專利名稱：內(nèi)聯(lián)網(wǎng)計(jì)算機(jī)與因特網(wǎng)未授權(quán)連接監(jiān)測(cè)系統(tǒng)及方法
技術(shù)領(lǐng)域：
本發(fā)明涉及計(jì)算機(jī)網(wǎng)絡(luò)安全領(lǐng)域，具體地說，是在一個(gè)要求與因特網(wǎng)隔離的內(nèi)聯(lián)網(wǎng)上監(jiān)測(cè)內(nèi)聯(lián)網(wǎng)上是否有計(jì)算機(jī)與因特網(wǎng)進(jìn)行未授權(quán)連接的系統(tǒng)。此外，本發(fā)明還公開了其監(jiān)測(cè)方法。
2、在網(wǎng)絡(luò)的邊界安裝防火墻等訪問控制設(shè)備。防火墻的作用是設(shè)置一定的訪問權(quán)限，只有訪問權(quán)限之內(nèi)的用戶才能夠通過防火墻進(jìn)行訪問，如果不在訪問權(quán)限之內(nèi)，就被防火墻擋住。
這兩種方法的缺點(diǎn)是內(nèi)聯(lián)網(wǎng)用戶可能通過調(diào)制解調(diào)器撥號(hào)等方法直接連入因特網(wǎng)，來破壞內(nèi)聯(lián)網(wǎng)與因特網(wǎng)物理隔絕性，或避開訪問控制的權(quán)限要求。如

圖1所示。正常的內(nèi)聯(lián)網(wǎng)是使用防火墻作為訪問控制設(shè)備來控制局域網(wǎng)內(nèi)機(jī)器與不受信任的廣域網(wǎng)上的機(jī)器的通訊，所有進(jìn)出局域網(wǎng)的通訊都需要等到防火墻的授權(quán)。防火墻保證了局域網(wǎng)免受來自廣域網(wǎng)的攻擊，保護(hù)內(nèi)聯(lián)網(wǎng)內(nèi)的中重要服務(wù)的正常運(yùn)行，防止機(jī)密數(shù)據(jù)被泄漏。圖1右側(cè)線路下面的器件就是一個(gè)防火墻，圖1底下的一排線路是內(nèi)聯(lián)網(wǎng)及網(wǎng)上的用戶，上面的結(jié)構(gòu)表示因特網(wǎng)，防火墻上面的是一個(gè)路由器，圖1左側(cè)表示一臺(tái)內(nèi)聯(lián)網(wǎng)的計(jì)算機(jī)通過一臺(tái)調(diào)制解調(diào)器撥號(hào)直接接入因特網(wǎng)，這時(shí)，因特網(wǎng)通過該計(jì)算機(jī)與內(nèi)聯(lián)網(wǎng)的通訊將沒有任何訪問控制機(jī)制，防火墻就失去了其應(yīng)有的作用。因特網(wǎng)上可以發(fā)起對(duì)該計(jì)算機(jī)的攻擊，如果攻擊成功，還可以進(jìn)一步對(duì)整個(gè)內(nèi)聯(lián)網(wǎng)進(jìn)行攻擊。
為了監(jiān)測(cè)和防止這種違反安全策略直接與因特網(wǎng)相連的情況出現(xiàn)，采用的方式一般有兩種方式一是在集團(tuán)的電話程控交換機(jī)上禁止因特網(wǎng)服務(wù)提供商的撥入電話號(hào)碼，這種方法的缺點(diǎn)是因特網(wǎng)服務(wù)提供商是在不斷變化的，其電話號(hào)碼也可能不斷變化，不大可能禁止所有的因特網(wǎng)服務(wù)提供商撥入電話號(hào)碼。加上隨著技術(shù)的發(fā)展，現(xiàn)在接入因特網(wǎng)方法越來越多，可以使用無線上網(wǎng)卡或手機(jī)上網(wǎng)的方式，集團(tuán)的電話程控交換機(jī)就無能為力了。
另一種方法是使用一臺(tái)計(jì)算機(jī)控制調(diào)制解調(diào)器給所有懷疑的集團(tuán)電話撥號(hào)，根據(jù)被撥號(hào)電話的反應(yīng)來判斷該電話是否被用于進(jìn)行撥號(hào)。這種方法的缺點(diǎn)除了上述的接入因特網(wǎng)的方法不一定使用集團(tuán)的電話外，還會(huì)影響對(duì)被探測(cè)電話的使用者。根據(jù)檢索結(jié)果，還未見有使用網(wǎng)絡(luò)方法來監(jiān)測(cè)內(nèi)聯(lián)網(wǎng)上計(jì)算機(jī)直接與因特網(wǎng)相連的產(chǎn)品、設(shè)備和方法。
