CN104579626B - 一种基于单向传输的电子文档输出管控系统及方法 - Google Patents

Abstract

本发明提供一种基于单向传输的电子文档输出管控系统及方法，系统包括：终端代理模块、集中管理中心模块及外发隔离模块，终端代理模块与集中管理中心模块双向通信；集中管理中心模块与外发隔离模块双向通信；优点为：(1)通过单向传输技术，内部网络通过外发隔离模块与外设输出设备连接，保证电子文档单向输出，实现对打印机等外设输出风险设备与敏感内部网络的有效隔离；(2)通过安全的身份鉴别保障电子文档外发来源的可信，通过安全检查保证外发电子文档的内容可管、可控，通过安全策略的执行保证只有授权的电子文档才能外发；(3)支持打印输出、光盘刻录输出及存储介质输出等多种输出方式，可以广泛适用于各种电子文档安全输出场合。

Description

一种基于单向传输的电子文档输出管控系统及方法

技术领域

本发明属于网络信息安全技术领域，具体涉及一种基于单向传输的电子文档输出管控系统及方法。

背景技术

在现代企业办公环境中，存在数量众多和种类繁杂的电子文档，其中，电子文档指依赖计算机系统存取并可在通信网络上传输的文档，包括：电子文书、电子信件、电子报表、电子图纸、纸质文本文档的电子版本等等。由于工作需要，将电子文档输出的需求非常普遍，此处，电子文档输出包括两类：(1)通过打印机将电子文档打印为纸件文档：例如，将电子文档打印为纸件文档，然后，将打印出的纸件文档交给领导指示或直接存档；(2)将电子文档从计算机输出到光盘或U盘等移动存储介质。例如，将电子文档刻录成光盘后，将光盘交给合作单位，或者，将电子文档存储到U盘后，将U盘交给合作单位等。

现有电子文档输出方式主要为：每一个员工配置一台办公用的终端计算机，员工直接通过终端计算机配置的各种外设接口输出电子文档，该种输出方式的主要问题为：(1)输出行为不可控：无法监控员工输出电子文档的输出行为，一旦出现泄密事件，无法追踪追溯；(2)输出内容不可控：无法监控员工所输出电子文档的电子文档内容，易造成信息泄漏；(3)输出设备不可控：市面上的打印机等输出设备具有自主芯片，存在主动访问和攻击企业内部网络，进而窃取企业信息的风险；例如：打印机设备可以通过扫描终端计算机获取企业内部网络的敏感信息，并通过打印机设置内置的无线模块发送出去，导致信息泄露。

由此可见，尤其对于敏感办公网络或涉密办公网络，不受控的电子文档输出对企业运营带来极大的安全风险，如何对电子文档的输出进行管控，保证电子文档输出的安全性，具有重要意义。

发明内容

针对现有技术存在的缺陷，本发明提供一种基于单向传输的电子文档输出管控系统及方法，可全方面有效管控电子文档的输出行为，保证电子文档输出的安全性。

本发明采用的技术方案如下：

本发明提供一种基于单向传输的电子文档输出管控系统，包括：终端代理模块、集中管理中心模块及外发隔离模块，所述终端代理模块与所述集中管理中心模块双向通信连接；所述集中管理中心模块与所述外发隔离模块双向通信连接；

所述终端代理模块嵌入到内部网络的终端计算机上，包括：

电子文档外发子模块，用于设置电子文档外发类型，以及与每一种电子文档外发类型对应的电子文档外发接口；

身份鉴别子模块，用于当所述电子文档外发子模块接收到对某一电子文档输出的指令时，对需要输出电子文档的账户进行合法性身份鉴别；

策略存储子模块，用于存储所述集中管理中心模块所下发的内容检查、外设控制等策略；

内容检查子模块，用于读取所述策略存储子模块所存储的内容检查策略，基于该内容检查策略，对经过身份鉴别的电子文档进行内容检查；

通讯子模块，用于将通过所述内容检查子模块进行的内容检查的电子文档加密发送到集中管理中心模块；

外设接口控制子模块，用于对所述终端计算机的外设接口进行控制，使所述终端计算机的外设接口处于封堵状态；

所述集中管理中心模块嵌入到内部网络的服务器上，包括：

终端管理子模块，用于对各个终端计算机进行集中管理；

用户管理子模块，用于对终端用户进行集中管理；

策略配置子模块，用于以已注册终端计算机和/或已注册终端用户为配置对象，配置与已注册终端计算机和/或已注册终端用户对应的内容检查策略、外设控制等，并将所配置的安全策略下发到各个终端计算机；

