CN109033840A - 一种对计算机终端进行保密检查的方法 - Google Patents

Abstract

本发明涉及信息安全技术领域，公开了一种对计算机终端进行保密检查的方法。通过本发明创造，可提供一种对来自计算机终端的保密检查指标原始数据进行自动化合规性分析，并汇总集成合规性检查结果的保密检查方法，即一方面通过对相应项保密检查指标进行决策式合规性分析，可保障合规性检查结果的灵活性和准确性，另一方面通过集成单个计算机终端的且包含所有项保密检查指标的合规性检查台帐，可保障合规性检查结果的全面性和完整性，从而可利于输出对信息安全管理工作具有指导意义的保密检查结果，进一步提升管理价值。

Description

一种对计算机终端进行保密检查的方法

技术领域

本发明属于信息安全技术领域，具体涉及一种对计算机终端进行保密检查的方法。

背景技术

目前使用较为广泛的安全保密检查工具大多是单机版软件，其利用人工结合工具完成对计算机终端的安全保密检查工作，但是需要花费巨大的人力和物力，效率较低。虽然目前也出现了基于C/S架构并实现分布式安全保密检查的方法或系统，可以对计算机终端进行单一的且在线的安全保密检查工作，即先在计算机终端采集各项保密检查指标的相关数据，然后在服务器侧进行简单数据展示。

但是现有技术中目前还不能进行自动化地合规性分析，并输出对信息安全管理工作具有指导意义的保密检查结果，无法进一步提升管理价值。此外，还存在如下技术缺陷：（1）当计算机终端数目过多时，服务器接收数据的压力较大，数据展示的实时性较差；（2）在终端侧采集数据时，会消耗一定的计算机资源，友好性差，不利于保密检查标准的拓展；（3）在终端侧进行程序功能升级时，需要重新进行安装部署，耗时长和成本高，还要考虑不同计算机终端的软件兼容性。

发明内容

为了解决现有技术存在的上述问题，本发明提供了一种对计算机终端进行保密检查的方法。

本发明所采用的技术方案为：

一种对计算机终端进行保密检查的方法，具体运行步骤如下：

S101.搭建B/S与C/S相结合的架构，在服务器侧安装服务端程序，在计算机终端侧安装客户端程序和多个个用于采集不同保密检查指标原始数据的脚本程序；

S102.由客户端程序在计算机终端侧控制各个脚本程序采集对应的保密检查指标原始数据，然后将包含计算机终端的唯一标识和新采集的保密检查指标原始数据的保密检查数据包上传至服务器；

S103.由服务端程序在服务器侧采用基于消息总线的负载均衡技术接收来自各个计算机终端的保密检查数据包；

S104.针对与所述唯一标识对应的计算机终端，由服务端程序启动预先配置有保密检查指标合规性分析处理方法的决策配置引擎，对新上传的保密检查指标原始数据进行合规性分析，得到相应项保密检查指标的合规性检查结果，并予以存储；

S105.在导入外部预制的数据治理插件后，由服务端程序对计算机终端的所有项保密检查指标的合规性检查结果进行汇总，集成单个计算机终端的且包含所有项保密检查指标的合规性检查台帐。

进一步优化，在所述步骤S102中包括如下步骤：

S201.客户端程序根据来自服务器的上报策略，控制各个脚本程序按照该上报策略采集对应的保密检查指标原始数据，或者客户端程序在发现计算机终端侧生成有一键检查指令时，控制所有脚本程序采集对应的保密检查指标原始数据。

进一步优化，在所述步骤S104之前，还包括如下步骤：

S301.服务端程序在接收到新上传的保密检查数据包后，本地读取计算机终端授权清单，其中，所述计算机终端授权清单包含有授权安装所述客户端程序的计算机终端的唯一标识；

S302.在所述计算机终端授权清单中查找是否存在位于所述保密检查数据包中的唯一标识，若不存在则判定上传所述保密检查数据包的客户端程序为非法安装，并终止执行后续步骤，否则判定上传所述保密检查数据包的客户端程序为合法安装，并许可执行后续步骤。

进一步优化，在所述步骤S104之前，还包括如下步骤：对所述保密检查数据包的上传结果进行异常状态监视，若发现上传异常，则生成报警信号。具体的，所述报警信号包括在发现所述保密检查数据包上传超时而生成的超时报警信号、在发现所述保密检查数据包为空值而生成的空值报警信号和/或在发现所述保密检查数据包为乱码而生成的乱码报警信号。

进一步优化，所述决策配置引擎预先配置有如下任意组合的保密检查指标合规性分析处理方法：

（01）当所述保密检查指标原始数据包含有第一设备用途代码时，将所述第一设备用途代码与本地登记的且与所述唯一标识对应的第二设备用途代码进行对比，若一致则判定设备用途项保密检查指标的合规性检查结果为设备用途与台帐相符，否则判定设备用途项保密检查指标的合规性检查结果为设备用途与台帐不相符；

（02）当所述保密检查指标原始数据包含有第一安装位置字符串时，将所述第一安装位置字符串与本地登记的且与所述唯一标识对应的第二安装位置字符串进行对比，若一致则判定安装位置项保密检查指标的合规性检查结果为安装位置与台帐相符，否则判定安装位置项保密检查指标的合规性检查结果为安装位置与台帐不相符；

（03）当所述保密检查指标原始数据包含有第一MAC地址时，将所述第一MAC地址与本地登记的且与所述唯一标识对应的第二MAC地址进行对比，若一致则判定MAC地址项保密检查指标的合规性检查结果为MAC地址与台帐相符，否则判定MAC地址项保密检查指标的合规性检查结果为MAC地址与台帐不相符；

