基于网络系统的安全控制方法、系统、装置和存储介质

技术领域

本发明涉及信息安全领域，具体而言，涉及一种基于网络系统的安全控制方法、系统、装置和存储介质。

背景技术

目前，随着信息技术的发展，大多企业都构建了数量庞大的IT系统，为了保护这些IT系统的信息安全，通常采用的信息安全防护方案是采用零信任网络来实现。现有的通过零信任网络实现信息安全防护的方法主要有两种，一种方法是基于代理系统的，设备在认证中心认证通过之后，通过一个代理系统中转访问服务器端的应用、接口资源，这种方法技术实现较简单，但是在代理系统中容易出现产品网络访问瓶颈，并且，使用代理系统只能支持标准的网络协议，无法支持使用私有协议的应用，同时，这种方法也有违零信任网络去中心化的概念；另一种方法是基于外置物理设备的，使用外置物理设备进行认证来实现网络信息安全防护，但是这种方法由于需要外置物理设备，在实际部署中会存在较大的成本和运维问题。因此，上述两种方法都存在网络访问资源受限制的问题。

针对上述网络访问资源受限制的问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种基于网络系统的安全控制方法、系统、装置和存储介质，以至少解决网络访问资源受限制的的技术问题。

根据本发明实施例的一个方面，提供了一种基于网络系统的安全控制方法，该网络系统包括：客户端设备、多个处理设备和用于设定每个处理设备的访问权限的控制服务器，其中，任意一个处理设备接收到连接请求，其中，连接请求由其他处理设备或客户端设备作为发起设备发送；任意一个处理设备验证连接请求中携带的证书；基于验证证书是否通过，任意一个处理设备确认是否具有权限与发起设备建立连接。

可选地，如果验证证书通过，任意一个处理设备通过访问控制服务器，确认是否具有权限与发起设备建立连接。

可选地，在任意一个处理设备基于控制服务器反馈的权限信息，确定具有与发起设备建立连接的权限的情况下，任意一个处理设备响应连接请求，并与发起设备直接建立网络连接关系。

可选地，该方法还包括：如果验证证书失败，任意一个处理设备确认禁止与发起设备建立连接；定时重新发起验证证书，并统计重新验证证书的次数，如果验证次数或频次超过阀值，则发起告警信息。

可选地，在任意一个处理设备验证连接请求中携带的证书之前，该方法还包括：任意一个处理设备和客户端设备申请证书，并将申请到的证书与需要绑定的处理设备的硬件信息进行绑定，其中，硬件信息包括如下至少之一：网卡、存储器和处理器。

可选地，网络系统中的各个处理设备定时访问证书服务器，获取证书的更新信息和吊销列表信息。

可选地，控制服务器基于权限模板对网络系统中的各个处理设备设置访问权限。

根据本发明实施例的另一方面，还提供了一种安全控制系统，包括：客户端设备；多个处理设备和用于设定每个处理设备的访问权限的控制服务器；其中，任意一个处理设备验证接收到的连接请求中携带的证书，基于验证证书是否通过，确认是否具有权限与发起设备建立连接，连接请求由其他处理设备或客户端设备作为发起设备发送。

可选地，如果验证证书通过，任意一个处理设备通过访问控制服务器，确认是否具有权限与发起设备建立连接。

可选地，在任意一个处理设备基于控制服务器反馈的权限信息，确定具有与发起设备建立连接的权限的情况下，任意一个处理设备响应连接请求，并与发起设备直接建立网络连接关系。

可选地，如果验证证书失败，任意一个处理设备确认禁止与发起设备建立连接。

可选地，任意一个处理设备在验证证书失败到情况下，定时重新发起验证证书，并统计重新验证证书的次数，如果验证次数或频次超过阀值，则发起告警信息。

根据本发明实施例的另一方面，还提供了一种基于网络系统的安全控制装置，该网络系统包括：客户端设备、多个处理设备和用于设定每个处理设备的访问权限的控制服务器，该装置包括：接收单元，用于使任意一个处理设备接收到连接请求，其中，连接请求由其他处理设备或客户端设备作为发起设备发送；验证单元，用于使任意一个处理设备验证连接请求中携带的证书；确认单元，用于基于验证证书是否通过，使任意一个处理设备确认是否具有权限与发起设备建立连接。

