CN105227360B - 一种管控物理图层与管控虚拟图层的显示方法及系统 - Google Patents

Abstract

本发明提供一种管控物理图层与管控虚拟图层的显示方法及系统，该显示方法包括：根据物理位置结构创建管控物理图层，并建立终端与管控物理图层的关联关系；检测终端中发生的触发事件；根据用户在管控物理图层的操作显示触发事件对应的管控虚拟图层；其中，管控虚拟图层用于表示发生同一触发事件的各个终端之间的关系。通过本发明，将基于物理位置的物理图层作为对企业内网进行管控的界面，针对终端发生的同类触发事件进行统计分析，以虚拟图层的形式进行显示，使得触发事件的展示呈现可视化、简单化，同时，还可实现物理图层和虚拟图层的切换，使得对企业内网终端的管控更加便捷、全面，可提高用户的使用体验。

Description

一种管控物理图层与管控虚拟图层的显示方法及系统

技术领域

本发明是关于终端安全管控技术，具体地，是关于一种管控物理图层与管控虚拟图层的显示方法及系统。

背景技术

随着企业规模的扩大，对企业内部的各个终端进行全方位的管控已成趋势。而现有的对终端进行管控的系统中所能够显示出的操作界面均为列表式，在列表中能够显示出局域网内部的各个终端的ID、用户名、使用状态等基础信息，以供管理员对局域网内部的终端进行监控。但是该列表中仅能针对终端的各类信息进行展示，而无法针对某一类事件进行统计和展示，不能够使得管理员清晰地监测局域网内部发生的事件的情况。

发明内容

本发明实施例的主要目的在于提供一种管控物理图层与管控虚拟图层的显示方法及系统，以对同一类触发事件进行直观、可视化的展示，使操作者更加全面地了解所发生的触发事件的扩散情况及其影响。

为了实现上述目的，本发明实施例提供一种管控物理图层与管控虚拟图层的显示方法，该显示方法包括：根据物理位置结构创建管控物理图层，并建立终端与管控物理图层的关联关系；检测终端中发生的触发事件；根据用户在管控物理图层的操作显示触发事件对应的管控虚拟图层；其中，管控虚拟图层用于表示发生同一触发事件的各个终端之间的关系。

在一实施例中，上述的根据用户在管控物理图层的操作显示管控虚拟图层，包括：通过管控物理图层接收用户选择查看的触发事件；根据触发事件的类型调用触发事件对应的管控虚拟图层；显示管控虚拟图层。

在一实施例中，上述的显示管控虚拟图层，包括：将管控虚拟图层替换管控物理图层的位置进行显示；或将管控虚拟图层显示在一显示屏幕的最前端；或将管控物理图层及管控虚拟图层并排显示在一显示屏幕上。

在一实施例中，上述的显示方法还包括：根据用户在管控虚拟图层的操作显示终端对应的管控物理图层。

在一实施例中，上述的根据用户在管控虚拟图层的操作显示终端对应的管控物理图层，包括：通过管控虚拟图层接收用户选择查看的终端；根据终端的物理位置调用终端对应的管控物理图层；显示管控物理图层。

在一实施例中，上述的显示管控物理图层，包括：将管控物理图层替换管控虚拟图层的位置进行显示；或将管控物理图层显示在一显示屏幕的最前端；或将管控物理图层及管控虚拟图层并排显示在一显示屏幕上。

在一实施例中，上述的物理位置结构为建筑内部各层的二维平面结构图或建筑内部三维立体结构模型图。

本发明实施例还提供一种管控物理图层与管控虚拟图层的显示系统，该显示系统包括：管控物理图层创建单元，用于根据物理位置结构创建管控物理图层，并建立终端与管控物理图层的关联关系；触发事件检测单元，用于检测终端中发生的触发事件；管控虚拟图层显示单元，用于根据用户在管控物理图层的操作显示触发事件对应的管控虚拟图层；其中，管控虚拟图层用于表示发生同一触发事件的各个终端之间的关系。

在一实施例中，上述的管控虚拟图层显示单元包括：触发事件接收模块，用于通过管控物理图层接收用户选择查看的触发事件；管控虚拟图层调用模块，用于根据触发事件的类型调用触发事件对应的管控虚拟图层；管控虚拟图层显示模块，用于显示管控虚拟图层。

进一步地，上述的管控虚拟图层显示模块具体用于：将管控虚拟图层替换管控物理图层的位置进行显示；或将管控虚拟图层显示在一显示屏幕的最前端；或

将管控物理图层及管控虚拟图层并排显示在一显示屏幕上。

在一实施例中，上述的显示系统还包括：管控物理图层显示单元，用于根据用户在管控虚拟图层的操作显示终端对应的管控物理图层。

在一实施例中，上述的管控物理图层显示单元包括：终端接收模块，用于通过管控虚拟图层接收用户选择查看的终端；管控物理图层调用模块，用于根据终端的物理位置调用终端对应的管控物理图层；管控物理图层显示模块，用于显示管控物理图层

进一步地，上述的管控物理图层显示模块具体用于：将管控物理图层替换管控虚拟图层的位置进行显示；或将管控物理图层显示在一显示屏幕的最前端；或将管控物理图层及管控虚拟图层并排显示在一显示屏幕上。

在一实施例中，上述的物理位置结构为建筑内部各层的二维平面结构图或建筑内部三维立体结构模型图。

本发明实施例的有益效果在于，本发明实施例中所涉及的管控物理图层以及管控虚拟图层之间可以实现相互切换，以满足管理人员对同一楼层中发生触发事件的情况，或是同一类触发事件的发生情况的实时掌握，使得管理人员能够更加直观、全面地了解企业内网的实时运行状况。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为根据本发明实施例的管控物理图层与管控虚拟图层的显示方法的流程图(一)；

图2为根据本发明实施例的企业内部结构示意图；

图3A及图3B为根据本发明实施例的广播风暴事件对应的管控虚拟图层示意图；

图4A及图4B为根据本发明实施例的病毒传播事件对应的管控虚拟图层示意图；

图5为根据本发明实施例的管控物理图层与管控虚拟图层的显示系统的结构示意图(一)；

图6为根据本发明实施例的管控物理图层与管控虚拟图层的显示系统的结构示意图(二)；

图7为根据本发明实施例的管控虚拟图层显示单元300的结构示意图；

图8为根据本发明实施例的管控物理图层显示单元400的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例提供一种管控物理图层与管控虚拟图层的显示方法及系统。以下结合附图对本发明进行详细说明。