為實(shí)現(xiàn)上述目的，本發(fā)明的解決方案是一種內(nèi)聯(lián)網(wǎng)計(jì)算機(jī)與因特網(wǎng)未授權(quán)連接監(jiān)測(cè)系統(tǒng)，它包括在與因特網(wǎng)隔離的支持TCP/IP協(xié)議的內(nèi)聯(lián)網(wǎng)中設(shè)置的內(nèi)網(wǎng)服務(wù)器，用于發(fā)送欺騙的探測(cè)網(wǎng)絡(luò)數(shù)據(jù)到內(nèi)聯(lián)網(wǎng)內(nèi)的目標(biāo)計(jì)算機(jī)；連接在因特網(wǎng)上的外網(wǎng)服務(wù)器，用于接收目標(biāo)計(jì)算機(jī)對(duì)探測(cè)網(wǎng)絡(luò)數(shù)據(jù)的應(yīng)答，根據(jù)是否收到應(yīng)答來判斷被監(jiān)測(cè)的目標(biāo)計(jì)算機(jī)是否接入因特網(wǎng)或與因特網(wǎng)斷開。
其中，探測(cè)網(wǎng)絡(luò)數(shù)據(jù)其IP幀頭中，源IP地址使用外網(wǎng)服務(wù)器綁定的IP地址，目的IP地址為內(nèi)聯(lián)網(wǎng)內(nèi)目標(biāo)計(jì)算機(jī)的IP地址。
本發(fā)明的內(nèi)聯(lián)網(wǎng)計(jì)算機(jī)與因特網(wǎng)未授權(quán)連接監(jiān)測(cè)方法包括a、內(nèi)網(wǎng)服務(wù)器連接于內(nèi)聯(lián)網(wǎng)，外網(wǎng)服務(wù)器綁定于與因特網(wǎng)相連的一個(gè)IP地址，事先獲取內(nèi)網(wǎng)服務(wù)器的MAC地址和外網(wǎng)服務(wù)器綁定的IP地址；b、內(nèi)網(wǎng)服務(wù)器按獲取的上述配置信息偽造探測(cè)網(wǎng)絡(luò)數(shù)據(jù)；c、內(nèi)網(wǎng)服務(wù)器向目標(biāo)計(jì)算機(jī)發(fā)送上述探測(cè)網(wǎng)絡(luò)數(shù)據(jù)；d、外網(wǎng)服務(wù)器根據(jù)返回的探測(cè)網(wǎng)絡(luò)數(shù)據(jù)的應(yīng)答數(shù)據(jù)來判斷目標(biāo)計(jì)算機(jī)是否直接與因特網(wǎng)相連外網(wǎng)服務(wù)器如果收不到任何應(yīng)答數(shù)據(jù)則表示該計(jì)算機(jī)沒有直接與因特網(wǎng)相連；如果收到應(yīng)答數(shù)據(jù)，則判斷是否是通過授權(quán)的路由進(jìn)行應(yīng)答，如果是，則該計(jì)算機(jī)沒有與因特網(wǎng)相連，如果不是，則可斷定其與因特網(wǎng)相連。
由于本發(fā)明中，內(nèi)網(wǎng)服務(wù)器向目標(biāo)計(jì)算機(jī)發(fā)送的是偽造的探測(cè)網(wǎng)絡(luò)數(shù)據(jù)，其IP幀頭中，源地址不是內(nèi)網(wǎng)服務(wù)器發(fā)送網(wǎng)絡(luò)接口上的IP地址，而是外網(wǎng)服務(wù)器綁定的IP地址，這對(duì)于內(nèi)聯(lián)網(wǎng)來說是一個(gè)外部地址，目標(biāo)計(jì)算機(jī)如果正在接入因特網(wǎng)，該計(jì)算機(jī)就至少有兩個(gè)網(wǎng)絡(luò)接口，根據(jù)RFC的要求，對(duì)這個(gè)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行應(yīng)答時(shí)，將選擇接入因特網(wǎng)的那個(gè)接口進(jìn)行應(yīng)答，從而該應(yīng)答暴露了其正在接入因特網(wǎng)?