基於三級安全體系架構的移動介質安全防護系統的製作方法
2023-12-11 18:25:42
專利名稱：基於三級安全體系架構的移動介質安全防護系統的製作方法
技術領域：
本發明屬於信息安全領域，涉及一種基於三級安全體系構架的移動介質防護系統。
背景技術：
移動存儲介質因其使用靈活、方便的特點而得到迅速普及。但移動存儲介質的便利性也帶來了數據拷貝不受限、數據網絡傳送不受限、違規交叉使用等新情況的出現，對設備安全、數據安全等保密管理帶來了新問題。當前使用移動介質面臨的威脅主要有以下幾個方面第，任意個人的U盤、移動硬碟、軟盤或者光碟都可以在內部的計算機上隨意使用，容易造成計算機病毒感染和泛濫；第二，隨意使用移動存儲介質，使懷有惡意的內部人員可以將內部重要信息複製出去，容易造成敏感和機密信息的洩密；第三，由於移動存儲介質中的信息都以明文形式存放，內部人員可以將涉密終端上的數據通過移動介質轉移到連接網際網路的計算機，並通過網際網路洩露涉密信息；第四，移動存儲介質一旦丟失，其中存儲的大量敏感數據可能失控，若造成洩密可能帶來極大的損失。因此，移動介質安全是保障信息安全的重要一環。當前移動介質安全軟體的體系架構大多採用集中管理、內外網絡隔離的方案，在使用移動介質的內部網絡環境部署伺服器對所有移動介質進行管理和監控，防止信息從內部洩漏至外部環境。此類系統使用的防護體系單一，並對內部網絡環境提出了很高的限制條件，即不能連接網際網路，一旦惡意程序通過無線網絡或其他途徑連接網際網路，則整個系統將無法正常保證信息的安全。此外，當前網際網路的使用已經深入人心，很少有企事業單位沒有接觸網際網路，因此就存在內部人員非法連接網際網路的情況。另外，當前存在的移動介質安全軟體的體系架構使用的安全機制較為單一，一旦惡意程序突破其中的一層保護，整個系統就將失去應有的效應。針對現有移動存儲介質管理方案存在的問題，本方案擬採用內外兼防的指導思想來設計一套具備多級安全機制的移動存儲介質安全管理解決方案。通過在內部網絡環境中搭建內部網絡伺服器和客戶終端，在網際網路上部署網際網路監控伺服器，從而建立起三級安全體系構架，並在客戶端實施更加靈活多樣的權限控制和實時監控。各級伺服器不僅僅起到信息管理和通信的作用，而且負責對所有移動介質進行註冊、打標和重新分區，對客戶端進行實時的監控，對非法客戶端以及安裝在其上的移動介質及時進行處理，保障整個網絡環境的安全，防止移動介質中的信息洩露。設立在內部網絡環境下的內部伺服器還負責安全策略的制定和分發，保證了移動介質授權方案的靈活性，以及針對不同安全層次需求的安全策略多樣性，並且所有經過內部網絡的數據均以密文形式傳輸；客戶端則是所有安全策略的最終執行者，負責識別和加載所有合法的移動介質，對本地存在的虛擬機進行監控，阻止數據從本地流向虛擬機。網際網路監控伺服器的設置主要考慮到涉密單位中雖然內外網網絡物理隔離，但內部人員可能把內網計算機接到外網網線上，從而破壞安全策略造成洩密，所以在網際網路上架設伺服器對所有客戶機進行監控，並對非法連接網際網路的終端信息通過簡訊的形式實時通報給終端所在單位的負責人，以此來有效及時的阻斷單位內部涉密信息在網際網路上的傳播。整個系統在實現上可分為應用層、SDK層和核心層，通過SDK層可以向第三方導出接口，方便在此基礎上進行二次開發，從而提高系統的可復用性。
發明內容
