[發(fā)明專利]網(wǎng)絡(luò)安全管理方法及其系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 200710074050.4
• 申請(qǐng)日: 2007-04-16
• 公開（公告）號(hào): CN101291244A
• 公開（公告）日: 2008-10-22
• 發(fā)明（設(shè)計(jì)）人: 王銀珠
• 申請(qǐng)（專利權(quán)）人: 深圳市維信聯(lián)合科技有限公司
• 主分類號(hào): H04L12/24
• 分類號(hào): H04L12/24;H04L9/00;H04L9/08;H04L29/06;H04L12/46;H04L9/32;H04L12/28
• 代理公司: 深圳市維邦知識(shí)產(chǎn)權(quán)事務(wù)所
• 代理人: 黃莉

技術(shù)領(lǐng)域

本發(fā)明涉及一種網(wǎng)絡(luò)安全管理方法及其系統(tǒng)，尤其涉及一種基于本地?cái)?shù)據(jù)加密與傳輸加密實(shí)現(xiàn)安全網(wǎng)絡(luò)的管理系統(tǒng)及其方法。

背景技術(shù)

隨著科學(xué)技術(shù)的發(fā)展，網(wǎng)絡(luò)科技日新月異，辦公自動(dòng)化及互聯(lián)網(wǎng)絡(luò)的應(yīng)用越來越普及，企業(yè)或單位之間通過互聯(lián)網(wǎng)絡(luò)相互傳遞信息，企業(yè)或單位內(nèi)部通過局域網(wǎng)相互傳遞信息，因此，網(wǎng)絡(luò)信息安全問題至關(guān)重要。

目前，廣泛應(yīng)用的防火墻、IDS、內(nèi)外網(wǎng)隔離以及其它針對(duì)外部網(wǎng)絡(luò)的訪問控制系統(tǒng)，可有效防范來自網(wǎng)絡(luò)外部的攻擊，但對(duì)于網(wǎng)絡(luò)內(nèi)部的信息保密問題，卻一直沒有好的防范方法。

中國(guó)第200510040385.5號(hào)專利申請(qǐng)揭示了一種網(wǎng)絡(luò)行為管理方法與系統(tǒng)，其基于網(wǎng)絡(luò)內(nèi)部信息資源的保密安全，采用客戶端/服務(wù)端c/s管理結(jié)構(gòu)對(duì)網(wǎng)絡(luò)內(nèi)部進(jìn)行全面監(jiān)控，c/s管理結(jié)構(gòu)包括客戶端、服務(wù)端和數(shù)據(jù)庫；通過密碼設(shè)定使授權(quán)訪問限于服務(wù)端程序，并將重要信息存入數(shù)據(jù)庫；服務(wù)端程序包括全方位監(jiān)控技術(shù)與集中管理方式，來控制和管理網(wǎng)絡(luò)內(nèi)部計(jì)算機(jī)的各種事件，通過客戶端程序來記錄計(jì)算機(jī)各種操作，并反饋給服務(wù)端程序。這種方式對(duì)網(wǎng)絡(luò)傳輸和本地?cái)?shù)據(jù)均未加密，系統(tǒng)仍然可以與外部網(wǎng)絡(luò)通信，且對(duì)在硬盤上的數(shù)據(jù)的保護(hù)仍然不夠安全，如果硬盤獨(dú)立出主機(jī)，可以很輕易獲取硬盤上數(shù)據(jù)，并未采用硬件對(duì)軟件的看護(hù)，軟件的安裝有效性和執(zhí)行有效性未得到保護(hù)。

發(fā)明內(nèi)容

為了克服現(xiàn)有網(wǎng)絡(luò)信息安全管理系統(tǒng)安全功能不完善、安全程度低的不足，本發(fā)明提供一種網(wǎng)絡(luò)安全管理方法，具有防泄密、安全程度高的特點(diǎn)。

本發(fā)明進(jìn)一步所要解決的技術(shù)問題是：提供一種網(wǎng)絡(luò)安全管理系統(tǒng)，以克服現(xiàn)有網(wǎng)絡(luò)信息安全管理系統(tǒng)安全功能不完善、安全程度低的不足，具有防泄密、安全程度高的特點(diǎn)。

