CN103391216A - 一种违规外联报警及阻断方法 - Google Patents

Abstract

本发明涉及一种违规外联实时报警及阻断方法，其步骤为：1）内网主机客户端根据多种外联方式实时监控内网计算机的联网行为；2）内网主机客户端采用libnet函数库向外网报警监控端主动发送加密报警数据包，探测内网计算机是否发生外联行为，并对违规外联行为进行报警；3）内网主机客户端对收到报警的内网主机进行底层抓包得到所有流经每个主机上网卡的数据包，判断违规外联行为；4）对已判断为违规外联行为的主机网卡实施阻断。在违规外联监控方面，本发明实时性更高，监控性能好。提高了***中报警数据包的安全性和传输效率，有效避免了报警信息被窃取带来的泄密风险。同时提高了软件自身安全性能，软件具有防屏蔽和防卸载能力。

Description

一种违规外联报警及阻断方法

技术领域

本发明涉及一种违规外联监控方法，具体涉及一种违规外联报警及阻断方法属于信息安全技术领域。

背景技术

近年来随着信息化的发展，许多单位都对违规外联非常重视，不少单位建立了各自的违规外联监控***，能够监控内网计算机通过调制解调器、ADSL拨号设备、无线网卡等网络设备进行非授权违规外联行为，从而防止单位内部重要信息向外泄漏，取得了一定的防护效果。

当前的违规外联监控机制主要有两种，一种采用双机架构，另一种采用C/S(客户端/服务器)架构：

双机架构由监控中心和报警中心组成。采用帧探测方式完成，探测包分为ICMP协议和TCP协议探测两种。监控中心安装在单位内网，通过主动发送帧探测包对单位内网的计算机进行违规外联探测，其中探测包的源地址模拟为报警中心的IP地址。报警中心安装在互联网，负责解析违规外联报警信息。如果主机正在连接互联网，则监控中心发送的探测包会诱导该主机自动转发报警信息至报警中心。报警中心经过解析后进行报警。

C/S架构由监控代理和监控报警中心组成。监控代理安装在每台内网计算机上。定时监测内网计算机的网络状况，发现违规外联之后向监控报警中心报警，并自动阻断违规外联。监控报警中心安装在单位内部网络，负责监控策略设置和监控代理软件的下发，并对各监控代理实时反馈的拨号等信息进行处理，当受监控主机违反安全策略违规外联时，实时产生报警信息。

监控技术措施主要由探测、阻断等组成。其中违规外联监控探测方法的基本原理是发送探测报文到互联网上，查看是否有来自互联网的回应。探测报文可以是单独的ICMP、TCP、HTTP、UDP协议报文，或者以上各种形式探测报文相结合的方式。阻断方式主要有禁用设备、删除设备、强制关闭***等。随着技术的发展，违规外联方式多种多样，机制复杂，依靠单一技术手段无法满足监控要求，需要采取多种技术措施综合保护。

上面两种架构虽然在一定程度上防止了内网外联行为，但是仍存在一定的缺陷。比如，对于双机架构***，如果单位网络环境复杂，存在多个网段，且各网段间存在隔离限制，则需要多个主机探测代理，增大***复杂性；对于C/S模式架构，防外联服务器安装在内部网络中，无法发现与内网断开的非法外联行为。

综上，国内外针对违规外联的产品与技术大多聚焦某一功能，缺乏综合化、***化、标准化的解决思路与技术方案，无法为现代保密工作提供全面有效的技术支撑，在实际应用中或多或少的还存在以下问题：

（1）对通过虚拟机软件规避违规外联报警缺少解决手段；

（2）采用个人防火墙可以屏蔽探测包，从而躲避监控，产生漏报；

（3）没有统一报警信息格式，无法实施内网计算机违规外联集中监控；

（4）仅仅能够探测，无法实现阻断功能；

（5）必须在线检测，一旦脱离内网即可脱离监控；

（6）违规外联监控功能单一，无法全面监控所有违规外联行为；

（7）软件自身安全保护较弱，防屏蔽和防卸载能力较差。

针对以上分析现有违规外联产品的存在的问题和企业单位对违规外联的管理要求，本发明提出了相应的技术解决方案，设计并实现了一套较为完善的防内网外联***，实现对非法外联行为的实时监控、即时阻断和审计功能，确保内部网络数据的安全。***具有较强的防屏蔽和防卸载能力。

