摘　要：在數(shù)字化時代，軟件應(yīng)用的快速交付和高效部署對于企業(yè)的成功至關(guān)重要，傳統(tǒng)的應(yīng)用部署方式往往復(fù)雜且耗時，容易導(dǎo)致運維困難和資源浪費，企業(yè)面對軟件功能需求的不斷變化，需要快速響應(yīng)產(chǎn)品的變化，快速部署軟件以產(chǎn)生效益。隨著容器化技術(shù)、微服務(wù)等云原生技術(shù)的發(fā)展，為服務(wù)的頻繁發(fā)布、快速交付及風(fēng)險反饋等提供了技術(shù)保障。本系統(tǒng)基于云邊協(xié)同場景，利用云原生、云邊協(xié)同和安全數(shù)據(jù)通道技術(shù)，實現(xiàn)了基于本地云、遠(yuǎn)端服務(wù)為一體的云邊協(xié)同的遠(yuǎn)程安全運維系統(tǒng)。

內(nèi)容目錄：

1　研究現(xiàn)狀
1.1　遠(yuǎn)程安全運維的現(xiàn)狀
1.2　遠(yuǎn)程安全運維的研究需求
2　遠(yuǎn)程安全運維系統(tǒng)架構(gòu)與實現(xiàn)
2.1　系統(tǒng)總體架構(gòu)
2.2　遠(yuǎn)程安全運維場景分析
2.3　關(guān)鍵技術(shù)
3　遠(yuǎn)程安全運維系統(tǒng)應(yīng)用
4　結(jié)　語

隨著企業(yè)數(shù)字化轉(zhuǎn)型升級，業(yè)務(wù)逐漸互聯(lián)網(wǎng)化、多云化和移動化，內(nèi)外網(wǎng)邊界變得愈發(fā)模糊。同時，攻防對抗技術(shù)的不斷升級，以及來自監(jiān)管單位的演練保障壓力，使企業(yè)面臨的網(wǎng)絡(luò)安全挑戰(zhàn)也變得愈發(fā)嚴(yán)峻，而傳統(tǒng)網(wǎng)絡(luò)安全防護架構(gòu)和安全設(shè)備部署運維的方式，已無法滿足當(dāng)前日益復(fù)雜的安全需求。此外，受限于安全投入的成本壓力，企業(yè)需要更簡單、更安全、更智能、更便捷使用和維護的安全運維新模式。

軟件定義廣域網(wǎng)絡(luò)（Software-Defined Networking in a Wide Area Network，SD-WAN） 是 一系列技術(shù)的集合，主要是將軟件定義網(wǎng)絡(luò)技術(shù)應(yīng)用于管理廣域網(wǎng)絡(luò)。SD-WAN 技術(shù)使用虛擬化技術(shù)，簡化資料中心的管理及運維工作，將相關(guān)技術(shù)應(yīng)用于廣域網(wǎng)絡(luò)之上，簡化企業(yè)級用戶對于廣域網(wǎng)絡(luò)的管控。

云邊協(xié)同架構(gòu)是一種新興的計算模式，應(yīng)用于各種行業(yè)和領(lǐng)域，如智慧城市、智慧交通、智慧零售等物聯(lián)網(wǎng)場景 。旨在將云計算和邊緣計算融合，以實現(xiàn)云原生場景下更高效的數(shù)據(jù)處理和決策支持。云邊協(xié)同技術(shù)的不斷演進，成為實現(xiàn)深度集成的跨層次服務(wù)的關(guān)鍵，其典型架構(gòu)為：云端提供數(shù)據(jù)的處理、收集、計算及中心業(yè)務(wù)邏輯處理；邊端提供數(shù)據(jù)的采集，請求云端的數(shù)據(jù)，以及接受來自云端的指令，往往一個云端會關(guān)聯(lián)多個邊端設(shè)備 ，因此會存在復(fù)雜的云邊端服務(wù)部署、維護和升級操作。借助云邊協(xié)同，企業(yè)可以只允許合法的、值得信任的終端設(shè)備接入網(wǎng)絡(luò)進行聯(lián)動計算和安全防護。

依托 SD-WAN 網(wǎng)絡(luò)作為基礎(chǔ)網(wǎng)絡(luò)接入，本文基于云邊協(xié)同技術(shù)，設(shè)計了一種遠(yuǎn)程安全運維系統(tǒng)，以期快速響應(yīng)、提高遠(yuǎn)程運維效率。

