CN100525184C - 网络安全防护系统及方法 - Google Patents

Abstract

一种网络安全防护系统及方法，其中，该防护系统包括：认证服务器，用于网络接入认证，根据含有安全性信息的认证结果决定用户是否可以接入网络；安全策略服务器，用于配置安全策略并下发安全策略，且判断用户是安全用户还是非安全用户，并把判断结果发送至所述的认证服务器；宽带接入服务器，用于用户网络接入，接收所述安全策略并根据所述的安全策略监控接入网络的用户的报文，将监控信息发送给所述的安全策略服务器以判断用户安全性，且所述的宽带接入服务器根据来自所述认证服务器的判断结果或认证结果中的安全性信息拒绝非安全用户接入网络。相应地，本发明也公开网络安全防护方法。

Description

网络安全防护系统及方法

技术领域

本发明涉及计算机或通信领域中的安全技术，尤指一种网络安全防护系统及方法。

背景技术

随着计算机网络尤其是互联网(INTERNET)在全球的普及和深入，企业网在证券部门、银行系统、企事业单位的大力推广和应用，使得人们越来越多的接触网络和使用网络。通过网络可以进行贸易活动，也可以进行邮件传送，但同时，病毒数量也伴随着网络迅速得以倍增，很多近乎绝迹的病毒也时有发生，宏病毒因其不分操作系统，在网络上传播更是神速。大力发展网络的同时，病毒也得到大发展。网络中的病毒有的是良性，不作任何破坏，仅影响系统的正常运行而已，但更多的病毒是恶性的，会发作，发作的现象各有千秋：有的格式化硬盘，有的删除系统文件，有的破坏数据库等等。因此，有病毒时必须要尽快医治，对网络更是如此，它对网络的破坏性远大于单机用户，损失则更不用谈了。

另外网络上的网络攻击越来越多，对宽带接入服务器的冲击也很大，往往一个用户进行攻击，会导致在同一个区域的其它用户不能正常访问网络，给电信运营商带来很大的困扰。

现有查杀病毒的方法依然是下载补丁和杀毒软件，但是一个宽带城域网有数千上万台机器，只要有一台机器没有及时杀毒和打补丁，就会影响整个网络，甚至会导致整个网络反复中毒。

因此，总体来看，现有方法没有很好地解决网络病毒的隔离和反复感染问题，并且用户需要经常的更新杀毒软件和系统补丁，增加了用户操作复杂度。

发明内容

本发明解决的问题是提供一种网络安全防护系统及方法，避免网络病毒造成反复感染。

为解决上述问题，本发明网络安全防护系统包括：认证服务器，用于网络接入认证，根据含有安全性信息的认证结果决定用户是否可以接入网络；安全策略服务器，用于配置安全策略并下发安全策略，且判断用户是安全用户还是非安全用户，并把判断结果发送至所述的认证服务器；宽带接入服务器，用于用户网络接入，接收所述安全策略并根据所述的安全策略监控接入网络的用户的报文，将监控信息发送给所述的安全策略服务器以判断用户安全性，且所述的宽带接入服务器根据来自所述认证服务器的判断结果或认证结果中的安全性信息拒绝非安全用户接入网络。

所述的认证服务器具有表示用户是否安全的安全属性；而所述的宽带接入服务器具有表示用户是否安全的用户安全属性。所述的认证服务器的安全属性值根据所述的安全策略服务器的安全性判断结果来设置，并将当前安全属性值发送给宽带接入服务器；宽带接入服务器的用户安全属性值根据接收到的安全属性值设置，并根据用户安全属性值拒绝非安全用户接入网。

所述安全策略包括：检查项，用于指示宽带接入服务器检查的内容；触发条件，用于指示触发条件；操作，用于指示在满足触发条件时宽带接入服务器执行具体操作。所述操作指宽带接入服务器监控用户的报文并在满足触发条件时将相应报文作为监控信息复制给安全策略服务器，则安全策略服务器根据该报文来判断用户的安全性。

