CN109639630A - 一种终端端口管控系统及管控方法 - Google Patents

Abstract

本发明提供了一种终端端口的管控系统及管控方法，所述系统包括：远程扫描模块，用于定期通过网络扫描各终端的端口，获取与所述终端IP关联的第一端口信息；终端采集控制模块，用于定期向各在线的终端下发端口信息采集脚本，以及信息回传程序；终端信息接收模块，用于接收各终端通过信息采集脚本采集的并以所述信息回传程序发送的与所述终端IP关联的第二端口信息；端口判断模块，用于根据预先设定的高危端口信息列表，从所述第一端口信息、所述第二端口信息中确定出高危端口信息；安全处理模块，用于针对所述高危端口进行安全处理。本发明能够快速获取大量的端口信息，通过扫描与采集两种方式互为补充，快速获取网络内众多的端口信息。

Description

一种终端端口管控系统及管控方法

技术领域

本发明涉及软件技术领域，尤其涉及一种终端端口管控系统及管控方法。

背景技术

随着信息网络资产的增加，系统的全覆盖建设，信息系统端口数量增多，端口暴露更大，为信息网络安全带来一定安全隐患。需要对端口管理非常重视，按将暴露面控制到最低，做好端口的安全防护。

传统的计算机终端端口管控方法其缺点是：

(1)、逐个主机进行察看端口，然后进行相应的端口关闭手动操作，这种方法非常耗时，而且很多端口也无法关闭，也需要非常专业的人才能操作；

(2)、逐个主机启用windows防火墙，进行策略限制，但因为有些端口也不能关闭，导致操作麻烦，也需要非常专业的人才能操作，而且非常耗时。

发明内容

本发明提供一种终端端口管控系统，包括服务器和至少一个终端，所述服务器包括：

远程扫描模块，用于定期通过网络扫描各终端的端口，获取与所述终端IP关联的第一端口信息；

终端采集控制模块，用于定期向各在线的终端下发端口信息采集脚本，以及信息回传程序；

终端信息接收模块，用于接收各终端通过信息采集脚本采集的并以所述信息回传程序发送的与所述终端IP关联的第二端口信息；

端口判断模块，用于根据预先设定的高危端口信息列表，从所述第一端口信息、所述第二端口信息中确定出高危端口信息；

安全处理模块，用于针对所述高危端口进行安全处理。

可选地，所述服务器还包括：

台账信息库建立模块，用于建立台账信息库；所述台账信息库包括：设备指纹表，以及端口指纹表；所述设备指纹表用于以终端IP为关键字记录设备信息，所述端口指纹表用于以端口为关键字记录端口信息。

可选地，所述端口判断模块包括：

高危端口类型确定子模块，用于根据预先设定的高危端口列表，从所述第一端口信息、所述第二端口信息中确定出不需要开放的第一高危端口信息，以及需要开放的第二高危端口信息；

所述安全处理模块包括：

关闭脚本确定子模块，用于根据所述端口指纹表，确定与所述不需要开放的高危端口信息对应的关闭脚本；

关闭控制子模块，用于将所述关闭脚本下发至所述第一高危端口信息所属终端IP所对应的终端，以使所述终端根据所述关闭脚本封禁所述高危端口信息中的服务和/或端口；

漏洞脚本确定子模块，用于根据所述端口指纹表，确定与所述需要开放的高危端口信息对应的漏洞检测脚本；

漏洞控制子模块，用于将所述漏洞检测脚本下发至所述第二高危端口信息所属终端IP所对应的终端，以使所述终端根据所述漏洞检测脚本检测漏洞信息，并调用信息回传程序将所述漏洞信息发送至所述服务器。

可选地，所述服务器还包括：

漏洞修复子模块，用于向所述第二高危端口信息所属终端IP所对应的终端下发漏洞补丁，以使所述终端利用所述漏洞补丁进行修复，并在修复成功后返回修复成功消息。

可选地，还包括：

端口管理人员确定模块，用于根据高危端口对应的终端IP查找设备指纹表，确定管理人员的联系方式；

监控信息发送模块，用于基于所述联系方式发送所述高危端口信息以及所述高危端口所对应的终端的设备信息。

可选地，所述联系方式包括手机号码，和/或电子邮件账户；

所述监控信息发送模块包括：

短信发送子模块，用于将所述高危端口信息以及所述高危端口所对应的终端的设备信息以短信形式发送给所述管理人员的手机号码；

和/或邮件发送模块，用于将所述高危端口信息以及所述高危端口所对应的终端的设备信息以电子邮件形式发送给所述管理人员的电子邮件账户。

另一方面，本发明还公开了一种终端端口管控方法，包括服务器及至少一个终端，所述服务器包括：

定期通过网络扫描各终端的端口，获取与所述终端IP关联的第一端口信息；

定期向各在线的终端下发端口信息采集脚本，以及信息回传程序；

接收各终端通过信息采集脚本采集的并以所述信息回传程序发送的与所述终端IP关联的第二端口信息；

根据预先设定的高危端口信息列表，从所述第一端口信息、所述第二端口信息中确定出高危端口信息；

针对所述高危端口进行安全处理。

可选地，所述服务器还包括：

建立台账信息库；

所述台账信息库包括：设备指纹表，以及端口指纹表；所述设备指纹表用于以终端IP为关键字记录设备信息，所述端口指纹表用于以端口为关键字记录端口信息。

可选地，所述根据预先设定的高危端口信息列表，从所述第一端口信息、所述第二端口信息中确定出高危端口信息包括：

根据预先设定的高危端口列表，从所述第一端口信息、所述第二端口信息中确定出不需要开放的第一高危端口信息，以及需要开放的第二高危端口信息；

所述针对所述高危端口进行安全处理包括：

根据所述端口指纹表，确定与所述不需要开放的高危端口信息对应的关闭脚本；

将所述关闭脚本下发至所述第一高危端口信息所属终端IP所对应的终端，以使所述终端根据所述关闭脚本封禁所述高危端口信息中的服务和/或端口；

根据所述端口指纹表，确定与所述需要开放的高危端口信息对应的漏洞检测脚本；

将所述漏洞检测脚本下发至所述第二高危端口信息所属终端IP所对应的终端，以使所述终端根据所述漏洞检测脚本检测漏洞信息，并调用信息回传程序将所述漏洞信息发送至所述服务器。

