[發明專利]一種內網安全防護系統和方法

在審

• 申請號: 201710388921.3
• 申請日: 2017-05-25
• 公開（公告）號: CN107070951A
• 公開（公告）日: 2017-08-18
• 發明（設計）人: 肖智華;楊永;張智睿
• 申請（專利權）人: 北京北信源軟件股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12
• 代理公司: 北京東正專利代理事務所(普通合伙)11312
• 代理人: 劉瑜冬

1.一種內網安全防護系統，其特征在于，該系統包括：入網隔離前安全檢查模塊、虛擬IP地址分發模塊、分布式實時監控模塊和智能學習模塊，其中，

入網隔離前安全檢查模塊，用于在內網終端接入網絡前進行安全評估，判斷是否允許該內網終端接入網絡，若是，則發送分配虛擬IP地址和虛擬主機名的請求命令，并觸發虛擬IP地址分發模塊；否則，禁止該內網終端接入網絡，并反饋到該內網終端發出警報；

虛擬IP地址分發模塊，用于接收入網隔離前安全檢查模塊發送的請求命令，并給內網終端分配虛擬IP地址和虛擬主機名，以及根據智能學習模塊確定的變更頻率對相應的內網終端進行虛擬IP地址和虛擬主機名的變更；

分布式實時監控模塊，用于獲取內網終端的實時安全狀態數據，搜集內網終端用戶的操作行為；

智能學習模塊，用于對內網終端的實時安全狀態數據和用戶的操作行為進行分析，評估該用戶的操作環境和操作習慣，確定該用戶對應的內網終端虛擬IP地址和虛擬主機名的變更頻率。

2.根據權利要求1所述的內網安全防護系統，其特征在于，該系統進一步包括：加解密模塊，用于對內網終端的虛擬IP地址和虛擬主機名進行加密或/和解密。

3.根據權利要求1所述的內網安全防護系統，其特征在于，當不同的內網終端需要互訪時，該系統進一步包括：虛擬主機名解析模塊、虛擬IP地址解析模塊和終端信息列表庫模塊，其中，

虛擬主機名解析模塊，用于查詢內網終端的虛擬主機名；

虛擬IP地址解析模塊，用于查詢內網終端的虛擬IP地址；

終端信息列表庫模塊，用于存儲內網終端的信息，其中，內網終端的信息包括但不限于MAC地址，用戶名，訪問IP地址，虛擬IP地址，虛擬主機名，機構ID。

4.根據權利要求1所述的內網安全防護系統，其特征在于，該系統進一步包括：DHCP服務模塊，用于支持內網終端獲取外網DHCP服務的解析、對話、路由代理、數據包封裝請求、遞歸查詢。

5.根據1至4任一權利要求所述的內網安全防護系統，其特征在于，該系統進一步包括：虛擬地址規則庫模塊，用于非規則性存儲虛擬IP地址。

6.一種內網安全防護方法，其特征在于，該方法包括：

S1：通過入網隔離前安全檢查模塊在內網終端接入網絡前進行安全評估，判斷是否允許該內網終端接入網絡，若是，則發送分配虛擬IP地址和虛擬主機名的請求命令，并觸發S2；否則，禁止該內網終端接入網絡，并反饋到該內網終端發出警報；

S2：通過虛擬IP地址分發模塊接收入網隔離前安全檢查模塊發送的請求命令，并給內網終端分配虛擬IP地址和虛擬主機名；

S3：通過分布式實時監控模塊獲取內網終端的實時安全狀態數據，搜集內網終端用戶的操作行為；

S4：通過智能學習模塊對內網終端的實時安全狀態數據和用戶的操作行為進行分析，評估該用戶的操作環境和操作習慣，確定該用戶對應的內網終端虛擬IP地址和虛擬主機名的變更頻率。

S5：通過虛擬IP地址分發模塊根據智能學習模塊確定的變更頻率對相應的內網終端進行虛擬IP地址和虛擬主機名的變更。

7.根據權利要求6所述的內網安全防護方法，其特征在于，該方法進一步包括：通過加解密模塊對內網終端的虛擬IP地址和虛擬主機名進行加密或/和解密。

8.根據權利要求6所述的內網安全防護方法，其特征在于，當不同的內網終端需要互訪時，該方法進一步包括：

通過虛擬域主機名解析模塊和虛擬IP地址解析模塊查詢其中一個內網終端的虛擬IP地址、虛擬主機名；

通過終端信息列表庫模塊調用內網終端的可見信息，查詢訪問外網的訪問IP地址，以使不同的內網終端之間進行通信。

9.根據權利要求6所述的內網安全防護方法，其特征在于，該方法進一步包括：通過DHCP服務模塊支持內網終端獲取外網DHCP服務的解析、對話、路由代理、數據包封裝請求、遞歸查詢。

10.根據6至9任一權利要求所述的內網安全防護方法，其特征在于，該方法進一步包括：通過虛擬地址規則庫模塊非規則性存儲虛擬IP地址。