CN101923609A

CN101923609A - 一种计算机网络的安全保护方法及系统

Info

Publication number: CN101923609A
Application number: CN2009101078500A
Authority: CN
Inventors: 祝青柳; 王志; 张晓辉
Original assignee: SHENZHEN LEAGSOFT TECHNOLOGY Co Ltd
Current assignee: SHENZHEN LEAGSOFT TECHNOLOGY Co Ltd
Priority date: 2009-06-09
Filing date: 2009-06-09
Publication date: 2010-12-22

Abstract

本发明适用于网络安全技术领域，提供了一种计算机网络的安全保护方法及系统，所述方法包括下述步骤：判断网络中的客户端是否安装有监控软件；若客户端安装有监控软件，则允许所述客户端使用资源，并对运行在客户端的软件进行监控；对监控到软件与白名单进行比对，判断所述监控到的软件是否在所述白名单上；若所述监控到的软件在所述白名单上，则允许所述监控到的软件继续运行，否则禁止所述监控到的软件运行，通过准入控制以及自定义的白名单保护内网安全。

Description

一种计算机网络的安全保护方法及系统

技术领域

本发明属于网络安全技术领域，尤其涉及一种计算机网络的安全保护方法及系统。

背景技术

白名单是指可信(已知的好应用)的软件列表，存储有可信软件的身份信息，通过追踪应用软件的身份信息，只有在白名单内的应用软件才可以执行，从而实现终端等的安全防护。

目前常用的白名单的方式包括代码签名和大白名单库。代码签名的证书使得软件开发者能对其开发的软件代码进行数字签名，让其发布时，用户能够确信此代码没有被非法篡改和来源可信，从而保护了代码的完整性、保护了用户不会被病毒、恶意代码和间谍软件所侵害；而大名单库则是提供大量的白名单软件，供客户端进行查看比较其可信度。

但是，对于上述两种白名单实现网络安全的方式，企业在应用时都存在不够实用、不灵活的问题。一者企业内部网络中办公、业务等各种系统需要使用的软件数量是非常有限的，而大白名单库和签名代码库的数量不断增大，和特定企业相关的却屈指可数。某个企业要到和所有企业和个人相关的巨大的白名单库中来验证所用软件的可信度，随着库的数量的不断增长，可用性会越来越差。再者，现有技术都没有提到确保企业内部的所有计算机全部纳入白名单的监控管理中，导致实际应用效果差。

发明内容

本发明实施例的目的在于提供一种计算机网络的安全保护方法，旨在解决现有技术提供的白名单实现网络安全的方式不实用，不灵活的问题。

本发明实施例是这样实现的，一种计算机网络的安全保护方法，所述方法包括下述步骤：

判断网络中的客户端是否安装有监控软件；

若客户端安装有监控软件，则允许所述客户端使用资源，并对运行在客户端的软件进行监控；

对监控到软件与白名单进行比对，判断所述监控到的软件是否在所述白名单上；

若所述监控到的软件在所述白名单上，则允许所述监控到的软件继续运行，否则禁止所述监控到的软件运行。

本发明实施例的另一目的在于提供一种计算机网络的安全保护系统，所述系统包括：

第一判断模块，用于判断网络中的客户端是否安装有监控软件；

控制模块，用于若所述第一判断模块判断客户端安装有监控软件时，允许所述客户端使用资源；

监控模块，用于对的运行在所述控制模块允许使用资源的客户端的软件进行监控；

比对判断模块，用于对监控到软件与白名单进行比对，判断所述监控到的软件是否在所述白名单上；以及

软件运行控制模块，用于若所述比对判断模块比对判断所述监控到的软件在所述白名单上，则允许所述监控到的软件继续运行，否则禁止所述监控到的软件运行。

在本发明实施例中，判断网络中的客户端是否安装有监控软件；若客户端安装有监控软件，则允许所述客户端使用资源，并对运行在客户端的软件进行监控；对监控到软件与白名单进行比对，判断所述监控到的软件是否在所述白名单上；若所述监控到的软件在所述白名单上，则允许所述监控到的软件继续运行，否则禁止所述监控到的软件运行，通过准入控制以及自定义的白名单保护内网安全。

附图说明

图1是本发明第一实施例提供的计算机网络的安全保护方法的实现流程图；

图2是本发明第二实施例提供的计算机网络的安全保护方法的实现流程图；

图3是本发明实施例提供的计算机网络的安全保护系统结构框图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

在本发明实施例中，判断网络中的客户端是否安装有监控软件；若客户端安装有监控软件，则允许所述客户端使用资源，并对运行在客户端的软件进行监控；对监控到软件与白名单进行比对，判断监控到的软件是否在所述白名单上；若监控到的软件在所述白名单上，则允许监控到的软件继续运行，否则禁止监控到的软件运行。

