两个人的电影免费视频_国产精品久久久久久久久成人_97视频在线观看播放_久久这里只有精品777_亚洲熟女少妇二三区_4438x8成人网亚洲av_内谢国产内射夫妻免费视频_人妻精品久久久久中国字幕

主機監(jiān)控與審計系統(tǒng)的制作方法

文檔序號:7729776閱讀:277來源:國知局
專利名稱:主機監(jiān)控與審計系統(tǒng)的制作方法
技術領域
本實用新型涉及計算機的安全管理,特別涉及一種只允許可信終端接入安全管理
的主機監(jiān)控與審計系統(tǒng)。
背景技術
隨著內部計算機網絡的發(fā)展和信息化程度的提高,傳統(tǒng)的管理方式如手工登記、 物理拆卸或者局部軟件管理已具有很大的局限性,它們通常只能在有限的范圍內實現部分 安全管理需求,同時繁瑣的重復工作無論對管理者還是使用者都造成了極大的不便,另外 對于違規(guī)事件的事后審計和報告也缺乏系統(tǒng)的管理。因此,研制適用于涉密企業(yè)內部計算 機的多功能、自動化的主機監(jiān)控與審計系統(tǒng),從而對內網計算機進行實時安全監(jiān)控與管理, 已成為安全管理者和安全技術人員十分關注和迫切盼望解決的問題。

發(fā)明內容為了解決現有技術存在的非法主機接入和違規(guī)使用外圍設備問題,本實用新型提 出了一種主機監(jiān)控與審計系統(tǒng),以防止外部主機非法接入內部網絡和違規(guī)使用外圍設備, 保護網絡內部計算機及信息安全。 本實用新型的上述目的是這樣實現的,一種主機監(jiān)控與審計系統(tǒng),包括互聯網; 通過所述互聯網互聯的多個子監(jiān)控與審計中心;以及連接所述互聯網以管理所述子監(jiān)控中 心的主監(jiān)控與審計中心。 其中,所述子監(jiān)控與審計中心包括傳輸介質;通過所述傳輸介質互聯的多個計 算機;連接所述傳輸介質具有受控端口的交換機;連接所述交換機以對所述計算機經由交 換機發(fā)出的認證請求認證的認證服務器;以及連接所述交換機以監(jiān)控和管理本級范圍內的 主機以及下一級管理中心的管理中心。其中,所述管理中心包括管理中心控制臺,用于分 配已通過認證的計算機的權限;以及監(jiān)控與審計服務器,通過與所述多個計算機通信以下 發(fā)關于計算機權限的指令,并接收計算機上傳的日志及警報。 其中,所述多個計算機之每個經由傳輸介質分別連接所述交換機的一個相應受控 端口 ;管理中心控制臺、監(jiān)控與審計服務器和認證服務器分別連接所述交換機的其他三個端口。 其中,所述交換機包括具有多個分別連接所述多個計算機的受控端口以及連接 所述管理中心控制臺、監(jiān)控與審計服務器和認證服務器的其它端口的交換芯片;以及連接 所述交換芯片以根據認證服務器的認證結果對連接計算的端口進行控制的端口控制模塊。 其中,所述計算機是裝有終端代理裝置的計算機。
其中,所述終端代理裝置包括 連接計算機CPU以接收及執(zhí)行監(jiān)控與審計服務器下發(fā)的指令的管理指令接收及 執(zhí)行模塊; 連接計算機CPU以檢查計算機的非法外聯的外聯檢查模塊;[0012] 連接計算機CPU的網卡禁用模塊,用于在外聯檢查模塊發(fā)現計算機非法外聯時禁用網卡工作;以及 連接計算機CPU的日志生成及警報發(fā)送模塊,用于生成與管理指令接收及執(zhí)行模
塊執(zhí)行情況相應的審計日志和關于非法外聯的警報。 其中,所述計算機具有一個啟動計算機工作的USB密鑰裝置。 本實用新型具有以下技術效果 1、可對涉密計算機的數據輸入/輸出接口、設備和計算機用戶對系統(tǒng)操作、文件操作、外接設備操作等行為進行實時監(jiān)控和監(jiān)測,并提供詳盡的審計日志,防止涉密計算機的數據泄漏。 2、可以保證只有經過主管部門認證的計算機,才可以順利通過基于交換機端口的訪問控制認證,才可以自由的應用單位內部的計算機網絡以及其中的資源,防止外來計算機隨意接入內部網絡等違規(guī)行為。 3、通過管理中心發(fā)送管理指令管理終端計算機,對涉密計算機禁止非法撥號上