為解決上述技術(shù)問題，本發(fā)明采用如下技術(shù)方案：一種網(wǎng)絡(luò)安全管理方法，包括以下步驟：

步驟一：安全網(wǎng)卡與安全交換機(jī)使用證書創(chuàng)建加密隧道；

步驟二：安全網(wǎng)卡向安全交換機(jī)請(qǐng)求身份驗(yàn)證；

步驟三：若身份驗(yàn)證通過，安全交換機(jī)生成安全網(wǎng)卡的通信密鑰，并把認(rèn)證通過信息、安全網(wǎng)卡本地?cái)?shù)據(jù)加解密密鑰、安全網(wǎng)卡通信密鑰通知給安全網(wǎng)卡，否則發(fā)回認(rèn)證失敗信息；

步驟四：安全網(wǎng)卡獲取上述密鑰后，本地?cái)?shù)據(jù)加解密開始工作，當(dāng)本地?cái)?shù)據(jù)加解密開始工作，受控主機(jī)進(jìn)行操作系統(tǒng)引導(dǎo)，并啟動(dòng)受控主機(jī)防護(hù)模塊并受安全網(wǎng)卡看護(hù)，開始進(jìn)行主機(jī)保護(hù)；

步驟五：IP協(xié)議通信發(fā)生，安全網(wǎng)卡從緩存直接獲得未過期的目標(biāo)地址的通信密鑰，或從安全交換機(jī)獲取目標(biāo)地址的新的通信密鑰，以該密鑰對(duì)發(fā)出的IP包內(nèi)容進(jìn)行加密，若目標(biāo)地址的通信密鑰獲取失敗，將產(chǎn)生此次IP協(xié)議通信的失敗，對(duì)于收到的IP包則用安全網(wǎng)卡自身的通信密鑰解密。

所述步驟二中，安全網(wǎng)卡向安全交換機(jī)進(jìn)行請(qǐng)求身份認(rèn)證，安全交換機(jī)將對(duì)安全網(wǎng)卡進(jìn)行身份ID識(shí)別和權(quán)限授予。

為了解決上述進(jìn)一步的技術(shù)問題，本發(fā)明提出一種網(wǎng)絡(luò)安全管理系統(tǒng)，包括受控主機(jī)、安全交換機(jī)和安全網(wǎng)卡，所述受控主機(jī)連接用于完成身份認(rèn)證、密鑰管理、通信加密和本地?cái)?shù)據(jù)加密功能的安全網(wǎng)卡，所述安全網(wǎng)卡連接用于策略管理和配置管理、安全網(wǎng)卡用戶身份認(rèn)證以及通信密鑰和本地?cái)?shù)據(jù)加解密密鑰分發(fā)功能的所述安全交換機(jī)，

所述安全網(wǎng)卡包括主控制器，分別與主控制器連接并受其集成控制的硬盤加密模塊、USB口、以太網(wǎng)口；所述主控制器與所述受控主機(jī)通過計(jì)算機(jī)總線接口連接通信；硬盤加密模塊與受控主機(jī)的硬盤接口連接通信，硬盤加密模塊通過硬盤接口對(duì)硬盤進(jìn)行數(shù)據(jù)攔截，實(shí)現(xiàn)對(duì)硬盤的讀寫加解密；以太網(wǎng)口傳輸安全網(wǎng)卡與安全交換機(jī)的認(rèn)證信息，并傳輸受控主機(jī)防護(hù)模塊與安全交換機(jī)的管理信息和加密受控主機(jī)正常的業(yè)務(wù)信息流，設(shè)置安全網(wǎng)卡總線接口工作在從模式與受控主機(jī)通信。

所述系統(tǒng)還包括用于管理安全網(wǎng)卡和安全交換機(jī)的管理模塊，并通過瀏覽器/服務(wù)器模式(B/S)或客戶機(jī)/服務(wù)器模式(C/S)來訪問安全網(wǎng)卡和安全交換機(jī)，完成策略和配置管理變更操作。

所述安全網(wǎng)卡與受控主機(jī)的通信接口為計(jì)算機(jī)總線接口。常見的計(jì)算機(jī)總線接口如PCI、PCIE和ISA總線接口，優(yōu)選為PCI接口。除此以外安全網(wǎng)卡與受控主機(jī)的通信接口還可以為USB接口、IEEE1394接口等。

所述受控主機(jī)還包括接收安全交換機(jī)發(fā)送的策略，并按照既定策略對(duì)主機(jī)進(jìn)行防護(hù)、日志上傳的受控主機(jī)防護(hù)模塊，其通過計(jì)算機(jī)總線接口與安全網(wǎng)卡連接通信。