本发明实施例提供一种管控物理图层与管控虚拟图层的显示方法，如图1所示，该管控物理图层与管控虚拟图层的显示方法主要包括以下各步骤：

S101：根据物理位置结构创建管控物理图层，并建立终端与管控物理图层的关联关系；

S102：检测终端中发生的触发事件；

S103：根据用户在管控物理图层的操作显示该触发事件对应的管控虚拟图层。

通过上述步骤S101～步骤S103，将基于物理位置的物理图层作为对企业内网终端进行管控的界面，并检测终端发生的触发事件，针对同类触发事件进行统计，并以虚拟图层的形式进行显示，使得终端发生的触发事件的展示呈现可视化、简单化，同时，还可实现物理图层和虚拟图层的切换，使得对企业内网的管控可根据需要进行显示，使得对企业内网终端的管控更加便捷、全面，可提高用户的使用体验。

以下将结合具体实施例，对本发明实施例的管控物理图层与管控虚拟图层的显示方法中的各个步骤进行详细的说明。

上述步骤S101，根据物理位置结构创建管控物理图层，并建立终端与所述管控物理图层的关联关系。首先将企业内各个楼层的内部结构图作为基础性模板进行导入。如图2所示，该图所示出的为企业中某一楼层的内部结构图，仅为举例说明该内部结构图的样式。在实际应用中，导入的内部结构图可以通过例如是AutoCad等制图工具所绘制的绘图文件，本发明并不以此为限。并且，图2所示出得仅为其中跟一个楼层的二维平面布局图，在实际应用中，该内部结构图还可以针对不同的办公设备(例如终端、办公座椅等)匹配不同的纵高，从而形成一个具有立体效果的布局视图。并且，最终呈现的整体效果中，还可将多个楼层的二维平面布局图或是具有立体效果的布局视图相叠加，从而形成该企业整个办公环境(例如一栋办公大楼或是多层办公楼层相叠加)作为整体的三维立体模型透视图。

在导入了内部结构图之后，即可根据该内部结构图在管控端(服务器端)创建基于该内部结构图的管控物理图层，并在管控物理图层中定义与终端相对应的信息点。具体地，该信息点包括但不限于：区域信息点、办公楼信息点、终端信息点、企业服务信息点、应用程序信息点及网络设备信息点等。通过定义上述各种信息点，使得管控物理图层中的各楼层信息、各类设备、终端、接口等的信息与实际物理空间中的各楼层信息、各类设备、终端、接口等的信息一一对应。实际应用中，可以是通过在上述的平面图中的各楼层信息、各类设备、终端、接口等所对应的坐标信息的不同来定义其相应的信息点，并记录在管控端服务器中，以备后续的管控过程中进行调用。

然后，建立终端与管控物理图层的关联关系。此处所述的终端，是指用户实际所使用的连接至局域网的各类设备、移动终端、接口等一系列物理设备。在一实施例中，上述建立终端与管控物理图层之间的关联的过程主要包含有两种方式：一种是通过客户端(agent)建立关联；另一种是无客户端直接建立关联。

通过客户端建立关联的方式，应用此种方式建立终端与管控物理图层的关联的前提在于，在企业内网终端上预先安装有相应的应用程序(application)，该应用程序可以通过用户使用的终端设备的显示装置向用户展示与管控物理图层相一致的物理图层。用户可以在该物理图层中点选自己的工位所对应的位置(具体的楼层、工位等)，并在点选后可填入该用户的基本信息，包括：用户姓名、职位、所在部门等。在应用程序通过该物理图层获取了该用户的基本信息之后，可通过企业内网将该用户的基本信息及其所使用的终端信息同时上传至管控端服务器，并将该用户的基本信息及其所使用的终端信息同时更新至管控物理图层中，此时便建立了该用户的终端与管控物理图层之间相对应的关联关系。以上所述为针对一名用户建立终端与管控物理图层之间关联的过程，针对企业中的每一位员工，均可通过上述过程建立管控物理图层与用户终端的关联，从而实现对管控端与终端之间关联关系的初始化。

上述的无客户端直接建立关联的方式，与通过客户端建立关联的方式的主要区别在于，此种方式并不要求用户的终端中安装有上述的应用程序，而是通过该用户使用的终端所连接的网络通信设备(例如交换机等)来监控终端的流量使用情况。对于流量进行监控，可通过对用户终端中例如浏览器的应用程序对其所使用的流量情况进行统计，从而生成流量统计数据，将流量统计数据通过企业内网上传至管控端服务器，管控端服务器获取并分析该流量统计数据中所包含的流量信息，从而获知该用户终端的流量使用情况。当监控到某一用户终端中产生流量使用的状况时，表明该用户终端已接入企业内网。在一实施例中，可进一步根据该用户终端的唯一标识(例如是mac地址或mid等用以唯一识别该用户终端的标识，本发明并不以此为限)与管控端服务器所储存的已接入的终端列表中的唯一标识来判断该用户终端是否为新接入企业内网的终端。如果该用户终端的唯一标识为首次出现，则表明该用户终端是新接入企业内网的终端。此时，管控端服务器接收用户终端的浏览器的当前网页的网页信息，对该网页信息进行分析，获得对应于该用户的网络应用标签；匹配该网络应用标签和预置的网络应用映射表，从而将与管控物理图层一致的物理图层推送至用户终端的浏览器。具体地，可通过向用户终端的浏览器中推送一web页面的形式来推送该物理图层。用户可以在该web页面所显示的物理图层中点选自己的工位在物理图层中所对应的位置(具体的楼层、工位等)，并在点选后可填入该用户的基本信息，包括：用户名、职位、所在部门等。在web页面中获取了该用户的基本信息之后，可通过企业内网将该用户的基本信息及其所使用的终端信息同时上传至管控端服务器，并将该用户的基本信息及其所使用的终端信息同时更新至管控物理图层中，此时便建立了该用户的终端与管控物理图层之间相对应的关联关系。

