專利名稱：非法外聯(lián)檢測(cè)方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種對(duì)內(nèi)網(wǎng)計(jì)算機(jī)的非法外聯(lián)行為進(jìn)行檢測(cè)的非法外聯(lián)檢測(cè)方法。
背景技術(shù)：
計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)的發(fā)展，為終端電腦提供了豐富的網(wǎng)絡(luò)和設(shè)備互聯(lián)的手段。終端用戶不僅可以直接通過有線網(wǎng)絡(luò)實(shí)現(xiàn)與其他電腦或hternet互聯(lián)；也可以通過多種無(wú)線連接方式，例如無(wú)線局域網(wǎng)、紅外線、藍(lán)牙等實(shí)現(xiàn)網(wǎng)絡(luò)和設(shè)備的互聯(lián)；還可以通過終端提供的豐富的外設(shè)接口，例如USB接口、COM 口、LPT 口、Modem等多種接口，實(shí)現(xiàn)終端與外設(shè)、 終端與終端、或終端與網(wǎng)絡(luò)的互聯(lián)。除此之外，在以上物理連接的基礎(chǔ)上，還有PPOE虛擬撥號(hào)、各類VPN供選擇，作為安全的互連互通的可選方式。而在一些涉密內(nèi)網(wǎng)，由于內(nèi)網(wǎng)的計(jì)算機(jī)存在多種網(wǎng)絡(luò)連接方式，且缺少有效的技術(shù)監(jiān)控手段，因此有大量?jī)?nèi)網(wǎng)計(jì)算機(jī)違規(guī)進(jìn)行網(wǎng)絡(luò)外聯(lián)。這些非法網(wǎng)絡(luò)外聯(lián)會(huì)導(dǎo)致如下嚴(yán)重問題1)機(jī)密信息泄漏用戶通過非法外聯(lián)的計(jì)算機(jī)，主動(dòng)或被動(dòng)地外發(fā)內(nèi)部涉密資料，給組織造成重大損失；2)引入安全問題非法外聯(lián)計(jì)算機(jī)的存在為病毒、木馬攻擊內(nèi)網(wǎng)提供了理想的通道，病毒或木馬可以借助終端用戶違禁使用U盤、擅自撥號(hào)進(jìn)行互聯(lián)網(wǎng)訪問、隨意瀏覽網(wǎng)站、隨意下載網(wǎng)站軟件的過程中，乘虛而入，攻入內(nèi)網(wǎng)，嚴(yán)重威脅到內(nèi)網(wǎng)的穩(wěn)定運(yùn)行和內(nèi)網(wǎng)中內(nèi)部數(shù)據(jù)的安全。為了對(duì)非法外聯(lián)的計(jì)算機(jī)進(jìn)行有效檢測(cè)，目前存在如下的檢測(cè)方法。在“一種封閉網(wǎng)絡(luò)內(nèi)檢測(cè)計(jì)算機(jī)非法外聯(lián)的方法”(申請(qǐng)?zhí)?00910081606. 1)中公開了一種封閉網(wǎng)絡(luò)內(nèi)檢測(cè)計(jì)算機(jī)非法外聯(lián)的方法，包括在所述網(wǎng)絡(luò)內(nèi)的任意一臺(tái)計(jì)算機(jī)上設(shè)置內(nèi)網(wǎng)網(wǎng)卡和外網(wǎng)網(wǎng)卡作為監(jiān)測(cè)機(jī)，并分別設(shè)置相應(yīng)的內(nèi)網(wǎng)地址和非內(nèi)網(wǎng)地址，在所述外網(wǎng)網(wǎng)卡連接的路由器端口設(shè)置與所述非內(nèi)網(wǎng)地址相同網(wǎng)段的端口地址；所述監(jiān)測(cè)機(jī)通過所述內(nèi)網(wǎng)網(wǎng)卡和外網(wǎng)網(wǎng)卡向網(wǎng)絡(luò)內(nèi)發(fā)送探測(cè)報(bào)文，并接收相應(yīng)的響應(yīng)報(bào)文，如果網(wǎng)絡(luò)內(nèi)存在沒有向所述外網(wǎng)網(wǎng)卡發(fā)送響應(yīng)報(bào)文的計(jì)算機(jī)，則將判斷出該計(jì)算機(jī)為非法外聯(lián)主機(jī)。