[發明專利]多級安全互聯平臺的數據交換前置子系統

有效

• 申請號: 201110250375.X
• 申請日: 2011-08-29
• 公開（公告）號: CN102299926A
• 公開（公告）日: 2011-12-28
• 發明（設計）人: 李健俊;章志華;季琦;蔣一翔;徐培富;錢杰;劉鵬;董惠良
• 申請（專利權）人: 浙江中煙工業有限責任公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 杭州豐禾專利事務所有限公司 33214
• 代理人: 王從友

1.多級安全互聯平臺的數據交換前置子系統，其特征在于：該系統包括網絡服務接口、應用協議解析子模塊、數據標記子模塊、應用訪問過濾子模塊和管理代理Agent子模塊；其中：

1）所述的網絡服務接口來提供通用的數據交換接口，接收跨級互聯數據的請求，與后部的三系統安全互聯部件子系統連接，傳輸已安全標記的數據、經過詎問驗證過的Web應該服務；

2）應用協議解析子模塊根據不同協議，解析、分析交換協議，還原傳輸數據；

3）數據標記子模塊通過XML簽名技術，提供數據標記與強制訪問控制的功能，同時基于檢查結果，評估數據的可信性，以此為依據，生成其標記，為多級互聯部件的訪問控制提供支撐；

4）應用訪問過濾子模塊提供對Web應用服務器端的訪問驗證機制，通過應用級攻擊特征庫，比對訪問數據的安全驗證規則，過濾L端訪問數據包，從而避免H端應用服務端遭受應用級訪問攻擊；

5）管理代理Agent子模塊與多級互聯安全管理中心通信，獲取數據交換協議規則、數據過濾規則、可信標記規則等配置信息，并向后續的多級互聯安全管理中心子系統提供審計管理所需的數據過濾記錄。

2.根據權利要求1所述的多級安全互聯平臺的數據交換前置子系統，其特征在于該數據交換前置子系統的處理流程如下：

1）請求連接數據到達后，根據該連接預先定義的應用，檢查是否是相應應用的協議包，如果是，則進入下一步，否則丟棄并關閉連接；

2）如果檢查為web應用連接，則使用應用訪問過濾子模塊4web?接口，否則丟棄包；

3）如果web應用認證通過則傳輸數據至互聯安全部件；

4）如果是soap包，則過濾內容，檢查是否可信，如果可信，則進行簽名標記數據，否則擇標記數據包為不可信數據包；

5）將結構數據傳輸至三系統安全互聯部件子系統。

3.根據權利要求1所述的多級安全互聯平臺的數據交換前置子系統，其特征在于該數據交換前置子系統具有L端數據交換前置子系統和H端數據交換前置子系統，連接處理流程如下：

1）受理連接后，首先向后續的互聯仲裁系統申請，互聯仲裁系統根據申請附帶的客戶端IP地址、端口號，依據L端數據交換前置子系統偵聽的IP地址和端口號，以及安全管理中心配置的信息進行仲裁，若合法則分配會話ID，返回給L端數據交換前置子系統，同時，向H端數據交換前置子系統發送與應用服務器的連接指令，其仲裁不合法，則通知L端數據交換前置子系統拒絕該連接；

2）L端數據交換前置子系統得到仲裁返回的ID會話，將連接加入會話，開始接受/發送數據；

3）L端數據交換前置子系統若監測到連接由客戶端關閉，則關閉與客戶端連接的同時，通過多級互聯部件向H端數據交換前置子系統發送結束會話指令；

4）L端數據交換前置子系統收到H端數據交換前置子系統會話指令，則關閉與客戶端連接，結束會話。

4.根據權利要求1所述的多級安全互聯平臺的數據交換前置子系統，其特征在于該數據交換前置子系統的協議標記處理流程如下：

1）從會話列表中獲取會話密鑰；

2）根據數據流量和處理能力，可以選取全部或部分數據進行摘要，參與摘要的L前置身份、時間、會話ID要作為標記的組成部分；

3）對HTTP、SOAP或XML有結構的數據，增加對應協議的標題或屬性承載標記；

4）對無結構的數據，將標記添加至收到的數據末尾。

5.根據權利要求1所述的多級安全互聯平臺的數據交換前置子系統，其特征在于該數據交換前置子系統的應用防護處理流程如下：

1）根據GET/POST判斷是否是http的包；

2）獲取要匹配的URL內容,以POST方式或者GET方式提交內容以及COOKIE內容；

3）遍歷策略鏈表，解析是url過濾還是cookie過濾；

4）過濾整個數據包和表單提交的數據；

5）與編譯和優化完的正則表達式進行模式匹配，做出決策；

6）記錄審計信息。