在另一实施例中，当监控到某一用户终端已接入企业内网时，还可根据该用户终端所连接至的网络通信设备的端口信息是否发生变化来判断该用户终端的位置是否发生了改变。以下将以交换机作为上述的网络通信设备为例，对本发明实施例中判断该用户终端的位置是否发生改变的过程进行详细说明，但本发明并不以此为限。具体地，可获取各用户终端及其所连接的交换机的端口编号，并生成一参照列表(终端及交换机端口对应列表)，记录各用户终端与其所连接的交换机的端口的编号的对应关系。获取该用户终端当前连接的交换机的端口的编号，并将当前连接的端口的编号与上述的终端及交换机端口对应列表中该终端所对应的端口编号进行比对，来判断该用户终端所连接的交换机的端口是否发生了改变。

当判定用户终端的位置发生改变时，则管控端服务器接收用户终端的浏览器的当前网页的网页信息，对该网页信息进行分析，获得对应于该用户的网络应用标签；匹配该网络应用标签和预置的网络应用映射表，从而将与管控物理图层一致的物理图层推送至用户终端的浏览器。具体地，可通过向用户终端的浏览器中推送一web页面的形式来推送该物理图层。用户可以在该web页面所显示的物理图层中点选自己的工位在物理图层中所对应的位置(具体的楼层、工位等)，并在点选后可填入该用户的基本信息，包括：用户名、职位、所在部门等。在web页面中获取了该用户的基本信息之后，可通过企业内网将该用户的基本信息及其所使用的终端信息同时上传至管控端服务器，并将该用户的基本信息及其所使用的终端信息同时更新至管控物理图层中，此时便建立了该用户的终端与管控物理图层之间相对应的关联关系。

以上所述为针对一名用户建立终端与管控物理图层之间关联的过程，针对企业中的每一位员工，均可通过上述过程建立管控物理图层与用户终端的关联，从而实现对管控端与终端之间关联关系的初始化。

通过上述步骤S101即实现了管控物理图层与终端的一一对应关系的建立，然后执行步骤S102，检测终端中发生的触发事件。本发明实施例的管控物理图层与管控虚拟图层的显示方法可用于实现对企业内网终端的数据防泄密、执行安全策略等管控。具体地，可实时监控企业内网中各信息点的各种操作，例如：用户的登入/登出、接入网络，外联网络、接入外用设备等，其中，针对企业内网中各信息点重点监控的触发事件如表一所示。

表一

需要说明的是，上述表一所述的各类触发事件仅是举例说明，本发明实施例的终端管控方法所能检测到的事件并不仅限于表一所列出的触发事件，也可包括各类企业内网中的运行事件及相关操作。

在检测到终端发生的触发事件之后，即可通过上述步骤S103，根据用户在管控物理图层的操作显示触发事件对应的管控虚拟图层。

本发明实施例中所描述的管控物理图层，主要是针对每一楼层或每一个办公区域进行实时管控的手段。但在企业内网的实际管控过程中，管理员也需要掌握同一类事件发生的时间、范围及影响力等数据，以便能够正确认识各类事件的严重性。因此，在本发明实施例中，还提出了将管控虚拟图层与管控物理图层相结合的方法。管控虚拟图层，主要是针对在企业内网终端上发生的同一类事件进行整合生成的管控图层，以展示发生同一类触发事件的各个终端之间的关系，例如，同类触发事件从一个终端A扩散至另一个终端B或另一些终端C,D,E…，并进一步从终端B及终端C,D,E向多个终端a,b,c,d,e…扩散的关系等。当企业内网中多个终端发生同一类触发事件时，可首先获取发生该触发事件的多个终端的属性信息(例如，主机ID、用户姓名、职位、所在部门等物理位置信息等)，并针对每一类触发事件，分别生成对应的管控虚拟图层，根据终端的属性信息，将发生同一类触发事件的多个终端均显示在同一管控虚拟图层中，以显示出发生同一类触发事件的各个终端之间的关联。

可见，与管控物理图层有所不同，管控虚拟图层并不局限于企业内部同一楼层的物理空间，而是可以纵向地结合多个物理空间进行展示。以下结合具体示例描述本发明实施例的管控虚拟图层与管控物理图层之间的关系。

在一实施例中，是以企业内网终端中发生了“广播风暴”的触发事件为例进行说明。当一个数据帧或包被传输到本地网段(由广播域定义)上的每个节点就是广播；由于企业内网的网络拓扑的设计和连接问题，或其他原因导致广播在企业内网中的多个终端之间大量复制，传播数据帧，导致网络性能下降，甚至网络瘫痪，这就是广播风暴。当发生此类事件时，可先通过管控物理图层进行告警，并将相应的应对措施(例如：隔离广播源终端、并将被广播终端断网等)提示给管理员，供管理员选择执行相应的措施。由于广播风暴的特性，被广播终端还可进一步作为新的广播源终端向其他终端进行广播，因此，从广播源终端所进行的广播是发散性的，并不局限于该广播源终端所在的楼层，有可能会跨楼层广播，可见广播风暴所波及的范围十分广泛。此时，即使通过调出多个不同楼层对应的管控物理图层也很难直观地查看该广播风暴所造成的整体影响。

因此，在本发明实施例中，管控端服务器获取该广播源终端的唯一标识(例如是mac地址或mid等用以唯一识别该用户终端的标识，本发明并不以此为限)，在服务器中记录广播风暴事件的日志中查找所有相关的被广播终端的唯一标识，以此来创建一个针对该广播风暴的管控虚拟图层，并以广播源终端的唯一标识为中心，在该管控虚拟图层中显示出广播源终端、被广播终端之间的广播关系，并且可在每个终端下显示其所处的楼层位置、用户信息等，如图3A及图3B所示。通过图3A及图3B所示的管控虚拟图层，管理员能够更加清楚地获知该广播风暴的波及范围，更加清晰地观察该广播风暴事件的严重性以及其危害性。