该系统还包括门户服务器，用于隔离非安全用户，且宽带接入服务器控制非安全用户访问该门户服务器。

相应地，本发明网络安全防护方法包括以下步骤：安全策略配置步骤，安全策略服务器下发安全策略至宽带接入服务器；认证步骤，认证时检查用户是否安全，并向宽带接入服务器返回用户的安全性信息的认证结果；监控步骤，根据认证结果，依安全策略对接入网络的用户的报文进行监控，并将监控信息反馈给安全策略服务器；判断步骤，安全策略服务器根据监控信息判断用户安全性，并将判断结果经由认证服务器；处理步骤，认证服务器下发判断结果至宽带接入服务器中，宽带接入服务器根据判断结果拒绝非安全用户接入网络。

所述安全策略包括：检查项，用于指示宽带接入服务器检查的内容；触发条件，用于指示触发条件；操作，用于指示在满足触发条件时宽带接入服务器执行具体操作。监控信息指满足触发条件时，宽带接入服务器所监控的用户的报文，操作指将该报文复制给安全策略服务器。

认证服务器具有用来表示用户是否安全的安全属性；而宽带接入服务器具有用来表示用户是否安全的用户安全属性。认证步骤进一步包括：宽带接入服务器向认证服务器发送认证请求；认证服务器进行认证并读取该用户的安全属性值；将包含有安全属性值的认证结果反馈给宽带接入服务器。

所述监控步骤进一步包括如下步骤：宽带接入服务器根据认证结果判断是否通过认证；如果通过认证，则根据认证结果中的安全属性值设置用户安全属性；根据用户安全属性值判断用户是否安全；如果不安全，则拒绝接入网络，如果安全则接入网络并同时执行监控步骤。

所述监控步骤进一步包括：宽带接入服务器根据安全策略监控用户的报文；在满足触发条件时，将相应的报文作为监控信息复制给安全策略服务器。

所述处理步骤进一步包括：认证服务器根据安全策略服务器的安全性判断结果，设置安全属性值，并将当前安全属性值发送给宽带接入服务器；宽带接入服务器根据接收到的安全属性值设置用户安全属性值并拒绝非安全用户接入网络；强制非安全用户访问门户服务器；门户服务器为中毒的非安全用户提供杀毒工具以杀毒，对进行网络攻击的非安全用户警告其禁止进行网络攻击；对杀过毒的用户进行安全评估，若安全则通知认证服务器设置该用户的安全属性为安全；认证服务器修改用户的安全属性为安全并下发给宽带接入服务器；宽带接入服务器修改用户安全属性为安全并转到监控步骤。

与现有技术相比，本发明具有以下优点：

通过安全策略服务器下发安全策略，然后在BAS上进行资源检查以监控，很容易判断用户是否中毒或者进行网络攻击，由于通过安全策略服务器更新安全策略方便灵活，因此对于新病毒和新的网络攻击手段能够及时应变；

将用户区分为安全用户和非安全用户，安全用户上网没有限制，而非安全用户只能访问门户服务器，从而避免非安全用户感染安全用户；

安全策略服务器上安全策略可以和杀毒厂商防治黑客厂商共同合作完成，因此能够保证安全策略更新迅速及时；

对于用户来说，不必总是关注最新的补丁和病毒信息，降低了对用户病毒知识的要求，并且减少了用户受病毒感染的风险；

对于运行商来说，该发明可以有效解决病毒和网络攻击造成的系统资源浪费，对于病毒问题，可以快速识别中毒用户，并进行隔离，防止中毒用户进一步传染其它正常用户，另外通过有偿提供下载杀病毒工具进行收费获得新的利润增长点；对于黑客问题，能够及时发现黑客的攻击行为，从而可以进行下一步的处理；

