CN103413083B - 单机安全防护系统 - Google Patents

Abstract

本发明涉及单机安全防护领域，具体而言，涉及一种单机安全防护系统。该单机安全防护系统包括登录控制子系统、主机监控与补丁分发子系统和光盘刻录监控子系统；所述登录控制子系统，用于通过USBkey对用户登录单机操作系统的登录过程进行控制；所述主机监控与补丁分发子系统，用于对单机的运行过程进行安全监控，并对补丁分发进行管理；所述光盘刻录监控子系统，用于对光盘刻录进行安全监控。本发明提供的单机安全防护系统，能够较为全面的对单机进行安全性防护，防护性能更好。

Description

单机安全防护系统

技术领域

本发明涉及单机安全防护领域，具体而言，涉及一种单机安全防护系统。

背景技术

现代网络安全管理体系的日臻完善，使得对网络中的单机安全管理的需求强烈凸现出来。正确、全面地认识终端管理产品的发展趋势和技术特点，是IT研发厂商面临的发展抉择，同时也是企、事业IT管理人员和高层决策人员在进行终端桌面安全防护部署时必须考虑的议题。

近两年的安全防御调查也表明，政府、企业以及金融证券等单位中超过80％的管理和安全问题来自终端，以计算机为主要代表的终端广泛涉及每个用户，由于其分散、不被重视、安全手段缺乏的特点，已使得终端安全成为信息安全体系的薄弱环节。因此，网络安全呈现出了新的发展趋势，安全问题防护的侧重点已经逐步由核心与主干的防护，转向网络内部的每一个终端。

而相关技术中的单机安全防护系统，其防护措施往往较为单一，没有形成全面的防护系统，因此防护性能较差。

发明内容

本发明的目的在于提供单机安全防护系统，以解决上述的问题。

在本发明的实施例中提供了单机安全防护系统，包括登录控制子系统、主机监控与补丁分发子系统、光盘刻录监控子系统和电子文档安全控制子系统；

所述登录控制子系统，用于通过USBkey对用户登录单机操作系统的登录过程进行控制；

所述主机监控与补丁分发子系统，用于对单机的运行过程进行安全监控，并对补丁分发进行管理；

所述光盘刻录监控子系统，用于对光盘刻录进行安全监控；

所述电子文档安全控制子系统，用于采用驱动层加密的方式对电子文档进行加密管理。

其中，所述登录控制子系统，包括USBKey管理模块、USBKey客户端和USBKey；

所述USBKey管理模块，用于初始化USBKey、激活用户USBKey的PIN码和设置用户USBKey的使用权限；

所述USBKey客户端，用于控制所述单机的使用权限、审计USBKey的使用记录、设置系统的登录方式和在USBKey拔除后及时进行锁屏管理

所述USBKey，用于在USBKey客户端的控制下完成对所述单机的启动登录、锁屏登录及注销登录的使用控制。

其中，所述USBKey管理模块，包括系统账户绑定单元、第一删除单元、系统设置单元和密码激活单元；

所述系统账户绑定单元，用于初始化USBKey的系统级账户，实现USBKey与单机操作系统账户的绑定；

所述第一删除单元，用于删除在USBKey中已完成初始化的USBKey系统级账户；

所述系统设置单元，用于设置USBKey登录操作系统的的身份；

所述密码激活单元，用于在管理员输入的正确的管理员PIN码之后对用户PIN码进行激活和重设。

其中，所述USBKey客户端，包括新建单元、修改单元、第二删除单元、授权单元、审计单元和设置单元；

所述新建单元，用于在USBKey上新建一个非管理组的用户级账户，以供USBKey可以通过非管理员账户登录操作系统，实现USBKey与操作系统的绑定；

所述修改单元，用于修改USBKey的账户名称和PIN码；

所述第二删除单元，用于删除USBKey中用户已新建完成的非管理员账户信息；

所述授权单元，用于通过具有登录权限的USBKey对另一只USBKey进行授权，授权的USBKey为母USBKey，被授权的USBKey为子USBKey，授权后的母USBKey和子USBKey均可登录当前操作系统；

所述审计单元，用于记录和控制USBKey的使用时间、使用次数，并限制子USBKey的使用；

所述设置单元，用于设置用户登录时是否仅通过USBKey进行身份验证、USBKey拔出后是否锁屏、单机启动时是否自动启动USBKey程序。

其中，所述电子文档安全控制子系统包括驱动层加密模块和安全策略设置模块；

所述驱动层加密模块，用于通过驱动程序对电子文档存在属性、访问进行控制以实现对电子文档的操作进行保护，并设置文件是否只读、是否可编辑、是否可打印，是否可删除，同时通过驱动程序对操作系统中各种电子文档操作进行日志记录；

所述安全策略设置模块，包括多密钥管理单元、指纹识别单元、可信进程策略设置单元、身份认证单元和邮件自动解密单元；

所述多密钥管理单元，用于设置统一的一级密钥的同时设置多个基于统一的一级密钥的二级密钥；

所述指纹识别单元，用于通过指纹技术识别用户应用程序，防止篡改应用程序文件；

所述可信进程策略设置单元，用于通过可信进程策略制定与用户自定义策略对象分配，指定需要加密的、应用程序使用的文件；

所述身份认证单元，用于支持多种身份认证，包括操作系统默认认证、用户自定义口令认证、USBKey认证、单点登录认证和PKI认证；

所述邮件自动解密单元，用于通过设置发件人及与发件人捆绑的收件人邮箱，实现收件人收到的加密文件在邮件发送过程中自动解密。

其中，所述主机监控与补丁分发子系统，包括终端注册管理模块、IP和MAC绑定管理模块及网关管理模块；

所述终端注册管理模块，用于采用C/S和B/S混合模式，录入用户的个人实名信息；

所述IP和MAC绑定管理模块，用于对固定IP网络的MAC和IP地址进行绑定管理，在探测到IP变化后根据策略设置恢复其原有IP地址，或者阻断其联网；

所述网关管理模块，用于禁止修改网关、禁用冗余网卡。

其中，所述主机监控与补丁分发子系统，还包括主机运维管理模块；

所述运维管理模块，包括运行资源监控单元、流量控制单元、进程异常监控单元和终端文件备份单元；

所述运维管理模块，用于在Web控制台对终端的CPU、内存、硬盘的资源占用率和剩余空间进行监控，设定危险等级报警阀门；

所述流量控制单元，用于通过Web控制台对终端的网络流入、流出和总流量进行监控，设定数据量阈值和时间阈值，当出、入数据量或者总流量超过所述数据量阈值并持续所述时间的长度达到所述时间阈值后，减少上报数据；对上报的当前流量进行汇总，对当前的流量进行实时排序；对网络客户端的历史流量进行统计和排序，并可生成报表；对并发连接数设定阈值并进行采样；设定网络客户端流量上限阈值，对超过的进行报警上报、自动阻断、终端提示；同时，对产生总流量过大、分时段瞬时流量过大的进程进行统计；

