國產平臺外圍設備管控系統研究與設計

◆趙 儉

（解放軍信息工程大學 河南 450000）

國產平臺外圍設備管控系統研究與設計

◆趙 儉

（解放軍信息工程大學 河南 450000）

本文針對國產平臺外圍設備的管控需求，研究設計了一種基于管控中心和管控代理的外圍設備集中式管控方案，實現管理域內外圍設備的集中注冊、信息更新、設備注銷等，并依據管控策略實施只讀、讀寫和禁止使用等管控操作。該方案基于設備的硬件序列號作為設備的唯一標識，經實驗驗證該管控系統可有效實施外圍設備的精細化管控，提高國產平臺的外圍設備安全管理水平。

國產平臺；外圍設備；管控中心；管控代理；集中管控

0 引言

國內外各種信息安全事件頻發使得作為網絡空間安全基礎的計算機平臺安全日益受到人們的重視，大量使用國外處理器芯片和操作系統構建的計算機平臺的安全性無法得到保證，唯有研發國產軟硬件計算機平臺才能實現真正意義上的自主可控。目前廣泛應用于通用平臺的外圍設備管控技術主要采用設備安全標識和計算機端口封控的形式實施設備訪問控制，如移動硬盤、優盤等具有存儲功能的外圍設備通過寫入特定標識的方式對設備進行標識，主機駐留標識檢測軟件，插入設備后檢測到安全標識則允許設備接入計算機，否則禁止訪問；或者直接封控計算機端口，達成設備管控的目的。這種采用設備安全標識和封閉計算機端口的形式實施設備訪問控制方案，一方面需要對設備進行重新改造向設備寫入標識信息，這增加管控開銷且易導致設備損毀；另一方面對于非存儲類設備因無法寫入標識信息，只能通過端口控制，管控起來不夠靈活，要么對所有使用該端口的設備完全開放，要么全部封閉，不能針對某個特定設備實施精細化管控。

王義安等針對Windows平臺下外圍存儲設備的信息監控需求，研究設計了利用文件過濾驅動技術針對單主機的外圍存儲設備管控策略進行設置和監控訪問的外圍存儲設備監控系統[1]；陳松政等提出一種按照角色、用戶組或用戶等不同粒度這一用戶身份標識來控制外部設備訪問的方法，可以滿足不同單位或環境的多樣化需求，實現對數種外設的細粒度安全封控[2]；廖洪其等針對移動存儲設備的唯一性標識管理技術進行研究，提出了一種軟硬件結合的基于特殊命令請求的唯一性表示方法[3]；熊聰聰等研究提出通過增加一個嵌入式系統平臺實現主機USB存儲設備的訪問控制方案[4]；申佳紅基于C/S模式設計與實現了一個移動儲存設備監控平臺[5]；楊思燕通過截獲對USB可移動存儲設備內文件操作的IRP，依據可控的安全進程規則與防拷貝功能設計開發了一款USB可移動存儲設備監控軟件[6]；程光明等針對小衛星星載計算機及其外圍設備管控的可靠性和性能需求，采用多任務并行運行機制的實時嵌入式操作系統，以提高了系統控制精度[7]；高群構建了一個端口控制系統，該系統利用計算機管理策略集中管理局域網內的計算機外設端口，達到內網信息安全的目的[8]；王茹基于嵌入式系統和光網絡技術給出一種遠程控制IO端口數據雙向傳輸的方案，實現基于光纖的遠程IO端口控制[9]；余坤杰基于GPRS技術實際實現了一個遠程I/O控制系統[10]，國外論文和專利涉及很多外設端口控制方法和技術的研究[11-15]，這些通用主機外圍設備標識及管控技術方案的研究設計和系統研發為國產平臺設備管控提供了很好的借鑒。

為國產平臺的外圍設備提供一套安全可靠的管控方案，以確保只有合法注冊的外圍設備才能在指定管控域內使用，并進行日志記錄，以大大降低設備濫用所造成的信息泄露隱患；同時一旦發生安全事件，可通過日志審計很方便地進行調查取證，提高國產平臺的外圍設備安全管理水平。因此，研究國產平臺外圍設備管控方案以從技術上解決外圍設備不受控制地隨意接入計算機所帶來的各種安全威脅具有重要的現實意義。

1 系統方案和功能設計

1.1 系統方案

國產平臺外圍設備管控方案系統架構如圖1所示。系統采用中心式管控方法，具體實施部件包括管控中心和管控代理兩部分，平臺外圍設備管控管理員工作于管控中心，在管控中心進行設備注冊、設備信息更新、設備注銷及設備啟閉等管控操作，管控代理依據管控中心的管控指令解析執行。

