CN114189515A - 基于sgx的服务器集群日志获取方法和装置 - Google Patents
基于sgx的服务器集群日志获取方法和装置 Download PDFInfo
- Publication number
- CN114189515A CN114189515A CN202111341369.5A CN202111341369A CN114189515A CN 114189515 A CN114189515 A CN 114189515A CN 202111341369 A CN202111341369 A CN 202111341369A CN 114189515 A CN114189515 A CN 114189515A
- Authority
- CN
- China
- Prior art keywords
- log
- key
- type
- management controller
- cluster
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 51
- 238000004891 communication Methods 0.000 claims abstract description 82
- 238000012545 processing Methods 0.000 claims abstract description 41
- 238000010219 correlation analysis Methods 0.000 claims abstract description 9
- 239000000758 substrate Substances 0.000 claims description 30
- 230000000977 initiatory effect Effects 0.000 claims description 12
- 238000007789 sealing Methods 0.000 claims description 7
- 230000001960 triggered effect Effects 0.000 claims description 7
- 230000008569 process Effects 0.000 abstract description 9
- 230000005540 biological transmission Effects 0.000 abstract description 3
- 238000007726 management method Methods 0.000 description 78
- 238000004590 computer program Methods 0.000 description 17
- 230000006870 function Effects 0.000 description 15
- 230000000875 corresponding effect Effects 0.000 description 6
- 238000010586 diagram Methods 0.000 description 5
- 238000012423 maintenance Methods 0.000 description 5
- 238000012098 association analyses Methods 0.000 description 4
- 238000012550 audit Methods 0.000 description 2
- 230000007246 mechanism Effects 0.000 description 2
- 230000001360 synchronised effect Effects 0.000 description 2
- 230000002159 abnormal effect Effects 0.000 description 1
- 238000004140 cleaning Methods 0.000 description 1
- 238000007621 cluster analysis Methods 0.000 description 1
- 230000002596 correlated effect Effects 0.000 description 1
- 230000007547 defect Effects 0.000 description 1
- 239000000284 extract Substances 0.000 description 1
- 239000004973 liquid crystal related substance Substances 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000005192 partition Methods 0.000 description 1
- 238000011084 recovery Methods 0.000 description 1
- 230000003068 static effect Effects 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/01—Protocols
- H04L67/10—Protocols in which an application is distributed across nodes in the network
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/06—Management of faults, events, alarms or notifications
