CN101309214A - 一种控制网络资源访问的方法及装置 - Google Patents

Abstract

一种控制网络资源访问的方法及装置，具体包括：匹配用户发送的URL请求所属的类别与所述用户所在的用户组的策略，所述策略用于描述URL分类对应的处理操作；然后执行匹配成功的策略对应的处理动作。由于本发明实施例中制定关联了URL请求分类、用户分类的策略对网络资源进行访问控制，而无需针对具体的URL请求和具体的用户制定策略，从而降低了对所述策略的维护难度，提高了网络资源访问过滤的速度。

Description

一种控制网络资源访问的方法及装置

技术领域

本发明涉及网络通信技术领域，尤其涉及一种控制网络资源访问的方法及装置。

背景技术

随着网络技术的发展，人们对于网络可访问资源的控制需求也越来越强烈。尤其对于企业而言，如果企业内的用户不受控制地下载资料、在线购物、聊天等，不仅会降低企业的生产效率，而且会因为病毒入侵、黑客攻击给企业带来损失。

控制网络可访问资源的方法可以通过制定各种策略控制访问的URL(Uniform Resource Locator，统一资源定位符)实现。现有技术中的一种控制网络可访问资源的方法从用户的角度出发，定义一个用户许可集合，所述用户许可集合规定了网络内容与用户之间的关系，即为每个用户关联一组链接过滤器，当收到用户发送的URL请求时，将所述URL请求与该用户相关联的链接过滤器进行匹配，并按照匹配的策略执行相应的操作，例如，禁止、允许等。所述策略中描述了URL请求与用户及时间对象之间的关系，所述时间对象指URL过滤生效的时间。

发明人在实现本发明的过程中，发现现有技术中至少存在如下问题：

现有技术中的链接过滤器中保存的是具体的URL请求与用户及时间对象的关系，即链接过滤器中的策略用于描述具体的URL请求、用户及时间对象对应的处理动作。当有大量URL请求时，就会大量增加相应的策略，从而增加链接过滤器的维护难度，而且会占用大量的存储空间，在进行策略匹配时也会降低过滤速度，影响工作效率。

发明内容

本发明的实施例提供了一种控制网络资源访问的方法及装置，从而降低对网络资源控制策略的维护难度，提高网络资源访问过滤的速度。

一种控制网络资源访问的方法，包括：

匹配用户发送的统一资源定位符URL请求所属的类别与所述用户所在用户组的策略，所述策略用于描述URL分类对应的处理动作；

执行匹配成功的策略对应的处理动作。

一种控制网络资源访问的装置，包括：

策略匹配模块，用于将用户发送的URL请求所属的类别与所述用户所在的用户组下的策略逐条进行匹配，所述策略用于描述URL分类对应的处理动作；

动作执行模块，用于根据所述策略执行策略匹配模块的匹配结果。

由上述本发明的实施例提供的技术方案可以看出，由于本发明实施例中采用关联了URL请求分类、用户分类的策略对网络资源的访问进行控制，而无需针对具体的URL请求或具体的用户制定策略，从而提高了控制网络资源访问的速度，节省存储空间，并降低了对访问控制策略的维护难度。

附图说明

图1为本发明实施例提供的查找URL请求所属的类别的处理过程示意图；

图2为本发明实施例提供的查找URL请求所属的类别的另一种处理过程示意图；

图3为本发明实施例提供的查找URL请求所属的类别的第三种处理过程示意图；

图4为本发明实施例提供的处理过程示意图；

图5为本发明实施例提供的装置的结构示意图。

具体实施方式

本发明实施例中，将用户发送的URL请求所属的类别与所述用户所在的用户组下的策略逐条进行匹配，所述策略用于描述URL分类对应的处理动作；在实际应用过程中为每个处理动作分配相应的优先级，当有多条匹配的策略时，按优先级执行匹配成功的策略对应的处理动作，所述处理动作具体可以是“通过”、“禁止”、“警告”等等。其中，所述用户可以属于多个用户组。

本发明实施例中，在所述将用户发送的URL请求所属的类别与所述用户所在的用户组下的策略逐条进行匹配的处理过程之前，还包括查找所述用户发送的URL请求所属的类别的步骤，具体处理过程可以是以下任意一种实现方式：

