基于群集技术的数据集中管控系统*

李本刚

（江苏自动化研究所 连云港 222061）

1 引言

近年来，随着计算机和网络技术的高速发展，不管是党政机关、还是各行各业，我国从国防建设、公共服务、科研生产到日常生活，均离不开计算机和网络的支持。与此同时，承载这些服务的终端面临未知边界、虚假认证、缺少可控等诸多安全风险，危害信息安全的事件也不断发生［1］。全球最具权威的IT研究与顾问咨询公司Gartner曾指出，80%的安全攻击、数据外泄及系统宕机事件均与前端计算机或是端点用户相关，计算机（终端）的运行安全成为了最难以解决的信息化痛点。

2 当前面临的主要问题

随着计算机和网络的普及，针对计算机的网络攻击也越来越频繁，比如近期出现的incasefrmat计算机超级蠕虫病毒，再比如早先年Tellyouthepass勒索病毒的泛滥［2］，再到利用EternalBlue（永恒之蓝）进行漏洞攻击等，均有一个显著共性特点，即利用系统自身的漏洞或后门，在系统启动过程中植入和攻击。目前的解决思路主要是在操作系统上叠加应用级的管控软件去解决问题，包括沙箱、还原软件、主机审计、三合一［3］、应用防火墙、防病毒软件等。主流的信息安全体系架构如图1所示［4］。

图1 信息安全体系框架图

应用级的管控软件都有一个共同的问题，就是依赖系统提供的权限和接口实现恶意程序和代码的执行、写入限制。如果操作系统自身的漏洞或是权限、接口、中断被劫持接管，则这些管控不攻自破，并且这类应用级管控工具并无针对操作系统和应用系统的集群部署、灾备、更新功能。且主流操作系统的代码均掌握在国外，代码的安全性未知，是否有后门和木马无从确定，一旦出现伊朗震网病毒这种安全事件，就会面临无法承受之痛［5］。

当前国家积极开展自主可控建设，但目前计算机系统自主可控技术还处于发展阶段，存在普遍的碎片化、兼容性和不稳定性问题，原有很多Wintel体系的运维技术手段也并不适用［6］。从架构层面去解决庞大的计算机群的安全管理运维难题［7］，采用平台级的集中管理型技术，从底层把国内外操作系统托举起来、安全地管理起来，实现知识集中，信息加密存储、传输、处理，并提供授权的安全可控的内部操作应用环境是一条可行的路线。

3 技术路线及实现方法

本研究从底层入手，基于服务器对用户终端进行集中管理的C/S架构，终端采用分布式本地运算及可信计算的算法模型，采用专用协议，实现从服务器到终端、用户终端操作系统和计算机硬件之间构建一个闭环安全层。在不改变现有运算模式的前提下、对运行环境实现可信任的安全可控［8］。采用群集文件系统对用户的初始运行环境数据进行统一的后端标准化构建和管理，采用数据指针技术为每个用户分配一个可信任的运行计算环境，构建一种特有的安全计算架构，透过专用磁盘扇区网络传输协议将运行环境以本地磁盘扇区的方式缓存存储在用户硬盘上，针对扇区的数据指针技术可以有效防止数据篡改和访问攻击，确保磁盘I/O访问的逻辑安全性和运行环境的可恢复性，从而建立数据动静态安全体系和运维保障体系［9］。

3.1 基于群集文件和数据指针系统的集中管理技术

本研究设计了一种专用的群集磁盘扇区文件系统，以标准的磁盘扇区块为存储单位，在服务器端构建用户终端需要的运行环境，包含文件系统、操作系统、驱动库、应用软件及配置。这些存储单位采用数据指针架构进行管理，数据指针负责数据的组织调度。

当终端要运行计算环境时，后端服务器向其推送含有对应专有文件的五个库表的数据指针，以数据指针为索引，终端将磁盘扇区数据有机组织起来形成完整的运行环境支撑。该群集文件系统和数据指针技术保证了在多终端同时运行的模式下，共享型的数据只读，每台终端的个性化数据单独写入存放。在使用过程中，所产生的数据变化造成的运行数据、用户动态数据和程序修改等都受数据指针系统全程控制。

3.2 动态和静态数据安全设计

本研究设计的磁盘扇区传输协议是一套计算机硬盘扇区数据管理与传输服务供应协议，是系统平台的通讯基础，位于客户端操作系统之下，可直接对客户端的硬盘扇区数据进行管理和控制，位于OSI 7层网络模式中的数据链路层（在需要的时候也可转换为网络层协议），能够将各种服务套件以扇区缓存的方式动态架构到终端的硬盘内，内含多组协议指令，可用于执行客户端硬盘扇区数据的存取与管理工作（例如安装、删除、存储空间调整、复制、存取管理、桌面环境整合）。

