CN201491036U - 主机监控与审计系统 - Google Patents

Abstract

本实用新型是一种主机监控与审计系统，包括：互联网；通过所述互联网互联的多个子监控与审计中心；以及连接所述互联网以管理所述子监控与审计中心的主监控与审计中心。其中子监控中心包含有：传输介质；通过所述传输介质互联的多个计算机；连接所述传输介质具有受控端口的交换机；连接所述交换机以对所述计算机经由交换机发出的认证请求认证的认证服务器；以及连接所述交换机以对已通过认证的计算机发出管理指令的管理中心。本实用新型可以有效的阻断外部计算机接入内部网络和内部计算机非法外联，同时对内网可信计算机进行控制管理，从而有效的防止信息泄漏事件的发生。

Description

主机监控与审计系统

技术领域

本实用新型涉及计算机的安全管理，特别涉及一种只允许可信终端接入安全管理的主机监控与审计系统。

背景技术

随着内部计算机网络的发展和信息化程度的提高，传统的管理方式如手工登记、物理拆卸或者局部软件管理已具有很大的局限性，它们通常只能在有限的范围内实现部分安全管理需求，同时繁琐的重复工作无论对管理者还是使用者都造成了极大的不便，另外对于违规事件的事后审计和报告也缺乏系统的管理。因此，研制适用于涉密企业内部计算机的多功能、自动化的主机监控与审计系统，从而对内网计算机进行实时安全监控与管理，已成为安全管理者和安全技术人员十分关注和迫切盼望解决的问题。

发明内容

为了解决现有技术存在的非法主机接入和违规使用外围设备问题，本实用新型提出了一种主机监控与审计系统，以防止外部主机非法接入内部网络和违规使用外围设备，保护网络内部计算机及信息安全。

本实用新型的上述目的是这样实现的，一种主机监控与审计系统，包括：互联网；通过所述互联网互联的多个子监控与审计中心；以及连接所述互联网以管理所述子监控中心的主监控与审计中心。

其中，所述子监控与审计中心包括：传输介质；通过所述传输介质互联的多个计算机；连接所述传输介质具有受控端口的交换机；连接所述交换机以对所述计算机经由交换机发出的认证请求认证的认证服务器；以及连接所述交换机以监控和管理本级范围内的主机以及下一级管理中心的管理中心。其中，所述管理中心包括：管理中心控制台，用于分配已通过认证的计算机的权限；以及监控与审计服务器，通过与所述多个计算机通信以下发关于计算机权限的指令，并接收计算机上传的日志及警报。

其中，所述多个计算机之每个经由传输介质分别连接所述交换机的一个相应受控端口；管理中心控制台、监控与审计服务器和认证服务器分别连接所述交换机的其他三个端口。

其中，所述交换机包括：具有多个分别连接所述多个计算机的受控端口以及连接所述管理中心控制台、监控与审计服务器和认证服务器的其它端口的交换芯片；以及连接所述交换芯片以根据认证服务器的认证结果对连接计算的端口进行控制的端口控制模块。

其中，所述计算机是装有终端代理装置的计算机。

其中，所述终端代理装置包括：

连接计算机CPU以接收及执行监控与审计服务器下发的指令的管理指令接收及执行模块；

连接计算机CPU以检查计算机的非法外联的外联检查模块；

连接计算机CPU的网卡禁用模块，用于在外联检查模块发现计算机非法外联时禁用网卡工作；以及

连接计算机CPU的日志生成及警报发送模块，用于生成与管理指令接收及执行模块执行情况相应的审计日志和关于非法外联的警报。

其中，所述计算机具有一个启动计算机工作的USB密钥装置。

本实用新型具有以下技术效果：

1、可对涉密计算机的数据输入/输出接口、设备和计算机用户对系统操作、文件操作、外接设备操作等行为进行实时监控和监测，并提供详尽的审计日志，防止涉密计算机的数据泄漏。

2、可以保证只有经过主管部门认证的计算机，才可以顺利通过基于交换机端口的访问控制认证，才可以自由的应用单位内部的计算机网络以及其中的资源，防止外来计算机随意接入内部网络等违规行为。

