CN1981277A - 隔离*** - Google Patents

隔离*** Download PDF

Info

Publication number
CN1981277A
CN1981277A CNA200580022524XA CN200580022524A CN1981277A CN 1981277 A CN1981277 A CN 1981277A CN A200580022524X A CNA200580022524X A CN A200580022524XA CN 200580022524 A CN200580022524 A CN 200580022524A CN 1981277 A CN1981277 A CN 1981277A
Authority
CN
China
Prior art keywords
client terminal
network
authentication server
authentication
user
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA200580022524XA
Other languages
English (en)
Other versions
CN100568212C (zh
Inventor
岛田克彦
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Qindarui company
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of CN1981277A publication Critical patent/CN1981277A/zh
Application granted granted Critical
Publication of CN100568212C publication Critical patent/CN100568212C/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer And Data Communications (AREA)
  • Small-Scale Networks (AREA)
  • Storage Device Security (AREA)

Abstract

[问题]提供用于执行关于连接到诸如内部网之类的网络的大量客户终端执行安全对策的隔离***和隔离方法。[解决问题的手段]当启动要被连接的客户终端的OS时，隔离***在将其连接到服务器等所连接到的基础LAN用户网络之前，首先通过使用公用证书将其连接到隔离网络，并且经由隔离网络检查安全。当客户终端需要安全对策时，对该客户终端执行安全对策。在完成了安全对策之后，使用用户证书以将客户终端连接到用户网络。

