CN1725703A - 网络行为管理方法与系统 - Google Patents

Abstract

一种网络行为管理方法和系统，基于网络内部信息资源的保密安全，采用客户端/服务端c/s管理结构对网络内部进行全面监控，c/s管理结构包括客户端、服务端和数据库；通过密码设定使授权访问限于服务端程序，并将重要信息存入数据库；服务端程序包括全方位监控技术与集中管理方式，来控制和管理网络内部计算机的各种事件，通过客户端程序来记录计算机各种操作，并及时反馈给服务端程序。通过网络行为管理方法和系统，管理员能够清楚的知道网络内计算机上正在发生的各种事件，对网络内的信息交换进行全方位的监控，实现对内部网络全面的控制和有效的管理。并经严格测试通过公安部、保密局等相关主管部门的认证。

Description

网络行为管理方法与系统

技术领域

本发明涉及网络信息领域、信息安全、网络技术、操作系统核心文件驱动技术、通信驱动技术、计算机应用、计算机组织与系统结构，计算机科学理论等。

本发明涉及网络行为管理方法与系统，它采用c/s(客户端/服务端)管理结构。具体地说，利用服务端程序全方位监控技术与集中管理方式，来控制和管理网络内部计算机的各种事件，通过客户端程序来记录计算机各种操作，并及时通过数据加密传输技术反馈给服务端程序。客户端程序采用不可卸载技术和进程隐藏技术，锁定和解锁技术，规范整个网络内部计算机的信息资源和使用操作的网络行为管理系统。

背景技术

二十世纪末，“信息革命”引发全球范围内科学技术和日常生活的深刻变革。随着网络技术的突飞猛进，电脑和网络的广泛应用，单位内部网络规模日益庞大，网络拓扑结构也越来越复杂，网络保密性安全性要求变得越来越高，使得网络管理和保密和网络安全问题开始逐渐重要起来，日益引起为网络管理员、单位领导、政府的高度重视。

常规网络安全防御理念局限在网关级别(防火墙、ids等)、网络边界(漏洞扫描、安全审计、防病毒)等方面的防御，并且重要的安全设施大致集中于机房、网络入口处，在这些“铁将军”的严密把守之下，来自网络外部的安全威胁大大减小。但是，根据多数网络管理人员所反映的问题是，繁杂而琐碎的安全问题，大都来自网络内部。研究表明，解决了网络内部的安全问题，效果接近于排除了一半的安全忧患，因此，内部网络安全管理必须作为整体安全管理的一个重要组成部分来对待。

本发明申请人针对政府机关、保密机构、军队、金融、企业网络等内部网络实际管理要求，在总结十多年对国家部委、集团、中小企业网络的安全管理、安全现场保障基础上专门研制开发了信息网络行为管理方法与系统。

通过网络行为管理方法和系统，管理员能够清楚的知道网络内计算机上正在发生的各种事件，对网络内的信息交换进行全方位的监控，也能预防文件被拷贝到移动存储设备、或者网络邻居机器，从而实现对内部网络全面的控制和有效的管理。并经严格测试通过公安部、保密局等相关主管部门的认证。

发明内容

为此，本发明提供一种基于确保网络内部信息资源的保密安全，对网络内部进行全面监控，使管理员能够清楚的知道计算机正在发生的各种事件，对所有的计算机资源信息进行监控，对网络内的信息交换进行全方位的监控，从而实现对内部网络全面的控制和有效的管理，建立计算机使用规则的网络行为管理系统。

