[發(fā)明專利]一種在計(jì)算機(jī)網(wǎng)絡(luò)內(nèi)實(shí)現(xiàn)非對(duì)等訪問的控制方法和控制系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 200710052499.0
• 申請(qǐng)日: 2007-06-19
• 公開（公告）號(hào): CN101330495B
• 公開（公告）日: 2012-07-25
• 發(fā)明（設(shè)計(jì)）人: 劉毅;張大鵬;韓勇橋;龔超雄;陳碧碧
• 申請(qǐng)（專利權(quán)）人: 瑞達(dá)信息安全產(chǎn)業(yè)股份有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L12/56
• 代理公司: 武漢天力專利事務(wù)所 42208
• 代理人: 宋國(guó)榮;馮衛(wèi)平

1.一種在計(jì)算機(jī)網(wǎng)絡(luò)內(nèi)實(shí)現(xiàn)非對(duì)等訪問的控制方法，其特征在于，它包 括如下程序：

A.注冊(cè)計(jì)算機(jī)信息：網(wǎng)絡(luò)內(nèi)的計(jì)算機(jī)集中向網(wǎng)絡(luò)管理中心(3)注冊(cè) 本地計(jì)算機(jī)信息，網(wǎng)絡(luò)內(nèi)的計(jì)算機(jī)從網(wǎng)絡(luò)管理中心(3)獲得安全測(cè)試；

B.制定訪問策略：由網(wǎng)絡(luò)管理中心(3)制定非對(duì)等訪問策略；

C.請(qǐng)求策略服務(wù)，獲得訪問控制策略：當(dāng)源計(jì)算機(jī)(1)訪問目標(biāo)計(jì) 算機(jī)(2)時(shí)，首先從網(wǎng)絡(luò)管理中心(3)請(qǐng)求策略服務(wù)，并獲得非對(duì)等訪問 控制策略；

D.對(duì)數(shù)據(jù)包過濾處理：源計(jì)算機(jī)(1)的網(wǎng)絡(luò)層控制程序截獲到所有 進(jìn)出的IP數(shù)據(jù)包后，進(jìn)行包過濾處理，實(shí)施網(wǎng)絡(luò)管理中心(3)的非對(duì)等訪 問控制策略，執(zhí)行IP數(shù)據(jù)包放行或丟包處理：

D-1.不合格，對(duì)數(shù)據(jù)包丟包處理；

D-2.合格，對(duì)數(shù)據(jù)包放行；

所述的過濾處理為：

a.當(dāng)截獲的數(shù)據(jù)包是有狀態(tài)的數(shù)據(jù)包TCP，則過濾驅(qū)動(dòng)程序檢查TCP 數(shù)據(jù)包的TCP頭信息的標(biāo)志位SYN、ACK、FIN，根據(jù)該數(shù)據(jù)包的TCP頭信息 判斷，如果此次連接動(dòng)作是目標(biāo)計(jì)算機(jī)(2)主動(dòng)發(fā)起的，則禁止通過，否則 允許通過；

b.當(dāng)截獲的數(shù)據(jù)包是無(wú)狀態(tài)的數(shù)據(jù)包UDP、ICMP，則將該數(shù)據(jù)包的信 息與訪問控制列表進(jìn)行匹配，當(dāng)該數(shù)據(jù)包的信息在訪問控制列表里面，則允 許通過，否則禁止通過；

所述的安全測(cè)試為：由網(wǎng)絡(luò)層控制程序直接與網(wǎng)絡(luò)管理中心(3)的服 務(wù)器通信，從而使源計(jì)算機(jī)(1)中的非對(duì)等訪問控制策略總是與網(wǎng)絡(luò)管理中 心(3)的策略一致。

2.如權(quán)利要求1所述的方法，其特征在于，所述的網(wǎng)絡(luò)內(nèi)的本地計(jì)算機(jī) 信息包括：計(jì)算機(jī)終端的硬件信息、軟件信息、網(wǎng)絡(luò)配置信息和操作系統(tǒng)信 息。

3.如權(quán)利要求1所述的方法，其特征在于，所述的網(wǎng)絡(luò)層控制程序，它 是對(duì)計(jì)算機(jī)所有進(jìn)出的IP數(shù)據(jù)包進(jìn)行過濾處理。

4.如權(quán)利要求1所述的方法，其特征在于，所述的數(shù)據(jù)包的信息包括源 IP、目標(biāo)IP、源端口、目標(biāo)端口、源MAC、目標(biāo)MAC。

5.如權(quán)利要求1所述的方法，其特征在于，所述的將數(shù)據(jù)包的信息與訪 問控制列表進(jìn)行匹配是利用訪問控制列表對(duì)無(wú)狀態(tài)的數(shù)據(jù)包UDP、ICMP的檢 測(cè)，訪問控制列表包括：源IP、目標(biāo)IP、源端口、目標(biāo)端口、源MAC、目標(biāo) MAC、超時(shí)。

6.一種用于權(quán)利要求1所述方法的一種在計(jì)算機(jī)網(wǎng)絡(luò)內(nèi)實(shí)現(xiàn)非對(duì)等訪問 的控制系統(tǒng)，其特征在于，在網(wǎng)絡(luò)內(nèi)的計(jì)算機(jī)操作系統(tǒng)的網(wǎng)絡(luò)層上有一個(gè)網(wǎng) 絡(luò)層控制程序單元，用于控制計(jì)算機(jī)網(wǎng)絡(luò)層所有數(shù)據(jù)包的進(jìn)出流向，該網(wǎng)絡(luò) 層控制程序單元與計(jì)算機(jī)內(nèi)核中安全單元聯(lián)通，用于當(dāng)網(wǎng)絡(luò)層控制程序被惡 意篡改，則系統(tǒng)重新啟動(dòng)，并執(zhí)行修復(fù)處理，防止運(yùn)行在內(nèi)核中的網(wǎng)絡(luò)層控 制程序被非法卸載；所述的網(wǎng)絡(luò)層控制程序單元直接與網(wǎng)絡(luò)管理中心(3)的 服務(wù)器聯(lián)通，用于使源計(jì)算機(jī)(1)中的非對(duì)等訪問控制策略總是與網(wǎng)絡(luò)管理 中心(3)的策略一致。

7.如權(quán)利要求6所述的系統(tǒng)，其特征在于，所述的網(wǎng)絡(luò)層控制程序單元 與計(jì)算機(jī)所有進(jìn)出的IP數(shù)據(jù)接口聯(lián)通，用于對(duì)計(jì)算機(jī)所有進(jìn)出的IP數(shù)據(jù)包 進(jìn)行過濾處理。