发明内容

本发明针对上述问题，提出并实现了一种违规外联实时报警及阻断方法，通过一种高效可靠的网卡监控机制，确保了内网计算机违规外联的实时报警和阻断。同时，对程序的健壮性采取了较强的安全机制。

本发明采用的技术方案如下：

一种违规外联实时报警及阻断方法，其步骤为：

1）内网主机客户端根据多种外联方式实时监控内网计算机的联网行为；

2）所述内网主机客户端采用libnet函数库向外网报警监控端主动发送加密报警数据包，探测所述内网计算机是否发生外联行为，并对违规外联行为进行报警；

3）所述内网主机客户端对收到报警的内网主机进行底层抓包得到所有流经每个主机上网卡的数据包，判断违规外联行为；

4）对已判断为违规外联行为的主机网卡实施阻断。

可选地，所述多种外联方式为以下的一种或者多种：通过普通电话线、ISDN综合业务数字网和ADSL方式的拨号上网以及无线上网。

更进一步，向外网报警监控端发送XML统一格式的报警数据包。

更进一步，对报警数据包进行数据加密。

更进一步，所述内网主机客户端根据libpcap函数库接口遍历所在主机上的所有网卡信息，并在链路层截获流经网卡的数据包。

更进一步，判断违规外联行为方法是：若发现流经某块网卡的数据包源IP是外网地址，则判断内网主机发生了外联，所述内网主机客户端对联接外网的网卡通信实施阻断。

更进一步，所述监控包括多网卡并行监控：

1）连接内部网络设置中登记有合法网卡信息的服务器，判断是否连接内网；

2）获取成功连接到内网管理端服务器的内网的本地IP地址；

3）查询内网管理端服务器上登记的客户端合法IP数据库,根据所述客户端合法IP查询网口连接属性信息确定非授权连接到内网的网卡，并禁用该网卡；

4)运用libpcap机制实时监控客户端上的所有未禁用的网卡接收的数据，禁用发生违规外联行为的网卡。

更进一步，所述监控包括脱离内网方式监控：

1）内网主机客户端软件自动连接内网管理端服务器，验证是否连接于内网主机所属的内网；

2）如果内网主机客户端不能成功与单位内部服务器建立连接，则客户端网线被拔或者客户端计算机脱离内网但其网卡的IP被更换，接入到其他的禁用网络；

3）在脱离内网的情况下，如果用户IP地址没有变动，网线正常接入计算机，则是内部网络通讯故障，客户端并没有进行违规外联；

4）在脱离内网的情况下，如果客户端网线拔出，则判断客户端作为单机使用，不行执行告警处理；

5）在脱离内网的情况下，如果客户端网卡IP地址被重新设置脱离内网，无法与内网管理端服务器及备份服务器进行通信，则可初步判定为客户端已接入包括互联网在内的其他外网；

6）如果外联探测成功，则发送报警信息到外网报警监控端并禁用外联网卡；如果外联探测不成功，则重新进行外联探测。

更进一步，外网报警监控端对内网计算机违规外联的行为做日志记录，记录违规主机信息和违规行为。

更进一步，所述内网主机客户端将应用程序挂载到后台进程运行；

所述内网主机客户端通过修改内核程序，对客户端进程进行隐藏；

所述内网主机客户端采用文件保护机制，更改内网主机上的应用程序文件属性。

本发明的有益效果：

本发明的方法部署方便，具有成本低、使用简便、稳定性与可靠性高等优点，具有实用价值。具体来说，其优势如下：

1）在违规外联监控方面，利用libpcap函数库在链路层截获流经网卡的数据包，检测其流经网卡的数据包源IP是否是外网IP从而确定外联行为，较常用的应用层截获数据包的方式，丢包率低，安全性高；可并行对多个网卡同时监控，较常用的只能监控一个网卡或采用普通socket接口遍历网卡监控的方式，实时性更高，监控性能好；