（04）当所述保密检查指标原始数据包含有第一IP地址时，将所述第一IP地址与本地登记的且与所述唯一标识对应的第二IP地址进行对比，若一致则判定IP地址项保密检查指标的合规性检查结果为IP地址与台帐相符，否则判定IP地址项保密检查指标的合规性检查结果为IP地址与台帐不相符；

（05）当所述保密检查指标原始数据包含有第一硬盘序列号时，将所述第一硬盘序列号与本地登记的且与所述唯一标识对应的第二硬盘序列号进行对比，若一致则判定硬盘项保密检查指标的合规性检查结果为硬盘序列号与台帐相符，否则判定硬盘项保密检查指标的合规性检查结果为硬盘序列号与台帐不相符；

（06）当所述保密检查指标原始数据包含有第一操作系统版本号时，将所述第一操作系统版本号与本地登记的且与所述唯一标识对应的第二操作系统版本号进行对比，若一致则判定操作系统版本项保密检查指标的合规性检查结果为操作系统版本与台帐相符，否则判定操作系统版本项保密检查指标的合规性检查结果为操作系统版本与台帐不相符；

（07）当所述保密检查指标原始数据包含有第一操作系统安装时间时，将所述第一操作系统安装时间与本地登记的且与所述唯一标识对应的第二操作系统安装时间进行对比，若一致则判定操作系统安装时间项保密检查指标的合规性检查结果为操作系统安装时间与台帐相符，否则判定操作系统安装时间项保密检查指标的合规性检查结果为操作系统安装时间与台帐不相符；

（08）当所述保密检查指标原始数据包含有操作系统日志时，将所述操作系统日志与本地登记的且与所述唯一标识对应的操作系统安装日志进行对比，若不一致则判定操作系统日志项保密检查指标的合规性检查结果为操作系统日志完整，否则判定操作系统日志项保密检查指标的合规性检查结果为操作系统日志不完整；

（09）当所述保密检查指标原始数据包含有域用户清单时，将所述域用户清单与本地登记的且与所述唯一标识对应的许可使用人清单进行对比，若不一致则判定域策略项保密检查指标的合规性检查结果为域策略正常，否则判定域策略项保密检查指标的合规性检查结果为域策略不正常；

（10）当所述保密检查指标原始数据包含有软件存放表时，读取在本地登记的且与所述唯一标识对应的三合一软件名称，若在所述软件存放表中查找到关于所述三合一软件名称的软件信息，则判定三合一软件项保密检查指标的合规性检查结果为三合一软件已安装，否则判定三合一软件项保密检查指标的合规性检查结果为三合一软件未安装；

（11）当所述保密检查指标原始数据包含有软件存放表时，读取在本地登记的且与所述唯一标识对应的审计软件名称，若在所述软件存放表中查找到关于所述审计软件名称的软件信息，则判定审计软件项保密检查指标的合规性检查结果为审计软件已安装，否则判定审计软件项保密检查指标的合规性检查结果为审计软件未安装；

（12）当所述保密检查指标原始数据包含有软件存放表时，在所述软件存放表中查找是否存在关于防病毒软件名称的软件信息，若查找到则判定防病毒软件项保密检查指标的合规性检查结果为防病毒软件已安装，否则判定防病毒软件项保密检查指标的合规性检查结果为防病毒软件未安装；

（13）当所述保密检查指标原始数据包含有运行进程表时，在所述运行进程表中查找是否存关于防病毒软件名称的进程信息，若查找到则判定防病毒软件实时监控项保密检查指标的合规性检查结果为防病毒软件已运行，否则判定防病毒软件实时监控项保密检查指标的合规性检查结果为防病毒软件未运行；

（14）当所述保密检查指标原始数据包含有防病毒软件的病毒库版本号时，获取对应防病毒软件的最新病毒库版本号，然后将所述病毒库版本号与所述最新病毒库版本号进行对比，若一致则判定病毒库更新监控项保密检查指标的合规性检查结果为防病毒软件病毒库为最新病毒库，否则判定病毒库更新监控项保密检查指标的合规性检查结果为防病毒软件病毒库为非最新病毒库；

（15）当所述保密检查指标原始数据包含有操作系统补丁更新时间时，将所述操作系统补丁更新时间与本地登记的且与所述唯一标识对应的操作系统补丁最新更新时间进行对比，若一致则判定补丁监控项保密检查指标的合规性检查结果为最新操作系统补丁已安装，否则判定补丁监控项保密检查指标的合规性检查结果为最新操作系统补丁未安装。

进一步优化，所述合规性检查结果包括对应单个计算机终端及单项保密检查指标的最新合规性检查结果和/或历史合规性检查结果。

进一步优化，在所述步骤S105中还包括如下步骤：计算出单个计算机终端的合规性检查总分值和/或合规性检查进度值。

进一步优化，在所述步骤S105之后还包括如下步骤：

S106.向服务器发送保密检查结果查询请求消息，其中，所述保密检查结果查询请求消息包含待查计算机终端的唯一标识；

S107.由服务端程序根据所述待查计算机终端的唯一标识查找对应的最新合规性检查台帐，并反馈该合规性检查台帐。

本发明的有益效果为：

1.本发明提供了一种可对来自计算机终端的保密检查指标原始数据进行自动化合规性分析，并汇总集成合规性检查结果的保密检查方法，即一方面通过对相应项保密检查指标进行决策式合规性分析，可保障合规性检查结果的灵活性和准确性，另一方面通过集成单个计算机终端的且包含所有项保密检查指标的合规性检查台帐，可保障合规性检查结果的全面性和完整性，从而可利于输出对信息安全管理工作具有指导意义的保密检查结果，进一步提升管理价值。

2.本发明通过在计算机终端侧对用于采集数据的程序进行脚本式管理，可以保障采集数据的可配置性和可扩展性，利于对采集功能进行快速且低成本地升级，同时还可以降低采集数据时的计算机资源，利于兼容不同系统的计算机终端。

