CN204465588U - 一种基于服务器架构的主机监控与审计*** - Google Patents

Abstract

本实用新型提出了一种基于服务器架构的主机监控与审计***，包括：多台被监控计算机；交换机与每台被监控计算机相连；认证服务器、网络监控服务器、漏洞扫描服务器和管理中心与交换机相连；管理中心包括：用于对通过认证的被监控计算机进行安全策略规划和权限分配的管理中心控制台，用于向被监控计算机下发权限指令和接收日志和警报的监控与审计服务器。本实用新型通过设置交换机作为中转设备，认证服务器、网络监控服务器、漏洞扫描服务器与交换机相连，将被监控计算机的相关信息通过交换机传输至管理中心，拓扑结构简单，可以实现对被监控计算机的认证和监控。

Description

一种基于服务器架构的主机监控与审计***

技术领域

本实用新型涉及信息安全管理技术领域，特别涉及一种基于服务器架构的主机监控与审计***。

背景技术

随着计算机网络的发展和信息化程度的提高，用户数量不断上升，用户对计算机信息安全的要求也越来越高。用于网络的公开性和复杂性，再加上日益先进的网络加密和防御技术，现在非法交流和非法信息散步越来越多，同时用户自身的不当操作和违规事件也频繁地发生。从个人，到工作小组，到企业，到集体，需要对大量的计算机进行同时实时安全监控与管理，从而出现监控过程中出现监控设备运行负担过大而导致的监控中断。

实用新型内容

本实用新型的目的旨在至少解决所述技术缺陷之一。

为此，本实用新型的目的在于提出一种基于服务器架构的主机监控与审计***。

为了实现上述目的，本实用新型的实施例提供一种基于服务器架构的主机监控与审计***，包括：多台被监控计算机，其中，每台所述被监控计算机内安装有中央处理器CPU和与所述中央处理器CPU相连的主机监控客户端；交换机，所述交换机与每台所述被监控计算机相连以接收所述被监控计算机的认证请求；认证服务器，所述认证服务器与所述交换机相连以对所述认证请求进行认证或识别；用于对所述被监控计算机进行实时网络监控的网络监控服务器，所述网络监控服务器与所述交换机相连以将监控数据发送至所述交换机；用于对所述被监控计算机进行漏洞扫描的漏洞扫描服务器，所述漏洞扫描服务器与所述交换机相连以将漏洞扫描数据发送至所述交换机；用于对所述被监控计算机进行监控和管理的管理中心，所述管理中心与所述交换机相连，所述管理中心包括：用于对通过认证的被监控计算机进行安全策略规划和权限分配的管理中心控制台，以及用于向所述被监控计算机下发权限指令和接收日志和警报的监控与审计服务器。

在本实用新型的一个实施例中，所述交换机包括：交换芯片和端口控制模块，所述端口控制模块与所述交换芯片相连，其中，所述交换芯片包括：多个受控端口，每个所述受控端口与每台所述被监控计算机一一对应连接；第一至第五端口，所述第一端口与所述认证服务器相连，所述第二端口与所述网络监控服务器相连，所述第三端口与所述漏洞扫描服务器相连，所述第四端口与所述管理中心控制平台相连；所述第五端口与所述监控与审计服务器相连；数据流交换单元，与每个所述受控端口相连；认证信息传送单元，与第一至第五端口相连。

在本实用新型的一个实施例中，每台所述被监控计算机还包括USB密钥认证装置。

在本实用新型的又一个实施例中，所述网络监控服务器包括：分组捕捉器；网络协议解码器，所述网络协议解码的输入端连接至所述分组捕捉器的输出端；信息处理分中心，所述信息处理分中心的输入端连接至所述网络协议解码器的输出端；入侵检测模块，所述入侵检测模块的输入端连接至所述网络协议解码器的输出端，且所述入侵检测模块与入侵模式库双向通信；敏感内容监控模块，所述敏感内容监控模块的输入端连接至所述网络协议解码器的输出端，且所述敏感内容监控模块与敏感信息库双向通信；预警模块，所述预警模块的输入端连接至所述入侵检测模块的输出端和所述敏感内容监控模块的输出端。