根据本发明实施例的另一方面，还提供了一种计算机可读存储介质，该计算机可读存储介质包括存储的程序，其中，在程序运行时控制计算机可读存储介质所在设备执行本发明实施例的基于网络系统的安全控制方法。

根据本发明实施例的另一方面，还提供了一种处理器，该处理器用于运行程序，其中，程序被该处理器运行时执行本发明实施例的基于网络系统的安全控制方法。

在本发明实施例中，采用任意一个处理设备接收到连接请求，其中，连接请求由其他处理设备或客户端设备作为发起设备发送；任意一个处理设备验证连接请求中携带的证书；基于验证证书是否通过，任意一个处理设备确认是否具有权限与发起设备建立连接。也就是说，本申请通过由网络系统中的处理设备或者客户端设备作为发起设备发送连接请求，然后由网络系统中未发送连接请求的一个处理设备来接收连接请求，并验证该连接请求中所携带的证书，当该证书验证通过时，未发送连接请求的一个处理设备确认具有权限与发起设备建立连接，当该证书未验证通过时，未发送连接请求的一个处理设备确认不具有权限与发起设备建立连接，从而通过强制进行证书认证，确保访问者有系统访问权限，以保护系统安全，进而解决了网络访问资源受限制的技术问题，达到了确保网络访问资源不受限制的技术效果。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明实施例的一种安全控制系统的示意图；

图2是根据本发明实施例的一种基于网络系统的安全控制方法的流程图；

图3是根据本发明实施例的一种网络系统的示意图；

图4是根据本发明实施例的一种网络系统的客户端的示意图；

图5是根据本发明实施例的一种基于网络系统的安全控制装置的示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

首先，在对本申请实施例进行描述的过程中出现的部分名词或术语适用于如下解释：

数据泄密(泄露)防护(Data Leakage Prevention，简称为DLP),又称为数据丢失防护(Data Loss Prevention，简称为DLP)，或者信息泄漏防护(Information LeakagePrevention，简称为ILP)，数据泄密防护是通过一定的技术手段，防止企业的指定数据或信息资产以违反安全策略规定的形式流出企业的一种策略；

数字证书，数字证书是指在互联网通讯中标志通讯各方身份信息的一个数字认证，人们可以在网上用它来识别对方的身份，因此数字证书又称为数字标识。数字证书对网络用户在计算机网络交流中的信息和数据等以加密或解密的形式保证了信息和数据的完整性和安全性；

零信任网络，“零信任”是一个安全术语也是一个安全概念，它将网络防御的边界缩小到单个或更小的资源组，其中心思想是企业不应该自动信任内部或外部的任何人/事/物，不应该根据物理或网络位置对系统授予完全可信的权限，应在授权前对任何试图接入企业系统的人/事/物进行验证，只有当资源需要的时候才对数据资源的访问授予权限，简单来说，“零信任”的策略就是不相信任何人，除非网络明确知道接入者的身份，否则任何的人/事/物都无法接入到网络，用户的访问权限不再受到地理位置的影响，但不同用户将因自身不同的权限级别拥有不同的访问资源。

实施例1

根据本发明实施例，提供了一种安全控制系统。

图1是根据本发明实施例的一种安全控制系统的示意图。如图1所示，该安全控制系统10可以包括：客户端设备11、处理设备12和控制服务器13。

客户端设备11，用于作为发起设备发送连接请求。

在该实施例中，客户端设备11可以包括系统升级管理模块、系统配置管理模块、网络驱动检测模块、用户交互模块、证书管理模块以及权限管理模块等。

处理设备12，用于接收并验证连接请求，或者作为发起设备发送连接请求。

在该实施例中，可以设置多个处理设备12，在多个处理设备12中，通过任意一个处理设备接收连接请求，并验证连接请求中携带的证书，当该证书验证通过时，上述任意一个处理设备12确认具有权限与发起设备建立连接，当该证书未验证通过时，上述任意一个处理设备确认不具有权限与发起设备建立连接；在多个处理设备12中的其他处理设备可以作为发起设备发送连接请求。