(一)在预定的分类集合中查找所述URL请求所属的类别。其中，可以在实际应用过程中按照URL请求的性质或根据访问控制的需要配置所述预定的分类集合，例如新闻类、体育类、文学类，或者娱乐类、工作类、默认URL分类等等自定义分类模式，如果在预定的分类集合中定义了默认URL分类，则所述URL请求在不属于任何一个具体的自定义分类的情况下，可将其归入默认URL分类中；如果自定义分类集合中未定义默认URL分类，则可能出现未找到所述URL请求所属的类别的情况，此时，可以在已保存的URL分类结果集合中查找URL请求所属的类别，当查找仍然不成功(所述URL分类结果集合中未保存所述URL请求所属的类别)时，在公共服务器端获取URL请求所属的类别，所述URL分类结果集合中保存的是从公共服务器端获取URL所述的类别的历史查询记录。

(二)在保存的URL分类结果集合中查找所述URL请求所属的类别，如果查找不成功，在公共服务器端获取URL所属的类别。其中，URL分类结果集合中保存的是从公共服务器端获取URL所述的类别的历史查询记录。

(三)从公共服务器端获取URL所属的类别。例如，通过网络上通用的网页过滤软件查询某一URL请求所述的类别。

为了加快下一次查找同一URL请求所属类别的处理速度，上述(一)、(二)、(三)的处理过程中，如果在公共服务器端获取URL请求所属类别，还可以将所述URL请求所属类别保存在URL分类结果集合中。

上述本发明实施例提供的技术方案中，所述策略还可以是关联时间对象的策略，即所述策略还可以用于描述URL分类和时间对象对应的处理动作，相应的匹配策略过程可以是，所述将用户发送的URL请求所属的类别与所述用户所在的用户组下的策略逐条进行匹配；将当前时间与所述策略进行匹配。其中，所述时间对象是指所述策略生效的时间，可以是特定的某一天，或者所有的工作时间或非工作时间，或者每天中的某个时间段等等。

下面将结合附图对本发明实施例在实际应用过程中的具体实现方式进行详细的说明。

应用实施例一

在如图1所示的查找URL请求所属的类别的一种处理过程中，具体实现方式可以包括如下步骤：

步骤11、获取URL请求，执行步骤12；

步骤12、判断自定义分类查询的工作方式是否启用，如果是，执行步骤13，否则，执行步骤15；

步骤13、在自定义分类集合中查找所述URL请求所属类别，所述自定义分类集合由根据按照URL请求的性质或者根据访问控制的需要进行配置，例如在所述自定义分类集合中配置新闻类、体育类、文学类，或者娱乐类、工作类等等自定义分类模式，另外，操作人员还可以在实际应用过程中随时修改所述自定义分类集合的配置，例如增加、删除或修改类别，或者增加新的URL请求等等；

步骤14、判断查找是否成功，即在所述自定义分类集合中是否记录了所述URL请求的类别，如果是，执行步骤18，否则，执行步骤15；

步骤15、在URL分类结果集合中查找所述URL请求所属类别，执行步骤16，所述URL分类结果集合中保存的是从公共服务器端获取URL所述的类别的历史查询记录；

步骤16、判断查找是否成功，即所述URL分类结果集合中是否记录了所述URL请求的类别，如果是，执行步骤18，否则，执行步骤17；

步骤17、向公共服务器发送分类查询报文；

步骤18、得到所述URL请求所属类别的查询结果，其中，所述查询结果可以是从自定义分类集合中获取的查询结果，或者是从URL分类结果集合中获取的查询结果，或者是公共服务器根据分类查询报文反馈的查询结果。

如果向公共服务器发送分类查询报文，公共服务器根据所述分类查询报文查找所述URL请求所属的类别(当未查找到所述URL请求对应的具体分类时，则公共服务器返回的查询结果为默认URL分类)，并以报文的形式返回查询结果，如果返回报文超时，则将所述URL请求归为默认URL分类。

在上述处理过程中，为了加快下一次查找同一URL请求所属类别的处理速度，当从公共服务器端获取查询结果后，还可以将所述查询结果保存到URL分类结果集合中。

由上述本发明的应用实施例一提供的技术方案可以看出，由于采用自定义分类查找、URL分类结果集合查找和公共服务器查找相结合的方式查询URL请求所属类别，因此实现了URL请求的精细化分类，进而可以按照用户的需求进行精细的访问控制。

应用实施例二

在该应用实施例中，查找URL请求所属的类别的另外一种处理过程如图2所示，具体实现方式包括如下步骤：

步骤21、获取URL请求；

步骤22、在自定义分类集合中查找所述URL请求所属的类别，并返回查询结果，所述自定义分类集合由操作人员根据按照URL请求的性质或者根据访问控制的需要进行配置，例如在所述自定义分类集合中配置新闻类、体育类、文学类，或者娱乐类、工作类等等自定义分类模式，所述自定义分类集合中定义了默认URL分类，另外，操作人员还可以在实际应用过程中随时修改所述自定义分类集合的配置，例如增加、删除或修改类别，或者增加新的URL请求等等；

