专利名称：一种内网设备非法外联监控系统及其方法
技术领域：
本发明涉及计算机和移动设备信息安全领域，特别是一种内网设备非法外联监控 系统及其方法。
背景技术：
随着社会信息化的深入推进，以及网络的不断发展，计算机和移动设备在社会各 领域中日益普及。计算机在单位内部使用已是一种普遍现象了，而由于移动设备具有携带 方便、使用灵活等优点，使其在信息化过程中得到了迅速发展。因此，移动设备在单位内部 得到使用也成为一个趋势。单位内部工作时常常会涉及到机密的信息，这些机密信息的泄露可能会给单 位或企业带来灾难性的后果。目前，为防止单位或企业内部计算机中的机密信息泄露， 已有一些阻止内部计算机和内部移动设备接入互联网的方法。如中国专利公开号为 CN200920222401. 6的发明就提出了针对主机外联监控的方法，当计算机出现违规连接互联 网时，非法外联监控装置会自动禁用网卡，并向监控中心转发预先设置好的报警信息。但是，以上方法和现有的一些方法都是只针对内部计算机或内部移动介质的，缺 乏对内部计算机和内部移动介质统一监控外联的有效方法，内网设备非法外联，将大大增 加信息泄露的可能性，如内部主机可能通过单位以外的网络接入互联网，内部移动磁盘可 能被接入已经接入互联网的外部主机，从而让机密信息暴露在互联网下，这样，机密信息很 可能就在毫不知情的情况下泄露了。因此，为了让单位内网设备得到安全使用，人们急需一种更可靠、更有效的对内网 设备非法外联进行监控的方法，确保对内网设备非法外联监控的准确性和实时性，并且确 保对内网设备非法外联做出准确的应急操作，从而保证了内网设备中内部信息的安全性和 保密性。
发明内容
本发明的第一个发明目的，在于提供一种内网设备非法外联监控系统，以解决现 有技术不能有效监控内网设备非法外联的技术问题。为了实现本发明的第一个发明目的，采用的技术方案如下一种内网设备非法外联监控系统，所述系统包括设置在内网设备的客户端，包括客户端数据采集模块，用于采集内网设备的客户端信息，生成告警信息；客户端远程连接模块，用于在内网设备启动时与服务端建立远程连接，并把客户 端数据采集模块生成的告警信息发送到服务端；客户端应急模块，接收服务端的应急指令，根据服务端的应急指令，执行应急操 作；设置在服务端的
服务端监控模块，用于与客户端远程连接模块建立连接，并接收内网设备发送的
告警信息；服务端策略制定模块，用于当接收到告警信息时，根据预先设定的外联策略，判断 客户端是否允许外联，如果判断不允许外联，则根据预先制定的应急策略向客户端应急模 块发送应急指令。作为一种优选方案如果内网设备为主机电脑，则客户端信息为内网设备信息；如果内网设备为移动存储设备，则客户端信息为移动存储设备信息及与移动存储 设备连接的宿主主机的设备信息，所述客户端数据采集模块包括内网设备信息采集模块和 宿主主机采集模块。作为一种优选方案，所述系统还包括设置在客户端的客户端加密模块，用于对数据采集模块生成的告警信息进行加密处理；客户端封装模块，用于对加密后的告警信息进行封装；客户端远程连接模块把封装后的告警信息发送到服务端；设置在服务端的服务端解封装模块，用于对接收到的封装后的告警信息进行解封装；服务端解码模块，用于对解封装后的告警信息进行解码，得到解码后的告警信息。作为进一步的优选方案，所述客户端加密模块使用对称加密方法。优选地，所述对称加密方法具体采用AES_256bit加密方法，即采用分组长度为 128bit，密钥长度为256bit的AES加密方法。作为进一步的优选方案，所述客户端封装模块包括依次连接的tcp包封装模块和 http包封装模块，tcp包封装模块用于把加密后的告警信息封装为tcp包，http包封装模 块用于把加密后的告警信息封装为http包；所述服务端解封装模块包括依次连接的tcp包解封装模块和http包解封装模块， tcp包解封装模块用于把封装为tcp包的加密后的告警信息进行解封装，http包解封装模 块用于把封装为http包的加密后的告警信息进行解封装，。作为一种优选方案如果内网设备为移动存储设备，则所述应急操作为如果接收到服务端的应急指 令，则使移动存储设备与宿主主机的连接接口失效。如果内网设备为主机电脑，则所述应急操作为如果接收到服务端的应急指令，则 使主机电脑的输入设备失效。优选地，移动存储设备与宿主主机的连接接口为USB接口，所述主机电脑的输入 设备包括鼠标和键盘。本发明的第二个发明目的在于提供一种内网设备非法外联监控方法，以应用本发 明的第一个发明目的所提供的监控系统。为了实现本发明的第二个发明目的，采用的技术方案如下一种内网设备非法外联监控方法，所述方法包括内网设备的操作步骤
