CN104581008A - 一种视频监控系统信息安全防护系统和方法 - Google Patents

Abstract

本发明提供了一种视频监控系统信息安全防护系统和方法。该系统包括服务器管理模块，内置防护模块、USB防护模块、网络防护模块和操作席防护模块。分别从视频监控中心、用户终端、USB存储接口和视频监控系统的网络连接四个方面进行安全防护，对从视频监控系统中下载导出的视频文件和通过抓图工具产生的图片文件进行及时加密处理，对视频监控中心和用户终端操作时操作系统截屏、录屏的安全控制，对视频监控系统网络和USB存储接口的实时监控。本发明所述的系统和方法，可针对视频监控系统提供数据安全防护，从操作行为出发，防护全面、可扩展性强、安全性高、系统资源占用率低、用户体验好。

Description

一种视频监控系统信息安全防护系统和方法

技术领域

本发明涉及一种视频监控系统信息安全防护系统和方法，通过对视频监控中心、视频监控中心的网络和用户终端三个部分的安全防护，实现对视频监控系统的整体防护，以避免数据泄露的可能。

缩略语及名词解释：

监控中心：视频监控系统内特定的信息汇集、处理、共享节点

用户终端：经视频监控系统注册并授权的、对系统内的数据和/或设备有操作需求的客户端设备

背景技术

随着视频监控技术的不断发展和应用，视频监控系统中存储着着大量的敏感数据文件，而这些视频文件一旦泄密，将造成不可估量的损失。然而目前对于视频监控系统的防泄密安全防护仅局限在网络安全传输的层面，通过采用安全加密通道传输或对视频数据加密传输的技术手段防止通过网络数据窃取防止数据泄密，但对于视频监控终端的防护却存在严重缺失：

1、视频监控终端可实时监视视频录像，在监视过程中，操作人员可轻易通过抓图、截屏或屏幕录像等操作方式获取视频数据；

2、视频监控终端可随意调取视频录像，并通过进行下载、导出等操作将视频录像文件保存到终端计算机中，对于这些文件，操作人员可轻易的拷贝，或被病毒、黑客获取，造成信息泄密；

3、视频监控系统无法预知自身的安全状况，例如网络的连接状态、操作员的非法操作等，无法进行及时的告警和日志记录，对于安全隐患的防治和事后追查毫无办法。

发明内容

本发明提供了一种视频监控系统信息安全防护系统和方法，通过对视频监控中心、视频监控中心的网络和用户终端三个部分的安全防护，实现对视频监控系统的整体防护，以避免数据泄露的可能。

本发明所述的视频监控系统信息安全防护系统，弥补了视频监控系统的安全防护缺失，大大提升了视频监控系统的防泄密安全。

图1为本发明所述的视频监控系统信息安全防护系统，其中包括：服务器管理模块，内置防护模块、USB防护模块、网络防护模块和操作席防护模块。

服务器管理模块：

可制定安全管理策略，并通过和内置防护模块、USB防护模块、网络防护模块和操作席防护模块的通信，下发安全管理策略，指导内置防护模块、USB防护模块、网络防护模块和操作席防护模块的工作。

通过和内置防护模块、USB防护模块、网络防护模块和操作席防护模块的通信，收集各个模块的日志记录，并进行统一管理。并对各个模块日志的实时监测，一旦发现视频监控中心的网络状态不正常，出现有用户非法操作，则立即向管理员或上级监管平台进行告警。

内置防护模块：

部署在视频监控中心中，通过操作系统内核层的动态加解密技术，实现对视频监控中心中的视频数据文件和通过视频监控软件抓图所获得的图片文件进行及时加密处理，加密文件在视频监控系统中被正常使用时，能够自动解密使用，一旦脱离视频监控中心，则无法被使用。同时针对监控中心中的IO端口进行实时监管，一旦发现有通过IO端口传输重要文件的操作，则将重要文件进行加密。例如，当通过USB存储设备或刻录光盘复制重要文件时，存储到USB存储设备和刻录光盘中的重要文件自动加密。

内置防护模块对用户在监控中心上的截屏、录屏、打印操作的安全管控，可以禁止用户在监控中心上的截屏、录屏、打印操作。并且将监控中心上的用户操作以日志形式发送给服务器管理模块。

