一种基于网络标签通信的分级分域访问控制方法和系统的制作方法
【专利摘要】本发明属于计算机信息安全【技术领域】，特别是涉及一种基于网络标签通信的分级分域访问控制方法和系统。方法包括：终端在IP数据包发送前根据终端内部配置策略确认数据是否能够发送，如果能够发送对待发送的IP数据包追加设备标签数据后发送；终端在接收IP数据包时验证设备标签数据，根据终端内部配置策略判断IP包是否能够接收，如果设备标签数据合法则解除标签数据，接收IP数据包，否则丢弃此IP包。本发明的优点有：实现同级别域终端双向访问、低级别域内终端数据单向流入高级别域终端等分级分域访问控制，同时在网络数据传输过程中只有被注册终端识别，以此保网络数据的安全性。
【专利说明】一种基于网络标签通信的分级分域访问控制方法和系统
【技术领域】
[0001]本发明属于计算机信息安全【技术领域】，特别是涉及一种基于网络标签通信的分级分域访问控制方法和系统。
【背景技术】
[0002]涉密信息系统分级保护是以系统所处理信息的最高密级来确定安全等级的，在合理划分安全域边界安全可控的情况下，各安全域可根据涉密高定级单独定级，实施“分域分级防护”的策略，从而保障信息安全。目前现有的分级分域访问控制大多是基于权限的用户层分级分域访问控制方法，该方法无法实现终端分级分域管理。
【发明内容】
[0003]本发明所要解决的技术问题是提供一种基于网络标签通信的分级分域访问控制方法和系统，区别于普通的基于权限的用户层分级分域访问控制，本发明不仅能够实现分级分域访问控制功能，而且能够保障网络数据安全。
[0004]本发明解决其技术问题所采用的技术方案是:一种基于网络标签通信的分级分域访问控制方法，具体包括以下步骤:
1)终端在IP数据包发送前根据终端内部配置策略确认数据是否能够发送，如果能够发送对待发送的IP数据包追加设备标签数据后发送；
2)终端在接收IP数据包时验证设备标签数据，根据终端内部配置策略判断IP包是否能够接收，如果设备标签数据合法则解除标签数据，接收IP数据包，否则丢弃此IP包；
所述标签数据包括网络域标识、网络级别标识、主体标识和访问权限。
[0005]优选的，所述步骤I)之前还包括策略管理系统配置终端访问控制策略步骤，具体包括配置终端所在网络域划分、网络级别指定、运行主体指定、通信协议、接入接出控制、终端之间访问控制。
[0006]优选的，所述配置终端访问控制策略步骤之前还包括终端客户端下载安装注册步骤，具体包括以下子步骤:
31)终端下载策略管理系统提供的终端客户端安装包；
32)终端对下载好的客户端安装包执行安装；
33)终端在安装过程中将终端注册到策略管理系统中，同时在终端内加载相关访问控制引擎。
[0007]优选的，还包括终端客户端定时向策略管理系统请求更新策略信息步骤。
[0008]优选的，所述的标签数据来源于策略管理系统。
[0009]本发明解决其技术问题所采用的技术方案是:还提供一种基于网络标签通信的分级分域访问控制系统，终端内部包括发送单元，所述发送单元用于在IP数据包发送前根据终端内部配置策略确认数据是否能够发送，如果能够发送对待发送的IP数据包追加设备标签数据后发送；终端内部还包括接收单元，所述接收单元在接收IP数据包时验证设备标签数据，根据终端内部配置策略判断IP包是否能够接收，如果设备标签数据合法则解除标签数据，接收IP数据包，否则丢弃此IP包；所述标签数据包括网络域标识、网络级别标识、主体标识、访问权限。
[0010]优选的，还包括策略管理系统，所述策略管理系统用于配置终端访问控制策略，具体包括配置终端所在网络域划分、网络级别指定、运行主体指定、通信协议、接入接出控制、终端之间访问控制。
[0011]优选的，所述终端在策略管理系统配置终端之前下载策略管理系统提供的终端客户端安装包，并执行安装，终端在安装过程中将终端注册到策略管理系统中，同时在终端内加载相关访问控制引擎。