所述进程异常监控单元，用于在Web控制台对终端未响应窗口进行监控并结束或重启该进程，对意外退出的进程进行监控和保护；

客户端文件备份单元，用于针对终端进行数据实时备份，将单机目录文件数据实时或定时备份到数据服务器或其它单机上存储。

其中，所述主机监控与补丁分发子系统，还包括补丁分发管理模块；

所述补丁分发管理模块，包括补丁索引单元、补丁下载检测和增量式导入单元、补丁安全自动测试单元、补丁库自动分类单元、补丁库的级联和同步单元、补丁安装检测自动分发单元、补丁策略制定单元、补丁下载流量控制单元、服务器端补丁查询单元及网页查询补丁安装信息单元；

所述补丁索引单元，用于设置补丁索引的结构为可扩展和可编辑，以支持各种用户应用程序的更新补丁；

所述补丁下载检测和增量式导入单元，用于在外网导出补丁时，分离出内网已经安装的补丁，只导入内网尚未安装的系统补丁；

所述补丁安全自动测试单元，用于选定测试单机作为测试组，每次补丁导入内网后，首先自动分发至测试组的单机进行所述补丁的安装测试，自动地进行非模拟性自动测试；当补丁安装后对测试单机未产生影响，则对网络内的单机进行大面积的推送；

所述补丁库自动分类单元，用于对存放到服务器上的单机系统补丁进行相应的分析，自动得出补丁属性、类型和补丁说明，并进行显示；同时提供针对不同补丁类别的补丁管理方式；

所述补丁库的级联和同步单元，用于针对补丁进行级联式的分发和管理，在级联级数没有限制并在三级的基础上进行无缝平滑扩展；设定同步校验周期和时间，定期进行同步校验，或者自动触发服务器与下级服务器间的同步操作；

所述补丁安装检测自动分发单元，用于检测网络系统终端补丁的安装状况，对没有安装补丁的设备进行远程补丁安装,将最新补丁升级包及时分发到终端单机，并提示安装修补；

所述补丁策略制定单元，用于制定补丁应用策略、补丁文件分发任务；

所述补丁下载流量控制单元，用于根据网络的负载情况自动调整分发补丁时所占的网络带宽和并发连接数；根据手动设置允许的带宽或服务器并发连接数及每个连接所允许使用的带宽；支持客户端转发代理补丁下载，减少网络带宽流量。

所述服务器端补丁查询单元，用于实时监控客户端系统漏洞及补丁安装情况，根据补丁名称、待查询IP范围、操作系统、待查区域和查询时间对区域网络范围内的计算机终端进行补丁安装状况查询，获取所查询补丁的安装情况信息；

所述网页查询补丁安装信息单元，用于在内网中设置用于下载安装检查漏洞的补丁的网页，对本机所缺少的计算机补丁进行查询，查询结果在网页上进行显示。

其中，所述光盘刻录监控子系统，包括权限控制模块、安全光盘读取模块和安全审计模块；

所述权限控制模块，用于设置不同用户的刻录权限；

所述安全光盘读取模块，用于在刻录时对文件进行数据处理，使刻录的光盘在多种光驱上都能被读取。

所述安全审计模块，用于审计刻录计算机IP、MAC、刻录时间、源文件绝对路径、目的文件绝对路径信息、客户端系统配置变化、灵活过滤条件查看日志。

其中，所述光盘刻录监控子系统，还包括分级管理模块、通信保护模块、终端保护模块、系统日志记录模块、系统安全性设计模块和服务器安全性设计模块；

所述分级管理模块，用于将用户划分超级用户、普通用户和审计用户三个级别，并分配不同的管理权限；

所述通信保护模块，用于对组件间通信时传输的数据进行加密，服务器端使用TCP协议80、88端口，终端使用TCP协议22105端口，终端数据上报和服务器端指令、策略下发采用加密算法；终端和服务器端相互通信使用双向认证机制；

所述终端保护模块，用于在正常模式和安全模式下进行终端安全代理自身防护；

所述系统日志记录模块，用于记录用户登录时间、IP地址和登录用户名称；将管理员对系统策略的修改、增删操作进行记录；

所述系统安全性设计模块，用于在受到恶意修改IP地址的方式攻击时维护运行；

所述服务器安全性设计模块，用于在网络中出现IP地址或MAC地址冲突现象时，将发起恶意攻击的设备自动阻断，将不会被阻断出网。

本发明上述实施例的单机安全防护系统，在系统登录、主机运行和补丁分发以及光盘刻录四个方面均进行了有效的监控机制，在登录时，通过USBKey方式进行安全验证，在主机运行中，又对各种运行进程进行监控，并对补丁的分发设置了专门的安全防护机制，同时，在光盘刻录方面，也提供了较为具体的防护措施，这样，本发明实施例所提供的技术方案，能够较为全面的对单机进行安全性防护，防护性能更好。

附图说明

图1为本发明的单机安全防护系统的结构示意图；

图2为本发明提供的登录控制子系统的一个实施例中的流程示意图；

图3为本发明提供的主机监控与补丁分发子系统的一个实施例中的进行补丁分发的结构示意图。

具体实施方式

下面通过具体的实施例子并结合附图对本发明做进一步的详细描述。

本发明实施例提供了一种单机安全防护系统。参见图1所示，包括登录控制子系统、主机监控与补丁分发子系统和光盘刻录监控子系统。

所述登录控制子系统，用于通过USBkey对用户登录单机操作系统的登录过程进行控制；所述主机监控与补丁分发子系统，用于对单机的运行过程进行安全监控，并对补丁分发进行管理；所述光盘刻录监控子系统，用于对光盘刻录进行安全监控。

作为一种具体可实施方式，所述登录控制子系统，包括USBKey管理模块(USBKeyManager)、USBKey客户端(USBKeyClient)和USBKey。

USBKeyManager，用于初始化USBKey、激活用户USBKey的PIN码和设置用户USBKey的使用权限。

USBKeyClient，用于控制客户端的使用，其主要包括：控制计算机的使用权限、审计USBKey的使用记录、设置系统的登录方式和USBKey拔除锁屏。

USBKey，此部分为硬件模块，结合USBKeyClient完成对计算机的启动登录、锁屏登录及注销登录的使用控制。

整个子系统采用USBKeyClient和USBKey相结合的方式，实现所有功能，产品的详细操作流程参见图2所示。

该所述登录控制子系统，主要实现如下功能：

双重认证安全登录管理(USBKey+PIN码与用户名+密码)；USBKey与操作系统不同权限用户绑定管理；USBKey登录权限划分管理(通过USBKey与操作系统不同权限用户的绑定，实现对USBKey的登录权限划分)；USBKey拔除实时锁屏管理，屏保锁屏管理，注销锁屏管理；USBKey用户登录情况审计管理(包括USBKey的名称、登录时间、次数、序列号等信息)；禁用安全模式登录；可以在计算机上建立若干个文件保险箱并进行加密处理；可以像操作普通磁盘一样使用文件保险箱来保存敏感的数据和文件。

