CN201479143U

CN201479143U - 内网安全管理系统

Info

Publication number: CN201479143U
Application number: CN2009202226810U
Authority: CN
Inventors: 于晴; 王海洋
Original assignee: BEIJING TIP TECHNOLOGY CO Ltd
Current assignee: BEIJING TIP TECHNOLOGY CO Ltd
Priority date: 2009-09-17
Filing date: 2009-09-17
Publication date: 2010-05-19
Anticipated expiration: 2019-09-17

Abstract

本实用新型是一种内网安全管理系统，包括：传输介质；经由所述传输介质接入内网的多个计算机；连接所述传输介质具有受控端口的交换机，该交换机可以根据认证结果接受或拒绝计算机的入网请求；连接所述交换机的认证服务器，该认证服务器对对所述计算机经由交换机发送的认证请求进行认证或识别，并将得到的认证结果返回给交换机；以及连接所述交换机的管理中心，该管理中心分配已通过认证计算机的权限和下发关于计算机权限指令，并接收计算机上传的日志及报警。本实用新型可以有效的阻断外部计算机接入内部网络和内部计算机非法外联，同时对内网可信计算机进行控制管理，从而有效的防止信息泄漏事件的发生。

Description

内网安全管理系统

技术领域

本实用新型涉及计算机的安全管理，特别涉及一种只允许可信终端接入安全管理的内网安全管理系统。

背景技术

随着内部计算机网络的发展和信息化程度的提高，传统的管理方式如手工登记、物理拆卸或者局部软件管理已具有很大的局限性，它们通常只能在有限的范围内实现部分安全管理需求，同时繁琐的重复工作无论对管理者还是使用者都造成了极大的不便，另外对于违规事件的事后审计和报告也缺乏系统的管理。因此，研制适用于涉密企业内部计算机的多功能、自动化的内网安全管理系统，从而对内网计算机进行实时安全监控与管理，已成为安全管理者和安全技术人员十分关注和迫切盼望解决的问题。

目前的一些终端认证大多从网络层控制计算机的非法接入，使得非授权终端数据流可以进入网络，造成如ARP包非法广播、ping攻击、恶意病毒、木马数据流在网络中泛滥。

此外，一些终端认证直接利用交换机的普通端口，没有对端口进行控制，只是对数据的普通转发，不能对计算机的接入进行控制。

此外，一些终端认证为弹出界面，要求用户输入相关认证信息进行认证，非常麻烦，并且也给非法破译密码等非法连入网络创造了条件。

因此，目前的内部网络不能阻止外界计算机非法接入，因而极易造成信息泄露，带来很大的信息安全隐患，如何控制非法主机接入内部网络是目前很多企、事业单位共同关心的问题。还有，内网计算机可以通过无线上网，出现内网计算机非法外联的现象，这也会使内网计算机的数据通过外网泄密。

发明内容

本实用新型的目的是提供一种能够加强涉密计算机的内网安全管理系统。

本实用新型的实现上述目的的内网安全管理系统包括：

传输介质；经由所述传输介质接入内网的多个计算机；连接所述传输介质的具有受控端口的交换机；连接所述交换机以对所述计算机经由交换机发出的认证请求进行认证的认证服务器；以及连接所述交换机以对所述计算机中已通过认证的计算机进行安全管理的管理中心。

其中，所述管理中心包括：控制台，用于分配已通过认证的计算机的权限；以及监控与审计服务器，通过与已通过认证的计算机通信以下发关于计算机权限的指令，并接收计算机上传的日志及警报。

其中，所述多个计算机之每个经由传输介质分别连接所述交换机的一个相应受控端口；控制台、监控与审计服务器和认证服务器分别连接所述交换机的其他三个端口。

其中，所述交换机包括：具有多个分别连接所述多个计算机的受控端口以及连接所述控制台、监控与审计服务器和认证服务器的其他端口的交换芯片；以及连接所述交换芯片以根据所述认证服务器的认证结果对连接计算机的受控端口进行控制的端口控制模块。