数据在动态使用和传输过程中，在数据指针的控制下呈现。一旦服务器与终端的安全进程被打断，将马上被服务器所发现，服务器的群集文件系统和磁盘扇区传输协议将中止数据的组织和调度，从而使得数据无法被非法获取［10］。同样的原理，终端如果与服务器端未建立合法的通讯、获取授权的数据指针，则终端的扇区数据缺乏组织与调度，同样无法恢复和呈现成可访问的明文信息。则终端在未启动情况下的静态数据安全防护问题也得到了解决。

图2 基于微系统认证的数据安全策略

3.3 以本地缓存技术为基础的运维保障技术

本研究还开发了磁盘本地缓存技术（Local Cache），除了解决前后端运行环境的高效运维外，还从本质上解决可信终端的运行计算速度问题、对网络的带宽占用问题以及对服务器要求高等问题。

通过此一架构，用户终端无需安装部署任何系统，只需开机即可从服务器以随需的方式获取运行环境，并以磁盘本地缓存技术（Local Cache）将本次获取的扇区数据同步至本地物理磁盘保存、服务器的数据指针记录这一操作；用户重复运行系统或应用，则会在服务器数据指针的指引下将I/O访问指向本地磁盘的缓存数据。用户运行时产生的写入数据则一律在数据指针的指引下以磁盘本地缓存技术（Local Cache）写入本地磁盘，服务器只需采用数据指针同步记录操作索引，用户后期调用这些数据时，数据指针负责将其涉及到的前后端数据组织起来供用户运行环境使用。用户在运行环境时采用本地化运算模式，以上的机制彻底解决用户对服务器和网络的重复性占用和I/O性能要求。

同样，此种架构可确保用户终端获得灾难恢复的能力，一旦系统损坏或是被篡改，则服务器的数据指针就可纠正此一错误，敏捷而快速地将磁盘本地缓存恢复到标准可用状态［11］，确保业务连续性。

4 功能价值

除了能对现有的国外Wintel系统的支持，基于群集技术的数据集中管控还能在自主可控计算机平台上完成兼容部署实施，并在确保合规性的前提下稳定运行、实现智能化运维和安全保障。

随着自主可控产业的不断发展，相关软硬件设备也在不断的完善和升级，但依然面临软件生态不健全和运行稳定性欠佳的问题，据不完全统计目前自主可控硬件设备的良品率不到80%，终端存在一定比例的异常重启、蓝屏、死机等故障，而发展所需的不断迭代，也导致了国产系统和应用都要不断升级更新的问题，对运维体系更是带来了巨大的压力。国内相关机构转换思路，颠覆以往通过应用层管控打造安全和运维体系架构的模式，继而采用基于群集文件系统的新技术，实现了对原有Wintel系统和国产化系统以下几个管控目标。

1）自主可控：实现新型的、跨平台的、完全自主可控的、从底层对操作系统及数据的进行支撑和安全管理的计算机软硬件支撑平台。在实现信息化建设的安全目标、降低方案风险的前提下，抵御信息安全攻击，确保系统稳定运行。

2）安全保密：从底层接管对操作系统和应用的管理，建立独立的数据防护边界，无论是系统在运行时、还是关机时外接端口均可封堵，即使设备及存储介质被窃，也可做到数据无法外泄；还可提供安全接口，与上层的安全工具结合，变孤岛式的工具管理为联动安全，打造更加安全的信息安全体系。

3）运行保障：此种系统工作在底层，权限比文件系统和操作系统更高，可无视系统破坏、病毒及恶意代码，发生任何突发系统及软件灾难，都可瞬间恢复，提供7*24h的应急运行保障机制［12］；大规模系统部署、更新及升级也无需逐台进行，可在中心统一部署、自动推送，简化信息化运维工作。

4）兼容性好：软件代码自主可控，支持自主可控硬件，无缝支持现有的国外主流操作系统及自主可控操作系统和应用，从底层对其进行支撑，以更高的权限对其进行管理。

5）管理有效：通过一台服务器，管理所辖的计算机设备，真正实现有效监控、监管，必要时（例如设备遗失或被他人截获）可让其无法可用。可对所有计算机的系统和数据以自有的安全数据格式自动备份，在后台安全存放，实现高性能、高安全性的系统及数据容灾机制。

5 结语

保障信息安全就是保障企业生命。信息化是个系统工程、体系工程，一味地加装应用安全工具治标不治本，因此，需要从架构入手、真正掌握信息安全的主动权。在当前国际风云变幻的大环境下，本文提出的基于群集技术的数据集中管控解决方案，为信息安全系统的后续发展提供技术参考和研究方向，以期可以为企事业单位保障信息安全、降低总拥有成本、提高生产效率添砖加瓦。