一种数据保护方法及安全堡垒机.pdf

本发明提供一种数据保护方法及堡垒机，将堡垒机串联在客户端和服务器之间的路径上，方法包括：获取服务器的多个数据；确定每个数据的重要级别，并设置系统管理员对重要级别高于设定阈值的数据无操作权限；在接收到系统管理员发送的第一操作指令时，确定第一操作指令所操作数据的重要级别；在确定第一操作指令所操作数据的重要级别高于设定阈值时，阻止第一操作指令对其所操作数据的访问。根据上述方案，通过设置系统管理员对重要级别高于设定阈值的数据无操作权限，从而避免了黑客通过获取系统管理员的权限来攻击服务器数据，提高了服务器数据的安全性能。

权利要求书1.  一种数据保护方法，其特征在于，将堡垒机串联在客户端和服务器之间的路径上，还包括：获取服务器的多个数据；确定每个数据的重要级别，并设置系统管理员对重要级别高于设定阈值的数据无操作权限；在接收到系统管理员发送的第一操作指令时，确定所述第一操作指令所操作数据的重要级别；在确定所述第一操作指令所操作数据的重要级别高于所述设定阈值时，阻止所述第一操作指令对其所操作数据的访问。2.  根据权利要求1所述的方法，其特征在于，进一步包括：根据重要级别高于所述设定阈值的各个数据，建立访问控制列表，并设置对所述访问控制列表具有操作权限的应用程序；进一步包括：在接收到目标应用程序发送的第二操作指令时，确定所述第二操作指令所操作数据的重要级别，在确定所述第二操作指令所操作数据的重要级别高于所述设定阈值时，判断所述目标应用程序是否对所述访问控制列表具有操作权限，在判断结果为所述目标应用程序对所述访问控制列表具有操作权限时，允许所述目标应用程序对所述访问控制列表进行操作，否则，阻止所述目标应用程序对所述访问控制列表进行操作。3.  根据权利要求2所述的方法，其特征在于，进一步包括：设置应用程序在请求操作重要级别高于所述设定阈值数据时重定向操作；在所述确定所述第二操作指令所操作数据的重要级别高于所述设定阈值时，对所述第二操作指令进行重定向操作，以执行所述判断所述目标应用程序是否对所述访问控制列表具有操作权限。4.  根据权利要求1所述的方法，其特征在于，进一步包括：创建独立的内核加固管理员，利用所述内核加固管理员执行所述确定每 个数据的重要级别，并设置系统管理员对重要级别高于设定阈值的数据无操作权限操作。5.  根据权利要求2所述的方法，其特征在于，进一步包括：利用浏览器方式接收所述目标应用程序发送的第二操作指令。6.  一种堡垒机，其特征在于，所述堡垒机串联在客户端和服务器之间的路径上，包括：获取单元，用于获取服务器的多个数据；处理单元，用于确定每个数据的重要级别，并设置系统管理员对重要级别高于设定阈值的数据无操作权限；确定单元，用于在接收到系统管理员发送的第一操作指令时，确定所述第一操作指令所操作数据的重要级别；阻止单元，用于在确定所述第一操作指令所操作数据的重要级别高于所述设定阈值时，阻止所述第一操作指令对其所操作数据的访问。7.  根据权利要求6所述的堡垒机，其特征在于，进一步包括：建立单元，用于根据重要级别高于所述设定阈值的各个数据，建立访问控制列表，并设置对所述访问控制列表具有操作权限的应用程序；所述确定单元，用于在接收到目标应用程序发送的第二操作指令时，确定所述第二操作指令所操作数据的重要级别，在确定所述第二操作指令所操作数据的重要级别高于所述设定阈值时，判断所述目标应用程序是否对所述访问控制列表具有操作权限，在判断结果为所述目标应用程序对所述访问控制列表具有操作权限时，允许所述目标应用程序对所述访问控制列表进行操作，否则，阻止所述目标应用程序对所述访问控制列表进行操作。8.  根据权利要求7所述的堡垒机，其特征在于，所述处理单元，用于设置应用程序在请求操作重要级别高于所述设定阈值数据时重定向操作；在所述确定所述第二操作指令所操作数据的重要级别高于所述设定阈值时，对所述第二操作指令进行重定向操作，以执行所述判断所述目标应用程序是否对所述访问控制列表具有操作权限。9.  根据权利要求6所述的堡垒机，其特征在于，进一步包括：创建单元，用于创建独立的内核加固管理员，利用所述内核加固管理员执行所述确定每个数据的重要级别，并设置系统管理员对重要级别高于设定阈值的数据无操作权限操作。10.  根据权利要求8所述的堡垒机，其特征在于，进一步包括：接收单元，用于利用浏览器方式接收所述目标应用程序发送的第二操作指令。