人工审核子模块，用于对接收到的来自终端代理模块的电子文档进行人工审核；

审计管理子模块，用于采集各个终端计算机和外发隔离模块的日志，并对采集到的日志进行统计分析；

终端发送子模块，用于将通过所述人工审核子模块审核后的电子文档发送到所述外发隔离模块；

所述外发隔离模块包括内端机、单向光传输部件和外端机；其中，所述内端机通过所述单向光传输部件与所述外端机通信连接；

所述内端机包括第一处理器、第一网络接口、第一通信接口、读卡器、第一显示设备和第一输入接口；

所述第一网络接口用于接收所述集中管理中心模块通过所述终端发送子模块所下发的电子文档，并将该电子文档发送到所述第一处理器；

所述第一通信接口或所述读卡器用于接收身份认证请求，其中，所述身份认证请求中携带有需要被认证的身份信息；并将该身份认证请求发送到所述第一处理器；

所述第一处理器用于：对来自所述第一通信接口或所述读卡器的身份认证请求进行身份认证；并通过第一显示设备显示身份认证进度和身份认证结果；如果身份认证通过，则通过所述第一显示设备显示与被认证的身份绑定的电子文档输出任务；

所述第一输入接口用于接收对所述第一显示设备所显示的电子文档输出任务的选择输出指令，并将所述选择输出指令传输给所述第一处理器；

所述单向光传输部件包括光发射模块、光接收模块以及连接在所述光发射模块和所述光接收模块之间的光纤；

所述光发射模块用于：接收来自所述第一处理器的与被认证的身份绑定的被选择输出的电子文档，并将该电子文档通过所述光纤传输到所述光接收模块；

所述光接收模块用于：将接收到的电子文档传输到所述外端机；

所述外端机包括：第二处理器以及至少一个外设输出接口；

所述外设输出接口用于连接外设输出设备；

所述第二处理器包括：

外设授权控制子模块，用于采用驱动控制技术，对与外设输出接口连接的外设输出设备进行授权绑定，只有经过授权的外设输出设备才能接入外端机；

接收子模块，用于接收来自所述光接收模块的电子文档；

驱动子模块，用于驱动对应的外设输出设备，通过该外设输出设备，对所述接收子模块接收到的电子文档进行输出操作；

日志记录子模块，用于当通过驱动子模块输出电子文档时，记录并存储输出日志；

发送子模块，用于将所述日志记录子模块所记录的输出日志传输给外部移动存储介质，再传给所述集中管理中心模块；

数据自动清理子模块，用于当所述驱动子模块将电子文档输出到外设输出设备后，自动安全擦除电子文档内容；

行为审计子模块，用于记录终端用户、所输出的电子文档以及输出时间的对应关系。

优选的，所述电子文档外发子模块设置三种电子文档外发类型，分别为：通过打印机打印电子文档类型、通过光盘刻录电子文档类型以及通过存储介质存储电子文档类型；

所述与每一种电子文档外发类型对应的电子文档外发接口，包括：

虚拟打印机，为安装在终端计算机上的虚拟打印机，与通过打印机打印电子文档的外发类型对应；

外发接口功能单元，包括：光盘刻录外发功能单元以及存储介质外发功能单元。

优选的，所述存储介质为移动硬盘或U盘。

优选的，所述策略存储子模块所存储的内容检查策略包括：文档格式深度检查策略、关键字过滤策略以及密级标识检查策略中的一种或几种。

优选的，所述外设接口控制子模块所控制的终端计算机的外设接口包括：USB接口、串口、并口和网口中的一种或几种。

优选的，所述终端管理子模块对各个终端计算机进行集中管理，具体为：所述终端管理子模块对各个终端计算机进行注册、注销、删除和查询功能管理；

所述用户管理子模块对终端用户进行集中管理，具体为：所述用户管理子模块对终端用户进行注册、更新、删除和查询功能管理。

优选的，所述第一通信接口为USB接口，用于与USB Key连接；用于当用户需要领取输出的电子文档时，将USB Key插入到第一通信接口；其中，所述USB Key中存储用户身份信息。

优选的，所述外端机的外设输出接口包括：网络接口和至少一个USB接口；

所述网络接口用于连接网络打印机；

所述USB接口用于连接USB打印机、刻录光驱或存储介质。

优选的，所述外端机的第二处理器还包括：

存储介绍控制子模块，用于对接入到所述外端机的各种外设输出设备的读写功能进行限制，使其只具有写功能；

病毒防护子模块，实时存储并在线升级病毒库，基于该病毒库，实时对接入到所述外端机的各种外设输出设备进行病毒扫描，查杀扫描到的病毒。

本发明还提供一种基于单向传输的电子文档输出管控方法，包括以下步骤：

S1，在终端计算机上嵌入终端代理模块；

当所述终端代理模块通过电子文档外发接口接收到对指定电子文档的输出请求时，其中，该输出请求中携带有终端用户ID；所述终端代理模块获得所述终端用户ID，然后判断该终端用户ID是否已认证，如果未认证，则执行S2；如果已认证，则执行S3；

S2，所述终端代理模块向显示设备输出需要进行身份认证的提示信息，在接收到终端用户输入的身份信息时，还获得所述终端计算机的终端计算机ID，然后，向安装在服务器的集中管理中心模块发送身份鉴别请求，其中，该身份鉴别请求中同时携带终端用户输入的身份信息以及终端计算机ID；由所述集中管理中心模块进行身份认证；