对于杀毒厂商防治黑客厂商来说，可以通过提供最新的病毒信息和杀毒工具进行收费，从而达到双赢的效果。

附图说明

图1是本发明网络安全防护系统框图。

图2是认证服务器的安全属性设置实施例示意图。

图3本发明网络安全防护方法中安全策略配置步骤流程图。

图4是本发明网络安全防护方法中认证、监控步骤流程图。

图5是本发明网络安全防护方法中判断步骤流程图。

图6是本发明网络安全防护方法中处理步骤流程图。

图7是本发明网络安全防护方法中非安全用户处理流程图。

具体实施方式

本发明网络安全防护系统及方法基于现有的网络系统实现的，所述现有网络系统一般包括有：

宽带接入服务器(BAS，Broadband Access Server)：主要完成用户的接入，通常有xDSL//LAN/HFC(x数字用户线/局域网/光纤/同轴混合网)等接入方式。

认证服务器：AAA是验证、授权和计费(Authentication，Authorization andAccounting)的简称，提供一个用来对验证、授权和计费这三种安全功能进行配置的一致的框架。而AAA通常使用远程认(验)证拔号用户服务协议(Radius，Remote Authentication Dial-In User Service)来完成。认证服务器就是一台实现Radius协议的PC或者网络设备，通过和宽带接入服务器配合，完成用户的验证、授权和计费。

门户(Portal)服务器：Portal服务是ISP提供给用户的一种新型业务，使用户可以通过访问门户服务器来灵活的选择适合用户自己的业务，或者提供相关网络资源(如HTTP连接，FTP下载等)。

宽带接入服务器与其他服务器的关系，详述如下。

宽带接入服务器和认证服务器：当用户想要通过与宽带接入服务器建立连接从而获得访问其他网络的权利(或取得使用某些网络资源的权利)时，宽带接入服务器起到了检查用户(或这个连接)的作用。宽带接入服务器负责把用户的验证，授权，记账信息传递给认证服务器。而认证服务器接收用户的认证请求后，完成验证，并把传递给用户所需的配置信息返回给宽带接入服务器。宽带接入服务器根据认证服务器返回的结果决定用户是否可以访问以及能够访问什么资源。

宽带接入服务器和门户服务器：目前门户服务器主要完成两种功能，第一种是用户认证通过后，门户服务器提供一个网页，用户可以在网页上访问ISP(Internet Service Provider，Internet服务提供者)提供的业务，如VOD(VideoOn Demand，视频点播)，游戏，软件下载等；另外一种是用户在认证通过之前访问门户服务器页面，页面上提示用户输入用户名和密码来进行认证，然后门户服务器将用户名和密码发送给宽带接入服务器，宽带接入服务器然后和认证服务器交互来确定用户的权限，最后宽带接入服务器将认证结果通知给门户服务器。

因此，现有宽带接入服务器一般只管理用户的认证计费，而不管用户上网执行了哪些活动。所有网络病毒对于宽带接入服务器来说是不可见的，宽带接入服务器仅仅当作是用户数据处理。而宽带接入服务器和各种服务器之间配置，能够完成用户的认证、计费功能，但是不能完成病毒防护和防治黑客功能。

请参照图1所示，本发明网络安全防护系统，包括：

认证服务器1，用于网络接入认证，根据含有安全性信息的认证结果决定用户是否可以接入网络3；

安全策略服务器4，用于配置安全策略(指安全策略的增加、删除、修改)并下发安全策略，且判断用户的安全性，并把判断结果发送至认证服务器1；

宽带接入服务器5，用于用户网络接入，接收安全策略并根据安全策略监控接入网络3的用户的报文，将监控信息发送给安全策略服务器4以判断用户安全性，且宽带接入服务器5根据来自认证服务器1的判断结果或认证结果中的安全性信息拒绝非安全用户接入网络3。

这样，通过利用宽带接入服务器5对用户的监控功能，可以很好地解决网络蠕虫病毒的隔离和查杀问题。一方面，宽带接入服务器5通过实时检查用户报文，经由安全策略服务器4判断用户是否中毒或者恶意攻击。另一方面，对上面查到的用户进行网段隔离，并引导用户进行杀毒，防止影响其它用户，从而减少交叉反复感染和破坏网络。

请参照图2所示，认证服务器1具有表示用户是否安全的安全属性，在现有认证服务器上增加一项属性：安全属性，取值为“安全”或者“不安全”，所有用户的缺省安全属性为“安全”，例如，在shiva(一种Radius服务器软件)中，添加一个自定义属性：安全属性“Safety-State”，其取值为“Safe”或者“Unsafe”。认证服务器1的安全属性值根据安全策略服务器4的安全性判断结果来设置，并将当前安全属性值发送给宽带接入服务器5。

