CN101197715B - 一种移动数据业务状态的安全集中采集方法 - Google Patents

Abstract

本发明涉及通信领域，尤其是一种移动数据业务状态的安全集中采集方法：设置状态信息数据库，在各个业务***的监控终端设置状态采集模块，状态信息数据库和各监控终端之间建立网络连接；状态采集模块向对应业务***发出代替维护人员操作的指令，并采集响应指令输出，通过分析响应指令输出产生参数化的业务状态信息；业务状态信息通过网络集中送往状态信息数据库供处理；所述网络连接采用安全实现方式，在公网网络中设置数据库服务器实现状态信息数据库，各个业务***的业务网络到位于公网网络中的数据库服务器分别有且仅有一个专用接口，本发明提供了低成本的移动数据业务状态安全集中采集方案，提高了数据网故障处理效率。

Description

一种移动数据业务状态的安全集中采集方法

技术领域

本发明涉及通信领域，尤其是一种移动数据业务状态的安全集中采集方法。

背景技术

随着移动通信技术的飞速发展，新的数据业务不断推出，数据网的业务***不断增多，目前已有十五个专业；在同种业务***中，又有不同的设备供应商所提供的数据业务设备，它们使用的协议和实现方式各不相同；为了网络安全，各业务***的维护主机分布在独立的子网上，彼此不能互通；同时数据业务技术更新快，在维护和管理经验上与成熟的电话网络相比有较大的差距，需要加强积累。业务设备入网时，一般由供应商提供网管***，目前还没有统一的网管平台，对业务***的监控和管理分散在各业务***的监控终端上进行，在***监控方面缺乏自动化工具和手段，需要人工监视设备和业务的状态、人工逐条执行日常维护指令并查看返回结果。由于移动通信服务业务的特殊性，数据业务需要安排7x24小时值班监控，工作压力比较大，经常出现顾此失彼的现象，各业务***发生的障碍难以及时发现，故障处理时延大。提出一种能够集中采集移动数据网中所有业务***内业务状态数据的方案，是现有技术亟待解决的问题。而由于数据业务***没有统一的规范和协议，导致目前在本领域现有各种各样的采集方法，从全业务流程的信令镜像采集***，到针对某一台设备或业务的专用采集方案，要么耗资巨大，要么适用性不强，不便于实现业务状态数据集中。尤其是需要采集的数据分布于多个业务网络上，这些业务网络的数据按照安全要求是严格禁止互相访问的。怎样安全地实现业务状态集中采集，是目前本领域公认的技术难题。

发明内容

本发明的目的在于提供能够安全实现集中采集移动数据网中所有业务***内业务状态数据的方案，以便提高解决故障的效率和质量。

为实现本发明所述目的，本发明提供的移动数据业务状态的安全集中采集方法是：设置状态信息数据库，在各个业务***的监控终端设置状态采集模块，状态信息数据库和各监控终端之间建立网络连接；状态采集模块向对应业务***发出代替维护人员操作的指令，并采集响应指令输出，通过分析响应指令输出产生参数化的业务状态数据；业务状态数据通过网络集中送往状态信息数据库供处理；所述状态信息数据库和各监控终端之间建立网络连接采用以下安全实现方式：

在公网网络中设置数据库服务器实现状态信息数据库，各个业务***的业务网络到位于公网网络中的数据库服务器分别有且仅有一个专用接口，这种专用接口一端为数据库服务器，另一端为状态采集模块，该专用接口有以下三个特征，

(1)接口自封闭，该接口两端分别在本地记录了对端的IP地址、MAC地址、端口号、用于生成密钥的标识符，两端交互时严格对应，凡不满足的数据包全部会被过滤掉；

(2)限定只有运行在业务***中的状态采集模块能够向位于公网的数据库服务器从指定端口发起主动访问，并对访问内容进行限制；

(3)此接口上流动的信息是双重加密的，其一是在状态采集模块和数据库服务器通信时采用安全连接，其二是通信时传送的数据是加密的。

而且，专用接口对访问内容进行限制，将访问内容限制为包括以下内容，

1)状态采集模块与数据库服务器交互的是密文数据包，密文数据包的内容包括格式固定的业务状态数据，格式不符的被直接丢弃；并且传送的方向限定为只有状态采集模块能够向数据库服务器主动发送数据包，不允许数据库服务器向状态采集模块主动发送应答信息除外的数据包，任何向状态采集模块发起的主动连接或主动数据包传送全部被拒绝或丢弃；

