[发明专利]一种对网络设备访问的控制审计方法

说明书

本发明提供一种对网络设备访问的控制审计方法，用户在客户端进行认证时，由管理中心把该用户的策略信息下发到客户端；当用户访问网络资源时，客户端根据用户访问的目标IP和端口判断该设备是否属于用户权限范围内的资源，如果是，则修改用户数据报文，与代理服务器进行连接，并且将用户真实访问的目标IP等信息传送到代理服务器上，代理服务器负责监听客户端连接，提取客户端要连接的目标设备的ip等信息，并启用对应的本地应用服务，同时将客户端流量转发到对应的本地服务，再由代理服务器与目标设备进行连接，不仅整个过程对用户来说完全是透明的，而且降低了用户操作难度，由于采用本地服务的方式对ssh等加密协议也可以审计和控制。

技术领域

本发明涉及通信网络信息安全技术领域，特别涉及一种对网络设备访问的控制审计方法。

背景技术

随着网络信息技术的迅速发展，企事业单位网络规模和设备数量迅速扩大，建设重点逐步从网络信息化到网络信息安全、提升效益为特征的运行维护阶段。企事业单位需要对特定资产的访问进行控制和审计，拦截非法访问和恶意攻击，对不合法命令进行命令阻断，过滤掉所有对目标设备的非法访问行为，并对内部人员误操作和非法操作进行审计监控，以便事后责任追踪，因此堡垒机应运而生。堡垒机具备帐号管理、身份认证、资源授权、访问控制操作审计等功能有效解决企事业面临的问题。传统堡垒机以旁路模式接入网络，用户要访问目标设备都需要登录到堡垒机上再与目标设备进行连接操作，这种接入方式需要改变用户的使用习惯，而且操作变得很繁琐，无法一步到位直连到目标设备。

发明内容

本发明要解决的技术问题，在于提供一种对网络设备访问的控制审计方法，通过在用户端改变用户的数据报文把流量牵引到代理服务器上，再由代理服务器与目标设备进行连接，不仅整个过程对用户来说完全是透明的，而且降低了用户操作难度。

本发明是这样实现的：一种对网络设备访问的控制审计方法，在用户终端安装客户端，在客户端进行认证的时候，由管理中心把该用户的策略信息下发到客户端；当用户访问网络资源的时候，客户端会根据用户访问的目标IP和端口判断该设备是否属于用户权限范围内的资源，如果是，则修改用户数据报文，与代理服务器进行连接，并且将用户真实访问的目标IP和端口、应用层协议类型传送到代理服务器上，代理服务器负责监听客户端连接，提取客户端要连接的目标设备的ip、端口、应用层协议类型等信息，并根据协议类型启用对应的本地应用服务，同时将客户端流量转发到对应的本地服务，并与目标设备进行连接，并记录用户的操作行为，如果不是，则不做任何处理。

进一步的，所述管理中心把该用户的策略信息下发到客户端的同时，还将用户认证的IP和帐号发送到代理服务器用于关联用户的操作行为。

进一步的，所述策略信息为敏感设备、帐号和访问设备关联信息。

本发明具有如下优点：本发明采用完全透明转发的方式，直接在用户端改变用户的网络行为，用户表面上是直接访问网络资源，但是在底层本发明方法会改变用户的行为(即修改用户数据报文)，让其连接到代理服务器上，再由代理服务器与目标资源访问，整个过程对用户来说是完全透明的，但用户无任何感知。而且本发明通过在客户端将流量牵引到代理服务器上，由用户跟代理服务器建立连接，再由代理服务器与目标设备进行连接的方式解决了传统堡垒机需要先登录到堡垒机上再从堡垒机上访问目标设备操作繁琐的问题，降低了用户操作难度。

附图说明

下面参照附图结合实施例对本发明作进一步的说明。

图1为本发明方法执行流程图。

具体实施方式