CN103152323A - 控制客户端网络访问行为的方法及系统 - Google Patents

Abstract

本发明公开一种控制客户端网络访问行为的方法及系统，该方法包括以下步骤：客户端沙盒侦测并捕获客户端访问恶意网络所产生的系统异常行为，分析所述系统异常行为，生成对应的分析报告，并将所述分析报告发送至安全网关；所述安全网关接收所述分析报告，选择针对所述系统异常行为的处理策略；根据所述处理策略，控制客户端的网络访问行为；具有客户端沙盒与安全网关联动对客户端访问网络的行为进行共同防护的有益效果，提高了客户端访问网络的安全防护等级；同时，增加了客户端访问网络时，网络安全状态的透明度。

Description

控制客户端网络访问行为的方法及系统

技术领域

本发明涉及计算机网络技术领域，尤其涉及一种控制客户端网络访问行为的方法及系统。

背景技术

目前常用的客户端访问网络技术通常仅通过单端的客户端沙盒技术或者安全网关来对客户端的上网行为进行安全防护，客户端沙盒虽然能够有效地隔离病毒和木马造成的系统破坏、数据泄密等风险，但仍存在以下不足：客户端沙盒对客户端的保护方式为“被动防御”的方式，缺乏对恶意行为的捕获、分析以及反馈至安全网关的功能。此外，虽然当前业界上已经有结合客户端沙盒和安全网关对客户端上网进行安全防护的解决方案，但客户端沙盒和安全网关仅仅是单独地对客户端的上网行为进行安全防护，不能做到客户端沙盒和安全网关之间进行相互通讯从而实现对客户端上网的行为进行联动的安全防护，防护等级低。

