CN102292939A - 网络安全系统以及远程机器隔离方法 - Google Patents

Abstract

在客户端终端经由网络与远程机器连接来执行业务处理的精简型客户端系统中，根据客户端终端的用户的指示而将病毒感染了的远程机器从网络隔离，并且维持业务处理中最低限度需要的通信设定。即，请求发布代理根据用户输入来发布隔离请求，请求执行代理根据隔离请求来改变远程机器的通信设定。此外，可以在从网络隔离了远程机器的状态下，参照预先存储了该远程机器的最低限度需要的通信设定的切断设定文件，通过管理服务器改变关于远程机器的网络设定。

Description

网络安全系统以及远程机器隔离方法

技术领域

本发明涉及网络安全系统，尤其涉及在精简型客户端系统(Thin ClientSystem)中通过客户端终端将有可能感染了计算机病毒的远程机器(远程计算机)从网络隔离的远程机器隔离方法。

本申请基于2009年2月19日在日本申请的特愿2009-36512号主张优先权，并在此引用其内容。

背景技术

近年来，在客户端服务器系统中，发展为在网络中使用限制了客户端终端的功能的精简型客户端系统。在精简型客户端系统中，客户端终端通过网络与远程机器连接，用户通过从客户端终端远程操作远程机器，从而执行各种处理。

另一方面，经由因特网等网络，计算机病毒(以下简称为“病毒”)蔓延，从网络内的机器的信息泄露成为问题。在怀疑网络内的机器感染了病毒的情况下，需要从网络隔离该机器。据此，能够防止病毒通过网络传染到其他机器从而在网络内蔓延。

关于精简型客户端系统、病毒安全对策，开发了各种技术，例如，专利文献1中公开了从网络隔离怀疑感染了病毒的机器的技术。根据该技术，响应于管理者手动发布的命令、或者自动启动的命令，在逻辑上从网络切断特定的主机。

【专利文献1】JP特开2007-129707号公报

【专利文献2】JP特开2005-333372号公报

【专利文献3】JP特开2007-133666号公报

【专利文献4】JP特开2007-226822号公报

专利文献1的现有技术，在防止病毒蔓延的观点上具有较高的防御性，但是应用于如精简型客户端系统那样从客户端终端远程操作远程机器的环境时，存在以下课题。

精简型客户端系统与用户直接操作机器的计算机系统不同，为了从客户端终端对远程机器进行远程操作而进行经由网络的通信。因此，若由管理者从网络完全地切断远程机器，则在客户端终端中不能执行一切操作，对处理工作产生障碍。因此，需要不是完全切断远程机器的通信，而是确保在客户端终端的操作所需要的最低限度的通信的同时，选择性地切断不需要的通信。

此外，即使在机器中导入病毒检测用的软件，也存在不能检测新种病毒的情况。在那样的情况下，用户察觉到机器感染了病毒。但是，在精简型客户端系统中，因为客户端终端正在与远程机器连接，所以即使用户注意到来自病毒监测软件的警告、或由病毒引起的可疑的计算机动作，也难以拔掉网线从而从网络物理地隔离客户端终端。

而且，在导入精简型客户端系统的情况下，出于安全性的观点，还存在对客户端终端的用户不赋予管理者权限的情况。因此，没有管理者权限的用户操作客户端终端从而不能进行感染了病毒的远程机器的连接设定的变更操作，此外，也不能在逻辑上从网络隔离该远程机器。在这种情况下，用户需要向感染了病毒的远程机器的管理者请求该隔离操作。因此，从用户注意到病毒感染起实际将远程机器从网络隔离为止花费较长时间，其间病毒在网络内蔓延。

发明内容

本发明是鉴于上述情况而作出的，其目的在于提供一种网络安全系统，能够不经由系统管理者，而由用户来操作客户端终端从而迅速地从网络隔离感染了病毒的远程机器。

本发明涉及一种网络安全系统，客户端终端经由网络与远程机器连接来执行业务处理，具备：请求发布代理，其根据客户端终端的用户的指示来发布用于将远程机器从网络隔离的隔离请求；和请求执行代理，其根据隔离请求来改变远程机器的通信设定。

本发明涉及一种远程机器隔离方法，适用于客户端终端经由网络与远程机器连接来执行业务处理的网络安全系统，其中，根据客户端终端的用户的指示来发布用于将远程机器从网络隔离的隔离请求，根据隔离请求来改变远程机器的通信设定。