這種檢測(cè)方法依賴網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，如果在內(nèi)網(wǎng)中設(shè)置了防火墻等過濾設(shè)備，則探測(cè)報(bào)文會(huì)被過濾設(shè)備屏蔽，在這種環(huán)境下就不能正確檢測(cè)非法外聯(lián)的主機(jī)。在“一種內(nèi)網(wǎng)計(jì)算機(jī)非法外聯(lián)的檢測(cè)方法”(申請(qǐng)?zhí)?00510096094. 8)中公開了一種內(nèi)網(wǎng)計(jì)算機(jī)非法外聯(lián)的檢測(cè)方法。該發(fā)明的目的是要提供一種內(nèi)網(wǎng)計(jì)算機(jī)非法外聯(lián)的檢測(cè)方法，通過在各個(gè)涉密網(wǎng)主機(jī)上的DNS服務(wù)器輪詢各個(gè)具有典型代表性的網(wǎng)站地址的方式，來(lái)確定涉密網(wǎng)主機(jī)能否與外部網(wǎng)絡(luò)進(jìn)行非法互聯(lián)。這種檢測(cè)方法沒有對(duì)計(jì)算機(jī)的網(wǎng)絡(luò)外聯(lián)方式進(jìn)行檢測(cè)，只是通過DNS服務(wù)器的輪詢來(lái)檢測(cè)是否在外聯(lián)，當(dāng)內(nèi)網(wǎng)計(jì)算機(jī)禁止 DNS協(xié)議，且通過代理主機(jī)的方式外聯(lián)網(wǎng)絡(luò)時(shí)，現(xiàn)有檢測(cè)方法不能準(zhǔn)確檢測(cè)出非法外聯(lián)的行為。

發(fā)明內(nèi)容
鑒于上述技術(shù)問題，本發(fā)明提供一種能夠?qū)?nèi)網(wǎng)計(jì)算機(jī)非法外聯(lián)行為進(jìn)行準(zhǔn)確檢測(cè)的非法外聯(lián)檢測(cè)方法。本發(fā)明所涉及的非法外聯(lián)檢測(cè)方法，包括以下步驟定義步驟，在管理服務(wù)器中預(yù)先定義檢測(cè)策略，并設(shè)置需要應(yīng)用檢測(cè)策略的終端設(shè)備；檢測(cè)步驟，所述終端設(shè)備根據(jù)從所述管理服務(wù)器下載的所述檢測(cè)策略對(duì)內(nèi)網(wǎng)計(jì)算機(jī)的非法外聯(lián)進(jìn)行檢測(cè)；告警步驟，當(dāng)判斷為所述內(nèi)網(wǎng)計(jì)算機(jī)存在非法外聯(lián)行為時(shí)，所述終端設(shè)備向所述管理服務(wù)器發(fā)出告警信息； 以及響應(yīng)步驟，所述管理服務(wù)器根據(jù)告警信息，執(zhí)行響應(yīng)措施。在上述的非法外聯(lián)檢測(cè)方法中，其中，所述檢測(cè)步驟包括第一構(gòu)造發(fā)送步驟，逐一查詢內(nèi)網(wǎng)計(jì)算機(jī)中的網(wǎng)絡(luò)適配器信息，并根據(jù)查詢到的所述適配器的網(wǎng)絡(luò)參數(shù)，構(gòu)造連通性探測(cè)包，并發(fā)送給外網(wǎng)主機(jī)；查詢步驟，當(dāng)所有的所述網(wǎng)絡(luò)適配器查詢完畢時(shí)，查詢所述內(nèi)網(wǎng)計(jì)算機(jī)上是否設(shè)置有上網(wǎng)的代理方式；第二構(gòu)造發(fā)送步驟，當(dāng)設(shè)置有所述上網(wǎng)的代理方式時(shí)，并根據(jù)查詢到的所述上網(wǎng)的代理方式的網(wǎng)絡(luò)參數(shù)，構(gòu)造連通性探測(cè)包，并發(fā)送給所述外網(wǎng)主機(jī)；以及判斷步驟，當(dāng)所述終端設(shè)備接收到來(lái)自所述外網(wǎng)主機(jī)的針對(duì)所述連通性探測(cè)包的回應(yīng)包時(shí)，判斷內(nèi)網(wǎng)計(jì)算機(jī)存在非法外聯(lián)行為。