- H04L41/069—Management of faults, events, alarms or notifications using logs of notifications; Post-processing of notifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
- H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
-
- Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
- Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
- Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
- Y02D10/00—Energy efficient computing, e.g. low power processors, power management or thermal management
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Debugging And Monitoring (AREA)
Abstract
本申请涉及一种基于SGX的服务器集群日志获取方法和装置。通过将远程日志获取及处理代码置于可信执行环境中，日志获取装置程序连接集群中所有的BMC，分别与集群中的BMC进行DH密钥交换协议，分别建立通信密钥。BMC通过SGX的远程证明功能证明日志获取装置程序运行在可信的enclave中，然后日志获取装置登录集群中所有BMC，并在身份认证成功后，利用通信密钥获取集群中BMC的日志。解决了分布式服务器集群的日志数据统一收集，关联分析功能；实现了日志传输过程加密，日志处理过程加密，日志存储过程加密等安全性要求；实现了日志的分类分级，实现日志的分类存储，提高日志利用率。
Description
技术领域
本申请涉及云计算技术领域，特别是涉及一种基于SGX的服务器集群日志获取方法和装置。
背景技术
在云计算时代，云计算平台中服务器稳定运行是提供可靠云计算服务的前提。传统服务器***运维管理方法一般是***运维人员到机房巡视或者使用操作***的远程桌面来进行操作。该方法存在效率低下、服务器宕机后无法追查原因的缺陷。而利用服务器的智能平台管理接口(IPMI)，管理员则可在任何地点通过网络访问远端服务器，从获取的事件日志和传感器数据记录对服务器***的状态和故障进行分析并确认故障原因，通过相关的设定来实现服务器恢复，通过预警功能可较早的发现服务器***的隐患所在，从而保障业务的正常运行。而BMC(Baseboard Management Controller，主板管理控制器)是IPMI的内嵌管理芯片。服务器主板上的BMC可以实现检测板上Sensor(温度传感器、风扇速度、电压传感器、功耗传感器等)，还可以收集Sensor日志以及***日志等，同时实现对服务器的操作控制。
IntelSGX是Intel架构新的扩展,在原有架构上增加了一组新的指令集和内存访问机制。这些扩展允许应用程序实现一个被称为enclave的容器,在应用程序的地址空间中划分出一块被保护的区域,为容器内的代码和数据提供机密性和完整性的保护,免受拥有特殊权限的恶意软件的破坏。
在服务器管理中，BMC能够产生事件日志并记录在***事件日志(SEL)中，用户或技术人员能够通过日志浏览器访问***事件日志，日志浏览器从SEL中提取信息，并以十六进制或详细的方式展现出来，通过SEL信息可以监视服务器以发现警告或潜在的重大问题，也可以将SEL数据保存到一起分析或单个文件供以后分析或清除在服务器中的现有SEL数据，但是无法获取到BMC全部内容的日志。同时远程控制端通过网络功能访问BMC，获取服务器的日志(***日志、管理日志和网络日志)。
在IPMI的最新版本中，安全性的提升是由于IPMI增强了认证和加密功能。认证包括基于安全哈希算法和基于密钥哈希消息认证，加密方式有Arcfour等。正是这些加密及认证功能的引入，实现了服务器管理员安全的远程操作,但是这些加密在远程控制端也是明文显示。
面对为多节点的服务器***，设备维护人员为了掌握各个节点的工作情况，及时发现异常情况，通常需要在运行期间不厌其烦的对各个节点进行检测。虽然在网络出现以后，维护人员可以通过网络远程逐个的登录到各个节点上，通过远程管理各个节点。但面对数量众多、涉及多个节点而言，维护工作异常繁琐和复杂，而且效率较低，不利于及时发现运行过程中的问题。没有形成服务器集群之间的日志关联分析功能。服务器集群之间通常是协调配合工作，当某台服务器出现故障时，其它服务器也会可能受到影响，因此需要对服务器集群间的日志进行关联分析。
发明内容
基于此，有必要针对上述技术问题，提供一种基于SGX的服务器集群日志获取方法和装置。
一方面，提供一种基于SGX的服务器集群日志获取方法，所述方法包括：
创建基于SGX的可信执行环境，将远程日志获取及处理代码置于基于SGX的可信执行环境中；
通过IP网络连接服务器集群中的服务器基板管理控制器；
与集群中的各基板管理控制器进行密钥交换，分别建立通信密钥，并为集群中的基板管理控制器产生用于远程证明的引述；
利用通信密钥对引述进行加密并发送给集群中的基板管理控制器，以供基板管理控制器接收到远程证明的引述后进行解密，并通过SGX的远程证明功能验证远程网络控制端程序运行在可信执行环境，且在远程证明成功后发起身份认证挑战；
响应于基板管理控制器发起的身份认证挑战进行基板管理控制器登录认证；
身份认证成功后，获取基板管理控制器日志。
在其中一个实施例中，获取基板管理控制器日志包括以下至少一项：
主动向集群中的基板管理控制器发起日志读取操作请求，以触发基板管理控制器利用通信密钥对日志进行加密并返回加密后的日志；
被动接受基板管理控制器因日志记录触发报警阈值而发送的日志，其中所述日志由基板管理控制器利用通信密钥对日志进行加密。
