Устройство и способ администрирования сервера

Изобретение относится к администрированию серверов высокого уровня секретности. Технический результат – обеспечение высокого уровня безопасности при администрировании серверов. Устройство для администрирования по меньшей мере одного администрируемого сервера содержит промежуточный сервер, содержащий оперативное запоминающее устройство, постоянное запоминающее устройство, процессор, блок безопасности. 2 н. и 9 з.п. ф-лы, 2 ил.

 

ПРЕДПОСЫЛКИ К СОЗДАНИЮ ИЗОБРЕТЕНИЯ

Область техники, к которой относится изобретение

Настоящее изобретение в целом относится к способам и устройствам для администрирования серверов, и, в частности, к способам и устройствам для администрирования серверов высокого уровня секретности.

Обзор уровня техники

В настоящее время известны различные программные продукты, обеспечивающие способы и устройства для администрирования одного или более серверов, в частности Puppet, Ansible, Salt, Chef, Amazon AWS. Однако эти программные продукты не обеспечивают достаточный уровень конфиденциальности и секретности администрируемых серверов. Таким образом, существует потребность в оперативном обслуживании серверов высокой конфиденциальности и секретности, относящиеся к системам, обрабатывающим и/или хранящим данные, составляющие коммерческую/финансовую/банковскую тайну, или персональные данные.

Для решения этой задачи были разработаны различные технологии.

Например, из документа US 2016269363 A1 известно ограничение связи в промышленном управлении посредством интегрирования функций виртуальной частной сети в программируемый логический контроллер промышленной сети управления таким образом, что физический доступ к сетевому интерфейсу недостаточен для доступа к информации. Программируемый логический контроллер только принимает команды или сообщения, предоставляемые через интерфейс виртуальной частной сети, и не принимает сообщения, направляемые непосредственно в программируемый логический контроллер (20), предотвращая нарушения правил безопасности в связи. Однако безопасность при таком подходе также может быть нарушена с получением доступа к логическому контроллеру.

Также из документа US 2016269445 A1 известен способ обеспечения облачной сетевой безопасности и контроля доступа в сетевой вычислительной системе, который включает в себя: прием запроса сетевого трафика от пользовательского устройства, идентификации устройства пользователя, применяя правила, специфичные для запроса сетевого трафика и пользовательского устройства, получение данных, специфичных для запроса сетевого трафика в соответствии с правилами применения, а также направление данных пользователю устройства для представления пользователю в соответствии с применяемыми правилами. Правила могут включать блокировку, сбор, обработку, перенаправление и предупреждение сетевого трафика, связанного с пользовательским устройством. Способ может включать в себя мониторинг сетевого трафика из пользовательского устройства и генерирование отчетов относительно контролируемого сетевого трафика. Также способ может дополнительно включать в себя обнаружение нарушений правил и направление оповещения о нарушении правил к одному или нескольким указанным устройствам. Однако при использовании данного способа возможен обход механизмов безопасности с получением прямого доступа к сетевому трафику, и поэтому он нецелесообразен для использования с целью администрирования серверов высокого уровня секретности.

Часть указанных выше недостатков была решена в системе, раскрытой в документе US 2016277447, которая содержит: компьютерный блок с правилами, принимающий потоки данных, проходящих между сетью и приложением, и контроллер. Компьютерный блок с правилами установлен между сетью и приложением и определяет информацию о потоке данных и в зависимости от указанной информации выполняет действие по отношению к указанному потоку. Контроллер сконфигурирован для предоставления управляющей информации указанному компьютерному блоку, чтобы определить одно или несколько действий, причем связь между указанным компьютерным блоком и контроллером защищена. Таким образом, хотя такая технология обеспечивает большую безопасность, она не обеспечивает должный уровень безопасности при администрировании серверов высокого уровня секретности.

РАСКРЫТИЕ ИЗОБРЕТЕНИЯ

Задачей настоящего изобретения является создание способа и устройства для администрирования серверов высокого уровня секретности, которые обеспечивают высокий уровень безопасности при администрировании серверов.

Предложено устройство для администрирования по меньшей мере одного администрируемого сервера, содержащее: промежуточный сервер, содержащий оперативное запоминающее устройство, постоянное запоминающее устройство и процессор. Постоянное запоминающее устройство промежуточного сервера содержит набор правил, определяющих взаимодействие заданного пользователя с по меньшей мере одним заданным администрируемым сервером из числа указанного по меньшей мере одного администрируемого сервера. Промежуточный сервер соединен с указанным по меньшей мере одним администрируемым сервером и выполнен с возможностью направления ему команд на выполнение действий по его администрированию и получения данных о результатах выполнения указанных команд. Промежуточный сервер выполнен с возможностью получения запросов пользователей в оперативное запоминающее устройство на направление команд по меньшей мере одному администрируемому серверу на выполнение действий по его администрированию и обработки указанных запросов посредством процессора согласно набору правил.

