(19)国家知识产权局 (12)发明 专利 (10)授权公告 号 (45)授权公告日 (21)申请 号 20221079486 0.1 (22)申请日 2022.07.07 (65)同一申请的已公布的文献号 申请公布号 CN 114900372 A (43)申请公布日 2022.08.12 (73)专利权人 南京智人云信息技 术有限公司 地址 210000 江苏省南京市雨 花台区宁双 路19号云密城5幢12层1202- 053 (72)发明人 李彪　徐建平　张帅　张超　 (74)专利代理 机构 南京明杰知识产权代理事务 所(普通合伙) 32464 专利代理师 张文杰 (51)Int.Cl. H04L 9/40(2022.01) H04L 9/08(2006.01)H04L 9/32(2006.01) H04L 41/02(2022.01) H04L 41/0631(2022.01) (56)对比文件 CN 110674192 A,2020.01.10 CN 114138568 A,202 2.03.04 审查员 董智青 (54)发明名称 基于零信任安全哨兵体系的资源防护系统 (57)摘要 本发明公开了基于零信任安全哨兵体系的 资源防护系统， 属于零信任资源防护技术领域。 该系统包括操作管理平台、 密码存储服务模块、 哨兵模块、 CA 证书模块、 信息校验模块、 数据交互 模块； 所述操作管理平台用于执行系统管理员的 操作， 添加基础组件； 所述密码存储服务模块用 于提供密码存储服务， 存储基础组件的敏感信 息； 所述哨兵模块用于创建服务端哨兵和客户端 哨兵； 所述CA 证书模块用于生成、 验证、 吊销哨兵 证书； 所述信息校验模块用于对身份信息进行校 验； 所述数据交互模块用于服务端哨兵从连接池 中取出可用连接将加密 的数据包解码后转发至 基础组件， 与基础组件之间形成受信任的数据交 互。 权利要求书3页 说明书9页 附图1页 CN 114900372 B 2022.10.14 CN 114900372 B 1.基于零信任安全哨兵体系的资源防护系统， 其特征在于： 该系统包括操作 管理平台、 密码存储服务模块、 哨兵模块、 CA证书模块、 信息校验 模块、 数据交 互模块； 所述操作管理平台用于执行系统管理员的操作， 添加基础组件； 所述密码存储服务模 块用于提供密码存储服务， 存储基础组件的敏感信息； 所述哨兵模块用于创建服务端哨兵 和客户端哨兵； 所述CA证书模块用于生成、 验证、 吊销哨兵证书， 客户端哨兵和服务端哨兵 通信时通过CA证书模块验证对方身份合法性； 所述信息校验模块用于在服务端哨兵接收到 客户端哨兵传输的加密数据包后进行解码， 对其中提交的身份信息进行校验， 校验失败则 终止流程， 输出基础组件对应的协 议格式错误响应包； 校验成功后则响应认证成功数据包， 并持续进行命令的鉴权、 审计、 日志记录、 异常告警操作； 所述数据 交互模块用于服务端哨 兵从连接池中取出可用连接将加密的数据包解码后转 发至基础组件， 与基础组件之 间形成 受信任的数据交 互； 所述信息校验 模块包括： 客户端程序把本地部署的客户端哨兵作为最终要访问的基础组件， 通过标准驱动进行 连接使用， 发送 认证数据包； 客户端哨兵接收到客户端程序的连接后， 客户端哨兵从加密连接 中创建新的操作流通 道， 将客户端程序发送的认证数据包加密转发到服 务端哨兵； 服务端哨兵接受到加密数据包后进行解码， 对其中提交的身份信息进行校验， 校验失 败则终止流程， 输出基础组件对应的协议格式错误响应包； 校验成功后则响应认证成功数 据包； 客户端哨兵转发服务端哨兵响应的数据包到客户端程序， 认证成功后客户端接着执行 命令请求； 所述数据交 互模块包括： 客户端哨兵 持续将客户端的数据包加密后转发至  服务端哨兵； 服务端哨兵 持续进行命令的鉴权、 审计、 日志 记录、 异常告警操作； 服务端哨兵 从连接池中取 出可用连接将加密的数据包解码后转发至基础组件； 所述连接池在系统初始化时， 将基础组件的连接作为对象存储在内存中， 当服务端哨 兵需要访问基础组件时， 不需要建立一个新的连接， 而是从连接池中取出一个已建立的空 