2）对报警数据包采用统一的通信消息格式，并进行加密传输，提高了***的安全性和传输效率，有效避免了报警信息被窃取带来的泄密风险；

3）***采用多种安全机制，包括进程隐藏技术、文件保护机制、进程保护技术，提高了软件自身安全性能，软件具有防屏蔽和防卸载能力；

4）***部署简单，使用方便，针对桌面操作***，兼容Linux多种版本。

附图说明

图1是本发明违规外联报警及阻断方法的一实施例中内网主机客户端工作流程示意图。

图2是本发明违规外联报警及阻断方法的一实施例中外网报警监控端工作流程示意图。

图3是本发明违规外联报警及阻断方法的一实施例中违规外联探测基本流程示意图。

图4是本发明违规外联报警及阻断方法的一实施例中双网卡方式判别方法示意图。

图5是本发明违规外联报警及阻断方法的一实施例中脱离内网方式判别方法示意图。

图6是本发明违规外联报警及阻断方法的一实施例中报警服务器监控端上监控报警信息接收服务器与监控报警信息处理服务器示意图。

图7是本发明违规外联报警及阻断方法一实例中在Linux操作***下实现的示意图。

具体实施方式

下面通过具体实施例和附图，对本发明做详细的说明。

在本发明一实施例中违规外联实时报警及阻断方法，步骤为：

内网主机客户端实时监控内网计算机联网；

内网主机客户端实时监控内网计算机通过普通电话线、ISDN综合业务数字网（IntegratedServices Digital Network）、ADSL等方式的拨号上网、通过无线上网等多种方式的联网行为；

在本发明一实施例中，内网主机客户端利用libnet函数库主动发送报警数据包至外网报警监控端，探测是否发生了外联行为。若外网报警监控端接收到了外网数据包，说明内网主机发生了违规外联行为，外网报警监控端将进行即时报警。libnet提供了低层网络数据包的构造、处理和发送功能，数据包组装发送安全方便。

在本发明一实施例中，报警包发送模块采用统一的报警信息格式，以便实现对计算机违规外联的集中监控。

在本发明一实施例中，报警包发送模块报警信息发送前进行加密处理，以保证内网数据（内网主机名字、负责人等信息）的安全。

内网主机客户端对非法外联行为，按照相应策略实施阻断，严格阻断控制违规外联行为。

在本发明一实施例中，客户端检测内网主机使用双/多网卡分别联接内、外网的情况。扫描内网主机安装的所有网卡，对流经各网卡的数据包实时监测，只禁用联接外网的网卡设备，联接内网的网卡设备不受任何影响，从而在有效阻断违规外联的同时保证内网的正常通信。

在本发明一实施例中，客户端对脱离内网的单机，通过将报警监控端安装在外网，向外网报警端发送报警外联数据，单机监听回应信息，利用libpcap函数库在链路层截获流经网卡的数据包，丢包率低，实时性好。对流经网卡的数据包通过检测其源IP是否是外网IP从而确定外联行为，以实现单机环境下的外联行为的有效阻断和实时报警。

在本发明一实施例中，客户端的软件依据功能独立、模块耦合性低原则，将网卡监控、外联报警、实时阻断和报警界面功能分别采用线程实现，线程间通过信号进行通信。

在本发明一实施例中，内网管理端服务器对客户端违规操作行为进行报警和审计；所述内网管理端服务器自动更新客户端软件；所述内网管理端服务器对客户端进行策略管理。

在本发明一实施例中，外网报警端对内网计算机违规外联的行为做日志记录审计，记录违规主机信息和违规行为，以便日后有据可查。

同时在整个具体方式中本发明一实施例中还包括一种进程保护机制，***客户端将应用程序挂载到后台进程运行，与终端断开连接，从而保证软件的健壮运行，避免违规外联监控被异常中断。客户端通过修改***内核程序，对客户端进程进行隐藏，以保证客户端程序不会被随意禁用。客户端采用文件保护机制，更改应用程序文件属性，使其不可被随意删除。进程保护机制大大提高了本方法在***中实现的可靠性。

