[發明專利]安全終端系統及終端安全方法

有效

• 申請號: 200910106166.0
• 申請日: 2009-03-27
• 公開（公告）號: CN101520831A
• 公開（公告）日: 2009-09-02
• 發明（設計）人: 戚建淮;鄒躍軍;唐威
• 申請（專利權）人: 深圳市永達電子有限公司
• 主分類號: G06F21/00
• 分類號: G06F21/00;H04L29/06
• 代理公司: 深圳市順天達專利商標代理有限公司
• 代理人: 高占元

技術領域

本發明涉及計算機安全領域，尤其涉及一種安全終端系統及終端安全方法。

背景技術

隨著信息化程度的快速提高，生產和辦公系統的電子化，使得企業內部網絡成為組織和或企業機密信息和知識產權的主要載體。FBI(Federal?Bureauof?Investigation，美國聯邦調查局)和CSI(Crime?Scene?Investigation，美國犯罪現場鑒證科)曾對484家公司調查發現：超過85％的安全威脅來自企業內部，其中有16％來自內部未授權的存取，14％來自專利信息被竊取，12％來自內部人員的財務欺騙，11％來自資料或網絡的破壞。

因此企業內部網絡中的終端成了網絡安全的焦點之一，終端安全技術也迅速發展起來，以試圖阻隔安全威脅，保證內網安全。現有的終端安全技術主要包括：防病毒技術，防火墻技術，IDS(Intrusion?Detection?Systems，入侵檢測系統)、可信終端方案和可信終端鎖等。

防火墻、殺毒軟件等安全解決方案大多是構建企業網絡邊界的安全屏障，而且往往是針對某種特定的安全防護技術，針對內部的和全面的攻擊方式缺乏前瞻性的預防，無法有效防范未知攻擊手段。

可信終端方案主要通過在終端主板等上設置安全模塊實現。可信終端鎖則使用終端鎖來記錄終端的用戶行為、保護涉密文件，審查用戶身份及使用權限和接入內網的可信度，從而保護終端及內網的安全。因此可信終端方案無法適用于已有的終端設備。

然而，單一的安全技術難以實現有效防控。例如防火墻沒有辦法實現對內部用戶安全攻擊的控制；IDS不能實現對所有業務的監測和控制；防病毒軟?件沒有辦法控制病毒在網絡內的傳播；同時，終端用戶行為未受控，用戶行為管理失效。

此外，在一個較大的局域網中，機器配置檔次高低各異，操作系統分門別類，系統軟件千差萬別，網絡管理員要想同時對這幾百臺甚至上千臺終端設備及時快速地打上新的補丁程序，幾乎是不可能的。要保障每一個補丁在安裝后正常運行，不對整個網絡系統造成其它破壞和隱患，更是非常困難的。

發明內容

本發明要解決的技術問題在于，針對上述每一安全手段功能單一的缺陷，提出一種新的安全終端系統及終端安全方法。

本發明解決上述技術問題的技術方案是，構造一種安全終端系統，包括終端及通過數據接口連接到所述終端的移動存儲裝置，所述終端包括從所述移動存儲裝置載入的可信操作系統模塊及安全管理客戶端模塊且該終端在移動存儲裝置移除后恢復原態，

所述可信操作系統模塊，用于控制終端的運行的可信操作系統；

所述安全管理客戶端模塊，用于收集客戶端身份信息以及收集和緩存運行事件；

所述可信操作系統為包括用戶管理模塊、磁盤管理模塊、文件管理模塊及進程管理模塊和網絡管理模塊的Linux操作系統；所述用戶管理模塊用于管理用戶名、用戶密碼和用戶身份認證，所述管理至少包括禁用特權用戶、禁止創建用戶、禁止非本地登錄；所述磁盤管理模塊用于讀寫磁盤，至少包括禁止寫受保護磁盤；所述文件管理模塊用于讀寫文件，至少包括禁止訪問授權文件；所述進程管理模塊用于啟動、結束進程，至少包括禁止殺死受保護進程；所述網絡管理模塊用于管理網絡，至少包括禁用網絡接口查詢、優化防火墻、優化動態主機分配協議。

在本發明所述的安全終端系統中，還包括位于企業受保護的主機上的安全管理中心模塊。

在本發明所述的安全終端系統中，所述安全管理客戶端模塊包括身份管理模塊、事件池模塊、事件過濾模塊、過濾規則模塊和協同管理模塊，其中?身份管理模塊用于與安全管理中心模塊配合，共同完成安全終端節點互認證、用戶身份認證與鑒權；事件池模塊用于收集可信操作系統模塊的安全終端運行狀況信息、日志信息，并提交事件過濾模塊；事件過濾模塊用于根據過濾規則模塊的規則信息，對接收到的事件進行匹配，過濾出可疑事件，并將可疑事件規格化為安全事件，提交給協同管理模塊；過濾規則模塊用于為事件過濾模塊提供規則信息，同時接收協同管理模塊的控制，更新規則信息；協同管理模塊用于所述身份管理模塊和事件過濾模塊的協同請求，并將請求信息提交到安全管理中心模塊。

在本發明所述的安全終端系統中，所述可信操作系統還包括：

啟動安全加固模塊，用于在終端啟動時對終端自身進行完整性檢查；

內存檢查模塊，用于在終端運行期間對內存進行完整性檢查。

本發明還提供一種終端安全方法，包括以下步驟：