CN114338087B - 一种基于防火墙的定向运维审计方法及系统 - Google Patents

Abstract

本发明涉及运维审计技术领域，公开了一种基于防火墙的定向运维审计方法及系统，所述定向运维审计方法是指：在防火墙中增加协议识别功能，并提前配置运维审计规则，然后利用防火墙原有数据控制能力，从流入防火墙的数据报文中识别出运维数据，对流经防火墙的运维数据进行主动审计，同时记录审计日志。本发明在防火墙中部署运维审计系统，从数据报文中甄别出运维数据进行定向运维审计代理，经济性好、部署便利、用户使用感受佳。

Description

一种基于防火墙的定向运维审计方法及系统

技术领域

本发明涉及运维审计技术领域，具体地说，是一种基于防火墙的定向运维审计方法及系统。

背景技术

运维安全是企业面临的主要安全问题之一，常见的运维协议有SSH、RDP、VNC等。

从运维安全角度考虑，这些运维操作通常需要被审计。为降低运维风险，企业往往通过购买单独的运维审计专用设备进行管理审计。但是现有方式具有三个缺点：1、成本高：额外的采购成本以及维护成本；2、部署复杂：需要单独部署设备，并涉及修改被运维设备的网络配置；3、使用感受差：不够人性化，用户明显感受到被监控。

发明内容

本发明针对现有技术购买单独运维审计专用设备进行部署成本高、部署难度大的缺点，提供了一种基于防火墙的定向运维审计方法及系统，在防火墙中部署运维审计系统，从数据报文中甄别出运维数据进行定向运维审计代理，经济性好、部署便利、用户使用感受佳。

本发明通过下述技术方案实现：一种基于防火墙的定向运维审计方法，在防火墙中增加运维协议识别功能，并提前配置运维审计规则，然后利用防火墙原有数据控制能力，从流入防火墙的数据报文中识别出运维数据，将识别出来的运维数据重定向到运维审计代理引擎，采用代理模式对数据进行细粒度的主动审计，并同时记录审计日志。

一种基于防火墙的定向运维审计方法，具体包括以下步骤：

步骤S1：在防火墙中部署运维数据协议识别模块、数据流控制器、运维审计代理引擎、运维审计日志引擎四个模块；

步骤S2：管理员在防火墙中配置运维审计规则；所述运维审计规则包括需要被审计的运维协议和目标服务器；

步骤S3：防火墙依次启动运维数据协议识别模块、数据流控制器、运维审计代理引擎、运维审计日志引擎四个模块；

步骤S4：防火墙开始正常接收数据报文；

步骤S5：运维数据协议识别模块开始工作，对数据报文中数据一一进行识别，甄别出运维数据并打上运维标记；

步骤S6：数据流控制器将无运维标记的数据直接放行，将有运维标记的运维数据重定向到运维审计代理引擎；

步骤S7：运维审计代理引擎从运维数据中提取运维协议信息，针对不同的运维协议信息启动对应的协议代理进行代理转发；同时运维审计代理引擎从运维数据中提取运维操作信息形成审计日志数据；

步骤S8：运维审计代理引擎将审计日志数据发送至运维审计日志引擎进行存储；

步骤S9：结束。

为了更好地实现本发明，进一步地，所述运维协议规则包括源目的地址、运维协议名称。

为了更好地实现本发明，进一步地，所述运维数据协议识别模块部署在防火墙的数通引擎。

为了更好地实现本发明，进一步地，所述步骤S5中所述运维数据协议识别模块通过从数据报文中提取目的端口信息和协议报文特征甄别出运维协议名称，从而甄选出运维数据。

为了更好地实现本发明，进一步地，所述步骤S5中所述运维数据协议识别模块从运维数据中获取运维协议名称、源地址、目的地址、源端口信息、目的端口信息五个信息组成五元组，作为运维标记。

为了更好地实现本发明，进一步地，所述步骤S6中所述数据流控制器通过IPC通信方式将运维数据重定向到运维审计代理引擎。

为了更好地实现本发明，进一步地，所述步骤S7中运维审计代理引擎根据运维数据的目的地址进行代理转发。

本发明还提供了一种基于防火墙的定向运维审计系统，用于执行上述基于防火墙的定向运维审计方法。

所述定向运维审计系统包括依次连接的运维数据协议识别模块、数据流控制器、运维审计代理引擎、运维审计日志引擎，且运维数据协议识别模块、数据流控制器、运维审计代理引擎、运维审计日志引擎部署在防火墙内。

