[发明专利]一种终端设备违规外联的监测方法

权利要求书

1. 一种终端设备违规外联的监测方法，其特征在于：

首先，在一台接入内网的终端设备上安装客户端程序，正常情况下客户端程序将保持后台运行状态；在服务器上安装运行服务端程序，并且在管理中心部署违规外联在线监测管理系统； 

其次，提供两套监测违规外联的方法，第一种是基于策略配置的公网网址库的方式，通过客户端程序不断检测与公网地址的连接情况来检测主机是否发生违规外联；第二种是由企业在公网自行架设的一台私有监测服务器，此服务器可以连通外网并且能在主机测试时记录客户端主机的违规信息和行为；在现场应用中，两种方法分别为两个运行的线程，同时同步监测主机是否有外联的行为。

2. 如权利要求1所述的终端设备违规外联的监测方法，其特征在于：违规外联在线监测管理系统的主要功能包括以下三个模块：

①个性化监测策略在线配置

管理员可以在系统中根据需要配置允许连接外网的部门、人员、时间段，还可以配置允许内网连接的若干可信网站，利用公网测试的网址库，配置监控内网设备违规外联的监测周期，以及发生违规外联后的处理方式；

②报警处理中心

此项功能用于集中管理内网中发生违规外联终端设备的信息，一旦内网中发生违规外联行为，报警中心便会有报警声音提示；

③集中审计

集中对所有违规记录的详细信息进行管理，提供审计和统计功能。

3. 如权利要求1所述的终端设备违规外联的监测方法，其特征在于：当受控终端设备运行时，客户端监测程序随之启动，即开始进行违规外联检测，基于策略可配置的公网网址库检测方式的具体步骤如下：

步骤401，装载在主机上的客户端程序初始运行时，由启动的管理线程读取策略表中的相关字段配置信息，包括检测时间间隔、公网网址库内容；

步骤402，判断公网数据结构体Public里中是否包含有数据，如果有数据就进行步骤403；若没有数据就进行步骤404；

步骤403，测试主机与公网地址库中的网址连接情况，若能够连通，说明主机发生了违规外联，进行步骤405；若不能连通，则说明主机一切正常，循环执行步骤403；

步骤404，判断是否结束检测违规外联，若结束，则流程结束；否则继续执行步骤401；

步骤405，测试本地通信是否连通正常，若正常则执行步骤406；否则执行步骤409；同时客户端程序记录下主机违规上网的网址、上网主要内容以及主机的信息；

步骤406，客户端程序将本机的ip、违规的信息上报给管理中心监测系统服务器引发管理中心报警；

步骤407，客户端程序通过防火墙阻断终端主机的网络连接；

步骤408，判断是否停止检测违规外联，若是，则流程结束；否则继续开始检测，回到步骤402；

步骤409，将主机信息和违规信息暂时记录在客户端主机本地数据库中，待主机与管理中心服务器通信连通后再将数据同步至管理中心服务器，同时删除本地记录信息。

4. 如权利要求1所述的终端设备违规外联的监测方法，其特征在于：另外，基于企业自行搭建的外网服务器检测方式的工作步骤如下：

步骤501，检测进程开始运行；

步骤502，开始读取Private数组里的数据，Private数组存放了自己架设的连通外网服务器的信息，包括IP地址、端口号等；

步骤503，判断Private数组中是否存在数据，如果存在，则进行步骤504；若不存在，则进行步骤508；

步骤504，根据Private数组里的私有检测公网服务器信息，测试本机与其的连接状态，如果能连通，说明发生了违规外联，则执行步骤505；若不能连通，说明主机状态正常，循环执行步骤504继续检测；

步骤505，私有检测服务器记录下违规主机的详细信息和操作，并保存在本地数据库中，主机上的客户端程序也把违规信息上报到管理中心服务器上引发报警；

步骤506，防火墙阻断违规主机的网络连接；

步骤507，判断检测线程是否继续检测，若继续，则执行步骤502；若停止检测，则流程结束；

步骤508，判断是否继续进行检测，若是，则执行步骤502，否则流程结束。