CN102316122A - 基于协同方式的内网安全管理方法 - Google Patents

Abstract

一种基于协同方式的内网安全管理方法，包括：检查步骤，终端设备定期与管理服务器进行安全策略的一致性检查；请求步骤，当终端设备的安全策略与管理服务器不一致时，向管理服务器请求指定的安全策略；查询步骤，管理服务器接到来自于终端设备的指定的安全策略的请求时，查询已经拥有该指定的安全策略的终端设备的配置信息，并根据拥有该指定的安全策略的终端设备的负载状态信息，返回一个当前可用的、最小负载的安全策略引用；访问步骤，终端设备根据安全策略引用，访问拥有该指定的安全策略的终端设备，请求并获取指定的安全策略；以及更新步骤，终端设备获取指定的安全策略后，将安全策略信息、当前负载状态信息、配置信息更新到管理服务器。

Description

基于协同方式的内网安全管理方法

技术领域

本发明涉及一种基于协同方式的内网安全管理方法。

背景技术

随着计算机技术的发展，无纸办公时代的到来，人们在感受着信息化所带来的便利的同时，也面临着越来越严重的威胁和挑战。根据国际安全界的统计，每年全球计算机网络遭受的攻击和破坏70％以上是内部人员所为。来自内部的数据失窃和破坏所造成的危害远远高于外部黑客的攻击。从近年的网络安全情况来看，传统的边界网络安全产品(例如防火墙等)对于源自内部的攻击显得无能为力，无法解决内部人员的主动信息泄漏、涉密信息的被动泄漏、非法主机接入内部网络、移动存储设备的安全管理、终端主机的安全维护、移动办公的安全访问等问题。

为了确保终端主机的安全，抵御内部的网络攻击，防止内部的信息泄露，维护良好的信息环境，解决内网安全管理问题迫在眉睫。因此，近年来市场上出现了各类内网安全管理的解决方案，但是普遍存在如下的问题：

1)补丁和软件的下发都从一个或少数几个服务器下载，服务器负载大，重复下载现象严重，占用网络流量大，对正常业务系统造成严重影响；

2)服务器的性能是瓶颈，限制了安全管理的效率；

3)系统伸缩性差；

4)服务器存在单点失效问题。

发明内容

鉴于上述技术问题，本发明提供一种对内网终端设备进行安全管理的基于协同方式的内网安全管理方法，其能够实现资产管理、终端安全管理、移动存储介质管理、文档安全管理和准入控制管理等功能的同时，采用协同方式的安全管理方式，解决了内网安全管理中性能问题，提升了安全管理的效率和效能。

本发明所涉及的基于协同方式的内网安全管理方法，包括以下步骤：检查步骤，终端设备定期与管理服务器进行安全策略的一致性检查；请求步骤，当所述终端设备的安全策略与所述管理服务器不一致时，向所述管理服务器请求指定的安全策略；查询步骤，所述管理服务器接到来自于所述终端设备的指定的安全策略的请求时，查询已经拥有该指定的安全策略的终端设备的配置信息，并根据拥有该指定的安全策略的终端设备的负载状态信息，返回一个当前可用的、最小负载的安全策略引用；访问步骤，所述终端设备根据所述安全策略引用，访问拥有该指定的安全策略的终端设备，请求并获取指定的安全策略；以及更新步骤，所述终端设备获取所述指定的安全策略后，将安全策略信息、当前负载状态信息、配置信息更新到所述管理服务器。

在上述的内网安全管理方法中，还包括：保存步骤，在每个终端设备启动时，将所述终端设备的安全策略信息、负载状态信息、配置信息、可用的资源信息更新并保存到所述管理服务器中。

在上述的内网安全管理方法中，还包括：定义步骤，在所述管理服务器中预先定义安全策略，并设置需要应用安全策略的所述终端设备。

在上述的内网安全管理方法中，在所述检查步骤中，当所述终端设备的安全策略与所述管理服务器不一致时，所述终端设备先在自身的终端资源库中进行查找，当查找不到时，向所述管理服务器发出请求，进入所述请求步骤。