所述运维数据协议识别模块，用于从数据报文中甄别出运维数据并打上运维标记，然后将运维数据发送至数据流控制器；

所述数据流控制器，用于控制数据流向，将识别出的需要被审计的运维数据重定向到运维审计代理引擎；

所述运维审计代理引擎，用于代理运维数据，还能从运维数据中提取运维操作信息形成审计日志数据，并发送至运维审计日志引擎；

所述运维审计日志引擎，用于存储运维审计日志。

为了更好地实现本发明，进一步地，所述运维审计代理引擎针对每一个运维协议都内置一对对应的客户端、服务端，且客户端、服务端之间采用内部RPC方式通信。

本发明与现有技术相比，具有以下优点及有益效果：

（1）本发明在防火墙中部署运维审计系统，从数据报文中甄别出运维数据进行定向运维审计代理，经济性好、部署便利、用户使用感受佳；

（2）本发明提供的定向运维审计方法，无需单独采购运维审计专用设备，无需修改被审计设备的网络配置，无需降低运维用户的使用感受，就能够对流经的运维数据进行充分的审计；

（3）本发明提供了一种专用的主动审计运维协议的技术和控制运维安全的方法，检测协议只是用到的技术之一，其核心在于专项识别、代理转发、精准控制，保障运维操作的安全；

（4）本发明能够较大提升现有方案的经济性、部署便利性和用户使用感受。

附图说明

本发明结合下面附图和实施例做进一步说明，本发明所有构思创新应视为所公开内容和本发明保护范围。

图1为一种基于防火墙的定向运维审计方法的流程示意图。

图2为一种基于防火墙的定向运维审计系统的结构框图。

图3为运维审计代理引擎工作原理图。

具体实施方式

部分名词解释如下。

SSH：Secure Shell 的缩写，是一种专为远程登录会话和其他网络服务提供安全性的协议。

RDP：是一个多通道（multi-channel）的远程桌面协议，让使用者（所在计算机称为用户端或“本地计算机”）连上提供微软终端机服务的计算机（称为服务端或“远程计算机”）。

VNC：Virtual Network Console缩写，中文名称为“虚拟网络控制台”，是一款优秀的远程控制工具软件。

DMZ：Demilitarized Zone的缩写，中文名称为“隔离区”，也称“非军事化区”。它是为了解决安装防火墙后外部网络的访问用户不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区。该缓冲区位于企业内部网络和外部网络之间的小网络区域内。在这个小网络区域内可以放置一些必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等。

防火墙：防火墙技术是通过有机结合各类用于安全管理与筛选的软件和硬件设备，帮助计算机网络于其内、外网之间构建一道相对隔绝的保护屏障，以保护用户资料与信息安全性的一种技术。

运维审计：运维安全审计系统，即在一个特定的网络环境下，为了保障网络和数据不受来自内部合法用户的不合规操作带来的系统损坏和数据泄露，而运用各种技术手段实时收集和监控网络环境中每一个组成部分的系统状态、安全事件、网络活动，以便集中报警、记录、分析、处理的一种技术手段。

实施例1：

一种基于防火墙的定向运维审计方法，在防火墙中增加运维协议识别功能，并提前配置运维审计规则，然后利用防火墙原有数据控制能力，从流入防火墙的数据报文中识别出运维数据，将识别出来的运维数据重定向到运维审计代理引擎，采用代理模式对数据进行细粒度的主动审计，并同时记录审计日志。

具体地，一种基于防火墙的定向运维审计方法，如图1所示，具体包括依次进行的步骤S1-步骤S9。

步骤S1：在防火墙中部署定向运维审计系统，即在防火墙中部署运维数据协议识别模块、数据流控制器、运维审计代理引擎、运维审计日志引擎四个模块。

步骤S2：在防火墙中配置运维审计规则；所述运维审计规则包括需要被审计的运维协议和目标服务器。所述运维协议规则包括源目的地址、运维协议名称。

步骤S3：防护墙启动定向运维审计系统，即防火墙依次启动运维数据协议识别模块、数据流控制器、运维审计代理引擎、运维审计日志引擎四个模块。所述运维数据协议识别模块部署在防火墙的数通引擎。