1 研究現(xiàn)狀

1.1　遠(yuǎn)程安全運維的現(xiàn)狀

隨著技術(shù)的不斷發(fā)展，便捷性、自動化成為安全設(shè)備部署運維的重要趨勢。如何提供快速、高效和高質(zhì)量的服務(wù)，是擺在相關(guān)安全企業(yè)面前的“三座大山”。云邊協(xié)同作為推進遠(yuǎn)程安全運維系統(tǒng)的核心技術(shù)架構(gòu)，其作用日益突出。為此，不管從技術(shù)角度還是從應(yīng)用角度來說，需要建立一套統(tǒng)一、直觀和自動化的安全運維系統(tǒng)，自動實現(xiàn)資源整合、定位跟蹤和預(yù)測分析，對降低運維成本、提高運維響應(yīng)速率具有深遠(yuǎn)的意義，以期達(dá)到從受理為主的被動運維模式向預(yù)防為主的主動服務(wù)模式的轉(zhuǎn)變。云邊協(xié)同技術(shù)的深入應(yīng)用給各行各業(yè)帶來了新的變革。以云邊協(xié)同技術(shù)智能終端為主導(dǎo)的邊緣化產(chǎn)品逐漸在智慧運維中占據(jù)了重要的地位，結(jié)合高科技的智能化產(chǎn)品，不僅實現(xiàn)了遠(yuǎn)程圖像、數(shù)據(jù)高可靠性的采集和分析，同時智能終端系列產(chǎn)品更是實現(xiàn)了實時動態(tài)數(shù)據(jù)、圖像等的高保真?zhèn)鬏?，為遠(yuǎn)程安全運維工作帶來新契機。

針對前文所述的遠(yuǎn)程安全運維系統(tǒng)的挑戰(zhàn)和特征，眾多學(xué)者致力于研究自動化快速部署、配置管理和智能監(jiān)控預(yù)警等方面的技術(shù)，以提高安全設(shè)備的管理效率和防護能力，各級運維人員對現(xiàn)場運維的及時性和消缺率更加重視。文獻 [4] 將現(xiàn)有智能運維的落地實施過程歸納為3 個階段：對各種類型數(shù)據(jù)（指標(biāo)、日志、調(diào)用鏈、配置文件、工作流和多媒體數(shù)據(jù)）的獲取，對采集到的數(shù)據(jù)進行預(yù)處理，對分析結(jié)果進行可視化展示。此外，在提到未來趨勢的綜述性研究中，有學(xué)者將智能運維技術(shù)適配于虛擬化技術(shù)的運維對象（如虛擬機監(jiān)視器、虛擬機和容器等）中，以適應(yīng)一些更為復(fù)雜的運維場景。

1.2　遠(yuǎn)程安全運維的研究需求

隨著攻防對抗技術(shù)的不斷發(fā)展，以及來自監(jiān)管單位的演練保障壓力，各行業(yè)各單位安全防護建設(shè)由安全產(chǎn)品堆砌不斷向安全服務(wù)交付傾斜，運行保障模式由安全運維逐步向安全運營演變，并開始組建駐場人才隊伍，使安全防護能力得到進一步提升。但是受限于安全投入的成本壓力，在安全防護過程中，企業(yè)仍面臨安全團隊質(zhì)量無法有效保障、安全威脅監(jiān)測無法全時覆蓋、關(guān)鍵時期值守人員不足、威脅告警關(guān)注不夠、安全處置時間滯后等嚴(yán)峻挑戰(zhàn)，給網(wǎng)絡(luò)攻擊留下可乘之機，導(dǎo)致安全事故頻發(fā)。如何節(jié)省安全投入成本、提升安全運營效率，是網(wǎng)絡(luò)安全服務(wù)化趨勢下亟待解決的問題，因此迫切需要構(gòu)建全方位立體化的遠(yuǎn)程安全運維系統(tǒng)，允許遠(yuǎn)程為企業(yè)提供安全防護服務(wù)，提升整體網(wǎng)絡(luò)安全性。

2 遠(yuǎn)程安全運維系統(tǒng)架構(gòu)與實現(xiàn)

2.1　系統(tǒng)總體架構(gòu)

云邊協(xié)同的遠(yuǎn)程安全運維系統(tǒng)基于云原生 架 構(gòu)， 以 邊 緣 安 全 服 務(wù) 網(wǎng) 關(guān)（Edge SecurityService Gateway，ESSG）為載體，通過云端安全運營中心的共享服務(wù)，為客戶提供一體化云邊協(xié)同的安全運營，建設(shè)遠(yuǎn)程安全賦能，實現(xiàn)安全數(shù)據(jù)和安全事件的 7×24 h 遠(yuǎn)程監(jiān)測及處置，節(jié)省客戶安全運營建設(shè)的成本投入，提升安全運營保障的工作效率。該系統(tǒng)主要由云端安全運營中心、虛擬運營骨干網(wǎng)絡(luò)、邊緣安全服務(wù)網(wǎng)關(guān)等模塊組成，遠(yuǎn)程安全運維系統(tǒng)總體架構(gòu)如圖 1 所示。

圖 1　遠(yuǎn)程安全運維系統(tǒng)總體架構(gòu)

