[发明专利]一种接入控制方法和装置

说明书

技术领域

本发明涉及计算机技术领域，特别是涉及一种接入控制方法和一种接入控制装置。

背景技术

随着互联网的迅速普及，局域网已成为企业发展中必不可少的一部分。然而，在为企业带来便利的同时，局域网也面临着各种各样的进攻和威胁，如机密泄漏、数据丢失、网络滥用、身份冒用、非法入侵等。例如，当外来人员携带笔记本电脑进入企业，在未经许可的情况下，通过有线或者无线的方式接入公司的局域网，将容易导致企业内部资源存在被非法拷贝的风险。又如，当企业内部员工的计算机感染病毒时，其通过有线或者无线的方式接入公司的局域网，将容易导致病毒的传播。因此，局域网内的接入控制变得尤为重要。

现有的一种接入控制方案具体可以包括：在交换机侧对局域网内的上行数据包进行过滤，并在该上行数据包不符合过滤规则时，向该上行数据包对应的接收端发送RST(复位，Reset)包，由此可以断开该上行数据包对应的发送端与接收端之间的TCP连接。

然而，上述RST仅仅适用于HTTP(超文本传输协议，HypertextTransferProtocol)的上行数据包，而无法适用于UDP(用户数据报协议，UserDatagramProtocol)、ARP(地址解析协议，AddressResolutionProtocol)、SNMP(简单网络管理协议，SimpleNetworkManagementProtocol)等协议的上行数据包，因此，现有方案具有适用范围有限的缺点。

另外，现有方案通常依据白名单设置对应的过滤规则，例如，上述过滤规则放行用户终端命中白名单的上行数据包，以及阻断用户终端不在白名单中的上行数据包等，这样，对于不在白名单中的用户终端而言，将无法访问局域网，而对命中白名单的用户终端而言，即使其存在安全隐患，也无法阻断其对于局域网的访问；因此，现有方案还具有安全性差和灵活性差的缺点。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的一种接入控制方法和一种接入控制装置。

依据本发明的一个方面，提供了一种接入控制方法，应用于用户终端，包括：

监测到达网卡的数据包；

对所述数据包进行解析，以得到对应的五元组信息；

在所述五元组信息符合预置的五元组阻断规则时，阻断所述数据包；其中，所述预置的五元组阻断规则为控制终端所提供。

可选地，所述五元组信息包括：源IP地址、源端口、目的IP、目的端口和传输层协议，则所述预置的五元组阻断规则包括：目的IP地址所属的网段、目的端口和传输层协议中至少一项对应的阻断规则。

可选地，所述方法还包括：

对所述用户终端进行基线检查；

在基线检查结果符合预置的基线阻断规则、且所述五元组信息符合预置的五元组阻断规则时，阻断所述数据包；其中，所述预置的基线阻断规则为控制终端所提供。

可选地，所述对所述用户终端进行基线检查的步骤，包括：

对所述用户终端上的已安装应用、已运行应用、已运行服务、已运行进程、密码强度和已运行组件中的至少一项进行检测，以判断所述用户终端上是否存在所述控制终端提供的预置项目；

所述基线检查结果符合预置的基线阻断规则，包括：所述单个预置项目或者预置项目的组合对应的规则。

可选地，所述对所述用户终端进行基线检查的步骤，包括：

对所述用户终端上的已安装应用、已运行应用、已运行服务、已运行进程、密码强度和已运行组件中的至少一项进行检测，以得到所述用户终端的得分；

所述基线检查结果符合预置的基线阻断规则，包括：所述用户终端的得分小于得分阈值。

可选地，所述预置项目包括如下项目中的至少一项：

未安装防火墙组件、未安装反病毒应用、存在不符合第一预置条件的反病毒应用、存在被禁止的应用、及运行被禁止的应用、进程和服务。

可选地，所述方法还包括：

在所述五元组信息不符合预置的五元组阻断规则时，放行所述数据包。

可选地，所述方法还包括：

在基线检查结果不符合预置的基线阻断规则时，放行所述数据包。

可选地，所述监测到达网卡的数据包的步骤，包括：

通过网卡驱动程序，从网络驱动程序接口规范NDIS中间层抓取到达网卡的数据包。

根据本发明的另一方面，提供了一种接入控制装置，包括：

监测模块，用于监测到达网卡的数据包；