其中，所述计算机是装有终端代理装置的计算机。

其中，所述终端代理装置包括：经由计算机USB口连接计算机CPU的USB密钥装置，其内存有用来登录的USB密钥；连接计算机CPU以根据USB密钥和用户密码启动计算机操作系统的双因子登录检查模块；连接计算机CPU以接收及执行监控与审计服务器下发的指令的管理指令接收及执行模块；连接计算机CPU以检查计算机的非法外联的外联检查模块；连接计算机CPU的网卡禁用模块，用于在外联检查模块发现计算机非法外联时禁用网卡工作；连接计算机CPU的日志生成及警报发送模块，用于生成与管理指令接收及执行模块执行情况相应的审计日志和关于非法外联的警报；以及连接计算机CPU的涉密文件转换模块，用于将计算机内存储的涉密文件转换成密文。

其中，所述双因子登录检查模块包括：经由计算机CPU检查所述USB密钥装置的USB密钥的USB密钥识别单元；以及经由计算机CPU检查用户输入的用户密码的用户密码识别单元。

其中，所述外联检查模块包括：向外网域名解析服务器发送数据包的数据包发送单元；以及接收并解析外网域名解析服务器回送的数据包的域名解析单元。

本实用新型具有以下技术效果：

1、可以保证只有经过主管部门认证的计算机，才可以顺利通过基于交换机端口的访问控制认证，才可以自由的应用单位内部的计算机网络以及其中的资源，防止外来计算机随意接入内部网络等违规行为。

2、可以监控和审计涉密计算机的数据输入/输出接口、设备以及被控端用户的敏感行为，从而加强对涉密计算机的安全管理，达到有效预防失、泄密事件发生的目的。

3、可以禁止涉密计算机非法拨号上网，防止涉密计算机的非法外联行为。

下面结合附图对本实用新型进行详细说明。

附图说明

图1是本实用新型的内网安全管理系统的配置图；

图2是本实用新型的内网安全管理系统的原理图；

图3是图2所示的交换机的原理图；

图4是图2所示的终端计算机的原理图；

图5是图4中双因子登录检查模块的原理图；

图6是图4中外联检查模块的原理图。

具体实施方式

图1显示了本实用新型的内网安全管理系统的配置图，图1所示的内网安全管理系统包括：传输介质2，它可以是双绞线或同轴电缆；经由所述传输介质2接入内网的多个计算机1；连接所述传输介质1的具有受控端口的交换机3，该交换机可以根据认证结果接受或拒绝计算机的入网请求；连接所述交换机3的认证服务器4，该认证服务器对所述计算机经由所述交换机发送的认证请求进行认证或识别，并将认证或识别后得到的认证结果返回给交换机；以及连接所述交换机3的管理中心5，该管理中心包括控制台51和监控与审计服务器52，所述控制台负责分配已通过认证计算机的权限，所述监控与审计服务器通过与已通过认证的计算机通信以下发关于计算机权限指令，并接收计算机上传的日志及报警。

图2显示了计算机1经由交换机3认证服务器4入网请求以及管理中心5发送指令管理可信计算机的原理。如图2所示，假定在计算机A、B和C中，计算机A和B是可信计算机，而计算机C是非法接入的计算机。当计算机A～C启动时，分别经由交换机3向认证服务器4发送认证请求。由于计算机A和B是可信计算机，因此认证服务器4向交换机3发送“计算机A和B认证成功”的认证结果，使交换机3打开分别连接计算机A和B的受控端口；而由于计算机C不是可信计算机，因此认证服务器4向交换机3发送“计算机C认证失败”的认证结果，使交换机3的连接计算机C的受控端口处于断开状态，从而拒绝计算机C入网。对于已成功通过请求入网认证的可信计算机A和B，通过管理中心5对其进行安全管理。控制台51负责可信计算机的安全策略规划和权限分配，监控与审计服务器52通过与可信计算机通信下发关于计算机权限的指令，并接收计算机上传的与指令执行情况相应的审计日志和关于非法外联的警报，同时，对于非法外联的情形，监控与审计服务器52还向控制台51报警。