发明内容

本发明的主要目的是提供一种控制客户端网络访问行为的方法及系统，旨在达到客户端沙盒与安全网关相互通讯，达到提高客户端上网安全防护主动性的目的。

本发明实施例公开了一种控制客户端网络访问行为的方法，包括以下步骤：

客户端沙盒侦测并捕获客户端访问恶意网络所产生的系统异常行为，分析所述系统异常行为，生成对应的分析报告，并将所述分析报告发送至安全网关；

所述安全网关接收所述分析报告，选择针对所述系统异常行为的处理策略；根据所述处理策略，控制客户端的网络访问行为。

优选地，所述分析所述系统异常行为，生成对应的分析报告，并将所述分析报告发送至安全网关包括：

根据所述系统异常行为的关联信息，追溯导致产生所述系统异常行为的来源，获取导致产生所述系统异常行为的对象，生成对应的分析报告；

按照预置协议将所述分析报告封装，并将封装后的所述分析报告发送至所述安全网关。

优选地，所述安全网关接收所述分析报告，选择针对所述系统异常行为的处理策略包括：

所述安全网关接收所述分析报告，根据所述分析报告，生成针对所述系统异常行为的处理策略；或者，根据所述分析报告，匹配预置的处理策略。

优选地，所述根据所述处理策略，控制客户端的网络访问行为的步骤之后还包括：

记录对客户端网络访问行为进行控制的过程；或者，实时显示对客户端网络访问行为进行控制的过程。

优选地，所述根据所述处理策略，控制客户端的网络访问行为的步骤之后还包括：

将所述处理策略发送至所述客户端沙盒。

本发明实施例还公开了一种控制客户端网络访问行为的系统，包括：

客户端沙盒，用于侦测并捕获客户端访问恶意网络所产生的系统异常行为，分析所述系统异常行为，生成对应的分析报告，并将所述分析报告发送至安全网关；

所述安全网关，用于接收所述分析报告，选择针对所述系统异常行为的处理策略；根据所述处理策略，控制客户端的网络访问行为。

优选地，所述客户端沙盒还用于：

根据所述系统异常行为的关联信息，追溯导致产生所述系统异常行为的来源，获取导致产生所述系统异常行为的对象，生成对应的分析报告；

按照预置协议将所述分析报告封装，并将封装后的所述分析报告发送至所述安全网关。

优选地，所述安全网关还用于：

接收所述分析报告，根据所述分析报告，生成针对所述系统异常行为的处理策略；或者，根据所述分析报告，匹配预置的处理策略。

优选地，所述安全网关还用于：

记录对客户端网络访问行为进行控制的过程；或者，实时显示对客户端网络访问行为进行控制的过程。

优选地，所述安全网关还用于：

将所述处理策略发送至所述客户端沙盒。

本发明通过客户端沙盒侦测并捕获客户端访问恶意网络所产生的系统异常行为，分析所述系统异常行为，生成对应的分析报告，并将分析报告发送至安全网关；安全网关根据分析报告，选择针对所述系统异常行为的处理策略；根据所述处理策略，控制客户端的网络访问行为的方法，具有客户端沙盒与安全网关联动对客户端访问网络的行为进行共同防护的有益效果，提高了客户端访问网络的安全防护等级；同时，增加了客户端访问网络时，网络安全状态的透明度。

附图说明

图1是本发明控制客户端网络访问行为的方法具体应用场景一实施例框架结构示意图；

图2是本发明控制客户端网络访问行为的方法一实施例流程示意图；

图3是本发明控制客户端网络访问行为的方法中，在客户端沙盒中侦测并捕获客户端访问恶意网页所产生的系统异常行为一实施例流程示意图；

图4是本发明控制客户端网络访问行为的系统一实施例功能模块示意图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

以下结合说明书附图及具体实施例进一步说明本发明的技术方案。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明控制客户端网络访问行为的方法及系统中，所述客户端沙盒指的是一种虚拟的操作环境；沙盒具备隔离用户真实操作环境的功能，用户因浏览恶意网页、运行病毒木马而造成的修改注册表、删除文件等系统异常行为会被重定向，对用户的真实操作系统不会造成任何损失。比如安全桌面技术就是一种沙盒技术，负责隔离用户真实系统文件、注册表等，以及进行数据和网络的访问权限控制，防止泄露机密文件。安全网关可以理解为集成安全防护和过滤功能的网关设备，如杀毒功能、过滤恶意网站等功能，保护用户的上网安全。本领域的技术人员可以理解，所述客户端沙盒的实现形式包括：以安装软件或插件的形式存在，例如安全桌面、带有沙盒技术的浏览器等形式；本发明控制客户端网络访问行为的方法及系统的实施例对客户端沙盒和安全网关的具体实现形式不做限定。

请参照图1，图1是本发明控制客户端网络访问行为的方法具体应用场景一实施例框架结构示意图；如图1所示，本发明控制客户端网络访问行为的方法及系统的实施例中，客户端沙盒可以安装在内网用户端，用户使用客户端沙盒上网或运行可疑程序；客户端沙盒隔离真实系统环境，可以捕获内网用户因上网浏览恶意网页或下载病毒所导致的系统恶意行为，分析恶意行为并将分析报告发送给安全网关；安全网关接收到沙盒发送的恶意行为分析报告后，会选择相应的处理策略，比如自动生成对应的防护规则或处理策略，或者匹配控制台预先设置的处理策略，从而在网关层即可对恶意网页、病毒和木马等恶意程序进行拦截。

客户端沙盒借助其贴近真实操作系统执行环境的优势，能够捕获对客户端真实操作系统产生的攻击行为；安全网关能够根据客户端沙盒发送的恶意行为报告自动新增防护规则，提升内网安全防护的主动性，即使对于没有安装沙盒的用户也可以提供保护，提高了客户端访问网络的安全防护等级。此外，安全网关能够接收内网用户的安全事件报告，方便网络管理员监控内网安全状态，增加内网安全的透明性。上述的内网可以理解为局域网。

请参照图2，图2是本发明控制客户端网络访问行为的方法一实施例流程示意图；图2所述实施例的具体应用场景包括但不局限于图1所示的客户端沙盒与安全网关的应用场景；如图2所示，本发明控制客户端网络访问行为的方法包括以下步骤：

