一种通信网络安全控制方法及系统与流程

1.本发明涉及网络安全技术领域，尤其涉及一种通信网络安全控制方法及系统。


背景技术：

2.在通信网络安全中，特别是电力通信网中，涉及的网络设备众多，需要相关的操作人员进行大量的操作和控制。
3.而在现有的电力通信网系统中，往往没有系统的针对内部数据安全的防控措施，也没有端到端的全流程的数据安全防护措施。
4.因此，需要提出一种新的针对通信网络安全控制的方法，能实现全流程的安全管控。


技术实现要素：

5.本发明提供一种通信网络安全控制方法及系统，用以解决现有技术中存在的缺陷。
6.第一方面，本发明提供一种通信网络安全控制方法，包括：
7.确定客户端与服务端之间的安全可信操作集合，使所述客户端与所述服务端建立可靠数据连接；
8.所述服务端与所述接口适配器之间基于控制数据软路由进行数据路由，通过原始数据库和应用数据库进行数据交互；
9.所述接口适配端按照预设设备网管接口协议，封装请求参数，下发指令给网管，并接收所述网管的应答数据。
10.在一个实施例中，所述确定客户端与服务端之间的安全可信操作集合，使所述客户端与所述服务端建立可靠数据连接，包括：
11.通过生物识别和双因子认证实现人员授权可信；
12.通过绑定设备识别信息到所述服务端，实现终端授权可信；
13.通过usbkey身份认证进行操作人员的身份二次认证，实现操作安全可信；
14.将数据采用双存储方式存储在文件和数据库中，实现数据安全可信；
15.通过安全协议、数字签名和数据加密实现传输安全可信；
16.将所述客户端与所述服务端之间采用专线连接，实现通道安全可信。
17.在一个实施例中，所述通过安全协议、数字签名和数据加密实现传输安全可信，包括：
18.确定头部标识、内容长度和内容组成的客户端到服务端一对一的私有协议，或由uuid、分隔符和内容组成的服务端到接口适配端一对多的安全协议；
19.基于单向散列函数处理数据文件，获得预设长度摘要，由预设公钥和预设私钥加密所述预设长度摘要，将所述数据文件、加密后的所述预设长度摘要和所述预设公钥打包发给所述服务端并解密，使所述数据文件不被篡改；
20.通过aes加密数据和rsa加密密钥，将加密后的数据和密钥同时进行传输。
21.在一个实施例中，所述服务端与所述接口适配器之间基于控制数据软路由进行数据路由，通过原始数据库和应用数据库进行数据交互，包括：
22.所述服务端发送请求给所述控制数据软路由，所述控制数据软路由根据路由表，将控制指令转发给相应的接口适配器；
23.所述接口适配器接收数据后进行校验，待核实后向所述网管发出指令，请求所述网管获取应答数据，将所述数据存储到所述原始数据库，并通知所述控制数据软路由；
24.所述控制数据软路由转发应答消息给数据服务，所述数据服务包括数据读取、数据解析、数据加工、数据存储和状态消息上报；
25.所述数据服务接收完成请求指令，读取所述原始数据库中的数据，加工存储至所述应用数据库，并通知所述控制数据软路由；
26.所述控制数据软路由转发应答消息给所述服务端，所述服务端读取所述应用数据库的数据。
27.在一个实施例中，所述服务端与所述接口适配器之间基于控制数据软路由进行数据路由，通过原始数据库和应用数据库进行数据交互，还包括：
28.服务端至接口适配端的下行数据安全传输，所述下行数据安全传输包括uuid、安全协议和数据加密；
29.接口适配端到服务端的上行数据安全传输，所述上行数据安全传输包括数字签名和数据校验。
30.在一个实施例中，所述服务端至接口适配端的下行数据安全传输，所述下行数据安全传输包括uuid、安全协议和数据加密，包括：
31.给每个接口适配器分配一个uuid作为唯一识别信息；
32.由uuid、分隔符和请求内容构成所述安全协议；
33.通过aes加密数据和rsa加密密钥实现所述数据加密。
34.在一个实施例中，所述接口适配端到服务端的上行数据安全传输，所述上行数据安全传输包括数字签名和数据校验，包括：
35.基于单向散列函数进行数据签名，防止数据在传输中被非法监听；
36.采用循环冗余校验，防止数据传递或者存储中出错。
