1041的其它功能的描述详见本发明实施例的云环境中对目标主机进行安全配置检查的方法流程。

图2为本发明实施例的云环境中对目标主机进行安全配置检查的方法流程示意图，具体包括如下步骤：

S201：任务调度节点1011在接收到任务后，将接收到的任务作为待执行任务，并根据管理员为该待执行任务配置的优先级，将该待执行任务到存储到对应的优先级队列。

本步骤中，任务调度节点1011接收的任务包括：由管理员通过任务调度节点的管理界面配置到任务调度节点中的安全配置的检查任务和报告分析任务。

进一步，管理员配置任务时，可以将任务的优先级分为7级，优先等级由低到高，级数越高优先处理的等级越高，通常，任务的优先级默认为1级，对于处于同一级别的优先级队列的不同任务秉承先入先出的原则进行后续处理。

在任务调度节点1011将待执行任务到存储到对应的优先级队列之后，继续进行如下步骤的处理。

S202：任务调度节点1011每隔设定周期轮询各优先级队列，确定出存储有待执行任务的最高优先级的优先级队列，并将确定出的优先级队列中最先存入的一个待执行任务取出。

S203：任务调度节点1011对于从最高优先级队列中取出的待执行任务，计算每个任务执行节点执行该待执行任务的性能消耗。

具体地，若从最高优先级的优先级队列中取出的待执行任务为安全配置的检查任务，则任务调度节点1011计算每个任务执行节点执行该待执行的检查任务的性能消耗的具体过程为：对于每个任务执行节点，根据每个任务执行节点到该待执行的检查任务所涉及的目标主机的网络延时、带宽、包到达率，每个任务执行节点的总性能能力和已经占用的性能，以及该待执行的检查任务中各检查项的性能消耗之和，计算出每个任务执行节点执行该待执行的检查任务的性能消耗。

其中，任务执行节点执行该待执行的检查任务的性能消耗公式为：

公式1中，

C_job为任务执行节点执行该待执行的检查任务的性能消耗；

Delay为任务执行节点到该待执行的检查任务所涉及的目标主机的网络延时；

C_occupied为任务执行节点当前已经占用的性能；

C_capacity为任务执行节点的总性能能力；

Band为任务执行节点到该待执行的检查任务所涉及的目标主机的带宽；

Rate为任务执行节点到该待执行的检查任务所涉及的目标主机的到达率；

k为该待执行的检查任务中检查项的编号，为1～n的自然数；

C_k为该任务执行节点执行第k个检查项的性能消耗，为1～n的自然数；

n为该待执行的检查任务检查项总数。

若从最高优先级的优先级队列中取出的待执行任务为安全配置的报告分析任务，则任务调度节点1011计算每个任务执行节点执行该待执行的报告分析任务的性能消耗的具体过程为：根据该待执行的报告分析任务所需分析的检查结果报告总数，以及该待执行的报告分析任务所涉及的目标主机的总数，计算出该该待执行的报告分析任务的性能消耗；同时，根据每个任务执行节点到该待执行的报告分析任务所涉及的各目标主机的平均网络延时、平均带宽、平均包到达率，每个任务执行节点的总性能能力和已经占用的性能，以及该待执行的报告分析任务的性能消耗，计算出每个任务执行节点执行该待执行的报告分析任务的性能消耗。

其中，计算报告分析业务的性能消耗的公式为：

N_job＝N_report×N_server (公式2)