[0012]优选的，还包括终端客户端策略更新单元，用于终端客户端定时向策略管理系统请求更新策略信息步骤。
[0013]优选的，所述的标签数据来源于策略管理系统。
[0014]有益效果
由于采用了上述的技术方案，本发明与现有技术相比，具有以下的优点和积极效果: 第一:能够实现终端分级分域管理
通过策略管理系统对终端指定网络域、网络级别，终端在发送数据时依据自身策略和目标终端域、级别标识判断IP数据包是否能够发送到目标终端；终端在接收数据时依据自身策略和源终端域、级别标识判断IP数据包是否能够接收；如此实现低级别域内终端数据单向流入高级别域，同级别域终端可以双向访问等访问控制。
[0015]第二:能够保障网络数据安全
通过IP数据增加网络标签数据通信，在网络传输的IP数据只有被管理的终端能够识别，普通未被管理的终端无法识别，提升了网络数据安全性。
【专利附图】
【附图说明】
[0016]图1是本发明基于网络标签通信的分级分域访问控制系统结构图。
【具体实施方式】
[0017]下面结合具体实施例，进一步阐述本发明。应理解，这些实施例仅用于说明本发明而不用于限制本发明的范围。此外应理解，在阅读了本发明讲授的内容之后，本领域技术人员可以对本发明作各种改动或修改，这些等价形式同样落于本申请所附权利要求书所限定的范围。
[0018]本发明的第一实施方式涉及一种基于网络标签通信的分级分域访问控制方法，具体包括以下步骤:
1)终端在IP数据包发送前根据终端内部配置策略确认数据是否能够发送，如果能够发送对待发送的IP数据包追加设备标签数据后发送；
2)终端在接收IP数据包时验证设备标签数据，根据终端内部配置策略判断IP包是否能够接收，如果设备标签数据合法则解除标签数据，接收IP数据包，否则丢弃此IP包；
所述标签数据包括网络域标识、网络级别标识、主体标识和访问权限。
[0019]本实施例中，在步骤I)之前还包括策略管理系统配置终端访问控制策略步骤，具体包括配置终端所在网络域划分、网络级别指定、运行主体指定、通信协议、接入接出控制、终端之间访问控制。策略管理系统主要作用在于管理终端、配置终端访问控制策略，因此实施时首先需要将策略管理系统成功架设。策略管理系统提供终端客户端安装包下载，终端下载客户端安装程序进行安装，安装包在安装过程中将终端注册到了策略管理系统中，同时在终端内加载了相关访问控制引擎。策略管理系统提供标签数据。终端客户端定时向策略管理系统中请求最新策略信息，访问控制引擎即可根据策略信息实现分级分域等网络访问控制。
[0020]本发明的第二实施方式涉及一种基于网络标签通信的分级分域访问控制系统，如图1所示，终端内部包括发送单元，所述发送单元用于在IP数据包发送前根据终端内部配置策略确认数据是否能够发送，如果能够发送对待发送的IP数据包追加设备标签数据后发送；终端内部还包括接收单元，所述接收单元在接收IP数据包时验证设备标签数据，根据终端内部配置策略判断IP包是否能够接收，如果设备标签数据合法则解除标签数据，接收IP数据包，否则丢弃此IP包；所述标签数据包括网络域标识、网络级别标识、主体标识、访问权限。
[0021]如图1所示，本系统还包括策略管理系统，所述策略管理系统用于配置终端访问控制策略，具体包括配置终端所在网络域划分、网络级别指定、运行主体指定、通信协议、接入接出控制、终端之间访问控制。前述的标签数据来源于策略管理系统。
[0022]所述终端在策略管理系统配置终端之前下载策略管理系统提供的终端客户端安装包，并执行安装，终端在安装过程中将终端注册到策略管理系统中，同时在终端内加载相关访问控制引擎。
[0023]本系统还包括终端客户端策略更新单元，用于终端客户端定时向策略管理系统请求更新策略信息步骤。