37.第二方面，本发明还提供一种通信网络安全控制系统，包括：
38.第一处理模块，用于确定客户端与服务端之间的安全可信操作集合，使所述客户端与所述服务端建立可靠数据连接；
39.第二处理模块，用于所述服务端与所述接口适配器之间基于控制数据软路由进行数据路由，通过原始数据库和应用数据库进行数据交互；
40.第三处理模块，用于所述接口适配端按照预设设备网管接口协议，封装请求参数，下发指令给网管，并接收所述网管的应答数据。
41.第三方面，本发明还提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如上述任一种所述通信网络安全控制方法的步骤。
42.第四方面，本发明还提供一种非暂态计算机可读存储介质，其上存储有计算机程
序，该计算机程序被处理器执行时实现如上述任一种所述通信网络安全控制方法的步骤。
43.本发明提供的通信网络安全控制方法及系统，通过提出的通信网络安全控制方法，提高了通信网控制能力，确保安全可信的控制，能有效保护数据安全。
附图说明
44.为了更清楚地说明本发明或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
45.图1是本发明提供的通信网络安全控制方法的流程示意图；
46.图2是本发明提供的系统整体结构图；
47.图3是本发明提供的服务端架构示意图；
48.图4是本发明提供的接口适配端架构示意图；
49.图5是本发明提供的客户端到服务端的安全保障数据流示意图；
50.图6是本发明提供的数据安全可信流程示意图；
51.图7是本发明提供的私有协议结构示意图：
52.图8是本发明提供的数字签名验证过程示意图；
53.图9是本发明提供的数据加密验证过程示意图；
54.图10是本发明提供的服务端到接口适配端的流程图；
55.图11是本发明提供的数据校核的查询示意图；
56.图12是本发明提供的数据校核的对比示意图；
57.图13是本发明提供的系统应用实例架构图；
58.图14是本发明提供的整体系统的数据流架构示意图；
59.图15是本发明提供的通信网络安全控制系统的结构示意图；
60.图16是本发明提供的电子设备的结构示意图。
具体实施方式
61.为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明中的附图，对本发明中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
62.图1是本发明提供的通信网络安全控制方法的流程示意图，如图1所示，包括：
63.s1，确定客户端与服务端之间的安全可信操作集合，使所述客户端与所述服务端建立可靠数据连接；
64.s2，所述服务端与所述接口适配器之间基于控制数据软路由进行数据路由，通过原始数据库和应用数据库进行数据交互；
65.s3，所述接口适配端按照预设设备网管接口协议，封装请求参数，下发指令给网管，并接收所述网管的应答数据。
66.具体地，本发明所提出的通信网络安全控制方法，包括以下模块，如图2所示：
67.由部署在电力安全一区的客户端、服务端、接口适配端和网管构成，此处的电力安全一区是电力系统中防护等级最高的防护区。
68.客户端即是web应用端，其主要功能是将用户向服务器请求的web资源呈现出来，显示在浏览器窗口中。被访问的客户端设备必须是可信的。通过绑定设备的ip、mac地址、硬盘序列号、系统id等信息到服务端，在每次登录的时候，校验设备和服务端的信息是否一致，只有完全一致的设备才能够访问web系统；
69.服务端的架构如图3所示，包括应用服务器、应用数据库、原始数据库和多个接口适配器，功能包括可行性分析、防误检测、安全校核和封装/下发等。
70.接口适配端的架构如图4所示，包括与传输网管北向接口对接的北向接口适配器、原始数据库、文件存储器以及数据服务程序。
71.网管分为设备网管和通信网管设备，包括网管系统和网管北向接口服务。
72.本发明提出的通信网络安全控制方法，提高了通信网控制能力，确保安全可信的控制，能有效保护数据安全。