如果所述终端代理模块接收到所述集中管理中心模块下发的认证通过信息，则执行S3；否则，执行S12；

S3，所述终端代理模块读取所述集中管理中心模块所下发的与该终端用户和/或终端计算机对应的内容检查策略，判断是否需要对所述指定电子文档进行内容检查，如果需要，则执行S4；如果不需要，则执行S5；

S4，根据所述内容检查策略，所述终端代理模块对所述指定电子文档进行内容检查，如果检查通过，则执行S5；否则，执行S12；

S5，所述终端代理模块将检查通过的指定电子文档发送到所述集中管理中心模块；

S6，所述集中管理中心模块根据所述内容检查策略，判断是否需要对所述指定电子文档进行人工审核，如果需要，则执行S7；如果不需要，则执行S8；

S7，所述集中管理中心模块在线查看所述指定电子文档的文档内容，进行人工审核，如果审核通过，则执行S8；否则，执行S12；

S8，所述集中管理中心模块将审核通过后的所述指定电子文档发送到外发隔离模块的内端机；同时，所述集中管理中心模块向所述终端计算机发送文档领取确认的通知消息；

S9，所述内端机显示需要进行身份鉴别的通知消息；当接收到终端用户通过内端机输入的被认证身份的信息时，所述内端机对该被认证身份进行身份鉴别，如果身份鉴别通过，则执行S10；否则，执行S12；

S10，所述内端机通过第一显示设备显示与被鉴别的身份对应的至少一个电子文档输出任务；在接收到终端用户通过内端机输入的选择输出指令时，将终端用户所选择的电子文档通过单向光传输部件传输到外端机；

S11，所述外端机接收所述内端机下发的电子文档，并通过对应的外设输出设备输出该电子文档，外端机记录并存储输出日志，结束流程；

S12，拒绝电子文档输出操作，结束流程。

本发明的提供的基于单向传输的电子文档输出管控系统及方法，具有以下优点：

(1)单向隔离防护技术：通过单向传输技术，内部网络通过外发隔离模块与外设输出设备连接，保证电子文档单向输出，实现对打印机等外设输出风险设备与敏感内部网络的有效隔离，即：阻断外设输出设备中所携带的恶意程序对内网的扫描和攻击，阻止外设输出设备中所携带的病毒或恶意代码进入内网，确保内网策略的安全执行，防止被恶意篡改；

(2)安全可控的数据输出技术：通过安全的身份鉴别保障电子文档外发来源的可信，通过安全检查保证外发电子文档的内容可管、可控，通过安全策略的执行保证只有授权的电子文档才能外发；

(3)支持丰富的外发方式：支持打印输出、光盘刻录输出及存储介质输出等多种输出方式，可以广泛适用于办公网络等各种电子文档安全输出场合。

附图说明

图1为本发明提供的电子文档输出管控系统的网络架构图；

图2为本发明提供的外发隔离模块的结构示意图；

图3为本发明提供的电子文档输出管控方法的流程示意图。

具体实施方式

以下结合附图对本发明进行详细说明：

本发明提供一种基于单向传输的电子文档输出管控系统，核心思想包括以下几点：

(1)集中输出路径：将终端电子文档输出通道集中到统一的输出隔离设备进行输出，便于集中监视和管控，避免各终端离散输出风险；

(2)可控数据输出：对所有输出电子文档的内容进行安全检查及审核，避免不合规电子文档的输出；

(3)安全输出路径：通过基于单向传输的特别设计，通过外发隔离设备将内部网络与外设输出设备有效隔离；

(4)输出行为审计：提供对电子文档输出过程的全审计，方便进行输出追溯。

基于上述思路，电子文档输出管控系统包括：终端代理模块、集中管理中心模块及外发隔离模块，所述终端代理模块与所述集中管理中心模块双向通信连接；所述集中管理中心模块与所述外发隔离模块双向通信连接；如图1所示，为该电子文档输出管控系统的网络架构图。以下对终端代理模块、集中管理中心模块及外发隔离模块分别详细说明：

(一)终端代理模块

终端代理模块嵌入到内部网络的终端计算机上，终端代理模块主要用于执行数据管理中心模块下发的安全策略，并进行电子文档外发操作，具体包括：

(1)电子文档外发子模块

电子文档外发子模块用于设置电子文档外发类型，以及与每一种电子文档外发类型对应的电子文档外发接口。

具体实现上，电子文档外发子模块设置三种电子文档外发类型，分别为：通过打印机打印电子文档类型、通过光盘刻录电子文档类型以及通过存储介质存储电子文档类型；其中，存储介质包括但不限于U盘或移动硬盘。