步骤S4：防火墙开始正常接收数据报文。

步骤S5：运维数据协议识别模块开始工作分析数据报文中数据是否属于运维数据，即运维数据协议识别模块对数据报文中数据一一进行识别，甄别出运维数据并打上运维标记。

所述步骤S5中所述运维数据协议识别模块通过从数据报文中提取目的端口信息和协议报文特征甄别出运维协议名称，从而甄选出运维数据。

所述步骤S5中所述运维数据协议识别模块从运维数据中获取运维协议名称、源地址、目的地址、源端口信息、目的端口信息五个信息组成五元组，作为运维标记。

步骤S6：数据流控制器将无运维标记的数据直接放行，将有运维标记的运维数据重定向到运维审计代理引擎。

所述步骤S6中所述数据流控制器通过IPC通信方式将运维数据重定向到运维审计代理引擎。

步骤S7：运维审计代理引擎从运维数据中提取运维协议信息，针对不同的运维协议信息启动对应的协议代理进行代理转发；同时运维审计代理引擎从运维数据中提取运维操作信息形成审计日志数据。

所述步骤S7中运维审计代理引擎根据运维数据的目的地址进行代理转发。

步骤S8：记录审计日志，即运维审计代理引擎将审计日志数据发送至运维审计日志引擎进行存储。

步骤S9：结束。

传统运维审计方案一般是购买部署运维审计专用设备，成本高、部署难度大。IT运维工作的管理者，迫切需要一种更加便利、经济的系统，以获得对运维操作的有效审计，并以此为依据，部署融合防护和审计双能力的设备，提升运维操作的安全性和便利性。

运维审计专用设备，通常也叫做堡垒机，即：在一个特定的网络环境下，为了保障网络和数据不受来自外部和内部用户的入侵和破坏，而运用各种技术手段监控和记录运维人员对网络内的服务器、网络设备、安全设备、数据库等设备的操作行为，以便集中报警、及时处理及审计定责。运维审计设备一般工作在网络的4-7层。

防火墙，是通过有机结合各类用于安全管理与筛选的软件和硬件设备，帮助计算机网络于其内、外网之间构建一道相对隔绝的保护屏障，以保护用户资料与信息安全性的一种技术。防火墙通常会为一些必须公开的服务器设施，如企业Web服务器、FTP服务器、数据库服务器等设置一个专门的DMZ区，对这些重要的网络设备和服务器进行访问限制，以加强安全性。防火墙设备一般工作在网络的2-7层。

防火墙作为企业最重要的安全设备，融合了数通、vpn、策略以及部分网络审计功能，但是不具备企业最常用到的运维审计功能。但是，从运维安全角度考虑，对运维操作进行审计是非常有必要的。因此，为降低运维安风险，企业往往通过购买单独的运维审计设备进行管理审计。

但是，采购独立的运维审计专用设备进行部署存在以下缺陷：

1、部署成本高：现有技术中通过部署新采购的独立运维审计设备，需要改变原有被运维设备的网络拓扑，增加物理或逻辑的策略路由，部署成本较高；

2、使用感受差：现有技术中通过部署新采购的独立运维审计设备，改变了原有被运维设备的网络和登陆方式，会给用户带来明显的被监控感受；

3、采购成本高：现有技术中通过部署新采购的独立运维审计设备，需要再采购防火墙的同时，新采购一台独立的运维审计设备，采购成本较高，运维成本也比较高。

从保护目标看，防火墙和堡垒机对被运维目标的保护目标是一致的；从运维数据流经协议层看，防火墙的防护协议层包含了堡垒机的防护协议层，技术具备可行性；从网络拓扑角度看，防火墙本身就有防护服务器的DMZ区，融合审计功能不需要修改网络配置，具备天然便利性。

防火墙作为包过滤流量防护产品，一般只对数据做检查和提取关键行为信息，从而完成审计功能，如CN112769819A即属于这种原理；而本申请是直接接管运维数据流，并在防火墙内部实现了运维协议代理，进行中间人的模式进行代理转发并进行审计，相比较CN112769819A技术难度更高，而且可以根据运维操作内容进行控制，从而带来了审计粒度更完整的优点。

实施例2：

如图2所示，本实施例提供一种基于防火墙的定向运维审计系统，用于执行实施例1所述的定向运维审计方法。

所述定向运维审计系统包括依次连接的运维数据协议识别模块、数据流控制器、运维审计代理引擎、运维审计日志引擎，且运维数据协议识别模块、数据流控制器、运维审计代理引擎、运维审计日志引擎部署在防火墙内。

