CN103179130B - 一种信息系统内网安全统一管理平台及管理方法 - Google Patents

Abstract

本发明公开了一种信息系统内网安全统一管理平台及管理方法，管理平台包括入网规范管理系统、网络智慧管理系统和多维终端安全管理平台三部分，对接入网络的终端进行特征识别；依据终端特征进行查询，取入网角色；对角色进行规范检查以依据角色权限入网；对终端入网后的安全配置、操作行为进行监测和违规响应；对网络的流量状况进行监测和违规响应；对各类事件进行统计和BI分析。本发明通过隔离区的切换来实现准入控制，处于隔离区的设备所有数据的传输都将通过管理平台进行控制，同时接入设备被强制访问管理平台的WEB认证页面来实现规范约束，从而实现了无客户端的准入控制,避免出现单个端口下多台设备同时入网或同时被隔离的弊端。

Description

一种信息系统内网安全统一管理平台及管理方法

技术领域

本发明涉及网络安全技术，特别涉及一种信息系统内网安全统一管理平台及管理方法，是一种对接入信息系统内网的用户、终端进行识别、安全性检查和安全策略强制的一体化网络安全系统。

背景技术

准入控制是网络准入控制(NAC)的简称。准入控制是指对网络的边界进行保护，对接入网络的终端和终端的使用人进行合规性检查。在准入控制行业中，最传统的技术是国际标准的IEEE802.1x技术。802.1x协议——基于端口的访问控制协议(port-basednetworkaccesscontrolprotocol)，是针对Client/Server的访问控制和认证协议。它可以限制未经授权的用户/设备通过接入端口(accessport)访问LAN/WLAN。在获得交换机或LAN提供的各种业务之前，802.1x对连接到交换机端口上的用户/设备进行认证。在认证通过之前，802.1x只允许EAPoL(基于局域网的扩展认证协议)数据通过设备连接的交换机端口，认证通过以后，正常的数据可以顺利地通过以太网端口。

802.1x的内容为：靠近用户一侧的以太网交换机上放置一个EAP(extensibleauthenticationprotocol)代理，用户PC机运行EAPoE(EAPoverEthernet)的客户端软件与交换机通信。初始状态下，交换机上的所有端口处于关闭状态，只有802.1x数据流才能通过，而另外任何类型的网络数据流，如动态主机配置协议、超文本传输协议(HTTP)、文件传输协议(FTP)、简单邮件传输协议(SMTP)和邮局协议(POP3)等都被禁止传输。

当用户通过EAPoE登录交换机时，交换机将用户同时提供的用户名口令传送到后台的Radius认证服务器上。如果用户名及口令通过了验证，则相应的以太网端口打开，允许用户访问。

802.1x技术的体系结构包括3个重要部分：客户端(supplicantsystem)、认证者(authenticatorsystem)、认证服务器(authenticationserversystem)。客户系统安装一个客户端软件，用户通过启动客户端软件发起802.1x协议的认证过程。为支持基于端口的接入控制，客户端系统须支持EAPoL(EAPoverLAN)协议。

802.1x技术的认证过程是接入设备与服务器交互的过程，其认证步骤如下：

Step1：接入设备在连接网线后，如果未安装802.1x客户端，则计算机直接处于隔离状态，必须从某种途径获取到(如电话联系管理员索取，现场拷贝等)802.1x客户端。在安装好802.1x客户端后，通过802.1x客户端软件发送出带有组播地址的EAPoL数据包。由支持802.1x的认证者(一般是接入交换机)向客户端发送响应包，并要求用户提供合法的身份标识，如用户名及其密码。

Step2：客户端收到响应后，提供身份标识给接入交换机。由于此时客户端还未经过验证，因此认证流只能从接入交换机的未受控的逻辑端口经过。接入交换机通过EAP协议将认证流转发到AAA服务器，进行认证。

Step3：如果认证通过，则接入交换机的受控逻辑端口打开；否则，端口保持关闭状态，接入设备无法入网。

基于802.1x协议的准入控制方案存在3大缺点：无法进行入网页面推送、权限控制粗放和对hub环境下支持的不足。

首先，目前所有的802.1x平台都要求入网用户必须安装进行认证的入网客户端，这种情况存在许多缺陷：其一、新入网设备由于未安装客户端将在没有任何提示信息的情况下无法进行网络接入，这个过程对于访客和正式员工起到同等的效力，由于缺乏引导入网的支持，那么即使是合法用户也无法被辅助入网从而无法进行正常的工作，而如果依靠管理员手工安装入网客户端，又存在在设备数量众多且分散的情况下工作量繁重的情况；

