[实用新型]内网安全管理系统

说明书

技术领域

本实用新型涉及计算机的安全管理，特别涉及一种只允许可信终端接入安全管理的内网安全管理系统。

背景技术

随着内部计算机网络的发展和信息化程度的提高，传统的管理方式如手工登记、物理拆卸或者局部软件管理已具有很大的局限性，它们通常只能在有限的范围内实现部分安全管理需求，同时繁琐的重复工作无论对管理者还是使用者都造成了极大的不便，另外对于违规事件的事后审计和报告也缺乏系统的管理。因此，研制适用于涉密企业内部计算机的多功能、自动化的内网安全管理系统，从而对内网计算机进行实时安全监控与管理，已成为安全管理者和安全技术人员十分关注和迫切盼望解决的问题。

目前的一些终端认证大多从网络层控制计算机的非法接入，使得非授权终端数据流可以进入网络，造成如ARP包非法广播、ping攻击、恶意病毒、木马数据流在网络中泛滥。

此外，一些终端认证直接利用交换机的普通端口，没有对端口进行控制，只是对数据的普通转发，不能对计算机的接入进行控制。

此外，一些终端认证为弹出界面，要求用户输入相关认证信息进行认证，非常麻烦，并且也给非法破译密码等非法连入网络创造了条件。

因此，目前的内部网络不能阻止外界计算机非法接入，因而极易造成信息泄露，带来很大的信息安全隐患，如何控制非法主机接入内部网络是目前很多企、事业单位共同关心的问题。还有，内网计算机可以通过无线上网，出现内网计算机非法外联的现象，这也会使内网计算机的数据通过外网泄密。

发明内容

本实用新型的目的是提供一种能够加强涉密计算机的内网安全管理系统。

本实用新型的实现上述目的的内网安全管理系统包括：

传输介质；经由所述传输介质接入内网的多个计算机；连接所述传输介质的具有受控端口的交换机；连接所述交换机以对所述计算机经由交换机发出的认证请求进行认证的认证服务器；以及连接所述交换机以对所述计算机中已通过认证的计算机进行安全管理的管理中心。

其中，所述管理中心包括：控制台，用于分配已通过认证的计算机的权限；以及监控与审计服务器，通过与已通过认证的计算机通信以下发关于计算机权限的指令，并接收计算机上传的日志及警报。

其中，所述多个计算机之每个经由传输介质分别连接所述交换机的一个相应受控端口；控制台、监控与审计服务器和认证服务器分别连接所述交换机的其他三个端口。

其中，所述交换机包括：具有多个分别连接所述多个计算机的受控端口以及连接所述控制台、监控与审计服务器和认证服务器的其他端口的交换芯片；以及连接所述交换芯片以根据所述认证服务器的认证结果对连接计算机的受控端口进行控制的端口控制模块。

其中，所述计算机是装有终端代理装置的计算机。

其中，所述终端代理装置包括：经由计算机USB口连接计算机CPU的USB密钥装置，其内存有用来登录的USB密钥；连接计算机CPU以根据USB密钥和用户密码启动计算机操作系统的双因子登录检查模块；连接计算机CPU以接收及执行监控与审计服务器下发的指令的管理指令接收及执行模块；连接计算机CPU以检查计算机的非法外联的外联检查模块；连接计算机CPU的网卡禁用模块，用于在外联检查模块发现计算机非法外联时禁用网卡工作；连接计算机CPU的日志生成及警报发送模块，用于生成与管理指令接收及执行模块执行情况相应的审计日志和关于非法外联的警报；以及连接计算机CPU的涉密文件转换模块，用于将计算机内存储的涉密文件转换成密文。

其中，所述双因子登录检查模块包括：经由计算机CPU检查所述USB密钥装置的USB密钥的USB密钥识别单元；以及经由计算机CPU检查用户输入的用户密码的用户密码识别单元。

其中，所述外联检查模块包括：向外网域名解析服务器发送数据包的数据包发送单元；以及接收并解析外网域名解析服务器回送的数据包的域名解析单元。

本实用新型具有以下技术效果：

1、可以保证只有经过主管部门认证的计算机，才可以顺利通过基于交换机端口的访问控制认证，才可以自由的应用单位内部的计算机网络以及其中的资源，防止外来计算机随意接入内部网络等违规行为。

2、可以监控和审计涉密计算机的数据输入/输出接口、设备以及被控端用户的敏感行为，从而加强对涉密计算机的安全管理，达到有效预防失、泄密事件发生的目的。

3、可以禁止涉密计算机非法拨号上网，防止涉密计算机的非法外联行为。

下面结合附图对本实用新型进行详细说明。

附图说明

图1是本实用新型的内网安全管理系统的配置图；