本發明的目的在於提供一種基於三級安全體系架構的移動介質安全防護系統，使其能夠在開放網絡環境中保障移動介質內數據安全。以彌補當前存在的移動介質安全軟體體系架構的主要不足1.防護體系只有兩級，缺乏在外部網絡或網際網路上的實時監控； 2.使用的安全機制單一，一旦一層保護被攻破，整個系統的保護效果將大打折扣。為實現上述目的，本發明的基於三級安全體系構架的移動介質安全防護系統包括移動介質集中註冊管理模塊、移動介質識別模塊、密鑰管理模塊、動態加解密模塊、網絡通信保護模塊、日誌審計模塊、智能監控模塊，並將以上所有功能模塊構建在一個覆蓋開放網絡環境的三級安全防護體系中，在整個網際網路上對移動介質中的數據進行實時監控和保護，有利於全面保障移動介質中數據的保密性、完整性和可用性。移動介質集中註冊管理模塊負責管理移動介質的整個生命周期，包括購買、標記、監控和銷毀；移動介質識別模塊在客戶端計算機或虛擬機中識別外部插入移動介質的動作，並對插入的移動介質進行認證， 攔截非法移動介質的插入行為；密鑰管理模塊負責對數據加解密密鑰的整個生命周期進行管理，包括密鑰的創建、分發、保存和銷毀；動態加解密模塊可以對進出移動介質的信息進行透明的加解密，並且不會影響用戶的操作習慣和降低由此帶來的效率損失；網絡通信保護模塊可以對傳輸到網絡上的涉密信息進行監控，對傳輸源和目的地進行過濾，保障信息在網絡上端到端的安全；日誌審計模塊負責記錄所有針對移動介質的操作，及時避免安全隱患和事後追蹤安全問題；智能監控模塊負責對移動介質操作過程中可能存在的安全隱患進行實時監控，並及時阻斷非法操作。網際網路監控伺服器、內部網絡伺服器分別通過網際網路和內部網絡與客戶端相連。 客戶端是整個系統策略和機制的執行單元。客戶端在使用前必須在內部網絡伺服器對計算機進行登記，計算機一經啟動，即向內部網絡伺服器開機註冊，此後便處於內部網絡伺服器的監控狀態中，當接入移動介質後，USB識別模塊即可檢測到設備的接入，從而獲取標記號向內部網絡伺服器註冊，對於合法的內部介質還需要進行用戶登錄和認證，認證通過後就可以根據從內部網絡伺服器獲取的權限對移動介質進行操作，另外經過移動介質中的文件數據都必須進行動態加解密，保證移動介質脫離工作環境不會洩密。同時，記錄用戶操作移動盤的所有記錄，並發往內部網絡伺服器作為審計記錄。網際網路監控模塊通過TDI Client 驅動程序定時向網際網路監控伺服器發送外聯信息，當客戶端連接上網際網路後，網際網路監控伺服器就可以接收到外聯信息，從而通知單位負責人來阻止客戶端連接網際網路。此外，客戶端在整個系統中被認為是不可信單元，系統自保護模塊使用開機自啟動機制保證計算機啟動後就對用戶的操作進行監控，通過文件只讀策略、API Hook技術和輪詢機制保證客戶端軟體的相關文件和註冊表參數不被用戶刪除或者篡改。
內部網絡伺服器是系統內各種信息的管理中心，包括用戶信息、設備信息、終端信息、部門信息、權限信息以及日誌信息，部門內部的所有用戶、移動介質和計算機終端都必須到內部網絡伺服器進行登記和註冊方可使用，用戶註冊需記錄用戶ID和密碼，移動介質的註冊就是在其中的非用戶存儲區域寫入標識符來唯一標識內部介質，而計算機終端則使用硬碟序列號來唯一標識。內部網絡伺服器的主要作用就是通過利用保存在資料庫中的這些信息，與客戶端進行一系列的數據交換，從而能夠在方便用戶使用計算機和移動介質的前提下，保證用戶計算機和移動介質中信息的安全。