本发明提出并实现了一种内网计算机违规外联阻断机制，用于对内网主机违规接入互联网的行为进行监控和阻断，实时向管理员报警，同时保存报警记录，实现运行Linux***的内网主机非法联接互联网的实时监控功能、报警功能和即时阻断功能。并给出了***的软件实现，提供了一种具有较高安全性和可靠性的单位内网计算机违规外联监控机制。

如图7所示是本发明违规外联报警及阻断方法一实例中在Linux操作***下实现的示意图，首先分别从内网主机客户端、内网管理端服务器与外网报警服务器监控端三个部分说明***实现的架构及功能，然后结合前面描述的方法给出具体实现方式，最后介绍***采用的多种安全防护机制。

1.体系架构

本方法可在Linux操作***下，实现对内网主机违规接入互联网的行为进行监控和阻断，实时向管理员报警，同时保存报警记录。通过采取有效可靠的措施对非法外联行为进行阻断，实现运行Linux***的内网主机非法联接互联网的实时监控功能、防护功能和即时阻断功能。

为了实现以上功能，本***主要由三部分组成：报警服务器监控端、客户端、内网管理端服务器端。

在内网所有主机上安装客户端软件，通过客户端向报警服务器发送报警数据包，并及时阻断监控到的非法外联行为；

在内网上设置一个内网管理服务器，与内网中的主机通过内网连接，负责生成监控策略，管理客户端软件，审计内网主机信息；

在互联网上部署一个报警服务器监控端，及时向管理员发送报警信息，记录告警日志。报警服务器监控端通过互联网与内网主机客户端相连。

1.1内网主机客户端功能

如图1所示是本发明违规外联报警及阻断方法的一实施例中内网主机客户端工作流程示意图，客户端主要有两个作用：连续时间间隔发出报警数据包和实时阻断违规外联。针对发送报警数据包功能，为了集中监控内网计算机违规外联情况，报警数据包采用统一的格式，即外联数据采用XML格式，组装成POST包发送。数据包的目的地址为安装互联网的报警服务器监控端的地址。需要发送的外联数据包括内网计算机名、地区编码、单位名、部门名称、责任人、网卡信息、MAC地址、IP地址、操作***、主板序列号、硬盘序列号、用户端软件版本号、本次外联发生时间、外联描述信息、生产厂家编号等内容。由于外联数据内容包含内网主机部分信息，为了满足内网信息的安全保密需求，对数据加密后再发送。

对于实时阻断外联功能，客户端软件利用libpcap函数库接口遍历所在主机上的所有网卡信息，在链路层截获流经网卡的数据包，对流经每块网卡的数据实时监控，可并行监控多个网卡。若发现流经某块网卡的数据包源IP是外网地址，即内网主机发生了外联，客户端马上阻断联接外网的网卡通信。同时，不会影响主机连接内网的网卡的正常工作。为了保护客户端程序不被Linux终端命令任意破坏，程序采用了进程保护技术，防止客户端程序被非法卸载，以保证客户端程序的有效运行。

1.2内网管理端服务器

内网管理端服务器布署在内部网络中，通过内网与内网主机相连。内网管理端服务器负责生成监控策略，如表1所述，对通过不同方式上网的内网主机采取不同的策略进行监控阻断。同时在内网管理端服务器上安装记录内网主机信息的数据库，主要记录主机所在部门负责人姓名、报警信息发送号码、内网计算机使用者、计算机设备所属部门、计算机硬件信息等。