控制服务器13，用于设定每个处理设备12的访问权限。

在该实施例中，当处理设备12验证证书通过时，控制服务器13即赋予该处理设备12具有与发起设备建立连接的访问权限，当处理设备12验证验证证书未通过时，控制服务器13即赋予该处理设备12不具有与发起设备建立连接的访问权限。

作为一种可选的实施方式，如果验证证书通过，任意一个处理设备通过访问控制服务器，确认是否具有权限与发起设备建立连接。

在该实施例中，由于控制服务器可以设定每个处理设备的访问权限，从而当任意一个处理设备验证证书通过时，该处理设备可以通过访问控制服务器，以确定其是否具有与发起设备建立连接的权限。

作为一种可选的实施方式，在任意一个处理设备基于控制服务器反馈的权限信息，确定具有与发起设备建立连接的权限的情况下，任意一个处理设备响应连接请求，并与发起设备直接建立网络连接关系。

在该实施例中，当任意一个处理设备在访问控制服务器之后，控制服务器反馈给该处理设备的权限信息为，该处理设备具有与发起设备建立连接的权限，此时，该处理设备可以响应接收到的由发起设备发送的连接请求，与发起设备直接建立网络连接关系。

作为一种可选的实施方式，如果验证证书失败，任意一个处理设备确认禁止与发起设备建立连接。

在该实施例中，当任意一个处理设备验证证书失败时，该处理设备可以在访问控制服务器之后，确定其不具有与发起设备建立连接的权限，从而确认该处理设备禁止与发起设备之间建立网络连接关系。

作为一种可选的实施方式，任意一个处理设备在验证证书失败到情况下，定时重新发起验证证书，并统计重新验证证书的次数，如果验证次数或频次超过阀值，则发起告警信息。

在该实施例中，为了避免处理设备在意外情况下验证证书失败后，由于不进行再次验证导致处理设备无法与发起设备之间建立网络连接关系，可以设置一个时间周期，使处理设备在验证证书失败的情况下，按照设置的时间周期自动进行重新验证；为避免处理设备在验证失败的情况下，进行无限制的重新验证，可以设置一个验证次数阀值，处理设备在重新验证证书时，可以统计重新验证证书的次数，当该验证次数超过设置的阀值时，通过发起告警信息，提醒工作人员及时处理该异常情况。

本申请的安全控制系统，通过由网络系统中的处理设备或者客户端设备作为发起设备发送连接请求，然后由网络系统中未发送连接请求的一个处理设备来接收连接请求，并验证该连接请求中所携带的证书，当该证书验证通过时，未发送连接请求的一个处理设备确认具有权限与发起设备建立连接，当该证书未验证通过时，未发送连接请求的一个处理设备确认不具有权限与发起设备建立连接，从而通过强制进行证书认证，确保访问者有系统访问权限，以保护系统安全，进而解决了网络访问资源受限制的技术问题，达到了确保网络访问资源不受限制的技术效果。

实施例2

根据本发明实施例，提供了一种基于网络系统的安全控制方法的实施例，需要说明的是，该实施例的基于网络系统的安全控制方法可以由本发明实施例1的安全控制系统执行，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

图2是根据本发明实施例的一种基于网络系统的安全控制方法的流程图。如图2所示，该方法可以包括如下步骤：

步骤S202，任意一个处理设备接收到连接请求，其中，连接请求由其他处理设备或客户端设备作为发起设备发送。

在本发明上述步骤S202提供的技术方案中，可以设置多个处理设备，在多个处理设备中，通过任意一个处理设备接收连接请求，在多个处理设备中的其他处理设备可以作为发起设备发送连接请求，该连接请求还可以通过由客户端设备作为发起设备发起。