可选地，还包括：

向所述第二高危端口信息所属终端IP所对应的终端下发漏洞补丁，以使所述终端利用所述漏洞补丁进行修复，并在修复成功后返回修复成功消息。

本发明实施例能够自动化的关闭端口，通过自动化的脚本实现对终端端口进行批量处理，节省了大量的时间、人力成本。

本发明实施例通过下发的脚本自动启动windows防火墙，自动添加事先设置的入站、出站规则，每天采用定时任务，批量检测漏洞，自动输出结果。

本发明实施例能够定时自动的将高危端口信息、高危端口的漏洞信息形成统计信息，通过短信和邮件方式发送给管理人员。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例的描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一的一种终端端口管控系统的结构框图；

图2为本发明实施例二的一种终端端口管控系统的具体结构框图；

图3为本发明实施例三的一种终端端口管控方法系统的步骤流程图。

图4为本发明实施例四的一种终端端口管控方法的步骤流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

【系统实施例一】

参照图1，示出了本发明实施例中的一种终端端口管控系统的结构框图。具体可以包括：服务器和至少一个终端，所述服务器100包括远程扫描模块110、终端采集控制模块120、终端信息接收模块130、端口判断模块140和安全处理模块150；

远程扫描模块110，用于定期通过网络扫描各终端的端口，获取与所述终端IP关联的第一端口信息。

具体应用中，本发明实施例可以应用于企事业单位的网络安全管理中，也可以应用于其他需要进行网络安全管理的网络系统中，本发明实施例对具体应用不做限定。

本发明实施例中，定期可以是一个预先设定的时间段，例如一天或者12小时，定期通过网络扫描各终端的端口信息能够保证将各终端的开放端口都扫描到，以防止遗漏开放的高危端口和漏洞端口。可以理解，本领域技术人员也可以根据实际的应用场景设定扫描各终端端口的时间间隔，本发明实施例对此不做限制。

本发明实施例中，利用网络扫描各终端的端口可以是利用安装在服务器端的扫描工具进行对终端的端口进行扫描，终端向服务器返回所述终端IP关联的端口信息，服务器将所述端口信息进行储存。

终端采集控制模块120，用于定期向各在线的终端下发端口信息采集脚本，以及信息回传程序。

本发明实施例中，定期可以是一个预先设定的时间段，例如一天或者12小时，定期的向在线的终端下发端口信息采集脚本能够保证尽可能的采集到各在线终端的端口信息，以防止遗漏开放的高危端口和漏洞端口。可以理解，本领域技术人员也可以根据实际的应用场景设定端口信息采集脚本采集终端端口的时间间隔，本发明实施例对此不做限制。

本发明实施例中，所述端口信息采集脚本根据实际需要在服务器端进行编写，并通过桌面终端管控系统下发到终端，在终端实现端口信息的自动采集。并通过桌面终端管控系统向终端下发信息回传工具，通过所述信息回传工具将端口信息采集脚本采集到的端口信息发送给服务器，服务器端将此IP关联的端口信息进行存储。

具体应用中，所述桌面终端管控系统的核心目标是为企业级用户提供全面高效的计算机设备管理手段，监控企业内IT环境的变化，保障计算机设备正常运行，大幅度降低维护成本。在此基础上提供详尽的统计报表输出，综合反映软硬件信息变动、当前配置等，帮助企业用户管理好计算机设备。所述桌面终端管控系统能够对终端接入进行安全规范，提高终端运维服务效率，和提升服务响应时间；监控终端系统整体健康度；保障安全隐患及时处理。

终端信息接收模块130，用于接收各终端通过信息采集脚本采集的并以所述信息回传程序发送的与所述终端IP关联的第二端口信息。

本发明实施例中，在终端通过端口信息采集脚本采集与所述终端IP关联的第二端口信息，并将采集的第二端口信息通过所述信息回传程序发送给服务器，所述信息回传程序可以是curl.exe，也可以是其它具有信息回传功能的程序，这里不做限制。

端口判断模块140，用于根据预先设定的高危端口信息列表，从所述第一端口信息、所述第二端口信息中确定出高危端口信息。

本发明实施例中，预先设定的高危端口包括22端口，135端口，139端口，445端口，3389端口或者其它高危端口。其它高危端口包括：漏洞服务对应的端口、恶意病毒和远程软件对应的端口。

所述第一端口信息、第二端口信息中预先已设定好了高危端口信息列表，在本发明实施例中，服务器从储存的第一端口信息和第二端口信息中确定出开放的高危端口，并对其进行相应的处理。

安全处理模块150，用于针对所述高危端口进行安全处理。

本发明实施例中，针对开放的高危端口，编写相应的处理脚本对高危端口进行处理。

在本发明的一个具体应用场景中，对于windows系统运行来说,一些开启的服务及端口存在隐患漏洞,在实际生产工作中,有些终端的某些服务可以通过打补丁修复漏洞,但整体补丁修复情况不是很理想,这些有漏洞服务对应的端口及一些恶意病毒和远控软件对应的端口称之为高危端口。为保证终端的安全，本实施例编制了相应的脚本，并且从桌面终端管控系统下发，对不必要运行的服务进行关闭，将不必要开放的高危端口进行封禁。脚本可以根据不同操作系统启动不同的命令模块进行服务的关闭和端口的封禁。另外有些需要开放的服务端口通过添加防火墙的允许规则设置acl，实现访问控制。

