[發明專利]一種違規外聯報警及阻斷方法

有效

• 申請號: 201310295825.6
• 申請日: 2013-07-15
• 公開（公告）號: CN103391216A
• 公開（公告）日: 2013-11-13
• 發明（設計）人: 張珠君;馮維淼;張萌;黃偉慶;劉浩
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L29/06
• 代理公司: 北京君尚知識產權代理事務所(普通合伙) 11200
• 代理人: 余長江

1.一種違規外聯實時報警及阻斷方法，其步驟為：

1）內網主機客戶端根據多種外聯方式實時監控內網計算機的聯網行為；

2）所述內網主機客戶端采用libnet函數庫向外網報警監控端主動發送加密報警數據包，探測所述內網計算機是否發生外聯行為，并對違規外聯行為進行報警；

3）所述內網主機客戶端對收到報警的內網主機進行底層抓包得到所有流經每個主機上網卡的數據包，判斷違規外聯行為；

4）對已判斷為違規外聯行為的主機網卡實施阻斷。

2.如權利要求1所述的違規外聯實時報警及阻斷方法，其特征在于，所述多種外聯方式為以下的一種或者多種：通過普通電話線、ISDN綜合業務數字網和ADSL方式的撥號上網以及無線上網。

3.如權利要求1所述的違規外聯實時報警及阻斷方法，其特征在于，向外網報警監控端發送XML統一格式的加密報警數據包。

4.如權利要求1或3所述的違規外聯實時報警及阻斷方法，其特征在于，對報警數據包進行數據加密。

5.如權利要求1所述的違規外聯實時報警及阻斷方法，其特征在于，所述內網主機客戶端根據libpcap函數庫接口遍歷所在主機上的所有網卡信息，并在鏈路層截獲流經網卡的數據包。

6.如權利要求1所述的違規外聯實時報警及阻斷方法，其特征在于，判斷違規外聯行為方法是：若發現流經某塊網卡的數據包源IP是外網地址，則判斷內網主機發生了外聯，所述內網主機客戶端對聯接外網的網卡通信實施阻斷。

7.如權利要求1所述的違規外聯實時報警及阻斷方法，其特征在于，所述監控包括多網卡并行監控：

1）連接內部網絡設置中登記有合法網卡信息的服務器，判斷是否連接內網；

2）獲取成功連接到內網管理端服務器的內網的本地IP地址；

3）查詢內網管理端服務器上登記的客戶端合法IP數據庫,根據所述客戶端合法IP查詢網口連接屬性信息確定非授權連接到內網的網卡，并禁用該網卡；

4)運用libpcap機制實時監控客戶端上的所有未禁用的網卡接收的數據，禁用發生違規外聯行為的網卡。

8.如權利要求1所述的違規外聯實時報警及阻斷方法，其特征在于，所述監控包括脫離內網方式監控：

1）內網主機客戶端軟件自動連接內網管理端服務器，驗證是否連接于內網主機所屬的內網；

2）如果內網主機客戶端不能成功與單位內部服務器建立連接，則客戶端網線被拔或者客戶端計算機脫離內網但其網卡的IP被更換，接入到其他的禁用網絡；

3）在脫離內網的情況下，如果用戶IP地址沒有變動，網線正常接入計算機，則是內部網絡通訊故障，客戶端并沒有進行違規外聯；

4）在脫離內網的情況下，如果客戶端網線拔出，則判斷客戶端作為單機使用，不行執行告警處理；

5）在脫離內網的情況下，如果客戶端網卡IP地址被重新設置脫離內網，無法與內網管理端服務器及備份服務器進行通信，則可初步判定為客戶端已接入包括互聯網在內的其他外網；

6）如果外聯探測成功，則發送報警信息到外網報警監控端并禁用外聯網卡；如果外聯探測不成功，則重新進行外聯探測。

9.如權利要求1任意一項所述的違規外聯實時報警及阻斷方法，外網報警監控端對內網計算機違規外聯的行為做日志記錄，記錄違規主機信息和違規行為。

10.如權利要求1-9任意一項所述的違規外聯實時報警及阻斷方法，其特征在于，

所述內網主機客戶端將應用程序掛載到后臺進程運行；

所述內網主機客戶端通過修改內核程序，對客戶端進程進行隱藏；

所述內網主機客戶端采用文件保護機制，更改內網主機上的應用程序文件屬性。