專利名稱：使私有用戶標識和公共用戶標識相關聯(lián)的系統(tǒng)和方法
技術領域：
本發(fā)明大體上涉及數(shù)據(jù)網(wǎng)絡，更具體地，涉及在應用會話期間使公共用戶標識和 私有用戶標識相關聯(lián)的系統(tǒng)和方法。
背景技術：
公司的安全數(shù)據(jù)網(wǎng)絡是每天運行的公司商業(yè)活動的關鍵部分。公司雇員訪問用于 在公司內(nèi)部以及與外部世界通信的安全數(shù)據(jù)網(wǎng)絡。在通信期間交換公司信息(通常為私人 的或機密的)。通常，雇員使用諸如用戶名“Robert P. Williamson”或者雇員編號“NG01-60410” 的私有用戶標識通過網(wǎng)絡注冊過程而可以訪問公司的安全數(shù)據(jù)網(wǎng)絡?？苫谒接杏脩魳俗R 通過網(wǎng)絡事件日志來追蹤使用諸如電子郵件、文件傳送或文檔控制的公司辦公室應用的后 續(xù)信息交換。自從二十世紀九十年代后期，我們已經(jīng)見證了公共通信服務(例如，由Yahoo 、 America Online (AOL)、或Google 提供的電子郵件和即時消息、由Webex 或Centra 提 供的電話會議和協(xié)作服務、或者用于各種文件共享的對等服務)非?？焖俚仄占啊Ｍǔ?， 公共通信服務允許用戶使用公共用戶標識(例如，“butterdrag0n”、“fingernaill984”、或 "peterrabbit")來通過消息接發(fā)、文本聊天或者文檔交換來交換信息。然而，在公司設置中，當雇員利用公共用戶標識通過公司的安全數(shù)據(jù)網(wǎng)絡連接到 公共通信服務時，如果根本上由于公共用戶標識沒有綁定至私有用戶標識，則不容易追蹤 信息交換。在一個實例中，公司的信息技術(IT)部門注意到雇員維克托一直使用公司的電 子郵件系統(tǒng)來發(fā)送私人文檔，從而違反了公司的安全政策。在對維克托發(fā)出警告之后，IT 部門發(fā)現(xiàn)沒有進一步的違規(guī)。不幸地，他們沒有注意到維克托仍在使用具有公共用戶標識 "PiratesofCaribbeaniYahoo. com” 的 Yahoo 電子郵件繼續(xù)該行為。在另一實例中，在大型貿(mào)易展會之前的兩周，公司實施安全措施來監(jiān)控主管級及 以上級雇員的通信行為，以確保競爭信息的保密性。然而，由于在貿(mào)易展會之前向商業(yè)報告 員泄露了敏感信息，覆蓋公司電子郵件、電話對話和語音信息的安全手段經(jīng)證明無效?？赡?永遠不能確認泄漏的來源，但商業(yè)報告員私下披露了他從具有屏幕名稱“OpenSecret2006” 使用AOL Instant Messaging 的公司匿名雇員處獲得了信息。以上論述示出了對使公共用戶標識與私有用戶標識相關聯(lián)的解決方案的需要。
發(fā)明內(nèi)容
公開了一種用于使私有用戶標識和公共用戶標識相關聯(lián)的系統(tǒng)和方法。該系統(tǒng)包括主機、包含安全網(wǎng)關的網(wǎng)絡、和位于網(wǎng)絡外部的公共應用。在網(wǎng)絡和主機之間建立訪問會 話。經(jīng)由安全網(wǎng)關在公共應用和網(wǎng)絡之間建立應用會話，并且為其創(chuàng)建應用會話記錄。該應 用會話記錄包括用戶的公共用戶標識，用于訪問公共應用；以及用戶的私有用戶標識，用于 通過主機訪問網(wǎng)絡。該應用會話記錄進一步包括主機標識和應用會話時間。為了確定應用 會話的私有用戶標識，安全網(wǎng)關查詢訪問會話記錄存在于其上的身份服務器。然后，比較應 用中的主機標識和訪問會話記錄，以及比較訪問會話時間和應用會話時間。如果它們匹配， 則訪問會話記錄中的私有用戶標識被返回至安全網(wǎng)關，安全網(wǎng)關將其作為私有用戶標識存 儲在應用會話記錄中。