在其中一个实施例中，方法还包括：
利用通信密钥对基板管理控制器日志进行解密，获取明文的日志信息；
对明文日志进行格式化；
对格式化的日志进行分类，形成按照不同日志类别进行分类以形成第一类日志数据；按照时间对日志进行分类，同时对不同集群上的同一时间段内的日志进行关联分析以形成第二类日志数据。
在其中一个实施例中，方法还包括：
对第一类日志数据进行分析处理，若存在单服务器触发告警阈值，则发出第一类告警；
对第二类日志数据进行集群联合分析处理，同时根据关联程度，若存在集群服务器触发告警阈值，则发出第二类告警。
在其中一个实施例中，方法还包括：
生成根封存密钥，并随机生成第一类加密密钥和第二类加密密钥；
利用根封存密钥分别加密第一类加密密钥和第二类加密密钥，将加密后的第一类加密密钥和第二类加密密钥保存到密钥数据库；
利用第一类加密密钥加密第一类日志数据，形成第一类日志加密数据，利用第二类加密密钥加密第二类日志数据，形成第二类日志加密数据；
将第一类日志加密数据和第二类日志加密数据分别存入日志数据库；
从日志数据库获取日志，利用第一类加密密钥和第二类加密密钥分别解密第一类日志和第二类日志。
在其中一个实施例中，方法还包括：
对通信密钥进行实时更新，当产生一个新的通信密钥时，利用旧的通信密钥加密发送给基板管理控制器，或者，重新利用密钥交互协议产生新的密钥，实现通信密钥的更新。
另一方面，提供了一种基于SGX的服务器集群日志获取装置，所述装置包括：
所述日志获取装置创建基于SGX的可信执行环境，将远程日志获取及处理代码置于基于SGX的可信执行环境中，并通过IP网络连接服务器集群中的服务器基板管理控制器，所述日志获取装置包括通信加解密模块、远程证明模块、身份认证模块、日志获取模块，其中：
通信加解密模块，用于与集群中的各基板管理控制器进行密钥交换协议，分别建立通信密钥；利用通信密钥对远程证明模块产生的引述进行加密并发送给集群中的基板管理控制器，以供基板管理控制器接收到远程证明的引述后进行解密并通过SGX的远程证明功能验证远程网络控制端程序运行在可信执行环境；利用通信密钥对基板管理控制器日志进行解密，获取明文的日志信息；
远程证明模块，用于为集群中的基板管理控制器产生用于远程证明的引述；
身份认证模块，用于响应基板管理控制器远程证明成功后向远程网络控制端发起的身份认证挑战，利用身份认证协议进行基板管理控制器登录认证；
日志获取模块，用于在身份认证成功后，进行基板管理控制器日志获取操作。
在其中一个实施例中，日志获取模块包括日志主动获取模块和日志被动获取模块，其中：
日志主动获取模块，用于主动向集群中的基板管理控制器发起日志读取操作请求，以触发基板管理控制器利用通信密钥对日志进行加密并返回加密后的日志；
日志被动获取模块，用于被动接受基板管理控制器因日志记录触发报警阈值而发送的日志，其中所述日志由基板管理控制器利用通信密钥对日志进行加密。
在其中一个实施例中，日志获取装置还包括日志格式化模块以及日志分类模块，其中：
日志格式化模块，用于对明文日志进行格式化；
日志分类模块，用于对格式化的日志进行分类，形成按照不同日志类别进行分类以形成第一类日志数据；按照时间对日志进行分类，同时对不同集群上的同一时间段内的日志进行关联分析以形成第二类日志数据。
在其中一个实施例中，日志获取装置还包括日志处理分析模块、日志告警模块以及日志加解密模块，其中：
日志处理分析模块，用于对第一类日志数据进行分析处理，若存在单服务器触发告警阈值，则向日志告警模块发出第一类告警指令；对第二类日志数据进行集群联合分析处理，同时根据关联程度，若存在集群服务器触发告警阈值，则向日志告警模块发出第二类告警指令；
日志告警模块，用于根据日志处理分析模块的告警指令发出告警指示；
日志加解密模块，其中日志加解密模块用于生成根封存密钥，并随机生成第一类加密密钥和第二类加密密钥，利用根封存密钥分别加密第一类加密密钥和第二类加密密钥，将加密后的第一类加密密钥和第二类加密密钥保存到密钥数据库，利用第一类加密密钥加密第一类日志数据，形成第一类日志加密数据，利用第二类加密密钥加密第二类日志数据，形成第二类日志加密数据；日志加解密模块还用于利用第一类加密密钥和第二类加密密钥分别解密第一类日志和第二类日志。
上述基于SGX的服务器集群日志获取方法和装置，解决了分布式服务器集群的日志数据统一收集，关联分析功能；实现了日志传输过程加密，日志处理过程加密，日志存储过程加密等安全性要求；实现了日志的分类分级，实现日志的分类存储，提高日志利用率。
附图说明
图1为一个实施例中基于SGX的服务器集群日志获取方法的流程示意图；
图2为一个实施例中基于SGX的服务器集群日志获取***的结构框图；
图3为一个实施例中计算机设备的内部结构图。
具体实施方式
为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。
本申请提出了一种基于SGX的服务器集群日志获取方法及装置。远程网络控制端创建基于SGX的enclave(可信执行环境)，将远程日志获取及处理代码置于enclave中。远程网络控制端程序连接集群中所有的BMC，远程网络控制端分别与集群中的BMC进行DH密钥交换协议，分别建立通信密钥。BMC通过SGX的远程证明功能证明远程网络控制端程序运行在可信的enclave中。然后远程网络控制端登录集群中所有BMC，并进行身份认证。身份认证成功后，利用通信密钥获取集群中BMC的日志，然后远程网络控制端在可信执行环境中解密获取的加密日志，同时对整体集群日志进行分类，按照不同日志类别(***日志、管理日志、网络日志)进行分类，形成第一类日志数据。按照时间对日志进行分类，将集群上的按照时间进行分类，同时对不同集群上的同一时间段内的日志进行关联分析，关联等级包括强依赖、弱依赖、无关联等，形成第二类日志数据。远程网络控制端利用SGX生成根封存密钥，然后随机产生第一类加密密钥和第二类加密密钥。利用第一类加密密钥加密第一类日志数据，形成第一类日志加密数据，利用第二类加密密钥加密第二类日志数据，形成第二类日志加密数据。将第一类日志加密数据和第二类日志加密数据分别存入日志数据库。利用SGX生成的根封存密钥分别加密第一类加密密钥和第二类加密密钥。