USB防护模块：

对被保护的视频监控中心中用于视频数据备份的USB接口进行管控；只有经过合法授权的情况下，才可同构视频监控中心的USB接口进行备份；否则，USB防护模块可终止视频数据通过USB接口进行备份。

网络防护模块：

提供双向监控服务，一方面实时监视视频监控中心的网络连接状况，一旦出现异常，立即记录日志；另一方面，实时监视连接视频监控中心的用户终端，当有用户终端访问视频监控系统时，网络防护模块会对用户终端的合法性进行认证，通过认证的用户终端可正常访问视频监控中心，反之，则禁止访问视频监控中心。

网络防护模块侦听所有链接监控中心的计算机的网络数据包，当计算机部署了操作席防护模块，则可以通过网络防护模块的合法性认证，允许连接监控中心，否则，网络防护模块将阻断连接。

操作席防护模块：

部署在视频监控的用户终端中，通过操作系统内核层的动态加解密技术，实现对用户终端中的视频数据文件和通过视频监控软件抓图所获得的图片文件进行及时加密处理，加密文件在视频监控系统中被正常使用时，能够自动解密使用，一旦脱离视频监控操作席计算机，则无法被使用。

操作席防护模块对用户在用户终端上的截屏、录屏、打印操作的安全管控，可以禁止用户在用户终端上的截屏、录屏、打印操作。并且将用户终端上的用户操作以日志形式发送给服务器管理模块。

操作席防护模块同时对操作人员具有身份认证功能，操作人员身份分为两个：操作员和管理员。管理员使用操作席防护模块时，可对加密的文件进行解密操作，将加密的文件还原成明文文件，且解密操作会被日志记录，而操作员则不能进行解密操作。

本发明还提供一种视频监控系统信息安全防护方法，它采用本发明所述的安全防护系统在终端计算机上的安全防护系统，模块随着计算机操作系统启动而自动启动。正常使用时，针对视频监控中心，对视频监控中心中的视频文件，对通过视频监控软件抓图所获得的图片文件进行及时加密，对通过视频监控中心IO输出的文件进行即使加密，以及对在监控中心上用户的截屏、录屏、打印操作进行实时控制；针对用户终端，对从视频监控系统中下载、导出的视频文件进行及时加密，对通过视频监控系统抓图所获得的图片文件进行及时加密，以及限制其他手段的屏幕截图和屏幕录像操作，对打开的加密文件禁止拷贝、粘贴、打印、另存等控制；针对一些提供直接在监控中心上使用USB存储备份的监控中心，通过对USB传输数据的控制；针对视频监控系统的网络连接，对视频监控中心的网络状态的实时监测，以及对接入终端计算机的实时监测，实现对视频监控系统中监控中心、网络、以及操作席计算机的安全防护。当出现异常操作时，例如视频监控系统网络出现故障或无法联通时，用户在视频监控系统中进行非法操作时，安全防护系统会通过发送消息和发送邮件的方式通知管理员，或通过发送接口的方式向上级监管平台进行告警。防止视频监控系统数据泄密。

具体实施方式：

本安全防护系统以模块化设计，具备多种部署实施方式，将根据视频监控系统的部署方式而改变，以下是一种典型的部署实施方式。

服务器：搭建HTTP、HTTPS服务器，连接mysql数据库。部署安全防护系统服务器管理模块、USB防护模块和网络防护模块，Web服务器是制定安全策略(客户端执行指令)、数据存储中心；

视频监控中心：部署安全防护系统的内置防护模块；

用户终端：部署安全防护系统的操作系防护模块。

另外，实现本发明所述系统包含以下四个重点：

1.视频文件及图片文件的安全控制

当操作人员通过视频监控终端进行视频录像的下载、导出操作时，对于下载、导出的视频文件进行自动加密处理，防止视频文件的泄密；当操作人员通过视频监控软件进行抓图操作时，对于抓图操作所获得的图片文件进行自动加密处理，防止该图片文件的泄密；当操作人员通过截屏、屏幕录像等操作企图获取视频数据时，进行阻断并通过服务器进行告警。

对于已加密的视频文件和图片文件，在视频监控终端上可正常进行访问，一旦脱离视频监控终端则无法被访问。

2.USB备份管理

对被保护的视频监控中心中用于视频数据备份的USB接口进行管控；只有经过合法授权的情况下，才可同构视频监控中心的USB接口进行备份；否则，USB防护模块可终止视频数据通过USB接口进行备份。