其二、网络中的许多非桌面型ip设备(如网络打印机)在无法安装客户端的情况下是无法入网的。总体上来看，就是因为采用客户端模式的802.1x无法进行web页面重定向(入网页面推送)。

其次，大部分的802.1x认证都是基于端口的，认证通过后端口完全放开，无法根据接入角色的不同进行基于目的地址、目的端口或协议的细粒度权限控制，在所有资源对所有入网者均能够以同等权限进行访问的情况下，很容易产生内部交叉访问以至于重要资源泄密的情况。

最后，对于大部分交换机而言，标准的802.1x协议也无法解决端口下挂hub的情况。当网络中存在大量使用hub的情况时，802.1x协议基于端口的特性容易导致hub下某一台设备通过认证打开交换机端口后同一hub广播域的所有设备均无需认证就直接入网，这就产生了网络的安全漏洞和潜在风险。

发明内容

为了克服上述现有技术存在的缺陷，本发明提供一种信息系统内网安全统一管理平台及管理方法，实现了对各品牌的接入层交换机端口进行良好控制，并能够达到快速入网认证和hub安全管理。

为了实现上述目的，本发明的技术方案之一是提供一种信息系统内网安全统一管理平台，包括:入网规范管理系统、网络智慧管理系统和多维终端安全管理平台，所述入网规范管理系统对入网设备及人员安全进行准入控制，所述网络智慧管理系统针对准入后的设备网络流量和网络访问行为进行控制和审计，所述多维终端安全管理平台针对终端配置和应用管理进行实时监测和管理响应。

作为优选，本发明所述入网规范管理系统包括入网身份认证模块、入网安全性检查模块、漏洞修复模块、权限控制模块、BI报表分析模块及其组合，所述入网身份认证模块对入网设备或人员进行身份认证，根据身份由所述权限控制模块进行权限控制，所述入网安全性检查模块进行入网安全性检查，所述漏洞修复模块进行漏洞修复，BI报表分析模块实现对前述模块记录的分析。

作为优选，本发明所述网络智慧管理系统包括网络行为审计模块、网络行为控制模块、网络流量控制模块、查询与报表分析模块及其组合，所述网络行为审计模块监控流量、访问情况，所述网络行为控制模块监控和响应访问违规情况，网络流量控制模块监控和响应流量违规情况，查询与报表分析模块实现对网络行为审计模块、网络行为控制模块、网络流量控制模块记录的分析。

作为优选，本发明所述多维终端安全管理平台包括终端资产管理模块、补丁管理模块、移动介质管理模块、应用管理模块、远程维护管理模块、外联管理模块、网络操作管理模块及其组合，终端资产管理模块、补丁管理模块、移动介质管理模块、应用管理模块、远程维护管理模块、外联管理模块、网络操作管理模块及其组合构成终端管理策略库，下发策略至客户终端，并将下发策略记录传输至审计与报表模块。

本发明的技术方案之二是提供一种信息系统内网安全统一管理平台的管理方法，包括如下步骤：

a、对接入网络的终端进行特征识别；

b、对步骤a中的特征进行查询，根据规范获取入网角色；

c、对步骤b中的角色进行规范检查，检查不通过，则切换到隔离区，检查通过，则依据角色权限入网；

d、对步骤a中的终端进行行为记录并统计记录、BI分析和违规行为的响应。

作为优选，本发明所述终端包括外接设备、使用者及其组合。

作为优选，本发明所述特征识别包括终端的IP地址、物理地址、硬盘ID、所属交换机端口号及其组合。

本发明所述切换过程包括如下步骤：

a1、对指定特征的终端进行安全策略下发，并依据安全策略进行管理和响应；

b1、终端符合条件，则不改变终端所属交换机端口的vlan，终端违规或未知，则将终端所属交换机的端口切换到隔离vlan；

c1、步骤b1中在隔离vlan内的终端通过管理平台进行vlantag转换，并访问隔离区进行安全修复；

d1、步骤c1修复完成后，所属交换机端口切换回正常vlan，获取入网权限。

本发明的有益效果是，通过隔离区的切换来实现准入控制，处于隔离区的设备所有数据的传输都将通过管理平台进行控制，同时接入设备被强制访问管理平台的WEB认证页面来实现规范约束，身份认证、安全性检查及修复等一系列准入流程都只需通过web浏览器即可实现，从而实现了无客户端的准入控制,避免出现单个端口下多台设备同时入网或同时被隔离的弊端。