远程网络控制端从日志数据库获取日志，然后利用第一类加密密钥和第二类加密密钥分别解密相应日志，对日志进行审计。
图1为一个实施例中基于SGX的服务器集群日志获取方法的流程示意图；图2为一个实施例中基于SGX的服务器集群日志获取***的结构框图。以下结合图1和图2对本申请的方法和装置做详细介绍。
本申请提出的基于SGX的服务器集群日志获取方法及装置。远程网络控制端即基于SGX的服务器集群日志获取装置，其运行在支持intel的SGX功能的主机上，通常是一台服务器。本申请提供的基于SGX的服务器集群日志获取装置，即远程网络控制端，其包括日志分类模块、日志格式化模块、日志告警模块、日志获取模块、通信加解密模块、日志加解密模块、日志处理分析模块、身份认证模块、远程证明模块，其中日志获取模块包括日志主动获取模块和日志被动获取模块。
提供了一种基于SGX的服务器集群日志获取方法，包括以下步骤：
步骤101，创建基于SGX的可信执行环境，将远程日志获取及处理代码置于基于SGX的可信执行环境中。
具体的，远程网络控制端创建基于SGX的enclave，enclave是基于intel的一种可信执行环境。远程网络控制端将远程日志获取及处理代码置于enclave中，任何人均不能获取enclave中代码和数据，在enclave的数据处理是机密的。远程网络控制端的可信执行环境通过SGX的ocall和ecall函数与不可行执行环境进行通信。远程网络控制端与BMC通过网络连接，利用IPMI协议进行通信。
步骤102，通过IP网络连接服务器集群中的服务器基板管理控制器。
具体的，远程网络控制端程序通过IP网络连接集群中所有的BMC。
步骤103，与集群中的各基板管理控制器进行密钥交换，分别建立通信密钥，并为集群中的基板管理控制器产生用于远程证明的引述。
具体的，通信加解密模块分别与集群中的BMC进行DH密钥交换协议，分别建立通信密钥。然后远程证明模块为集群中的BMC产生用于远程证明的QUOTE。
步骤104，利用通信密钥对引述进行加密并发送给集群中的基板管理控制器，以供基板管理控制器接收到远程证明的引述后进行解密，并通过SGX的远程证明功能验证远程网络控制端程序运行在可信执行环境，且在远程证明成功后发起身份认证挑战。
具体的，通信加解密模块利用通信密钥对QUOTE进行加密发送给集群中的BMC。BMC接收到远程证明的QUOTE，并进行解密。每个BMC通过SGX的远程证明功能验证远程网络控制端程序运行在可信的enclave。
步骤105，响应于基板管理控制器发起的身份认证挑战进行基板管理控制器登录认证。
步骤106，身份认证成功后，获取基板管理控制器日志。
具体的，远程证明成功后向远程网络控制端程序发起身份认证挑战，远程网络控制端通过身份认证模块利用身份认证协议进行BMC登录认证。身份认证成功后，可进行BMC日志获取操作。
在一个实施例中，步骤106包括以下步骤中的至少一项：
步骤1061，主动向集群中的基板管理控制器发起日志读取操作请求，以触发基板管理控制器利用通信密钥对日志进行加密并返回加密后的日志；
步骤1063，被动接受基板管理控制器因日志记录触发报警阈值而发送的日志，其中所述日志由基板管理控制器利用通信密钥对日志进行加密。
具体的，BMC日志获取操作包括主动日志获取和被动日志获取。主动日志获取为远程网络控制端的日志主动获取模块主动向集群中的BMC进行日志读取操作，BMC利用通信密钥对日志进行加密，将加密后的日志发送给远程网络控制端。被动日志获取为BMC中的日志记录触发报警阈值，BMC利用通信密钥对日志进行加密，将加密后的日志发送给远程网络控制端，远程网络控制端的日志被动获取模块被动接受BMC日志。
在一个实施例中，方法还包括：
步骤107，利用通信密钥对基板管理控制器日志进行解密，获取明文的日志信息；
步骤108，对明文日志进行格式化；
步骤109，对格式化的日志进行分类，形成按照不同日志类别进行分类以形成第一类日志数据；按照时间对日志进行分类，同时对不同集群上的同一时间段内的日志进行关联分析以形成第二类日志数据。
具体的，远程网络控制端获取到加密日志后，利用通信密钥进行解密，获取到明文的日志信息。
远程网络控制端利用日志格式化模块对明文日志进行格式化，包括添加相应的时间戳、机器IP、日志类型等。远程网络控制端通过日志分类模块对格式化的日志进行分类，按照不同日志类别(***日志、管理日志、网络日志)进行分类，形成第一类日志数据。按照时间对日志进行分类，同时对不同集群上的同一时间段内的日志进行关联分析，关联等级包括强依赖、弱依赖、无关联等，形成第二类日志数据。
在一个实施例中，方法还包括：
步骤110，对第一类日志数据进行分析处理，若存在单服务器触发告警阈值，则发出第一类告警；
步骤111，对第二类日志数据进行集群联合分析处理，同时根据关联程度，若存在集群服务器触发告警阈值，则发出第二类告警。
具体的，日志处理分析模块对第一类日志数据进行分析处理，如果发现单服务器触发告警阈值，则通过日志告警模块发出第一类告警状态，并进行相应的处理操作。日志处理分析模块对第二类日志数据进行集群联合分析处理，同时根据关联程度，如果发现集群服务器触发告警阈值，通过日志告警模块发出第二类告警状态，并进行相应的处理操作。
在一个实施例中，方法还包括：
步骤112，生成根封存密钥，并随机生成第一类加密密钥和第二类加密密钥；
步骤113，利用根封存密钥分别加密第一类加密密钥和第二类加密密钥，将加密后的第一类加密密钥和第二类加密密钥保存到密钥数据库；
步骤114，利用第一类加密密钥加密第一类日志数据，形成第一类日志加密数据，利用第二类加密密钥加密第二类日志数据，形成第二类日志加密数据；
步骤115，将第一类日志加密数据和第二类日志加密数据分别存入日志数据库；