本发明实施例能够自动化的关闭端口，通过自动化的脚本实现对终端端口进行批量处理，节省了大量的时间、人力成本。

本发明实施例通过下发的脚本自动启动windows防火墙，自动添加事先设置的入站、出站规则，每天采用定时任务，批量检测漏洞，自动输出结果。

本发明实施例能够定时自动的将高危端口信息、高危端口的漏洞信息形成统计信息，通过短信和邮件方式发送给管理人员。

【系统实施例二】

参照图2，示出了本发明实施例中的一种终端端口管控系统的结构框图。具体可以包括：服务器和至少一个终端。

所述服务器利用远程扫描模块210进行终端端口的端口信息的扫描，利用终端采集控制模块220向终端下发信息采集脚本，在终端利用信息采集脚本进行端口信息的自动采集，服务器利用终端信息接收模块230获取采集到的终端端口信息。

所述服务器利用台账信息库建立模块240进行台账信息库的建立，所述台账信息库包括设备指纹库和端口指纹库，所述设备指纹表用于以终端IP为关键字记录设备信息，所述端口指纹表用于以端口为关键字记录端口信息。

所述服务器利用端口判断模块250参考台账信息库进行高危端口的判断，进一步利用安全处理模块260进行高危端口的处理；所述服务器利用端口管理人员确定模块270确定端口管理人员的联系方式，并利用监控信息发送模块280，基于所述管理人员的联系方式发送所述高危端口信息以及所述高危端口所对应的终端的设备信息。

所述服务器200可以包括：远程扫描模块210、终端采集控制模块220、终端信息接收模块230、台账信息库建立模块240、端口判断模块250、安全处理模块260、端口管理人员确定模块270和监控信息发送模块280，其中：

远程扫描模块210，用于定期通过网络扫描各终端的端口，获取与所述终端IP关联的第一端口信息。

在本发明实施例中，定期可以是一个预先设定的时间段，例如一天或者12小时，定期通过网络扫描各终端的端口信息能够保证将各终端的开放端口都扫描到，以防止遗漏开放的高危端口和漏洞端口。可以理解，本领域技术人员也可以根据实际的应用场景设定扫描个终端端口的时间间隔，本发明实施例对此不做限制。

本发明实施例中，利用网络扫描各终端的端口可以是利用安装在服务器端的扫描工具进行对终端的端口进行扫描。所述端口信息包括端口的开放情况和端口的属性。

在本发明的一个具体应用场景中，在服务器端编写shell脚本，根据待扫描的IP段，利用安装在服务器上的masscan扫描工具对所述IP段关联的终端端口进行循环扫描，并采集所述端口的端口信息，将所述端口信息存储为xml文件-->编写python脚本，并将各个单个的xml文件进行合并为一个xml文件并进行xml文件解析，服务器将端口信息存储到台账信息库中。

终端采集控制模块220，用于定期向各在线的终端下发端口信息采集脚本，以及信息回传程序。

在本发明实施例中，定期可以是一个预先设定的时间段，例如一天或者12小时，定期向各在线的终端下发端口信息采集脚本能够保证将各终端的开放端口都扫描到，以防止遗漏开放的高危端口和漏洞端口。可以理解，本领域技术人员也可以根据实际的应用场景设定下发端口信息采集脚本的时间间隔，本发明实施例对此不做限制。

本发明实施例中，服务器端利用安装在服务器的桌面终端管控系统向终端上安装的桌面终端管控系统客户端下发端口信息采集脚本和信息回传程序curl.exe，终端基于信息回传程序curl.exe在终端上安装信息回传工具，并利用端口信息采集脚本采集终端的端口信息，并将端口信息通过信息回传工具发送给服务器。

在本发明的一个具体应用场景中，在服务器和终端上安装桌面终端管控系统，通过在服务器上安装的桌面终端管控系统向终端下发curl.exe文件，同时下发端口信息采集脚本，利用所述端口信息采集脚本实现终端端口信息的采集。终端端口信息包括：端口的开放情况,端口的属性信息。端口信息采集脚本关键命令如下:netstat-ano>$ip.txt，将采集的端口信息形成文本文件，并且调用curl命令，将所述文本文件发送给服务器端,命令如下：curl-T ip.txt-u name:passwd ftp://upload_site:port/path/)。服务器端的脚本实现文件的解析,将此IP的端口信息进行存储。

终端信息接收模块230，用于接收各终端通过信息采集脚本采集的并以所述信息回传程序发送的与所述终端IP关联的第二端口信息。

在本发明实施例中，各终端通过信息采集脚本采集与所述终端关联的第二端口信息，并将所述第二端口信息通过回传程序发送给服务器，服务器将所述第二端口信息存储在台账信息库中。所述信息回传程序可以是curl.exe，也可以是其它具有信息回传功能的程序，这里不做限制。

台账信息库建立模块240，用于建立台账信息库；所述台账信息库包括：设备指纹表，以及端口指纹表；所述设备指纹表用于以终端IP为关键字记录设备信息，所述端口指纹表用于以端口为关键字记录端口信息。

在本发明实施例中，所述设备指纹表包括：设备IP地址、设备名称、设备IP地址所属的地址段、设备IP所属的区域、设备IP部署的物理位置、设备的管理人员、管理人员的联系方式、设备的操作系统、设备是虚拟机还是物理机、设备属于信息内外还是信息外网。

