CN102063588A - 一种计算机终端网络安全防护的控制方法和系统 - Google Patents

Abstract

本发明公开了一种计算机终端网络安全防护的控制方法和系统，接收WINDOWS消息；接收SPI发送的网络事件消息；判断网络事件是否存在潜在威胁，如果否，放行，如果是，判断网络事件PID是否在黑白名单里，如果在黑名单里，阻止，如果在白名单里，放行，如果不在黑白名单里，判断网络事件PID是否在阻止放行链表中，如果在阻止链表中，阻止，如果在放行链表中，放行，如果不在阻止放行链表中，弹出对话框，显示是否阻止信息，让用户选择是否阻止；将用户选择结果保存到阻止放行链表或者黑白名单中，并返回选择结果。采用了本发明的技术方案，能够主动检测所有进程网络事件、读写事件和窗口触发事件，提高了计算机终端网络的安全性。

Description

一种计算机终端网络安全防护的控制方法和系统

技术领域

本发明涉及计算机技术领域，尤其涉及一种计算机终端网络安全防护的控制方法和系统。

背景技术

Internet的出现及其迅速发展给现代人的生产和生活都带来了前所未有的飞跃，它促进了信息的广泛交流，大大提高了工作效率，丰富了人们的精神生活。然而，随着计算机网络技术的突飞猛进，网络安全的问题已经日益突出地摆在各类用户的面前，网络的安全防护成为最为关注的重点。随着网络安全问题日益严重，网络安全产品逐渐被人们重视起来。通过对网络信息进行监控以实现安全防护。比如用禁止特定端口的方法设置对外通信来防止木马；或者禁止来自特殊站点的访问，从而防止来自入侵者的所有通信。目前个人用户对网络安全防护的需求在不断增加，而Windows操作系统是使用最为广泛的PC操作系统，因此如何在Windows操作系统下开发网络防护功能显得尤为重要了。现有的一些安全防护产品都是通过分析数据包来实现判断的，并不能检测到木马程序在读那些文件。

发明内容

本发明的目的在于提出一种计算机终端网络安全防护的控制方法和系统，能够主动检测所有进程网络事件、读写事件和窗口触发事件，提高了计算机终端网络的安全性。

为达此目的，本发明采用以下技术方案：

一种计算机终端网络安全防护的控制方法，包括以下步骤：

A、接收WINDOWS消息；

B、接收SPI发送的网络事件消息；

C、判断所述网络事件是否存在潜在威胁，如果否，则放行，如果是，则转至步骤D；

D、判断所述网络事件的PID是否在黑白名单里，如果在黑名单里，则阻止，如果在白名单里，则放行，如果不在黑白名单里，则转至步骤E；

E、判断所述网络事件的PID是否在阻止放行链表中，如果在阻止链表中，则阻止，如果在放行链表中，则放行，如果不在阻止放行链表中，则转至步骤F；

F、弹出对话框，显示是否阻止信息，让用户选择是否阻止；

G、将用户选择结果保存到阻止放行链表或者黑白名单中，并返回选择结果。

还包括以下步骤：

接收FileMon发送的读事件消息；

按照文件类型过滤消息内容，将过滤结果保存在结构体中；

起线程AfxRefreshReadList，更新读事件链表。

还包括以下步骤：

接收键盘鼠标事件发送的消息；

将获取的消息内容保存在链表中。

步骤C进一步包括以下步骤：

检测当前网络事件InfoPID是否存在潜在威胁功能函数；

遍历窗口操作PID链表，判断当前网络事件InfoPID在预定时间内是否操作过；

如果是，则判断当前网络事件InfoPID是合法网络事件，则放行；

如果否，则遍历窗口操作PID链表，判断当前网络事件InfoPID是否有读操作；

如果否，则判断当前网络事件InfoPID是合法网络事件，则放行；

如果是，则判断当前网络事件InfoPID是异常PID，返回当前网络事件PID。

一种计算机终端网络安全防护的控制系统，包括文件读写过滤驱动模块、网络事件监控模块、触发窗口事件监控模块、黑白名单管理模块、进程链表实时监控模块和危险进程监控模块，进程链表实时监控模块分别与文件读写过滤驱动模块、网络事件监控模块和触发窗口事件监控模块连接，危险进程监控模块与黑白名单管理模块连接，文件读写过滤驱动模块、网络事件监控模块和触发窗口事件监控模块分别与危险进程监控模块连接，其中，