當客戶端計算機啟動後，內部網絡伺服器根據客戶端的開機註冊信息對客戶端的合法性進行驗證，保證非法計算機無法在內部網絡中使用；當客戶端接入移動介質時，內部網絡伺服器通過對比資料庫中保存的標記號以及認證信息判斷移動介質的合法性，從而可以拒絕外來移動介質的接入；認證成功後，會接收到客戶端發來的用戶登錄信息，內部網絡伺服器對比用戶ID和密碼成功後，就會將對應的權限返回，客戶端通過設置權限即可使用移動介質。在移動介質使用過程中，伺服器會將從客戶端發來的日誌信息保存在資料庫中以便日後查看，對安全事故進行追蹤。網際網路監控伺服器作為外聯信息的管理中心，同樣在資料庫中保存了用戶信息、 部門信息和計算機終端信息。它通過網際網路對客戶端實施遠程監控，當各單位內部的計算機非法連接網際網路時，網際網路監控伺服器可以實時檢測到聯網狀況，並將聯網計算機的外聯信息保存在外聯信息表中。同時，網際網路監控伺服器端開闢獨立的線程定時掃描資料庫中外聯記錄，根據外聯記錄獲取聯網計算機的標記號以及當前接入的移動介質信息，從而確定聯網用戶信息，並通過簡訊息的形式向該用戶所在的單位負責人通報非法外聯情況， 以便單位內部進一步處理。另外，在內部網絡伺服器、網際網路監控伺服器和客戶端上安裝NDIS中間層驅動程序，對內外網進行隔離，只允許客戶端計算機和內部網絡伺服器、網際網路監控伺服器進行通信。攔截所有經過網絡的數據包，並對其中的數據載荷進行加密和完整性校驗，在接收端對所有從網絡上接收的數據包進行解密並檢查完整性，使得整個系統內部的數據傳輸都處於密文狀態，防止第三方對數據進行監聽、截獲和篡改。本發明與當前存在的移動介質安全軟體的體系架構相比，具有以下優點1.本發明建立了一個三級安全防護體系，在內部網絡和外部網絡同時對移動介質的使用進行全程監控，最大程度的保證移動介質中涉密信息的安全；2.本發明使用多種安全機制，在一種安全機制被惡意程序攻破的情況下，仍然可以有效保護移動介質中的信息安全。
圖1為本發明基於三級安全體系架構的移動介質安全防護系統的系統結構圖。圖2為本發明基於三級安全體系架構的移動介質安全防護系統的功能模塊圖。
權利要求
1.基於三級安全體系構架的移動介質安全防護系統，其特徵在於，該系統包括移動介質集中註冊管理模塊、移動介質識別模塊、密鑰管理模塊、動態加解密模塊、日誌審計模塊和智能監控模塊，所有模塊構建在一個覆蓋開放網絡環境的三級安全防護體系中，在整個網際網路上對移動介質中的數據進行實時監控和保護，有利於全面保障移動介質中數據的保密性、完整性和可用性。所述移動介質集中註冊管理模塊負責管理移動介質的整個生命周期，包括購買、標記、監控和銷毀；所述移動介質識別模塊在客戶端計算機或虛擬機中識別外部插入移動介質的動作，並對插入的移動介質進行認證，攔截非法移動介質的插入行為； 所述密鑰管理模塊負責對數據加解密密鑰的整個生命周期進行管理，包括密鑰的創建、分發、保存和銷毀；所述日誌審計模塊負責記錄所有針對移動介質的操作，及時避免安全隱患和事後追蹤安全問題；所述智能監控模塊負責對移動介質操作過程中可能存在的安全隱患進行實時監控，並及時阻斷非法操作。
2.根據權利要求1所述的移動介質安全防護系統，其特徵在於整個體系構架由網際網路監控伺服器、內部監控伺服器，以及客戶端計算機或客戶端計算機上的虛擬機三部分組成。