所述端口指纹表包括：端口的开放情况，端口运行的服务、端口的协议、端口对应的数据库、端口对应的中间件。所述中间件是一种独立的系统软件或服务程序，分布式应用软件借助这种软件在不同的技术之间共享资源。中间件位于客户机/服务器的操作系统之上，管理计算机资源和网络通讯。是连接两个独立应用程序或独立系统的软件。相连接的系统，即使它们具有不同的接口，但通过中间件相互之间仍能交换信息。执行中间件的一个关键途径是信息传递。通过中间件，应用程序可以工作于多平台或OS环境。

在本发明实施例中，所述设备指纹表基于前期人工整理的设备信息建立。所述端口指纹表基于人工整理的端口信息、利用网络安全设备获取到的端口信息、利用扫描软件扫描得到的端口信息建立。所述网络安全设备包括流量学习设备、网络安全智慧平台、流量分析设备、端口扫描设备、IP扫描设备等。所述扫描软件包括安装在服务器上的masscan扫描工具。

在本实施例中，后期利用远程扫描模块210和终端采集控制模块220对台账信息库进行更新，具体为：利用远程扫描模块扫描得到的第一端口信息和终端采集控制模块采集的第二端口信息对台账信息库进行更新，增加或者替换端口指纹表中的部分内容，对端口指纹表中没有的端口信息利用第一端口信息和/或第二端口信息进行增加，对端口指纹表中记录的端口信息与第一端口信息和/或第二端口信息记录的同一端口的端口信息不同的部分，利用第一端口信息和/或第二端口信息替换原端口指纹表中的端口信息。

端口判断模块250，用于根据预先设定的高危端口信息列表，从所述第一端口信息、所述第二端口信息中确定出高危端口信息。

在本发明实施例中，所述高危端口包括预先设定的高危端口包括22端口，135端口，139端口，445端口，3389端口或者其它高危端口。其它高危端口包括：漏洞服务对应的端口、恶意病毒和远程软件对应的端口。

所述第一端口信息、第二端口信息中预先已设定好了高危端口信息列表，在本发明实施例中，服务器从储存的第一端口信息和第二端口信息中确定出开放的高危端口，并对其进行相应的处理。

所述端口判断模块250包括高危端口类型确定子模块，所述高危端口类型确定子模块用于根据预先设定的高危端口列表，从所述第一端口信息、所述第二端口信息中确定出不需要开放的第一高危端口信息，以及需要开放的第二高危端口信息；

在本发明实施例中，根据储存在服务器上的原设定的高危端口列表，从获取的第一端口和第二端口信息中确定出不需要开放的第一高危端口信息，所述不需要开放的第一端口信息通过添加防火墙的允许规则设置acl，实现访问控制。对不需要开放的第一高危端口进行封禁。这样，能够实现终端端口的分类管控。

安全处理模块260，用于针对所述高危端口进行安全处理。

在本发明实施例中，对确定出的高危端口信息，进行进一步的安全处理，以防止高危端口对网络安全造成危害。

具体的，所述对高危端口进行安全处理包括，对高危端口信息中所运行的服务进行关闭，对高危端口进行封禁；对高危端口进行持续监测；对漏洞端口利用漏洞补丁进行修复。

在本发明实施例中，所述安全处理模块260包括：

关闭脚本确定子模块，用于根据所述端口指纹表，确定与所述不需要开放的高危端口信息对应的关闭脚本。

在本发明实施例中，开放的高危端口会向终端传播病毒，危害终端及网络安全，需要对高危端口进行关闭。本发明实施例中利用端口指纹表确定出高危端口的端口信息，并从预先储存在服务器中的关闭脚本库中查找出与所述高危端口对应的关闭脚本。所述关闭脚本可以根据不同操作系统启动不同的命令模块进行服务的关闭和端口的封禁。

关闭控制子模块，用于将所述关闭脚本下发至所述第一高危端口信息所属终端IP所对应的终端，以使所述终端根据所述关闭脚本封禁所述高危端口信息中的服务和/或端口。

在本发明实施例中，利用安装在服务器上的桌面终端管控系统向终端下发关闭脚本，终端利用所述关闭脚本对第一高危端口信息中运行的服务进行关闭，并利用防火墙对所述高危端口进行封禁。

在本发明的一个具体应用场景中，在Windows运行系统中，一些开启的服务及端口存在很多的隐患漏洞，在实际生产工作中，有些终端的某些服务可以通过打补丁修复漏洞，但整体补丁修复情况不是很理想,这些有漏洞服务对应的端口及一些恶意病毒和远控软件对应的端口我们称之为高危端口。为保证终端的安全，编制了相应的脚本(关闭脚本)，并且从桌面终端管控系统下发，对不必要运行的服务进行关闭，将不必要开放的第一高危端口进行封禁。脚本可以根据不同操作系统启动不同的命令模块进行服务的关闭和端口的封禁。另外有些需要开放的服务端口通过添加防火墙的允许规则设置acl，实现访问控制。

漏洞脚本确定子模块，用于根据所述端口指纹表，确定与所述需要开放的高危端口信息对应的漏洞检测脚本。

在本发明实施例中，根据端口指纹表中的信息与所述需要开放的高危端口信息，编制相应的漏洞检测脚本，实现漏洞的自动检测。

本发明实施例针对需要开放的高危端口编制漏洞检测脚本，及时检测高危端口的漏洞，防止高危端口对终端及网络造成的伤害。

在本发明的一个具体应用场景中，利用python编程语言编制漏洞检测脚本，实现漏洞的自动检测。漏洞检测方法采用调用nmap的漏洞扫描功能及利用python的socket库发送相关漏洞检测payload。

