CN101567888A - 网络反馈主机安全防护方法 - Google Patents

Abstract

本发明公开了一种网络反馈主机安全防护方法，主要由硬件设备和PC终端软件组成；具体过程为，首先进行策略配置与下达，然后对网络防护硬件初始化，获得可信域名对应的可信IP；再基于前两步形成的配置文件，实施监控网络连接，实现访问控制；接着检测所有流经系统与可信地址之间的数据包，对其进行深度解析，基于设定规则进行包过滤；再接着，对网络行为审计；最后，完善策略配置，更新配置文件；本方法在计算机终端遭到木马、病毒等恶意攻击的情况下，能在一定程度上保证计算机终端信息的安全性，并能高效灵活的策略配置和审计功能，使用户能够及时全面的管理配置网络安全防护系统，并掌握计算机终端所有网络连接和行为。

Description

网络反馈主机安全防护方法

所属技术领域

本发明涉及一种网络反馈主机安全防护方法，属于网络信息安全技术领域。

背景技术

Internet的迅速发展在提高了工作效率的同时，也带来了一个日益严峻的问题-一网络安全。人们研究各种不同的网络安全防护手段保护计算机和网络上的信息资源，抵挡黑客的各种攻击活动。防火墙技术是建立在现代通信网络技术和信息安全技术基础上的应用性安全防护技术，越来越多地应用于专用网络与公用网络的互连环境之中，尤以Internet网络为最甚。Internet的迅猛发展，使得防火墙产品在短短的几年内异军突起，很快形成了一个产业。

防火墙是指设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据安全策略控制(允许、拒绝、监测)出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。在逻辑上，防火墙是一个分离器、限制器、分析器，有效地监控内部网络和Internet之间的任何活动，保证了内部网络的安全。防火墙深层策略的制定与安全事件的响应，以及如何防止各种防火墙突破技术是目前防护墙研究的重点。

传统的防火墙通常是基于访问控制列表(ACL)进行包过滤的。随着计算机技术的发展，新的防火墙技术不断涌现，如电路级网关技术、应用网关技术和动态包过滤技术等。新一代防火墙系统不仅应该能更好地保护防火墙后面内部网络的安全，而且应该具有更为优良的整体性能。

现有防火墙安全防护的新技术有：

一种实现包过滤的防火墙及其实现包过滤的方法，该防火墙包括同步动态随机存储器，网络处理器芯片，静态随机存储器，缓存器和引导只读存储器；该实现包过滤的方法使用所述防火墙包括以下步骤，由微引擎完成以下操作：接收处理，规则处理，发送处理；由strongarm核完成控制处理。

一种防火墙与入侵检测系统联动的方法，入侵检测系统检测到网络中的入侵行为后，与防火墙建立联动的安全通信信道；入侵检测系统通过安全通信信道向防火墙发送联动内容；防火墙根据收到的联动内容，生成相应的安全规则，阻断攻击行为。

一种计算机网络防火墙，其基本的控制方法是：以状态包过滤的形态实现对应用层的保护，通过内嵌的专门实现的TCP协议栈，在状态检测包过滤的基础上实现了透明的应用信息过滤机制，防火墙的标准设计，具备完善的身份鉴别、访问控制和审计能力，同时，系统提供了丰富的GUI方式的管理和监控工具，能够方便的对系统进行安全策略配置、用户管理、实时监控、审计查询、流量管理等操作，为保证系统的安全运行，系统能够有效的防范多种DOS的攻击手段，并对攻击事件进行报警。

这些防火墙技术可以分为两种：基于主机的防火墙技术和基于网络的防火墙技术。主机防火墙主要的防护对象是网络中的服务器和桌面机，主要采用软件形式进行防护，实时监控系统运行的各个进程和软件，保证系统不被病毒感染。主机防火墙的优点在于：能够针对主机上运行的具体应用和对外提供的服务设定针对性很强的安全策略，监控主机上各进程、开放服务的网络连接和操作，对非法的操作、连接和访问给予报警和阻断。不足之处在于，如果病毒等恶意代码的采用比主机防火墙监控技术更深层次的操作系统内核机制，主机防火墙就不能起到很好的监控效果。

