TWI647574B

TWI647574B - 雲端安全網路瀏覽方法及系統

Info

Publication number: TWI647574B
Application number: TW106136822A
Authority: TW
Inventors: 林華鵬; 周國森; 雲首博; 王貞力; 單張麟; 潘建全
Original assignee: 中華電信股份有限公司
Priority date: 2017-10-26
Filing date: 2017-10-26
Publication date: 2019-01-11
Also published as: TW201917595A

Abstract

本發明係提供一種雲端安全網路瀏覽系統及方法。企業內人員透過企業內部瀏覽器提出網址請求。由代理伺服器模組判斷是否為信任內網白名單中的網址。若為是，則可直接存取企業內資源。若為否，則利用瀏覽器建立虛擬私人網路之連線，並基於虛擬化技術執行運作雲端虛擬瀏覽器，使雲端虛擬瀏覽器於網際網路取得不信任網址請求之頁面內容，並於使用者企業內部瀏覽器上做畫面呈現，以保護企業內部環境安全。使用者亦可利用雲端虛擬瀏覽器下載淨化後的外部環境文件檔案或供企業內部使用。

Description

雲端安全網路瀏覽方法及系統

本發明是有關於一種資安技術，且特別是有關於一種雲端安全網路瀏覽方法及系統。

隨著科技快速發展，各類型的企業或公司甚至一般民眾家中都設有電腦主機，以透過電腦主機來協助使用者的工作、取得資訊或提供休閒娛樂。而針對企業或公司的網路安全，雖然人們已經習慣藉由電腦上的網頁瀏覽器連線至網際網路來取得相關資源，但企業內部仍有許多資源是需要特別保護且不得讓外界隨意取得。雖然大部分企業都會設有防火牆來阻擋不正常連線，但近年來惡意程式攻擊頻傳，單憑防火牆機制已不足以將企業內部網路與外界隔離。由此可知，如何讓用戶能安心瀏覽網頁並保護企業內部資源，係各企業重視的資訊安全議題及技術。

有鑑於此，本發明提供一種雲端安全網路瀏覽方法及系統，其將外部網際網路網頁透過雲端虛擬瀏覽器執行並呈現，從而確保內部資源的安全，實現內部與外部網路隔離的功效。

本發明的雲端安源網路瀏覽系統，其包括代理伺服器及雲端虛擬瀏覽器伺服器。代理伺服器判斷所欲連線網址是否與內部資源相關。若所欲連線網址與內部資源不相關，則代理伺服器建立虛擬私人網路(virtual Private Network，VPN)，以連線至雲端虛擬瀏覽器。而雲端虛擬瀏覽器伺服器基於虛擬化技術運行雲端虛擬瀏覽器，並控制雲端虛擬瀏覽器經由虛擬私人網路執行該所欲連線網址的瀏覽作業。

本發明的雲端安全網路瀏覽方法，其包括下列步驟。判斷所欲連線網址是否與內部資源相關。若所欲連線網址與內部資源不相關，則建立虛擬私人網路，以連線至雲端虛擬瀏覽器。基於虛擬化技術運行雲端虛擬瀏覽器，並控制雲端虛擬瀏覽器經由虛擬私人網路執行所欲連線網址的瀏覽作業。

基於上述，本發明實施例對非存取內部資源的網址要求，經由虛擬私人網路而由雲端虛擬瀏覽器執行瀏覽作業，使企業內外網路環境隔離，且外部惡意程式僅能在雲端虛擬瀏覽器執行而不影響內部網路，確保企業內部資源安全。

為讓本發明的上述特徵和優點能更明顯易懂，下文特舉實施例，並配合所附圖式作詳細說明如下。

圖1是依據本發明一實施例之雲端安全網路瀏覽系統1的示意圖。請參照圖1，雲端安全網路瀏覽系統1包括電腦主機20、代理伺服器30、內部資料庫40、防火牆及VPN伺服器50、雲端虛擬瀏覽器伺服器60、跳板伺服器70及檔案淨化閘道90。