云端安全運營中心由安全運營平臺和安全專家組成。其中，安全運營平臺具備監(jiān)測分析、指揮管理、安全運維、資產(chǎn)管理、威脅情報及網(wǎng)站云防御等能力；安全專家由運營交付人員和攻防滲透人員組成。客戶可通過 ESSG 接入運營中心，通過共享式平臺工具及人員團隊服務(wù)，按需開展 7×24 h 監(jiān)測分析、響應(yīng)處置等遠(yuǎn)程安全運維服務(wù)。

虛擬運營骨干網(wǎng)絡(luò)是打通云端運營中心與邊緣側(cè)客戶網(wǎng)絡(luò)的一體化基礎(chǔ)支撐網(wǎng)絡(luò)，由遍布全國的 SD-WAN 入網(wǎng)點（Point-of-Presence，PoP）組成，分布范圍包括各網(wǎng)絡(luò)業(yè)務(wù)提供商數(shù)據(jù)中心、公有云節(jié)點等，屬于互聯(lián)網(wǎng)邏輯鏈路，通過專有虛擬網(wǎng)絡(luò)隧道協(xié)議及互聯(lián)網(wǎng)傳輸狀態(tài)監(jiān)測，結(jié)合云端運營中心網(wǎng)絡(luò)控制中臺，優(yōu)化路由選址，提升網(wǎng)絡(luò)傳輸質(zhì)量及云邊協(xié)同效率。

ESSG 是遠(yuǎn)程安全運維系統(tǒng)的必備服務(wù)工具，內(nèi)置安全運營骨干網(wǎng)絡(luò)的 SD-WAN 入網(wǎng)基礎(chǔ)模塊和安全數(shù)據(jù)采集模塊，能夠建立與云端安全運營中心的安全連接，并采用 Docker 架構(gòu)實現(xiàn)安全組件的動態(tài)組合，滿足客戶個性化安全托管需求。同時，可根據(jù)不同客戶網(wǎng)絡(luò)環(huán)境提供硬件網(wǎng)關(guān)及鏡像部署兩種模式，實現(xiàn)傳統(tǒng)數(shù)據(jù)中心及云化網(wǎng)絡(luò)安全托管的全場景覆蓋。

2.2　遠(yuǎn)程安全運維場景分析

遠(yuǎn)程安全運維系統(tǒng)在云端部署中心管理服務(wù)、相關(guān)的業(yè)務(wù)模塊及數(shù)據(jù)處理模塊，借助ESSG 內(nèi)置采集器采集客戶側(cè)的安全日志，并將其動態(tài)傳輸?shù)皆贫说陌踩\營中心，建立云上云下全場景安全托管模式，安全運維系統(tǒng)實現(xiàn)在云端的安全可視、協(xié)同響應(yīng)，并通過在云端的數(shù)據(jù)分析中心，分析海量安全日志，智能化發(fā)現(xiàn)安全威脅，并借助 ESSG 進行安全設(shè)備聯(lián)動處置，實現(xiàn)人機共智的安全托管，為客戶實現(xiàn)遠(yuǎn)程安全賦能，遠(yuǎn)程安全運維主要覆蓋如下 3 種場景。

2.2.1　云邊協(xié)同服務(wù)遠(yuǎn)程安全服務(wù)交付

云邊協(xié)同服務(wù)賦能流程如圖 2 所示，詳細(xì)說明如下：

圖 2　云邊協(xié)同的遠(yuǎn)程安全服務(wù)交付場景

（1）服務(wù)下發(fā)。通過 ESSG 聯(lián)動云端安全運營中心的服務(wù)倉庫，將服務(wù)倉庫中的安全服務(wù)能力動態(tài)延伸到邊端，實現(xiàn)安全服務(wù)在邊緣安全服務(wù)網(wǎng)關(guān)上即發(fā)即用、用完銷毀等功能，以保證不占用網(wǎng)關(guān)的存儲和計算資源。

（2）編排指令下發(fā)。

（3）下載安全服務(wù)并部署。

（4）服務(wù)運行狀態(tài)上報。

（5）獲取授權(quán)。云端向邊端下發(fā)安全服務(wù)，需要獲取用戶授權(quán)，同時在云端監(jiān)控邊端服務(wù)的運行狀態(tài)。

2.2.2　云邊協(xié)同遠(yuǎn)程應(yīng)急響應(yīng)處置

ESSG 部署后，自動建立與運營中心安全服務(wù)的專屬運維通道，在獲取用戶授權(quán)后運營中心可進行漏洞掃描處置、網(wǎng)際互聯(lián)協(xié)議（Internet Protocol，IP）封堵處置等應(yīng)急響應(yīng)，根據(jù)不同的場景處置流程可分為內(nèi)置安全服務(wù)處置流程和安全服務(wù)處置流程，如圖 3 所示，詳細(xì)說明如下：