在上述的非法外聯(lián)檢測(cè)方法中，所述網(wǎng)絡(luò)適配器信息包括設(shè)備名；所述適配器的網(wǎng)絡(luò)參數(shù)包括ip地址、掩碼和網(wǎng)關(guān)。在上述的非法外聯(lián)檢測(cè)方法中，所述連通性探測(cè)包包括http探測(cè)包和ping探測(cè)包。在上述的非法外聯(lián)檢測(cè)方法中，所述上網(wǎng)的代理方式的網(wǎng)絡(luò)參數(shù)包括所述終端設(shè)備的主機(jī)ip和端口信息。在上述的非法外聯(lián)檢測(cè)方法中，所述響應(yīng)措施包括控制臺(tái)告警、郵件告警、阻斷網(wǎng)絡(luò)和重啟機(jī)器。在上述的非法外聯(lián)檢測(cè)方法中，所述終端設(shè)備為多臺(tái)。在上述的非法外聯(lián)檢測(cè)方法中，所述終端設(shè)備、所述管理服務(wù)器和所述控制臺(tái)構(gòu)成的內(nèi)網(wǎng)安全管理系統(tǒng)支持多級(jí)部署方式，根據(jù)網(wǎng)絡(luò)的規(guī)模和管理級(jí)別而劃分為N級(jí)，其中，N為大于1的整數(shù)。在上述的非法外聯(lián)檢測(cè)方法中，所述終端設(shè)備之間、所述終端設(shè)備和所述管理服務(wù)器之間的數(shù)據(jù)通信采用ssl加密和壓縮的通信方式。在上述的非法外聯(lián)檢測(cè)方法中，所述管理服務(wù)器和控制臺(tái)之間采用https的加密通信方式。在本發(fā)明的非法外聯(lián)檢測(cè)方法中，通過自動(dòng)識(shí)別計(jì)算機(jī)內(nèi)可用的網(wǎng)絡(luò)連接參數(shù)， 并根據(jù)識(shí)別的網(wǎng)絡(luò)參數(shù)進(jìn)行非法外聯(lián)檢測(cè)，而且，采用主動(dòng)構(gòu)造各類網(wǎng)絡(luò)協(xié)議探測(cè)數(shù)據(jù)包， 對(duì)外部網(wǎng)絡(luò)主機(jī)進(jìn)行連通性探測(cè)，并根據(jù)探測(cè)結(jié)果來(lái)檢測(cè)計(jì)算機(jī)是否是非法外聯(lián)的方式。根據(jù)本發(fā)明的非法外聯(lián)檢測(cè)方法，能夠?qū)τ?jì)算機(jī)內(nèi)網(wǎng)的各種可能的外聯(lián)方式進(jìn)行了全面檢測(cè)，提高了檢測(cè)精度和正確性。解決了現(xiàn)有檢測(cè)方法對(duì)網(wǎng)絡(luò)拓?fù)涞囊蕾嚕鉀Q了現(xiàn)有檢測(cè)方法在上網(wǎng)的代理方式下不能正確檢測(cè)的問題。
當(dāng)結(jié)合附圖考慮時(shí)，通過參照下面的詳細(xì)描述，能夠更完整更好地理解本發(fā)明以及容易得知其中許多伴隨的優(yōu)點(diǎn)，但此處所說(shuō)明的附圖用來(lái)提供對(duì)本發(fā)明的進(jìn)一步理解， 構(gòu)成本申請(qǐng)的一部分，本發(fā)明的示意性實(shí)施例及其說(shuō)明用于解釋本發(fā)明，并不構(gòu)成對(duì)本發(fā)明的不當(dāng)限定，其中

圖1是非法外聯(lián)檢測(cè)系統(tǒng)的部署示意圖。圖2是非法外聯(lián)檢測(cè)系統(tǒng)的框圖。圖3是內(nèi)非法外聯(lián)檢測(cè)方法的流程圖。圖4是本發(fā)明的非法外聯(lián)檢測(cè)方法的終端設(shè)備所執(zhí)行的檢測(cè)步驟的流程圖。