電腦主機20可以係桌上型電腦、筆記型電腦、手機、平板電腦、智慧電視等具連網功能的電子裝置，其可運行網頁瀏覽器(例如，chrome、Firefox、Internet Explore等)。

代理伺服器30可以是各類型伺服器、個人電腦、工作站等電子裝置。於本實施例中，代理伺服器30包括內網白名單判斷模組31及VPN客戶端連接模組32。

內部資料庫40可以係網路連接儲存設備(Network Attached Storage)、伺服器、個人電腦等具備內部儲存空間41(例如，傳統硬碟(hard disk drive)、固態硬碟(solid-state drive)或類似元件)的電子裝置。值得注意的是，電腦主機20、代理伺服器30、內部資料庫40處於內部網路10。

防火牆及VPN伺服器50可以係閘道裝置、伺服器、網路存取裝置等電子裝置。於本實施例中，代理伺服器30包括VPN連接狀態通知模組51。防火牆及VPN伺服器50處於內部網路10及外部網路之間。

雲端虛擬瀏覽器伺服器60可以係各類型伺服器、個人電腦、工作站等電子裝置。於本實施例中，雲端虛擬瀏覽器伺服器60包括虛擬資源池管控與調整模組61、虛擬資源池62、一個或更多個雲端虛擬瀏覽器63、以及下載檔案管控模組64。

跳板伺服器70可以係各類型伺服器、個人電腦、工作站等電子裝置。於本實施例中，跳板伺服器70包括雲端虛擬瀏覽器選擇與連接模組71及雲端虛擬瀏覽器網際網路畫面呈現模組72。

檔案淨化閘道90可以係閘道裝置、伺服器、網路存取裝置等電子裝置。於本實施例中，檔案淨化閘道90包括檔案淨化模組91。檔案淨化閘道90處於內部網路10及外部網路之間。

需說明的是，前述代理伺服器30、防火牆及VPN伺服器50、雲端虛擬瀏覽器伺服器60、跳板伺服器70及檔案淨化閘道90所記錄的軟體模組係由諸如CPU、微控制器或晶片等處理器載入並執行，且其詳細運作待後續實施例詳述。此外，代理伺服器30、防火牆及VPN伺服器50、檔案淨化閘道90可作為軟體模組形式而整合成單一裝置或多台裝置來執行，本發明不加以限制。

為了方便理解本發明實施例的操作流程，以下將舉諸多實施例詳細說明本發明實施例中雲端安全網路瀏覽系統1之運作。圖2是依據本發明一實施例說明一種雲端安全網路瀏覽方法之流程圖。請參照圖2，本實施例的方法適用於圖1中雲端安全網路瀏覽系統1中的各裝置。下文中，將搭配雲端安全網路瀏覽系統1的各項元件及模組說明本發明實施例所述之方法。本方法的各個流程可依照實施情形而隨之調整，且並不僅限於此。

當企業內部有外部網頁瀏覽的需求，電腦主機20上的網頁瀏覽器接受使用者所輸入的所欲連線網址，而送出全球資源定址器(Uniform Resource Locator，URL)的請求，URL請求將送往代理伺服器30。由代理伺服器30判斷所欲連線網址是否與內部儲存空間41所儲存的內部資源相關(步驟S210)。其中，內網白名單判斷模組31係判斷所欲連線網址是否存在於信任內網白名單中所記錄的URL(例如，內部儲存空間41中檔案的連結)。若存在於信任內網白名單，則電腦主機20可以直接存取內部資料庫40之內部儲存空間41所儲存的內部資源(步驟S220)。