说明书一种数据保护方法及安全堡垒机
技术领域
本发明涉及通信技术领域，特别涉及一种数据保护方法及堡垒机。
背景技术
随着通信技术的飞速发展，服务器的数据安全尤其重要。传统的数据保护方法可以利用堡垒机保证服务器的数据安全。其中，堡垒机是一种面向数据中心的运维审计类产品，可以提供单点登录、账号管理、授权管理和安全审计等功能。
现有技术中采用堡垒机保证服务器的数据安全，通过将堡垒机串联连接在客户端和服务器之间，由客户端侧的系统管理员获取服务器中的数据，并将服务器中的数据存储到堡垒机中，在接收到客户端发送的访问指令时，需要根据该访问指令判断客户端所访问目标数据的权限，只有对目标数据具有权限的客户端才能够访问。其中，系统管理员具有最高权限，具有访问、修改等操作功能。
然而，若堡垒机遭到黑客攻击，黑客获取系统管理员的权限，利用系统管理员在堡垒机中的最高权限访问、修改服务器的数据，从而无法保证服务器数据的安全性。
发明内容
有鉴于此，本发明提供一种数据保护方法及堡垒机，以保证服务器数据的安全性。
本发明提供了一种数据保护方法，将堡垒机串联在客户端和服务器之间 的路径上，还包括：
获取服务器的多个数据；
确定每个数据的重要级别，并设置系统管理员对重要级别高于设定阈值的数据无操作权限；
在接收到系统管理员发送的第一操作指令时，确定所述第一操作指令所操作数据的重要级别；
在确定所述第一操作指令所操作数据的重要级别高于所述设定阈值时，阻止所述第一操作指令对其所操作数据的访问。
优选地，
进一步包括：根据重要级别高于所述设定阈值的各个数据，建立访问控制列表，并设置对所述访问控制列表具有操作权限的应用程序；
进一步包括：在接收到目标应用程序发送的第二操作指令时，确定所述第二操作指令所操作数据的重要级别，在确定所述第二操作指令所操作数据的重要级别高于所述设定阈值时，判断所述目标应用程序是否对所述访问控制列表具有操作权限，在判断结果为所述目标应用程序对所述访问控制列表具有操作权限时，允许所述目标应用程序对所述访问控制列表进行操作，否则，阻止所述目标应用程序对所述访问控制列表进行操作。
优选地，
进一步包括：设置应用程序在请求操作重要级别高于所述设定阈值数据时重定向操作；在所述确定所述第二操作指令所操作数据的重要级别高于所述设定阈值时，对所述第二操作指令进行重定向操作，以执行所述判断所述目标应用程序是否对所述访问控制列表具有操作权限。
优选地，进一步包括：
创建独立的内核加固管理员，利用所述内核加固管理员执行所述确定每个数据的重要级别，并设置系统管理员对重要级别高于设定阈值的数据无操作权限操作。
优选地，进一步包括：
利用浏览器方式接收所述目标应用程序发送的第二操作指令。
本发明还提供了一种堡垒机，所述堡垒机串联在客户端和服务器之间的路径上，包括：
获取单元，用于获取服务器的多个数据；
处理单元，用于确定每个数据的重要级别，并设置系统管理员对重要级别高于设定阈值的数据无操作权限；
确定单元，用于在接收到系统管理员发送的第一操作指令时，确定所述第一操作指令所操作数据的重要级别；
阻止单元，用于在确定所述第一操作指令所操作数据的重要级别高于所述设定阈值时，阻止所述第一操作指令对其所操作数据的访问。
优选地，进一步包括：
建立单元，用于根据重要级别高于所述设定阈值的各个数据，建立访问控制列表，并设置对所述访问控制列表具有操作权限的应用程序；
所述确定单元，用于在接收到目标应用程序发送的第二操作指令时，确定所述第二操作指令所操作数据的重要级别，在确定所述第二操作指令所操作数据的重要级别高于所述设定阈值时，判断所述目标应用程序是否对所述访问控制列表具有操作权限，在判断结果为所述目标应用程序对所述访问控制列表具有操作权限时，允许所述目标应用程序对所述访问控制列表进行操作，否则，阻止所述目标应用程序对所述访问控制列表进行操作。