本发明的目的是这样实现的：网络行为管理方法，基于确保网络内部信息资源的保密安全的方法，采用c/s(客户端/服务端)管理结构对网络内部进行全面监控，c/s(客户端/服务端)管理结构包括客户端、服务端和数据库；通过密码设定使授权访问限于服务端程序，即只有服务端可以访问数据库，并将重要信息存入数据库；服务端程序包括全方位监控技术与集中管理方式，来控制和管理网络内部计算机的各种事件，通过客户端程序来记录计算机各种操作，同时将数据加密，并及时通反馈给服务端程序；客户端程序采用不可卸载技术和进程隐藏(如在win98中实现)。数据加密实现方法：按当前时间和未加密数据的位置，读取相应加密键，进行加密，这样可以做到，相同的数据，每次加密的结果不一样，达到难以破解。客户端程序不可卸载实现方法：启动双进程，互相监控对方是否存在；若否，运行新的监控进程。若监控软件的核心文件被改名或者删除自动生成该文件。98版下，采用将应用程序注册为服务来隐藏进程。

客户端程序，用于记录计算机的各种操作行为，并及时通过数据加密传输反馈给服务端程序；根据安全策略，做各种安全防护。客户端设有锁定和解锁技术，规范整个网络内部计算机的信息资源和使用操作的网络行为管理系统。实现方法是：锁定时，当目标机器违规时，锁住屏幕，即用键盘钩子软件，捕捉敲任何健都返回无效值；解锁，关闭键盘钩子软件即可。本发明可以通过密码设定操作服务端程序。

本发明通过查看方式模块、设置模块、全方位的在线监控模块、在线控制模块、日志管理模块、帮助模块和防火墙模块组成。实施安全策略设置的实现方法：管理员配置后安全策略，生成策略文件，发送更新安全策略的命令；目标机器得到新的策略文件，解析出各条策略，并按允许、禁止即辅助参数，进行相应处理。实施配置IP地址、网关、DNS、MAC地址禁止修改的实现方法：方法1，将修改ip地址的对话框按钮加灰。方法2，开线程捕捉ip地址修改消息，若有，将合法的地址重新写入，达到不能修改的目的。

实施内网机器的参数进行统一配置：实现方法：可以统一批处理局域网若干或者所有机器注册信息，设置该机器的网关、所属组等信息；可以设置组安全策略，对该组机器统一更新，或者目标机器自动取得组策略。本发明实施对机器进行当前操作和屏幕实时的监控。实施对USB、光驱、软驱、打印机、MODEM、红外、无线网卡等硬件设备的使用进行监控。防止文件被考贝到移动存储设备(可以从移动存储设备读取)，防止文件被网络邻居机器考贝。实施对机器软、硬件信息增减或者删除的监控。

实施对未注册机器接入局域网监控并屏蔽。实施邮件监控。实施对机器(在线和离线)的操作进行监控，对用户进行文件夹和文件创建、删除、修改、改名等操作进行监控，提供便捷的查询方式。

本发明实现的主要功能还包括：

行为监控功能：软件清单，硬件清单，全部机器软件和硬件报表，客户端文件日志报表，消息日志，客户端应用(程序)日志记录，文件监控日志记录，管理员日志，邮件监控，屏幕实时监控等。

安全防护功能：软驱、光驱、USB设备控制，拨号连接监控，内网未注册机器屏蔽，端口扫描，IP地址、网关、mac禁止修改，违规锁定，窗口标题控制，进程控制，网络邻居拷贝禁止，移动存储设备拷贝禁止程监控，串并口红外禁止，无线网卡禁止，客户端自身防卸载、数据加密技术等。

管理操作功能：对机器网络参数进行统一配置，分组查看及网段查看，远程升级，重启客户端，更新安全策略等。

附图说明

以下结合附图对本发明优选实施例的描述

图1是本发明优选实施例的网络行为管理系统的功能框架结构；

图2是本发明根据本发明优选实施例的系统界面；

图3是本发明优选实施例的系统整体实现的流程图；

具体实施方式

下面将参考附图详细地描述本发明的优选实施例。

图1示出了根据本发明一优选实施例的网络行为管理系统的结构。在该实施例中，系统由客户机、管理员机、数据库服务器组成。

如图1所示，本系统是采用C/S/DBS三级结构，即客户端、服务端、数据库。只有服务端可以访问数据库，并将重要信息(如各客户端MAC地址、机器软硬件配置等)存入数据库。只有知道密码的管理员才能操作数据。因此管理员修改了服务端程序密码及数据库的密码，即使我公司的开发人员也不能操作数据库及服务端程序。