与每一种电子文档外发类型对应的电子文档外发接口，包括：

虚拟打印机，为安装在终端计算机上的虚拟打印机，与通过打印机打印电子文档的外发类型对应；例如，当终端用户需要打印某一个电子文档时，终端用户只需要选择特定的虚拟打印机即可。

外发接口功能单元，包括：光盘刻录外发功能单元以及存储介质外发功能单元。其中，存储介质为移动硬盘或U盘。例如，当终端用户需要将某一个电子文档存储到U盘或移动硬盘时，或者，当终端用户需要将某一个电子文档刻录为光盘时，终端用户只需要操纵鼠标右键，选中该电子文档，然后将该被选中的电子文档拖拽到对应的外发功能单元即可。

由此可见，终端用户在使用本发明所提供的电子文档外发子模块时，完全不需要改变其原有文档输出的使用习惯，具有使用方便的优点。

(2)身份鉴别子模块

身份鉴别子模块用于当所述电子文档外发子模块接收到对某一电子文档输出的指令时，对需要输出电子文档的账户进行合法性身份鉴别；

实际应用中，可以采用USB Key智能密码设备进行终端用户身份鉴别，保证只有授权的终端用户可以进行电子文档输出操作。

(3)策略存储子模块

策略存储子模块用于存储所述集中管理中心模块所下发的内容检查和外设控制策略，其中内容检查策略包括：文档格式深度检查策略、关键字过滤策略以及密级标识检查策略中的一种或几种，外设控制策略包括：USB接口、串口、并口和网口中的一种或几种。还包括审核模式，如是否需要启动内容检查策略或人工审核策略等。

(4)内容检查子模块

内容检查子模块用于读取所述策略存储子模块所存储的内容检查策略，基于该内容检查策略，对经过身份鉴别的电子文档进行内容检查，保证电子文档输出内容的安全性，防止信息泄露。

(5)通讯子模块

通讯子模块用于建立终端代理模块和集中管理中心模块之间的安全通道，将通过所述内容检查子模块进行的内容检查的电子文档发送到集中管理中心模块；

此外，还包括：

(6)外设接口控制子模块

外设接口控制子模块用于对所述终端计算机的外设接口进行控制，使所述终端计算机的外设接口处于封堵状态，防止终端用户直接通过终端计算机的外设接口输出电子文档，达到防止信息泄露的目的。

具体的，终端计算机的外设接口包括：USB接口、串口、并口和网口中的一种或几种，可以防止终端用户直接通过终端计算机进行USB接口、串并口及网络打印输出，也防止终端用户直接通过USB接口进行光盘刻录或移动存储介质的数据输出。

(二)集中管理中心模块

集中管理中心模块嵌入到内部网络的服务器上，是管控系统的统一用户、统一终端计算机及安全策略的管理模块，采用B/S架构，通过浏览器进行访问及管理，具体包括以下功能模块：

(1)终端管理子模块：用于对各个终端计算机进行集中管理；例如：对各个终端计算机进行注册、注销、删除和查询功能管理；

(2)用户管理子模块：用于对终端用户进行集中管理；例如，对终端用户进行注册、更新、删除和查询功能管理。

通过终端管理子模块和用户管理子模块，实现了双重认证，通过与终端代理模块的配合，实现对终端用户的身份鉴别，保证只有授权的合法终端用户使用合法的终端计算机，才可以进行电子文档输出操作。

(3)策略配置子模块：用于以已注册终端计算机和/或已注册终端用户为配置对象，配置与已注册终端计算机和/或已注册终端用户对应的内容检查、外设控制等策略，并将所配置的安全策略下发到各个终端计算机；

(4)人工审核子模块：

用于对接收到的来自终端代理模块的电子文档进行人工审核；本发明对人工审核的具体机制并不限制，例如，可以为多个审核员审核机制，审核员之间可以是“与模式”或“或模式”；通过人工审核，进一步提高了电子文档输出的安全性。

(5)审计管理子模块：用于采集各个终端计算机和外发隔离模块的日志，并对采集到的日志进行统计分析；

(6)终端发送子模块：用于将通过所述人工审核子模块审核后的电子文档发送到所述外发隔离模块。

(三)外发隔离模块

本发明中，外发隔离模块是专用的桌面型硬件设备，其中内置了嵌入式软件模块，硬件设备的一端连接内部网络，另一端连接打印机、刻录光驱等外设输出设备，通过集中输出通道，方便安全管理和使用。通过外发隔离模块内部的单向光传输部件，保证外设输出设备无法扫描及攻击内部网络。

外发隔离模块是本发明中的重要设备，通过外发隔离设备实现电子文档的单向受控输出，有效防止外设对内网的攻击。

如图2所示，为外发隔离模块的结构示意图，用于实现基于单向的安全文档外发功能，包括内端机、单向光传输部件和外端机；其中，所述内端机通过所述单向光传输部件与所述外端机通信连接。

