專利名稱：一種自保護(hù)網(wǎng)絡(luò)系統(tǒng)的裝置和方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種自保護(hù)網(wǎng)絡(luò)系統(tǒng)，尤其涉及一種內(nèi)部網(wǎng)絡(luò)和主機(jī)系統(tǒng)的安全裝置和方法。
背景技術(shù)：
根據(jù)關(guān)鍵行業(yè)網(wǎng)絡(luò)安全優(yōu)化的趨勢(shì)對(duì)于一些信息化水平較高的專業(yè)行業(yè)來(lái)說(shuō)，正在呈現(xiàn)出網(wǎng)絡(luò)安全優(yōu)化的趨勢(shì)，即已經(jīng)不再滿足于通過(guò)升級(jí)傳統(tǒng)的安全產(chǎn)品，來(lái)提高網(wǎng)絡(luò)安全水平，而是逐步進(jìn)入從整體上考慮安全問(wèn)題的階段，未來(lái)的發(fā)展則是將安全系統(tǒng)上升為IT的“基礎(chǔ)運(yùn)營(yíng)系統(tǒng)”地位。
中小企業(yè)信息化加速網(wǎng)絡(luò)安全步伐計(jì)世資訊研究數(shù)據(jù)表明，從2005到2009年間，將有72％的中小企業(yè)信息化從初級(jí)進(jìn)入中高級(jí)階段，而中小企業(yè)IT應(yīng)用全面啟動(dòng)，必然迅速帶動(dòng)中小企業(yè)的網(wǎng)絡(luò)安全市場(chǎng)的增長(zhǎng)。網(wǎng)絡(luò)威脅的多樣化、犯罪化刺激安全技術(shù)的演進(jìn)在新威脅持續(xù)增多的環(huán)境下，諸如間諜軟件、混合攻擊之類的網(wǎng)絡(luò)安全新技術(shù)得到快速發(fā)展，將促使網(wǎng)絡(luò)用戶提高防范水平，同時(shí)也將刺激主動(dòng)防御技術(shù)、一體化安全管理、SOC(內(nèi)網(wǎng)安全管理平臺(tái))、TCP(可信計(jì)算)等新技術(shù)的不斷發(fā)展。
內(nèi)網(wǎng)安全向整體解決方案轉(zhuǎn)化的趨勢(shì)根據(jù)用戶的安全需求，網(wǎng)絡(luò)安全從單獨(dú)安全產(chǎn)品向整體解決方案轉(zhuǎn)移，整合式安全產(chǎn)品大量涌現(xiàn)。內(nèi)網(wǎng)安全受到重視，內(nèi)部監(jiān)控產(chǎn)品應(yīng)用漸廣目前大部分用戶已經(jīng)認(rèn)識(shí)到了內(nèi)網(wǎng)威脅的嚴(yán)重性，在當(dāng)前內(nèi)網(wǎng)安全相對(duì)薄弱的情況下，盡管內(nèi)部監(jiān)控產(chǎn)品已有，但應(yīng)用比例還很低，該類產(chǎn)品正在引起用戶較為廣泛的興趣。
而我們的Uguard內(nèi)網(wǎng)安全管理系統(tǒng)針對(duì)內(nèi)網(wǎng)安全發(fā)展趨勢(shì)所產(chǎn)生的系統(tǒng)，完全合理滿足解決網(wǎng)絡(luò)中的威脅。運(yùn)用在政府、軍隊(duì)、政府機(jī)關(guān)、軍隊(duì)；公安、保密、海關(guān)、商檢、司法機(jī)關(guān)；金融、證券、保險(xiǎn)行業(yè)；Internet服務(wù)提供商(電信運(yùn)營(yíng)商、ISP、ICP)；集團(tuán)企業(yè)，中小企業(yè)；教育行業(yè)(高校、中小學(xué)等)；能源行業(yè)(電力、石油、煤炭等)；其他具備內(nèi)部網(wǎng)絡(luò)安全需求的機(jī)構(gòu)。