而网络防火墙位于内部网与外部网以及内部各子网之间，通过包过滤、应用代理、状态包过滤等方法，对所有进出网络的数据包进行检测。网络防火墙能够截取所有通过的网络数据包进行检测和处理，但受到防火墙规则的限制，对某些采用欺骗、伪装等技术进行网络连接和数据传输的病毒不能有效的检测。

发明内容

本发明的目的是提供一种网络反馈主机安全防护方法，在计算机系统遭受入侵或感染病毒的情况下，能够在一定程度上防止病毒、木马等恶意的对外连接，无法窃取本地信息。本系统提供方便的管理接口，灵活配置安全策略和访问权限，提高日志和审计功能。

该系统由硬件设备和PC终端软件组成，可以应用在个人或单位等各种网络环境中。主要内容为主机监控软件对系统的进程、文件、应用软件、网络连接等各种资源进行监控，网络硬件设备检测并控制内外网之间的连接，主机监控与网络检测有机的交叉融合，从而更加有效的保护计算机终端上信息的安全性。

计算机网络安全防护系统的总体结构由网络安全防护硬件设备、用户PC机、管理和审计服务器三部分组成。网络防护系统位于PC机与Internet之间，隔离内外网络，实现对内部网络和外部网络之间的网络连接的访问控制。PC机是用户连接Internet网络访问的终端设备，PC机上安装有主机防护软件，监控系统中进程、文件、注册表、应用程序等各种资源的正常运行。主机防护软件与网络安全防护硬件能够进行信息的交互，更新网络防护规则，并对用户进行安全事件告警，由用户选择处理策略。管理和审计服务器负责网络安全防护硬件设备的配置和管理，用户进行Internet连接和行为及发生安全事件的审计工作。

工作步骤具体如下：

步骤一：策略配置与下达

在审计控制端装有管理软件，方便管理员对内部网络访问外网的权限进行配置。管理员可对不同的用户登陆ID配置不同的权限，方便进行分别管理。控制台配置防护规则文件，其中网址的访问控制列表是基于白名单的，访问控制列表中含有可信域名或可信IP地址，将该配置文件下达到网络防护硬件。

步骤二：网络防护硬件初始化。

网络防护硬件在接受到配置文件后，对其中用户配置的可信IP地址添加到访问控制列表中。对其中的可信域名，通过发送DNS数据包，进行可信域名的DNS解析，获得可信域名对应的可信IP，并把IP添加到访问控制列表中。

步骤三：监控网络连接，基于步骤一，二中的形成的配置文件，实现访问控制

(一)若系统中发现有E-mail的收发，则捕获邮件数据包，根据相关邮件协议对其进行深度解析。将解析出的发信人邮件的地址，收信人的邮件地址，是否含有附件以及附件文件的格式等相关信息，由网络硬件防护设备反馈给用户主机，并向用户主机发送核实信息以及确认是否收发的命令，系统根据用户的反馈命令，决定是否允许该E-mail的收发。

这一处理机制，在用户主机感染木马、病毒后，能有效的遏制木马、病毒窃取主机的信息。

(二)若系统中发现DNS数据包，则捕获DNS数据包，对其进行深度解析。将解析出的域名与配置文件的可信域名匹配。

如果匹配成功，则允许该DNS数据包的通过。

如果匹配不成功，网络安全防护硬件将解析DNS获得的目的地址域名信息反馈给用户主机，询问用户是否访问。若用户回馈否，则该目的地址禁止访问，禁止该DNS数据包的通过。若用户回馈是，则将该目的地址的IP和域名添加到配置文件的临时白名单列表，即该IP相对步骤二中的可信IP为不完全可信IP，系统将其视为临时的白名单，允许用户按照审计控制台形成的配置文件中已设定的访问控制策略对其进行受限访问。

(三)对于流经的其他数据包，判断是否是流经于系统与允许访问的目的地址(包含配置文件中的白名单和临时白名单)之间的数据交流，如果是，按照步骤四进行处理；如果不是，则禁止其通过。

步骤四：检测所有流经系统与可信地址之间的数据包，对其进行深度解析，基于设定规则进行包过滤。

对于流经系统与该目的地址之间的数据包，基于配制文件中设定的过滤规则进行处理，即根据数据包的源地址、目的地址、协议类型，源端口号、目的端口号，数据包头中的各种标志位以及数据包的流向等因素来确定是否允许数据包通过。