73.基于上述实施例，该方法中步骤s1包括：
74.通过生物识别和双因子认证实现人员授权可信；
75.通过绑定设备识别信息到所述服务端，实现终端授权可信；
76.通过usbkey身份认证进行操作人员的身份二次认证，实现操作安全可信；
77.将数据采用双存储方式存储在文件和数据库中，实现数据安全可信；
78.通过安全协议、数字签名和数据加密实现传输安全可信；
79.将所述客户端与所述服务端之间采用专线连接，实现通道安全可信。
80.其中，所述通过安全协议、数字签名和数据加密实现传输安全可信，包括：
81.确定头部标识、内容长度和内容组成的客户端到服务端一对一的私有协议，或由uuid、分隔符和内容组成的服务端到接口适配端一对多的安全协议；
82.基于单向散列函数处理数据文件，获得预设长度摘要，由预设公钥和预设私钥加密所述预设长度摘要，将所述数据文件、加密后的所述预设长度摘要和所述预设公钥打包发给所述服务端并解密，使所述数据文件不被篡改；
83.通过aes加密数据和rsa加密密钥，将加密后的数据和密钥同时进行传输。
84.具体地，本发明在客户端与服务端之间的安全保障方案如图5所示，整个过程包括终端授权可信、人员授权可信、操作安全可信、数据安全可信、传输安全可信、通道安全可信：
85.首先是确保人员可信，操作员在访问系统之前需要确认是否为合法授权的人员，主要通过生物识别技术和双因子认证来保障人员可信，本发明用于保障人员可信的认证技术包括人脸识别和用户名密码验证，双因子认证是指上述认证方式必须同时使用2种均通过后才认定为可信人员，可信人员通过双因子认证后可实现授权功能的查询操作。
86.终端授权可信是通过绑定设备的ip、mac地址、硬盘序列号、系统id等信息到服务端，在每次登录的时候，校验设备和服务端的信息是否一致，只有完全一致的设备才能够访问系统；同时，系统后台还针对安装在不同地点(房间)的终端进行限时访问约束，降低非法控制的风险。(例如某个工位，正常是白天操作员上班后才可能执行常规操作，则在非工作时间限制该终端的控制功能)。
87.操作安全可信包括控制指令发起的时候需要再次确认身份，以防止未经授权的人员操作，通过usbkey物理按键、指纹识别校核，每一个操作保证安全可信，关键操作需要在key中进行指纹识别认证和物理按键确认后许可操作，确保关键操作有二次确认，防止非法控制。若该终端被植入木马，木马发作也不会造成系统的非法控制，因为控制命令执行需要usbkey对操作者进行认证并需要操作者通过物理按钮确认许可，木马病毒无法模拟usbkey的物理按键。
88.此处的usbkey主要包含两块：加密芯片和带有安全存储的空间。加密芯片可以实现pki体系中使用的数据摘要，数据加解密和签名的各种算法，加解密算法在usbkey内进行，保证用户密钥不会出现在计算机内存中，从而杜绝了用户密钥被黑客截取的可能性，带有安全存储的空间内部划分成数据存储区和密钥存储区，将软件的一些重要信息(如序列号等)保存在多功能锁中的数据存储区中，将进行加密用的密钥写在多功能锁中的密钥存储区中，密钥外界是不能获得的。
89.数据安全可信由操作员下发指令访问服务端的数据采用私有协议、数字签名和数据加密相结合的方式加以保护，具体流程如图6所示。将数据采用双存储的方式分别存储在文件和数据库中。首先将数据通过rsa公钥加密存储于文件中，并以固定规则(便于同存储于数据库中的数据校核)命名文件；然后将存储到数据库的数据和一个足够复杂的随机码(同样存储于数据库中)按照某种方式组合起来再进行哈希得到校验码存储下来；最后进行数据校核，通过判断数据库中的校验码对比来核对数据库的数据是否倍改动，通过数据库和文件中的数据对比来核对两份数据是否一致。
90.其中，采用的私有协议如图7所示：
91.header：表示固定长度的头部，由两部分组成：1.占用2个字节的头部标识，在粘包的时候可以作为的分隔符进行分包；2.占用6个字节的整形数，表示body的长度，可以用来判断数据包是否完整；
92.body：表示非固定长度的内容，有效数据承载传输信息；