圖 3　云邊協(xié)同的遠(yuǎn)程應(yīng)急響應(yīng)處置場景

（1）安全服務(wù)處置流程。

①應(yīng)急響應(yīng)模塊針對內(nèi)置安全服務(wù)下發(fā)處置響應(yīng)指令到設(shè)備聯(lián)動適配層；

②設(shè)備聯(lián)動適配層下發(fā)指令到 ESSG 上的內(nèi)置安全服務(wù)模塊。

（2）客戶側(cè)安全服務(wù)處置流程。

①應(yīng)急響應(yīng)模塊針對客戶側(cè)安全服務(wù)下發(fā)處置響應(yīng)指令到設(shè)備聯(lián)動適配層；

②設(shè)備聯(lián)動適配層下發(fā)指令到客戶側(cè)安全設(shè)備的端點檢測與響應(yīng)（Endpoint Detection and Response，EDR）。

2.2.3　云邊協(xié)同遠(yuǎn)程運維風(fēng)險態(tài)勢監(jiān)測

ESSG 安全數(shù)據(jù)采集模塊基于專用網(wǎng)絡(luò)通道和權(quán)限管理模型實現(xiàn)云、邊、端的安全交互。通過專用安全數(shù)據(jù)通道管理遠(yuǎn)端的運維指令，實現(xiàn)指令的安全下達(dá)，權(quán)限管理模型控制各個運維人員的操作，實現(xiàn)遠(yuǎn)程運維工具的安全使用。云邊協(xié)同遠(yuǎn)程運維風(fēng)險態(tài)勢監(jiān)測如圖 4 所示，詳細(xì)實現(xiàn)如下：

圖 4　云邊協(xié)同的遠(yuǎn)程運維風(fēng)險態(tài)勢監(jiān)測場景

（1）獲取采集授權(quán)。利用 ESSG 上的授權(quán)管理模塊進行權(quán)限判斷。

（2）采集安全數(shù)據(jù)。被動采集客戶單位現(xiàn)場所有安全設(shè)備及系統(tǒng)的告警數(shù)據(jù)。

（3）數(shù)據(jù)預(yù)處理。將客戶側(cè)安全設(shè)備采集到的數(shù)據(jù)同步到 ESSG 進行范式解析預(yù)處理，并對采集的數(shù)據(jù)進行打標(biāo)簽處理，標(biāo)記來源設(shè)備信息，以區(qū)分各客戶單位數(shù)據(jù)。

（4）數(shù)據(jù)分析。由 ESSG 上的數(shù)據(jù)分析模塊進行分析。

（5）數(shù)據(jù)上報授權(quán)。根據(jù)授權(quán)管理模塊獲取數(shù)據(jù)上報權(quán)限。

（6）數(shù)據(jù)上報轉(zhuǎn)發(fā)。授權(quán)需要上報的數(shù)據(jù)通過 SD-WAN 加密隧道回傳至運營中心分析平臺。

（7）數(shù)據(jù)監(jiān)測。云端運營中心將上報的數(shù)據(jù)進行自動化融合分析及情報碰撞，同時進行7×24 h 全時監(jiān)測，針對客戶安全態(tài)勢監(jiān)測過程中產(chǎn)生的安全威脅事件，運營中心運營團隊實時向用戶進行安全通報，并定期推送監(jiān)測報告。此外，還可根據(jù)客戶需要，由運營中心定期推送威脅情報到 ESSG 供客戶獲取人工情報及本地安全設(shè)備進行機讀情報集成，完善客戶本地的安全態(tài)勢監(jiān)測能力。同時，可以聯(lián)動應(yīng)急響應(yīng)處置模塊，實現(xiàn)基于安全分析的遠(yuǎn)程安全處置運維。

2.3　關(guān)鍵技術(shù)

云邊協(xié)同技術(shù)的遠(yuǎn)程安全運維系統(tǒng)依托Kubernetes 和 KubeEdge 為底層基座，實現(xiàn)安全服務(wù)鏡像化管理和云邊協(xié)同，進而實現(xiàn)對邊端ESSG 的動態(tài)管理及安全服務(wù)的動態(tài)下發(fā)。在云端運營中心部署遠(yuǎn)程安全運維系統(tǒng)，運維人員在云端的安全運維系統(tǒng)內(nèi)選擇需要部署的安全服務(wù)鏡像，同時選擇需要部署的邊端 ESSG，即可將服務(wù)部署到邊端 ESSG 上，其中邊緣安全數(shù)據(jù)通道用來保證邊端服務(wù)的數(shù)據(jù)上傳或云端服務(wù)編排指令的下達(dá)。

云邊協(xié)同技術(shù)的遠(yuǎn)程安全運維系統(tǒng)，關(guān)鍵在于服務(wù)倉庫的建設(shè)、服務(wù)的編排、服務(wù)的運行監(jiān)測及安全數(shù)據(jù)通道。本系統(tǒng)具有如下幾個特點：云邊協(xié)同的統(tǒng)一服務(wù)倉庫和服務(wù)監(jiān)測、云邊協(xié)同的服務(wù)編排、專用數(shù)據(jù)通道。