可选地，该实施例中的客户端设备可以包括系统升级管理模块、系统配置管理模块、网络驱动检测模块、用户交互模块、证书管理模块以及权限管理模块等。

步骤S204，任意一个处理设备验证连接请求中携带的证书。

在本发明实施例上述步骤S204提供的技术方案中，在任意一个处理设备接收到连接请求之后，可以对连接请求中携带的证书进行验证。

可选的，该实施例中的证书可以用于验证网络系统中的一个处理设备与另一个处理设备之间是否具有连接的权限，或者，用于验证网络系统中的一个处理设备与客户端设备之间是否具有连接的权限。

步骤S206，基于验证证书是否通过，任意一个处理设备确认是否具有权限与发起设备建立连接。

在本发明上述步骤S206提供的技术方案中，在任意一个处理设备在验证连接请求中携带的证书之后，当任意一个处理设备验证该证书通过时，上述任意一个处理设备确认具有权限与发起设备建立连接，当任意一个处理设备验证该证书未通过时，上述任意一个处理设备确认不具有权限与发起设备建立连接。

在该实施例中，可以通过控制服务器来设定每个处理设备的访问权限，当处理设备验证证书通过时，控制服务器即赋予该处理设备具有与发起设备建立连接的访问权限，当处理设备验证验证证书未通过时，控制服务器即赋予该处理设备不具有与发起设备建立连接的访问权限。

通过本申请上述步骤S202至步骤S206，任意一个处理设备接收到连接请求，其中，连接请求由其他处理设备或客户端设备作为发起设备发送；任意一个处理设备验证连接请求中携带的证书；基于验证证书是否通过，任意一个处理设备确认是否具有权限与发起设备建立连接。也就是说，该实施例通过由网络系统中的处理设备或者客户端设备作为发起设备发送连接请求，然后由网络系统中未发送连接请求的一个处理设备来接收连接请求，并验证该连接请求中所携带的证书，当该证书验证通过时，未发送连接请求的一个处理设备确认具有权限与发起设备建立连接，当该证书未验证通过时，未发送连接请求的一个处理设备确认不具有权限与发起设备建立连接，从而通过强制进行证书认证，确保访问者有系统访问权限，以保护系统安全，进而解决了网络访问资源受限制的技术问题，达到了确保网络访问资源不受限制的技术效果。

下面对该实施例的上述方法进行进一步介绍。

作为一种可选的实施方式，上述网络系统可以包括：客户端设备、多个处理设备和用于设定每个处理设备的访问权限的控制服务器。

可选地，该实施例中的网络系统可以为基于网络驱动的零信任网络实现系统。

作为一种可选的实施方式，如果验证证书通过，任意一个处理设备通过访问控制服务器，确认是否具有权限与发起设备建立连接。

在该实施例中，由于控制服务器可以设定每个处理设备的访问权限，从而当任意一个处理设备验证证书通过时，该处理设备可以通过访问控制服务器，以确定其是否具有与发起设备建立连接的权限。

举例而言，网络系统中的第一处理设备需要连接第二处理设备，则该第一处理设备发起一个连接请求，当第二处理设备接收到该连接请求时，检查该连接请求携带的证书是否正确，若证书错误，则第二处理设备拒接与第一处理设备连接，若证书正确，第二处理设备再连接控制服务器(访问授权管理系统)，确认第一处理设备是否具有连接权限，若第一处理设备有连接权限，则完成第一处理设备与第二处理设备之间的网络连接，若第一处理设备没有连接权限，则第一处理设备与第二处理设备之间无法完成网络连接。

可选地，该实施例中任意一个处理设备还可以与客户端设备之间连接。

举例而言，网络系统中的客户端设备需要连接某一个处理设备，则该客户端设备发起一个连接请求，当处理设备接收到该连接请求时，检查该连接请求携带的证书是否正确，若证书错误，则处理设备拒接与客户端设备连接，若证书正确，处理设备再连接控制服务器(访问授权管理系统)，确认客户端设备是否具有连接权限，若客户端设备有连接权限，则完成客户端设备与处理设备之间的网络连接，若客户端设备没有连接权限，则客户端设备与处理设备之间无法完成网络连接。

