一种网络数据防护系统的制作方法

本发明涉及网络安全技术领域，尤其涉及一种网络数据防护系统。

背景技术

随着地税局税收信息化建设全面和深入发展，以及金税三期等重要系统的上线运行，各类税务业务信息系统中存储了大量的数据，这些数据在税收管理与服务中发挥着重要的作用。在“互联网+税务”和“大数据治税”浪潮来临的背景下，数据越来越成为税收工作和技术管理的核心。

现有公告号为cn107248975a的中国专利公开了一种基于大数据分析的apt监测防御系统，它包括数据采集层、信息预处理层、综合分析与数据存储层和表现层；所述的数据采集层与信息预处理层相连，信息预处理层与综合分析与数据存储层相连，综合分析与数据存储层与表现层相连；所述的数据采集层对终端的本地数据进行采集以及对网络数据进行采集。该发明可用于财政、工商、税务、党政等信息网络安全防御之用，具有信息流检测与报警、操作过程监察与审计、数据还原与恢复支持等多项功能，保证正常业务应用系统的合法通讯，为信息安全基础设施和重要网络信息系统保驾护航。

但是上述数据信息的下载后保存在操作端电脑上，但操作端的电脑下载后的数据信息容易泄露或被篡改，如何防范下载后的核心数据不被泄漏和篡改，成为了后续要继续解决的技术问题。

技术实现要素：

本发明的目的是提供一种网络数据防护系统，具有防范下载后的核心数据被泄漏和被篡改的效果。

本发明的上述技术目的是通过以下技术方案得以实现的：

一种网络数据防护系统，包括硬件和软件，硬件包括若干客户端，所述软件包括信息系统入口安全管理系统和业务系统，信息系统入口安全管理系统接收来自业务系统的文件；信息系统入口安全管理系统和业务系统安装于每台客户端上；所述硬件连接有身份验证装置或者所述软件设置有身份验证模块，所述身份验证装置或身份验证模块控制信息系统入口安全管理系统和业务系统的启动；所述信息系统入口安全管理系统包括有数据安全区和云盘，所述数据安全区用于存放下载自业务系统的文件，所述云盘用于转接数据安全区存放的文件。

通过采用上述技术方案，信息系统入口安全管理系统，通过生物识别技术指纹验证户的身份，识别用户的身份后才授权用户进入业务系统。从业务系统下载的数据会被保存在数据安全环境中。未通过身份认证的用户无法读取、复制、传播和删除数据安全环境中受到保护的文件。受保护文件脱离数据安全环境后，打开只能看到加密后的乱码。从而起到防范下载后的核心数据被泄漏和被篡改的作用。

进一步的，所述身份验证装置为指纹采集仪或者ukey。

通过采用上述技术方案，用户访问软件系统时，验证用户身份信息，验证通过访问业务系统，后台可以核查用户操作行为。用指纹认证技术和数字证书技术建立了身份认证体系，确保文件的安全，防范被泄漏以及被人恶意篡改。

进一步的，所述身份验证模块为短信密码验证模块。

通过采用上述技术方案，用户访问软件系统时，通过手机加口令的模式验证其身份，通过后的用户可以获得岗位角色和系统可操作权限，确保数据文件的安全，防范被泄漏以及被人恶意篡改。

进一步的，所述业务系统包括在线管理模块、查询模块、报警模块、设备管理模块、安全控制模块和任务推送模块；

所述在线管理模块用于统计在线的人员情况；

所述查询模块用于对终端用户行为进行审计；

所述设备管理模块用于设备安装的管理；

所述安全控制模块用于软件网络控制；

所述报警模块用于对非法操作和使用环境发生变化的报警；

所述任务推送模块用于客户端文件和软件的分发管理。

通过采用上述技术方案，采用了全新的业务系统，业务系统对用户各种行为审计记录的收集，针对对收集上来的用户行为数据做智能的分析与提炼，为用户建立一个体系化的智能分析数据模型，实现用户审计行为的智能监管与预警。

进一步的，所述在线管理模块由在线统计数据库组成，在线轴数据库设有树状分层，分别包括一级部门在线列表的和二级人员在线列表。

通过采用上述技术方案，用户可以根据部门、人员等进行在线的实时查询，展现某段时间内的业务系统使用情况。这样，了解在线情况后，用户可以进行及时互动，协同填写、核对或修改数据文件。同时管理员也可以通过任务推送模块，发送文件给在线的客户端。

进一步的，所述查询模块包括日志元数据模块、统计报表模块和数据安全模块；

所述日志元数据模块用于记录使用状态；

所述统计报表模块用于统计存储使用情况；

所述数据安全模块用于统计数据输出的次数。

通过采用上述技术方案，业务系统对于所有的信息先进行记录、存储后，再提供查询，并统计查询数据的次数，进行全面的审计和分析，尽可能的防范非法操作，做到各节点有迹可循。