2.3.1　基于虛擬容器化技術(shù)的服務(wù)倉庫

服務(wù)倉庫用來存儲安全服務(wù)制品，所謂的安全服務(wù)制品是指 ESSG 上的安全服務(wù)鏡像，為了服務(wù)運行環(huán)境的統(tǒng)一，避免部署時可能出現(xiàn)的環(huán)境異常情況，ESSG 使用 Docker 容器技術(shù)作為技術(shù)基座，實現(xiàn)只隔離應(yīng)用程序的運行環(huán)境，但服務(wù)之間可以共享同一個操作系統(tǒng) [7]。服務(wù)倉庫的服務(wù)使用流程如圖 5 所示。

圖 5　服務(wù)倉庫的使用流程

具體操作流程如下：

（1）服務(wù)制品的生產(chǎn)。開發(fā)人員通過 Docker技術(shù)將服務(wù)打包為鏡像文件并存儲為 .tar 格式文件，輸出相應(yīng)的配置參數(shù)文檔。

（2）服務(wù)制品的上傳。運維人員上傳服務(wù)制品文件和配置參數(shù)到服務(wù)倉庫中進行存儲，再根據(jù)具體的業(yè)務(wù)同步更新到對應(yīng)的鏡像倉庫Harbor 中，在 Harbor 中需要對服務(wù)制品進行版本管理。

（3）服務(wù)制品的運行。運維人員根據(jù)需要，利用服務(wù)編排模塊，以及專用骨干網(wǎng)絡(luò)提供的數(shù)據(jù)安全通道，將鏡像文件下發(fā)到遠(yuǎn)端 ESSG 中，進行部署。

（4）服務(wù)制品更新。當(dāng)某個安全服務(wù)需要升級時，需要再一次將服務(wù)打包為鏡像文件，然后上傳，同步到 Harbor 中，每一個版本都是一個需要備份的單獨制品。

2.3.2　基于云邊協(xié)同技術(shù)和容器編排技術(shù)的服務(wù)編排

服務(wù)通過虛擬容器化技術(shù)進行打包、管理后，需要把服務(wù)部署到邊端服務(wù)器中，這也是遠(yuǎn)程安全運維的核心模塊。在這個運維場景中，需要把服務(wù)的鏡像文件變成運行的容器狀態(tài)并且運行在邊端服務(wù)器上，這個過程需要自動化完成。為解決這兩個核心技術(shù)點，本文采用了Kubernetes 的容器編排管理技術(shù)和 KubeEdge 的云邊協(xié)同技術(shù)。

Kubernetes 提供了大規(guī)模部署容器的編排與管理能力，能夠構(gòu)建多容器的應(yīng)用服務(wù)，在集群上調(diào)度或伸縮這些容器，以及管理它們隨時間變化的健康狀態(tài) 。Kubernetes 通過將容器分類組成 Pod 來解決容器增殖帶來的許多常見問題。Pod 為容器分組提供了一層抽象，以此協(xié)助調(diào)度工作負(fù)載，以及為這些容器提供類似網(wǎng)絡(luò)與存儲這類必要的服務(wù)。Kubernetes 的其他組件幫助用戶對 Pod 進行負(fù)載均衡，以保證有合適數(shù)量的容器支撐用戶的工作負(fù)載 [9]。在生產(chǎn)環(huán)境中使用 Kubernetes 的主要優(yōu)勢在于其提供了在物理機或虛擬機集群上調(diào)度和運行容器的平臺。更寬泛地說，Kubernetes 能幫助用戶在生產(chǎn)環(huán)境中構(gòu)建基于容器底座的基礎(chǔ)設(shè)施。由于 Kubernetes本質(zhì)上就是運維任務(wù)的自動化平臺，用戶可以執(zhí)行一些其他應(yīng)用程序平臺或管理系統(tǒng)支持的操作，只不過操作對象變成了容器。

KubeEdge 用于將容器化應(yīng)用程序編排功能擴展到 Edge 的主機。它構(gòu)建在 kubernetes 之上，并為網(wǎng)絡(luò)應(yīng)用程序提供基礎(chǔ)架構(gòu)支持、云和邊緣之間的部署和元數(shù)據(jù)同步 ，從而實現(xiàn)邊緣計算，將容器化應(yīng)用編排功能擴展到邊緣的節(jié)點和設(shè)備，并為云和邊緣之間的網(wǎng)絡(luò)、應(yīng)用部署和元數(shù)據(jù)同步提供基礎(chǔ)架構(gòu)支持 。同時，KubeEdge 還 支 持 消 息 隊 列 遙 感 傳 輸（Message Queuing Telemetry Transport，MQTT），并允許開發(fā)人員編寫自定義邏輯并在 Edge 上啟用一定資源的設(shè)備進行通信 。

