[发明专利]基于可信计算的多级安全互联平台及其处理流程

说明书

技术领域

本发明涉及等级保护以及可信计算领域，尤其涉及基于可信计算的多级安全互联平台及其处理流程。

背景技术

在进行了等级保护整改工作，初步建立了一个中心（安全管理中心）、三重防护（区域边界、通信网络、计算环境）的安全技术保障体系的系统中，根据等级保护的相关政策与标准要求，定级系统间的安全互联需由安全互联部件和跨系统安全管理中心组成。而在实际实施中，一些企业内网的管理网与工业控制网络之间的防范措施与等级保护政策要求存在差距，亟需在系统安全互联方面开展深入研究，以通过统一部署、统一管理实现信息化平台安全互联的目的，进一步提高整个信息系统的安全防范能力，防止管理网内的潜在威胁渗透到生产控制网络，从而保证安全生产。

发明内容

本发明的要解决的技术问题：提供基于可信计算的多级安全互联平台，以工业企业管理网和工业控制网之间数据交换的访问控制为出发点，构建全程一致的访问控制体系，在管理区和生产区之间搭建可信增强的多级安全互联平台，确保资源访问过程中，在任何层次上都能够进行无策略遗漏和冲突的准确一致的访问控制，真正地保障只有在授权的情况下才能够访问资源。本发明的另外一个目的是提供上述的多级安全互联平台的处理流程。

为了实现上述的第一个目的，本发明采用了以下的技术方案：

一种基于可信计算的多级安全互联平台，该平台包括以下的系统：

（1）L端和H端数据交换前置子系统：均包括网络服务接口、应用协议解析子模块、数据标记子模块、应用访问过滤子模块、管理代理Agent子模块，实现数据交换与标记功能，应用防护功能；

（2）三系统安全互联部件子系统：包括L端互联系统、互联仲裁系统、H端互联系统，实现网络安全隔离功能、互联数据验证功能、互联审计功能；

（3）可信增强子系统：包括终端节点代理模块、以及可信互联模块与操作系统增强模块，实现节点身份标识功能、可执行程度白名单功能；

（4）多级互联安全管理中心子系统：包括Bowser模块、 MySQL模块、Web Agent模块，实现系统管理、安全管理、审计管理功能；

一、在L端和H端数据交换前置子系统中：

1）所述的网络服务接口来提供通用的数据交换接口，接收跨级互联数据的请求，与三系统安全互联部件子系统连接，传输已安全标记的数据、经过讵问验证过的Web 应该服务；

2）应用协议解析子模块根据不同协议，解析、分析交换协议，还原传输数据；

3）数据标记子模块通过XML签名技术，提供数据标记与强制访问控制的功能，同时基于检查结果，评估数据的可信性，以此为依据，生成其标记，为多级互联部件的访问控制提供支撑；

4）应用访问过滤子模块提供对Web应用服务器端的访问验证机制，通过应用级攻击特征库，比对访问数据的安全验证规则，过滤L端访问数据包，从而避免H端应用服务端遭受应用级访问攻击；

5）管理代理Agent子模块与多级互联安全管理中心子系统通信，获取数据交换协议规则、数据过滤规则、可信标记规则等配置信息，并向多级互联安全管理中心子系统提供审计管理所需的数据过滤记录；

二、在三系统安全互联部件子系统中：

1）L端互联系统和H端互联系统，分别是管理区和生产区网络协议的终点，对所有过往的数据进行协议转换，通过剥离网络协议相关的信息还原为应用层原始信息，再将这些信息通过专用硬件和专用通信协议发送给中间互联仲裁系统，从而可有效阻断基于TCP/IP协议的攻击行为；

2）互联仲裁系统，为需要跨级访问的系统提供基于可信验证标记的强制访问控制机制，对进出边界的数据信息进行验证，阻止非授权数据交换；

三、在可信增强子系统中：

1）终端节点代理模块用于向多级互联安全管理中心子系统的Web Agent模块提交注册、登录和审计信息，并接收Web Agent模块所下发的策略，进行相应的策略更新；

2）可信互连模块用于节点间可信互连验证并相互保持可信状态，每次有对方的数据包到达时，更新“最近到达时间”，如果“最近到达时间”与当前时间差超过一定时限，必须重新进行认证；

3）操作系统增强模块利用信任链传递技术，对操作系统内核装载的重要应用程序和服务进行完整性验证；阻止不在预期值文件中的二进制代码或脚本运行；

四、在多级互联安全管理中心子系统中：

1）Bowser模块用于向管理员用户提供UI交互界面；

2）MySQL模块用于提供管理中心后台数据支持；