(1)内端机

内端机包括第一处理器、第一网络接口、第一通信接口、读卡器、第一显示设备和第一输入接口。

(1.1)第一网络接口

第一网络接口用于连接内部网络，接收所述集中管理中心模块通过所述终端发送子模块所下发的电子文档，并将该电子文档发送到所述第一处理器；

(1.2)第一通信接口或读卡器

用于接收身份认证请求，其中，所述身份认证请求中携带有需要被认证的身份信息；并将该身份认证请求发送到所述第一处理器；

实际应用中，第一通信接口为USB接口，用于与USB Key连接；用于当用户需要领取输出的电子文档时，将USB Key插入到第一通信接口，或者，通过读卡器读取CPU智能卡。其中，所述USB Key或CPU智能卡中存储用户身份信息。

(1.3)第一处理器

第一处理器可采用CPU芯片，运行嵌入式Linux操作系统，实现认证、文档领取、审计等功能。

具体的，第一处理器用于对来自所述第一通信接口或所述读卡器的身份认证请求进行身份认证；并通过第一显示设备显示身份认证进度和身份认证结果；如果身份认证通过，则通过所述第一显示设备显示与被认证的身份绑定的至少一个电子文档输出任务；

(1.4)第一显示设备

第一显示设备可采用触摸屏，一方面，显示第一处理器的身份认证进度和身份认证结果；另一方面，输出至少一个电子文档输出任务，由终端用户选择本次需输出的电子文档。

(1.5)第一输入接口

用于接收对所述第一显示设备所显示的电子文档输出任务的选择输出指令，并将所述选择输出指令传输给所述第一处理器。

如果第一显示设备采用触摸屏，则第一输入接口即为触摸屏本身自带的输入接口。如果第一显示设备采用普通非触摸的显示屏，则第一输入接口可以为键盘或鼠标等输入设备。

(2)单向光传输部件

所述单向光传输部件包括光发射模块、光接收模块以及连接在所述光发射模块和所述光接收模块之间的光纤；

所述光发射模块用于：接收来自所述第一处理器的与被认证的身份绑定的被选择输出的电子文档，并将该电子文档通过所述光纤传输到所述光接收模块；并且，光发射模块只能向光接收模块发射光信号，而无法接收来自光接收模块的光信息；

所述光接收模块用于：将接收到的电子文档传输到所述外端机；其中，光接收模块只能接收来自光发射模块的光信号，而无法向光发射模块发射光信号；

通过光发射模块和光接收模块，实现光信号的纯单向传输，关于光单向传输的实现原理，见本申请人专利号为ZL201110288330.1的专利描述，在此不再赘述。

(3)外端机

外端机包括：第二处理器以及至少一个外设输出接口；

(3.1)外设输出接口：用于连接外设输出设备；包括网络接口和至少一个USB接口；其中，网络接口用于连接网络打印机；USB接口用于连接USB打印机、刻录光驱或存储介质。

还可以包括显示屏，用于显示电子文档输出时的状态信息，方便终端用户查看。

(3.2)第二处理器

第二处理器可采用CPU芯片，运行Windows XP操作系统，实现实际的打印、刻录及U盘导出操作，具体包括：

外设授权控制子模块，用于采用驱动控制技术，对与外设输出接口连接的外设输出设备进行授权绑定，只有经过授权的外设输出设备才能接入外端机；

接收子模块，用于接收来自所述光接收模块的电子文档；

驱动子模块，用于驱动对应的外设输出设备，通过该外设输出设备，对所述接收子模块接收到的电子文档进行输出操作；

日志记录子模块，用于当通过驱动子模块输出电子文档时，记录并存储输出日志；

发送子模块，用于将所述日志记录子模块所记录的输出日志导出到外部移动存储介质；

数据自动清理子模块，用于当所述驱动子模块将电子文档输出到外设输出设备后，自动安全擦除电子文档内容；

行为审计子模块，用于记录终端用户、所输出的电子文档以及输出时间的对应关系。可见，通过对用户执行的各种操作进行详细记录留存，方便审计人员对终端用户进行审计。

还包括：

存储介绍控制子模块，用于对接入到所述外端机的各种外设输出设备的读写功能进行限制，使其只具有写功能；从而防止外设输出设备所存储的可疑程序加载运行外端机等内网设备，提高内网设备的运行安全性。

病毒防护子模块，实时存储并在线升级病毒库，基于该病毒库，实时对接入到所述外端机的各种外设输出设备进行病毒扫描，查杀扫描到的病毒。

如图3所示，本发明还提供一种基于单向传输的电子文档输出管控方法，通过严密的工作流程，保证电子文档外发过程中的可视、可管、可控。包括以下步骤：

S1，在终端计算机上嵌入终端代理模块；

当所述终端代理模块通过电子文档外发接口接收到对指定电子文档的输出请求时，其中，该输出请求中携带有终端用户ID；所述终端代理模块获得所述终端用户ID，然后判断该终端用户ID是否已认证，如果未认证，则执行S2；如果已认证，则执行S3；

