010

销售是一个循序渐进的过程

服务器密码机的前世今生

数聚中卫 算引未来

安盟信息受邀出席2023云天大会

让万物互联

更简单、更安全

安盟信息受邀参加2023中国国际数字经济博览会⸺

网络和数据安全产业发展大会

2023 05

总第010期 2023年第5期

印编单位：

发送对象：

印刷数量：

北京安盟信息技术股份有限公司

内部发行

500册

主 任：

副 主 任：

委 员：

张大伟

马瑞祥 刘文杰

孟 琳 刘 丹

张大伟

李 普

北京市海淀区邓庄南路万家盛景

大厦B座3A层

400-001-1101

support@anmit.com

scb@anmit.com

主 编：

执行主编：

地 址：

电 话：

企业邮箱：

投稿邮箱：

编委会名单

编辑部

公司动态

同心共创 共赢未来｜安盟信息与为者常成签署战略合作

技术天地

目录 CONTENTS

官方微信

云密码服务技术及应用

促进产教融合 加强实践教学｜安盟信息信息安全教学演训

平台解决方案

高效的fuzz测试工具开发

服务器密码机的前世今生

销售是一个循序渐进的过程

员工风采

01

05

数聚中卫 算引未来｜安盟信息受邀出席2023云天大会

月满 爱也满

安盟信息受邀参加2023中国国际数字经济博览会⸺

网络和数据安全产业发展大会

04

03

02

郭旺成

程顺 12

米裕 14

焦鸿儒 18

加强工控安全防护 保障城镇供水安全 代明祥 21

王亚男

张春雷

人生之路 曲径通幽｜探索两点之间曲线之魅力 23

24

公司动态

01

安盟信息亮相����中国国际数字经济博览会⸺

网络和数据安全产业发展大会

���� 年 � 月 � 日，由中国国际数字经济博览会组委会主办，工业和信息化部网络安全产业发展中心（工

业和信息化部信息中心）承办的“���� 中国国际数字经济博览会⸺网络和数据安全产业大会”在河北正定

成功举办。安盟信息作为工业和信息化部重点实验室大数据安全工作组成员单位单位之一受邀参加本次峰会

并上台领奖。

会上，工信部网络安全产业发展中心公布了大数据安全工作组成员单位名单并进行了颁牌仪式，安盟信

息作为工作组成员单位受邀出席并接受授牌。

此次入选工信部网络安全产业发展中心重点实验室专项工作组成员单位，是对安盟信息在网络安全行业

研发水平和创新能力的肯定和认可。

安盟信息将以此为契机，持续聚焦网络安全行业，秉持创新研发作为产品核心驱动力，紧跟网络安全行

业的前沿技术，持续研发新产品，以先进的技术和优秀的产品，为建设网络强国做出积极贡献。

公司动态

02

同心共创 共赢未来

安盟信息与为者常成签署战略合作

� 月 �� 日，北京安盟信息技术股份有限公司（以下简称“安盟信息”）与为者常成网络科技有限责任

公司（以下简称“为者常成”）在安盟信息北京总部签署战略合作协议。

安盟信息董事长闫春义与为者常成总经理李存才代表双方签订战略合作协议，共同约定在商用密码服

务平台运营推广及网络安全产品推广等领域建立战略合作伙伴关系，展开全面、深入的合作。为者常成是

中民国际经济合作有限公司下属的国有全资高新技术企业，一直致力于数字经济建设与网络安全服务，广

泛参与地区数字化建设；安盟信息聚焦新一代边界安全、工业互联网安全、商用密码与数据安全三大核心

业务，致力于打造融合密码基因的多元化网络安全能力体系。双方精诚合作充分发挥各自市场、产品、技术、

人力等资源优势，共同致力于商用密码及网络安全产品关键技术攻关，持续完善商用密码应用生态，为用

户创造更大的应用价值！安盟信息总裁张大伟、销售中心副总经理苑海林出席并见证签约。

签约仪式上，安盟信息总裁张大伟就公司产品技术及解决方案进行了深入的讲解，并表示为者常成致

力于为为用户提供自主可控的网络信息安全技术解决方案，在网络安全建设服务、系统集成、软件评测、

电子档案管理服务等方面具备丰富的实践经验。安盟信息深耕网络安全领域近二十年，持续为重要行业领

域用户提供基于商用密码技术的网络安全特色产品和整体解决方案。此次安盟信息与为者常成成功签约，

将共同为用户提供更安全、更安心、高质高效的产品及解决方案，助力用户企业实现数字化转型！

未来，双方将本着“依法合规、诚实信用、互利共赢、积极创新、注重实效、保守秘密”的合作原则，

共同打造更具适用性的网络安全产品和解决方案，护航企业数字化转型发展，实现多方共赢的目标！

为者常成总经理李存才详细介绍了公司业务范围及核心能力，

并讲到安盟信息作为网络安全国家队的一员，始终坚持核心技术

自主创新，推出了一系列融合密码功能的工控安全、物联安全、

边界安全产品，在密评合规、场景应用等领域积累了丰富的经验

和应用案例。此次合作，为者常成将结合自身技术优势，与安盟

信息共同打造具有竞争力、基于场景的行业解决方案，在为用户

创造价值的同时，实现共赢！

公司动态

03

数聚中卫 算引未来

安盟信息受邀出席����云天大会

