[發(fā)明專利]一種網(wǎng)絡(luò)數(shù)據(jù)安全交換方法及系統(tǒng)

在審

• 申請?zhí)枺?/td>: 201710292702.5
• 申請日: 2017-04-28
• 公開（公告）號: CN107172020A
• 公開（公告）日: 2017-09-15
• 發(fā)明（設(shè)計）人: 劉志勇
• 申請（專利權(quán)）人: 湖北微源卓越科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 武漢河山金堂專利事務(wù)所(普通合伙)42212
• 代理人: 胡清堂,陳懿

1.一種網(wǎng)絡(luò)數(shù)據(jù)安全交換方法，其特征在于：包括以下步驟：

S1，判斷數(shù)據(jù)發(fā)送端是否合法，若不合法則拒絕服務(wù)，否則對數(shù)據(jù)進(jìn)行凈負(fù)荷剝離并進(jìn)行安全審查；

S2，對通過安全審查的數(shù)據(jù)進(jìn)行分組加密并傳輸；

S3，對數(shù)據(jù)進(jìn)行解密并重新組裝發(fā)送給數(shù)據(jù)接收端。

2.根據(jù)權(quán)利要求1所述的一種網(wǎng)絡(luò)數(shù)據(jù)安全交換方法，其特征在于：所述步驟S1具體為：

采用“白名單”規(guī)則對數(shù)據(jù)發(fā)送端的合法性進(jìn)行判斷，首先判斷源IP和源MAC是否與預(yù)設(shè)一致，若一致則判斷源IP是否在授權(quán)范圍內(nèi)，若是則繼續(xù)判斷源端口/目標(biāo)端口是否在授權(quán)范圍內(nèi)，若是則進(jìn)行剝離TCP/UDP凈負(fù)荷，并對凈負(fù)荷的合法性進(jìn)行安全審查，若安全審查結(jié)果為合法數(shù)據(jù)，則跳轉(zhuǎn)至步驟S2對通過安全審查的數(shù)據(jù)進(jìn)行分組加密并傳輸；

上述過程中的三次判斷以及安全審查過程中任一過程失敗則斷開連接并丟棄數(shù)據(jù)包，同時記錄訪問日志。

3.根據(jù)權(quán)利要求2所述的一種網(wǎng)絡(luò)數(shù)據(jù)安全交換方法，其特征在于：步驟S1中所述的進(jìn)行數(shù)據(jù)安全審查的方法包括針對凈負(fù)荷進(jìn)行病毒掃描、敏感關(guān)鍵字過濾、應(yīng)用特征識別或應(yīng)用特征控制。

4.根據(jù)權(quán)利要求3所述的一種網(wǎng)絡(luò)數(shù)據(jù)安全交換方法，其特征在于：在凈負(fù)荷通過安全審查后還進(jìn)行：判斷系統(tǒng)是否允許向目標(biāo)數(shù)據(jù)接收端發(fā)送數(shù)據(jù)，若允許則跳轉(zhuǎn)至步驟S2對通過安全審查的數(shù)據(jù)進(jìn)行分組加密并傳輸，否則斷開連接并丟棄數(shù)據(jù)包，同時記錄訪問日志。

5.根據(jù)權(quán)利要求3所述的一種網(wǎng)絡(luò)數(shù)據(jù)安全交換方法，其特征在于：所述步驟S2具體為，對通過安全審查的數(shù)據(jù)進(jìn)行分組編號并加密，然后對加密數(shù)據(jù)進(jìn)行私有協(xié)議封裝，添加私有報文頭，并通過單向的數(shù)據(jù)通道進(jìn)行數(shù)據(jù)傳輸并記錄訪問日志。

6.根據(jù)權(quán)利要求5所述的一種網(wǎng)絡(luò)數(shù)據(jù)安全交換方法，其特征在于：所述步驟S3具體為，對接收到的數(shù)據(jù)依次進(jìn)行以下操作：剝離私有封裝，解密凈負(fù)荷數(shù)據(jù)，按分組編號對凈負(fù)荷數(shù)據(jù)進(jìn)行重組，然后對解密重組后的數(shù)據(jù)再次進(jìn)行安全審查，判斷數(shù)據(jù)是否合法；若為合法數(shù)據(jù)則提取目標(biāo)數(shù)據(jù)接收端IP和端口，通過“白名單”規(guī)則，判斷是否允許向數(shù)據(jù)接收端發(fā)送數(shù)據(jù)，若允許，則將數(shù)據(jù)發(fā)往目標(biāo)服務(wù)器并記錄訪問日志；

上述過程中的兩個判斷過程任一過程失敗則丟棄數(shù)據(jù)包，同時記錄訪問日志。

7.一種網(wǎng)絡(luò)數(shù)據(jù)安全交換系統(tǒng)，其特征在于：包括客戶端，外端代理，內(nèi)端代理和服務(wù)器端；所述客戶端和服務(wù)器端通過外端代理和內(nèi)端代理進(jìn)行數(shù)據(jù)交換；

所述外端代理和內(nèi)端代理均包括有：

身份驗證單元，用于利用“白名單”規(guī)則驗證客戶端或者服務(wù)器端是否合法，包括驗證客戶端或者服務(wù)器端IP地址是否在授權(quán)許可范圍內(nèi)，以及源端口和目標(biāo)端口是否在授權(quán)許可范圍內(nèi)；

數(shù)據(jù)處理單元，用于剝離客戶端或服務(wù)器端發(fā)送的數(shù)據(jù)中包含的TCP/UDP凈負(fù)荷，并通過病毒掃描、敏感關(guān)鍵字過濾、應(yīng)用特征識別或應(yīng)用特征控制的方法對TCP/UDP凈負(fù)荷進(jìn)行安全審查；

加密單元，用于對通過安全審查的數(shù)據(jù)進(jìn)行進(jìn)行分組編號并加密，以及對加密后的數(shù)據(jù)進(jìn)行私有報文協(xié)議封裝；

解密單元，用于剝離私有報文協(xié)議頭部，并對加密的數(shù)據(jù)內(nèi)容進(jìn)行解密并重新組裝。

8.根據(jù)權(quán)利要求7所述的一種網(wǎng)絡(luò)數(shù)據(jù)安全交換系統(tǒng)，其特征在于：所述外端代理和內(nèi)端代理還分別包括第一通信集合、第二通信集合和第三通信集合，每個通信集合由一個或多個通信接口組成，每個通信集合中的接口數(shù)量相等；

所述外端代理的第一通信集合用來與客戶端進(jìn)行數(shù)據(jù)通信；所述內(nèi)端代理其中第一通信集合用來與服務(wù)器端進(jìn)行數(shù)據(jù)通信；

所述外端代理第二通信集合與內(nèi)端代理的第三通信集合中的通信接口通過單纖單向光纖兩兩連通，構(gòu)成一條或多條外端代理到內(nèi)端代理的單向數(shù)據(jù)傳輸通道；所述外端代理第三通信集合與內(nèi)端代理的第二通信集合中的通信接口通過單纖單向光纖兩兩連通，構(gòu)成一條或多條內(nèi)端代理到外端代理的單向數(shù)據(jù)傳輸通道。

9.根據(jù)權(quán)利要求8所述的一種網(wǎng)絡(luò)數(shù)據(jù)安全交換系統(tǒng)，其特征在于：

所述外端代理到內(nèi)端代理的一條或多條單向數(shù)據(jù)傳輸通道與內(nèi)端代理到外端代理的一條或多條單向數(shù)據(jù)傳輸通道一一對應(yīng)，構(gòu)成一組或多組傳輸通道對。