發(fā)明內(nèi)容
本發(fā)明的目的是提供一種自保護(hù)網(wǎng)絡(luò)系統(tǒng)的裝置和方法。
本發(fā)明的目的是通過(guò)以下技術(shù)方案實(shí)現(xiàn)的安全接入硬件平臺(tái)區(qū)用于將接收到的數(shù)據(jù)進(jìn)行重定向及控制開(kāi)關(guān)，并用于數(shù)據(jù)交換與路由；軟件設(shè)計(jì)區(qū)用于將硬件平臺(tái)區(qū)的數(shù)據(jù)進(jìn)行認(rèn)證、處理、網(wǎng)絡(luò)協(xié)議分析、收集；軟件安全區(qū)對(duì)整個(gè)網(wǎng)絡(luò)的行為與數(shù)據(jù)進(jìn)行監(jiān)控并分發(fā)同時(shí)根據(jù)硬件平臺(tái)區(qū)重定向的數(shù)據(jù)流控制視頻數(shù)據(jù)傳送到服務(wù)器。
安全硬件平臺(tái)區(qū)包括多處理器高速控制主板、高速交換背板、高速總線及ASIC芯片組，ASIC芯片包括一組或多組芯片。
所述軟件設(shè)計(jì)區(qū)包括控制臺(tái)程序端、服務(wù)器端與客戶端。
包括由控制臺(tái)程序配置策略，并將配置策略傳輸給服務(wù)器端程序，服務(wù)器端存儲(chǔ)數(shù)據(jù)并及時(shí)下發(fā)給客戶端策略、數(shù)據(jù)，由客戶端軟件負(fù)責(zé)認(rèn)證、收集數(shù)據(jù)、執(zhí)行策略、執(zhí)行分布式計(jì)算任務(wù)，且客戶端操作數(shù)據(jù)傳輸給控制臺(tái)來(lái)審計(jì)。
軟件設(shè)計(jì)平臺(tái)區(qū)還包括
認(rèn)證模塊客戶端與安全網(wǎng)關(guān)進(jìn)行認(rèn)證互通，建立數(shù)據(jù)通道；網(wǎng)絡(luò)安全模塊通過(guò)對(duì)用戶所接收發(fā)送數(shù)據(jù)進(jìn)行偵測(cè)，并通過(guò)特征碼，對(duì)異常流量檢測(cè)，對(duì)威脅機(jī)器的異常流量與本局域網(wǎng)隔離，并發(fā)出警告提示，則威脅機(jī)器進(jìn)行相應(yīng)的與殺毒軟件協(xié)作治療，偵測(cè)無(wú)異常恢復(fù)接入網(wǎng)絡(luò)，否則結(jié)束此流程；屏幕監(jiān)控模塊獲取客戶端視頻數(shù)據(jù)流，并將最小視頻數(shù)據(jù)傳送于服務(wù)器；網(wǎng)絡(luò)行為審計(jì)模塊根據(jù)網(wǎng)絡(luò)協(xié)議進(jìn)行分析、審計(jì)用產(chǎn)行為；應(yīng)用程序?qū)徲?jì)模塊截獲發(fā)往指定窗口的數(shù)據(jù)流，并對(duì)其進(jìn)行控制或修改處理。
設(shè)置有客戶端、UGUARD交換機(jī)、UGUARD服務(wù)器，根據(jù)發(fā)送報(bào)文請(qǐng)求或者應(yīng)答報(bào)文請(qǐng)求是否能得到UGUARD服務(wù)器認(rèn)證；A、如果偵測(cè)流量沒(méi)有匹配條件，則保持正常網(wǎng)絡(luò)通訊；B、如果偵測(cè)匹配條件，則進(jìn)行隔離、治預(yù)、恢復(fù)。