1.3报警服务器监控端

报警服务器监控端安装在互联网上，主要功能包括接收内网主机客户端发来的报警数据包，即时报警，并记录违规外联信息。图2是本发明违规外联报警及阻断方法的一实施例中外网报警监控端工作流程示意图。客户端不断发送报警数据包，目的地址为监控端的IP地址。如果发生了外联行为，监控端收到客户端发来的报警包，监控端会解析数据包内容，及时向相关负责人报警。为了以后工作方便查询统计，将报警信息和报警信息发送情况记录到日志中。

2.***的具体实现方式

2.1内网主机客户端

为了提高程序的并发性能，实现非法外联的有效监控和实时阻断，防外联客户端程序分为两个线程来执行，分别为发送报警数据包线程和阻断内网外联线程。

2.1.1发出报警线程包，主动向外网发起连接

外联探测采用ICMP探测与HTTP探测共同配合，对一系列策略设定的地址（如知名的门户网站、政府站点、互联网报警中心等）进行尝试连接。如果连接成功，说明内网主机客户端进行了外联。违规外联探测过程如图3所示是本发明违规外联报警及阻断方法的一实施例中违规外联探测基本流程示意图。客户端发送报警数据包给报警服务器监控端，发送的外联数据信息主要包括计算机名、单位名称、责任人、网卡信息、IP地址等内容。将外联信息写成XML格式。为了保证内网信息的安全，需要将外联信息进行加密。本***优选一个反复运算的加密算法，允许变动的数据区块以及密钥长度。通过良好的软件设计，代码量少，节省内存，运算处理速度快捷，是一种优越的加密算法。

之后将加密过的XML格式的外联信息组装成POST包发送，目的地址是报警服务器客户端在互联网上的IP地址。

为了避免报警端服务器发生故障产生内网客户端违规外联行为的漏报，***同时发送外联请求至其他一些外网网址，比如向百度、新浪等网站发送get网页请求。发包操作设计为多线程并行进行探测，减少了违规外联行为的漏报率。

2.1.2实时阻断外联

客户端的阻断功能主要是通过unix/Linux平台下的数据包捕获函数库libpcap对网卡接收到的链路层数据进行捕获，判断接收到的数据包的源IP地址是不是外网IP，若为外网IP，则阻断违规外联行为。同时，利用GTK+图形工具包写入客户端外联行为数据，弹出外联报警框。

由于网络适配设备的多样性和操作***的复杂性，以及对发现的违规外联进行阻断行为的力度需要，可灵活组合使用几种违规外联阻断策略。主要有以下三种策略：

i.删除设备

对于某些拨号及外联设备在内网计算机上直接删除。这样可以从底层保证违规外联设备的禁用，减少违规外联的风险。

ii.应用协议阻断

通过用户端程序向网络设备发出指令，中断正在进行的网络通信。

iii.强制关闭***

由于直接关机和删除设备对用户正常的工作影响较大，故本***应用Linux内核提供的应用层与内核交互的接口ioctl向设备发送控制指令，禁用违规外联的网卡，以实现即时阻断功能。鉴于用户工作***的复杂性，有可能存在上述手段均不能成功阻断某外联行为的情况。***在确认存在违规外联时，如上述方法不能有效阻挡，则对用户计算机进行强制关机操作。

2.1.3多网卡方式判别机制

如图4所示是本发明违规外联报警及阻断方法的一实施例中双网卡方式判别方法示意图。多网卡方式违规外联互联网表现形式是内网计算机正常连接内网，同时有另外一块网卡接入互联网。

对于多网卡方式违规外联监控的基本思路是在单位内部网络设置一台服务器，提前将允许在本单位内部网络应用的所有网卡进行登记。***遍历计算机安装的所有网卡，获取各个网卡的属性信息。判断连接内网的合法授权网卡，找出计算机目前所包含的其他网卡，删除所有的非授权网卡完成多网卡的违规外联监控。

多网卡方式判别机制流程图如4所示。判断是否连接内网的方法：首先连接内部网络设置的登记有合法网卡信息的服务器，尝试是否连接成功。为了减少因为内网管理端服务器故障或者停机维护所造成的阻断用户网络连接并导致内网瘫痪的问题，设计中提供了另一个内网管理端服务器，作为判断连接内网的备份服务器。