；蛘哒f，由于本發(fā)明使用網(wǎng)絡(luò)的方法來監(jiān)測(cè)被懷疑的目標(biāo)計(jì)算機(jī)，使用網(wǎng)絡(luò)的方法使得不論被探測(cè)的目標(biāo)計(jì)算機(jī)使用何種接入方式都可以準(zhǔn)確地得知是否與已接入因特網(wǎng)，不管被探測(cè)的計(jì)算機(jī)是使用集團(tuán)電話、手機(jī)、無線上網(wǎng)卡還是使用另一個(gè)網(wǎng)卡接入因特網(wǎng)，都能被網(wǎng)絡(luò)發(fā)現(xiàn)，達(dá)到了實(shí)時(shí)探測(cè)出被監(jiān)控網(wǎng)段上所有存在未授權(quán)外聯(lián)的計(jì)算機(jī)的IP地址的效果。另外，本發(fā)明不用增加額外的硬件配置。
圖2是系統(tǒng)應(yīng)用網(wǎng)絡(luò)結(jié)構(gòu)示意圖。
圖3為偽造的IP幀結(jié)構(gòu)圖。
圖4為本發(fā)明的方法流程圖。
其監(jiān)測(cè)流程如圖4所示，具體如下(1)外網(wǎng)服務(wù)器綁定于與因特網(wǎng)相連的一個(gè)IP地址，事先獲取內(nèi)網(wǎng)服務(wù)器的MAC地址和外網(wǎng)服務(wù)器綁定的IP地址。這些都是必要的配置信息。
(2)內(nèi)網(wǎng)服務(wù)器按上述配置信息偽造探測(cè)網(wǎng)絡(luò)數(shù)據(jù)。圖3為偽造的探測(cè)網(wǎng)絡(luò)數(shù)據(jù)幀結(jié)構(gòu)。正常的數(shù)據(jù)幀結(jié)構(gòu)包括IP報(bào)頭、TCP報(bào)頭兩部分，IP報(bào)頭又包括4位版本號(hào)、4位報(bào)頭長度、8位服務(wù)類型、16位總長度、16位標(biāo)識(shí)等等，TCP報(bào)頭有包括6位源端口、16位目的端口、32位序列號(hào)等等，如圖3所示。偽造的探測(cè)網(wǎng)絡(luò)數(shù)據(jù)幀結(jié)構(gòu)與正常的數(shù)據(jù)幀結(jié)構(gòu)的區(qū)別僅在于其IP報(bào)頭中，源地址不是內(nèi)網(wǎng)服務(wù)器發(fā)送網(wǎng)絡(luò)接口上的IP地址，而是(1)中獲取的外網(wǎng)服務(wù)器綁定的IP地址，目的IP地址為內(nèi)聯(lián)網(wǎng)內(nèi)目標(biāo)計(jì)算機(jī)的IP地址。該探測(cè)網(wǎng)絡(luò)數(shù)據(jù)為IP協(xié)議數(shù)據(jù)，封裝在以太協(xié)議中。在該幀結(jié)構(gòu)中，以太幀頭都是正常的，其中源MAC地址，是使用發(fā)送網(wǎng)絡(luò)接口的MAC地址，而目的MAC地址則根據(jù)RFC的規(guī)定，如果是在同一子網(wǎng)中，則直接使用目標(biāo)計(jì)算機(jī)網(wǎng)絡(luò)接口的MAC地址，如果不再同一子網(wǎng)中，則使用默認(rèn)路由器的MAC地址，再由路由器中轉(zhuǎn)繼續(xù)往下找目的計(jì)算機(jī)。關(guān)于MAC地址這一部分在圖3中未示，但與一般的幀結(jié)構(gòu)沒有區(qū)別。這樣，當(dāng)內(nèi)網(wǎng)服務(wù)器向目標(biāo)計(jì)算機(jī)發(fā)送探測(cè)網(wǎng)絡(luò)數(shù)據(jù)時(shí)，就能夠按MAC地址找到目標(biāo)計(jì)算機(jī)。