步骤S01、客户端沙盒侦测并捕获客户端访问恶意网络所产生的系统异常行为，分析所述系统异常行为，生成对应的分析报告，并将所述分析报告发送至安全网关；

客户端沙盒侦测客户端访问网络所产生的所有系统行为，在侦测到系统有异常行为时，捕获客户端访问恶意网络所产生的系统异常行为，比如修改注册表关键键值、修改系统文件、堆空间异常、执行shellcode等行为。所述客户端沙盒侦测客户端访问网络所产生的系统行为的侦测方式包括：基于HOOK钩子函数进行侦测、通过跟踪API（Application Programming Interface，应用程序编程接口）调用的信息进行侦测等。

在一优选的实施例中，所述分析所述系统异常行为，生成对应的分析报告包括：

记录上述客户端访问网络所产生的系统异常行为，根据与该系统异常行为相关联的信息即关联信息，分析该系统异常行为，生成对应的分析报告；比如，分析该系统异常行为可能会给客户端带来的影响及上述影响可能会对客户端产生的危险等级；根据分析结果，生成对应的分析报告；该分析包括可以包括：所述系统异常行为、所述系统异常行为的关联信息、所述系统异常行为可能会给客户端带来的影响及上述影响可能会对客户端产生的危险等级，比如，修改系统注册表这一系统异常行为可能会对客户端产生的危险等级为最高危险等级。

在一优选的实施例中，所述分析所述系统异常行为，生成对应的分析报告还包括：

记录客户端访问恶意网络所产生的系统异常行为或者接收发送至网关的系统异常行为；根据所述系统异常行为的关联信息，追溯导致产生所述系统异常行为的来源，获取导致产生所述系统异常行为的对象，生成对应的分析报告；比如，根据该系统异常行为的关联信息如进程信息或API的调用信息，追溯导致产生系统恶意行为的来源，获取产生该系统恶意行为的对象为某一恶意网页地址，生成对应的系统恶意行为分析报告；比如，客户端沙盒追踪函数调用栈，找到触发执行恶意行为的漏洞（jscript.dll、msxml.dll等），找到调用进程并最终找到恶意网址。

客户端沙盒将上述分析报告发送给安全网关包括：直接将上述分析报告以数据包的形式发送给安全网关；或者，按照与安全网关预先协商的协议如TCP（Transmission Control Protocol，传输控制协议），将上述分析报告进行封装，并将封装后的分析报告发送至安全网关。

步骤S02、安全网关接收所述分析报告，选择针对所述系统异常行为的处理策略；根据所述处理策略，控制客户端的网络访问行为。

安全网关接收客户端沙盒发送的分析报告，选择针对分析报告中的系统异常行为的处理策略，如仅将上述系统异常行为进行记录备案，或者自动生成针对上述系统异常行为的处理策略，或者匹配预置的处理策略等。根据上述处理策略，控制客户端的网络访问行为，比如在处理策略为仅将上述系统异常行为进行记录备案时，可以向客户端发送该网络行为存在安全风险的提示信息；在处理策略为拦截网络访问时，直接强制封堵客户端的网络访问行为；在处理策略为不封堵只备案时，可仍然维持客户端的网络连接，保持业务的持续进行，而只在安全网关端记录日志备案。特别地，在安全网关可根据客户端沙盒的系统异常行为报告，在安全网关端生成防护规则，从而能够达到保护包含没有安装客户端沙盒用户在内的内网用户安全。

在一优选的实施例中，上述预置的处理策略包括安全网关处理策略数据库中存储的所有处理策略，以及网络管理员自行设置的所有处理策略；此外，为了降低误判率，网络管理员可以设置排除策略，该排除策略的作用包括：为了排除客户端沙盒捕获的对客户端安全不构成安全威胁的系统异常行为。