图2示出了根据本发明优选实施例的才华网络行为管理系统的功能框架结构。如图2所示，才华网络行为管理系统功能框架由查看方式模块、设置模块、监控模块、在线控制模块、日志管理模块、帮助模块和防火墙模块组成。其功能大约分为行为监控功能、安全防护功能、管理操作功能

行为监控功能

1.管理员日志

实现方法：管理员在服务端进行的各项监控操作、查询操作，都纪录到数据库；审查员可以打开管理员日志审查某管理员的操作行为。(注：审查员级别比管理员高，管理员不能看到管理员日志)

2.消息日志

实现方法：当客户端有违规操作时，以消息形式纪录下来，当在线监控时，将消息立即发回到服务端；当离线时，保存到文件，一旦上线，即将该消息文件上传服务端，服务端解析保存。管理员即可查询各个机器的违规等信息。

3.客户端应用日志

实现方法：

客户端创建窗口捕捉钩子，当有新窗口创建或者打开时，即可捕捉其标题，并保存应用日志文件。管理员查看客户端应用目志的命令；客户端将应用日志文件发回。

4.客户端文件日志

实现方法：

客户端创建线程，捕捉某路径下面的文件变化消息，当有文件新增、删除、改名等操作时，即可记录文件名及相应操作，并保存文件日志文件。

客户端创建文件过滤驱动，分辨是网络访问还是本地访问文件，若是网络访问，即记录文件名，并保存文件日志文件。这样可以监控本机那些文件被网络邻居访问。

管理员查看客户端应用日志的命令；客户端将应用日志文件发回。

5.客户端文件日志报表

实现方法：将各个机器的归档客户端文件日志，按照部门、网端、操作类型等查询汇总，形成报表。

6.查看屏幕

实现方法：管理员发送查看屏幕的命令；目标机器抓屏存为图片文件，并将该文件发给服务端；服务端预览。

7.软件信息

实现方法：管理员发送软件信息命令；目标机器读取注册表中已经安装的软件信息，生成文件发回到服务端；服务端浏览。

8.硬件信息。

实现方法：管理员发送硬件信息命令；目标机器读取注册表中已经安装的硬件信息，生成文件发回到服务端；服务端浏览。

9.软硬件增减的实时监控

实现方法：定时读取软件、硬件信息，前后比较，发现有改完，以消息形式报告服务端。

10.邮件监控

实现方法：设置socket为混杂模式，捕捉ip包，分析出pop3、smtp的端口(或者已知网页邮件发送的端口)的包，按邮件标准格式，解析出地址、题头、正文、附件等，存入文件，并发送到服务端。

