CN109874140A - 一种网络安全防护方法、装置、设备及存储介质 - Google Patents

Abstract

本发明公开了一种网络安全防护方法，该方法包括以下步骤：获得设定范围内的连接信息，连接信息包括无线接入点信息和连接至各无线接入点的终端信息；根据连接信息，确定各无线接入点是否为非法接入点；针对连接至每个非法接入点上的每个终端，根据该终端的终端信息，确定该终端是否为待监控终端；如果该终端为待监控终端，则对该终端进行反制。应用本发明实施例所提供的技术方案，仅对待监控终端进行反制，可以在保障内网安全性的同时避免影响邻近网络的无线接入点的正常使用。本发明还公开了一种网络安全防护装置、设备及存储介质，具有相应技术效果。

Description

一种网络安全防护方法、装置、设备及存储介质

技术领域

本发明涉及计算机应用技术领域，特别是涉及一种网络安全防护方法、装置、设备及存储介质。

背景技术

随着网络的发展，越来越多的企事业单位会为员工提供内网环境，以便让员工在内网环境中办公。单位为员工提供的内网环境，黑客难以入侵。但是，随着无线网络的发展以及智能终端的普及，员工通过所使用的终端很容易连接到非法无线接入点，为黑客提供了入侵内网的便利条件，从而使得内网防火墙在黑客面前形同虚设。

目前，有的单位为防止员工因连接到外部网络而导致有意或无意的泄密，会在内网中开启防钓鱼无线接入点的功能，在对钓鱼无线接入点和被钓鱼终端进行反制时，会将未在内网的无线控制器上激活的无线接入点均视为非法接入点，对连接至非法接入点上的所有终端均进行反制，从而可能会导致影响邻近单位的无线接入点的正常使用，但是，如果不开启该功能，将会使得内网安全性得不到有效保障。