3.本发明通过采用基于消息总线的负载均衡技术来接收各个计算机终端的上传数据，可以大大减轻服务器侧接收数据的压力，提升后续合规性分析的实时性。

4.本发明可以实现在终端侧由用户启动自助式一键检查的目的，提升保密检查的参与性和实时性。

5,本发明所述保密检查方法还具有终端校验、数据上传监控报警和自由查询最新合规性检查结果等优点，便于实际推广和应用。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明实施例的一种，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明提供的对计算机终端进行保密检查的方法流程示意图。

具体实施方式

下面结合附图及具体实施例对本发明作进一步阐述。在此需要说明的是，对于这些实施例方式的说明用于帮助理解本发明，但并不构成对本发明的限定。

本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，单独存在B，同时存在A和B三种情况，本文中术语“/和”是描述另一种关联对象关系，表示可以存在两种关系，例如，A/和B，可以表示：单独存在A，单独存在A和B两种情况，另外，本文中字符“/”，一般表示前后关联对象是一种“或”关系。

实施例1

一种对计算机终端进行保密检查的方法，具体运行步骤如下：

S101.搭建B/S与C/S相结合的架构，在服务器侧安装服务端程序，在计算机终端侧安装客户端程序和多个个用于采集不同保密检查指标原始数据的脚本程序；

S102.由客户端程序在计算机终端侧控制各个脚本程序采集对应的保密检查指标原始数据，然后将包含计算机终端的唯一标识和新采集的保密检查指标原始数据的保密检查数据包上传至服务器；

S103.由服务端程序在服务器侧采用基于消息总线的负载均衡技术接收来自各个计算机终端的保密检查数据包；

S104.针对与所述唯一标识对应的计算机终端，由服务端程序启动预先配置有保密检查指标合规性分析处理方法的决策配置引擎，对新上传的保密检查指标原始数据进行合规性分析，得到相应项保密检查指标的合规性检查结果，并予以存储；

S105.在导入外部预制的数据治理插件后，由服务端程序对计算机终端的所有项保密检查指标的合规性检查结果进行汇总，集成单个计算机终端的且包含所有项保密检查指标的合规性检查台帐。

进一步优化，在所述步骤S102中包括如下步骤：

S201.客户端程序根据来自服务器的上报策略，控制各个脚本程序按照该上报策略采集对应的保密检查指标原始数据，或者客户端程序在发现计算机终端侧生成有一键检查指令时，控制所有脚本程序采集对应的保密检查指标原始数据。

进一步优化，在所述步骤S104之前，还包括如下步骤：

S301.服务端程序在接收到新上传的保密检查数据包后，本地读取计算机终端授权清单，其中，所述计算机终端授权清单包含有授权安装所述客户端程序的计算机终端的唯一标识；

S302.在所述计算机终端授权清单中查找是否存在位于所述保密检查数据包中的唯一标识，若不存在则判定上传所述保密检查数据包的客户端程序为非法安装，并终止执行后续步骤，否则判定上传所述保密检查数据包的客户端程序为合法安装，并许可执行后续步骤。

进一步优化，在所述步骤S104之前，还包括如下步骤：对所述保密检查数据包的上传结果进行异常状态监视，若发现上传异常，则生成报警信号。具体的，所述报警信号包括在发现所述保密检查数据包上传超时而生成的超时报警信号、在发现所述保密检查数据包为空值而生成的空值报警信号和/或在发现所述保密检查数据包为乱码而生成的乱码报警信号。

进一步优化，所述决策配置引擎预先配置有如下任意组合的保密检查指标合规性分析处理方法：

（01）当所述保密检查指标原始数据包含有第一设备用途代码时，将所述第一设备用途代码与本地登记的且与所述唯一标识对应的第二设备用途代码进行对比，若一致则判定设备用途项保密检查指标的合规性检查结果为设备用途与台帐相符，否则判定设备用途项保密检查指标的合规性检查结果为设备用途与台帐不相符；

（02）当所述保密检查指标原始数据包含有第一安装位置字符串时，将所述第一安装位置字符串与本地登记的且与所述唯一标识对应的第二安装位置字符串进行对比，若一致则判定安装位置项保密检查指标的合规性检查结果为安装位置与台帐相符，否则判定安装位置项保密检查指标的合规性检查结果为安装位置与台帐不相符；

（03）当所述保密检查指标原始数据包含有第一MAC地址时，将所述第一MAC地址与本地登记的且与所述唯一标识对应的第二MAC地址进行对比，若一致则判定MAC地址项保密检查指标的合规性检查结果为MAC地址与台帐相符，否则判定MAC地址项保密检查指标的合规性检查结果为MAC地址与台帐不相符；

（04）当所述保密检查指标原始数据包含有第一IP地址时，将所述第一IP地址与本地登记的且与所述唯一标识对应的第二IP地址进行对比，若一致则判定IP地址项保密检查指标的合规性检查结果为IP地址与台帐相符，否则判定IP地址项保密检查指标的合规性检查结果为IP地址与台帐不相符；

（05）当所述保密检查指标原始数据包含有第一硬盘序列号时，将所述第一硬盘序列号与本地登记的且与所述唯一标识对应的第二硬盘序列号进行对比，若一致则判定硬盘项保密检查指标的合规性检查结果为硬盘序列号与台帐相符，否则判定硬盘项保密检查指标的合规性检查结果为硬盘序列号与台帐不相符；

（06）当所述保密检查指标原始数据包含有第一操作系统版本号时，将所述第一操作系统版本号与本地登记的且与所述唯一标识对应的第二操作系统版本号进行对比，若一致则判定操作系统版本项保密检查指标的合规性检查结果为操作系统版本与台帐相符，否则判定操作系统版本项保密检查指标的合规性检查结果为操作系统版本与台帐不相符；