3、通过管理中心发送管理指令管理终端计算机，对涉密计算机禁止非法拨号上网，防止涉密计算机的非法外联行为。

下面结合附图对本实用新型进行详细说明。

附图说明

图1是本实用新型的主机监控与审计系统的示意图；

图2是图1所示的子监控与审计中心的配置图；

图3是图2所示的子监控与审计中心的原理图；

图4是图3所示的交换机的原理图；

图5是图3所示的终端计算机的原理图。

具体实施方式

图1显示了本实用新型的主机监控与审计系统的示意图，图1所示的主机监控与审计系统包括：互联网3，它可以是企业网或广域网；通过所述互联网3互联的多个子监控与审计中心2；以及连接所述互联网3以管理所述子监控与审计中心2的主监控与审计中心1，该主监控与审计中心1与子监控与审计中心2甚至更下一级子监控与审计中心呈树状结构(图中只显示二级监控与审计中心)。

图2显示了子监控与审计中心2的配置。如图2所示，该子监控与审计中心包括：传输介质10；通过所述传输介质10互联的多个计算机20，该计算机是装有终端代理装置206的计算机；连接所述传输介质10具有受控端口的交换机30，该交换机30可以根据认证结果接受或拒绝计算机的入网请求；连接所述交换机30以对所述计算机20经由交换机30发出的认证请求认证的认证服务器50，该认证服务器50对所述计算机20经由交换机30发送的认证请求进行认证或识别，并将认证或识别后得到的认证结果返回给交换机30；以及连接所述交换机30以监控和管理本级范围内的主机以及下一级管理中心的管理中心40，该管理中心包括：管理中心控制台401，用于对可信计算机(本实用新型的可信计算机是指能够通过交换机和认证服务器认证的计算机)的安全策略规划和权限分配；以及监控与审计服务器402，通过与所述多个计算机20通信以下发关于计算机权限的指令，并接收计算机上传的日志及警报。

主监控与审计中心1的配置与子监控与审计中心2是一样的，但子监控与审计中心2的管理中心受主监控与审计中心的管理中心的控制管理，本实用新型的整体主机监控与审计系统采用树状结构，多级管理，每级管理的计算机可以根据部门进行划分，管理中心可以分级部署，各级管理中心之间建立了良好的调度和通信机制，管理权限层层下发。每级管理中心，可以根据需要设置下级管理中心，由本级管理中心向下级管理中心进行授权，赋予相应的管理权限，下级管理中心可以在所授权的管理权限内控制管理本级范围内的主机以及更下一级的管理中心。

图3显示了计算机20经由交换机30和认证服务器50入网请求以及管理中心40发送指令管理可信计算机的原理。如图3所示，假定在计算机A、B和C中，计算机A和B是可信计算机，而计算机C是非法接入的计算机。当计算机A～C启动时，分别经由交换机30向认证服务器50发送认证请求。由于计算机A和B是可信计算机，因此认证服务器50向交换机30发送“计算机A和B认证成功”的认证结果，使交换机30打开分别连接计算机A和B的受控端口；而由于计算机C不是可信计算机，因此认证服务器50向交换机30发送“计算机C认证失败”的认证结果，使交换机30的连接计算机C的受控端口处于断开状态，从而拒绝计算机C入网。对于已成功通过请求入网认证的可信计算机A和B，通过管理中心40发送管理指令来进行管理。管理中心控制台401负责可信计算机的安全策略规划和权限分配，监控与审计服务器402通过与可信计算机通信下发关于计算机权限的指令。终端代理装置206对所监控的资源，在管理指令接收及执行模块2061接收并执行指令情况下，由日志生成及警报发送模块2064产生与执行情况相应的审计日志和关于非法外联的警报，并按照日志审计策略将日志传回管理中心40，监控与审计服务器402接收审计日志和警报，存于数据库403中。如有违反安全策略的可疑行为，由监控与审计服务器402根据报警策略向管理中心控制台401报警，对于外联检查模块2062发现计算机非法外联的情形，除了发送警报外，还启用网卡禁用模块2063向网卡设备发送控制命令，当网卡设备接收到禁用功能的控制命令后会在系统中将网卡禁用，从而使网卡204被禁止工作。

