CN103441864A - 一种终端设备违规外联的监测方法 - Google Patents

Abstract

本发明公开一种终端设备违规外联的监测方法，首先，在一台接入内网的终端设备上安装客户端程序；在服务器上安装运行服务端程序，并且在管理中心部署违规外联在线监测管理系统；其次，提供两套监测违规外联的方法，第一种是基于策略配置的公网网址库的方式；第二种是由企业在公网自行架设的一台私有监测服务器，此服务器可以连通外网并且能在主机测试时记录客户端主机的违规信息和行为。本发明针对企业内部禁止个人私自上网、对内外网隔离有严格要求的企业网络而设计，可以全面、实时、高效地监测整个内部网络中违规非法连接互联网的终端设备，并且能实现及时报警、采取必要措施、详细备案、集中审计等功能。

Description

一种终端设备违规外联的监测方法

 

技术领域

本发明涉及一种终端设备违规外联监测的实现方法，尤其是一种针对电力行业的特殊性而研发的一种可自由配置的监测策略，并且能为终端设备提供审计服务的实现方法。

背景技术

随着互联网技术的不断发展和普及，各类终端设备层出不穷，大量的终端设备例如PC、平板电脑、智能手机、云终端等涌入电力企业内网，如何保障企业内网的安全和有效防止内部人员的违规外联行为对于整个电力行业来说无疑是一个巨大的挑战。但是，越来越多的桌面终端和多元化的私有终端接入企业内网已成为未来发展的必然趋势，因此保障企业内网安全的关键之一就是要灵活有效地解决终端设备违规外联监测与报警的问题。

现有的一些非法接入和违规外联方法大多不提供灵活的监测方法，即所有的设备都是由客户端监测主机是否有非法外联的行为，监测的形式也是多种多样，但是这其中也有一些问题，例如不能为一些特殊情况的主机提供个性化的监测方式，也不能选择发生违规外联后的处理方法，并且不能对主机的详细信息和违规操作做详细记录以提供审计功能。另外，大多检测违规外联的系统都是采用测试与典型网址（如百度、新浪等）的连接来诊断是否发生外联，这也有许多的不足之处，例如DNS服务器出现异常无法解析网址、某个典型网址服务器发生意外瘫痪等都将影响监测功能。

发明内容

发明目的：针对现有技术中存在的问题，本发明提供一种功能齐全的终端设备违规外联监测与报警的实现方法。本发明具有如下特点：①架设企业自己的外网服务器以提供监测服务；②可根据需要灵活配置监测策略；③对所有受控终端提供审计服务。

技术方案：一种终端设备违规外联的监测方法，专门针对企业内部禁止个人私自上网、对内外网隔离有严格要求的企业网络而设计，可以全面、实时、高效地监测整个内部网络中违规非法连接互联网的终端设备，并且能实现及时报警、采取必要措施、详细备案、集中审计等功能。

为了实现上述功能，本发明采用了以下技术方案：

首先，在一台接入内网的终端设备上安装客户端程序，正常情况下客户端程序将保持后台运行状态；在服务器上安装运行服务端程序，并且在管理中心部署违规外联在线监测管理系统，该系统的主要功能包括以下三个模块：

①个性化监测策略在线配置

管理员可以在系统中根据需要配置允许连接外网的部门、人员、时间段等，还可以配置允许内网连接的若干可信网站，利用公网测试的网址库，配置监控内网设备违规外联的监测周期，以及发生违规外联后的处理方式等；

②报警处理中心

此项功能用于集中管理内网中发生违规外联终端设备的信息，一旦内网中发生违规外联行为，报警中心便会有报警声音提示，方便管理员及时发现和处理；

③集中审计

集中对所有违规记录的详细信息进行管理，提供审计和统计功能。

其次，本发明提供了两套监测违规外联的方法，第一种是基于策略配置的公网网址库的方式，通过客户端程序不断检测与公网地址的连接情况来检测主机是否发生违规外联；第二种是由企业在公网自行架设的一台私有监测服务器，此服务器可以连通外网并且能在主机测试时记录客户端主机的违规信息和行为，相比于第一种方法，第二种方法在实际应用中更加稳定和安全，同时还能从监测服务器上获取相关信息，因此第二种方法更胜一筹。在现场应用中，两种方法分别为两个运行的线程，同时同步监测主机是否有外联的行为。

