山東微創(chuàng)軟件有限公司技術(shù)運(yùn)營(yíng)總監(jiān)吳瑋

吳瑋：各位業(yè)界的同仁，非常高興今天可以跟大家分享我們公司在新的基礎(chǔ)架構(gòu)下面的安全運(yùn)維的管控平臺(tái)。

我們做的產(chǎn)品比較特殊，它的技術(shù)原理和實(shí)現(xiàn)方式可能跟大家目前看到的主流技術(shù)路線和基于國(guó)外開源的集中化管理技術(shù)都不太一樣。

先做一下公司的簡(jiǎn)介，我們是國(guó)內(nèi)一家自主研發(fā)的公司，團(tuán)隊(duì)是2000年組建的，通過(guò)5年時(shí)間，我們做了第一代的系統(tǒng)。第一代的系統(tǒng)第一個(gè)大規(guī)模運(yùn)用的客戶就是富士康集團(tuán)，富士康集團(tuán)的辦公、生產(chǎn)及研發(fā)PC通過(guò)我們的系統(tǒng)去做底層的支撐和運(yùn)維安全的管控。

到2007年、2009年、2013年，我們做了幾個(gè)大版本的迭代，最開始我們做的客戶大部分相對(duì)比較封閉，主要集中在涉及國(guó)家安全、國(guó)防機(jī)密的場(chǎng)景做應(yīng)用和深耕。在涉密行業(yè)目前我們的資質(zhì)是最為完整的，而且這個(gè)類別的技術(shù)目前我們的應(yīng)用場(chǎng)景是最為廣泛和復(fù)雜的。

目前在展示的PPT上列舉的是我們這些年做過(guò)的一些比較典型的案例，涉及到國(guó)之重器的很多軍工單位，這些國(guó)之重器的單位基本上整個(gè)研發(fā)、辦公和生產(chǎn)體系的所有計(jì)算機(jī)平臺(tái)，都是架設(shè)在我們的系統(tǒng)之上運(yùn)行。還有一些部隊(duì)、多達(dá)上千家的知名院校，當(dāng)然還有很多知名大型研發(fā)制造型企業(yè)、包括了很多世界和中國(guó)500強(qiáng)。大家可以看到，我們的系統(tǒng)跟友商不太一樣，我們基本上會(huì)運(yùn)行在一些比較重型的研發(fā)場(chǎng)景、復(fù)雜的生產(chǎn)場(chǎng)景，跟國(guó)內(nèi)外的很多知名廠家或者集中管控的廠家只能應(yīng)用在功能較為單一、應(yīng)用比較簡(jiǎn)單、性能要求較低的場(chǎng)景都不太一樣。

到目前為止，國(guó)內(nèi)有70多萬(wàn)臺(tái)電腦是運(yùn)行在我們的平臺(tái)之上。從2017年開始，積極投入到國(guó)家自主可控的適配研發(fā)中，目前我們也是國(guó)內(nèi)三個(gè)總集成單位中電科15所、中電6所以及航天科工706所的戰(zhàn)略合作伙伴，基本完成了針對(duì)所有國(guó)產(chǎn)化平臺(tái)，從芯片到操作系統(tǒng)的適配，這一塊相關(guān)的工信部和國(guó)家保密局的標(biāo)準(zhǔn)制定，我們也在參與到協(xié)助中。

微創(chuàng)主要是集中在最難解決的前端的大規(guī)模電腦使用時(shí)的安全問(wèn)題、管理問(wèn)題和運(yùn)維問(wèn)題。通過(guò)這么多年的觀察，我們認(rèn)為，因?yàn)榧性诤蠖说臋C(jī)房，包括存儲(chǔ)和服務(wù)器，相對(duì)來(lái)說(shuō)比較容易管控，因?yàn)榻佑|的管道有限。但是在前端的計(jì)算機(jī)，每個(gè)用戶都可能代表一個(gè)可能的數(shù)據(jù)出口。

