CN102104507B - 一种补丁检查的方法和设备 - Google Patents

Abstract

本发明公开了一种补丁检查的方法和设备，该方法包括：安全策略服务器从接入网络的具有第一标识的客户端中选择待检查客户端，并通知所述待检查客户端进行补丁检查；如果所述待检查客户端补丁检查不合格，则通过补丁服务器对所述待检查客户端打补丁。本发明中，可从整体上控制系统的打补丁的负载压力，并可控制局部的网络负载压力。

Description

一种补丁检查的方法和设备

技术领域

本发明涉及通信技术领域，特别是涉及一种补丁检查的方法和设备。

背景技术

随着社会信息化步伐的不断提速，网络应用不断普及与深入，网络安全已经超过对网络可靠性、交换能力和服务质量的需求，成为企业用户最关心的问题，网络安全设施也日渐成为企业网建设的重中之重。为了保证企业网中终端的安全状态符合企业的安全策略，NAC(Network Access control，网络接入控制)技术为企业提供了一个相对完整的网络安全解决方法，可以从企业网的终端入手，强制终端实施企业的安全策略，从而加强企业网终端的主动防御能力，大幅度提高了企业网的整体安全。

EAD(End user Admission Domination，端点准入控制)是一种NAC系统，通过安全策略服务器、认证服务器、补丁服务器、接入设备和客户端共同配合，可以实现对客户端所在终端用户进行补丁安全检查、自动安装丁等功能。如图1所示的一种网络接入控制技术方案中补丁管理的典型组网示意图。

现有技术中，一种补丁检查的流程图如图2所示，包括以下步骤：

步骤201，客户端通过身份认证，处在隔离区，发起安全认证请求。

步骤202，安全策略服务器回应报文，要求客户端进行补丁状态检查操作。

步骤203，客户端进行补丁检查操作。

步骤204，判断客户端补丁状态检查是否合格。如果补丁检查合格，执行步骤206，如果补丁检查不合格，执行步骤205。

步骤205，客户端到补丁服务器下载补丁并安装。补丁安装完成后，重新发起安全认证和补丁检查，并继续执行步骤204的判断步骤。

步骤206，客户端上线成功，可以接入网络，正常开展工作。

但是，在采用上述方式进行补丁检查时，如果有最新的补丁，则所有客户端都会进行打补丁操作，同一时刻会有大量的客户端从补丁服务器下载补丁，从而导致网络带宽和补丁服务器处理压力极大，严重降低了业务网络的服务质量，甚至影响后续的用户进行认证，引发事故。

发明内容

本发明提供一种补丁检查的方法和设备，以合理的进行补丁检查，降低系统压力和局部网络负载压力，且减少网络安全隐患。

为了达到上述目的，本发明提供一种补丁检查的方法，应用于包括安全策略服务器、补丁服务器和多个客户端的系统中，在客户端进行补丁检查之前允许该客户端接入网络，该方法包括以下步骤：

所述安全策略服务器获取各接入网络的客户端对应的上次补丁检查时间戳信息；如果所述时间戳信息与当前时间大于预设时长，则为对应的客户端设置第一标识；

所述安全策略服务器从接入网络的具有第一标识的客户端中选择待检查客户端，并通知所述待检查客户端进行补丁检查；

如果所述待检查客户端补丁检查不合格，则通过所述补丁服务器对所述待检查客户端的补丁进行更新。

所述安全策略服务器从接入网络的具有第一标识的客户端中选择待检查客户端，具体包括：

所述安全策略服务器根据预设周期从接入网络的具有第一标识的客户端中选择预设个数的待检查客户端。

所述安全策略服务器从接入网络的具有第一标识的客户端中选择待检查客户端，具体包括：

所述安全策略服务器根据预设周期以及各客户端的所属接入设备从接入网络的具有第一标识的客户端中选择预设个数的待检查客户端。

所述预设时长大于所述预设周期；所述预设时长根据补丁的更新速度和/或所述安全策略服务器对应的总用户数设定；所述预设周期根据系统性能信息设定，且所述预设周期为选择预设个数的待检查客户端的时间周期。