宽带接入服务器5具有表示用户是否安全的用户安全属性，取值为“安全”或者“不安全”。宽带接入服务器5的用户安全属性值根据接收到的安全属性值设置用户安全属性值并根据用户安全属性值拒绝非安全用户接入网。

从类型上，所述安全策略分为防病毒策略和防攻击策略；从结构上，安全策略包括：检查项，用于指示宽带接入服务器5检查的内容；触发条件，用于指示触发条件；操作，用于指示在满足触发条件时宽带接入服务器5执行具体操作。所述操作指宽带接入服务器5监控用户的报文并在满足触发条件时将相应报文作为监控信息复制给安全策略服务器4，则安全策略服务器4根据该报文来判断用户的安全性。安全策略项的配置可以使用多种方法实现，例如：可以扩展ACL(Access Control List，访问控制列表)，增加操作类型。下面以检查冲击波病毒为例进行说明，冲击波病毒安全策略的检查项定义为：“检查用户报文中协议为TCP，目的端口号为135端口的报文”；触发条件定义为：“当检查报文的速率超过每秒3个时触发”，操作定义为：“发送报文的TCP头给安全策略服务器”。

另外，本发明网络安全防护系统，还包括门户服务器6，用于隔离非安全用户，且宽带接入服务器5控制非安全用户访问该门户服务器6。在该Portal主页上提示用户已经中毒或者在进行网络攻击，对于中毒的情况，提示用户需要杀毒或者安全补丁，并在主页上提供补丁或者杀病毒程序供用户下载；当用户操作(安装补丁、杀毒等)完毕后，门户服务器6对用户进行安全评估，当安全评估结果为不安全时，提示用户继续杀毒；当安全评估结果为安全时门户服务器6通知认证服务器1修改该用户的安全属性为安全。对于网络攻击的情况，提示用户停止网络攻击，并可以按照一定的规则进行下一步的处理，例如：用户连续三次进行网络攻击就禁止用户上网等。诚然，对非安全用户的处理也可以不访问门户服务器6来隔离，例如直接使非安全用户下线即可，也可以达到避免网络病毒交叉、反复感染。

请参照图3至7所示，本发明网络安全防护方法包括以下步骤：

安全策略配置步骤(见图3、4)，安全策略服务器下发安全策略至宽带接入服务器，安全策略的下发可以使用多种方法，例如：安全策略服务器通过Telnet(一种用于远程联接服务的标准协议)连接到宽带接入服务器，然后执行配置命令；

认证步骤(见图4)，认证时检查用户是否安全，并向宽带接入服务器返回用户的安全性信息的认证结果；

监控步骤(见图4)，根据认证结果，依安全策略对接入网络的用户的报文进行监控，并将监控信息反馈给安全策略服务器；

判断步骤(见图5)，安全策略服务器根据监控信息判断用户安全性，并将判断结果经由认证服务器；

处理步骤，认证服务器下发判断结果至宽带接入服务器中，宽带服务器根据判断结果拒绝非安全用户接入网络。

所述安全策略包括：检查项，用于指示宽带接入服务器检查的内容；触发条件，用于指示触发条件；操作，用于指示在满足触发条件时宽带接入服务器执行具体操作。

所述监控信息指满足触发条件时，宽带接入服务器所监控的用户的报文，操作指将该报文复制给安全策略服务器。

所述认证服务器具有用来表示用户是否安全的安全属性；而宽带接入服务器具有用来表示用户是否安全的用户安全属性。

请继续参照图4所示，认证步骤进一步包括：

步骤40，宽带接入服务器向认证服务器发送认证请求；

步骤41，认证服务器进行认证并读取该用户的安全属性值；

步骤42，将包含有安全属性值的认证结果反馈给宽带接入服务器。

所述监控步骤进一步包括：

步骤43，宽带接入服务器根据认证结果判断是否通过认证；

步骤44，如果通过认证，则根据认证结果中的安全属性值设置用户安全属性；如果没通过认证则拒绝该用户接入网络；

步骤45，根据用户安全属性值判断用户是否安全；

步骤46，如果不安全，则拒绝接入网络，如果安全接入网络并同时执行监控步骤。

步骤47，宽带接入服务器根据安全策略监控用户的报文，例如：按照“冲击波病毒安全策略项”的要求，当用户建立新的TCP连接时，BAS对于用户的TCP报文的首包进行检查，统计报文协议类型为TCP，目的端口号为135端口的报文；