如果成功连接到内网管理端服务器，客户端软件能够与Linux内核通信，获取连接内网的本地IP地址，而不是要求必须通过指定的网卡进行内网连接，这样，用户在网卡故障时可以方便的选择更换或加装另一网卡进行内网通信，而不会影响用户使用。

取得了连接内网的本地IP地址后，通过查询内网管理端服务器上登记的客户端合法IP数据库，网卡属性数据库，确定非授权连接到内网的网卡，并禁用此网卡。

同时，运用libpcap机制实时监控客户端上的所有未禁用的网卡接收的数据，禁用发生违规外联行为的网卡。

2.1.4脱离内网方式判别机制

如图5所示是本发明违规外联报警及阻断方法的一实施例中脱离内网方式判别方法示意图。脱离内网方式违规外联互联网是指单位内部网络的计算机脱离内网，通过设置计算机网卡IP地址为外网网段，以接入互联网。

对脱离内网方式违规外联监控的方法可通过首先判断内网计算机是否脱离了单位内网，其次，如果计算机脱离了内部网络，判断其网卡IP是否被重新设置，是否进行了违规外联。

脱离内网方式判别机制流程图如5所示。其基本思路是在内网计算机脱离内网运行时，首先确定用户端软件终端是单机运行，还是连接于另外的网络，针对不同情况***设置了不同的策略来决定是否阻断网络连接。如果终端连接到包括互联网在内的所有其他网络，***将禁用所有的网络连接；如果终端只是脱离单位内部网络作为单机运行，期间没有任何连网记录，终端计算机再连接原来的内部网络将不受影响。

客户端软件将尝试自动连接内网管理端服务器，验证是否连接于计算机所属的内网。如果客户端不能够成功与单位内部服务器建立连接，可能的情况有两种：客户端网线被拔，被作为单机使用；或者客户端计算机脱离了内网，其网卡的IP被更换，接入到其他的禁用网络。针对不同情况有不同的策略。

在脱离内网的情况下，如果用户IP地址没有变动，网线也正常接入计算机，则可以判定为与内网管理端服务器连接失败是内部网络通讯故障所致，客户端并没有进行违规外联，可检查内部网络故障，不需要对客户端进行告警和阻断处理。

在脱离内网的情况下，如果客户端只是将网线拔出，可判断客户端作为单机使用，隔绝了网络通信，更不可能发生违规外联行为，不需要进行执行任何的告警处理。客户端***网线后如果可以连接到内网管理端服务器，将正常进行内网通信。

在脱离内网的情况下，如果客户端网卡IP地址被重新设置，使其脱离内网，无法与内网管理端服务器及备份服务器进行通信，则可初步判定为客户端已接入包括互联网在内的其他网络。此时将尝试进行外联探测，如果外联探测成功，将发送报警信息到互联网报警监控中心并禁用网卡阻断网络连接。如果外联探测不成功，则弹出提示违规接入其他网络的提示，禁用网卡阻断网络通信。所有的违规外联的行为将形成日志实时记录到本地，并在客户端重新连接到内网时发送到内网管理端服务器。

2.2内网管理端服务器

内网管理端服务器负责生成监控策略，对通过不同方式上网的内网主机采取不同的策略进行监控阻断。

2.2.1策略配置

内网管理端服务器端负责生成配置策略。违规外联监控提供了较为灵活的策略配置，便于内网计算机的管理和监控。除提供外联设备管理接口外，还根据内网计算机是否允许联网，采用不同的策略配置，以便更有针对性地监控违规外联，降低监控难度和复杂度。针对不同的违规外联方式，采用不同的违规外联监控策略。其处理方式如错误！未找到引用源。所示：

表1违规外联监控策略

2.2.2内网主机信息审计

内网管理端服务器启用定时器定时扫描内网主机，提取主机信息并作审计记录，内网主机的详细信息，主要包括主机名称、主机所在部门、主机使用人、IP地址、MAC信息等。将这些信息记录在数据库中，并根据扫描获取的信息进行主机信息维护。