公式2中，

N_job为该待执行的报告分析任务的性能消耗；

N_report为进行分析的检查结果报告的总数；

N_server为任务执行节点到该待执行的报告分析任务所涉及的目标主机的台数。

计算任务执行节点执行该待执行的报告分析任务的性能消耗的公式为：

公式3中，

C_job'为任务执行节点执行该待执行的报告分析任务的性能消耗；

Delay'为任务执行节点到该待执行的报告分析任务所涉及的目标主机的网络延时；

C_occupied为任务执行节点当前已经占用的性能；

C_capacity为任务执行节点的总性能能力；

Band'为任务执行节点到该待执行的报告分析任务所涉及的目标主机的带宽；

Rate'为任务执行节点到该待执行的报告分析任务所涉及的目标主机的到达率；

N_job为该待执行的报告分析任务的性能消耗。

S204：任务调度节点1011判断每个任务执行节点是否处于过载临近状态；若所有的任务执行节点都处于过载临近状态，则执行步骤S208；若该任务执行节点处于非过载临近状态，则执行步骤S205。

具体地，根据每个任务执行节点已经占用的性能，以及每个任务执行节点执行该待执行任务的性能消耗，若任务调度节点1011判断出该任务执行节点处于非过载临近状态，则执行步骤S205；若任务调度节点1011判断出所有的任务执行节点都处于过载临近状态，则执行步骤S208：等待其中一个任务执行节点在完成之前为其分配的任务，并判断处于非过载临近状态后，执行步骤S205。

其中，当该任务执行节点执行该待执行任务的性能消耗与该任务执行节点当前已经占用的性能之和大于该任务执行节点的总性能能力时，则可认定为该任务执行节点处于过载临近状态；当该任务执行节点执行该待执行任务的性能消耗与该任务执行节点当前已经占用的性能之和小于该任务执行节点的总性能能力时，则可认定为该任务执行节点处于非过载临近状态。

S205：任务调度节点1011将该待执行任务发送给性能消耗最小的任务执行节点进行任务执行。

具体地，若从最高优先级的优先级队列中取出的待执行任务为安全配置的检查任务，则性能消耗最小的任务执行节点执行该任务的具体过程为：接收到该待执行的检查任务的任务执行节点1012，向设备管理子系统102请求所述目标主机的权限及系统信息，并对于该待执行的检查任务中每个检查项，向基线管理子系统103请求对应该检查项的检测模块；之后，该任务执行节点根据请求到的目标主机的权限及系统信息，分别运行各检测模块实现对目标主机的各检查项的安全配置检查。这样，由性能消耗最小的任务执行节点执行该任务从而更进一步提高了任务执行效率。

若从最高优先级的优先级队列中取出的待执行任务为安全配置的报告分析任务，则性能消耗最小的任务执行节点执行该任务的具体过程为：接收到该待执行的报告分析任务的任务执行节点1012，向报告存储子系统102请求该报告分析任务所需分析的各检查结果报告所涉及的历史记录；对请求的历史记录进行分析后生成该待执行的报告分析任务的各检查结果报告。

在性能消耗最小的任务执行节点进行任务执行之后，执行步骤S206。

S206：该任务执行节点在完成该待执行任务后，向任务调度节点1011报告该待执行任务执行完毕，任务调度节点则更新该任务执行节点的已经占用的性能。

S207：该任务执行节点将该待执行任务的处理结果存储到报告存储子系统104。

具体地，该任务执行节点将该待执行任务的处理结果存储到报告存储子系统104的方法流程，如图3所示，包括如下流程：

S301：任务执行节点在完成该待执行任务后，向报告存储子系统104的存储控制中心1041发送报告存储请求。

S302：存储控制中心1041对于报告存储子系统104的每个报告存储节点，计算该报告存储节点到该任务执行节点的存储消耗。

具体地，存储控制中心1041对于报告存储子系统104的每个报告存储节点，根据该报告存储节点到该任务执行节点的网络延时、带宽、到达率，以及该报告存储节点的总存储空间和已占用空间，计算该报告存储节点到该任务执行节点的存储消耗。