本步骤具体实现方式为：

一、打印输出方式

(1.1)终端用户在终端计算机打开需要打印的电子文档，如通过WORD软件打开后缀名为DOC的电子文档A；

(1.2)终端用户点击电子文档A所在的WORD软件的打印功能，选择本发明定制的虚拟打印机，并点击打印确认按钮；

(1.3)此时，终端代理模块即通过电子文档外发接口接收到对电子文档A的输出请求，并启动身份认证过程。

二、光盘刻录或存储介质输出方式

(1.1)终端用户在终端计算机上选择输出的电子文档，如通过资源管理器打开文档所在目录，可以选择后缀名为DOC的电子文档A；

(1.2)终端用户通过鼠标右键点击电子文档A，在出现的菜单选择“文档外发”操作，或者，通过拖拽的方式将电子文档A直接拖拽到需存储的介质图标；

(1.3)此时，终端代理模块即通过电子文档外发接口接收到对电子文档A的输出请求，并启动身份认证过程。

S2，所述终端代理模块向显示设备输出需要进行身份认证的提示信息，在接收到终端用户输入的身份信息时，还获得所述终端计算机的终端计算机ID，然后，向安装在服务器的集中管理中心模块发送身份鉴别请求，其中，该身份鉴别请求中同时携带终端用户输入的身份信息以及终端计算机ID；由所述集中管理中心模块进行身份认证；

本步骤中，对终端用户进行身份认证，也可以采用通知终端用户插入USBKey，然后基于USB Key进行身份认证的方式。

如果所述终端代理模块接收到所述集中管理中心模块下发的认证通过信息，则执行S3；否则，执行S12；

S3，所述终端代理模块读取所述集中管理中心模块所下发的与该终端用户和/或终端计算机对应的内容检查策略，判断是否需要对所述指定电子文档进行内容检查，如果需要，则执行S4；如果不需要，则执行S5；

S4，根据所述内容检查策略，所述终端代理模块对所述指定电子文档进行内容检查，如果检查通过，则执行S5；否则，执行S12；

S5，所述终端代理模块将检查通过的指定电子文档发送到所述集中管理中心模块；

S6，所述集中管理中心模块根据所述内容检查策略，判断是否需要对所述指定电子文档进行人工审核，如果需要，则执行S7；如果不需要，则执行S8；

S7，所述集中管理中心模块在线查看所述指定电子文档的文档内容，进行人工审核，如果审核通过，则执行S8；否则，执行S12；

S8，所述集中管理中心模块将审核通过后的所述指定电子文档发送到外发隔离模块的内端机；同时，所述集中管理中心模块向所述终端计算机发送文档领取确认的通知消息；通过终端用户到内端机处进行身份鉴别；

S9，所述内端机显示需要进行身份鉴别的通知消息；当接收到终端用户通过内端机输入的被认证身份的信息时，所述内端机对该被认证身份进行身份鉴别，同时可以通过第一显示设备显示身份鉴别的状态和结果，如果身份鉴别通过，则执行S10；否则，执行S12；

本步骤中，也可以采取USB Key或CPU智能卡的认证方式，对终端用户进行身份认证。

S10，所述内端机通过第一显示设备显示与被鉴别的身份对应的至少一个电子文档输出任务；在接收到终端用户通过内端机输入的选择输出指令时，将终端用户所选择的电子文档通过单向光传输部件传输到外端机；

具体的，由于同一终端用户存在在不同时间输出电子文档的需求，因此，本步骤中，第一显示设备将该终端用户所有未完成的电子文档输出任务均调用显示，由终端用户自己选择本次输出任务。

本步骤之后，还可以包括：通过第一显示屏自动显示领取确认界面，在S12中，当终端用户成功领取到所输出的电子文档后，需点击该领取确认界面，表明成功领取；

S11，所述外端机接收所述内端机下发的电子文档，并通过对应的外设输出设备输出该电子文档，外端机记录并存储输出日志，结束流程；

如果为打印输出方式，在打印过程中，如果出现卡纸等现象，使用人员手动操作后，将自动继续打印；

本步骤，终端人员成功从外设输出设备领取到输出的电子文档后，返回到内端机的第一显示屏，点击第一显示屏的领取确认界面，表明成功领取所输出的电子文档；

S12，拒绝电子文档输出操作，结束流程。

综上所述，本发明提供的基于单向传输的电子文档输出管控系统及方法，具有以下优点：

(1)单向隔离防护技术：通过单向传输技术，内部网络通过外发隔离模块与外设输出设备连接，保证电子文档单向输出，实现对打印机等外设输出风险设备与敏感内部网络的有效隔离，即：阻断外设输出设备中所携带的恶意程序对内网的扫描和攻击，阻止外设输出设备中所携带的病毒或恶意代码进入内网，确保内网策略的安全执行，防止被恶意篡改；

(2)安全可控的数据输出技术：通过安全的身份鉴别保障电子文档外发来源的可信，通过安全检查保证外发电子文档的内容可管、可控，通过安全策略的执行保证只有授权的电子文档才能外发；