在上述的内网安全管理方法中，所述终端设备之间、所述终端设备和所述管理服务器之间的数据通信采用加密和压缩的通信方式。

在上述的内网安全管理方法中，所述管理服务器和控制台之间采用https的加密通信方式。

在上述的内网安全管理方法中，所述终端设备为多台。

在上述的内网安全管理方法中，所述管理服务器为多台。

在上述的内网安全管理方法中，所述终端设备、所述管理服务器和所述控制台构成的内网安全管理系统支持多级部署方式，根据网络的规模和管理级别而划分为N级，其中，N为大于1的整数。

在上述的内网安全管理方法中，所述安全策略包括：补丁管理策略、主机防火墙策略、HTTP监控策略、端口监控策略、进程监控策略、准入控制策略、文档安全监控策略、移动存储介质监控策略。

根据本发明的基于协同方式的内网安全管理方法，其主要通过包括安全策略在内的资源统一制定和管理，对终端主机的安全状态进行监控，对机密信息进行加密存储，对可能导致机密信息泄露的各类途径进行监管，从而防止信息泄漏；而且，采用协同方式对资源统一调度，避免服务器单点失效，提升在大型网络环境下的性能和效率。

在本发明中，采用协同方式实现对安全策略的定义、分发和应用；安全策略是通过终端设备之间互相传播和共享的，不是集中从管理服务器下载，大大降低了管理服务器的负载，减少了网络流量，同时提高了安全管理的效率。

附图说明

当结合附图考虑时，通过参照下面的详细描述，能够更完整更好地理解本发明以及容易得知其中许多伴随的优点，但此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定，其中：

图1是内网安全管理系统的部署示意图。

图2是内网安全管理系统的框图。

图3是内网安全管理系统的协同工作的流程图。

图4是本发明的基于协同方式的内网安全管理方法的流程图。

图5是本发明的基于协同方式的内网安全管理方法的另一实施例的流程图。

具体实施方式

图1是内网安全管理系统的部署示意图，如图1所示，本发明所涉及的基于协同方式的内网安全管理系统包括：多台终端设备100、管理服务器200和控制台300。

多台终端设备的各台终端设备100上安装有代理程序，可以接受来自管理服务器200的安全策略，根据安全策略实现文档安全管理、移动介质管理、用户行为监管和数据加解密等功能，同时将安全信息上报给管理服务器200。具体地，终端设备100通过执行代理程序具有信息采集、安全策略执行、数据加解密、文档安全管理、移动介质监管、以及用户行为监管等功能。

管理服务器200是系统的控制中心，其接受并处理下级终端设备的安全信息，制定并下发安全策略给终端设备，同时接受和响应来自控制台300的管理指令。

控制台300是用户交互的界面，接收并响应用户的指令。控制台300是具有浏览器、例如IE浏览器功能的计算机设备，控制台300可以单独设置，也可以设置在终端设备100或管理服务器200上。

图2是内网安全管理系统的框图，如图2所示，每台终端设备100包括：终端通信模块110、终端控制模块120、终端安全引擎130、移动介质引擎140、文档安全引擎150、准入控制引擎160、终端资源库170。

终端通信模块110负责终端设备100和管理服务器200、各终端设备100之间的通信处理，实现通信连接的建立、数据的收发、通信加解密和断点续传等功能。

终端控制模块120是终端设备100的核心部件，负责对终端设备100内部各模块进行统一管理，其通过终端通信模块110从管理服务器200接受安全策略，并将安全策略应用到终端安全引擎130、移动介质引擎140、文档安全引擎150、准入控制引擎160。而且，其接受上述各引擎的告警和状态信息，然后通过终端通信模块110转发给上级管理服务器200；而且，其还对终端设备中的终端资源库170进行统一监控和管理。

终端安全引擎130根据安全策略实现对终端设备的主机等执行安全防护和监控，主要功能包括：进程监控、端口监视、性能监视、流量监视、打印监视、外设监控、软件硬件监控、非法外联监控、补丁和漏洞的管理、主机防火墙、HTTP访问监控、软件分发、非法内联监控等功能。

移动介质引擎140根据安全策略实现对移动存储介质执行安全监控，防止信息泄漏，主要包括：接入认证、分等级权限控制、移动存储的强审计、移动存储的挂失和解挂、以及移动存储防泄密等功能。