Description

隔离***
技术领域
本发明涉及例如隔离***，更具体地说，涉及用于隔离(quarantine)连接到网络的客户终端的***和方法。
背景技术
随着网络技术的不断发展，大量作为客户终端工作的计算机连接到网络。因此，由计算机病毒造成的软件损坏的事故，和由寻找和利用软件的脆弱性的黑客和解密高手(cracker)恶意入侵客户终端的事故正在增多。因此，足够多的安全措施对于客户终端来说已经变得非常重要。
如果将客户终端的数量限制到网络管理器能够控制它们的程度，则网络管理器可以提醒用户关于安全措施的需要，以便通过更新关于OS(操作***)的安全补丁或者通过下载病毒模式文件来采取安全措施。特别是，关于病毒模式文件的下载，已知采取安全措施的方法，在其中当将客户终端链接到诸如局域网(下面称为“LAN”)的网络时，将病毒措施文件自动传送到客户终端，其减少了需要网络管理员的负担(见，例如，专利文档1)。
专利文档1：日本公开专利申请2003-233504
发明内容
本发明要解决的问题
但是，由于专利文档1的技术通过将客户终端连接到LAN来采取病毒措施，当之前被病毒感染的客户终端连接到LAN时将导致问题，该连接将会在整个LAN上传播病毒，损坏连接到该LAN的服务器和其他客户终端。
而且，作为用于诸如LAN之类的网络的安全措施，重要的事情并不限于针对病毒的措施。例如，上述关于OS的安全补丁的更新对于防止黑客和解密高手通过安全漏洞入侵也非常重要。
而且，当将具有不足够的口令字设置的客户终端连接到LAN时，使用该客户终端的另一个人可能解密(crack)该口令字。例如，当将具有比规定长度短的长度的口令字设置为用于对屏幕保护程序进行解锁的口令字时，非法入侵者可以容易地解密口令字并且入侵到LAN中。因此，对于安全措施，在客户终端中确认口令字设置也非常重要。
此外，对于已经激活了构成安全风险的软件程序(下面称为“被禁止软件”)(例如，诸如SoftEhter之类的用于允许LAN访问的、绕过LAN中所安装的代理和防火墙的程序)的客户终端来说，禁止对LAN的连接直到客户终端已经停止被禁止软件为止是非常重要的。
用于客户端终端隔离***而存在的守护程序可以将上述安全措施提供给大量客户终端，而不对网络管理员产生任何负担。
从上面可以看出，本发明的目的是提供用于为大量客户终端采取全面的安全措施的隔离***和隔离方法。
用于解决问题的手段
本申请的发明者已经进行了比较深入的研究以实现该目的，引入这样的***：当将客户终端连接到***时，首先使用公用证书来对客户终端进行验证，并且将其连接到网络以采取安全措施；和在安全措施完成之后，其使用用户证书来对客户终端进行验证，并且将客户终端连接到用户网络。更具体地说，本发明提供下面的隔离***。
隔离***包括：具有通信装置的客户终端，连接到该客户终端的验证设备，和连接到该验证设备的隔离设备，其中隔离设备包括：第一验证服务器，安全服务器，该第一验证服务器、该安全服务器和该验证设备连接到的隔离网络，和第二验证服务器和该验证设备连接到的用户网络，其中验证设备响应于客户终端的通信装置的激活和客户终端的OS的启动，识别客户终端通信装置被启动，其中第二验证服务器对客户终端进行验证，经由验证设备为客户终端设置公用证书，允许客户终端到隔离网络的连接，经由隔离网络响应于用于客户终端的安全措施的完成重新验证客户终端，为客户终端设置用户证书，和允许客户终端到用户网络的连接，而且其中第一验证服务器对客户终端执行安全检查，而且当根据安全检查确定需要用于客户终端的安全措施时，与安全服务器合作采取需要的安全措施。
根据本发明，在将要被连接的客户终端连接到服务器等所连接到的主LAN(用户网络)之前，使用公用证书将客户终端连接到隔离网络，经由隔离网络执行安全检查，当针对客户终端需要安全措施时针对该客户终端采取安全措施，而且在安全措施完成之后通过使用用户证书来将客户终端连接到用户网络。
更具体地说，提供在包括客户终端、连接到客户终端的验证设备和连接到验证设备的隔离设备的***中的隔离方法，其中隔离设备包括：第一验证服务器，安全服务器，该第一验证设备、该安全服务器和该验证设备连接到的隔离网络，和第二验证服务器和该验证设备连接到的用户网络，该方法包括步骤：验证设备响应于客户终端的通信装置的激活和客户终端的OS的启动，识别客户终端的通信装置被启动；第二验证服务器对客户终端进行验证，并且经由验证设备通过设置用于客户终端的公用证书来允许客户终端连接到隔离网络；第一验证服务器经由隔离网络执行用于客户终端的安全检查；当根据安全检查确定需要针对客户终端的安全措施时，第一验证服务器与安全服务器合作采取需要的安全措施；以及第二验证服务器重新验证客户终端，经由验证设备为客户终端设置用户证书，和允许客户终端到用户网络的连接。
因此，当将客户终端连接到诸如内部网之类的网络时，***不立即将客户终端连接到服务器等所连接到的主网络(用户网络)，并且在允许客户终端连接到用户网络之前适当地采取针对客户终端的安全措施。因此，与传统情况不同，***可以完全满足安全管理而不用对用户网络的安全进行折衷，也不对网络管理员产生负担。而且，对于连接到网络的大量客户终端的每一个，***可以在客户终端的通信装置激活时执行安全检查并且采取安全措施，并且在固定和较高的水平上容易地提供适当的安全管理。也就是，根据本发明，提供对大量客户终端采取全面安全措施的隔离***和隔离方法。
本发明的优点
在本发明中，当将客户终端连接到诸如内部网之类的网络时，***不立即将客户终端连接到服务器等所连接到的主网络(用户网络)，并且在允许客户终端连接到用户网络之前针对客户终端适当地采取安全措施。因此，***只允许维持满意的安全等级的客户终端连接到用户网络，并且与传统情况不同，可以完全满足安全管理而不必对用户网络的安全进行折衷并且不会对网络管理员产生负担。
而且，对于连接到网络的大量客户终端来说，***可以在客户终端的通信装置激活的时候，执行安全检查并且采取安全措施，并且可以在固定和较高的水平上容易地提供适当的安全管理。也就是，根据本发明，提供针对大量客户终端采取全面安全措施的隔离***和隔离方法。
附图说明
图1是示出根据本发明的隔离***的硬件配置的示意图；
图2是示出客户终端硬件配置的示意图；
图3是示出验证设备的硬件配置的示意图；
图4是示出隔离***的操作的流程图；
图5是示出管理员将安全检查项目设置在其上的屏幕和在第一验证服务器中的安全措施项目组的例子；