（07）当所述保密检查指标原始数据包含有第一操作系统安装时间时，将所述第一操作系统安装时间与本地登记的且与所述唯一标识对应的第二操作系统安装时间进行对比，若一致则判定操作系统安装时间项保密检查指标的合规性检查结果为操作系统安装时间与台帐相符，否则判定操作系统安装时间项保密检查指标的合规性检查结果为操作系统安装时间与台帐不相符；

（08）当所述保密检查指标原始数据包含有操作系统日志时，将所述操作系统日志与本地登记的且与所述唯一标识对应的操作系统安装日志进行对比，若不一致则判定操作系统日志项保密检查指标的合规性检查结果为操作系统日志完整，否则判定操作系统日志项保密检查指标的合规性检查结果为操作系统日志不完整；

（09）当所述保密检查指标原始数据包含有域用户清单时，将所述域用户清单与本地登记的且与所述唯一标识对应的许可使用人清单进行对比，若不一致则判定域策略项保密检查指标的合规性检查结果为域策略正常，否则判定域策略项保密检查指标的合规性检查结果为域策略不正常；

（10）当所述保密检查指标原始数据包含有软件存放表时，读取在本地登记的且与所述唯一标识对应的三合一软件名称，若在所述软件存放表中查找到关于所述三合一软件名称的软件信息，则判定三合一软件项保密检查指标的合规性检查结果为三合一软件已安装，否则判定三合一软件项保密检查指标的合规性检查结果为三合一软件未安装；

（11）当所述保密检查指标原始数据包含有软件存放表时，读取在本地登记的且与所述唯一标识对应的审计软件名称，若在所述软件存放表中查找到关于所述审计软件名称的软件信息，则判定审计软件项保密检查指标的合规性检查结果为审计软件已安装，否则判定审计软件项保密检查指标的合规性检查结果为审计软件未安装；

（12）当所述保密检查指标原始数据包含有软件存放表时，在所述软件存放表中查找是否存在关于防病毒软件名称的软件信息，若查找到则判定防病毒软件项保密检查指标的合规性检查结果为防病毒软件已安装，否则判定防病毒软件项保密检查指标的合规性检查结果为防病毒软件未安装；

（13）当所述保密检查指标原始数据包含有运行进程表时，在所述运行进程表中查找是否存关于防病毒软件名称的进程信息，若查找到则判定防病毒软件实时监控项保密检查指标的合规性检查结果为防病毒软件已运行，否则判定防病毒软件实时监控项保密检查指标的合规性检查结果为防病毒软件未运行；

（14）当所述保密检查指标原始数据包含有防病毒软件的病毒库版本号时，获取对应防病毒软件的最新病毒库版本号，然后将所述病毒库版本号与所述最新病毒库版本号进行对比，若一致则判定病毒库更新监控项保密检查指标的合规性检查结果为防病毒软件病毒库为最新病毒库，否则判定病毒库更新监控项保密检查指标的合规性检查结果为防病毒软件病毒库为非最新病毒库；

（15）当所述保密检查指标原始数据包含有操作系统补丁更新时间时，将所述操作系统补丁更新时间与本地登记的且与所述唯一标识对应的操作系统补丁最新更新时间进行对比，若一致则判定补丁监控项保密检查指标的合规性检查结果为最新操作系统补丁已安装，否则判定补丁监控项保密检查指标的合规性检查结果为最新操作系统补丁未安装。

进一步优化，所述合规性检查结果包括对应单个计算机终端及单项保密检查指标的最新合规性检查结果和/或历史合规性检查结果。

进一步优化，在所述步骤S105中还包括如下步骤：计算出单个计算机终端的合规性检查总分值和/或合规性检查进度值。

进一步优化，在所述步骤S105之后还包括如下步骤：

S106.向服务器发送保密检查结果查询请求消息，其中，所述保密检查结果查询请求消息包含待查计算机终端的唯一标识；

S107.由服务端程序根据所述待查计算机终端的唯一标识查找对应的最新合规性检查台帐，并反馈该合规性检查台帐。

本发明的有益效果为：

1.本发明提供了一种可对来自计算机终端的保密检查指标原始数据进行自动化合规性分析，并汇总集成合规性检查结果的保密检查方法，即一方面通过对相应项保密检查指标进行决策式合规性分析，可保障合规性检查结果的灵活性和准确性，另一方面通过集成单个计算机终端的且包含所有项保密检查指标的合规性检查台帐，可保障合规性检查结果的全面性和完整性，从而可利于输出对信息安全管理工作具有指导意义的保密检查结果，进一步提升管理价值。

2.本发明通过在计算机终端侧对用于采集数据的程序进行脚本式管理，可以保障采集数据的可配置性和可扩展性，利于对采集功能进行快速且低成本地升级，同时还可以降低采集数据时的计算机资源，利于兼容不同系统的计算机终端。

3.本发明通过采用基于消息总线的负载均衡技术来接收各个计算机终端的上传数据，可以大大减轻服务器侧接收数据的压力，提升后续合规性分析的实时性。

4.本发明可以实现在终端侧由用户启动自助式一键检查的目的，提升保密检查的参与性和实时性。

5,本发明所述保密检查方法还具有终端校验、数据上传监控报警和自由查询最新合规性检查结果等优点，便于实际推广和应用。

实施例2

如图1所示，本实施例提供的所述对计算机终端进行保密检查的方法，包括如下步骤。

S101.搭建B/S与C/S相结合的架构，在服务器侧安装服务端程序，在计算机终端侧安装客户端程序和多个个用于采集不同保密检查指标原始数据的脚本程序。

在所述步骤S101中，所述B/S是指客户端/服务器，所述C/S是指浏览器/服务器，所述保密检查指标原始数据可以但不限于包括计算机终端的设备用途代码、安装位置字符串、MAC地址、IP地址、硬盘序列号、操作系统版本号、操作系统安装时间、操作系统日志、域用户清单、软件存放表、运行进程表、防病毒软件的病毒库版本号和操作系统补丁更新时间等。