Достигаемый технический результат заключается в возможности администрирования посредством предлагаемого устройства серверов высокого уровня секретности с обеспечением высокого уровня безопасности в процессе администрирования благодаря тому, что предлагаемое устройство обеспечивает взаимодействие с администрируемыми серверами без предоставления к ним прямого доступа. Кроме того, обеспечивается контроль действий на администрируемых серверах.

Согласно одному из вариантов реализации настоящего изобретения промежуточный сервер содержит устройства ввода, выполненные с возможностью введения пользователями запросов на администрирование по меньшей мере одного администрируемого сервера.

Согласно другому из вариантов реализации настоящего изобретения промежуточный сервер выполнен с возможностью получения запросов от удаленных пользователей.

Согласно еще одному из вариантов реализации настоящего изобретения промежуточный сервер выполнен с возможностью протоколирования запросов пользователей и соответствующих событий на промежуточном сервере и/или по меньшей мере одном администрируемом сервере, связанных с указанными запросами.

Согласно еще одному из вариантов реализации настоящего изобретения промежуточный сервер выполнен с возможностью направления данных по меньшей мере одному специально назначенному пользователю.

Согласно еще одному из вариантов реализации настоящего изобретения набор правил содержит отказ в выполнении запроса заданного пользователя в отношении по меньшей мере одного заданного администрируемого сервера.

Согласно еще одному из вариантов реализации настоящего изобретения набор правил содержит разрешение выполнения запроса заданного пользователя в отношении по меньшей мере одного заданного администрируемого сервера.

Согласно еще одному из вариантов реализации настоящего изобретения промежуточный сервер выполнен с возможностью предоставлять заданному пользователю данные о результатах выполнения его запроса в отношении по меньшей мере одного заданного администрируемого сервера.

Согласно еще одному из вариантов реализации настоящего изобретения промежуточный сервер дополнительно содержит блок безопасности, причем промежуточный сервер выполнен с возможностью изменения набора правил посредством команд от блока безопасности и/или от по меньшей мере одного специально назначенного пользователя.

Согласно еще одному из вариантов реализации настоящего изобретения блок безопасности выполнен с возможностью направления запросов пользователей по меньшей мере одному специально назначенному пользователю и получения от него команд по обработке указанных запросов, причем блок безопасности выполнен с возможностью контролирования промежуточного сервера до получения команд по обработке запросов от указанного меньшей мере одного специально назначенного пользователя.

Также предложен способ администрирования по меньшей мере одного администрируемого сервера посредством предложенного устройства, согласно которому получают запрос от пользователя на администрирование по меньшей мере одного администрируемого сервера и направляют его в оперативное запоминающее устройство промежуточного сервера, анализируют запрос пользователя на основе набора правил, в случае если согласно набору правил запрос пользователя должен быть отклонен, отказывают в выполнении запроса заданного пользователя, в случае если согласно набору правил запрос пользователя должен быть разрешен, направляют команду по меньшей мере одному администрируемому серверу на выполнение действий по его администрированию согласно запросу пользователя и направляют данные промежуточному серверу о результатах выполнения указанной команды, и протоколируют в промежуточном сервере запрос пользователя и соответствующие события на промежуточном сервере и/или по меньшей мере одном администрируемом сервере, связанные с указанным запросом.

Предлагаемый способ предоставляет возможность администрирования по меньшей мере одного администрируемого сервера, обеспечивая высокий уровень безопасности в процессе администрирования благодаря тому, что запросы пользователей обрабатываются промежуточным сервером на основе набора правил.

Согласно одному из вариантов реализации настоящего изобретения дополнительно предоставляют пользователю данные о результатах выполнения его запроса в отношении по меньшей мере одного заданного администрируемого сервера.

Согласно еще одному из вариантов реализации настоящего изобретения дополнительно направляют данные о протоколировании по меньшей мере одному специально назначенному пользователю.

Другие аспекты настоящего изобретения могут быть понятны из последующего описания предпочтительных вариантов реализации и чертежей.

