專利名稱：一種內(nèi)網(wǎng)計算機(jī)非法外聯(lián)的檢測方法
技術(shù)領(lǐng)域：
本發(fā)明涉及網(wǎng)絡(luò)技術(shù)領(lǐng)域，具體涉及一種內(nèi)網(wǎng)計算機(jī)非法外聯(lián)的檢測方法。
背景技術(shù)：
在企業(yè)、政府和軍隊等對信息安全極為敏感的機(jī)構(gòu)的局域網(wǎng)中，內(nèi)部網(wǎng)和外部網(wǎng)是要求嚴(yán)密隔離的。然而，由于在涉密網(wǎng)絡(luò)和公共信息網(wǎng)絡(luò)之間缺乏行之有效的隔離措施和監(jiān)控管理手段，處在內(nèi)網(wǎng)中的內(nèi)部主機(jī)可以通過調(diào)制解調(diào)器、雙網(wǎng)卡等網(wǎng)絡(luò)設(shè)備非法接入外部網(wǎng)絡(luò)，從內(nèi)部建立一條通向外部的秘密通道，繞過了整個網(wǎng)絡(luò)邊界的安全防護(hù)措施(如部署在網(wǎng)絡(luò)出口處的防火墻、網(wǎng)絡(luò)監(jiān)控工具)的監(jiān)控，對內(nèi)部網(wǎng)絡(luò)的信息安全構(gòu)成極大威脅，極易造成數(shù)據(jù)失密、黑客入侵等嚴(yán)重后果。傳統(tǒng)的安全產(chǎn)品不能對涉密主機(jī)非法外聯(lián)、網(wǎng)絡(luò)資源濫用等行為帶來的安全隱患做出準(zhǔn)確判斷，而眾多相互連接的網(wǎng)絡(luò)和嵌入在網(wǎng)絡(luò)系統(tǒng)中的軟件對象，使得涉密主機(jī)非法外聯(lián)、網(wǎng)絡(luò)資源濫用等行為互相交錯，因此現(xiàn)有技術(shù)存在的問題就是無法有效地及時發(fā)現(xiàn)內(nèi)網(wǎng)計算機(jī)的非法外聯(lián)。

發(fā)明內(nèi)容
本發(fā)明的目的是要提供一種內(nèi)網(wǎng)計算機(jī)非法外聯(lián)的檢測方法，以克服現(xiàn)有技術(shù)存在的無法有效地及時發(fā)現(xiàn)內(nèi)網(wǎng)計算機(jī)的非法外聯(lián)的問題。
本發(fā)明的解決方案是通過在各個涉密網(wǎng)主機(jī)上的DNS服務(wù)器輪詢各個具有典型代表性的網(wǎng)站地址的方式，來確定涉密網(wǎng)主機(jī)能否與外部網(wǎng)絡(luò)進(jìn)行非法互聯(lián)。
本發(fā)明通過以下幾個步驟來實現(xiàn)步驟一建立典型網(wǎng)址庫；
步驟二建立可用的包含有上述網(wǎng)址庫的DNS服務(wù)器；步驟三在合適的時間間隔內(nèi)，涉密網(wǎng)主機(jī)通過外網(wǎng)DNS服務(wù)器庫中的DNS服務(wù)器來分別解析典型網(wǎng)址庫中的典型網(wǎng)址，并等待解析結(jié)果；步驟四根據(jù)是否返回解析數(shù)據(jù)包和返回的數(shù)據(jù)包的格式和內(nèi)容來判斷涉密網(wǎng)主機(jī)是否與外部網(wǎng)絡(luò)相連通；步驟五如果“是”，即相連通的，系統(tǒng)進(jìn)行報警。
上述方案還包括一個記錄步驟報警信息以日志的形式詳實地記錄在DNS服務(wù)器庫中。
與現(xiàn)有技術(shù)相比，本發(fā)明的優(yōu)點(diǎn)是本方法采用主動的方式對于內(nèi)網(wǎng)計算機(jī)的非法外聯(lián)進(jìn)行檢測，能夠?qū)崟r監(jiān)測并發(fā)現(xiàn)內(nèi)網(wǎng)用戶的非法外連行為，及時產(chǎn)生報警信息告知系統(tǒng)管理員采取相應(yīng)措施，并以日志的形式詳實地記錄下每一次非法接入的具體信息，防止因此造成的數(shù)據(jù)失密、黑客入侵等后果。采用此方法，可以從根本上解決涉密主機(jī)的非法外聯(lián)的檢測問題，本方法可以應(yīng)用于主機(jī)、服務(wù)器保護(hù)和入侵檢測等各類設(shè)備中。


