专利名称：网络安全管理方法及其系统的制作方法
技术领域：
本发明涉及一种网络安全管理方法及其系统，尤其涉及一种基于本地数据 加密与传输加密实现安全网络的管理系统及其方法。
背景技术：
随着科学技术的发展，网络科技日新月异，办公自动化及互联网络的应用 越来越普及，企业或单位之间通过互联网络相互传递信息，企业或单位内部通 过局域网相互传递信息，因此，网络信息安全问题至关重要。目前，广泛应用的防火墙、IDS、内外网隔离以及其它针对外部网络的访问 控制系统，可有效防范来自网络外部的攻击，但对于网络内部的信息保密问题， 却一直没有好的防范方法。中国第200510040385.5号专利申请揭示了一种网络行为管理方法与系统，其 基于网络内部信息资源的保密安全，采用客户端/服务端c/s管理结构对网络内部 进行全面监控，c/s管理结构包括客户端、服务端和数据库；通过密码设定使授 权访问限于服务端程序，并将重要信息存入数据库；服务端程序包括全方位监 控技术与集中管理方式，来控制和管理网络内部计算机的各种事件，通过客户 端程序来记录计算机各种操作，并反馈给服务端程序。这种方式对网络传输和 本地数据均未加密，系统仍然可以与外部网络通信，且对在硬盘上的数据的保 护仍然不够安全，如果硬盘独立出主机，可以很轻易获取硬盘上数据，并未采 用硬件对软件的看护，软件的安装有效性和执行有效性未得到保护。发明内容为了克服现有网络信息安全管理系统安全功能不完善、安全程度低的不足， 本发明提供一种网络安全管理方法，具有防泄密、安全程度高的特点。本发明进一步所要解决的技术问题是提供一种网络安全管理系统，以克 服现有网络信息安全管理系统安全功能不完善、安全程度低的不足，具有防泄 密、安全程度高的特点。为解决上述技术问题，本发明采用如下技术方案 一种网络安全管理方法，包括以下步骤步骤一安全网卡与安全交换机使用证书创建加密隧道； 步骤二安全网卡向安全交换机请求身份验证；步骤三若身份验证通过，安全交换机向安全网卡发放通信密钥，否则发 回认证失败信息；步骤四安全网卡获取上述密钥后，本地数据加解密开始工作； 步骤五IP协议通信发生。所述步骤二中，安全网卡向安全交换机进行请求身份认证，安全交换机将 对安全网卡进行身份ID识别和权限授予。所述步骤三中，若身份验证通过，安全交换机生成安全网卡的通信密钥， 并把认证通过信息、安全网卡本地数据加解密密钥、安全网卡通信密钥通知给 安全网卡。所述步骤四中，当本地数据加解密开始工作，受控主机进行操作系统引导， 并启动所述受控主机防护模块并受安全网卡看护，开始进行主机保护。所述步骤五中，安全网卡从缓存直接获得未过期的目标地址的通信密钥， 或从安全交换机获取目标地址的新的通信密钥，以该密钥对发出的IP包内容进行 加密，目标地址的通信密钥获取失败，将产生此次IP协议通信的失败，对于收到 的IP包则用安全网卡自身的通信密钥解密。为了解决上述进一步的技术问题，本发明提出一种网络安全管理系统，包 括受控主机、安全交换机和安全网卡，所述受控主机连接用于完成身份认证、 密钥管理、通信加密和本地数据加密功能的安全网卡，所述安全网卡连接用于 策略管理和配置管理i安全网卡用户身份认证以及通信密钥和本地数据加解密 密钥分发功能的所述安全交换机。所述系统还包括用于管理安全网卡和安全交换机的管理模块，并通过浏览 器/服务器模式(B/S)或客户机服务器模式(C/S)来访问安全网卡和安全交换机， 完成策略和配置管理变更操作。所述安全网卡与受控主机的通信接口为计算机总线接口。常见的计算机总 线接口如PCI、 PCIE和ISA总线接口，优选为PCI接口。除此以外安全网卡 与受控主机的通信接口还可以为USB接口、 IEEE1394接口等。