經(jīng)過(guò)統(tǒng)計(jì)，大概會(huì)有75%-80%的信息安全事件，包括運(yùn)維故障、業(yè)務(wù)連續(xù)性，其實(shí)都是有分散在前端的用戶導(dǎo)致的。當(dāng)然后端也有問(wèn)題，后端可能因?yàn)楣芾韱T的權(quán)限過(guò)大或者經(jīng)常會(huì)缺乏一些靜態(tài)數(shù)據(jù)的安全管控手段。

大家都知道，現(xiàn)在對(duì)于數(shù)據(jù)安全或者安全工具的運(yùn)行都依托于操作系統(tǒng)之上運(yùn)行。一旦計(jì)算機(jī)處于靜態(tài)、不運(yùn)行的時(shí)候，你之前做的所有安全管控方法或者方法是無(wú)效的，很容易被繞開也容易被破解，從而導(dǎo)致數(shù)據(jù)的丟失。這一塊相對(duì)是整個(gè)安全體系的短板，其中最明顯的就是靜態(tài)數(shù)據(jù)安全。

第二個(gè)是目前的操作系統(tǒng)大部分的還是用國(guó)外的，也不知道里面有多少后門或者有多少安全隱患，現(xiàn)在的安全體系漏洞比較多。我們做了一個(gè)跟別人不太一樣的方式方法，后面會(huì)跟大家做一個(gè)介紹。在相當(dāng)長(zhǎng)的一段時(shí)間，自主可控包括國(guó)產(chǎn)化都是比較大的趨勢(shì)，所以我們公司在這幾年也是積極的配合國(guó)家大戰(zhàn)略的發(fā)展，對(duì)國(guó)產(chǎn)化進(jìn)行適配。

我們也跟很多制造業(yè)的客戶交流，發(fā)現(xiàn)很多工控的設(shè)備目前處于管控乏力的狀態(tài)。前段時(shí)間工信部做過(guò)一個(gè)調(diào)研統(tǒng)計(jì)，基本上100%的公共設(shè)備目前是帶毒運(yùn)行的狀態(tài)，它的漏洞率是100%，有40%都存在難以彌補(bǔ)的安全漏洞和運(yùn)維的風(fēng)險(xiǎn)。問(wèn)題遠(yuǎn)遠(yuǎn)超過(guò)大家的想象。

目前，關(guān)系到國(guó)際民生的，電廠、自來(lái)水廠、地鐵、高鐵基本上都離不開工控設(shè)備。像烏克蘭電廠攻擊事件如果在中國(guó)發(fā)生那造成的災(zāi)難后果是不可想象的，不僅是安全的問(wèn)題，還有業(yè)務(wù)連續(xù)性的問(wèn)題，在國(guó)內(nèi)，幾乎所有的用戶都沒(méi)有一個(gè)即時(shí)災(zāi)備的機(jī)制，從數(shù)據(jù)到系統(tǒng)運(yùn)行，一旦被攻擊了之后，基本上都會(huì)瞬間癱瘓。

因?yàn)槲覀儑?guó)產(chǎn)化的體系目前都還處于一個(gè)初始階段，它的體系也比較多，比較雜一點(diǎn)，相比較X86的體系，它的問(wèn)題會(huì)更為突出。目前國(guó)產(chǎn)化的體系，第一個(gè)芯片的平臺(tái)、操作系統(tǒng)的平臺(tái)以及上層應(yīng)用的平臺(tái)，相對(duì)來(lái)說(shuō)還不是處于一個(gè)非常標(biāo)準(zhǔn)的狀態(tài)，所以它面臨的各種業(yè)務(wù)連續(xù)性的問(wèn)題和信息安全的問(wèn)題是更為突出的。我們也缺乏相應(yīng)的人，相應(yīng)的資料和知識(shí)庫(kù)來(lái)支撐我們的集成單位，包括用戶去解決這些問(wèn)題。

