CN102325134B - 多级安全互联平台的三系统安全互联部件子系统 - Google Patents

Abstract

本发明涉及等级保护以及可信计算领域，尤其涉及多级安全互联平台的三系统安全互联部件子系统。多级安全互联平台的三系统安全互联部件子系统，该三系统安全互联部件子系统包括L端互联系统、互联仲裁系统和H端互联系统。采用本发明三系统安全互联部件子系统的多级安全互联平台，以工业企业管理网和工业控制网之间数据交换的访问控制为出发点，构建全程一致的访问控制体系，在管理区和生产区之间搭建可信增强的多级安全互联平台，确保资源访问过程中，在任何层次上都能够进行无策略遗漏和冲突的准确一致的访问控制，真正地保障只有在授权的情况下才能够访问资源。

Description

多级安全互联平台的三系统安全互联部件子系统

技术领域

本发明涉及等级保护以及可信计算领域，尤其涉及多级安全互联平台的三系统安全互联部件子系统。

背景技术

在进行了等级保护整改工作，初步建立了一个中心（安全管理中心）、三重防护（区域边界、通信网络、计算环境）的安全技术保障体系的系统中，根据等级保护的相关政策与标准要求，定级系统间的安全互联需由安全互联部件和跨系统安全管理中心组成。而在实际实施中，一些企业内网的管理网与工业控制网络之间的防范措施与等级保护政策要求存在差距，亟需在系统安全互联方面开展深入研究，以通过统一部署、统一管理实现信息化平台安全互联的目的，进一步提高整个信息系统的安全防范能力，防止管理网内的潜在威胁渗透到生产控制网络，从而保证安全生产。

为此，申请人同日申请了名称为“基于可信计算的多级安全互联平台及其处理流程”的发明专利，该专利的平台包括以下的系统：

（1）L端和H端数据交换前置子系统：均包括网络服务接口、应用协议解析子模块、数据标记子模块、应用访问过滤子模块、管理代理Agent子模块，实现数据交换与标记功能，应用防护功能；

（2）三系统安全互联部件子系统：包括L端互联系统、互联仲裁系统、H端互联系统，实现网络安全隔离功能、互联数据验证功能、互联审计功能；

（3）可信增强子系统：包括终端节点代理模块、以及可信互联模块与操作系统增强模块，实现节点身份标识功能、可执行程度白名单功能；

（4）多级互联安全管理中心子系统：包括Bowser、 MySQL、Web Agent模块，实现系统管理、安全管理、审计管理功能；

一、在L端和H端数据交换前置子系统中：

1）所述的网络服务接口来提供通用的数据交换接口，接收跨级互联数据的请求，与三系统安全互联部件子系统连接，传输已安全标记的数据、经过讵问验证过的Web 应该服务；

2）应用协议解析子模块根据不同协议，解析、分析交换协议，还原传输数据；

3）数据标记子模块通过XML签名技术，提供数据标记与强制访问控制的功能，同时基于检查结果，评估数据的可信性，以此为依据，生成其标记，为多级互联部件的访问控制提供支撑；

4）应用访问过滤子模块提供对Web应用服务器端的访问验证机制，通过应用级攻击特征库，比对访问数据的安全验证规则，过滤L端访问数据包，从而避免H端应用服务端遭受应用级访问攻击；

5）管理代理Agent子模块与多级互联安全管理中心通信，获取数据交换协议规则、数据过滤规则、可信标记规则等配置信息，并向多级互联安全管理中心子系统提供审计管理所需的数据过滤记录；

二、在三系统安全互联部件子系统中：

1）L端互联系统和H端互联系统，分别是管理区和生产区网络协议的终点，对所有过往的数据进行协议转换，通过剥离网络协议相关的信息还原为应用层原始信息，再将这些信息通过专用硬件和专用通信协议发送给中间互联仲裁系统，从而可有效阻断基于TCP/IP协议的攻击行为。