如图2和图3所示，多个计算机20如计算机A～C之每个经由传输介质10分别连接所述交换机30的一个相应的受控端口；认证服务器50、管理中心控制台401和监控与审计服务器402分别连接所述交换机30的三个其他端口。

图4显示了本实用新型的可根据服务器的认证结果控制受控端口状态的交换机30的原理。如图4所示，该交换机30包括：具有多个经由传输介质10分别连接所述计算机A～C的受控端口3011、3012、3013和连接认证服务器50、管理中心控制台401和监控与审计服务器402的其他端口3014、3015、3016的交换芯片301；以及连接所述交换芯片301以根据认证服务器的认证结果对连接计算机的端口进行控制的端口控制模块302。

交换芯片301可以在来自计算机A～C的数据包中添加受控端口号，以便端口控制模块302根据认证服务器50的认证结果的数据包对交换芯片301的受控端口进行控制。

认证服务器50通常用数据包中的标志位表示认证结果，这样端口控制芯片302就可以根据该标志位对交换芯片301的受控端口进行控制，即当标志位为认证成功符号时，打开连接相应计算机的受控端口，允许计算机的数据流传送；而当关于某个计算机认证请求的标志位为认证失败符号时，使相关的受控端口处于断开状态，从而拒绝该计算机入网。

此外，本实用新型的计算机20可以有一个启动计算机工作的USB密钥装置205。

计算机终端在接入内网之前，先向认证服务器发出认证请求。如果终端通过了认证申请，则可以接入内网，进行网络通信。如果终端没有通过认证则不能接入内网，不能进行网络通信，使未经相关主管部门授权的计算机无法擅自接入内部的计算机网络，控制非法计算机接入内网的行为。

下面参照图4对本实用新型的计算机向认证服务器请求认证的情形进行详细说明。

对于不带USB密钥装置的可信计算机A和B，可信计算机A和B通过802.1x协议经由认证信息传送单元主动向交换机发送认证信息，交换机通过Radius协议将认证信息转发到认证服务器，认证服务器收到认证信息后，查询数据库，对认证信息进行识别，识别成功后通过Radius协议将回应信息送往交换机，交换机通过802.1x协议将信息收到的回应信息传给可信终端，认证成功，端口控制模块302根据认证成功的标志位，打开受控端口3011和3012(使其图中的开关闭合)，使其可以通过数据交流单元进行数据交换。然而，对于非法接入的计算机C请求认证的应答结果，端口控制模块302则根据认证失败的标志位维持受控端口的断开状态，拒绝计算机C连入网络。

对于带有USB密钥装置的可信计算机A和B，首先插入USB密钥装置，启动时，可信计算机自动读取USB密钥装置的信息，并主动将信息通过802.1x协议送往交换机，交换机收到信息后通过Radius协议将认证信息转发到认证服务器，认证服务器收到认证信息后，查询数据库，对认证信息进行识别，识别成功后通过Radius协议将回应信息送往交换机，交换机通过802.1x协议将收到的回应信息传给可信终端，认证成功，即可开始通信。而对于非法接入的计算机C，拒绝其连入网络。

本实用新型采用C/S架构，使用中间层驱动、驱动拦截、线程注入等技术手段对内网可信计算机的数据输入/输出接口、设备和计算机用户对系统操作、文件操作、外接设备操作等行为进行实时监控和监测，并提供详尽的审计日志，防止可信计算机的数据泄漏。对可信计算机随意使用的外设进行监控和审查，非法拨号上网，防止计算机非法外联的行为，加强了内网可信计算机的安全管理和泄密数据泄漏的发生。