2)在设置状态采集模块的时候进行注册交互；

3)状态采集模块定时发送心跳信息给数据库服务器，用于确认状态采集模块的活动状态；

而且，所述注册交互的信息为128位标识符，在安装每个状态采集模块时，数据库服务器随机产生标识符，状态采集模块取得该标识符并保存，用于此后运行时的加密。

而且，所述密文数据包由状态采集模块利用WEBSERVICE访问方式，通过指定端口向数据库服务器提供。

而且，所述指定端口采用80端口。

而且，代替维护人员操作的指令以脚本文件形式存储在状态采集模块中供使用，脚本文件中含有待采集业务设备的账号、口令和指令，脚本文件中的所有数据都使用加密算法进行逐条加密。

而且，数据库服务器仅开放指定端口，状态信息数据库外部设置防火墙进行保护，防火墙中设置流量限制、用户IP地址限制及协议限制。

而且，状态信息数据库根据业务状态数据判断是否产生告警，提供告警登陆查看服务，在告警的WEB登陆页面采用登陆失败失效技术和防止注入式攻击技术。

而且，告警的查看页面采用防嵌套技术、用户权限验证及SESSION的超时网页自动失效技术，拒绝非法用户访问。

本发明提供了一种分布式方案，由分布于业务***监控终端上的状态采集模块采集各业务***的业务状态数据后，通过专用接口集中到处于公网网络中的状态信息数据库。状态采集模块可以主动向业务***内设备发送代替维护人员操作的指令，收集业务***中各业务设备响应指令的输出，反应设备业务状态。本发明还扩展了对业务状态数据的处理，实现根据业务状态数据自动判断故障进行告警，进一步提高了解决故障的效率和质量。实施本发明仅仅只需增加数据库软硬件***，通过专用接口设置和加密措施，严格保障了采集过程的安全性。本发明实现无需对各业务***进行改造，在低成本基础上实现了全网业务状态数据安全集中，特别适于大型移动业务服务商采用。

附图说明

图1是本发明实施例的信息流示意图；

图2是本发明实施例的数据网综合告警***示意图；

图3是本发明实施例状态采集模块的主控线程执行流程图；

图4是本发明实施例状态采集模块的脚本执行线程执行流程图；

图5是本发明实施例状态采集模块的设备状态提取线程执行流程图。

具体实施方式

本发明提供的移动数据业务状态集中采集的基本技术手段是：设置状态信息数据库，在各个业务***的监控终端设置状态采集模块，状态信息数据库和各监控终端之间建立网络连接；状态采集模块向对应业务***发出代替维护人员操作的指令，并采集响应指令输出，通过分析响应指令输出产生参数化的业务状态数据；业务状态数据通过网络集中送往状态信息数据库供处理。安装在各个业务***的监控终端上的状态采集模块可以代替维护人员执行日常维护作业指令。该采集模块自动对业务设备发出指令，自动保存和处理业务设备响应指令而返回的数据，通过这些数据整理出业务状态数据。同时，由于可以自动执行维护作业指令，维护作业计划执行的间隔也可大大缩短，自动执行的时间间隔可以大幅缩小，监控力度也比人工执行要大得多，有利于保持移动数据网的维护质量。通过以上的处理过程量化得到的业务状态数据，成为可供计算机决策的指标，即衡量业务状态的指标。状态采集模块和状态信息数据库之间可通过心跳服务交互，例如每5分钟状态采集模块报告自己处于正常工作状态。