93.整体格式为：头部标识(固定值，2byte)+长度(整型，6byte)+内容。
94.数字签名的验证过程如图8所示：
95.首先，数据文件经过单向散列函数的处理得到一份占128位的摘要(无论文件多大，经过单向散列函数的处理，生成的摘要都是128位)，这份摘要相当于该文件的"指纹"，能够唯一地识别文件。注意：只要文件发生改动，经过单向散列函数处理后得到地摘要都会不一样。所以，文件和文件的摘要具有很强的对应关系；随后，使用a私钥对这份128位的摘要进行加密，得到一份加密的摘要；然后，把数据文件、加密的摘要和a公钥打包一起发给服务端；服务端将收到的数据文件经过单向散列函数处理得出一份128位摘要，这份摘要是通过收到的文件得到的，存在被更改的可能；使用a公钥对收到的"加密的摘要"进行解密得到另一份128位摘要，这份摘要是通过原始文件得到的，一般认为代表真正的文件；然后将两份摘要进行比较；如果两份摘要相等，说明文件经过签名之后，在传输的过程中没有被更改；若不相等，说明文件在传输过程中被更改了，或者说已经不是原来的文件了，此时客户端的签名失效。因此数据签名解决的核心问题是确保收到的文件没有被更改，防止数据被篡改。
96.数据加密的验证过程如图9所示：
97.将数据文件明文和随机生成的密钥k作为加密函数的参数输入，输出加密的数据文件密文；用rsa公钥加密密钥k生成加密的密钥m；将加密的数据文件密文和加密的密钥m通过网络传输发送到服务端；使用rsa私钥解密密钥m得到密钥k；把服务端接收到的密文和密钥k作为解密函数的参数输入，输出数据文件明文；这里的aes数据加密能有效防止数据被窃取，保障数据安全传输。因此数据加密解决的核心问题是防止文件被窃取。
98.传输完全可信包括在在整个系统的数据传输过程中，通过安全协议+数字签名+数据加密相结合的方法保障数据传输安全，安全协议有两种，一种是客户端到服务端一对一的私有协议，由头部标识、内容长度和内容组成；另一种是服务端到接口适配端一对多的安全协议，由uuid、分隔符和内容组成。数字签名用来保障数据不被篡改。通过随机生成的密钥加密(aes加密)数据，并将随机密钥加密(rsa加密)，然后将加密的数据和加密的密钥一起传输，保障数据不被窃取。
99.通道安全可信是通过客户端到服务端之间的传输采用专线连接来实现，保障数据传输安全，并加入国密认证的网络通道加密装置来实现跨机房网络传输加密。
100.本发明通过通信网安全可信的控制功能，安全可信包括人员可信、终端可信、操作可信、通信可信和数据安全等方面，提高了电力通信网控制能力，还提升了电力通信网网络控制工作的安全性和稳定性。
101.基于上述任一实施例，该方法中步骤s2包括：
102.所述服务端发送请求给所述控制数据软路由，所述控制数据软路由根据路由表，将控制指令转发给相应的接口适配器；
103.所述接口适配器接收数据后进行校验，待核实后向所述网管发出指令，请求所述网管获取应答数据，将所述数据存储到所述原始数据库，并通知所述控制数据软路由；
104.所述控制数据软路由转发应答消息给数据服务，所述数据服务包括数据读取、数据解析、数据加工、数据存储和状态消息上报；
105.所述数据服务接收完成请求指令，读取所述原始数据库中的数据，加工存储至所述应用数据库，并通知所述控制数据软路由；
106.所述控制数据软路由转发应答消息给所述服务端，所述服务端读取所述应用数据库的数据。
107.其中，所述服务端与所述接口适配器之间基于控制数据软路由进行数据路由，通过原始数据库和应用数据库进行数据交互，还包括：
108.服务端至接口适配端的下行数据安全传输，所述下行数据安全传输包括uuid、安全协议和数据加密；
109.接口适配端到服务端的上行数据安全传输，所述上行数据安全传输包括数字签名和数据校验。
110.其中，所述服务端至接口适配端的下行数据安全传输，所述下行数据安全传输包括uuid、安全协议和数据加密，包括：
111.给每个接口适配器分配一个uuid作为唯一识别信息；
112.由uuid、分隔符和请求内容构成所述安全协议；
113.通过aes加密数据和rsa加密密钥实现所述数据加密。