进一步的，所述日志元数据模块包括受控应用访问日志列表，受控文件使用日志列表，受控终端登录日志列表，安全盘使用日志列表，usb使用日志列表。

通过采用上述技术方案，业务系统日志元数据模块可以详细记录客户端的计算机使用日志和上网行为日志，有助于帮助管理者及时了解客户端日常使用状况，进而通过日志记录的审查，做到非法操作有据可查。

进一步的，所述数据安全模块包括操作安全盘次数统计、操作云盘次数统计、输出文件次数统计、受控终端登录次数、客户端安装统计、指纹仪安装统计和ukey安装统计。

通过采用上述技术方案，数据安全模块对内部操作以及外部终端使用中关于有可能涉及数据输出的行为均进行了审计，通过时间轴和分类的方式来展现审计数据，而通过数据安全模块的审查，尽可能的防范非法操作，进一步做到有据可查。

进一步的，所述报警模块包括违规网址访问报警、违规程序使用报警、非法ip接入报警、文件外发报警、系统安全报警、ip地址变化报警、硬件资产变化报警和软件资产变化报警。

通过采用上述技术方案，扩大了以往的监控范围和报警范围，对每一个有可能造成数据泄漏、篡改或是非法操作的情况产生的行为进行报警，提高系统的安全性。

进一步的，所述任务推送模块包括文件分发推送模块和软件分发推送模块。

通过采用上述技术方案，业务系统软件针对大型网络提供了文件分发和软件分发的功能，上传要分发的文件或软件程序文件，选择要分发的计算机，点击保存分发任务，客户机开机在线后自动执行文件分发任务。这样，通过管理员的人为选择熟悉的用户，接收者也为通过业务系统认证可以登录进来在线的用户，双重保障，提高文件分发的安全性。

综上所述，本发明具有以下有益效果：

1、通过两种身份验证装置和/或一种身份验证模块，实现了多重绑定认证，达到了人、设备、岗位、权限的贯通，使系统运行和管理融为一体；

2、通过设置数据安全区和云盘，完成文件下载功能上的完善，使用户的文件安全流转，不易被泄漏和被篡改；

3、通过日志单元模块，对系统内部使用情况，以及外部终端进行了审计和分析，克服了传统网络完全只关注内部操作或局部终端的问题，尽可能的防范非法操作，进一步做到有据可查；

4、通过全新的业务系统，以时间轴方式展现审计数据，在对用户各种对用户各种行为审计记录的收集与数据堆叠的基础上，针对对收集上来的用户行为数据做智能的分析与提炼，为用户建立了一个体系化的智能分析数据模型，实现用户审计行为的智能监管与预警。

附图说明

图1是实施例中用于体现硬件结构示意图；

图2是实施例中用于体现软件系统的框架示意图；

图3是实施例中用于体现业务系统的框架示意图。

图中，1、客户端；2、身份验证装置；3、业务系统；31、身份验证模块；32、在线管理模块；33、查询模块；331、日志元数据模块；332、统计报表模块；333、数据安全模块；34、设备管理模块；35、安全控制模块；36、报警模块；37、任务推送模块；371、文件分发推送模块；372、软件分发推送模块；4、信息系统入口安全管理系统；41、数据安全区；42、云盘；43、加密模块；44、记录模块；45、水印模块。

具体实施方式

以下结合附图对本发明作进一步详细说明。

实施例：

如图1所示，本实施例提供了一种网络数据防护系统，包括硬件和软件，硬件包括若干客户端1。客户端1接入有生物识别设备和/或口令设备，验证人员身份和岗位，授权使用者操作权限。另外在软件系统中也设置有身份验证模块31，在没有接入外部的验证设备时，对将要登录的用户身份进行验证。这样，从三重方式中选择一重或多重进行验证，从而达到人、终端设备、岗位、使用权限的贯通。

如图2所示，软件安装在每台客户端1上，软件包括信息系统入口安全管理系统4和业务系统3。信息系统入口安全管理系统4接收来自业务系统3的文件。

如图2所示，信息系统入口安全管理系统4包括有数据安全区41和云盘42数据安全区41存放下载自业务系统3的文件，云盘42转接数据安全区41存放的文件。使用时，用户进入数据安全环境的同时登陆私有云盘42，在数据安全环境中，选取需要流转与备份的数据文件，上传至私有云盘42；并可选取需要流转的文件，发送给指定的在线数据文件接收者。这样，从业务系统3下载的数据会被保存在数据安全环境中。同时未通过上述身份认证的用户无法读取、复制、传播和删除数据安全环境中受到保护的文件。另外，信息系统入口安全管理系统还另设有加密模块43，受保护文件脱离数据安全环境后，打开只能看到加密后的乱码。信息系统入口安全管理系统设有记录模块44，对流转信息进行记录。信息系统入口安全管理系统还具有水印模块45，能够在文件打开编辑、打印时加入水印，水印内容包括用户名、ip、时间等信息，保障用户权益。