发明内容

本发明的目的是提供一种网络安全防护方法、装置、设备及存储介质，以针对待监控终端进行反制，在保障内网安全性的同时可以避免影响邻近网络的无线接入点的正常使用。

为解决上述技术问题，本发明提供如下技术方案：

一种网络安全防护方法，包括：

获得设定范围内的连接信息，所述连接信息包括无线接入点信息和连接至各无线接入点的终端信息；

根据所述连接信息，确定各无线接入点是否为非法接入点；

针对连接至每个非法接入点上的每个终端，根据该终端的终端信息，确定该终端是否为待监控终端。

在本发明的一种具体实施方式中，所述根据该终端的终端信息，确定该终端是否为待监控终端，包括：

在预先获得的待监控终端数据库中查找该终端的终端信息；

如果查找到，则确定该终端为待监控终端。

在本发明的一种具体实施方式中，还包括：

针对每个终端，如果监测到该终端通过设定认证方式连接到任意一个合法接入点，则将该终端的终端信息记录到所述待监控终端数据库中。

在本发明的一种具体实施方式中，在确定该终端为待监控终端时，所述方法还包括：

将针对该终端的反制任务下发给目标无线接入点，以使所述目标无线接入点模拟该终端连接的无线接入点，向该终端发送解关联帧。

在本发明的一种具体实施方式中，在该终端为待监控终端的情况下，还包括：

生成并保存针对该终端的告警信息；

和/或，

将所述告警信息推送给预设人员。

在本发明的一种具体实施方式中，还包括：

在接收到连接信息查询指令时，输出展示连接相关信息。

在本发明的一种具体实施方式中，在所述根据所述连接信息，确定各无线接入点是否为非法接入点之前，还包括：

确定当前反制策略是否为限制策略；

如果是，则执行所述根据所述连接信息，确定各无线接入点是否为非法接入点的步骤；

如果否，则在监测到有无线接入点有安全风险时，对连接至该无线接入点的所有终端进行反制。

一种网络安全防护装置，包括：

连接信息获得模块，用于获得设定范围内的连接信息，所述连接信息包括无线接入点信息和连接至各无线接入点的终端信息；

非法接入点确定模块，用于根据所述连接信息，确定各无线接入点是否为非法接入点；

待监控终端确定模块，用于针对连接至每个非法接入点上的每个终端，根据该终端的终端信息，确定该终端是否为待监控终端。

在本发明的一种具体实施方式中，所述待监控终端确定模块，具体用于：

在预先获得的待监控终端数据库中查找该终端的终端信息；

如果查找到，则确定该终端为待监控终端。

在本发明的一种具体实施方式中，还包括终端信息记录模块，用于：

针对每个终端，如果监测到该终端通过设定认证方式连接到任意一个合法接入点，则将该终端的终端信息记录到所述待监控终端数据库中。

在本发明的一种具体实施方式中，所述装置还包括终端反制模块，用于：

在确定该终端为待监控终端时，将针对该终端的反制任务下发给目标无线接入点，以使所述目标无线接入点模拟该终端连接的无线接入点，向该终端发送解关联帧。

在本发明的一种具体实施方式中，还包括后处理模块，用于：

在该终端为待监控终端的情况下，生成并保存针对该终端的告警信息；

和/或，将所述告警信息推送给预设人员。

在本发明的一种具体实施方式中，还包括可视化展示出模块，用于：

在接收到连接信息查询指令时，输出展示连接相关信息。

在本发明的一种具体实施方式中，还包括策略确定模块，用于：

在所述根据所述连接信息，确定各无线接入点是否为非法接入点之前，确定当前反制策略是否为限制策略；

如果是，则执行所述根据所述连接信息，确定各无线接入点是否为非法接入点的步骤；

如果否，则在监测到有无线接入点有安全风险时，对连接至该无线接入点的所有终端进行反制。

一种网络安全防护设备，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现上述任一项所述网络安全防护方法的步骤。

一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现上述任一项所述网络安全防护方法的步骤。

应用本发明实施例所提供的技术方案，获得设定范围内的连接信息后，根据连接信息，可以确定各无线接入点是否为非法接入点，针对连接至每个非法接入点的每个终端，根据该终端的终端信息，可以确定该终端是否为待监控终端，如果该终端为待监控终端，则可以对该终端进行反制，以使该终端无法继续连接非法接入点。仅对待监控终端进行反制，可以在保障内网安全性的同时避免影响邻近网络的无线接入点的正常使用。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例中一种网络安全防护方法的实施流程图；

图2为本发明实施例中一个安全事件可视化展示示意图；

图3为本发明实施例中用户接入详情可视化展示示意图；

图4为本发明实施例中网络安全防护方法的整体流程示意图；

图5为本发明实施例中一种网络安全防护装置的结构示意图；

图6为本发明实施例中一种网络安全防护设备的结构示意图。

具体实施方式

本发明的核心是提供一种网络安全防护方法，该方法可以应用于一内网的无线控制器(Wireless Access Point Controller，WAC)。在实际应用中，无线控制器的功能是用来集中化控制无线接入点(Access Point，AP)，是一个无线网络的核心，负责管理无线网络中的所有无线接入点，如对无线接入点进行下发配置、修改相关配置参数、射频智能管理、接入安全控制等管理。无线接入点的功能是在有线网络和无线网络之间建立连接，即无线接入点是无线网络和有线网络之间沟通的桥梁。无线控制器可以管理内网中的多个无线接入点。

当然，根据内网实际部署情况，该方法还可以应用于其他可控制无线接入点的设备。

为了使本技术领域的人员更好地理解本发明方案，下面结合附图和具体实施方式对本发明作进一步的详细说明。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

参见图1所示，为本发明实施例所提供的一种网络安全防护方法的实施流程图，该方法可以包括以下步骤：

S110：获得设定范围内的连接信息。

连接信息包括无线接入点信息和连接至各无线接入点的终端信息。

在实际应用中，内网中可以部署多个无线接入点，由无线控制器管理，通过用户界面UI可以配置部署在内网中的每个无线接入点所使用的工作模式。内网邻近网络中也可能存在无线接入点。通过捕捉无线接入点向外发出的射频信号可以知道设定范围内存在多少无线接入点。

在本发明实施例中，根据内网中无线接入点的能力大小，无线控制器可以选定内网中一个能力最大的无线接入点作为目标无线接入点，向其下发扫描任务。目标无线接入点接收到扫描任务后，扫描周围环境内的无线信号，获得连接信息，并将获得连接信息定时上报给无线控制器。连接信息可以包括无线接入点信息和连接至各无线接入点的终端信息。无线接入点信息具体可以包括无线接入点的无线网络名称(Service Set Identifier，SSID)和无线接入点的MAC地址(Basic Service Set Identifier，BSSID)等。终端信息具体可以包括终端的MAC地址等。