优选地，所述处理单元，用于设置应用程序在请求操作重要级别高于所述设定阈值数据时重定向操作；在所述确定所述第二操作指令所操作数据的重要级别高于所述设定阈值时，对所述第二操作指令进行重定向操作，以执行所述判断所述目标应用程序是否对所述访问控制列表具有操作权限。
优选地，进一步包括：
创建单元，用于创建独立的内核加固管理员，利用所述内核加固管理员执行所述确定每个数据的重要级别，并设置系统管理员对重要级别高于设定阈值的数据无操作权限操作。
优选地，进一步包括：
接收单元，用于利用浏览器方式接收所述目标应用程序发送的第二操作指令。
本发明实施例提供了一种数据保护方法及堡垒机，通过设置系统管理员对重要级别高于设定阈值的数据无操作权限，以使系统管理员在对重要级别高于设定阈值的数据时，阻止系统管理员对操作数据的操作，从而避免了黑客通过获取系统管理员的权限来攻击服务器数据，提高了服务器数据的安全性能。
附图说明
图1是本发明实施例提供的方法流程图；
图2是本发明另一实施例提供的方法流程图；
图3是本发明实施例提供的堡垒机串联在客户端与服务器之间的示意图；
图4是本发明实施例提供的堡垒机结构示意图；
图5是本发明另一实施例提供的堡垒机结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
如图1所示，本发明实施例提供了一种数据保护方法，将堡垒机串联在客户端和服务器之间的路径上，该方法可以包括以下步骤：
步骤101：获取服务器的多个数据。
步骤102：确定每个数据的重要级别，并设置系统管理员对重要级别高于设定阈值的数据无操作权限。
步骤103：在接收到系统管理员发送的第一操作指令时，确定第一操作 指令所操作数据的重要级别。
步骤104：在确定第一操作指令所操作数据的重要级别高于设定阈值时，阻止第一操作指令对其所操作数据的访问。
根据上述方案，通过设置系统管理员对重要级别高于设定阈值的数据无操作权限，以使系统管理员在对重要级别高于设定阈值的数据时，阻止系统管理员对操作数据的操作，从而避免了黑客通过获取系统管理员的权限来攻击服务器数据，提高了服务器数据的安全性能。
为了进一步提高服务器数据的安全性能，还需要根据重要级别高于设定阈值的各个数据，建立访问控制列表，并设置对访问控制列表具有操作权限的应用程序；在接收到目标应用程序发送的第二操作指令时，确定第二操作指令所操作数据的重要级别，在确定第二操作指令所操作数据的重要级别高于设定阈值时，判断目标应用程序是否对访问控制列表具有操作权限，在判断结果为目标应用程序对访问控制列表具有操作权限时，允许目标应用程序对访问控制列表进行操作，否则，阻止目标应用程序对访问控制列表进行操作。
为使本发明的目的、技术方案和优点更加清楚，下面结合附图及具体实施例对本发明作进一步地详细描述。
如图2所示，本发明实施例提供了一种数据保护方法，该方法可以包括以下步骤：
步骤201：配置堡垒机系统网络，将堡垒机串联在客户端和服务器之间的路径上。
如图3所示，通过将堡垒机串联在客户端和服务器之间的路径上，当客户端需要访问服务器时，必须通过堡垒机，堡垒机通过协议代理、自动代填等关键技术，可以实现运维用户对远程服务器的单点登录，能够有效防止客户端在恶意访问服务器数据时进行及时阻止，以保证服务器数据的安全性能。
步骤202：在客户端侧，内核加固管理员通过浏览器登录堡垒机的管理系统，获取服务器多个数据。
在本实施例中，为了与系统管理员的权限区分开来，可以创建一个与系统管理员相互独立的内核加固管理员来登录堡垒机系统以实现数据存储。堡垒机操作系统内核经过定制开发、重新编译，从内核层存储服务器账号密码的系统目录、文件进行保护，提高堡垒机系统安全等级。