在本实用新型的一个实施例中，所述漏洞扫描服务器包括：扫描器、扫描策略模块和***漏洞库，其中，所述扫描器的输入端与所述扫描策略模块的输出端相连，所述扫描器的输出端与所述***漏洞库的输入端相连。

在本实用新型的又一个实施例中，所述管理中心控制台包括：主机防护模块、策略模式库、告警模块和应急响应模块，其中，所述主机防护模块分别与所述策略模式库、告警模块和应急响应模块相连。

在本实用新型的再一个实施例中，所述主机监控客户端包括：与所述中央处理器CPU相连的指令管理模块、外联检查模块、网卡禁用模块、日志生成模块和警报发送模块。

根据本实用新型实施例的基于服务器架构的主机监控与审计***，通过设置交换机作为中转设备，认证服务器、网络监控服务器、漏洞扫描服务器与交换机相连，将被监控计算机的相关信息通过交换机传输至管理中心，拓扑结构简单，可以实现对被监控计算机的认证和监控。

本实用新型附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本实用新型的实践了解到。

附图说明

本实用新型的上述和/或附加的方面和优点从结合下面附图对实施例的描述中将变得明显和容易理解，其中：

图1为根据本实用新型实施例的基于服务器架构的主机监控与审计***的结构图；

图2为根据本实用新型实施例的交换机的原理图；

图3为根据本实用新型实施例的网络监控服务器的结构图；

图4为根据本实用新型实施例的漏洞扫描服务器的结构图；

图5为根据本实用新型实施例的管理中心控制台的结构图；

图6为根据本实用新型实施例的基于服务器架构的主机监控与审计***的工作原理图；

图7为根据本实用新型实施例的主机监控客户端的原理图。

具体实施方式

下面详细描述本实用新型的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，旨在用于解释本实用新型，而不能理解为对本实用新型的限制。

本实用新型实施例提供基于服务器架构的主机监控与审计***，可以高效地、综合化地实时安全监控与审计大量计算机，避免监控过程中出现监控设备运行负担过大而导致的监控终端，防止非法入侵和违规使用***设备，监控主机及网络，从而长期稳定地保护计算机的信息安全。

如图1所示，本实用新型实施例的基于服务器架构的主机监控与审计***，包括：多台被监控计算机1、交换机2、认证服务器3、网络监控服务器4、漏洞扫描服务器5和管理中心6。其中，管理中心6包括管理中心控制平台61和监控与审计服务器62。具体地，多条被监控计算机1、认证服务器3、网络监控服务器4和漏洞扫描服务器5将监控数据和警报数据通过交换机2发送给管理中心6。管理中心6再根据收到数据进行实时认证、检测网络安全、监控审计，并采取相应的措施。

具体地，参考图7，每台被监控计算机1内安装有CPU11和主机监控客户端12，其中，主机监控客户端12与CPU11相连。主机监控客户端12包括：指令管理模块121、外联检查模块122、网卡禁用模块123、日志生成模块124和警报发送模块125。

指令管理模块121与中央处理器CPU11相连，用于接收及执行监控与审计服务器62下发的指令。外联检查模块122与中央处理器CPU11相连，用于检查被监控计算机1的非法外联行为。网卡禁用模块123与中央处理器CPU11相连，用于在外联检查模块122发现被监控计算机1非法外联时禁用网卡工作。日志生成模块124与中央处理器CPU11相连，用于生成与指令管理模块121执行情况相应的审计日志。警报发送模块125与中央处理器CPU11相连，用于发送关于非法外联的警报。