在另一实施例中，当企业内网终端中因接入来源不明的U盘而导致该U盘中的病毒攻击该终端时，病毒有可能会通过该终端以例如电子邮件的形式向企业内网多个终端发送邮件进行病毒传播。此时，邮件的收件人可能是企业内部的每一名员工，则有可能误操作打开该封邮件而感染病毒的人遍布整个企业网络。当发生此类事件时，可先通过管控物理图层进行告警，并将相应的应对措施(例如：隔离病毒源终端、并将被染毒终端断网等)提示给管理员，以供管理员选择执行相应的应对措施。由于病毒传递的特性，被染毒终端还可进一步作为新的病毒源终端将病毒传递给其他终端，因此，从病毒源终端到被染毒终端的传输过程可能是发散性的，并不局限于该病毒源终端所在的楼层，有可能会跨楼层传递，病毒文件的扩散所波及的范围十分广泛。此时，即使通过多个不同楼层对应的管控物理图层也很难直观地查看该病毒所造成的整体影响。

因此，在本发明实施例中，管控端获取该病毒源终端的唯一标识(例如是mac地址或mid等用以唯一识别该用户终端的标识，本发明并不以此为限)，在服务器中记录病毒扩散事件的日志中查找所有相关的被染毒终端的唯一标识，以此来创建一个针对该病毒扩散事件的管控虚拟图层，并以病毒源终端的唯一标识为中心，在该管控虚拟图层中显示出病毒源终端、被染毒终端之间的扩散关系，并且可在每个终端下显示其所处的楼层位置、用户信息等，如图4A及图4B所示。通过图4A及图4B所示的管控虚拟图层，管理员能够更加清楚地获知该病毒的波及范围，更加清晰地观察该病毒的危害性。

以上所述的广播风暴及病毒触发事件仅为举例说明本发明实施例的管控虚拟图层，而并非用以限制本发明。在实际应用中，可针对在企业内网中发生的各类事件分别创建相应的管控虚拟图层，以从宏观角度对企业内网中各类事件进行分析和展示。并且，还可根据管理员的设定，将具有相同或相似特性的触发事件所对应的管控虚拟图层进行合并，从整体角度给管理员展示所发生的触发事件所波及的范围及造成的影响。上述合并的标准可以是判断各触发事件是否包含相类似的攻击手段或是是否都属于同一大类，例如是“非法接入”或“非法外连”等。具体地，可以是根据触发事件所攻击的目标位置、目标文件、目标类型等来判断不同的触发事件的攻击手段是否相同或相似；可以是根据触发事件的来源来判断此类事件属于“非法接入”事件还是“非法外连”事件，例如，终端连入了企业内网以外的网络环境(用户在终端利用翻墙软件跨越了企业内网连接到公共网络环境等)即属于非法外连，而当终端上插入来源不明的U盘或是光驱中放入来源不明的光盘等情况时，则属于非法接入。

并且，图3A至图4B所示出的是以平面图示的形式所建立的管控虚拟图层，在实际应用中，该管控虚拟图层也可以是根据企业整个办公环境(例如一栋办公大楼或是多层办公楼层相叠加)作为整体的三维立体模型透视图，即该管控虚拟图层与管控物理图层相结合，在管控物理图层的基础上，将发生同类事件的终端及其相互之间的传播或扩散关系展示出来。本领域普通技术人员应当能够理解，由三维立体模型透视图所示出的结果能够更加直观、清晰地表示出某一类事件在企业内部的扩散情况。

在本发明实施例中，虽然管控虚拟图层与管控物理图层所管控的内容及对象并不相同，但是两者之间也是相互关联的，通过管控物理图层可切换至管控虚拟图层，并且从管控虚拟图层也可切换至管控物理图层。

当根据检测到的触发事件创建相应的管控虚拟图层之后，可接收用户在管控物理图层中的操作，例如用户在某一管控物理层中点选要查看的触发事件的详细情况。当接收到用户的相应点选操作之后，可根据该触发事件的类型来调用该触发事件所对应的管控虚拟图层，并将所调用的管控虚拟图层显示出来，从而将管控物理图层切换至该触发事件的管控虚拟图层，通过该管控虚拟图层了解该触发事件的整体覆盖范围等情况。

具体实施时，显示该管控虚拟图层的方式可以是将该管控虚拟图层替代管控物理图层的位置并加以显示；或是将管控虚拟图层显示在显示屏幕的最前端，即覆盖该管控物理图层；或是可将管控物理图层及管控虚拟图层并排显示在显示屏幕上，以突出两者之间的对应关系。

并且，当管理员在查看某类事件的管控虚拟图层时，还可通过点选该管控虚拟图层中所显示的具体的一个终端来切换至该终端所处的管控物理图层进行显示。在一实施例中，可以是获取用户所选择的终端的mac地址，并根据该mac地址在管控端服务器总存储的mac地址对照表查找该mac地址所对应的终端的物理位置，再进一步根据该物理位置的坐标调用该终端所处的楼层所对应的管控物理图层。在另一实施例中，则可以是获取终端的mac地址及其所处的物理位置(可以是通过用户的选择直接获取该物理位置)，此时，则可直接根据该物理位置的坐标调用该终端所处的楼层所对应的管控物理图层。

当管理员点选管控虚拟图层上其中的一个具体的终端时，先获取管理员选择查看的终端，并可以弹窗或下拉菜单等形式提示管理员是否跳转至该终端所在的管控物理图层，并进一步根据管理员的选择调用管理员所选择的终端所在的管控物理图层，并将所调用的管控物理图层显示出来，从而显示出该终端在企业中的具体物理位置。

具体实施时，显示该管控物理图层的方式可以是将该管控物理图层替代管控虚拟图层的位置并加以显示；或是将管控物理图层显示在显示屏幕的最前端，即覆盖该管控虚拟图层；或是可将管控物理图层及管控虚拟图层并排显示在显示屏幕上，以突出两者之间的对应关系。而当管控虚拟图层是三维立体模型透视图时，其所显示的内容也包含了各楼层的管控物理图层，此时可通过拖拽或点选等操作，直接选择其中一层或多层的管控物理图层进行显示。

由此可见，本发明实施例中所涉及的管控物理图层以及管控虚拟图层之间可以实现相互切换，以满足管理人员对同一楼层中发生触发事件的情况，或是同一类触发事件的发生情况的实时掌握，使得管理人员能够更加直观、全面地了解企业内网的实时运行状况。当发生不同事件时，也可通过相应的应对措施及时处理，从而提高企业内网的安全性。