本发明适用于对客户端终端的用户不赋予管理者权限、用户不能在逻辑上使网络设定无效那样的精简型客户端系统。在用户注意到正在进行远程操作的远程机器的病毒感染时，手动对管理模块发布隔离请求来将该远程机器从网络隔离。隔离请求由客户端终端或者远程机器发布。此外，不仅可以将远程机器从网络完全隔离，而且可以根据用户的判断而维持业务处理中最低限度需要的通信设定(例如，端口、关于通信对象的设定)。

据此，在精简型客户端系统中怀疑远程机器感染了病毒时，不用经由管理者，可以根据客户端终端的用户的判断来将该远程机器从网络隔离，或者限制其通信。

根据本发明，通过用户操作客户端终端，可以改变有关远程机器的网络设定，由此在精简型客户端系统中，能够可靠地防止病毒感染的蔓延，由此可以提高病毒防御性。

附图说明

图1是表示本发明的优选实施例所涉及的与网络安全系统对应的精简型客户端系统的结构的框图。

图2是示出了在第一运用模式中使用的结构要素的网络安全系统的框图。

图3是表示在第一运用模式中从网络隔离远程机器的处理的框图。

图4是表示在第一运用模式中执行了隔离处理后的远程机器的通信状态的框图。

图5是示出了在第二运用模式中使用的结构要素的网络安全系统的框图。

图6是表示在第二运用模式中从网络隔离远程机器的处理的框图。

符号说明：

100  远程机器群

110  远程机器

200  管理服务器

210  管理模块

300  客户端终端群

310  客户端终端

400  网络设备

500  服务器群

600  请求发布代理

600A 请求发布代理

610  请求执行代理

700  切断设定文件

800  网络

具体实施方式

作为本发明的优选实施例所涉及的网络安全系统，对精简型客户端系统参照附图进行详细说明。

本实施例所涉及的网络安全系统是客户端终端的用户能够从网络隔离处于远程地的远程机器的系统。这里，“隔离”这一用语，不仅包括完全切断远程机器的通信从而从网络遮断的概念，还包括维持远程机器的通信的一部分而从网络部分地遮断的概念。

图1是表示本实施例所涉及的精简型客户端系统的结构的框图。精简型客户端系统由远程机器群100、管理服务器200、客户端终端群300、网络设备400、服务器群500、以及网络800构成。客户端终端群300通过网络800与网络设备400连接，该网络设备400与远程机器群100、管理服务器200、以及服务器群500连接。

远程机器群100由用于执行各种处理的多个远程机器110-1、110-2、……、110-n(n是自然数)构成。远程机器群100不需要一定由多个远程机器构成，也可以仅由1台远程机器构成。为了便于说明，在指定各远程机器的情况下称为“远程机器110”。

远程机器110由客户端终端群300内的各客户端终端进行远程操作，各客户端终端的用户能够与自己的计算机同样地使用远程机器110。远程机器110，例如可以通过通用的个人计算机(PC)、由虚拟化软件(例如，Vmware公司的VMware ESX(注册商标))实现的虚拟机(VM)、或者刀片(blade)服务器中的一个刀片构成。

远程机器110请求发布代理(agent)600和请求执行代理610。请求发布代理600对管理服务器200的管理模块210发布用于从网络800隔离特定的远程机器110的隔离请求。请求执行代理610根据来自管理模块210的请求，改变远程机器110的网络设定。

管理服务器200用于执行管理模块210的功能。管理模块210装载对远程机器110和网络设备400进行管理的程序，改变远程机器110和网络设备400之间的网络设定。

管理服务器200保持有切断设定文件700，切断设定文件700保存了表示在隔离了远程机器110的状态下要继续的通信设定的通信切断信息。切断设定文件700用于保持针对从网络800隔离的远程机器110要继续的通信设定(例如，端口、用于确定通信对象的设定)或者要切断的通信设定。例如，在切断设定文件700中，可以预先保存在各业务中最低限度需要的通信设定。

在将远程机器110从网络800隔离时，通过对给定业务应用预先准备的切断设定文件700，可以省去用户选择要继续的通信设定的工夫，继续给定业务。即，管理服务器200可以根据要继续的业务而具备多个切断设定文件700。另外，也可以不使用切断设定文件700，而由用户选择要继续的通信设定从而指示管理模块210。