S102.由客户端程序在计算机终端侧控制各个脚本程序采集对应的保密检查指标原始数据，然后将包含计算机终端的唯一标识和新采集的保密检查指标原始数据的保密检查数据包上传至服务器。

在所述步骤S102中，优化的，包括如下步骤：S201.客户端程序根据来自服务器的上报策略，控制各个脚本程序按照该上报策略采集对应的保密检查指标原始数据，或者客户端程序在发现计算机终端侧生成有一键检查指令时，控制所有脚本程序采集对应的保密检查指标原始数据。其中，所述上报策略可以由在服务器侧的管理者通过手动输入方式进行设置生成，例如在每日中设定一个固定时间来要求客户端程序上报指定保密检查指标的原始数据；而所述一键检查指令可由在终端侧的用户手动触发生成，以提升保密检查的参与性和实时性。

S103.由服务端程序在服务器侧采用基于消息总线的负载均衡技术接收来自各个计算机终端的保密检查数据包。

在所述步骤S103中，所述基于消息总线的负载均衡技术为现有技术，可以但不限于通过对在公开论文《基于消息总线的智能负载均衡技术的研究与实现》中所提到的方法进行常规性设计实现。

S104.针对与所述唯一标识对应的计算机终端，由服务端程序启动预先配置有保密检查指标合规性分析处理方法的决策配置引擎，对新上传的保密检查指标原始数据进行合规性分析，得到相应项保密检查指标的合规性检查结果，并予以存储。

在所述步骤S104之前，为了实现终端校验和减少服务器侧数据处理量的目的，还包括如下步骤： S301.服务端程序在接收到新上传的保密检查数据包后，本地读取计算机终端授权清单，其中，所述计算机终端授权清单包含有授权安装所述客户端程序的计算机终端的唯一标识； S302.在所述计算机终端授权清单中查找是否存在位于所述保密检查数据包中的唯一标识，若不存在则判定上传所述保密检查数据包的客户端程序为非法安装，并终止执行后续步骤，否则判定上传所述保密检查数据包的客户端程序为合法安装，并许可执行后续步骤。

在所述步骤S104之前，为了实现数据上传监控报警目的，还包括如下步骤：对所述保密检查数据包的上传结果进行异常状态监视，若发现上传异常，则生成报警信号。具体的，所述报警信号包括在发现所述保密检查数据包上传超时而生成的超时报警信号、在发现所述保密检查数据包为空值而生成的空值报警信号和/或在发现所述保密检查数据包为乱码而生成的乱码报警信号。由此可以使服务器侧的管理者及时发现数据上传问题。

在所述步骤S104中，具体的，所述合规性检查结果包括对应单个计算机终端及单项保密检查指标的最新合规性检查结果和/或历史合规性检查结果。同时，所述决策配置引擎为配置有具体保密检查指标合规性分析处理方法的决策引擎，以便对相应项保密检查指标进行决策式合规性分析，其可以但不限于预先配置有如下任意组合的保密检查指标合规性分析处理方法。

（01）当所述保密检查指标原始数据包含有第一设备用途代码时，将所述第一设备用途代码与本地登记的且与所述唯一标识对应的第二设备用途代码进行对比，若一致则判定设备用途项保密检查指标的合规性检查结果为设备用途与台帐相符，否则判定设备用途项保密检查指标的合规性检查结果为设备用途与台帐不相符。

（02）当所述保密检查指标原始数据包含有第一安装位置字符串时，将所述第一安装位置字符串与本地登记的且与所述唯一标识对应的第二安装位置字符串进行对比，若一致则判定安装位置项保密检查指标的合规性检查结果为安装位置与台帐相符，否则判定安装位置项保密检查指标的合规性检查结果为安装位置与台帐不相符。

（03）当所述保密检查指标原始数据包含有第一MAC地址时，将所述第一MAC地址与本地登记的且与所述唯一标识对应的第二MAC地址进行对比，若一致则判定MAC地址项保密检查指标的合规性检查结果为MAC地址与台帐相符，否则判定MAC地址项保密检查指标的合规性检查结果为MAC地址与台帐不相符。

（04）当所述保密检查指标原始数据包含有第一IP地址时，将所述第一IP地址与本地登记的且与所述唯一标识对应的第二IP地址进行对比，若一致则判定IP地址项保密检查指标的合规性检查结果为IP地址与台帐相符，否则判定IP地址项保密检查指标的合规性检查结果为IP地址与台帐不相符。

（05）当所述保密检查指标原始数据包含有第一硬盘序列号时，将所述第一硬盘序列号与本地登记的且与所述唯一标识对应的第二硬盘序列号进行对比，若一致则判定硬盘项保密检查指标的合规性检查结果为硬盘序列号与台帐相符，否则判定硬盘项保密检查指标的合规性检查结果为硬盘序列号与台帐不相符。

（06）当所述保密检查指标原始数据包含有第一操作系统版本号时，将所述第一操作系统版本号与本地登记的且与所述唯一标识对应的第二操作系统版本号进行对比，若一致则判定操作系统版本项保密检查指标的合规性检查结果为操作系统版本与台帐相符，否则判定操作系统版本项保密检查指标的合规性检查结果为操作系统版本与台帐不相符。