2）互联仲裁系统，为需要跨级访问的系统提供基于可信验证标记的强制访问控制机制，对进出边界的数据信息进行验证，阻止非授权数据交换；

三、在可信增强子系统中：

1）终端节点代理模块用于向多级互联安全管理中心子系统的Web Agent模块提交注册、登录和审计信息，并接收Web Agent模块所下发的策略，进行相应的策略更新；

2）可信互连模块用于节点间可信互连验证并相互保持可信状态，每次有对方的数据包到达时，更新“最近到达时间”，如果“最近到达时间”与当前时间差超过一定时限，必须重新进行认证；

3）操作系统增强模块利用信任链传递技术，对操作系统内核装载的重要应用程序和服务进行完整性验证；阻止不在预期值文件中的二进制代码或脚本运行；

四、在多级互联安全管理中心子系统中：

1）Bowser模块用于向管理员用户提供UI交互界面；

2）MySQL模块用于提供管理中心后台数据支持； 

3）Web Agent用于与节点、L端和H端数据交换前置子系统、三系统安全互联部件子系统的管理数据交互。

该互联平台以工业企业管理网和工业控制网之间数据交换的访问控制为出发点，构建全程一致的访问控制体系，在管理区和生产区之间搭建可信增强的多级安全互联平台，确保资源访问过程中，在任何层次上都能够进行无策略遗漏和冲突的准确一致的访问控制，真正地保障只有在授权的情况下才能够访问资源。

发明内容

本发明的目的是提供上述的多级安全互联平台的三系统安全互联部件子系统。

为了实现上述的第目的，本发明采用了以下的技术方案：

多级安全互联平台的三系统安全互联部件子系统，该三系统安全互联部件子系统包括L端互联系统、互联仲裁系统和H端互联系统，其中：

1）L端互联系统和H端互联系统，分别是管理区和生产区网络协议的终点，对所有过往的数据进行协议转换，通过剥离网络协议相关的信息还原为应用层原始信息，再将这些信息通过专用硬件和专用通信协议发送给中间互联仲裁系统，从而可有效阻断基于TCP/IP协议的攻击行为；

2）互联仲裁系统，为需要跨级访问的系统提供基于可信验证标记的强制访问控制机制，对进出边界的数据信息进行验证，阻止非授权数据交换。

作为优选，上述的三系统安全互联部件子系统处理流程如下：

1）L端互联系统接收L端数据交换前置子系统发来的数据包之后，将该数据包进行还原，剥离成应用层数据；

2）L端互联系统将应用层数据，运用专用安全协议进行封装，通过专用数据链路和专用传输硬件发送至互联仲裁系统；

3）互联仲裁系统对L端互联系统发送的数据进行仲裁，将可信的数据运用专用安全协议进行封装，通过专用数据链路和专用传输硬件发送至H端互联系统；

4）H端互联系统将互联仲裁系统发送来的可信应用数据重新打包成TCP/IP协议数据包，发送至H端数据交换前置子系统。

作为优选，上述的三系统安全互联部件子系统以TCP协议的连接处理流程如下：

1）L端数据交换前置子系统通过TCP协议向L端互联系统指定端口申请建立连接；

2）L端互联系统将HTTP协议的请求信息从TCP协议栈中剥离，装载成为专用通信协议的会话请求包，通过专用链路层发向互联仲裁系统；

3）互联仲裁系统检查请求的IP地址等信息，确认为通道的合法用户后，发送专用协议的会话通知包到L端互联系统，允许L端互联系统与L端数据交换前置子系统建立TCP连接；

4）L端互连系统网关将HTTP请求信息从TCP协议中剥离，封装成为专用协议的应用信息包并转发到互联仲裁系统；

5）互联仲裁系统从专用协议的应用信息包中提取出请求，并检查请求的方法，目的地址，URL等信息，并做相应的检查，确认为合法的请求之后，向H端互联系统发送专用协议的会话通知包，通知H端互联系统通过TCP协议连接H端数据交换前置子系统；