微創(chuàng)這些年做了一個(gè)架構(gòu)，它把原來(lái)固化在前端的文件系統(tǒng)、操作系統(tǒng)以及數(shù)據(jù)，從電腦上剝離開來(lái)，把它放到后端的自主可控平臺(tái)上，這個(gè)平臺(tái)是跨文件系統(tǒng)的。我們把所有的剝離過(guò)來(lái)的數(shù)據(jù)都看成可可以整合和管理的源數(shù)據(jù)，通過(guò)我們自主研發(fā)的底層工具的格式轉(zhuǎn)化成可受控的源數(shù)據(jù)，然后把它轉(zhuǎn)化成資源池。通過(guò)我們自己開發(fā)的協(xié)議，根據(jù)前端的請(qǐng)求把這些源數(shù)據(jù)組合成一個(gè)可供前端直接調(diào)度使用的運(yùn)算環(huán)境，利用前端的計(jì)算機(jī)自身硬件，包括CPU、GPU、硬盤I/O等來(lái)進(jìn)行運(yùn)算，從而讓前端誤以為它目前在運(yùn)行的整個(gè)系統(tǒng)是基于傳統(tǒng)方式本地安裝的。

在微創(chuàng)的架構(gòu)中，包括對(duì)數(shù)據(jù)的處理，對(duì)各種硬件資源的調(diào)度，邏輯上其實(shí)還是跟傳統(tǒng)方式一模一樣的，系統(tǒng)還是以為自己是依托本地進(jìn)行運(yùn)算的。事實(shí)上這些東西都是由后端提供和受控的，它所有的邊界都是由后端來(lái)控制的。通過(guò)這種方式，我們把前端的計(jì)算機(jī)變成了一個(gè)類似于緩存載體的設(shè)備，根據(jù)它的需求，從后端來(lái)及時(shí)的調(diào)用。

比如說(shuō)它今天可能需要一個(gè)Windows的系統(tǒng)，你只要賦權(quán)給它，那它開機(jī)的時(shí)候通過(guò)自己的權(quán)限可以隨時(shí)獲得這樣的系統(tǒng)。這樣的系統(tǒng)不需要安裝，它開機(jī)直接就運(yùn)行了，但是它用的是本地化的運(yùn)算方式。第二個(gè)它需要一個(gè)異構(gòu)的環(huán)境，它也可以隨時(shí)的切換。我們?cè)谧鋈魏钨Y源投送的時(shí)候，比如說(shuō)今天的應(yīng)用軟件或者說(shuō)安全工具需要做更新的話，都可以在后端的資源池里面直接進(jìn)行更新。只要你賦權(quán)給到前端，前端都會(huì)以增量的方式，隨時(shí)的獲得。

從這個(gè)角度來(lái)講，我們其實(shí)有點(diǎn)像是用存儲(chǔ)虛擬化的方式實(shí)現(xiàn)了類似于桌面虛擬化的功能，但我們跟目前的桌面虛擬化又不太一樣。傳統(tǒng)意義上的桌面虛擬化，它的運(yùn)算包括它的東西都在后端，后端用虛擬機(jī)的方式來(lái)模擬，或者后端采用對(duì)應(yīng)用進(jìn)行虛擬化的方式。

而我們保留了前端完整的運(yùn)算架構(gòu)，事實(shí)上它所獲得的資源對(duì)它的管理都是基于后端的，從而達(dá)到了我們認(rèn)為一個(gè)比較好的平衡點(diǎn)。既不需要后端進(jìn)行建立龐大的機(jī)房，從運(yùn)算資源到所有東西都不需要做大的投入，同時(shí)又具備了集中的安全、管控、運(yùn)維，發(fā)生的所有問(wèn)題在后端都可以處理。前端對(duì)于用戶，對(duì)于系統(tǒng)運(yùn)行的架構(gòu)來(lái)說(shuō)，它也是無(wú)縫兼容現(xiàn)有主流的X86的本地化運(yùn)算架構(gòu)，所以現(xiàn)有的所有系統(tǒng)和應(yīng)用從理論上來(lái)講可以無(wú)縫支持，不需要做任何的二次開發(fā)。