或者，无线控制器可以将扫描任务下发给内网中的所有无线接入点，每个无线接入点接收到扫描任务后，扫描周围环境内的无线信号，获得连接信息，并将获得的连接信息上报给无线控制器。

无线控制器接收无线接入点上报的连接信息，获得设定范围内的连接信息，该设定范围可以是执行扫描任务的无线接入点的扫描范围。

S120：根据连接信息，确定各无线接入点是否为非法接入点。

可以理解的是，无线控制器可以管理内网中部署的各无线接入点，可以预先获得其管理的各无线接入点的相关信息，如无线网络名称和接入点的MAC地址等信息。

获得设定范围内的连接信息后，可以根据连接信息，确定各无线接入点是否为非法接入点。具体的，可以将获得的各无线接入点的无线接入点信息与预先获得的其管理的各无线接入点的相关信息进行对比，将非内网中的无线接入点均确定为非法接入点。

S130：针对连接至每个非法接入点上的每个终端，根据该终端的终端信息，确定该终端是否为待监控终端。

在本发明实施例中，为保证内网安全，内网中每个用户所使用的终端应该只能连接内网的无线接入点，如果连接上内网外的其他无线接入点都可以会给内网带来安全隐患。

在实际应用中，可以将内网中每个用户所使用的终端确定为待监控终端。在获得设定范围内的连接信息，并确定各无线接入点是否为非法接入点后，可以针对连接至每个非法接入点的每个终端，根据该终端的终端信息，确定该终端是否为待监控终端。

具体的，可以在预先获得的待监控终端数据库中查找该终端的终端信息，如果查找到，则可以确定该终端为待监控终端，否则，可以确定该终端不属于待监控终端范畴。

待监控终端数据库可以根据内网管理人员提供的信息进行构建。

在本发明的一种具体实施方式中，针对每个终端，如果监测到该终端通过设定认证方式连接到任意一个合法接入点，则将该终端的终端信息记录到待监控终端数据库中。

在本发明实施例中，可以认为内网中无线控制器管理的各无线接入点为合法接入点。可预先设定一种或多种认证方式，内网中的用户使用终端通过设定的认证方式并且认证通过才能连接到内网的合法接入点。认证方式具体可以是账号认证方式、企业认证方式等。

针对每个终端，只要监测到该终端通过设定认证方式连接到任意一个合法接入点，则认为该终端为内网中用户所使用终端，可以将该终端的终端信息，如该终端的MAC地址等记录到待监控终端数据库，实现待监控终端数据库的自动构建。

S140：如果该终端为待监控终端，则对该终端进行反制。

针对连接至每个非法接入点的每个终端，在确定该终端为待监控终端后，可以对该终端进行监控，或者直接进行反制。

具体的，可以将针对该终端的反制任务下发给目标无线接入点，以使目标无线接入点模拟该终端连接的无线接入点，向该终端发送解关联帧。

即无线控制器可以将针对该终端的反制任务下发给目标无线接入点，目标无线接入点可以是内网中能力较强的一个无线接入点，还可以是能够扫描到该终端连接的无线接入点信号的一个无线接入点。反制任务中可以携带该终端的终端信息。

目标无线接入点接收到反制任务后，可以模拟该终端连接的无线接入点，向该终端发送解关联帧，以解除关联，使该终端关联不到其之前连接的无线接入点。

目标无线接入点在执行反制任务后，可以将相关终端在自身的反制信息表中做标记，当其再次扫描到终端连接至非法接入点后，可以先查看反制信息表中是否存在对该终端的反制标记，如果存在，则表明之前有过对该终端的反制，可以直接对该终端进行反制，如果不存在，则将扫描到的连接信息上报给无线控制器，以由无线控制器确定是否执行反制。

在实际应用中，如果该终端仅仅是发送探测帧，进而关联到非法接入点，同样需要对该终端进行反制，避免误连到外部网络，给内网带来安全风险。

应用本发明实施例所提供的方法，获得设定范围内的连接信息后，根据连接信息，可以确定各无线接入点是否为非法接入点，针对连接至每个非法接入点的每个终端，根据该终端的终端信息，可以确定该终端是否为待监控终端，如果该终端为待监控终端，则可以对该终端进行反制，以使该终端无法继续连接非法接入点。仅对待监控终端进行反制，可以在保障内网安全性的同时避免影响邻近网络的无线接入点的正常使用。