2.3报警服务器监控端

如图6所示是本发明违规外联报警及阻断方法的一实施例中报警服务器监控端上监控报警信息接收服务器与监控报警信息处理服务器示意图。报警服务器监控端由互联网监控报警信息接收及处理软件光盘、互联网监控报警处理软件身份钥匙、光单向传输装置等组成。

报警服务器监控端要实现的功能包括：具有接收违规外联用户终端发出报警信息的功能；具有审计分析和事件管理功能；监控报警信息接收服务器与监控报警信息处理服务器分离，应采用光单向传输装置连接。

2.3.1内网主机信息管理

互联网监控报警信息接收服务器监听接收来自客户端的外联告警数据包，对数据包进行解析，提取数据包传送过来的主机信息（内网主机名称、主机IP、主机MAC、主机责任人等信息），将告警信息存入定义好的数据库中，实时进行内网主机外联信息的增加、删除、查询和修改等操作，同时，等待报警信息发送模块对表中数据进行扫描。

2.3.2接收报警数据包，发送报警信息

互联网监控报警信息接收服务器启用定时器定时扫描外联记录表是否有需要处理的外联信息，如果有外联信息的更新，则根据外联信息提供的内容，向相关部门负责人发送报警信息。

3.***的安全机制

按照前文定义的消息格式和传输机制分别在Linux操作***上实现了***原型。发送端软硬件***运行在嵌入式Linux操作***上；接收端分别运行于Linux***的桌面计算机上。本实施例着重介绍***的软件实现。

3.1进程隐藏技术

为了进行违规外联进程隐藏，保护进程不轻易被禁用，故本***采用了一种方法实现违规外联进程ID的隐藏。

Linux中，可以通过/proc文件***访问到许多内核的内部信息。ps命令和top命令从/proc文件***中读取进程信息并显示出来。因此，如果一个进程的进程号没有在/proc文件***中反映出来，则这个进程被“隐藏”了，“隐藏”进程在ps或top命令的输出不出现。

具体解决方法：

对Linux文件***/fs/proc目录下的函数proc_pid_readdir进行修改。通过阅读Linux内核的代码可知，需要在if(filldir(dirent,buf+j,PROC_NUMBUF-j,filp->f_pos,ino,DT_DIR)<0)前判断进程是否为违规外联进程（此处判断依据是执行文件名称）：先获取进程的task_struct结构，该结构中含进程执行文件名称，与违规外联执行文件名称比较，不同的才通过filldir()函数往/proc添加<pid>目录，相同则不处理。

3.2文件保护机制

本违规外联***应用程序文件设定为超级用户的运行权限，在后台运行。普通用户无法修改和删除具有超级用户权限的文件。为了避免超级用户误删除***软件，对应用程序文件采用了一定的保护措施。

首先，分析Linux***下目录或文件的属性，常规属性主要包括：文件或目录的节点、种类、权限模式、链接数量、所归属的用户和用户组、最近访问或修改的时间等内容。其中安全相关的属性（如同步、权限管理等）可以通过Linux提供的指令接口来实现控制。

通过改变存放在ext2、ext3、ext4、xfs、ubifs、reiserfs、jfs等文件***上的文件或目录安全属性，使得目录或文件不能被删除、改名、无法通过任何方式写入或新增内容，对于文件安全性有较大的改善。

3.3进程保护机制设计

本违规外联***运行的环境是Linux/unix环境，为防止进程在执行过程中被终端信息打断，将客户端进程设置为守护进程，使得***程序在后台运行，生存期比较长，不会显示在控制终端，同时也不受终端命令控制。

在终端关闭时，客户端程序仍然运转，保证了***的可靠运行，避免了用户恶意删除或改变客户端程序，影响***的监控能力。

同时，***程序能够实时监测到客户端程序被非法卸载行为，重新启动客户端软件，保证客户端软件有效运行。

尽管为说明目的公开了本发明的具体实施例和附图，其目的在于帮助理解本发明的内容并据以实施，但是本领域的技术人员可以理解：在不脱离本发明及所附的权利要求的精神和范围内，各种替换、变化和修改都是可能的。本发明不应局限于本说明书最佳实施例和附图所公开的内容，本发明要求保护的范围以权利要求书界定的范围为准。