下面参照图5对已通过入网请求认证的可信计算机经由管理中心40发送指令来管理的情形。

对于安装在计算机20中终端代理装置206，其包括：

连接计算机CPU 201以接收及执行监控与审计服务器402下发的指令的管理指令接收及执行模块2061；

连接计算机CPU 201以检查计算机的非法外联的外联检查模块2062；

连接计算机CPU 201的网卡禁用模块2063，用于在外联检查模块2062发现计算机非法外联时禁用网卡204工作；以及

连接计算机CPU 201的日志生成及警报发送模块2064，用于生成与管理指令接收及执行模块2061执行情况相应的审计日志和关于非法外联的警报。

对于已通过入网请求认证的可信计算机A和B，管理中心控制台401负责其安全策略的规划和权限的分配，通过监控与审计服务器402与可信计算机通信下发关于计算机权限的指令，终端代理装置206对所监控的资源，在管理指令接收及执行模块2061接收并执行指令情况下，由日志生成及警报发送模块2064产生与执行情况相应的审计日志和关于非法外联的警报，并按照日志审计策略将日志传回管理中心40，监控与审计服务器402接收审计日志和警报，存于数据库403中。如有违反安全策略的可疑行为，由监控与审计服务器402根据报警策略向管理中心控制台401报警，对于外联检查模块2062发现计算机非法外联时，除了发送警报外，还启用网卡禁用模块2063向网卡设备发送控制命令，当网卡设备接收到禁用功能的控制命令后会在系统中将网卡禁用，从而使网卡204被禁止工作。通过这样的方式来对接口、设备的准确有效监控，并在此基础上实现设备监控、文件监控、打印监控等。

对可信计算机的安全管理概括起来可分三种，即是否允许用户读取信息、输入信息和输出信息，根据这三种职能可对具体的外围设备赋予相应的权限。比如：若可信计算机A是在一个高级涉密的内网中，可以对其安全策略的规划是只可以读取信息，而不能输入和输出信息，那么用户无法通过输入设备修改计算机中的文件，也无法通过打印机打印或拷贝等的方式输出其中的文件信息；若可信计算机A是在一个中级涉密的内网中，可以对其安全策略的规划是可以读取和修改文件，而不能输出文件的信息，那么用户无法可以通过输入设备修改其中的文件，但不能通过打印机打印或拷贝等的方式输出其中的文件信息；若可信计算机A是在一个低级涉密的内网中，可以对其安全策略的规划是即可以读取其中的文件，也可以通过外围设备输入或输出文件信息。再比如：对于某个内网的服务器，可以通过分配给属于此内网的某些可信计算机访问服务器的权限，也可以按照前述的思想对不同的可信计算机分配可以读取服务器文件、下载服务器文件、上传文件至服务器的权限；除了可以对同处于一个内网中的所有可信计算机分配同样的权限外，也可以对同处于一个内网中的可信计算机根据它们处于不同重要工作层次的安全需要对其规划相应的安全策略，进而对相关的外围设备赋予相应的权限，甚至在需要的时候，可以对已经设置好的权限做出调整。

表示权限的指令在监控与审计服务器中与权限以一一对应的形式存在。设置某个可信计算机的权限时，首先在管理中心控制台401上从数据库403中查找出该计算机，然后针对该计算机的具体安全需要分配相应的权限，经过设置好之后，与权限相对应的指令就与该计算机的MAC地址捆绑在一起，继而与MAC地址捆绑的指令由监控与审计服务器402发送至具有该MAC地址的计算机终端。终端代理装置206对所监控的资源，在管理指令接收及执行模块2061接收并执行指令情况下，由日志生成及警报发送模块2064产生审计日志，并按照日志审计策略将日志传回数据库403。如有违反安全策略的可疑行为，由监控与审计服务器402根据报警策略向管理中心控制台401报警，对于外联检查模块2062发现计算机非法外联时，除了发送警报外，还启用网卡禁用模块2063向网卡设备发送控制命令，当网卡设备接收到禁用功能的控制命令后会在系统中将网卡禁用，从而使网卡204被禁止工作。