[0024]不难发现，通过策略管理系统对终端指定网络域、网络级别，终端在发送数据时依据自身策略和目标终端域、级别标识判断IP数据是否能够发送到目标端；终端在接收数据时依据自身策略和源终端域、级别标识判断IP数据是否能够接收；如此实现低级别域单向访问高级别域，同级别域可以双向访问等访问控制。
[0025]另外，通过IP数据增加网络标签数据通信，在网络传输的IP数据只有被管理的终端识别，普通未被管理的终端无法识别，提升了网络数据安全性。
[0026]本发明权利要求保护范围不限于上述实施例。
【权利要求】
1.一种基于网络标签通信的分级分域访问控制方法，其特征在于，具体包括以下步骤: 1)终端在IP数据包发送前根据终端内部配置策略确认数据是否能够发送，如果能够发送对待发送的IP数据包追加设备标签数据后发送； 2)终端在接收IP数据包时验证设备标签数据，根据终端内部配置策略判断IP包是否能够接收，如果设备标签数据合法则解除标签数据，接收IP数据包，否则丢弃此IP包； 所述标签数据包括网络域标识、网络级别标识、主体标识和访问权限。
2.根据权利要求1所述的基于网络标签通信的分级分域访问控制方法，其特征在于，所述步骤I)之前还包括策略管理系统配置终端访问控制策略步骤，具体包括配置终端所在网络域划分、网络级别指定、运行主体指定、通信协议、接入接出控制、终端之间访问控制。
3.根据权利要求2所述的基于网络标签通信的分级分域访问控制方法，其特征在于，所述配置终端访问控制策略步骤之前还包括终端客户端下载安装注册步骤，具体包括以下子步骤: 31)终端下载策略管理系统提供的终端客户端安装包； 32)终端对下载好的客户端安装包执行安装； 33)终端在安装过程中将终端注册到策略管理系统中，同时在终端内加载相关访问控制引擎。
4.根据权利要求3所述的基于网络标签通信的分级分域访问控制方法，其特征在于，还包括终端客户端定时向策略管理系统请求更新策略信息步骤。
5.根据权利要求2所述的基于网络标签通信的分级分域访问控制方法，其特征在于，所述的标签数据来源于策略管理系统。
6.一种基于网络标签通信的分级分域访问控制系统，其特征在于，终端内部包括发送单元，所述发送单元用于在IP数据包发送前根据终端内部配置策略确认数据是否能够发送，如果能够发送对待发送的IP数据包追加设备标签数据后发送；终端内部还包括接收单元，所述接收单元在接收IP数据包时验证设备标签数据，根据终端内部配置策略判断IP包是否能够接收，如果设备标签数据合法则解除标签数据，接收IP数据包，否则丢弃此IP包；所述标签数据包括网络域标识、网络级别标识、主体标识、访问权限。
7.根据权利要求6所述的基于网络标签通信的分级分域访问控制系统，其特征在于，还包括策略管理系统，所述策略管理系统用于配置终端访问控制策略，具体包括配置终端所在网络域划分、网络级别指定、运行主体指定、通信协议、接入接出控制、终端之间访问控制。
8.根据权利要求7所述的基于网络标签通信的分级分域访问控制系统，其特征在于，所述终端在策略管理系统配置终端之前下载策略管理系统提供的终端客户端安装包，并执行安装，终端在安装过程中将终端注册到策略管理系统中，同时在终端内加载相关访问控制引擎。
9.根据权利要求8所述的基于网络标签通信的分级分域访问控制系统，其特征在于，还包括终端客户端策略更新单元，用于终端客户端定时向策略管理系统请求更新策略信息步骤。
10.根据权利要求7所述的基于网络标签通信的分级分域访问控制系统，其特征在于，所述的标签 数据来 源于策略管理系统。
【文档编号】H04L29/06GK103944884SQ201410110186
【公开日】2014年7月23日 申请日期:2014年3月24日 优先权日:2014年3月24日
【发明者】刘毅, 余维伟, 彭涛, 彭光学, 吴峥 申请人:瑞达信息安全产业股份有限公司