(3)支持丰富的外发方式：支持打印输出、光盘刻录输出及存储介质输出等多种输出方式，可以广泛适用于办公网络等各种电子文档安全输出场合。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视本发明的保护范围。

Claims (10)

1.一种基于单向传输的电子文档输出管控系统，其特征在于，包括：终端代理模块、集中管理中心模块及外发隔离模块，所述终端代理模块与所述集中管理中心模块双向通信连接；所述集中管理中心模块与所述外发隔离模块双向通信连接；

所述终端代理模块嵌入到内部网络的终端计算机上，包括：

电子文档外发子模块，用于设置电子文档外发类型，以及与每一种电子文档外发类型对应的电子文档外发接口；

身份鉴别子模块，用于当所述电子文档外发子模块接收到对某一电子文档输出的指令时，对需要输出电子文档的账户进行合法性身份鉴别；

策略存储子模块，用于存储所述集中管理中心模块所下发的内容检查、外设控制策略；

内容检查子模块，用于读取所述策略存储子模块所存储的内容检查策略，基于该内容检查策略，对经过身份鉴别的电子文档进行内容检查；

通讯子模块，用于将通过所述内容检查子模块进行的内容检查的电子文档加密发送到集中管理中心模块；

外设接口控制子模块，用于对所述终端计算机的外设接口进行控制，使所述终端计算机的外设接口处于封堵状态；

所述集中管理中心模块嵌入到内部网络的服务器上，包括：

终端管理子模块，用于对各个终端计算机进行集中管理；

用户管理子模块，用于对终端用户进行集中管理；

策略配置子模块，用于以已注册终端计算机和/或已注册终端用户为配置对象，配置与已注册终端计算机和/或已注册终端用户对应的内容检查、外设控制策略，并将所配置的安全策略下发到各个终端计算机；

人工审核子模块，用于对接收到的来自终端代理模块的电子文档进行人工审核；

审计管理子模块，用于采集各个终端计算机和外发隔离模块的日志，并对采集到的日志进行统计分析；

终端发送子模块，用于将通过所述人工审核子模块审核后的电子文档发送到所述外发隔离模块；

所述外发隔离模块包括内端机、单向光传输部件和外端机；其中，所述内端机通过所述单向光传输部件与所述外端机通信连接；

所述内端机包括第一处理器、第一网络接口、第一通信接口、读卡器、第一显示设备和第一输入接口；

所述第一网络接口用于接收所述集中管理中心模块通过所述终端发送子模块所下发的电子文档，并将该电子文档发送到所述第一处理器；

所述第一通信接口或所述读卡器用于接收身份认证请求，其中，所述身份认证请求中携带有需要被认证的身份信息；并将该身份认证请求发送到所述第一处理器；

所述第一处理器用于：对来自所述第一通信接口或所述读卡器的身份认证请求进行身份认证；并通过第一显示设备显示身份认证进度和身份认证结果；如果身份认证通过，则通过所述第一显示设备显示与被认证的身份绑定的电子文档输出任务；

所述第一输入接口用于接收对所述第一显示设备所显示的电子文档输出任务的选择输出指令，并将所述选择输出指令传输给所述第一处理器；

所述单向光传输部件包括光发射模块、光接收模块以及连接在所述光发射模块和所述光接收模块之间的光纤；

所述光发射模块用于：接收来自所述第一处理器的与被认证的身份绑定的被选择输出的电子文档，并将该电子文档通过所述光纤传输到所述光接收模块；

所述光接收模块用于：将接收到的电子文档传输到所述外端机；

所述外端机包括：第二处理器以及至少一个外设输出接口；

所述外设输出接口用于连接外设输出设备；

所述第二处理器包括：

外设授权控制子模块，用于采用驱动控制技术，对与外设输出接口连接的外设输出设备进行授权绑定，只有经过授权的外设输出设备才能接入外端机；

接收子模块，用于接收来自所述光接收模块的电子文档；

驱动子模块，用于驱动对应的外设输出设备，通过该外设输出设备，对所述接收子模块接收到的电子文档进行输出操作；

日志记录子模块，用于当通过驱动子模块输出电子文档时，记录并存储输出日志；

发送子模块，用于将所述日志记录子模块所记录的输出日志传输给外部移动存储介质，再传给所述集中管理中心模块；

数据自动清理子模块，用于当所述驱动子模块将电子文档输出到外设输出设备后，自动安全擦除电子文档内容；

行为审计子模块，用于记录终端用户、所输出的电子文档以及输出时间的对应关系。

2.根据权利要求1所述的基于单向传输的电子文档输出管控系统，其特征在于，所述电子文档外发子模块设置三种电子文档外发类型，分别为：通过打印机打印电子文档类型、通过光盘刻录电子文档类型以及通过存储介质存储电子文档类型；