本发明实施例还提供一种管控物理图层与管控虚拟图层的显示系统，如图5所示，该管控物理图层与管控虚拟图层的显示系统主要包括：管控物理图层创建单元100、触发事件检测单元200及管控虚拟图层显示单元300等。其中，该管控物理图层创建单元100用于根据物理位置结构创建管控物理图层，并建立终端与管控物理图层的关联关系；触发事件检测单元200用于检测终端中发生的触发事件；管控虚拟图层显示单元300用于根据用户在所述管控物理图层的操作显示所述触发事件对应的管控虚拟图层。

通过上述的管控物理图层与管控虚拟图层的显示系统，将基于物理位置的物理图层作为对企业内网终端进行管控的界面，并检测终端发生的触发事件，针对同类触发事件进行统计分析，并以虚拟图层的形式进行显示，使得终端发生的触发事件的展示呈现可视化、简单化，同时，还可实现物理图层和虚拟图层的切换，使得对企业内网的管控可根据需要进行显示，使得对企业内网终端的管控更加便捷、全面，可提高用户的使用体验。

以下将结合具体实施例，对本发明实施例的管控物理图层与管控虚拟图层的显示系统中的各个部分进行详细的说明。

上述管控物理图层创建单元100，用于根据物理位置结构创建管控物理图层，并建立终端与所述管控物理图层的关联关系。首先将企业内各个楼层的内部结构图作为基础性模板进行导入。如图2所示，该图所示出的为企业中某一楼层的内部结构平面图，仅为举例说明该内部结构图的样式。在实际应用中，导入的内部结构图可以是通过例如是AutoCad等制图工具所绘制的绘图文件，本发明并不以此为限。并且，图2所示出得仅为其中跟一个楼层的二维平面布局图，在实际应用中，该内部结构图还可以针对不同的办公设备(例如终端、办公座椅等)匹配不同的纵高，从而形成一个具有立体效果的布局视图。并且，最终呈现的整体效果中，还可将多个楼层的二维平面布局图或是具有立体效果的布局视图相叠加，从而形成该企业整个办公环境(例如一栋办公大楼或是多层办公楼层相叠加)作为整体的三维立体模型透视图。

在导入了内部结构图之后，即可根据该内部结构图在管控端(服务器端)创建基于该内部结构图的管控物理图层，并在管控物理图层中定义与终端相对应的信息点。具体地，该信息点包括但不限于：区域信息点、办公楼信息点、终端信息点、企业服务信息点、应用程序信息点及网络设备信息点等。通过定义上述各种信息点，使得管控物理图层中的各楼层信息、各类设备、终端、接口等的信息与实际物理空间中的各楼层信息、各类设备、终端、接口等的信息一一对应。实际应用中，可以是通过在上述的平面图中的各楼层信息、各类设备、终端、接口等所对应的坐标信息的不同来定义其相应的信息点，并记录在管控端服务器中，以备后续的管控过程中进行调用。

然后，建立终端与管控物理图层的关联关系。此处所述的终端，是指用户实际所使用的连接至局域网的各类设备、移动终端、接口等一系列物理设备。在一实施例中，上述建立终端与管控物理图层之间的关联的过程主要包含有两种方式：一种是通过客户端(agent)建立关联；另一种是无客户端直接建立关联。

通过客户端建立关联的方式，应用此种方式建立终端与管控物理图层的关联的前提在于，在企业内网终端上预先安装有相应的应用程序(application)，该应用程序可以通过用户使用的终端设备的显示装置向用户展示与管控物理图层相一致的物理图层。用户可以在该物理图层中点选自己的工位所对应的位置(具体的楼层、工位等)，并在点选后可填入该用户的基本信息，包括：用户姓名、职位、所在部门等。在应用程序通过该物理图层获取了该用户的基本信息之后，可通过企业内网将该用户的基本信息及其所使用的终端信息同时上传至管控端服务器，并将该用户的基本信息及其所使用的终端信息同时更新至管控物理图层中，此时便建立了该用户的终端与管控物理图层之间相对应的关联关系。以上所述为针对一名用户建立终端与管控物理图层之间关联的过程，针对企业中的每一位员工，均可通过上述过程建立管控物理图层与用户终端的关联，从而实现对管控端与终端之间关联关系的初始化。

上述的无客户端直接建立关联的方式，与通过客户端建立关联的方式的主要区别在于，此种方式并不要求用户的终端中安装有上述的应用程序，而是通过该用户使用的终端所连接的网络通信设备(例如交换机等)来监控终端的流量使用情况。对于流量进行监控，可通过对用户终端中例如浏览器的应用程序对其所使用的流量情况进行统计，从而生成流量统计数据，将流量统计数据通过企业内网上传至管控端服务器，管控端服务器获取并分析该流量统计数据中所包含的流量信息，从而获知该用户终端的流量使用情况。当监控到某一用户终端中产生流量使用的状况时，表明该用户终端已接入企业内网。在一实施例中，可进一步根据该用户终端的ID(例如mac地址)与管控端服务器所储存的已接入的终端列表中的ID来判断该用户终端是否为新接入企业内网的终端。如果该用户终端的ID为首次出现，则表明该用户终端是新接入企业内网的终端。此时，管控端服务器接收用户终端的浏览器的当前网页的网页信息，对该网页信息进行分析，获得对应于该用户的网络应用标签；匹配该网络应用标签和预置的网络应用映射表，从而将与管控物理图层一致的物理图层推送至用户终端的浏览器。具体地，可通过向用户终端的浏览器中推送一web页面的形式来推送该物理图层。用户可以在该web页面所显示的物理图层中点选自己的工位在物理图层中所对应的位置(具体的楼层、工位等)，并在点选后可填入该用户的基本信息，包括：用户名、职位、所在部门等。在web页面中获取了该用户的基本信息之后，可通过企业内网将该用户的基本信息及其所使用的终端信息同时上传至管控端服务器，并将该用户的基本信息及其所使用的终端信息同时更新至管控物理图层中，此时便建立了该用户的终端与管控物理图层之间相对应的关联关系。