另外，解析数据包中的应用层协议，对于应用协议中控制连接的指令包和由外网发向内网的数据包允许通过，而对于从内网发往外网的数据包进行控制，默认为拒绝发送状态，但可根据用户的配置策略有选择的转发。

步骤五：网络行为审计

网络防护硬件实时统计用户的网络行为如使用网络的用户，用户使用网络的时间，用户访问的网站，邮件发送接收情况，进出网络的连接以及对数据包应用层的分析等审计信息，形成相关的日志，并将日志发送到审计控制端。

步骤六：完善策略配置，更新配置文件

审计控制端根据相关日志和审计信息，更改用户的访问权限，添加或删除访问控制列表中的名单，完善策略配置，更新配置文件，并把新的配置文件下达到网络防护硬件。

有益效果：

1、网络防护与主机防护的有机结合。本系统采用网络安全硬件设备与主机防护软件结合的方式，网络防护和主机防护都不再孤立的存在，而是相互交叉融合。

2、在计算机终端遭到木马、病毒等恶意攻击的情况下，能在一定程度上保证计算机终端信息的安全性，使得木马、病毒无法连接远程网络和窃取信息。

3、高效灵活的策略配置和审计功能，使用户能够及时全面的管理配置网络安全防护系统，并掌握计算机终端所有网络连接和行为。

附图说明

图1是网络反馈主机安全防护方法的功能模块图

图2是网络反馈主机安全防护方法工作中对邮件处理的流程图

图3是网络反馈主机安全防护方法中除E-mail外的目的地址访问控制处理工作流程图

图4是网络反馈主机安全防护方法网络安全防护硬件整体结构图

图5是网络反馈主机安全防护方法的网络硬件设备接口示意图

具体实施方式

现结合附图说明对发明内容进行进一步解释说明。

该系统由硬件设备和PC终端软件组成，可以应用在个人或单位等各种网络环境中。主要内容为主机监控软件对系统的进程、文件、应用软件、网络连接等各种资源进行监控，网络硬件设备检测并控制内外网之间的连接，主机监控与网络检测有机的交叉融合，从而更加有效的保护计算机终端上信息的安全性。

计算机网络安全防护系统的总体结构由网络安全防护硬件设备、用户PC机、管理和审计服务器三部分组成。网络防护系统位于PC机与Internet之间，隔离内外网络，实现对内部网络和外部网络之间的网络连接的访问控制。PC机是用户连接Internet网络访问的终端设备，PC机上安装有主机防护软件，监控系统中进程、文件、注册表、应用程序等各种资源的正常运行。主机防护软件与网络安全防护硬件能够进行信息的交互，更新网络防护规则，并对用户进行安全事件告警，由用户选择处理策略。管理和审计服务器负责网络安全防护硬件设备的配置和管理，用户进行Internet连接和行为及发生安全事件的审计工作。

网络安全防护硬件主要用来隔离主机与Internet，对所有进出的数据包进行检测，判定是否允许对目的地址的访问，阻断不符合安全规则的数据，并完成与主机联动、审计等功能。其功能结构如图4所示，主要包括了：CPU、SRAM、SDRAM、Flash、外部接口等。网络安全防护硬件结构图如图三所示。

网络防护系统网络接口如图5所示。网络安全防护硬件有三个以太网接口和一个USB接口。其中三个以太网接口分别连接内部主机、外部网络和审计控制。USB接口用于和内部主机的确认交互及信息反馈。

参照系统结构图中的连接方式，将计算机终端通过网络硬件防护设备连接到Internet。网络硬件防护设备还需连接审计管理服务器。

管理员在审计管理服务器上配置网络防护规则策略，下发至网络硬件防护设备，网络防护硬件在接收到配置文件后，根据网址的访问控制列表中的可信域名，通过发送DNS数据包，然后解析相应的DNS应答数据包，获得可信域名对应的可信IP，并把IP添加到配置文件的访问控制列表中，然后系统就会按照配置文件的配置规则进行安全防护。

计算机网络安全防护系统的功能模块如图1所示。整个系统含有五个功能模块，分别为：消息通信模块，网络应用访问控制模块，数据包过滤模块，审计模块，策略配置模块。

消息通信模块：实现用户主机与网络防护硬件，以及网络防护硬件与审计控制端的信息交互。确保用户主机与网络防护硬件之间及时通信，保证审计控制端的配置文件安全准确下达到网络防护硬件。