而若未存在於信任內網白名單，則電腦主機20所運行的網頁瀏覽器將啟動VPN客戶端連接模組32，並利用網頁瀏覽器建立VPN撥號連線至防火牆及VPN伺服器50。VPN連線成功後，VPN連接狀態通知模組51提供VPN狀態變更清單資訊，傳送至雲端虛擬瀏覽器伺服器60中的虛擬資源池管控與調整模組61。而雲端虛擬瀏覽器資源池管控與調整模組61依據此清單資訊，透過資源調整演算法，基於虛擬化技術而於Docker或虛擬平台上執行虛擬資源池62的雲端虛擬瀏覽器資源調整作業。VPN撥接連線成功後，防火牆及VPN伺服器模組50將動態派送防火牆規則，使得電腦主機20的網頁瀏覽器連接至跳板伺服器模組70中的雲端虛擬瀏覽器網際網路畫面呈現模組72。雲端虛擬瀏覽器選擇與連接模組71則會隨機選擇虛擬資源池62中任一未被使用過的雲端虛擬瀏覽器63進行連接(步驟S230) 。

接著，雲端虛擬瀏覽器63可接收電腦主機20上鍵盤及滑鼠鼠標或其他輸入裝置(例如，觸控板、繪圖板、搖桿等)之操作資訊，以取得使用者鍵入之URL請求，雲端虛擬瀏覽器63即可自網際網路80取得URL請求之頁面內容，並透過雲端虛擬瀏覽器網際網路畫面呈現模組72執行URL請求內容的瀏覽作業呈現，使雲端虛擬瀏覽器60能執行電腦主機20所欲連線網址的瀏覽作業(例如，捲動網頁、點選網頁、填入留言等)(步驟S240)。換句而言，電腦主機20僅有執行網頁畫面呈現及輸入操作之取得，而實際的瀏覽作業全由雲端虛擬瀏覽器60來執行。

而當電腦主機20欲利用雲端虛擬瀏覽器63之使用者介面下載所需要的檔案時，下載檔案管控模組64會判斷其檔案類型是否在檔案白名單(例如，doc、pdf等)中；若不存在於檔案白名單中，則下載檔案管控模組64將此檔案刪除或隔離，使此檔案無法傳送至電腦主機20；若存在於檔案白名單中，則傳送下載之檔案至檔案淨化閘道90，由檔案淨化模組91濾除檔案中的惡意程式、物件及語法，並將淨化後的檔案儲存於內部儲存空間41，讓電腦主機20所運行的網頁瀏覽器輸入特定網址後進入內部儲存空間41而取得淨化後的檔案。

為了方便讀者更加清楚本發明實施例之運作，以下另舉一情境範例說明。需注意的是，情境範例中所舉之參數或步驟可視情況而自行調整，但不脫離前述實施例之發明精神。

企業內部使用者透過電腦主機20執行企業內部瀏覽器以送出URL請求，而此URL請求將被送往代理伺服器30。假設使用者提出之URL請求為〝tw.yahoo.com〞，代理伺服器30之內網白名單判斷模組31將判斷〝tw.yahoo.com〞並不在信任內網白名單中，則表示此URL為不信任的外部請求，且企業內部瀏覽器上將呈現提醒頁面，以呈現使用者「tw.yahoo.com為未知的URL網域」警示標語，並於提醒頁面上提供「VPN撥號連接雲端虛擬瀏覽器」按鍵供使用者撥號連接VPN。

若使用者仍要瀏覽其內容，可點擊提醒之頁面上「VPN播號連接雲端虛擬瀏覽器」的按鍵，電腦主機20即可透過 VPN客戶端連接模組32，撥號連線至防火牆及VPN伺服器50。

VPN撥號連線成功後，VPN連接狀態通知模組51將自動傳送VPN狀態變更資訊至雲端虛擬瀏覽器伺服器60中的雲端虛擬瀏覽器資源池管控與調整模組61。而雲端虛擬瀏覽器資源池管控與調整模組61將依據VPN狀態變更資訊，透過資源調整演算法，於Docker或虛擬平台上執行雲端虛擬瀏覽器資源池62的雲端虛擬瀏覽器資源調整作業。此外，VPN播號連線成功的同時，防火牆及VPN伺服器模組50亦動態派送防火牆規則，使得電腦主機20連接至跳板伺服器模組70中的雲端虛擬瀏覽器網際網路畫面呈現模組72。此外，雲端虛擬瀏覽器選擇與連接模組71將隨機選擇虛擬資源池62中任一未被使用之雲端虛擬瀏覽器63進行連接，雲端虛擬瀏覽器接收到使用者鍵入之URL請求，將於網際網路80上取得〝tw.yahoo.com〞請求之頁面內容，利用雲端虛擬瀏覽器網際網路畫面呈現模組72呈現網頁畫面，使企業內部瀏覽器能呈現雲端虛擬瀏覽器63請求之〝tw.yahoo.com〞頁面內容。