� 月 �� 日，以“数聚中卫 算引未来”为主题的 ���� 云天大会在宁夏中卫市隆重举行。本届大会由

宁夏回族自治区发展和改革委员会、宁夏回族自治区工业和信息化厅、宁夏回族自治区通信管理局、宁夏

回族自治区中卫市人民政府主办，中国通信工业协会数据中心委员会、宁夏中关村产业园科技投资有限公

司承办，采用线下 + 线上的形式，吸引了来自全国各地的政府部门、学术机构、数字产业链上下游企业的

数千名各界人士参与。安盟信息总裁张大伟、运营商事业部及商用密码发展中心相关负责人受邀出席大会。

大会期间，宁夏回族自治区发展和改革委员会、宁

夏回族自治区通信管理局、中卫市人民政府、国家（中卫）

新型互联网交换中心、北京安盟信息技术股份有限公司

等共同启动了国家（中卫）新型互联网交换中心集群网

络安全服务平台暨安全监测监管平台（以下简称“安全

服务平台”）。安盟信息总裁张大伟上台参加启动仪式。

国家（中卫）新型互联网交换中心是国家工业和信息化部批复，在宁夏中卫试点建设国家级新型互联网

交换中心，是工信部首批四个新型互联网交换中心试点之一，也是目前西部唯一获批的交换中心。安全服务

平台项目经国家发展改革委核准批复，未来将充分发挥互联网交换中心作为“新基建”网络关键基础设施的

作用，汇集各类互联网企业互联互通，助推中小企业创新创业发展，并积极与三大运营商合作，通过集中汇

聚网络资源和互通流量，实现“一点接入，全网连通”，能有效提升网络性能，降低网络接入和流量交换成本，

促进网络资源开放共享。

安盟信息以密码定义边界，以安全构筑信任为发展理念，创造性地将密码服务平台、密码资源池、边界

密码防护体系、密码应用监测平台等多款创新型产品和解决方案融入安全服务平台中，为国家（中卫）新型

互联网交换中心构建“服务 + 管理 + 监测”的三位一体密码应用防护体系，并通过密码服务运营中心，实现

为国家（中卫）新型互联网交换中心的常态化赋能，持续为安全服务平台夯实密码基础支撑与核心技术的基石。

未来，安盟信息将继续深耕商用密码领域，把网络安全与密码技术融合，共同构建新网络安全保障体系，

为“东数西算”战略保驾护航，为构建数字中国提供有力支撑，为经济高质量发展注入新动能！

公司动态

04

月满 爱也满

秋已至，一缕桂香，

醉芬芳，月上中秋。

安盟信息为大家

准备了猜灯谜、海底捞月、游园会

等有趣的小游戏和精美的小零食

蝶舞中秋，共赏魅月

不错过每一次团聚，不放过每一分欢乐

让每一次呼吸，都有家的味道

人间至味是团圆

天涯共此时，异乡月亦圆。

技术天地

05

在传统模式下，企业建立一套密码服务系统不仅需要购买大量的密码设备和配套软件，还需要配备专人

对密码设备和系统进行运维管理。同时，随着业务规模的不断扩大，企业还需持续增加硬件投入和运维人员。

在云计算环境下，企业用户的观念从购买软硬件产品向购买服务方向转变。企业用户希望不必购买大量

的密码机设备和配套的管理软件，不必雇用更多专门的人员对密码设备和管理软件进行维护管理，只希望通

过向云密码服务提供商申请实现按需分配、弹性伸缩（自动化调度）、高可用等需求的云密码服务。

为解决传统模式下密码设备使用及运维方面的问题，实现云架构下对外提供可按需分配、弹性伸缩的安

全云密码服务，以及安全云密码服务的创建、发布、开通、选购、调度、使用等功能，可将密码设备集群视

作密码资源池，结合 Kubernetes 云平台，使用云计算的硬件虚拟化技术，将密码设备资源虚拟成各个相互

独立的虚拟密码设备，通过密码资源调度系统进行密码资源的分配、管理和统一调度，并对外提供统一的按

需分配、弹性扩展的密码功能服务。可为业务系统提供平台即服务（Platform as a Service，PaaS）化云

密码服务，实现云密码服务的集约利用、弹性伸缩，简化密码设备的管理和维护，有效提升密码设备利用率，

为用户节省大量的运维工作量。

Kubernetes 是 Google 公司于 ���� 年创建的开源容器集群管理系统，是 Google 公司十多年大规模

容器管理技术 Borg 的开源版本。它构建于 Docker 技术之上，为容器化的应用提供资源调度、部署运行、

服务发现、扩容缩容等一整套功能。Kubernetes 可以快速部署及扩展应用、无缝对接新的应用功能、节省

资源并优化硬件资源的使用。

Kubernetes 基本架构如图 � 所示 。

云密码服务技术及应用

产品线管理中心/郭旺成

一 云平台及密码机

1.1 Kubernetes云平台

图 1 Kubernetes 基本架构

技术天地

06

Kubernetes 集 群 由 Master 和 Node 两 个 节 点 共 同 组 成。在 Master 上 运 行 ETCD、API Server、

Controller Manager 和 Scheduler � 个 组 件。其 中，API Server、Controller Manager 和 Scheduler