当受控终端设备运行时，客户端监测程序随之启动，即开始进行违规外联检测，基于策略可配置的公网网址库检测方式的具体步骤如下：

步骤401，装载在主机上的客户端程序初始运行时，由启动的管理线程读取策略表中的相关字段配置信息，包括检测时间间隔、公网网址库等内容；

步骤402，判断公网数据结构体Public里中是否包含有数据，如果有数据就进行步骤403；若没有数据就进行步骤404；

步骤403，测试主机与公网地址库中的网址连接情况，若能够连通，说明主机发生了违规外联，进行步骤405；若不能连通，则说明主机一切正常，循环执行步骤403；

步骤404，判断是否结束检测违规外联，若结束，则流程结束；否则继续执行步骤401；

步骤405，测试本地通信是否连通正常，若正常则执行步骤406；否则执行步骤409；同时客户端程序记录下主机违规上网的网址、上网主要内容以及主机的详细信息等；

步骤406，客户端程序将本机的ip、违规的信息上报给管理中心监测系统服务器引发管理中心报警；

步骤407，客户端程序通过防火墙阻断终端主机的网络连接；

步骤408，判断是否停止检测违规外联，若是，则流程结束；否则继续开始检测，回到步骤402；

步骤409，将主机信息和违规信息暂时记录在客户端主机本地数据库中，待主机与管理中心服务器通信连通后再将数据同步至管理中心服务器，同时删除本地记录信息；

另外，基于企业自行搭建的外网服务器检测方式的工作步骤如下：

步骤501，检测进程开始运行；

步骤502，开始读取Private数组里的数据，Private数组存放了自己架设的连通外网服务器的信息，包括IP地址、端口号等；

步骤503，判断Private数组中是否存在数据，如果存在，则进行步骤504；若不存在，则进行步骤508；

步骤504，根据Private数组里的私有检测公网服务器信息，测试本机与其的连接状态，如果能连通，说明发生了违规外联，则执行步骤505；若不能连通，说明主机状态正常，循环执行步骤504继续检测；

步骤505，私有检测服务器记录下违规主机的详细信息和操作，并保存在本地数据库中，主机上的客户端程序也把违规信息上报到管理中心服务器上引发报警；

步骤506，防火墙阻断违规主机的网络连接；

步骤507，判断检测线程是否继续检测，若继续，则执行步骤502；若停止检测，则流程结束；

步骤508，判断是否继续进行检测，若是，则执行步骤502，否则流程结束。

有益效果：与现有技术相比，本发明所述的违规外联通过本发明所提供的策略配置与监测服务器对终端设备进行监测的方法，可以根据实施场景的具体需求，按需配置多种终端设备的实际策略，从而实现面对不同用户的、满足不同层面的违规外联监测功能。本发明以电力行业信息化特色为背景进行研究，却不仅限于解决电力行业信息化的违规外联监测功能，在类似的企业中都具有广泛的应用前景。

附图说明

图1为本发明实施例的现场设备网络拓扑结构示意图；

图2为本发明实施例的终端设备初始化流程示意图；

图3为本发明实施例的受控终端配置管理示意图；

图4为本发明实施例的通过公网地址库检测违规外联的流程示意图；

图5为本发明实施例的通过私有监测服务器监测违规外联的流程示意图。

具体实施方式

下面结合具体实施例，进一步阐明本发明。

本发明提供了一种基于策略配置的企业终端设备违规外联监测方法，在所述方法中，接入企业内网的所有终端主机和其他设备都将被纳入实时监控的范围，一旦有主机发生违规连接外网便会在违规外联在线监测管理系统上引发报警，运行在违规主机上的客户端程序也会在第一时间启动相关阻断措施，实现有效的内外网隔离功能。

图1所示的是本发明所述的基于策略的违规外联监测方法的拓扑结构示意图，本发明中的被监测终端可以是云终端计算机、台式计算机、便携式计算机、智能手机、平板电脑、PDA等，其中，云终端计算机、台式计算机通过以太网的方式接入互联网，智能手机、平板电脑、PDA通过无线热点的方式接入互联网，便携式计算机可以通过以上两种方式接入互联网。任何一种终端需要安装客户端监测程序，使其成为受控终端，当终端设备运行时，客户端监测程序随之运行。考虑到监测方法的实际运行场景是企业信息网（内网）与互联网（外网）是相互隔离的，因此，在内网中搭建管理中心服务器与数据库，部署违规外联在线监测系统，用于对受控终端的管理，功能包括配置策略下发、违规检测、行为记录与审计、报警处理等；同时在外网自架互联网监测服务器与数据库，用于在脱离内网监测的情况下对受控客户端进行违规检测和行为记录。其中，在内网中通过某种联网模式连接互联网的受控终端，可以同时及时被运行在管理中心服务器上的在线监测系统与自架设的外网检测服务器发现。

