中移杭州联合中国移动获域名白名单安全管控专利

近日，中移信息技术有限公司与中国移动通信集团共同取得一项发明专利授权——基于域名白名单的用户安全管控方法、系统及电子设备。该专利从运营商网络侧落地域名白名单管控能力，区别于终端本地软件防护，可在通信网络层面对用户域名访问行为进行识别、放行与拦截，为家庭宽带、移动终端、行业专网提供一套底层网络安全管控方案，补齐运营商在DNS访问管控上的技术能力矩阵。

一、传统黑白名单防护模式的现实短板

当前网络安全防护中，黑名单机制应用广泛，通过收录恶意钓鱼、诈骗、木马C2域名实现拦截。但黑名单属于事后防御，面对攻击者“快速注册‑短期使用‑随即注销”的一次性恶意域名，经常出现滞后问题，新产生的风险域名无法第一时间拦截。

而普通终端层面的白名单方案，大多依靠手机、路由器本地软件实现，容易被用户绕过关闭，也受终端性能、系统权限限制。对于运营商而言，海量宽带用户、物联网终端分散，很难依靠终端统一执行访问策略。同时HTTPS加密流量普及，传统URL过滤手段失效，仅靠上层应用管控，难以覆盖全部网络访问请求。

在此背景下，运营商网络侧的域名白名单管控技术，成为解决上述痛点的重要路径。该专利方案将管控能力部署在运营商网络节点，不依赖终端软件，从传输链路实现访问控制。

二、专利核心技术：网络侧域名白名单管控逻辑

这套专利方案核心是在运营商网络中搭建域名白名单管控系统，包含管控模块、白名单库、DNS解析处理单元、流量识别单元以及对应的电子设备硬件载体。

系统会维护分级域名白名单列表，存储经过核验的可信域名集合。当用户终端发起域名访问请求，运营商网络抓取DNS报文与SNI字段，提取目标域名，与白名单库进行匹配校验。匹配成功的可信域名，正常放行解析与网络访问；不在白名单内的域名，可根据策略执行拦截、告警或者重定向提示。

专利支持白名单动态迭代更新，运营商后台可以批量新增、删除、修改可信域名条目，策略可以实时下发至网络节点，无需用户手动操作终端设备。同时可针对不同用户、不同账号、不同终端执行差异化白名单策略，实现一人一策、分组管控，兼顾普通个人用户、未成年人上网、行业物联网设备等多场景需求。

整套管控运行于运营商核心网络，不依赖终端安装APP，用户无法自行关闭安全策略，解决终端防护容易被规避的问题，同时兼容加密HTTPS流量，摆脱对明文URL的依赖。

三、多元落地场景，覆盖个人与政企双重需求

该专利技术具备广阔的落地空间，可适配多种业务场景。

面向家庭宽带与个人用户，可用于青少年上网保护，开启白名单模式后，仅允许访问经过审核的教育、正规资讯类域名，隔绝不良网站，强化防沉迷能力，作为移动家庭安全管家底层技术支撑之一。

面向行业专网、物联网终端场景，大量物联网设备不需要访问公网全部站点，仅需要对接指定业务服务器域名。启用域名白名单之后，物联网终端仅可访问业务必需域名，阻断设备向外连接恶意服务器的通道，防范设备被劫持、僵尸网络入侵风险，提升物联网整体安全基线。

在政企客户场景，可以为专线用户提供网络层访问管控，替代部分终端防火墙能力，实现低成本的网络边界防护。同时系统还具备日志留存能力，记录域名访问行为，便于安全事件溯源排查。

四、与传统DNS拦截相比的优势与边界

域名白名单属于“最小权限”安全思路，和黑名单“只拦坏域名”逻辑相反，白名单是“只放可信域名”，安全强度更高，但也存在使用边界。

白名单模式适合高安全要求场景，如物联网设备、未成年人严格管控环境；如果直接对全部普通互联网用户强制全开白名单，会造成大量正常网站无法访问。因此专利设计灵活策略开关，支持按需开启，兼顾网络可用性与安全性。

该专利属于网络层管控工具，不是取代终端杀毒、应用层审核，而是作为防护能力的补充，形成“终端+网络”的双层防护体系。