可选地，该实施例中的控制服务器(访问授权管理系统)可以记录所有的设备连接记录，以便于在后续过程中可以进行查验。

作为一种可选的实施方式，在任意一个处理设备基于控制服务器反馈的权限信息，确定具有与发起设备建立连接的权限的情况下，任意一个处理设备响应连接请求，并与发起设备直接建立网络连接关系。

在该实施例中，当任意一个处理设备在访问控制服务器之后，控制服务器反馈给该处理设备的权限信息为，该处理设备具有与发起设备建立连接的权限，此时，该处理设备可以响应接收到的由发起设备发送的连接请求，与发起设备直接建立网络连接关系。

作为一种可选的实施方式，该方法还包括：如果验证证书失败，任意一个处理设备确认禁止与发起设备建立连接；定时重新发起验证证书，并统计重新验证证书的次数，如果验证次数或频次超过阀值，则发起告警信息。

在该实施例中，当任意一个处理设备验证证书失败时，该处理设备可以在访问控制服务器之后，确定其不具有与发起设备建立连接的权限，从而确认该处理设备禁止与发起设备之间建立网络连接关系。此时，为了避免处理设备在意外情况下验证证书失败后，由于不进行再次验证导致处理设备无法与发起设备之间建立网络连接关系，可以设置一个时间周期，使处理设备在验证证书失败的情况下，按照设置的时间周期自动进行重新验证；为避免处理设备在验证失败的情况下，进行无限制的重新验证，可以设置一个验证次数阀值，处理设备在重新验证证书时，可以统计重新验证证书的次数，当该验证次数超过设置的阀值时，通过发起告警信息，提醒工作人员及时处理该异常情况。

作为一种可选的实施方式，在任意一个处理设备验证连接请求中携带的证书之前，该方法还包括：任意一个处理设备和客户端设备申请证书，并将申请到的证书与需要绑定的处理设备的硬件信息进行绑定，其中，硬件信息包括如下至少之一：网卡、存储器和处理器。

在该实施例中，在任意一个处理设备验证连接请求中携带的证书之前，该处理设备和客户端设备可以先申请证书，然后可以将申请到的证书与需要绑定的处理设备的硬件信息进行绑定，比如将证书与处理设备的网卡、存储器或者处理器等硬件信息进行绑定，这样就可以使处理设备通过验证证书来确定。

作为一种可选的实施方式，网络系统中的各个处理设备定时访问证书服务器，获取证书的更新信息和吊销列表信息。

在该实施例中，网络系统中还可以设置有证书服务器，该证书服务器中记录有每个证书的更新信息和吊销列表信息，各个处理设备通过定时访问证书服务器来确定与之绑定的证书是否有更新，或者该证书是否被吊销，以便于处理设备验证的证书为最新的证书，或者在证书被吊销后绑定另外的新的证书。

作为一种可选的实施方式，控制服务器基于权限模板对网络系统中的各个处理设备设置访问权限。

在该实施例中，为了提高网络系统的可用性和便捷性，可以设置权限模板，控制服务器在设定网络系统中的各个处理设备的访问权限时，可以按照权限模板来设定，从而实现了可以快速设定各个处理设备的权限的目的。

在一种相关技术中，可以基于代理系统，并通过零信任网络来实现信息安全防护，这种方法中设备在认证中心认证通过之后，通过一个代理系统中转访问服务器端的应用、接口资源，这种方法技术实现较简单，但是在代理系统中容易出现产品网络访问瓶颈，并且，使用代理系统只能支持标准的网络协议，无法支持使用私有协议的应用，同时，这种方法也有违零信任网络去中心化的概念。

在另一种相关技术中，可以基于外置物理设备，并通过零信任网络来实现信息安全防护，这种方法使用外置物理设备进行认证来实现网络信息安全防护，但是由于需要外置物理设备，在实际部署中会存在较大的成本和运维问题。