6）H端互联系统收到会话通知包之后通过TCP协议连接H端数据交换前置子系统，同时H端互联系统连接到指定的主机之后向仲裁机发送会话通知包，通知互联仲裁系统连接完成，互联仲裁系统从内网请求中提取出关键的URL和访问方法信息，重新组装成HTTP请求，装载在专用通信协议的应用信息包上发向H端互联系统；

7）H端互联部件收到请求之后将应用信息包上的HTTP请求信息提取并装载到TCP协议上，发送到实际的H端数据交换前置子系统；

8）H端互联系统从H端数据交换前置子系统接收到响应信息；

9）H端互联系统向仲裁机发送会话通知包；

10）将HTTP信息从TCP协议中剥离，封装成为专用协议的应用信息包；

11）H端互联系统将信息发送到互联仲裁系统；

12）互联仲裁系统对收到的应用信息包进行仲裁处理，并将处理后的信息仍按照应用信息包的格式发送到L端互联系统；

13）L端互联系统将信息从应用信息包中提取出来，并装载到TCP协议上；

14）L端互联系统将TCP协议发送给L端数据交换前置子系统,完成一次完整的数据通信。

作为优选，上述的三系安全互联部件子系统的仲裁访问控制流程如下：

1）互联仲裁系统接受仲裁数据包，开始基于标记的控制决策；

2）如果能成功提取标记属性，则提取数据包中的数据，计算消息的摘要，否则，将数据包丢弃，中断连接；

3）由互联仲裁系统的标记鉴别子模块判断标记属性是否符合消息摘要，如果符合，则进入下一步，否则，中断连接，丢弃数据包；

4）确认为合法，对H端互联部件发起连接。

采用本发明三系统安全互联部件子系统的多级安全互联平台，以工业企业管理网和工业控制网之间数据交换的访问控制为出发点，构建全程一致的访问控制体系，在管理区和生产区之间搭建可信增强的多级安全互联平台，确保资源访问过程中，在任何层次上都能够进行无策略遗漏和冲突的准确一致的访问控制，真正地保障只有在授权的情况下才能够访问资源。

该多级安全互联平台带来的有益效果是，现有网络被隔离成管理区和生产区，通过可信增强的多级安全互联平台的构建以及互联应用协议解析与控制、互联协议阻断、互联节点身份鉴别、互联系统增强、统一的互联安全管理的实现，满足两个区域的安全互联需求。

附图说明

图1为多级安全互联平台的结构及流程图。

图2 为L/H端数据交换前置子系统的结构图。

图3 为L/H端数据交换前置子系统的总体处理流程图。

图4 为L/H 端数据交换前置子系统的连接处理流程图。

图5 为L/H端数据交换前置子系统的协议标记处理流程图。

图6 为L/H端数据交换前置子系统的应用防护处理流程图。

图7 为三系统安全互联部件子系统的结构图。

图8 为三系统的安全互联部件子系统的处理流程图。

图9 为三系安全互联部件子系统的连接处理流程图。

图10为三系安全互联部件子系统的仲裁访问控制流程图。

图11为可信增强子系统的结构图。

图12为可信增强子系统的连接流程图。

图13为可信增强子系统的可信互联验证流程图。

图14为可信增强子系统的本地可信验证流程图。

图15为多级互联安全管理中心子系统的结构图。

图16为多级互联安全管理中心子系统的注册信息审批流程图。

图17为多级互联安全管理中心子系统的策略信息下发流程图。

图18为多级互联安全管理中心子系统的审计信息上传流程图。

图19为多级互联安全管理中心子系统的心跳信息发送流程图。

图中：1、网络服务接口；2、应用协议解析子模块；3、数据标记子模块；4、应用访问过滤子模块；5、管理代理Agent子模块；6、L端互联系统；7、互联仲裁系统；8、H端互联系统；9、终端节点代理模块；10、可信互联模块；11、操作系统增强模块；12、Bowser模块；13、MySQL模块；14、Web Agent模块。

具体实施方式

下面结合附图对本发明作进一步详细描述：

如图1所示一种基于可信计算的多级安全互联平台，该平台包括以下的系统：

（1）L端和H端数据交换前置子系统：均包括网络服务接口1、应用协议解析子模块2、数据标记子模块3、应用访问过滤子模块4、管理代理Agent子模块5，实现数据交换与标记功能，应用防护功能；