114.其中，所述接口适配端到服务端的上行数据安全传输，所述上行数据安全传输包
括数字签名和数据校验，包括：
115.基于单向散列函数进行数据签名，防止数据在传输中被非法监听；
116.采用循环冗余校验，防止数据传递或者存储中出错。
117.具体地，本发明在方案中设计了两个数据库，分为原始数据库和应用数据库。原始数据库用于存放北向接口适配器采集传输网管得到的原始数据，该数据是北向接口适配器对采集到的网管数据进行格式解析得到，不对数据进行内容加工；应用数据库用于综合监控应用服务的数据库，该数据库向下与北向接口数据库交互并获取原始数据，向上与综合监控应用服务交互，为应用服务进行数据实时管理。两个数据库之间通过数据服务进行数据交互。
118.本发明提出的服务端到接口适配端的流程如图10所示：
119.首先是服务端发送请求给控制数据软路由；控制数据软路由主要是通过控制数据软件来实现路由功能，包括网络互联、数据处理和网络管理。网络互联：实现不同服务进程之间的互相通信；数据处理：提供分组转发、加密、压缩等功能；网络管理：提供配置管理、性能管理、容错管理和流量管理等功能。工作机制如下：
120.1)生成和维护路由表；控制数据软路由存储一张关于路由信息的表格，表中记录从路由器到达所有目的网络的路径。每个接口适配器分配一条路由，每个路由至少包含以下内容：来源、目的地址、数据包。在运行的过程中，各接口适配器周期性的交换路由信息，以保证路由的正确和有效性；
121.2)选择路由；根据目的地址查找路由表，选择对应路由作为数据转发的路由；
122.3)数据包转发；决定选择的路由，从相应的接口上将数据包转发出去。
123.然后是控制数据软路由根据路由表，将控制指令转发给相应的接口适配器；接口适配器收到数据后进行校验，防止误接收其他适配器的指令；核实无误后，根据控制指令向网管发起相应的指令，请求网管获取应答数据，将数据存储到原始数据库；接口适配器发送消息给控制数据软路由，告知数据已入原始库；控制数据软路由转发应答消息给数据服务，数据服务是将原始数据库中的数据抽取加工存储到应用数据库。实现北向接口数据库和综合监控应用数据库数据交互，包括数据读取、数据解析、数据加工、数据存储以及状态消息上报，工作机制如下：
124.1)监听软路由转发的数据包，获取原始数据已经存储于原始数据库的信息；
125.2)读取原始数据库中的数据，经解析后加工成应用数据模型的数据，存储于应用数据库中；
126.3)向软路由上报完成状态的消息。
127.进一步地，数据服务收到请求完成的指令，读取原始数据库的数据，经加工存储到应用数据库；数据服务发送消息给控制数据软路由，告知数据已入应用库；控制数据软路由转发应答消息给服务端，服务端读取应用库数据。
128.此处的下行数据安全传输包括：
129.uuid(通用唯一识别码)：给每一个接口适配器分配一个uuid作为唯一识别的信息，以便控制数据软路由在调用不同网管接口适配器的时候不会造成紊乱和冲突；
130.安全协议：分配给接口适配器的唯一识别码uuid，$$作为分隔符，请求内容包括服务端封装的下发指令，数据加密采用和前述实施例中的加密一致的方法。
131.此处的上行数据安全传输包括：
132.数字签名采用和前述实施例的数字签名一致的方法，防止数据在传输中被非法监听，数据校验采用crc(循环冗余校验)，防止数据传递或者存储中出错。
133.需要说明的是，在接口适配端接口采集和接收的数据分别存储于文件和数据库中。
134.其中的文件存储方案为：将每一份数据通过rsa公钥加密存储于文件中，并以固定规则(便于同存储于数据库中的数据校核)命名文件；
135.数据库存储方案如下：将每一条存储到数据库的数据和一个足够复杂的随机码(同样存储于数据库中)按照某种方式组合起来再进行哈希得到校验码存储下来；
136.数据校核方案如下：将查表读取的数据，按照相同规则生产新的校验码同数据库中存储的校验码进行对比，核对表中的记录是否被改动，如图11所示；将上一步中对比相等的数据使用文件存储方案中的rsa公钥进行加密，同读取的文件加密数据比对，核对两份数据是否一致，如图12所示。
