新聞中心
大連銀行：數(shù)字孿生賦能DevOps，助力業(yè)務(wù)高質(zhì)量發(fā)展
隨著IT發(fā)展的深入，DevOps模型逐漸發(fā)展成為了一種方法論，很多IT組織以其思想逐步構(gòu)建了一套管理方法，推動(dòng)了研發(fā)、交付、運(yùn)營等能力的建設(shè)與發(fā)展。當(dāng)然在落地的過程中，也會(huì)遇到許多問題，比如自動(dòng)化運(yùn)維過程中，在安全策略生成的時(shí)候應(yīng)該考慮諸多因素的相互影響，最終形成一個(gè)各方兼容的結(jié)果，但如果這些決策都依賴于人工決策，那機(jī)器就只能代替簡(jiǎn)單的手工勞動(dòng)，無法實(shí)現(xiàn)理想的自動(dòng)化運(yùn)維。
如果需要機(jī)器輔助決策，就需要將當(dāng)前復(fù)雜的網(wǎng)絡(luò)架構(gòu)利用數(shù)字孿生技術(shù)在虛擬世界進(jìn)行建模仿真，再利用AI技術(shù)將各方的述求匯總、協(xié)同，從而實(shí)現(xiàn)安全策略的自動(dòng)化運(yùn)維目標(biāo)。
運(yùn)維效率與業(yè)務(wù)敏捷性的矛盾
阻礙業(yè)務(wù)高質(zhì)量發(fā)展
金融數(shù)字化進(jìn)展如火如荼，各類業(yè)務(wù)應(yīng)用系統(tǒng)的上線與變更非常頻繁，而每次業(yè)務(wù)變動(dòng)都涉及到相關(guān)的安全策略規(guī)則發(fā)生變化，所以如何在已有的大量策略基礎(chǔ)上，進(jìn)行人工手動(dòng)新增與變更，成為了運(yùn)維人員的巨大挑戰(zhàn)。
當(dāng)前我行的網(wǎng)絡(luò)架構(gòu)包括兩地三中心、十幾個(gè)網(wǎng)絡(luò)區(qū)域，包括近80臺(tái)異構(gòu)防火墻及數(shù)千臺(tái)網(wǎng)管型交換機(jī)，運(yùn)維人員需要了解學(xué)習(xí)各廠商的配置接口及命令行格式才能將安全策略翻譯成為機(jī)器的配置語言，然后手工登錄到相關(guān)的設(shè)備上進(jìn)行操作，一方面處理效率很低，另一方面極易出錯(cuò)。
圖1 安全策略智能運(yùn)維
我們也看到有案例將翻譯工作腳本化，采用程序機(jī)器人的方式批量操作，以提升處理效率。但由于缺少系統(tǒng)化解決問題的思路，在策略的優(yōu)化方面存在不少問題，具體表現(xiàn)為冗余策略、僵尸策略、空策略等。如果將有問題的策略通過程序機(jī)器人快速下發(fā)執(zhí)行，輕則可引起設(shè)備冗余配置導(dǎo)致的性能下降，重則可能因?yàn)殄e(cuò)誤配置導(dǎo)致網(wǎng)絡(luò)中斷等重大事故。
基于數(shù)字孿生技術(shù)的網(wǎng)絡(luò)架構(gòu)仿真
讓決策更具生命力
網(wǎng)絡(luò)架構(gòu)仿真不僅是畫一張網(wǎng)絡(luò)拓?fù)鋱D。拓?fù)鋱D對(duì)于人類視覺系統(tǒng)來說確實(shí)是一種很直觀的展示方式，它可以很清晰地展示物理連接、數(shù)據(jù)流向等邏輯關(guān)系。
如何讓計(jì)算機(jī)可以理解這張拓?fù)鋱D呢？這就需要將拓?fù)鋱D中的每個(gè)節(jié)點(diǎn)的路由表、網(wǎng)絡(luò)表、主機(jī)表、鄰居表和安全控制策略等關(guān)鍵信息導(dǎo)入仿真模型中，讓計(jì)算機(jī)模擬路由器、交換機(jī)進(jìn)行算法選路，基于最終形成的帶路徑信息的拓?fù)鋱D才稱之為網(wǎng)絡(luò)架構(gòu)仿真，也是一張“活”的拓?fù)鋱D。