所述受控主机还包括接收安全交换机发送的策略，并按照既定策略对主机 进行防护、日志上传的受控主机防护模块，其通过计算机总线接口与安全网卡连接通信。所述安全网卡包括主控制器，分别与主控制器连接并受其集成控制的硬盘 加密模块、USB 口、以太网口；所述主控制器与所述受控主机通过计算机总线 接口连接通信；硬盘加密模块与受控主机的硬盘接口连接通信，硬盘加密模块 通过硬盘接口对硬盘进行数据拦截，实现对硬盘的读写加解密；以太网口传输 安全网卡与安全交换机的认证信息，并传输受控主机防护模块与安全交换机的 管理信息和加密受控主机正常的业务信息流，设置安全网卡总线接口工作在从 模式与受控主机通信。常见的硬盘接口如IDE、 SATA、 SCSI等。以太网口可 以分设以太网控制口和以太网数据口。本发明的有益效果在于由于本发明网络安全管理方法及其系统通过基于 本地数据加密与传输加密实现安全网络的方法及系统来完成，既确保资料只能 授权使用，又确保了网络通信的安全，可以做到信息源防御、信息传输者防御 和信息使用者防御三级防御，安全功能完善，具有防泄密、安全程度高的特点。
图l为本发明网络安全管理方法及其系统的原理示意图；图2为本发明网络安全管理系统的安全交换机的数据流程图；图3为本发明网络安全管理系统的安全网卡的原理示意图。
具体实施方式
本发明网络安全管理方法及其系统的原理参看图l。主要是体现信息源防 御、信息传输者防御和信息使用者防御三级防御的多重网络安全防御机理，真 正做到给网络用户提供一个安全的信息交流环境，保证网络数据传递和本地数 据的安全。本发明网络安全管理方法包括以下步骤步骤一安全网卡11与安全交换机20使用证书创建加密隧道； 步骤二安全网卡11向安全交换机20请求身份验证；步骤三当安全交换机20验证通过了安全网卡11身份认证，生成安全网卡 ll的通信密钥，把认证通过信息、安全网卡ll本地数据加解密密钥、安全网卡ll 通信密钥通知给安全网卡ll，否则给安全网卡ll发回认证失败信息；步骤四安全网卡ll获取认证通过信息、安全网卡ll本地数据加解密密钥、安全网卡ll通信密钥后，本地数据加解密开始工作，受控主机io进行操作系统引导，受控主机防护模块12启动并受安全网卡11看护，开始进行主机保护；步骤五IP协议通信发生。安全网卡ll从缓存直接获得未过期的目标地址的 通信密钥，或从安全交换机20获取目标地址的新的通信密钥，以该密钥对发出 的IP包内容进行加密，目标地址的通信密钥获取失败(如无该地址的访问权限)， 将产生此次IP协议通信的失败，对于收到的IP包则用安全网卡ll自身的通信密钥可以理解，在上述步骤一中，安全网卡11与安全交换机20使用证书创建的 加密隧道是一个特殊的通信隧道；在上述步骤二中，安全网卡ll向安全交换机 20进行请求身份认证，安全交换机20将对安全网卡11进行身份ID识别和权限授 予；在上述步骤三中，如果安全交换机20验证通过了安全网卡11身份，生成通 信密钥发给安全网卡ll，还将安全网卡ll本地数据加解密密钥发给安全网卡ll。本发明网络安全管理系统参看图l，包括受控主机IO、安全网卡ll、安全交 换机20及管理模块30。其中受控主机10包括受控主机防护模块12，安全网卡ll 通过PCI通信接口15与受控主机防护模块12连接通信。安全交换机20包括管理与 认证模块21 ，其和管理模块30分别与安全网卡11和安全交换机20连接通信。PCI通信接口15为一种常见的计算机总线接口，其它常见的还有如PC正和 ISA总线接口，优选为PCI接口。除此以外安全网卡与受控主机的通信接口还可 以为USB接口、 IEEE1394接口等。