其中，USBKeyManager管理器主要包括4个功能模块：系统账户绑定单元、第一删除单元、系统设置单元和密码激活单元。每个功能模块的详细操作说明如下：

系统账户绑定单元，用于初始化客户端USBKey的系统级账户，实现USBKey与客户端操作系统账户的绑定。

先插入客户端USBKey，运行USBKeyManager。根据客户端用户提交的客户端系统级账户(Administrators组)及密码，完成系统账户的初始化工作。

USBKeyClient客户端主要包括6个功能模块：新建单元、修改单元、第二删除单元、授权单元、审计单元、设置单元。每个功能模块的详细操作说明如下：

新建单元：用于客户端用户在USBKey上自建一个用户级账户(非Administrators组)，以供USBKey可以通过受限账户登录操作系统，实现USBKey与操作系统的绑定。

先插入客户端USBKey，运行USBKeyClient客户端。根据要求输入账户信息，完成普通用户账户的新建。

修改单元：用于修改USBKey的名称和PIN码。

第二删除单元：用于删除USBKey中用户已新建完成的用户账户信息，仅可删除普通用户账户。

输入用户PIN码，如果PIN正确，则完成删除工作。

授权单元：用户通过管理员派发的已有USBKey(以下称为“母USBKey”)对另一只新USBKey(以下称为“子USBKey”)进行授权，授权后的母USBKey和子USBKey都可以登录当前操作系统。

审计单元：用于记录和控制USBKey用户的使用情况，其中包括USBKey的使用时间、次数等信息和限制子USBKey的使用。

登录限制：选择将要限制的USBKey所对应的记录(任意一条即可)，点“登录限制”，输入母USBKey的PIN码，再点击“确定”。限制完成后，被限制的子USBKey将被禁止在该终端上使用。

设置单元：用于设置操作系统的常规功能。

启动USBKey，实现USBKey自动登录操作系统：终端开机或重启后，由USBKey采用软件设定的方式登录操作系统，终端使用者只需输入PIN码，无需输入用户名和密码。

启动USBKey，实现USBKey和系统默认(“用户名+密码”)的双重登录方式(默认)：终端开机或重启后，终端使用者需要输入PIN码和用户名密码结合的方式登录操作系统。

优选地，作为一种可实施方式，所述电子文档安全控制子系统，包括驱动层加密模块和安全策略设置模块。

本发明的单机安全防护系统，设置有主机监控与补丁分发子系统。该子系统基于局域网和广域网均可实施。

对于一般网络(例如1个C类地址或若干个C类地址的局域网范围)，可使用一套本系统软件，集中管理所属区域内的所有设备。

本系统在网络中安装数据库，用于存储网络客户端设备信息。当上述系统数据库、网页管理平台、区域管理器安装完毕后，即可对网络中客户端进行注册。用户在取得注册程序，执行后添加计算机使用信息，如使用人姓名、单位、联系方式等，注册程序自动采集系统的硬件设备信息，经过区域管理器处理后存入数据库，同时区域管理器将代理驻留程序发送到计算机终端，实时运行。通过探头、区域扫描器等对计算机的网络连接行为实施探测，根据需要发送本机缺少的相关系统补丁、安全策略、命令或文件等，在遇到数据库中定义的非法行为时实施阻断。

系统正常运行后，主要通过网页WEB管理平台来对整个计算机设备信息系统进行配置管理，在网络内设置区域管理器、扫描器IP地址。对于一般网络(如1个C类地址或若干个C类地址的局域网范围)适用一套本系统，集中管理所属区域内的设备。对于大规模的多个局域网或者跨地域的广域网，提供多区域集中管理模式，即下级管理系统可将本级所有设备信息再传递给上级管理数据库，使得上一级管理人员对整个网络的设备状况能够完全掌握。

设备管理信息系统的配置，要根据网络客户端规模、网络管理实际情况来选择。可以在网络中安装多个区域管理器，区域管理器只负责一定范围内的客户端，对于该范围以外的客户端，不予以处理；每个区域管理器下属多个扫描器，提供对本区域网络的分段扫描，及时检查该网络客户端注册情况。参见图3所示。

对于大规模的多个局域网或者跨地域广域网(包括基于国家、省、市、县等多级管理模式的网络结构)，可使用本系统提供的多区域级联集中管理构架，即一个或多个网段各拥有一套独立的主机监控审计与补丁分发系统的同时，将本级的统计和报警信息转发给上级管理系统，上一级管理人员对整个网络的状况也能够完全掌握。

主机监控审计与补丁分发系统采用统一策略管理中心实现对内部网络终端的统一安全管理。策略管理中心内置终端安全防护需要的所有安全管理参数，提供对计算机终端的安全规则配置、安全功能策略开启/关闭、安全策略执行范围/周期设定等一系列安全措施的管理。

如此，该产品具有如下功能：

1.终端注册管理

系统采用C/S和B/S模式混合管理方式，在被管理的桌面计算机上安装VRVEDP客户端程序。在安装客户端程序需要填写当前计算机使用人的个人相关信息，如使用人、单位、部门、联系电话、邮件、所在地、计算机类型等，进行实名化的管理便于快速定位，无论是违规，还是网络安全事件发生时都可以快速定位到事件源。

填写的个人相关信息会上报到服务器，保存在后台数据库里，供前台管理平台查询。

系统注册信息填写页可以由用户自己自由选择设定，可以设定显示的注册内容项、标题项、是否启用、是否必填、是否为选择性填充等，并可以设定扩充选项，提供给不用需求的用户进行选择性注册管理。

2.IP和MAC绑定管理

对固定IP网络的MAC和IP地址进行绑定管理，系统探测到IP变化后根据策略设置恢复其原有IP地址，或者阻断其联网，同时禁止修改网关、禁用冗余网卡。

3.禁止修改网关、禁用冗余网卡管理

系统支持禁止修改网关、禁用冗余网卡等功能。

4.未注册终端拒绝入网管理(软阻断技术)

系统采取对未注册终端Arp阻断管理：对于接入网络未注册终端进行Arp阻断，禁止其联网。

IT管理功能：

1.硬件管理

自动搜集包括CPU、内存、硬盘分区总和、设备标识的大小和其他详细信息以及其他如主板、光驱、软驱、显卡、键盘、鼠标、监视器、红外设备、键盘等所有的硬件信息。

自动发现识别客户端安装的所有软件信息(名称、版本、安装时间、发现时间等)，将相关数据入库，检测客户端运行软件信息，供管理员在Web控制台查询。

软件资源统一监控：自动收集安装在每台计算机上的每种应用程序信息，包括安装的操作系统种类、版本号以及当前补丁情况、客户机安装的软件等信息和驱动程序情况，并进行汇总管理。