另一方面，假設使用者需要下載頁面上之〝document.docx〞檔案至企業內部，而於頁面上下載〝document.docx〞文件檔案至單一目錄，下載檔案管控模組64將監控單一目錄檔案變動之狀態。下載檔案管控模組64發現新檔案〝document.docx〞出現，並判斷〝document.docx〞為一般文件檔案，則傳送〝document.docx〞至檔案淨化閘道90，由檔案淨化模組91濾除惡意動態程式語法後，將淨化後的檔案〝purified-document.docx〞儲存於內部儲存空間41。

若使用者欲取得淨化後的文件檔案，可透過電腦主機20提出內部網路儲存空間之URL請求，則此URL請求被送往代理伺服器30。代理伺服器30之內網白名單判斷模組31，判斷內部網路儲存空間之URL在信任內網白名單中，則表示此URL為與內部資源相關，電腦主機20即可直接瀏覽並存取企業內部儲存空間41之淨化後的檔案〝purified-document.docx〞。

綜上所述，本發明實施例提供一種企業雲端安全網路瀏覽系統，其具有以下特點。將企業內外環境隔離，使得外部惡意程式僅能在雲端虛擬瀏覽器執行，能確保企業內部資源安全。所有不信任外網URL頁面內容或檔案，僅能在雲端虛擬瀏覽器上執行，保護企業內資源不受外部環境威脅。企業內部用戶僅可透過超文本傳輸協定(HyperText Transfer Protocol，HTTP)協定連接至跳板伺服器而呈現雲端虛擬瀏覽器之網頁內容，其餘對外連線皆禁止，確保企業內部資源安全，並避免企業連接至外部中繼站。雲端虛擬瀏覽器選擇與連接模組可以快速的選擇並連接到虛擬資源池中的雲端虛擬瀏覽器。於VPN連接時，隨機選擇虛擬資源池中任一未被使用雲端虛擬瀏覽器，由雲端虛擬瀏覽器呈現不信任外網URL頁面內容，即使遭受到惡意攻擊的威脅，下次重新連接時，仍為安全之未使用過雲端虛擬瀏覽器，確保每次使用的雲端虛擬瀏覽器都是安全無虞的。將文件檔案之惡意動態語法移除並由雲端虛擬瀏覽器下載的文件檔案，經由檔案淨化模組濾除惡意動態程式語法，淨化後的檔案傳送並儲存於企業內部儲存空間，確保所有由外部網路進入企業內部的文件檔案，都是安全無虞的。

雖然本發明已以實施例揭露如上，然其並非用以限定本發明，任何所屬技術領域中具有通常知識者，在不脫離本發明的精神和範圍內，當可作些許的更動與潤飾，故本發明的保護範圍當視後附的申請專利範圍所界定者為準。