3.视频监控网络接入管理

提供双向监控服务，一方面实时监视视屏监控中心的网络连接状况，一旦出现异常，立即记录日志；另一方面，实时监视连接视频监控中心的用户终端，当有用户终端访问视频监控系统时，网络防护模块会对用户终端的合法性进行认证，通过认证的用户终端可正常访问视频监控中心，反之，则禁止访问视频监控中心。

4.服务器告警

实现对视频监控系统的网络状况的实时监测，对客户端日志的实时监测，一旦发现视频监控系统的网络状态不正常，客户端出现有非法操作，则立即向管理员或上级监管平台进行告警。

附图说明

图1为本发明所述的一种视频监控系统信息安全防护系统示意图。

Claims (21)

1.一种视频监控系统信息安全防护系统，其特征在于通过对视频监控中心、视频监控中心的网络和用户终端三个部分的安全防护，实现对视频监控系统的整体防护，防止视频数据泄露。该系统包括服务器管理模块，内置防护模块、USB防护模块、网络防护模块和操作席防护模块。

服务器管理模块：用于管理内置防护模块、USB防护模块、网络防护模块和操作席防护模块。

内置防护模块：部署在视频监控中心中，保护视频监控中心中的视频数据文件，实时监视用户在视频监控中心上的操作，并进行安全管控。

USB防护模块：对被保护的视频监控中心中用于视频数据备份的USB接口进行管控；只有经过合法授权的情况下，才可同构视频监控中心的USB接口进行备份；否则，USB防护模块可终止视频数据通过USB接口进行备份。

网络防护模块：提供双向监控服务，一方面实时监视视频监控中心的网络连接状况，一旦出现异常，立即记录日志；另一方面，实时监视连接视频监控中心的用户终端，当有用户终端访问视频监控系统时，网络防护模块会对用户终端的合法性进行认证，通过认证的用户终端可正常访问视频监控中心，反之，则禁止访问视频监控中心。

操作席防护模块：部署在用户终端中，保护用户终端中的视频数据文件，实时监视用户在用户终端上的操作，并进行安全管控。

2.如权利要求1所述的一种视频监控系统信息安全防护系统，其特征在于，服务器管理模块，可制定安全管理策略，并通过和内置防护模块、USB防护模块、网络防护模块和操作席防护模块的通信，下发安全管理策略，指导内置防护模块、USB防护模块、网络防护模块和操作席防护模块的工作。

3.如权利要求1所述的一种视频监控系统信息安全防护系统，其特征在于，服务器管理模块，通过和内置防护模块、USB防护模块、网络防护模块和操作席防护模块的通信，收集各个模块的日志记录，并进行统一管理。

4.如权利要求1所述的一种视频监控系统信息安全防护系统，其特征在于，服务器管理模块，实现对各个模块日志的实时监测，一旦发现视频监控中心的网络状态不正常，出现有用户非法操作，则立即向管理员或上级监管平台进行告警。

5.如权利要求1所述的一种视频监控系统信息安全防护系统，其特征在于，内置防护模块，通过接收从服务器管理模块发来的安全策略，实现对监控中心中的存储的文件进行自动加解密处理，保护重要文件的安全。

6.如权利要求5所述的一种视频监控系统信息安全防护系统，其特征在于，内置防护模块中的自动加解密是运行在操作系统核心层，实现对文件的加解密处理。当合法应用程序读取被加密的数据时，加解密模块进行解密操作，合法应用程序则可正常使用数据；当合法应用程序对文件进行写操作时，加解密模块进行加密操作，合法应用程序保存的文件为加密后的文件；当非法应用程序读取被加密的数据时，加解密模块不进行解密操作，非法应用程序则无法正常使用数据；当非法应用程序对文件进行写操作时，加解密模块不进行加解密操作。

7.如权利要求5所述的一种视频监控系统信息安全防护系统，其特征在于，内置防护模块中的重要文件是指，视频监控中心中存储的视频文件，以及通过视频监控软件进行抓图操作所保存出来的图片文件。

8.如权利要求1所述的一种视频监控系统信息安全防护系统，其特征在于，内置防护模块，通过接收从服务器管理模块发来的安全策略，实现对监控中心中的IO端口进行实时监管，一旦发现有通过IO端口传输重要文件的操作，则将重要文件进行加密。例如，当通过USB存储设备或刻录光盘复制重要文件时，存储到USB存储设备和刻录光盘中的重要文件自动加密。