上述两种相关技术需要使用代理系统进行身份认证，或者需要外置物理设备实现信息安全防护，会存在网络访问资源受限制的问题。而本实施例的基于网络系统的安全控制方法，通过由网络系统中的处理设备或者客户端设备作为发起设备发送连接请求，然后由网络系统中未发送连接请求的一个处理设备来接收连接请求，并验证该连接请求中所携带的证书，当该证书验证通过时，未发送连接请求的一个处理设备确认具有权限与发起设备建立连接，当该证书未验证通过时，未发送连接请求的一个处理设备确认不具有权限与发起设备建立连接，从而通过强制进行证书认证，确保访问者有系统访问权限，以保护系统安全，进而解决了网络访问资源受限制的技术问题，达到了确保网络访问资源不受限制的技术效果。

实施例3

下面通过具体的例子对本发明的计算系统的作业任务处理方法进行进一步介绍。

在相关技术中，对于信息安全进行防护时采用的是传统的安全模型，该安全模型是以边界模型为基础而逐步完善的，传统的基于边界的网络安全架构通过防火墙、网站应用防护系统(Web Application Firewall，简称为WAF)、平面转换(In Plane Switching，简称为IPS)等边界安全产品/方案对企业网络边界进行重重防护，它的核心思想是分区、分层(加强纵深防御)。边界模型专注防御边界，将攻击者尽可能挡在外面，假定已经在边界内的任何事物都不会造成威胁，因此边界内部基本畅通无阻。

而本申请是通过采用零信任网络来实现对信息安全进行防护，零信任网络强调的是永不信任和始终验证，不信任任何人/事/物。由于零信任网络具有三个原则：不应该区分网络位置；所有的访问控制都应该是最小权限且严格限制；所有的访问都应当被记录和跟踪。因此，本申请的零信任网络实现对信息安全进行防护，也属于一种点到点的防护策略，相比于上述相关技术中的传统安全模型，采用零信任网络的方法更加灵活和安全。

图3是根据本发明实施例的一种网络系统的示意图。如图3所示，该网络系统30可以包括：证书服务器31、访问授权管理系统32、多个处理设备33(图中采用33a、33b、…、33n来示出)以及访问者设备34。

在该实施例中，可以为网络系统30中的所有处理设备33安装网络驱动软件，然后为所有处理设备33及访问者设备34申请基于处理设备33的证书，并将所有证书与对应的处理设备33进行绑定，例如，绑定处理设备33的网卡，硬盘，中央处理器(CPU)等硬件关键信息。

在上述实施中，基于实际业务需求，可以为每个处理设备33和访问者设备34设置访问权限，包括处理设备与处理设备之间的访问权限，以及处理设备与访问者设备之间的访问权限，然后访问授权管理系统32根据业务需求对设备之间的权限进行一一设定。为了提高可用性和便捷性，可以设置权限模版，从而为访问授权管理系统32提供快速设定权限的功能。

在上述实施例中，若处理设备33a需要连接处理设备33b，则处理设备33a发起连接请求，处理设备33b收到连接请求，并检查连接请求携带的证书是否正确，若证书错误，则处理设备33a拒绝与处理设备33b连接，若证书检查通过，则处理设备33a连接访问授权管理系统32，确认处理设备33b是否有权限连接，如果处理设备33b有权限，则完成处理设备33a与处理设备33b之间的连接，否则无法完成处理设备33a与处理设备33b之间的连接。

在上述实施例中，若访问者设备34需要连接处理设备33，则访问者设备34发起连接请求，处理设备33收到连接请求，并检查连接请求携带的证书是否正确，若证书错误，则访问者设备34拒绝与处理设备33连接，若证书检查通过，则访问者设备34连接访问授权管理系统32，确认处理设备33是否有权限连接，如果处理设备33有权限，则完成访问者设备34与处理设备33之间的连接，否则无法完成访问者设备34与处理设备33之间的连接。

在上述实施例中，所有的处理设备33和访问者设备34都可以定时访问证书服务器31，获得证书更新信息和吊销列表信息，以便于处理设备33验证的证书为最新的证书，或者在证书被吊销后绑定另外的新的证书。