利 用 Kubernetes 的 容 器 編 排 技 術(shù)， 結(jié) 合KubeEdge 的云邊協(xié)同技術(shù)完成云邊協(xié)同的服務(wù)部署，結(jié)合二者相輔相成的關(guān)系實現(xiàn)將安全服務(wù)的能力按需下放到邊端。

具體的底層運行流程如下：

（1）服務(wù)啟動。首先，當(dāng)運維人員需要部署一個新的服務(wù)制品到邊端時，在服務(wù)編排模塊選擇一個服務(wù)以及其對應(yīng)的版本，服務(wù)加版本確定服務(wù)的唯一性；其次，直接發(fā)送一個部署指令，服務(wù)編排模塊就會從服務(wù)倉庫將該制品下發(fā)到邊端并運行。在服務(wù)編排模塊可以實時查看該服務(wù)的運行狀態(tài)和日志輸出，確認(rèn)該服務(wù)是否正常運行。

（2）服務(wù)更新。該模塊具有滾動更新功能，以保證原有業(yè)務(wù)和功能不受影響。滾動更新是指當(dāng)更新一個新的版本時，不會立即停止原來的服務(wù)，會先將新的服務(wù)啟動，正常運行后，將網(wǎng)絡(luò)流量全部導(dǎo)入新的服務(wù)，這時才停止舊的服務(wù)。如果新的服務(wù)在啟動時出現(xiàn)異常，就不會將流量導(dǎo)入新的服務(wù)，這樣在整個更新流程中，服務(wù)正常運行，不會影響現(xiàn)有的業(yè)務(wù)，也不會在服務(wù)更新過程中出現(xiàn)數(shù)據(jù)丟失的現(xiàn)象。例如，當(dāng)需要將某個安全服務(wù)從原來的 1.0 版本升級到 1.1 版本時，將該服務(wù)的 1.1 版本上傳到服務(wù)倉庫后，可以從服務(wù)倉庫的服務(wù)列表上看到該服務(wù)的兩個版本，同時可以看到需要更新的 ESSG 上運行的服務(wù)狀態(tài)版本為 1.0 版本，可以直接將 1.1 版本號發(fā)送給服務(wù)編排模塊，實現(xiàn)服務(wù)的更新。

（3）服務(wù)停止。當(dāng)服務(wù)需要停止時，首先由運維人員發(fā)送停止請求到服務(wù)編排模塊，編排模塊根據(jù)需要停止的服務(wù)名稱和該服務(wù)所在邊端 ESSG 的信息生成一個停止指令，最后通過云邊協(xié)同功能直接下發(fā)停止指令到邊端服務(wù)器上，刪除該服務(wù)。

2.3.3　基于副本控制器和 Kubelet 技術(shù)的運行監(jiān)測

為保證邊端服務(wù)安全、可靠地運行，本系統(tǒng)從服務(wù)的正常運行和狀態(tài)監(jiān)控兩個維度保障系統(tǒng)的安全運行。

首先，需要確保服務(wù)正常運行。邊端服務(wù)通過 Kubernetes 運行后，Kubernetes 的副本控制器（Replication Controller，RC） 會 保 證 容 器 一直處于持續(xù)運行狀態(tài)，從而保證服務(wù)的高可用性。RC 的工作原理是一直監(jiān)控 Kubernetes 容器，即服務(wù)的運行狀態(tài)，一旦發(fā)現(xiàn)服務(wù)存在異常，RC 就 會 控 制 Kubernetes 啟 動 一 個 新 的 Pod，以此保證這個服務(wù)的高可用運行。其中 Pod 是Kubernetes 部署時的基本單元。一個 Pod 由一個或多個共享相同網(wǎng)絡(luò)命名空間和 IP 地址的容器組成，通俗地說，服務(wù)通過容器運行在 Pod 中，而 Pod 運行在服務(wù)器上。

其次，要想實現(xiàn)對邊端的精確狀態(tài)監(jiān)控，就需要實現(xiàn)云端對所有邊端服務(wù)運行狀態(tài)的監(jiān)控。本系統(tǒng)將每個邊端節(jié)點通過 kubelet 技術(shù)加入集群中，實現(xiàn)了云端對邊端服務(wù)器中央處理器利用率、內(nèi)存使用情況、磁盤壓力、網(wǎng)絡(luò)帶寬的監(jiān)控，以及對每個服務(wù)運行的 pod 環(huán)境的相應(yīng)指標(biāo)數(shù)據(jù)的監(jiān)測。通過云端遠(yuǎn)程監(jiān)控，可以直觀地看出服務(wù)器上每個 pod 所占用的資源情況，為運維和開發(fā)人員提供數(shù)據(jù)指導(dǎo)，方便運維人員的日常維護和迭代升級，從而達(dá)到資源的合理利用。