安全防护功能

1.屏蔽未注册客户端

实现方法：服务端机器不断发arp包扫描网络，得到目标机器ip地址；并且和注册数据比较；如果是新的，则向该机器发送arp攻击包，即可成功阻止该机器访问局域网。

2.锁定机器、解锁机器

实现方法：管理员发送锁定机器、解锁机器的命令；目标机器被锁定、解锁。

3.端口扫描

实现方法：服务端机器扫描个机器的共享端口；如果目标机器共享端口打开了，在用简单的密码标去登录该机器，查看该机器是否使用简单密码。

4.软驱、光驱

实现方法：取得各个盘符；判断其属性，得到软驱、光驱；用打开文件的方式，得到该盘句柄，继而设置禁止。

5.USB设备控制

实现方法：取得各个盘符，判断其属性，得到u盘，或者在运行中，捕捉硬件设备消息得到u盘盘符；用打开文件的方式，得到该盘句柄，继而设置禁止。

6.拨号连接监控

实现方法：设置定对器，判断有无连接internet网；若有，判断连接属性是否为modem连接；是，则强行中断。

7.JP地址、网关、DNS、mac禁止修改

实现方法：方法1，将修改ip地址的对话框按钮加灰。方法2，开线程捕捉ip地址修改消息，若有，将合法的地址重新写入，达到不能修改的目的。

8.违规锁定

实现方法：当目标机器违规时，锁住屏幕，即用键盘钩子，捕捉敲任何健都返回无效值。

9.窗口标题控制

实现方法：通过线程捕捉窗口标题，若有被禁的窗口，强行关闭该窗口进程。

10.进程禁止控制

实现方法：客户端创建文件过滤驱动，分辨启动的进程是否是被禁止的；若是，返回错误，即可达到进程运行失败，同时该进程文件不能改名运行。该功能非常有意义，对禁止某些有危害的程序非常好。

11.网络邻居拷贝禁止

实现方法：客户端创建文件过滤驱动，分辨是网络访问还是本地访问文件，若是网络访问，返回错误，即可达到网络邻居拷贝失败。

12.移动存储设备拷贝禁止程监控

实现方法：客户端创建文件过滤驱动，分辨是u盘访问还是普通硬盘访问文件，若是写u盘操作，返回错误，即可达到移动存储设备拷贝失败。

13.串并口红外禁止

实现方法：按串、并口、红外的硬件classID查找相关硬件的序号；将该序号硬件设置为禁止即可。

14.无线网卡禁止

实现方法：查找网卡数目，当为多个，找到没有注册的非法网卡名，进而找到相应网卡的序号；将该序号硬件设置为禁止即可。

15.客户端自身防卸载

实现方法：启动双进程，互相监控对方是否存在；若否，运行新的监控进程。若监控软件的核心文件被改名或者删除自动生成该文件。98版下，采用将应用程序注册为服务来隐藏进程。(说明：安全软件自身的安全防卸载很重要，若被卸了，不能运行，一切无意义)

16.数据加密技术

实现方法：按当前时间和未加密数据的位置，读取相应加密键，进行加密，这样可以做到，相同的数据，每次加密的结果不一样，达到难以破解。

管理操作功能

1.查看方式分成分组查看和网段查看。

实现方法：将属于同一组或者同一网段的机器归纳一起两种方式可以相互切换。

2.设置分成网段设置、群组设置、安全策略设置、机器设置和系统参数设置。

实现方法：略。

3.远程升级

实现方法：管理员选中升级文件若干，发送远程升级的命令；客户端收到文件后，发现已经存在，则将老版本的文件改名，生成新文件；重启后，升级文件生效，同时删除旧文件。

4.重启客户端

实现方法：管理员发送重启客户端的命令；目标机器关闭主监控进程，隔一秒钟后重新运行客户端。主要目的，版本升级后，重启立即生效。

5.更新安全策略

实现方法：管理员配置后安全策略，生成策略文件，发送更新安全策略的命令；目标机器得到新的策略文件，解析出各条策略，并按允许、禁止即辅助参数，进行相应处理。

6.对机器网络参数进行统一配置

实现方法：可以统一批处理局域网若干或者所有机器注册信息，设置该机器的网关、所属组等信息；可以设置组安全策略，对该组机器统一更新，或者目标机器自动取得组策略。

其他说明

本发明系统所有功能模块都是在独立的线程中完成，因此不但可以高效率完成各种监视和控制，也能避免因为其中的某一功能异常而导致整个系统的崩溃。将来添加新功能是只需增加一些新功能线程，而不必改动以前代码，使系统维护、升级非常方便。

图2示出了根据本发明优选实施例的系统界面；

“才华网络行为管理系统”在研发过程中，始终强调“人性化设计”，充分强调了系统的可用性和易用性，在系统人性化设计方面更是做了大量的工作。

图3示出了根据本发明优选实施例的系统整体实现的流程图；

本系统在局域网中设置一个服务端，除服务端外，每台机器都安装客户端程序。

服务端程序启动后，实现通信、扫描网段中机器状态等两项的线程始终开启。其他功能在得到用户相应指令后，动态开启功能块，并且在完成相应功能后自动关闭。

客户端程序启动后，其中实现通信、移动硬盘检测并锁定、文件变化监控、安全策略读取更新等四项线程始终开启；其他功能的线程是在接受到服务端的命令后生成，并且完成相应功能后该线程自动关闭。