在本实用新型的一个实施例中，每台被监控计算机1还包括USB密钥认证装置13，该USB密钥认证装置13用于启动计算机工作。

交换机2与每台被监控计算机1相连，接收被监控计算机1发送的认证请求，可以根据认证结果接受或拒绝被监控计算机1的入网请求。

具体地，如图2所示，交换机2包括：交换芯片27和端口控制模块28，其中，交换芯片27包括多个受控端口21、第一端口22、第二端口23、第三端口24、第四端口25、第五端口26、数据流交互单元271和认证信息传送单元272，其中，数据流交换单元271与每个受控端口21相连以接收由每个被监控计算机1通过受控端口传送来的数据，认证信息传送单元272与第一端口22、第二端口23、第三端口24、第四端口25和第五端口26均相连。

每个受控端口21与每台被监控计算机1一一对应连接。第一端口22与认证服务器3相连，以将认证服务器3的认证结果转发至认证信息传送单元272，第二端口23与网络监控服务器4相连以将网络监控服务器4的监控数据发送至认证信息传送单元272，第三端口24与漏洞扫描服务器5相连以将漏洞扫描服务器的漏洞扫描数据发送至认证信息传送单元272，第四端口25与管理中心控制平台61相连，第五端口26与监控与审计服务器62相连。

以三台被监控计算机为例，参考图2，被监控计算机A、B和C分别连接交换机2的一个相应的受控端口21，认证服务器3、网络监控服务器4、漏洞扫描服务器5、管理中心控制台61和监控与审计服务器62分别连接所述交换机2的第一至第五端口。

端口控制模块28与交换芯片27相连，用于接收由认证信息传送单元272传送的认证结果，对连接计算的端口进行控制。

下面对交换机2的工作原理进行说明。

交换芯片27可以在来自被监控计算机A～C的数据包中添加受控端口号，以便端口控制模块28根据认证服务器2的认证结果的数据包对交换芯片27的受控端口21进行控制。认证服务器3通常用数据包中的标志位表示认证结果，这样端口控制模块28就可以根据该标志位对交换芯片27的受控端口27进行控制，即当标志位为认证成功符号时，打开连接相应被监控计算机的受控端口，允许计算机的数据流传送；而当关于某个被监控计算机认证请求的标志位为认证失败符号时，使相关的受控端口处于断开状态，从而拒绝该被监控计算机入网。

认证服务器3与交换机2相连，对被监控计算机1通过交换机2发送来的认证请求进行认证或识别，并将认证或识别后得到的认证结果返回给交换机2。

由于在被监控计算机1内可以设置一个启动计算机工作的USB密钥认证装置13。下面对本实用新型的被监控计算机1向认证服务器3请求认证的情形进行详细说明。

(1)对于不带USB密钥认证装置13的能够通过认证的被监控计算机A和B，被监控计算机A和B通过802.1x协议经由认证信息传送单元主动向交换机2发送认证信息.交换机2通过Radius协议将认证信息转发到认证服务器3，认证服务器3收到认证信息后，查询数据库以对认证信息进行识别。识别成功后通过Radius协议将回应信息送往交换机2，交换机2通过802.1x协议将信息收到的回应信息传给可信终端，认证成功。端口控制模块28根据认证成功的标志位，打开被监控计算机A和B对应的受控端口，即使图2中的受控端口21的开关闭合，使其可以通过数据交流单元271进行数据交换。然而，对于非法接入的被监控计算机C请求认证的应答结果，端口控制模块28则根据认证失败的标志位维持受控端口的断开状态，拒绝该被监控计算机C连入网络。

(2)对于带有USB密钥认证装置13的能够通过认证的被监控计算机A和B，首先***USB密钥认证装置13，启动时，能够通过认证的被监控计算机自动读取USB密钥认证装置13的信息，并主动将信息通过802.1x协议送往交换机2。交换机2收到信息后通过Radius协议将认证信息转发到认证服务器3，认证服务器3收到认证信息后，查询数据库以对认证信息进行识别。识别成功后通过Radius协议将回应信息送往交换机2，交换机2通过802.1x协议将收到的回应信息传给可信终端，认证成功，即可开始通信。而对于非法接入的被监控计算机C，则拒绝其连入网络。

