[發明專利]局域網系統和維護局域網信息安全的方法

無效

• 申請號: 200910088657.7
• 申請日: 2009-07-07
• 公開（公告）號: CN101594360A
• 公開（公告）日: 2009-12-02
• 發明（設計）人: 戴一奇;林劼;譚智勇;李曉哲;臧美君;薛海偉;馮小平;張云亮;廖樹仁;張秋艷
• 申請（專利權）人: 清華大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/28;H04L12/24;H04L12/26
• 代理公司: 北京三高永信知識產權代理有限責任公司
• 代理人: 何文彬

1.一種局域網系統，其特征在于，包括：網絡監控設備以及與所述網絡監控設備分別相 連的安全終端、主控制服務器、公共涉密資源服務器、私有涉密資源服務器和防護服務器，

所述網絡監控設備，用于根據網絡安全策略，監控所述安全終端之間以及所述安全終端 與外網之間數據的交換和轉發；

所述安全終端具有身份標識，包括：

劃分模塊，用于劃分所述安全終端的邏輯存儲區域；

認證模塊，用于獲取用戶的身份認證信息和所述用戶的登錄模式；將所述身份認證信息 和所述登錄模式通過所述網絡監控設備發送給所述主控制服務器；

本地監控模塊，用于根據本地安全策略、所述用戶的在線信息和所述登錄模式監控所述 用戶對所述系統的訪問；

所述主控制服務器，用于驗證所述安全終端發來的所述身份認證信息，初始化所述用戶 的密級為最低密級并發送給所述安全終端；維護所述網絡安全策略、所述本地安全策略和所 述用戶的當前密級、最高密級、在線信息；將驗證結果通過所述網絡監控設備發送給所述安 全終端；將所述用戶的在線信息與當前密級信息發送給網絡監控設備、公共涉密資源服務器、 私有涉密資源服務器、防護服務器；

所述公共涉密資源服務器，用于提供所述系統內公共涉密資源的集中式存儲，并根據所 述當前密級信息對所述用戶進行訪問控制，管理所述公共涉密資源的密級，并維護公共涉密 資源的更新信息；

所述私有涉密資源服務器，用于提供所述系統內私有涉密資源的網絡分布式存儲，并根 據所述在線信息與當前密級信息對所述用戶進行訪問控制；

所述防護服務器，用于提供對所述安全終端的邏輯存儲區域的數據還原保護。

2.如權利要求1所述的局域網系統，其特征在于，所述安全終端還包括存儲區域，所述 存儲區域被所述劃分模塊劃分為多個邏輯存儲區域，包括：

系統資源存儲區，用于存儲操作系統和應用程序代碼，由所述安全終端及所述防護服務 器提供數據還原保護；

非涉密資源存儲區，用于存儲與所述安全終端具有相同身份標識的用戶的私有非涉密數 據；

涉密資源存儲區，是所述安全終端的虛擬存儲區，是所述私有涉密資源服務器存儲的所 述用戶的私有涉密資源在所述安全終端本地的映射；

臨時存儲區，用于臨時存儲各類數據，由所述安全終端及所述防護服務器提供數據還原 保護。

3.如權利要求2所述的局域網系統，其特征在于，所述本地監控模塊包括以下單元中的 至少一個：

第一單元，用于允許未訪問過涉密數據的所述用戶自由訪問所述非涉密資源存儲區；禁 止訪問過涉密數據的所述用戶寫入任何信息到所述非涉密資源存儲區；

第二單元，用于當所述用戶的登錄模式為涉密模式時，禁止對所述安全終端的輸入輸出 設備和所述非涉密資源存儲區進行寫操作；

第三單元，用于根據所述用戶的請求，獲取所述公共涉密資源服務器上的公共涉密資源 并存儲在所述臨時存儲區；根據所述用戶的請求，獲取所述私有涉密資源服務器上的所述用 戶的私有涉密資源并存儲在所述涉密資源存儲區；

第四單元，用于允許用戶對密級不高于用戶的最高密級的文件進行只讀訪問，并在所述 只讀訪問操作之后，更新所述用戶的當前密級；允許用戶對密級不低于用戶的當前密級的文 件進行只寫訪問；允許用戶對密級不高于用戶的最高密級且不低于用戶的當前密級的文件進 行讀寫訪問，并在所述讀寫訪問操作之后，更新所述用戶的當前密級；在用戶當前密級發生 改變時，將所述用戶的當前密級信息轉發給主控制服務器。

4.如權利要求1所述的局域網系統，其特征在于，所述網絡監控設備具體用于，

禁止信息由當前密級較高的安全終端流向當前密級較低的安全終端，其中，所述安全終 端的當前密級與所述安全終端的登錄用戶的當前安全密級保持一致；

對以涉密模式登錄的用戶，禁止所述以涉密模式登錄的用戶所使用的安全終端與外網連 接。