附圖為本發(fā)明內(nèi)網(wǎng)計算機(jī)非法外聯(lián)的檢測方法流程圖。
具體實施例方式下面以在主機(jī)保護(hù)系統(tǒng)設(shè)備中實施本發(fā)明來具體說明本發(fā)明。
實施中，需要在主機(jī)保護(hù)系統(tǒng)設(shè)備中設(shè)置內(nèi)網(wǎng)計算機(jī)非法外聯(lián)的檢測模塊，該模塊完成內(nèi)網(wǎng)計算機(jī)非法外聯(lián)的檢測、報警等功能。
參見附圖，實施本發(fā)明的具體步驟是(一)建立典型網(wǎng)址庫在建立典型網(wǎng)址庫之前，首先要確認(rèn)禁止內(nèi)網(wǎng)計算機(jī)訪問的地址范圍，例如Internet和特定的國外網(wǎng)段等等。在這些禁止的網(wǎng)絡(luò)范圍內(nèi)選擇適當(dāng)?shù)牡湫偷刂罚鐚τ趪鴥?nèi)的互聯(lián)網(wǎng)，宜選擇一些大型的國內(nèi)門戶網(wǎng)站(如http//www.cctv.com)；而對于國外的互聯(lián)網(wǎng)，宜選擇一些大型的國外門戶網(wǎng)站和搜索引擎等(如http//www.google.com)。
(二)建立DNS服務(wù)器DNS服務(wù)器的選擇是以有效性為基礎(chǔ)的，根據(jù)限制的網(wǎng)絡(luò)范圍的不同，應(yīng)該選擇不同的DNS服務(wù)器。
(三)在完成上面的這些準(zhǔn)備工作之后，系統(tǒng)將對典型網(wǎng)址庫中的網(wǎng)址進(jìn)行域名解析，域名解析就是域名到IP地址的轉(zhuǎn)換過程。IP地址是網(wǎng)路上標(biāo)識您站點(diǎn)的數(shù)字地址，為了簡單好記，采用域名來代替IP地址標(biāo)識站點(diǎn)地址，域名的解析工作由DNS服務(wù)器完成。
內(nèi)網(wǎng)主機(jī)通過DNS服務(wù)器進(jìn)行域名解析的工作原理如下1、內(nèi)網(wǎng)主機(jī)將域名查詢請求發(fā)送到DNS服務(wù)器，DNS服務(wù)器將在本地數(shù)據(jù)庫中查找客戶機(jī)要求的域名映射；2、如果DNS服務(wù)器不能在本地找到內(nèi)網(wǎng)主機(jī)查詢的信息，將客戶機(jī)請求發(fā)送到根域名DNS服務(wù)器。根域名DNS服務(wù)器負(fù)責(zé)解析內(nèi)網(wǎng)主機(jī)請求的根域部分，它將包含下一級域名信息的DNS服務(wù)器地址返回給內(nèi)網(wǎng)主機(jī)的DNS服務(wù)器；3、內(nèi)網(wǎng)主機(jī)的DNS服務(wù)器利用根域名服務(wù)器解析的地址訪問下一級DNS服務(wù)器，得到維護(hù)再下一級域名的DNS服務(wù)器地址。按照此遞歸方法逐級接近查找目標(biāo)，最后在維護(hù)有目標(biāo)域名的DNS服務(wù)器上找到相應(yīng)的IP地址信息；4、內(nèi)網(wǎng)主機(jī)的本地DNS服務(wù)器將遞歸查詢結(jié)果返回內(nèi)網(wǎng)主機(jī)；5、內(nèi)網(wǎng)主機(jī)利用從DNS服務(wù)器查詢得到的IP地址訪問目標(biāo)主機(jī)；如果DNS服務(wù)器不可達(dá)或者無法解析到目標(biāo)主機(jī)，則DNS服務(wù)器會返回錯誤信息。
以上域名解析過程是內(nèi)網(wǎng)主機(jī)進(jìn)行網(wǎng)站訪問的必須經(jīng)過的步驟。
步驟四根據(jù)是否返回解析數(shù)據(jù)包和返回的數(shù)據(jù)包的格式和內(nèi)容來判斷涉密網(wǎng)主機(jī)是否與外部網(wǎng)絡(luò)相連通。
當(dāng)系統(tǒng)向典型網(wǎng)址庫中的網(wǎng)址分別發(fā)送域名解析數(shù)據(jù)包后，就開始等待回應(yīng)的數(shù)據(jù)包，回應(yīng)的數(shù)據(jù)包可能是錯誤信息也可能是包含著目的主機(jī)的合法的地址信息，如果回應(yīng)的數(shù)據(jù)包是錯誤信息時，我們都認(rèn)為網(wǎng)站地址是不可達(dá)的，亦即內(nèi)網(wǎng)主機(jī)沒有非法外聯(lián)。