（07）当所述保密检查指标原始数据包含有第一操作系统安装时间时，将所述第一操作系统安装时间与本地登记的且与所述唯一标识对应的第二操作系统安装时间进行对比，若一致则判定操作系统安装时间项保密检查指标的合规性检查结果为操作系统安装时间与台帐相符，否则判定操作系统安装时间项保密检查指标的合规性检查结果为操作系统安装时间与台帐不相符。

（08）当所述保密检查指标原始数据包含有操作系统日志时，将所述操作系统日志与本地登记的且与所述唯一标识对应的操作系统安装日志进行对比，若不一致则判定操作系统日志项保密检查指标的合规性检查结果为操作系统日志完整，否则判定操作系统日志项保密检查指标的合规性检查结果为操作系统日志不完整。

（09）当所述保密检查指标原始数据包含有域用户清单时，将所述域用户清单与本地登记的且与所述唯一标识对应的许可使用人清单进行对比，若不一致则判定域策略项保密检查指标的合规性检查结果为域策略正常，否则判定域策略项保密检查指标的合规性检查结果为域策略不正常。

（10）当所述保密检查指标原始数据包含有软件存放表时，读取在本地登记的且与所述唯一标识对应的三合一软件名称，若在所述软件存放表中查找到关于所述三合一软件名称的软件信息，则判定三合一软件项保密检查指标的合规性检查结果为三合一软件已安装，否则判定三合一软件项保密检查指标的合规性检查结果为三合一软件未安装。

（11）当所述保密检查指标原始数据包含有软件存放表时，读取在本地登记的且与所述唯一标识对应的审计软件名称，若在所述软件存放表中查找到关于所述审计软件名称的软件信息，则判定审计软件项保密检查指标的合规性检查结果为审计软件已安装，否则判定审计软件项保密检查指标的合规性检查结果为审计软件未安装。

（12）当所述保密检查指标原始数据包含有软件存放表时，在所述软件存放表中查找是否存在关于防病毒软件名称的软件信息，若查找到则判定防病毒软件项保密检查指标的合规性检查结果为防病毒软件已安装，否则判定防病毒软件项保密检查指标的合规性检查结果为防病毒软件未安装。

（13）当所述保密检查指标原始数据包含有运行进程表时，在所述运行进程表中查找是否存关于防病毒软件名称的进程信息，若查找到则判定防病毒软件实时监控项保密检查指标的合规性检查结果为防病毒软件已运行，否则判定防病毒软件实时监控项保密检查指标的合规性检查结果为防病毒软件未运行。

（14）当所述保密检查指标原始数据包含有防病毒软件的病毒库版本号时，获取对应防病毒软件的最新病毒库版本号，然后将所述病毒库版本号与所述最新病毒库版本号进行对比，若一致则判定病毒库更新监控项保密检查指标的合规性检查结果为防病毒软件病毒库为最新病毒库，否则判定病毒库更新监控项保密检查指标的合规性检查结果为防病毒软件病毒库为非最新病毒库。

（15）当所述保密检查指标原始数据包含有操作系统补丁更新时间时，将所述操作系统补丁更新时间与本地登记的且与所述唯一标识对应的操作系统补丁最新更新时间进行对比，若一致则判定补丁监控项保密检查指标的合规性检查结果为最新操作系统补丁已安装，否则判定补丁监控项保密检查指标的合规性检查结果为最新操作系统补丁未安装。

上述由（01）～（15）所示的保密检查指标合规性分析处理方法可以根据安全管理需求进行自由组合配置，并可以将各项对比结果进行输出展示或发送给二级管理员进行人工确认。

S105.在导入外部预制的数据治理插件后，由服务端程序对计算机终端的所有项保密检查指标的合规性检查结果进行汇总，集成单个计算机终端的且包含所有项保密检查指标的合规性检查台帐。

在所述步骤S105中，所述数据治理插件为管理员根据信息安全管理需求而设定的数据治理策略，服务端程序将按照该数据治理策略对计算机终端的所有项保密检查指标的合规性检查结果进行汇总和集成，得到需要的且可对信息安全管理工作具有指导意义的保密检查结果。此外，在所述步骤S105中还包括如下步骤：计算出单个计算机终端的合规性检查总分值和/或合规性检查进度值。其中，所述合规性检查总分值可为已合规保密检查指标的权重分（可设定每项保密检查指标在合格时，取得固定值的权重分，而在不合格时，取得零值的权重分）之和；所述合规性检查进度值可为已进行保密检查指标数占总保密检查指标数的百分比值，例如当发现对10个保密检查指标进行了合规性检查，而总保密检查指标数为16个，则对应的合规性检查进度值为62.5%。

在所述步骤S105之后，为了自由查询最新合规性检查结果，还包括如下步骤：S106.向服务器发送保密检查结果查询请求消息，其中，所述保密检查结果查询请求消息包含待查计算机终端的唯一标识；S107.由服务端程序根据所述待查计算机终端的唯一标识查找对应的最新合规性检查台帐，并反馈该合规性检查台帐。在所述步骤S106中，发起查询请求消息的设备可以但不限于为所述计算机设备，还可以是能够网络访问所述服务器的其他终端设备，例如不需要进行保密检查的智能手机或平板电脑等。

综上，采用本实施例所提供的对计算机终端进行保密检查的方法，具有如下技术效果：

（1）本实施例提供了一种可对来自计算机终端的保密检查指标原始数据进行自动化合规性分析，并汇总集成合规性检查结果的保密检查方法，即一方面通过对相应项保密检查指标进行决策式合规性分析，可保障合规性检查结果的灵活性和准确性，另一方面通过集成单个计算机终端的且包含所有项保密检查指标的合规性检查台帐，可保障合规性检查结果的全面性和完整性，从而可利于输出对信息安全管理工作具有指导意义的保密检查结果，进一步提升管理价值；