图6是示出用于检查帐户口令字和用于为客户终端发出改进请求的过程的流程图；
图7是示出在客户终端上提示改进口令字设置的消息的示意图；
图8是示出用于在客户终端上呈现安全检查结果的实例屏幕的示意图；和
图9是示出第一验证服务器的注册的机器列表的示意图。
具体实施方式
以下，参照附图来详细说明本发明的优选实施方式。
如图1中所示，隔离***1包括多个客户终端10、连接到该客户终端10的验证设备100和隔离设备2。隔离设备2包括：将验证设备100分开地连接到其的隔离网络200和用户网络250，两者都连接到隔离网络200的安全服务器500和第一验证服务器600，和两者都连接到用户网络250的第二验证服务器700和DHCP(动态主机配置协议)服务器800。
如图2中所示，每个客户终端10包括：诸如CRT显示器或者液晶显示器之类的显示装置21，诸如键盘、十按键小键盘和鼠标之类的输入装置22，诸如硬盘和存储器之类的存储装置23，诸如CPU之类的控制装置24，和诸如网络接口卡(下面称为“NIC”)之类的通信装置25。
客户终端10具有用于通过用户网络250访问数据源的客户功能。客户终端10可以是诸如桌面PC或者笔记本PC之类的普通计算机，或者可以是诸如PDA之类的便携信息终端。本发明提供为客户终端10执行安全检查和安全措施的隔离***1。
客户终端10的存储装置23在自身中安装用于隔离***1的代理软件。原则上，在将客户终端10连接到隔离***1之前安装代理软件。如果没有将代理软件安装在客户终端10中，则在客户终端已经安装了代理软件之后执行安全检查和安全措施。代理软件是用于主要执行安全检查和安全措施的程序。
通过有线或者无线网络来连接客户终端10和验证设备100。而且，客户终端10可以位于远端并且经由公共通信线连接到验证设备10。
如图3中所示，验证设备100是网络交换机，其包括：能够连接到客户终端10、隔离网络200和用户网络250的通信端口31；存储装置34；和控制装置33。验证设备100可以在存储装置34中存储诸如介质访问控制(下面称为“MAC”)地址之类的、所连接的客户终端10的硬件信息。
验证设备控制装置100的控制装置33识别客户终端10的操作***(下面称为“OS”)被启动。在该验证中，可以使用802.1X协议。当识别到客户终端10的OS启动时，控制装置33指令第二验证服务器700来对客户终端10进行验证。第二验证服务器700试图确认针对客户终端10的公用证书，并且当确认成功时，第二验证服务器700重新启动客户终端10的通信装置25的NIC，而且指令DHCP服务器800提供用于登录隔离网络200的因特网协议(下面称为“IP”)地址。DHCP服务器800是连接到用户网络250和隔离网络200的计算机。DHCP服务器800提供用于连接到隔离网络200的适当的IP地址给客户终端10。
当客户终端10完成安全措施时，验证设备100的控制装置33指令第二验证服务器700对客户终端10进行验证。第二验证服务器700检查针对客户终端10的用户证书。如果验证了(或者重新验证了)客户终端，则第二验证服务器700重新启动客户终端10的NIC，并且指令DHCP服务器800将用于登录到用户网络250的IP地址提供给客户终端10。DHCP服务器800将用于连接到用户网络250的适当IP地址提供给客户终端10。
隔离网络200是客户终端10首先登录到的网络，并且被用于采取针对客户终端10的安全措施。
用户网络250是与普通LAN对应的网络，将诸如数据库服务器之类的对***非常基础的服务器连接到普通LAN。而且，用户网络250是客户终端10可以登录的唯一网络，在所述客户终端中完成了安全措施或者在安全检查中没有指出任何检查项目。
隔离网络200和用户网络250的每一个都可以是虚拟LAN(下面称为“VLAN”)，或者是有线或无线网络。
安全措施服务器500是在第一验证服务器600的控制下采取针对客户终端10的安全措施的计算机。当客户终端10连接到隔离网络200时，安全措施服务器500采取针对客户终端10的安全措施。将安全措施服务器500包括在第一验证服务器600中。
第一验证服务器600是执行针对客户终端10的安全检查的计算机。第一验证服务器600经由隔离网络200执行针对客户终端10的安全检查，而且与安全措施服务器500合作来采取安全措施。
第二验证服务器700是对客户终端10进行验证的计算机。在对客户终端10进行验证之前，将公用证书和用户证书存储在第二验证服务器700中。当验证设备100识别到客户终端10的通信装置25被启动时，第二验证服务器700使用公用证书对客户终端10进行验证，并且当完成了针对客户终端10的安全措施时使用用户证书对客户终端10进行验证。公用证书和用户证书由CA(Certification Authority，证书管理局)服务器发放，并且被存储在第二验证服务器700中。
下面将参照图4中的流程图来解释隔离***1的具体操作。
用户从客户终端10登录到***。通常，连接到***的任何客户终端10可以在其OS启动之后登录到***，而且隔离***1开始操作(S10)。例如，当OS启动时客户终端10中所存储的代理软件开始操作时隔离***1启动，而且代理软件通知验证设备100或者验证设备100识别到客户终端10的OS和通信装置25(诸如NIC)已经启动。因为客户终端10并不总连接到隔离***1，所以当客户终端10连接到***(连接到验证设备100的集线器、交换机等)时本隔离***可以开始操作。
验证设备100识别到客户终端10已经启动通信装置25(S11)。验证设备100确认对于第二验证服务器700来说该客户终端10是什么样的终端。具体地说，验证设备100对第二验证服务器700确认针对客户终端10的公用证书。当验证设备100可以确认针对客户终端10的公用证书时，第二验证服务器700将公用证书设置在客户终端10中(S12)。在对公用证书的确认中，可以参考用户从客户终端10输入的用户ID和口令字。
随后，验证设备100的控制装置33重新启动客户终端10的NIC，而DHCP服务器800将用于登录到隔离网络200的IP地址提供给客户终端10(S13)。因此，客户终端10可以登录到隔离网络200。