所述运维数据协议识别模块，用于从数据报文中甄别出运维数据，如SSH、RDP、VNC等运维协议，并将这些运维数据的源地址、目的地址、源端口信息、目的端口信息提交给数据流控制器。运维协议名称、源地址、目的地址、源端口信息、目的端口信息这五个信息作为五元组，即运维标记。将这些信息提供给数据流控制器，相应的也就是为该识别出的运维数据打上了运维标记。

进一步地，所述运维数据协议识别模块，是通过获取协议端口号和协议报文特征来识别运维协议名称。例如：识别SSH运维协议，首先识别目的端口为22的数据流，然后进一步识别报文头，SSH运维协议在初步建立连接后，服务器将自己的SSH协议版本发送到客户端，格式为： SSH-protoversion(版本号)-softwareversion(自定义) SP(空格一个,可选)comments(注释,可选) CR(回车) LF(换行)，通过此特征即可判断协议类型。

目前，所述运维数据协议识别模块，能识别RDP、SSH和VNC，每一种协议都有自身的特殊特征，通过结合协议、端口、报文内容特征进行识别和判定

所述数据流控制器，用于控制数据流向，将识别出的需要被审计的运维数据重定向到运维审计代理引擎。本实施例中将识别出来的运维数据重定向到专有运维审计代理引擎，采用代理模式对数据进行细粒度的主动审计，属于对专用运维协议的进行主动代理和审计目的，需要接管并代理转发运维数据。因此，本实施例与现有技术中通过对流量进行特征库对比识别的技术不同，通过对流量进行特征库对比识别的技术是对通用协议的审计记录，属于通用协议审计目的，也不需要对运维协议进行代理转发。

数据流控制器通知数通引擎，以IPC通信的方式，把运维数据重定向到运维审计代理引擎。

所述运维审计代理引擎，用于代理运维数据，如SSH、RDP、VNC等协议，还能从运维数据中提取运维操作信息形成审计日志数据，并发送至运维审计日志引擎。

所述运维审计日志引擎，用于存储运维审计日志。

为了更好地实现本发明，进一步地，所述运维审计代理引擎针对每一个运维协议都内置一对对应的客户端、服务端，且客户端、服务端之间采用内部RPC方式通信。

本实施例不仅仅通过端口，还通过协议内容，双重认定协议，优点是识别更准确，不局限于具体端口号。

本实施例将定向运维审计系统利用现有防火墙的架构无缝嵌入，如通过在防火墙数通引擎嵌入“运维数据协议识别”代码，无缝集成并能高效识别运维数据；在防火墙管理引擎，嵌入“数据流控制器”“运维审计代理引擎”“运维审计日志引擎”三个进程，和防火墙其他管理系统运行在一个平面，充分复用防火墙硬件资源。技术难点在于：运行机制上，需要充分复用防火墙硬件资源，最小化减少资源开销，以避免影响防火墙正常运行；逻辑机制上，需要充分理解防火墙原有复杂的流程，并无缝融入原有流程中，最小化减少对防火墙原有流程的影响。因此，本方案形成过程技术难度是很大的。

实施例3：

本实施例相对于实施例1，设置运维协议规则、防火墙开始接收数据报文、启动定向运维审计系统中各个模块的步骤顺序可以调整。

本实施例中提供的一种基于防火墙的定向运维审计方法，具体包括以下步骤：

步骤T1：在防火墙中部署运维数据协议识别模块、数据流控制器、运维审计代理引擎、运维审计日志引擎四个模块；

步骤T2：防火墙开始正常接收数据报文；

步骤T3：管理员在防火墙中配置运维审计规则；所述运维审计规则包括需要被审计的运维协议和目标服务器；

步骤T4：防火墙依次启动运维数据协议识别模块、数据流控制器、运维审计代理引擎、运维审计日志引擎四个模块；

步骤T5：运维数据协议识别模块开始工作，对数据报文中数据一一进行识别，甄别出运维数据并打上运维标记；

步骤T6：数据流控制器将无运维标记的数据直接放行，将有运维标记的运维数据重定向到运维审计代理引擎；

步骤T7：运维审计代理引擎从运维数据中提取运维协议信息，针对不同的运维协议信息启动对应的协议代理进行代理转发；同时运维审计代理引擎从运维数据中提取运维操作信息形成审计日志数据；