其中，计算该报告存储节点到该任务执行节点的存储消耗的公式为：

公式4中，

S_metric为该报告存储节点到该任务执行节点的存储消耗；

Delay”为该报告存储节点到该任务执行节点的网络延时；

S_occupied为该报告存储节点当前已经占用的存储空间；

S_capacity为该报告存储节点的总存储空间；

Band”为该报告存储节点到该任务执行节点的带宽；

Rate”为该报告存储节点到该任务执行节点的到达率。

S303：存储控制中心1041选取存储消耗最小的报告存储节点作为被选报告存储节点后，向任务执行节点1012返回被选报告存储节点的网络地址信息。

S304：任务执行节点1012根据返回的网络地址信息，向被选报告存储节点传送处理结果。

本步骤中，由于优选出到该任务执行节点的存储消耗最小的报告存储节点，从而任务执行节点向到该任务执行节点的存储消耗最小的报告存储节点传送处理结果可以进一步提高系统的存储效率。

S305：存储控制中心1041根据各报告存储节点的地理位置信息，确定出被选报告存储节点的三类备份节点。

本步骤中，存储控制中心1041将与被选报告存储节点在同一机架上的报告存储节点作为第一类备份节点；将与被选报告存储节点在同一机房，不同机架上的报告存储节点作为第二类备份节点；将与被选报告存储节点在不同机房的报告存储节点作为第三类备份节点。

S306：对于每类备份节点，选取存储消耗最小的报告存储节点作为该类备份节点中的优选的被选备份节点。

具体地，对于每类备份节点，根据由存储控制中心1041计算出该类备份节点中的每个报告存储节点到被选报告存储节点的存储消耗，选取存储消耗最小的报告存储节点作为该类备份节点中的优选的被选备份节点。

其中，计算报告存储节点到被选报告存储节点的存储消耗的公式为：

公式5中，

S_metric'为报告存储节点到被选报告存储节点的存储消耗；

Delay”'为报告存储节点到被选报告存储节点的网络延时；

S_occupied'为报告存储节点当前已经占用的存储空间；

S_capacity'为报告存储节点的总存储空间；

Band”'为报告存储节点到被选报告存储节点的带宽；

Rate”'为报告存储节点到被选报告存储节点的到达率。

S307：存储控制中心1041通知被选报告存储节点将处理结果分别备份到三类备份节点中优选的被选备份节点中。

S308：存储控制中心1041根据预先设定的备份份数和备份原则，确定出每类备份节点中被选备份节点的个数。

本步骤中，存储控制中心1041可以根据不同的需求设置不同的备份份数和备份原则，例如，若设置的备份份数为3，则，存储控制中心1041会首先选取一个与该报告存储结点在同一机架上的结点，之后选取一个与该报告存储结点不在同一机架，但在同一机房的存储结点，最后选取一个与该结点不在同一机房的存储结点，并以此作为报告存储节点的备份原则；若设置的备份份数为4，则，

存储控制中心1041会首先选取两个与该报告存储结点在同一机架上的结点，之后选取一个与该报告存储结点不在同一机架，但在同一机房的存储结点，最后选取一个与该结点不在同一机房的存储结点，并以此作为报告存储节点的备份原则。

本发明实施例中，设置的备份份数为n，则，存储控制中心1041会首先选取n-1个与该报告存储结点在同一机架上的结点，之后选取一个与该报告存储结点不在同一机架，但在同一机房的存储结点，最后选取一个与该结点不在同一机房的存储结点，并以此作为报告存储节点的备份原则。这样，当一个机房内的存储节点发生故障导致存储数据损坏时，可以通过存储在其它机房内的备份来恢复该存储结果，备份方案更为合理，有效抵御云环境中的硬件故障。

S309：判断其中一类备份节点中被选备份节点的个数是否大于1；若其中一类备份节点中被选备份节点的个数不大于1，则执行步骤S212；若其中一类备份节点中被选备份节点的个数大于1，则执行步骤S210；