圖1 國產平臺外圍設備管控方案系統架構圖

國產平臺外圍設備管控方案的基本思想可以概括為：通過設置設備管控中心，在該中心進行設備注冊以建立被管計算機外圍設備白名單，并建立與之對應的設備管控策略（數據雙向/單向傳輸、啟/閉等），將該白名單及管控策略發布到各被管計算機。被管計算機上駐留的管控代理即可依據該白名單和管控策略實施其外圍設備的管控操作，并將管控結果實時上報管控中心。在管控中心建立設備管控日志，以備進行設備管控安全審計。管控中心的設備注冊信息可根據需要及時進行更新、刪除，并與各管控代理進行設備信息同步。管控中心可依據設備管控策略發起指定設備的授啟、關閉等操作。

依據此設備管控方案只有在管控中心合法注冊過的設備才能在指定的被管計算機平臺依據其管控策略明確的使用方法進行操作使用。管控中心設備管控模塊與受控平臺之間的信息交互流程如圖2所示。

圖2 設備管理模塊與平臺I/O模塊之間的信息交互圖

管理中心對于域內受控平臺外圍I/O設備管控操作主要通過采用命令報文的形式進行發送，管理代理對管理報文解析后的管理命令執行相應的管控操作并返回管理結果信息。設備注冊和刪除在管理中心統一進行，任何未注冊或已刪除的設備無法在管理域內的計算平臺上操作使用。

1.2 功能分析

國產平臺外圍設備管控系統方案設計的管控中心和管控代理的功能具體分析如下：

（1）管控中心

管控中心由系統平臺外圍設備管控管理員操作使用，以軟件形式部署于管控中心主機。管控中心包括了設備管控模塊（設備注冊、設備信息更新、設備注銷、信息編碼等）、數據收發模塊和管控日志、設備注冊/管控策略等數據庫。其主要功能包括管控中心所轄管控域內計算平臺外圍設備的注冊、信息更新和注銷等基本管理操作，并可向指定設備發出啟閉控制指令，管控操作記錄存入日志數據庫形成管控日志，注冊信息及其管控策略（只讀、讀寫、禁止等）存入相應的數據庫。

系統管控的平臺外圍設備采用先注冊再使用的方式進行集中管理。所有需要在系統管控域內計算平臺上使用的外圍設備首先必須在管控中心進行登記注冊，填寫設備名稱、類別、使用單位、使用人員、設備物理標識等信息，將該信息存入設備注冊信息數據庫，將設備的管控策略存入其對應的策略庫，將設備注冊日志記入設備管控日志庫，同時將該設備的注冊信息經過信息編碼模塊編碼后經由數據收發模塊發送到管控域內各計算平臺中駐留的設備管控代理。

當已注冊設備信息發生變化如變更使用人員等時則可在管控中心進行設備信息更新，從設備注冊信息庫中調出該設備注冊信息后進行編輯更新，完成后重新存入數據庫，同時將信息更新日志記入設備管控日志庫，并將該設備的更新信息經過信息編碼模塊編碼后經由數據收發模塊發送到管控域內各計算平臺中駐留的設備管控代理。

若設備損毀或其它原因導致設備已無法使用，則可進行設備注銷操作，在設備信息庫中將該設備的信息刪除，同時將設備注銷信息記入設備管控日志庫，并將該設備的注銷信息經過信息編碼模塊編碼后經由數據收發模塊發送到管控域內各計算平臺中駐留的設備管控代理，設備管控代理將本地的該設備注冊信息刪除。

若管控中心需要指定某臺設備啟動或停止工作，可在管控中心由設備啟閉模塊發出管控指令，經由信息編碼模塊編碼后經由數據收發模塊發送到管控域內各計算平臺中駐留的設備管控代理，同時接收管控代理端返回的設備管控狀態信息存入設備管控日志庫，以供以后將陸續開展的設備管控日志審計。

（2）管控代理

管控代理以軟件形式駐留于管控域內受控計算平臺，用于同步管控中心的設備注冊、信息更新、注銷、設備管控策略等信息，并接收管控中心的管控指令，實施相應的管控操作，管控代理包括了設備檢測模塊、代理控制模塊（控制單元、信息解碼、標識匹配等）、數據收發模塊、執行模塊以及設備注冊/管控策略數據庫。