当所述待检查客户端补丁检查合格时，所述方法还包括：

所述安全策略服务器清除所述待检查客户端的所述第一标识，并更新所述待检查客户端对应的上次补丁检查时间戳信息。

本发明提供一种安全策略服务器，应用于包括所述安全策略服务器、补丁服务器和多个客户端的系统中，在客户端进行补丁检查之前允许该客户端接入网络，该安全策略服务器包括：

获取模块，用于获取各接入网络的客户端对应的上次补丁检查时间戳信息；

设置模块，用于当所述时间戳信息与当前时间大于预设时长时，为对应的客户端设置第一标识；

选择模块，用于从接入网络的具有第一标识的客户端中选择待检查客户端；

通知模块，用于通知所述选择模块选择的所述待检查客户端进行补丁检查；并当所述待检查客户端补丁检查不合格时，由所述补丁服务器对所述待检查客户端的补丁进行更新。

所述选择模块，具体用于根据预设周期从接入网络的具有第一标识的客户端中选择预设个数的待检查客户端。

所述选择模块，具体用于根据预设周期以及各客户端的所属接入设备从接入网络的具有第一标识的客户端中选择预设个数的待检查客户端。

所述预设时长大于所述预设周期；所述预设时长根据补丁的更新速度和/或所述安全策略服务器对应的总用户数设定；所述预设周期根据系统性能信息设定，且所述预设周期为选择预设个数的待检查客户端的时间周期。

所述设置模块，还用于当所述待检查客户端补丁检查合格时，清除所述待检查客户端的所述第一标识，并更新所述待检查客户端对应的上次补丁检查时间戳信息。

与现有技术相比，本发明至少具有以下优点：

根据预设周期和各客户端的所属接入设备从接入网络的客户端中选择预设个数的待检查客户端进行补丁检查，可从整体上控制系统的打补丁的负载压力；并可控制局部的网络负载压力；且从控制在线用户入手，使得网络的负载压力一直处于稳定可控的范围内。

附图说明

图1是现有技术中一种网络接入控制技术方案中补丁管理的典型组网示意图；

图2是现有技术中一种补丁检查的流程图示意图；

图3是本发明提供的一种补丁检查的方法流程图；

图4是本发明应用场景示意图；

图5是本发明应用场景下提供的一种补丁检查的方法流程图；

图6是本发明提出的一种安全策略服务器的结构图。

具体实施方式

下面结合附图对本发明实施例进行详细描述。

本发明提出一种补丁检查的方法，该方法应用于包括安全策略服务器、补丁服务器和多个客户端的系统中，且在客户端进行补丁检查之前允许该客户端接入网络，如图3所示，该方法包括以下步骤：

步骤301，安全策略服务器获取各接入网络的客户端对应的上次补丁检查时间戳信息。其中，如果时间戳信息与当前时间大于预设时长，则为对应的客户端设置第一标识；否则，为对应的客户端设置第二标识或者不为对应的客户端设置任何标识。

步骤302，安全策略服务器从接入网络的具有第一标识的客户端中选择待检查客户端，并通知待检查客户端进行补丁检查。

本发明中，安全策略服务器可根据预设周期从接入网络的具有第一标识的客户端中选择预设个数的待检查客户端。安全策略服务器还可根据预设周期以及各客户端的所属接入设备从接入网络的具有第一标识的客户端中选择预设个数的待检查客户端。

步骤303，如果待检查客户端补丁检查不合格，则通过补丁服务器对待检查客户端的补丁进行更新。

需要说明的是，本发明中，预设时长大于预设周期；该预设时长根据补丁的更新速度设定(例如，补丁的更新速度为平均20天更新一次时，则可将预设时长设定为20天)和/或安全策略服务器对应的总用户数设定(例如，通过安全策略服务器管理的总用户数为10000，每天为500个用户提供补丁检查服务可保证不影响补丁服务器性能时，则可将预设时长设定为20(10000/500)天)；预设周期根据系统性能信息设定(例如，系统性能信息较好时，可设置的小一些，如1小时；系统性能信息较差时，可设置的大一些，如3小时)，且预设周期为选择预设个数的待检查客户端的时间周期。

为了更加清楚的阐述本发明提供的技术方案，以下结合具体应用场景对本发明提出的一种补丁检查的方法进行详细说明，如图4所示，为本发明应用场景下提出的组网示意图，各客户端通过不同的接入设备接入到补丁服务器和安全策略服务器，其中：

接入设备，即NAS(Network Access Server，网络接入服务器)设备，包括但不限于：支持RADIUS(Remote Authentication Dial In User Service，远程用户拨号认证系统)协议的交换机、路由器等设备，并作为RADIUS协议的客户端侧，将各种接入请求通过RADIUS报文发送至RADIUS服务器；当前实际应用中并不局限于RADIUS协议，对于其他协议不再赘述。