所述与每一种电子文档外发类型对应的电子文档外发接口，包括：

虚拟打印机，为安装在终端计算机上的虚拟打印机，与通过打印机打印电子文档的外发类型对应；

外发接口功能单元，包括：光盘刻录外发功能单元以及存储介质外发功能单元。

3.根据权利要求2所述的基于单向传输的电子文档输出管控系统，其特征在于，所述存储介质为移动硬盘或U盘。

4.根据权利要求1所述的基于单向传输的电子文档输出管控系统，其特征在于，所述策略存储子模块所存储的内容检查策略包括：文档格式深度检查策略、关键字过滤策略以及密级标识检查策略中的一种或几种。

5.根据权利要求1所述的基于单向传输的电子文档输出管控系统，其特征在于，所述外设接口控制子模块所控制的终端计算机的外设接口包括：串口、并口和网口中的一种或几种；其中，所述串口包括USB接口。

6.根据权利要求1所述的基于单向传输的电子文档输出管控系统，其特征在于，所述终端管理子模块对各个终端计算机进行集中管理，具体为：所述终端管理子模块对各个终端计算机进行注册、注销、删除和查询功能管理；

所述用户管理子模块对终端用户进行集中管理，具体为：所述用户管理子模块对终端用户进行注册、更新、删除和查询功能管理。

7.根据权利要求1所述的基于单向传输的电子文档输出管控系统，其特征在于，所述第一通信接口为USB接口，用于与USB Key连接；用于当用户需要领取输出的电子文档时，将USB Key插入到第一通信接口；其中，所述USB Key中存储用户身份信息。

8.根据权利要求1所述的基于单向传输的电子文档输出管控系统，其特征在于，所述外端机的外设输出接口包括：网络接口和至少一个USB接口；

所述网络接口用于连接网络打印机；

所述USB接口用于连接USB打印机、刻录光驱或存储介质。

9.根据权利要求1所述的基于单向传输的电子文档输出管控系统，其特征在于，所述外端机的第二处理器还包括：

存储介绍控制子模块，用于对接入到所述外端机的各种外设输出设备的读写功能进行限制，使其只具有写功能；

病毒防护子模块，实时存储并在线升级病毒库，基于该病毒库，实时对接入到所述外端机的各种外设输出设备进行病毒扫描，查杀扫描到的病毒。

10.一种基于单向传输的电子文档输出管控方法，其特征在于，包括以下步骤：

S1，在终端计算机上嵌入终端代理模块；

当所述终端代理模块通过电子文档外发接口接收到对指定电子文档的输出请求时，其中，该输出请求中携带有终端用户ID；所述终端代理模块获得所述终端用户ID，然后判断该终端用户ID是否已认证，如果未认证，则执行S2；如果已认证，则执行S3；

S2，所述终端代理模块向显示设备输出需要进行身份认证的提示信息，在接收到终端用户输入的身份信息时，还获得所述终端计算机的终端计算机ID，然后，向安装在服务器的集中管理中心模块发送身份鉴别请求，其中，该身份鉴别请求中同时携带终端用户输入的身份信息以及终端计算机ID；由所述集中管理中心模块进行身份认证；

如果所述终端代理模块接收到所述集中管理中心模块下发的认证通过信息，则执行S3；否则，执行S12；

S3，所述终端代理模块读取所述集中管理中心模块所下发的与该终端用户和/或终端计算机对应的内容检查策略，判断是否需要对所述指定电子文档进行内容检查，如果需要，则执行S4；如果不需要，则执行S5；

S4，根据所述内容检查策略，所述终端代理模块对所述指定电子文档进行内容检查，如果检查通过，则执行S5；否则，执行S12；

S5，所述终端代理模块将检查通过的指定电子文档发送到所述集中管理中心模块；

S6，所述集中管理中心模块根据所述内容检查策略，判断是否需要对所述指定电子文档进行人工审核，如果需要，则执行S7；如果不需要，则执行S8；

S7，所述集中管理中心模块在线查看所述指定电子文档的文档内容，进行人工审核，如果审核通过，则执行S8；否则，执行S12；

S8，所述集中管理中心模块将审核通过后的所述指定电子文档发送到外发隔离模块的内端机；同时，所述集中管理中心模块向所述终端计算机发送文档领取确认的通知消息；

S9，所述内端机显示需要进行身份鉴别的通知消息；当接收到终端用户通过内端机输入的被认证身份的信息时，所述内端机对该被认证身份进行身份鉴别，如果身份鉴别通过，则执行S10；否则，执行S12；

S10，所述内端机通过第一显示设备显示与被鉴别的身份对应的至少一个电子文档输出任务；在接收到终端用户通过内端机输入的选择输出指令时，将终端用户所选择的电子文档通过单向光传输部件传输到外端机；

S11，所述外端机接收所述内端机下发的电子文档，并通过对应的外设输出设备输出该电子文档，外端机记录并存储输出日志，结束流程；

S12，拒绝电子文档输出操作，结束流程。