步骤T8：运维审计代理引擎将审计日志数据发送至运维审计日志引擎进行存储；

步骤T9：结束。

以上所述，仅是本发明的较佳实施例，并非对本发明做任何形式上的限制，凡是依据本发明的技术实质对以上实施例所做的任何简单修改、等同变化，均落入本发明的保护范围之内。

Claims (9)

1.一种基于防火墙的定向运维审计方法，其特征在于：在防火墙中增加运维协议识别功能，并提前配置运维审计规则，然后利用防火墙原有数据控制能力，从流入防火墙的数据报文中识别出运维数据，将识别出来的运维数据重定向到运维审计代理引擎，采用代理模式对数据进行细粒度的主动审计，并同时记录审计日志；

具体包括以下步骤：

步骤S1：在防火墙中部署运维数据协议识别模块、数据流控制器、运维审计代理引擎、运维审计日志引擎四个模块；

步骤S2：管理员在防火墙中配置运维审计规则；所述运维审计规则包括需要被审计的运维协议和目标服务器；

步骤S3：防火墙依次启动运维数据协议识别模块、数据流控制器、运维审计代理引擎、运维审计日志引擎四个模块；

步骤S4：防火墙开始正常接收数据报文；

步骤S5：运维数据协议识别模块开始工作，对数据报文中数据一一进行识别，甄别出运维数据并打上运维标记；

步骤S6：数据流控制器将无运维标记的数据直接放行，将有运维标记的运维数据重定向到运维审计代理引擎；

步骤S7：运维审计代理引擎从运维数据中提取运维协议信息，针对不同的运维协议信息启动对应的协议代理进行代理转发；同时运维审计代理引擎从运维数据中提取运维操作信息形成审计日志数据；

步骤S8：运维审计代理引擎将审计日志数据发送至运维审计日志引擎进行存储；

步骤S9：结束。

2.根据权利要求1所述的一种基于防火墙的定向运维审计方法，其特征在于：所述运维协议规则包括源目的地址、运维协议名称。

3.根据权利要求1所述的一种基于防火墙的定向运维审计方法，其特征在于：所述运维数据协议识别模块部署在防火墙的数通引擎。

4.根据权利要求1所述的一种基于防火墙的定向运维审计方法，其特征在于：所述步骤S5中所述运维数据协议识别模块通过从数据报文中提取目的端口信息和协议报文特征甄别出运维协议名称，从而甄选出运维数据。

5.根据权利要求1所述的一种基于防火墙的定向运维审计方法，其特征在于：所述步骤S5中所述运维数据协议识别模块从运维数据中获取运维协议名称、源地址、目的地址、源端口信息、目的端口信息五个信息组成五元组，作为运维标记。

6.根据权利要求1所述的一种基于防火墙的定向运维审计方法，其特征在于：所述步骤S6中所述数据流控制器通过IPC通信方式将运维数据重定向到运维审计代理引擎。

7.根据权利要求1所述的一种基于防火墙的定向运维审计方法，其特征在于：所述步骤S7中运维审计代理引擎根据运维数据的目的地址进行代理转发。

8.一种基于防火墙的定向运维审计系统，用于执行如权利要求1-7任一项所述的一种基于防火墙的定向运维审计方法，其特征在于：包括依次连接的运维数据协议识别模块、数据流控制器、运维审计代理引擎、运维审计日志引擎，且运维数据协议识别模块、数据流控制器、运维审计代理引擎、运维审计日志引擎部署在防火墙内；

所述运维数据协议识别模块，用于从数据报文中甄别出运维数据并打上运维标记，然后将运维数据发送至数据流控制器；

所述数据流控制器，用于控制数据流向，将识别出的需要被审计的运维数据重定向到运维审计代理引擎；

所述运维审计代理引擎，用于代理运维数据，还能从运维数据中提取运维操作信息形成审计日志数据，并发送至运维审计日志引擎；

所述运维审计日志引擎，用于存储运维审计日志。

9.根据权利要求8所述的一种基于防火墙的定向运维审计系统，其特征在于：所述运维审计代理引擎针对每一个运维协议都内置一对对应的客户端、服务端，且客户端、服务端之间采用内部RPC方式通信。