137.本发明提出的安全可信保障贯穿于整个通信网控制系统中，包括授权许可、生物识别、usbkey、私有协议、数字签名、数据加密、文件加密、数据校核等技术，确保安全可信的控制；此外还实现了通信网安全可信控制的五个防止，即防止未经授权的人来控制、防止数据被篡改、防止数据被窃取、防止误操作和防止被攻击。
138.基于上述任一实施例，本发明在实际应用中能实现如图13所示的应用架构，包括：
139.展现层：也叫客户端，前台展现，通过浏览器访问系统的功能，实现相关系统的控制功能和监视功能的操作；
140.通讯层：展现层与应用服务层之间的通讯，通过https协议、加密装置、网络专线等保障通信安全；
141.应用服务层：应用服务层也叫服务端，是综合监控应用系统建设的基础保障，包括应用开发平台和中间件，通过建设应用服务平台，实现界面集成、应用集成、数据集成及流程集成；实现的功能包括：可行性分析、防误检测、安全校验和封装/下发；
142.应用数据层：整体系统的数据资源的保障，搭建数据库集群，用于综合监控应用服务的数据库，该数据库向下与北向接口数据库交互并获取原始数据，向上与综合监控应用服务交互，为应用服务进行数据实时管理；
143.数据服务层：将原始数据库中的数据抽取加工存储到应用数据库，实现北向接口数据库和综合监控应用数据库数据交互；
144.原始数据层：用于存放北向接口适配器采集传输网管得到的原始数据，包括数据库、raw文件和网管请求操作日志。数据库中一个表对应北向接口(itu标准)的一种接口，表头字段与北向接口参数一致并一一对应，数据库表和raw文件中的数据是北向接口适配器对采集到的网管数据进行格式解析得到，不对数据进行内容加工；
145.接口适配层：包含与传输网管北向接口对接的北向接口适配器。北向接口适配器是综合监控系统调用网管的北向接口服务，实现传输网管数据的适配器。包括数据采集(获得网管的原始raw数据)、数据接收、数据解析、数据入库等步骤；
146.网管数据层：传输网管以及北向接口服务。
147.本发明采用u盾认证技术和生物识别技术进行辅助实施安全管控，可以避免操作
人员误操作、误控制，防止未经授权的人来控制，实现授权人员、可信设备、正确方案、准确控制，提高网络控制的安全水平和效率；采用私有协议封装和加密技术传输数据，防止数据被窃取，保障数据传输安全、高效。采用数字签名技术，防止非法的数据请求，防止数据被篡改。文件提高安全意识，定期更改高安全度密码，禁止浏览不安全网站，禁止下载安装软件包，防止被攻击。
148.基于上述任一实施例，本发明针对通信网络安全控制系统提出的整体数据流向如图14所示，包括：
149.1)经授权许可的操作员在可信设备上登录前台web应用，采用usbkey和生物识别技术作安全认证，访问服务端。传输数据使用私有协议封装，并采用数字签名和数据加密技术；
150.2)通过数字签名技术，认证数据的发送者发送信息的真实性，将数据进行二次封装，包括源端、宿端、信令标识、请求号、客户端请求数据，发送给软路由；
151.3)软路由收到服务端下发的指令，获取指令的宿端，找到对应的网管接口适配器服务，转发下发的指令；
152.4)接口适配器获取指令的信令标识和请求数据，向对应的网管接口服务执行请求方法，并接收网管接口服务返回的应答数据，将原始应答数据存到原始数据库和raw文件；
153.5)接口适配器监听网管推送通道，接收上报的通知事件，绑定指令的请求号，发送给软路由；
154.6)软路由获取请求号发送给数据服务，告知其同步原始数据到应用数据库，并将结果返回给软路由；
155.7)软路由收到返回结果，将请求号推送到服务端，服务端通过请求号查询应用数据库，获取详细信息；
156.8)服务端将获取到的详细数据推送给前台客户端，并进行展现。
157.通过上述数据流的实现，本发明实现了操作的便捷性，即操纵员可以统一操作不同厂家网管，不再需要通过培训学习不同厂家的网管操作手册；还实现了操作的高效性，即操作员不用操作不同的网管系统来下发控制指令，只需要统一操作此系统来完成对网管的控制工作，提高了工作效率；还实现了操作的安全性，保障通信网安全可信控制功能，满足操作员针对应急事件的快速处理。