补丁服务器，用于为各客户端打补丁，包括但不限于WSUS(WindowsServer Update Service，Windows服务器升级服务)设备等。其中，WSUS是微软提供的免费网络化补丁管理的统一解决方案，WSUS设备可从微软的官方网站上自动下载最新的Windows操作系统补丁，且可自动分发给内网中的各客户端，以进行局域网内系统补丁的升级管理。

安全策略服务器，安全策略是由安全认证检查、实时监控、系统修复等三部分组成，通过配置安全策略以达到对客户端的安全认证进行控制，配置完安全策略则通过绑定服务的方式进行策略下发。其中，安全策略服务器具体用于对用户的安全性进行认证，通过与客户端的配合检查用户的安全特性，若检查不合格可限制用户的网络访问权限或直接将用户下线；若检查合格则用户的安全检查通过。

客户端：其支持802.1x、Portal等认证方式，该客户端和用户接入管理配合可实现一些高级特性，例如，防代理、防双网卡、通过给客户端下发消息使得认证通过后客户端自动运行某一任务等。其中，该客户端和安全认证服务器配合可实现一些终端准入的安全特性，如和防病毒软件的联动，检查可控软件/服务，补丁检查等特性。

基于上述组网情况，如图5所示，本发明提供的补丁检查的方法中，包括以下步骤：

步骤501，客户端进行身份认证。其中，当客户端需要接入网络时，需要进行身份认证，本步骤中，客户端可通过自身对应的接入设备发起身份认证，例如，客户端1可通过接入设备1发起身份认证；当身份认证通过后，该客户端将处在隔离区，并发起安全认证请求。

步骤502，客户端进行安全认证。其中，当客户端需要接入网络时，还需要进行安全认证，本步骤中，身份认证通过的客户端可通过自身对应的接入设备向安全策略服务器发起安全认证。例如，客户端1可通过接入设备1发起安全认证；本发明中，在进行安全认证时，可不进行补丁检查，并对其他安全策略(例如病毒库等策略)进行安全认证，当其他安全策略认证通过时，则客户端上线成功，可接入网络，即在客户端进行补丁检查之前允许该客户端接入网络。

步骤503，安全策略服务器获取各接入网络的客户端对应的上次补丁检查时间戳信息，并根据该时间戳信息为客户端设置相应标识。其中，当客户端接入网络时，该客户端将位于在线表中，即各接入网络的客户端为在线表中记录的客户端。

实际应用中，可在客户端进行安全认证时主动将上次补丁检查时间戳信息上报给安全策略服务器；可由安全策略服务器主动从客户端上获取上次补丁检查时间戳信息；可由客户端在身份认证时主动将上次补丁检查时间戳信息上报给认证服务器，并由认证服务器通知给安全策略服务器；可由安全策略服务器自身维护各客户端的上次补丁检查时间戳信息；该时间戳信息的获取方式可根据实际情况任意选择，本发明中不再赘述。

进一步的，在设置相应标识时，如果时间戳信息与当前时间大于预设时长(可根据实际需要进行选择，例如3天)，则为对应的客户端设置第一标识(表示需要重新进行补丁检查，例如可为1)；否则，为对应的客户端设置第二标识或者不设置任何标识(第二标识或者没有标识表示不需要重新进行补丁检查，例如第二标识可为0)。例如，实际应用中，补丁服务器上的补丁每隔10天将更新一次，则可将预设时长设置为10天，如果客户端的时间戳信息与当前时间大于10天，则说明该客户端需要重新进行补丁检查，设置为第一标识，否则说明该客户端不需要重新进行补丁检查，设置为第二标识或者不设置任何标识。

步骤504，安全策略服务器从接入网络的客户端中选择待检查客户端。其中，该待检查客户端为需要进行补丁检查的客户端。

本步骤中，针对在线表(即接入网络的客户端)中具有第一标识(需要重新进行补丁检查)的客户端，安全策略服务器可从中选择出待检查客户端，该选择方式可根据实际需要任意选择。例如：(1)安全策略服务器可根据预设周期从接入网络的具有第一标识的客户端中选择预设个数的待检查客户端；(2)安全策略服务器可根据预设周期以及各客户端的所属接入设备从接入网络的具有第一标识的客户端中选择预设个数的待检查客户端。其中，上述方式(1)和方式(2)的预设周期可以相同，也可以不同，可根据实际需要任意选择；预设个数可以相同，也可以不同，可根据实际需要任意选择。