网络应用访问控制模块：一方面，控制邮件的收发，防止感染主机的病毒，木马窃取用户信息。另一方面，基于配置文件的白名单，对位于访问列表中的可信目的地址允许用户直接访问；对于不在访问列表中的目的地址，通过询问用户的方式，以及根据配置文件中设定的控制访问策略来判定是允许对目的地址的受限访问还是禁止对目的地址的访问。

数据包过滤模块：对于流经系统的所有数据包，基于配制文件中设定的过滤规则进行处理，即根据数据包的源地址、目的地址、协议类型，源端口号、目的端口号，数据包头中的各种标志位以及数据包的流向等因素来确定是否允许数据包通过。

审计模块：统计用户的网络行为如使用网络的用户，用户使用网络的时间，用户访问的网站，邮件发送接收情况以及处理数据包的相关信息等审计信息，并形成相关的日志。

策略配置模块：根据相关日志和审计信息，更改用户的访问权限，添加或删除访问控制列表中的名单，完善策略配置，更新配置文件。

系统的主要功能描述

(1)控制主机的对外连接

网络防护系统可以精确控制内网主机对外的连接行为。网络防护系统可根据网络管理员设置的网站访问权限，对内部网络实施集中的安全管理。确保一个单位内的网络与因特网的通信符合该单位的安全策略。

即使在感染在病毒与木马后，也可以防止它们与外部通信，从而保证内部信息的机密性。只有在访问权限内的数据包才能通过，阻止病毒与木马等对外连接，保证内部网络的安全与可控性。

(2)邮件安全防护

网络防护系统对邮件进行安全检测，并发送反馈信息至客户端进行确认交互。对由内部往外部发送的邮件，如果检测到存在安全隐患，则反馈提醒信息来防止信息窃取。只有用户对所发送邮件内容、附件及收信人等信息确认后，邮件才能被发送出去。即使在感染病毒或木马后，也可以防止内部机密信息外泄。

(3)对外部网络的防护

从外部网络访问内部网络的数据包，要进行包匹配检查，只有符合访问规则的数据包才能通过网络防护系统。对不安全的数据包进行过滤，隔离内外网络，保证内部网络不受外部网络的攻击。

(4)日志与审计功能

提供了可选的审计功能，为管理人员提供下列信息：谁在使用网络，在网络上做什么，什么时间使用了网络，上网去了何处，谁要上网没有成功等审计信息。这为完善策略配置，更新配置文件提供了宝贵的资料。

若用户访问某个目的地址(E-mail除外)，网络安全防护系统截获流经的数据包。

若数据包是DNS数据包，网络防护硬件对其进行深度解析。将解析出的域名与配置文件的可信域名匹配。如果匹配成功，则允许该DNS数据包的通过。如果匹配不成功，网络安全防护硬件将解析DNS获得的目的地址域名信息反馈给用户主机，询问用户是否访问。若用户回馈否，则该目的地址禁止访问，禁止该DNS数据包的通过。若用户回馈是，则将该目的地址的IP和域名添加到配置文件的临时白名单列表，即该IP相对步骤二中的可信IP为不完全可信IP，系统将其视为临时的白名单，允许用户按照控制台下达的配置文件中已设定的访问控制策略对其进行受限访问。

若数据包不是DNS数据包，网络通过解析该数据包，获得其目的地址的IP，从而判断该包是否是流经于系统与允许访问的目的地址(包含配置文件中的白名单和临时白名单)之间的数据交流。如果不是，则禁止其通过；如果是，系统按照设定的过滤规则，对该数据包进行检查和处理，任何不符合规则的数据包都将按照指定操作处理。当需要与主机交互时，网络硬件防护设备通过USB接口与主机通信，报告安全检测结果，并根据用户返回策略进行相应处理。

若系统中发现有用户操作E-mail的收发，则捕获邮件数据包，根据相关邮件协议对其进行深度解析。将解析出的发信人邮件的地址，收信人的邮件地址，是否含有附件以及附件文件的格式等相关信息，由网络硬件防护设备反馈给用户主机，并向用户主机发送核实信息以及确认是否收发的命令，系统根据用户的反馈命令，决定是否允许该E-mail的收发。这在用户主机感染木马，病毒后，能有的效遏制木马、病毒窃取主机的信息。