（2）三系统安全互联部件子系统：包括L端互联系统6、互联仲裁系统7、H端互联系统8，实现网络安全隔离功能、互联数据验证功能、互联审计功能；

（3）可信增强子系统：包括终端节点代理模块9、以及可信互联模块10与操作系统增强模块11，实现节点身份标识功能、可执行程度白名单功能；

（4）多级互联安全管理中心子系统：包括Bowser模块12、 MySQL模块13、Web Agent模块14，实现系统管理、安全管理、审计管理功能。

如图2所示，在L端和H端数据交换前置子系统中：

1）所述的网络服务接口1来提供通用的数据交换接口，接收跨级互联数据的请求，与三系统安全互联部件子系统连接，传输已安全标记的数据、经过讵问验证过的Web 应该服务；

2）应用协议解析子模块2根据不同协议，解析、分析交换协议，还原传输数据；

3）数据标记子模块3通过XML签名技术，提供数据标记与强制访问控制的功能，同时基于检查结果，评估数据的可信性，以此为依据，生成其标记，为多级互联部件的访问控制提供支撑；

4）应用访问过滤子模块4提供对Web应用服务器端的访问验证机制，通过应用级攻击特征库，比对访问数据的安全验证规则，过滤L端访问数据包，从而避免H端应用服务端遭受应用级访问攻击；

5）管理代理Agent子模块5与多级互联安全管理中心通信，获取数据交换协议规则、数据过滤规则、可信标记规则等配置信息，并向多级互联安全管理中心子系统提供审计管理所需的数据过滤记录。

如图7所示，在三系统安全互联部件子系统中：

1）L端互联系统6和H端互联系统8，分别是管理区和生产区网络协议的终点，对所有过往的数据进行协议转换，通过剥离网络协议相关的信息还原为应用层原始信息，再将这些信息通过专用硬件和专用通信协议发送给中间互联仲裁系统7，从而可有效阻断基于TCP/IP协议的攻击行为；

2）互联仲裁系统7，为需要跨级访问的系统提供基于可信验证标记的强制访问控制机制，对进出边界的数据信息进行验证，阻止非授权数据交换。

如图11所示，在可信增强子系统中：

1）终端节点代理模块9用于向多级互联安全管理中心子系统的Web Agent模块14提交注册、登录和审计信息，并接收Web Agent模块14所下发的策略，进行相应的策略更新；

2）可信互连模块用于节点间可信互连验证并相互保持可信状态，每次有对方的数据包到达时，更新“最近到达时间”，如果“最近到达时间”与当前时间差超过一定时限，必须重新进行认证；

3）操作系统增强模块11利用信任链传递技术，对操作系统内核装载的重要应用程序和服务进行完整性验证；阻止不在预期值文件中的二进制代码或脚本运行。

如图15所示，在多级互联安全管理中心子系统中：

1）Bowser模块12用于向管理员用户提供UI交互界面；

2）MySQL模块13用于提供管理中心后台数据支持； 

3）Web Agent用于与节点、L端和H端数据交换前置子系统、三系统安全互联部件子系统。

上述的多级安全互联平台的处理流程，该处理流程包括以下的步骤：

1）当系统接收到首次访问数据前置的节点的连接时，节点为数据交换平台或应用终端，首先通过多级安全互联管理中心子系统进行对该节点的注册，同时要求该节点提供其自身的可信验证信息，通过审核后才授权该节点发起连接，否则禁止访问；

2）对于应用终端节点，多级安全互联管理中心子系统在授权后将策略下发给可信增强子系统的终端节点代理模块9，然后抵达应用终端，当节点进行跨级访问时，根据策略先进行可信互连验证，互连验证通过后，才能正常通信，否则禁止通信； 

3）当L端节点为数据交换平台进行跨级访问时，只能访问L端数据交换前置子系统，由L端数据交换前置子系统进行数据解析、还原，并进行数据可信标记，转发至三系统安全互联部件子系统；

