专利名称：基于三级安全体系架构的移动介质安全防护系统的制作方法
技术领域：
本发明属于信息安全领域，涉及一种基于三级安全体系构架的移动介质防护系统。
背景技术：
移动存储介质因其使用灵活、方便的特点而得到迅速普及。但移动存储介质的便利性也带来了数据拷贝不受限、数据网络传送不受限、违规交叉使用等新情况的出现，对设备安全、数据安全等保密管理带来了新问题。当前使用移动介质面临的威胁主要有以下几个方面第，任意个人的U盘、移动硬盘、软盘或者光盘都可以在内部的计算机上随意使用，容易造成计算机病毒感染和泛滥；第二，随意使用移动存储介质，使怀有恶意的内部人员可以将内部重要信息复制出去，容易造成敏感和机密信息的泄密；第三，由于移动存储介质中的信息都以明文形式存放，内部人员可以将涉密终端上的数据通过移动介质转移到连接互联网的计算机，并通过互联网泄露涉密信息；第四，移动存储介质一旦丢失，其中存储的大量敏感数据可能失控，若造成泄密可能带来极大的损失。因此，移动介质安全是保障信息安全的重要一环。当前移动介质安全软件的体系架构大多采用集中管理、内外网络隔离的方案，在使用移动介质的内部网络环境部署服务器对所有移动介质进行管理和监控，防止信息从内部泄漏至外部环境。此类系统使用的防护体系单一，并对内部网络环境提出了很高的限制条件，即不能连接互联网络，一旦恶意程序通过无线网络或其他途径连接互联网，则整个系统将无法正常保证信息的安全。此外，当前互联网的使用已经深入人心，很少有企事业单位没有接触互联网，因此就存在内部人员非法连接互联网的情况。另外，当前存在的移动介质安全软件的体系架构使用的安全机制较为单一，一旦恶意程序突破其中的一层保护，整个系统就将失去应有的效应。针对现有移动存储介质管理方案存在的问题，本方案拟采用内外兼防的指导思想来设计一套具备多级安全机制的移动存储介质安全管理解决方案。通过在内部网络环境中搭建内部网络服务器和客户终端，在互联网上部署互联网监控服务器，从而建立起三级安全体系构架，并在客户端实施更加灵活多样的权限控制和实时监控。各级服务器不仅仅起到信息管理和通信的作用，而且负责对所有移动介质进行注册、打标和重新分区，对客户端进行实时的监控，对非法客户端以及安装在其上的移动介质及时进行处理，保障整个网络环境的安全，防止移动介质中的信息泄露。设立在内部网络环境下的内部服务器还负责安全策略的制定和分发，保证了移动介质授权方案的灵活性，以及针对不同安全层次需求的安全策略多样性，并且所有经过内部网络的数据均以密文形式传输；客户端则是所有安全策略的最终执行者，负责识别和加载所有合法的移动介质，对本地存在的虚拟机进行监控，阻止数据从本地流向虚拟机。互联网监控服务器的设置主要考虑到涉密单位中虽然内外网网络物理隔离，但内部人员可能把内网计算机接到外网网线上，从而破坏安全策略造成泄密，所以在互联网上架设服务器对所有客户机进行监控，并对非法连接互联网的终端信息通过短信的形式实时通报给终端所在单位的负责人，以此来有效及时的阻断单位内部涉密信息在互联网上的传播。整个系统在实现上可分为应用层、SDK层和核心层，通过SDK层可以向第三方导出接口，方便在此基础上进行二次开发，从而提高系统的可复用性。
发明内容
本发明的目的在于提供一种基于三级安全体系架构的移动介质安全防护系统，使其能够在开放网络环境中保障移动介质内数据安全。以弥补当前存在的移动介质安全软件体系架构的主要不足1.防护体系只有两级，缺乏在外部网络或互联网络上的实时监控； 2.使用的安全机制单一，一旦一层保护被攻破，整个系统的保护效果将大打折扣。为实现上述目的，本发明的基于三级安全体系构架的移动介质安全防护系统包括移动介质集中注册管理模块、移动介质识别模块、密钥管理模块、动态加解密模块、网络通信保护模块、日志审计模块、智能监控模块，并将以上所有功能模块构建在一个覆盖开放网络环境的三级安全防护体系中，在整个互联网上对移动介质中的数据进行实时监控和保护，有利于全面保障移动介质中数据的保密性、完整性和可用性。移动介质集中注册管理模块负责管理移动介质的整个生命周期，包括购买、标记、监控和销毁；移动介质识别模块在客户端计算机或虚拟机中识别外部插入移动介质的动作，并对插入的移动介质进行认证， 拦截非法移动介质的插入行为；密钥管理模块负责对数据加解密密钥的整个生命周期进行管理，包括密钥的创建、分发、保存和销毁；动态加解密模块可以对进出移动介质的信息进行透明的加解密，并且不会影响用户的操作习惯和降低由此带来的效率损失；网络通信保护模块可以对传输到网络上的涉密信息进行监控，对传输源和目的地进行过滤，保障信息在网络上端到端的安全；日志审计模块负责记录所有针对移动介质的操作，及时避免安全隐患和事后追踪安全问题；智能监控模块负责对移动介质操作过程中可能存在的安全隐患进行实时监控，并及时阻断非法操作。