(1)创建与服务端建立远程连接的线程，启动客户端；(2)客户端运行后，采集内网设备的客户端信息生成告警信息；(3)对告警信息使用对称加密方法对告警信息进行加密处理；(4)对加密后的告警信息进行封装处理，首先，把加密后的告警信息封装成tcp 包，并发送到服务端，如果tcp包发送失败，则把加密后的告警信息封装成http包，重新发 送到服务端；(5)等待服务端的应急指令；(6)内网设备接收到服务端的应急指令，则调用客户端应急模块执行应急操作后 退出；服务端的操作步骤(7)服务端等待接收内网设备的告警信息；(8)服务端接收到告警信息后，判断告警信息的封装类型，如果为tcp包封装，则 调用tcp包解封装模块进行tcp包解封装，如果为http包封装，则调用http包解封装模块 进行http包解封装；(9)对解封装后的告警信息进行解密，得到解密后的告警信息；(10)根据服务端事先设置好的外联策略判断解密后的告警信息是否非法，如果 是合法外联，则执行步骤(7)继续等待接收客户端的告警信息，否则，向客户端发送应急指 令，然后执行步骤(J)。上述方法中，步骤(10)事先设置好的外联策略具体为管理员可以在监控中心服 务端设置可允许内网设备外联的条件，如设置特定负责人、特定部门和特定IP等等，符合 条件的内网设备将允许外联，通过这样，避免对允许外联的内网设备执行应急操作。优选地，所述对称加密方法具体采用AES_256bit加密方法，即采用分组长度为 128bit，密钥长度为256bit的AES加密方法。作为一种优选方案，所述步骤(1)包括如果内网设备为主机电脑，则当主机电脑启动时创建与服务端连接的远程线程， 启动客户端；如果内网设备是移动存储设备，则当移动存储设备插入宿主主机后创建与服务端 连接的远程线程，启动客户端。作为进一步的优选方案如果内网设备是主机电脑，则在主机电脑的初始化进程中加载与服务端建立远程 连接的线程，并启动客户端；如果内网设备为移动存储设备，则对移动存储设备进行分区操作，分成两个以上 分区，包括第一分区和一个或多个普通分区，所述第一分区的分区类型为光盘存储，一个或 多个普通分区的分区类型为普通存储，在第一分区中加载创建与服务端建立远程连接并启 动客户端的线程，并将光盘存储设置成自动运行。作为一种优选方案，如果内网设备为移动存储设备，则所述应急操作为如果接收到服务端的应急指 令，则使移动存储设备与宿主主机的连接接口失效。如果内网设备为主机电脑，则所述应急操作为如果接收到服务端的应急指令，则使主机电脑的输入设备失效。优选地，移动存储设备与宿主主机的连接接口为USB接口，所述主机电脑的输入 设备包括鼠标和键盘。本发明相对于现有技术具有以下优点(1)本发明中对内网设备进行外联监控，并记录内网设备外联的详细信息，以便为 以后的审计工作提供数据，这有助于追踪内网数据泄露的源头；(2)本发明中对内网设备的非法外联，监控中心可对内网设备发出应急指令，要求 内网设备执行应急操作，避免内部信息的泄露；(3)本发明由内部设备直接向服务端发送告警信息，则无论内部受监控主机通过 什么方式接入外网，都会受到服务端监控，同时也避免了内部受监控移动存储设备在不知 情的情况下接入外网的情况。
图1为本发明一种内网设备非法外联监控的实现系统的结构示意图；图2为本发明监控中心监控内网设备外联的工作流程图。
具体实施例方式下面结合实施例及附图，对本发明作进一步详细说明，但本发明的实施方式不限 于此。实施例如图1所示，一种内网设备非法外联监控的实现系统，包括客户端数据采集模块，用于采集内网设备信息和其它信息，如果内网设备是一台 主机，则只采集内网设备的信息，如果内网设备是u盘或其它移动设备，则采集内网设备和 宿主机器的信息。并对这些信息进行整合处理；客户端加密模块，用于对数据采集模块生成的告警信息进行加密处理；客户端封装模块，用于对加密后的告警信息进行封装，可将信息封装成tcp包或 http包。模块首先考虑封装成tcp包，若使用tcp包不能将预警信息发送到监控中心服务 端，则考虑封装成http包；客户端应急模块，根据服务端的应急指令，执行应急操作；服务端策略制定模块，用于设置符合指定条件的内网设备允许外联，并制定接受 到告警信息时发出应急操作指令的策略；客户端数运行在内网设备，主要包括内部主机和内部移动磁盘。