КРАТКОЕ ОПИСАНИЕ ЧЕРТЕЖЕЙ

На фиг. 1 показана схема устройства для администрирования сервера согласно одному из вариантов реализации настоящего изобретения.

На фиг. 2 проиллюстрирован способ администрирования сервера согласно одному из вариантов реализации настоящего изобретения.

ПОДРОБНОЕ ОПИСАНИЕ ПРЕДПОЧТИТЕЛЬНЫХ ВАРИАНТОВ РЕАЛИЗАЦИИ

Настоящее описание раскрывает варианты и особенности способа и устройства для администрирования серверов. Необходимо отметить, что раскрываемые особенности указанного устройства в любом варианте реализации могут быть присущи различным вариантам реализации в любой их комбинации, если не указано иначе.

Под администрируемым сервером понимается сервер, обслуживаемый и управляемый специально назначенным пользователем (администратором сети).

Под “логгированием” или “протоколированием” в настоящем раскрытии понимается запись всех действий пользователей по отношению к серверу и ответных действия сервера (событий).

При использовании термина “пользователь” в единственном числе в настоящем раскрытии понимается любое число пользователей.

На фиг. 1 схематично показано устройство 100 для администрирования одного администрируемого сервера 120, которое включает в себя соединенный с сервером 120 промежуточный сервер 110, содержащий оперативное запоминающее устройство 10, постоянное запоминающее устройство 20, процессор 30 и блок 40 безопасности, который в данном варианте реализации реализован в виде отдельной микросхемы, но в других вариантах реализации может представлять собой программный модуль, сохраненный в запоминающем устройстве 20, или иметь другую форму реализации, понятную для специалиста в данной области техники.

Необходимо отметить, что в других вариантах реализации устройство для администрирования может содержать другие необходимые компоненты, в частности, другие или дополнительные компоненты в промежуточном сервере или дополнительные промежуточные сервера. Кроме того, предлагаемое устройство для администрирования может быть предназначено для администрирования двух и более администрируемых серверов.

В постоянном запоминающем устройстве 20 сохранен набор правил, которые определяют взаимодействие заданного пользователя 130 с администрируемым сервером 120. Промежуточный сервер может получать запросы от пользователя 130, касающихся направления команд администрируемому серверу 120 на выполнение действий по его администрированию, которые поступают оперативное запоминающее устройство 10 сервера 110. При получении таких запросов промежуточный сервер 110 обрабатывает их посредством процессора 30 с применением набора правил. Пользователь 130 может направлять свои запросы в сервер 110 посредством средств ввода, предусмотренных в сервере 110, или посредством каналов связи с сервером 110, например, если пользователь 130 расположен удаленно по отношению к серверу 110. Промежуточный сервер 110 также может направлять команды серверу 120 для выполнения действий по администрированию сервера 120 и получать данные о результатах выполнения данных команд сервером 120.

Набор правил может разрешать выполнения запроса заданного пользователя 130, таким образом, что администрируемому серверу 120 будут направлены соответствующие команды на выполнение действий по администрированию сервера 120, или же набор правил может определять отказ в выполнении запроса заданного пользователя 130 в отношении администрируемого сервера 120. Блок безопасности 40 при необходимости направляет команды процессору 30 в отношении запросов пользователя 130, а также команды для изменения набора правил. В одном из вариантов реализации при использовании предлагаемого устройства для администрирования выполняется формирование мета-описания задачи для промежуточного сервера, которое содержит информацию о пользователе-инициаторе задачи, администрируемом сервере, являющемся целевым сервером выполнения, имя команды/приложения, параметры выполнения, параметры возвращаемого результата.

Промежуточный сервер 110 протоколирует постоянно или в разные моменты времени запросы пользователя 130 и соответствующие события, происходящие в сервере 110 и сервере 120 в результате обработки этих запросов. Кроме того, промежуточный сервер 110 предоставляет пользователю 130 данные о результатах выполнения его запроса в отношении администрируемого сервера 120, например, в виде файла или консольного вывода команды. Вывод результата происходит, например, в виде формирования файла с результатами выполнения на администрируемом сервере 120 доступного пользователю 130 уровня безопасности.