步骤116，从日志数据库获取日志，利用第一类加密密钥和第二类加密密钥分别解密第一类日志和第二类日志。
具体的，远程网络控制端通过日志加解密模块生成根封存密钥(根封存密钥是通过SGX的硬件机制产生的，可以在程序再次运行时自动重新导出)。然后随机产生第一类加密密钥和第二类加密密钥。根封存密钥分别第一类加密密钥和第二类加密密钥，然后将加密后的第一类加密密钥和第二类加密密钥保存到密钥数据库。利用第一类加密密钥加密第一类日志数据，形成第一类日志加密数据，利用第二类加密密钥加密第二类日志数据，形成第二类日志加密数据。将第一类日志加密数据和第二类日志加密数据分别存入日志数据库。远程网络控制端从日志数据库获取日志，然后利用第一类加密密钥和第二类加密密钥分别解密相应日志，对日志进行审计。
在一个实施例中，方法还包括：
步骤117，对通信密钥进行实时更新，当产生一个新的通信密钥时，利用旧的通信密钥加密发送给基板管理控制器，或者，重新利用密钥交互协议产生新的密钥，实现通信密钥的更新。
具体的，通信加解密模块对通信密钥进行实时更新，通信加解密模块产生一个新的通信密钥，利用旧的通信密钥加密发送给BMC。或者重新利用DH密钥交互协议产生新的密钥。实现通信密钥的更新。
通过上述方法和装置，可以：
1、解决分布式服务器集群的日志数据统一收集，关联分析功能。
2、实现日志传输过程加密，日志处理过程加密，日志存储过程加密等安全性要求
3、实现日志的分类分级，实现日志的分类存储，提高日志利用率。
应该理解的是，虽然图1的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，图1中的至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些子步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤的子步骤或者阶段的至少一部分轮流或者交替地执行。
关于基于SGX的服务器集群日志获取装置的具体限定可以参见上文中对于基于SGX的服务器集群日志获取方法的限定，在此不再赘述。上述基于SGX的服务器集群日志获取装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。
在一个实施例中，提供了一种计算机设备，该计算机设备可以是终端，其内部结构图可以如图3所示。该计算机设备包括通过***总线连接的处理器、存储器、网络接口、显示屏和输入装置。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作***和计算机程序。该内存储器为非易失性存储介质中的操作***和计算机程序的运行提供环境。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种基于SGX的服务器集群日志获取方法。该计算机设备的显示屏可以是液晶显示屏或者电子墨水显示屏，该计算机设备的输入装置可以是显示屏上覆盖的触摸层，也可以是计算机设备外壳上设置的按键、轨迹球或触控板，还可以是外接的键盘、触控板或鼠标等。
本领域技术人员可以理解，图3中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。
在一个实施例中，提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，处理器执行计算机程序时实现以下步骤：
创建基于SGX的可信执行环境，将远程日志获取及处理代码置于基于SGX的可信执行环境中；
通过IP网络连接服务器集群中的服务器基板管理控制器；
与集群中的各基板管理控制器进行密钥交换，分别建立通信密钥，并为集群中的基板管理控制器产生用于远程证明的引述；
利用通信密钥对引述进行加密并发送给集群中的基板管理控制器，以供基板管理控制器接收到远程证明的引述后进行解密，并通过SGX的远程证明功能验证远程网络控制端程序运行在可信执行环境，且在远程证明成功后发起身份认证挑战；
响应于基板管理控制器发起的身份认证挑战进行基板管理控制器登录认证；
身份认证成功后，获取基板管理控制器日志。
在一个实施例中，处理器执行计算机程序时还实现以下步骤：
主动向集群中的基板管理控制器发起日志读取操作请求，以触发基板管理控制器利用通信密钥对日志进行加密并返回加密后的日志；
被动接受基板管理控制器因日志记录触发报警阈值而发送的日志，其中所述日志由基板管理控制器利用通信密钥对日志进行加密。
在一个实施例中，处理器执行计算机程序时还实现以下步骤：
利用通信密钥对基板管理控制器日志进行解密，获取明文的日志信息；
对明文日志进行格式化；
对格式化的日志进行分类，形成按照不同日志类别进行分类以形成第一类日志数据；按照时间对日志进行分类，同时对不同集群上的同一时间段内的日志进行关联分析以形成第二类日志数据。
在一个实施例中，处理器执行计算机程序时还实现以下步骤：
对第一类日志数据进行分析处理，若存在单服务器触发告警阈值，则发出第一类告警；
对第二类日志数据进行集群联合分析处理，同时根据关联程度，若存在集群服务器触发告警阈值，则发出第二类告警。
在一个实施例中，处理器执行计算机程序时还实现以下步骤：
生成根封存密钥，并随机生成第一类加密密钥和第二类加密密钥；
利用根封存密钥分别加密第一类加密密钥和第二类加密密钥，将加密后的第一类加密密钥和第二类加密密钥保存到密钥数据库；
利用第一类加密密钥加密第一类日志数据，形成第一类日志加密数据，利用第二类加密密钥加密第二类日志数据，形成第二类日志加密数据；
将第一类日志加密数据和第二类日志加密数据分别存入日志数据库；
从日志数据库获取日志，利用第一类加密密钥和第二类加密密钥分别解密第一类日志和第二类日志。
在一个实施例中，处理器执行计算机程序时还实现以下步骤：
对通信密钥进行实时更新，当产生一个新的通信密钥时，利用旧的通信密钥加密发送给基板管理控制器，或者，重新利用密钥交互协议产生新的密钥，实现通信密钥的更新。