網(wǎng)絡(luò)架構(gòu)仿真模型可以快速計(jì)算出任意源目地址在網(wǎng)絡(luò)中的路徑以及途徑的網(wǎng)絡(luò)設(shè)備，為策略設(shè)置節(jié)點(diǎn)提供決策輔助信息?；谶@個(gè)模型也可以模擬下發(fā)安全策略后的仿真結(jié)果是否符合預(yù)期，以防止因?yàn)榘踩呗藻e(cuò)誤導(dǎo)致的網(wǎng)絡(luò)事故。
打通業(yè)務(wù)流程
運(yùn)維服務(wù)角色轉(zhuǎn)變?yōu)橘|(zhì)量管理
ITSM系統(tǒng)將所有IT部門工作梳理成為一個(gè)個(gè)可以執(zhí)行和落地的流程，基于流程的工作可以讓跨部門的合作變得更加順利和流暢。但對(duì)于當(dāng)前業(yè)務(wù)開通/變更流程來說，安全運(yùn)維部門僅是流程的一個(gè)節(jié)點(diǎn)，并且需要人工處理從需求到執(zhí)行的全過程，并手動(dòng)更新流程進(jìn)展，這增加了新業(yè)務(wù)上線和業(yè)務(wù)變更的周期，降低了服務(wù)效率。
將安全策略自動(dòng)化運(yùn)維平臺(tái)與ITSM系統(tǒng)打通，使其自動(dòng)響應(yīng)ITSM的業(yè)務(wù)流程，識(shí)別變更需求，將需求轉(zhuǎn)變?yōu)榭梢詧?zhí)行的安全策略，在仿真模型中得到驗(yàn)證，并自動(dòng)下發(fā)。在新的工作流程中運(yùn)維人員僅起到資源審核、策略優(yōu)化確認(rèn)等管理作用，可以使運(yùn)維人員從以前繁重的工作任務(wù)中釋放出來，進(jìn)而轉(zhuǎn)變角色成為工作質(zhì)量管理人員。
圖2 網(wǎng)絡(luò)安全策略可視化管理平臺(tái)整體架構(gòu)
打通異構(gòu)平臺(tái)壁壘
讓策略執(zhí)行更高效
防火墻作為安全策略的執(zhí)行單元，其策略執(zhí)行的準(zhǔn)確性、性能與效率都關(guān)系到安全策略執(zhí)行的效果。所以平臺(tái)必須將擬定好的安全策略，準(zhǔn)確無誤地翻譯成為防火墻可識(shí)別的配置命令。
為了確保安全，金融機(jī)構(gòu)的防火墻會(huì)盡量選擇不同品牌、不同架構(gòu)的產(chǎn)品。不同廠商和架構(gòu)的防火墻所對(duì)應(yīng)的CLI接口區(qū)別很大，并且即使同一個(gè)廠商的不同系列產(chǎn)品或同一產(chǎn)品的不同版本，其接口可能都是不同的，這給配置翻譯工作帶來了不小的麻煩。
通過構(gòu)建防火墻廠商、型號(hào)、版本信息庫的方式，收集、適配了市面上絕大部分產(chǎn)品的配置特征信息，可以做到準(zhǔn)確無誤地將安全策略轉(zhuǎn)換為防火墻的配置信息，并可自動(dòng)下發(fā)執(zhí)行。
總結(jié)
大連銀行安全策略自動(dòng)化運(yùn)維平臺(tái)通過安全策略的集中管理，打通ITSM運(yùn)維流程，提升了安全管理效率，實(shí)現(xiàn)了安全策略的全流程自動(dòng)化運(yùn)維；通過運(yùn)用數(shù)字孿生技術(shù)生成的網(wǎng)絡(luò)架構(gòu)仿真模型，對(duì)安全策略的決策和評(píng)估發(fā)揮關(guān)鍵性作用；通過建立安全產(chǎn)品版本信息庫的方式，打通了各類異構(gòu)安全產(chǎn)品的技術(shù)壁壘，可以使安全策略在網(wǎng)絡(luò)中快速執(zhí)行。
本項(xiàng)目的實(shí)施為以后的數(shù)據(jù)中心自動(dòng)化運(yùn)維提供了一種技術(shù)可行性的指導(dǎo)。通過持續(xù)業(yè)務(wù)場(chǎng)景優(yōu)化，可以逐步將需要人工深度參與的運(yùn)維工作釋放，使用人工智能等技術(shù)實(shí)現(xiàn)自動(dòng)化運(yùn)維，為大連銀行的數(shù)字化轉(zhuǎn)型提供助力，推動(dòng)金融數(shù)字化高質(zhì)量發(fā)展。