在另一实施例中，当监控到某一用户终端已接入企业内网时，还可根据该用户终端所连接至的网络通信设备的端口信息是否发生变化来判断该用户终端的位置是否发生了改变。以下将以交换机作为上述的网络通信设备为例，对本发明实施例中判断该用户终端的位置是否发生改变的过程进行详细说明，但本发明并不以此为限。具体地，可获取各用户终端及其所连接的交换机的端口编号，并生成一参照列表(终端及交换机端口对应列表)，记录各用户终端与其所连接的交换机的端口的编号的对应关系。获取该用户终端当前连接的交换机的端口的编号，并将当前连接的端口的编号与上述的终端及交换机端口对应列表中该终端所对应的端口编号进行比对，来判断该用户终端所连接的交换机的端口是否发生了改变。

当判定用户终端的位置发生改变，则管控端服务器接收用户终端的浏览器的当前网页的网页信息，对该网页信息进行分析，获得对应于该用户的网络应用标签；匹配该网络应用标签和预置的网络应用映射表，从而将与管控物理图层一致的物理图层推送至用户终端的浏览器。具体地，可通过向用户终端的浏览器中推送一web页面的形式来推送该物理图层。用户可以在该web页面所显示的物理图层中点选自己的工位在物理图层中所对应的位置(具体的楼层、工位等)，并在点选后可填入该用户的基本信息，包括：用户名、职位、所在部门等。在web页面中获取了该用户的基本信息之后，可通过企业内网将该用户的基本信息及其所使用的终端信息同时上传至管控端服务器，并将该用户的基本信息及其所使用的终端信息同时更新至管控物理图层中，此时便建立了该用户的终端与管控物理图层之间相对应的关联关系。

以上所述为针对一名用户建立终端与管控物理图层之间关联的过程，针对企业中的每一位员工，均可通过上述过程建立管控物理图层与用户终端的关联，从而实现对管控端与终端之间关联关系的初始化。

通过上述管控物理图层创建单元100即实现了管控物理图层与终端的一一对应关系的建立，然后通过上述的触发事件检测单元200，检测终端中发生的触发事件。本发明实施例的管控物理图层与管控虚拟图层的显示系统可用于实现对企业内网终端的数据防泄密、执行安全策略等管控。具体地，可实时监控企业内网中各信息点的各种操作，例如：用户的登入/登出、接入网络，外联网络、接入外用设备等，其中，针对企业内网中各信息点重点监控的触发事件如表一所示。

需要说明的是，上述表一所述的各类触发事件仅是举例说明，本发明实施例的终端管控方法所能检测到的事件并不仅限于表一所列出的触发事件，也可包括各类企业内网中的运行事件及相关操作。

在检测到终端发生的触发事件之后，即可通过上述的管控虚拟图层显示单元300，根据用户在管控物理图层的操作显示触发事件对应的管控虚拟图层。

本发明实施例中所描述的管控物理图层，主要是针对每一楼层或每一个办公区域进行实时管控的手段。但在企业内网的实际管控过程中，管理员也需要掌握同一类事件发生的时间、范围及影响力等数据，以便能够正确认识各类事件的严重性。因此，在本发明实施例中，还提出了将管控虚拟图层与管控物理图层相结合的技术方案。管控虚拟图层，主要是针对在企业内网终端上发生的同一类事件进行整合生成的管控图层，以展示发生同一类触发事件的各个终端之间的关系，例如，同类触发事件从一个终端A扩散至另一个终端B或另一些终端C,D,E…，并进一步从终端B及终端C,D,E向多个终端a,b,c,d,e…扩散的关系等。当企业内网中多个终端发生同一类触发事件时，该管控虚拟图层显示单元300可首先获取发生该触发事件的多个终端的属性信息(例如，主机ID、用户姓名、职位、所在部门等物理位置信息等)，并针对每一类触发事件，分别生成对应的管控虚拟图层，根据终端的属性信息，将发生同一类触发事件的多个终端均显示在同一管控虚拟图层中，以显示出发生同一类触发事件的各个终端之间的关联。

可见，与管控物理图层有所不同，管控虚拟图层并不局限于企业内部同一楼层的物理空间，而是可以纵向地结合多个物理空间进行展示。以下结合具体示例描述本发明实施例的管控虚拟图层与管控物理图层之间的关系。

在一实施例中，以企业内网终端中发生了“广播风暴”的触发事件为例进行说明。当一个数据帧或包被传输到本地网段(由广播域定义)上的每个节点就是广播；由于企业内网的网络拓扑的设计和连接问题，或其他原因导致广播在企业内网中的多个终端之间大量复制，传播数据帧，导致网络性能下降，甚至网络瘫痪，这就是广播风暴。当发生此类事件时，可先通过管控物理图层进行告警，并将相应的应对措施(例如：隔离广播源终端、并将被广播终端断网等)提示给管理员，供管理员选择执行相应的措施。由于广播风暴的特性，被广播终端还可进一步作为新的广播源终端向其他终端进行广播，因此，从广播源终端所进行的广播是发散性的，并不局限于该广播源终端所在的楼层，有可能会跨楼层广播，可见广播风暴所波及的范围十分广泛。此时，即使通过调出多个不同楼层对应的管控物理图层也很难直观地查看该广播风暴所造成的整体影响。

因此，在本发明实施例中，管控端服务器获取该广播源终端的唯一标识(例如是mac地址或mid等用以唯一识别该用户终端的标识，本发明并不以此为限)，在服务器中记录广播风暴事件的日志中查找所有相关的被广播终端的唯一标识，以此来创建一个针对该广播风暴的管控虚拟图层，并以广播源终端的唯一标识为中心，在该管控虚拟图层中显示出广播源终端、被广播终端之间的广播关系，并且可在每个终端下显示其所处的楼层位置、用户信息等，如图3A及图3B所示。通过图3A及图3B所示的管控虚拟图层，管理员能够更加清楚地获知该广播风暴的波及范围，更加清晰地观察该广播风暴事件的严重性以及其危害性。

