一种商用密码应用合规性检测系统及方法与流程

本发明涉及应用系统国产化商用密码管理，具体为一种商用密码应用合规性检测系统及方法。

背景技术：

1、当前，网络空间已经成为继陆、海、空、天之后的第五大主权领域空间，也是国际战略在我国网络社会领域的演进，最高检的网络安全面临着严峻挑战。“没有网络安全就没有国家安全”，按照国家网络安全法律、战略和等级保护制度的要求，推广安全可信产品和服务、筑牢网络安全防线是历史的使命。

2、在等保2.0的相关文件(gb/t 22239-2019《信息安全技术网络安全等级保护基本要求》、gb/t 25070-2019《信息安全技术网络安全等级保护安全设计技术要求》和《信息安全等级保护管理办法》)中，要求政府部门和各个公共行业对信息系统进行等级划分，并对相应等级进行了管理和技术上的明确规定。其中数据加密与数据防泄漏是一重要组成部分，要求三级以上系统的鉴别信息和重要业务数据存储要加密；

3、在gb/t 39786-2021《信息安全技术信息系统密码应用基本要求》中，明确要求保护重要数据在存储过程中的机密性、完整性；

4、《密码法》、《数据安全法》、《个人信息保护法》等法律的出台，对数据的安全提出了进一步明确的要求；

5、因此，数据安全必须被充分重视，在各行业中对信息加密、数据安全传输的需求正在日益增长；

6、商用密码应用合规性检测系统及方法作为数据安全、信息安全的最后一道防线，是建立基于国产密码算法的安全防护体系的重要组成部分；

7、针对上述问题，发明人提出一种商用密码应用合规性检测系统及方法用于解决上述问题。

技术实现思路

1、为了解决商用密码的数据信息安全等级低的问题；本发明的目的在于提供一种商用密码应用合规性检测系统及方法。

2、为解决上述技术问题，本发明采用如下技术方案：一种商用密码应用合规性检测系统，包括检测系统和交换系统，检测系统和交换系统信号连接，所述检测系统包括由网络抓包模块、数据库检测模块、漏洞扫描模块及流量采集模块组成；

3、所述网络抓包模块截取网络中的网络数据包，对数据通信过程中的所有lp报文实施捕获并进行逐层拆包分析，并显示数据包详细信息，以检测所传输数据是否采用国密算法进行加密，是否区分敏感数据与一般重要数据，其中关键字段是否被重点保护；

4、所述数据库检测模块对数据库的透明、无缝加密；

5、所述漏洞扫描模块对主机及网站资产提供漏洞扫描服务，发现网站和主机漏洞风险；

6、所述流量采集模块通过流量分析，了解网络真实的运行情况，及时发现运行中存在的问题。

7、优选地，所述网络抓包模块用途包括：

8、a、从功能测试角度，通过抓包查看隐藏字段；

9、b、通过网络抓包模块了解协议内容，方便开展接口和性能测试；

10、c、通过网络抓包模块，检查数据加密。

11、一种商用密码应用合规性检测系统的方法，包括以下步骤：

12、s1、网络抓包模块截取各种网络数据包，对数据通信过程中的所有lp报文实施捕获并进行逐层拆包分析，并显示数据包详细信息，以检测所传输数据是否采用国密算法进行加密，是否区分敏感数据与一般重要数据，其中关键字段是否被重点保护；

13、s2、数据库检测模块对数据库的透明、无缝加密，业务系统开发商无需进行任何开发，只需在服务器端进行配置、部署，即可实现基于国产密码算法的数据库加密，实现敏感数据的机密性、完整性保护；

14、s3、漏洞扫描模块对主机及网站资产提供漏洞扫描服务，快速发现网站和主机漏洞风险，防止攻击者通过漏洞植入后门、窃取核心数据、破坏服务器；

15、s4、流量采集模块通过流量分析，了解网络真实的运行情况，及时发现运行中存在的问题，流量采集模块通过流量对业务应用层进行分析，了解网站访客的数据，如ip地址、浏览器信息，统计网站在线人数、了解用户所访问网站页面，通过分析出异常帮助网站管理员知道是否有滥用或者攻击现象，了解网站使用情况，提前应对网站服务器系统的负载问题，流量采集模块通过流量对安全监测领域进行分析，实现对网络异常通信的监测，防范常见的网络入侵、ddos攻击。

16、与现有技术相比，本发明的有益效果在于：

17、1、本发明中，通过对应用系统密码算法使用的合规性、标准性、完整性、安全性进行定期检测，集成自动扫描工具，能够检测密码应用中可能存在的弱点和违规实践，如密码存储明文、使用过时的加密算法等，引入实时监测机制，及时捕捉密码应用中的异常活动，包括多次尝试登录、频繁密码更改等可能表明恶意行为的情况，设立访问控制策略，确保只有经过授权的人员可以访问密码应用，以防止未经授权的访问，记录并存储所有密码应用的活动，包括登录尝试、密码更改等，以便在需要时进行审计和调查；

18、2、本发明中，通过引入加密标准检测，以确保密码应用采用符合行业标准的加密算法，防止数据泄露和未经授权的访问，确保密码应用及相关组件及时更新，以修复已知漏洞和提高系统的整体安全性，提供定期的用户培训，使其了解密码安全最佳实践，减少人为因素对合规性的影响，提供定期的合规性报告，以供管理层审阅，确保密码应用符合规定标准和政策，确保系统符合国际、国内相关的密码安全法规，以防止法律责任和罚款。

技术特征：

1.一种商用密码应用合规性检测系统，包括检测系统和交换系统，检测系统和交换系统信号连接，其特征在于，所述检测系统包括由网络抓包模块(10)、数据库检测模块(20)、漏洞扫描模块(30)及流量采集模块(40)组成；

2.如权利要求1所述的一种商用密码应用合规性检测系统，其特征在于，所述网络抓包模块(10)用途包括：

3.一种应用于权利要求1-2任意一项所述的商用密码应用合规性检测系统的方法，其特征在于，包括以下步骤：

技术总结
本发明公开一种商用密码应用合规性检测系统及方法，涉及应用系统国产化商用密码管理技术领域；而本发明包括检测系统和交换系统；本发明中，通过对应用系统密码算法使用的合规性、标准性、完整性、安全性进行定期检测，集成自动扫描工具，能够检测密码应用中可能存在的弱点和违规实践，如密码存储明文、使用过时的加密算法等，引入实时监测机制，及时捕捉密码应用中的异常活动，包括多次尝试登录、频繁密码更改等可能表明恶意行为的情况，设立访问控制策略，确保只有经过授权的人员可以访问密码应用，以防止未经授权的访问，记录并存储所有密码应用的活动，包括登录尝试、密码更改等，以便在需要时进行审计和调查。

技术研发人员：李诚辰,许睿,石波,印哲然,张梦雅
受保护的技术使用者：江苏航天七零六信息科技有限公司
技术研发日：
技术公布日：2024/3/31