客户端终端群300由多个客户端终端310-1、310-2、……、310-m(m是自然数)构成。客户端终端群300不需要一定由多个客户端终端构成，也可以由1台客户端终端构成。为了便于说明，在指定各客户端终端时称为“客户端终端310”。

用户通过操作客户端终端310，通过因特网等网络800对远程机器110进行远程操作。客户端终端310由没有硬盘等存储装置的精简型客户端终端、或者通用的个人计算机(PC)构成。客户端终端310具备与远程机器110的请求发布代理600同等的请求发布代理600A。

网络设备400具有控制网络800的L2开关、L3开关、以及防火墙(firewall)等的功能，可以通过管理模块210改变其网络设定。

服务器群500是在网络800内动作的业务用服务器，例如，是根据FTP(File Transfer Protocol，文件传输协议)存储业务使用的文件的文件服务器、或执行基于WEB浏览器的业务的WEB服务器等，以特定的端口与客户端进行通信。在图1中，作为服务器群500示出了服务器510、520这两个，但是其服务器数量是任意的，可以包括两个以上的服务器。

本实施例所涉及的网络安全系统包括：远程机器110中所具备的请求发布代理600以及请求执行代理610；管理服务器200中所具备的管理模块210；以及客户端终端310中所具备的请求发布代理600A。

在图1中，在客户端终端310具备具有与远程机器110的请求发布代理600同样的功能的请求发布代理600A，但是也可以根据网络安全系统的运用模式，使用请求发布代理600以及600A中的一个而省略另一个。或者，可以根据远程机器110的隔离方法，省略远程机器110的请求执行代理610。

下面，说明网络安全系统中的远程机器110的隔离方法。

这里，对使用客户端终端310的请求发布代理600A将远程机器110从网络800隔离的第一运用模式、和使用远程机器110的请求发布代理600将远程机器110从网络800隔离的第二运用模式进行说明。

(1)第一运用模式

对于网络安全系统的第一运用模式，参照图1-图4进行详细说明。

在第一运用模式中，在用户注意到病毒感染的情况下，使用客户端终端310的请求发布代理600A发布隔离请求，管理服务器200根据该隔离请求改变网络设备400的网络设定，从而将特定的远程机器110从网络800隔离。

在第一运用模式中，不使用远程机器110的请求发布代理600以及请求执行代理610。即，对于第一运用模式，可以从远程机器110省略请求发布代理600以及请求执行代理610。

图2是表示从远程机器110省略了请求发布代理600以及请求执行代理610的结构的框图。其他结构要素与图1所示的相同。

参照图2来对第一运用模式进行说明。这里，用户为了业务处理而将客户端终端310-1与远程机器110-1连接。即，用户为了对远程机器110-1进行远程操作，而从客户端终端310-1对远程机器110-1通过远程连接用协议P1(例如，RDP：Remote Desktop Protocol，远程桌面协议)开始通信。据此，用户通过客户端终端310-1对远程机器110-1进行远程操作从而进行各种业务处理。

在上述中，考察在客户端终端310-1和远程机器110-1正在连接中，用户察觉到了远程机器110-1感染了病毒的情况。例如，在用户受到病毒检测软件的警告、或者注意到了由远程机器110-1的病毒感染引起的可疑动作时，用户决定将该远程机器110-1从网络800隔离。另一方面，用户判断为即使将远程机器110-1从网络800隔离，为了继续业务处理所需要的最小限度的作业，而需要继续基于远程连接用协议P1和与服务器510的文件传输用协议P2的通信。

在该情况下，用户将继续远程连接的通信设定(例如，端口、指定通信对象的设定)输入到客户端终端310-1的请求发布代理600A。根据该用户输入，请求发布代理600A对管理服务器200的管理模块210指定继续远程连接的通信设定，发布要将远程机器110-1从网络800隔离的隔离请求(参照图3的“10”)。这里，作为继续远程连接的通信设定，用户指定远程连接用协议P1和与服务器510的通信用协议P2。

响应于请求发布代理600A的隔离请求而要将远程机器110-1从网络800隔离，管理模块210改变远程机器110-1的通信设定(参照图3的“20”)。即，管理模块210根据隔离请求判断要将哪个远程机器110从网络800隔离(即，决定将远程机器110-1从网络800隔离)，改变要维持最低限度的通信设定、并且丢弃不需要的通信设定的网络设定。

上述网络设定的变更处理，在维持用户指定的通信设定的限度内是任意的，但是在第一运用模式中，改变网络设备400的网络设定，使遮断对象的数据包(packet)不流入网络800。即使在进行了该网络设定的变更处理后，客户端终端310-1和远程机器110-1的远程连接也继续(参照图3的“30”)。

图4示出根据来自用户的隔离请求而将远程机器110-1从网络800隔离之后的远程机器110-1的通信状态。在第一运用模式中，远程机器110-1继续基于与客户端终端310-1的远程连接用协议P1和与服务器510的文件传输用协议P2的通信，使其他通信成为不能。

因此，在维持用户指定的最低限度的通信设定的同时，将病毒感染了的远程机器110-1从网络800有效地隔离，由此能够防止病毒扩散。

在第一运用模式中，管理服务器200在远程机器110的隔离处理中未使用切断设定文件700。但是，也可以如后述的第二运用模式那样，按照管理服务器200对应于来自用户的隔离请求而参照切断设定文件700，维持该切断设定文件700中所描述的通信设定的方式，改变网络设定。

(2)第二运用模式

参照图5-图6来说明网络安全系统的第二运用模式。

在第二运用模式中，客户端终端310的用户使用远程机器110具备的请求发布代理600发布要将远程机器110从网络800隔离的隔离请求。在第二运用模式中，不使用客户端终端310的请求发布代理600A。即，可以从适用于第二运用模式连接于网络安全系统的客户端终端310省略请求发布代理600A。

如图6所示，在管理服务器200中作为切断设定文件700具备2个切断设定文件700-1、700-2。切断设定文件700-1(或者“切断设定文件1”)描述了切断全部通信(即，在远程机器110的隔离状态下，不存在要继续远程连接的通信设定)。此外，切断设定文件700-2(或者“切断设定文件2”)例如描述了维持与客户端终端310-2的远程连接(即，在远程机器110的隔离状态下，继续与客户端终端310-2的通信)。另外，管理服务器200保持的切断设定文件的内容以及数量不需要限定于图6所示的情况。

图5是表示在网络安全系统中从客户端终端310省略了请求发布代理600A的结构的框图。其他结构要素与图1相同。

在第二运用模式中，例如，客户端终端310-2的用户在正在与远程机器110-2的远程连接中，注意到病毒检测软件的警告，或者注意到由病毒感染引起的远程机器110-2的可疑动作时，决定将远程机器110-2从网络800完全隔离。在该情况下，客户端终端310-2的用户指定管理服务器200的切断设定文件700-1，通过远程机器110-2的请求发布代理600对管理模块210发布用于将该远程机器110-2从网络800隔离的隔离请求(参照图6的“40”)。

接收了隔离请求的管理服务器200，使管理模块210工作，参照切断设定文件700-1，对该请求执行代理610改变网络设定，从而完全遮断远程机器110-2的通信(参照图6的“50”)。即，通过请求执行代理610改变网络设定，将远程机器110-2从网络800隔离完全，由此防止病毒扩散。

第二运用模式在以下3点与第一运用模式不同。

第一不同点是：通过远程机器110的请求发布代理600发布用于将该远程机器110从网络800隔离的隔离请求(即，图6的“40”)。在网络安全系统中远程机器110的隔离请求，可以如第一运用模式那样由客户端终端310的请求发布代理600A发布，此外，也可以如第二运用模式那样由远程机器110的请求发布代理600发布。

第二不同点是：对于远程机器110-2不继续远程连接，完全地将远程机器110-2从网络800隔离。在该隔离处理后，只要管理者不将远程机器110-2的通信设定复原，客户端终端310-2的用户就不能通过远程连接操作远程机器110-2。据此，第二运用模式与第一运用模式相比，能够起到更高的病毒蔓延防止效果。

第三不同点是：客户端终端310-2的用户指定管理服务器200的切断设定文件700-1来将远程机器110-2从网络800隔离。在第一运用模式中用户各自指定继续远程连接的通信设定，而在第二运用模式中在管理服务器200预先准备统一描述了继续远程连接的通信设定的切断设定文件700-2，客户端终端310的用户在发布隔离请求时指定希望的切断设定文件700。

即，管理模块210读入由隔离请求所指定的切断设定文件700并进行参照，从而决定如何将远程机器110从网络800隔离的隔离方法(参照图6的“40”)。此外，对于隔离处理是任意的，但在图6中管理模块210通过指示远程机器110-2的请求执行代理610改变与远程机器110-2相关的网络设定(参照图6的“50”)，从而将该远程机器110-2从网络800完全隔离。

根据本实施例，可以取得以下的效果。

作为第一效果，即使在如精简型客户端系统那样，机器的执行环境不在用户跟前而在较远的地方(远程地)，所以在怀疑机器感染了病毒时不能通过拔掉LAN(Local Area Network，局域网)电缆来将该机器从网络隔离这样的计算机系统中，通过对管理模块发布隔离请求，就可以根据客户端终端的用户自己的判断即刻将机器从网络隔离，由此可以有效地防止病毒的蔓延。

作为第二效果，客户端终端的用户可以决定继续远程连接的通信设定，而不用系统的管理者，所以能够在维持业务处理所需要的最低限度的通信设定(例如，端口、关于通信对象的设定)的同时，继续完成该业务处理。

作为第三效果，在由用户发布了远程机器的隔离请求后，系统自动地将该远程机器从网络隔离，所以可以减轻管理者的负担。

本发明所涉及的网络安全系统以及远程机器隔离方法不限定于上述实施例，可以如下地进行各种变更。

在第一运用模式中，通过改变网络设备400的网络设定来限制远程机器110的通信设定，但是也可以根据隔离方法，与网络设备400的网络设定一起适当改变远程机器110的通信设定。此外，也可以启动请求执行代理610来改变通信设定。

在第二运用模式中，通过远程机器110具备的请求执行代理610改变其通信设定，但是不局限于此。即，也可以通过管理模块210改变网络设备400的网络设定或者远程机器110的通信设定，将远程机器110从网络800隔离。

在本实施例中，将网络安全系统的动作分为第一运用模式以及第二运用模式进行了说明，但是例如，对远程机器110-1进行远程连接的客户端终端310-1的用户、和对远程机器110-2进行远程连接的客户端终端310-2的用户可以分别独立地运用网络安全系统。即，可以客户端终端310-1的用户A按照第一运用模式将远程机器110-1从网络800隔离，另一方面，客户端终端310-2的用户B按照第二运用模式将远程机器110-2从网络800隔离。此外，对于远程机器隔离方法也不限定于本实施例，可以根据客户端终端110的用户的各自的请求来改变远程机器隔离方法。

(产业上的可利用性)

本发明可以应用于经由网络连接客户端终端和远程机器来进行业务处理那样的网络计算，尤其应用于不给予客户端终端的用户管理者权限的精简型客户端系统中可以取得显著的效果。此外，客户端终端的用户不用通过管理者就可以任意地将远程机器从网络隔离，并且可以执行希望的通信继续/遮断方法，所以在取得较高的病毒防御效果的同时，可以实现较高的自由度的网络计算。

Claims (7)

1.一种网络安全系统，其中客户端终端经由网络与远程机器连接来执行业务处理，所述网络安全系统具备：

请求发布代理，其根据客户端终端的用户的指示来发布用于将远程机器从网络隔离的隔离请求；和

请求执行代理，其根据隔离请求来改变远程机器的通信设定。

2.根据权利要求1所述的网络安全系统，其特征在于，

请求执行代理，在从网络隔离了远程机器的状态下，参照预先存储了该远程机器的最低限度需要的通信设定的切断设定文件，改变远程机器的通信设定。

3.根据权利要求1所述的网络安全系统，其特征在于，

在远程机器中具备请求执行代理。

4.根据权利要求1所述的网络安全系统，其特征在于，

请求执行代理，改变连接于远程机器与网络之间的网络设备的网络设定，从而改变远程机器的通信设定。

5.根据权利要求1所述的网络安全系统，其特征在于，

在客户端终端或者远程机器中具备请求发布代理。

6.一种远程机器隔离方法，适用于客户端终端经由网络与远程机器连接来执行业务处理的网络安全系统，其中，

根据客户端终端的用户的指示来发布用于将远程机器从网络隔离的隔离请求，

根据隔离请求来改变远程机器的通信设定。

7.根据权利要求6所述的远程机器隔离方法，其特征在于，

在从网络隔离了远程机器的状态下，参照预先存储了该远程机器的最低限度需要的通信设定的切断设定文件，来改变远程机器的通信设定。

Images