闲连接对象将加密的数据包解码后发送至基础组件， 使用完毕后， 服务端哨兵不关闭连接， 而是将连接放回连接池中， 以供 下一个请求访问使用； 系统管理员通过操作管理平台， 增加redis基础组件， 配置连接及账号密码， 配置连接 redis服务的虚拟身份， 并且配置服 务端哨兵允许的命令 权限； 创建服务端哨兵， 选择redis基础组件， 生成服 务端哨兵x5 09证书； 下载二进制服务端哨兵、 配置文件、 证书在公有云内网中部署服务端哨兵， 服务端哨兵 启动后根据配置文件中的密码存储服务地址请求真实的redis连接信息与redis实例建立 连接池； 通过操作管理平台创建客户端哨兵证书和配置文件， 选择访 问的服务端哨兵， 创建客 户端哨兵配置文件； 将客户端哨兵二进制文件、 证书、 配置文件发送给开发者； 开发者本地运行客户端哨兵， 将客户端哨兵当做redis服务， 通过redis ‑cli或脚本连权　利　要　求　书 1/3 页 2 CN 114900372 B 2接客户端哨兵进行排 查工作； 问题排查完成， 管理员通过操作管理平台吊销客户端证书， 销毁服务端哨兵终止开发 人员的访问权限。 2.根据权利要求1所述的基于零信任安全哨兵体系的资源防护系统， 其特 征在于： 系统管理员通过所述操作 管理平台添加被保护的基础组件， 操作管理平台会为被保护 的基础组件生成唯一的组件ID， 构建组件ID的敏感信息， 将敏感信息加密存储在密码存储 服务模块中； 所述敏感信息包括基础组件的连接、 认证身份、 组件类型、 虚拟身份、 真实身份。 3.根据权利要求2所述的基于零信任安全哨兵体系的资源防护系统， 其特 征在于： 系统管理员通过哨兵模块创建服 务端哨兵证书； 系统管理员从已添加的被保护的基础组件列表中选取一个需要被保护的基础组件， 调 用CA证书模块 生成服务端哨兵使用的x5 09证书， 证书中记录被保护的基础组件ID信息； 创建服务端哨兵配置信 息， 所述服务端哨兵配置信 息包括基于基础组件协议的认证身 份信息、 日志输出地址、 命令限制类型及黑白名单、 限制的命令列表； 所述基于基础组件协议的认证身份信息包括pem格式证书、 pem格式证书 的私钥、 密码 存储地址、 密码存 储服务验证to ken、 服务端哨兵监听地址； 系统管理员通过操作 管理平台下载服务端哨兵证书及服务端哨兵二进制程序， 对服务 端哨兵进行部署。 4.根据权利要求3所述的基于零信任安全哨兵体系的资源防护系统， 其特征在于： 所述 哨兵模块还 包括： 服务端哨兵启动后根据服务端哨兵配置信息中服务端哨兵监听地址、 pem格式服务端 哨兵证书、 pem格式服 务端哨兵证书的私钥启动tls端口监听服 务； 启动成功后根据密码存储地址、 密码存储服务验证token请求密码存储服务模块加载 身份列表， 所述身份列表包括虚拟身份、 真实身份； 预先根据 各个真实的身份及连接信 息和基础组件实例建立连接， 连接异常时根据日志 输出地址记录的日志 平台地址抛 出错误日志， 连接正常时将连接放入连接池备用。 5.根据权利要求 4所述的基于零信任安全哨兵体系的资源防护系统， 其特 征在于： 所述对服 务端哨兵进行部署包括两种方式， 分别为： 将服务端哨兵部署在被保护的基础组件近端， 服务端哨兵和被保护的基础组件之间通 过unix domain共享内存方式通信； 将服务端哨兵部署在基础组件相同的内网环境中， 通过tcp方式通信。 6.根据权利要求 4所述的基于零信任安全哨兵体系的资源防护系统， 其特 征在于： 系统管理员通过哨兵模块创建客户端哨兵证书， 从已添加的服务端哨兵列表中选择一 个或多个授权给客户端哨兵访问的服务端哨兵， 调用CA证书模块生成客户端哨兵使用的 x509证书， 证书中记录客户端哨兵配置信息； 所述客户端哨兵配置信息包括： pem格式客户端哨兵证书、 pem格式客户端哨兵证书私 钥、 服务端哨兵地址、 客户端哨兵监听地址； 系统管理员通过操作 管理平台下载客户端证书及客户端哨兵二进制程序， 部署在客户 端近端， 供客户端服 务进行连接。权　利　要　求　书 2/3 页 3 CN 114900372 B 3