文档安全引擎150根据安全策略实现对重要文档进行安全管理，防止文档泄密，主要包括：文档透明加解密、文档权限控制等功能。

准入控制引擎160根据安全策略实现对终端设备接入网络的行为进行监控，主要包括：安全状态检查、802.1x准入控制等功能。

终端资源库170保存终端设备工作时需要的一些资源信息，主要包括补丁文件、软件文件和安全策略等。

此外，管理服务器200具有安全策略集中管理、机密文件存储和备份、资产管理、认证和授权、分析和报表、以及双机热备和负载均衡等功能。

具体地，如图2所示，管理服务器200包括：管理服务器通信模块210、管理服务器控制模块220、终端安全管理模块230、移动介质管理模块240、文档安全管理模块250、准入控制管理模块260、资产管理模块270、策略管理模块280、认证授权模块290、注册服务模块294、资源信息库298。

管理服务器通信模块210责终端设备100和管理服务器200、管理服务器200和控制台300之间的通信处理，实现通信连接的建立、数据的收发、通信加解密等功能。

管理服务器控制模块220是管理服务器200的核心部件，负责对管理服务器内部各模块进行统一管理，通过管理服务器通信模块210将安全策略和控制命令下发给下级的终端设备100。另外，其接受来自控制台300的用户指令，并根据用户指令对其他模块进行管理和控制。而且，还对管理服务器200中的任务实现进行统一调度和管理。

终端安全管理模块230负责对终端设备的主机执行集中的安全防护和监控，主要功能包括：进程监控、端口监视、性能监视、流量监视、打印监视、外设监控、软件硬件监控、非法外联监控、补丁和漏洞的管理、主机防火墙、HTTP访问监控、软件分发、非法内联监控等功能。

移动介质管理模块240负责对移动存储介质执行集中统一的安全监控，防止信息泄漏，主要包括：接入认证、分等级权限控制、移动存储的强审计、移动存储的挂失和解挂和移动存储防泄密等功能。

文档安全管理模块250负责对机密文档执行集中统一的安全管理，防止文档泄密，主要包括：文档透明加解密、文档权限控制等功能。

准入控制管理模块260负责对终端接入网络的行为执行集中统一的监控和管理，主要包括：安全状态检查、802.1x准入控制等功能。

资产管理模块270实现对网络内的资产执行集中统一管理，主要包括：资产的分组管理、资产导入导出等功能。

策略管理模块280实现对系统内安全策略执行集中统一的管理，主要包括：策略的制定、策略分发、策略监控等功能。

认证授权模块290实现统一的用户认证和基于角色的权限管理功能。

注册服务模块294负责对内网安全管理系统中所有资源信息进行统一管理，维护资源信息库298中的内容。

资源信息库298用于存储每个终端的地址信息、配置信息、负载状态和可用的资源信息等。

如图2所示，控制台300包括：控制台通信模块310、控制台控制模块320、人机交互模块330、展现模块340。

控制台通信模块310负责管理服务器200和控制台300之间的通信处理，实现通信连接的建立、数据的收发、通信加解密等功能。

控制台控制模块320负责对其他模块执行集中统一的管理，实现任务的统一调度、数据集中分派等功能。

人机交互模块330负责和管理者交互，实现人机交互，提供图形化的管理界面。

展现模块340实现报表等多种方式的数据表现。

每个终端设备100在启动时，通过终端控制模块120，借助终端通信模块110将自己的地址信息、配置信息、负载状态和可用的资源信息(例如补丁文件，软件包)更新到管理服务器200的信息资源库298中；管理服务器200的信息资源库298就保存有当前网络中所有终端设备100的负载状态信息、配置信息和资源信息，可实现统一的分配和管理；当某个终端设备需要获取制定的资源时(例如：安全策略或补丁文件)。执行图3所示的各步骤。

图3是内网安全管理系统的协同工作的流程图。如图3所示，包括以下步骤：

S310：终端设备100请求特定的资源(例如：安全策略、补丁文件等)。

S320：终端设备100的终端控制模块120在终端资源库170中查找是否存在该资源。

S330：判断是否查找到？如果有，则退出；否则进入S340。

S340：终端设备100的终端控制模块120通过终端通信模块110，将资源查找的请求转发给远程管理服务器200的注册服务模块295。

S350：管理服务器200的注册服务模块294查询资源信息库298，将当前可用的、负载最小的资源定位信息返回。

S360：终端设备100根据返回的资源定位信息，通过终端通信模块110远程请求并获得该资源。

S370：终端设备100获得该资源后，终端设备100的终端控制模块120通过终端通信模块110，将本地的负载状态和资源的定位信息等通知给管理服务器200的注册服务模块294。