網,防止涉密計算機的非法外聯行為。
以下結合附圖對本實用新型進行詳細說明。

圖1是本實用新型的主機監(jiān)控與審計系統(tǒng)的示意圖;[0021] 圖2是圖1所示的子監(jiān)控與審計中心的配置圖;[0022] 圖3是圖2所示的子監(jiān)控與審計中心的原理圖;[0023] 圖4是圖3所示的交換機的原理圖;[0024] 圖5是圖3所示的終端計算機的原理圖。
具體實施方式圖1顯示了本實用新型的主機監(jiān)控與審計系統(tǒng)的示意圖,圖1所示的主機監(jiān)控與審計系統(tǒng)包括互聯網3,它可以是企業(yè)網或廣域網;通過所述互聯網3互聯的多個子監(jiān)控與審計中心2 ;以及連接所述互聯網3以管理所述子監(jiān)控與審計中心2的主監(jiān)控與審計中心1,該主監(jiān)控與審計中心1與子監(jiān)控與審計中心2甚至更下一級子監(jiān)控與審計中心呈樹狀結構(圖中只顯示二級監(jiān)控與審計中心)。 圖2顯示了子監(jiān)控與審計中心2的配置。如圖2所示,該子監(jiān)控與審計中心包括傳輸介質10 ;通過所述傳輸介質10互聯的多個計算機20,該計算機是裝有終端代理裝置206的計算機;連接所述傳輸介質10具有受控端口的交換機30,該交換機30可以根據認證結果接受或拒絕計算機的入網請求;連接所述交換機30以對所述計算機20經由交換機30發(fā)出的認證請求認證的認證服務器50,該認證服務器50對所述計算機20經由交換機30發(fā)送的認證請求進行認證或識別,并將認證或識別后得到的認證結果返回給交換機30 ;以及連接所述交換機30以監(jiān)控和管理本級范圍內的主機以及下一級管理中心的管理中心40,該管理中心包括管理中心控制臺401,用于對可信計算機(本實用新型的可信計算機是指能夠通過交換機和認證服務器認證的計算機)的安全策略規(guī)劃和權限分配;以及監(jiān)控與審計服務器402,通過與所述多個計算機20通信以下發(fā)關于計算機權限的指令,并接收計算機上傳的日志及警報。 主監(jiān)控與審計中心1的配置與子監(jiān)控與審計中心2是一樣的,但子監(jiān)控與審計中心2的管理中心受主監(jiān)控與審計中心的管理中心的控制管理,本實用新型的整體主機監(jiān)控與審計系統(tǒng)采用樹狀結構,多級管理,每級管理的計算機可以根據部門進行劃分,管理中心可以分級部署,各級管理中心之間建立了良好的調度和通信機制,管理權限層層下發(fā)。每級管理中心,可以根據需要設置下級管理中心,由本級管理中心向下級管理中心進行授權,賦予相應的管理權限,下級管理中心可以在所授權的管理權限內控制管理本級范圍內的主機以及更下一級的管理中心。 圖3顯示了計算機20經由交換機30和認證服務器50入網請求以及管理中心40發(fā)送指令管理可信計算機的原理。如圖3所示,假定在計算機A、B和C中,計算機A和B是可信計算機,而計算機C是非法接入的計算機。當計算機A C啟動時,分別經由交換機30向認證服務器50發(fā)送認證請求。由于計算機A和B是可信計算機,因此認證服務器50向交換機30發(fā)送"計算機A和B認證成功"的認證結果,使交換機30打開分別連接計算機A和B的受控端口 ;而由于計算機C不是可信計算機,因此認證服務器50向交換機30發(fā)送"計算機C認證失敗"的認證結果,使交換機30的連接計算機C的受控端口處于斷開狀態(tài),從而拒絕計算機C入網。對于已成功通過請求入網認證的可信計算機A和B,通過管理中心40發(fā)送管理指令來進行管理。