2.3.4　基于 SD-WAN 技術(shù)的專用數(shù)據(jù)通道

云邊端的專用數(shù)據(jù)通道通過 SD-WAN 網(wǎng)絡(luò)本身的安全性保障數(shù)據(jù)通道的安全，SD-WAN通過身份認(rèn)證、數(shù)據(jù)加密、數(shù)據(jù)驗證和權(quán)限控制等措施，避免非法接入、信息泄露和數(shù)據(jù)篡改等安全問題。特別是針對邊緣安全服務(wù)網(wǎng)關(guān)（以下簡稱“服務(wù)網(wǎng)關(guān)”）的接入場景，SDWAN 解決方案基于零信任的安全理念，嚴(yán)格驗證服務(wù)網(wǎng)關(guān)的身份信息，防止身份仿冒，確保只有合法可信的服務(wù)網(wǎng)關(guān)才能接入，從而避免非法遠(yuǎn)端設(shè)備的接入。本系統(tǒng)的數(shù)據(jù)通信主要基于 SD-WAN 的專用數(shù)據(jù)通道進行。

除了利用 SD-WAN 技術(shù)，本系統(tǒng)還根據(jù)不同的數(shù)據(jù)類型建設(shè)了不同的安全機制，以保障數(shù)據(jù)通道的安全性。安全機制包含如下兩點：

（1）服務(wù)編排指令的下達(dá)。通過 KubeEdge本身的 Websocket 數(shù)據(jù)通道進行下達(dá)，該數(shù)據(jù)通道基于 Websocket+Tls 對數(shù)據(jù)進行加密，以及通過云端 Token 驗證，保障了編排指令數(shù)據(jù)的安全性。

（2）云邊端服務(wù)的數(shù)據(jù)訪問。通過此服務(wù)進行數(shù)據(jù)轉(zhuǎn)發(fā)，其核心是利用 EdgeMesh 進行 云 邊 服 務(wù) 的 數(shù) 據(jù) 轉(zhuǎn) 發(fā)。EdgeMesh 項 目 解 決了邊緣計算場景下復(fù)雜網(wǎng)絡(luò)的通信問題，中心化 的 EdgeMesh-Server 作 為 一 個 中 繼 組 件， 協(xié)助其他節(jié)點進行網(wǎng)絡(luò)穿透和流量中轉(zhuǎn)。此組件具有高可用性，不僅能應(yīng)對性能瓶頸與單點故障場景，而且能夠保障系統(tǒng)更加穩(wěn)定地運行，還覆蓋了多種邊緣網(wǎng)絡(luò)的痛點場景，如分布式動態(tài)中繼連接場景和私有局域網(wǎng)的網(wǎng)絡(luò)自治場景等。

通過對安全運維系統(tǒng)架構(gòu)、場景和關(guān)鍵技術(shù)的說明可知，本系統(tǒng)能夠解決單個服務(wù)的部署問題。首先，將每個服務(wù)打包為鏡像制品，該制品可以在任何環(huán)境下運行，其本身就包含了服務(wù)運行的所有環(huán)境，解決了服務(wù)運行時所需安裝的各種插件的問題；其次，通過 Kubernetes的容器編排工具，對各個服務(wù)進行編排部署、更新，以及通過 KubeEdge 進行云邊的協(xié)同管理，將自動化編排部署功能延伸到遠(yuǎn)程，真正實現(xiàn)了服務(wù)的管理、自動部署，以及服務(wù)生命周期的監(jiān)控；最后，安全運維系統(tǒng)實現(xiàn)了服務(wù)生產(chǎn)、部署、升級、監(jiān)控、結(jié)束等流程的自動化和流水化，同時該過程無需更多的命令行操作，所有服務(wù)可一鍵化完成。

3 遠(yuǎn)程安全運維系統(tǒng)應(yīng)用

遠(yuǎn)程安全運維系統(tǒng)主要面向云邊協(xié)同、邊緣計算、安全運維等領(lǐng)域，重點是在提升安全防護能力、效率的同時節(jié)約安全投入成本。在云邊協(xié)同的機制下，可以實現(xiàn)遠(yuǎn)期安全能力的按需動態(tài)分配、彈性伸縮、自動化部署和升級。遠(yuǎn)程安全運維系統(tǒng)部署如圖 6 所示。

圖 6　遠(yuǎn)程安全運維系統(tǒng)部署

遠(yuǎn)程安全信息部署中的管理端集群主要由部署在云端環(huán)境的 Master 節(jié)點組成，用于云邊協(xié)同的遠(yuǎn)程安全運維系統(tǒng)的管理工作，例如，邊端 ESSG 的注冊與激活，服務(wù)的編排等。邊端ESSG 作為云端節(jié)點的 Worker 節(jié)點，主要承載用戶的邊緣業(yè)務(wù)，與云端運營中心進行聯(lián)動。