文件读写过滤驱动模块用于实时监控计算机所有进程对文件的读操作，同时过滤操作系统进程对文件的操作，以及系统白名单中文件的类型，并记录相应的进程的PID、所操作的文件的路径、操作的时间，通过WINDOWS消息机制传递给数据防火墙主进程；

网络事件监控模块用于通过SPI检测控制网络事件，分析进程链表中所有进程，记录发生过网络操作的事件的PID；

触发窗口事件监控模块用于维护动态链表以实时检测、更新、存储触发窗口事件的进程，并通过WINDOWS消息，把触发键盘鼠标操作事件的进程PID和操作时间记录下来，存储在一个窗口PID链表中；

黑白名单管理模块用于将经常使用的网络程序设置到白名单，避免监控，将危险进程设置到黑名单，计算机屏蔽掉所述危险进程的所有网络事件；

进程链表实时监控模块用于实时管理、监控任务管理器列表中所有的进程的网络事件信息、窗口操作信息和文件读写信息；

危险进程监控模块用于根据实时监控收集到的数据信息，实时动态监控、发现危险操作，并给用户响应的信息提示，让用户判断是否允许所述进程网络操作。

文件读写过滤驱动模块采用基于Filemon的WINDOWS文件过滤系统驱动。

采用了本发明的技术方案，通过主动检测所有进程网络事件、读写事件和窗口触发事件，若发现非本机主动激发的各类进程事件，即可进行分析筛选，并根据一定的检测策略，判别其合法性，如不合法，则立刻给出提示信息，由用户决定是否放行和允许该进程运行并传递数据信息，否则就放行，从而有效地阻止了非法网络程序对本机信息的窃取。

附图说明

图1是本发明具体实施方式中计算机终端网络安全防护的控制系统的结构示意图。

图2是本发明具体实施方式中计算机终端网络安全防护的控制流程图。

具体实施方式

下面结合附图并通过具体实施方式来进一步说明本发明的技术方案。

通过对大量的木马、病毒等恶意程序窃取网络数据行为进行综合分析，发现其主要的原理有以下特性：

1、读取、修改、删除用户电脑文件信息，包括：文本文件、数据库文件、图片、视频文件等存储重要密码信息的文件数据。

2、有网络发包行为，通过解析主要基于TCP、UDP等协议。

3、通常都是基于后台操作，即没有窗口弹出；或存储在独立的exe程序中，或以DLL的形式注入到其他进程中。根据上述研究，可以通过制定相应的策略实时检测任务管理器中的各个进程，分析其行为特征，判断其危险等级，以提供给用户来决策，并协助用户阻止危险操作的发生。

数据安全整体设计思想：通过检测所有进程网络事件、读写事件，以及窗口触发事件，按照一定的策略检测、分析当前进程是否存在潜在危险，如果存在危险告知用户，并提供给用户相应的解决办法。

图1是本发明具体实施方式中计算机终端网络安全防护的控制系统的结构示意图。如图1所示，该计算机终端网络安全防护的控制系统包括文件读写过滤驱动模块103、网络事件监控模块104、触发窗口事件监控模块105、黑白名单管理模块102、进程链表实时监控模块101和危险进程监控模块106。

进程链表实时监控模块分别与文件读写过滤驱动模块、网络事件监控模块和触发窗口事件监控模块连接，危险进程监控模块与黑白名单管理模块连接，文件读写过滤驱动模块、网络事件监控模块和触发窗口事件监控模块分别与危险进程监控模块连接。