1‧‧‧雲端安全網路瀏覽系統

20‧‧‧電腦主機

30‧‧‧代理伺服器

31‧‧‧內網白名單判斷模組

32‧‧‧虛擬私人網路客戶端連接模組

40‧‧‧內部資料庫

41‧‧‧內部儲存空間

50‧‧‧防火牆及虛擬私人網路伺服器

51‧‧‧虛擬私人網路連接狀態通知模組

60‧‧‧雲端虛擬瀏覽器伺服器

61‧‧‧虛擬資源池管控與調整模組

62‧‧‧虛擬資源池

63‧‧‧雲端虛擬瀏覽器

64‧‧‧下載檔案管控模組

70‧‧‧跳板伺服器

71‧‧‧雲端虛擬瀏覽器選擇與連接模組

72‧‧‧雲端虛擬瀏覽器網際網路畫面呈現模組

80‧‧‧網際網路

90‧‧‧檔案淨化閘道

91‧‧‧檔案淨化模組

S210~S240‧‧‧步驟

圖1是依據本發明一實施例之雲端安全網路瀏覽系統的示意圖。圖2是依據本發明一實施例之雲端安全網路瀏覽方法的流程圖。

Claims

一種雲端安全網路瀏覽系統，包括：一代理伺服器，判斷一所欲連線網址是否與一內部資源相關，若該所欲連線網址與該內部資源不相關，則建立一虛擬私人網路(Virtual Private Network，VPN)，以連線至一雲端虛擬瀏覽器；一雲端虛擬瀏覽器伺服器，基於一虛擬化技術而於虛擬平台上運行虛擬資源池中的該雲端虛擬瀏覽器，並控制該雲端虛擬瀏覽器經由該虛擬私人網路執行該所欲連線網址的瀏覽作業；以及一跳板伺服器，選擇該虛擬資源池中任一未被使用之雲端虛擬瀏覽器進行連線，並呈現該瀏覽作業之畫面。
如申請專利範圍第1項所述的雲端安全網路瀏覽系統，其中該代理伺服器記錄有一信任內網白名單，且該代理伺服器判斷該所欲連線網址是否存在於該信任內網白名單中，以決定該所欲網線網址與該內部資源是否相關。
如申請專利範圍第1項所述的雲端安全網路瀏覽系統，其中該雲端虛擬瀏覽器伺服器記錄有一檔案白名單，且該雲端虛擬瀏覽器伺服器判斷該雲端虛擬瀏覽器所下載之檔案是否存在於該檔案白名單中；若存在於該檔案白名單中，則將該雲端虛擬瀏覽器所下載之檔案中的惡意程式、物件及語法濾除；若不存在於該檔案白名單中，則將該雲端虛擬瀏覽器所下載之檔案刪除。
如申請專利範圍第1項所述的雲端安全網路瀏覽系統，其中若該所欲連線網址與該內部資源相關，則該代理伺服器基於該所欲連線網址存取該內部資源。
一種雲端安全網路瀏覽方法，包括：判斷一所欲連線網址是否與一內部資源相關；若該所欲連線網址與該內部資源不相關，則建立一虛擬私人網路，以連線至一雲端虛擬瀏覽器；以及基於一虛擬化技術而於虛擬平台上運行虛擬資源池中的該雲端虛擬瀏覽器，並控制該雲端虛擬瀏覽器經由該虛擬私人網路執行該所欲連線網址的瀏覽作業，其中選擇該虛擬資源池中任一未被使用之雲端虛擬瀏覽器進行連線，並透過選擇之雲端虛擬瀏覽器呈現該瀏覽作業之畫面。
如申請專利範圍第5項所述的雲端安全網路瀏覽方法，其中判斷該所欲連線網址是否與該內部資源相關，包括：判斷該所欲連線網址是否存在於一信任內網白名單中。
如申請專利範圍第5項所述的雲端安全網路瀏覽方法，其中控制該雲端虛擬瀏覽器經由該虛擬私人網路執行該所欲連線網址的瀏覽作業，包括：判斷該雲端虛擬瀏覽器所下載之檔案是否存在於該檔案白名單中；若存在於該檔案白名單中，則將該雲端虛擬瀏覽器所下載之檔案中的惡意程式、物件及語法濾除；以及若不存在於該檔案白名單中，則將該雲端虛擬瀏覽器所下載之檔案刪除。
如申請專利範圍第5項所述的雲端安全網路瀏覽方法，其中判斷該所欲連線網址是否與該內部資源相關之後，更包括：若該所欲連線網址與該內部資源相關，則基於該所欲連線網址存取該內部資源。