Claims (10)

1.一种违规外联实时报警及阻断方法，其步骤为：

1）内网主机客户端根据多种外联方式实时监控内网计算机的联网行为；

2）所述内网主机客户端采用libnet函数库向外网报警监控端主动发送加密报警数据包，探测所述内网计算机是否发生外联行为，并对违规外联行为进行报警；

3）所述内网主机客户端对收到报警的内网主机进行底层抓包得到所有流经每个主机上网卡的数据包，判断违规外联行为；

4）对已判断为违规外联行为的主机网卡实施阻断。

2.如权利要求1所述的违规外联实时报警及阻断方法，其特征在于，所述多种外联方式为以下的一种或者多种：通过普通电话线、ISDN综合业务数字网和ADSL方式的拨号上网以及无线上网。

3.如权利要求1所述的违规外联实时报警及阻断方法，其特征在于，向外网报警监控端发送XML统一格式的加密报警数据包。

4.如权利要求1或3所述的违规外联实时报警及阻断方法，其特征在于，对报警数据包进行数据加密。

5.如权利要求1所述的违规外联实时报警及阻断方法，其特征在于，所述内网主机客户端根据libpcap函数库接口遍历所在主机上的所有网卡信息，并在链路层截获流经网卡的数据包。

6.如权利要求1所述的违规外联实时报警及阻断方法，其特征在于，判断违规外联行为方法是：若发现流经某块网卡的数据包源IP是外网地址，则判断内网主机发生了外联，所述内网主机客户端对联接外网的网卡通信实施阻断。

7.如权利要求1所述的违规外联实时报警及阻断方法，其特征在于，所述监控包括多网卡并行监控：

1）连接内部网络设置中登记有合法网卡信息的服务器，判断是否连接内网；

2）获取成功连接到内网管理端服务器的内网的本地IP地址；

3）查询内网管理端服务器上登记的客户端合法IP数据库,根据所述客户端合法IP查询网口连接属性信息确定非授权连接到内网的网卡，并禁用该网卡；

4)运用libpcap机制实时监控客户端上的所有未禁用的网卡接收的数据，禁用发生违规外联行为的网卡。

8.如权利要求1所述的违规外联实时报警及阻断方法，其特征在于，所述监控包括脱离内网方式监控：

1）内网主机客户端软件自动连接内网管理端服务器，验证是否连接于内网主机所属的内网；

2）如果内网主机客户端不能成功与单位内部服务器建立连接，则客户端网线被拔或者客户端计算机脱离内网但其网卡的IP被更换，接入到其他的禁用网络；

3）在脱离内网的情况下，如果用户IP地址没有变动，网线正常接入计算机，则是内部网络通讯故障，客户端并没有进行违规外联；

4）在脱离内网的情况下，如果客户端网线拔出，则判断客户端作为单机使用，不行执行告警处理；

5）在脱离内网的情况下，如果客户端网卡IP地址被重新设置脱离内网，无法与内网管理端服务器及备份服务器进行通信，则可初步判定为客户端已接入包括互联网在内的其他外网；

6）如果外联探测成功，则发送报警信息到外网报警监控端并禁用外联网卡；如果外联探测不成功，则重新进行外联探测。

9.如权利要求1任意一项所述的违规外联实时报警及阻断方法，外网报警监控端对内网计算机违规外联的行为做日志记录，记录违规主机信息和违规行为。

10.如权利要求1-9任意一项所述的违规外联实时报警及阻断方法，其特征在于，

所述内网主机客户端将应用程序挂载到后台进程运行；

所述内网主机客户端通过修改内核程序，对客户端进程进行隐藏；

所述内网主机客户端采用文件保护机制，更改内网主机上的应用程序文件属性。

Images