如果运行在内部 主机，则在内部主机启动时，客户端就启动；如果运行在内部移动磁盘，则当内部移动磁盘 插入任何主机，客户端就启动。所述服务端运行在接入互联网的监控中心，只要内网设备接入互联网，客户端就 向服务端发送告警信息，服务端将立即做出应急决策，并做好日志记录。—种内网设备非法外联监控的实现方法，可以对内部主机和内部移动设备进行外 联监控，如图2所示，本发明进行如下操作1、如果被监控设备是内部主机，则直接执行创建远程线程的程序，该程序将客户端dll注入到系统已运行且可靠的进程中，由此启动客户端；2、如果被监控设备是内部移动磁盘，则将创建远程线程的程序(即步骤1中执行 的程序)写入U盘，让内部移动磁盘插入主机后会自动运行创建远程线程的程序，从而启动 客户端；3、客户端运行后，采集内网设备和宿主主机的信息，并将这些信息按指定的结构 进行封装，生成告警信息，然后使用对称加密方法对告警信息进行加密；4、首先，把加密后的告警信息封装成tcp包，并把告警信息发送到监控中心服务 端。如果发失败，则把加密后的告警信息封装成http包，重新把告警信息发送到监控中心 服务端；5、服务端一直等待接收客户端的外联告警信息。接收到告警信息后，根据监控中 心服务端事先设置好的外联策略判断这个外联告警是否非法。如果是合法外联，则不进行 其它操作，继续等待接收客户端的其它外联告警信息，否则，立即向客户端发送应急指令， 然后等待接收客户端的其它外联告警信息；6、如果客户端接收到步骤5中发送过来的应急指令，客户端立即调用应急模块对于属于内部的移动存储设备，一旦其插入已接入互联网的主机，服务端就像客 户端发送指令，客户端随即执行相关操作，使移动设备插入主机的USB接口失效，即令移动 设备断开与主机的连接。对于内网主机，服务端一旦发现其接入互联网，服务端就像客户端发送指令，客户 端随即执行相关操作，使该主机的鼠标和键盘失效，即禁止用户与主机的交互；否则如果没有接收到应急指令，则不执行其它操作。上述方法中，步骤1和步骤2所述将客户端dll注入到系统已运行且可靠的进程 中，其方法具体为选择可靠的进程，然后在这个进程中创建远程线程，接着让这个线程运 行客户端dll，最后修改系统注册表，让这个可靠的进程每次启动时都加载客户端dll ；上述方法中，步骤2所述将内部移动磁盘插入主机后会自动运行创建远程线程的 程序，其方法具体为需要对内部移动磁盘进行特殊处理，将内部移动磁盘中分成两个区， 一个分成光盘存储，而另一个分成普通存储，然后在光盘存储里面写入创建远程线程的程 序(即步骤1中执行的程序)，最后将光盘存储设置成自动运行；上述方法中，步骤5所述监控中心服务端事先设置好外联策略具体为管理员可 以在监控中心服务端设置可允许内网设备外联的条件，如设置特定负责人、特定部门和特 定IP等等，符合条件的内网设备将允许外联，通过这样，避免对允许外联的内网设备执行 应急操作；所述对称加密方法具体采用AES_256bit加密方法，即采用分组长度为128bit，密 钥长度为256bit的AES加密方法。上述实施例为本发明典型的实施方式，但本发明的实施方式并不受所述实施例的 限制，其他的任何未背离本发明的精神实质与原理下所作的改变、修饰、替代、组合、简化， 均应为等效的置换方式，都包含在本发明的保护范围之内。
权利要求
1.一种内网设备非法外联监控系统，其特征在于，所述系统包括 设置在内网设备的客户端，包括客户端数据采集模块，用于采集内网设备的客户端信息，生成告警信息； 客户端远程连接模块，用于在内网设备启动时与服务端建立远程连接，并把客户端数 据采集模块生成的告警信息发送到服务端；客户端应急模块，接收服务端的应急指令，根据服务端的应急指令，执行应急操作； 设置在服务端的服务端监控模块，用于与客户端远程连接模块建立连接，并接收内网设备发送的告警 fn息；服务端策略制定模块，用于当接收到告警信息时，根据预先设定的外联策略，判断客户 端是否允许外联，如果判断不允许外联，则根据预先制定的应急策略向客户端应急模块发 送应急指令。
2.根据权利要求1所述的外联监控系统，其特征在于 如果内网设备为主机电脑，则客户端信息为内网设备信息；如果内网设备为移动存储设备，则客户端信息为移动存储设备信息及与移动存储设备 连接的宿主主机的设备信息，所述客户端数据采集模块包括内网设备信息采集模块和宿主 主机采集模块。