S310：存储控制中心1041按计算出的报告存储节点存储消耗从小到大的顺序选取相应个数的报告存储节点作为该类备份节点中的被选备份节点。

S311：通知该类备份节点中的优选的被选备份节点将处理结果备份到该类备份节点中其它被选备份节点中。

S312：存储控制中心1041将处理结果的文件名和文件校验和、以及存储处理结果及其备份的报告存储节点的标识对应存储。

本发明的技术方案中，采用多个任务执行节点分布式架构，可执行海量目标主机的安全配置检查任务，由于可以并行执行安全配置检查任务，因此本发明的技术方案耗费时间短，效率高；

进一步地，在任务调度节点接收到检查任务后，将优先等级最高的任务作为待执行检查任务，通过计算任务执行节点到该检查任务的性能消耗，由性能消耗最小且处于非过载状态的任务执行节点执行该检查任务；从而更进一步提高了任务执行效率；

任务执行节点执行检查任务后，存储控制中心计算每个报告存储节点到该任务执行节点的存储消耗，由该任务执行节点向存储消耗最小的报告存储节点传送处理结果，更进一步提高了系统的存储效率；而且将存储节点进行三类备份，使得备份方案更为合理，便于在某些存储节点故障后，采用备份恢复存储结果。在整个任务执行与报告存储过程中，任务执行节点与报告存储节点的调度更高效灵活。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (16)

1.一种云环境中对目标主机进行安全配置检查的方法，其特征在于，包括：

任务调度节点在接收到安全配置的检查任务后，对于每个任务执行节点，根据该节点到该检查任务所涉及的目标主机的网络延时、带宽、包到达率，以及该任务执行节点的总性能能力和已经占用的性能，以及该检查任务中各检查项的性能消耗之和，计算出该任务执行节点执行该检查任务的性能消耗；

所述任务调度节点将该检查任务发送给性能消耗最小的任务执行节点进行任务执行：

接收到该检查任务的任务执行节点，向设备管理子系统请求所述目标主机的权限及系统信息，并对于该检查任务中每个检查项，向基线管理子系统请求对应该检查项的检测模块；之后，该任务执行节点根据请求到的所述目标主机的权限及系统信息，分别运行各检测模块实现对所述目标主机的各检查项的安全配置检查。

2.如权利要求1所述的方法，所述根据该节点到该检查任务所涉及的目标主机的网络延时、带宽、包到达率，该任务执行节点的总性能能力和已经占用的性能，以及该检查任务中各检查项的性能消耗之和，计算出该任务执行节点执行该检查任务的性能消耗具体为：

根据如下公式1计算出该任务执行节点执行该检查任务的性能消耗：

其中，C_job为该任务执行节点执行该待执行的检查任务的性能消耗；Delay为该任务执行节点到该待执行的检查任务所涉及的目标主机的网络延时；C_occupied为该任务执行节点当前已经占用的性能；C_capacity为该任务执行节点的总性能能力；Band为该任务执行节点到该待执行的检查任务所涉及的目标主机的带宽；Rate为该任务执行节点到该待执行的检查任务所涉及的目标主机的到达率；k为该待执行的检查任务中检查项的编号，为1～n的自然数；C_k为该任务执行节点执行第k个检查项的性能消耗；n为该待执行的检查任务检查项总数。

3.如权利要求1所述的方法，其特征在于，所述检查任务是由管理员通过所述任务调度节点的管理界面配置到所述任务调度节点中的；以及

所述方法还包括：

所述任务调度节点接收到由管理员配置的报告分析任务后，根据该报告分析任务所需分析的检查结果报告总数，以及该报告分析任务所涉及的目标主机的总数，计算出该报告分析任务的性能消耗；并

对于每个任务执行节点，根据该节点到该报告分析任务所涉及的各目标主机的平均网络延时、平均带宽、平均包到达率，以及该任务执行节点的总性能能力和已经占用的性能，以及该报告分析任务的性能消耗，计算出该任务执行节点执行该报告分析任务的性能消耗；