例如，方式(1)时，安全策略服务器可每隔1个小时即统计在线表中的在线客户端，并从在线客户端中选择10个客户端启动补丁检查；方式(2)时，安全策略服务器可每隔1个小时即统计在线表中的在线客户端，在全部的接入设备中，选择总数为n个客户端，每个接入设备上选择m(n大于m)个客户端下发消息，通知所选择的n个客户端启动补丁检查。

需要注意的是，方式(2)时，安全策略服务器还需要确定接入设备与客户端的对应关系，并根据该对应关系确定各客户端的所属接入设备。例如，客户端在通过接入设备进行安全认证时，可通过报文将接入设备的IP地址上报给安全策略服务器，之后，安全策略服务器可获取接入设备与客户端的对应关系(记录到数据库的在线表中)，并在后续过程中根据该对应关系确定各客户端的所属接入设备。

需要说明的是，通过上述选择方式，(1)可从整体上控制系统打补丁的负载压力。例如，每小时选择n个客户端进行补丁检查，此参数n可由系统管理员根据本网络具体情况灵活配置，系统性能好时可配置的大一些，以加快打补丁的速度；系统性能差时可配置的小一些，以保证既能逐步地对客户端打补丁，也不影响正常业务的使用。

(2)可控制局部的网络负载压力。例如，每小时每个接入设备上选择m个客户端进行补丁检查，此参数m可由系统管理员根据接入设备具体情况灵活配置，接入设备上行带宽大时可配置的大一些，以加快打补丁的速度；接入设备上行带宽小时可配置的小一些，以保证既能逐步地对客户端打补丁，也不影响正常业务的使用。

(3)可从控制在线客户端入手，并可根据实际应用进行参数设置，每个小时固定的会有n个客户端进行补丁检查，而不会时多时少，从而使得网络的负载压力一直处于稳定可控的范围内。

步骤505，安全策略服务器通知待检查客户端进行补丁检查。

步骤506，待检查客户端进行补丁检查。其中，在安全策略服务器通知待检查客户端进行补丁检查时会将补丁服务器的地址发送给待检查客户端，而待检查客户端可根据补丁服务器的地址到该补丁服务器上进行补丁检查。

步骤507，如果待检查客户端补丁检查不合格，则通过补丁服务器对待检查客户端打补丁(即对待检查客户端的补丁进行更新)。如果待检查客户端补丁检查合格，则可以接入网络，正常开展工作。

在通过补丁服务器对待检查客户端打补丁时，待检查客户端会到补丁服务器下载补丁并安装，补丁安装完成后，重新发起安全认证和补丁检查；在此不再详加赘述。

本发明中，当待检查客户端补丁检查合格时，还需要标记此次选中的待检查客户端为已经执行过补丁检查；而在选择待检查客户端时，安全策略服务器需要从没有标记为已经执行过补丁检查的客户端中选择待检查客户端。实际应用中，可在待检查客户端补丁检查合格时，标记此次选中的待检查客户端为第二标识(即将第一标识调整为第二标识)或者清除此次选中的待检查客户端的第一标识(清除后该待检查客户端不具有任何标识)，在选择待检查客户端时，只从具有第一标识的客户端中选择待检查客户端即可。

需要说明的是，在待检查客户端进行补丁检查时，补丁服务器可将补丁检查合格或者补丁检查不合格的信息通知给安全策略服务器，当补丁检查合格时，则安全策略服务器将第一标识调整为第二标识或者清除待检查客户端的第一标识，并更新对应客户端的上次补丁检查时间戳信息；当补丁检查不合格时，则安全策略服务器不对第一标识进行调整，且不更新对应客户端的上次补丁检查时间戳信息。

基于与上述方法同样的发明构思，本发明还提出了一种安全策略服务器，应用于包括所述安全策略服务器、补丁服务器和多个客户端的系统中，在客户端进行补丁检查之前允许该客户端接入网络，如图6所示，该安全策略服务器包括：

获取模块11，用于获取各接入网络的客户端对应的上次补丁检查时间戳信息；

设置模块12，用于当所述时间戳信息与当前时间大于预设时长时，为对应的客户端设置第一标识；

选择模块13，用于从接入网络的具有第一标识的客户端中选择待检查客户端；

通知模块14，用于通知所述选择模块13选择的所述待检查客户端进行补丁检查；并当所述待检查客户端补丁检查不合格时，由所述补丁服务器对所述待检查客户端的补丁进行更新。