在将客户终端10连接到隔离网络200之后，第一验证服务器600经由隔离网络200执行针对客户终端10的安全检查(S14)。当第一验证服务器600确定需要针对客户终端10的全措施之后(S15，第一验证服务器600指令安全措施服务器500启动安全措施。
当接收到该指令时，安全措施服务器500启动安全措施(S16)。如果不需要针对客户终端10的安全措施，则过程前进到步骤S17而不采取任何安全措施(S15)。可以由安全措施服务器500来执行上述安全检查。
当已经针对客户终端10采取了安全措施时，允许其连接到用户网络250。具体地说，验证设备100请求第二验证服务器700确认针对客户终端10的用户证书。如果确认了针对客户终端10的用户证书，则第二验证服务器700将用户证书设置在客户终端中(S17)。
随后，第二验证服务器700重新启动客户终端10的NIC，并且将用于登录到用户网络250(S18)的IP地址提供给客户终端10。以这种方式，允许客户终端10登录到用户网络250。
将针对每个客户终端10所执行的安全检查和所采取的安全措施设置在第一验证服务器600中。图5是示出显示来将安全检查设置在第一验证服务器600中的示例屏幕。该例子示出了用于作为OS使用的OS1(例如，Windows2000或者WindowsXP)的设置。也就是，由于安全补丁类型根据OS而变化，所以将不同的安全检查项目提供给每个OS。
在安全检查期间“Check items(检查项目)”是要被检验的项目。如果客户终端10在任何检查项目下失败，则第一验证服务器600请求客户终端10中所存储的代理软件来执行“Resultant response(结果响应)”过程。“Resultantresponse”具有三个项目“Ignore(忽略)”、“Warning(警告)”和“Violation(违反)”。
“Ignore”指示即使客户终端10在对应检查项目下失败也不需要代理软件的动作。“Warning”指示必须将警告发放给客户终端10的用户。“Violation”指示必须请求客户终端10的用户进行改进。因此当“Resultant response”是“Violation”时，客户终端10不能与用户网络250建立连接直到已经完成了所请求的改进为止。
如图5中所示，假设下面设置：用于检查项目“client terminal accountpassword(客户终端帐户口令字)”的响应是“Violation”，“minimum passwordlength is eight characters ore more(最少口令字长度是八或者更多)”，和“longestpassword usage period is 186 days or less(最长的口令字使用期间是186天或者更少”。图6是示出在这种情况下针对客户终端10所采取的安全措施。客户终端10登录到隔离网络200，而第一验证服务器600开始安全检查(S20)。例如，其检查第一检查项目“client terminal account password”(S21)。
第一验证服务器600确定针对客户终端10的设置是否为“minimumpassword length is eight characters or more”以及“longest password usage period is186 days orless”(S22)。如果没有检测到任何设置违反，则第一验证服务器600检查其他检查项目(S25)。如果发现了设置违反，则由于将其配置为遵循“Violation”的设置所以第一验证服务器600请求用户改进(S23)。
参照图7，针对客户终端10的代理软件(连接代理)在显示装置21上显示改进口令字的请求作为安全措施。在用户响应于该请求改进了口令字的长度之后(S24)，第一验证服务器600检查其他检查项目(S26)。例如，可以将针对屏幕保护程序的设置包括在其他检查项目中，如图5中所示。该设置指示当将屏幕保护程序激活后用户终端再次登录时，应该输入口令字以将客户终端的屏幕保护程序解锁。
包括针对病毒的措施作为另一个检查项目。在图5中，第一验证服务器600指示管理员仅仅批准反病毒软件A。也就是，针对已经安装了除反病毒软件A之外的反病毒软件的客户终端10来说，将改进请求显示在客户终端10的显示装置21上。因此，第一验证服务器600可以确定是否下载了病毒补丁。
在图5中诸如AB123和CD123之类的项目是补丁的名称，而且第一验证服务器600执行针对还没有安装这些补丁的客户终端10的“Ignore”、“Warning”和“Violation”响应过程之一。在这种情况下，由于将第一验证服务器600配置为遵循“Violation”的设置，所以第一验证服务器600请求用户改进，例如提示安装反病毒软件A或者指令下载病毒补丁。
用于针对病毒的措施的检查项目可以包括在父服务器中检查用于反病毒软件的设置，检查反病毒软件的版本，检查是否已经安装了个人防火墙，和/或检查在父服务器中用于个人防火墙的设置。这些反病毒和病毒检查软件程序和文件可以存储在安全措施服务器500中。
包括OS补丁检查作为另一个检测项目。在图5中，示出KB147222等作为用于OS1的补丁。以上述方式，代理软件执行针对还没有安装这些补丁的客户终端10的“Ignore”、“Warning”和“Violation”响应过程。以这种方式，由于将第一验证服务器600配置为遵循“Violation”的设置，所以第一验证服务器600请求安装OS补丁的用户改进。将这些OS补丁、和用于执行补丁的版本检查的软件和文件存储在安全措施服务器500中。
将禁止软件检查也包括为另一个检查项目。在图5中，代理软件执行针对执行作为禁止软件的WinMX软件的客户终端10的“Ignore”、“Warning”和“Violation”响应过程。在这种情况下，由于将第一验证服务器600配置为遵循“Violation”的设置，所以第一验证服务器600请求停止执行WinMX软件的用户改进。
还可以包括“Power-on password(开机口令字)”和“hard disk password(硬盘口令字)”作为其他检查项目。开机口令字是在客户终端10已经开机之后并且在OS已经开始之前要被输入的口令字。硬盘口令字是要针对客户终端10的硬盘设置的口令字，其防止硬盘被连接到其的另一个计算机读取。
当已经完成了正对这些检查项目的安全检查和安全措施时，允许客户终端10连接到用户网络250(S26)。