� 个组件构成了 Kubernetes 的总控中心，负责对集群中所有资源进行管控和调度。在 Node 上运行

Kubelet、Kube-proxy 和 Docker，负责对节点上 Pod 的全生命周期进行管理，以及实现服务代理的功能。

所有节点上都可以运行 Kubectl 命令行工具。

API Server 作为集群的核心，负责集群各功能模块之间的通信。集群内的功能模块通过 API Server 将

信 息 存 入 ETCD， 其 他 模 块 通 过 API Server 读取这些信息，从而实现模块间的信息交互。Node 节点

上的 Kubelet 每隔一个时间周期，通过 API Server 报告自身状态， API Server 接收到信息后， 将节点信息

保存到 ETCD 中。 Controller Manager 中 的 Node Controller 通 过 APIServer 定期读取节点状态信息，

并做响应处理。当 Scheduler 监听到某个 Pod 创建的信息后，检索所有符合该 Pod 要求的节点列表，并

将 Pod 绑 定 到 节 点 列 表 中 最 符 合 要 求 的 节 点 上。如 果 Scheduler 监 听 到 某 个 Pod 被 删 除，则 调 用

APIServer 删 除 该 Pod 资 源 对 象。Kubelet 监 听 Pod 信息，如果监听到 Pod 对象被删除，则删除本节

点上相应的 Pod 实例，如果监听到修改 Pod 信息，则会相应修改本节点的 Pod 实例。

Kubernetes 可将多台 Docker 主机抽象为一个资源，以集群方式管理容器，包括任务调度、资源管理、

弹性伸缩、滚动升级等功能。可通过编排系统（YAML File）快速构建容器集群，提供负载均衡，解决容器

直接关联及通信问题，支持自动管理和修复容器。

通过在云服务器密码机中部署 KubernetesNode 节点组件（ 主要是 Kubelet、Kube- proxy），使 云 服

务 器 密 码 机 作 为 一 个 Node 节 点 接 入 Kubernetes，然后可由 Kubernetes 调度云服务器密码机生成虚

拟密码机（Virtual Security Module，VSM）， VSM 可视为 Pod。云服务器密码机接入 Kubernetes 如图 �

所示。

密码机是一种以密码技术为核心，为业务系统提供安全的密钥管理和密码运算的硬件设备。业务系统通

过调用密码机提供的密码服务，实现数据的机密性、完整性、有效性和不可否认性。随着云计算技术的发展

和普及，这些业务系统逐步向云上迁移，或采用云计算相关技术，实现了资源的节约利用、按需分配、弹性调度，

也实现了业务系统的高可用、自动化部署 / 升级。相应的，这些业务系统也要求密码机具备节约利用、按需

分配、弹性调度、高可用、自动化部署 / 升级等特性。

传统的密码机很难满足这些要求，因此密码机也需与云计算技术相结合，提供具备节约利用、按需分配、

弹性调度、高可用、自动化部署 / 升级等特性的云服务器密码机。

由于 Kubernetes 具有按需分配、弹性调度、自动化等诸多方面的优点，因此本文将云服务器密码机与

Kubernetes 相结合，并围绕密码服务管理构建云密码资源池。相较于传统密码机，与 Kubernetes 相结合

的云服务器密码机具有统一管理、按需分配、弹性伸缩、高可用、自动负载均衡、自动化部署 / 升级等优点。

二 云密码资源池构建

2.1 云服务器密码机接入 Kubernetes

1.2 云服务器密码机

技术天地

07

云服务器密码机属于密码产品，在内部存储了密钥及其他敏感信息，Kubernetes 提供了多种配置及操作

Pod 的方法，使用这些方法可在云服务器密码机中运行恶意镜像、挂接外部存储获取敏感信息、管理人员恶意

操作等，可能导致云服务器密码机内的敏感信息泄露或被破坏，因此，需对部署在云服务器密码机中的

Kubernetes Node 组件进行安全性改造，以防止恶意镜像在云服务器密码机中执行、挂接外部存储导致敏感

数据泄露、管理人员恶意操作等事件发生。

1.防止恶意镜像在云服务器密码机中执行

默 认 情 况 下， 在 Kubernetes 的 Node 节点中使用 Docker 作为容器的实现， Kubernetes 负责调度，

最终由 Docker 生成 Pod。作为 Node 节点接入 Kubernetes 的云服务器密码机，内部也采用了 Docker 生

成 VSM。当创建 VSM 需从外部下载镜像时， Docker 可能会从外部下载到恶意镜像，恶意镜像可能导致云

服务器密码机内部的敏感数据被窃取或破坏。因此，云服务器密码机可从以下两个维度限制恶意镜像在云服务

器密码机中执行。

· 禁止 Docker 从外部下载镜像。

· 云服务器密码机自身提供安全的镜像管理功能：允许导入内置签名的镜像。导入镜像时，需验证该镜像

是否具有签名以及签名是否能够验证通过，只有通过验证的镜像才能导入云服务器密码机。在创建 VSM 时，

云服务器密码机可以使用提前导入的镜像创建 VSM。

2.防止挂接外部存储导致敏感数据泄露

在创建 Pod 时，Kubernetes 可配置 Pod 使用外部存储，并将外部存储映射到 Pod 的指定目录。VSM

内部存储了敏感信息，如果在创建 VSM 时，将 VSM 存储敏感信息的目录设置为外部存储，则可在外部存储

中找到敏感信息。虽然密钥等敏感信息是密文形态，但敏感信息出现在外部存储中，也无形中增加了信息泄露

2.2 安全接入

图 2 云服务器密码机接入 Kubernetes

技术天地

08

云密码资源池管理平台是整个云密码资源池的主控平台及统一入口，通过 API Server 对外提供的

RESTful 接口实现对 Kubernetes Master 的访问及调度，主要负责对云密码资源池的统一管理和维护。

Kubernetes Master 主 要 提 供 API Server、Scheduler、Controller Manager 组 件，接 收 云 密 码 资