管理中心控制臺401負責可信計算機的安全策略規(guī)劃和權限分配,監(jiān)控與審計服務器402通過與可信計算機通信下發(fā)關于計算機權限的指令。終端代理裝置206對所監(jiān)控的資源,在管理指令接收及執(zhí)行模塊2061接收并執(zhí)行指令情況下,由日志生成及警報發(fā)送模塊2064產生與執(zhí)行情況相應的審計日志和關于非法外聯的警報,并按照日志審計策略將日志傳回管理中心40,監(jiān)控與審計服務器402接收審計日志和警報,存于數據庫403中。如有違反安全策略的可疑行為,由監(jiān)控與審計服務器402根據報警策略向管理中心控制臺401報警,對于外聯檢查模塊2062發(fā)現計算機非法外聯的情形,除了發(fā)送警報外,還啟用網卡禁用模塊2063向網卡設備發(fā)送控制命令,當網卡設備接收到禁用功能的控制命令后會在系統(tǒng)中將網卡禁用,從而使網卡204被禁止工作。[0029] 如圖2和圖3所示,多個計算機20如計算機A C之每個經由傳輸介質10分別連接所述交換機30的一個相應的受控端口 ;認證服務器50、管理中心控制臺401和監(jiān)控與審計服務器402分別連接所述交換機30的三個其他端口 。 圖4顯示了本實用新型的可根據服務器的認證結果控制受控端口狀態(tài)的交換機30的原理。如圖4所示,該交換機30包括具有多個經由傳輸介質10分別連接所述計算機A C的受控端口 3011 、3012、3013和連接認證服務器50、管理中心控制臺401和監(jiān)控與審計服務器402的其他端口 3014、3015、3016的交換芯片301 ;以及連接所述交換芯片301以根據認證服務器的認證結果對連接計算機的端口進行控制的端口控制模塊302。[0031] 交換芯片301可以在來自計算機A C的數據包中添加受控端口號,以便端口控制模塊302根據認證服務器50的認證結果的數據包對交換芯片301的受控端口進行控制。[0032] 認證服務器50通常用數據包中的標志位表示認證結果,這樣端口控制芯片302就可以根據該標志位對交換芯片301的受控端口進行控制,即當標志位為認證成功符號時,打開連接相應計算機的受控端口 ,允許計算機的數據流傳送;而當關于某個計算機認證請求的標志位為認證失敗符號時,使相關的受控端口處于斷開狀態(tài),從而拒絕該計算機入網。[0033] 此外,本實用新型的計算機20可以有一個啟動計算機工作的USB密鑰裝置205。[0034] 計算機終端在接入內網之前,先向認證服務器發(fā)出認證請求。如果終端通過了認證申請,則可以接入內網,進行網絡通信。如果終端沒有通過認證則不能接入內網,不能進行網絡通信,使未經相關主管部門授權的計算機無法擅自接入內部的計算機網絡,控制非法計算機接入內網的行為。 下面參照圖4對本實用新型的計算機向認證服務器請求認證的情形進行詳細說明。 對于不帶USB密鑰裝置的可信計算機A和B,可信計算機A和B通過802. lx協(xié)議經由認證信息傳送單元主動向交換機發(fā)送認證信息,交換機通過Radius協(xié)議將認證信息轉發(fā)到認證服務器,認證服務器收到認證信息后,查詢數據庫,對認證信息進行識別,識別成功后通過Radius協(xié)議將回應信息送往交換機,交換機通過802. lx協(xié)議將信息收到的回應信息傳給可信終端,認證成功,端口控制模塊302根據認證成功的標志位,打開受控端口3011和3012 (使其圖中的開關閉合),使其可以通過數據交流單元進行數據交換。然而,對于非法接入的計算機C請求認證的應答結果,端口控制模塊302則根據認證失敗的標志位維持受控端口的斷開狀態(tài),拒絕計算機C連入網絡。 