在上述实施例中，访问授权管理系统32可以记录所有设备之间的连接记录，以便于在后续过程中可以进行查验。

在上述实施例中，可以采用基于操作系统底层的网络驱动的方式来实现零信任网络架构。

需要说明的是，由于驱动程序(Device Driver，也可以称为设备驱动程序)是一种可以使计算机中央处理器(CPU)控制和使用设备的特殊程序，相当于硬件的接口，操作系统通过这个接口，控制硬件设备的工作。而网络驱动则指网卡的设备驱动程序，属于操作系统的底层，所有的上层应用程序需要使用网络的时候，都需要经过网络驱动层与外部进行通信。因此，该实施例中通过重写网络驱动，在通用的网络驱动功能之外增加零信任网络需要的证书检查、认证、更新等功能替换通用网络驱动，以实现零信任网络架构，从而实现更高效、部署实施运维更简单、成本更低的零信任网络架构，保障企业的信息安全。

图4是根据本发明实施例的一种网络系统的客户端的示意图。如图4所示，该网络系统的客户端40可以包括：系统升级管理模块41、系统配置管理模块42、网络驱动检测模块43、用户交互模块44、证书管理模块45以及权限管理模块46。

在该实施例中，可以在网络系统中安装零信任防护系统的客户端40，客户端40安装完成之后，可以根据使用者的情况注册证书，并将证书与处理设备的硬件关键信息进行绑定，已完成初始化和证书设定，用户在需要连接到任何指定的服务器的情况下，网络驱动监测模块43监测到网络连接，即启动证书检查和认证过程，在证书检查认证通过之后，网络操作可以继续进行，若证书检查失败，则服务器系统拒绝此网络连接。

在上述实施例中，所有设备之间的连接日志信息都可以上传至权限管理服务器中。

该实施例中的网络系统可以接管所有的服务器和客户端的网络连接，并在网络连接建立的时候，强制进行证书认证，确保访问者有系统访问权限，以保护系统安全，在证书认证通过之后，采用网络驱动实现服务器与客户端直接进行通信，无需经过第三方进行中转，由于上层应用无法感知到采用网络驱动实现服务器与客户端直接进行通信，从而上层应用无需做任何改动，对于上层应用使用的协议也没有任何限制，进而确保了网络访问资源不受限制。

实施例4

本发明实施例还提供了一种基于网络系统的安全控制装置。需要说明的是，该实施例的基于网络系统的安全控制装置可以用于执行本发明实施例的基于网络系统的安全控制方法。

图5是根据本发明实施例的一种基于网络系统的安全控制装置的示意图。如图5所示，该基于网络系统的安全控制装置50可以包括：接收单元51、验证单元52和确认单元53。

接收单元51，用于使任意一个处理设备接收到连接请求，其中，连接请求由其他处理设备或客户端设备作为发起设备发送。

验证单元52，用于使任意一个处理设备验证连接请求中携带的证书。

确认单元53，用于基于验证证书是否通过，使任意一个处理设备确认是否具有权限与发起设备建立连接。

该实施例的基于网络系统的安全控制装置，通过由网络系统中的处理设备或者客户端设备作为发起设备发送连接请求，然后由网络系统中未发送连接请求的一个处理设备来接收连接请求，并验证该连接请求中所携带的证书，当该证书验证通过时，未发送连接请求的一个处理设备确认具有权限与发起设备建立连接，当该证书未验证通过时，未发送连接请求的一个处理设备确认不具有权限与发起设备建立连接，从而通过强制进行证书认证，确保访问者有系统访问权限，以保护系统安全，进而解决了网络访问资源受限制的技术问题，达到了确保网络访问资源不受限制的技术效果。

实施例5

根据本发明实施例，还提供了一种计算机可读存储介质，该计算机可读存储介质包括存储的程序，其中，在程序运行时控制计算机可读存储介质所在设备执行本发明实施例2中的基于网络系统的安全控制方法。

实施例6

根据本发明实施例，还提供了一种处理器，该处理器用于运行程序，其中，在程序被处理器运行时执行本发明实施例2中的基于网络系统的安全控制方法。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

在本发明的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，可以为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。