系统能够及时检测主机软件信息变化情况。根据条件查询客户机安装的软件或指定软件被哪些客户端安装等信息。

3.软、硬件设备信息变更管理

报警未注册设备、注册程序卸载行为，实时检测硬件设备变化情况(如设备硬件变化、网络地址更改、USB设备接入等)。

终端桌面管理功能：

1.进程运行黑白名单控制

对进程执行进行黑白名单控制，即根据策略设定禁止执行的进程和必须执行的进程。对违规的客户端进行客户端提示和断网处理等相应措施。

2.进程保护管理

对重要的进程进行守护，防止由于意外或人为原因造成重要进程中断。

3.进程执行汇总

统一汇总和监视网络各终端的进程，可以增量式的显示网络中新出现的进程，也可统计网络中最常运行的进程，从而统计出网络客户端软件的使用情况。此系统可对网络中出现的异常进程(很可能病毒进程)进行定位和报警，在必要时可直接阻断。

4.终端服务管理

查询当前终端运行的服务，可以远程关闭或开启服务。

5.软件黑白名单控制

对软件安装进行黑白名单控制，即根据策略设定禁止安装的软件和必须安装的软件。违规软件禁止安装功能，禁止在注册表Run项里添加自启动项，禁止在注册表Services项里添加自启动项，禁止在程序启动项中添加项，禁止在程序项中添加快捷方式限制违规软件的安装，所有安装软件均可进行审计。

6.软件安装汇总

系统能够对所安装的软件进行统计汇总，并能将汇总情况统计生成报表，支持多种报表导出方式。

7.终端消息推送

可精确地对选定的对象或个人进行消息传送，而不依赖于Windows自身的信使服务功能，系统还提供多种策略模式传送消息。

8.远程协助

当客户端用户以及服务器用户在使用计算机时遇到难以解决的问题，可以通过访问特定网页式，主动向多个网管工作台(可自主选择的)进行并发协助请求呼叫，呼叫网管对其进行远程协助。当管理员接收到客户端的请求可以后，调用远程客户端的桌面，帮助客户端用户解决相应的问题。

管理员接收请求后，系统将自动调用远程计算机的桌面，就如同管理员亲自到现场，进行软件安装、软件调试、系统维护、打印机安装等工作，省去管理员来回现场和办公室之间的时间，提高了系统维护的效率和管理员的工作效率。

9.外设及端口控制

系统可以设置受控主机允许或禁止使用USB设备、串口、并口、软驱、光驱、红外设备、蓝牙设备、网络设备(无线网卡、网卡、PCMCIA)、1394接口、打印设备。系统采用硬件设备驱动级的禁用方式实现对上述设备的禁用。

10.垃圾文件清理

管理员可在Web控制台对终端用户某一文件夹下或全盘某些后缀的垃圾文件或临时文件进行集中清理。

目前的系统临时文件众多，而绝大部分业务用户均不会手动清除大量的临时文件，这样会占用大量的硬盘资源，因此需要靠第三方系统主动的对其加以清理。

系统可协助用户维护(指定目录下的)临时文件、备份文件、帮助的历史文件、IE临时文件、安装临时文件、异常临时文件等各种应删除的文件。

11.终端点对点管理

系统管理员可通过系统以点对点的方式对客户端进行详细的监控审计，具体包括以下内容：

(1)硬件资产清单：自动搜集包括CPU、内存、硬盘分区总和、设备标识的大小和其他详细信息以及其他如主板、光驱、软驱、显卡、键盘、鼠标、监视器、红外设备、键盘等所有的硬件信息；网管可自主添加相关的附加信息。

(2)安装软件查询：查询设备所有安装的软件。

(3)终端进程管理：查询当前终端所有运行的进程，并可通过系统关闭非系统进程。

(4)终端服务管理：查询当前终端运行的服务，可以远程关闭或开启服务。

(5)终端流量查询：包括当前与网络连接的进程及其流量的统计。

(6)系统运行资源查看：具体包括：CPU频率和使用率、内存大小和使用率、系统各硬盘分区大小和使用情况。

(7)补丁查询：查看系统漏打的补丁。

(8)日志查询：查看终端的系统日志、安全日志和应用程序日志。

(9)终端安全审计：查看用户的登录、历史记录、下载信息等各种信息。

(10)消息通知：向用户发送消息，并可要求用户进行消息回馈。

(11)远程运行进程：可远程加载进程。

(12)共享目录检查：检查当前终端的共享目录。

(13)修改网络配置：可查看网络终端的IP、MAC、子网掩码和网关信息，并可远程修改用户的IP地址。

(14)远程卸载客户端程序。

(15)远程断开/恢复网络终端的网络。

(16)远程重新启动计算机。

12.系统自动关机管理

对客户端关机时间的设定，实现自动关机，并可以在发现计算机空闲时间过长时锁屏或关机。

13.终端时间同步管理

所有客户端时间的同步，防止擅自修改系统时间。

此外，该子系统，还具备非法外联管理功能：

1.网络内部终端非法外联互联网行为监控

终端非法外联互联网行为监控：对于已注册的设备，通过不同方式(如双网卡、代理等)连接互联网进行的通讯，系统能够自动阻断其连接行为并报警。

2.网络内部终端非法接入其它网络行为监控

对于已注册的设备，监控其网络连接行为，根据接入网络环境因素判定其是否非法接入其它网络。

3.离网终端非法外联互联网行为监控

对于已经注册的计算机，非法带出到另外一个网络的行为进行监控，发现有外联互联网行为时可以采取警告、阻断、自动关机等操作。

4.非法外联行为告警和网络锁定

如果终端非法入网，可以在报警平台和报警查询处获知信息，并且可以对终端提示信息，自动关机，阻断联网等处理。

5.非法外联行为取证

对于非法外联行为进行实时告警功能，同时记录该行为发生的事件、IP地址、MAC地址、使用人等相关信息上报到服务器进行记录取证。

优选地，所述主机监控与补丁分发子系统，还包括补丁分发管理模块。

所述补丁分发管理模块，包括补丁索引单元、补丁下载检测和增量式导入单元、补丁安全自动测试单元、补丁库自动分类单元、补丁库的级联和同步单元、补丁安装检测自动分发单元、补丁策略制定单元、补丁下载流量控制单元、服务器端补丁查询单元、网页查询补丁安装信息单元。

下面对补丁分发管理各单元做详细介绍：

整个补丁管理运行平台构架是：通过外网补丁下载服务器及时从补丁厂商网站获取最新补丁；补丁安全测试后，通过补丁分发管理中心服务器对网络用户进行分发安装；补丁安装支持自动和手动两种方式。

