[发明专利]一种因特网的数据封包防护系统及其方法

说明书

技术领域

本发明涉及一种因特网的数据封包防护系统，特别是关于一种防止不具权限的计算机系统连接进入局域网络的防护系统及其方法。

背景技术

伴随着科技进步，企业经营逐渐发展利用一种企业资源计划系统(Enterprise Resource Planning，以下简称ERP系统)进行整合式管理，其主要内涵是应用信息系统技术，对企业的各种资源，例如物流、资金流、信息流、人力资源等进行整合集成管理，结合各种资源形成一供销链管理，即是将企业经营的每一个环节交由科学管理，使企业资源得到最佳化配置。

参见图1，是EPR系统10的架构主要由客户端(client)12及伺服终端(server)14以网络接口连接两端进行数据传输，另外伺服终端14连接数据库主机16。客户端12发出查询需求给伺服终端14，伺服终端14再将查询到的数据传回给客户端12。有些EPR系统10的架构还包含在客户端12与伺服终端14中间加入中介软件(middleware)(未图标)负责联系两端的沟通，减少两端的负荷并增加效能。此种架构下，每一客户端12的计算机系统不需分别安装存取接口软件，只需负责执行使用者接口即可。

目前，市面上使用的ERP系统20的系统架构为多层式(n-tier)架构，使用者透过浏览器读取网页(web-based)的方式来执行，如图2所示。使用者透过网络应用入口(Web Application Portal)22登入，透过信息流引擎(Information Flow Engine)24导向到中介软件26，连接到中央数据库28，利用因特网的数据封包进行数据传输。

由于EPR系统是利用网络间连接的结果，安全性对于连接的伺服终端以及网络相当重要，未经授权而存取公司数据网络可能导致公司重要的信息遗失，或者受到外部计算机入侵窃取数据。现有技术中有许多方法用来加强网络安全，包含使用身分认证许可(Identification and Authentication，I&A)、加密系统(cryptography)等。

然而，身分认证许可经常发生人为设定漏洞的疏失，一旦员工离职后，若未将帐号密码移除，则可能发生管理漏洞，使离职员工利用未经授权的计算机系统进入伺服终端窃取公司内部重要信息，或有人将帐号密码泄漏或遭窃取，上述缺失将使得公司内部重要信息的安全遭受危机。

发明内容

本发明实施例的目的是针对上述现有技术的缺陷，提供一种，因特网的数据封包防护系统，特别是关于一种防止未经授权的计算机系统连接进入局域网络，进而修改或存取内部数据的防护系统。

为了实现上述目的本发明采取的技术方案是：

本发明提供一种因特网的数据封包防护系统，其包含多个第一计算机系统(即客户端计算机系统)，其操作系统包含一过滤单元。所述过滤单元可拦截由操作系统输出的数据封包，并于数据封包的TCP/IP文件头的空白处加入一识别记号。另外包含第二计算机系统(即伺服终端计算机系统)，其操作系统包含一控制单元。所述控制单元可过滤及监控由第一计算机系统输出的数据封包。第一计算机系统透过网络传输所述数据封包至第二计算机系统，而第二计算机系统的控制单元确认所述数据封包的TCP/IP文件头的空白处是否具有识别记号。若该数据封包的TCP/IP文件头的空白处具有识别记号，则通过该数据封包；若该数据封包的TCP/IP文件头的空白处不具有识别记号，则阻挡该数据封包。

本发明另提供一种因特网的数据封包防护系统，其包含一处理单元，耦合于一网络接口单元，通过因特网与多个使用者终端连接，用以接收由多个使用者终端的计算机系统透过该网络接口单元传输的数据封包；以及一控制单元，耦合于所述处理单元，主要执行过滤及监控该数据封包。所述控制单元确认所述数据封包的TCP/IP文件头的空白处是否具有识别记号。若该数据封包的TCP/IP文件头具有识别记号，则通过数据封包。反之若该数据封包的TCP/IP文件头不具有识别记号，则阻挡数据封包。

本发明还提供一种因特网的数据封包防护系统，其包含一处理单元，耦合于一网络接口单元，通过因特网与一伺服终端连接，用以传输一数据封包到所述伺服终端；以及一过滤单元，其拦截由所述处理单元传输的数据封包，并于传输到伺服终端前在该数据封包的TCP/IP文件头的空白处加入一识别记号。