步骤23、如果所述自定义分类集合中没有所属URL请求所属类别的记录，则返回所述URL请求的类别的查询结果为默认URL分类。

由上述处理过程可知，本应用实施例二通过自定义分类模式查找URL请求所属的类别。在所述自定义分类模式中规定了默认URL分类的分类结果，当需要查询的URL请求不属于自定义分类集合规定的其他分类结果(例如新闻类、体育类等)时，则认为该URL请求所属的类别为默认URL分类。由于采用所述查询URL请求所述类别的方法，因此实现了URL请求的精细化分类，进而可以按照用户的需求进行精细的访问控制。

应用实施例三

在该应用实施例中，查找URL请求所属的类别的第三种处理过程如图3所示，具体实现方式包括如下步骤：

步骤31、获取URL请求，执行步骤31；

步骤32、在保存的URL分类结果集合中查找所述URL请求所述的类别，执行步骤33，所述URL分类结果集合中保存的是从公共服务器端获取URL所述的类别的历史查询记录；

步骤33、判断查找是否成功，即所述URL分类结果集合中是否记录了所述URL请求的类别，如果是，执行步骤35，否则，执行步骤34；

步骤34、向公共服务器发送分类查询报文；

步骤35、得到所述URL请求所属类别的查询结果，如果所述查询结果是从URL分类结果集合中获取的查询结果，URL请求分类过程结束，如果是公共服务器根据所述分类查询报文反馈的查询结果，则执行步骤36；

步骤36、将从公共服务器端获取的查询结果保存在URL分类结果集合中。

在上述处理过程中，如果向公共服务器发送分类查询报文，则公共服务器根据所述分类查询报文查找所述URL请求所属的类别(当未查找到所述URL请求对应的具体分类时，则公共服务器返回的查询结果为默认URL分类)，并以报文的形式返回查询结果，如果返回报文超时，则将所述URL请求归为默认URL分类。由于采用所述查询URL请求所述类别的方法，因此实现了URL请求的精细化分类，进而可以按照用户的需求进行精细的访问控制。

应用实施例四

如图4所示的一种控制网络资源访问的处理过程，其具体实现方式包括如下步骤：

步骤41、查询用户所在的用户组，并返回查询结果，执行步骤42，其中，操作人员预先根据用户类型、工作地点、所属部门及工作级别等信息定义若干用户组，例如员工组、经理组、技术组、行政组等等，所述用户可以属于多个用户组，例如用户A既可以属于员工组，同时还属于技术组，另外，还需要定义一个默认用户分类组，当所述用户不属于任何一个具体的用户组时，认为该用户属于默认用户分类组；

步骤42、调用所述用户所在的用户组下的一条策略，执行步骤43，所述策略用于描述URL分类及时间对象对应的处理动作，所述时间对象是指所述策略生效的时间，可以是特定的某一天，或者所有的工作时间或非工作时间，或者每天中的某个时间段等等，所述处理动作可以是“通过”、“禁止”、“警告”等等，另外，所述每个处理动作对应一个优先级别；

步骤43、判断所述用户发送的URL请求所属的类别与所述策略规定的URL分类是否匹配，如果是，执行步骤44，否则，执行骤46，其中，所述用户发送的URL请求所属的类别可以是根据上述各应用实施例的处理方法获取的查询结果；

步骤44、判断当前时间与所述策略规定的时间对象是否匹配，如果是，执行步骤45，否则，执行步骤46，例如，当前时间为周一上午10点，所述策略规定的时间对象为周一～周五的上午9点至下午6点，则认为当前时间与所述策略规定的时间对象匹配；

步骤45、记录该条策略的处理动作，执行步骤46；

步骤46、判断所述用户所在的用户组下是否还有未被调用的策略，如果是，返回步骤42，否则，执行步骤47；

步骤47、返回记录的处理动作中优先级最高的一项，如果没有记录的处理动作(即用户所在的用户组下的所有策略均不匹配)，返回默认处理动作，所述默认处理动作是操作人员指定的处理动作，执行步骤48；

步骤48、执行返回的处理动作。

其中，针对步骤41，所述用户组中具体可以对应多个IP地址，查找用户所在用户组的具体操作过程可以是根据用户发送的URL请求获取所述用户的IP地址，然后将所述IP地址与各个用户组下的IP地址进行匹配，匹配成功即表明用户属于该用户组。