對(duì)于用戶來(lái)說(shuō)，它的兼容性和風(fēng)險(xiǎn)是最低的，甚至必要的時(shí)候我們還支持它以離線的方式，可以脫離服務(wù)器來(lái)運(yùn)行。做到這樣的架構(gòu)之后，把原來(lái)固化或者直接寫入硬件之上的操作系統(tǒng)和應(yīng)用，都通過(guò)我們架設(shè)的類似中間層一樣的，通過(guò)這個(gè)中間層跟硬件打交道，做了一層過(guò)濾。

通過(guò)底層平臺(tái)的建設(shè)，我們就可以在底層控制很多漏洞。比如說(shuō)靜態(tài)數(shù)據(jù)的安全，在我們這個(gè)系統(tǒng)架構(gòu)里面就可以很輕松的實(shí)現(xiàn)。如果沒(méi)有通過(guò)正確的運(yùn)行方式和訪問(wèn)方式，沒(méi)有通過(guò)身份驗(yàn)證，前端數(shù)據(jù)的組合方式肯定是不對(duì)的。前端硬盤里面的數(shù)據(jù)也就沒(méi)有辦法組成，你就沒(méi)有被系統(tǒng)或者被用戶正常認(rèn)知的系統(tǒng)和文件格式了。

第二個(gè)，我們可以在底層對(duì)各種端口進(jìn)行管控，這種管控的方式可能比傳統(tǒng)的依賴操作系統(tǒng)提供給你的接口權(quán)限會(huì)更為的安全，而且不依賴于國(guó)外的操作系統(tǒng)來(lái)賦權(quán)，相對(duì)來(lái)說(shuō)它的漏洞也沒(méi)有那么多。

第三，因?yàn)槲覀冊(cè)诘讓訉?duì)所有的讀寫進(jìn)行了控制，所以任何突發(fā)災(zāi)難，哪怕是系統(tǒng)級(jí)的，我們也可以在后端根據(jù)預(yù)先定義良好的數(shù)據(jù)狀態(tài)幫它瞬間的恢復(fù)到?jīng)]有問(wèn)題的運(yùn)行狀態(tài)，對(duì)于業(yè)務(wù)延續(xù)性的保障也可以做的非常好。

總體來(lái)說(shuō)，我們既實(shí)現(xiàn)了底層的準(zhǔn)入控制，整個(gè)后期，系統(tǒng)在整個(gè)運(yùn)行的過(guò)程當(dāng)中，從啟動(dòng)、運(yùn)行到后期訪問(wèn)用戶的使用，都可以做到可信。我們會(huì)不停的校驗(yàn)，在系統(tǒng)運(yùn)行過(guò)程當(dāng)中如果你不合規(guī)，通過(guò)我們后臺(tái)的定義的策略，就可以把你的系統(tǒng)運(yùn)行停止掉。

包括數(shù)據(jù)的防泄露、數(shù)據(jù)的流向。因?yàn)槲覀児ぷ髟诒炔僮飨到y(tǒng)還要低的底層，所以對(duì)數(shù)據(jù)流向就可以很輕易的做控制。讓數(shù)據(jù)的存儲(chǔ)或者調(diào)用都是經(jīng)過(guò)合法的路徑，存儲(chǔ)的位置，數(shù)據(jù)的流向，任何非法的管道都可以去屏蔽掉。

包括你在靜態(tài)的環(huán)境下，因?yàn)榍岸说臄?shù)據(jù)它脫離了服務(wù)器的管控范圍，它拿不到任何的校驗(yàn)認(rèn)證方式，所以前端的數(shù)據(jù)是由我們私有的文件格式存放的，它缺少了后臺(tái)的數(shù)據(jù)指針，也就沒(méi)有辦法組成一個(gè)現(xiàn)有的、大家可以認(rèn)知的數(shù)據(jù)呈現(xiàn)方式，所以數(shù)據(jù)也是安全的。

