一种云平台中主机敏感服务及端口的控制管理方法及装置与流程

1.本发明属于云平台安全技术领域，具体涉及一种云平台中主机敏感服务及端口的控制管理方法及装置。


背景技术：

2.随着云计算技术的快速发展，越来越多的行业选择上云，进行云平台的建设。正因为云平台所承担的任务越来越重要，使得针对云平台的攻击也日益增加，所以围绕云平台进行安全防护也需要人们愈加重视。在云平台的建设中，云主机是云平台中各种资源的提供者，也提供着各种关键服务的运行，担当着极其重要的角色，也因此成为攻击者的首要攻击目标，攻击者往往通过服务或端口漏洞侵入云主机，然后以此为跳台或者控制端，进而威胁整个云平台的安全。因此，对主机的敏感服务及端口进行一定的控制和管理具有非常重要的意义，能够有效地加强云平台的安全性。
3.当前，在进行云平台建设时，针对已知漏洞和高风险端口的安全加固做法是直接将某项服务进行替换或停止、对某个端口直接进行封锁、禁止使用，这样的方法虽然能够很好地避免这些服务或者端口引发的安全风险问题，但是往往需要牺牲掉主机的某些功能为代价，当云平台运维或客户需求中涉及到这些端口或服务时，导致陷入两难境地。
4.此为现有技术的不足，因此，针对现有技术中的上述缺陷，提供一种云平台中主机敏感服务及端口的控制管理方法及装置，是非常有必要的。


技术实现要素：

5.针对现有技术的上述云平台中针对已知漏洞和高风险端口加固的方式是将服务或端口直接关掉，避免风险，但同时牺牲掉某些功能，在云平台运维或用户使用时，则无法处理的缺陷，本发明提供一种云平台中主机敏感服务及端口的控制管理方法及装置，以解决上述技术问题。
6.第一方面，本发明提供一种云平台中主机敏感服务及端口的控制管理方法，包括如下步骤：
7.s1.根据安全防护需求对云平台中服务和端口制定管理控制策略，生成安全服务规则表，并将安全服务规则表导入云平台；
8.s2.对云平台中新添加主机及云平台中已有主机的服务和端口，使用安全服务规则表中管理控制策略进行管控；
9.s3.当需要改变某个服务及端口的状态时，使用修改接口更改对应服务或端口的状态，同时生成定时恢复任务，并根据定时恢复任务对更改状态的服务或端口进行状态恢复；
10.s4.云平台使用轮询检查任务判断各服务及端口状态是否与安全服务规则表中管理控制策略一致，以及不一致时，是否存在对应定时恢复任务，并在不一致，且不存在定时恢复任务时进行报警。
11.进一步地，步骤s1具体步骤如下：
12.s11.从历史经验库中获取云平台中服务和端口的历史管理控制策略；
13.s12.获取针对云平台中端口和服务人为制定的管理控制策略；
14.s13.结合历史管理控制策略及人为制定的管理控制策略，对云平台服务和端口生成安全服务规则表；
15.s14.将安全服务规则表导入云平台。基于历史经验库中历史安全管理控制策略，同时又因为云平台的应用场景可能存在不同，本发明也支持定制化地制定和修改默认的管理控制策略。
16.进一步地，步骤s2具体步骤如下：
17.s21.对云平台中已有主机的服务和端口使用安全服务规则表中管理控制策略进行管控，若原有状态与对应管理控制策略一致，不进行操作，若原有状态；
18.s22.当在云平台中增加新主机时，添加主机后，根据安全服务规则表中管理控制策略设定相应端口及服务的状态，完成新添加主机的初始化。通过安全服务规则表中管理控制策略对云平台中云主机的服务和端口进行管控，使其符合要求，从而可以对敏感的服务及端口进行安全的设置。
19.进一步地，步骤s21具体步骤如下：
20.s211.获取云平台中已有主机的服务和端口状态，并判断是否与安全服务规则表中对应管理控制策略一致；
21.若一致，则不进行操作，进入步骤s22；
22.若不一致，进入步骤s212；
23.s212.根据安全服务规则表，并使用修改接口更改已有主机的服务及端口状态，进入步骤s22。对云平台中已存在主机的敏感的服务及端口进行安全管控，即需要进行安全管控的服务及端口进行安全管控，使其符合安全服务规则表中的管理控制策略。