应该指出的是，上述多个本发明应用实施例中提供的处理过程的步骤顺序不应该作为对本发明实现方式的限定。

由上述本发明的应用实施例四提供的技术方案可以看出，由于本发明实施例中采用关联了URL请求分类、用户分类的策略对网络资源的访问进行控制，而无需针对具体的URL请求或具体的用户制定策略，从而提高了控制网络资源访问的速度，节省存储空间，并降低了对访问控制策略的维护难度。

实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

本发明实施例还提供一种控制网络资源访问的装置，其结构如图5所示，具体实现结构可以包括：

策略匹配模块，用于将用户发送的URL请求所属的类别与所述用户所在的用户组下的策略逐条进行匹配，所述策略用于描述URL分类对应的处理动作；

动作执行模块，用于根据所述策略执行策略匹配模块的匹配结果。

其中，所述处理动作具体可以是“通过”、“禁止”、“警告”等等，在实际应用过程中为每个处理动作分配相应的优先级，当存在多条匹配的策略时，所述动作执行模块可以按照优先级执行策略匹配模块的匹配结果。

所述用户所在的用户组可以是预先按照用户类型、工作地点、所属部门及工作级别等等定义多个用户组，当需要对网络资源访问进行控制的时候，查找用户所在的用户组，所述用户可以属于多个用户组。

上述本发明实施例提供的装置还可以包括以下任意一种模块：

第一URL分类模块，用于在预定的分类集合中查找所述URL请求所属的类别，得到所述URL请求所属类别的分类结果，其中，可以在实际应用过程中按照URL请求的性质或根据访问控制的需要配置所述预定的分类集合，例如新闻类、体育类、文学类，或者娱乐类、工作类等等自定义分类模式，如果所述预定的分类集合中未定义默认URL分类，则可能出现未查找到所述URL请求所属的类别的情况，此时，在保存的URL分类结果集合中查找所述URL请求所属的类别，得到所述URL请求所属类别的分类结果；如果仍未查找到所述的URL请求所属的类别则向公共服务器发送请求，在公共服务器端获取URL请求所属的类别得到所述URL请求所属类别的结果；所述URL分类结果集合中保存的是从公共服务器端获取URL所述的类别的历史查询记录，

第二URL分类模块，用于在保存的URL分类结果集合中查找所述URL请求所属的类别，如果查找不成功，在公共服务器端获取URL所属的类别；

第三URL分类模块，用于从公共服务器端获取URL请求所属的类别。例如，通过网络上通用的Surf Control(一种网页过滤软件)查询某一URL请求所述的类别，具体处理过程可以是所述URL分类查询模块向公共服务器发送分类查询报文，所述公共服务器根据收到的分类查询报文查找所述U RL请求所属的类别(当未查找到所述URL请求对应的具体分类时，则公共服务器返回的查询结果为默认URL分类)，并以报文形式反馈查询结果，如果反馈报文延时，则URL分类查询模块认为所述URL请求属于默认URL分类。

为了加快下一次查找同一URL请求所属类别的处理速度，本发明实施例提供的第一URL分类模块或第二URL分类模块或第三URL分类模块中还可以包括查询结果记录模块，用于将获取的所述URL请求所属类别保存在所述URL分类结果集合中。

另外，上述本发明实施例的装置中，所述策略匹配模块还可以包括策略匹配子模块，所述策略匹配子模块用于将用户发送的URL请求所属类别和当前时间与所述用户所在的用户组下的策略逐条进行匹配，相应的，所述策略是关联了时间对象的策略，即所述策略用于描述URL分类和时间对象对应的处理动作。其中，所述时间对象是指所述策略生效的时间，可以是特定的某一天，或者所有的工作时间或非工作时间，或者每天中的某个时间段等等。

上述本发明实施例可以在局域网的安全网关处实现，例如企业在其安全网关上部署本发明实施例提供的处理方案，以控制企业员工对网络资源的访问；还可以有其他实现方式，例如在运营商提供的服务器中应用本发明实施例提供的技术方案等等。

上述本发明实施例中的URL不仅可以是HTTP(Hypertext TransferProtocol，超文本传输协议)协议的标识，还可以是电子邮件发件人邮件地址活FTP(File Transfer Protocal，文件传输协议)协议获取的文件服务标识，用于反垃圾邮件控制和网络文件获取服务。

