[发明专利]非法外联检测方法

权利要求书

1.一种非法外联检测方法，用于对内网计算机的非法外联行为进行检测，包括以下步骤：

定义步骤，在管理服务器中预先定义检测策略，并设置需要应用检测策略的终端设备；

检测步骤，所述终端设备根据从所述管理服务器下载的所述检测策略对内网计算机的非法外联进行检测；

告警步骤，当判断为所述内网计算机存在非法外联行为时，所述终端设备向所述管理服务器发出告警信息；以及

响应步骤，所述管理服务器根据告警信息，执行响应措施。

2.根据权利要求1所述的非法外联检测方法，其中，所述检测步骤包括：

第一构造发送步骤，逐一查询内网计算机中的网络适配器信息，并根据查询到的所述适配器的网络参数，构造连通性探测包，并发送给外网主机；

查询步骤，当所有的所述网络适配器查询完毕时，查询所述内网计算机上是否设置有上网的代理方式；

第二构造发送步骤，当设置有所述上网的代理方式时，并根据查询到的所述上网的代理方式的网络参数，构造连通性探测包，并发送给所述外网主机；以及

判断步骤，当所述终端设备接收到来自所述外网主机的针对所述连通性探测包的回应包时，判断内网计算机存在非法外联行为。

3.根据权利要求2所述的非法外联检测方法，其中，

所述网络适配器信息包括设备名；

所述适配器的网络参数包括ip地址、掩码和网关。

4.根据权利要求3所述的非法外联检测方法，其中，

所述连通性探测包包括http探测包和ping探测包。

5.根据权利要求2所述的非法外联检测方法，其中，

所述上网的代理方式的网络参数包括所述终端设备的主机ip和端口信息。

6.根据权利要求1至5中任一项所述的非法外联检测方法，其中，

所述响应措施包括：控制台告警、邮件告警、阻断网络和重启机器。

7.根据权利要求6所述的非法外联检测方法，其中，

所述终端设备为多台。

8.根据权利要求6所述的非法外联检测方法，其中，

所述终端设备、所述管理服务器和控制台构成的非法外联检测系统支持多级部署方式，根据网络的规模和管理级别而划分为N级，其中，N为大于1的整数。

9.根据权利要求6所述的非法外联检测方法，其中，

所述终端设备之间、所述终端设备和所述管理服务器之间的数据通信采用ssl加密和压缩的通信方式。

10.根据权利要求6所述的非法外联检测方法，其中，

所述管理服务器和控制台之间采用https的加密通信方式。