包括異常偵測(cè)即用戶對(duì)所接收和發(fā)送的數(shù)據(jù)進(jìn)行偵測(cè)，通過(guò)特征碼，異常流量進(jìn)行監(jiān)測(cè)，過(guò)對(duì)威脅機(jī)器與本局域網(wǎng)進(jìn)行隔離，同時(shí)提示威脅機(jī)器通過(guò)殺毒軟件進(jìn)行協(xié)作相應(yīng)自我治療，經(jīng)偵測(cè)沒(méi)有異常后恢復(fù)接入網(wǎng)絡(luò)。


圖1為本發(fā)明的方法處理過(guò)程流程圖；圖2為NDIS架構(gòu)示意圖；圖3為本發(fā)明所述裝置流程示意圖。
具體實(shí)施例方式
本發(fā)明提供了一種自保護(hù)網(wǎng)絡(luò)系統(tǒng)的裝置和方法，本發(fā)明的核心為提供一套安全管理控制系統(tǒng)，保護(hù)網(wǎng)絡(luò)和主機(jī)系統(tǒng)安全，防止內(nèi)部威脅計(jì)算機(jī)影響整個(gè)內(nèi)部網(wǎng)絡(luò)。
下面結(jié)合附圖來(lái)對(duì)發(fā)明所述方法的具體實(shí)現(xiàn)方式進(jìn)行說(shuō)明。
本發(fā)明所述的方法如圖1所示步驟1客戶端向Uguard網(wǎng)關(guān)發(fā)送一個(gè)EAPoL-開(kāi)始報(bào)文，開(kāi)始802.1x認(rèn)證請(qǐng)求；步驟2Uguard網(wǎng)關(guān)向客戶端發(fā)送EAP-請(qǐng)求身份報(bào)文，請(qǐng)求客戶端將用戶名發(fā)送上來(lái)；接著客戶端回應(yīng)一個(gè)EAP-響應(yīng)身份發(fā)送給安全網(wǎng)關(guān)設(shè)備，其中包括用戶名；步驟3Uguard網(wǎng)關(guān)將EAP-響應(yīng)身份報(bào)文封裝并轉(zhuǎn)發(fā)給RADIUS數(shù)據(jù)庫(kù)-請(qǐng)求報(bào)文中，發(fā)送給認(rèn)證服務(wù)器；步驟4認(rèn)證服務(wù)器產(chǎn)生一個(gè)觸發(fā)報(bào)文，通過(guò)接入設(shè)備將RADIUS數(shù)據(jù)庫(kù)-觸發(fā)報(bào)文發(fā)送給安全網(wǎng)關(guān)，其中包含有EAP-請(qǐng)求/MD5-觸發(fā)；步驟5Uguard網(wǎng)關(guān)將觸發(fā)報(bào)文通過(guò)EAP-請(qǐng)求/MD5-觸發(fā)發(fā)送給客戶端，要求客戶端進(jìn)行認(rèn)證；步驟6客戶端收到EAP-請(qǐng)求/MD5-觸發(fā)報(bào)文后，將密碼和觸發(fā)做MD5算法后的觸發(fā)密碼，在EAP-響應(yīng)身份/MD5-觸發(fā)回應(yīng)給安全網(wǎng)關(guān)設(shè)備；步驟7Uguard網(wǎng)關(guān)將觸發(fā)，觸發(fā)密碼和用戶名一起送到RADIUS服務(wù)器，由RADIUS服務(wù)器進(jìn)行認(rèn)證；RADIUS服務(wù)器根據(jù)用戶信息，做MD5算法，判斷用戶是否合法，然后回應(yīng)認(rèn)證成功/失敗報(bào)文到接入設(shè)備。如果成功，攜帶協(xié)商參數(shù)，以及用戶的相關(guān)業(yè)務(wù)屬性給用戶授權(quán)。如果認(rèn)證失敗，則流程到此結(jié)束；如果認(rèn)證通過(guò)，用戶通過(guò)標(biāo)準(zhǔn)的DHCP協(xié)議(可以是DHCP Relay)，通過(guò)接入設(shè)備獲取規(guī)劃的IP地址；再由通過(guò)屏幕監(jiān)控模塊采用Windows API技術(shù)獲取客戶端電腦的屏幕數(shù)據(jù)，經(jīng)過(guò)視頻加工后，生成類似MPEG4的視頻流數(shù)據(jù)，能確保只有最小視頻數(shù)據(jù)被傳送到服務(wù)器上。