其中，文件读写过滤驱动模块、网络事件监控模块和触发窗口事件监控模块是独立的模块，它们由进程链表实时监控模块联系起来，协同工作。以进程链表实时监控模块和黑白名单管理模块为基础，危险进程监控模块完成系统功能。用户将使用信息传给黑白名单管理模块，黑白名单管理模块将信息传给危险进程监控模块；进程链表实时监控模块将信息传给文件读写过滤驱动模块、网络事件监控模块和触发窗口事件监控模块，文件读写过滤驱动模块、网络事件监控模块和触发窗口事件监控模块将信息传给危险进程监控模块，危险进程监控模块汇总和分析信息后返回给用户。

文件读写过滤驱动模块用于实时监控计算机所有进程对文件的读操作，同时过滤操作系统进程对文件的操作，以及系统白名单中文件的类型，并记录相应的进程的PID、所操作的文件的路径、操作的时间，通过WINDOWS消息机制传递给数据防火墙主进程；

网络事件监控模块用于通过SPI检测控制网络事件，分析进程链表中所有进程，记录发生过网络操作的事件的PID；

触发窗口事件监控模块用于维护动态链表以实时检测、更新、存储触发窗口事件的进程，并通过WINDOWS消息，把触发键盘鼠标操作事件的进程PID和操作时间记录下来，存储在一个窗口PID链表中；

黑白名单管理模块用于将经常使用的网络程序设置到白名单，避免监控，将危险进程设置到黑名单，计算机屏蔽掉所述危险进程的所有网络事件；

进程链表实时监控模块用于实时管理、监控任务管理器列表中所有的进程的网络事件信息、窗口操作信息和文件读写信息；

危险进程监控模块用于根据实时监控收集到的数据信息，实时动态监控、发现危险操作，并给用户响应的信息提示，让用户判断是否允许所述进程网络操作。

文件读写过滤驱动模块采用基于Filemon的WINDOWS文件过滤系统驱动。

图2是本发明具体实施方式中计算机终端网络安全防护的控制流程图。如图2所示，该计算机终端网络安全防护的控制流程包括以下步骤：

步骤201、接收WINDOWS消息。

步骤202、接收SPI发送的网络事件消息。

步骤203、判断网络事件是否存在潜在威胁，如果否，则放行，如果是，则转至步骤204。

判断网络事件是否存在潜在威胁进一步包括以下步骤：

检测当前网络事件InfoPID是否存在潜在威胁功能函数；

遍历窗口操作PID链表，判断当前网络事件InfoPID在预定时间内是否操作过；

如果是，则判断当前网络事件InfoPID是合法网络事件，则放行；

如果否，则遍历窗口操作PID链表，判断当前网络事件InfoPID是否有读操作；

如果否，则判断当前网络事件InfoPID是合法网络事件，则放行；

如果是，则判断当前网络事件InfoPID是异常PID，返回当前网络事件PID。

步骤204、判断所述网络事件的PID是否在黑白名单里，如果在黑名单里，则阻止，如果在白名单里，则放行，如果不在黑白名单里，则转至步骤205。

步骤205、判断所述网络事件的PID是否在阻止放行链表中，如果在阻止链表中，则阻止，如果在放行链表中，则放行，如果不在阻止放行链表中，则转至步骤206。

步骤206、弹出对话框，显示是否阻止信息，让用户选择是否阻止。

步骤207、将用户选择结果保存到阻止放行链表或者黑白名单中，并返回选择结果。

还可以包括以下步骤：

301、接收FileMon发送的读事件消息。

302、按照文件类型过滤消息内容，将过滤结果保存在结构体中。

303、起线程AfxRefreshReadList，更新读事件链表。

还可以包括以下步骤：

401、接收键盘鼠标事件发送的消息。

402、将获取的消息内容保存在链表中。

下面具体描述各个模块的具体工作流程。

1、文件读写过滤驱动模块

WINDOWS文件过滤系统驱动开发，可用于硬盘还原，防病毒，文件安全防护，文件加密等诸多领域。该系统采用基于Filemon的WINDOWS文件过滤系统驱动。Filemon的大致架构为，在此驱动程序中，创建了两类设备对象。一类设备对象用于和Filemon对应的exe程序通信，以接收用户输入信息，比如挂接或监控哪个分区，是否要挂接，是否要监控，监控何种操作等。此设备对象只创建了一个，在驱动程序的入口函数中。此类设备对象一般称为控制设备对象，并有名字，以方便应用层与其通信操作。第二类设备对象用于挂接到所须监控的分区，比如c:，d:或e:，f:，以便拦截到引应用层对该分区所执行的读，写等操作。此类设备对象为安全起见，一般不予命名，可根据须监控多少分区而创建一个或多个。