为了提高故障处理效率，业务状态数据通过网络集中到状态信息数据库后，状态信息数据库可根据业务状态数据判断是否产生告警，信息流可参见图1：状态采集模块向业务***内的业务设备发送脚本命令，业务设备响应命令输出回送状态采集模块，状态采集模块将业务状态数据送往状态信息数据库，根据业务状态数据产生告警。实施时可通过两种方式处理：一是设备状态的每一个指标都有相应的正常范围值，状态信息数据库将检查所有的指标，对不在正常取值范围的指标都将产生告警；二是业务状态数据在某个给定的情况下(如：时间，数量等)有一定的统计分布(成功率或失败率)，状态信息数据库对其进行统计，对统计结果有较大的偏离将发出告警。设备状态指标的定义及其阈值都可根据日常的维护经验确定，状态信息数据库中还可提供接口供相关专业人员进行调整。

本发明具体实施时可以扩展实现状态信息数据库，以便增加处理效率，提供更多功能：状态信息数据库由数据库服务器、应用服务器和web服务器通过网络连接构成，数据库服务器集中采集处理业务状态数据，应用服务器实现业务逻辑和扩展功能，web服务器通过internet提供浏览各种告警的服务。参见附图2，本发明实施例的***结构是：装有状态采集模块的监控终端与业务***其它设备之间采用接口连接，实现状态采集模块和业务设备之间的信息传递，可采用采用SOCKET方式连接于TCP的23号端口。监控终端和数据库服务器之间通过专用接口连接，实现状态采集模块和数据库服务器之间的信息传递，可采用ADO方式连接数据库。实施时可在数据库服务器中存储告警门限表，表中记录业务状态数据的数据门限和超过门限对应的告警，当执行业务状态数据入库操作时，触发器自动执行检查数据量是否在门限范围之内，如不在门限范围内则产生告警。

考虑到实际应用时，现有各业务***的业务设备往往由不同的设备供应商所提供，使用的信息交互协议可能不同，实施时可能会造成复杂的通信设置。而本发明注意到，现有各专业***都支持telnet方式，因此实施时可设定状态采集模块和对应业务***的业务设备之间通过telnet方式交互。具体实施时利用telnet实现交互，可在状态采集模块执行脚本的过程中，状态采集模块自动分辨telnet是处于输入状态还是输出状态，分辨的方法是自动匹配telnet提示符。当匹配到提示符后自动输入脚本命令；对于没有提示符的命令，状态采集模块根据设置的超时时间向业务设备发出“^C”回到输入状态。状态采集模块也可以直接根据设置的超时时间使业务设备回到输入状态。通过在脚本中加入特别标识提示状态采集模块对不同的情况进行处理，可以利用telnet协议从业务设备采集大量的信息，通过不同的脚本可以灵活的制定采集策略收集关心的信息。

数据库服务器对采集到的信息进行分析可采用和软件IDS相同的方法，信息处理分为关键字段抽取和关键字段统计两种。将需要抽取和统计的字段按命令ID分组表示该字段在该命令的输出中去抽取和统计，建立以命令ID的数组，数组的元素除包含ID还包含一个链表的头指针，而链表中存储须抽取和统计的字段。当对采集到的信息处理时，状态采集模块根据命令ID遍历链表，匹配关键字段得到设备状态。在执行脚本和信息分析过程中需要采用的字符匹配算法可参考BMH算法。

状态采集模块可采用软件编程实现，状态采集模块发出的指令以加密方式与状态采集模块保存在一起。本发明提供状态采集模块的具体软件设计方法供参考：状态采集模块由主控模块、脚本执行模块、设备状态提取模块构成，三个模块分别对应三个线程，可以同时在后台运行，对维护终端的日常工作没有影响。两个工作线程由主控线程进行控制。各线程采用SHE(结构化异常处理)技术保证线程的稳定运行。当有不可克服的异常时，各线程可将向主控线程报告，主控线程一方面作好***日志记录，一方面重启线程。各线程流程可参见图3～5，开始基本的初始化之后：主控线程监控各线程的上报消息，是服务退出；脚本执行线程逐条执行脚本，取输出结果，放入缓冲区，循环执行直到结束；设备状态提取线程从缓冲区中取一条输出结果，分析输出设备状态，量化设备状态并执行存储过程上传，直到完成结束。