在另一实施例中，当企业内网终端中因接入来源不明的U盘而导致该U盘中的病毒攻击该终端时，病毒有可能会通过该终端以例如电子邮件的形式向企业内网多个终端发送邮件进行病毒传播。此时，邮件的收件人可能是企业内部的每一名员工，则有可能误操作打开该封邮件而感染病毒的人遍布整个企业网络。当发生此类事件时，可先通过管控物理图层进行告警，并将相应的应对措施(例如：隔离病毒源终端、并将被染毒终端断网等)提示给管理员，以供管理员选择执行相应的应对措施。由于病毒传递的特性，被染毒终端还可进一步作为新的病毒源终端将病毒传递给其他终端，因此，从病毒源终端到被染毒终端的传输过程可能是发散性的，并不局限于该病毒源终端所在的楼层，有可能会跨楼层传递，病毒文件的扩散所波及的范围十分广泛。此时，即使通过多个不同楼层对应的管控物理图层也很难直观地查看该病毒所造成的整体影响。

因此，在本发明实施例中，管控端获取该病毒源终端的唯一标识(例如是mac地址或mid等用以唯一识别该用户终端的标识，本发明并不以此为限，在服务器中记录病毒扩散事件的日志中查找所有相关的被染毒终端的唯一标识，以此来创建一个针对该病毒扩散事件的管控虚拟图层，并以病毒源终端的唯一标识为中心，在该管控虚拟图层中显示出病毒源终端、被染毒终端之间的扩散关系，并且可在每个终端下显示其所处的楼层位置、用户信息等，如图4A及图4B所示。通过图4A及图4B所示的管控虚拟图层，管理员能够更加清楚地获知该病毒的波及范围，更加清晰地观察该病毒的危害性。

以上所述的广播风暴及病毒触发事件仅为举例说明本发明实施例的管控虚拟图层，而并非用以限制本发明。在实际应用中，可针对在企业内网中发生的各类事件分别创建相应的管控虚拟图层，以从宏观角度对企业内网中各类事件进行分析和展示。并且，还可根据管理员的设定，将具有相同或相似特性的触发事件所对应的管控虚拟图层进行合并，从整体角度给管理员展示所发生的触发事件所波及的范围及造成的影响。上述合并的标准可以是判断各触发事件是否包含相类似的攻击手段或是是否都属于同一大类，例如是“非法接入”或“非法外连”等。

具体地，可以是根据触发事件所攻击的目标位置、目标文件、目标类型等来判断不同的触发事件的攻击手段是否相同或相似；可以是根据触发事件的来源来判断此类事件属于“非法接入”事件还是“非法外连”事件，例如，终端连入了企业内网以外的网络环境(用户在终端利用翻墙软件跨越了企业内网连接到公共网络环境等)即属于非法外连，而当终端上插入来源不明的U盘或是光驱中放入来源不明的光盘等情况时，则属于非法接入。

并且，图3A至图4B所示出的是以平面图示的形式所建立的管控虚拟图层，在实际应用中，该管控虚拟图层也可以是根据企业整个办公环境(例如一栋办公大楼或是多层办公楼层相叠加)作为整体的三维立体模型透视图，即该管控虚拟图层与管控物理图层相结合，在管控物理图层的基础上，将发生同类事件的终端及其相互之间的传播或扩散关系展示出来。本领域普通技术人员应当能够理解，由三维立体模型透视图所示出的结果能够更加直观、清晰地表示出某一类事件在企业内部的扩散情况。

在本发明实施例中，虽然管控虚拟图层与管控物理图层所管控的内容及对象并不相同，但是两者之间也是相互关联的，通过上述的管控虚拟图层显示单元300，根据用户在管控物理图层的操作，显示触发事件所对应的管控虚拟图层。并且，如图6所示，本发明实施例的管控物理图层与管控虚拟图层的显示系统也可通过一管控物理图层显示单元400，根据用户在管控虚拟图层的选择，从管控虚拟图层也可切换至管控物理图层。

在一实施例中，如图7所示，上述的管控虚拟图层显示单元300包括：触发事件接收模块301、管控虚拟图层调用模块302及管控虚拟图层显示模块303，其中，该触发事件接收模块301用于接收用户选择查看的触发事件；管控虚拟图层调用模块302用于根据触发事件的类型调用触发事件对应的管控虚拟图层；管控虚拟图层显示模块303用于将管控物理图层切换至管控虚拟图层进行显示。

当根据检测到的触发事件创建相应的管控虚拟图层之后，可通过触发事件接收模块301来接收用户在管控物理图层中的操作，例如用户在某一管控物理层中点选要查看的触发事件的详细情况。当接收到用户的相应点选操作之后，可通过上述管控虚拟图层调用模块302，根据该触发事件的类型来调用该触发事件所对应的管控虚拟图层，并通过该管控虚拟图层显示模块303，将管控虚拟图层调用模块302所调用的管控虚拟图层显示出来，从而将管控物理图层切换至该触发事件的管控虚拟图层，通过该管控虚拟图层了解该触发事件的整体覆盖范围等情况。

具体实施时，显示该管控虚拟图层的方式可以是将该管控虚拟图层替代管控物理图层的位置并加以显示；或是将管控虚拟图层显示在显示屏幕的最前端，即覆盖该管控物理图层；或是可将管控物理图层及管控虚拟图层并排显示在显示屏幕上，以突出两者之间的对应关系。

在另一实施例中，如图8所示，上述的管控物理图层显示单元400包括：终端接收模块401、管控物理图层调用模块402及管控物理图层显示模块403，其中，终端接收模块401用于通过管控虚拟图层接收用户选择查看的终端；管控物理图层调用模块402用于根据终端的物理位置调用终端对应的管控物理图层；管控物理图层显示模块403用于将管控虚拟图层切换至管控物理图层进行显示。

当管理员在查看某类事件的管控虚拟图层时，还可通过点选该管控虚拟图层中所显示的具体的一个终端来切换至该终端所处的管控物理图层进行显示。在一实施例中，可以是获取用户所选择的终端的mac地址，并根据该mac地址在管控端服务器总存储的mac地址对照表查找该mac地址所对应的终端的物理位置，再进一步根据该物理位置的坐标调用该终端所处的楼层所对应的管控物理图层。在另一实施例中，则可以是获取终端的mac地址及其所处的物理位置(可以是通过用户的选择直接获取该物理位置)，此时，则可直接根据该物理位置的坐标调用该终端所处的楼层所对应的管控物理图层。