圖Ia示出了安全網(wǎng)絡。圖Ib示出了訪問會話和應用會話。圖Ic示出了訪問會話記錄和應用會話記錄。圖2示出了用于生成應用會話記錄的處理。圖3示出了用于識別應用會話的處理。圖如示出了用于確定應用會話的公共用戶標識的處理。圖4b示出了 AIM登錄包中的數(shù)據(jù)包。圖5示出了用于確定私有用戶標識的處理。
具體實施例方式圖Ia示出了安全網(wǎng)絡。安全網(wǎng)絡160包括主機130。用戶120使用主機130來訪問寄存(host)在應用服 務器190中的公共應用180。應用服務器190在安全網(wǎng)絡160外部。通過安全網(wǎng)關150來 傳遞主機130和應用服務器190之間的網(wǎng)絡流量。主機130是具有網(wǎng)絡訪問能力的計算裝置。在一個實施例中，主機130是工作站、 臺式個人計算機、或膝上型個人計算機。在一個實施例中，主機130是個人數(shù)字助理(PDA)、 智能電話、或蜂窩式電話。在一個實施例中，安全網(wǎng)絡160是互聯(lián)網(wǎng)協(xié)議(IP)網(wǎng)絡。在一個實施例中，安全 網(wǎng)絡160是企業(yè)數(shù)據(jù)網(wǎng)或區(qū)域企業(yè)數(shù)據(jù)網(wǎng)。在一個實施例中，安全網(wǎng)絡160是網(wǎng)絡服務提 供商網(wǎng)絡。在一個實施例中，安全網(wǎng)絡160是居民數(shù)據(jù)網(wǎng)。在一個實施例中，安全網(wǎng)絡160 包括諸如以太網(wǎng)的有線網(wǎng)絡。在一個實施例中，安全網(wǎng)絡160包括諸如WiFi網(wǎng)絡的無線網(wǎng)公共應用180提供允許用戶120與其他用戶以實時的方式進行通信的服務。在一 個實施例中，服務包括文本聊天。在一個實施例中，服務包括語音電話和視頻電話。在一個 實施例中，服務包括網(wǎng)絡游戲。在一個實施例中，服務包括交換文檔，例如，發(fā)送或接收文本 文檔、powerpoint展示、excel電子表格、圖像文件、音樂文件或者視頻片斷。在一個實例中，公共應用180提供America Online Instant Messenger 服務。在 一個實例中，公共應用180提供Yahoo Instant Messenger 語音服務。在一個實施例中， 公共應用180提供諸如Kazaa 文件共享服務的文件共享服務。在一個實施例中，公共應用180提供諸如Microsoft Network Game服務的網(wǎng)絡游戲服務。安全網(wǎng)關150被設置在安全網(wǎng)絡160的邊緣。安全網(wǎng)關150將安全網(wǎng)絡160連接 到公共應用180。安全網(wǎng)關150接收來自安全網(wǎng)絡160的網(wǎng)絡流量，并將該網(wǎng)絡流量傳輸?shù)?應用服務器190。同樣，安全網(wǎng)關150接收來自應用服務器190的網(wǎng)絡流量，并將該網(wǎng)絡流 量傳輸?shù)桨踩W(wǎng)絡160。在一個實施例中，安全網(wǎng)關150包括企業(yè)廣域網(wǎng)網(wǎng)關的功能。在一個實施例中，安 全網(wǎng)關150包括居民寬帶網(wǎng)關的功能。在一個實施例中，安全網(wǎng)關150包括用于互聯(lián)網(wǎng)服 務提供商的WAN網(wǎng)關的功能。圖Ib示出了訪問會話和應用會話。在訪問會話162期間，用戶120使用主機130來訪問安全網(wǎng)絡160。主機130具有主機標識134。主機130使用主機標識134連接到安全網(wǎng)絡160。在 一個實施例中，主機標識134包括IP地址。在一個實施例中，主機標識134包括介質(zhì)訪問 控制(MAC)地址。在安全網(wǎng)絡160中，用戶120具有私有用戶標識124。在一個實施例中，私有用戶 標識IM是雇員編號或者雇員姓名。