本发明中，所述选择模块13，具体用于根据预设周期从接入网络的具有第一标识的客户端中选择预设个数的待检查客户端。

所述选择模块13，具体用于根据预设周期以及各客户端的所属接入设备从接入网络的具有第一标识的客户端中选择预设个数的待检查客户端。

本发明中，所述预设时长大于所述预设周期；所述预设时长根据补丁的更新速度和/或所述安全策略服务器对应的总用户数设定；所述预设周期根据系统性能信息设定，且所述预设周期为选择预设个数的待检查客户端的时间周期。

本发明中，所述设置模块12，还用于当所述待检查客户端补丁检查合格时，清除所述待检查客户端的所述第一标识，并更新所述待检查客户端对应的上次补丁检查时间戳信息。

其中，本发明装置的各个模块可以集成于一体，也可以分离部署。上述模块可以合并为一个模块，也可以进一步拆分成多个子模块。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可以通过硬件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

上述本发明序号仅仅为了描述，不代表实施例的优劣。

以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims (8)

1.一种补丁检查的方法，应用于包括安全策略服务器、补丁服务器和多个客户端的系统中，其特征在于，在客户端进行补丁检查之前允许该客户端接入网络，该方法包括以下步骤：

所述安全策略服务器获取各接入网络的客户端对应的上次补丁检查时间戳信息；如果所述时间戳信息与当前时间大于预设时长，则为对应的客户端设置第一标识；

所述安全策略服务器从接入网络的具有第一标识的客户端中选择待检查客户端，并通知所述待检查客户端进行补丁检查；

如果所述待检查客户端补丁检查不合格，则通过所述补丁服务器对所述待检查客户端的补丁进行更新；

其中，所述预设时长根据所述安全策略服务器对应的总用户数设定；

其中，所述安全策略服务器从接入网络的具有第一标识的客户端中选择待检查客户端，具体包括：所述安全策略服务器根据预设周期以及各客户端的所属接入设备从接入网络的具有第一标识的客户端中选择预设个数的待检查客户端。

2.如权利要求1所述的方法，其特征在于，所述安全策略服务器从接入网络的具有第一标识的客户端中选择待检查客户端，具体包括：

所述安全策略服务器根据预设周期从接入网络的具有第一标识的客户端中选择预设个数的待检查客户端。

3.如权利要求2所述的方法，其特征在于，所述预设时长大于所述预设周期；所述预设周期根据系统性能信息设定，且所述预设周期为选择预设个数的待检查客户端的时间周期。

4.如权利要求1-2任一项所述的方法，其特征在于，当所述待检查客户端补丁检查合格时，所述方法还包括：

所述安全策略服务器清除所述待检查客户端的所述第一标识，并更新所述待检查客户端对应的上次补丁检查时间戳信息。

5.一种安全策略服务器，应用于包括所述安全策略服务器、补丁服务器和多个客户端的系统中，其特征在于，在客户端进行补丁检查之前允许该客户端接入网络，该安全策略服务器包括：

获取模块，用于获取各接入网络的客户端对应的上次补丁检查时间戳信息；

设置模块，用于当所述时间戳信息与当前时间大于预设时长时，为对应的客户端设置第一标识；其中，所述预设时长根据所述安全策略服务器对应的总用户数设定；

选择模块，用于从接入网络的具有第一标识的客户端中选择待检查客户端；

通知模块，用于通知所述选择模块选择的所述待检查客户端进行补丁检查；并当所述待检查客户端补丁检查不合格时，由所述补丁服务器对所述待检查客户端的补丁进行更新；

其中，所述选择模块，具体用于根据预设周期以及各客户端的所属接入设备从接入网络的具有第一标识的客户端中选择预设个数的待检查客户端。

6.如权利要求5所述的安全策略服务器，其特征在于，

所述选择模块，具体用于根据预设周期从接入网络的具有第一标识的客户端中选择预设个数的待检查客户端。

7.如权利要求6所述的安全策略服务器，其特征在于，所述预设时长大于所述预设周期；所述预设周期根据系统性能信息设定，且所述预设周期为选择预设个数的待检查客户端的时间周期。

8.如权利要求5-6任一项所述的安全策略服务器，其特征在于，

所述设置模块，还用于当所述待检查客户端补丁检查合格时，清除所述待检查客户端的所述第一标识，并更新所述待检查客户端对应的上次补丁检查时间戳信息。

Images