[發(fā)明專利]多級(jí)安全互聯(lián)平臺(tái)的數(shù)據(jù)交換前置子系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201110250375.X
• 申請(qǐng)日: 2011-08-29
• 公開（公告）號(hào): CN102299926A
• 公開（公告）日: 2011-12-28
• 發(fā)明（設(shè)計(jì)）人: 李健俊;章志華;季琦;蔣一翔;徐培富;錢杰;劉鵬;董惠良
• 申請(qǐng)（專利權(quán)）人: 浙江中煙工業(yè)有限責(zé)任公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 杭州豐禾專利事務(wù)所有限公司 33214
• 代理人: 王從友

技術(shù)領(lǐng)域

本發(fā)明涉及等級(jí)保護(hù)以及可信計(jì)算領(lǐng)域，尤其涉及多級(jí)安全互聯(lián)平臺(tái)的數(shù)據(jù)交換前置子系統(tǒng)。

背景技術(shù)

在進(jìn)行了等級(jí)保護(hù)整改工作，初步建立了一個(gè)中心（安全管理中心）、三重防護(hù)（區(qū)域邊界、通信網(wǎng)絡(luò)、計(jì)算環(huán)境）的安全技術(shù)保障體系的系統(tǒng)中，根據(jù)等級(jí)保護(hù)的相關(guān)政策與標(biāo)準(zhǔn)要求，定級(jí)系統(tǒng)間的安全互聯(lián)需由安全互聯(lián)部件和跨系統(tǒng)安全管理中心組成。而在實(shí)際實(shí)施中，一些企業(yè)內(nèi)網(wǎng)的管理網(wǎng)與工業(yè)控制網(wǎng)絡(luò)之間的防范措施與等級(jí)保護(hù)政策要求存在差距，亟需在系統(tǒng)安全互聯(lián)方面開展深入研究，以通過統(tǒng)一部署、統(tǒng)一管理實(shí)現(xiàn)信息化平臺(tái)安全互聯(lián)的目的，進(jìn)一步提高整個(gè)信息系統(tǒng)的安全防范能力，防止管理網(wǎng)內(nèi)的潛在威脅滲透到生產(chǎn)控制網(wǎng)絡(luò)，從而保證安全生產(chǎn)。

為此，申請(qǐng)人同日申請(qǐng)了名稱為“基于可信計(jì)算的多級(jí)安全互聯(lián)平臺(tái)及其處理流程”的發(fā)明專利，該專利的平臺(tái)包括以下的系統(tǒng)：

（1）L端和H端數(shù)據(jù)交換前置子系統(tǒng)：均包括網(wǎng)絡(luò)服務(wù)接口、應(yīng)用協(xié)議解析子模塊、數(shù)據(jù)標(biāo)記子模塊、應(yīng)用訪問過濾子模塊、管理代理Agent子模塊，實(shí)現(xiàn)數(shù)據(jù)交換與標(biāo)記功能，應(yīng)用防護(hù)功能；

（2）三系統(tǒng)安全互聯(lián)部件子系統(tǒng)：包括L端互聯(lián)系統(tǒng)、互聯(lián)仲裁系統(tǒng)、H端互聯(lián)系統(tǒng)，實(shí)現(xiàn)網(wǎng)絡(luò)安全隔離功能、互聯(lián)數(shù)據(jù)驗(yàn)證功能、互聯(lián)審計(jì)功能；

（3）可信增強(qiáng)子系統(tǒng)：包括終端節(jié)點(diǎn)代理模塊、以及可信互聯(lián)模塊與操作系統(tǒng)增強(qiáng)模塊，實(shí)現(xiàn)節(jié)點(diǎn)身份標(biāo)識(shí)功能、可執(zhí)行程度白名單功能；

（4）多級(jí)互聯(lián)安全管理中心子系統(tǒng)：包括Bowser、?MySQL、Web?Agent模塊，實(shí)現(xiàn)系統(tǒng)管理、安全管理、審計(jì)管理功能；

一、在L端和H端數(shù)據(jù)交換前置子系統(tǒng)中：

1）所述的網(wǎng)絡(luò)服務(wù)接口來(lái)提供通用的數(shù)據(jù)交換接口，接收跨級(jí)互聯(lián)數(shù)據(jù)的請(qǐng)求，與三系統(tǒng)安全互聯(lián)部件子系統(tǒng)連接，傳輸已安全標(biāo)記的數(shù)據(jù)、經(jīng)過詎問驗(yàn)證過的Web?應(yīng)該服務(wù)；