Отслеживать и управлять сервером 110 может специально назначенный пользователь 140, или администратор сервера. Например, пользователь 140 может получать от сервера 110 данные о текущем состоянии сервера 110, а также пользователь 140 может изменять или задавать набор правил в отношении заданного пользователя 130. Пользователь 140 также может получать от сервера 110 данные о результатах протоколирования запросов пользователей и о соответствующих событиях на промежуточном сервере и/или администрируемом сервере 120, связанных с указанными запросами. Кроме того, в некоторых случаях блок 40 безопасности направляет данные о запросах пользователя 130 пользователю 140, который направляет в ответ команды по обработке этих запросов, и в этом случае блок 40 безопасности контролирует действия промежуточного сервера 110 до получения команд пользователя 140. В некоторых вариантах реализации действия пользователя 140 могут также протоколироваться, например, блоком 40 безопасности. Необходимо отметить, что в других вариантах реализации отслеживать и управлять сервером 110 может два и более специально назначенных пользователей.

Посредством предлагаемого устройства может проводиться контроль доступа к администрируемым серверам с конфиденциальной информацией (конфиденциальным серверам), ограничиваются попытки несанкционированного доступа к администрируемым серверам, проводится аудит действий пользователей и администраторов на конфиденциальных серверах и выполняется изоляция группы конфиденциальных серверов от публично доступного и/или корпоративно доступного сегмента сети.

Таким образом, предлагаемое устройство представляет собой промежуточный слой безопасности и контроля, обеспечивающий отсутствие ошибочных, случайных или иных команд, которые установлены как не необходимые, посредством заранее заданных правил безопасности (набора правил) что дополнительно приводит к снижению ошибок и повышению надежности администрируемых серверов, а также обеспечивающий следующие функциональные возможности:

– наличие правил безопасности для конфиденциальных серверов, ограничивающих доступ с не конфиденциальных серверов;

- формирование и хранение правил безопасности;

- контроль прав доступа и правил безопасности применимо к задачам для выполнения на конфиденциальных серверах;

- аудит задач для выполнения на конфиденциальных серверах, выявление потенциально опасных задач;

- ведение журнала операций (логгирование);

- получение задач на выполнение из не конфиденциальной части сети;

- выполнение задач на конфиденциальном сервере;

- отслеживание статуса выполнения задач на конфиденциальном сервере;

- получение результатов выполнения задач с конфиденциального сервера;

- размещение результатов выполнения задачи в не конфиденциальной части сети.

На фиг. 2 проиллюстрирован способ администрирования сервера с применением вышеописанного устройства согласно одному из вариантов реализации настоящего изобретения.

На этапе 210 получают запрос от пользователя на администрирование администрируемого сервера и направляют его в оперативное запоминающее устройство промежуточного сервера, далее на этапе 220 анализируют запрос пользователя на основе набора правил. На этапе 230 выполняют анализ запроса согласно набору правил: в случае если согласно набору правил запрос пользователя должен быть отклонен, отказывают в выполнении запроса заданного пользователя, в случае если согласно набору правил запрос пользователя должен быть разрешен, направляют команду администрируемому серверу на выполнение действий по его администрированию согласно запросу пользователя (этап 240) и направляют данные промежуточному серверу о результатах выполнения указанной команды (этап 250).

Дополнительно возможно выполнение логгирования (протоколирования) в промежуточном сервере запроса пользователя и соответствующих событий на промежуточном сервере и администрируемом сервере, связанный с указанным запросом, предоставление пользователю данных о результатах выполнения его запроса в отношении администрируемого сервера, и направление данные о протоколировании по меньшей мере одному специально назначенному пользователю.

Таким образом, предлагаемые способ и устройство обеспечивают высокий уровень безопасности в процессе администрирования сервера.

Настоящее изобретение не ограничено конкретными вариантами реализации, раскрытыми в описании в иллюстративных целях, и охватывает все возможные модификации и альтернативы, входящие в объем настоящего изобретения, определенный формулой изобретения.

1. Устройство для администрирования по меньшей мере одного администрируемого сервера, содержащее:

промежуточный сервер, содержащий оперативное запоминающее устройство, постоянное запоминающее устройство, процессор и блок безопасности,

причем постоянное запоминающее устройство промежуточного сервера содержит набор правил, определяющих взаимодействие заданного пользователя с по меньшей мере одним заданным администрируемым сервером из числа указанного по меньшей мере одного администрируемого сервера,

причем промежуточный сервер соединен с указанным по меньшей мере одним администрируемым сервером и выполнен с возможностью направления ему команд на выполнение действий по его администрированию и получения данных о результатах выполнения указанных команд,

причем промежуточный сервер выполнен с возможностью получения запросов пользователей в оперативное запоминающее устройство на направление команд по меньшей мере одному администрируемому серверу на выполнение действий по его администрированию и обработке указанных запросов посредством процессора согласно набору правил,