由上述本发明实施例提供的技术方案可以看出，由于所述装置采用自定义分类查找、URL分类结果集合查找、公共服务器查找，或所述三种查找方式相结合的方式查询URL请求所属类别，因此实现了URL请求的精细化分类，进而可以按照用户的需求进行精细的访问控制。另外，由于本发明实施例中采用关联了URL请求分类、用户分类的策略对网络资源的访问进行控制，而无需针对具体的URL请求或具体的用户制定策略，从而提高了控制网络资源访问的速度，节省存储空间，并降低了对访问控制策略的维护难度。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (14)

1、一种控制网络资源访问的方法，其特征在于，包括：

匹配用户发送的统一资源定位符URL请求所属的类别与所述用户所在用户组的策略，所述策略用于描述URL分类对应的处理操作；

执行匹配成功的策略对应的处理动作。

2、根据权利要求1所述的方法，其特征在于，如果有多条策略匹配成功，则按优先级执行匹配成功的策略对应的处理动作。

3、根据权利要求2所述的方法，其特征在于，在匹配用户发送的URL请求所属的类别与所述用户所在用户组的策略之前还包括：

确定用户发送的URL请求所属的类别。

4、根据权利要求3所述的方法，其特征在于，所述确定用户发送的URL请求所属的类别为：

在预定的分类集合中查找所述的URL请求所属的类别，得到所述URL请求所属类别的结果；

如果在预定的分类集合中无所述的URL请求所属的类别则在已保存的URL分类结果集合中查找URL请求所属的类别，得到所述URL请求所属类别的结果；

如果仍未查找到所述的URL请求所属的类别则向公共服务器发送请求，在公共服务器端获取URL所属的类别得到所述URL请求所属类别的结果。

5、根据权利要求3所述的方法，其特征在于，所述确定用户发送的URL请求所属的类别为：在已保存的URL分类结果集合中查找所述URL请求所属的类别，如果查找不成功，在公共服务器端获取URL所属的类别；

或者，

从公共服务器端获取URL所属的类别。

6、根据权利要求4或5所述的方法，其特征在于，所述在公共服务器端获取URL请求所属的类别的过程中，还包括：

将所述URL请求所属的类别保存在URL分类结果集合中。

7、根据权利要求1～5任意一项所述的方法，其特征在于，所述用户属于一个或者多个用户组。

8、根据权利要求1～5任意一项所述的方法，其特征在于，

所述策略用于描述URL分类和时间对象对应的处理动作，所述将用户发送的URL请求所属的类别与所述用户所在的用户组下的策略逐条进行匹配；

将当前时间与所述策略进行匹配。

9、一种控制网络资源访问的装置，其特征在于，包括：

策略匹配模块，用于将用户发送的URL请求所属的类别与所述用户所在的用户组下的策略逐条进行匹配，所述策略用于描述URL分类对应的处理动作；

动作执行模块，用于根据所述策略执行策略匹配模块的匹配结果。

10、根据权利要求9所述的装置，其特征在于，如果策略匹配模块有多条匹配结果，则所述动作执行模块根据所述策略按照优先级执行策略匹配模块的匹配结果。

11、根据权利要求10所述的装置，其特征在于，该装置还包括：

第一URL分类模块，用于在预定的分类集合中查找所述URL请求所属的类别，得到所述URL请求所属类别的结果；如果在预定的分类集合中无所述URL请求所属的类别则已保存的URL分类结果集合中查找URL请求所属的类别，得到所述URL请求所属类别的结果；如果仍未查找到所述的URL请求所属的类别则向公共服务器发送请求，在公共服务器端获取URL请求所属的类别得到所述URL请求所属类别的结果。

12、根据权利要求10所述的装置，其特征在于，该装置还包括：

第二URL分类模块，用于在已保存的URL分类结果集合中查找所述URL请求所属的类别，如果查找不成功，在公共服务器端获取URL所属的类别；

第三URL分类模块，用于从公共服务器端获取URL请求所属的类别。

13、根据权利要求11或12所述的装置，其特征在于，所述第一URL分类模块或第二URL分类模块或第三URL分类模块还包括查询结果记录模块，用于将获取的所述URL请求所属的类别保存在所述URL分类结果集合中。

14、根据权利要求9～12任意一项所述的装置，其特征在于，所述策略匹配模块还包括策略匹配子模块，所述策略匹配子模块用于将用户发送的URL请求所属类别和当前时间与所述用户所在的用户组下的策略逐条进行匹配，所述策略用于描述URL分类和时间对象对应的处理动作。

Images