Claims (10)

1、一种网络行为管理方法，基于网络内部信息资源的保密安全，其特征是采用客户端/服务端c/s管理结构对网络内部进行全面监控，c/s管理结构包括客户端、服务端和数据库；通过密码设定使授权访问限于服务端程序，即只有服务端可以访问数据库，并将重要信息存入数据库；服务端程序包括全方位监控技术与集中管理方式，来控制和管理网络内部计算机的各种事件，通过客户端程序来记录计算机各种操作，并及时反馈给服务端程序。

2、由权利要求1所述的网络行为管理方法，其特征是客户端设有锁定和解锁技术，锁定时，当目标机器违规时，即用键盘钩子软件锁住屏幕，捕捉敲任何健都返回无效值；解锁时，关闭键盘钩子软件。

3、由权利要求1所述的网络行为管理方法，其特征是通过密码设定操作服务端程序，同时通过客户端程序将数据加密，数据加密的实现方法是：按当前时间和未加密数据的位置，读取相应加密键，进行加密。

4、由权利要求1所述的网络行为管理方法，其特征是设有实施安全策略设置的实现方法：即管理员配置后安全策略，生成策略文件，发送更新安全策略的命令；目标机器得到新的策略文件，解析出各条策略，并按允许、禁止即辅助参数，进行相应处理。

5、根据权利要求1所述的网络行为管理方法，其特征是实施配置IP地址、网关、DNS、MAC地址禁止修改的方法：即将修改ip地址的对话框按钮加灰或开线程捕捉ip地址修改消息，若有，将合法的地址重新写入，达到不能修改的目的。

6、根据权利要求1所述的网络行为管理方法，其特征是实施内网机器的参数进行统一配置的方法：即统一批处理局域网若干或者所有机器注册信息，设置该机器的网关、所属组信息；设置组安全策略，对该组机器统一更新，或者目标机器自动取得组策略。

7、根据权利要求1所述的网络行为管理方法，其特征是防止文件被考贝到移动存储设备，防止文件被网络邻居机器考贝；实现方法是，客户端创建文件过滤驱动，分辨是u盘访问还是普通硬盘访问文件，若是写u盘操作，返回错误，即可达到移动存储设备拷贝失败；并设有网络邻居拷贝禁止实现方法：客户端创建文件过滤驱动，分辨是网络访问还是本地访问文件，若是网络访问，返回错误，即可达到网络邻居拷贝失败。

8、根据权利要求1所述的网络行为管理方法，其特征是设有串并口红外禁止的实现：按串、并口、红外的硬件classID查找相关硬件的序号；将该序号硬件设置为禁止即可；同时设有无线网卡禁止实现：其方法是查找网卡数目，当为多个，找到没有注册的非法网卡名，进而找到相应网卡的序号；将该序号硬件设置为禁止；并设有拨号连接监控实现方法：设置定时器，判断有无连接internet网；若有，判断连接属性是否为modem连接；是，则强行中断。

9、根据权利要求1所述的网络行为管理方法，其特征是实施对USB、光驱、软驱、打印机、MODEM、红外、无线网卡等硬件设备的使用进行监控：USB设备控制方法是：取得各个盘符，判断其属性，得到u盘，或者在运行中，捕捉硬件设备消息得到u盘盘符；用打开文件的方式，得到该盘句柄，继而设置禁止。

10、根据权利要求1或2所述的网络行为管理方法，其特征是客户端自身防卸载且设有客户端程序不可卸载的方法：即启动双进程，互相监控对方是否存在；若否，运行新的监控进程；若监控软件的核心文件被改名或者删除自动生成该文件；98版下，采用将应用程序注册为服务来隐藏进程。

Images