4）当 L端节点为Web访问应用进行跨级访问时，只能访问L端数据交换前置子系统，通过应用访问过滤子模块4的过滤后，转发至三系统安全互联部件子系统；

5）三系统安全互联部件子系统接收到来自L端数据交换前置子系统的数据后，通过专用硬件、专用协议通过互联仲裁系统7的过滤，对进出边界数据信息的标记进行验证，阻止非授权数据交换，将过滤后数据组合后发送给H端数据交换前置子系统；

6）H端数据交换前置子系统接收到来自三系统安全互联部件子系统的数据后，将数据打包还原为相应的soap协议、xml文件或web访问连接，再连接到H端相应的数据服务器、中间件；

7）节点间可信互连验证通过后，相互保持可信状态，每次有对方的数据包到达时，更新“最近到达时间”，如果“最近到达时间”与当前时间差超过一定时限，则中断该连接，需要L端节点重新进行认证，防止外来用户通过伪造进行跨级访问。

如图3所示，上述的L端和H端数据交换前置子系统总体处理流程如下：

1）请求连接数据到达后，根据该连接预先定义的应用，检查是否是相应应用的协议包，如果是，则进入下一步，否则丢弃并关闭连接；

2）如果检查为web应用连接，则使用应用访问过滤子模块44web 接口，否则丢弃包；

3）如果web应用认证通过则传输数据至互联安全部件；

4）如果是soap包，则过滤内容，检查是否可信，如果可信，则进行签名标记数据，否则择标记数据包为不可信数据包；

5）将结构数据传输至三系统安全互联部件子系统。

如图4所示，上述的L端和H端数据交换前置子系统的连接处理流程如下：

1）受理连接后，首先向互联仲裁系统7申请，互联仲裁系统7根据申请附带的客户端IP地址、端口号，依据L端数据交换前置子系统侦听的IP地址和端口号，以及安全管理中心配置的信息进行仲裁，若合法则分配会话ID，返回给L端数据交换前置子系统，同时，向H端数据交换前置子系统发送与应用服务器的连接指令，其仲裁不合法，则通知L端数据交换前置子系统拒绝该连接；