所述任务调度节点将该报告分析任务发送给执行该报告分析任务的性能消耗最小的任务执行节点进行任务执行：

接收到该报告分析任务的任务执行节点，向报告存储子系统请求该报告分析任务所需分析的各检查结果报告所涉及的历史记录；对请求的历史记录进行分析后生成该报告分析任务的各检查结果报告。

4.如权利要求3所述的方法，其特征在于，所述根据该节点到该报告分析任务所涉及的各目标主机的平均网络延时、平均带宽、平均包到达率，以及该任务执行节点的总性能能力和已经占用的性能，以及该报告分析任务的性能消耗，计算出该任务执行节点执行该报告分析任务的性能消耗具体为：

根据如下公式3计算出该任务执行节点执行该报告分析任务的性能消耗：

其中，C_job'为该任务执行节点执行该待执行的报告分析任务的性能消耗；Delay'为该任务执行节点到该待执行的报告分析任务所涉及的目标主机的网络延时；C_occupied为该任务执行节点当前已经占用的性能；C_capacity为该任务执行节点的总性能能力；Band'为该任务执行节点到该待执行的报告分析任务所涉及的目标主机的带宽；Rate'为该任务执行节点到该待执行的报告分析任务所涉及的目标主机的到达率；N_job为该待执行的报告分析任务的性能消耗。

5.如权利要求3所述的方法，其特征在于，在所述任务调度节点在接收到安全配置的检查任务，或所述任务调度节点接收到由管理员配置的报告分析任务后，还包括：

所述任务调度节点将接收的检查任务或报告分析任务作为待执行任务，根据管理员为该待执行任务配置的优先级，将该待执行任务到存储到对应的优先级队列中；

所述任务调度节点每隔设定周期轮询各优先级队列，确定出存储有待执行任务的最高优先级的优先级队列，并将确定出的优先级队列中最先存入的一个待执行任务取出；并对于每个任务执行节点，计算出该任务执行节点执行该待执行任务的性能消耗；

所述任务调度节点将该待执行任务发送给性能消耗最小的任务执行节点进行任务执行。

6.如权利要求5所述的方法，其特征在于，在所述任务调度节点将该待执行任务发送给性能消耗最小的任务执行节点之前，还包括：

所述任务调度节点对于每个任务执行节点，根据该任务执行节点已经占用的性能，以及该任务执行节点执行该待执行任务的性能消耗，判断该任务执行节点是否处于过载临近状态；

若所述任务调度节点判断出所有的任务执行节点都处于过载临近状态，则等待其中一个任务执行节点在完成之前为其分配的任务，并处于非过载临近状态后，将该待执行任务发送给该非过载临近状态的任务执行节点进行任务执行。

7.如权利要求5所述的方法，其特征在于，在所述任务调度节点将该待执行任务发送给性能消耗最小的任务执行节点进行任务执行之后，还包括：

该任务执行节点在完成该待执行任务后，向所述任务调度节点报告该待执行任务执行完毕；所述任务调度节点更新该任务执行节点的已经占用的性能；

之后，该任务执行节点将该待执行任务的处理结果存储到所述报告存储子系统。

8.如权利要求7所述的方法，其特征在于，所述任务执行节点将该待执行任务的处理结果存储到所述报告存储子系统具体包括：

所述任务执行节点在完成该待执行任务后，向所述报告存储子系统的存储控制中心发送报告存储请求；

所述存储控制中心对于所述报告存储子系统的每个报告存储节点，根据该报告存储节点到该任务执行节点的网络延时、带宽、包到达率，以及该报告存储节点的总存储空间和已占用空间，计算该报告存储节点到该任务执行节点的存储消耗；