24.进一步地，步骤s22具体步骤如下：
25.s221.当中云平台中增加新主机时，获取添加的主机列表；
26.s222.依次判断主机列表中各主机的服务及端口默认状态是否与安全服务规则表中一致；
27.若一致，则不进行操作，进入步骤s3；
28.若不一致，则进入步骤s223；
29.s223.使用修改端口将主机列表中主机对应服务及端口由默认状态，修改为与安全服务规则表中管理控制策略一致的状态。对云平台中新添加主机的敏感的服务及端口进行安全管控，即需要进行安全管控的服务及端口进行安全管控，使其符合安全服务规则表中的管理控制策略，默认状态不符合策略，则进行状态修改。
30.进一步地，步骤s3具体步骤如下：
31.s31.当运维需求或用户需要使用某个端口及服务时，而该端口及服务的目的状态需要变更为与安全服务规则表中管理控制策略不一致时，使用修改接口更改对应服务或端口的实际状态为目的状态；
32.s32.根据修改状态的服务及端口需要使用的时长设定时间阈值，生成定时恢复任务；
33.s33.将各云主机对应的定时恢复任务生成任务列表；
34.s34.当任务列表中定时恢复任务达到设定时间阈值时，对应定时恢复任务启动，按照安全服务规则表中管理控制策略对更改状态的服务及端口进行状态恢复，并消除任务列表中对应定时恢复任务。本步骤是本发明的关键步骤，对于运维需求或用户需要使用某个端口及服务时，该服务及端口的状态可修改为短时的与安全服务规则表中管理控制策略不一致，使用完毕再进行恢复即可，即保证了该端口及服务的安全，又不影响使用；定时恢复任务通过quarz定时框架实现。
35.进一步地，步骤s4具体步骤如下：
36.s41.在云平台中设置轮询检查任务；
37.s42.轮询检查任务按照设定的轮询间隔时间启动，判断云平台中各服务及端口状态是否与安全服务规则表中管理控制策略一致；
38.若一致，返回步骤s2；
39.若不一致，进入步骤s43；
40.s43.判断状态与安全服务规则表中管理控制策略不一致的服务及端口是否存在对应定时恢复任务；
41.若是，返回步骤s2；
42.若否，进入步骤s44；
43.s44.云平台生成告警，提示对应服务及端口状态异常。轮询检查任务进一步保证安全服务规则表中的管理控制策略有效，确保各端口及服务的安全。轮询检查任务每隔一段时间就检查各个云主机的服务和端口是否满足安全策略要求，这样端口或服务在出现安全隐患时，云平台能够及时进行自动处理和发出告警通知管理人员。
44.第二方面，本发明提供一种云平台中主机敏感服务及端口的控制管理装置，包括：
45.安全服务规则表制定和导入模块，用于根据安全防护需求对云平台中服务和端口制定管理控制策略，生成安全服务规则表，并将安全服务规则表导入云平台；
46.云主机初始化模块，用于对云平台中新添加主机及云平台中已有主机的服务和端口，使用安全服务规则表中管理控制策略进行管控；
47.状态自动恢复模块，用于当需要改变某个服务及端口的状态时，使用修改接口更改对应服务或端口的状态，同时生成定时恢复任务，并根据定时恢复任务对更改状态的服务或端口进行状态恢复；
48.轮询异常检测模块，用于云平台使用轮询检查任务判断各服务及端口状态是否与安全服务规则表中管理控制策略一致，以及不一致时，是否存在对应定时恢复任务，并在不一致，且不存在定时恢复任务时进行报警。
49.进一步地，安全服务规则表制定和导入模块包括：
50.历史管理控制策略获取单元，用于从历史经验库中获取云平台中服务和端口的历史管理控制策略；
51.人为制定的管理控制策略获取单元，用于获取针对云平台中端口和服务人为制定的管理控制策略；
52.安全服务规则表生成单元，用于结合历史管理控制策略及人为制定的管理控制策略，对云平台服务和端口生成安全服务规则表；
53.安全服务规则表导入单元，用于将安全服务规则表导入云平台；
54.云主机初始化模块包括：