附图说明

图1为本发明管理平台的结构框图；

图2为入网规范管理系统结构框图；

图3为网络智慧管理系统结构框图；

图4为多维终端安全管理平台控制流程图；

图5为网络智慧管理系统控制审计流程图；

图6为本发明管理方法控制流程图；

图7为本发明切换隔离区控制流程图。

具体实施方式

为了使本发明的创作特征、技术手段与达成目的易于明白理解，以下结合具体实施例进一步阐述本发明。

实施例：

一种信息系统内网安全统一管理平台，包括如图1所示入网规范管理系统S1、网络智慧管理系统S2和多维终端安全管理平台S3，所述入网规范管理系统S1对入网设备及人员安全进行准入控制，所述网络智慧管理系统S2针对准入后的设备网络流量和网络访问行为进行控制和审计，所述多维终端安全管理平台S3针对终端配置和应用管理进行实时监测和管理响应。

参看图2，入网规范管理系统S1包括入网身份认证模块S11、入网安全性检查模块S12、漏洞修复模块S13、权限控制模块S14、BI报表分析模块S15及其组合。核心引擎库中包含准入技术库、角色库和规范库，入网身份证模块S11根据准入技术库对入网设备或人员进行强制认证，入网安全性检查模块S12根据角色库进行角色对比并根据规范库进行规范应用，实现权限控制，漏洞修复模块S13则根据规范库中规范对应的修复方式进行漏洞修复，权限控制模块S14根据引用角色库中的角色属性进行权限控制，BI报表分析模块S15则实现对入网身份认证模块S11、入网安全性检查模块S12和漏洞修复模块S13提供记录的分析。

参看图3，网络智慧管理系统S2包括网络行为审计模块S21、网络行为控制模块S22、流量控制模块S23、查询与报表分析模块S24及其组合。网络传输过程中，网络行为审计模块S21监控网络流量、网络访问情况，网络行为控制模块S22监控和响应网络访问违规情况，网络流量控制模块S23监控和响应网络流量违规情况，查询与报表分析模块S24则将网络行为审计模块S21、网络行为控制模块S22、网络流量控制模块S23的记录进行分析。

参看图4，多维终端安全管理平台S3包括终端资产管理模块、补丁管理模块、移动介质管理模块、应用管理模块、远程维护管理模块、外联管理模块、网络操作管理模块及其组合。终端资产管理模块、补丁管理模块、移动介质管理模块、应用管理模块、远程维护管理模块、外联管理模块、网络操作管理模块及其组合共同构成终端管理策略库，客户端将事件上报至审计与报表模块，终端管理策略库将策略下发至客户端，同时将下发策略记录传输至审计与报表模块。

参看图5，网络传输时，识别要进行网络传输的流量，同时根据入网规范管理系统S1获取用户身份，确定匹配策略，判断是否违规，如果违规，则强制其恢复到正常状态，如果未违规，则进行正常的网络传输，识别流量的记录和是否违规的记录均录入到后台审计数据库中。

参看图6，一种信息系统内网安全统一管理平台的管理方法，包括如下步骤：对接入网络的终端进行特征识别S4；对步骤S4中的特征进行查询，根据规范获取入网角色S5；对S5中的角色进行规范检查，检查不通过，则切换到隔离区，检查通过，则依据角色权限入网S6；对S4中的终端进行行为记录并统计记录、BI分析和违规行为的响应S7。终端行为包括入网行为、在线行为、下线事件、违规事件。所述终端包括外接设备、使用者及其组合，外接设备如PC、notebook、mobilephone、printer。所述特征识别包括终端的IP地址、物理地址、硬盘ID、所属交换机端口号及其组合。

参看图7，所述隔离区的切换过程包括如下步骤：对入网终端进行特征识别，对指定特征的终端进行安全策略下发，并依据安全策略进行管理和响应S61；如果终端符合条件，则不改变终端所属交换机端口的vlan，如果终端违规或未知，则将终端所属交换机的端口切换到隔离vlanS62；在隔离vlan内的终端通过管理平台进行vlantag转换，并访问隔离区进行安全修复S63；终端修复完成后，所属交换机端口切换回正常vlan，获取入网权限S64。