管控代理的工作過程描述如下：

數據收發模塊接收到管控中心的數據指令信息后交由代理控制模塊，由其中的信息解碼模塊完成指令/數據的解析，依據解析結果實施后續的管控操作。

若是設備注冊、信息更新、設備注銷等信息直接將解析后對應的設備信息及其管控策略在其本地設備注冊信息/管控策略庫中更新即可（插入、更新或刪除）。

若是設備啟/閉命令，則由控制單元向執行模塊發出啟/閉命令，由執行模塊實施具體的啟閉操作并返回執行結果狀態信息，該狀態信息經數據收發模塊返回給管控中心。

一般情況下，當計算平臺有設備接入時，其中駐留的管控代理開始工作，由設備檢測模塊進行檢測以獲取該設備的物理標識，將該物理標識與本地設備注冊信息庫中設備的標識部分進行標識比對匹配，若能匹配上則表示該設備是注冊過的合法設備，按照其對應的管控策略實施管控操作，若不匹配，則說明該設備未注冊，按照管控策略，禁止該設備在計算平臺上使用。

2 外圍設備管控系統實現

依據系統方案和功能設計要求基于國產申威處理器和中標麒麟操作系統平臺，在QT環境下采用C/S模式開發了一套外圍設備管控系統。要實現國產平臺外圍設備的管控需要六大步，具體實現如下：

2.1 設備物理標識獲取

設備物理標識獲取是設備管控的準備環節。設備物理標識獲取的核心任務是獲取接入計算平臺的設備唯一性的物理標識，以作為個性化管控設備的依據，進而在管控中心進行設備注冊時將該物理標識作為設備注冊信息主鍵存入設備注冊信息數據庫。

2.2 設備管控策略制定

設備管控策略是對設備實施管控的依據。設備管控策略制定的主要任務就是針對具體的設備明確其允許操作的類型（只讀、讀寫、禁止操作等），進而在管控中心進行設備注冊時將該設備管控策略存入設備管控策略數據庫。

2.3 系統部署

在管理中心主機部署管控中心，以進行設備登記注冊、信息更新、注銷和啟閉等設備管控操作；在管控域內各計算平臺部署管控代理，以接收管控中心的管控命令實施管控操作。

2.4 設備登記注冊、信息更新、注銷等設備管理

設備登記注冊是國產平臺設備管控的基礎，依據先注冊再使用的思想，所有需要使用的外圍設備必須在管控中心先行注冊登記，建立設備白名單，并將設備注冊和管控策略信息存儲于設備注冊信息和管控策略信息庫，該信息庫同步到各管控代理；對于設備信息更新、注銷等管理過程和設備注冊無異，需要同時將設備信息與管控代理端的設備注冊、管控策略信息庫同步。

具體步驟如下：

（1）在設備注冊模塊將設備物理標識、管控策略等信息登記注冊，分別存入設備注冊信息庫、管控策略信息庫，并將設備管理信息存入設備管控日志數據庫。

（2）將設備注冊信息庫、管控策略信息庫更新的內容進行信息編碼。

（3）信息編碼后的設備信息經由數據收發模塊發送到管控域內所有計算平臺的管控代理。

（4）管控代理的數據收發模塊接收到信息后由信息解碼模塊進行解碼。

（5）解碼后獲取的設備信息存入本地設備注冊信息庫和管控策略庫。

2.5 設備啟閉等設備控制操作

設備啟閉等設備控制操作是國產平臺設備控制的具體體現。具體步驟如下：

（1）管控中心選擇指定控制設備并發出設備啟/閉命令。

（2）信息編碼模塊將該啟閉命令進行編碼。

（3）編碼完成后的設備控制命令經由數據收發模塊發送到指定的計算平臺管控代理。

（4）管控代理的數據收發模塊接收到信息后由信息解碼模塊進行解碼。

（5）依據解碼后獲取的設備控制命令信息由設備控制單元向執行模塊發出設備控制操作。

（6）執行模塊進行設備控制并將設備控制結果狀態信息經數據收發模塊返回給管控中心。

（7）管控中心將該設備的管控狀態信息存入管控日志數據庫。

2.6 計算平臺隨機接入外設的管控

計算平臺隨機接入外設的管控是國產平臺設備管控系統的管控中心和管控代理部署完成后進行設備自主管控的運行模式。具體管控步驟如下：

（1）將設備接入駐留管控代理的被管計算平臺。

（2）管控代理中的設備檢測模塊進行設備檢測獲取其唯一性的物理標識。

（3）管控代理中的標識匹配模塊依據設備檢測模塊獲取的設備物理標識與本機設備注冊信息數據庫進行匹配（查找是否為白名單），若能匹配則表示該設備是合法注冊的設備，到其設備管控策略庫檢索其管控策略后轉步驟○4，否則禁止設備操作（即策略為禁止）。