具體實(shí)施例方式圖1是非法外聯(lián)檢測(cè)系統(tǒng)的部署示意圖，如圖1所示，非法外聯(lián)檢測(cè)系統(tǒng)包括多臺(tái)終端設(shè)備100、管理服務(wù)器200和控制臺(tái)300。圖2是非法外聯(lián)檢測(cè)系統(tǒng)的框圖。如圖2所示，多臺(tái)終端設(shè)備的各臺(tái)終端設(shè)備100 上安裝有代理程序，可以從管理服務(wù)器200下載檢測(cè)策略，根據(jù)檢測(cè)策略來(lái)執(zhí)行非法外聯(lián)的檢測(cè)，并將檢測(cè)結(jié)果上報(bào)給管理服務(wù)器200?？梢园ńK端通信模塊110、終端控制模塊 120、非法外聯(lián)檢測(cè)引擎130、告警模塊140。具體地，終端通信模塊110用于終端設(shè)備和管理服務(wù)器、終端設(shè)備之間的通信處理，實(shí)現(xiàn)通信連接的建立、數(shù)據(jù)的收發(fā)、通信加解密和斷點(diǎn)續(xù)傳等；終端控制模塊120是終端設(shè)備的核心部件，負(fù)責(zé)對(duì)終端設(shè)備內(nèi)部各模塊進(jìn)行統(tǒng)一管理，其通過終端通信模塊接受檢測(cè)策略，并將檢測(cè)策略應(yīng)用非法外聯(lián)檢測(cè)引擎130，此外，其還接受非法外聯(lián)檢測(cè)引擎 130的告警信息和狀態(tài)信息，然后通過終端通信模塊110轉(zhuǎn)發(fā)給上級(jí)管理服務(wù)器，而且，其還對(duì)終端設(shè)備的資源進(jìn)行統(tǒng)一監(jiān)控和管理；非法外聯(lián)檢測(cè)引擎130自動(dòng)識(shí)別計(jì)算機(jī)的網(wǎng)絡(luò)連接信息，根據(jù)識(shí)別的網(wǎng)絡(luò)連接構(gòu)造探測(cè)數(shù)據(jù)包，然后發(fā)送探測(cè)數(shù)據(jù)包給外網(wǎng)的主機(jī)，并分析響應(yīng)數(shù)據(jù)來(lái)判斷該計(jì)算機(jī)是否非法外聯(lián)；如果發(fā)現(xiàn)非法外聯(lián)，則通知告警模塊140向管理服務(wù)器發(fā)出非法外聯(lián)的告警信息。本發(fā)明的終端設(shè)備能夠自動(dòng)對(duì)計(jì)算機(jī)的各類網(wǎng)絡(luò)連接方式進(jìn)行識(shí)別，然后基于識(shí)別出的網(wǎng)絡(luò)連接方式，向外部網(wǎng)絡(luò)的主機(jī)發(fā)出網(wǎng)絡(luò)連通性探測(cè)包，根據(jù)探測(cè)包的響應(yīng)結(jié)果來(lái)判斷內(nèi)網(wǎng)計(jì)算機(jī)是否是非法外聯(lián)。管理服務(wù)器200是系統(tǒng)的控制中心，其接受并處理下級(jí)終端設(shè)備的安全信息，制定并下發(fā)安全策略給終端設(shè)備，同時(shí)接受和響應(yīng)來(lái)自控制臺(tái)300的管理指令。具有檢測(cè)策略集中管理、資產(chǎn)管理、認(rèn)證和授權(quán)、分析和報(bào)表、告警信息接受和處理等功能。如圖2所示，可以包括管理服務(wù)器通信模塊210、管理服務(wù)器控制模塊220、非法外聯(lián)監(jiān)控模塊230、 資產(chǎn)管理模塊對(duì)0、策略管理模塊250、認(rèn)證授權(quán)模塊沈0、注冊(cè)服務(wù)模塊270、資源信息庫(kù) 280。具體地，管理服務(wù)器通信模塊210用于終端設(shè)備和管理服務(wù)器、管理服務(wù)器和控制臺(tái)之間的通信處理，實(shí)現(xiàn)通信連接的建立、數(shù)據(jù)的收發(fā)、通信加解密等功能。管理服務(wù)器控制模塊220是管理服務(wù)器的核心部件，負(fù)責(zé)對(duì)管理服務(wù)器內(nèi)部各模塊進(jìn)行統(tǒng)一管理，其通過通信模塊將安全策略和控制命令下發(fā)給下級(jí)的終端設(shè)備；另外，其還接受來(lái)自控制臺(tái)的用戶指令，并根據(jù)用戶指令對(duì)其他模塊進(jìn)行管理和控制；而且，其還對(duì)管理服務(wù)器中的任務(wù)實(shí)現(xiàn)進(jìn)行統(tǒng)一調(diào)度和管理。非法外聯(lián)監(jiān)控模塊230接受下級(jí)終端設(shè)備上報(bào)的非法外聯(lián)告警信息，然后根據(jù)安全策略執(zhí)行相應(yīng)的響應(yīng)措施；這些響應(yīng)措施包括控制臺(tái)告警、郵件告警、阻斷網(wǎng)絡(luò)和重啟機(jī)器等。