其中受控主机10上的安全网卡11用于完成身份认证、密钥管理、通信加密 和本地数据加密等功能；受控主机防护模块12接收管理与认证模块21发送的策 略，按照既定策略对主机进行防护，日志上传管理与认证模块21等；管理与认 证模块21用于策略管理和配置管理以及分发，对受控主机防护模块12上传的曰 志进行管理、存储、查看以及输出报表等，对安全网卡ll用户身份认证以及通 信密钥分发等功能；用于管理安全网卡和安全交换机的管理模块30是系统管理 员与管理与认证模块21进行通信的一个窗口 ，用浏览器/服务器模式(B/S)来访问 管理与认证模块21，完成策略和配置管理变更等操作；PCI通信接口15用于网络 通信与传输。管理模块30除了采用浏览器/服务器模式(B/S)来访问管理与认证模块21外， 还可以采用客户机/服务器模式(C/S)。参看图2为本发明网络安全管理系统的安全交换机的数据流程图，本发明网络安全管理系统的安全交换机20集成安全网卡11身份验证和密钥管理以及本系 统管理的功能，其可按实际需要剥离为普通交换机和对安全网卡ll身份验证和 密钥管理以及本系统管理功能的主机。其工作时首先，安全交换机20与安全 网卡ll使用证书创建加密隧道成功，启动该安全网卡11与安全交换机20之间的 消息泵；其次，当安全交换机20的消息泵收到安全网卡11发送的请求身份验证 消息后，对安全网卡ll进行身份识别，通过后给安全网卡ll发送认证通过消息， 消息中携带本地数据加解密密钥和通信密钥；第三，当安全交换机20的消息泵 收到安全网卡发送目标地址的通信密钥请求信息，如果有访问目标地址的权限， 给安全网卡ll发送目标地址的通信密钥请求成功消息，消息中携带目标地址的 通信密钥；第四，当安全交换机20的消息泵收到管理模块30发送的管理请求信 息，做配置，策略更新等处理。可以理解，上述过程中，如果身份识别或分配新的通信密钥失败，安全交 换机20给安全网卡11发送认证失败消息，消息中携带失败原因；如果安全网卡 ll没有访问目标地址的权限，安全交换机20给安全网卡11发送目标地址的通信 密钥请求失败消息，消息中携带失败原因。本发明网络安全管理系统中非常重要的发明部分是安全网卡，安全网卡结 构，参看图3示例，本实施例的安全网卡包括主控制器lll，分别与主控制器lll 连接并受其集成控制的硬盘加密模块112、 USB口114、以太网控制口115及以太 网数据口116，其中主PC机113通过PCI总线接口与主控制器111连接通信，硬盘 加密模块112与IDE口连接通信。工作时，首先，硬盘加密模块112通过IDE口对 硬盘进行数据拦截，实现对硬盘的读写加解密；其次，通过以太网控制口115传 输安全网卡11与安全交换机20的认证信息，并传输受控主机防护模块12与安全 交换机20的管理信息；第三，通过以太网数据口116加密受控主机10正常的业务 信息流；第四，设置PCI总线接口工作在从模式，与PC主板通信。其中以太网控 制口115及以太网数据口116可以合并为一个以太网口。可以理解，本发明网络安全管理方法及其系统通过基于本地数据加密与传 输加密实现安全网络的方法及系统来完成，即通过本地数据加密，保证资料文 档的防泄密性，确保资料只能授权使用；通过安全网卡上的身份ID和密钥有效 性实现认证和加密，保证网络通信都已授权和加密，确保了网络通信的安全； 通过主机防护软件，确保了主机系统的安全；通过软硬件相互看守技术，确保 只有通过认证的安全网卡才能正常运行，确保了主机防护的有效性。以上所述，仅为本发明的较佳实施例而己，并非用于限定本发明的保护范 围，凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均应 包含在本发明的保护范围之内。
权利要求
1、一种网络安全管理方法，其特征在于包括以下步骤步骤一安全网卡与安全交换机使用证书创建加密隧道；步骤二安全网卡向安全交换机请求身份验证；步骤三若身份验证通过，安全交换机向安全网卡发放通信密钥，否则发回认证失败信息；步骤四安全网卡获取上述密钥后，本地数据加解密开始工作；步骤五IP协议通信发生。
