CN105188062A - 泄密防护方法和装置 - Google Patents

Abstract

本发明涉及一种泄密防护方法，包括侦听终端连接非法AP时广播的关联帧或数据帧；根据所述关联帧或数据帧获取所述终端的终端特征；检测所述终端特征是否存在于预设的终端特征库中，若是，则对所述终端实施泄密防护。采用该泄密防护方法，由于终端特征库中存储的是能够连接合法AP的终端的终端特征，这样，可以只对存在于终端特征库中的终端实施泄密防护，对不在终端特征库中的终端则不实施泄密防护，从而不会影响到不在终端特征库中的终端对非法AP的连接，即包括不会影响到其它企业的终端对其AP的连接，减少了误判。

Description

泄密防护方法和装置

技术领域

本发明涉及网络技术领域，特别是涉及一种泄密防护方法和装置。

背景技术

随着网络技术的发展，各企业或组织机构往往在内部架设有企业AP(无线AccessPoint，无线接入点)。企业员工通过连接企业AP进行办公，一方面降低了企业对终端的网线布置要求，使员工的工作空间更加开放；另一方面也方便了员工采用BYOD(BringYourOwnDevice，携带自己的设备)在企业办公，提高了企业的生产效率。

然而由于无线空间的开放性，会出现不法分子模拟出跟企业相同或相似的WLAN(WirelessLocalAreaNetworks，无线局域网络)，建立钓鱼AP。使员工容易误接入钓鱼AP中，从而造成企业机密的泄露。

传统的防钓鱼AP方法是通过阻止其检测到的所有的终端与不受本企业的无线控制器管理的AP的连接，来防止本企业机密的泄露。然而，由于现在不少企业都处于CBD(CentralBusinessDistrict，中央商务区)中，处于上下两层楼的企业或相同楼层的企业的AP可以侦测到彼此的信号。采用传统的防钓鱼AP方法也会阻止对方企业的终端对对方企业AP的正常连接，造成误判。

发明内容

基于此，有必要针对上述技术问题，提供一种能够减少误判的泄密防护方法和装置。

一种泄密防护方法，所述方法包括：侦听终端连接非法AP时广播的关联帧或数据帧；根据所述关联帧或数据帧获取所述终端的终端特征；检测所述终端特征是否存在于预设的终端特征库中，若是，则对所述终端实施泄密防护。

在其中一个实施例中，所述对所述终端实施泄密防护的步骤，包括：向所述终端和所述非法AP发送解关联帧，通过所述解关联帧阻止或中断所述终端连接非法AP。

在其中一个实施例中，在所述检测所述终端特征是否存在于预设的终端特征库中的步骤之前，所述方法还包括：当侦听到有终端成功连接到合法AP，并且所述终端还通过所述合法AP的身份认证时，获取通过所述合法AP的身份认证的终端的终端特征，将所述通过所述合法AP的身份认证的终端的终端特征存储到所述终端特征库中。

在其中一个实施例中，所述对所述终端实施泄密防护的步骤，包括：当所述终端已成功连接非法AP时，侦听所述终端与所述非法AP之间传输的无线数据包；将所述无线数据包发送至管理合法AP的无线控制器，使得所述无线控制器能够获取并解析所述无线数据包，并将解析后的无线数据包发送给管理泄密的用户，所述用户根据从所述解析后的无线数据包中获取所述终端使用者信息，通知所述终端使用者断开与所述非法AP的连接。

在其中一个实施例中，所述无线数据包包括所述非法AP的标识信息、所述终端的终端特征以及所述终端与非法AP之间的交互信息。

一种泄密防护装置，所述装置包括：终端特征获取模块，用于侦听终端连接非法AP时广播的关联帧或数据帧；根据所述关联帧或数据帧获取所述终端的终端特征；泄密防护模块，用于检测所述终端特征是否存在于预设的终端特征库中，若是，则对所述终端实施泄密防护。

在其中一个实施例中，所述泄密防护模块用于向所述终端和所述非法AP发送解关联帧，通过所述解关联帧阻止或中断所述终端连接非法AP。

在其中一个实施例中，所述装置还包括：终端特征存储模块，用于当侦听到有终端成功连接到合法AP，并且所述终端还通过所述合法AP的身份认证时，获取通过所述合法AP的身份认证的终端的终端特征，将所述通过所述合法AP的身份认证的终端的终端特征存储到所述终端特征库中。