2）應(yīng)用協(xié)議解析子模塊根據(jù)不同協(xié)議，解析、分析交換協(xié)議，還原傳輸數(shù)據(jù)；

3）數(shù)據(jù)標(biāo)記子模塊通過XML簽名技術(shù)，提供數(shù)據(jù)標(biāo)記與強(qiáng)制訪問控制的功能，同時(shí)基于檢查結(jié)果，評(píng)估數(shù)據(jù)的可信性，以此為依據(jù)，生成其標(biāo)記，為多級(jí)互聯(lián)部件的訪問控制提供支撐；

4）應(yīng)用訪問過濾子模塊提供對(duì)Web應(yīng)用服務(wù)器端的訪問驗(yàn)證機(jī)制，通過應(yīng)用級(jí)攻擊特征庫(kù)，比對(duì)訪問數(shù)據(jù)的安全驗(yàn)證規(guī)則，過濾L端訪問數(shù)據(jù)包，從而避免H端應(yīng)用服務(wù)端遭受應(yīng)用級(jí)訪問攻擊；

5）管理代理Agent子模塊與多級(jí)互聯(lián)安全管理中心通信，獲取數(shù)據(jù)交換協(xié)議規(guī)則、數(shù)據(jù)過濾規(guī)則、可信標(biāo)記規(guī)則等配置信息，并向多級(jí)互聯(lián)安全管理中心子系統(tǒng)提供審計(jì)管理所需的數(shù)據(jù)過濾記錄；

二、在三系統(tǒng)安全互聯(lián)部件子系統(tǒng)中：

1）L端互聯(lián)系統(tǒng)和H端互聯(lián)系統(tǒng)，分別是管理區(qū)和生產(chǎn)區(qū)網(wǎng)絡(luò)協(xié)議的終點(diǎn)，對(duì)所有過往的數(shù)據(jù)進(jìn)行協(xié)議轉(zhuǎn)換，通過剝離網(wǎng)絡(luò)協(xié)議相關(guān)的信息還原為應(yīng)用層原始信息，再將這些信息通過專用硬件和專用通信協(xié)議發(fā)送給中間互聯(lián)仲裁系統(tǒng)，從而可有效阻斷基于TCP/IP協(xié)議的攻擊行為。

2）互聯(lián)仲裁系統(tǒng)，為需要跨級(jí)訪問的系統(tǒng)提供基于可信驗(yàn)證標(biāo)記的強(qiáng)制訪問控制機(jī)制，對(duì)進(jìn)出邊界的數(shù)據(jù)信息進(jìn)行驗(yàn)證，阻止非授權(quán)數(shù)據(jù)交換；

三、在可信增強(qiáng)子系統(tǒng)中：

1）終端節(jié)點(diǎn)代理模塊用于向多級(jí)互聯(lián)安全管理中心子系統(tǒng)的Web?Agent模塊提交注冊(cè)、登錄和審計(jì)信息，并接收Web?Agent模塊所下發(fā)的策略，進(jìn)行相應(yīng)的策略更新；

2）可信互連模塊用于節(jié)點(diǎn)間可信互連驗(yàn)證并相互保持可信狀態(tài)，每次有對(duì)方的數(shù)據(jù)包到達(dá)時(shí)，更新“最近到達(dá)時(shí)間”，如果“最近到達(dá)時(shí)間”與當(dāng)前時(shí)間差超過一定時(shí)限，必須重新進(jìn)行認(rèn)證；

3）操作系統(tǒng)增強(qiáng)模塊利用信任鏈傳遞技術(shù)，對(duì)操作系統(tǒng)內(nèi)核裝載的重要應(yīng)用程序和服務(wù)進(jìn)行完整性驗(yàn)證；阻止不在預(yù)期值文件中的二進(jìn)制代碼或腳本運(yùn)行；

四、在多級(jí)互聯(lián)安全管理中心子系統(tǒng)中：

1）Bowser模塊用于向管理員用戶提供UI交互界面；

2）MySQL模塊用于提供管理中心后臺(tái)數(shù)據(jù)支持；?

3）Web?Agent用于與節(jié)點(diǎn)、L端和H端數(shù)據(jù)交換前置子系統(tǒng)、三系統(tǒng)安全互聯(lián)部件子系統(tǒng)的管理數(shù)據(jù)交互。

該互聯(lián)平臺(tái)以工業(yè)企業(yè)管理網(wǎng)和工業(yè)控制網(wǎng)之間數(shù)據(jù)交換的訪問控制為出發(fā)點(diǎn)，構(gòu)建全程一致的訪問控制體系，在管理區(qū)和生產(chǎn)區(qū)之間搭建可信增強(qiáng)的多級(jí)安全互聯(lián)平臺(tái)，確保資源訪問過程中，在任何層次上都能夠進(jìn)行無(wú)策略遺漏和沖突的準(zhǔn)確一致的訪問控制，真正地保障只有在授權(quán)的情況下才能夠訪問資源。

發(fā)明內(nèi)容