運維人員首先通過云端運營中心的運維模塊，完成邊緣安全服務(wù)網(wǎng)關(guān)的生產(chǎn)、激活；其次完成遠(yuǎn)程安全服務(wù)的新增、刪除、服務(wù)生命周期的策略管理、服務(wù)的啟停、監(jiān)控、配置、發(fā)布；最后完成遠(yuǎn)程安全運維操作權(quán)限的申請?？蛻艨赏ㄟ^登錄云端的安全運營中心，完成遠(yuǎn)程安全運維操作權(quán)限的審批，以及邊端安全服務(wù)網(wǎng)關(guān)的動態(tài)監(jiān)控。

在邊緣數(shù)據(jù)采集和分析的業(yè)務(wù)場景中，可以在運營中心進行統(tǒng)一管理，實現(xiàn)服務(wù)的低延遲和高可用。ESSG 接入云端的集群管理端之后，由云端運營中心進行統(tǒng)一管理。由運維人員統(tǒng)一對 ESSG 進行組網(wǎng)、激活、初始化和監(jiān)控。ESSG 作為一個具有豐富安全設(shè)備對接能力的連接終端，通過安全設(shè)備適配層接入安全終端，進行數(shù)據(jù)采集和處理。輸出處理后的數(shù)據(jù)，并將其上報給運營中心側(cè)進行綜合分析，充分運用云端資源及處理能力，最終實現(xiàn)業(yè)務(wù)閉環(huán)及高效率的生產(chǎn)優(yōu)化，為客戶提供高性能、便捷的數(shù)據(jù)采集和分析服務(wù)。ESSG 可在云端根據(jù)需要動態(tài)升級安全設(shè)備適配層，不間斷地提升安全設(shè)備的對接能力，還可將算法從云端數(shù)據(jù)中心下發(fā)到邊端的 ESSG 上，實現(xiàn)算法和設(shè)備的解耦，同時可根據(jù)客戶具體情況定制化數(shù)據(jù)處理策略，并實現(xiàn)遠(yuǎn)程自動化部署，極大地降低了安全運維成本。

為了直觀地展示邊端服務(wù)運行狀態(tài)，本系統(tǒng)提供了可視化大屏方案，以服務(wù)維度展示當(dāng)前所有服務(wù)的運行狀態(tài)，通過關(guān)系圖展示各個服務(wù)之間的網(wǎng)絡(luò)關(guān)聯(lián)和數(shù)據(jù)流情況，同時深鉆各個服務(wù)相關(guān)的資源，如部署的 Node 資源，Pod 狀態(tài)，以及當(dāng)前服務(wù)的啟停歷史、運行日志；真正做到整個系統(tǒng)的一屏監(jiān)控。

4 結(jié)　語

基于云邊協(xié)同的遠(yuǎn)程安全運維系統(tǒng)，不僅解決了單個服務(wù)的遠(yuǎn)程部署問題，還實現(xiàn)了服務(wù)的不間斷升級，對邊端安全設(shè)備及邊端 ESSG的遠(yuǎn)程運維方面進行了優(yōu)化。用戶在服務(wù)部署、升級及邊端 ESSG 設(shè)備日常運維管理方面可在云端運營中心一鍵遠(yuǎn)程操作，不需要挨個登錄多個遠(yuǎn)程機器，再輸入各種復(fù)雜的命令來部署服務(wù)，也不需要日常巡檢來查看服務(wù)狀態(tài)，同時本文還解決了服務(wù)器運維管理過程中遠(yuǎn)程登錄服務(wù)器所存在的安全隱患。可以看出，相對于傳統(tǒng)的安全運維方法，本文提出的基于云邊協(xié)同的遠(yuǎn)程安全運維系統(tǒng)真正助力了安全運維，能真正解決傳統(tǒng)企業(yè)數(shù)字化轉(zhuǎn)型面臨的問題，希望能為遠(yuǎn)程安全運維提供參考。

引用格式：許勇 , 文占婷 , 付猛林 , 等 . 基于云邊協(xié)同技術(shù)的遠(yuǎn)程安全運維系統(tǒng) [J]. 信息安全與通信保密 ,2024(4):93-104.
作者簡介 >>>
許　勇，男，學(xué)士，工程師，主要研究方向為云安全、安全服務(wù)運營；
文占婷，女，碩士，工程師，主要研究方向為云與大數(shù)據(jù)安全；
付猛林，男，學(xué)士，工程師，主要研究方向為云原生在安全服務(wù)方面的應(yīng)用；
母鳳雯，女，碩士，工程師，主要研究方向為云服務(wù)安全。選自《信息安全與通信保密》2024年第4期（為便于排版，已省去原文參考文獻）
重要聲明：本文來自信息安全與通信保密雜志社，經(jīng)授權(quán)轉(zhuǎn)載，版權(quán)歸原作者所有，不代表銳成觀點，轉(zhuǎn)載的目的在于傳遞更多知識和信息。