2、 如权利要求1所述的网络安全管理方法，其特征在于所述步骤二中， 安全网卡向安全交换机进行请求身份认证，安全交换机将对安全网卡进行身份 ID识别和权限授予。
3、 如权利要求l所述的网络安全管理方法，其特征在于所述步骤三中， 若身份验证通过，安全交换机生成安全网卡的通信密钥，并把认证通过信息、 安全网卡本地数据加解密密钥、安全网卡通信密钥通知给安全网卡。
4、 如权利要求l所述的网络安全管理方法，其特征在于所述步骤四中， 当本地数据加解密开始工作，受控主机进行操作系统引导，并启动所述受控主 机防护模块并受安全网卡看护，开始进行主机保护。
5、 如权利要求l所述的网络安全管理方法，其特征在于所述步骤五中， 安全网卡从缓存直接获得未过期的目标地址的通信密钥，或从安全交换机获取 目标地址的新的通信密钥，以该密钥对发出的IP包内容进行加密，目标地址 的通信密钥获取失败，将产生此次IP协议通信的失败，对于收到的IP包则用 安全网卡自身的通信密钥解密。
6、 一种网络安全管理系统，包括受控主机、安全交换机和安全网卡，其 特征在于所述受控主机连接用于完成身份认证、密钥管理、通信加密和本地 数据加密功能的安全网卡，所述安全网卡连接用于策略管理和配置管理、安全 网卡用户身份认证以及通信密钥和本地数据加解密密钥分发功能的所述安全 交换机。
7、 如权利要求1所述的网络安全管理系统，其特征在于所述系统还包 括用于管理安全网卡和安全交换机的管理模块，并通过浏览器/服务器模式或 客户机/服务器模式来访问安全网卡和安全交换机，完成策略和配置管理变更 操作。
8、 如权利要求6或7所述的网络安全管理系统，其特征在于所述安全网卡与受控主机的通信接口为计算机总线接口 。
9、 根据权利要求如权利要求8所述的网络安全管理系统，其特征在于所述计算机总线接口为PCI总线接口。
10、 如权利要求8所述的网络安全管理系统，其特征在于所述受控主机还包括接收安全交换机发送的策略，并按照既定策略对主机进行防护、日志上 传的受控主机防护模块，其通过计算机总线接口与安全网卡连接通信。
11、 如权利要求10所述的网络安全管理系统，其特征在于所述安全网卡包括主控制器，分别与主控制器连接并受其集成控制的硬盘加密模块、USB口、以太网口；所述主控制器与所述受控主机通过计算机总线接口连接通信；硬盘加密模块与受控主机的硬盘接口连接通信，硬盘加密模块通过硬盘接口对硬盘进行数据拦截，实现对硬盘的读写加解密；以太网口传输安全网卡与安全 交换机的认证信息，并传输受控主机防护模块与安全交换机的管理信息和加密 受控主机正常的业务信息流，设置安全网卡总线接口工作在从模式与受控主机 通信。
全文摘要
本发明涉及一种网络安全管理方法及其系统，其中方法包括以下步骤安全网卡与安全交换机使用证书创建加密隧道；安全网卡向安全交换机请求身份验证；若身份验证通过，安全交换机向安全网卡发放通信密钥，否则发回认证失败信息；安全网卡获取上述密钥后，本地数据加解密开始工作；IP协议通信发生。系统结构为受控主机连接用于完成身份认证、密钥管理、通信加密和本地数据加密功能的安全网卡，安全网卡连接用于策略管理和配置管理以及分发对安全网卡用户身份认证以及通信密钥分发功能的安全交换机。本发明可以做到信息源防御、信息传输者防御和信息使用者防御三级防御，安全功能完善，具有防泄密、安全程度高的特点。
文档编号H04L12/28GK101291244SQ200710074050
公开日2008年10月22日 申请日期2007年4月16日 优先权日2007年4月16日
发明者王银珠 申请人:深圳市维信联合科技有限公司