所述存储控制中心选取存储消耗最小的报告存储节点作为被选报告存储节点后，向所述任务执行节点返回被选报告存储节点的网络地址信息；

所述任务执行节点根据返回的网络地址信息，向所述被选报告存储节点传送所述处理结果。

9.如权利要求8所述的方法，其特征在于，在所述任务执行节点根据返回的网络地址信息，向所述被选报告存储节点传送所述处理结果后，还包括：

所述存储控制中心根据各报告存储节点的地理位置信息，确定出所述被选报告存储节点的三类备份节点：第一类备份节点为与所述被选报告存储节点在同一机架上的报告存储节点；第二类备份节点为与所述被选报告存储节点在同一机房，不同机架上的报告存储节点；第三类备份节点为与所述被选报告存储节点在不同机房的报告存储节点；

对于每类备份节点，所述存储控制中心计算该类备份节点中的每个报告存储节点到所述被选报告存储节点的存储消耗，选取存储消耗最小的报告存储节点作为该类备份节点中的优选的被选备份节点；所述存储控制中心通知所述被选报告存储节点将所述处理结果分别备份到所述三类备份节点中优选的被选备份节点中；

所述存储控制中心根据预先设定的备份份数和备份原则，确定出每类备份节点中被选备份节点的个数；若其中一类备份节点中被选备份节点的个数大于1，则所述存储控制中心计算该类备份节点中的每个报告存储节点到所述优选的被选备份节点的存储消耗，并按计算出的存储消耗从小到大的顺序选取相应个数的报告存储节点作为该类备份节点中的被选备份节点；并通知该类备份节点中的优选的被选备份节点将所述处理结果备份到该类备份节点中其它被选备份节点中；

之后，所述存储控制中心将所述处理结果的文件名和文件校验和、以及存储所述处理结果及其备份的报告存储节点的标识对应存储。

10.一种云环境中对目标主机进行配置安全检查的系统，其特征在于，包括：任务执行子系统、设备管理子系统、基线管理子系统；其中，所述任务执行子系统中包括：任务调度节点和多个任务执行节点；

所述任务调度节点用于在接收到安全配置的检查任务后，对于每个任务执行节点，根据该节点到该检查任务所涉及的目标主机的网络延时、带宽、包到达率，以及该任务执行节点的总性能能力和已经占用的性能，以及该检查任务中各检查项的性能消耗之和，计算出该任务执行节点执行该检查任务的性能消耗；所述任务调度节点将该检查任务发送给性能消耗最小的任务执行节点；

所述任务执行节点用于在接收到该检查任务后向设备管理子系统请求所述目标主机的权限及系统信息，并对于该检查任务中每个检查项，向基线管理子系统请求对应该检查项的检测模块；之后，该任务执行节点根据请求到的所述目标主机的权限及系统信息，分别运行各检测模块实现对所述目标主机的各检查项的安全配置检查。

11.如权利要求10所述的系统，其特征在于，

所述任务调度节点还用于接收到由管理员配置的报告分析任务后，根据该报告分析任务所需分析的检查结果报告总数，以及该报告分析任务所涉及的目标主机的总数，计算出该报告分析任务的性能消耗；并

对于每个任务执行节点，根据该节点到该报告分析任务所涉及的各目标主机的平均网络延时、平均带宽、平均包到达率，以及该任务执行节点的总性能能力和已经占用的性能，以及该报告分析任务的性能消耗，计算出该任务执行节点执行该报告分析任务的性能消耗；所述任务调度节点将该报告分析任务发送给执行该报告分析任务的性能消耗最小的任务执行节点；

所述任务执行节点还用于接收到该报告分析任务后向报告存储子系统请求该报告分析任务所需分析的各检查结果报告所涉及的历史记录；对请求的历史记录进行分析后生成该报告分析任务的各检查结果报告。

12.如权利要求11所述的系统，其特征在于，

所述任务调度节点还用于在接收到安全配置的检查任务、或报告分析任务后，将接收的检查任务或报告分析任务作为待执行任务，根据管理员为该待执行任务配置的优先级，将该待执行任务到存储到对应的优先级队列中；