在一個實施例中，私有用戶標識IM是互聯(lián)網(wǎng)服務訂 閱標識。在一個實施例中，在使用私有用戶標識1 對安全網(wǎng)絡160進行了成功的網(wǎng)絡用 戶登錄過程(例如，雇員網(wǎng)絡登錄)之后，建立訪問會話162。私有用戶標識IM與主機標 識Π4相關聯(lián)。用戶120使用主機130來訪問應用會話182中的公共應用180。在應用訪問182 期間，用戶120使用公共用戶標識127。在一個實施例中，在建立應用會話182之前，公共應 用180提示用戶120登錄。在應用用戶登錄過程期間，用戶120向公共應用180提供公共 用戶標識127。在另一實施例中，公共應用180為用戶120選擇公共用戶標識127用于應 用會話182。在一個實施例中，通過用戶注冊處理或者服務訂閱處理來設置公共用戶標識 127。通過安全網(wǎng)關150來傳遞應用會話182中的網(wǎng)絡流量。圖Ic示出了訪問會話記錄和應用會話記錄。訪問會話記錄164記錄關于訪問會話162的信息。該信息包括私有用戶標識124、 主機標識134和訪問會話時間166。在一個實施例中，訪問會話時間166是建立訪問會話 162的開始時間。在一個實施例中，訪問會話時間166包括開始時間和用戶120結(jié)束訪問會 話162的結(jié)束時間。應用會話記錄184記錄關于應用會話182的信息。該信息包括私有用戶標識124、 公共用戶標識127、和應用會話時間186。在一個實施例中，該信息還包括主機標識134。在 一個實施例中，應用會話時間186包括建立應用會話182的開始時間。在一個實施例中，應 用會話時間186包括在應用會話182期間的時間戳。在一個實施例中，應用會話時間186 包括安全網(wǎng)關150識別應用會話182的時間戳。圖2是出了用于生成應用會話記錄的處理。生成應用會話記錄184的處理包括多個步驟。在步驟201中，安全網(wǎng)關150識別應用會話。在步驟202中，安全網(wǎng)關150確定應用會話的公共用戶標識。在步驟203中，安全網(wǎng)關150使用關于應用會話的信息來確定私有用戶標識。
圖3至圖5分別示出了步驟201-203。圖3示出了用于識別應用會話的處理。安全網(wǎng)關150檢查主機130和應用服務器190之間的網(wǎng)絡流量，以識別用于公共 應用180的應用會話182。在一個實施例中，安全網(wǎng)關150檢查主機130和應用服務器190之間的數(shù)據(jù)包 339，以識別應用會話182。安全網(wǎng)關150包括用于公共應用180的應用標識符355。應用標識符355包括用 于識別應用會話182的信息。在一個實施例中，應用標識符355包括傳輸層信息，例如，傳 輸控制協(xié)議(TCP)或者用戶數(shù)據(jù)報協(xié)議(UDP)；以及至少一個傳輸端口號，例如，TCP端口 號或者UDP端口號。在一個實施例中，應用標識符355包括應用層信息，例如，一個或多個 數(shù)據(jù)濾波器，其中，一個數(shù)據(jù)濾波器指定數(shù)據(jù)包中的一個值和該值的位置。在一個實例中， 數(shù)據(jù)濾波器是[具有值“0x52”的字節(jié)0]。在一個實例中，數(shù)據(jù)濾波器是[具有ASCII值 “ADEH” 的字節(jié) 4-7]。安全網(wǎng)關150使數(shù)據(jù)包339與應用標識符355相匹配。在一個實施例中，應用標識符355包括傳輸協(xié)議類型TCP和目的TCP端口號5190， 該TCP端口號由AIM協(xié)議使用。在該實施例中，數(shù)據(jù)包339是從主機130到應用服務器190 的TCP包。安全網(wǎng)關150使數(shù)據(jù)包339與應用標識符355相匹配，并確定公共應用180提 供AIM服務。安全網(wǎng)關150創(chuàng)建應用會話記錄184。