互联网监控服务器、内部网络服务器分别通过互联网和内部网络与客户端相连。 客户端是整个系统策略和机制的执行单元。客户端在使用前必须在内部网络服务器对计算机进行登记，计算机一经启动，即向内部网络服务器开机注册，此后便处于内部网络服务器的监控状态中，当接入移动介质后，USB识别模块即可检测到设备的接入，从而获取标记号向内部网络服务器注册，对于合法的内部介质还需要进行用户登录和认证，认证通过后就可以根据从内部网络服务器获取的权限对移动介质进行操作，另外经过移动介质中的文件数据都必须进行动态加解密，保证移动介质脱离工作环境不会泄密。同时，记录用户操作移动盘的所有记录，并发往内部网络服务器作为审计记录。互联网监控模块通过TDI Client 驱动程序定时向互联网监控服务器发送外联信息，当客户端连接上互联网后，互联网监控服务器就可以接收到外联信息，从而通知单位负责人来阻止客户端连接互联网。此外，客户端在整个系统中被认为是不可信单元，系统自保护模块使用开机自启动机制保证计算机启动后就对用户的操作进行监控，通过文件只读策略、API Hook技术和轮询机制保证客户端软件的相关文件和注册表参数不被用户删除或者篡改。
内部网络服务器是系统内各种信息的管理中心，包括用户信息、设备信息、终端信息、部门信息、权限信息以及日志信息，部门内部的所有用户、移动介质和计算机终端都必须到内部网络服务器进行登记和注册方可使用，用户注册需记录用户ID和密码，移动介质的注册就是在其中的非用户存储区域写入标识符来唯一标识内部介质，而计算机终端则使用硬盘序列号来唯一标识。内部网络服务器的主要作用就是通过利用保存在数据库中的这些信息，与客户端进行一系列的数据交换，从而能够在方便用户使用计算机和移动介质的前提下，保证用户计算机和移动介质中信息的安全。当客户端计算机启动后，内部网络服务器根据客户端的开机注册信息对客户端的合法性进行验证，保证非法计算机无法在内部网络中使用；当客户端接入移动介质时，内部网络服务器通过对比数据库中保存的标记号以及认证信息判断移动介质的合法性，从而可以拒绝外来移动介质的接入；认证成功后，会接收到客户端发来的用户登录信息，内部网络服务器对比用户ID和密码成功后，就会将对应的权限返回，客户端通过设置权限即可使用移动介质。在移动介质使用过程中，服务器会将从客户端发来的日志信息保存在数据库中以便日后查看，对安全事故进行追踪。互联网监控服务器作为外联信息的管理中心，同样在数据库中保存了用户信息、 部门信息和计算机终端信息。它通过互联网对客户端实施远程监控，当各单位内部的计算机非法连接互联网时，互联网监控服务器可以实时检测到联网状况，并将联网计算机的外联信息保存在外联信息表中。同时，互联网监控服务器端开辟独立的线程定时扫描数据库中外联记录，根据外联记录获取联网计算机的标记号以及当前接入的移动介质信息，从而确定联网用户信息，并通过短信息的形式向该用户所在的单位负责人通报非法外联情况， 以便单位内部进一步处理。另外，在内部网络服务器、互联网监控服务器和客户端上安装NDIS中间层驱动程序，对内外网进行隔离，只允许客户端计算机和内部网络服务器、互联网监控服务器进行通信。拦截所有经过网络的数据包，并对其中的数据载荷进行加密和完整性校验，在接收端对所有从网络上接收的数据包进行解密并检查完整性，使得整个系统内部的数据传输都处于密文状态，防止第三方对数据进行监听、截获和篡改。本发明与当前存在的移动介质安全软件的体系架构相比，具有以下优点1.本发明建立了一个三级安全防护体系，在内部网络和外部网络同时对移动介质的使用进行全程监控，最大程度的保证移动介质中涉密信息的安全；2.本发明使用多种安全机制，在一种安全机制被恶意程序攻破的情况下，仍然可以有效保护移动介质中的信息安全。
图1为本发明基于三级安全体系架构的移动介质安全防护系统的系统结构图。图2为本发明基于三级安全体系架构的移动介质安全防护系统的功能模块图。
权利要求