系统可监控管理网络补丁状况，其具体功能如下：

1.补丁索引的适应和扩展性

主机监控审计与补丁分发系统具有良好的兼容性，支持主流操作系统，如Windows2003、Windows2000 Pro、Windows 2000 Server、Windows Pro、Windows XP home、Windows、Windwos 9X等。

因为补丁索引文件为北信源自主开发，补丁索引的结构具备可扩展性和可编辑性，索引的结构和定义除了可以支持微软补丁外，还可以支持非微软系统补丁、各种数据库补丁，甚至可以支持各种用户应用程序的更新补丁。

2.补丁下载检测和增量式导入功能

对于物理隔离的内部网络，其内部的补丁升级服务器中的补丁数据必须从外部导入，巨大的补丁数据库使得每次补丁导入相当烦琐。为此，北信源使用增量式补丁分离技术，在外网导出补丁时，可分离出内网已经安装的补丁，只导入内网尚未安装的系统补丁，即仅对内网的补丁进行“增量式”的升级，以提高效率。

当有新的计算机补丁公布可以下载后，北信源公司由专门的人员在第一时间内获得，并进行相应的分析，更新补丁索引文件。

系统拥有专门的外网补丁下载服务器，能根据索引自动下载新增的计算机补丁，补丁校验功能对所下载的补丁进行校验，保证计算机补丁的可靠性、完整性、安全性。

补丁在导入时并具有病毒检测功能，保证导入到补丁库中的补丁不被病毒感染。

3.补丁安全自动测试功能

用户的真实环境中，可能会包含特殊的应用或特殊的软件版本，在这些环境中，有时会出现打补丁后系统或应用异常的情况，所以在大规模补丁分发前需要进行真实环境的补丁测试。北信源系统独创了真实环境闭环测试技术，具体的流程是首先由网管选定某些计算机作为测试计算机作为测试组，每次补丁导入后内网后，首先自动分发至这些选定计算机进行新补丁的安装测试，从而自动地进行非模拟性自动测试。如果补丁安装后对测试计算机未产生影响，被测试计算机能正常运行，网管员便可根据相应得策略对网络内的计算机进行大面积的推送。此技术可以很好的减轻网管的测试工作量，并提高补丁安装的安全性。

4.补丁库自动分类功能

系统对存放到服务器上的计算机系统补丁能进行相应的分析，自动得出补丁属性、类型和与之相关的补丁说明，并在网页中进行清晰明了的显示。可以方便管理人员根据相应的需求，高效快捷定义补丁分发策略，及时地针对不同的系统和需要分发计算机补丁。

系统同时提供管理员自定义补丁类别的补丁管理方式，如果需要也可由相关的管理人员自行设定相应的自定义补丁类别以符合其管理的需要。

6.补丁安装检测、自动分发补丁功能

北信源补丁管理依据自身注册客户端优势，为网络用户提供强大的系统补丁检测、分发、安装等远程控制功能。网络管理人员通过本模块全面检测网络系统终端补丁的安装状况，并通过此模块，对没有安装补丁的设备进行远程补丁安装,可将最新补丁升级包及时分发到终端计算机，并提示安装修补，在客户端有明显提示，通知用户打补丁。

系统可以对客户端安装的系统的版本，IE版本的补丁安装情况进行自动探测和维护(客户端计算机的补丁安装情况包括Windows、Office、IE、微软媒体播放器等)，自动搜集客户端系统资料和安装补丁资料，以根据客户端系统的实际状况自动分发所需的补丁。

客户端程序安装检测：网络中的客户端访问本地的WEB网站进行自动注册。注册后客户端检测程序将在系统中实时运行，检测补丁安装状况，并上报给补丁管理中心。用户WEB网页自动探测提示，支持大面积用户快速安装。客户端部署：在系统内部网络中，未注册客户端访问本地网站、以及访问上级网站均会出现提示用户注册窗口。

补丁推送安装：当系统检测到有客户端未打补丁时，可对漏打的补丁进行推送式的安装。同时，通过推送安装，也可以为客户端安装应用软件。

补丁推送分发可以跨网段，跨VLAN,补丁分发支持断点续传功能。补丁下发过程中，如遇到特殊事件造成网络中断，则在下次网络连通时通过校验得出已传输的数据和断点位置，进行续传。

系统补丁报表：监控程序将网络客户端补丁信息上报管理中心后写入数据库，在WEB管理平台可进行补丁报表察看，统计网络客户端补丁安装状况。

7.补丁策略制定功能

包括补丁应用策略制定、补丁文件分发任务制定。

可以根据要求按照不同的区域进行划分，可按照IP地址、部门、操作系统、用户自定义等方式进行区域划分。

补丁策略制定：具体可支持定时、定周期、分类、分部门、分范围、客户机状态和用户自定义等策略。

补丁策略分发：具备详尽的补丁分发策略，补丁可以定时、定周期、分类、分范围、分部门、分范围、客户机状态和用户自定义等进行分发。

补丁文件任务制定：针对特定的一个补丁或多个补丁，对指定计算机或者计算机网络进行补丁自动分发安装。

补丁中心将网络客户端分类，设置测试类客户端，补丁在测试类机器上经过严格测试后，再正式对其他类网络机器进行分发。

此外，主机监控审计与补丁分发系统还提供补丁下载流量控制功能，补丁管理中心区域管理模块能够对网络不同网段、不同区域的终端补丁升级进行流量、数量控制，避免造成对网络的流量影响，合理控制网络带宽。

9.服务器端补丁查询功能

客户端软件实时监控客户端系统漏洞及补丁安装情况，服务器端补丁查询补丁可根据补丁名称、待查询IP范围、操作系统、待查区域，查询时间或其它条件对区域网络范围内的计算机终端进行补丁安装状况查询，通过网管设定的查询条件，能快速地获知所查询补丁的安装情况(如补丁发送是否成功，补丁安装是否成功，补丁是否已被安装等)，以保证补丁及时的安装。

10.客户端网页查询补丁安装信息功能

因为很多用户习惯通过访问微软的Update网页，检查自己漏打的补丁，并进行下载安装。作为物理隔离的网络，内网中的用户无法访问此网页，因此从用户的习惯角度出发，内网中也应该有类似的网页，以便用户访问和获知本机补丁安装情况，进行补丁下载安装。安装了系统客户端的计算机可以通过访问内网的特定网页，对本机所缺少的计算机补丁进行查询，查询结果在网页上进行显示，计算机用户根据需要进行安装。