在其中一个实施例中，所述泄密防护模块用于当所述终端已成功连接非法AP时，侦听所述终端与所述非法AP之间传输的无线数据包；将所述无线数据包发送至管理合法AP的无线控制器，使得所述无线控制器能够获取并解析所述无线数据包，并将解析后的无线数据包发送给管理泄密的用户，所述用户根据从所述解析后的无线数据包中获取所述终端使用者信息，通知所述终端使用者断开与所述非法AP的连接。在其中一个实施例中，所述无线数据包包括所述非法AP的标识信息、所述终端的终端特征以及所述终端与非法AP之间的交互信息。

上述泄密防护方法和装置，通过侦听终端连接非法AP时广播的关联帧或数据帧；根据所述关联帧或数据帧获取所述终端的终端特征；检测所述终端特征是否存在于预设的终端特征库中，若是，则对所述终端实施泄密防护。由于终端特征库中存储的是能够连接合法AP的终端的终端特征，这样，可以只对存在于终端特征库中的终端实施泄密防护，对不在终端特征库中的终端则不实施泄密防护，从而不会影响到不在终端特征库中的终端对非法AP的连接，包括不会影响到其它企业的终端对其AP的连接，减少了误判。

附图说明

图1为一个实施例中泄密防护方法的应用环境图；

图2为一个实施例中泄密防护方法的流程图；

图3为另一个实施例中泄密防护方法的应用环境图；

图4为再一个实施例中泄密防护方法的应用环境图；

图5为一个实施例中泄密防护装置的结构框图；

图6为另一个实施例中泄密防护装置的结构框图。

具体实施方式

本发明实施例所提供的泄密防护方法，可应用于如图1所示的环境中。参考图1所示，无线控制器102可以通过有线连接或无线连接方式来集中化控制多个AP，如其中一个AP104。无线控制器102中包含有用于存储终端特征的终端特征库，无线控制器102可以向终端发送信息，还可以接收AP104所传输的数据并对所接收的数据进行分析，得到其具体信息。AP104可以侦听到终端连接其它AP或其自身时，所广播的在其覆盖范围内的关联帧或数据帧，还可以侦听终端已成功连接非法AP时，与非法AP之间传输的无线数据包，另外，AP104还能向终端和其它AP发送信息。其中，该关联帧是指终端在连接AP时发出的，用于接入AP时发出或接收的帧；该数据帧是指终端连上了AP后，用于传输真实数据时发出的帧。关联帧和数据帧中均包含有终端的终端特征(如终端的MAC(MediaAccessControl，介质访问控制)地址)。

例如，无线控制器可以接收AP104所传输的终端特征，检查该终端特征是否存在终端特征库中，并将检查结果返回给AP104。无线控制器102可以接收AP104所传输的将一个完整无线数据包分成的多个无线数据子包，该完整无线数据包中包含了源mac地址、目的mac地址、协议类型和通信信息(如下载文件内容、上传文件内容，网络访问行为)等，并将其拆分成了多个小的无线数据子包，以便于向无线控制器102传输。无线控制器102通过接收该无线数据包所分成的所有无线数据子包，对其解析和组合，可获取到该无线数据包的完整信息，并还能将该完整信息发送至管理信息安全的人员(如法务部门主管)，该管理信息安全的人员可以根据接收到的完整信息来分析此终端是否有泄密行为。

如图2所示，在一个实施例中，提供了一种泄密防护方法，该方法包括：

步骤202，侦听终端连接非法AP时广播的关联帧或数据帧。

本实施例中，非法AP是指不受本地无线控制器管理的AP。举例来说，本企业的无线控制器可以集中管理本企业自身的所有AP，而对于其它企业的AP或者一些钓鱼AP，由于不受本企业无线控制器的管理，因此则视其它企业AP和钓鱼AP为非法AP。另外，对于由本企业终端所创建的wifi热点或随身wifi，若其不受本企业的无线控制器所管理，则同样视为非法AP。而受到本企业无线控制器管理的AP，则视为合法AP。

具体的，当终端在连接非法AP时广播的关联帧或数据帧处于合法AP的覆盖范围内时，即可被该合法AP侦听到。该关联帧和数据帧中均包含有能确定终端身份的终端特征。

步骤204，根据关联帧或数据帧获取终端的终端特征。

当侦听到终端连接非法AP时广播的关联帧或数据帧时，可对该关联帧或数据帧进行解析，以获取其中包含的正在连接非法AP的终端的终端特征，该终端特征用于识别确定该终端。

具体的，由于终端与AP之间的通信信息包头中需要包含终端的MAC地址和AP的MAC地址才能实现信息的交换和传递。且由于终端的mac地址通常都是固化在网卡上串行EEPROM(ElectricallyErasableProgrammableRead-OnlyMemory，电可擦可编程只读存储器)中的有48位长度的物理地址，其一般对应一个终端，且固定不变。因此，终端特征可以是终端的mac地址，通过获取到该终端MAC地址来表征终端。