（4）依據該管控策略向執行模塊發出相應的設備控制操作。

（5）執行模塊進行設備控制并將設備控制結果狀態信息經數據收發模塊返回給管控中心。

（6）管控中心將該設備的管控狀態信息存入管控日志數據庫。

3 系統分析

國產平臺外圍設備管控系統采用中心式管控方式，管控域內計算平臺外圍設備全部受管控中心實時掌控，具體來說有以下優點：

（1）基于先注冊再使用的思想，建立設備白名單，將設備注冊和管控策略信息存儲于設備注冊信息和管控策略信息庫，并將信息庫同步到各管控代理，實現簡單，安全可靠。

（2）利用設備物理標識作為設備唯一性標識，管控代理駐留的計算平臺檢測到接入外圍設備后獲取設備物理標識并將其與管控中心同步的設備注冊管控策略庫比對，以確定其是否為合法注冊的設備及其管控策略，按管控策略實施管控操作，并向管控中心返回狀態信息，因此，可以針對各個設備制定其個性化的管控策略，達到精細化管控的目的。

（3）現有商用平臺的設備管控技術主要采用設備安全標識和計算機端口封控的形式實施設備訪問控制，該方法需要對設備進行重新改造向設備寫入標識信息，這增加管控開銷且易導致設備損毀，另外，對于非存儲類設備因無法寫入標識信息，只能通過端口控制，管控起來不夠靈活，要么對所有使用該端口的設備完全開放，要么全部封閉，系統管控方案對被管控的設備無需寫入標識信息，可直接采購通用外圍設備不加任何改造地使用，大大降系統部署成本。

4 結語

計算平臺外圍設備的管控是信息安全管理的重要組成部分，本文針對國產計算平臺外圍設備管控的實際應用需求，在分析目前通用計算平臺設備管控方案的基礎上，提出了一種基于管控中心和管控代理方式的外圍設備管控方案，并予以實現；對系統各功能模塊及工作流程進行了詳細介紹，并分析了系統的特點。經測試，該系統能夠實現外圍設備的精細化管控，確保合法注冊設備的按需管控并有效阻止非法設備的接入，保障了計算平臺的安全，對國產平臺外圍設備的管控研究具有一定的參考價值。

[1]王義安，吳中偉，蔡圣聞，謝俊元.Windows平臺下外圍存儲設備信息監控[J].計算機應用研究，2007.

[2]陳松政，魏立峰.基于用戶身份標識的外設訪問控制方法[J].計算機工程與科學，2015.

[3]廖洪其，凌捷，郝彥軍，柯鋼.USB移動存儲設備的惟一性識別方法研究[J].計算機工程與設計，2010.

[4]熊聰聰，汪鵬.一種新型的USB存儲設備訪問控制方案[J].自動化儀表，2011.

[5]申佳紅.移動存儲設備監控平臺的設計與實現[D].成都：電子科技大學，2014.

[6]楊思燕.USB 可移動存儲設備監控軟件研究與實現.計算機技術與發展[J].2013.

[7]程光明，廖明宏，吳翔虎.小衛星星載計算機及其外圍設備的管理[J].哈爾濱工業大學學報，2002.

[8]高群.端口控制系統的研究與實現[D].武漢：華中科技大學，2007.

[9]王茹.基于光纖的遠程IO端口控制系統[J].電子設計工程，2014.

[10]余坤杰.一種基于GPRS無線通信的遠程I/O控制終端實現[J].電視技術，2006.

[11]Wu L，Su K，Cai S，et al.An I/O Efficient Approach for Detecting All Accepting Cycles[J].IEEE Transactions on Software Engineering，2015.

[12]Betti E，Bak S,Pellizzoni R,et al.Real-Time I/O Ma nagement System with COTS Peripherals[J] .Compu-ters IEE E Transactions on，2013.

[13]Bak S,Betti E,Pellizzoni R,et al.Real-Time Control o f I/O COTS Peripherals for Embedded Systems[C] //2009 30 th IEEE Real-Time Systems Symposium.IEEECompu-ter Soc iety,2009.

[14]Masaomi M.I/O CONTROL SYSTEM,I/O CONT ROL METHOD,AND COMPUTER SYSTEM, WO/2015/0 79482[P].2015.

[15]Iba T,Toyohara Y,Kubota N，et al.COMPUTER AN D COMPUTER I/O CONTROL METHOD,WO/2015/114 745[P].2015.