图7为根据本实用新型实施例的主机监控客户端的原理图。

如前所述，对于安装在被监控计算机1中主机监控客户端12包括：指令管理模块121、外联检查模块122、网卡禁用模块123、日志生成模块124和警报发送模块125。上述模块均与CPU11相连，CPU11进一步与USB密钥认证装置13、存储设备14、网卡15和***设备16进行通信。

对于已通过认证请求的被监控计算机A和B，管理中心控制台61负责其安全策略的规划和权限的分配，通过监控与审计服务器62与被监控计算机A和B通信下发关于计算机权限的指令。主机监控客户端12对所监控的资源，在指令管理模块121接收并执行指令情况下，由日志生成模块124产生与执行情况相应的审计日志、由警报发送模块125产生关于非法外联的警报，并按照日志审计策略将日志传回管理中心6，监控与审计服务器62接收审计日志和警报。如有违反安全策略的可疑行为，由监控与审计服务器62根据报警策略向管理中心控制台61报警，对于外联检查模块122发现计算机非法外联的情形，除了发送警报外，还启用网卡禁用模块123向网卡设备发送控制命令，当网卡设备接收到禁用功能的控制命令后会在***中将网卡禁用，从而使网卡15被禁止工作。通过这样的方式来对接口、设备的准确有效监控，并在此基础上实现设备监控、文件监控、打印监控等。

网络监控服务器4与交换机2相连，用于对被监控计算机1进行实时网络监控，并将监控数据和警报数据发送至交换机2，由交换机2进一步发送给管理中心6。

具体地，如图3所示，网络监控服务器4包括：分组捕捉器41、网络协议解码器42、信息处理分中心43、入侵检测模块44、敏感内容监控模块45和预警模块46。其中，网络协议解码器42的输入端连接至分组捕捉器41的输出端。信息处理中心43的输入端连接至网络协议解码器42的输出端，入侵检测模块44的输入的连接至网络协议解码器42的输出端，并且入侵检测模块44与入侵模式库48双向通信。敏感内容监控模块45的输入端连接至网络协议解码器42的输出端，且敏感内容监控模块45与敏感信息库49双向通信。预警模块46的输入端连接至入侵检测模块44的输出端和敏感内容监控模块45的输出端。

具体地，分组捕捉器41用于收集数据链路层网络原始信息，并传送到网络协议解码器42。网络协议解码器42用于根据不同的网络协议解码相应的分组数据结构，将已解码的协议分组信息提交入侵检测模块44、敏感内容监控模块45和信息处理分中心43。入侵检测模块44用于根据入侵模式库48中描述的攻击事件特征和相应的响应规则，对已解码的网络协议数据进行分析，从这些网络活动中寻找预先定义的攻击模式，一旦发现其中含有攻击事件的特征标志，向预警模块46响应分析结果。敏感内容监控模块45用于根据敏感信息库49中记录的敏感信息内容和相应的响应规则，对关键字、文件名进行匹配，以及向预警模块46响应匹配结果。预警模块46用于根据入侵检测模块44和敏感内容监控模块45提交的结果信息，例如事件种类，根据预先指定的响应行为来执行相应的操作。信息处理分中心43与管理中心6进行信息交互。

漏洞扫描服务器5与交换机2相连，用于对被监控计算机1进行定时漏洞扫描检测，并将漏洞扫描数据发送至交换机2。

具体地，如图4所示，漏洞扫描服务器5包括扫描器51、扫描策略模块52和***漏洞库53。其中，扫描器51的输入端与扫描策略模块52的输出端相连，扫描器51的输出端与***漏洞库53的输入端相连。扫描器51用于根据扫描策略模块52中存储的策略定时检测各个被监控计算机1和网络设备存在的漏洞，并将漏洞信息存入***漏洞库53。