55.已有主机端口及服务状态策略匹配单元，用于对云平台中已有主机的服务和端口使用安全服务规则表中管理控制策略进行管控，若原有状态与对应管理控制策略一致，不进行操作，若原有状态；
56.新添加主机状态初始化单元，用于当在云平台中增加新主机时，添加主机后，根据安全服务规则表中管理控制策略设定相应端口及服务的状态，完成新添加主机的初始化。
57.进一步地，状态自动恢复模块包括：
58.服务及端口状态修改单元，用于当运维需求或用户需要使用某个端口及服务时，而该端口及服务的目的状态需要变更为与安全服务规则表中管理控制策略不一致时，使用修改接口更改对应服务或端口的实际状态为目的状态；
59.定时恢复任务生成单元，用于根据修改状态的服务及端口需要使用的时长设定时间阈值，生成定时恢复任务；
60.定时恢复任务列表生成单元，用于将各云主机对应的定时恢复任务生成任务列表；
61.定时恢复启动单元，用于当任务列表中定时恢复任务达到设定时间阈值时，对应定时恢复任务启动，按照安全服务规则表中管理控制策略对更改状态的服务及端口进行状态恢复，并消除任务列表中对应定时恢复任务；
62.轮询异常检测模块包括：
63.轮询检查任务设置单元，用于在云平台中设置轮询检查任务；
64.轮询检查任务启动单元，用于轮询检查任务按照设定的轮询间隔时间启动，判断云平台中各服务及端口状态是否与安全服务规则表中管理控制策略一致；
65.定时恢复任务存在判断单元，用于云平台中各服务及端口状态与安全服务规则表中管理控制策略不一致时，判断状态与安全服务规则表中管理控制策略不一致的服务及端口是否存在对应定时恢复任务；
66.异常报警单元，用于状态与安全服务规则表中管理控制策略不一致的服务及端口不存在对应定时恢复任务时，云平台生成告警，提示对应服务及端口状态异常。
67.本发明的有益效果在于：
68.本发明提供的云平台中主机敏感服务及端口的控制管理方法及装置，保证云主机中敏感服务及端口状态符合制定的管理控制策略，同时云平台中提供对这些服务及端口进行控制的修改接口，利用定时恢复任务和轮询检查任务相结合的方式，保证云平台中的敏感服务时刻处于要求的状态，当出现不一致时，能够及时进行告警通知，对云平台的安全防护建设具有非常重要的利用价值和意义。
69.此外，本发明设计原理可靠，结构简单，具有非常广泛的应用前景。
70.由此可见，本发明与现有技术相比，具有突出的实质性特点和显著的进步，其实施的有益效果也是显而易见的。
附图说明
71.为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现
有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
72.图1是本发明的云平台中主机敏感服务及端口的控制管理方法实施例1流程示意图。
73.图2是本发明的云平台中主机敏感服务及端口的控制管理方法实施例2流程示意图。
74.图3是本发明的云平台中主机敏感服务及端口的控制管理装置示意图。
75.图中，1-安全服务规则表制定和导入模块；1.1-历史管理控制策略获取单元；1.2-人为制定的管理控制策略获取单元；1.3-安全服务规则表生成单元；1.4-安全服务规则表导入单元；2-云主机初始化模块；2.1-已有主机端口及服务状态策略匹配单元；2.2-新添加主机状态初始化单元；3-状态自动恢复模块；3.1-服务及端口状态修改单元；3.2-定时恢复任务生成单元；3.3-定时恢复任务列表生成单元；3.4-定时恢复启动单元；4-轮询异常检测模块；4.1-轮询检查任务设置单元；4.2-轮询检查任务启动单元；4.3-定时恢复任务存在判断单元；4.4-异常报警单元。
具体实施方式
76.为了使本技术领域的人员更好地理解本发明中的技术方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。