源池管理平台发起的请求命令，从 Kubernetes Node 节点中获取 Node 的资源信息，并发出调度任务。

云服务器 密 码 机 作 为 Kubernetes Node 接 入 Kubernetes Master。Kubernetes Node 提 供 了

Kubelet、Kube-proxy，每个 Node 节点安装部署 Docker，即实际的执行者。

3.防止管理人员恶意操作

Kubernetes 提供了一系列命令，供 Kubernetes 管理人员远程操作 Pod，例如从 Pod 中拷贝数据、将

数据拷贝到 Pod、在 Pod 中执行命令等。对云服务器密码机而言，如果允许 Kubernetes 管理人员执行上述

命令，则管理人员可能会复制或破坏 VSM 内部的敏感信息。因此，需要对部署在云服务器密码机中的 Node

组件进行改造，限制其执行上述命令。

1. 云密码资源池工作原理

与 Kubernetes 结合的云密码资源池工作原理如图 � 所示。

的风险。因此，在云服务器密码机中 ， 要 禁 止 为 VSM 配 置 外 部 存 储 。 一 个 可 选 的 措 施 是 改 造 部 署

在 其 中 的 KubernetesNode 组件，在创建 VSM 时，检查是否要求 VSM 使用外部存储，如有此需求，则禁

止该 VSM 的创建，并向 Kubernetes 告知相应的错误信息。

2.3 云密码资源池管理

图 3 云密码资源池工作原理

技术天地

09

云密码资源池包括云密码资源池管理平台、主控节点和计算节点 � 个部分。

云密码资源池管理平台是整个云密码资源池的管理入口，通过 API Server 实现对主控节点的统一调度

及管理。

主控节点（Kubernetes Master）负责对多个计算节点（Kubernetes Node）进行管理及调度。

密码设备集群由多台云服务器密码机共同组成。云服务器密码机作为计算节点接入到主控节点，是云密

码计算服务中的核心组件。VSM 是云服务器密码机经过虚拟化处理后的虚拟密码机。

云计算业务服务器集群中的业务系统通过虚拟密码机 API 接口实现对 VSM 虚拟密码机的访问及接口调

用，完成云密码服务运算处理。

租户访问云密码服务管理平台，实现云密码资源申请、VSM 虚拟密码机创建、管理和监控。

2. 云密码资源池架构

云密码资源池管理平台是云密码资源池的主控平台， 通过调用 Kubernetes 主控节点

（Master）中 API Server，实现云密码资源池中所有计算节点（Node）的统一管理，为整个云密码资源

池提供云服务器密码机接入、云密码资源池化、密码计算单元（虚拟密码机）和密码计算单元集群（虚拟密码

机集群）控制管理等功能。云密码资源池架构如图 � 所示。

3. 云密码资源映射关系

建立统一的密码资源数据模型，形成密码资源模板（服务模板），划分云服务器密码机不同层次的密码运

算能力，定义密码资源基准数据；分析租户云密码资源申请信息，利用密码资源数据模型实现密码运算能力与

云服务器密码机内存的映射关系，便于云服务器密码机实例的创建，简化租户对云密码资源申请过程的复杂度，

降低使用难度，提升易用性。

图 4 云密码资源池架构

技术天地

10

镜像是 VSM 虚拟密码机镜像文件，用于创建 VSM 虚拟密码机或 VSM 虚拟密码机集群。

服务模板由一个或多个镜像构成，一个镜像对应一个或多个模板。服务模板用于定义云密码资源映射关系，

划分云服务器密码机不同层次的密码运算能力。

服务目录由服务模板包装而成，一个服务模块可包装成一个或多个服务目录；一个服务目录唯一属于一个

服务模板。服务目录定义不同档次、不同规格的云服务器密码机， 如高端、中端、低端等。服务实例是密码计

算单元（虚拟密码机）或密码计算单元集群（虚拟密码机集群），可对外提供按需分配、弹性伸缩的云密码服务。

云密码资源池主要面向云计算、政务云领域，重点是私有云环境中，以池化机制为云服务器密码机对外提

供可按需分配、弹性伸缩、高可用、自动化部署 / 升级的云密码服务 。云密码资源池应用如图 � 所示。

4. 云密码资源服务类型水平扩展

首先基于镜像包装成服务模板，其次基于服务模板包装成服务目录，最后基于服务目录发布服务实例 。

云密码资源服务类型水平扩展如图 � 所示。

三 云密码资源池应用

图 5 云密码资源池服务类型水平扩展

图 6 云密码资源池应用

技术天地

11

管理人员访问云密码资源池管理平台，完成云密码资源配置、服务模板和服务目录创建、资源审批、分配、

管理、监控、配置、审计、服务发布。租户访问云密码资源管理平台，完成密码资源申请、管理、监控、服务订阅。

在云应用场景中，对云服务器密码机的差异化需求是统一管理、高性能、高可用、动态伸缩（云密码资源

充分利用）。云服务器密码机接入云密码资源池管理平台，由云密码资源池管理平台对其进行统一管理。由管

理人员统一对云服务器密码机进行运维管理， 并对 VSM 进行初始化、配置管理和密钥管理。多个 VSM 可组

成集群，并在云服务器密码机中创建 Service，通过 Service 对多个 VSM 进行负载均衡，为云计算业务系统

提供高性能、高可靠、按需分配、弹性伸缩的密码服务。

随着云计算服务的不断发展，密码在云计算业务系统中的应用不断增加，云计算业务系统对云密码服务的

需求也随之增长。为顺应云密码服务技术发展趋势，将云服务器密码机接入 Kubernetes，通过云密码资源池

管理平台实现云密码资源池构建，根据用户需求对外提供按需分配、弹性伸缩、高可用、安全的云密码服务。因此，

安全的云密码服务技术及应用具有广阔的应用前景，可进一步满足云计算业务中对云密码服务的迫切需求。

四 结语

技术天地

12

产品技术架构

解决方案部/程顺

促进产教融合 加强实践教学

安盟信息信息安全教学演训平台解决方案

安盟信息推出的信息安全教学演训平台，可提供信息安全教学虚拟环境，为用户提供全面丰富的实验课

程，提升用户信息安全技术能力。此平台创新引进了岗位教学理念，提供多方向的职业岗位课程、学期课

程、学情中心、工具库、在线考核等功能，为信息安全教学、学习、考核、人才输出、安全研究提供一个完

整一体化的教学实验环境。

信息安全教学演训平台采用OpenStack开放云计算体系架构、虚拟化、容器技术、微服务等核心技术，

构建仿真训练场景，为行业用户提供网络安全在线学习、在线训练、在线考核等功能为一体的信息安全教学

演训平台。

第一层：基础资源层

采用虚拟化技术，通过虚拟连接真实的物理设备或虚拟化设备，为用户提供多业务信息安全仿真训练场

景资源支撑。

第二层：资源构建层

提供信息安全教学演训系统所需要的数据资源如：科目资源、实训资源、考核资源、虚拟机装备资源、

场景库资源等，为信息安全教学演训系统提供资源支撑。

以�G、人工智能等为代表的新一代信息技术与实体经济深度融合，安全风险加速传导、渗透、叠加、放

大，网络安全形势日益复杂严峻，在当前全球数字化加速的大背景下，网络安全作为数字化建设的安全基

