linux 网络请求所使用的进程,一种Linux系统下控制进程网络连接的方法及系统与流程...

本发明涉及计算机信息安全的技术领域，特别涉及一种Linux系统下控制进程网络连接的方法及系统。

背景技术：

在计算机信息安全的技术领域中，网络上运行的服务器Linux系统占有很大比例，所以Linux服务器的安全性也变得越来越重要。攻击者侵入Linux系统中后，大部分都会在本机监听一个端口或者连接远程服务器，攻击者在监听端口或者远程服务器后，不断地通过端口或者被监听的服务器进程连接网络，来实现对信息的窃取或破坏。

然而，在攻击者入侵之后，现有技术中，被入侵端只能通过查杀木马的方式来确保系统的安全，且查杀木马都是人工手动或者周期性自动扫描系统中的文件是否中木马，这样给Linux系统带来了极大的负荷，效率极低。因此，本发明针对如何提高系统的安全性的问题，提出了一种Linux系统下控制进程网络连接的方法及系统。

技术实现要素：

Linux服务器一般都会运行固定的程序，允许连接网络的进程也是固定的，所以如果只允许这些进程进行网络连接操作，将会非常显著的提高系统的安全性。

本发明提出的一种Linux系统下控制进程网络连接的方法及系统，可以对Linux系统的进程进行网络连接控制，可以做到只允许指定进程进行网络连接，从而提高系统的安全性。

一种Linux系统下控制进程网络连接的方法，其特征在于：对本机所有进行网络连接操作的进程进行拦截，在缓存列表中查询是否存在所述拦截获得的进程，如果存在则允许其进行网络连接操作，否则将所述拦截获得的进程继续与下发策略进行匹配，判断当前进行网络连接操作的进程是否为所述策略中配置的进程，若是则允许其进行网络连接操作，否则拒绝其进行网络连接操作。

其中，所述进行网络连接操作的进程包括：connect、bind、sendto、sendmsg、write。

其中，应用层下发所述策略到内核，所述策略包括：允许的操作主体和/或允许进行网络连接的协议。其中，所述操作主体为用户或者进程，所述协议为tcp、udp、icmp其中的一种或多种。

其中，将经过访问控制策略的网络连接操作的进程加入缓存列表中。

一种Linux系统下控制进程网络连接的系统，其特征在于，包括：拦截模块，用于对本机所有进行网络连接操作的进程进行拦截；缓存模块，在缓存模块的缓存列表中查询是否存在所述拦截获得的进程，如果存在则允许其进行网络连接操作，否则将所述拦截获得的进程发送至策略管理模块；策略管理模块，用于将所述拦截获得的进程与下发策略进行匹配；结果处理模块，判断当前进行网络连接操作的进程是否为所述策略中配置的进程，若是则允许其进行网络连接操作，否则拒绝其进行网络连接操作。

其中，所述进行网络连接操作的进程包括：connect、bind、sendto、sendmsg、write。

其中，应用层下发所述策略到内核，所述策略包括：允许的操作主体和/或允许进行网络连接的协议。其中，所述操作主体为用户或者进程，所述协议为tcp、udp、icmp其中的一种或多种。

其中，将经过访问控制策略的网络连接操作进程加入缓存列表中。

由以上可知，本发明公开了一种Linux系统下控制进程网络连接的方法及系统，适用于Linux系统环境下，对网络连接操作的进程进行拦截，将截获的进程与缓存列表比对以及下发策略进行匹配，然后根据匹配结果决定是否允许该进程进行网络连接操作，对Linux系统的进程进行网络连接控制，可以做到只允许指定进程进行网络连接，从而提高系统的安全性。

附图说明

图1是本发明的方法流程图；

图2是本发明的系统框图。

具体实施例

如下阐述了具体的实施方案：

本发明提供了一种Linux系统下控制进程网络连接的方法，方法流程如附图1所示。

步骤101，对本机所有进行网络连接操作的进程进行拦截；

其中，所述进行网络连接操作的进程包括：connect、bind、sendto、sendmsg、write；

步骤102，在缓存列表中查询是否存在所述拦截获得的进程，如果存在则允许其进行网络连接操作，否则将所述拦截获得的进程继续与下发策略进行匹配。

缓存列表用于存储经过访问控制策略的网络连接操作进程以及用户允许连接网络的进程，使得判断进程是否被允许连接网络的速度以及效率提高。

步骤103，与下发的策略进行匹配；

其中，应用层下发所述策略到内核，所述策略包括：允许的操作主体和/或允许进行网络连接的协议；其中，所述操作主体为用户或者进程，所述协议为tcp、udp、icmp其中的一种或多种；

步骤104，判断当前进行网络连接操作的进程是否为所述策略中配置的进程，若是则允许其进行网络连接操作，否则拒绝其进行网络连接操作。

将经过访问控制策略的网络连接操作进程加入缓存列表中，这样在以后的访问中可以直接查询缓存，这样可以加快系统运行速度。

本发明还提供了一种Linux系统下控制进程网络连接的系统，系统功能结构图如附图2所示。

所述系统包括：拦截模块201，用于对本机所有进行网络连接操作的进程进行拦截；

其中，所述进行网络连接操作的进程包括：connect、bind、sendto、sendmsg、write。

缓存模块202，用于缓存模块的管理缓存列表，在缓存列表中查询是否存在所述拦截获得的进程，如果存在则允许其进行网络连接操作，否则将所述拦截获得的进程发送至策略管理模块203。

缓存列表属于缓存模块，用于存储经过访问控制策略的网络连接操作进程以及用户允许连接网络的进程，使得判断进程是否被允许连接网络的速度以及效率提高。

策略管理模块203，用于将所述进程与下发的策略进行匹配；

其中，应用层下发所述策略到内核，所述策略包括：允许的操作主体和/或允许进行网络连接的协议。其中，所述操作主体为用户或者进程，所述协议为tcp、udp、icmp其中的一种或多种。

结果处理模块204，判断当前进行网络连接操作的进程是否为所述策略中配置的进程，若是则允许其进行网络连接操作，否则拒绝其进行网络连接操作。

将经过访问控制策略的网络连接操作进程加入缓存列表中。

对所公开的实施例的上述说明，使本领域技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域技术人员来说将是显而易见的，本发明中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其他实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是符合与本文所公开的原理和新颖特点相一致的最宽的范围。