[发明专利]基于可信计算的多级安全互联平台及其处理流程

摘要

本发明涉及等级保护以及可信计算领域。基于可信计算的多级安全互联平台，包括以下的系统：（1）L端和H端数据交换前置子系统：均包括网络服务接口、应用协议解析子模块、数据标记子模块、应用访问过滤子模块、管理代理Agent子模块；（2）三系统安全互联部件子系统：包括L端互联系统、互联仲裁系统、H端互联系统；（3）可信增强子系统：包括终端节点代理模块、以及可信互联模块与操作系统增强模块；（4）多级互联安全管理中心子系统：包括Bowser、MySQL、WebAgent模块。本发明通过可信增强的多级安全互联平台的构建以及互联应用协议解析与控制、互联协议阻断、互联节点身份鉴别、互联系统增强、统一的互联安全管理的实现，满足两个区域的安全互联需求。

主权项

基于可信计算的多级安全互联平台，其特征在于该平台包括以下的系统：（1）L端和H端数据交换前置子系统：均包括网络服务接口（1）、应用协议解析子模块（2）、数据标记子模块（3）、应用访问过滤子模块（4）、管理代理Agent子模块（5），实现数据交换与标记功能，应用防护功能；（2）三系统安全互联部件子系统：包括L端互联系统（6）、互联仲裁系统（7）、H端互联系统（8），实现网络安全隔离功能、互联数据验证功能、互联审计功能；（3）可信增强子系统：包括终端节点代理模块（9）、以及可信互联模块（10）与操作系统增强模块（11），实现节点身份标识功能、可执行程度白名单功能；（4）多级互联安全管理中心子系统：包括Bowser模块（12）、 MySQL模块（13）、Web Agent模块（14），实现系统管理、安全管理、审计管理功能；一、在L端和H端数据交换前置子系统中：1）所述的网络服务接口（1）来提供通用的数据交换接口，接收跨级互联数据的请求，与三系统安全互联部件子系统连接，传输已安全标记的数据、经过讵问验证过的Web 应该服务；2）应用协议解析子模块（2）根据不同协议，解析、分析交换协议，还原传输数据；3）数据标记子模块（3）通过XML签名技术，提供数据标记与强制访问控制的功能，同时基于检查结果，评估数据的可信性，以此为依据，生成其标记，为多级互联部件的访问控制提供支撑；4）应用访问过滤子模块（4）提供对Web应用服务器端的访问验证机制，通过应用级攻击特征库，比对访问数据的安全验证规则，过滤L端访问数据包，从而避免H端应用服务端遭受应用级访问攻击；5）管理代理Agent子模块（5）与多级互联安全管理中心子系统通信，获取数据交换协议规则、数据过滤规则、可信标记规则等配置信息，并向多级互联安全管理中心子系统提供审计管理所需的数据过滤记录；二、在三系统安全互联部件子系统中：1）L端互联系统（6）和H端互联系统（8），分别是管理区和生产区网络协议的终点，对所有过往的数据进行协议转换，通过剥离网络协议相关的信息还原为应用层原始信息，再将这些信息通过专用硬件和专用通信协议发送给中间互联仲裁系统（7），从而可有效阻断基于TCP/IP协议的攻击行为；2）互联仲裁系统（7），为需要跨级访问的系统提供基于可信验证标记的强制访问控制机制，对进出边界的数据信息进行验证，阻止非授权数据交换；三、在可信增强子系统中：1）终端节点代理模块（9）用于向多级互联安全管理中心子系统的Web Agent模块（14）提交注册、登录和审计信息，并接收Web Agent模块（14）所下发的策略，进行相应的策略更新；2）可信互连模块用于节点间可信互连验证并相互保持可信状态，每次有对方的数据包到达时，更新“最近到达时间”，如果“最近到达时间”与当前时间差超过一定时限，必须重新进行认证；3）操作系统增强模块（11）利用信任链传递技术，对操作系统内核装载的重要应用程序和服务进行完整性验证；阻止不在预期值文件中的二进制代码或脚本运行；四、在多级互联安全管理中心子系统中：1）Bowser模块（12）模块用于向管理员用户提供UI交互界面；2）MySQL模块（13）模块用于提供管理中心后台数据支持； 3）Web Agent用于与节点、L端和H端数据交换前置子系统、三系统安全互联部件子系统的管理数据交互。