该子系统还具备报表管理功能：

1.系统提供完善的报表功能，能够根据按不同部门、不同操作系统提供软硬件资产、审计信息、报警、状态及其他情况汇总报表，提供多种报表功能。

2.具备独有的“组态报表”查询功能，对于有关报表，能根据不同的需要进行多种不同条件组合(组合查询条件包括所属区域、单位名称、设备所在部门、设备名称、设备IP、操作系统及版本、IE版本、防范等级、运行状态、安装杀毒软件版本及厂商、CPU情况、内存情况、硬盘情况、设备使用人、设备最后使用时间等等)，还可以生成多种不同的报表格式。

3.报表以网页的方式呈现，提供链接可在各项查询功能中跳转。报表可以方便的调整格式，并可以以Excel格式输出，以便打印。

4.可以根据需要输出成柱形图、饼图等。

同时，优选地，该子系统还进行事件报警管理：

1.事件集中报警处理中心汇总所有内外安全管理事件的报警信息，并将报警按种类、级别分类，同时支持短信、声音、邮件、图形等报警方式。同时，报警中心自动把各种报警信息汇总成为高、中、低三个等级，显示各类发生事件的名称和发生事件设备名称、IP、MAC等信息，以便第一时间发现报警源头和类型，发现对网络危害最大的报警信息，以最快速度妥善处理事件，从而在最大程度上提高系统管理员对网络突发事件的快速反应能力。

2.客户机发给管理服务器相关的报警信息可预设置级别，管理服务器把已注册客户机的报警信息记录到异常情况记录表，同时，按管理员预定义的规则将部分紧急的报警信息发送给管理员(本系统必须有与手机短信报警平台的接口)。

3.对客户机的不当行为，管理服务器能按照预先制定的策略自动进行警告，管理员也可以通过管理服务器对特定的客户机发出警告信息或其它信息，这些信息的发送不会因客户机关闭而无法完成，对离线机器发的信息在其开机后即弹出。弹出窗口以“阅毕”按钮关闭。信息可以定义有效期，客户机不会看到过期信息。管理员可以根据需要删除发出的信息。

4.对客户机的不当行为，管理服务器能按照预先制定的策略自动进行警告，管理员也可以通过管理服务器对特定的客户机发出警告信息或其它信息，这些信息的发送不会因客户机关闭而无法完成，对离线机器发的信息在其开机后即弹出。弹出窗口以“阅毕”按钮关闭。信息可以定义有效期，客户机不会看到过期信息。管理员可以根据需要删除发出的信息。

5.系统将通过短信平台将手机短信直接发送到下级安全管理员。

同时，在本发明实施例中，还进行第三方接口管理：

1.PKI/CA认证联动接口；2.防火墙联动接口；3.网管软件联动接口；4.安全管理平台联动接口；5.其它第三方接口；6.产品运行配置；

优选地，作为一种可实施方式，主机监控和补丁分发子系统的硬件配置如下：

双Intel至强CPU，主频2.8G或以上；120G硬盘或以上；2G内存或以上。

所选择的Windows服务器须支持冗余/高可用的配置，能够保证系统无单点故障。能够支持7*24小时连续运行，同时具有良好的容错能力。如需考虑未来管理计算机数量的增长，服务器还应具备一定的扩充能力。

软件配置：

系统服务器所需的软件环境：

1)操作系统：MS Windows 2000/2003Server；

2)数据库:MS SQL2000企业版或MS SQL2005企业版(SP4)；

3)服务器安装IIS服务；

系统客户端所需的软件环境：

操作系统：Microsoft Windows 98/2000/2003/XP/win7/Vista。

在本发明实施例中，作为一种可实施方式，所述光盘刻录监控子系统，包括权限控制模块、安全光盘读取模块和安全审计模块。

所述权限控制模块，用于设置不同用户的刻录权限；所述安全光盘读取模块，用于在刻录时对文件进行数据处理，使刻录的光盘在多种光驱上都能被读取。所述安全审计模块，用于审计刻录计算机IP、MAC、刻录时间、源文件绝对路径、目的文件绝对路径信息、客户端系统配置变化、灵活过滤条件查看日志。

优选地，在本发明实施例中，所述光盘刻录监控子系统，还包括分级管理模块、通信保护模块、终端保护模块、系统日志记录模块、系统安全性设计模块和服务器安全性设计模块。

所述分级管理模块，用于将用户划分超级用户、普通用户和审计用户三个级别，并分配不同的管理权限；所述通信保护模块，用于对组件间通信时传输的数据进行加密，服务器端使用TCP协议80、88端口，终端使用TCP协议22105端口，终端数据上报和服务器端指令、策略下发采用加密算法；终端和服务器端相互通信使用双向认证机制；所述终端保护模块，用于在正常模式和安全模式下进行终端安全代理自身防护；所述系统日志记录模块，用于记录用户登录时间、IP地址、登录用户名称；将管理员对系统策略的修改、增删操作进行记录；所述系统安全性设计模块，用于在受到恶意修改IP地址的方式攻击时维护运行；所述服务器安全设计模块，用于在网络中出现IP地址或MAC地址冲突现象时，将发起恶意攻击的设备自动阻断，将不会被阻断出网。

所述光盘刻录监控子系统，从其结构角度来说，主要由7部分组成：WinPcap程序、SQL Server管理信息库、Web中央管理配置平台、区域管理器、客户端注册程序、管理器主机保护模块、报警中心模块。

1)WinPcap程序：嗅探驱动软件，监听共享网络上传送的数据。

2)环境初始化程序：SQL Server管理信息库，建立北信源主机监控审计系统初始化数据库。

3)Web管理平台：系统的管理配置中心，包括区域管理器、扫描器、注册客户端的功能参数设定，网络设备信息发现、系统应用策略制订、报警信息显示、定义任务功能制订、系统用户维护等配置操作。

4)区域管理器：系统的数据处理中心，负责与管理信息数据库通讯扫描终端设备、控制服务器、客户端之间的信息、指令的下达、接受。内置网络扫描器，用来发现网络的终端设备,并将发现的设备信息交由区域管理器处理。

5)客户端注册程序:将接收并执行服务器下发的指令,对终端行为、操作、状态进行控制与管理。

6)主机保护模块:根据管理器或其他服务器具体使用的端口、网络协议、通信IP范围和具体的其他网络应用来定义该计算机使用的安全级较高的网络配置，从而防止该计算机受到恶意的IP冲突以及各种网络、病毒攻击。

7)报警中心模块：安装在可与区域管理器所在服务器正常通讯的计算机上，本模块可以根据管理员在系统中所配置的报警事件和危险级别提供给管理员包括电子邮件、信使服务、SNMP Trap、手机短信等多种报警方式。

下面对该光盘刻录监控子系统各功能模块所能实现的功能以及具体操作作如下说明：

1)权限控制

未授权用户无法使用刻录软件刻录数据。

针对不同用户可授权为：禁止刻录、对指定格式的文件设定刻录权限、关键字过滤功能保障涉密文件无法刻录、刻录次数限定，可根据工作日及时间段授权刻录、并可设定刻录许可码。