管理中心6与交换机2相连，用于对被监控计算机1进行监控和管理。其中，管理中心6包括：管理中心控制台61和监控与审计服务器62。具体地，管理中心控制台61用于对通过认证的被监控计算机21进行安全策略规划和权限分配，包括分配已通过认证的被监控计算机21的权限、分析接收到的数据采取相应措施。

具体地，如图5所示，管理中心控制台61包括：主机防护模块611、策略模式库612、告警模块613和应急响应模块614。其中，主机防护模块611分别与策略模式库612、告警模块613和应急响应模块614相连。

主机防护模块611用于根据策略模式库612中存储的策略对数据进行过滤，保护主机的安全。策略模式库612用于记录监控策略，还可记录上述入侵模式库48和***漏洞库53。应急响应模块614用于在***受到侵害时，执行封堵、隔离或者强制关机等应急措施。告警模块613用于对异常行为进行报警。

监控与审计服务器62用于向被监控计算机1下发权限指令，并接收被监控计算机21上传的日志及警报。

图6为根据本实用新型实施例的基于服务器架构的主机监控与审计***的工作原理图。

以被监控计算机A、B和C为例，如图2所示，假定在被监控计算机A、B和C中，被监控计算机A和B能够通过认证，被监控计算机C是非法接入的计算机。当计算机A～C启动时，分别经由交换机2向认证服务器3发送认证请求。由于计算机A和B能够通过认证，因此认证服务器3向交换机2发送“被监控计算机A和B认证成功”的认证结果，使交换机2打开分别连接计算A和B的受控端口。而由于被监控计算机C是非法接入的计算机，因此认证服务器3向交换机2发送“被监控计算机C认证失败”的认证结果，使交换机2的与被监控计算机C连接的受控端口处于断开状态，从而拒绝被监控计算机C入网。对于已成功通过认证请求的管理中心3计算机A和B，通过管理中心6发送管理指令来进行管理。管理中心控制台61负责已通过认证的计算机的安全策略规划和权限分配，监控与审计服务器62通过与已通过认证的计算机通信下发关于计算机权限的指令。

根据本实用新型实施例的基于服务器架构的主机监控与审计***，通过设置交换机作为中转设备，认证服务器、网络监控服务器、漏洞扫描服务器与交换机相连，将被监控计算机的相关信息通过交换机传输至管理中心，拓扑结构简单，可以实现对被监控计算机的认证和监控。

本实用新型采用C/S架构，使用中间层驱动、驱动拦截、线程注入等技术手段对内网可信计算机的数据输入/输出接口、设备和计算机用户对***操作、文件操作、外接设备操作等行为进行实时监控和监测，并提供详尽的审计日志，防止通过认证的被监控计算机的数据泄漏。对通过认证的被监控计算机随意使用的外设进行监控和审查，防止计算机非法外联的行为，加强了被监控计算机的安全管理和涉密数据泄漏的发生，为安全管理者和安全技术人员，智能化、综合化、高效运维地、长期稳定地同时监控与审计大量计算机的***。

本实用新型具有以下有益效果：

(1)由于利用了服务器架构，其可以高效地、全面地、同时地、实时监控与审计大量计算机，避免监控过程中出现监控设备运行负担过大而导致的监控中断。

(2)可以对被监控计算机的数据输入/输出接口、设备和计算机用户对***操作、文件操作、外接设备操作等行为进行实时监控和监测，并提供详尽的审计日志，防止被监控计算机的数据信息泄露。

(3)可以保证只有经过主管部门认证的被监控计算机，才可以顺利通过基于交换机端口的访问控制认证，才可以自由的应用计算机网络及其中的资源，防止外来计算机随意接入等违规行为。

(4)通过管理中心发送管理指令管理终端计算机，防止被监控计算机的非法外联行为。

(5)通过网络监控服务器和漏洞扫描服务器对网络安全进行实时检测，将网络安全检测与监控审计有机的结合在一起，进而避免了现有安全产品不断发生安全事故的问题，还可减少用户的重复投资。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本实用新型的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