2）L端数据交换前置子系统得到仲裁返回的ID会话，将连接加入会话，开始接受/发送数据；

3）L端数据交换前置子系统若监测到连接由客户端关闭，则关闭与客户端连接的同时，通过多级互联部件向H端数据交换前置子系统发送结束会话指令；

4）L端数据交换前置子系统收到H端数据交换前置子系统会话指令，则关闭与客户端连接，结束会话。

如图5所示，上述的L端和H端数据交换前置子系统的协议标记处理流程如下：

1）从会话列表中获取会话密钥；

2）根据数据流量和处理能力，可以选取全部或部分数据进行摘要，参与摘要的L前置身份、时间、会话ID要作为标记的组成部分；

3）对HTTP、SOAP、XML等有结构的数据，增加对应协议的标题或属性承载标记；

4）对无结构的数据，将标记添加至收到的数据末尾。

如图6所示，上述的L端和H端数据交换前置子系统的应用防护处理流程如下：

1）根据GET/POST判断是否是http的包；

2）获取要匹配的URL内容,以POST方式或者GET方式提交内容以及COOKIE内容；

3）遍历策略链表，解析是url过滤还是cookie过滤；

4）过滤整个数据包和表单提交的数据；

5）与编译和优化完的正则表达式进行模式匹配，做出决策；

6）记录审计信息。

如图8所示，上述的三系统安全互联部件子系统处理流程如下：

1）L端互联系统6接收L端数据交换前置子系统发来的数据包之后，将该数据包进行还原，剥离成应用层数据；

2）L端互联系统6将应用层数据，运用专用安全协议进行封装，通过专用数据链路和专用传输硬件发送至互联仲裁系统7；

3）互联仲裁系统7对L端互联系统6发送的数据进行仲裁，将可信的数据运用专用安全协议进行封装，通过专用数据链路和专用传输硬件发送至H端互联系统8；

4）H端互联系统8将互联仲裁系统7发送来的可信应用数据重新打包成TCP/IP协议数据包，发送至H端数据交换前置子系统。

如图9所示，上述的三系统安全互联部件子系统以TCP协议的连接处理流程如下：

1）L端数据交换前置子系统通过TCP协议向L端互联系统6指定端口申请建立连接；

2）L端互联系统6将HTTP协议的请求信息从TCP协议栈中剥离，装载成为专用通信协议的会话请求包，通过专用链路层发向互联仲裁系统7；

3）互联仲裁系统7检查请求的IP地址等信息，确认为通道的合法用户后，发送专用协议的会话通知包到L端互联系统6，允许L端互联系统6与L端数据交换前置子系统建立TCP连接；

4）L端互连系统网关将HTTP请求信息从TCP协议中剥离，封装成为专用协议的应用信息包并转发到互联仲裁系统7；

5）互联仲裁系统7从专用协议的应用信息包中提取出请求，并检查请求的方法，目的地址，URL等信息，并做相应的检查，确认为合法的请求之后，向H端互联系统8发送专用协议的会话通知包，通知H端互联系统8通过TCP协议连接H端数据交换前置子系统；

6）H端互联系统8收到会话通知包之后通过TCP协议连接H端数据交换前置子系统，同时H端互联系统8连接到指定的主机之后向仲裁机发送会话通知包，通知互联仲裁系统7连接完成，互联仲裁系统7从内网请求中提取出关键的URL和访问方法信息，重新组装成HTTP请求，装载在专用通信协议的应用信息包上发向H端互联系统8；

7）H端互联部件收到请求之后将应用信息包上的HTTP请求信息提取并装载到TCP协议上，发送到实际的H端数据交换前置子系统；

8）H端互联系统8从H端数据交换前置子系统接收到响应信息；

9）H端互联系统8向仲裁机发送会话通知包；

10）将HTTP信息从TCP协议中剥离，封装成为专用协议的应用信息包；

11）H端互联系统8将信息发送到互联仲裁系统7；

12）互联仲裁系统7对收到的应用信息包进行仲裁处理，并将处理后的信息仍按照应用信息包的格式发送到L端互联系统6；

13）L端互联系统6将信息从应用信息包中提取出来，并装载到TCP协议上；

14）L端互联系统6将TCP协议发送给L端数据交换前置子系统,完成一次完整的数据通信。

如图10所示，上述的三系安全互联部件子系统仲裁访问控制流程如下：

1）互联仲裁系统7接受仲裁数据包，开始基于标记的控制决策；

2）如果能成功提取标记属性，则提取数据包中的数据，计算消息的摘要，否则，将数据包丢弃，中断连接；

3）由互联仲裁系统7的标记鉴别子模块判断标记属性是否符合消息摘要，如果符合，则进入下一步，否则，中断连接，丢弃数据包；

4）确认为合法，对H端互联部件发起连接。

如图12所示，上述的可信增强子系统连接流程如下：

1）请求连接数据到达后，查找该节点是否在当前的通信列表中，如果是，则进入下一步，否则跳转到步骤5）；

2）在当前列表中找到该节点的IP地址、ID号、状态以及上次更新时间等相关信息，并根据策略判断该节点是否可信，如果是，则进入下一步，否则跳转到步骤4）；

3）获得取系统当前时间，并将当前时间减去上次该IP更新时间，如果小于5分钟，则接受该数据包，并更新相应的时间，否则丢弃该连接请求数据包；

4）判断该连接请求是否在可信认证的过程中，如果是，则继续等待，否则丢弃该连接请求数据包；

5）查找该节点是否在通信连接总表中，如果是，则进入下一步，否则丢弃该连接请求数据包；

6）将该节点存入当前通信列表，并向其发送询问消息，进行可信认证，认证通过，则接受该数据包并更新相应的时间，否则丢弃该连接请求数据包。

如图13所示，上述的可信增强子系统可信互联验证流程如下：

1）节点A接收到节点B的连接请求后，将创建新的TCP套接字，并从本地策略的数据结构中取出一个随机数nonce发送给节点B；

2）节点B将接收到的随机数nonce与其自身的ID号组合在一起，利用哈希算法计算Hash(nonce+IDb’)，并将计算的结果返回给节点A；

3）节点A利用节点B所声称的IP地址，在可信列表中去查找该IP所对应的ID号，将该ID号与先前发送给B的随机数nonce相组合，计算Hash(nonce+IDb)；