石，却面临着网络安全人才缺口不断攀升的直接挑战，人才培养迫在眉睫。

安盟信息结合多年丰富的网络安全技术积累与人才培养经验，打造了信息安全教学演训平台解决方案，

从网络安全行业发展趋势出发，立足当前教育、医疗、工业制造等行业场景应用，满足行业网络安全人才培

养的迫切需要，有力地推动我国网络安全人才的培养。

信息安全教学演训平台

背景

图 1 平台首页 图 2 训练环境

技术天地

13

产品特点

专岗结合 产教融合

安盟信息安全教学演训平台系列产品的全部实验均是将安全理论、实际环境和动手操作相结合的实验课

程。通过关键字、关联性和差异性等分析方式，从区域、行业、岗位类别等维度对岗位招聘信息进行自动化

处理分析统计,进而总结出区域内信息安全岗位技能图谱。结合区域内的岗位技能图谱，制订出适合学生发

展的的个性化信息安全教学规划，涵盖学习计划、培训计划、实训实习计划、岗位实践计划等内容。

校企携手 协同育人

安盟信息联合百所高校打通高校人才培养和企业人才需求的壁垒，助力高校网络安全人才培养。线上虚

拟云真实的项目实践与岗位推荐是教学计划的一部分，平台对学校及企业双方开放。企业用户向平台提供真

实项目参与名额，项目过程中由安盟信息专业工程师为参与项目的学生提供示范、指导、培训等服务，并在

项目结束后对学生整个实践过程进行总体评价。

万兆带宽 高效演训

信息安全教学演训平台系列产品以无阻塞全冗余为设计目标，实现实训过程以太网速度的增加，网络空

间安全实训学习范围的延伸，为用户打造了一个高效安全的信息安全教学演训实验环境。

未来，安盟信息将继续致力于构建多层次信息安全人才培养体系，融合校企优势，促进科技创新、人才

培养等工作的落地，为网络和数据安全注入人才新动力，为数字中国建设贡献安全力量！

第三层：行为监控层

行为监控层为系统运行提供全面丰富的实时操作录屏和设备监控能力，全面获取信息安全教学演训系统

内部的各项行为动作及物理设备的行为数据，全面掌握训练系统内部环境及其支撑环境的各项动态，为受训

人员提供环境场景基础数据。

第四层：运行管控层

运行管控层提供资源调度和数据

调用功能，是各项数据通信配置使用

训练系统的入口点，为数据通信场景

提供丰富的配置接口，并管理控制各

分系统协调运转。

第五层：应用层

为用户层提供丰富的业务应用，

通过调用RESTful API接口展现任务

管理、虚拟机资源管理、配置管理、

考核评价、考核管理、训练安排、科

目管理等功能。

技术天地

14

一 创建input文件

安全运营中心/米裕

高效的fuzz测试工具开发

def fuzzer(max_length: int = 100, char_start: int = 32, char_range: int = 32) -> str:

string_length = random.randrange(0, max_length + 1)

out = \"\"

for i in range(0, string_length):

out += chr(random.randrange(char_start, char_start + char_range))

return out

import os

import tempfile

def tmpfile():

basename = \"input.txt\"

tempdir = tempfile.mkdtemp()

FILE = os.path.join(tempdir, basename)

print(FILE)

return FILE

使用默认参数来直接运行查看函数返回结果

返回结果中有数字和符号。

如果想只需要最大长度为 ���� 的 �� 个字母的随机字符应该这样做：

ord(a) 用来返回字符 a 的 ASCII 码

fuzz 已经写好了。如果想要 fuzz 一个外部程序我们还需要两个模块：

�、带有 fuzz 数据的输入文件。

�、把输入文件输入到指定的的程序中。

技术天地

15

二 调用外部程序

假如我们要测试windows下的“calc.exe”，但是这里测试calc.exe是有一个小问题的。在后面等整

体的框架写完我会带着大家解决这个问题。

通过result可以点出stdout、stderr

result.stdout：查看程序输出

result.stderr：查看程序错误消息

上面可以说是一次不完全的fuzz，如何进行长时间、大量的fuzz

到此为止一个简单完全的fuzz已经完成。完整代码如下：

import os

import subprocess

program = \"calc.exe\"

with open(FILE, \"w\") as f:

f.write(\"2 + 2\

\")

result = subprocess.run([program, FILE],

stdin=subprocess.DEVNULL,

stdout=subprocess.PIPE,

stderr=subprocess.PIPE,

universal_newlines=True) # Will be \"text\" in Python 3.7

trials = 100

program = \"calc.exe\"

runs = []

for i in range(trials):

data = fuzzer()

with open(FILE, \"w\") as f:

f.write(data)

result = subprocess.run([program, FILE],

stdin=subprocess.DEVNULL,

stdout=subprocess.PIPE,

stderr=subprocess.PIPE,

universal_newlines=True)

runs.append((data, result))

import os

import random

import tempfile

import subprocess

#参数一：随机数最大长度

#参数二：从哪个asc码字符开始

#参数三：从哪个asc码字符结束 参数二和参数三设定了随机的范围

print(sum(1 for (data, result) in runs if result.stderr == \"\")) #fuzz实际运行的次数

print(sum(1 for (data, result) in runs if result.returncode != 0)) #calc返回码不是0的次数

errors = [(data, result) for (data, result) in runs if result.stderr != \"\"]

print(len(errors))

(first_data, first_result) = errors[0]

print(repr(first_data))

print(first_result.stderr)