在本实施例中，使用浏览器登录堡垒机的方式能够进一步防止黑客的攻击。其中，获取服务器的多个数据可以包括：IP地址、端口、系统账号、密码等信息。
在本实施例中，堡垒机可以通过协议代理转发的方式连接服务器，以获取服务器的多个数据。其中，服务器的运维短裤(3389、22)只对堡垒机开放，并且支持所有Windows类服务器、RedHat、Solaris、HP-UNIX、AIX等类Unix服务器的访问管理。
步骤203：内核加固管理员根据获取的服务器的多个数据，设定每个数据的重要级别，并根据重要级别大于设定阈值的数据建立访问控制列表。
由于在现有技术中系统管理员具有对堡垒机中的内核层所存储的服务器数据进行最高的操作权限，因此容易使得黑客以某种方式获取到系统管理的最高操作权限，从而对堡垒机中的内核层进行攻击，为了保证堡垒机中内核层所保存的重要数据不被攻击，可以设定每个数据的重要级别，例如，设定IP地址的重要级别为1、端口的重要级别为3、系统账号的重要级别为2、密码的重要级别为3。其中，重要级别所对应的数字越大，其重要程度就越高。
因此，在本实施例中，可以设定一个阈值，例如2，将重要级别大于该阈值的数据作为重要数据，保证不被黑客攻击，可以根据重要级别大于2的数据建立访问控制列表。其中，访问控制列表包括重要级别大于2的数据信息。
步骤204：内核加固管理员设置对访问控制列表具有操作权限的应用程序，并设置系统管理员对访问控制列表无操作权限，并将设置的操作权限存储到堡垒机的加固层。
在本实施例中，为了防止黑客获取系统管理员的权限而对堡垒机进行攻 击，可以适当削弱系统管理的权限，例如，设置系统管理员对访问控制列表无操作权限，即系统管理员无法实现对访问控制列表中所包括的重要级别较高的数据进行操作，相应地，系统管理员对重要级别小于设定阈值的数据具有操作权限。
在本实施例中，还需要设置对访问控制列表具有操作权限的应用程序，可以通过签名的方式设置对访问控制列表具有操作权限的应用程序/etc/ssc/sscservice，例如，设定应用程序A、应用程序B和应用程序C对访问控制列表具有操作权限，那么就在应用程序A、应用程序B和应用程序C进行签名，例如，利用128位Hash签名算法，对可信的堡垒机的应用程序A、应用程序B和应用程序C进行签名，允许其对访问控制列表中的对象进行操作。其中，还可以设置可信的堡垒机的应用程序对访问控制列表中的对象的哪一种操作，例如，允许应用程序A对访问控制列表中的对象进行读操作，允许应用程序B和应用程序C对访问控制列表中的对象进行读和修改的操作权限。
为了保证堡垒机内核层所存储数据的安全性，如图3所示，可以利用HOOK技术在堡垒机中用户层和内核层之间增加加固层，从而在堡垒机中构建了一个访问控制层，将上述操作权限的设置添加到该加固层中，并设定重定向函数，以使每一个操作指令均需重定向到加固层进行判断，从而限制系统管理员的权限。另外，通过在堡垒机中增加加固层，并提供用户层接口和单独的内核加固管理员，自定义对关键系统目录文件的强制访问控制列表。
步骤205：退出内核加固管理员的登录，启动内核加固程序的守护进程启动脚本Dprotect.sh，以对内核层进行保护。
步骤206：接收客户端侧发送的操作指令，根据该操作指令，确定该操作指令所请求操作的数据的重要级别，若所请求操作的数据的重要级别小于等于设定阈值，则允许其对所请求操作的数据进行操作；否则，继续执行步骤207。
其中，可以利用浏览器方式接收客户端侧发生的操作指令。
步骤207：判断该操作指令是否具有对所请求操作的数据的操作权限，若该操作指令是由系统管理员发送的，则执行步骤208，若该操作指令是由具有访问控制列表的操作权限的应用程序所发送的，则执行步骤209，若该操作指令是由不具有访问控制列表的操作权限的应用程序锁发送的，则执行步骤208。
步骤208：提示客户端，该操作指令没有权限。
例如，该提示内容可以是：操作被阻止，请联系内核加固管理员。
步骤209：允许该操作指令对所请求操作的数据进行操作。