但目標(biāo)計(jì)算機(jī)應(yīng)答時(shí)是按IP幀頭的源地址應(yīng)答，而源地址不是內(nèi)網(wǎng)服務(wù)器發(fā)送網(wǎng)絡(luò)接口上的IP地址，而是外網(wǎng)服務(wù)器綁定的IP地址，這對(duì)于內(nèi)聯(lián)網(wǎng)來說是一個(gè)外部地址，目標(biāo)計(jì)算機(jī)如果正在接入因特網(wǎng)，該計(jì)算機(jī)就至少有兩個(gè)網(wǎng)絡(luò)接口，根據(jù)RFC的要求，對(duì)這個(gè)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行應(yīng)答時(shí)，將選擇接入因特網(wǎng)的那個(gè)接口進(jìn)行應(yīng)答，從而該應(yīng)答暴露了其正在接入因特網(wǎng)。
(3)內(nèi)網(wǎng)服務(wù)器向目標(biāo)計(jì)算機(jī)發(fā)送上述探測(cè)網(wǎng)絡(luò)數(shù)據(jù)，使用發(fā)送原始包的方法來發(fā)送就可以。
(4)發(fā)送正常的網(wǎng)絡(luò)數(shù)據(jù)，被探測(cè)的目標(biāo)計(jì)算機(jī)的應(yīng)答都是正常的，應(yīng)答數(shù)據(jù)不會(huì)含有其是否正在接入因特網(wǎng)的任何信息。因發(fā)送的是偽造探測(cè)網(wǎng)絡(luò)數(shù)據(jù)，如果是正常的計(jì)算機(jī)，其應(yīng)答數(shù)據(jù)將通過防火墻和路由器到達(dá)外網(wǎng)服務(wù)器，或被防火墻拒絕通過，在該網(wǎng)絡(luò)是物理隔絕的情況下，應(yīng)答數(shù)據(jù)被網(wǎng)絡(luò)丟棄；如果目標(biāo)計(jì)算機(jī)正在接入因特網(wǎng)，該計(jì)算機(jī)有兩個(gè)網(wǎng)絡(luò)接口，將選擇接入因特網(wǎng)的那個(gè)接口進(jìn)行應(yīng)答。這樣，外網(wǎng)服務(wù)器就可以根據(jù)返回的探測(cè)網(wǎng)絡(luò)數(shù)據(jù)的應(yīng)答數(shù)據(jù)來判斷目標(biāo)計(jì)算機(jī)是否直接與因特網(wǎng)相連外網(wǎng)服務(wù)器如果收不到任何應(yīng)答數(shù)據(jù)則表示該計(jì)算機(jī)沒有直接與因特網(wǎng)相連；如果收到應(yīng)答數(shù)據(jù)，則判斷是否是通過授權(quán)的路由進(jìn)行應(yīng)答，如果是，則該計(jì)算機(jī)沒有與因特網(wǎng)相連，如果不是，則可斷定其與因特網(wǎng)相連。
另外，還可以在監(jiān)測(cè)到內(nèi)聯(lián)網(wǎng)的計(jì)算機(jī)與因特網(wǎng)未授權(quán)連接的情況下，記錄下開始連接和結(jié)束連接的時(shí)間。并對(duì)探測(cè)到的未授權(quán)外聯(lián)的信息進(jìn)行統(tǒng)計(jì)分析，總結(jié)出未授權(quán)外聯(lián)發(fā)生的時(shí)間分布規(guī)律和IP分布規(guī)律，對(duì)企業(yè)的管理提供事實(shí)上的依據(jù)。
本發(fā)明對(duì)內(nèi)網(wǎng)服務(wù)器和外網(wǎng)服務(wù)器的要求是內(nèi)網(wǎng)服務(wù)器采用可以發(fā)送原始TCP/IP數(shù)據(jù)的服務(wù)器，只有可以發(fā)送原始TCP/IP數(shù)據(jù)的服務(wù)器才能夠任意修改網(wǎng)絡(luò)數(shù)據(jù)的IP報(bào)頭中的源地址；外網(wǎng)服務(wù)器采用可以接收原始TCP/IP數(shù)據(jù)的服務(wù)器，只有這種服務(wù)器才能接收任意修改的網(wǎng)絡(luò)數(shù)據(jù)IP報(bào)頭中的源地址。內(nèi)網(wǎng)服務(wù)器和外網(wǎng)服務(wù)器可以安裝在同一臺(tái)物理計(jì)算機(jī)上，或是不同的物理計(jì)算機(jī)上。