技术天地

16

虽然fuzz已经完成，但是这对我们来说没有任何的反馈的fuzz对我们来说是没有任何意义的。

def fuzzer(max_length: int = 100, char_start: int = 32, char_range: int = 32) -> str:

string_length = random.randrange(0, max_length + 1)

out = \"\"

for i in range(0, string_length):

out += chr(random.randrange(char_start, char_start + char_range))

print(out)

return out

#新建一个txt文本文件。

def tmpfile():

basename = \"input.txt\"

tempdir = tempfile.mkdtemp()

FILE = os.path.join(tempdir, basename)

print(FILE)

return FILE

def fuzz(num = 10):

data = fuzzer() #生成随机字符串

FILE = tmpfile() #生成txt文本文件

with open(FILE, \"w\") as f: #将随机字符串写入txt文本文件

f.write(data)

runs = []

program = \"calc.exe\"

for i in range(num):

data = fuzzer()

with open(FILE, \"w\") as f:

f.write(data)

result = subprocess.run([program, FILE],

stdin=subprocess.DEVNULL,

stdout=subprocess.PIPE,

stderr=subprocess.PIPE,

universal_newlines=True)

runs.append((data, result))

fuzz()

技术天地

17

当fuzz，calc的时候发现下图报错。

通过添加“print(len(errors)) ”查看输出信息，发现输出为�。由此可以知道calc是没有错误信息的。

所以在ubuntu上测试“bc”程序。

可以得到下图信息。

技术天地

18

服务器密码机的前世⸺机械密码机时代

（图为恩尼格码机） （图为图灵制造的“炸弹机”）

自古以来，密码在人类的军事、外交、政治活动中都发挥着重要作用。晚清甲午战败后，清廷委派李鸿章

父子赴日谈判，谈判过程中，李鸿章与清廷之间的通信密码被日方破译，使得日本人对大清的谈判底线了如指掌，

在谈判中占尽优势，他们通过《马关条约》足足勒索了中国两亿两白银，加速了中国沦为半殖民地半封建社会

的进程。

密码是如此地重要，以至于人们不断追求设计出更复杂的密码，防止被敌方破译，而随着密码越来越复杂，

人们开始发明专门的机械装置来执行密码操作，这就是密码机。纳粹德国发明的恩尼格码（enigma，意为“迷”）

机就是机械密码机的最高成就，二战期间，波兰等国的数学家曾试图破解恩尼格码机，但均遭失败。

终于在 ���� 年，英国数学家图灵成功破译了恩尼格码机，而图灵对恩尼格码机的破解方法本质上是一次“降

维打击”！图灵发明了现代计算机的雏形⸺炸弹机（bombe），即一种接通能源就可以按照设定程序遍历全

部可能明文组合的机器，对恩尼格码机的密文进行暴力破解。在炸弹机的研制过程中，积累了大量计算机理论

知识，图灵也被公认为是世界计算机科学之父。所以从某种意义上讲，是机械密码机催生了电子计算机。

但是密码机和计算机的战争还未完全结束，�� 世纪 �� 年代，为了让密码能够在电子计算机的暴力破解下

依然能够使用，密码学理论也开始了一场“自我革命”。传统上人们认为密码就等同于加密方法，让敌人获取

了加密方法，就可以将密文破译。但是加密方法必须让收发人都完全清楚，才能保障加密通信。在一个大规模

的群体中，用同样方法进行加解密的人多了，加密方法就自然泄露出去了，密码也就自然泄露出去了。

商用密码发展中心/焦鸿儒

服务器密码机的前世今生

技术天地

19

服务器密码机时代

�� 世纪 �� 年代，世界进入互联网时代，人们在世界各处兴建起堆满服务器的机房，在全世界铺满缆线将

机房连接在一起，数据安全存储传输和通过互联网传递信任的需求爆炸式增长。在这种需求的牵引下，大量军

用信息技术进入民用领域，其中以密码机的民用化最为典型，“民用”密码机采用现代密码学理论，主要应用

在机房之中，为机房中其他通用服务器提供各类密码服务，因此“民用”密码机的正式名称是“服务器密码机”。

历经数十年发展，服务器密码机已经成为专门面向同一机房中服务器提供密码运算服务的服务器。它的核

心功能包括：加解密计算、签名验签、杂凑计算等，并为之建立配套的密钥管理体系。服务器密码机的加解密计算、

签名验签、杂凑计算是通过和业务服务器交互而实现的，服务器密码机部署在机房中，通过交换机和机房各服

务器实现通信连接。业务系统服务器通过调用服务器密码机提供的各种 SDK 实现密码机的上述各种密码服务。

为了保障不同厂商服务器密码机互相兼容，使业务系统和服务器密码机的对接更趋标准化，国家密码管理

局发布了 GM/T ����《密码设备应用接口规范》，开发者只需要按照接口规范的要求就可以安全高效地使用服

务器密码机提供的各项密码服务。在密钥管理方面，服务器密码机主要通过随机数生成机制和三层密钥管理机

制实现密钥的全生命周期安全。