漏洞控制子模块，用于将所述漏洞检测脚本下发至所述第二高危端口信息所属终端IP所对应的终端，以使所述终端根据所述漏洞检测脚本检测漏洞信息，并调用信息回传程序将所述漏洞信息发送至所述服务器。

具体的，将第二高危端口加入到防火墙的允许规则中，实现访问控制。

在本发明实施例中，利用安装在服务器端的桌面终端管控系统将相应的漏洞检测脚本下发到第二高危端口信息所述终端IP所对应的终端，所述第二高危端口为台账信息库中预先设定的需要开放的高危端口。所述终端利用相应的漏洞检测脚本检测所述终端端口的漏洞信息，并利用所述回传程序将所述漏洞信息发送至所述服务器。所述回传程序可以是curl.exe，也可以为其它具有回传功能的程序。

漏洞修复子模块，用于向所述第二高危端口信息所属终端IP所对应的终端下发漏洞补丁，以使所述终端利用所述漏洞补丁进行修复，并在修复成功后返回修复成功消息。

在本发明实施例中，服务器在接收到回传程序发送的漏洞信息后，对第二高危端口进行修复，具体为：向所述第二高危端口信息所属终端IP所对应的终端下发对应的漏洞补丁，并利用所述漏洞补丁对第二高危端口的漏洞进行修复，在所述漏洞修复成功后，利用回传程序向服务器发送漏洞修复成功的消息，服务器在接收到漏洞修复成功消息后更改第二高危端口的端口信息，以免重复对所述第二高危端口的漏洞进行修复。如果服务器没有接受到漏洞修复成功的消息，服务器重新向所述第二高危端口信息所属终端IP所对应的终端下发漏洞补丁，以进行漏洞的重新修复。

端口管理人员确定模块270，用于根据高危端口对应的终端IP查找设备指纹表，确定管理人员的联系方式。

在本发明实施例中，所述设备指纹表中包括了设备IP、设备管理人员和管理人员的联系方式，利用高危端口对应的终端IP查找到所述终端对应的设备，进而确定管理人员及其联系方式。利用管理人员的联系方式联系到所述高危端口所在终端对应的设备的管理人员，进一步的高危端口进行处理。

监控信息发送模块280，用于基于所述联系方式发送所述高危端口信息以及所述高危端口所对应的终端的设备信息。

在本发明实施例中，所述联系方式包括手机号码，和/或电子邮件账户。

在本发明实施例中，服务器编写报表输出脚本，并利用所述报表输出脚本将每日将高危端口及有漏洞的端口自动统计出来以后，生成日数据报表，利用短信和/或电子邮件账户发送日数据报表给网络安全相关管理和技术人员。所述报表输出脚本还用于将每个月的所有日数据报表进行统计生成月数据报表，利用短信和/或电子邮件账户发送月数据报表给网络安全相关管理和技术人员。

所述监控信息发送模块包括：

短信发送子模块，用于将所述高危端口信息以及所述高危端口所对应的终端的设备信息以短信形式发送给所述管理人员的手机号码。

在本发明实施例中，短信发送模块的实现方式是利用公司的短信网关实现，如单位没有短信网关，可以利用短信模块如西门子T35等模块，利用python语言编写短信发送脚本，对不同的用户级别发送不同的统计数据，实现分级发送。

和/或邮件发送模块，用于将所述高危端口信息以及所述高危端口所对应的终端的设备信息以电子邮件形式发送给所述管理人员的电子邮件账户。

在本发明实施例中，每日还可以将更加详细的信息通过邮件发送，邮件发送的内容包括所述高危端口及漏洞所属ip、ip段、单位、部门、科室、使用人、维护人、使用人维护人的电话，设备名称，设备状态，设备部署物理位置，存在的问题等信息。

本发明实施例能够自动化的关闭端口，通过自动化的脚本实现对终端端口进行批量处理，节省了大量的时间、人力成本。

本发明实施例通过下发的脚本自动启动windows防火墙，自动添加事先设置的入站、出站规则，每天采用定时任务，批量检测漏洞，自动输出结果。

本发明实施例能够定时自动的将高危端口信息、高危端口的漏洞信息形成统计信息，通过短信和邮件方式发送给管理人员。

【系统实施例三】

参照图3，示出了本发明实施例中的一种终端端口管控系统结构图，具体包括服务器和至少一个终端。

在本发明实施例中，在服务器的数据库中进行台账信息库的初始建账，台账信息库包括设备指纹库和端口指纹库，所述设备指纹表用于以终端IP为关键字记录设备信息，所述端口指纹表用于以端口为关键字记录端口信息。

在本发明实施例中，所述服务器利用扫描和curl采集获取终端端口信息，并将获取的终端端口信息基于通讯服务存储于数据库中，对台账信息库进行更新。所述扫描可以包括利用masscan扫描工具对终端端口的端口信息进行扫描。所述curl采集包括利用桌面终端管控系统向安装了桌面终端管控系统的终端下发curl.exe文件和端口信息采集脚本，所述终端利用端口信息采集脚本采集终端端口的端口信息，所述服务器通过curl.exe实现所述终端端口信息的回传。

本发明实施例中采用采集和扫描获取终端端口的信息，能够更全面的获取终端端口的端口信息。避免无法扫描到在终端安装了防火墙的端口的端口信息和无法向未安装桌面终端管控系统客户端的终端下发curl.exe文件的弊端。

在本发明实施例中，所述数据库利用管控服务对终端端口进行端口管控，包括：基于数据库中的端口指纹表确定出与台账信息库中的开放高危端口对应的关闭脚本，并通过桌面终端管控系统下发到终端，实现高危端口的关闭自动化；在服务器端，利用扫描脚本扫描高危端口的开放情况，并结合从终端发送的端口信息，对需要开放的高危端口进行持续监控，并通过短信、邮件方式对相关管理人员进行告警。