在應(yīng)急容災(zāi)這一塊，我們通過(guò)底層的平臺(tái)很輕易的實(shí)現(xiàn)對(duì)系統(tǒng)，以及對(duì)用戶產(chǎn)生的工作數(shù)據(jù)做各種完全、增量、差分的備份，在需要的時(shí)候可以及時(shí)的恢復(fù)。

運(yùn)維也是同樣如此，因?yàn)榍岸说南到y(tǒng)是由你來(lái)提供的，后端的服務(wù)器統(tǒng)一提供。在必要的時(shí)候，可以對(duì)前端進(jìn)行復(fù)原、清空、從新下發(fā)以及做系統(tǒng)級(jí)增量更新，都可以在后端完成，前端是完全受控的。

我們?cè)诟鱾€(gè)行業(yè)的用戶曾經(jīng)做了一個(gè)橫向的應(yīng)用對(duì)比。跟傳統(tǒng)意義上的云桌面的方式做對(duì)比，我們解決方案的復(fù)雜性是最低的。對(duì)于用戶來(lái)說(shuō)，在后端加了一臺(tái)服務(wù)器，就可以很輕易實(shí)現(xiàn)集中的管控。前端的網(wǎng)絡(luò)、硬件所有東西都不需要去做改造，它投入是最小的，退出風(fēng)險(xiǎn)也很低。

假使你認(rèn)為這套系統(tǒng)不好用，只需把服務(wù)器網(wǎng)線拔了，前端的運(yùn)行方式跟現(xiàn)有是一致的。沒(méi)有任何退出的風(fēng)險(xiǎn)。而傳統(tǒng)的云方式基本上需要推翻了現(xiàn)有的軟硬件及網(wǎng)絡(luò)結(jié)構(gòu)，我們?cè)诟脩魷贤ǖ倪^(guò)程當(dāng)中，發(fā)現(xiàn)很多用戶，上了國(guó)外云的解決方案或者國(guó)內(nèi)的云解決方案。在一段時(shí)間以后，當(dāng)它的業(yè)務(wù)系統(tǒng)進(jìn)行更新了以后，業(yè)務(wù)模式有了轉(zhuǎn)換以后，會(huì)發(fā)現(xiàn)云不行了。

比如說(shuō)它的軟件不兼容或者它的外設(shè)不兼容，它的生產(chǎn)設(shè)備不支持，對(duì)網(wǎng)絡(luò)的業(yè)務(wù)流占用比率和原來(lái)不同了，導(dǎo)致它整個(gè)業(yè)務(wù)系統(tǒng)停擺，這種例子我們可以最少舉出幾十家。但因?yàn)槟阏麄€(gè)已經(jīng)推翻原有的結(jié)構(gòu)，你沒(méi)有辦法回到最初始的狀態(tài)，所以就很痛苦，導(dǎo)致整個(gè)IT的投入需要推倒重來(lái)，給企業(yè)的研發(fā)和生產(chǎn)造成了巨大的風(fēng)險(xiǎn)。特別是研發(fā)和生產(chǎn)類的用戶群體，它整個(gè)的應(yīng)用體系包括周邊支持體系，目前來(lái)講還是圍繞本地化運(yùn)算的機(jī)制，還沒(méi)有考慮在虛擬化、在云的架構(gòu)上，我的生產(chǎn)設(shè)備、我的機(jī)器人怎么做，我們的工控、機(jī)床，我們的外設(shè)怎么支持？