4）节点A比较Hash(nonce+IDb)与Hash(nonce+IDb’)是否相等，如果相等，则B是可信节点，节点A将与B建立可信连接，否则，节点A将拒绝节点B的连接请求。

如图14所示，上述的可信增强子系统本地可信验证流程如下：

1）可执行代码启动时，可信互联模块10截获该请求；

2）通过可信密码模块摘要值计算接口，计算要启动的可执行代码文件的摘要值；

3）查询预期值文件白名单，判断该可执行代码的摘要值是否与预期值文件中存储的一致，若一致，则允许程序启动，否则，则拒绝启动该程序。

如图16所示，上述的多级互联安全管理中心子系统注册信息审批流程如下：

1）当终端节点首次接入可信域，或终端节点本地配置文件中的注册状态为不成功时，节点分别通过Agent和前置机Agent，向管理中心的Web Agent模块14提供注册所需的信息；

2）多级互联安全管理中心代理查询数据库，如果数据库中该节点是“可信”但“最近更新时间”为空，而且节点提供的注册信息与数据库中的信息一致，则注册成功，返回注册成功消息；

3）并将收到消息的时间写入“最近更新时间”；

4）节点收到“注册成功”消息，在配置文件中写入“注册成功”状态，发送“登录”消息；

5）多级互联安全管理中心代理查询数据库，如果数据库中没有该节点或者信息不一致，则标志为“不可信”，然后返回“注册失败”消息；

6）如果数据库中有该节点信息，并且标志为“可信”而且“最近更新时间”非空，说明该节点已经注册成功，不允许再注册，同样返回“注册失败”消息；

7）节点收到“注册失败”消息，在配置文件中写入“注册失败”状态，并退出。

如图17所示，上述的多级互联安全管理中心子系统策略信息下发流程如下：

1）安全管理员通过浏览器通知Web Agent模块14进行策略下发；

2）Web Agent模块14从后数据库读取相应的策略，形成策略文件；

3）管理中心的Web Agent模块14向其域中的所有节点下发新的策略文件；

4）前置机Agent将配置文件写入前置机的/etc/secwall/目录中，并重新读取相应的配置文件。

如图18所示，上述的多级互联安全管理中心子系统审计信息上传流程如下：

1）当非法节点向可信域中的可信节点发起连接请求时，Win/Linux Agent将记录非法连接的源IP、目的IP以及端口信息，并将这些信息发送给管理中心的Web Agent模块14；

2）管理中心的Web Agent模块14将审计信息写入后台数据库；

3）在管理中心页面上，安全管理员可通过浏览器访问后台数据库，查看审计信息进行统计和分析。

如图19所示，上述的多级互联安全管理中心子系统心跳信息发送流程如下：

1）Web Agent模块14接收到由各节点模块上传的数据包，以管理中心的时间为标准，记录下该数据包到达的时间，并将其作为“最近更新时间”存储到后台数据库中，同时，定时器查询对应的节点状态，如果状态标记为“死”，则将其改为“活”；

2）Web Agent模块14根据定时器的设置，定时访问后台数据库，查询各节点的状态信息，找出状态标识为“活”的节点，然后以管理中心的时间为标准，判断当前时间是否大于“最近更新时间”加上30秒，若是，则将状态标记“死”，否则仍为“活”。 

Claims (1)

1.基于可信计算的多级安全互联平台，其特征在于该平台包括以下的系统：

（1）L端和H端数据交换前置子系统：均包括网络服务接口（1）、应用协议解析子模块（2）、数据标记子模块（3）、应用访问过滤子模块（4）、管理代理Agent子模块（5），实现数据交换与标记功能，应用防护功能；

