[发明专利]一种内网边界管控方法

说明书

本发明提供了一种内网边界管控方法，该内网边界管控方法包括：对内网边界设备进行认证；当内网边界设备通过认证且为计算机设备时，依次检测内网边界设备中是否包含表征安装客户端程序的第一标签信息、表征安装的客户端程序上线的第二标签信息及表征部署安全防护措施的第三标签信息；当内网边界设备中未包含所述第一标签信息、第二标签信息或第三标签信息时，关闭内网边界设备对应的交换机端口；当内网边界设备中包含第一标签信息、第二标签信息及第三标签信息时，保持内网边界设备对应的交换机端口为开启状态。本发明提供的内网边界管控方法能够保证计算机安全防护措施部署到位。

技术领域

本发明涉及网络安全技术领域，具体涉及一种内网边界管控方法。

背景技术

内网存在数量庞大的未知类型的接入层设备，然而，绝大部分的网管系统只管理核心交换机、路由器及汇聚交换等关键的网络设备，内网终端接入的安全管理不能达到100％覆盖，传播病毒、信息窃取、网络攻击等严重威胁着内网的安全运行，对网络边界进行有效控制势在必行。

现有的内网终端接入的安全控制方法，通过获取终端设备的MAC地址，并与认证设备数据库中的终端进行对比，将未通过认证的设备的端口关闭。然而，对于安全防护要求较高的计算机，该方法并不能保证其安全防护措施部署到位。

发明内容

鉴于上述的分析，本发明提出了一种内网边界管控方法，用以解决现有技术中不能保证计算机安全防护措施部署到位的问题。

为实现上述目的，本发明采用如下技术方案：

本发明第一方面，提供了一种内网边界管控方法，包括：对内网边界设备进行认证；当所述内网边界设备通过认证且为计算机设备时，依次检测所述内网边界设备中是否包含表征安装客户端程序的第一标签信息、表征安装的客户端程序上线的第二标签信息及表征部署安全防护措施的第三标签信息；当所述内网边界设备中未包含所述第一标签信息、第二标签信息或第三标签信息时，关闭所述内网边界设备对应的交换机端口；当所述内网边界设备中包含所述第一标签信息、第二标签信息及第三标签信息时，保持所述内网边界设备对应的交换机端口为开启状态。

作为一种优选的实施方式，所述内网边界管控方法还包括：将关闭的所述交换机端口加入阻断数据表中。

作为一种优选的实施方式，在对内网边界设备进行认证之前，还包括：通过在交换机上定期轮询获取内网边界设备的MAC地址转发表和ARP表的方式获取所述内网边界设备的MAC-IP-PORT对应表。

作为一种优选的实施方式，对获取的内网边界设备的MAC-IP-PORT对应表进行分析，当所述内网边界设备为HUB时，关闭所述HUB对应的交换机端口，并将所述HUB对应的交换机端口加入阻断数据表中。

作为一种优选的实施方式，对内网边界设备进行认证，包括：当第一次获取内网边界设备的MAC-IP-PORT对应表时，将所述MAC-IP-PORT对应表存入在线设备缓存中，并将内网边界设备的MAC-IP-PORT对应表与认证设备数据库中的MAC数据进行对比；对于MAC地址不在认证设备数据库中的非认证内网边界设备，关闭所述非认证内网边界设备对应的交换机端口，并将所述非认证内网边界设备对应的交换机端口加入阻断数据表中。

作为一种优选的实施方式，对内网边界设备进行认证，还包括：当不是第一次获取内网边界设备的MAC-IP-PORT对应表时，将所述MAC-IP-PORT对应表与在线设备缓存中存储的缓存数据进行对比，生成新接入设备信息表并对新接入设备信息表中的新接入设备进行认证；对于未通过认证的新接入设备，关闭所述未通过认证的新接入设备对应的交换机端口，并将所述未通过认证的新接入设备对应的交换机端口加入到阻断数据表中；对于通过认证的新接入设备，将所述通过认证的新接入设备存入在线设备缓存中。