如图6中所示，可以连续地采取安全措施，即执行针对一个检查项目的安全检查，然后发出用于改进该所检查项目的请求；执行下一个安全检查，然后发出改进请求等。替代地，如图8中所示，可以执行针对图5中所有检查项目的安全检查，然后将结果显示作为显示装置21上的列表。例如，对于具有“Warning”响应的检查项目，可以用图8中所示的列表来警告用户。
在本发明中的公用证书和用户证书每一个都是数字证书，其可以是在例如ITU-T Recommendation X.509中所定义的数字证书。证书可以包括个人信息(部门名称、ID、用户名等)、公共密钥、失效期、序列号和签名。由CA服务器来发放这种证书，并且将公共和用户证书存储在第二验证服务器700中。
第一或者第二验证服务器600和700将公用证书和用户证书传送到客户终端10，并且客户终端10将它们存储在存储装置23中。在本实施方式中，当将每个证书使用作为用于Window的因特网浏览器的证书设置时，将其存储在存储装置23中以防止客户终端10的用户对其进行拷贝。例如，由于仅仅将证书存储在客户终端10的存储器中而不作为文件存储在硬盘上，所以可以防止用户对证书进行非授权拷贝、导出和导入。可以对证书进行加密然后存储在存储装置23中。
使用公用证书来将客户终端10连接到隔离网络200，并且使用用户证书将客户终端10连接到用户网络250。通过使用两个证书，逐步地执行客户终端10对诸如内部网之类的网络的连接。也就是，通过公用证书允许连接到隔离网络200，而且在执行安全检查和采取安全措施之后，用户证书允许连接到基础用户网络250。因此，仅仅允许已经满足了安全要求的客户终端10连接到用户网络250，因此维护了用户网络250的安全。
针对访问用户网络250的每个用户，用户网络250的管理员(下面简单称为“管理员”)将用户ID、口令字和CA服务器所发放的公用证书和用户证书设置在第二验证服务器700中。
客户终端10首先连接到隔离网络200以准备连接到用户网络250。但是，甚至不将还没有与第二验证服务器700进行注册的客户终端10连接到隔离网络200。为了连接到隔离网络200，这种客户终端10的用户必须启动OS，并且输入与用户网络250一起注册的用户ID和口令字。因此，除非将用户ID和口令字与第二验证服务器700进行注册，否则不允许客户终端10进入隔离网络200。
现在将对还没有安装代理软件的客户终端10连接到用户网络250之前所执行的过程进行说明。为了所要采取的安全措施，客户终端10必须已经安装了代理软件。但是，允许客户终端10下载代理软件对于用户网络250来说是有风险的，这是因为还没有针对该客户终端10采取安全措施。也就是，将用户网络250连接到还没有安装代理软件的客户终端10构成了对***的巨大威胁。
因此，验证设备100将这种客户终端10连接到客人网络(guest network)。客人网络可以是物理上与隔离网络和用户网络250分离的网络，或者被单独准备为VLAN。
当验证设备100识别到已经通过通信装置25或者因特网浏览器的激活启动了客户终端10的通信装置25时，验证设备100将客户终端10连接到客人网络，而且客户装置10经由客人网络下载设置文件(下面称为“Setup.exe文件”)。Setup.exe文件是存储在第一验证服务器600中的、并且作为用于将客户终端10连接到隔离网络200的代理软件的代替者工作的文件。客户终端10执行所接收的Setup.exe文件，其提示用户输入用户ID和口令字，并且当输入了时，将用户ID、口令字、和设备序列号、CPU序列号、和客户终端10的网络卡的MAC地址经由隔离网络200传送到第一验证服务器。
第一验证服务器600存储被允许连接到用户网络250的客户终端10的注册机器列表。如图9中所示，注册机器列表针对每一个用户包括用户名、机器类型、序列号和最近的更新。机器类型可以是设备序列号，而序列号可以是设备序列号、CUP序列或者网络卡的MAC地址。注册机器列表可以由管理员事先输入，并且与用户ID和口令字相关联地存储在第一验证服务器600中。
第一验证服务器600将用户ID、口令字和诸如通过执行Setup.exe被发送到第一验证服务器600的设备序列号、CPU序列和网络卡的MAC地址之类的客户终端10的信息(下面称为“客户终端识别信息”)与注册机器列表上的用户名和机器类型进行比较。一旦验证了客户终端10，则第一验证服务器600产生代理，并且将代理软件传送到客户终端10。客户终端10接收和安装代理软件，之后，执行在步骤S11处开始的过程以允许客户终端10登录到用户网络250。
如图9中所示，可以通过建立针对每个用户的安全策略来限制用户网络250中可用的服务器。根据安全策略，例如属于安全策略组“manager(管理者)”的、图9中所示的Tom，可以访问对于组“manager”批准的服务器。例如，对于组“manager”批准的服务器是存储在管理员级的人员可以读取的信息的服务器。而且，由于Meg所属于的安全策略组是“keiri”，所以Meg仅仅可以访问对于组“keiri”批准的服务器。例如，假设Meg负责会计，则她仅仅可以访问存储与会计相关的信息的服务器，但是不能访问存储仅仅管理员级的人员才能够读取的信息的服务器。
可以将安全策略存储在第一验证服务器600中，或者第二验证服务器700中。在优选实施方式中，将安全策略存储在第二验证服务器700中，并且在针对客户终端10设置了用户证书之后进行应用以通过所应用的安全策略来限制对用户网络250的访问。
可以通过计算机或者服务器所执行的程序来实现根据上述实施方式的隔离***和隔离方法。用于存储该程序的存储介质可以是诸如DVD、MO或者PD之类的光存储介质、磁带记录介质或者半导体存储器。可以将提供给连接到私有通信网络或者连接到因特网的服务器***的、诸如音频或者RAM之类的存储设备用作存储介质，其经由网络提供程序。
虽然已经描述了本发明的实施方式，但是其仅仅是例子，并且不限制本发明的范围。而且，上面实施方式中所描述的优点仅仅是从本发明中所获得最佳的那些，而本发明还具有没有在上面实施方式中描述的其他优点。
产业的可利用性
可以将本发明应用于诸如公司或者其他组织所使用的内部网之类的网络，并且本发明可以在固定或者较高级上为多个客户终端提供安全管理，同时减轻对管理员的负担。而且，还可以将本发明应用于因特网服务提供商(下面称为“ISP”)。当在ISP中实施本发明时，ISP可以为连接到由ISP所提供的网络的客户的计算机提供安全管理。