在本发明实施例中，根据数据库中的端口指纹表，确定与需要开放的高危端口信息对应的漏洞检测脚本，将所述漏洞检测脚本下发至所述需要开放的高危端口信息所述终端IP对应的终端，所述终端利用所述漏洞检测脚本实现漏洞的检测。

在本发明实施例中，利用报表输出脚本每日将高危端口即漏洞端口自动进行统计，生成报表。并根据高危端口对应的终端IP查找设备指纹表，确定出管理人员的联系方式，并将所述报表通过管理人员的联系方式发送个管理人员，管理人员在接收到消息后，向服务器返回收到消息。

在本发明实施例中，利用端口指纹表确定关闭脚本和漏洞检测脚本，实现端口的指纹识别，利用设备指纹表确定高危端口对应的终端的管理人员，以完成设备的指纹识别。

【方法实施例四】

参照图4，示出了本发明实施例中的一种终端端口管控方法的步骤流程图，所述方法包括服务器和至少一个终端，具体步骤包括：

步骤301：定期通过网络扫描各终端的端口，获取与所述终端IP关联的第一端口信息；

在本发明实施例中，定期可以是一个预先设定的时间段，例如一天或者12小时，定期通过网络扫描各终端的端口信息能够保证将各终端的开放端口都扫描到，以防止遗漏开放的高危端口和漏洞端口。可以理解，本领域技术人员也可以根据实际的应用场景设定扫描个终端端口的时间间隔，本发明实施例对此不做限制。

本发明实施例中，利用网络扫描各终端的端口可以是利用安装在服务器端的扫描工具进行对终端的端口进行扫描，终端向服务器返回所述终端IP关联的端口信息，服务器将所述端口信息进行储存。

步骤302：定期向各在线的终端下发端口信息采集脚本，以及信息回传程序。

本发明实施例中，定期可以是一个预先设定的时间段，例如一天或者12小时，定期的向在线的终端下发端口信息采集脚本能够保证尽可能的采集到各在线终端的端口信息，以防止遗漏开放的高危端口和漏洞端口。可以理解，本领域技术人员也可以根据实际的应用场景设定扫描个终端端口的时间间隔，本发明实施例对此不做限制。

本发明实施例中，所述端口信息采集脚本根据实际的需要在服务器端进行编写，并通过桌面终端管控系统下发到终端，在终端实现端口信息的自动采集。并通过桌面终端管控系统向终端下发信息回传工具，通过所述信息回传工具将端口信息采集脚本采集到的端口信息发送给服务器，服务器端将此IP关联的端口信息进行存储。

具体应用中，所述桌面终端管控系统的核心目标是为企业级用户提供全面高效的计算机设备管理手段，监控企业内IT环境的变化，保障计算机设备正常运行，大幅度降低维护成本。在此基础上提供详尽的统计报表输出，综合反映软硬件信息变动、当前配置等，帮助企业用户管理好计算机设备。所述桌面终端管控系统能够对终端接入进行安全规范，提高终端运维服务效率，和提升服务响应时间；监控终端系统整体健康度；保障安全隐患及时处理。

步骤303：接收各终端通过信息采集脚本采集的并以所述信息回传程序发送的与所述终端IP关联的第二端口信息。

本发明实施例中，在终端通过端口信息采集脚本采集与所述终端IP关联的第二端口信息，并将采集的第二端口信息通过所述信息回传程序发送给服务器，所述信息回传程序可以是curl.exe，也可以是其它具有信息回传功能的程序，这里不做限制。

步骤304：根据预先设定的高危端口信息列表，从所述第一端口信息、所述第二端口信息中确定出高危端口信息。

本发明实施例中，预先设定的高危端口包括22端口，135端口，139端口，445端口，3389端口或者其它高危端口。其它高危端口包括：漏洞服务对应的端口、恶意病毒和远程软件对应的端口。

本发明实施例中，所述第一端口信息、第二端口信息中预先已设定好了高危端口信息列表，在本发明实施例中，服务器从储存的第一端口信息和第二端口信息中确定出开放的高危端口，并对其进行相应的处理。

本发明实施例中，所述根据预先设定的高危端口信息列表，从所述第一端口信息、所述第二端口信息中确定出高危端口信息包括：

根据预先设定的高危端口列表，从所述第一端口信息、所述第二端口信息中确定出不需要开放的第一高危端口信息，以及需要开放的第二高危端口信息；

在本发明实施例中，根据储存在服务器上的原设定的高危端口列表，从获取的第一端口和第二端口信息中确定出需要开放的第二高危端口信息，所述需要开放的第二高危端口信息通过添加防火墙的允许规则设置acl，实现访问控制。对不需要开放的第一端口信息进行封禁。这样，能够实现终端端口的分类管控。

步骤305：针对所述高危端口进行安全处理

本发明实施例中，针对开放的高危端口，编写相应的处理脚本对高危端口进行封禁。

在本发明的一个具体应用场景中，对于windows系统运行来说,一些开启的服务及端口存在很多的隐患漏洞,在实际生产工作中,有些终端的某些服务可以通过打补丁修复漏洞,但整体补丁修复情况不是很理想,这些有漏洞服务对应的端口及一些恶意病毒和远控软件对应的端口称之为高危端口。为保证终端的安全，本实施例编制了相应的脚本，并且从桌面终端管控系统下发，对不必要运行的服务进行关闭，将不必要开放的高危端口进行封禁。脚本可以根据不同操作系统启动不同的命令模块进行服务的关闭和端口的封禁。另外有些需要开放的服务端口通过添加防火墙的允许规则设置acl，实现访问控制。