本实用新型的内网是指具有传输介质2、交换机3、认证服务器4和管理中心5的局域网，其中管理中心包括控制台51和监控与审计服务器52，计算机1经由所述传输介质2接入内网，如图1和图2所示，多个计算机1如计算机A～C之每个经由传输介质2分别连接所述交换机3的一个相应的受控端口；认证服务器4、控制台51和监控与审计服务器52分别连接所述交换机3的三个其他端口。

计算机终端在接入内网之前，先向认证服务器发出认证请求。如果终端通过了认证申请，则可以接入内网，进行网络通信。如果终端没有通过认证则不能接入内网，不能进行网络通信，使未经相关主管部门授权的计算机无法擅自接入内部的计算机网络，控制非法计算机接入内网的行为。

图3显示了本实用新型的可根据认证服务器的认证结果控制受控端口状态的交换机3的原理。如图3所示，该交换机3包括：交换芯片31，该交换芯片具有多个经由传输介质2分别连接所述计算机A～C的受控端口311、312、313和连接认证服务器4、控制台51和监控与审计服务器52的其他端口314、315、316，还有向认证服务器4发送认证请求信息的认证信息传送单元以及计算机通过认证并打开交换机受控端口后进行数据交换的数据流交换单元；以及连接所述交换芯片31以根据认证服务器的认证结果对连接计算机的端口进行控制的端口控制模块32。

计算机A～C通过交换机认证信息传送单元向认证服务器发送认证请求信息。交换芯片31可以在来自计算机的数据包中添加受控端口号，以便端口控制模块32根据认证服务器4的认证结果的数据包对交换芯片31的受控端口进行控制。服务器在收到请求信息后，对信息进行识别，通过交换机端口向计算机转发应答信息。

认证服务器4通常用数据包中的标志位表示认证结果，这样端口控制模块32就可以根据该标志位对交换芯片31的受控端口进行控制，即当标志位为认证成功符号时，打开连接相应计算机的受控端口，允许计算机的数据流传送。

下面参照图4、图5和图6对本实用新型的计算机进行安全管理的具体过程进行详细说明。

对于安装在计算机1中的终端代理装置16，其包括：经由计算机USB口连接计算机CPU 11的USB密钥装置15，其内存有用来登录的USB密钥；连接计算机CPU 11以根据USB密钥和用户密码启动计算机操作系统的双因子登录检查模块161；连接计算机CPU 11以接收及执行监控与审计服务器52下发的指令的管理指令接收及执行模块162；连接计算机CPU 11以检查计算机的非法外联的外联检查模块163；连接计算机CPU 11的网卡禁用模块164，用于在外联检查模块163发现计算机非法外联时禁用网卡14工作；连接计算机CPU 11的日志生成及警报发送模块165，用于生成与管理指令接收及执行模块162执行情况相应的审计日志和关于非法外联的警报；以及连接计算机CPU 11的涉密信息转换模块166，用于将计算机内存储的涉密信息转换成密文，并提供文件安全删除手段。

本实用新型的双因子登录检查模块161包括：经由计算机CPU 11检查所述USB密钥装置15的USB密钥的USB密钥识别单元1611；以及经由计算机CPU 11检查用户输入的用户密码的用户密码识别单元1612。

本实用新型的外联检查模块163包括：向外网域名解析服务器发送数据包的数据包发送单元1631；以及接收并解析外网域名解析服务器回送的数据包的域名解析单元1632。

计算机A～C开机启动时，首先需插入USB密钥装置15，通过双因子登录检查模块161检查USB密钥和用户密码这两个因子，只有当这两个因子都有效时，才能启动计算机的操作系统，即登录才能成功。实现此环节的过程为：USB密钥识别单元1611经由计算机CPU 11检查USB密钥装置15的密钥，通过对比预存的USB密钥，如果预存USB密钥与USB密钥装置的USB密钥一致，则进一步由用户密码识别单元1612检查用户密码，密码正确，操作系统启动成功，否则，启动失败。