本发明能否实现安全采集实施，关键在于对业务网络与公网之间信息流实现安全控制。本发明状态信息数据库必须安装在公网中，其目的是确保所有的状态采集模块都能访问到作为核心的数据库服务器。具体实施时，采用成熟的数据库技术即可，本发明不予赘述。在公网网络中设置数据库服务器实现状态信息数据库，各个业务***的业务网络到位于公网网络中的数据库服务器分别有且仅有一个专用接口，这种专用接口一端为数据库服务器，另一段为状态采集模块，该专用接口设定以下三个特征，

(1)接口自封闭，该接口两端分别在本地记录了对端的IP地址、MAC地址、端口号、128位GUID(用于生成密钥)，运行的时候必须严格对应，凡不满足的数据包全部会被过滤掉；

具体实施时，以上记录的各种信息可在安装状态信息数据库和状态采集模块的时候进行预先配置。

(2)限定只有运行在业务***中的状态采集模块能够向位于公网的数据库服务器从指定端口发起主动访问，并对访问内容进行限制；

(3)此接口上流动的信息是双重加密的，其一是在状态采集模块和数据库服务器通信时采用安全连接，其二是通信时传送的数据是经过加密的。具体实施时，所述安全连接可采用SSL连接，所述通信时传送的数据加密可采用AES加密方式。

本发明提供实施例中状态采集模块向数据库服务器交互时，3种允许访问的情形以供参考：(1)设备状态数据上传。专用接口可采用xml封装状态信息。该访问过程是状态采集模块所属的业务网络对数据库服务器的单向访问，它以XML数据格式封装SQL SERVER存储过程的调用及执行后返回的数据集合，使状态采集模块可通过Web Service协议调用SQL SERVER所提供的服务，只对在数据库对应表中拥有合法权限的业务***的数据进行处理。状态采集模块采集到的响应指令输出，作为包含了设备状态数据的密文数据包，由状态采集模块利用WEBSERVICE访问方式，通过指定端口(例如80端口)向数据库服务器提供，可以保证上传过程中的信息安全，即使被盗取数据包也无法被解读。具体实施时，还可限定密文数据包的内容为格式固定的业务状态数据，格式不符的被直接丢弃，这些业务状态数据只能被数据库服务器的指定处理程序作为参数处理；并且传送的方向限定为只有状态采集模块能够向数据库服务器主动发送数据包，不允许数据库服务器向状态采集模块主动发送应答信息除外的数据包，任何向状态采集模块发起的主动连接或主动数据包传送全部被拒绝或丢弃。(2)状态采集模块向数据库服务器登记注册，从数据库服务器取得128位的标识符GUID。状态采集模块启动时，自动连接到数据库服务器执行。数据库服务器检查登记的IP地址和口令，如果都符合将给状态采集模块分配一个128位的标识符(GUID)。在其后的交互中都需要此标识符。在交互过程中对端的IP地址、MAC地址、端口号、GUID不能匹配的数据包均会被定义为非法连接，所有非法的连接尝试都会被拒绝。(3)状态采集模块和数据库服务器心跳交互。每5分钟状态采集模块通知数据库服务器自己工作状态。这种限制访问方案从根本上禁止了从数据库服务器向状态采集模块的主动访问，数据库服务器不对业务***主动发送任何指令或数据，从而实现对业务网络的保护。

为了进一步提高集中采集方案安全性，除设置专用接口外，本发明实施例对整个方案的其它部分安全也作了强化处理：

状态采集模块本地安全：代替维护人员操作的指令以脚本文件形式存储在状态采集模块中供使用，由于状态采集模块的脚本中含有设备的登录用户名和口令，这些脚本位于业务网络中的本地监控终端上，脚本文件易被人获取。所以将脚本文件采用加密算法加密后存放在监控终端上，解密的密钥采用对应的加密算法加密存储于监控终端的***注册表或其它地方，只有特定本机帐号的用户才能解密密钥。状态采集模块的数据对数据库进行数据发送，进行SSL安全连接和AES密码加密双重验证机制。具体实施时，状态采集模块内置解密算法和解密密钥，在采集过程中提取密文进行解密，得到采集指令及分析指令，进行指令发送及结果提取，提取到的结果数据首先进行分析，得到分析结果，调用WEBSERVICE过程，同样经过双重验证的加密链路送往数据库服务器，然后结果数据同样利用加密算法加密后保存在状态采集模块的本地日志库中。