77.quartz，是opensymphony开源组织在job scheduling领域又一个开源项目，完全由java开发，可以用来执行定时任务，类似于java.util.timer。
78.实施例1：
79.如图1所示，本发明提供一种云平台中主机敏感服务及端口的控制管理方法，包括如下步骤：
80.s1.根据安全防护需求对云平台中服务和端口制定管理控制策略，生成安全服务规则表，并将安全服务规则表导入云平台；
81.s2.对云平台中新添加主机及云平台中已有主机的服务和端口，使用安全服务规则表中管理控制策略进行管控；
82.s3.当需要改变某个服务及端口的状态时，使用修改接口更改对应服务或端口的状态，同时生成定时恢复任务，并根据定时恢复任务对更改状态的服务或端口进行状态恢复；
83.s4.云平台使用轮询检查任务判断各服务及端口状态是否与安全服务规则表中管理控制策略一致，以及不一致时，是否存在对应定时恢复任务，并在不一致，且不存在定时恢复任务时进行报警。
84.实施例2：
85.如图2所示，本发明提供一种云平台中主机敏感服务及端口的控制管理方法，包括如下步骤：
86.s1.根据安全防护需求对云平台中服务和端口制定管理控制策略，生成安全服务规则表，并将安全服务规则表导入云平台；具体步骤如下：
87.s11.从历史经验库中获取云平台中服务和端口的历史管理控制策略；
88.s12.获取针对云平台中端口和服务人为制定的管理控制策略；
89.s13.结合历史管理控制策略及人为制定的管理控制策略，对云平台服务和端口生成安全服务规则表；
90.s14.将安全服务规则表导入云平台；
91.以某些端口和服务的开发存在很大程度的风险为例，如sshd服务默认使用22端口，当该服务开启时，很可能被攻击者利用弱口令暴力破解，因此在安全性要求较高的环境中，要求sshd服务默认关闭，后期当运维使用该服务时，打开即可，这样就得到了一条默认安全规则[sshd，22，stop]，意思是sshd服务对应22端口默认关闭状态，其它存在风险的服务和端口的相关规则可使用相同的方法进行制定，最终形成一张默认的安全服务规则表。在云平台部署时，该安全服务规则表默认生效，同时，为了适应云平台环境所处环境的不同，云平台支持添加新的安全服务规则表以及支持编辑默认的安全服务规则表；
[0092]
s2.对云平台中新添加主机及云平台中已有主机的服务和端口，使用安全服务规则表中管理控制策略进行管控；具体步骤如下：
[0093]
s21.对云平台中已有主机的服务和端口使用安全服务规则表中管理控制策略进行管控，若原有状态与对应管理控制策略一致，不进行操作，若原有状态；具体步骤如下：
[0094]
s211.获取云平台中已有主机的服务和端口状态，并判断是否与安全服务规则表中对应管理控制策略一致；
[0095]
若一致，则不进行操作，进入步骤s22；
[0096]
若不一致，进入步骤s212；
[0097]
s212.根据安全服务规则表，并使用修改接口更改已有主机的服务及端口状态，进入步骤s22；
[0098]
s22.当在云平台中增加新主机时，添加主机后，根据安全服务规则表中管理控制策略设定相应端口及服务的状态，完成新添加主机的初始化；具体步骤如下：
[0099]
s221.当中云平台中增加新主机时，获取添加的主机列表；
[0100]
s222.依次判断主机列表中各主机的服务及端口默认状态是否与安全服务规则表中一致；
[0101]
若一致，则不进行操作，进入步骤s3；
[0102]
若不一致，则进入步骤s223；
[0103]
s223.使用修改端口将主机列表中主机对应服务及端口由默认状态，修改为与安全服务规则表中管理控制策略一致的状态；
[0104]