安全網(wǎng)關150從數(shù)據(jù)包339的IP報頭中提 取源IP地址，并將源IP地址存儲為主機標識134。在一個實施例中，數(shù)據(jù)包339包括諸如 源MAC地址的鏈路層信息；安全網(wǎng)關150提取源MAC地址并將其存儲為主機標識134。在一個實施例中，安全網(wǎng)關150連接到時鐘359。時鐘359指示每天的當前時刻。 安全網(wǎng)關150將由時鐘359指示的每天的時刻存儲到應用會話時間186中。圖如示出了用于確定應用會話182的公共用戶標識的處理。對于公共應用180來說，用于確定公共用戶標識127的方法通常是特定的。在一 個實施例中，數(shù)據(jù)包339是應用包。例如，公共應用180提供AIM服務；數(shù)據(jù)包339是AIM 包。AIM包包括多個字段，例如命令開始字段是具有固定十六進制值“0x02”的在偏移0個字節(jié)處開始的1字節(jié) 數(shù)據(jù)字段；信道ID字段是在偏移1個字節(jié)處開始的1字節(jié)數(shù)據(jù)字段；序號字段是在偏移2個字節(jié)處開始的2字節(jié)整數(shù)；數(shù)據(jù)字段長度字段是在偏移4個字節(jié)處開始的2字節(jié)數(shù)據(jù)字段；族字段是在偏移6個字節(jié)處開始的2字節(jié)數(shù)據(jù)字段；以及子類型字段為在偏移8個字節(jié)處開始的2字節(jié)數(shù)據(jù)字段。AIM登錄包為具有包括固定十六進制值“0x000x17”的族字段以及包括固定十六 進制值“0x000x06”的子類型字段的AIM包。AIM登錄包進一步包括伙伴名長度字段(其為在偏移19個字節(jié)處開始的1字節(jié)整 數(shù))和在偏移20個字節(jié)處開始的可變長度伙伴名字段?；锇槊L度字段表示伙伴名字段的字節(jié)長度。安全網(wǎng)關150對數(shù)據(jù)包339進行匹配，以確定數(shù)據(jù)包339是否是AIM登錄包。在一 個實施例中，數(shù)據(jù)包339為圖4b中示出的AIM登錄包400。安全網(wǎng)關150提取伙伴名長度 字段405。安全網(wǎng)關150進一步提取伙伴名字段407。在該實施例中，伙伴名長度字段405 為整數(shù)“13”，并且伙伴名字段407為“JohnSmithl984”。安全網(wǎng)關150將“ JohnSmithl984” 作為公共用戶標識IM存儲到應用會話記錄184中。在一個實施例中，數(shù)據(jù)包339不是AIM登錄包。安全網(wǎng)關150檢查來自主機130 的另一數(shù)據(jù)包。圖5示出了用于確定私有用戶標識的處理。安全網(wǎng)關160包括標識服務器570。標識服務器570包括訪問會話162的訪問會 話記錄164，在該訪問會話期間用戶120訪問應用會話182。安全網(wǎng)關150查詢標識服務器570。安全網(wǎng)關150將主機標識134和應用會話時 間186發(fā)送到標識服務器570。標識服務器570接收主機標識134和應用會話時間186。標識服務器570使主機 標識134和應用會話時間186與訪問會話記錄164匹配。標識服務器570確定主機標識 134與訪問會話記錄164的主機標識相匹配。在應用會話時間186在訪問會話記錄164的 開始時間和結(jié)束時間之間時，標識服務器570進一步確定應用會話時間186與訪問會話記 錄164的訪問會話時間166相匹配。作為對查詢的響應，標識服務器570將訪問會話記錄 164的私有用戶標識124發(fā)送到安全網(wǎng)關150。安全網(wǎng)關150接收來自標識服務器570的私有用戶標識124，并將私有用戶標識 124存儲到應用會話記錄184中。