所述任务调度节点每隔设定周期轮询各优先级队列，确定出存储有待执行任务的最高优先级的优先级队列，并将确定出的优先级队列中最先存入的一个待执行任务取出；并对于每个任务执行节点，计算出该任务执行节点执行该待执行任务的性能消耗；将该待执行任务发送给性能消耗最小的任务执行节点进行任务执行。

13.如权利要求12所述的系统，其特征在于，还包括：报告存储子系统；

所述任务执行节点还用于在完成该待执行任务后，向所述任务调度节点报告该待执行任务执行完毕；之后，将该待执行任务的处理结果存储到所述报告存储子系统；所述任务调度节点更新该任务执行节点的已经占用的性能。

14.如权利要求13所述的系统，其特征在于，所述报告存储子系统具体包括：存储控制中心和多个报告存储节点；

所述存储控制中心用于接收到任务执行节点发送的所述处理结果的报告存储请求后，对于所述报告存储子系统的每个报告存储节点，根据该报告存储节点到该任务执行节点的网络延时、带宽、包到达率，以及该报告存储节点的总存储空间和已占用空间，计算该报告存储节点到该任务执行节点的存储消耗；并选取存储消耗最小的报告存储节点作为被选报告存储节点后，向所述任务执行节点返回被选报告存储节点的网络地址信息；

所述任务执行节点根据返回的网络地址信息，向所述被选报告存储节点传送所述处理结果。

15.如权利要求14所述的系统，其特征在于，

所述存储控制中心还用于返回被选报告存储节点的网络地址信息后，根据各报告存储节点的地理位置信息，确定出所述被选报告存储节点的三类备份节点：第一类备份节点为与所述被选报告存储节点在同一机架上的报告存储节点；第二类备份节点为与所述被选报告存储节点在同一机房，不同机架上的报告存储节点；第三类备份节点为与所述被选报告存储节点在不同机房的报告存储节点；

对于每类备份节点，所述存储控制中心计算该类备份节点中的每个报告存储节点到所述被选报告存储节点的存储消耗，选取存储消耗最小的报告存储节点作为该类备份节点中的优选的被选备份节点；所述存储控制中心通知所述被选报告存储节点将所述处理结果分别备份到所述三类备份节点中优选的被选备份节点中；

所述存储控制中心根据预先设定的备份份数和备份原则，确定出每类备份节点中被选备份节点的个数；若其中一类备份节点中被选备份节点的个数大于1，则所述存储控制中心计算该类备份节点中的每个报告存储节点到所述优选的被选备份节点的存储消耗，并按计算出的存储消耗从小到大的顺序选取相应个数的报告存储节点作为该类备份节点中的被选备份节点；并通知该类备份节点中的优选的被选备份节点将所述处理结果备份到该类备份节点中其它被选备份节点中；

所述存储控制中心还用于将所述处理结果的文件名和文件校验和、以及存储所述处理结果及其备份的报告存储节点的标识对应存储。

16.如权利要求10-15任一所述的系统，其特征在于，所述设备管理子系统具体包括：设备管理中心节点和多个设备分发节点；

所述设备管理中心节点用于接收管理员录入的所述云环境中的目标主机的物理地址信息，和权限及系统信息后，计算该目标主机到每个设备分发节点的存储消耗；选择存储消耗最小的设备分发节点作为优选的被选设备分发节点；将该目标主机的权限及系统信息备份到所述优选的被选设备分发节点中；

所述设备管理中心节点还用于选择n个机房，对于每个选择的机房，分别计算所述优选的被选设备分发节点到该机房中各设备分发节点的存储消耗，选取计算的存储消耗最小的设备分发节点作为该机房的被选设备分发节点；所述设备管理中心节点通知所述优选的被选设备分发节点将该目标主机的权限及系统信息备份到各机房的被选设备分发节点中；其中，所述n为预设的设备信息备份数。