步驟五如果回應(yīng)的數(shù)據(jù)包是一個包含著目的主機(jī)的合法的地址信息，即回答為“是”，則說明目的主機(jī)是可達(dá)的，亦即內(nèi)網(wǎng)主機(jī)非法外聯(lián)，此時系統(tǒng)可以進(jìn)行報警等進(jìn)一步操作。
同時系統(tǒng)還可將報警信息以日志的形式詳實地記錄在DNS服務(wù)器庫中，備查。
最后所應(yīng)說明的是以上實施方式僅用以說明而非限制本發(fā)明的技術(shù)方案，盡管參照上述實施方式對本發(fā)明進(jìn)行了詳細(xì)的說明，本領(lǐng)域的普通技術(shù)人員應(yīng)當(dāng)理解依然可以對本發(fā)明進(jìn)行修改或者等同替換，而不脫離本發(fā)明的精神和范圍的任何修改與局部替換，其均應(yīng)涵蓋在本發(fā)明的權(quán)利要求范圍內(nèi)。
權(quán)利要求
1.一種內(nèi)網(wǎng)計算機(jī)非法外聯(lián)的檢測方法，其特征在于通過在各個涉密網(wǎng)主機(jī)上的DNS服務(wù)器輪詢各個具有典型代表性的網(wǎng)站地址的方式，來確定涉密網(wǎng)主機(jī)能否與外部網(wǎng)絡(luò)進(jìn)行非法互聯(lián)。
2.如權(quán)利要求1所述的一種內(nèi)網(wǎng)計算機(jī)非法外聯(lián)的檢測方法，其特征在于通過以下幾個步驟來實現(xiàn)步驟一建立典型網(wǎng)址庫；步驟二建立可用的包含有上述網(wǎng)址庫的DNS服務(wù)器；步驟三在合適的時間間隔內(nèi)，涉密網(wǎng)主機(jī)通過外網(wǎng)DNS服務(wù)器庫中的DNS服務(wù)器來分別解析典型網(wǎng)址庫中的典型網(wǎng)址，并等待解析結(jié)果；步驟四根據(jù)是否返回解析數(shù)據(jù)包和返回的數(shù)據(jù)包的格式和內(nèi)容來判斷涉密網(wǎng)主機(jī)是否與外部網(wǎng)絡(luò)相連通；步驟五如果“是”，即相連通的，系統(tǒng)進(jìn)行報警。
3.如權(quán)利要求2所述的一種內(nèi)網(wǎng)計算機(jī)非法外聯(lián)的檢測方法，其特征在于所述方案還包括一個記錄步驟報警信息以日志的形式詳實地記錄在DNS服務(wù)器庫中。
全文摘要
本發(fā)明涉及網(wǎng)絡(luò)技術(shù)領(lǐng)域，具體涉及一種內(nèi)網(wǎng)計算機(jī)非法外聯(lián)的檢測方法。本發(fā)明的目的是要提供一種內(nèi)網(wǎng)計算機(jī)非法外聯(lián)的檢測方法，以克服現(xiàn)有技術(shù)存在的無法有效地及時發(fā)現(xiàn)內(nèi)網(wǎng)計算機(jī)的非法外聯(lián)的問題。通過在各個涉密網(wǎng)主機(jī)上的DNS服務(wù)器輪詢各個具有典型代表性的網(wǎng)站地址的方式，來確定涉密網(wǎng)主機(jī)能否與外部網(wǎng)絡(luò)進(jìn)行非法互聯(lián)。本方法采用主動的方式對于內(nèi)網(wǎng)計算機(jī)的非法外聯(lián)進(jìn)行檢測，能夠?qū)崟r監(jiān)測并發(fā)現(xiàn)內(nèi)網(wǎng)用戶的非法外連行為，采用本方法可以從根本上解決涉密主機(jī)的非法外聯(lián)的檢測問題，本方法可以應(yīng)用于主機(jī)、服務(wù)器保護(hù)和入侵檢測等各類設(shè)備中。
文檔編號H04L12/24GK1750480SQ20051009609
公開日2006年3月22日 申請日期2005年9月29日 優(yōu)先權(quán)日2005年9月29日
發(fā)明者廖明濤, 張永斌, 向冬, 吳毅, 黨瑞, 王森虎, 劉志強(qiáng), 趙衛(wèi)棟, 邵偉, 吳立峰, 王毅 申請人:西安交大捷普網(wǎng)絡(luò)科技有限公司