【技术实现步骤摘要】
本专利技术属于网络安全，具体涉及一种终端网络安全管控方法及系统。
技术介绍
1、在当前的网络环境中，随着信息化程度的不断提高，企业和组织内部网络的安全性成为一个至关重要的问题。传统的网络安全措施通常集中于防御外部威胁，而忽视了来自内部的潜在风险。然而，随着内部威胁的增加，尤其是内部网络未经授权的外联行为，网络安全面临着新的挑战。违规外联通常指内部设备或用户未经授权而主动与外部网络进行连接，这可能导致敏感数据的泄露、恶意软件的传播以及其他安全隐患。
2、网络准入系统属于旁路部署系统，对终端的违规行为需要准入主机向核心交换机发送干扰包才能进行阻断，因此无法对终端计算机违规行为进行有效的事前预防和管控，存在较大的安全隐患，极易导致发生违规外联、身份冒用及泄密事件。准入系统通常难以防御内部用户在已授权设备上发起的未经授权的外部连接，从而无法有效防范数据泄露和其他安全风险。
3、桌面终端管理系统通常依赖于操作系统层面的控制，对底层网络通信缺乏深入的监控和分析能力，这使得用户可以通过不受控的应用程序或网络工具发起违规外联行为。其次，桌面终端管理系统的策略配置较为复杂，且易于被技术熟练的用户绕过，从而导致对违规外联行为的防护效果有限。最后，由于桌面终端管理系统通常缺乏对实时网络行为的全面监控能力，无法在违规外联发生的第一时间进行有效阻断，导致安全事件的发现和响应滞后。在违规事件发生之后才能检测到并作出响应，属于事后补救，无法做到事前防御。
4、可见，现有的安全解决方案大多是被动防御，无法有效阻止或预防此类违
技术实现思路
1、本专利技术针对对于违规外联行为，有的安全解决方案无法有效阻止或预防其发生的技术问题，目的在于提供一种终端网络安全管控方法及系统。
2、为了解决前述技术问题，本专利技术的第一方面提供一种终端网络安全管控方法，所述终端网络安全管控方法包括：
3、实时监测终端的外联行为，判断所述外联行为是否属于违规行为；
4、若属于合规行为，则进行放行；
5、若属于违规行为，则进行对应的安全防护，将违规行为对应的违规信息进行展示、存储及推送至预设目标端。
6、可选地，在如前所述的终端网络安全管控方法中，所述外联行为包括修改网络配置，则所述终端网络安全管控方法包括：
7、实时监测终端网络配置，当存在终端修改网络配置行为时，判断终端是否违规修改网络配置；
8、若终端合规修改网络配置，则进行放行；
9、若终端违规修改网络配置，则禁用网络连接，恢复未修改前的网络配置后启用网络连接，将违规信息进行展示、存储及推送至预设目标端，所述违规信息包括设备类型以及违规类别，所述设备类型为违规修改网络配置的终端id，所述违规类别为违规改网络配置。
10、可选地，在如前所述的终端网络安全管控方法中，所述判断终端是否违规修改网络配置，包括：
11、将终端修改的网络配置中的ip地址与预设的合规ip地址段范围进行比较，若在所述合规ip地址段范围内且提交有预设授权码，则认为终端合规修改网络配置，否则均认为终端违规修改网络配置。
12、可选地，在如前所述的终端网络安全管控方法中，所述外联行为包括接入网络驱动器，则所述终端网络安全管控方法包括：
13、实时监测终端网络设备驱动加载事件，当存在加载驱动程序时，判断终端是否违规接入网络设备；
14、若终端合规接入网络设备，则进行放行；
15、若终端违规接入网络设备，则对违规接入的网络设备禁用，将违规信息进行展示、存储及推送至预设目标端，所述违规信息包括设备类型以及违规类别，所述设备类型为违规接入网络设备的终端id以及违规接入网络设备的设备类型，所述违规类别为违规接入网络设备。
16、可选地，在如前所述的终端网络安全管控方法中，所述判断终端是否违规接入网络设备，包括：