计算机成功登录后，自动通过802.1x协议经由认证信息传送单元主动向交换机3发送认证信息，交换机通过Radius协议将认证信息转发到认证服务器4，认证服务器4收到认证信息后，查询数据库，对认证信息进行识别，识别成功后通过Radius协议将回应信息送往交换机3，交换机3通过802.1x协议将信息收到的回应信息传给可信终端。对于计算机A和B的认证结果，由于它们是可信计算机，则认证成功，端口控制模块302根据认证成功的标志位，打开受控端口311和312(使其图中的开关闭合)，使其可以通过数据交流单元进行数据交换。然而，对于非法接入的计算机C请求认证的应答结果，端口控制模块32则根据认证失败的标志位维持受控端口313的断开状态，拒绝该计算机连入网络。

对于已通过入网请求认证的可信计算机A和B，管理中心控制台51负责其安全策略的规划和权限的分配，通过监控与审计服务器52与可信计算机通信下发关于计算机权限的指令，终端代理装置16对所监控的资源，在管理指令接收及执行模块162接收并执行指令情况下，由日志生成及警报发送模块164产生与执行情况相应的审计日志和关于非法外联的警报，并按照日志审计策略将日志传回管理中心5，监控与审计服务器52接收审计日志和警报，存于数据库53中。如有违反安全策略的可疑行为，由监控与审计服务器52向控制台51报警。在发送管理指令对计算机终端的接口和设备进行监控管理时，外联检查模块163的数据包发送单元1631不间断向外网域名解析服务器(未显示)发送数据包，如果该计算机已经连接外网，则域名解析服务器向该计算机回送相应的数据包，域名解析单元1632接收并解析回送的数据包，该单元一旦解析后确认该数据包来自域名解析服务器，则立即通过CPU 11启用网卡禁用模块165向网卡设备发送控制命令，当网卡设备接收到禁用功能的控制命令后会在系统中将网卡禁用，从而使网卡14被禁止工作。

此外，涉密信息转换模块166可将计算机内存储的涉密信息转换成密文，并提供文件安全删除手段。

对可信计算机的安全管理概括起来可分三种，即是否允许用户读取信息、输入信息和输出信息，根据这三种职能可对具体的外围设备赋予相应的权限。比如：若可信计算机A是在一个高级涉密的内网中，可以对其安全策略的规划是只可以读取信息，而不能输入和输出信息，那么用户无法通过输入设备修改计算机中的文件，也无法通过打印机打印或拷贝等的方式输出其中的文件信息；若可信计算机A是在一个中级涉密的内网中，可以对其安全策略的规划是可以读取和修改文件，而不能输出文件的信息，那么用户无法可以通过输入设备修改其中的文件，但不能通过打印机打印或拷贝等的方式输出其中的文件信息；若可信计算机A是在一个低级涉密的内网中，可以对其安全策略的规划是即可以读取其中的文件，也可以通过外围设备输入或输出文件信息。再比如：对于某个内网的服务器，可以通过分配给属于此内网的某些可信计算机访问服务器的权限，也可以按照前述的思想对不同的可信计算机分配可以读取服务器文件、下载服务器文件、上传文件至服务器的权限；除了可以对同处于一个内网中的所有可信计算机分配同样的权限外，也可以对同处于一个内网中的可信计算机根据它们处于不同重要工作层次的安全需要对其规划相应的安全策略，进而对相关的外围设备赋予相应的权限，甚至在需要的时候，可以对已经设置好的权限做出调整。