2)数据刻录控制

只有使用北信源专用刻录软件进行刻录，其他刻录软件无法刻录。

授权的用户使用北信源专用刻录软件刻录，刻录支持特殊格式的安全光盘。

3)特殊格式安全光盘读取

经过加密刻录的光盘内数据需要使用专用解密工具导入刻录时所使用的密钥才可解密，解密后文档才可正常读取

北信源专用刻录软件刻录的普通光盘在任何光驱上都能被正常读取。

4)安全审计

刻录行为的审计，包括：刻录计算机IP、MAC、刻录时间、源文件绝对路径、目的文件绝对路径等信息。

客户端系统配置变化审计，灵活过滤条件查看日志。日志、统计报表提供WORD及EXCEL等格式的输出。

5)分级管理

北信源光盘刻录监控与审计系统支持对管理员分级管理，实现不同管理员管理不同内容,可进行授权、管理和审计等多种角色划分，用户分为超级用户、普通用户和审计用户。

超级用户：开设并分配用户及权限。设定权限时根据工作需要，规定该用户所能操作的策略、管理的区域及查看的信息。设定权限时还可以根据工作需要设定用户为只读(只能看数据，不能改数据)、读写权限用户。

普通用户：根据超级用户设定的权限进行日常工作的维护与管理。

审计用户：提供对系统管理用户的操作行为记录，记录管理员操作执行的策略详细内容。

6)通信保护

北信源光盘刻录监控与审计系统的组件间通信时，数据传输是经过加密的。

服务器端使用TCP协议80、88端口，终端使用TCP协议22105端口，同时终端数据上报和服务器端指令、策略下发采用加密算法，防止他人旁路嗅探信息。

终端和服务器端相互通信使用双向认证机制，防止已安装同类终端的非本网络计算机非法进入网络，同时也防止模拟的假终端和服务器进行通信。

7)终端保护机制

北信源光盘刻录监控与审计系统的终端系统具备极强的自我保护功能，在正常模式和安全模式下均提供终端安全代理自身防护功能。并可防止用户停止代理进程、破坏代理运行目录和相关文件、停止代理相关服务。如需要，终端安全代理的程序和进程可做到用户不可见。

若网管要求强制卸载客端时，系统对终端安全代理提供特定的卸载程序，用户只能通过运行卸载程序停用/删除终端安全代理或通过管理平台远程卸载。

8)系统日志

北信源光盘刻录监控与审计系统提供局域网终端光盘刻录监控审计和操作审计机制，保证系统的稳定运行。

用户登录日志：详细记录登录用户登录时间、IP地址、登录用户名称等，以备进行事后审计。

策略操作日志：针对管理员对系统策略的修改、增删等各种操作进行详细记录。

9)系统安全性设计

保证管理系统服务器端使用的安全性，保证其受到恶意修改IP地址的方式攻击时的仍可正常工作，保证其在遭受DDOS攻击时仍可正常工作。管理系统终端不会被用户手动卸载或意外停止，仅能通过特殊工具卸载。要求终端出现异常(如停止工作)时管理端可自动获知情况并可进行相应的处理。

10)服务器安全设计

服务器系统具备保护服务器的终端数据包过滤功能。网络中出现恶意修改成与管理服务器相同信息(如相同的IP地址、相同的MAC地址等)的机器时，出现IP地址或MAC地址冲突等现象时，管理服务器将不会被阻断出网(即不会出现地址冲突的现象)，只有发起恶意攻击的设备会被自动阻断，不会影响管理服务器的正常管理。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.单机安全防护系统，其特征在于，包括登录控制子系统、主机监控与补丁分发子系统、光盘刻录监控子系统和电子文档安全控制子系统；

所述登录控制子系统，用于通过USBkey对用户登录单机操作系统的登录过程进行控制；

所述主机监控与补丁分发子系统，用于对单机的运行过程进行安全监控，并对补丁分发进行管理；

所述光盘刻录监控子系统，用于对光盘刻录进行安全监控；

所述电子文档安全控制子系统，用于采用驱动层加密的方式对电子文档进行加密管理；

其中，所述电子文档安全控制子系统包括驱动层加密模块和安全策略设置模块；

所述驱动层加密模块，用于通过驱动程序对电子文档的存在属性、访问进行控制以实现对电子文档的操作进行保护，并设置文件是否只读、是否可编辑、是否可打印，是否可删除，同时通过驱动程序对操作系统中各种电子文档操作进行日志记录；

所述安全策略设置模块，包括多密钥管理单元、指纹识别单元、可信进程策略设置单元、身份认证单元和邮件自动解密单元；

所述多密钥管理单元，用于设置统一的一级密钥的同时设置多个基于统一的一级密钥的二级密钥；

所述指纹识别单元，用于通过指纹技术识别用户应用程序，防止篡改应用程序文件；

所述可信进程策略设置单元，用于通过可信进程策略制定与用户自定义策略对象分配，指定需要加密的、应用程序使用的文件；

所述身份认证单元，用于支持多种身份认证，包括操作系统默认认证、用户自定义口令认证、USBKey认证、单点登录认证和PKI认证；

所述邮件自动解密单元，用于通过设置发件人及与发件人捆绑的收件人邮箱，实现收件人收到的加密文件在邮件发送过程中自动解密。

2.根据权利要求1所述的单机安全防护系统，其特征在于，所述登录控制子系统，包括USBKey管理模块、USBKey客户端和USBKey；

所述USBKey管理模块，用于初始化USBKey、激活用户USBKey的PIN码和设置用户USBKey的使用权限；

所述USBKey客户端，用于控制所述单机的使用权限、审计USBKey的使用记录、设置系统的登录方式和在USBKey拔除后及时进行锁屏管理；

所述USBKey，用于在USBKey客户端的控制下完成对所述单机的启动登录、锁屏登录、注销登录的使用控制。

3.根据权利要求2所述的单机安全防护系统，其特征在于，所述USBKey管理模块，包括系统账户绑定单元、第一删除单元、系统设置单元和密码激活单元；

所述系统账户绑定单元，用于初始化USBKey的系统级账户，实现USBKey与单机操作系统账户的绑定；

所述第一删除单元，用于删除在USBKey中已完成初始化的USBKey系统级账户；

所述系统设置单元，用于设置USBKey登录操作系统的的身份；

所述密码激活单元，用于在管理员输入的正确的管理员PIN码之后对用户PIN码进行激活和重设。

4.根据权利要求2所述的单机安全防护系统，其特征在于，所述USBKey客户端，包括新建单元、修改单元、第二删除单元、授权单元、审计单元和设置单元；

所述新建单元，用于在USBKey上新建一个非管理组的用户级账户，以供USBKey可以通过非管理员账户登录操作系统，实现USBKey与操作系统的绑定；

所述修改单元，用于修改USBKey的账户名称和PIN码；

所述第二删除单元，用于删除USBKey中用户已新建完成的非管理员账户信息；

所述授权单元，用于通过具有登录权限的USBKey对另一只USBKey进行授权，授权的USBKey为母USBKey，被授权的USBKey为子USBKey，授权后的母USBKey和子USBKey均可登录当前操作系统；