Claims (14)

1.一种隔离***，其包括具有通信装置的客户终端、连接到客户终端的验证设备和连接到验证设备的隔离设备，
其中隔离设备包括：第一验证服务器，安全服务器，该第一验证服务器、该安全服务器和该验证设备连接到的隔离网络，和第二验证服务器与该验证设备连接到的用户网络，
其中验证设备响应于客户终端的通信装置的激活，识别客户终端通信装置被启动，
其中第二验证服务器对客户终端进行验证，经由验证设备为客户终端设置公用证书，允许客户终端到隔离网络的连接，经由隔离网络响应于用于客户终端的安全措施的完成对客户终端重新验证，为客户终端设置用户证书，以及允许客户终端到用户网络的连接，和
其中第一验证服务器对客户终端执行安全检查，而且当根据安全检查确定需要用于客户终端的安全措施时，与安全服务器合作采取需要的安全措施。
2.根据权利要求1所述的隔离***，其中，当第二验证服务器允许客户终端到用户网络的连接时，通过验证服务器中所记录的安全策略来限制到用户网络的连接。
3.根据权利要求1或者2所述的隔离***，其中，客户终端通过代理软件执行安全检查并且采取安全措施。
4.根据权利要求3所述的隔离***，其中，隔离设备响应于在其中没有安装代理软件的客户终端的通信装置的激活，将客户终端连接到客人网络；和
其中，第一验证服务器通过安装在第一验证服务器中所记录的配置文件将客户终端连接到隔离网络，经由隔离网络对客户终端进行验证，以及将代理软件传送到客户终端。
5.根据权利要求4所述的隔离***，其中，当第一验证服务器对客户终端进行验证时，第一验证服务器根据从由客户终端的设备信息、控制装置的设备信息和通信装置的设备信息、以及用户ID组成的组中选择的一个或多个设备信息来执行验证。
6.根据权利要求1到5之一所述的隔离***，其中将公用证书和用户证书设置在客户终端的存储装置中。
7.根据权利要求1到6之一所述的隔离***，其中，将公用证书和用户证书加密并且设置在客户终端中。
8.根据权利要求1到7之一所述的隔离***，其中，安全检查包括病毒检查、OS补丁检查、口令字设置检查和禁止软件执行检查，并且安全措施是针对这些检查项目的措施。
9.一种在包括客户终端、连接到该客户终端的验证设备和连接到该验证设备的隔离设备的***中的隔离方法，
其中隔离设备包括：第一验证服务器，安全服务器，该第一验证服务器、该安全服务器和该验证设备连接到的隔离网络，和第二验证服务器和该验证设备连接到的用户网络，
该隔离方法包括步骤：
验证设备响应于客户终端的通信装置的激活，识别客户终端的通信装置被启动；
第二验证服务器对客户终端进行验证，并且经由验证设备通过设置用于客户终端的公用证书来允许客户终端连接到隔离网络；
第一验证服务器经由隔离网络执行用于客户终端的安全检查；
当根据安全检查确定需要针对客户终端的安全措施时，第一验证服务器与安全服务器合作采取需要的安全措施；以及
第二验证服务器重新验证客户终端，经由验证设备为客户终端设置用户证书，和允许客户终端到用户网络的连接。
10.根据权利要求9所述的隔离方法，其中，通过第二验证服务器中所记录的安全策略来限制到用户网络的连接。
11.根据权利要求9或者10所述的隔离方法，其中，验证设备识别客户终端的通信装置被启动的步骤包括步骤：
当确定在其中没有安装用于执行安全检查并且采取安全措施的代理软件的客户终端的通信装置被启动时，验证设备将客户终端连接到客人网络；
客户终端通过客人网络安装在第一验证服务器中所记录的配置文件；
客户终端通过配置文件登录到隔离网络；
第一验证服务器对客户终端进行验证；和
当对客户终端进行验证时，第一验证服务器将代理软件传送到客户终端。
12.根据权利要求11所述的隔离方法，其中，在第一验证服务器对客户终端进行验证的步骤中，第一验证服务器根据从由客户终端的设备信息、控制装置的设备信息和通信装置的设备信息、以及用户ID组成的组中选择的一个或多个设备信息来执行验证。
13.一种使得计算机执行根据权利要求9到12之一所述的隔离方法的程序。
14.一种存储根据权利要求13所述的程序的计算机可读记录介质。
CNB200580022524XA 2004-07-02 2005-06-29 隔离***及隔离方法 Active CN100568212C (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP197387/2004 2004-07-02
JP2004197387 2004-07-02