图2所示的是本发明所述方法中客户端主机程序的初始化流程示意图。首先，客户端程序开始运行时，主线程最先启动，之后加载管理线程，管理线程负责开始进行违规外联的检测工作，其中还包括创建的两个专门负责检测违规外联情况的线程。主线程的具体流程如下：

步骤201，流程开始；

步骤202，主线程加载管理线程，之后管理线程开始工作；

步骤203，判断本地通信即本机与管理中心服务器通信是否可达，若可达，则进行步骤204；否则，继续进行步骤203；

步骤204，判断客户端本地主机数据库中是否存在有未同步到管理中心服务器的违规信息，如果有，那么进行步骤205；如果没有，则流程结束；

步骤205，将数据库中存在的违规信息发送到管理中心服务器，发送成功后将本地记录删除；

步骤206，流程结束。

图3所示的是本发明所述的受控终端配置管理示意图。当客户端监测程序运行时，会自动加载配置管理线程。

步骤301，检测本地违规外联报告表是否存在，如果存在执行步骤302；如果不存在执行步骤307；

步骤302，检测策略配置表中是否存在数据，如果存在执行步骤303；如果不存在执行步骤308；

步骤303，创建违规外联检测线程，分别是通过公网地址库检测违规外联和通过企业自架外网服务器监测违规外联；

步骤304，开始进行违规外联检测，如果发现终端设备违规外联执行步骤305，否则继续循环检测；

步骤305，客户端监测程序将本机的ip、违规的信息上报给相关服务器（管理中心服务器或互联网监测服务器）引发管理中心报警；

步骤306，客户端程序通过防火墙阻断终端主机的网络连接；

步骤307，本地违规外联报告表不存在，监测客户端程序自动创建此表后，返回步骤302；

步骤308，等待管理中心服务器下发策略配置信息，获得策略配置信息后，返回步骤302；

图4所示的是本发明所述的通过公网地址库检测违规外联的流程示意图。首先，公网地址库由管理员在违规外联监测系统里的策略配置中填写，策略下发到客户端生效后，客户端利用公网地址库里的网址进行主动按时检测，具有检测功能的检测线程具体流程如下所述：

步骤401，装载在主机上的客户端程序初始运行时，由启动的管理线程读取策略表中的相关字段配置信息，包括检测时间间隔、公网网址库等内容；

步骤402，判断公网数据结构体Public里中是否包含有数据，如果有数据就进行步骤403；若没有数据就进行步骤404；

步骤403，测试主机与公网地址库中的网址连接情况，若能够连通，说明主机发生了违规外联，进行步骤405；若不能连通，则说明主机一切正常，循环执行步骤403；

步骤404，判断是否结束检测违规外联，若结束，则流程结束；否则继续执行步骤401；

步骤405，测试本地通信是否连通正常，若正常则执行步骤406；否则执行步骤409；同时客户端程序记录下主机违规上网的网址、上网主要内容以及主机的详细信息等；

步骤406，客户端程序将本机的ip、违规的信息上报给管理中心监测系统服务器引发管理中心报警；

步骤407，客户端程序通过防火墙阻断终端主机的网络连接；

步骤408，判断是否停止检测违规外联，若是，则流程结束；否则继续开始检测，回到步骤402；

步骤409，将主机信息和违规信息暂时记录在客户端主机本地数据库中，待主机与管理中心服务器通信连通后再将数据同步至管理中心服务器，同时删除本地记录信息。

图5所示是本发明所述的通过企业自架外网服务器监测违规外联的流程示意图。首先，由企业自己架设一台可连接外网的服务器作为监测服务器，同时，此台服务器还可以用于记录违规主机的详细信息和违规事实。

步骤501，检测进程开始运行；

步骤502，开始读取Private数组里的数据，Private数组存放了自己架设的连通外网服务器的信息，包括IP地址、端口号等；

步骤503，判断Private数组中是否存在数据，如果存在，则进行步骤504；若不存在，则进行步骤508；

步骤504，根据Private数组里的私有检测公网服务器信息，测试本机与其的连接状态，如果能连通，说明发生了违规外联，则执行步骤505；若不能连通，说明主机状态正常，循环执行步骤504继续检测；

步骤505，私有检测服务器记录下违规主机的详细信息和操作，并保存在本地数据库中，主机上的客户端程序也把违规信息上报到管理中心服务器上引发报警；

步骤506，防火墙阻断违规主机的网络连接；

步骤507，判断检测线程是否继续检测，若继续，则执行步骤502；若停止检测，则流程结束；

步骤508，判断是否继续进行检测，若是，则执行步骤502，否则流程结束。

综上所述，本发明提供了企业内网终端设备违规外联监控和报警的实现方法，此项技术主要针对电力企业内外网严格隔离的需求，同时也适用于信息化大潮流背景下的其他行业领域，包括政府机关、石油石化、医疗保健、军事国防、移动通信、烟草物流等等。由于政府和企事业单位的内网往往都有大量的机密和商业数据，防止内部人员非法外联网络以及可能导致的信息泄漏显得尤为重要；而该系统具有原理简单、实施方便、设备较少、安全高效、费用低廉等特点，因此，本技术方案具有很高的推广价值。