在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现以下步骤：
创建基于SGX的可信执行环境，将远程日志获取及处理代码置于基于SGX的可信执行环境中；
通过IP网络连接服务器集群中的服务器基板管理控制器；
与集群中的各基板管理控制器进行密钥交换，分别建立通信密钥，并为集群中的基板管理控制器产生用于远程证明的引述；
利用通信密钥对引述进行加密并发送给集群中的基板管理控制器，以供基板管理控制器接收到远程证明的引述后进行解密，并通过SGX的远程证明功能验证远程网络控制端程序运行在可信执行环境，且在远程证明成功后发起身份认证挑战；
响应于基板管理控制器发起的身份认证挑战进行基板管理控制器登录认证；
身份认证成功后，获取基板管理控制器日志。
在一个实施例中，计算机程序被处理器执行时还实现以下步骤：
主动向集群中的基板管理控制器发起日志读取操作请求，以触发基板管理控制器利用通信密钥对日志进行加密并返回加密后的日志；
被动接受基板管理控制器因日志记录触发报警阈值而发送的日志，其中所述日志由基板管理控制器利用通信密钥对日志进行加密。
在一个实施例中，计算机程序被处理器执行时还实现以下步骤：
利用通信密钥对基板管理控制器日志进行解密，获取明文的日志信息；
对明文日志进行格式化；
对格式化的日志进行分类，形成按照不同日志类别进行分类以形成第一类日志数据；按照时间对日志进行分类，同时对不同集群上的同一时间段内的日志进行关联分析以形成第二类日志数据。
在一个实施例中，计算机程序被处理器执行时还实现以下步骤：
对第一类日志数据进行分析处理，若存在单服务器触发告警阈值，则发出第一类告警；
对第二类日志数据进行集群联合分析处理，同时根据关联程度，若存在集群服务器触发告警阈值，则发出第二类告警。
在一个实施例中，计算机程序被处理器执行时还实现以下步骤：
生成根封存密钥，并随机生成第一类加密密钥和第二类加密密钥；
利用根封存密钥分别加密第一类加密密钥和第二类加密密钥，将加密后的第一类加密密钥和第二类加密密钥保存到密钥数据库；
利用第一类加密密钥加密第一类日志数据，形成第一类日志加密数据，利用第二类加密密钥加密第二类日志数据，形成第二类日志加密数据；
将第一类日志加密数据和第二类日志加密数据分别存入日志数据库；
从日志数据库获取日志，利用第一类加密密钥和第二类加密密钥分别解密第一类日志和第二类日志。
在一个实施例中，计算机程序被处理器执行时还实现以下步骤：
对通信密钥进行实时更新，当产生一个新的通信密钥时，利用旧的通信密钥加密发送给基板管理控制器，或者，重新利用密钥交互协议产生新的密钥，实现通信密钥的更新。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和/或易失性存储器。非易失性存储器可包括只读存储器(ROM)、可编程ROM(PROM)、电可编程ROM(EPROM)、电可擦除可编程ROM(EEPROM)或闪存。易失性存储器可包括随机存取存储器(RAM)或者外部高速缓冲存储器。作为说明而非局限，RAM以多种形式可得，诸如静态RAM(SRAM)、动态RAM(DRAM)、同步DRAM(SDRAM)、双数据率SDRAM(DDRSDRAM)、增强型SDRAM(ESDRAM)、同步链路(Synchlink)DRAM(SLDRAM)、存储器总线(Rambus)直接RAM(RDRAM)、直接存储器总线动态RAM(DRDRAM)、以及存储器总线动态RAM(RDRAM)等。
以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。
以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。
Claims (10)
1.一种基于SGX的服务器集群日志获取方法，其特征在于，所述方法包括：
创建基于SGX的可信执行环境，将远程日志获取及处理代码置于基于SGX的可信执行环境中；
通过IP网络连接服务器集群中的服务器基板管理控制器；
与集群中的各基板管理控制器进行密钥交换，分别建立通信密钥，并为集群中的基板管理控制器产生用于远程证明的引述；
利用通信密钥对引述进行加密并发送给集群中的基板管理控制器，以供基板管理控制器接收到远程证明的引述后进行解密，并通过SGX的远程证明功能验证远程网络控制端程序运行在可信执行环境，且在远程证明成功后发起身份认证挑战；
响应于基板管理控制器发起的身份认证挑战进行基板管理控制器登录认证；
身份认证成功后，获取基板管理控制器日志。
2.根据权利要求1所述的基于SGX的服务器集群日志获取方法，其特征在于，所述获取基板管理控制器日志包括以下至少一项：
主动向集群中的基板管理控制器发起日志读取操作请求，以触发基板管理控制器利用通信密钥对日志进行加密并返回加密后的日志；
被动接受基板管理控制器因日志记录触发报警阈值而发送的日志，其中所述日志由基板管理控制器利用通信密钥对日志进行加密。
3.根据权利要求1所述的基于SGX的服务器集群日志获取方法，其特征在于，所述方法还包括：
利用通信密钥对基板管理控制器日志进行解密，获取明文的日志信息；
对明文日志进行格式化；
对格式化的日志进行分类，形成按照不同日志类别进行分类以形成第一类日志数据；按照时间对日志进行分类，同时对不同集群上的同一时间段内的日志进行关联分析以形成第二类日志数据。
4.根据权利要求3所述的基于SGX的服务器集群日志获取方法，其特征在于，所述方法还包括：
对第一类日志数据进行分析处理，若存在单服务器触发告警阈值，则发出第一类告警；
对第二类日志数据进行集群联合分析处理，同时根据关联程度，若存在集群服务器触发告警阈值，则发出第二类告警。
5.根据权利要求3所述的基于SGX的服务器集群日志获取方法，其特征在于，所述方法还包括：
生成根封存密钥，并随机生成第一类加密密钥和第二类加密密钥；
利用根封存密钥分别加密第一类加密密钥和第二类加密密钥，将加密后的第一类加密密钥和第二类加密密钥保存到密钥数据库；