所述针对所述高危端口进行安全处理包括：

根据所述端口指纹表，确定与所述不需要开放的高危端口信息对应的关闭脚本；

在本发明实施例中，开放的高危端口会向终端传播病毒，危害终端及网络安全，需要对高危端口进行关闭。本发明实施例中利用端口指纹表确定出高危端口的端口信息，并从预先储存在服务器中的关闭脚本库中查找出与所述高危端口对应的关闭脚本。所述关闭脚本可以根据不同操作系统启动不同的命令模块进行服务的关闭和端口的封禁。

将所述关闭脚本下发至所述第一高危端口信息所属终端IP所对应的终端，以使所述终端根据所述关闭脚本封禁所述高危端口信息中的服务和/或端口。

在本发明实施例中，在本发明实施例中，利用安装在服务器上的桌面终端管控系统向终端下发关闭脚本，终端利用所述关闭脚本对第一高危端口信息中运行的服务进行关闭，并利用防火墙对所述高危端口进行封禁。

根据所述端口指纹表，确定与所述需要开放的高危端口信息对应的漏洞检测脚本。

在本发明实施例中，根据端口指纹表中的信息与所述需要开放的高危端口信息，编制相应的漏洞检测脚本，实现漏洞的自动检测。

本发明实施例针对需要开放的高危端口编制漏洞检测脚本，及时检测高危端口的漏洞，防止高危端口对终端及网络造成的伤害。

在本发明的一个具体应用场景中，利用python编程语言编制漏洞检测脚本，实现漏洞的自动检测。漏洞检测方法主要是调用nmap的漏洞扫描功能及利用python的socket库发送相关漏洞检测payload。

将所述漏洞检测脚本下发至所述第二高危端口信息所属终端IP所对应的终端，以使所述终端根据所述漏洞检测脚本检测漏洞信息，并调用信息回传程序将所述漏洞信息发送至所述服务器。

在本发明实施例中，在本发明实施例中，利用安装在服务器端的桌面终端管控系统将相应的漏洞检测脚本下发到第二高危端口信息所述终端IP所对应的终端，所述第二高危端口为台账信息库中预先设定的需要开放的高危端口。所述终端利用相应的楼顶检测脚本检测所述终端端口的漏洞信息，并利用所述回传程序将所述漏洞信息发送至所述服务器。所述回传程序可以是curl.exe，也可以为其它具有回传功能的程序。

向所述第二高危端口信息所属终端IP所对应的终端下发漏洞补丁，以使所述终端利用所述漏洞补丁进行修复，并在修复成功后返回修复成功消息。

在本发明实施例中，服务器在接收到回传程序发送的漏洞信息后，对第二高危端口进行修复，具体为：向所述第二高危端口信息所属终端IP所对应的终端下发对应的漏洞补丁，并利用所述漏洞补丁对第二高危端口的漏洞进行修复，在所述漏洞修复成功后，利用回传程序向服务器发送漏洞修复成功的消息，服务器在接收到漏洞修复成功消息后更改第二高危端口的端口信息，以免重复对所述第二高危端口的漏洞进行修复。如果服务器没有接受到漏洞修复成功的消息，服务器重新向所述第二高危端口信息所属终端IP所对应的终端下发漏洞补丁，以进行漏洞的重新修复。

本发明实施例在步骤303之后还包括建立台账信息库步骤，所述台账信息库包括：设备指纹表，以及端口指纹表；所述设备指纹表用于以终端IP为关键字记录设备信息，所述端口指纹表用于以端口为关键字记录端口信息。

在本发明实施例中，所述设备指纹表包括：设备IP地址、设备名称、设备IP地址所属的地址段、设备IP所属的区域、设备IP部署的物理位置、设备的管理人员、管理人员的联系方式、设备的操作系统、设备是虚拟机还是物理机、设备属于信息内外还是信息外网。

所述端口指纹表包括：端口的开放情况，端口运行的服务、端口的协议、端口对应的数据库、端口对应的中间件。

在本发明实施例中，所述设备指纹表基于前期人工整理的设备信息建立。所述端口指纹表基于人工整理的端口信息、利用网络安全设备获取到的端口信息、利用扫描软件扫描得到的端口信息建立。所述网络安全设备包括流量学习设备、网络安全智慧平台、流量分析设备、端口扫描设备、IP扫描设备等。所述扫描软件包括安装在服务器上的masscan扫描工具。

在本实施例中，后期利用步骤301和步骤302对台账信息库进行更新，具体为：利用远程扫描模块扫描得到的第一端口信息和终端采集控制模块采集的第二端口信息对台账信息库进行更新，增加或者替换端口指纹表中的部分内容，对端口指纹表中没有的端口信息利用第一端口信息和/或第二端口信息进行增加，对端口指纹表中记录的端口信息与第一端口信息和/或第二端口信息记录的同一端口的端口信息不同的部分，利用第一端口信息和/或第二端口信息替换原端口指纹表中的端口信息。

本发明实施例能够自动化的关闭端口，通过自动化的脚本实现对终端端口进行批量处理，节省了大量的时间、人力成本。

本发明实施例通过下发的脚本自动启动windows防火墙，自动添加事先设置的入站、出站规则，每天采用定时任务，批量检测漏洞，自动输出结果。

本发明实施例能够定时自动的将高危端口信息、高危端口的漏洞信息形成统计信息，通过短信和邮件方式发送给管理人员。

对于方法实施例而言，由于其与系统实施例基本相似，所以描述的比较简单，相关之处参见系统实施例的部分说明即可。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