本发明提供了一种实现企业内部防止违规外联的方法思路，具体实现该技术方案的方法和途径很多，以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和修饰，这些改进和修饰也应视为本发明的保护范围。本实施例中未明确的各组成部份均可用现有技术加以实现。

Claims (4)

1. 一种终端设备违规外联的监测方法，其特征在于：

首先，在一台接入内网的终端设备上安装客户端程序，正常情况下客户端程序将保持后台运行状态；在服务器上安装运行服务端程序，并且在管理中心部署违规外联在线监测管理系统； 

其次，提供两套监测违规外联的方法，第一种是基于策略配置的公网网址库的方式，通过客户端程序不断检测与公网地址的连接情况来检测主机是否发生违规外联；第二种是由企业在公网自行架设的一台私有监测服务器，此服务器可以连通外网并且能在主机测试时记录客户端主机的违规信息和行为；在现场应用中，两种方法分别为两个运行的线程，同时同步监测主机是否有外联的行为。

2. 如权利要求1所述的终端设备违规外联的监测方法，其特征在于：违规外联在线监测管理系统的主要功能包括以下三个模块：

①个性化监测策略在线配置

管理员可以在系统中根据需要配置允许连接外网的部门、人员、时间段，还可以配置允许内网连接的若干可信网站，利用公网测试的网址库，配置监控内网设备违规外联的监测周期，以及发生违规外联后的处理方式；

②报警处理中心

此项功能用于集中管理内网中发生违规外联终端设备的信息，一旦内网中发生违规外联行为，报警中心便会有报警声音提示；

③集中审计

集中对所有违规记录的详细信息进行管理，提供审计和统计功能。

3. 如权利要求1所述的终端设备违规外联的监测方法，其特征在于：当受控终端设备运行时，客户端监测程序随之启动，即开始进行违规外联检测，基于策略可配置的公网网址库检测方式的具体步骤如下：

步骤401，装载在主机上的客户端程序初始运行时，由启动的管理线程读取策略表中的相关字段配置信息，包括检测时间间隔、公网网址库内容；

步骤402，判断公网数据结构体Public里中是否包含有数据，如果有数据就进行步骤403；若没有数据就进行步骤404；

步骤403，测试主机与公网地址库中的网址连接情况，若能够连通，说明主机发生了违规外联，进行步骤405；若不能连通，则说明主机一切正常，循环执行步骤403；

步骤404，判断是否结束检测违规外联，若结束，则流程结束；否则继续执行步骤401；

步骤405，测试本地通信是否连通正常，若正常则执行步骤406；否则执行步骤409；同时客户端程序记录下主机违规上网的网址、上网主要内容以及主机的信息；

步骤406，客户端程序将本机的ip、违规的信息上报给管理中心监测系统服务器引发管理中心报警；

步骤407，客户端程序通过防火墙阻断终端主机的网络连接；

步骤408，判断是否停止检测违规外联，若是，则流程结束；否则继续开始检测，回到步骤402；

步骤409，将主机信息和违规信息暂时记录在客户端主机本地数据库中，待主机与管理中心服务器通信连通后再将数据同步至管理中心服务器，同时删除本地记录信息。

4. 如权利要求1所述的终端设备违规外联的监测方法，其特征在于：另外，基于企业自行搭建的外网服务器检测方式的工作步骤如下：

步骤501，检测进程开始运行；

步骤502，开始读取Private数组里的数据，Private数组存放了自己架设的连通外网服务器的信息，包括IP地址、端口号等；

步骤503，判断Private数组中是否存在数据，如果存在，则进行步骤504；若不存在，则进行步骤508；

步骤504，根据Private数组里的私有检测公网服务器信息，测试本机与其的连接状态，如果能连通，说明发生了违规外联，则执行步骤505；若不能连通，说明主机状态正常，循环执行步骤504继续检测；

步骤505，私有检测服务器记录下违规主机的详细信息和操作，并保存在本地数据库中，主机上的客户端程序也把违规信息上报到管理中心服务器上引发报警；

步骤506，防火墙阻断违规主机的网络连接；

步骤507，判断检测线程是否继续检测，若继续，则执行步骤502；若停止检测，则流程结束；

步骤508，判断是否继续进行检测，若是，则执行步骤502，否则流程结束。

Images