在一优选的实施例中，安全网关可以针对恶意行为类型生成不同的特征码，并增加到安全网关的防护规则库中；例如对于病毒文件可以生成特征码（如MD5值等），加入到安全网关的病毒库中；而对于恶意网址则可选择将该恶意网址直接增加到安全网关的恶意网址库中等。

在一优选的实施例中，安全网关记录对客户端网络访问行为进行控制的过程；或者，实时显示对客户端网络访问行为进行控制的过程。比如，安全网关以日志形式记录上述控制过程并保存在数据库中，或者直接在图1所示的网络控制台上实时显示上述控制过程。

在一优选的实施例中，安全网关可以将上述处理策略如排除策略发送至所述客户端沙盒，供客户端沙盒侦测客户端访问网络的系统异常行为时作为参考，以减少误判。

结合图1所述实施例，下面以具体应用场景来进一步描述本发明控制客户端网络访问行为的方法的实现过程。

如图1所示的局域网内的用户访问恶意网页后，网页中的恶意代码shellcode执行，产生恶意的系统行为，如注册表被修改、系统文件被删除或替换、下载执行木马程序等；请参照图3，图3是本发明控制客户端网络访问行为的方法中，在客户端沙盒中侦测并捕获客户端访问恶意网页所产生的系统异常行为一实施例流程示意图；如图3所示，图3中的浏览器进程因恶意网页而触发漏洞执行本来作为JavaScript（基于对象和事件驱动的客户端脚本语言）字符串的shellcode。shellcode是Windows操作系统API的汇编指令，如本实施例会执行URLDownloadToFile下载木马svcos.exe文件。正常情况下，浏览网页会不调用此API，因此上述系统异常行为会被客户端沙盒捕获。由于客户端的一些OA（Office Automation，办公自动化）系统可能会调用系统API，有误判的隐患，但可以在安全网关对这些特殊的案例进行排除，也可以通过将相应的排除策略下发至客户端沙盒进行排除。

客户端沙盒侦测到系统恶意行为发生后，对上述系统恶意行为进行分析，根据与上述系统恶意行为相关联的进程信息或客户端系统API的调用信息，追溯导致系统恶意行为的来源，得到恶意网页地址，生成系统恶意行为分析报告；本实施例中客户端沙盒会追踪函数调用栈，找到触发执行的漏洞模块，例如jscript.dll、msxml.dll等，找到调用进程并最终找到恶意网址，并将系统恶意行为分析报告发送给安全网关；安全网关接收到系统恶意行为分析报告后，为系统恶意行为分析报告选择处理策略。若处理策略为自动生成防护规则，则安全网关会将恶意网页加入到恶意网址库；同时将该记录写到数据库或直接在Web控制界面进行显示上，便于网络管理员及时获悉局域网的安全状态。若有局域网的用户如图1所示的用户再次访问该恶意网页时，将会被安全网关拦截。无论用户有无使用客户端沙盒上网，均提示该网页存在安全风险，进行强制封堵。

本实施例通过客户端沙盒侦测并捕获客户端访问恶意网络所产生的系统异常行为，记录并分析所述系统异常行为，生成对应的分析报告，并将分析报告发送至安全网关；安全网关根据分析报告，选择针对所述系统异常行为的处理策略；根据所述处理策略，控制客户端的网络访问行为的方法，具有客户端沙盒与安全网关联动对客户端访问网络的行为进行共同防护的有益效果，提高了客户端访问网络的安全防护等级；同时，增加了客户端访问网络时，网络安全状态的透明度。

请参照图4，图4是本发明控制客户端网络访问行为的系统一实施例功能模块示意图。如图4所示，本发明控制客户端网络访问行为的系统包括：客户端沙盒01和安全网关02。

客户端沙盒01，用于侦测并捕获客户端访问恶意网络所产生的系统异常行为，分析所述系统异常行为，生成对应的分析报告，并将所述分析报告发送至安全网关。

客户端沙盒01侦测客户端访问网络所产生的所有系统行为，在侦测到客户端访问网络所产生的系统行为有异常时，捕获客户端访问恶意网络的所产生的系统异常行为，比如修改注册表关键键值、修改系统文件、堆空间异常、执行shellcode等行为。所述客户端沙盒01侦测客户端访问网络所产生的系统行为的侦测方式包括：基于HOOK钩子函数进行侦测、通过跟踪API调用的信息进行侦测等。