在一個實施例中，在從公共應用180中識別出公共用戶標識127的登錄通過表示 之后，安全網(wǎng)關150將公共用戶標識127存儲到應用會話記錄184中。在一個實施例中，在確定了公關用戶標識127之后，安全網(wǎng)關150立即查詢標識服 務器570。在一個實施例中，在應用會話182結(jié)束之后，安全網(wǎng)關150查詢標識服務器570。在一個實施例中，安全網(wǎng)關150通過以批請求(bulk request)發(fā)送多個主機標識 來查詢標識服務器570 ；并以批響應接收多個私有用戶標識。在一個實施例中，應用會話記錄184包括與私有用戶標識IM相關聯(lián)的其他用戶 信息，例如，臥室或辦公室號、臥室或辦公室位置、電話號碼、電子郵件地址、郵箱位置、部門 名稱/標識、或主管名字。在一個實施例中，安全網(wǎng)關150從標識服務器570處獲得其他用戶信息。在一個 實施例中，安全網(wǎng)關150通過查詢不同服務器(例如，企業(yè)目錄服務器)，通過使用從標識服 務器570處接收到的私有用戶標識IM來獲得其他用戶信息。在一個實施例中，安全網(wǎng)關150基于應用會話記錄184來生成安全報告。在一個 實施例中，安全網(wǎng)關150基于預定的私有用戶標識或者預定的私有用戶標識列表來生成安 全報告。在一個實施例中，安全網(wǎng)關150基于預定的時間表或當操作者請求時生成安全報 告。在一個實施例中，安全網(wǎng)關150基于企業(yè)安全策略來生成安全報告。在一個實施例中，公共應用180使用文件傳輸協(xié)議(FTP)協(xié)議或所有權協(xié)議來提 供文件傳輸服務。在一個實施例中，公共應用180使用簡單郵件傳輸協(xié)議(SMTP)、互聯(lián)網(wǎng)消息訪問協(xié)議(IMAP)、或郵局協(xié)議版本3(POP;3)協(xié)議來提供電子郵件服務。
作為示例和描述提供了本發(fā)明的上述實施例。其并不應理解為將本發(fā)明限定為所 描述的精確形式。具體地，可以想到，在本文所述的本發(fā)明的功能實現(xiàn)可以等同地以硬件、 軟件、固件、和/或其他可用的功能部件或構件塊來實施，并且網(wǎng)絡可以是有線的、無線的、 或者有線和無線網(wǎng)絡的結(jié)合。根據(jù)以上教示，其他改變或?qū)嵤├彩强梢缘?，因此，本發(fā)明 的范圍并不限于該詳細描述，而是由所附權利要求限定。
權利要求
1. 一種用于使用戶的私有用戶標識與所述用戶的公共用戶標識相關聯(lián)的方法，包括以 下步驟(a)識別經(jīng)由網(wǎng)關的在網(wǎng)絡和公共應用之間的應用會話，其中，所述公共應用位于所述 網(wǎng)絡外部；(b)創(chuàng)建用于所述應用會話的應用會話記錄，其中，所述應用會話記錄包括用于訪問所 述公共應用的所述公共用戶標識、用于通過主機訪問所述網(wǎng)絡的所述私有用戶標識、用于 所述主機的主機標識、和應用會話時間；以及(c)基于所述公共應用確定所述公共用戶標識。
全文摘要
本發(fā)明涉及使用戶的私有用戶標識和公共用戶標識相關聯(lián)的系統(tǒng)和方法，該方法包括以下步驟(a)識別經(jīng)由網(wǎng)關的在網(wǎng)絡和公共應用之間的應用會話，其中，所述公共應用位于所述網(wǎng)絡外部；(b)創(chuàng)建用于所述應用會話的應用會話記錄，其中，所述應用會話記錄包括用于訪問所述公共應用的所述公共用戶標識、用于通過主機訪問所述網(wǎng)絡的所述私有用戶標識、用于所述主機的主機標識、和應用會話時間；以及(c)基于所述公共應用確定所述公共用戶標識。
文檔編號H04L29/06GK102123156SQ20111006830
公開日2011年7月13日 申請日期2007年9月21日 優(yōu)先權日2006年10月17日
發(fā)明者常約翰, 汪昕, 陳澧 申請人:瑞科網(wǎng)信科技有限公司