Publications (2)

Publication Number Publication Date
CN1981277A true CN1981277A (zh) 2007-06-13
CN100568212C CN100568212C (zh) 2009-12-09

Family

ID=35782722

Family Applications (1)

Application Number Title Priority Date Filing Date
CNB200580022524XA Active CN100568212C (zh) 2004-07-02 2005-06-29 隔离***及隔离方法

Country Status (5)

Country Link
US (1) US8359464B2 (zh)
EP (1) EP1780643A4 (zh)
JP (1) JP4524288B2 (zh)
CN (1) CN100568212C (zh)
WO (1) WO2006003914A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103685147A (zh) * 2012-08-31 2014-03-26 中国联合网络通信集团有限公司 网络接入安全处理方法、设备及***
US9635030B2 (en) 2011-10-28 2017-04-25 Google Inc. Policy enforcement of client devices

Families Citing this family (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006072682A (ja) * 2004-09-02 2006-03-16 Mitsubishi Electric Corp 中継装置及び通信システム及び通信方法及びプログラム
JP4546382B2 (ja) * 2005-10-26 2010-09-15 株式会社日立製作所 機器検疫方法、および、機器検疫システム
JP2007199880A (ja) 2006-01-25 2007-08-09 Nec Corp 通信システム、資格審査／設定用ネットワーク、通信機器及びそれらに用いるネットワーク接続方法
JP5452836B2 (ja) * 2006-03-31 2014-03-26 日本電気株式会社 資格審査システムおよびその審査方法ならびに資格審査装置
US8732789B2 (en) * 2006-05-30 2014-05-20 Iyuko Services L.L.C. Portable security policy and environment
JP4891722B2 (ja) * 2006-09-29 2012-03-07 株式会社日立製作所 検疫システムおよび検疫方法
JP4195480B2 (ja) * 2006-10-04 2008-12-10 インターナショナル・ビジネス・マシーンズ・コーポレーション コンピュータ端末がネットワークに接続して通信することを管理・制御するための装置および方法。
JP2008097206A (ja) * 2006-10-10 2008-04-24 Chugoku Electric Power Co Inc:The ユーザ端末管理方法、情報処理サーバ及びプログラム
US8850547B1 (en) * 2007-03-14 2014-09-30 Volcano Corporation Remote access service inspector
US20080244071A1 (en) * 2007-03-27 2008-10-02 Microsoft Corporation Policy definition using a plurality of configuration items
CN101076168B (zh) * 2007-06-20 2012-11-07 华为技术有限公司 智能终端***的管理方法和智能终端
US8122497B2 (en) * 2007-09-10 2012-02-21 Redcloud, Inc. Networked physical security access control system and method
US20100325424A1 (en) * 2009-06-19 2010-12-23 Etchegoyen Craig S System and Method for Secured Communications
US8495359B2 (en) * 2009-06-22 2013-07-23 NetAuthority System and method for securing an electronic communication
JP4888588B2 (ja) * 2010-07-26 2012-02-29 日本電気株式会社 通信システム、ネットワーク機器、通信機器及びそれらに用いるネットワーク接続方法
JP5635115B2 (ja) * 2010-10-14 2014-12-03 株式会社Pfu 検疫用プログラム、検疫方法および情報処理装置
US8949954B2 (en) 2011-12-08 2015-02-03 Uniloc Luxembourg, S.A. Customer notification program alerting customer-specified network address of unauthorized access attempts to customer account
AU2012100460B4 (en) 2012-01-04 2012-11-08 Uniloc Usa, Inc. Method and system implementing zone-restricted behavior of a computing device
AU2012100462B4 (en) 2012-02-06 2012-11-08 Uniloc Usa, Inc. Near field authentication through communication of enclosed content sound waves
JP6176621B2 (ja) * 2012-03-09 2017-08-09 エイチ・シー・ネットワークス株式会社 ネットワークシステム、検疫装置、及び検疫方法
JP6053450B2 (ja) * 2012-10-26 2016-12-27 株式会社Pfu 情報処理装置、方法およびプログラム
AU2013100355B4 (en) 2013-02-28 2013-10-31 Netauthority, Inc Device-specific content delivery
JP5854070B2 (ja) * 2014-03-13 2016-02-09 カシオ計算機株式会社 アクセス制御装置、端末装置、及びプログラム
RU2571721C2 (ru) * 2014-03-20 2015-12-20 Закрытое акционерное общество "Лаборатория Касперского" Система и способ обнаружения мошеннических онлайн-транзакций
TW201842461A (zh) * 2017-03-15 2018-12-01 日商日本電氣股份有限公司 安全風險判定方法、安全風險判定裝置及安全風險判定程式
US11588848B2 (en) 2021-01-05 2023-02-21 Bank Of America Corporation System and method for suspending a computing device suspected of being infected by a malicious code using a kill switch button