資產(chǎn)管理模塊240實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)內(nèi)的資產(chǎn)執(zhí)行集中統(tǒng)一管理，主要包括資產(chǎn)的分組管理、資產(chǎn)導(dǎo)入導(dǎo)出等功能。策略管理模塊250實(shí)現(xiàn)對(duì)系統(tǒng)內(nèi)安全策略執(zhí)行集中統(tǒng)一的管理，主要包括策略的制定、策略分發(fā)、策略監(jiān)控等功能。認(rèn)證授權(quán)模塊沈0實(shí)現(xiàn)統(tǒng)一的用戶認(rèn)證和基于角色的權(quán)限管理功能。注冊(cè)服務(wù)模塊270負(fù)責(zé)對(duì)系統(tǒng)中所有資源信息進(jìn)行統(tǒng)一管理，維護(hù)資源信息庫(kù) 280中的內(nèi)容。資源信息庫(kù)280用于存儲(chǔ)每個(gè)終端的地址信息、配置信息、安全策略等各種資源?？刂婆_(tái)300是用戶交互的界面，接收用戶的指令，轉(zhuǎn)發(fā)給管理服務(wù)器處理，同時(shí)接受并呈現(xiàn)來(lái)自管理服務(wù)器的信息?？刂婆_(tái)300是具有瀏覽器、例如IE瀏覽器功能的計(jì)算機(jī)設(shè)備，控制臺(tái)300可以單獨(dú)設(shè)置，也可以設(shè)置在終端設(shè)備100或管理服務(wù)器200上。如圖2 所示，控制臺(tái)300包括控制臺(tái)通信模塊310、控制臺(tái)控制模塊320、展現(xiàn)模塊330、人機(jī)交互模塊;340。控制臺(tái)通信模塊310負(fù)責(zé)管理服務(wù)器200和控制臺(tái)300之間的通信處理，實(shí)現(xiàn)通信連接的建立、數(shù)據(jù)的收發(fā)、通信加解密等功能。控制臺(tái)控制模塊320負(fù)責(zé)對(duì)其他模塊執(zhí)行集中統(tǒng)一的管理，實(shí)現(xiàn)任務(wù)的統(tǒng)一調(diào)度、數(shù)據(jù)集中分派等功能。展現(xiàn)模塊330實(shí)現(xiàn)報(bào)表等多種方式的數(shù)據(jù)表現(xiàn)。人機(jī)交互模塊340負(fù)責(zé)和管理者交互，實(shí)現(xiàn)人機(jī)交互，提供圖形化的管理界面。終端設(shè)備100和管理服務(wù)器器200之間的數(shù)據(jù)通信支持ssl加密，確保數(shù)據(jù)的機(jī)密性；對(duì)傳輸?shù)臄?shù)據(jù)進(jìn)行壓縮，減少了對(duì)網(wǎng)絡(luò)帶寬的占用；控制臺(tái)300和管理服務(wù)器200之間則采用https的加密通信方式，保證系統(tǒng)的通信安全圖3是本發(fā)明的非法外聯(lián)檢測(cè)方法的一例流程圖。如圖3所示，包括以下步驟定義步驟S310，在管理服務(wù)器200中預(yù)先定義檢測(cè)策略，并設(shè)置需要應(yīng)用檢測(cè)策略的終端設(shè)備100。檢測(cè)步驟S320，終端設(shè)備100根據(jù)從管理服務(wù)器200下載的檢測(cè)策略對(duì)內(nèi)網(wǎng)計(jì)算機(jī)的非法外聯(lián)進(jìn)行檢測(cè)。告警步驟S330，當(dāng)判斷為內(nèi)網(wǎng)計(jì)算機(jī)存在非法外聯(lián)行為時(shí)，終端設(shè)備100向管理服務(wù)器200發(fā)出告警信息。