如圖2所示網(wǎng)絡(luò)行為審計(jì)模塊采用Window的NDIS架構(gòu)，系統(tǒng)在局域網(wǎng)里注冊(cè)一個(gè)抓報(bào)分析協(xié)議，根據(jù)各種網(wǎng)絡(luò)協(xié)議來(lái)分析、審計(jì)用戶的網(wǎng)絡(luò)行為由NDIS介質(zhì)通告給本地媒體協(xié)議，由傳輸驅(qū)動(dòng)接口(IDI)傳送到服務(wù)器。
如圖3所示裝置流程示意圖整個(gè)防護(hù)裝置由硬件裝置平臺(tái)區(qū)與軟件平臺(tái)區(qū)，硬件裝置平臺(tái)區(qū)由高端安全接入設(shè)備多處理器高速控制主板連接的高速交換背板與每組ASIC相連的高速總線相互連接在一起，形成高端交換機(jī)作為匯接的網(wǎng)絡(luò)接入設(shè)備，路由交換機(jī)的數(shù)據(jù)轉(zhuǎn)發(fā)和路由功能通過(guò)ASIC芯片完成。
軟件平臺(tái)區(qū)主要由軟件設(shè)計(jì)區(qū)與軟件安全區(qū)構(gòu)成軟件設(shè)計(jì)區(qū)認(rèn)證模塊與安全網(wǎng)關(guān)進(jìn)行認(rèn)證互通，建立數(shù)據(jù)通道。保證企業(yè)內(nèi)網(wǎng)的正常運(yùn)行，避免了沒(méi)有認(rèn)證機(jī)智的終端隨便接入網(wǎng)絡(luò)中進(jìn)行破壞，導(dǎo)致網(wǎng)絡(luò)癱瘓、數(shù)據(jù)丟失；網(wǎng)絡(luò)安全模塊智能的處理機(jī)制，網(wǎng)絡(luò)自保護(hù)防御體系(偵測(cè)、隔離、治預(yù)、恢復(fù))幫助企業(yè)在受到網(wǎng)絡(luò)攻擊時(shí)瞬時(shí)做出反應(yīng)，降低受攻擊設(shè)備，減少攻擊后帶來(lái)的損失；屏幕監(jiān)控模塊采用Windows API技術(shù)獲取客戶端電腦的屏幕數(shù)據(jù)，經(jīng)過(guò)視頻加工，生成類似MPEG4的視頻流數(shù)據(jù)，能確保只有最小視頻數(shù)據(jù)被傳送到服務(wù)器上；網(wǎng)絡(luò)行為審計(jì)模塊采用Window的NDIS架構(gòu)，系統(tǒng)在它那里注冊(cè)一個(gè)抓報(bào)分析協(xié)議，根據(jù)各種網(wǎng)絡(luò)協(xié)議來(lái)分析、審計(jì)用戶的網(wǎng)絡(luò)行為；應(yīng)用程序?qū)徲?jì)模塊采用Window提供的Hook技術(shù)，掛鉤到系統(tǒng)進(jìn)程管理、窗口管理的函數(shù)，在Hook的函數(shù)中實(shí)現(xiàn)數(shù)據(jù)收集，行為控制功能。
系統(tǒng)運(yùn)行設(shè)計(jì)將普通接入設(shè)備升級(jí)成安全接入設(shè)備后，某一用戶通過(guò)認(rèn)證授權(quán)服務(wù)器準(zhǔn)入驗(yàn)證后，進(jìn)入網(wǎng)絡(luò)，這時(shí)假如該用戶這臺(tái)機(jī)器染有沖擊波病毒，安全接入設(shè)備根據(jù)策略中心下發(fā)的安全策略偵測(cè)當(dāng)前數(shù)據(jù)，提取特征碼如有異常，則自動(dòng)將該用戶數(shù)據(jù)流阻斷，進(jìn)行終端提示。只有用戶完成這些程序后相應(yīng)處理，安全接入設(shè)備偵測(cè)無(wú)異常后，用戶才被允許繼續(xù)上網(wǎng)。