近年来，全社会对商用密码的关注越来越高，随着国内信息产业由高速增长转变为高质量发展，人们开始

关注如何依托服务器密码机、VPN 网关等密码设备构建安全的密码应用保障体系。���� 年，《信息系统密码

应用基本要求》上升为国家标准，在该标准中，对密码应用的技术、管理做了详细明确的规范，也为服务器密码机、

VPN 网关等设备的应用提供了指南。在《信息系统密码应用基本要求》所列的 �� 项技术要求点中，可使用服

务器密码机作为解决方案满足的技术要求点为 �� 个，由此可见，服务器密码机是无可争议的“密评兵器谱第

一名”。

近年来，市场上的服务器密码机越来越多，根据商用密码检测中心网站数据，目前具备商用密码认证证书

的服务器密码机已有 ��� 款。

如何选择合适的服务器密码机已成为很多信息系统运营管理单位面临的难题，安盟信息新推出的安盟华御

服务器密码机将会为您提供更多的选择。安盟华御服务器密码机除了满足国家、行业相关标准规范外，拥有三

大特点：

针对上述密码学的根本矛盾，现代密码学理论将加密方法分成密码算法和密钥两部分，密码算法是公开的，

所有人都知道，就像保险柜外面的锁，而密钥就像钥匙，只有收发人持有，只有他们才能生成密文或还原明文，

密码算法借助数学中的 NP 难题（可以粗浅地理解为无法用计算机在现实可能的时间内计算出的问题）设计，

密钥完全由一串数字组成。这样带来的好处一是密码算法可以大规模复用，使用者只需针对不同的明文，使用

不同的密钥就能保证报文安全；二是针对计算机的暴力破解，只需要线性提高密钥的长度，就会指数增加计算

机暴力破解的难度，从而从根本上实现“计算安全性”，杜绝任何暴力破解的现实可能性。

近五十年来，密码算法的标准化程度不断加深，密码学家淘汰了大量安全性不足的算法，现在只剩下美国

的 RSA、SHA、DES 等算法、中国的 SM 系列算法仍然具备较强的安全性和实用性，在民用领域广泛使用。

技术天地

20

服务器密码机的新发展方向⸺云服务器密码机时代

新的环境或新的难题总会催生新的技术。随着云计算时代的到来，如何在云环境下同时为多个租户提供密

码服务成为商用密码行业最重要的时代课题，传统的服务器密码机难以满足这些要求，人们开始使用“密码服

务平台 + 云服务器密码机”解决方案来构建云上密码应用保障体系。

安盟华御服务器密码机可广泛应用于政务信息系统、关键信息基础设施等领域中，以高适配国产平台构建

自主可靠根基，以高可靠机制保障信息系统稳定运行，以高性能密码运算赋能高并发场景。

高适配国产平台

安盟华御服务器密码机采用飞腾主板平台和麒麟操作系统，全面支持国产化硬件平台和操作系统。

高可靠稳定运行

安盟华御服务器密码机具备极高的可靠性和稳定性，采用独特的操作系统 + 内存文件系统，保障设备可靠

稳定运行。

高性能密码运算

安盟华御服务器密码机内置高性能 PCI-E 密码卡具备较高的密码运算性能，搭配多达 �� 个各类硬件接口，

广泛适用于各种高并发场景。

城镇供水的安全关系着国计民生，其重要性不言而喻，和电力、煤气、交通、排水系统、热力、通信等

系统组成了城市赖以生存的生命线系统。一旦遭受破坏将会导致严重后果。因此供水企业的工控系统安全、

可靠地运行，是市民的基本生活、保障城市功能正常运行的重要保障。

生产系统

自来水厂工控系统包括PLC等控制设备组成的工业环网、中央控制室工控主机、数据服务器等，实现对

整个自来水厂工艺的生产过程监控、数据分析、故障报警等全方位的管理，以提高生产的可靠性和安全性，

实现优质、低耗和高效供水。

防护范围

针对当前自来水厂的网络安全现状，为保障其生产的安全稳定、可持续运行，需进行生产网络安全风险

评估及安全等级保护建设，涉及的范围主要包括自来水厂自控系统。

法律法规：《中华人民共和国网络安全法》主席令 第五十三号

国务院：《关键信息基础设施安全保护条例》国务院令第���号

工信部：《工业控制系统信息安全防护指南》（工信部信软〔����〕���号）

公安部：《信息安全技术 网络安全等级保护基本要求》 （GB/T �����-����）

解决方案部/代明祥

加强工控安全防护 保障城镇供水安全

技术天地

21

政策依据

需求分析

标准合规性需求

作为国家重要的基础设施，企业要加快完成安全技术体系与管理体系的建设工作，使之符合《信息安全技

术 网络安全等级保护基本要求》（GB/T �����-����）、《信息安全技术信息系统密码应用基本要求》

（GB/T �����-����）、《工业控制系统信息安全防护指南》等相关安全要求。

业务安全性需求

从工控网络与架构、工控系统现场控制与过程监控层及工控协议安全三个层面进行需求分析：

①工控网络与架构

自动化系统与信息化系统种类较 多，且大多企业存在数据流向不清晰、隔离措施不完善、隔离强度不达标

等问题，造成各网络子域间及跨网交换非授权访问风险和病毒横向传播风险。

②工控系统现场控制与过程监控层

上位机、服务器存在大量漏洞，管理员对打补丁比较排斥，身份鉴别过于单一等情况；各主机未部署对已

知与未知病毒的防护措施；同时存在误操作、非法攻击、勒索病毒感染等风险，生产企业迫切需要对工控主机

进行加固及病毒免疫等。

③工控协议安全

当前在工控网络中，各类安全威胁不断涌入控制系统，而企业内部缺少对工业流量监测审计的手段，更无法

对工控指令攻击和控制参数篡改进行实时监测和 告警，让网络入侵轻易成功，最终导致安全生产事故的发生。

新技术安全需求

大数据、人工智能、云计算、物联网等新技术逐渐应用到生产业务中。各生产工艺流程高度集成的自动控制

系统，使得一些非法攻击与入侵更容易进入生产控制网络，信息安全风险极高。

技术天地