響應(yīng)步驟S340，管理服務(wù)器200根據(jù)告警信息，執(zhí)行響應(yīng)措施。圖4是本發(fā)明的非法外聯(lián)檢測(cè)方法的終端設(shè)備所執(zhí)行的檢測(cè)步驟的流程圖。如圖 4所示，檢測(cè)步驟包括以下步驟第一構(gòu)造發(fā)送步驟S410，逐一查詢內(nèi)網(wǎng)計(jì)算機(jī)中的網(wǎng)絡(luò)適配器信息，并根據(jù)查詢到的適配器的網(wǎng)絡(luò)參數(shù)，構(gòu)造連通性探測(cè)包，并發(fā)送給外網(wǎng)主機(jī)。例如查詢計(jì)算機(jī)中一個(gè)網(wǎng)絡(luò)適配器的信息，主要包括設(shè)備名等信息，根據(jù)設(shè)備名獲得該適配器的網(wǎng)絡(luò)參數(shù)，包括 ip地址、掩碼和網(wǎng)關(guān)等信息，并根據(jù)該適配器的網(wǎng)絡(luò)參數(shù)，構(gòu)造網(wǎng)絡(luò)連通性探測(cè)數(shù)據(jù)包(例如http探測(cè)包和ping探測(cè)包等)，并發(fā)送給外部網(wǎng)絡(luò)的主機(jī)。接著判斷是否還有網(wǎng)絡(luò)適配器，如果有則重新執(zhí)行S410，否則執(zhí)行查詢步驟S420。查詢步驟S420，當(dāng)所有的網(wǎng)絡(luò)適配器查詢完畢時(shí)，查詢內(nèi)網(wǎng)計(jì)算機(jī)上是否設(shè)置有上網(wǎng)的代理方式。如果有，則進(jìn)入第二構(gòu)造發(fā)送步驟S430，如果沒有則進(jìn)入判斷步驟S440。第二構(gòu)造發(fā)送步驟S430，當(dāng)設(shè)置有上網(wǎng)的代理方式時(shí)，并根據(jù)查詢到的上網(wǎng)的代理方式的網(wǎng)絡(luò)參數(shù)，構(gòu)造連通性探測(cè)包，并發(fā)送給外網(wǎng)主機(jī)。這里，上網(wǎng)的代理方式的網(wǎng)絡(luò)參數(shù)包括終端設(shè)備主機(jī)ip和端口等信息。判斷步驟S440，當(dāng)終端設(shè)備接收到來(lái)自外網(wǎng)主機(jī)的針對(duì)連通性探測(cè)包的回應(yīng)包時(shí)，判斷內(nèi)網(wǎng)計(jì)算機(jī)存在非法外聯(lián)行為。如果沒有來(lái)自外網(wǎng)主機(jī)的針對(duì)連通性探測(cè)包的回應(yīng)包時(shí)，則不進(jìn)行告警步驟，結(jié)束此次檢測(cè)。本發(fā)明的非法外聯(lián)檢測(cè)系統(tǒng)支持多級(jí)部署的方式，在大規(guī)模網(wǎng)絡(luò)部署時(shí)，可以根據(jù)網(wǎng)絡(luò)的規(guī)模和管理級(jí)別而劃分為N(N> 1)級(jí)，其中在中心節(jié)點(diǎn)設(shè)立全網(wǎng)范圍的管理中心，制定并下發(fā)統(tǒng)一的全網(wǎng)安全策略和檢測(cè)策略。這些策略通過同步與復(fù)制的機(jī)制，在同級(jí)或下級(jí)管理中心間保持一致。下級(jí)管理中心上策略的變更也都會(huì)上傳給上級(jí)管理中心，在上級(jí)管理中心可以瀏覽任何一個(gè)下級(jí)管理中心的策略應(yīng)用情況，適用于大規(guī)模網(wǎng)絡(luò)環(huán)境的部署應(yīng)用。由于采用分散控制，可靠性高，降低了各節(jié)點(diǎn)服務(wù)器的負(fù)荷。終端設(shè)備和終端設(shè)備之間，終端設(shè)備和管理服務(wù)器之間的數(shù)據(jù)通信支持加密和壓縮；控制臺(tái)和管理服務(wù)器之間則采用https的加密通信方式，保證系統(tǒng)的通信安全。