图1示出了本发明第一实施例提供的计算机网络的安全保护方法的实现流程，其详细步骤如下所述：

在步骤S101中，判断网络中的客户端是否安装有监控软件，是则执行步骤S102，否则执行步骤S107。

在本发明实施例中，该监控软件为安装在客户端，用于监控客户端是否有软件进程运行的软件，可以理解为现有技术提供的监控软件，在此不用以限制本发明。

在步骤S102中，若客户端安装有监控软件，允许客户端使用资源，并对运行在客户端的软件进行监控。

在本发明实施例中，该资源包括网络、主机、应用、服务和终端等资源；当客户端接入到网络之后，监控软件对客户端上的软件运行进行监控，当监控到有客户端软件运行时，就需要执行下述S103步骤，否则一直监控。

在步骤S103中，对监控到软件与白名单进行比对。

在本发明实施例中，将监控软件监控到的软件与自定义白名单进行比对，判断该监控到的软件是否在列表中。

在步骤S104中，判断监控到的软件是否在白名单上，是则执行步骤S105，否则执行步骤S106。

在步骤S105中，若监控到的软件在白名单上，允许监控到的软件继续运行。

在本发明实施例中，若监控到的软件在白名单上，则表示该监控到的软件为安全软件，则控制允许该监控到的软件在客户端运行。

在步骤S106中，若监控到的软件没有在白名单上，禁止监控到的软件运行。

在步骤S107中，禁止客户端使用资源和/或将客户端转到修复区，进行监控软件的强制安装。

在本发明实施例中，对于没有安装监控软件的客户端，则禁止客户端使用资源，并将客户端转到修复区，在修复区中进行监控软件的强制安装，保证客户端的安全，其中在修复区中，只能按照有关的提示进行监控软件的安装，不能访问其他网络数据，在此不用以限制本发明。

在本发明实施例中，预先建立一自定义白名单，该白名单可以根据计算机网络的特性进行自定义，该白名单内的安全软件为该计算机网络内有限数量的安全软件，其中该建立自定义白名单的过程，可以是分布式的，也可以是集中式的。可以在服务器上进行自定义白名单的建立，然后客户端使用资源之后，进行白名单下载到客户端；也可以在客户端进行自定义白名单的建立，不需要下载，直接对比使用即可，在此不用于限制本发明。

作为本发明的一个实施例，图2示出了本发明第二实施例提供的计算机网络的安全保护方法的实现流程，其详细步骤如下所述：

在步骤S201中，判断网络中的客户端是否安装有监控软件，是则执行步骤S202，否则执行步骤S209。

在步骤S202中，若客户端安装有监控软件，允许客户端使用资源，并对运行在客户端的软件进行监控。

在本发明实施例中，当客户端接入到网络之后，监控软件对客户端上的软件运行进行监控，当监控到有客户端软件运行时，就需要执行下述S203步骤，否则一直监控。

在步骤S203中，对监控到软件与白名单进行比对。

在步骤S204中，判断监控到的软件是否在白名单上，是则执行步骤S205，否则执行步骤S206。

在步骤S205中，若监控到的软件在白名单上，允许监控到的软件继续运行。

在步骤S206中，若监控到的软件没有在白名单上，禁止监控到的软件运行。

在步骤S207中，对监控到的软件进行安全验证，判断监控到的软件是否为安全软件，是则执行步骤S208，否则结束。

在本发明实施例中，当监控到的软件不在白名单上时，则对监控到的软件进行安全验证，可以从软件执行目的和运行程序上进行验证，判断该监控到的软件是否为安全软件。

在步骤S208中，若监控到的软件是安全软件，则将监控到的软件保存到自定义白名单中。

在本发明实施例中，若通过安全验证之后，判断监控到的软件为安全软件时，将该软件保存到自定义白名单中，以便下次使用时，不需要再进行安全验证。

对于上述步骤S207和S208，当白名单是建立在客户端时，则对监控到的软件进行安全验证的步骤可以在客户端完成，也可以在服务器端完成；而将监控到的软件保存到自定义白名单中得步骤则在客户端完成；当白名单是建立在服务器端，则对监控到的软件进行安全验证的步骤可以在客户端完成，也可以在服务器端完成；而将监控到的软件保存到自定义白名单中得步骤则在服务器端完成，在此不用以限制本发明。