步骤206，检测终端特征是否存在于预设的终端特征库中，若是，则执行步骤208，若否，则执行步骤210。

本实施例中，合法AP可将终端特征传输到管理该合法AP的无线控制器中，无线控制器中预设有终端特征库，该终端特征库用于存储能够成功连接合法AP，并能通过合法AP的身份认证的终端的终端特征。当无线控制器接收到合法AP所传输的终端特征时，则在预设的终端特征库中对其查找，并将查找结果发送给合法AP。合法AP通过接收到该查找的结果用于确定该终端是否存在于预设的特征库中。

步骤208，对终端实施泄密防护。

若当检测到终端特征库中存在终端特征，则通过该终端特征确定连接非法AP的终端，对其实施泄密防护。

步骤210，不对终端实施泄密防护。

若当检测到终端特征库中不存在终端特征，则判断该终端可能不属于被本企业管理的终端，因而不需要对其实施泄密防护。

这样，通过只实施终端特征记录在终端特征库中的终端对非法AP进行连接的泄密防护，而不实施其他终端对非法AP进行连接的泄密防护，从而减少了误判。

在一个实施例中，对终端实施泄密防护的步骤，包括：向终端和非法AP发送解关联帧，通过解关联帧阻止或中断终端连接非法AP。

具体的，终端在连接非法AP时广播的关联帧或数据帧当中包含有终端特征和非法AP标识，该非法AP标识可以是其BSSID(BasicServiceSetIdentifier，基础服务集标识符)。合法AP对获取的关联帧或数据帧作进一步解析，以获取到该非法AP标识，并生成对应的解关联帧。再向终端和非法AP发送解关联帧，以阻止或中断终端对非法AP的连接。

进一步的，在一个实施例中，在检测终端特征是否存在于预设的终端特征库中的步骤之前，该泄密防护方法还包括：当侦听到有终端成功连接到合法AP，并且该终端还通过合法AP的身份认证时，获取通过所述合法AP的身份认证的终端的终端特征，将该通过所述合法AP的身份认证的终端的终端特征存储到终端特征库中。

本实施例中，通过对侦听终端对合法AP的成功连接和通过身份认证，如输入了正确的用户密码，则获取其终端特征，将其存储到终端特征库中，使得终端特征库可以实时更新能够成功连接合法AP的终端的终端特征。

如图3所示，在一个实施例中，提供了一种泄密防护方法的具体实施例。参考图3所示，当企业A的所属终端A302(如AP302为企业A员工所使用的笔记本或手机或平板电脑等)成功连接上企业A的AP304，并且还通过AP304的身份认证后，AP304通过侦听终端302成功连接到AP时广播的关联帧或数据帧，并对其解析以获取到终端302的MAC地址，将其存储到企业A的无线控制器306内预存的终端特征库中。当AP304侦听到该终端302在连接不受无线控制器306所管理的AP308(如AP308为企业A员工通过企业A所属笔记本生成的随身wifi)时，则根据侦听到的关联帧或数据帧来获取终端302的MAC地址，并检测到该MAC地址存在于终端特征库中，则对其实施泄密防护。具体的，可以是根据侦听到的关联帧或数据帧进行解析，生成解关联帧，将其发送至终端302与AP308，以阻止或中断它们的连接。同样的，当检测到终端302在与另一个不受无线控制306所管理的AP310(如AP310为企业B的AP或钓鱼AP)时，可以采用上述方法，对其实施泄密防护。

当AP304侦听到终端312与AP310的连接时，检测到该终端312的MAC地址并不存在于终端特征库之中，表明终端312不是受本企业无线控制器306所管理的终端，比如可能是其它企业的终端，则不对其实施泄密防护，这样终端312可以正常连接AP310。

本实施例中，通过上述方法，可以阻止或中断本企业的员工通过非法AP将其企业机密泄露，而不会阻止或中断非本企业员工对非法AP的连接，从而减少了误判。

在一个实施例中，泄密防护方法中对终端实施泄密防护的步骤，包括：当终端已成功连接非法AP时，侦听终端与非法AP之间传输的无线数据包；将无线数据包发送至管理合法AP的无线控制器，使得无线控制器能够获取并解析无线数据包，并将解析后的无线数据包发送给管理泄密的用户，用户根据从解析后的无线数据包中获取终端使用者信息，通知终端使用者断开与非法AP的连接。