在一优选的实施例中，客户端沙盒01分析所述系统异常行为，生成对应的分析报告包括：

客户端沙盒01记录上述客户端访问网络所产生的系统异常行为，根据与该系统异常行为相关联的信息即关联信息，分析该系统异常行为，生成对应的分析报告；比如，分析该系统异常行为可能会给客户端带来的影响及上述影响可能会对客户端产生的危险等级；根据分析结果，生成对应的分析报告；该分析包括可以包括：所述系统异常行为、所述系统异常行为的关联信息、所述系统异常行为可能会给客户端带来的影响及上述影响可能会对客户端产生的危险等级，比如，修改系统注册表这一系统异常行为可能会对客户端产生的危险等级为最高危险等级。

在一优选的实施例中，客户端沙盒01分析所述系统异常行为，生成对应的分析报告还包括：

客户端沙盒01记录客户端访问恶意网络所产生的系统异常行为或者接收发送至网关的系统异常行为；根据所述系统异常行为的关联信息，追溯导致产生所述系统异常行为的来源，获取导致产生所述系统异常行为的对象，生成对应的分析报告；比如，根据该系统异常行为的关联信息如进程信息或API的调用信息，追溯导致产生系统恶意行为的来源，获取产生该系统恶意行为的对象为某一恶意网页地址，生成对应的系统恶意行为分析报告；比如，客户端沙盒01追踪函数调用栈，找到触发执行恶意行为的漏洞（jscript.dll、msxml.dll等），找到调用进程并最终找到恶意网址。

客户端沙盒01将上述分析报告发送给安全网关02包括：直接将上述分析报告以数据包的形式发送给安全网关02；或者，按照与安全网关02预先协商的协议如TCP，将上述分析报告进行封装，并将封装后的分析报告发送至安全网关02。

安全网关02，用于接收所述分析报告，选择针对所述系统异常行为的处理策略；根据所述处理策略，控制客户端的网络访问行为。

安全网关02接收客户端沙盒01发送的分析报告，选择针对分析报告中的系统异常行为的处理策略，如仅将上述系统异常行为进行记录备案，或者自动生成针对上述系统异常行为的处理策略，或者匹配预置的处理策略等。安全网关02根据上述处理策略，控制客户端的网络访问行为，比如在处理策略为仅将上述系统异常行为进行记录备案时，可以向客户端发送该网络行为存在安全风险的提示信息；在处理策略为拦截网络访问时，直接强制封堵客户端的网络访问行为；在处理策略为不封堵只备案时，可仍然维持客户端的网络连接，保持业务的持续进行，而只在安全网关端记录日志备案。特别地，在安全网关02可根据客户端沙盒01的系统异常行为报告，在安全网关02生成防护规则，从而能够达到保护包含没有安装客户端沙盒01用户在内的内网用户安全。

在一优选的实施例中，上述预置的处理策略包括安全网关02处理策略数据库中存储的所有处理策略，以及网络管理员自行设置的所有处理策略；此外，为了降低误判率，网络管理员可以设置排除策略，该排除策略的作用包括：为了排除客户端沙盒01捕获的对客户端安全不构成安全威胁的系统异常行为。

在一优选的实施例中，安全网关02可以针对恶意行为类型生成不同的特征码，并增加到安全网关的防护规则库中；例如对于病毒文件可以生成特征码（如MD5值等），加入到安全网关的病毒库中；而对于恶意网址则可选择将该恶意网址直接增加到安全网关的恶意网址库中等。

在一优选的实施例中，安全网关02记录对客户端网络访问行为进行控制的过程；或者，实时显示对客户端网络访问行为进行控制的过程。比如，安全网关02以日志形式记录上述控制过程并保存在数据库中，或者直接在图1所示的控制台上实时显示上述控制过程。