1.基于三级安全体系构架的移动介质安全防护系统，其特征在于，该系统包括移动介质集中注册管理模块、移动介质识别模块、密钥管理模块、动态加解密模块、日志审计模块和智能监控模块，所有模块构建在一个覆盖开放网络环境的三级安全防护体系中，在整个互联网上对移动介质中的数据进行实时监控和保护，有利于全面保障移动介质中数据的保密性、完整性和可用性。所述移动介质集中注册管理模块负责管理移动介质的整个生命周期，包括购买、标记、监控和销毁；所述移动介质识别模块在客户端计算机或虚拟机中识别外部插入移动介质的动作，并对插入的移动介质进行认证，拦截非法移动介质的插入行为； 所述密钥管理模块负责对数据加解密密钥的整个生命周期进行管理，包括密钥的创建、分发、保存和销毁；所述日志审计模块负责记录所有针对移动介质的操作，及时避免安全隐患和事后追踪安全问题；所述智能监控模块负责对移动介质操作过程中可能存在的安全隐患进行实时监控，并及时阻断非法操作。
2.根据权利要求1所述的移动介质安全防护系统，其特征在于整个体系构架由互联网监控服务器、内部监控服务器，以及客户端计算机或客户端计算机上的虚拟机三部分组成。
3.根据权利要求2所述的互联网监控服务器，其特征在于第一，记录所有移动介质的基本信息，基本信息包括移动介质的序列号、使用人姓名、容量，此外还应记录客户端计算机或客户端计算机上的虚拟机的基本信息，基本信息包括计算机或虚拟机的名称、硬盘序列号；第二 监控使用移动介质的客户端计算机或虚拟机，并对非法连接互联网的客户端计算机或虚拟机采取必要的措施。
4.根据权利要求2所述的内部监控服务器，其特征在于内部网络服务器是系统内各种信息的管理中心，包括用户信息、设备信息、终端信息、部门信息、权限信息以及日志信息，部门内部的所有用户、移动介质和计算机终端都必须到内部网络服务器进行登记和注册方可使用，用户注册需记录用户ID和密码，移动介质的注册就是在其中的非用户存储区域写入标识符来唯一标识内部介质，而计算机终端则使用硬盘序列号来唯一标识。内部网络服务器的主要作用就是通过利用保存在数据库中的这些信息，与客户端进行一系列的数据交换，从而能够在方便用户使用计算机和移动介质的前提下，保证用户计算机和移动介质中信息的安全。当客户端计算机启动后，内部网络服务器根据客户端的开机注册信息对客户端的合法性进行验证，保证非法计算机无法在内部网络中使用；当客户端接入移动介质时，内部网络服务器通过对比数据库中保存的标记号以及认证信息判断移动介质的合法性，从而可以拒绝外来移动介质的接入；认证成功后，会接收到客户端发来的用户登录信息，内部网络服务器对比用户ID和密码成功后，就会将对应的权限返回，客户端通过设置权限即可使用移动介质。在移动介质使用过程中，服务器会将从客户端发来的日志信息保存在数据库中以便日后查看，对安全事故进行追踪。
5.根据权利要求2所述的客户端计算机或虚拟机，其特征在于客户端计算机或虚拟机是整个系统策略和机制的执行单元。客户端在使用前必须在内部网络服务器对计算机进行登记，计算机一经启动，即向内部网络服务器开机注册，此后便处于内部网络服务器的监控状态中，当接入移动介质后，USB识别模块即可检测到设备的接入，从而获取标记号向内部网络服务器注册，对于合法的内部介质还需要进行用户登录和认证，认证通过后就可以根据从内部网络服务器获取的权限对移动介质进行操作，另外经过移动介质中的文件数据都必须进行动态加解密，保证移动介质脱离工作环境不会泄密。同时，记录用户操作移动盘的所有记录，并发往内部网络服务器作为审计记录。
全文摘要
本发明公开了一种基于三级安全体系架构的移动介质安全防护系统。包括集中管理模块、识别模块、密钥管理模块、加解密模块、网络通信保护模块、日志审计模块、智能监控模块。集中管理模块负责管理移动介质的生命周期；识别模块对插入的移动介质进行识别和认证；密钥管理模块负责管理密钥的生命周期；动态加解密模块对进出移动介质的信息进行透明加解密；网络通信保护模块对网络上传输的涉密信息进行监控；日志审计模块记录针对移动介质的操作；智能监控模块对操作过程中存在的安全隐患进行监控。系统由客户端、内部网络服务器、互联网监控服务器组成，结合内外兼防和多级安全机制的思想，有利于全面保障移动介质中数据的保密性、完整性和可用性。
文档编号H04L12/26GK102170424SQ20101058470
公开日2011年8月31日 申请日期2010年12月13日 优先权日2010年12月13日
发明者俞卫华, 沈晖 申请人:沈晖, 王毅, 郭浩然