另一方面，對(duì)于某些上網(wǎng)行為安全要求較高的領(lǐng)域，還可以開(kāi)啟行為監(jiān)控功能，實(shí)行在線上網(wǎng)監(jiān)控。真正實(shí)現(xiàn)對(duì)人和網(wǎng)絡(luò)立體化防御。
對(duì)于熊貓燒香等蠕蟲病毒的異常端口在內(nèi)網(wǎng)輪循定期掃描，通過(guò)IPC共享等感染模式，Uguard能夠偵測(cè)網(wǎng)絡(luò)中監(jiān)視異常斷口數(shù)據(jù)，并對(duì)輪循掃描等攻擊特征，發(fā)現(xiàn)并定位攻擊源，對(duì)攻擊源進(jìn)行隔離，有效的防止其感染內(nèi)部網(wǎng)絡(luò)其他機(jī)器；對(duì)于熊貓燒香等病毒通過(guò)IPC共享通道使用密碼字典的模式獲取權(quán)限感染的模式，Uguard通過(guò)加密等級(jí)授權(quán)的方式，有效阻止其傳染的途徑。
Uguard是對(duì)整個(gè)內(nèi)部網(wǎng)絡(luò)層面數(shù)據(jù)分析，不僅能夠防御已知型網(wǎng)絡(luò)病毒，而且能夠有效防止病毒變種和未知的網(wǎng)絡(luò)威脅。
通過(guò)以上多種方式對(duì)網(wǎng)絡(luò)威脅進(jìn)行判斷。如有異常SPN將啟動(dòng)802.1X，將威脅源及時(shí)隔離避免影響內(nèi)部網(wǎng)絡(luò)。
雖然通過(guò)實(shí)施例描繪了本發(fā)明，本領(lǐng)域普通技術(shù)人員知道，本發(fā)明有許多變形和變化而不脫離本發(fā)明的精神，本發(fā)明的申請(qǐng)文件的權(quán)利要求包括這些變形和變化。
權(quán)利要求
1.一種自保護(hù)網(wǎng)絡(luò)系統(tǒng)裝置，其特征在于，包括安全接入硬件平臺(tái)區(qū)用于將接收到的數(shù)據(jù)進(jìn)行重定向及控制開(kāi)關(guān)，并用于數(shù)據(jù)交換與路由；軟件設(shè)計(jì)區(qū)用于將硬件平臺(tái)區(qū)的數(shù)據(jù)進(jìn)行認(rèn)證、處理、網(wǎng)絡(luò)協(xié)議分析、收集；軟件系統(tǒng)安全區(qū)對(duì)整個(gè)網(wǎng)絡(luò)的行為與數(shù)據(jù)進(jìn)行監(jiān)控并分發(fā)同時(shí)根據(jù)硬件平臺(tái)區(qū)重定向的數(shù)據(jù)流控制數(shù)據(jù)傳送到服務(wù)器。
2.根據(jù)權(quán)利要求1所述的裝置，其特征在于，所述安全硬件平臺(tái)區(qū)包括多處理器高速控制主板、高速交換背板、高速總線及ASIC芯片組。
3.根據(jù)權(quán)利要求2所述的裝置，其特征在于，所述ASIC芯片包括一組或多組芯片。
4.根據(jù)權(quán)利要求1所述的裝置，其特征在于，所述軟件設(shè)計(jì)區(qū)包括控制臺(tái)程序端、服務(wù)器端與客戶端。
5.根據(jù)權(quán)利要求1所述的裝置，其特征在于，包括由控制臺(tái)程序配置策略，并將配置策略傳輸給服務(wù)器端程序，服務(wù)器端存儲(chǔ)數(shù)據(jù)并及時(shí)下發(fā)給客戶端策略、數(shù)據(jù)，由客戶端軟件負(fù)責(zé)認(rèn)證、收集數(shù)據(jù)、執(zhí)行策略、執(zhí)行分布式計(jì)算任務(wù)，且客戶端操作數(shù)據(jù)傳輸給控制臺(tái)來(lái)審計(jì)。