向云平台新增主机时，首先使用原有流程和步骤将云主机添加完成，然后调用修改接口进行敏感服务的初始化配置，根据云平台中当前规则表中的规则，逐条进行配置，以规则1为例进行说明，规则1[service1，port1，status1]，表示，服务service1及其对应port1的状态为status1，首先使用命令“systemctlstatusservice1”获取当前服务状态statusc，判断当前服务状态statusc是否满足status1，若不满足，则调用命令“systemctlstop/startstatus1”配置service1的状态，依次处理规则表中的全部服务，这
样就完成了新增云主机相关服务的初始化；
[0105]
s3.当需要改变某个服务及端口的状态时，使用修改接口更改对应服务或端口的状态，同时生成定时恢复任务，并根据定时恢复任务对更改状态的服务或端口进行状态恢复；具体步骤如下：
[0106]
s31.当运维需求或用户需要使用某个端口及服务时，而该端口及服务的目的状态需要变更为与安全服务规则表中管理控制策略不一致时，使用修改接口更改对应服务或端口的实际状态为目的状态；
[0107]
s32.根据修改状态的服务及端口需要使用的时长设定时间阈值，生成定时恢复任务；
[0108]
s33.将各云主机对应的定时恢复任务生成任务列表；
[0109]
s34.当任务列表中定时恢复任务达到设定时间阈值时，对应定时恢复任务启动，按照安全服务规则表中管理控制策略对更改状态的服务及端口进行状态恢复，并消除任务列表中对应定时恢复任务；
[0110]
定时恢复任务采用quartz定时任务框架，当满足定时恢复任务触发条件时，自动执行服务状态的还原操作，以sshd服务为例进行说明，其他服务与此类似，当通过云平台操作开启sshd服务时，根据quartz定时框架的框架原理，需要创建一个调度器scheduler，一个jobdetail执行内容实例以及一个触发器trigger，在触发器中设置执行时间间隔和策略，以定时间阈值为60分钟为例，执行策略为执行一次，同时在jobdetail中调用命令“systemctl stop sshd”“systemctldisablesshd”执行关闭sshd服务的操作，这样当打开sshd服务60分钟后，云平台会自动执行一次该定时恢复任务，将sshd服务关闭，恢复为默认的状态；
[0111]
s4.云平台使用轮询检查任务判断各服务及端口状态是否与安全服务规则表中管理控制策略一致，以及不一致时，是否存在对应定时恢复任务，并在不一致，且不存在定时恢复任务时进行报警；具体步骤如下：
[0112]
s41.在云平台中设置轮询检查任务；
[0113]
s42.轮询检查任务按照设定的轮询间隔时间启动，判断云平台中各服务及端口状态是否与安全服务规则表中管理控制策略一致；
[0114]
若一致，返回步骤s2；
[0115]
若不一致，进入步骤s43；
[0116]
s43.判断状态与安全服务规则表中管理控制策略不一致的服务及端口是否存在对应定时恢复任务；
[0117]
若是，返回步骤s2；
[0118]
若否，进入步骤s44；
[0119]
s44.云平台生成告警，提示对应服务及端口状态异常；
[0120]
在云平台中使用java提供的注解定时器scheduler注解轮询方法，实现轮询检查任务，以默认的轮询间隔时间1h为例，即云平台每隔1h就启动线程检测各个云主机中的服务是否与安全服务规则表中的要求一致，当全部一致时，就不进行任何操作，等待下一次检查；当云主机的某个服务的状态和安全服务规则表要求不一致时，再检测该云主机是否存在该服务对应的定时恢复任务，若存在则不进行任何操作，等待下一次检查，若不存在，则
云平台产生告警，同时再产生一个定时恢复任务；
[0121]
由于每种服务都存在一定的作用和用途，所以在安全服务规则表中的服务也可能由于场景要求而短暂地进行状态的改变，例如在排查云平台问题故障时，往往需要通过sshd服务连接22端口进入系统后台，此时要求云主机的sshd服务处于开启状态；在云平台中提供服务控制按键作为修改接口，该按键要求输入云主机的ip、服务的名字和状态，然后下发控制命令，该命令通过rabbitmq中的rpc实现云平台管理端和云主机之间的消息通信，完成对云主机的命令下发，该通信方式不依赖sshd服务。