對于帶有USB密鑰裝置的可信計算機A和B,首先插入USB密鑰裝置,啟動時,可信計算機自動讀取USB密鑰裝置的信息,并主動將信息通過802. lx協(xié)議送往交換機,交換機收到信息后通過Radius協(xié)議將認證信息轉發(fā)到認證服務器,認證服務器收到認證信息后,查詢數據庫,對認證信息進行識別,識別成功后通過Radius協(xié)議將回應信息送往交換機,交換機通過802. lx協(xié)議將收到的回應信息傳給可信終端,認證成功,即可開始通信。而對于非法接入的計算機C,拒絕其連入網絡。 本實用新型采用C/S架構,使用中間層驅動、驅動攔截、線程注入等技術手段對內網可信計算機的數據輸入/輸出接口、設備和計算機用戶對系統(tǒng)操作、文件操作、外接設備操作等行為進行實時監(jiān)控和監(jiān)測,并提供詳盡的審計日志,防止可信計算機的數據泄漏。對可信計算機隨意使用的外設進行監(jiān)控和審查,非法撥號上網,防止計算機非法外聯的行為,加強了內網可信計算機的安全管理和泄密數據泄漏的發(fā)生。 下面參照圖5對已通過入網請求認證的可信計算機經由管理中心40發(fā)送指令來管理的情形。 對于安裝在計算機20中終端代理裝置206,其包括 連接計算機CPU 201以接收及執(zhí)行監(jiān)控與審計服務器402下發(fā)的指令的管理指令接收及執(zhí)行模塊2061 ; 連接計算機CPU 201以檢查計算機的非法外聯的外聯檢查模塊2062 ; 連接計算機CPU 201的網卡禁用模塊2063,用于在外聯檢查模塊2062發(fā)現計算機
非法外聯時禁用網卡204工作;以及 連接計算機CPU 201的日志生成及警報發(fā)送模塊2064,用于生成與管理指令接收及執(zhí)行模塊2061執(zhí)行情況相應的審計日志和關于非法外聯的警報。 對于已通過入網請求認證的可信計算機A和B,管理中心控制臺401負責其安全策略的規(guī)劃和權限的分配,通過監(jiān)控與審計服務器402與可信計算機通信下發(fā)關于計算機權限的指令,終端代理裝置206對所監(jiān)控的資源,在管理指令接收及執(zhí)行模塊2061接收并執(zhí)行指令情況下,由日志生成及警報發(fā)送模塊2064產生與執(zhí)行情況相應的審計日志和關于 非法外聯的警報,并按照日志審計策略將日志傳回管理中心40,監(jiān)控與審計服務器402接 收審計日志和警報,存于數據庫403中。如有違反安全策略的可疑行為,由監(jiān)控與審計服務 器402根據報警策略向管理中心控制臺401報警,對于外聯檢查模塊2062發(fā)現計算機非法 外聯時,除了發(fā)送警報外,還啟用網卡禁用模塊2063向網卡設備發(fā)送控制命令,當網卡設 備接收到禁用功能的控制命令后會在系統(tǒng)中將網卡禁用,從而使網卡204被禁止工作。通 過這樣的方式來對接口、設備的準確有效監(jiān)控,并在此基礎上實現設備監(jiān)控、文件監(jiān)控、打 印監(jiān)控等。 對可信計算機的安全管理概括起來可分三種,即是否允許用戶讀取信息、輸入信
息和輸出信息,根據這三種職能可對具體的外圍設備賦予相應的權限。比如若可信計算機 A是在一個高級涉密的內網中,可以對其安全策略的規(guī)劃是只可以讀取信息,而不能輸入和
輸出信息,那么用戶無法通過輸入設備修改計算機中的文件,也無法通過打印機打印或拷
貝等的方式輸出其中的文件信息;若可信計算機A是在一個中級涉密的內網中,可以對其
安全策略的規(guī)劃是可以讀取和修改文件,而不能輸出文件的信息,那么用戶無法可以通過
輸入設備修改其中的文件,但不能通過打印機打印或拷貝等的方式輸出其中的文件信息;
若可信計算機A是在一個低級涉密的內網中,可以對其安全策略的規(guī)劃是即可以讀取其中
的文件,也可以通過外圍設備輸入或輸出文件信息。再比如對于某個內網的服務器,可以