表示权限的指令在监控与审计服务器中与权限以一一对应的形式存在。设置某个可信计算机的权限时，首先在控制台51上从数据库53中查找出该计算机，然后针对该计算机的具体安全需要分配相应的权限，经过设置好之后，与权限相对应的指令就与该计算机的MAC地址捆绑在一起，继而与MAC地址捆绑的指令由监控与审计服务器52发送至具有该MAC地址的计算机终端。

综上所述，本实用新型具有能够阻断非法计算机接入内部网络，并且能够阻断可信计算机非法外联、防止信息泄漏事件的优点。

本实用新型具有以下优点：

尽管上文对本实用新型进行了详细说明，但是本实用新型不限于此，本技术领域技术人员可以根据本实用新型的原理进行各种修改。因此，凡按照本实用新型原理所作的修改，都应当理解为落入本实用新型的保护范围。

Claims

1.一种内网安全管理系统，其特征在于包括：

传输介质(2)；

经由所述传输介质(2)接入内网的多个计算机(1)；

连接所述传输介质(2)的具有受控端口的交换机(3)；

连接所述交换机(3)以对所述计算机(1)经由交换机(3)发出的认证请求进行认证的认证服务器(4)；以及

连接所述交换机(3)以对所述计算机(1)中已通过认证的计算机进行安全管理的管理中心(5)。

2.根据权利要求1所述的内网安全管理系统，其特征在于，所述管理中心(5)包括：

控制台(51)，用于分配已通过认证的计算机的权限；以及

监控与审计服务器(52)，通过与已通过认证的计算机通信以下发关于计算机权限的指令，并接收计算机上传的日志及警报。

3.根据权利要求2所述的内网安全管理系统，其特征在于，所述多个计算机(1)之每个经由传输介质(2)分别连接所述交换机(3)的一个相应受控端口；控制台(51)、监控与审计服务器(52)和认证服务器(4)分别连接所述交换机(3)的其他三个端口。

4.根据权利要求3所述的内网安全管理系统，其特征在于，所述交换机(3)包括：

具有多个分别连接所述多个计算机(1)的受控端口以及连接所述控制台(51)、监控与审计服务器(52)和认证服务器(4)的其他端口的交换芯片(31)；以及

连接所述交换芯片(31)以根据所述认证服务器(4)的认证结果对连接计算机的受控端口进行控制的端口控制模块(32)。

5.根据权利要求4所述的内网安全管理系统，其特征在于，所述计算机(1)是装有终端代理装置(16)的计算机。

6.根据权利要求5所述的内网安全管理系统，其特征在于，所述终端代理装置(16)包括：

经由计算机USB口连接计算机CPU(11)的USB密钥装置(15)，其内存有用来登录的USB密钥；

连接计算机CPU(11)以根据USB密钥和用户密码启动计算机操作系统的双因子登录检查模块(161)；

连接计算机CPU(11)以接收及执行监控与审计服务器(52)下发的指令的管理指令接收及执行模块(162)；

连接计算机CPU(11)以检查计算机的非法外联的外联检查模块(163)；

连接计算机CPU(11)的网卡禁用模块(164)，用于在外联检查模块(163)发现计算机非法外联时禁用网卡(14)工作；

连接计算机CPU(11)的日志生成及警报发送模块(165)，用于生成与管理指令接收及执行模块(162)执行情况相应的审计日志和关于非法外联的警报；以及

连接计算机CPU(11)的涉密文件转换模块(166)，用于将计算机内存储的涉密文件转换成密文。

7.根据权利要求6所述的内网安全管理系统，其特征在于，所述双因子登录检查模块(161)包括：

经由计算机CPU(11)检查所述USB密钥装置(15)的USB密钥的USB密钥识别单元(1611)；以及

经由计算机CPU(11)检查用户输入的用户密码的用户密码识别单元(1612)。

8.根据权利要求6或7所述的内网安全管理系统，其特征在于，所述外联检查模块(163)包括：

向外网域名解析服务器发送数据包的数据包发送单元(1631)；以及

接收并解析外网域名解析服务器回送的数据包的域名解析单元(1632)。