3.根據權利要求2所述的網際網路監控伺服器，其特徵在於第一，記錄所有移動介質的基本信息，基本信息包括移動介質的序列號、使用人姓名、容量，此外還應記錄客戶端計算機或客戶端計算機上的虛擬機的基本信息，基本信息包括計算機或虛擬機的名稱、硬碟序列號；第二 監控使用移動介質的客戶端計算機或虛擬機，並對非法連接網際網路的客戶端計算機或虛擬機採取必要的措施。
4.根據權利要求2所述的內部監控伺服器，其特徵在於內部網絡伺服器是系統內各種信息的管理中心，包括用戶信息、設備信息、終端信息、部門信息、權限信息以及日誌信息，部門內部的所有用戶、移動介質和計算機終端都必須到內部網絡伺服器進行登記和註冊方可使用，用戶註冊需記錄用戶ID和密碼，移動介質的註冊就是在其中的非用戶存儲區域寫入標識符來唯一標識內部介質，而計算機終端則使用硬碟序列號來唯一標識。內部網絡伺服器的主要作用就是通過利用保存在資料庫中的這些信息，與客戶端進行一系列的數據交換，從而能夠在方便用戶使用計算機和移動介質的前提下，保證用戶計算機和移動介質中信息的安全。當客戶端計算機啟動後，內部網絡伺服器根據客戶端的開機註冊信息對客戶端的合法性進行驗證，保證非法計算機無法在內部網絡中使用；當客戶端接入移動介質時，內部網絡伺服器通過對比資料庫中保存的標記號以及認證信息判斷移動介質的合法性，從而可以拒絕外來移動介質的接入；認證成功後，會接收到客戶端發來的用戶登錄信息，內部網絡伺服器對比用戶ID和密碼成功後，就會將對應的權限返回，客戶端通過設置權限即可使用移動介質。在移動介質使用過程中，伺服器會將從客戶端發來的日誌信息保存在資料庫中以便日後查看，對安全事故進行追蹤。
5.根據權利要求2所述的客戶端計算機或虛擬機，其特徵在於客戶端計算機或虛擬機是整個系統策略和機制的執行單元。客戶端在使用前必須在內部網絡伺服器對計算機進行登記，計算機一經啟動，即向內部網絡伺服器開機註冊，此後便處於內部網絡伺服器的監控狀態中，當接入移動介質後，USB識別模塊即可檢測到設備的接入，從而獲取標記號向內部網絡伺服器註冊，對於合法的內部介質還需要進行用戶登錄和認證，認證通過後就可以根據從內部網絡伺服器獲取的權限對移動介質進行操作，另外經過移動介質中的文件數據都必須進行動態加解密，保證移動介質脫離工作環境不會洩密。同時，記錄用戶操作移動盤的所有記錄，並發往內部網絡伺服器作為審計記錄。
全文摘要
本發明公開了一種基於三級安全體系架構的移動介質安全防護系統。包括集中管理模塊、識別模塊、密鑰管理模塊、加解密模塊、網絡通信保護模塊、日誌審計模塊、智能監控模塊。集中管理模塊負責管理移動介質的生命周期；識別模塊對插入的移動介質進行識別和認證；密鑰管理模塊負責管理密鑰的生命周期；動態加解密模塊對進出移動介質的信息進行透明加解密；網絡通信保護模塊對網絡上傳輸的涉密信息進行監控；日誌審計模塊記錄針對移動介質的操作；智能監控模塊對操作過程中存在的安全隱患進行監控。系統由客戶端、內部網絡伺服器、網際網路監控伺服器組成，結合內外兼防和多級安全機制的思想，有利於全面保障移動介質中數據的保密性、完整性和可用性。
文檔編號H04L12/26GK102170424SQ20101058470
公開日2011年8月31日 申請日期2010年12月13日 優先權日2010年12月13日
發明者俞衛華, 沈暉 申請人:沈暉, 王毅, 郭浩然