在一优选的实施例中，安全网关02可以将上述处理策略如排除策略发送至所述客户端沙盒01，供客户端沙盒01侦测客户端访问网络的系统异常行为时作为参考，以减少误判。

有关本发明控制客户端网络访问行为的系统对客户端访问网络进行安全防护的具体应用场景请参照图3所述实施例的具体描述，在此不再赘述。

本实施例通过客户端沙盒侦测并捕获客户端访问恶意网络所产生的系统异常行为，分析所述系统异常行为，生成对应的分析报告，并将分析报告发送至安全网关；安全网关根据分析报告，选择针对所述系统异常行为的处理策略；根据所述处理策略，控制客户端的网络访问行为，具有客户端沙盒与安全网关联动对客户端访问网络的行为进行共同防护的有益效果，提高了客户端访问网络的安全防护等级；同时，增加了客户端访问网络时，网络安全状态的透明度。

以上所述仅为本发明的优选实施例，并非因此限制其专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (10)

1.一种控制客户端网络访问行为的方法，其特征在于，包括以下步骤：

客户端沙盒侦测并捕获客户端访问恶意网络所产生的系统异常行为，分析所述系统异常行为，生成对应的分析报告，并将所述分析报告发送至安全网关；

所述安全网关接收所述分析报告，选择针对所述系统异常行为的处理策略；根据所述处理策略，控制客户端的网络访问行为。

2.如权利要求1所述的方法，其特征在于，所述分析所述系统异常行为，生成对应的分析报告，并将所述分析报告发送至安全网关包括：

根据所述异常行为的关联信息，追溯导致产生所述系统异常行为的来源，获取导致产生所述系统异常行为的对象，生成对应的分析报告；

按照预置协议将所述分析报告封装，并将封装后的所述分析报告发送至所述安全网关。

3.如权利要求1所述的方法，其特征在于，所述安全网关接收所述分析报告，选择针对所述系统异常行为的处理策略包括：

所述安全网关接收所述分析报告，根据所述分析报告，生成针对所述系统异常行为的处理策略；或者，根据所述分析报告，匹配预置的处理策略。

4.如权利要求1所述的方法，其特征在于，所述根据所述处理策略，控制客户端的网络访问行为的步骤之后还包括：

记录对客户端网络访问行为进行控制的过程；或者，实时显示对客户端网络访问行为进行控制的过程。

5.如权利要求1或4所述的方法，其特征在于，所述根据所述处理策略，控制客户端的网络访问行为的步骤之后还包括：

将所述处理策略发送至所述客户端沙盒。

6.一种控制客户端网络访问行为的系统，其特征在于，包括：

客户端沙盒，用于侦测并捕获客户端访问恶意网络所产生的系统异常行为，分析所述系统异常行为，生成对应的分析报告，并将所述分析报告发送至安全网关；

所述安全网关，用于接收所述分析报告，选择针对所述系统异常行为的处理策略；根据所述处理策略，控制客户端的网络访问行为。

7.如权利要求6所述的系统，其特征在于，所述客户端沙盒还用于：

根据所述系统异常行为的关联信息，追溯导致产生所述系统异常行为的来源，获取导致产生所述系统异常行为的对象，生成对应的分析报告；

按照预置协议将所述分析报告封装，并将封装后的所述分析报告发送至所述安全网关。

8.如权利要求6所述的系统，其特征在于，所述安全网关还用于：

接收所述分析报告，根据所述分析报告，生成针对所述系统异常行为的处理策略；或者，根据所述分析报告，匹配预置的处理策略。

9.如权利要求6或8所述的系统，其特征在于，所述安全网关还用于：

记录对客户端网络访问行为进行控制的过程；或者，实时显示对客户端网络访问行为进行控制的过程。

10.如权利要求6或8所述的系统，其特征在于，所述安全网关还用于：

将所述处理策略发送至所述客户端沙盒。

Images