причем промежуточный сервер выполнен с возможностью протоколирования запросов пользователей и соответствующих событий на промежуточном сервере и/или по меньшей мере одном администрируемом сервере, связанных с указанными запросами,

причем блок безопасности выполнен с возможностью направления запросов пользователей по меньшей мере одному специально назначенному пользователю и получения от него команд по обработке указанных запросов, а также блок безопасности выполнен с возможностью контролирования промежуточного сервера до получения команд по обработке запросов от указанного меньшей мере одного специально назначенного пользователя,

таким образом, посредством указанного устройства для администрирования может проводиться контроль доступа к администрируемым серверам с конфиденциальной информацией (конфиденциальным серверам), ограничиваются попытки несанкционированного доступа к администрируемым серверам, может проводиться аудит действий пользователей и администраторов на конфиденциальных серверах и может выполняться изоляция группы конфиденциальных серверов от публично доступного и/или корпоративно доступного сегмента сети, и указанное устройство для администрирования представляет собой промежуточный слой безопасности и контроля, обеспечивающий отсутствие ошибочных, случайных или иных команд, которые установлены как не необходимые, посредством заранее заданных правил и принципов безопасности (набора правил), что дополнительно приводит к снижению ошибок и повышению надежности администрируемых серверов.

2. Устройство для администрирования по меньшей мере одного администрируемого сервера по п. 1, в котором промежуточный сервер содержит устройства ввода, выполненные с возможностью введения пользователями запросов на администрирование по меньшей мере одного администрируемого сервера.

3. Устройство для администрирования по меньшей мере одного администрируемого сервера по п. 1, в котором промежуточный сервер выполнен с возможностью получения запросов от удаленных пользователей.

4. Устройство для администрирования по меньшей мере одного администрируемого сервера по п. 1, в котором промежуточный сервер выполнен с возможностью направления данных по меньшей мере одному специально назначенному пользователю.

5. Устройство для администрирования по меньшей мере одного администрируемого сервера по п. 1, в котором набор правил содержит отказ в выполнении запроса заданного пользователя в отношении по меньшей мере одного заданного администрируемого сервера.

6. Устройство для администрирования по меньшей мере одного администрируемого сервера по п. 1, в котором набор правил содержит разрешение выполнения запроса заданного пользователя в отношении по меньшей мере одного заданного администрируемого сервера.

7. Устройство для администрирования по меньшей мере одного администрируемого сервера по п. 6, в котором промежуточный сервер выполнен с возможностью предоставлять заданному пользователю данные о результатах выполнения его запроса в отношении по меньшей мере одного заданного администрируемого сервера.

8. Устройство для администрирования по меньшей мере одного администрируемого сервера по п. 1, в котором промежуточный сервер выполнен с возможностью изменения набора правил посредством команд от блока безопасности и/или от по меньшей мере одного специально назначенного пользователя.

9. Способ администрирования по меньшей мере одного администрируемого сервера посредством устройства для администрирования по меньшей мере одного администрируемого сервера по любому из пп. 1-8, согласно которому

получают запрос от пользователя на администрирование по меньшей мере одного администрируемого сервера и направляют его в оперативное запоминающее устройство промежуточного сервера,

анализируют запрос пользователя на основе набора правил,

направляют запрос пользователя по меньшей мере одному специально назначенному пользователю и получают от него команды по обработке указанного запроса, причем контролируют промежуточный сервер до получения команд по обработке запроса от указанного меньшей мере одного специально назначенного пользователя,

в случае если согласно набору правил запрос пользователя должен быть отклонен, отказывают в выполнении запроса заданного пользователя,

в случае если согласно набору правил запрос пользователя должен быть разрешен направляют команду по меньшей мере одному администрируемому серверу на выполнение действий по его администрированию согласно запросу пользователя и направляют данные промежуточному серверу о результатах выполнения указанной команды и

протоколируют в промежуточном сервере запрос пользователя и соответствующие события на промежуточном сервере и/или по меньшей мере одном администрируемом сервере, связанные с указанным запросом.

10. Способ администрирования по меньшей мере одного администрируемого сервера по п. 9, согласно которому дополнительно предоставляют пользователю данные о результатах выполнения его запроса в отношении по меньшей мере одного заданного администрируемого сервера.

11. Способ администрирования по меньшей мере одного администрируемого сервера по п. 9, согласно которому дополнительно направляют данные о протоколировании по меньшей мере одному специально назначенному пользователю.