本领域内的技术人员应明白，本申请实施例的实施例可提供为方法、装置、或计算机程序产品。因此，本申请实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

在一个典型的配置中，所述计算机设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括非持续性的电脑可读媒体(transitory media)，如调制的数据信号和载波。

本申请实施例是参照根据本申请实施例的方法、终端设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理终端设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理终端设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本申请实施例的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本申请实施例范围的所有变更和修改。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。

以上对本申请所提供的一种终端端口的管控系统、一种终端端口的管控方法，进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (10)

1.一种终端端口管控系统，其特征在于，包括服务器和至少一个终端，所述服务器包括：

远程扫描模块，用于定期通过网络扫描各终端的端口，获取与所述终端IP关联的第一端口信息；

终端采集控制模块，用于定期向各在线的终端下发端口信息采集脚本，以及信息回传程序；

终端信息接收模块，用于接收各终端通过信息采集脚本采集的并以所述信息回传程序发送的与所述终端IP关联的第二端口信息；

端口判断模块，用于根据预先设定的高危端口信息列表，从所述第一端口信息、所述第二端口信息中确定出高危端口信息；

安全处理模块，用于针对所述高危端口进行安全处理。

2.根据权利要求1所述的系统，其特征在于，所述服务器还包括：

台账信息库建立模块，用于建立台账信息库；所述台账信息库包括：设备指纹表，以及端口指纹表；所述设备指纹表用于以终端IP为关键字记录设备信息，所述端口指纹表用于以端口为关键字记录端口信息。

3.根据权利要求2所述的系统，其特征在于，所述端口判断模块包括：

高危端口类型确定子模块，用于根据预先设定的高危端口列表，从所述第一端口信息、所述第二端口信息中确定出不需要开放的第一高危端口信息，以及需要开放的第二高危端口信息；

所述安全处理模块包括：

关闭脚本确定子模块，用于根据所述端口指纹表，确定与所述不需要开放的高危端口信息对应的关闭脚本；

关闭控制子模块，用于将所述关闭脚本下发至所述第一高危端口信息所属终端IP所对应的终端，以使所述终端根据所述关闭脚本封禁所述高危端口信息中的服务和/或端口；

漏洞脚本确定子模块，用于根据所述端口指纹表，确定与所述需要开放的高危端口信息对应的漏洞检测脚本；

漏洞控制子模块，用于将所述漏洞检测脚本下发至所述第二高危端口信息所属终端IP所对应的终端，以使所述终端根据所述漏洞检测脚本检测漏洞信息，并调用信息回传程序将所述漏洞信息发送至所述服务器。

4.根据权利要求3所述的系统，其特征在于，还包括：

漏洞修复子模块，用于向所述第二高危端口信息所属终端IP所对应的终端下发漏洞补丁，以使所述终端利用所述漏洞补丁进行修复，并在修复成功后返回修复成功消息。

5.根据权利要求4所述的系统，其特征在于，还包括：

端口管理人员确定模块，用于根据高危端口对应的终端IP查找设备指纹表，确定管理人员的联系方式；

监控信息发送模块，用于基于所述联系方式发送所述高危端口信息以及所述高危端口所对应的终端的设备信息。

6.根据权利要求5所述的系统，其特征在于，所述联系方式包括手机号码，和/或电子邮件账户；

所述监控信息发送模块包括：

短信发送子模块，用于将所述高危端口信息以及所述高危端口所对应的终端的设备信息以短信形式发送给所述管理人员的手机号码；

和/或邮件发送模块，用于将所述高危端口信息以及所述高危端口所对应的终端的设备信息以电子邮件形式发送给所述管理人员的电子邮件账户。

7.一种终端端口管控方法，其特征在于，包括服务器及至少一个终端，所述服务器包括：

定期通过网络扫描各终端的端口，获取与所述终端IP关联的第一端口信息；

定期向各在线的终端下发端口信息采集脚本，以及信息回传程序；

接收各终端通过信息采集脚本采集的并以所述信息回传程序发送的与所述终端IP关联的第二端口信息；

根据预先设定的高危端口信息列表，从所述第一端口信息、所述第二端口信息中确定出高危端口信息；

对所述高危端口进行安全处理。

8.根据权利要求7所述的方法，其特征在于，所述服务器还包括：

建立台账信息库；

所述台账信息库包括：设备指纹表，以及端口指纹表；所述设备指纹表用于以终端IP为关键字记录设备信息，所述端口指纹表用于以端口为关键字记录端口信息。

9.根据权利要求8所述的方法，其特征在于，所述根据预先设定的高危端口信息列表，从所述第一端口信息、所述第二端口信息中确定出高危端口信息包括：

根据预先设定的高危端口列表，从所述第一端口信息、所述第二端口信息中确定出不需要开放的第一高危端口信息，以及需要开放的第二高危端口信息；

所述针对所述高危端口进行安全处理包括：

根据所述端口指纹表，确定与所述不需要开放的高危端口信息对应的关闭脚本；

将所述关闭脚本下发至所述第一高危端口信息所属终端IP所对应的终端，以使所述终端根据所述关闭脚本封禁所述高危端口信息中的服务和/或端口；

根据所述端口指纹表，确定与所述需要开放的高危端口信息对应的漏洞检测脚本；

将所述漏洞检测脚本下发至所述第二高危端口信息所属终端IP所对应的终端，以使所述终端根据所述漏洞检测脚本检测漏洞信息，并调用信息回传程序将所述漏洞信息发送至所述服务器。

10.根据权利要求9所述的方法，其特征在于，所述服务器还包括：

向所述第二高危端口信息所属终端IP所对应的终端下发漏洞补丁，以使所述终端利用所述漏洞补丁进行修复，并在修复成功后返回修复成功消息。