通過分配給屬于此內網的某些可信計算機訪問服務器的權限,也可以按照前述的思想對不
同的可信計算機分配可以讀取服務器文件、下載服務器文件、上傳文件至服務器的權限;除
了可以對同處于一個內網中的所有可信計算機分配同樣的權限外,也可以對同處于一個內
網中的可信計算機根據它們處于不同重要工作層次的安全需要對其規(guī)劃相應的安全策略,
進而對相關的外圍設備賦予相應的權限,甚至在需要的時候,可以對已經設置好的權限做
出調整。 表示權限的指令在監(jiān)控與審計服務器中與權限以一一對應的形式存在。設置某個 可信計算機的權限時,首先在管理中心控制臺401上從數據庫403中查找出該計算機,然后 針對該計算機的具體安全需要分配相應的權限,經過設置好之后,與權限相對應的指令就 與該計算機的MAC地址捆綁在一起,繼而與MAC地址捆綁的指令由監(jiān)控與審計服務器402 發(fā)送至具有該MAC地址的計算機終端。終端代理裝置206對所監(jiān)控的資源,在管理指令接 收及執(zhí)行模塊2061接收并執(zhí)行指令情況下,由日志生成及警報發(fā)送模塊2064產生審計日 志,并按照日志審計策略將日志傳回數據庫403。如有違反安全策略的可疑行為,由監(jiān)控與 審計服務器402根據報警策略向管理中心控制臺401報警,對于外聯檢查模塊2062發(fā)現計 算機非法外聯時,除了發(fā)送警報外,還啟用網卡禁用模塊2063向網卡設備發(fā)送控制命令, 當網卡設備接收到禁用功能的控制命令后會在系統(tǒng)中將網卡禁用,從而使網卡204被禁止 工作。 綜上所述,本實用新型具有能夠阻斷非法計算機接入內部網絡,并且能夠阻斷可 信計算機非法外聯、防止信息泄漏事件的優(yōu)點。 本實用新型具有以下優(yōu)點 1、對涉密計算機的數據輸入/輸出設備、接口和計算機用戶對系統(tǒng)操作、文件操 作、外接設備操作等行為進行實時監(jiān)控和監(jiān)測,并提供詳盡的審計日志,可以有效防止涉密計算機隨意使用外設、非法外聯,通過事前防范、事中控制和事后審查三位一體來對內網計 算機進行實時保護。 2、可以保證只有經過主管部門認證的計算機,才可以順利通過基于交換機端口的 訪問控制認證,防止外來計算機隨意接入內部網絡等違規(guī)行為。 3、整體系統(tǒng)采用樹狀結構,多級管理。每級管理的計算機可以根據部門進行劃分, 管理中心可以分級部署,各級管理中心之間建立了良好的調度和通信機制,管理權限層層 下發(fā),管理邏輯清晰明確。既保證了管理的有效實施,又為網絡安全管理權限劃分提供了合 理有效的機制,適用于大型復雜網絡。 盡管上文對本實用新型進行了詳細說明,但是本實用新型不限于此,本技術領域 技術人員可以根據本實用新型的原理進行各種修改。因此,凡按照本實用新型原理所作的 修改,都應當理解為落入本實用新型的保護范圍。
權利要求一種主機監(jiān)控與審計系統(tǒng),其特征在于包括互聯網(3);通過所述互聯網(3)互聯的多個子監(jiān)控與審計中心(2);以及連接所述互聯網(3)以管理所述子監(jiān)控與審計中心(2)的主監(jiān)控與審計中心(1)。
2. 根據權利要求1所述的主機監(jiān)控與審計系統(tǒng),其特征在于所述子監(jiān)控與審計中心(2)包括:傳輸介質(10);通過所述傳輸介質(10)互聯的多個計算機(20); 連接所述傳輸介質(10)具有受控端口的交換機(30);連接所述交換機(30)以對所述計算機(20)經由交換機(30)發(fā)出的認證請求認證的認證服務器(50);以及連接所述交換機(30)以監(jiān)控和管理本級范圍內的主機以及下一級管理中心的管理中 心(40)。