由以上结果可知，经过内核加固的安全堡垒机系统，可以对操作系统关键目录、文件进行内核级防护，限制系统管理员的操作权限，提高操作系统安全等级，最小化黑客攻击造成的后果。
在本实施例中，该内核加固技术对用户不可见，且不影响正常应用，但是，可以防止黑客攻击堡垒机后，利用系统管理员查看、修改、删除储存的服务器账号密码，提高堡垒操作系统的安全等级。
根据上述方案，该堡垒机开源采用开源Linux操作系统，可以通过内核加固技术直接与Linux内核接口进行通信，并在内核层与用户层之间建立一种强制访问控制层，使应用层请求访问内核时都必须与强制访问控制层进行交互，获得强制访问控制层的许可后才能访问内核接口和数据。
如图4所示，本发明实施例还提供了一种堡垒机，堡垒机串联在客户端和服务器之间的路径上，包括：
获取单元401，用于获取服务器的多个数据；
处理单元402，用于确定每个数据的重要级别，并设置系统管理员对重要级别高于设定阈值的数据无操作权限；
确定单元403，用于在接收到系统管理员发送的第一操作指令时，确定所述第一操作指令所操作数据的重要级别；
阻止单元404，用于在确定所述第一操作指令所操作数据的重要级别高于所述设定阈值时，阻止所述第一操作指令对其所操作数据的访问。
在本发明一个实施例中，如图5所示，该堡垒机可以进一步包括：
建立单元501，用于根据重要级别高于所述设定阈值的各个数据，建立访问控制列表，并设置对所述访问控制列表具有操作权限的应用程序；
所述确定单元403，用于在接收到目标应用程序发送的第二操作指令时，确定所述第二操作指令所操作数据的重要级别，在确定所述第二操作指令所操作数据的重要级别高于所述设定阈值时，判断所述目标应用程序是否对所述访问控制列表具有操作权限，在判断结果为所述目标应用程序对所述访问控制列表具有操作权限时，允许所述目标应用程序对所述访问控制列表进行操作，否则，阻止所述目标应用程序对所述访问控制列表进行操作。
进一步地，所述处理单元402，用于设置应用程序在请求操作重要级别高于所述设定阈值数据时重定向操作；在所述确定所述第二操作指令所操作数据的重要级别高于所述设定阈值时，对所述第二操作指令进行重定向操作，以执行所述判断所述目标应用程序是否对所述访问控制列表具有操作权限。
进一步包括：
创建单元502，用于创建独立的内核加固管理员，利用所述内核加固管理员执行所述确定每个数据的重要级别，并设置系统管理员对重要级别高于设定阈值的数据无操作权限操作。
接收单元503，用于利用浏览器方式接收所述目标应用程序发送的第二操作指令。
综上，本发明实施例至少可以实现如下有益效果：
1、通过设置系统管理员对重要级别高于设定阈值的数据无操作权限，以使系统管理员在对重要级别高于设定阈值的数据时，阻止系统管理员对操作数据的操作，从而避免了黑客通过获取系统管理员的权限来攻击服务器数据，提高了服务器数据的安全性能。
2、通过设置对访问控制列表具有操作权限的应用程序，只有具有操作权限的应用程序才能够访问该访问控制列表，从而进一步提高了服务器数据的安全性能。
上述设备内的各单元之间的信息交互、执行过程等内容，由于与本发明方法实施例基于同一构思，具体内容可参见本发明方法实施例中的叙述，此处不再赘述。
需要说明的是，在本文中，诸如第一和第二之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个······”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同因素。
本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储在计算机可读取的存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质中。
最后需要说明的是：以上所述仅为本发明的较佳实施例，仅用于说明本发明的技术方案，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均包含在本发明的保护范围内。