网络硬件防护设备记录用户的各种网络行为以及处理数据包的相关信息，形成相关日志，并发送给审计服务器。

一段时间后，审计控制端根据相关日志和审计信息，更改用户的访问权限，添加或删除白名单控制访问列表，完善策略配置，更新配置文件，并把新的配置文件下达到网络防护硬件。

工作主要流程如图2(基于邮件的处理)，如图3(除E-mail外的目的地址访问控制处理)所示。

本发明包括但不限于以上的实施例，凡是在本发明的精神和原则之下进行的任何局部改进，等同替换都将视为在本发明的保护范围之内。

Claims (1)

1.一种网络反馈主机安全防护方法，主要由硬件设备和PC终端软件组成；其特征在于具体步骤如下：

步骤一：策略配置与下达

在审计控制端装有管理软件，方便管理员对内部网络访问外网的权限进行配置；管理员可对不同的用户登陆I D配置不同的权限，方便进行分别管理；控制台配置防护规则文件，其中网址的访问控制列表是基于白名单的，访问控制列表中含有可信域名或可信IP地址，将该配置文件下达到网络防护硬件；

步骤二：网络防护硬件初始化；

网络防护硬件在接受到配置文件后，对其中用户配置的可信IP地址添加到访问控制列表中；对其中的可信域名，通过发送DNS数据包，进行可信域名的DNS解析，获得可信域名对应的可信IP，并把IP添加到访问控制列表中；

步骤三：监控网络连接，基于步骤一，二中的形成的配置文件，实现访问控制

(一)若系统中发现有E-mail的收发，则捕获邮件数据包，根据相关邮件协议对其进行深度解析；将解析出的发信人邮件的地址，收信人的邮件地址，是否含有附件以及附件文件的格式等相关信息，由网络硬件防护设备反馈给用户主机，并向用户主机发送核实信息以及确认是否收发的命令，系统根据用户的反馈命令，决定是否允许该E-mail的收发；

(二)若系统中发现DNS数据包，则捕获DNS数据包，对其进行深度解析；将解析出的域名与配置文件的可信域名匹配；

如果匹配成功，则允许该DNS数据包的通过；

如果匹配不成功，网络安全防护硬件将解析DNS获得的目的地址域名信息反馈给用户主机，询问用户是否访问；若用户回馈否，则该目的地址禁止访问，禁止该DNS数据包的通过；若用户回馈是，则将该目的地址的IP和域名添加到配置文件的临时白名单列表，即该IP相对步骤二中的可信IP为不完全可信IP，系统将其视为临时的白名单，允许用户按照审计控制台形成的配置文件中已设定的访问控制策略对其进行受限访问；

(三)对于流经的其他数据包，判断是否是流经于系统与允许访问的目的地址之间的数据交流，系统与允许访问的目的地址包含配置文件中的白名单和临时白名单，如果是，按照步骤四进行处理；如果不是，则禁止其通过；

步骤四：检测所有流经系统与可信地址之间的数据包，对其进行深度解析，基于设定规则进行包过滤；

对于流经系统与该目的地址之间的数据包，基于配制文件中设定的过滤规则进行处理，即根据数据包的源地址、目的地址、协议类型，源端口号、目的端口号，数据包头中的各种标志位以及数据包的流向等因素来确定是否允许数据包通过；

另外，解析数据包中的应用层协议，对于应用协议中控制连接的指令包和由外网发向内网的数据包允许通过，而对于从内网发往外网的数据包进行控制，默认为拒绝发送状态，但可根据用户的配置策略有选择的转发；

步骤五：网络行为审计

网络防护硬件实时统计用户的网络行为如使用网络的用户，用户使用网络的时间，用户访问的网站，邮件发送接收情况，进出网络的连接以及对数据包应用层的分析等审计信息，形成相关的日志，并将日志发送到审计控制端；

步骤六：完善策略配置，更新配置文件

审计控制端根据相关日志和审计信息，更改用户的访问权限，添加或删除访问控制列表中的名单，完善策略配置，更新配置文件，并把新的配置文件下达到网络防护硬件。

Images