（2）通过在计算机终端侧对用于采集数据的程序进行脚本式管理，可以保障采集数据的可配置性和可扩展性，利于对采集功能进行快速且低成本地升级，同时还可以降低采集数据时的计算机资源，利于兼容不同系统的计算机终端；

（3）通过采用基于消息总线的负载均衡技术来接收各个计算机终端的上传数据，可以大大减轻服务器侧接收数据的压力，提升后续合规性分析的实时性；

（4）可以实现在终端侧由用户启动自助式一键检查的目的，提升保密检查的参与性和实时性；

（5）所述保密检查方法还具有终端校验、数据上传监控报警和自由查询最新合规性检查结果等优点，便于实际推广和应用。

本发明的有益效果为：

1.本发明提供了一种可对来自计算机终端的保密检查指标原始数据进行自动化合规性分析，并汇总集成合规性检查结果的保密检查方法，即一方面通过对相应项保密检查指标进行决策式合规性分析，可保障合规性检查结果的灵活性和准确性，另一方面通过集成单个计算机终端的且包含所有项保密检查指标的合规性检查台帐，可保障合规性检查结果的全面性和完整性，从而可利于输出对信息安全管理工作具有指导意义的保密检查结果，进一步提升管理价值。

2.本发明通过在计算机终端侧对用于采集数据的程序进行脚本式管理，可以保障采集数据的可配置性和可扩展性，利于对采集功能进行快速且低成本地升级，同时还可以降低采集数据时的计算机资源，利于兼容不同系统的计算机终端。

3.本发明通过采用基于消息总线的负载均衡技术来接收各个计算机终端的上传数据，可以大大减轻服务器侧接收数据的压力，提升后续合规性分析的实时性。

4.本发明可以实现在终端侧由用户启动自助式一键检查的目的，提升保密检查的参与性和实时性。

5,本发明所述保密检查方法还具有终端校验、数据上传监控报警和自由查询最新合规性检查结果等优点，便于实际推广和应用。

本发明不局限于上述可选的实施方式，任何人在本发明的启示下都可得出其他各种形式的产品。上述具体实施方式不应理解成对本发明的保护范围的限制，本发明的保护范围应当以权利要求书中界定的为准，并且说明书可以用于解释权利要求书。

Claims (9)

1.一种对计算机终端进行保密检查的方法，其特征在于，包括如下步骤：

S101.搭建B/S与C/S相结合的架构，在服务器侧安装服务端程序，在计算机终端侧安装客户端程序和多个个用于采集不同保密检查指标原始数据的脚本程序；

S102.由客户端程序在计算机终端侧控制各个脚本程序采集对应的保密检查指标原始数据，然后将包含计算机终端的唯一标识和新采集的保密检查指标原始数据的保密检查数据包上传至服务器；

S103.由服务端程序在服务器侧采用基于消息总线的负载均衡技术接收来自各个计算机终端的保密检查数据包；

S104.针对与所述唯一标识对应的计算机终端，由服务端程序启动预先配置有保密检查指标合规性分析处理方法的决策配置引擎，对新上传的保密检查指标原始数据进行合规性分析，得到相应项保密检查指标的合规性检查结果，并予以存储；

S105.在导入外部预制的数据治理插件后，由服务端程序对计算机终端的所有项保密检查指标的合规性检查结果进行汇总，集成单个计算机终端的且包含所有项保密检查指标的合规性检查台帐。

2.根据权利要求1所述的一种对计算机终端进行保密检查的方法，其特征在于，在所述步骤S102中包括如下步骤：

S201.客户端程序根据来自服务器的上报策略，控制各个脚本程序按照该上报策略采集对应的保密检查指标原始数据，或者客户端程序在发现计算机终端侧生成有一键检查指令时，控制所有脚本程序采集对应的保密检查指标原始数据。

3.根据权利要求1所述的一种对计算机终端进行保密检查的方法，其特征在于，在所述步骤S104之前，还包括如下步骤：

S301.服务端程序在接收到新上传的保密检查数据包后，本地读取计算机终端授权清单，其中，所述计算机终端授权清单包含有授权安装所述客户端程序的计算机终端的唯一标识；

S302.在所述计算机终端授权清单中查找是否存在位于所述保密检查数据包中的唯一标识，若不存在则判定上传所述保密检查数据包的客户端程序为非法安装，并终止执行后续步骤，否则判定上传所述保密检查数据包的客户端程序为合法安装，并许可执行后续步骤。

4.根据权利要求1所述的一种对计算机终端进行保密检查的方法，其特征在于，在所述步骤S104之前，还包括如下步骤：对所述保密检查数据包的上传结果进行异常状态监视，若发现上传异常，则生成报警信号。

5.根据权利要求4所述的一种对计算机终端进行保密检查的方法，其特征在于，所述报警信号包括在发现所述保密检查数据包上传超时而生成的超时报警信号、在发现所述保密检查数据包为空值而生成的空值报警信号和/或在发现所述保密检查数据包为乱码而生成的乱码报警信号。

6.根据权利要求1所述的一种对计算机终端进行保密检查的方法，其特征在于，所述决策配置引擎预先配置有如下任意组合的保密检查指标合规性分析处理方法：

（01）当所述保密检查指标原始数据包含有第一设备用途代码时，将所述第一设备用途代码与本地登记的且与所述唯一标识对应的第二设备用途代码进行对比，若一致则判定设备用途项保密检查指标的合规性检查结果为设备用途与台帐相符，否则判定设备用途项保密检查指标的合规性检查结果为设备用途与台帐不相符；

（02）当所述保密检查指标原始数据包含有第一安装位置字符串时，将所述第一安装位置字符串与本地登记的且与所述唯一标识对应的第二安装位置字符串进行对比，若一致则判定安装位置项保密检查指标的合规性检查结果为安装位置与台帐相符，否则判定安装位置项保密检查指标的合规性检查结果为安装位置与台帐不相符；

