[發明專利]基于可信計算的多級安全互聯平臺及其處理流程

有效

• 申請號: 201110250370.7
• 申請日: 2011-08-29
• 公開（公告）號: CN102255924A
• 公開（公告）日: 2011-11-23
• 發明（設計）人: 章志華;李健俊;張思榮;虞文進;季琦;蔣一翔;姜學峰;黃衛忠;黎勇;汪歡文;劉鵬;錢杰
• 申請（專利權）人: 浙江中煙工業有限責任公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F21/00
• 代理公司: 杭州豐禾專利事務所有限公司 33214
• 代理人: 王從友

1.基于可信計算的多級安全互聯平臺，其特征在于該平臺包括以下的系統：

（1）L端和H端數據交換前置子系統：均包括網絡服務接口（1）、應用協議解析子模塊（2）、數據標記子模塊（3）、應用訪問過濾子模塊（4）、管理代理Agent子模塊（5），實現數據交換與標記功能，應用防護功能；

（2）三系統安全互聯部件子系統：包括L端互聯系統（6）、互聯仲裁系統（7）、H端互聯系統（8），實現網絡安全隔離功能、互聯數據驗證功能、互聯審計功能；

（3）可信增強子系統：包括終端節點代理模塊（9）、以及可信互聯模塊（10）與操作系統增強模塊（11），實現節點身份標識功能、可執行程度白名單功能；

（4）多級互聯安全管理中心子系統：包括Bowser模塊（12）、?MySQL模塊（13）、Web?Agent模塊（14），實現系統管理、安全管理、審計管理功能；

一、在L端和H端數據交換前置子系統中：

1）所述的網絡服務接口（1）來提供通用的數據交換接口，接收跨級互聯數據的請求，與三系統安全互聯部件子系統連接，傳輸已安全標記的數據、經過詎問驗證過的Web?應該服務；

2）應用協議解析子模塊（2）根據不同協議，解析、分析交換協議，還原傳輸數據；

3）數據標記子模塊（3）通過XML簽名技術，提供數據標記與強制訪問控制的功能，同時基于檢查結果，評估數據的可信性，以此為依據，生成其標記，為多級互聯部件的訪問控制提供支撐；

4）應用訪問過濾子模塊（4）提供對Web應用服務器端的訪問驗證機制，通過應用級攻擊特征庫，比對訪問數據的安全驗證規則，過濾L端訪問數據包，從而避免H端應用服務端遭受應用級訪問攻擊；

5）管理代理Agent子模塊（5）與多級互聯安全管理中心子系統通信，獲取數據交換協議規則、數據過濾規則、可信標記規則等配置信息，并向多級互聯安全管理中心子系統提供審計管理所需的數據過濾記錄；

二、在三系統安全互聯部件子系統中：

1）L端互聯系統（6）和H端互聯系統（8），分別是管理區和生產區網絡協議的終點，對所有過往的數據進行協議轉換，通過剝離網絡協議相關的信息還原為應用層原始信息，再將這些信息通過專用硬件和專用通信協議發送給中間互聯仲裁系統（7），從而可有效阻斷基于TCP/IP協議的攻擊行為；

2）互聯仲裁系統（7），為需要跨級訪問的系統提供基于可信驗證標記的強制訪問控制機制，對進出邊界的數據信息進行驗證，阻止非授權數據交換；

三、在可信增強子系統中：

1）終端節點代理模塊（9）用于向多級互聯安全管理中心子系統的Web?Agent模塊（14）提交注冊、登錄和審計信息，并接收Web?Agent模塊（14）所下發的策略，進行相應的策略更新；

2）可信互連模塊用于節點間可信互連驗證并相互保持可信狀態，每次有對方的數據包到達時，更新“最近到達時間”，如果“最近到達時間”與當前時間差超過一定時限，必須重新進行認證；

3）操作系統增強模塊（11）利用信任鏈傳遞技術，對操作系統內核裝載的重要應用程序和服務進行完整性驗證；阻止不在預期值文件中的二進制代碼或腳本運行；

四、在多級互聯安全管理中心子系統中：

1）Bowser模塊（12）模塊用于向管理員用戶提供UI交互界面；

2）MySQL模塊（13）模塊用于提供管理中心后臺數據支持；?

3）Web?Agent用于與節點、L端和H端數據交換前置子系統、三系統安全互聯部件子系統的管理數據交互。