22

解决方案

方案价值

在满足等级保护合规要求的前提下，结合自来水厂生产系统的特点，围绕着生产系统生命周期的高可用性，

安盟信息基于“一中心，两分离、三边界”安全防护设计思想，融合工控安全设备与生产系统功能要求，解决

应用场景“个性化”安全需求，提升抵御安全风险及安全事件应对能力，确保生产系统可持续运行。

业务保障

深度结合自来水厂自控系统的特点，解决系统存在的安全问题，降低安全运营风险，提高安全运维效率，

为自来水厂自动化、智能化建设提供安全保障

安全合规

符 合《工 业 控 制 系 统 信 息 安 全 防 护 指 南》，符 合《信 息 安 全 技 术 网 络 安 全 等 级 保 护 基 本 要 求》

(GBT�����-����)。

综合防护

通过强化区域内网络、主机、物理环境及数据的安全防护，增强整体安全防护能力，确保自来水厂安全生

产稳定运营，形成以边界防护为要点、多层防线构成的纵深防护体系。

一中心

是指建设自来水厂自控网的网络安全管理中心，对工业生产全景进行安全态势感知、分析、预警及准入控制，

并对异常报警行为形成工单分配给人工进行干预处理，同时与相应防护设备进行协同防御。

两分离

为降低生产网因设备管理带来的风险，建议企业规划与业务网相对独立的安全管理网络，实现业务数据流

和安全管理防护数据流的分离，互不干涉。安全管理网络实现对网络安全设备的配置管理、运行状态收集、分

析数据收集等。

三边界

是指生产网边界、内

部区域边界、主机边界三

个边界。基于三边界不同

安全防护侧重点和业务连

续性要求，提供不同的安

全防护技术和设备。

技术天地

23

在生活的舞台上，我们每个人都在寻找属于自己的独特风采。在这段旅程中，我发现了一个有趣的现

象：两点之间曲线往往更短。这一理念，在我的职业生涯和日常生活中都留下了深刻的印记。

在职业生涯中，我一直秉持着一种独特而坚定的策略，那便是“曲线救国”。当他人追求直线攀升，我

选择了一条更为稳健的道路，与时间成为忠实的伙伴，我深知成功往往需要我们耐心耕耘，厚积薄发。

平时搭建安全环境时，我会按照指示精心搭建每一个步骤。然而，有时候环境并未如预期般顺利建立。

面对这样的困扰，我会选择沉着冷静，而不是匆忙慌乱。我深知只有通过不断的试验和排错，才能逐步接近

最终的答案。在尝试漏洞复现时，有时我会遇到使用相同的exploit无法成功获取webshell的情况。这种情

况下，我会静下心来仔细寻找问题的症结所在。在这个过程中，我对安全环境得到不断深化的理解，也扩展

了解决问题的策略。

“曲线救国”并非逃避困难的权宜之计，而是以更从容、更稳健的方式面对挑战。在挫折和弯路中，我

找到了自我提升的契机。每一次试验、每一次排错，都成为我积累经验、扩展思维的重要途径。

正如世界著名数学家斐波那契所说：“最短的距离并不是直线。”在斐波那契的数列中，每一项都是前

两项的和。这种曲折的增长方式，却成就了斐波那契数列的奇妙与美丽。这不禁让我想到，人生之路也是如

此，两点之间曲线更短。

回顾我的职业生涯和日常生活，我深感两点之间曲线更短的理念给我带来的积极影响。它教会我在面对

困难时要坚韧不拔、持之以恒；它鼓励我在追求目标时要注重过程的积累和能力的提升；它让我明白真正的

成功并非一蹴而就，而是源于不懈的努力和曲折的经历。

在这个瞬息万变的世界里，我们每个人都有自己的风采。有的人选择了直线前行，希望通过捷径获得成

功；而有的人则选择了曲线发展，通过稳健的步伐和积累的经验逐步实现目标。在我看来，后者更能体验到

独特的人生风景。

总的来说，“两点之间曲线更短”不仅是一种智慧的人生哲学，也是我在探索自我风采道路上的重要指

南。我相信，在这个充满无限可能的世界里，只要我们勇于面对曲折、拥抱变化、坚持不懈，就能走出一条

属于自己的、独一无二的道路。让我们共同期待这曲径通幽的美丽风采吧！

安全运营中心/王亚男

人生之路 曲径通幽

探索两点之间曲线之魅力

在日常的工作生活中，要想实现长久的良性发展，关键在于真诚相待。我们应该以诚实守信的态度面对

人际关系，对待工作和责任义务。

对客户来讲，他看重的可能是你的产品、品牌、价格、服务等，当然最后是否选择你，还有很多其他因

素。对客户需要长期跟踪，建立信任形成良好的关系纽带。在这个过程中秉持互利互惠的原则，不要急功近

利过于看重眼前的利益，如果目的性太强，功利性太盛，一心贪图眼前利益只会把路越走越窄！

对渠道，我们要以诚相待，以理服人！因为客户里面形形色色的人都有，有真心对你的、有存心来骗

的，要有一双慧眼。但是我觉得对客户重要的是真诚，真诚地告诉客户你的优势、你的劣势，你能提供给他

们的支持、服务，哪些是你做不到的，不要怕顾客知道你的缺点，因为你不说他也会从别人那里了解到！因

此对顾客要真诚地合作，容忍顾客的“小心眼”“小把戏”，相信绝大多数客户是好的，是真心和你合作

的，“欲取之，先予之”，经过真诚的沟通和交流，顾客一定会成为你的忠实伙伴的！

另外，做销售很重要的一点是不要将个人的情绪带到工作中，这个情绪指消极、悲观、愤怒的情绪。销

售是信息的传递，情绪的转变，大部分人购买策略是建立在情绪化的感性的基础之上，绝不能把不好的情绪

传递给客户，留下不好的印象。积极的情绪能制造快乐的氛围，在交流的过程中让客户心情愉悦，促成签

单。

销售是急不来的，是需要有一个循序渐进的过程，需要讲究方法、不辞辛劳、真诚相待、坚持不懈，要

不断地总结和学习，将不好的改正，将好的保持下来积累经验。每个人都有各自的特点和方法，关键是要找

到适合自身的一套方式和方法，就一定能获得成功！

国防事业部/张春雷

销售是一个循序渐进的过程

技术天地

24