（03）当所述保密检查指标原始数据包含有第一MAC地址时，将所述第一MAC地址与本地登记的且与所述唯一标识对应的第二MAC地址进行对比，若一致则判定MAC地址项保密检查指标的合规性检查结果为MAC地址与台帐相符，否则判定MAC地址项保密检查指标的合规性检查结果为MAC地址与台帐不相符；

（04）当所述保密检查指标原始数据包含有第一IP地址时，将所述第一IP地址与本地登记的且与所述唯一标识对应的第二IP地址进行对比，若一致则判定IP地址项保密检查指标的合规性检查结果为IP地址与台帐相符，否则判定IP地址项保密检查指标的合规性检查结果为IP地址与台帐不相符；

（05）当所述保密检查指标原始数据包含有第一硬盘序列号时，将所述第一硬盘序列号与本地登记的且与所述唯一标识对应的第二硬盘序列号进行对比，若一致则判定硬盘项保密检查指标的合规性检查结果为硬盘序列号与台帐相符，否则判定硬盘项保密检查指标的合规性检查结果为硬盘序列号与台帐不相符；

（06）当所述保密检查指标原始数据包含有第一操作系统版本号时，将所述第一操作系统版本号与本地登记的且与所述唯一标识对应的第二操作系统版本号进行对比，若一致则判定操作系统版本项保密检查指标的合规性检查结果为操作系统版本与台帐相符，否则判定操作系统版本项保密检查指标的合规性检查结果为操作系统版本与台帐不相符；

（07）当所述保密检查指标原始数据包含有第一操作系统安装时间时，将所述第一操作系统安装时间与本地登记的且与所述唯一标识对应的第二操作系统安装时间进行对比，若一致则判定操作系统安装时间项保密检查指标的合规性检查结果为操作系统安装时间与台帐相符，否则判定操作系统安装时间项保密检查指标的合规性检查结果为操作系统安装时间与台帐不相符；

（08）当所述保密检查指标原始数据包含有操作系统日志时，将所述操作系统日志与本地登记的且与所述唯一标识对应的操作系统安装日志进行对比，若不一致则判定操作系统日志项保密检查指标的合规性检查结果为操作系统日志完整，否则判定操作系统日志项保密检查指标的合规性检查结果为操作系统日志不完整；

（09）当所述保密检查指标原始数据包含有域用户清单时，将所述域用户清单与本地登记的且与所述唯一标识对应的许可使用人清单进行对比，若不一致则判定域策略项保密检查指标的合规性检查结果为域策略正常，否则判定域策略项保密检查指标的合规性检查结果为域策略不正常；

（10）当所述保密检查指标原始数据包含有软件存放表时，读取在本地登记的且与所述唯一标识对应的三合一软件名称，若在所述软件存放表中查找到关于所述三合一软件名称的软件信息，则判定三合一软件项保密检查指标的合规性检查结果为三合一软件已安装，否则判定三合一软件项保密检查指标的合规性检查结果为三合一软件未安装；

（11）当所述保密检查指标原始数据包含有软件存放表时，读取在本地登记的且与所述唯一标识对应的审计软件名称，若在所述软件存放表中查找到关于所述审计软件名称的软件信息，则判定审计软件项保密检查指标的合规性检查结果为审计软件已安装，否则判定审计软件项保密检查指标的合规性检查结果为审计软件未安装；

（12）当所述保密检查指标原始数据包含有软件存放表时，在所述软件存放表中查找是否存在关于防病毒软件名称的软件信息，若查找到则判定防病毒软件项保密检查指标的合规性检查结果为防病毒软件已安装，否则判定防病毒软件项保密检查指标的合规性检查结果为防病毒软件未安装；

（13）当所述保密检查指标原始数据包含有运行进程表时，在所述运行进程表中查找是否存关于防病毒软件名称的进程信息，若查找到则判定防病毒软件实时监控项保密检查指标的合规性检查结果为防病毒软件已运行，否则判定防病毒软件实时监控项保密检查指标的合规性检查结果为防病毒软件未运行；

（14）当所述保密检查指标原始数据包含有防病毒软件的病毒库版本号时，获取对应防病毒软件的最新病毒库版本号，然后将所述病毒库版本号与所述最新病毒库版本号进行对比，若一致则判定病毒库更新监控项保密检查指标的合规性检查结果为防病毒软件病毒库为最新病毒库，否则判定病毒库更新监控项保密检查指标的合规性检查结果为防病毒软件病毒库为非最新病毒库；

（15）当所述保密检查指标原始数据包含有操作系统补丁更新时间时，将所述操作系统补丁更新时间与本地登记的且与所述唯一标识对应的操作系统补丁最新更新时间进行对比，若一致则判定补丁监控项保密检查指标的合规性检查结果为最新操作系统补丁已安装，否则判定补丁监控项保密检查指标的合规性检查结果为最新操作系统补丁未安装。

7.根据权利要求1所述的一种对计算机终端进行保密检查的方法，其特征在于，所述合规性检查结果包括对应单个计算机终端及单项保密检查指标的最新合规性检查结果和/或历史合规性检查结果。

8.根据权利要求1所述的一种对计算机终端进行保密检查的方法，其特征在于，在所述步骤S105中还包括如下步骤：计算出单个计算机终端的合规性检查总分值和/或合规性检查进度值。

9.根据权利要求1所述的一种对计算机终端进行保密检查的方法，其特征在于，在所述步骤S105之后还包括如下步骤：

S106.向服务器发送保密检查结果查询请求消息，其中，所述保密检查结果查询请求消息包含待查计算机终端的唯一标识；

S107.由服务端程序根据所述待查计算机终端的唯一标识查找对应的最新合规性检查台帐，并反馈该合规性检查台帐。