当管理员点选管控虚拟图层上其中的一个具体的终端时，通过该终端接收模块401来获取管理员选择查看的终端，并可以弹窗或下拉菜单等形式提示管理员是否跳转至该终端所在的管控物理图层，并进一步由管控物理图层调用模块402根据管理员的选择调用管理员所选择的终端所在的管控物理图层，并通过该管控物理图层显示模块403，将管控物理图层调用模块402所调用的管控物理图层显示出来，从而显示出该终端在企业中的具体物理位置。

具体实施时，显示该管控物理图层的方式可以是将该管控物理图层替代管控虚拟图层的位置并加以显示；或是将管控物理图层显示在显示屏幕的最前端，即覆盖该管控虚拟图层；或是可将管控物理图层及管控虚拟图层并排显示在显示屏幕上，以突出两者之间的对应关系。而当管控虚拟图层是三维立体模型透视图时，其所显示的内容也包含了各楼层的管控物理图层，此时可通过拖拽或点选等操作，直接选择其中一层或多层的管控物理图层进行显示。

由此可见，本发明实施例中所涉及的管控物理图层以及管控虚拟图层之间可以实现相互切换，以满足管理人员对同一楼层中发生触发事件的情况，或是同一类触发事件的发生情况的实时掌握，使得管理人员能够更加直观、全面地了解企业内网的实时运行状况。当发生不同事件时，也可通过相应的应对措施及时处理，从而提高企业内网的安全性。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读取存储介质中，比如ROM/RAM、磁碟、光盘等。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (12)

1.一种管控物理图层与管控虚拟图层的显示方法，其特征在于，所述的显示方法包括：

根据物理位置结构创建管控物理图层，并建立终端与所述管控物理图层的关联关系；

检测所述终端中发生的触发事件；

通过所述管控物理图层接收用户选择查看的所述触发事件；

根据所述触发事件的类型调用所述触发事件对应的所述管控虚拟图层；

显示所述的管控虚拟图层；

其中，所述管控虚拟图层用于表示发生同一所述触发事件的各个终端之间的传播或扩散关系。

2.根据权利要求1所述的管控物理图层与管控虚拟图层的显示方法，其特征在于，显示所述的管控虚拟图层，包括：

将所述管控虚拟图层替换所述管控物理图层的位置进行显示；或

将所述管控虚拟图层显示在一显示屏幕的最前端；或

将所述管控物理图层及管控虚拟图层并排显示在一显示屏幕上。

3.根据权利要求1所述的管控物理图层与管控虚拟图层的显示方法，其特征在于，所述的显示方法还包括：

根据用户在所述管控虚拟图层的操作显示所述终端对应的管控物理图层。

4.根据权利要求3所述的管控物理图层与管控虚拟图层的显示方法，其特征在于，根据用户在所述管控虚拟图层的操作显示所述终端对应的管控物理图层，包括：

通过所述管控虚拟图层接收用户选择查看的所述终端；

根据所述终端的物理位置调用所述终端对应的所述管控物理图层；

显示所述的管控物理图层。

5.根据权利要求4所述的管控物理图层与管控虚拟图层的显示方法，其特征在于，显示所述的管控物理图层，包括：

将所述管控物理图层替换所述管控虚拟图层的位置进行显示；或

将所述管控物理图层显示在一显示屏幕的最前端；或

将所述管控物理图层及管控虚拟图层并排显示在一显示屏幕上。

6.根据权利要求1所述的管控物理图层与管控虚拟图层的显示方法，其特征在于，所述的物理位置结构为建筑内部各层的二维平面结构图或建筑内部三维立体结构模型图。

7.一种管控物理图层与管控虚拟图层的显示系统，其特征在于，所述的显示系统包括：

管控物理图层创建单元，用于根据物理位置结构创建管控物理图层，并建立终端与所述管控物理图层的关联关系；

触发事件检测单元，用于检测所述终端中发生的触发事件；

管控虚拟图层显示单元，包括触发事件接收模块、管控虚拟图层调用模块、以及管控虚拟图层显示模块；

所述触发事件接收模块，用于通过所述管控物理图层接收用户选择查看的所述触发事件；

所述管控虚拟图层调用模块，用于根据所述触发事件的类型调用所述触发事件对应的所述管控虚拟图层；

所述管控虚拟图层显示模块，用于显示所述的管控虚拟图层；

其中，所述管控虚拟图层用于表示发生同一所述触发事件的各个终端之间的传播或扩散关系。

8.根据权利要求7所述的管控物理图层与管控虚拟图层的显示系统，其特征在于，所述的管控虚拟图层显示模块具体用于：

将所述管控虚拟图层替换所述管控物理图层的位置进行显示；或

将所述管控虚拟图层显示在一显示屏幕的最前端；或

将所述管控物理图层及管控虚拟图层并排显示在一显示屏幕上。

9.根据权利要求7所述的管控物理图层与管控虚拟图层的显示系统，其特征在于，所述的显示系统还包括：

管控物理图层显示单元，用于根据用户在所述管控虚拟图层的操作显示所述终端对应的所述管控物理图层。

10.根据权利要求9所述的管控物理图层与管控虚拟图层的显示系统，其特征在于，所述的管控物理图层显示单元包括：

终端接收模块，用于通过所述管控虚拟图层接收用户选择查看的所述终端；

管控物理图层调用模块，用于根据所述终端的物理位置调用所述终端对应的所述管控物理图层；

管控物理图层显示模块，用于显示所述的管控物理图层。

11.根据权利要求10所述的管控物理图层与管控虚拟图层的显示系统，其特征在于，所述的管控物理图层显示模块具体用于：

将所述管控物理图层替换所述管控虚拟图层的位置进行显示；或

将所述管控物理图层显示在一显示屏幕的最前端；或

将所述管控物理图层及管控虚拟图层并排显示在一显示屏幕上。

12.根据权利要求7所述的管控物理图层与管控虚拟图层的显示系统，其特征在于，所述的物理位置结构为建筑内部各层的二维平面结构图或建筑内部三维立体结构模型图。