文件读写过滤模块采用基于Filemon的WINDOWS文件过滤系统驱动，实时监控本机所有进程对文件的读操作，同时过滤操作系统进程对文件的操作，以及系统白名单中文件的类型；并记录相应的进程的PID，所操作的文件的路径，操作的时间等信息。最后会通过WINDOWS消息机制传递给数据防火墙主进程。

2、网络事件监控模块

通过SPI可以检测控制网络事件，分析进程列表中所有进程，对于发生过网络操作的事件记录其PID号。

3、触发窗口事件监控模块

维护动态列表用来实时检测、更新、存储触发窗口事件的进程。在主监控进程中挂一个全局钩子，用来实时监控进程列表中所有关于鼠标、键盘的进程的操作；钩子实际上是一个处理消息的程序段，通过系统调用，把它挂入系统。每当特定的消息发出，在没有到达目的窗口前，钩子程序就先捕获该消息，即钩子函数先得到控制权。这时钩子函数即可以加工处理(改变)该消息，也可以不作处理而继续传递该消息，还可以强制结束消息的传递。

通过WINDOWS消息，把触发鼠标、键盘操作事件的进程PID、操作时间等记录下来，存储在一个窗口PID列表中。主监控程序通过监控线程，实时更新进程PID链表，窗口显示列表，配置文件内容等信息；窗口事件链表维护逻辑：每接收一个窗口操作PID，都要更新其PID窗口操作列表，首先遍历一遍进程PID链表，判断当前元素是否在链表中，如已经存在列表中则替换以前的值，否则在列表末尾追加操作。

4、黑白名单管理模块

用户电脑有许多日常网络程序，为了方便用户管理，同时不影响客户正常网络程序的使用。该系统设置了黑白名单管理功能，可对某些经常使用的网络程序设置到白名单，避免了许多不必要监控。另一方面，对于一些危险进程可以直接将其设置到黑名单，系统自动屏蔽掉该进程所有网络事件，最大程度地保护用户电脑的安全。

该功能主要通过实时监控、修改后台的配置文件，当有第一次检测到危险进程时，主程序会弹出提示框，并允许用户选择是否永久阻止或者放行该程序，即可把当前程序添加到黑白名单当中。该方式非常人性化，便于普通用户使用。同时，项目实施人员也可以直接通过修改配置文件，来添加黑白名单；功能非常灵活方便。主程序会实时检测该文件，任何时候对文件的修改，主程序都会检测到，并自动执行相应的策略，无需重启主程序。

5、进程列表实时监控模块

该系统的核心操作是要实时管理、监控任务管理器列表中所有的进程的网络事件信息、窗口操作信息、文件读写信息，实时、准确地获取这些信息就变的非常重要。该系统主要通过三个独立的线程分别管理三个PID链表，实现对进程的实时监控。

进程AfxCheckPidThread用来实时记录更新的所有进程基本信息，以及记录主界面中列表框中显示的进程信息。

线程RefreshDeleteRead用来删除过期的读操作链表中的数据，保证读写链表中的PID信息都是在允许的操作周期内。线程AfxRefreshThread实时更新键盘、鼠标操作的PID链表，网络事件链表。线程AfxRefreshReadListThread用来更新读PID链表。

6、危险进程监控模块

通过实时监控收集到的数据信息，该系统有一套智能策略算法，实时动态监控、发现危险操作，并给用户响应的信息提示，例如：潜在危险进程的名称、PID号、进程路径、属性信息等。供用户来决断是否允许该进程网络操作。