数据库服务器本地安全：数据库服务器仅开放指定端口，状态信息数据库外部设置防火墙进行保护，防火墙中设置流量限制、用户IP地址限制及协议限制。

告警服务安全：web服务器通过internet，采用WEBSERVICE访问方式向具有权限的用户提供浏览各种告警的服务。在告警的WEB登陆页面采用登陆失败失效技术和防止注入式攻击技术，防止登陆侵入。告警的查看页面采用防嵌套技术、用户权限验证及SESSION的超时网页自动失效技术，拒绝非法用户访问。这些技术属于web服务领域的成熟技术，具体实现本发明不予赘述。

Claims (9)

1.一种移动数据业务状态的安全集中采集方法，其特征在于：设置状态信息数据库，在各个业务***的监控终端设置状态采集模块，状态信息数据库和各监控终端之间建立网络连接；状态采集模块向对应业务***发出代替维护人员操作的指令，并采集响应指令输出，通过分析响应指令输出产生参数化的业务状态数据；业务状态数据通过网络集中送往状态信息数据库供处理；所述状态信息数据库和各监控终端之间建立网络连接采用以下安全实现方式，

在公网网络中设置数据库服务器实现状态信息数据库，各个业务***的业务网络到位于公网网络中的数据库服务器分别有且仅有一个专用接口，这种专用接口一端为数据库服务器，另一端为状态采集模块，该专用接口有以下三个特征，

(1)接口自封闭，该接口两端分别在本地记录了对端的IP地址、MAC地址、端口号、用于生成密钥的标识符，两端交互时严格对应，凡不满足的数据包全部会被过滤掉；

(2)限定只有运行在业务***中的状态采集模块能够向位于公网的数据库服务器从指定端口发起主动访问，并对访问内容进行限制；

(3)此接口上流动的信息是双重加密的，其一是在状态采集模块和数据库服务器通信时采用安全连接，其二是通信时传送的数据是加密的。

2.如权利要求1所述的安全集中采集方法，其特征是：专用接口对访问内容进行限制，限制为以下内容，

1)状态采集模块与数据库服务器交互的是密文数据包，密文数据包的内容包括格式固定的业务状态数据，格式不符的被直接丢弃；并且传送的方向限定为只有状态采集模块能够向数据库服务器主动发送数据包，不允许数据库服务器向状态采集模块主动发送应答信息除外的数据包，任何向状态采集模块发起的主动连接或主动数据包传送全部被拒绝或丢弃；

2)在设置状态采集模块的时候进行注册交互；

3)状态采集模块定时发送心跳信息给数据库服务器，用于确认状态采集模块的活动状态；

3.如权利要求2所述的安全集中采集方法，其特征是：所述注册交互的信息为128位标识符，在安装每个状态采集模块时，数据库服务器随机产生标识符，状态采集模块取得该标识符并保存，用于此后运行时的加密。

4.如权利要求2所述的安全集中采集方法，其特征是：所述密文数据包由状态采集模块利用WEBSERVICE访问方式，通过指定端口向数据库服务器提供。

5.如权利要求4所述的安全集中采集方法，其特征是：所述指定端口采用80端口。

6.如权利要求1或2或3或4或5所述的安全集中采集方法，其特征是：代替维护人员操作的指令以脚本文件形式存储在状态采集模块中供使用，脚本文件中含有待采集业务设备的账号和口令，脚本文件中的指令使用加密算法进行逐条加密。

7.如权利要求1或2或3或4或5所述的安全集中采集方法，其特征是：数据库服务器仅开放指定端口，状态信息数据库外部设置防火墙进行保护，防火墙中设置流量限制、用户IP地址限制及协议限制。

8.如权利要求1或2或3或4或5所述的安全集中采集方法，其特征是：状态信息数据库根据业务状态数据判断是否产生告警，通过web服务器提供告警登陆查看服务，在告警的WEB登陆页面采用登陆失败失效技术和防止注入式攻击技术。

9.如权利要求8所述的安全集中采集方法，其特征是：告警的查看页面采用防嵌套技术、用户权限验证及SESSION的超时网页自动失效技术，拒绝非法用户访问。

Images