在实际应用中，无线控制器可以实时或者按照设定时间间隔获得设定范围内的连接信息，进而根据获得的连接信息，确定是否对待监控终端进行反制。保障内网安全性。

在本发明的一个实施例中，在该终端为待监控终端的情况下，该方法还可以包括以下步骤：

生成并保存针对该终端的告警信息；

和/或，将告警信息推送给预设人员。

针对每个终端，在该终端为待监控终端，且该终端连接的无线接入点为非法接入点的情况下，无线控制器可以生成告警信息，并将告警信息存入告警数据库，同时，可以将告警信息推送给预设人员，如通过短信、应用软件等方式推送给相关管理人员。这样，预设人员可以及时获知内网中用户有连接外部网络的行为。

在本发明的一个实施例中，该方法还可以包括以下步骤：

在接收到连接信息查询指令时，输出展示连接相关信息。

在实际应用中，内网管理人员或者其他设定人员可以登录到无线控制器，查看内网中具体用户的接入外网详情和内网用户接入外部网络的次数等。

无线控制器在接收到连接信息查询指令时，可以通过查询告警数据库输出展示连接相关信息，如图2为一个安全事件可视化展示示意图，图3为用户接入详情可视化展示示意图。以便查询者能够了解到内网用户的接入外部网络的情况，依此确定是否制定限制策略。

在本发明的一个实施例中，在根据连接信息，确定各无线接入点是否为非法接入点之前，还包括：

确定当前反制策略是否为限制策略；

如果是，则执行根据连接信息，确定各无线接入点是否为非法接入点的步骤；

如果否，则在监测到有无线接入点有安全风险时，对连接至该无线接入点的所有终端进行反制。

在本发明实施例中，可以在无线控制器中设置反制策略，如果反制策略为限制策略，则仅对待监控终端进行反制，如果反制策略非限制策略，则对所有终端进行反制。可以通过功能开关确定当前反制策略是否为限制策略。

在当前反制策略为限制策略时，可以继续执行根据连接信息，确定各无线接入点是否为非法接入点，针对每个连接至非法接入点的每个终端，根据该终端的终端信息，确定该终端是否为待监控终端的步骤，进而在该终端为待监控终端时，对该终端进行反制。即仅对待监控终端进行反制。

在当前反制策略非限制策略时，可以在监测到有无线接入点有安全风险时，对连接至该无线接入点的所有终端进行反制。即只要监测到有无线接入点有安全风险，不管该无线接入点是否为内网中的无线接入点，都对连接至该无线接入点的所有终端进行反制。以保障内网安全性。

图4所示为本发明实施例中网络安全防护方法的整体流程示意图，其中，扫描AP和内网AP均为内网中的无线接入点，可以接受无线控制器的管理，对于通过设定认证方式连接到内网AP的终端，无线控制器可以将其记录到待监控终端数据库中。扫描AP执行扫描任务，将扫描到的连接信息上报给无线控制器，无线控制器根据连接信息，通过查询待监控终端数据库，确定是否对终端进行反制，如果确定，则下发反制任务给扫描AP，扫描AP对相应终端进行反制，如对图4中连接至外部网络AP的终端和连接至钓鱼AP的终端进行反制。无线控制器在确定要对终端反制时，可以生成告警信息，同时通过短信/APP等方式通知管理人员，管理人员可以通过用户界面UI查看连接相关信息。

相应于上面的方法实施例，本发明实施例还提供了一种网络安全防护装置，下文描述的一种网络安全防护装置与上文描述的一种网络安全防护方法可相互对应参照。

参见图5所示，该装置包括以下模块：

连接信息获得模块510，用于获得设定范围内的连接信息，连接信息包括无线接入点信息和连接至各无线接入点的终端信息；

非法接入点确定模块520，用于根据连接信息，确定各无线接入点是否为非法接入点；

待监控终端确定模块530，用于针对连接至每个非法接入点上的每个终端，根据该终端的终端信息，确定该终端是否为待监控终端；

终端反制模块540，用于在该终端为待监控终端时，对该终端进行反制。

应用本发明实施例所提供的装置，获得设定范围内的连接信息后，根据连接信息，可以确定各无线接入点是否为非法接入点，针对连接至每个非法接入点的每个终端，根据该终端的终端信息，可以确定该终端是否为待监控终端，如果该终端为待监控终端，则可以对该终端进行反制，以使该终端无法继续连接非法接入点。仅对待监控终端进行反制，可以在保障内网安全性的同时避免影响邻近网络的无线接入点的正常使用。