步骤48，判断是否满足触发条件

步骤49，在满足触发条件时，将相应的报文作为监控信息复制给安全策略服务器，例如，当每秒的报文数操作3秒一个时，BAS发送报文的TCP头给安全策略服务器，如果不满足则判断用户是否下线，如果没有下线则返回步骤45继续监控。

请参照图5，所述判断步骤进一步包括：

步骤51，收到监控信息；

步骤52，判断用户是否安全，例如，当安全策略服务器收到BAS发过来的“目的端口号为135端口的报文”后，发现报文速率大于10pps，就认为用户中了冲击波病毒；

步骤53，若安全则不进行操作，若不安全则通知认证服务器设置用户的安全属性为“不安全”。

请参照图6、7所示，所述处理步骤进一步包括：

步骤60，收到安全策略服务器的设置请求；

步骤62，认证服务器根据安全策略服务器的安全性判断结果，设置安全属性值，

步骤63，当前安全属性值发送给宽带接入服务器；

步骤64，宽带接入服务器根据接收到的安全属性值设置用户安全属性值并拒绝非安全用户接入网络，非安全用户强制(并且也只允许)访问门户服务器；

步骤65，门户服务器为中毒的非安全用户提供杀毒工具以杀毒，对进行网络攻击的非安全用户警告其禁止进行网络攻击；

步骤66，对杀过毒的用户进行安全评估，

步骤67，若安全则通知认证服务器设置该用户的安全属性为安全；

转到步骤61，认证服务器收到门户服务器的设置请求，修改用户的安全属性为安全并下发给宽带接入服务器；宽带接入服务器修改用户安全属性为安全并转到监控步骤。

综上所述，通过安全策略服务器下发安全策略，然后在BAS上进行资源检查以监控，很容易判断用户是否中毒或者进行网络攻击，因此能够迅速应变；

将用户区分为安全用户和非安全用户，安全用户上网没有限制，而非安全用户只能访问门户服务器，从而避免非安全用户感染安全用户；

安全策略服务器上安全策略可以和杀毒厂商防治黑客厂商共同合作完成，因此能够保证迅速及时；

对于用户来说，不必总是关注最新的补丁和病毒信息，降低了对用户病毒知识的要求；

对于运行商来说，能够快速解决病毒和网络攻击造成的带宽不足问题，对于病毒问题，可以通过下载杀病毒进行收费获得新的利润增长点；对于黑客问题，能够得到黑客的相关信息，从而可以进行下一步的处理；

对于杀毒厂商防治黑客厂商来说，可以通过提供最新的信息进行收费，从而达到双赢的效果。

Claims (14)

1.一种网络安全防护系统，其特征在于，该防护系统包括：认证服务器，用于网络接入认证，根据含有安全性信息的认证结果决定用户是否可以接入网络；

安全策略服务器，用于配置安全策略并下发安全策略，且判断用户是安全用户还是非安全用户，并把判断结果发送至所述的认证服务器；

宽带接入服务器，用于用户网络接入，接收所述安全策略并根据所述的安全策略监控接入网络的用户的报文，将监控信息发送给所述的安全策略服务器以判断用户安全性，且所述的宽带接入服务器根据来自所述认证服务器的判断结果或认证结果中的安全性信息拒绝非安全用户接入网络。