外接设备接入网线之后，管理平台从接入层交换机上检测设备的mac地址与所属端口号，根据mac地址和端口号查询到外接设备的当前特征状态，属于合规状态的外接设备被置于正常VLAN中获得正常入网访问权限；属于不合规状态或未知状态的外接设备，管理平台将通知交换机切换外接设备所属交换机端口到隔离VLAN，进入隔离VLAN的外接设备发送的所有数据均通过TRUNK连接进入管理平台。依据外接设备的当前状况，被允许的访问数据将由管理平台进行VLANtag的转换后进入正常VLAN，同时管理平台根据外接设备发送的http数据报文自动回复web重定向应答，实现网页的自动推送和web页面认证，外接设备无需安装客户端，在web页面实现认证和安全性评估后，获得相应的访问权限，对于被检查出有安全漏洞的外接设备，可以通过web页面实现漏洞修补，并在安全性提高后获得更高的访问权限，安全性完全符合要求的外接设备，接入层交换机将其所在端口的隔离VLAN切换回正常VLAN，实现正常入网。

以上显示和描述了本发明的基本原理、主要特征和本发明的优点。本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内。本发明要求保护范围由所附的权利要求书及其等同物界定。

Claims (4)

1.一种信息系统内网安全统一管理平台，其特征在于，包括:入网规范管理系统、网络智慧管理系统和多维终端安全管理平台，所述入网规范管理系统对入网设备及人员安全进行准入控制，所述网络智慧管理系统针对准入后的设备网络流量和网络访问行为进行控制和审计，所述多维终端安全管理平台针对终端配置和应用管理进行实时监测和管理响应；

所述入网规范管理系统包括入网身份认证模块、入网安全性检查模块、漏洞修复模块、权限控制模块、BI报表分析模块及其组合，所述入网身份认证模块对入网设备或人员进行身份认证，根据身份由所述权限控制模块进行权限控制，所述入网安全性检查模块进行入网安全性检查，所述漏洞修复模块进行漏洞修复，BI报表分析模块实现对前述模块记录的分析；

所述网络智慧管理系统包括网络行为审计模块、网络行为控制模块、网络流量控制模块、查询与报表分析模块及其组合，所述网络行为审计模块监控流量、访问情况，所述网络行为控制模块监控和响应访问违规情况，网络流量控制模块监控和响应流量违规情况，查询与报表分析模块实现对网络行为审计模块、网络行为控制模块、网络流量控制模块记录的分析；

所述多维终端安全管理平台包括终端资产管理模块、补丁管理模块、移动介质管理模块、应用管理模块、远程维护管理模块、外联管理模块、网络操作管理模块及其组合，终端资产管理模块、补丁管理模块、移动介质管理模块、应用管理模块、远程维护管理模块、外联管理模块、网络操作管理模块及其组合构成终端管理策略库，下发策略至客户终端，并将下发策略记录传输至审计与报表模块。

2.一种信息系统内网安全统一管理平台的管理方法，其特征在于，包括如下步骤：

a、对接入网络的终端进行特征识别；

b、对步骤a中的特征进行查询，根据规范获取入网角色；

c、对步骤b中的角色进行规范检查，检查不通过，则切换到隔离区，检查通过，则依据角色权限入网；

所述切换过程包括如下步骤：

a1、对指定特征的终端进行安全策略下发，并依据安全策略进行管理和响应；

b1、终端符合条件，则不改变终端所属交换机端口的vlan，终端违规或未知，则将终端所属交换机的端口切换到隔离vlan；

c1、步骤b1中在隔离vlan内的终端通过管理平台进行vlantag转换，并访问隔离区进行安全修复；

d1、步骤c1修复完成后，所属交换机端口切换回正常vlan，获取入网权限；

d、对步骤a中的终端进行行为记录并统计记录、BI分析和违规行为响应。

3.根据权利要求2所述的管理方法，所述终端包括外接设备、终端使用者及其组合。

4.根据权利要求2所述的管理方法，所述特征识别包括终端的IP地址、物理地址、硬盘ID、所属交换机端口号及其组合。