3.根据权利要求1所述的外联监控系统，其特征在于，所述系统还包括 设置客户端的客户端加密模块，用于对数据采集模块生成的告警信息进行加密处理； 客户端封装模块，用于对加密后的告警信息进行封装； 客户端远程连接模块把封装后的告警信息发送到服务端； 设置在服务端的服务端解封装模块，用于对接收到的封装后的告警信息进行解封装；服务端解码模块，用于对解封装后的告警信息进行解码，得到解码后的告警信息。
4.根据权利要求3所述的外联监控系统，其特征在于，所述客户端加密模块使用对称 加密方法。
5.根据权利要求3所述的外联监控系统，其特征在于，所述客户端封装模块包括依次 连接的tcp包封装模块和http包封装模块，tcp包封装模块用于把加密后的告警信息封装 为tcp包，http包封装模块用于把加密后的告警信息封装为http包；所述服务端解封装模块包括依次连接的tcp包解封装模块和http包解封装模块，tcp 包解封装模块用于把封装为tcp包的加密后的告警信息进行解封装，http包解封装模块用 于把封装为http包的加密后的告警信息进行解封装，。
6.根据权利要求2所述的一种内网设备非法外联监控的实现系统，其特征在于如果 内网设备为移动存储设备，则所述应急操作为如果接收到服务端的应急指令，则使移动存 储设备与宿主主机的连接接口失效。如果内网设备为主机电脑，则所述应急操作为如果接收到服务端的应急指令，则使主 机电脑的输入设备失效。
7.—种内网设备非法外联监控方法，其特征在于，所述方法包括内网设备的操作步骤(1)创建与服务端建立远程连接的线程，启动客户端；(2)客户端运行后，采集内网设备的客户端信息生成告警信息；(3)对告警信息使用对称加密方法对告警信息进行加密处理；(4)对加密后的告警信息进行封装处理，首先，把加密后的告警信息封装成tcp包，并 发送到服务端，如果tcp包发送失败，则把加密后的告警信息封装成http包，重新发送到服 务端；(5)等待服务端的应急指令；(6)内网设备接收到服务端的应急指令，则调用客户端应急模块执行应急操作后退出；服务端的操作步骤(7)服务端等待接收内网设备的告警信息；(8)服务端接收到告警信息后，判断告警信息的封装类型，如果为tcp包封装，则调用 tcp包解封装模块进行tcp包解封装，如果为http包封装，则调用http包解封装模块进行 http包解封装；(9)对解封装后的告警信息进行解密，得到解密后的告警信息；(10)根据服务端事先设置好的外联策略判断解密后的告警信息是否非法，如果是合法 外联，则执行步骤(7)继续等待接收客户端的告警信息，否则，向客户端发送应急指令，然 后执行步骤(7)。
8.根据权利要求7所述的监控方法，其特征在于，所述步骤(1)包括如果内网设备为主机电脑，则当主机电脑启动时创建与服务端连接的远程线程，启动 客户端；如果内网设备是移动存储设备，则当移动存储设备插入宿主主机后创建与服务端连接 的远程线程，启动客户端。
9.根据权利要求8所述的监控方法，其特征在于如果内网设备是主机电脑，则在主机电脑的初始化进程中加载与服务端建立远程连接 的线程，并启动客户端；如果内网设备为移动存储设备，则对移动存储设备进行分区操作，分成两个以上分区， 包括第一分区和一个或多个普通分区，所述第一分区的分区类型为光盘存储，一个或多个 普通分区的分区类型为普通存储，在第一分区中加载创建与服务端建立远程连接并启动客 户端的线程，并将光盘存储设置成自动运行。
10.根据权利要求7所述的监控方法，其特征在于，如果内网设备为移动存储设备，则所述应急操作为如果接收到服务端的应急指令，则 使移动存储设备与宿主主机的连接接口失效。如果内网设备为主机电脑，则所述应急操作为如果接收到服务端的应急指令，则使主 机电脑的输入设备失效。
全文摘要
本发明为一种内网设备非法外联监控系统及其方法，其中包括内网设备客户端和监控中心服务端。当内网设备通过非法途径试图连接互联网时，客户端通过信息采集模块获取设备信息和用户信息，并进行信息捆绑生成告警信息，然后把告警信息传递给加密模块，接着封装模块对加密后的告警信息进行封装，最后把封装后的告警信息发送到连接互联网的监控中心服务端。服务端根据制定的策略和接收到的告警信息判断此设备是否允许外联，并做出相应的操作。本发明由内部设备直接向服务端发送告警信息，则无论内部受监控主机通过什么方式接入外网，都会受到服务端监控，同时也避免了内部受监控移动存储设备在不知情的情况下接入外网的情况。
文档编号H04L29/06GK102006186SQ201010548279
公开日2011年4月6日 申请日期2010年11月16日 优先权日2010年11月16日
发明者姚国祥, 官全龙, 张焕明, 梁德恒 申请人:暨南大学