本实施例中，若合法AP检测到终端的终端特征存在于终端特征中，并且该终端已经成功连接非法AP时，则继续侦听该终端与非法AP之间传输的无线数据包，并将该无线数据包发送到管理该合法AP的无线控制器。

由于无线是通过无线电波传输信号，AP和终端通信的时候，AP的数据包不是仅仅发送给该一个终端，而是发送给其覆盖范围内的每一个无线终端，同样的终端回包给AP的数据包也是发送给覆盖范围内的每一个无线终端。因此，合法AP可以侦听到终端与非法AP之间传输的无线数据包，然后将该无线数据包发送至无线控制器。

无线控制器在获取了无线数据包后，可对其进行解析，将解析后的无线数据包发送给管理泄密的用户。管理泄密的用户可以从解析后的无线数据包中获取终端使用者信息，对终端使用者发出警告，通知其断开与所述非法AP的连接。进一步的，管理泄密的用户可以根据解析后的无线数据包来判断终端使用者是否有泄密行为，若存在泄密行为，可根据泄密信息的严重程度对该终端使用者作出相应处罚，并及时采取相应措施来追回泄密信息。

在一个实施例中，该无线数据包包括非法AP的标识信息、终端的终端特征以及终端与非法AP之间的交互信息。

具体的，非法AP的标识信息可以是非法AP的BSSID和MAC地址；终端特征可以是终端的MAC地址；交互信息可以是终端通过非法AP连接时，下载的文件内容、上传的文件内容和访问网络行为等。

本实施例中，通过将侦听到的终端与非法AP之间传输的无线数据包发送至无线控制器中，从而可以记录下该终端的终端特征和非法AP的标识信息以及该终端与非法AP之间的交互信息，该交互信息能够反应出终端是否存在泄密行为。

合法AP将侦听到包含上述信息的无线数据包发送给无线控制器，或者合法AP也可以将该无线数据包拆分成多个小的无线数据子包送给无线控制器。无线控制器可以对接收到的无线数据包或者其对应所有的无线数据子包进行解析，以得到终端信息、非法AP的信息以及终端与非法AP之间的传输数据。

进一步的，该无线数据包除了包括非法AP的标识信息、终端的终端特征以及终端与非法AP之间的交互信息之外，还包括终端与非法AP之间的通信协议类型、端口信息以及IP(InternetProtocol，互联网协议)地址信息。

具体的，通信协议类型包括TCP协议、UDP协议等；端口信息包括源端口信息(终端的端口信息)和目的端口信息(非法AP的端口信息)；IP地址信息包括源IP地址(终端的IP地址)和目的IP地址(终端传输信息时的目的IP地址)。

进一步的，无线控制器接收到无线数据包后，可将终端与非法AP之间的交互信息以短信或者邮件的方式发送到管理者所使用的终端。这样，管理者可以通过查看终端上传或者下载的文件内容等来判定终端是否存在泄密行为。

如图4所示，在一个实施例中，提供了另一种泄密防护方法的具体实施例。参考图4所示，其中企业A的无线控制器402可管理企业A的合法AP404，并且其中记录有企业A的移动终端406的终端特征，企业A的办公电脑408已连接AP404，并通过企业A的交换机410与企业A机密系统412联通，并存储有企业A的机密信息。当企业A的员工通过在办公电脑408接入随身wifi设备，创建了一个不受无线控制器402管理的AP414(即非法AP)，以用于移动终端406的连接。当移动终端406连接到AP414与外界通信时，其可能将该办公电脑408中存储的机密信息传输到外界，因此AP404可以侦听移动终端406与AP414之间传输的无线数据包，并将该无线数据包发送至无线控制器402进行解析。该无线数据包中包含有能够被无线控制器402所解析出的移动终端406的终端特征、AP414的标识、源IP地址、目的IP地址、协议类型、源端口、目的端口以及移动终端通过AP414传输的下载文件内容、上传文件内容和访问网络行为等信息。

无线控制器将上述信息解析出后，可通过邮件或短信的方式将其发送至企业A管理泄密防护的工作人员(如法务部门主管)，使其可以了解该移动终端406是否有泄密行为，并能根据该行为进行相应处理，以这种方式来进行对本企业的泄密防护。