本發(fā)明的對(duì)內(nèi)網(wǎng)計(jì)算機(jī)進(jìn)行非法外聯(lián)檢測(cè)的非法外聯(lián)檢測(cè)方法，用于解決現(xiàn)有檢測(cè)技術(shù)中存在檢測(cè)不全面和不準(zhǔn)確的問題。通過本發(fā)明對(duì)內(nèi)網(wǎng)計(jì)算機(jī)的各種網(wǎng)絡(luò)連接方式進(jìn)行自動(dòng)識(shí)別，然后通過檢測(cè)到的可用網(wǎng)絡(luò)連接方式主動(dòng)對(duì)外部網(wǎng)絡(luò)的主機(jī)進(jìn)行網(wǎng)絡(luò)連通性探測(cè)，根據(jù)探測(cè)結(jié)果來(lái)確定內(nèi)網(wǎng)計(jì)算機(jī)是否能與外部網(wǎng)絡(luò)進(jìn)行非法互聯(lián)。本方法對(duì)計(jì)算機(jī)所在的各類網(wǎng)絡(luò)連接環(huán)境進(jìn)行全面識(shí)別，并在此基礎(chǔ)上結(jié)合主動(dòng)檢測(cè)的方式，能準(zhǔn)確、全面地檢測(cè)出內(nèi)網(wǎng)非法外聯(lián)的計(jì)算機(jī)。采用本方法能根本上解決對(duì)內(nèi)網(wǎng)計(jì)算機(jī)非法外聯(lián)的檢測(cè)問題。本方法可以應(yīng)用在網(wǎng)絡(luò)安全管理、入侵檢測(cè)和服務(wù)器保護(hù)等各類設(shè)備中。本發(fā)明對(duì)計(jì)算機(jī)內(nèi)各種可能的外聯(lián)方式進(jìn)行了全面檢測(cè)，提高了檢測(cè)精度和正確性。解決了現(xiàn)有檢測(cè)方法對(duì)網(wǎng)絡(luò)拓?fù)涞囊蕾?，解決了現(xiàn)有檢測(cè)方法在代理方式下不能正確檢測(cè)的問題。如上所述，對(duì)本發(fā)明的實(shí)施例進(jìn)行了詳細(xì)地說(shuō)明，但是只要實(shí)質(zhì)上沒有脫離本發(fā)明的發(fā)明點(diǎn)及效果可以有很多的變形，這對(duì)本領(lǐng)域的技術(shù)人員來(lái)說(shuō)是顯而易見的。因此，這樣的變形例也全部包含在本發(fā)明的保護(hù)范圍之內(nèi)。
權(quán)利要求
1.一種非法外聯(lián)檢測(cè)方法，用于對(duì)內(nèi)網(wǎng)計(jì)算機(jī)的非法外聯(lián)行為進(jìn)行檢測(cè)，包括以下步驟定義步驟，在管理服務(wù)器中預(yù)先定義檢測(cè)策略，并設(shè)置需要應(yīng)用檢測(cè)策略的終端設(shè)備；檢測(cè)步驟，所述終端設(shè)備根據(jù)從所述管理服務(wù)器下載的所述檢測(cè)策略對(duì)內(nèi)網(wǎng)計(jì)算機(jī)的非法外聯(lián)進(jìn)行檢測(cè)；告警步驟，當(dāng)判斷為所述內(nèi)網(wǎng)計(jì)算機(jī)存在非法外聯(lián)行為時(shí)，所述終端設(shè)備向所述管理服務(wù)器發(fā)出告警信息；以及響應(yīng)步驟，所述管理服務(wù)器根據(jù)告警信息，執(zhí)行響應(yīng)措施。
2.根據(jù)權(quán)利要求1所述的非法外聯(lián)檢測(cè)方法，其中，所述檢測(cè)步驟包括第一構(gòu)造發(fā)送步驟，逐一查詢內(nèi)網(wǎng)計(jì)算機(jī)中的網(wǎng)絡(luò)適配器信息，并根據(jù)查詢到的所述適配器的網(wǎng)絡(luò)參數(shù)，構(gòu)造連通性探測(cè)包，并發(fā)送給外網(wǎng)主機(jī)；查詢步驟，當(dāng)所有的所述網(wǎng)絡(luò)適配器查詢完畢時(shí)，查詢所述內(nèi)網(wǎng)計(jì)算機(jī)上是否設(shè)置有上網(wǎng)的代理方式；第二構(gòu)造發(fā)送步驟，當(dāng)設(shè)置有所述上網(wǎng)的代理方式時(shí)，并根據(jù)查詢到的所述上網(wǎng)的代理方式的網(wǎng)絡(luò)參數(shù)，構(gòu)造連通性探測(cè)包，并發(fā)送給所述外網(wǎng)主機(jī)；以及判斷步驟，當(dāng)所述終端設(shè)備接收到來(lái)自所述外網(wǎng)主機(jī)的針對(duì)所述連通性探測(cè)包的回應(yīng)包時(shí)，判斷內(nèi)網(wǎng)計(jì)算機(jī)存在非法外聯(lián)行為。