利用第一类加密密钥加密第一类日志数据，形成第一类日志加密数据，利用第二类加密密钥加密第二类日志数据，形成第二类日志加密数据；
将第一类日志加密数据和第二类日志加密数据分别存入日志数据库；
从日志数据库获取日志，利用第一类加密密钥和第二类加密密钥分别解密第一类日志和第二类日志。
6.根据权利要求1所述的基于SGX的服务器集群日志获取方法，其特征在于，所述方法还包括：
对通信密钥进行实时更新，当产生一个新的通信密钥时，利用旧的通信密钥加密发送给基板管理控制器，或者，重新利用密钥交互协议产生新的密钥，实现通信密钥的更新。
7.一种基于SGX的服务器集群日志获取装置，其特征在于，所述日志获取装置创建基于SGX的可信执行环境，将远程日志获取及处理代码置于基于SGX的可信执行环境中，并通过IP网络连接服务器集群中的服务器基板管理控制器，所述日志获取装置包括通信加解密模块、远程证明模块、身份认证模块、日志获取模块，其中：
通信加解密模块，用于与集群中的各基板管理控制器进行密钥交换协议，分别建立通信密钥；利用通信密钥对远程证明模块产生的引述进行加密并发送给集群中的基板管理控制器，以供基板管理控制器接收到远程证明的引述后进行解密并通过SGX的远程证明功能验证远程网络控制端程序运行在可信执行环境；利用通信密钥对基板管理控制器日志进行解密，获取明文的日志信息；
远程证明模块，用于为集群中的基板管理控制器产生用于远程证明的引述；
身份认证模块，用于响应基板管理控制器远程证明成功后向远程网络控制端发起的身份认证挑战，利用身份认证协议进行基板管理控制器登录认证；
日志获取模块，用于在身份认证成功后，进行基板管理控制器日志获取操作。
8.根据权利要求7所述的基于SGX的服务器集群日志获取装置，其特征在于，所述日志获取模块包括日志主动获取模块和日志被动获取模块，其中：
日志主动获取模块，用于主动向集群中的基板管理控制器发起日志读取操作请求，以触发基板管理控制器利用通信密钥对日志进行加密并返回加密后的日志；
日志被动获取模块，用于被动接受基板管理控制器因日志记录触发报警阈值而发送的日志，其中所述日志由基板管理控制器利用通信密钥对日志进行加密。
9.根据权利要求7所述的基于SGX的服务器集群日志获取装置，其特征在于，所述日志获取装置还包括日志格式化模块以及日志分类模块，其中：
日志格式化模块，用于对明文日志进行格式化；
日志分类模块，用于对格式化的日志进行分类，形成按照不同日志类别进行分类以形成第一类日志数据；按照时间对日志进行分类，同时对不同集群上的同一时间段内的日志进行关联分析以形成第二类日志数据。
10.根据权利要求9所述的基于SGX的服务器集群日志获取装置，其特征在于，所述日志获取装置还包括日志处理分析模块、日志告警模块以及日志加解密模块，其中：
日志处理分析模块，用于对第一类日志数据进行分析处理，若存在单服务器触发告警阈值，则向日志告警模块发出第一类告警指令；对第二类日志数据进行集群联合分析处理，同时根据关联程度，若存在集群服务器触发告警阈值，则向日志告警模块发出第二类告警指令；
日志告警模块，用于根据日志处理分析模块的告警指令发出告警指示；
日志加解密模块，其中日志加解密模块用于生成根封存密钥，并随机生成第一类加密密钥和第二类加密密钥，利用根封存密钥分别加密第一类加密密钥和第二类加密密钥，将加密后的第一类加密密钥和第二类加密密钥保存到密钥数据库，利用第一类加密密钥加密第一类日志数据，形成第一类日志加密数据，利用第二类加密密钥加密第二类日志数据，形成第二类日志加密数据；日志加解密模块还用于利用第一类加密密钥和第二类加密密钥分别解密第一类日志和第二类日志。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202111341369.5A CN114189515B (zh) | 2021-11-12 | 2021-11-12 | 基于sgx的服务器集群日志获取方法和装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202111341369.5A CN114189515B (zh) | 2021-11-12 | 2021-11-12 | 基于sgx的服务器集群日志获取方法和装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN114189515A true CN114189515A (zh) | 2022-03-15 |
| CN114189515B CN114189515B (zh) | 2023-08-04 |
Family
ID=80539989
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202111341369.5A Active CN114189515B (zh) | 2021-11-12 | 2021-11-12 | 基于sgx的服务器集群日志获取方法和装置 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN114189515B (zh) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN116743738A (zh) * | 2023-07-20 | 2023-09-12 | 北京道迩科技有限公司 | 日志传输方法、装置及电子设备 |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109561110A (zh) * | 2019-01-19 | 2019-04-02 | 北京工业大学 | 一种基于sgx的云平台审计日志保护方法 |
| US10554416B1 (en) * | 2018-12-01 | 2020-02-04 | University Of South Florida | System and method of audit log protection |