2.如权利要求1所述的网络安全防护系统，其特征在于，所述的认证服务器具有表示用户是否安全的安全属性；而所述的宽带接入服务器具有表示用户是否安全的用户安全属性。

3.如权利要求2所述的网络安全防护系统，其特征在于，所述的认证服务器的安全属性值根据所述的安全策略服务器的安全性判断结果来设置，并将当前安全属性值发送给宽带接入服务器；宽带接入服务器的用户安全属性值根据接收到的安全属性值设置，并根据用户安全属性值拒绝非安全用户接入网。

4.如权利要求1所述的网络安全防护系统，其特征在于，所述安全策略包括：检查项，用于指示宽带接入服务器检查的内容；触发条件，用于指示触发条件；操作，用于指示在满足触发条件时宽带接入服务器执行具体操作。

5.如权利要求4所述的网络安全防护系统，其特征在于，所述操作指宽带接入服务器监控用户的报文并在满足触发条件时将相应报文作为监控信息复制给安全策略服务器，则安全策略服务器根据该报文来判断用户的安全性。

6.如权利要求1至5任意一项所述的网络安全防护系统，其特征在于，该系统还包括门户服务器，用于隔离非安全用户，且宽带接入服务器控制非安全用户访问该门户服务器。

7.一种网络安全防护方法，其特征在于，该方法包括以下步骤：

安全策略配置步骤，安全策略服务器下发安全策略至宽带接入服务器；

认证步骤，认证时检查用户是否安全，并向宽带接入服务器返回用户的安全性信息的认证结果；

监控步骤，根据认证结果，依安全策略对接入网络的用户的报文进行监控，并将监控信息反馈给安全策略服务器；

判断步骤，安全策略服务器根据监控信息判断用户安全性，并将判断结果经由认证服务器；

处理步骤，认证服务器下发判断结果至宽带接入服务器中，宽带接入服务器根据判断结果拒绝非安全用户接入网络。

8.如权利要求7所述的网络安全防护方法，其特征在于，所述安全策略包括：检查项，用于指示宽带接入服务器检查的内容；触发条件，用于指示触发条件；操作，用于指示在满足触发条件时宽带接入服务器执行具体操作。

9.如权利要求8所述的网络安全防护方法，其特征在于，监控信息指满足触发条件时，宽带接入服务器所监控的用户的报文，操作指将该报文复制给安全策略服务器。

10.如权利要求7至9任意一项所述的网络安全防护方法，其特征在于，认证服务器具有用来表示用户是否安全的安全属性；而宽带接入服务器具有用来表示用户是否安全的用户安全属性。

11.如权利要求10所述的网络安全防护方法，其特征在于，认证步骤进一步包括：宽带接入服务器向认证服务器发送认证请求；

认证服务器进行认证并读取该用户的安全属性值；

将包含有安全属性值的认证结果反馈给宽带接入服务器。

12.如权利要求11所述的网络安全防护方法，其特征在于，所述监控步骤进一步包括如下步骤：

宽带接入服务器根据认证结果判断是否通过认证；

如果通过认证，则根据认证结果中的安全属性值设置用户安全属性根据用户安全属性值判断用户是否安全；

如果不安全，则拒绝接入网络，如果安全则接入网络并同时执行监控步骤。

13.如权利要求12所述的网络安全防护方法，其特征在于，所述监控步骤进一步包括：

宽带接入服务器根据安全策略监控用户的报文；

在满足触发条件时，将相应的报文作为监控信息复制给安全策略服务器。

14.如权利要求13所述的网络安全防护方法，其特征在于，所述处理步骤进一步包括：

认证服务器根据安全策略服务器的安全性判断结果，设置安全属性值，并将当前安全属性值发送给宽带接入服务器；

宽带接入服务器根据接收到的安全属性值设置用户安全属性值并拒绝非安全用户接入网络；

强制非安全用户访问门户服务器；

门户服务器为中毒的非安全用户提供杀毒工具以杀毒，对进行网络攻击的非安全用户警告其禁止进行网络攻击；

对杀过毒的用户进行安全评估，若安全则通知认证服务器设置该用户的安全属性为安全；

认证服务器修改用户的安全属性为安全并下发给宽带接入服务器；

宽带接入服务器修改用户安全属性为安全并转到监控步骤。

Images