3.根據(jù)權(quán)利要求2所述的非法外聯(lián)檢測(cè)方法，其中， 所述網(wǎng)絡(luò)適配器信息包括設(shè)備名；所述適配器的網(wǎng)絡(luò)參數(shù)包括ip地址、掩碼和網(wǎng)關(guān)。
4.根據(jù)權(quán)利要求3所述的非法外聯(lián)檢測(cè)方法，其中， 所述連通性探測(cè)包包括http探測(cè)包和ping探測(cè)包。
5.根據(jù)權(quán)利要求2所述的非法外聯(lián)檢測(cè)方法，其中，所述上網(wǎng)的代理方式的網(wǎng)絡(luò)參數(shù)包括所述終端設(shè)備的主機(jī)ip和端口信息。
6.根據(jù)權(quán)利要求1至5中任一項(xiàng)所述的非法外聯(lián)檢測(cè)方法，其中， 所述響應(yīng)措施包括控制臺(tái)告警、郵件告警、阻斷網(wǎng)絡(luò)和重啟機(jī)器。
7.根據(jù)權(quán)利要求6所述的非法外聯(lián)檢測(cè)方法，其中， 所述終端設(shè)備為多臺(tái)。
8.根據(jù)權(quán)利要求6所述的非法外聯(lián)檢測(cè)方法，其中，所述終端設(shè)備、所述管理服務(wù)器和控制臺(tái)構(gòu)成的非法外聯(lián)檢測(cè)系統(tǒng)支持多級(jí)部署方式，根據(jù)網(wǎng)絡(luò)的規(guī)模和管理級(jí)別而劃分為N級(jí)，其中，N為大于1的整數(shù)。
9.根據(jù)權(quán)利要求6所述的非法外聯(lián)檢測(cè)方法，其中，所述終端設(shè)備之間、所述終端設(shè)備和所述管理服務(wù)器之間的數(shù)據(jù)通信采用ssl加密和壓縮的通信方式。
10.根據(jù)權(quán)利要求6所述的非法外聯(lián)檢測(cè)方法，其中， 所述管理服務(wù)器和控制臺(tái)之間采用https的加密通信方式。
全文摘要
本發(fā)明公開了一種對(duì)內(nèi)網(wǎng)計(jì)算機(jī)的非法外聯(lián)行為進(jìn)行檢測(cè)的非法外聯(lián)檢測(cè)方法，包括定義步驟S310，在管理服務(wù)器中預(yù)先定義檢測(cè)策略，并設(shè)置需要應(yīng)用檢測(cè)策略的終端設(shè)備；檢測(cè)步驟S320，所述終端設(shè)備根據(jù)從所述管理服務(wù)器下載的所述檢測(cè)策略對(duì)內(nèi)網(wǎng)計(jì)算機(jī)的非法外聯(lián)進(jìn)行檢測(cè)；告警步驟S330，當(dāng)判斷為所述內(nèi)網(wǎng)計(jì)算機(jī)存在非法外聯(lián)行為時(shí)，所述終端設(shè)備向所述管理服務(wù)器發(fā)出告警信息；以及響應(yīng)步驟S340，所述管理服務(wù)器根據(jù)告警信息，執(zhí)行響應(yīng)措施。根據(jù)本發(fā)明的非法外聯(lián)檢測(cè)方法，能夠?qū)τ?jì)算機(jī)內(nèi)網(wǎng)的各種可能的外聯(lián)方式進(jìn)行全面檢測(cè)，提高了檢測(cè)精度和正確性。
文檔編號(hào)G06F21/00GK102315992SQ201110324828
公開日2012年1月11日 申請(qǐng)日期2011年10月21日 優(yōu)先權(quán)日2011年10月21日
發(fā)明者曾勇, 許元進(jìn) 申請(qǐng)人:北京海西賽虎信息安全技術(shù)有限公司