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6725376B1 (en) * 1997-11-13 2004-04-20 Ncr Corporation Method of using an electronic ticket and distributed server computer architecture for the same
US7111321B1 (en) * 1999-01-25 2006-09-19 Dell Products L.P. Portable computer system with hierarchical and token-based security policies
US20040107360A1 (en) * 2002-12-02 2004-06-03 Zone Labs, Inc. System and Methodology for Policy Enforcement
JP2003094290A (ja) 2001-09-26 2003-04-03 Mitsubishi Electric Corp 工作機械及びその熱変位補正方法
JP4039658B2 (ja) 2002-02-08 2008-01-30 株式会社東芝 ソフトウエア管理方法、通信システム、端末、アクセスポイント、通信システムの端末で用いるセキュリティ対策ファイルのダウンロード方法
JP3871630B2 (ja) * 2002-08-29 2007-01-24 株式会社エヌ・ティ・ティ・データ アクセス制御装置及び方法
US20040103317A1 (en) * 2002-11-22 2004-05-27 Burns William D. Method and apparatus for protecting secure credentials on an untrusted computer platform
US7249187B2 (en) * 2002-11-27 2007-07-24 Symantec Corporation Enforcement of compliance with network security policies
US7284062B2 (en) * 2002-12-06 2007-10-16 Microsoft Corporation Increasing the level of automation when provisioning a computer system to access a network
US7533407B2 (en) * 2003-12-16 2009-05-12 Microsoft Corporation System and methods for providing network quarantine
US20050267954A1 (en) * 2004-04-27 2005-12-01 Microsoft Corporation System and methods for providing network quarantine
US20050273853A1 (en) * 2004-05-24 2005-12-08 Toshiba America Research, Inc. Quarantine networking
JP4773987B2 (ja) * 2007-02-01 2011-09-14 アラクサラネットワークス株式会社 端末所属切換システム

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9635030B2 (en) 2011-10-28 2017-04-25 Google Inc. Policy enforcement of client devices
US10091210B2 (en) 2011-10-28 2018-10-02 Google Llc Policy enforcement of client devices
CN103685147A (zh) * 2012-08-31 2014-03-26 中国联合网络通信集团有限公司 网络接入安全处理方法、设备及***

Also Published As

Publication number Publication date
EP1780643A4 (en) 2010-12-08
WO2006003914A1 (ja) 2006-01-12
EP1780643A1 (en) 2007-05-02
US20080040785A1 (en) 2008-02-14
JPWO2006003914A1 (ja) 2008-04-17
CN100568212C (zh) 2009-12-09
JP4524288B2 (ja) 2010-08-11
US8359464B2 (en) 2013-01-22

Similar Documents

Publication Publication Date Title
CN100568212C (zh) 隔离***及隔离方法
US8588422B2 (en) Key management to protect encrypted data of an endpoint computing device
JP4278327B2 (ja) コンピュータ・プラットフォームおよびその運用方法
CN102948114B (zh) 用于访问加密数据的单次使用认证方法及***
US8782404B2 (en) System and method of providing trusted, secure, and verifiable operating environment
US8510572B2 (en) Remote access system, gateway, client device, program, and storage medium
US8826013B1 (en) Protection of customer data in cloud virtual machines using a central management server
CN101520831B (zh) 安全终端***及终端安全方法
US20070204166A1 (en) Trusted host platform
CN102281286A (zh) 用于分布式混合企业的灵活端点顺从和强认证
US10579830B1 (en) Just-in-time and secure activation of software
US9021253B2 (en) Quarantine method and system
US9514288B2 (en) Information processing device, information processing method, program and storage medium
CN109936555A (zh) 一种基于云平台的数据存储方法、装置及***
Jia et al. Who's in control? On security risks of disjointed IoT device management channels
WO2001073533A1 (en) System and method for safeguarding electronic files and digital information in a network environment
CN113239349B (zh) 一种电力监控***网络安全测试方法
CN105991524A (zh) 家庭信息安全***
CN106203081A (zh) 一种安全防护方法及装置
RU2504835C1 (ru) Система защиты информации от несанкционированного доступа к информации, содержащей сведения, составляющие государственную тайну
KR100705145B1 (ko) 소프트웨어 임대사업의 인증처리에 있어서 스마트 카드방식의 인증키를 이용한 인증 시스템 및 방법
US11997219B1 (en) Network security for remote workers
JPH10269181A (ja) データベースシステム
Murugeshwari et al. SAFE–Secure Authentication in Federated Environment using CEG Key code
CN117725564A (zh) 软件的管理方法、装置、电子设备及存储介质

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
TR01 Transfer of patent right

Effective date of registration: 20211110

Address after: New York, United States

Patentee after: Qindarui company

Address before: Armank, New York, USA

Patentee before: International Business Machines

TR01 Transfer of patent right