| CN113608964A (zh) * | 2021-08-09 | 2021-11-05 | 宁畅信息产业(北京)有限公司 | 一种集群自动化监控方法、装置、电子设备及存储介质 |
-
2021
- 2021-11-12 CN CN202111341369.5A patent/CN114189515B/zh active Active
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US10554416B1 (en) * | 2018-12-01 | 2020-02-04 | University Of South Florida | System and method of audit log protection |
| CN109561110A (zh) * | 2019-01-19 | 2019-04-02 | 北京工业大学 | 一种基于sgx的云平台审计日志保护方法 |
| CN113608964A (zh) * | 2021-08-09 | 2021-11-05 | 宁畅信息产业(北京)有限公司 | 一种集群自动化监控方法、装置、电子设备及存储介质 |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN116743738A (zh) * | 2023-07-20 | 2023-09-12 | 北京道迩科技有限公司 | 日志传输方法、装置及电子设备 |
| CN116743738B (zh) * | 2023-07-20 | 2024-04-05 | 北京道迩科技有限公司 | 日志传输方法、装置及电子设备 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN114189515B (zh) | 2023-08-04 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11797684B2 (en) | Methods and systems for hardware and firmware security monitoring | |
| Paccagnella et al. | Custos: Practical tamper-evident auditing of operating systems using trusted execution | |
| CN111708991B (zh) | 服务的授权方法、装置、计算机设备和存储介质 | |
| US20180352003A1 (en) | Network Access Control with Compliance Policy Check | |
| CN102624699B (zh) | 一种保护数据的方法和*** | |
| US20230056432A1 (en) | Service communication method, system, apparatus, electronic device, and storage medium | |
| CN111488598A (zh) | 访问控制方法、装置、计算机设备和存储介质 | |
| US7788366B2 (en) | Centralized network control | |
| KR102581873B1 (ko) | 전자기기의 패스워드 업데이트 방법, 장치, 기기 및 저장매체 | |
| KR20180120157A (ko) | 데이터세트 추출 기반 패턴 매칭 | |
| CN111082940A (zh) | 物联网设备控制方法、装置及计算设备、存储介质 | |
| CN202795383U (zh) | 一种保护数据的设备和*** | |
| CN108347361B (zh) | 应用程序测试方法、装置、计算机设备和存储介质 | |
| US20150026767A1 (en) | Systems and methods for implementing computer security | |
| US9288199B1 (en) | Network access control with compliance policy check | |
| Xu et al. | Data-provenance verification for secure hosts | |
| CN106790045B (zh) | 一种基于云环境分布式虚拟机代理装置及数据完整性保障方法 | |
| CN110138731B (zh) | 一种基于大数据的网络防攻击方法 | |
| CN100334519C (zh) | 建立可信输入输出通道的方法 | |
| Zhu et al. | Kub-Sec, an automatic Kubernetes cluster AppArmor profile generation engine | |
| US20210243206A1 (en) | Detection of security intrusion in a computing system | |
| CN113986470B (zh) | 一种用户无感知的虚拟机批量远程证明方法 | |
| CN114189515B (zh) | 基于sgx的服务器集群日志获取方法和装置 | |
| Zawoad et al. | SECAP: Towards securing application provenance in the cloud | |
| US20230244797A1 (en) | Data processing method and apparatus, electronic device, and medium |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |