CN102307114A

CN102307114A - 一种网络的管理方法

Info

Publication number: CN102307114A
Application number: CN201110281126A
Authority: CN
Inventors: 熊华根; 王豪
Original assignee: Beijing NSFocus Information Security Technology Co Ltd
Current assignee: Beijing NSFocus Information Security Technology Co Ltd
Priority date: 2011-09-21
Filing date: 2011-09-21
Publication date: 2012-01-04

Abstract

本发明提供了一种网络的管理方法，包括：在受控网络中设置超级管理员，登录该超级管理员以创建并配置所述受控网络中的设备管理员和普通用户；登录所述设备管理员，以管理针对所述受控网络中至少一个设备的访问，并为该设备配置访问控制策略；登录所述普通用户，以根据所述访问控制策略访问所述设备。实施本发明提供的方法可实现对受控网络中的账户进行集中管理和提升受控网络的管理的安全性和便捷性，也便于对设备管理员或普通用户的操作行为进行安全审计。

Description

一种网络的管理方法

技术领域

本发明涉及计算机网络领域，尤其涉及一种网络的管理方法。

背景技术

随着信息化的发展，企业内部的受控网络系统也不断发展，例如该网络规模和设备数量迅速扩大，企业人员对这些设备和资源的使用日趋复杂，受控网络的工作重点和挑战已经不仅仅只是网络平台的前期建设，其在运维与安全管理阶段的要求逐渐增高。企业内部的受控网络的安全运行直接关系企业效益，构建一个稳定的受控网络的运维安全管理体系对企业信息化的发展至关重要。

目前，面对日趋复杂的受控系统，其中存在大量的各类账户，如果出现安全事故，难以定位账户的实际使用者和责任人，不便找出事故原因；并且该各类账户的使用权限和范围缺乏有效控制，存在较大安全风险和隐患。

发明内容

本发明的目的在于提供一种网络的管理方法，在受控网络中配置有效率的账户结构，以便有效地实现对受控网络的管理。

为达到上述目的，本发明提供了一种网络的管理方法，包括：

在受控网络中设置超级管理员，登录该超级管理员以创建并配置所述受控网络中的设备管理员和普通用户；

登录所述设备管理员，以管理针对所述受控网络中至少一个设备的访问，并为该设备配置访问控制策略；

登录所述普通用户，以根据所述访问控制策略访问所述设备。

根据本发明提供的网络的管理方法，通过在受控网络中设置超级管理员来创建设备管理员和普通用户，可实现对受控网络中的账户进行集中管理。所述设备管理员为受控网络中的设备配置访问控制策略，普通用户根据该访问控制策略访问所述设备，提升受控网络的管理的安全性和便捷性，也便于对设备管理员或普通用户的操作行为进行安全审计。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：

图1是根据本发明的网络的管理方法的一种具体实施方式的流程图；

图2是图1示出的方法应用至受控网络中的关系结构示意图；

附图中相同或相似的附图标记代表相同或相似的部件。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明的实施例作详细描述。

首先请参考图1，图1是根据本发明的网络的管理方法的一种具体实施方式的流程图，该方法包括：

步骤S101，在受控网络中设置超级管理员，登录该超级管理员以创建并配置所述受控网络中的设备管理员和普通用户；

步骤S102，登录所述设备管理员，以管理针对所述受控网络中至少一个设备的访问，并为该设备配置访问控制策略；

步骤S103，登录所述普通用户，以根据所述访问控制策略访问所述设备。

具体地，所述受控网络指的是由多个设备组成计算机网络结构，所述设备包括网络节点设备、计算机终端、服务器、存储设备或其组合，例如网络防火墙装置、路由器、交换机、windows/UNIX/Linux平台的服务器和独立的数据库服务器等物理设备。所述受控网络包括网络设备构成的物理系统、计算机软件构成的逻辑系统或其组合，其中网络设备构成的物理系统例如是：多台终端加上路由器配置形成小型局域网系统，或多台服务器组成的服务器集群系统；计算机软件构成的逻辑系统例如是：分布式数据库系统。

对所述受控网络中的设备进行管理工作由设备管理员完成；该受控网络中的普通用户只具有根据规则访问受控网络中各类设备的权限，并不具有管理受控网络中设备的权限。在所述受控网络中可以有多个设备管理员，例如某一类型的设备分配给一个设备管理员进行管理；在该受控网络中可以有多个普通用户，该普通用户的具体数量可以根据实际应用需求进行设置。为了对设备管理员和普通用户进行集中管理，该受控网络中通常设置至少一个超级管理员，登录该超级管理员的用户在所述受控网络中具有特殊权限，可以在所述受控网络中创建并配置所述设备管理员和普通用户。所述设备管理员的主要任务是管理针对所述受控网络中的设备的访问行为，并为该设备配置访问控制策略，容易理解的是，一个设备管理员可以管理针对多个所述受控网络中的设备的访问行为，并为该多个设备均配置访问控制策略。登录所述普通用户的用户在访问所述受控网络中的各类设备时，需要根据每一设备对应的访问控制策略进行访问。

在一些实施例中，所述超级管理员可以向所述设备管理员授权，然后设备管理员具有创建并配置普通用户的权限，但是其配置的普通用户在所述受控网络中的访问范围不能超出该设备管理员管理的设备的范围。

基于所述受控网络的维护考虑，登录所述超级管理员的用户还具有以下权限：可以修改所述受控网络中的设备的信息和/或删除所述受控网络中的设备，因此当受控网络中的物理设备升级或移除时可以及时其配套的逻辑信息。基于所述受控网络的扩容考虑，登录所述超级管理员的用户还具有以下权限：可以将新设备添加至所述受控网络中，因此可以在所述受控网络增加规模时及时更新其配套的逻辑信息。

进一步对上述内容中的一些步骤进行说明。

步骤S102中：

登录所述设备管理员，以管理针对所述受控网络中至少一个设备的访问包括：查看所有设备管理员、查看所有普通用户、创建并配置普通用户、配置由系统设备管理员或普通用户组成的用户组、查看和编辑分配给当前设备管理员的设备对象并配置设备账号。

登录所述设备管理员，并为该设备配置访问控制策略包括：基于下述一项或者多项或其任意组合来配置所述访问控制策略：访问时间、IP地址访问、用户/用户组、设备/设备组、访问账号、操作命令、危险级别、记录日志和/或发送告警。以上各项是所述普通用户对所述受控网络中的设备产生访问行为时需要监控和控制的因素。

此外，登录所述设备管理员，并为该设备配置访问控制策略还包括：登录所述设备管理员，查看与其创建的访问策略相关的审计日志以及审计报表。所述审计日志或审计报表是普通用户根据所述访问控制策略对设备产生访问行为中的字符通信、图形通信或文件传输通信后生成的。

优选地，当登录所述普通用户的用户越权对所述受控网络中的设备进行操作时，所述设备管理员有权对当前越权操作的普通用户的命令进行阻断。

步骤S103中：

登录所述普通用户账户并根据所述访问控制策略访问所述设备包括：登录所述普通用户的主账号，该主账号映射至少一组用于访问设备的从账号，所述普通用户在所述从账号对应的设备访问权限内、根据所述访问控制策略访问所述设备。优选地，登录所述设备管理员，将从账号对应的设备访问权限授权给所述普通用户，即所述普通用户的主账号与所述从账号的对应关系由所述设备管理员配置。

除此之外，基于网络的安全审计考虑，可以在所述受控网络中设置审计员，登录该审计员对所述普通用户和/或所述设备管理员的网络操作行为进行审计，例如查看所有正在进行设备访问的会话并监控用户的实时操作。所述会话主要包括以下几类：字符会话(例如基于SSH协议或Telnet协议的字符会话)、图形会话(例如基于RDP协议或VNC协议的图形会话)、文件传输会话(例如基于FTP协议或SFTP协议的文件传输会话)。进一步地，登录审计员对所述普通用户和/或所述设备管理员的网络操作行为进行审计还包括：基于下述一项或者多项或其任意组合来配置审计策略：访问时间、IP地址访问、用户/用户组、设备/设备组、访问账号、操作命令、危险级别、记录日志和/或发送告警。

为了更好地说明本发明提供的网络的管理方法，请参考图2，图2是图1示出的方法应用至受控网络中的关系结构示意图，该受控网络中包括账户逻辑系统100，该账户逻辑系统100中包括初始的超级管理员101，以及该超级管理员101创建和配置的设备管理员102和普通用户103。用户接入所述受控网络时，使用用户终端200一侧内的终端(例如PC终端201、笔记本终端202和服务器终端203等)登录激活超级管理员101、设备管理员102和普通用户103即可。

当超级管理员101配置设备管理员102时，即指定设备管理员102管理的设备范围，在本实施例中设备管理员102可以管理设备和系统300一侧内的所有设备或系统，例如数据库301、路由器302和服务器303，设备管理员102可以查看并访问设备和系统300一侧内的所有设备和系统、可以为该设备或系统配置访问控制策略、可以监控上述设备或系统正在进行在线回话。

当超级管理员100配置普通用户103时，即指定其可以访问的设备范围。普通用户103可以查看并访问超级管理员101分配的设备，但是其访问权限由设备管理员102配置的访问控制策略控制。

登录超级管理员101后，可以对设备和系统300一侧(即所述受控网络的部分物理实体)的设备进行维护，例如将新设备添加至所述受控网络中、修改所述受控网络中的设备的信息和/或删除所述受控网络中的设备。

图2中用户登录普通用户103时首先登录普通用户103的主账号，该主账号映射三组从账号，分别是数据库从账号、路由器从账号和服务器从账号，分别用于访问数据库301、路由器302和服务器303。该主账号映射上述从账号的过程由账号映射逻辑体110完成。以数据库从账号为例，该数据库从账号是由数据库301预先分配的，同时数据库301也指定了使用所述数据库从账号的用户所具有的维护权限，例如针对所述该数据库从账号，数据库系统301已经为其分配了修改、查询、恢复日志等维护权限。在本实施例中，设备和系统300一侧只具有一个数据库301，相应地，普通用户103的主账号只对应一租数据库从账号。随着整个网络的扩容，设备和系统300一侧可以添加多个的数据库系统(图中未示出)，如果需要使普通用户103具有访问上述多个数据库系统的权限，则该普通用户103的主账号还应映射多组用于登录所述多个数据库系统的数据库从账号。此外，类似普通用户啊103的主账号映射所述数据库从账号的安排，在本实施例中普通用户103还具有访问路由器302和服务器303的权限，其具体访问流程可以参考前述内容中关于访问数据库301的流程。具体而言，所述数据库301、路由器302和服务器303代表一个单独的设备，例如数据库301包括信用卡数据库系统或人事管理数据库，路由器302包括局域网路由器货骨干网路由器，服务器303包括工作组服务器、部门级服务器或企业级服务器等。用户登录普通用户103的主账号的方法可以是采用传统的口令机制，例如直接输入主账号的ID和密码，也可以是采用MAC地址绑定、IP地址绑定、电子密钥、便携设备密钥、LDAP认证或RADIUS认证的方法登录该主账号，即用户使用所述受控网络中任一台终端并发起登录请求时，验证该终端携带的身份认证信息，若与普通用户103的主账号匹配则提供访问授权。

优选地，本发明提供的网络的管理方法中还可以在账户逻辑系统100内配置审计员(图中未示出)，登录该审计员配置审计策略，并根据该审记策略可以对普通用户103和/或设备管理员102的网络操作行为进行审计。举例说明：一方面，登录该审计员后，可以对设备管理员102对账号映射逻辑体110操作进行审计，例如查看设备管理员102对其管理的设备账号分配的情况，以及上述设备账号的使用情况；另一方面，登录该审计员后，可以对普通用户103访问设备和系统300一侧设备或系统的明细情况进行审计，例如查看依照审记策略所需记录的内容产生的审计日志或审计报表，具体而言，上述审计日志或审计报表包括的内容包括：普通用户103发起访问的起始和终止时间、访问IP地址、目标设备IP地址、设备名称、协议类型、事件等级和操作内容中的一项或多项，其中操作内容包括基于SSH协议或Telnet协议的字符会话操作、基于RDP协议或VNC协议的图形会话操作、基于FTP协议或SFTP协议的文件传输会话操作，可用视频记录的方式记录上述会话操作的具体过程，展示从登录到退出整个操作会话过程中的输入命令以及每步操作返回的执行结果。还可以实时监控普通用户103基于上述几种协议进行的操作行为。

图2示出的实施例中只示出了存在一个设备管理员102和一个普通用户103的情况，本领域技术人员应当理解，随着所述受控网络的扩容和精细分化，可以在账户逻辑系统中设置多个设备管理员102和普通用户103。

在实施过程中，账户逻辑系统100和账户映射逻辑体可以实施在一个单独的设备中，将该单独的设备接入用户终端200一侧和设备和系统300一侧的通信链路之间，即可实现上述网络的管理方法。

本发明提供的实现网络的管理方法可以使用可编程逻辑器件结合来实现，也可以实施为计算机程序软件，例如根据本发明的实施例可以是一种计算机程序产品，运行该程序产品使计算机执行用于所示范的方法。所述计算机程序产品包括计算机可读存储介质，该介质上包含计算机程序逻辑或代码部分，用于实现上述网络的管理方法。所述计算机可读存储介质可以是被安装在计算机中的内置介质或者可从计算机主体拆卸的可移动介质(例如热拔插技术存储设备)。所述内置介质包括但不限于可重写的非易失性存储器，例如RAM、ROM、快闪存储器和硬盘。所述可移动介质包括但不限于：光存储媒体(例如CD-ROM和DVD)、磁光存储媒体(例如MO)、磁存储媒体(例如盒带或移动硬盘)、具有内置的可重写的非易失性存储器的媒体(例如存储卡)和具有内置ROM的媒体(例如ROM盒)。

以上所揭露的仅为本发明的一些较佳实施例而已，当然不能以此来限定本发明之权利范围，因此依本发明权利要求所作的等同变化，仍属本发明所涵盖的范围。

Claims

1.一种网络的管理方法，包括：

2.根据权利要求1所述的方法，还包括：

登录所述超级管理员，将新设备添加至所述受控网络中、修改所述受控网络中的设备的信息和/或删除所述受控网络中的设备。

3.根据权利要求1所述的方法，其中，登录所述设备管理员，以管理针对所述受控网络中至少一个设备的访问包括：

查看所有设备管理员、查看所有普通用户、创建并配置普通用户、配置由系统设备管理员或普通用户组成的用户组、查看和编辑分配给当前设备管理员的设备对象并配置设备账号。

4.根据权利要求1所述的方法，其中，登录所述设备管理员，并为该设备配置访问控制策略包括：

基于下述一项或者多项或其任意组合来配置所述访问控制策略：访问时间、IP地址访问、用户/用户组、设备/设备组、访问账号、操作命令、危险级别、记录日志和/或发送告警。

5.根据权利要求1所述的方法，其中，登录所述设备管理员，并为该设备配置访问控制策略还包括：

登录所述设备管理员，查看与其创建的访问策略相关的审计日志以及审计报表。

6.根据权利要求1所述的方法，其中，登录所述普通用户账户并根据所述访问控制策略访问所述设备包括：

登录所述普通用户的主账号，该主账号映射至少一组用于访问设备的从账号，所述普通用户在所述从账号对应的设备访问权限内、根据所述访问控制策略访问所述设备。

7.根据权利要求6所述的方法，还包括：

登录所述设备管理员，将从账号对应的设备访问权限授权给所述普通用户。

8.根据权利要求1所述的方法，还包括：

在所述受控网络中设置审计员，登录该审计员对所述普通用户和/或所述设备管理员的网络操作行为进行审计。

9.根据权利要求8所述的方法，其中，登录审计员对所述普通用户和/或所述设备管理员的网络操作行为进行审计包括：

查看所有正在进行设备访问的会话并监控用户的实时操作。

10.根据权利要求9所述的方法，其中，登录审计员对所述普通用户和/或所述设备管理员的网络操作行为进行审计还包括：

基于下述一项或者多项或其任意组合来配置审计策略：访问时间、IP地址访问、用户/用户组、设备/设备组、访问账号、操作命令、危险级别、记录日志和/或发送告警。