综上所述，本实用新型具有能够阻断非法计算机接入内部网络，并且能够阻断可信计算机非法外联、防止信息泄漏事件的优点。

本实用新型具有以下优点：

1、对涉密计算机的数据输入/输出设备、接口和计算机用户对系统操作、文件操作、外接设备操作等行为进行实时监控和监测，并提供详尽的审计日志，可以有效防止涉密计算机随意使用外设、非法外联，通过事前防范、事中控制和事后审查三位一体来对内网计算机进行实时保护。

2、可以保证只有经过主管部门认证的计算机，才可以顺利通过基于交换机端口的访问控制认证，防止外来计算机随意接入内部网络等违规行为。

3、整体系统采用树状结构，多级管理。每级管理的计算机可以根据部门进行划分，管理中心可以分级部署，各级管理中心之间建立了良好的调度和通信机制，管理权限层层下发，管理逻辑清晰明确。既保证了管理的有效实施，又为网络安全管理权限划分提供了合理有效的机制，适用于大型复杂网络。

尽管上文对本实用新型进行了详细说明，但是本实用新型不限于此，本技术领域技术人员可以根据本实用新型的原理进行各种修改。因此，凡按照本实用新型原理所作的修改，都应当理解为落入本实用新型的保护范围。

Claims (8)

1.一种主机监控与审计系统，其特征在于包括：

互联网(3)；

通过所述互联网(3)互联的多个子监控与审计中心(2)；以及

连接所述互联网(3)以管理所述子监控与审计中心(2)的主监控与审计中心(1)。

2.根据权利要求1所述的主机监控与审计系统，其特征在于所述子监控与审计中心(2)包括：

传输介质(10)；

通过所述传输介质(10)互联的多个计算机(20)；

连接所述传输介质(10)具有受控端口的交换机(30)；

连接所述交换机(30)以对所述计算机(20)经由交换机(30)发出的认证请求认证的认证服务器(50)；以及

连接所述交换机(30)以监控和管理本级范围内的主机以及下一级管理中心的管理中心(40)。

3.根据权利要求2所述的主机监控与审计系统，其特征在于，所述管理中心(40)包括：

管理中心控制台(401)，用于分配已通过认证的计算机的权限；以及

监控与审计服务器(402)，通过与所述多个计算机(20)通信以下发关于计算机权限的指令，并接收计算机上传的日志及警报。

4.根据权利要求2或3所述的主机监控与审计系统，其特征在于，所述多个计算机(20)之每个经由传输介质(10)分别连接所述交换机(30)的一个相应受控端口；管理中心控制台(401)、监控与审计服务器(402)和认证服务器(50)分别连接所述交换机(30)的其他三个端口。

5.根据权利要求4所述的主机监控与审计系统，其特征在于，所述交换机(30)包括：

具有多个分别连接所述多个计算机(20)的受控端口以及连接所述管理中心控制台(401)、监控与审计服务器(402)和认证服务器(50)的其他端口的交换芯片(301)；以及

连接所述交换芯片(301)以根据所述认证服务器(50)的认证结果对连接计算机的端口进行控制的端口控制模块(302)。

6.根据权利要求5所述的主机监控与审计系统，其特征在于，所述计算机(20)是装有终端代理装置(206)的计算机。

7.根据权利要求6所述的主机监控与审计系统，其特征在于，所述终端代理装置(206)包括：

连接计算机CPU(201)以接收及执行监控与审计服务器(402)下发的指令的管理指令接收及执行模块(2061)；

连接计算机CPU(201)以检查计算机的非法外联的外联检查模块(2062)；

连接计算机CPU(201)的网卡禁用模块(2063)，用于在外联检查模块(2062)发现计算机非法外联时禁用网卡(204)工作；以及

连接计算机CPU(201)的日志生成及警报发送模块(2064)，用于生成与管理指令接收及执行模块(2061)执行情况相应的审计日志和关于非法外联的警报。

8.根据权利要求5所述的主机监控与审计系统，其特征在于，所述计算机(20)具有一个启动计算机工作的USB密钥装置(205)。

Images