權(quán)利要求
1.一種內(nèi)聯(lián)網(wǎng)計(jì)算機(jī)與因特網(wǎng)未授權(quán)連接監(jiān)測(cè)系統(tǒng)，它包括在與因特網(wǎng)隔離的支持TCP/IP協(xié)議的內(nèi)聯(lián)網(wǎng)中設(shè)置的內(nèi)網(wǎng)服務(wù)器，用于發(fā)送欺騙的探測(cè)網(wǎng)絡(luò)數(shù)據(jù)到內(nèi)聯(lián)網(wǎng)內(nèi)的目標(biāo)計(jì)算機(jī)；連接在因特網(wǎng)上的外網(wǎng)服務(wù)器，用于接收目標(biāo)計(jì)算機(jī)對(duì)探測(cè)網(wǎng)絡(luò)數(shù)據(jù)的應(yīng)答，根據(jù)是否收到應(yīng)答來判斷被監(jiān)測(cè)的目標(biāo)計(jì)算機(jī)是否接入因特網(wǎng)或與因特網(wǎng)斷開。
2.如權(quán)利要求1所述的內(nèi)聯(lián)網(wǎng)計(jì)算機(jī)與因特網(wǎng)未授權(quán)連接監(jiān)測(cè)系統(tǒng)，其特征在于所述的探測(cè)網(wǎng)絡(luò)數(shù)據(jù)是這樣的結(jié)構(gòu)在其IP幀頭中，源IP地址使用外網(wǎng)服務(wù)器綁定的IP地址，目的IP地址為內(nèi)聯(lián)網(wǎng)內(nèi)目標(biāo)計(jì)算機(jī)的IP地址。
3.如權(quán)利要求1或2所述的內(nèi)聯(lián)網(wǎng)計(jì)算機(jī)與因特網(wǎng)未授權(quán)連接監(jiān)測(cè)系統(tǒng)，其特征在于內(nèi)網(wǎng)服務(wù)器可連在內(nèi)聯(lián)網(wǎng)的任意位置。
4.如權(quán)利要求1或2所述的內(nèi)聯(lián)網(wǎng)計(jì)算機(jī)與因特網(wǎng)未授權(quán)連接監(jiān)測(cè)系統(tǒng)，其特征在于內(nèi)網(wǎng)服務(wù)器采用可以發(fā)送原始TCP/IP數(shù)據(jù)的服務(wù)器。
5.如權(quán)利要求1或2所述的內(nèi)聯(lián)網(wǎng)計(jì)算機(jī)與因特網(wǎng)未授權(quán)連接監(jiān)測(cè)系統(tǒng)，其特征在于外網(wǎng)服務(wù)器采用可以接收原始TCP/IP數(shù)據(jù)的服務(wù)器。
6.如權(quán)利要求1或2所述的內(nèi)聯(lián)網(wǎng)計(jì)算機(jī)與因特網(wǎng)未授權(quán)連接監(jiān)測(cè)系統(tǒng)，其特征在于內(nèi)網(wǎng)服務(wù)器和外網(wǎng)服務(wù)器可以安裝在同一臺(tái)物理計(jì)算機(jī)上，或是不同的物理計(jì)算機(jī)上。
7.一種內(nèi)聯(lián)網(wǎng)計(jì)算機(jī)與因特網(wǎng)未授權(quán)連接監(jiān)測(cè)方法，它包括a、內(nèi)網(wǎng)服務(wù)器連接于內(nèi)聯(lián)網(wǎng)，外網(wǎng)服務(wù)器綁定于與因特網(wǎng)相連的一個(gè)IP地址，事先獲取內(nèi)網(wǎng)服務(wù)器的MAC地址和外網(wǎng)服務(wù)器綁定的IP地址；b、內(nèi)網(wǎng)服務(wù)器按獲取的上述配置信息偽造探測(cè)網(wǎng)絡(luò)數(shù)據(jù)；c、內(nèi)網(wǎng)服務(wù)器向目標(biāo)計(jì)算機(jī)發(fā)送上述探測(cè)網(wǎng)絡(luò)數(shù)據(jù)；d、外網(wǎng)服務(wù)器根據(jù)返回的探測(cè)網(wǎng)絡(luò)數(shù)據(jù)的應(yīng)答數(shù)據(jù)來判斷目標(biāo)計(jì)算機(jī)是否直接與因特網(wǎng)相連外網(wǎng)服務(wù)器如果收不到任何應(yīng)答數(shù)據(jù)則表示該計(jì)算機(jī)沒有直接與因特網(wǎng)相連；如果收到應(yīng)答數(shù)據(jù)，則判斷是否是通過授權(quán)的路由進(jìn)行應(yīng)答，如果是，則該計(jì)算機(jī)沒有與因特網(wǎng)相連，如果不是，則可斷定其與因特網(wǎng)相連。
8.如權(quán)利要求7所述的內(nèi)聯(lián)網(wǎng)計(jì)算機(jī)與因特網(wǎng)未授權(quán)連接監(jiān)測(cè)方法，其特征在于在步驟b中，采用如下方法偽造探測(cè)網(wǎng)絡(luò)數(shù)據(jù)在IP幀頭中，源IP地址使用外網(wǎng)服務(wù)器綁定的IP地址，目的IP地址為內(nèi)聯(lián)網(wǎng)內(nèi)目標(biāo)計(jì)算機(jī)的IP地址；探測(cè)網(wǎng)絡(luò)數(shù)據(jù)封裝在以太協(xié)議中，其以太幀頭是正常的，其中源MAC地址，是使用內(nèi)網(wǎng)服務(wù)器發(fā)送網(wǎng)絡(luò)接口的MAC地址，而目的MAC地址如果是在同一子網(wǎng)中，則直接使用目標(biāo)計(jì)算機(jī)網(wǎng)絡(luò)接口的MAC地址，如果不再同一子網(wǎng)中，則使用默認(rèn)路由器的MAC地址。
9.如權(quán)利要求7所述的內(nèi)聯(lián)網(wǎng)計(jì)算機(jī)與因特網(wǎng)未授權(quán)連接監(jiān)測(cè)方法，其特征在于在步驟c中，內(nèi)網(wǎng)服務(wù)器使用發(fā)送原始包的方法發(fā)送上述探測(cè)網(wǎng)絡(luò)數(shù)據(jù)包。
全文摘要
一種內(nèi)聯(lián)網(wǎng)計(jì)算機(jī)與因特網(wǎng)未授權(quán)連接監(jiān)測(cè)系統(tǒng),它包括:在與因特網(wǎng)隔離的支持TCP/IP協(xié)議的內(nèi)聯(lián)網(wǎng)中設(shè)置的內(nèi)網(wǎng)服務(wù)器,用于發(fā)送欺騙的探測(cè)網(wǎng)絡(luò)數(shù)據(jù)到內(nèi)聯(lián)網(wǎng)內(nèi)的目標(biāo)計(jì)算機(jī);連接在因特網(wǎng)上的外網(wǎng)服務(wù)器,用于接收目標(biāo)計(jì)算機(jī)對(duì)探測(cè)網(wǎng)絡(luò)數(shù)據(jù)的應(yīng)答,根據(jù)是否收到應(yīng)答來判斷被監(jiān)測(cè)的目標(biāo)計(jì)算機(jī)是否接入因特網(wǎng)或與因特網(wǎng)斷開。它能夠達(dá)到無論內(nèi)聯(lián)網(wǎng)計(jì)算機(jī)通過哪一種方式接入因特網(wǎng),都能被網(wǎng)絡(luò)發(fā)現(xiàn),實(shí)時(shí)探測(cè)出被監(jiān)控網(wǎng)段上所有存在未授權(quán)外聯(lián)的計(jì)算機(jī)的IP地址的效果。
文檔編號(hào)G06F11/08GK1367434SQ02104288
公開日2002年9月4日 申請(qǐng)日期2002年3月4日 優(yōu)先權(quán)日2002年3月4日
發(fā)明者高云, 徐征然, 付念東, 趙海峰, 姚志武, 盧曉山, 吳海波, 孔志奎 申請(qǐng)人:北京啟明星辰信息技術(shù)有限公司