（2）三系统安全互联部件子系统：包括L端互联系统（6）、互联仲裁系统（7）、H端互联系统（8），实现网络安全隔离功能、互联数据验证功能、互联审计功能；

（3）可信增强子系统：包括终端节点代理模块（9）、以及可信互联模块（10）与操作系统增强模块（11），实现节点身份标识功能、可执行程度白名单功能；

（4）多级互联安全管理中心子系统：包括Bowser模块（12）、 MySQL模块（13）、Web Agent模块（14），实现系统管理、安全管理、审计管理功能；

一、在L端和H端数据交换前置子系统中：

1）所述的网络服务接口（1）来提供通用的数据交换接口，接收跨级互联数据的请求，与三系统安全互联部件子系统连接，传输已安全标记的数据、经过访问验证过的Web 应用服务；

2）应用协议解析子模块（2）根据不同协议，解析、分析交换协议，还原传输数据；

3）数据标记子模块（3）通过XML签名技术，提供数据标记与强制访问控制的功能，同时基于检查结果，评估数据的可信性，以此为依据，生成其标记，为多级互联部件的访问控制提供支撑；

4）应用访问过滤子模块（4）提供对Web应用服务器端的访问验证机制，通过应用级攻击特征库，比对访问数据的安全验证规则，过滤L端访问数据包，从而避免H端应用服务端遭受应用级访问攻击；

5）管理代理Agent子模块（5）与多级互联安全管理中心子系统通信，获取数据交换协议规则、数据过滤规则、可信标记规则配置信息，并向多级互联安全管理中心子系统提供审计管理所需的数据过滤记录；

二、在三系统安全互联部件子系统中：

1）L端互联系统（6）和H端互联系统（8），分别是管理区和生产区网络协议的终点，对所有过往的数据进行协议转换，通过剥离网络协议相关的信息还原为应用层原始信息，再将这些信息通过专用硬件和专用通信协议发送给中间互联仲裁系统（7），从而可有效阻断基于TCP/IP协议的攻击行为；

2）互联仲裁系统（7），为需要跨级访问的系统提供基于可信验证标记的强制访问控制机制，对进出边界的数据信息进行验证，阻止非授权数据交换；

所述的三系统安全互联部件子系统处理流程如下：

1）L端互联系统（6）接收L端数据交换前置子系统发来的数据包之后，将该数据包进行还原，剥离成应用层数据；

2）L端互联系统（6）将应用层数据，运用专用安全协议进行封装，通过专用数据链路和专用传输硬件发送至互联仲裁系统（7）；

3）互联仲裁系统（7）对L端互联系统（6）发送的数据进行仲裁，将可信的数据运用专用安全协议进行封装，通过专用数据链路和专用传输硬件发送至H端互联系统（8）；

4）H端互联系统（8）将互联仲裁系统（7）发送来的可信应用数据重新打包成TCP/IP协议数据包，发送至H端数据交换前置子系统；

三、在可信增强子系统中：

1）终端节点代理模块（9）用于向多级互联安全管理中心子系统的Web Agent模块（14）提交注册、登录和审计信息，并接收Web Agent模块（14）所下发的策略，进行相应的策略更新；

2）可信互联模块用于节点间可信互联验证并相互保持可信状态，每次有对方的数据包到达时，更新“最近到达时间”，如果“最近到达时间”与当前时间差超过一定时限，必须重新进行认证；

3）操作系统增强模块（11）利用信任链传递技术，对操作系统内核装载的重要应用程序和服务进行完整性验证；阻止不在预期值文件中的二进制代码或脚本运行；

四、在多级互联安全管理中心子系统中：

1）Bowser模块（12）用于向管理员用户提供UI交互界面；

2）MySQL模块（13）用于提供管理中心后台数据支持； 

3）Web Agent模块用于与节点、L端和H端数据交换前置子系统、三系统安全互联部件子系统的管理数据交互。

Images