3. 根據權利要求2所述的主機監(jiān)控與審計系統(tǒng),其特征在于,所述管理中心(40)包括管理中心控制臺(401),用于分配已通過認證的計算機的權限;以及監(jiān)控與審計服務器(402),通過與所述多個計算機(20)通信以下發(fā)關于計算機權限的 指令,并接收計算機上傳的日志及警報。
4. 根據權利要求2或3所述的主機監(jiān)控與審計系統(tǒng),其特征在于,所述多個計算機 (20)之每個經由傳輸介質(10)分別連接所述交換機(30)的一個相應受控端口 ;管理中心 控制臺(401)、監(jiān)控與審計服務器(402)和認證服務器(50)分別連接所述交換機(30)的其 他三個端口。
5. 根據權利要求4所述的主機監(jiān)控與審計系統(tǒng),其特征在于,所述交換機(30)包括 具有多個分別連接所述多個計算機(20)的受控端口以及連接所述管理中心控制臺(401)、監(jiān)控與審計服務器(402)和認證服務器(50)的其他端口的交換芯片(301);以及連接所述交換芯片(301)以根據所述認證服務器(50)的認證結果對連接計算機的端 口進行控制的端口控制模塊(302)。
6. 根據權利要求5所述的主機監(jiān)控與審計系統(tǒng),其特征在于,所述計算機(20)是裝有 終端代理裝置(206)的計算機。
7 根據權利要求6所述的主機監(jiān)控與審計系統(tǒng),其特征在于,所述終端代理裝置(206) 包括連接計算機CPU(201)以接收及執(zhí)行監(jiān)控與審計服務器(402)下發(fā)的指令的管理指令 接收及執(zhí)行模塊(2061);連接計算機CPU(201)以檢查計算機的非法外聯的外聯檢查模塊(2062);連接計算機CPU(201)的網卡禁用模塊(2063),用于在外聯檢查模塊(2062)發(fā)現計算 機非法外聯時禁用網卡(204)工作;以及連接計算機CPU(201)的日志生成及警報發(fā)送模塊(2064),用于生成與管理指令接收 及執(zhí)行模塊(2061)執(zhí)行情況相應的審計日志和關于非法外聯的警報。
8. 根據權利要求5所述的主機監(jiān)控與審計系統(tǒng),其特征在于,所述計算機(20)具有一個啟動計算機工作的USB密鑰裝置(205)。
專利摘要本實用新型是一種主機監(jiān)控與審計系統(tǒng),包括互聯網;通過所述互聯網互聯的多個子監(jiān)控與審計中心;以及連接所述互聯網以管理所述子監(jiān)控與審計中心的主監(jiān)控與審計中心。其中子監(jiān)控中心包含有傳輸介質;通過所述傳輸介質互聯的多個計算機;連接所述傳輸介質具有受控端口的交換機;連接所述交換機以對所述計算機經由交換機發(fā)出的認證請求認證的認證服務器;以及連接所述交換機以對已通過認證的計算機發(fā)出管理指令的管理中心。本實用新型可以有效的阻斷外部計算機接入內部網絡和內部計算機非法外聯,同時對內網可信計算機進行控制管理,從而有效的防止信息泄漏事件的發(fā)生。
文檔編號H04L29/06GK201491036SQ20092022261
公開日2010年5月26日 申請日期2009年9月14日 優(yōu)先權日2009年9月14日
發(fā)明者于晴, 王海洋 申請人:北京鼎普科技股份有限公司
網友詢問留言 已有0條留言
  • 還沒有人留言評論。精彩留言會獲得點贊!
1
淮安市| 张家口市| 赤峰市| 彭山县| 云浮市| 吴桥县| 扶风县| 酒泉市| 桦川县| 长白| 盐城市| 台中县| 壤塘县| 克什克腾旗| 茌平县| 勃利县| 远安县| 浦城县| 遂昌县| 阿拉尔市| 共和县| 香港| 肇庆市| 全椒县| 武威市| 中超| 昭通市| 延边| 南昌市| 衢州市| 正定县| 丹凤县| 日土县| 吉首市| 镇原县| 色达县| 普宁市| 张家口市| 云南省| 山东| 乌兰县|