6.根據(jù)權(quán)利要求1所述的裝置，其特征在于，軟件設(shè)計(jì)平臺(tái)區(qū)還包括認(rèn)證模塊客戶端與安全網(wǎng)關(guān)進(jìn)行認(rèn)證互通，建立數(shù)據(jù)通道；網(wǎng)絡(luò)安全模塊通過(guò)對(duì)用戶所接收發(fā)送數(shù)據(jù)進(jìn)行偵測(cè)，并通過(guò)特征碼，對(duì)異常流量檢測(cè)，對(duì)威脅機(jī)器的異常流量與本局域網(wǎng)隔離，并發(fā)出警告提示，則威脅機(jī)器進(jìn)行相應(yīng)的與殺毒軟件協(xié)作治療，偵測(cè)無(wú)異?；謴?fù)接入網(wǎng)絡(luò)，否則結(jié)束此流程；
7.一種自保護(hù)網(wǎng)絡(luò)系統(tǒng)的方法，其特征在于，設(shè)置有客戶端、UGUARD交換機(jī)、UGUARD服務(wù)器，所述方法包括步驟；A、如果偵測(cè)流量沒(méi)有匹配條件，則保持正常網(wǎng)絡(luò)通訊；B、如果偵測(cè)匹配條件，則進(jìn)行隔離、治預(yù)、恢復(fù)。
8.根據(jù)權(quán)利要求7所述的方法，其特征在于，包括異常偵測(cè)即用戶對(duì)所接收和發(fā)送的數(shù)據(jù)進(jìn)行偵測(cè)，通過(guò)特征碼，異常流量進(jìn)行監(jiān)測(cè)。
9.根據(jù)權(quán)利要求8所述的方法，其特征在于，通過(guò)對(duì)威脅機(jī)器與本局域網(wǎng)進(jìn)行隔離，同時(shí)提示威脅機(jī)器通過(guò)殺毒軟件進(jìn)行協(xié)作相應(yīng)自我治療，經(jīng)偵測(cè)沒(méi)有異常后恢復(fù)接入網(wǎng)絡(luò)。
全文摘要
本發(fā)明涉及一種自保護(hù)網(wǎng)絡(luò)系統(tǒng)的裝置和方法，該裝置主要包括安全接入硬件平臺(tái)區(qū)用于對(duì)接收到的數(shù)據(jù)流進(jìn)行重定向、控制開(kāi)關(guān)、數(shù)據(jù)交換與路由；軟件設(shè)計(jì)區(qū)用于將硬件平臺(tái)區(qū)的數(shù)據(jù)進(jìn)行認(rèn)證、處理、網(wǎng)絡(luò)協(xié)議分析、收集；軟件安全區(qū)對(duì)整個(gè)網(wǎng)絡(luò)的行為與數(shù)據(jù)進(jìn)行監(jiān)控并分發(fā)同時(shí)根據(jù)硬件平臺(tái)區(qū)重定向的數(shù)據(jù)流控制視頻數(shù)據(jù)傳送到服務(wù)器。該方法主要包括將接收到的數(shù)據(jù)流偵測(cè)、隔離、治療、恢復(fù)進(jìn)行重定向，同時(shí)根據(jù)重定向后的數(shù)據(jù)控制數(shù)據(jù)傳送到服務(wù)器上。利用本發(fā)明，可以有效的阻止網(wǎng)絡(luò)病毒在內(nèi)網(wǎng)的傳播感染，保證了網(wǎng)絡(luò)的正常運(yùn)行。
文檔編號(hào)H04L12/26GK101043374SQ20071006411
公開(kāi)日2007年9月26日 申請(qǐng)日期2007年2月28日 優(yōu)先權(quán)日2007年2月28日
發(fā)明者張東 申請(qǐng)人:北京和源沐澤科技發(fā)展有限公司