17、确定接入的网络设备的设备类型，若所述设备类型属于预设的合规设备，则认为终端合规接入网络设备，若所述设备类型属于预设的违规设备，则认为终端违规接入网络设备，若所述设备类型既不属于所述合格设备又不属于所述违规设备，则认为终端违规接入网络设备。
18、可选地，在如前所述的终端网络安全管控方法中，所述设备类型包括pci设备、usb设备、bth设备、虚拟设备；
19、所述pci设备中的pci无线网卡为违规设备，其他pci设备作为正常pci网卡为合规设备；
20、所述usb设备和bth设备为违规设备；
21、所述虚拟设备为合规设备。
22、可选地，在如前所述的终端网络安全管控方法中，将违规行为对应的违规信息进行展示、存储及推送至预设目标端之前，还包括：
23、对所述违规行为进行分析，将所述违规行为划分为若干预设风险等级中的一种，所述违规信息中包含所述风险等级；
24、根据所述风险等级对应的处置方式对终端进行安全风险等级处置。
25、可选地，在如前所述的终端网络安全管控方法中，所述将违规行为对应的违规信息进行展示、存储及推送至预设目标端，包括：
26、将将违规行为对应的违规信息向终端进行展示，将所述违规信息加密后存储，将所述违规信息推送至预设目标端。
27、可选地，在如前所述的终端网络安全管控方法中，在对所述违规信息进行加密时，采用字符移位和转换，并加入随机字符，实现加密目的，使所述违规信息不可读。
28、可选地，在如前所述的终端网络安全管控方法中，所述预设目标端包括网络管理人员以及管理群；
29、在将所述违规信息推送至预设目标端时，将所述违规信息以短信的方式推送至网络管理人员对应的手机号，将所述违规信息推送至管理群。
30、为了解决前述技术问题，本专利技术的第二方面提供一种终端网络安全管控系统，包括：
31、检测及安全防护模块，部署于终端上，用于实时监测终端的外联行为，判断所述外联行为是否属于违规行为；若属于合规行为，则进行放行；若属于违规行为，则进行对应的安全防护，将违规行为对应的违规信息进行展示并将所述违规信息发送至后台服务系统；
32、后台服务系统，部署于后台服务主机上，用于接收所述违规信息并进行存储，将所述违规信息推送至预设目标端。
33、本专利技术的积极进步效果在于：本专利技术是对违规外联等终端网络安全问题，是一种事前主动防御的防御终端网络安全管控方法及系统，强调事前防御。本专利技术具体通过对违规外联两大路径的管控(修改网络配置、接入外置网络驱动器)，能够在违规外联成功发生前，进行阻断，并通知相关人员。本专利技术通过加强内网终端网络安全的管控力度，有效阻止违规外联的发生。
本文档来自技高网...【技术保护点】
1.一种终端网络安全管控方法，其特征在于，所述终端网络安全管控方法包括：
2.如权利要求1所述的终端网络安全管控方法，其特征在于，所述外联行为包括修改网络配置，则所述终端网络安全管控方法包括：
3.如权利要求2所述的终端网络安全管控方法，其特征在于，所述判断终端是否违规修改网络配置，包括：
4.如权利要求1至3中任意一项所述的终端网络安全管控方法，其特征在于，所述外联行为包括接入网络驱动器，则所述终端网络安全管控方法包括：
5.如权利要求4所述的终端网络安全管控方法，其特征在于，所述判断终端是否违规接入网络设备，包括：
6.如权利要求5所述的终端网络安全管控方法，其特征在于，所述设备类型包括PCI设备、USB设备、BTH设备、虚拟设备；
7.如权利要求1所述的终端网络安全管控方法，其特征在于，将违规行为对应的违规信息进行展示、存储及推送至预设目标端之前，还包括：
8.如权利要求1所述的终端网络安全管控方法，其特征在于，所述将违规行为对应的违规信息进行展示、存储及推送至预设目标端，包括：
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。