注册服务模块294更新其资源信息库298后，该终端设备上的资源就也能被其他终端设备访问了。

图4是本发明的基于协同方式的内网安全管理方法的流程图。如图4所示，包括以下步骤：

S410检查步骤：终端设备定期和管理服务器进行策略一致性检查；如果管理服务器和终端设备之间的安全策略一致，则退出；否则执行S420。

S420请求步骤：终端设备查询管理服务器，请求最新的安全策略；

S430查询步骤：管理服务器查询系统中已经拥有该安全策略的代理配置信息，并根据这些代理的负载状态信息，返回一个当前可用的、最小负载的安全策略引用。

S440访问步骤：代理根据管理服务器返回的安全策略引用，远程访问拥有该安全策略的其他终端设备，请求并获取指定的安全策略。

S450更新步骤：代理成功获得需要的安全策略后，将安全策略信息、当前负载状态信息、配置信息更新到管理服务器，更新成功后，这个代理也能接受并响应其他代理的安全策略请求指令了，实现了安全策略的分布式共享。

图5是本发明的基于协同方式的内网安全管理方法的另一实施例的流程图。如图5所示，包括以下步骤：

S510定义步骤：在管理服务器定义安全策略，并设置需要应用该策略的终端设备对象。

S520检查步骤：终端设备定期和管理服务器进行策略一致性检查；如果管理服务器和终端设备之间的安全策略一致，则退出；否则执行S530。

S530请求步骤：终端设备查询管理服务器，请求指定的安全策略。指定的安全策略可以是最新的安全策略。

S540查询步骤：管理服务器查询系统中已经拥有该安全策略的代理配置信息，并根据这些代理的负载状态信息，返回一个当前可用的、最小负载的安全策略引用。

S550访问步骤：代理根据管理服务器返回的安全策略引用，远程访问拥有该安全策略的其他终端设备，请求并获取指定的安全策略。

S560更新步骤：代理成功获得需要的安全策略后，将安全策略信息、当前负载状态信息、配置信息更新到管理服务器，更新成功后，这个代理也能接受并响应其他代理的安全策略请求指令了，实现了安全策略的分布式共享。

S570保存步骤：在每个终端设备启动时，将终端设备的安全策略信息、负载状态信息、配置信息、可用的资源信息更新并保存到所述管理服务器中。

此外，在检查步骤S520中，当所述终端设备的安全策略与所述管理服务器不一致时，所述终端设备先在自身的终端资源库中进行查找，当查找不到时，向所述管理服务器发出请求。

上述的安全策略包括：补丁管理策略、主机防火墙策略、HTTP监控策略、端口监控策略、进程监控策略、准入控制策略、文档安全监控策略、移动存储介质监控策略等。

在基于协同的内网安全管理方法中，安全策略是通过终端设备之间互相传播和共享的，不是集中从管理服务器下载，大大降低了管理服务器的负载，减少了网络流量，同时提高了安全管理的效率。当然，除了安全策略之外，其他的资源也可以通过终端设备之间互相传播和共享。

采用协同方式的内网安全管理降低了管理服务器的压力，大大减少了网络的流量，同时提高了管理效能，避免了服务器的单点失效问题，能有效提升内网管理的性能和效率。

针对大型网络环境的特点，本发明将终端设备和管理服务器都实现为独立结点，这些结点可独立工作，也可以互相协同工作，根据安全管理任务的不同组成不同的集群，系统根据集群内结点的负载状态，对安全管理任务进行动态分配和资源调整，所有结点在统一安全策略的指导下协同工作。

本发明的内网安全管理系统支持多级部署的方式，在大规模网络部署时，可以根据网络的规模和管理级别而划分为N(N＞1)级，其中在中心节点设立全网范围的管理中心，制定并下发统一的全网安全管理策略。这些策略通过同步与复制的机制，在同级或下级管理中心间保持一致。下级管理中心上策略的变更也都会上传给上级管理中心，在上级管理中心可以浏览任何一个下级管理中心的策略应用情况，适用于大规模网络环境的部署应用。由于采用分散控制，可靠性高，降低了各节点服务器的负荷。