[0122]
实施例3：
[0123]
如图3所示，本发明提供一种云平台中主机敏感服务及端口的控制管理装置，包括：
[0124]
安全服务规则表制定和导入模块1，用于根据安全防护需求对云平台中服务和端口制定管理控制策略，生成安全服务规则表，并将安全服务规则表导入云平台；安全服务规则表制定和导入模块1包括：
[0125]
历史管理控制策略获取单元1.1，用于从历史经验库中获取云平台中服务和端口的历史管理控制策略；
[0126]
人为制定的管理控制策略获取单元1.2，用于获取针对云平台中端口和服务人为制定的管理控制策略；
[0127]
安全服务规则表生成单元1.3，用于结合历史管理控制策略及人为制定的管理控制策略，对云平台服务和端口生成安全服务规则表；
[0128]
安全服务规则表导入单元1.4，用于将安全服务规则表导入云平台；
[0129]
云主机初始化模块2，用于对云平台中新添加主机及云平台中已有主机的服务和端口，使用安全服务规则表中管理控制策略进行管控；云主机初始化模块2包括：
[0130]
已有主机端口及服务状态策略匹配单元2.1，用于对云平台中已有主机的服务和端口使用安全服务规则表中管理控制策略进行管控，若原有状态与对应管理控制策略一致，不进行操作，若原有状态；
[0131]
新添加主机状态初始化单元2.2，用于当在云平台中增加新主机时，添加主机后，根据安全服务规则表中管理控制策略设定相应端口及服务的状态，完成新添加主机的初始化；
[0132]
状态自动恢复模块3，用于当需要改变某个服务及端口的状态时，使用修改接口更改对应服务或端口的状态，同时生成定时恢复任务，并根据定时恢复任务对更改状态的服务或端口进行状态恢复；状态自动恢复模块3包括：
[0133]
服务及端口状态修改单元3.1，用于当运维需求或用户需要使用某个端口及服务时，而该端口及服务的目的状态需要变更为与安全服务规则表中管理控制策略不一致时，使用修改接口更改对应服务或端口的实际状态为目的状态；
[0134]
定时恢复任务生成单元3.2，用于根据修改状态的服务及端口需要使用的时长设定时间阈值，生成定时恢复任务；
[0135]
定时恢复任务列表生成单元3.3，用于将各云主机对应的定时恢复任务生成任务列表；
[0136]
定时恢复启动单元3.4，用于当任务列表中定时恢复任务达到设定时间阈值时，对
应定时恢复任务启动，按照安全服务规则表中管理控制策略对更改状态的服务及端口进行状态恢复，并消除任务列表中对应定时恢复任务；
[0137]
轮询异常检测模块4，用于云平台使用轮询检查任务判断各服务及端口状态是否与安全服务规则表中管理控制策略一致，以及不一致时，是否存在对应定时恢复任务，并在不一致，且不存在定时恢复任务时进行报警；轮询异常检测模块4包括：
[0138]
轮询检查任务设置单元4.1，用于在云平台中设置轮询检查任务；
[0139]
轮询检查任务启动单元4.2，用于轮询检查任务按照设定的轮询间隔时间启动，判断云平台中各服务及端口状态是否与安全服务规则表中管理控制策略一致；
[0140]
定时恢复任务存在判断单元4.3，用于云平台中各服务及端口状态与安全服务规则表中管理控制策略不一致时，判断状态与安全服务规则表中管理控制策略不一致的服务及端口是否存在对应定时恢复任务；
[0141]
异常报警单元4.4，用于状态与安全服务规则表中管理控制策略不一致的服务及端口不存在对应定时恢复任务时，云平台生成告警，提示对应服务及端口状态异常。
[0142]
尽管通过参考附图并结合优选实施例的方式对本发明进行了详细描述，但本发明并不限于此。在不脱离本发明的精神和实质的前提下，本领域普通技术人员可以对本发明的实施例进行各种等效的修改或替换，而这些修改或替换都应在本发明的涵盖范围内/任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。