在步骤S209中，禁止客户端使用资源和/或将客户端转到修复区，进行监控软件的强制安装。

图3示出了本发明实施例提供的计算机网络的安全保护系统的结构框图，为了便于说明，图中仅给出了与本发明实施例相关的部分。

第一判断模块11判断网络中的客户端是否安装有监控软件；若第一判断模块11判断客户端安装有监控软件时，控制模块12允许客户端使用资源；监控模块13对的运行在控制模块12允许使用资源的客户端的软件进行监控；若第一判断模块11判断客户端没有安装监控软件，强制安装控制模块14禁止客户端使用资源和/或将客户端转到修复区，进行监控软件的强制安装；比对判断模块15对监控到的软件与白名单进行比对，判断监控到的软件是否在白名单上；若比对判断模块15比对判断监控到的软件在所述白名单上，软件运行控制模块16允许监控到的软件继续运行，否则禁止监控到的软件运行。

在本发明实施例中，当比对判断模块15判断监控到的软件没有在白名单上，软件运行控制模块16禁止监控到的软件运行的同时，验证判断模块17对监控到的软件进行安全验证，判断监控到的软件是否为安全软件；若验证判断模块17判断监控到的软件是安全软件，白名单更新模块18则将监控到的软件保存到自定义白名单中，更新白名单，其中，图中虚框中的验证判断模块17和白名单更新模块18可以内置于客户端，也可以内置于服务器端，在此不用以限制本发明。

在本发明实施例中，白名单建立模块19预先建立一自定义白名单；当该自定义白名单建立在服务器端时，白名单下载模块20通过网络预先将白名单建立模块19建立的自定义白名单下载到客户端。

在本发明实施例中，判断网络中的客户端是否安装有监控软件；若客户端安装有监控软件，则允许客户端使用资源，并对运行在客户端的软件进行监控；对监控到软件与白名单进行比对，判断监控到的软件是否在所述白名单上；若监控到的软件在白名单上，则允许监控到的软件继续运行，否则禁止监控到的软件运行，通过准入控制以及自定义的白名单保护内网安全。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims

1.一种计算机网络的安全保护方法，其特征在于，所述方法包括下述步骤：

判断网络中的客户端是否安装有监控软件；

2.如权利要求1所述的计算机网络的安全保护方法，其特征在于，所述判断网络中的客户端是否安装有监控软件的步骤之前还包括下述步骤：

预先建立一自定义白名单。

3.如权利要求1所述的计算机网络的安全保护方法，其特征在于，所述判断网络中的客户端是否安装有监控软件的步骤之前还包括下述步骤：

通过网络预先将自定义白名单下载到客户端。

4.如权利要求1所述的计算机网络的安全保护方法，其特征在于，所述若客户端安装有监控软件，则允许所述客户端使用资源，并对运行在客户端的软件进行监控的步骤之后，所述对监控到软件与白名单进行比对的步骤之前还包括下述步骤：

若所述客户端没有安装监控软件，禁止所述客户端使用资源和/或将客户端转到修复区，进行监控软件的强制安装。

5.如权利要求1所述的计算机网络的安全保护方法，其特征在于，所述若所述监控到的软件在所述白名单上，则允许所述监控到的软件继续运行，否则禁止所述监控到的软件运行的步骤之后还包括下述步骤：

当所述监控到的软件没有在所述白名单上，禁止所述监控到的软件运行的同时，对所述监控到的软件进行安全验证，判断所述监控到的软件是否为安全软件；

若所述监控到的软件是安全软件，则将所述监控到的软件保存到所述自定义白名单中。

6.一种计算机网络的安全保护系统，其特征在于，所述系统包括：

7.如权利要求6所述的计算机网络的安全保护系统，其特征在于，所述系统还包括：

白名单建立模块，用于预先建立一自定义白名单。

8.如权利要求6所述的计算机网络的安全保护系统，其特征在于，所述系统还包括：

白名单下载模块，用于通过网络预先将自定义白名单下载到客户端。

9.如权利要求6所述的计算机网络的安全保护系统，其特征在于，所述系统还包括：

强制安装控制模块，用于若所述第一判断模块判断所述客户端没有安装监控软件，禁止所述客户端使用资源和/或将客户端转到修复区，进行监控软件的强制安装。

10.如权利要求6所述的计算机网络的安全保护系统，其特征在于，所述系统还包括：

验证判断模块，用于当所述比对判断模块判断所述监控到的软件没有在所述白名单上，所述软件运行控制模块禁止所述监控到的软件运行的同时，对所述监控到的软件进行安全验证，判断所述监控到的软件是否为安全软件；以及

白名单更新模块，用于若所述验证判断模块判断所述监控到的软件是安全软件，则将所述监控到的软件保存到所述自定义白名单中。