在本发明的一种具体实施方式中，待监控终端确定模块530，具体用于：

在预先获得的待监控终端数据库中查找该终端的终端信息；

如果查找到，则确定该终端为待监控终端。

在本发明的一种具体实施方式中，还包括终端信息记录模块，用于：

针对每个终端，如果监测到该终端通过设定认证方式连接到任意一个合法接入点，则将该终端的终端信息记录到待监控终端数据库中。

在本发明的一种具体实施方式中，终端反制模块540，具体用于：

将针对该终端的反制任务下发给目标无线接入点，以使目标无线接入点模拟该终端连接的无线接入点，向该终端发送解关联帧。

在本发明的一种具体实施方式中，还包括后处理模块，用于：

在该终端为待监控终端的情况下，生成并保存针对该终端的告警信息；

和/或，将告警信息推送给预设人员。

在本发明的一种具体实施方式中，还包括可视化展示出模块，用于：

在接收到连接信息查询指令时，输出展示连接相关信息。

在本发明的一种具体实施方式中，还包括策略确定模块，用于：

在根据连接信息，确定各无线接入点是否为非法接入点之前，确定当前反制策略是否为限制策略；

如果是，则执行根据连接信息，确定各无线接入点是否为非法接入点的步骤；

如果否，则在监测到有无线接入点有安全风险时，对连接至该无线接入点的所有终端进行反制。

相应于上面的方法实施例，本发明实施例还提供了一种网络安全防护设备，如图6所示，包括：

存储器610，用于存储计算机程序；

处理器620，用于执行计算机程序时实现上述网络安全防护方法的步骤。

相应于上面的方法实施例，本发明实施例还提供了一种计算机可读存储介质，计算机可读存储介质上存储有计算机程序，计算机程序被处理器执行时实现上述网络安全防护方法的步骤。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的技术方案及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权利要求的保护范围内。

Claims (10)

1.一种网络安全防护方法，其特征在于，包括：

获得设定范围内的连接信息，所述连接信息包括无线接入点信息和连接至各无线接入点的终端信息；

根据所述连接信息，确定各无线接入点是否为非法接入点；

针对连接至每个非法接入点上的每个终端，根据该终端的终端信息，确定该终端是否为待监控终端。

2.根据权利要求1所述的方法，其特征在于，所述根据该终端的终端信息，确定该终端是否为待监控终端，包括：

在预先获得的待监控终端数据库中查找该终端的终端信息；

如果查找到，则确定该终端为待监控终端。

3.根据权利要求2所述的方法，其特征在于，还包括：

针对每个终端，如果监测到该终端通过设定认证方式连接到任意一个合法接入点，则将该终端的终端信息记录到所述待监控终端数据库中。

4.根据权利要求1所述的方法，其特征在于，在确定该终端为待监控终端时，所述方法还包括：

将针对该终端的反制任务下发给目标无线接入点，以使所述目标无线接入点模拟该终端连接的无线接入点，向该终端发送解关联帧。

5.根据权利要求1所述的方法，其特征在于，在该终端为待监控终端的情况下，还包括：

生成并保存针对该终端的告警信息；

和/或，

将所述告警信息推送给预设人员。

6.根据权利要求1至5之中任一项所述的方法，其特征在于，还包括：

在接收到连接信息查询指令时，输出展示连接相关信息。

7.根据权利要求1至5之中任一项所述的方法，其特征在于，在所述根据所述连接信息，确定各无线接入点是否为非法接入点之前，还包括：

确定当前反制策略是否为限制策略；

如果是，则执行所述根据所述连接信息，确定各无线接入点是否为非法接入点的步骤；

如果否，则在监测到有无线接入点有安全风险时，对连接至该无线接入点的所有终端进行反制。

8.一种网络安全防护装置，其特征在于，包括：

连接信息获得模块，用于获得设定范围内的连接信息，所述连接信息包括无线接入点信息和连接至各无线接入点的终端信息；

非法接入点确定模块，用于根据所述连接信息，确定各无线接入点是否为非法接入点；

待监控终端确定模块，用于针对连接至每个非法接入点上的每个终端，根据该终端的终端信息，确定该终端是否为待监控终端。

9.一种网络安全防护设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至7任一项所述网络安全防护方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述网络安全防护方法的步骤。