158.下面对本发明提供的通信网络安全控制系统进行描述，下文描述的通信网络安全控制系统与上文描述的通信网络安全控制方法可相互对应参照。
159.图15是本发明提供的通信网络安全控制系统的结构示意图，如图15所示，包括：第一处理模块1501、第二处理模块1502和第三处理模块1503，其中：
160.第一处理模块1501用于确定客户端与服务端之间的安全可信操作集合，使所述客户端与所述服务端建立可靠数据连接；第二处理模块1502用于所述服务端与所述接口适配器之间基于控制数据软路由进行数据路由，通过原始数据库和应用数据库进行数据交互；第三处理模块1503用于所述接口适配端按照预设设备网管接口协议，封装请求参数，下发指令给网管，并接收所述网管的应答数据。
161.本发明提出的通信网络安全控制系统，提高了通信网控制能力，确保安全可信的控制，能有效保护数据安全
162.图16示例了一种电子设备的实体结构示意图，如图16所示，该电子设备可以包括：处理器(processor)1610、通信接口(communicationsinterface)1620、存储器(memory)1630和通信总线1640，其中，处理器1610，通信接口1620，存储器1630通过通信总线1640完成相互间的通信。处理器1610可以调用存储器1630中的逻辑指令，以执行通信网络安全控制方法，该方法包括：确定客户端与服务端之间的安全可信操作集合，使所述客户端与所述服务端建立可靠数据连接；所述服务端与所述接口适配器之间基于控制数据软路由进行数据路由，通过原始数据库和应用数据库进行数据交互；所述接口适配端按照预设设备网管接口协议，封装请求参数，下发指令给网管，并接收所述网管的应答数据。
163.此外，上述的存储器1630中的逻辑指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储器(rom，read
‑
onlymemory)、随机存取存储器(ram，randomaccessmemory)、磁碟或者光盘等各种可以存储程序代码的介质。
164.另一方面，本发明还提供一种计算机程序产品，所述计算机程序产品包括存储在非暂态计算机可读存储介质上的计算机程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时，计算机能够执行上述各方法所提供的通信网络安全控制方法，该方法包括：确定客户端与服务端之间的安全可信操作集合，使所述客户端与所述服务端建立可靠数据连接；所述服务端与所述接口适配器之间基于控制数据软路由进行数据路由，通过原始数据库和应用数据库进行数据交互；所述接口适配端按照预设设备网管接口协议，封装请求参数，下发指令给网管，并接收所述网管的应答数据。
165.又一方面，本发明还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现以执行上述各提供的通信网络安全控制方法，该方法包括：确定客户端与服务端之间的安全可信操作集合，使所述客户端与所述服务端建立可靠数据连接；所述服务端与所述接口适配器之间基于控制数据软路由进行数据路由，通过原始数据库和应用数据库进行数据交互；所述接口适配端按照预设设备网管接口协议，封装请求参数，下发指令给网管，并接收所述网管的应答数据。
166.以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。
167.通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如rom/ram、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施
例或者实施例的某些部分所述的方法。
168.最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。