尽管上面已经示出和描述了本实用新型的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本实用新型的限制，本领域的普通技术人员在不脱离本实用新型的原理和宗旨的情况下在本实用新型的范围内可以对上述实施例进行变化、修改、替换和变型。本实用新型的范围由所附权利要求极其等同限定。

Claims (7)

1.一种基于服务器架构的主机监控与审计***，其特征在于，包括:

多台被监控计算机，其中，每台所述被监控计算机内安装有中央处理器CPU和与所述中央处理器CPU相连的主机监控客户端；

交换机，所述交换机与每台所述被监控计算机相连以接收所述被监控计算机的认证请求；

认证服务器，所述认证服务器与所述交换机相连以对所述认证请求进行认证或识别；

用于对所述被监控计算机进行实时网络监控的网络监控服务器，所述网络监控服务器与所述交换机相连以将监控数据发送至所述交换机；

用于对所述被监控计算机进行漏洞扫描的漏洞扫描服务器，所述漏洞扫描服务器与所述交换机相连以将漏洞扫描数据发送至所述交换机；

用于对所述被监控计算机进行监控和管理的管理中心，所述管理中心与所述交换机相连，所述管理中心包括：用于对通过认证的被监控计算机进行安全策略规划和权限分配的管理中心控制台，以及用于向所述被监控计算机下发权限指令和接收日志和警报的监控与审计服务器。

2.如权利要求1所述的基于服务器架构的主机监控与审计***，其特征在于，所述交换机包括：交换芯片和端口控制模块，所述端口控制模块与所述交换芯片相连，其中，所述交换芯片包括：

多个受控端口，每个所述受控端口与每台所述被监控计算机一一对应连接；

第一至第五端口，所述第一端口与所述认证服务器相连，所述第二端口与所述网络监控服务器相连，所述第三端口与所述漏洞扫描服务器相连，所述第四端口与所述管理中心控制平台相连；所述第五端口与所述监控与审计服务器相连；

数据流交换单元，与每个所述受控端口相连；

认证信息传送单元，与第一至第五端口相连。

3.如权利要求1所述的基于服务器架构的主机监控与审计***，其特征在于，每台所述被监控计算机还包括USB密钥认证装置。

4.如权利要求1所述的基于服务器架构的主机监控与审计***，其特征在于，所述网络监控服务器包括：

分组捕捉器；

网络协议解码器，所述网络协议解码的输入端连接至所述分组捕捉器的输出端；

信息处理分中心，所述信息处理分中心的输入端连接至所述网络协议解码器的输出端；

入侵检测模块，所述入侵检测模块的输入端连接至所述网络协议解码器的输出端，且所述入侵检测模块与入侵模式库双向通信；

敏感内容监控模块，所述敏感内容监控模块的输入端连接至所述网络协议解码器的输出端，且所述敏感内容监控模块与敏感信息库双向通信；

预警模块，所述预警模块的输入端连接至所述入侵检测模块的输出端和所述敏感内容监控模块的输出端。

5.如权利要求1所述的基于服务器架构的主机监控与审计***，其特征在于，所述漏洞扫描服务器包括：扫描器、扫描策略模块和***漏洞库，其中，所述扫描器的输入端与所述扫描策略模块的输出端相连，所述扫描器的输出端与所述***漏洞库的输入端相连。

6.如权利要求1所述的基于服务器架构的主机监控与审计***，其特征在于，所述管理中心控制台包括：主机防护模块、策略模式库、告警模块和应急响应模块，其中，所述主机防护模块分别与所述策略模式库、告警模块和应急响应模块相连。

7.如权利要求1所述的基于服务器架构的主机监控与审计***，其特征在于，所述主机监控客户端包括：与所述中央处理器CPU相连的指令管理模块、外联检查模块、网卡禁用模块、日志生成模块和警报发送模块。