在上述协同工作模式中，由于每个终端设备在访问其他终端设备的资源后，也将自己拥有的资源更新到管理服务器的信息资源库中，因此，通过管理服务器能对分布在网络中的所有资源进行统一调度，每个终端设备既是资源的消费者又是资源的提供者，避免了在常规内网安全管理中，由于所有资源都从服务器集中访问，导致服务器负载重，重复下载现象严重，占用网络流量大现象；同时，由于资源访问是基于负载状态，选择负载最小的访问点，因此大大提高了安管效率，有效解决了性能问题。

此外，为了解决管理服务器单点失效的问题，系统的管理服务器也是协同的，管理服务器构建为可协同的独立节点，每个管理服务器可单独工作也可组成集群，支持双机热备和集群，实现管理服务器的负载均衡，统一调度和分配资源。基于此，提高了管理服务器的健壮性，主管理服务器停止工作，备份管理服务器还能平滑地替换，用户完全感觉不到。大大降低了管理的风险，同时提高了管理效能，避免了服务器的单点失效问题，能有效提升内网管理的性能和效率。

终端设备和终端设备之间，终端设备和管理服务器之间的数据通信支持加密和压缩；控制台和管理服务器之间则采用https的加密通信方式，保证系统的通信安全。

如上所述，对本发明的实施例进行了详细地说明，但是只要实质上没有脱离本发明的发明点及效果可以有很多的变形，这对本领域的技术人员来说是显而易见的。因此，这样的变形例也全部包含在本发明的保护范围之内。

Claims (10)

1.一种基于协同方式的内网安全管理方法，包括以下步骤：

检查步骤，终端设备定期与管理服务器进行安全策略的一致性检查；

请求步骤，当所述终端设备的安全策略与所述管理服务器不一致时，向所述管理服务器请求指定的安全策略；

查询步骤，所述管理服务器接到来自于所述终端设备的指定的安全策略的请求时，查询已经拥有该指定的安全策略的终端设备的配置信息，并根据拥有该指定的安全策略的终端设备的负载状态信息，返回一个当前可用的、最小负载的安全策略引用；

访问步骤，所述终端设备根据所述安全策略引用，访问拥有该指定的安全策略的终端设备，请求并获取指定的安全策略；以及

更新步骤，所述终端设备获取所述指定的安全策略后，将安全策略信息、当前负载状态信息、配置信息更新到所述管理服务器。

2.根据权利要求1所述的内网安全管理方法，还包括：

保存步骤，在每个终端设备启动时，将所述终端设备的安全策略信息、负载状态信息、配置信息、可用的资源信息更新并保存到所述管理服务器中。

3.根据权利要求2所述的内网安全管理方法，还包括：

定义步骤，在所述管理服务器中预先定义安全策略，并设置需要应用安全策略的所述终端设备。

4.根据权利要求3所述的内网安全管理方法，其中，

在所述检查步骤中，当所述终端设备的安全策略与所述管理服务器不一致时，所述终端设备先在自身的终端资源库中进行查找，当查找不到时，向所述管理服务器发出请求，进入所述请求步骤。

5.根据权利要求3所述的内网安全管理方法，其中，

所述终端设备之间、所述终端设备和所述管理服务器之间的数据通信采用加密和压缩的通信方式。

6.根据权利要求5所述的内网安全管理方法，其中，

所述管理服务器和控制台之间采用https的加密通信方式。

7.根据权利要求6所述的内网安全管理方法，其中，

所述终端设备为多台。

8.根据权利要求5所述的内网安全管理方法，其中，

所述管理服务器为多台。

9.根据权利要求8所述的内网安全管理方法，包括：

所述终端设备、所述管理服务器和所述控制台构成的内网安全管理系统支持多级部署方式，根据网络的规模和管理级别而划分为N级，其中，N为大于1的整数。

10.根据权利要求9所述的内网安全管理方法，包括：

所述安全策略包括：补丁管理策略、主机防火墙策略、HTTP监控策略、端口监控策略、进程监控策略、准入控制策略、文档安全监控策略、移动存储介质监控策略。

Images