甚至我們?cè)谧鲅邪l(fā)的時(shí)候，可能這個(gè)研發(fā)設(shè)計(jì)軟件，對(duì)于圖形、圖像、仿真的處理資源的調(diào)度，都沒(méi)有考慮過(guò)在虛擬化的背景下是怎么做的，這一點(diǎn)其實(shí)很多時(shí)候會(huì)給用戶未來(lái)帶來(lái)很巨大的后期可持續(xù)應(yīng)用的風(fēng)險(xiǎn)。

正因?yàn)榭吹搅擞脩暨@些問(wèn)題和隱患，我們微創(chuàng)提供這種解決方案，仍舊讓它的整個(gè)系統(tǒng)運(yùn)行模式恢復(fù)到現(xiàn)實(shí)的前端，但是它所獲取的軟件行資源都是通過(guò)后端集中化的提供和管理，它的安全策略，所有內(nèi)容都依托于后端。我們提供的是傳統(tǒng)的云桌面想要做到的集中化安全管控以及資源的可重復(fù)利用，但又規(guī)避了傳統(tǒng)云桌面的風(fēng)險(xiǎn)，幫助用戶實(shí)現(xiàn)了他想要做到的管理目標(biāo)、成本降低目標(biāo)和安全目標(biāo)，1臺(tái)入門級(jí)服務(wù)器、1個(gè)IT管理員就可以輕松管控成千上萬(wàn)臺(tái)電腦。同時(shí)又不需要承擔(dān)相應(yīng)的風(fēng)險(xiǎn)。

到目前為止，我們幾乎是唯一一個(gè)可以覆蓋各種復(fù)雜應(yīng)用場(chǎng)景的解決方案。前面很多客戶的案例可以看到，我們的所有客戶都是重型用戶，從它的三維仿真設(shè)計(jì)、圖形圖像處理以及到傳統(tǒng)最簡(jiǎn)單的辦公，還有包括外設(shè)最復(fù)雜的生產(chǎn)應(yīng)用環(huán)境，我們都是唯一可以支持的。

國(guó)產(chǎn)化的計(jì)算機(jī)，從國(guó)產(chǎn)化的芯片到上層的操作系統(tǒng)及應(yīng)用軟件，我們也都是可以無(wú)縫的兼容。到目前為止，在國(guó)內(nèi)我們也是唯一一家可以同時(shí)支持國(guó)內(nèi)外系統(tǒng)架構(gòu)型解決方案的廠家。通過(guò)我們這么多年跟用戶溝通和交流，我們總結(jié)下來(lái)，這也是用戶的反饋。我們可以幫助很多對(duì)安全有需求的企業(yè)或者用戶的安全合規(guī)化提高90%，整體的運(yùn)維成本（針對(duì)前端計(jì)算機(jī)）可以降低90%。除非是硬件問(wèn)題或者網(wǎng)絡(luò)問(wèn)題，基本上前端是免維護(hù)的。

因?yàn)槲覀兿喈?dāng)于在后端構(gòu)建了一個(gè)可重復(fù)利用的軟件倉(cāng)庫(kù)，所以整個(gè)軟件使用成本和利用率也得到了比較大的提升，軟件成本也可以降低70%左右。包括我們幫助用戶建立了前端靜態(tài)數(shù)據(jù)的安全基線和邊界。如果前端脫離了控制范圍或者沒(méi)有遵循正常的開機(jī)使用流程，經(jīng)過(guò)正常的身份校驗(yàn)數(shù)據(jù)是不會(huì)外泄的。

一旦它脫離了管控范圍，數(shù)據(jù)就不可見(jiàn)。我們可以開放所有的接口，跟現(xiàn)有的安全工具做接口的聯(lián)動(dòng)和對(duì)接，從而真正意義上做到底層的安全管控的邊界，做到體系安全、聯(lián)動(dòng)安全，從而幫助用戶建設(shè)它的整體安全體系，以及面向突發(fā)災(zāi)難或者突發(fā)攻擊的及時(shí)恢復(fù)的能力。

我的分享就到這里，謝謝大家！

xiesc