所述审计单元，用于记录和控制USBKey的使用时间、使用次数，并限制子USBKey的使用；

所述设置单元，用于设置用户登录时是否仅通过USBKey进行身份验证、USBKey拔出后是否锁屏、单机启动时是否自动启动USBKey程序。

5.根据权利要求1所述的单机安全防护系统，其特征在于，所述主机监控与补丁分发子系统，包括终端注册管理模块、IP和MAC绑定管理模块及网关管理模块；

所述终端注册管理模块，用于采用C/S和B/S混合模式，录入用户的个人实名信息；

所述IP和MAC绑定管理模块，用于对固定IP网络的MAC和IP地址进行绑定管理，在探测到IP变化后根据策略设置恢复其原有IP地址，或者阻断其联网；

所述网关管理模块，用于禁止修改网关、禁用冗余网卡。

6.根据权利要求5所述的单机安全防护系统，其特征在于，所述主机监控与补丁分发子系统，还包括主机运维管理模块；

所述主机运维管理模块，包括运行资源监控单元、流量控制单元、进程异常监控单元和终端文件备份单元；

所述运行资源监控单元，用于在Web控制台对终端的CPU、内存、硬盘的资源占用率和剩余空间进行监控，设定危险等级报警阀门；

所述流量控制单元，用于通过Web控制台对终端的网络流入、流出和总流量进行监控，设定数据量阈值和时间阈值，当出、入数据量或者总流量超过所述数据量阈值并持续时间的长度达到所述时间阈值后，减少上报数据；对上报的当前流量进行汇总，对当前的流量进行实时排序；对网络客户端的历史流量进行统计和排序，并可生成报表；对并发连接数设定阈值并进行采样；设定网络客户端流量上限阈值，对超过的进行报警上报、自动阻断、终端提示；同时，对产生总流量过大、分时段瞬时流量过大的进程进行统计；

所述进程异常监控单元，用于在Web控制台对终端未响应窗口进行监控并结束或重启该进程，对意外退出的进程进行监控和保护；

所述终端文件备份单元，用于针对终端进行数据实时备份，将单机目录文件数据实时或定时备份到数据服务器或其它单机上存储。

7.根据权利要求5所述的单机安全防护系统，其特征在于，所述主机监控与补丁分发子系统，还包括补丁分发管理模块；

所述补丁分发管理模块，包括补丁索引单元、补丁下载检测和增量式导入单元、补丁安全自动测试单元、补丁库自动分类单元、补丁库的级联和同步单元、补丁安装检测自动分发单元、补丁策略制定单元、补丁下载流量控制单元、服务器端补丁查询单元和网页查询补丁安装信息单元；

所述补丁索引单元，用于设置补丁索引的结构为可扩展和可编辑，以支持各种用户应用程序的更新补丁；

所述补丁下载检测和增量式导入单元，用于在外网导出补丁时，分离出内网已经安装的补丁，只导入内网尚未安装的系统补丁；

所述补丁安全自动测试单元，用于选定测试单机作为测试组，每次补丁导入内网后，首先自动分发至测试组的单机进行所述补丁的安装测试，自动地进行非模拟性自动测试；当补丁安装后对测试单机未产生影响，则对网络内的单机进行大面积的推送；

所述补丁库自动分类单元，用于对存放到服务器上的单机系统补丁进行相应的分析，自动得出补丁属性、类型和补丁说明，并进行显示；同时提供针对不同补丁类别的补丁管理方式；

所述补丁库的级联和同步单元，用于针对补丁进行级联式的分发和管理，在级联级数没有限制并在三级的基础上进行无缝平滑扩展；设定同步校验周期和时间，定期进行同步校验，或者自动触发服务器与下级服务器间的同步操作；

所述补丁安装检测自动分发单元，用于检测网络系统终端补丁的安装状况，对没有安装补丁的设备进行远程补丁安装,将最新补丁升级包及时分发到终端单机，并提示安装修补；

所述补丁策略制定单元，用于制定补丁应用策略、补丁文件分发任务；

所述补丁下载流量控制单元，用于根据网络的负载情况自动调整分发补丁时所占的网络带宽和并发连接数；根据手动设置允许的带宽或服务器并发连接数及每个连接所允许使用的带宽；支持客户端转发代理补丁下载；

所述服务器端补丁查询单元，用于实时监控客户端系统漏洞及补丁安装情况，根据补丁名称、待查询IP范围、操作系统、待查区域和查询时间对区域网络范围内的计算机终端进行补丁安装状况查询，获取所查询补丁的安装情况信息；

所述网页查询补丁安装信息单元，用于在内网中设置用于下载安装检查漏洞的补丁的网页，对本机所缺少的计算机补丁进行查询，查询结果在网页上进行显示。

8.根据权利要求1所述的单机安全防护系统，其特征在于，所述光盘刻录监控子系统，包括权限控制模块、安全光盘读取模块和安全审计模块；

所述权限控制模块，用于设置不同用户的刻录权限；

所述安全光盘读取模块，用于在刻录时对文件进行数据处理，使刻录的光盘在多种光驱上都能被读取；

所述安全审计模块，用于审计刻录计算机IP、MAC、刻录时间、源文件绝对路径、目的文件绝对路径信息、客户端系统配置变化，并过滤条件查看日志。

9.根据权利要求8所述的单机安全防护系统，其特征在于，所述光盘刻录监控子系统，还包括分级管理模块、通信保护模块、终端保护模块、系统日志记录模块、系统安全性审计模块和服务器安全性审计模块；

所述分级管理模块，用于将用户划分超级用户、普通用户和审计用户三个级别，并分配不同的管理权限；

所述通信保护模块，用于对组件间通信时传输的数据进行加密，服务器端使用TCP协议80、88端口，终端使用TCP协议22105端口，终端数据上报和服务器端指令、策略下发采用加密算法；终端和服务器端相互通信使用双向认证机制；

所述终端保护模块，用于在正常模式和安全模式下进行终端安全代理自身防护；

所述系统日志记录模块，用于记录用户登录时间、IP地址和登录用户名称；将管理员对系统策略的修改、增删操作进行记录；

所述系统安全性审计模块，用于在受到恶意修改IP地址的方式的攻击时维护运行；

所述服务器安全性审计模块，用于在网络中出现IP地址或MAC地址冲突现象时，将发起恶意攻击的设备自动阻断。