如图5所示，在一个实施例中，提供了一种泄密防护装置，该装置包括：

终端特征获取模块502，用于侦听终端连接非法AP时广播的关联帧或数据帧；根据关联帧或数据帧获取终端的终端特征。

泄密防护模块504，用于检测终端特征是否存在于预设的终端特征库中，若是，则对终端实施泄密防护。

在一个实施例中，泄密防护模块504用于向终端和非法AP发送解关联帧，通过解关联帧阻止或中断终端连接非法AP。

在一个实施例中，如图6所示，泄密防护装置还包括：终端特征存储模块506，用于当侦听到有终端成功连接到合法AP，并且该终端还通过合法AP的身份认证时，获取通过所述合法AP的身份认证的所述终端的终端特征，并将所述通过所述合法AP的身份认证的终端的终端特征存储到所述终端特征库中。

在一个实施例中，泄密防护模块504用于当终端已成功连接非法AP时，侦听终端与非法AP之间传输的无线数据包；将无线数据包发送至管理合法AP的无线控制器，使得所述无线控制器能够获取并解析所述无线数据包，并将解析后的无线数据包发送给管理泄密的用户，所述用户根据从所述解析后的无线数据包中获取所述终端使用者信息，通知所述终端使用者断开与所述非法AP的连接。

在一个实施例中，该无线数据包包括非法AP的标识信息、终端的终端特征、终端与非法AP之间的通信协议类型、端口信息以及交互信息。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种泄密防护方法，其特征在于，所述方法包括：

侦听终端连接非法AP时广播的关联帧或数据帧；

根据所述关联帧或数据帧获取所述终端的终端特征；

检测所述终端特征是否存在于预设的终端特征库中，若是，则对所述终端实施泄密防护。

2.根据权利要求1所述的方法，其特征在于，所述对所述终端实施泄密防护的步骤，包括：

向所述终端和所述非法AP发送解关联帧，通过所述解关联帧阻止或中断所述终端连接非法AP。

3.根据权利要求1所述的方法，其特征在于，在所述检测所述终端特征是否存在于预设的终端特征库中的步骤之前，所述方法还包括：

当侦听到有终端成功连接到合法AP，并且所述终端还通过所述合法AP的身份认证时，获取通过所述合法AP的身份认证的终端的终端特征，将所述通过所述合法AP的身份认证的终端的终端特征存储到所述终端特征库中。

4.根据权利要求1所述的方法，其特征在于，所述对所述终端实施泄密防护的步骤，包括：

当所述终端已成功连接非法AP时，

侦听所述终端与所述非法AP之间传输的无线数据包；

将所述无线数据包发送至管理合法AP的无线控制器，使得所述无线控制器能够获取并解析所述无线数据包，并将解析后的无线数据包发送给管理泄密的用户，所述用户根据从所述解析后的无线数据包中获取所述终端使用者信息，通知所述终端使用者断开与所述非法AP的连接。

5.根据权利要求4所述的方法，其特征在于，所述无线数据包包括所述非法AP的标识信息、所述终端的终端特征以及所述终端与非法AP之间的交互信息。

6.一种泄密防护装置，其特征在于，所述装置包括：

终端特征获取模块，用于侦听终端连接非法AP时广播的关联帧或数据帧；根据所述关联帧或数据帧获取所述终端的终端特征；

泄密防护模块，用于检测所述终端特征是否存在于预设的终端特征库中，若是，则对所述终端实施泄密防护。

7.根据权利要求6所述的装置，其特征在于，所述泄密防护模块具体用于向所述终端和所述非法AP发送解关联帧，通过所述解关联帧阻止或中断所述终端连接非法AP。

8.根据权利要求6所述的装置，其特征在于，所述装置还包括：

终端特征存储模块，用于在所述泄密防护模块检测所述终端特征是否存在于预设的终端特征库中之前，当侦听到有终端成功连接到合法AP，并且所述终端还通过所述合法AP的身份认证时，获取通过所述合法AP的身份认证的终端的终端特征，将所述通过所述合法AP的身份认证的终端的终端特征存储到所述终端特征库中。

9.根据权利要求6所述的装置，其特征在于，所述泄密防护模块具体用于当所述终端已成功连接非法AP时，侦听所述终端与所述非法AP之间传输的无线数据包；将所述无线数据包发送至管理合法AP的无线控制器，使得所述无线控制器能够获取并解析所述无线数据包，并将解析后的无线数据包发送给管理泄密的用户，所述用户根据从所述解析后的无线数据包中获取所述终端使用者信息，通知所述终端使用者断开与所述非法AP的连接。

10.根据权利要求9所述的装置，其特征在于，所述无线数据包包括所述非法AP的标识信息、所述终端的终端特征以及所述终端与非法AP之间的交互信息。