如图3所示，业务系统3包括在线管理模块32、查询模块33、报警模块36、设备管理模块34、安全控制模块35和任务推送模块37。

如图3所示，在线管理模块32用于统计在线的人员情况。在线管理模块32由在线统计数据库组成，在线轴数据库设有树状分层，分别包括一级部门在线列表的和二级人员在线列表。部门在线列表主要通过行政管理参数设置，属于系统开始正式运行前的参数配置，目的是为了方便以后的实名制管理。主要负责按照实际管理过程中的行政级别划分及工作地点名称设置系统相应的管理级别名称和工作地点名称。当有了该部分设置后，用户通过客户端1注册用户信息时就可以在已经存在的设置参数中选择自己所属的行政单位和工作地点，从而为以后责任到人员到相关部门打下基础。用户可以根据部门、人员等进行在线人员的实时查询，展现某段时间内的业务系统3使用情况。用户可以进行协同工作，协同填写、核对或修改数据文件。同时管理员也可以通过任务推送模块37，发送文件给在线的客户端1。

如图3所示，查询模块33用于对终端用户行为进行审计。查询模块33包括日志元数据模块331、统计报表模块332和数据安全模块333。日志元数据模块331用于记录使用状态，包括上网日志、程序日志、屏幕日志、文件操作日志等，例如上网日志，选择某个客户机，在日志管理中选择网址日志，则显示当天的上网日志，可以选择时间进行历史日志的查询。统计报表模块332用于统计存储使用情况，例如安全区的存储空间，此模块为附加模块，有更好。数据安全模块333用于统计数据输出的次数，包括操作安全盘次数统计、操作云盘42次数统计、输出文件次数统计、受控终端登录次数、客户端1安装统计、指纹仪安装统计和ukey安装统计。为方便查询模块33的使用，业务系统3设有自己的数据库，这些日志保存在数据库中。数据库包括存储模块、备份模块和保留模块。存储模块用于基本列表的存储，和常用数据库一致。备份模块可设定每天、每周或每月备份接收一次存储模块的数据，同时设有文本目录设置，设定备份文件的存放目录。保留模块为备份模块的数据文件日志等保留时限，设定数据库备份日志文件的保留有效时限，超过该时限的数据文件将被删除。同时还可以设定授权设备上传日志保留时限，主机信息保留时限，网卡及设备端口流量信息保留时限，报警信息保留时限等。例如，授权设备上传日志保留时限，设定数据库中授权设备上传日志保留的有效时限，超过该时限的离线主机将被删除。通过对数据库的维护为查询单元提供的稳定又安全的使用环境。

设备管理模块34，用于设备安装的管理。可以帮助用户迅速、准确地实现对网络的控管。用户可通过设备管理模块34添加系统授权范围内的网络设备，包括设置网络设备的ip及进行snmp管理用的团体名称。设备管理模块34可进行的操作有筛选设备、添加设备、删除设备等。同时设备管理模块34还可以设置未知设备厂商管理和设备冗余ip管理。未知设备的厂商管理，例如对于系统已发现的设备，但无法识别厂商时，可以通过“未知设备厂商管理”进行手工设定。设置完成后可点击添加，让设备在设备相关的列表中显示。设备冗余ip管理，例如针对网络设备存在多个ip地址的情况，系统提供查询设置网络设备冗余ip地址，系统自动发现的冗余ip地址将列在此处，供用户查询，对于系统尚未自动发现的冗余ip地址，用户可自行添加设备冗余ip地址和设备管理ip地址进行管理。

安全控制模块35，用于软件网络控制，安全控制模块35管理扫描探测到的网络设备，包括网络设备通讯链路监控，网络端口工作状态监控和端口安全状态监控，以及网络设备端口定位和操作管理等，与设备管理模块34匹配，有异常的报送给报警模块36。

报警模块36用于对非法操作和使用环境发生变化的报警。报警模块36包括违规网址访问报警、违规程序使用报警、非法ip接入报警、文件外发报警、系统安全报警、ip地址变化报警、硬件资产变化报警和软件资产变化报警。例如违规网址访问报警，管理员设置了客户端1计算机禁止访问的网站，当计算机使用者访问了该网站时，在管理端报警中心，上网报警中，会有相关报警显示。管理员可随时查看客户端1计算机的违规网址访问报警。再例如违规程序使用报警，管理员设置了客户端1计算机禁止访问的程序，当计算机使用者使用了该程序时，在管理端报警中心，程序报警中，会有相关报警显示。管理员可随时查看客户端1计算机的违规程序使用报警。保证网络使用环境的安全，做到有据可查。

如图3所示，任务推送模块37包括文件分发推送模块371和软件分发推送模块372。文件分发推送模块371对大型网络提供了文件分发任务的功能，上传要分发的文件，选择要分发的计算机，点击保存分发任务，客户端1开机后自动执行文件分发任务。软件分发推送模块372对要上传的软件程序文件，选择要发送的计算机，点保存分发任务。客户端1开机后会自动执行该软件安装任务。业务系统3的更新也通过此模块推送。

本具体实施例仅仅是对本发明的解释，其并不是对本发明的限制，本领域技术人员在阅读完本说明书后可以根据需要对本实施例做出没有创造性贡献的修改，但只要在本发明的权利要求范围内都受到专利法的保护。