该监控模块首先会通过分析当前有网络发包的进程，判断在允许的时间范围内(例如1分钟)其窗口是否被操作过；如果没有相关操作，则立即放行，否则继续判断是否有读取本机文件的相关操作，如果被操作过，则立即放行，否则即可判断该进程是危险进程，立即通知用户该操作有潜在的危险。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉该技术的人在本发明所揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (6)

1.一种计算机终端网络安全防护的控制方法，其特征在于，包括以下步骤：

A、接收WINDOWS消息；

B、接收SPI发送的网络事件消息；

C、判断所述网络事件是否存在潜在威胁，如果否，则放行，如果是，则转至步骤D；

D、判断所述网络事件的PID是否在黑白名单里，如果在黑名单里，则阻止，如果在白名单里，则放行，如果不在黑白名单里，则转至步骤E；

E、判断所述网络事件的PID是否在阻止放行链表中，如果在阻止链表中，则阻止，如果在放行链表中，则放行，如果不在阻止放行链表中，则转至步骤F；

F、弹出对话框，显示是否阻止信息，让用户选择是否阻止；

G、将用户选择结果保存到阻止放行链表或者黑白名单中，并返回选择结果。

2.根据权利要求1所述的一种计算机终端网络安全防护的控制方法，其特征在于，还包括以下步骤：

接收FileMon发送的读事件消息；

按照文件类型过滤消息内容，将过滤结果保存在结构体中；

起线程AfxRefreshReadList，更新读事件链表。

3.根据权利要求1所述的一种计算机终端网络安全防护的控制方法，其特征在于，还包括以下步骤：

接收键盘鼠标事件发送的消息；

将获取的消息内容保存在链表中。

4.根据权利要求1所述的一种计算机终端网络安全防护的控制方法，其特征在于，步骤C进一步包括以下步骤：

检测当前网络事件InfoPID是否存在潜在威胁功能函数；

遍历窗口操作PID链表，判断当前网络事件InfoPID在预定时间内是否操作过；

如果是，则判断当前网络事件InfoPID是合法网络事件，则放行；

如果否，则遍历窗口操作PID链表，判断当前网络事件InfoPID是否有读操作；

如果否，则判断当前网络事件InfoPID是合法网络事件，则放行；

如果是，则判断当前网络事件InfoPID是异常PID，返回当前网络事件PID。

5.一种计算机终端网络安全防护的控制系统，其特征在于，包括文件读写过滤驱动模块、网络事件监控模块、触发窗口事件监控模块、黑白名单管理模块、进程链表实时监控模块和危险进程监控模块，进程链表实时监控模块分别与文件读写过滤驱动模块、网络事件监控模块和触发窗口事件监控模块连接，危险进程监控模块与黑白名单管理模块连接，文件读写过滤驱动模块、网络事件监控模块和触发窗口事件监控模块分别与危险进程监控模块连接，其中，

文件读写过滤驱动模块用于实时监控计算机所有进程对文件的读操作，同时过滤操作系统进程对文件的操作，以及系统白名单中文件的类型，并记录相应的进程的PID、所操作的文件的路径、操作的时间，通过WINDOWS消息机制传递给数据防火墙主进程；

网络事件监控模块用于通过SPI检测控制网络事件，分析进程链表中所有进程，记录发生过网络操作的事件的PID；

触发窗口事件监控模块用于维护动态链表以实时检测、更新、存储触发窗口事件的进程，并通过WINDOWS消息，把触发键盘鼠标操作事件的进程PID和操作时间记录下来，存储在一个窗口PID链表中；

黑白名单管理模块用于将经常使用的网络程序设置到白名单，避免监控，将危险进程设置到黑名单，计算机屏蔽掉所述危险进程的所有网络事件；

进程链表实时监控模块用于实时管理、监控任务管理器列表中所有的进程的网络事件信息、窗口操作信息和文件读写信息；

危险进程监控模块用于根据实时监控收集到的数据信息，实时动态监控、发现危险操作，并给用户响应的信息提示，让用户判断是否允许所述进程网络操作。

6.根据权利要求5所述的一种计算机终端网络安全防护的控制系统，其特征在于，文件读写过滤驱动模块采用基于Filemon的WINDOWS文件过滤系统驱动。

Images