9.如权利要求1所述的一种视频监控系统信息安全防护系统，其特征在于，内置防护模块，通过接收从服务器管理模块发来的安全策略，实现对用户在监控中心上的截屏、录屏、打印操作的安全管控，可以禁止用户在监控中心上的截屏、录屏、打印操作。

10.如权利要求1所述的一种视频监控系统信息安全防护系统，其特征在于，内置防护模块将监控中心上的用户操作以日志形式发送给服务器管理模块。

11.如权利要求1所述的一种视频监控系统信息安全防护系统，其特征在于，网络防护模块，通过接收从服务器管理模块发来的安全策略，实现监控服务，并将网络操作以日志形式发送给服务器管理模块。

12.如权利要求1所述的一种视频监控系统信息安全防护系统，其特征在于，网络防护模块，在对接入监控中心的用户终端进行合法性认证时，只有部署了操作席防护模块的用户终端能够通过合法性认证。

13.如权利要求1所述的一种视频监控系统信息安全防护系统，其特征在于，操作席防护模块，实现对视频监控系统中的用户终端中存储的文件进行自动加解密处理，保护重要文件的安全。

14.如权利要求13所述的一种视频监控系统信息安全防护系统，其特征在于，操作席防护模块中的自动加解密是运行在操作系统核心层，实现对文件的加解密处理。当合法应用程序读取被加密的数据时，加解密模块进行解密操作，合法应用程序则可正常使用数据；当合法应用程序对文件进行写操作时，加解密模块进行加密操作，合法应用程序保存的文件为加密后的文件；当非法应用程序读取被加密的数据时，加解密模块不进行解密操作，非法应用程序则无法正常使用数据；当非法应用程序对文件进行写操作时，加解密模块不进行加解密操作。

15.如权利要求13所述的一种视频监控系统信息安全防护系统，其特征在于，操作席防护模块中的重要文件是指，视频监控系统的用户终端中通过视频监控软件下载或导出的视频录像文件，以及通过视频监控软件进行抓图操作所保存出来的图片文件。

16.如权利要求1所述的一种视频监控系统信息安全防护系统，其特征在于，操作席防护模块，通过接收从服务器管理模块发来的安全策略，实现对用户在用户终端上的截屏、录屏、打印操作的安全管控，可以禁止用户在监控中心上的截屏、录屏、打印操作。

17.如权利要求1所述的一种视频监控系统信息安全防护系统，其特征在于，操作席防护模块，部署在视频监控系统的用户终端中，当用户终端连接监控中心时，会和网络防护模块进行通信，只有建立正常通信的用户终端才能够正常连接监控中心，否则，网络防护模块将禁止连接。

18.如权利要求1所述的一种视频监控系统信息安全防护系统，其特征在于，操作席防护模块，对于操作人员具有身份认证功能，操作人员身份分为两个：操作员和管理员。管理员使用操作席防护模块时，可对加密的文件进行解密操作，将加密的文件还原成明文文件，且解密操作会被日志记录，而操作员则不能进行解密操作。

19.如权利要求18所述的一种视频监控系统信息安全防护系统，其特征在于，操作席防护模块的身份认证功能，可以是通过用户名和密码进行认证，也可采用硬件UKey方式进行身份认证。

20.如权利要求1所述的一种视频监控系统信息安全防护系统，其特征在于，操作席防护模块将用户终端上的用户操作以日志形式发送给服务器管理模块。

21.一种视频监控系统信息安全防护方法，其特征在于采用权利要求1-20任一所述之视频监控系统信息安全防护系统，各模块随着计算机操作系统启动而自动启动。正常使用时，针对视频监控中心，对视频监控中心中的视频文件，对通过视频监控软件抓图所获得的图片文件进行及时加密，对通过视频监控中心IO输出的文件进行即使加密，以及对在监控中心上用户的截屏、录屏、打印操作进行实时控制；针对视频监控系统的用户终端，对从视频监控系统中下载、导出的视频文件进行及时加密，对通过视频监控系统抓图所获得的图片文件进行及时加密，以及限制其他手段的屏幕截图和屏幕录像操作，对打开的加密文件禁止拷贝、粘贴、打印、另存等控制；针对一些提供直接在监控中心上使用USB存储备份的监控中心，通过对USB传输数据的控制；针对视频监控系统的网络连接，对视频监控中心的网络状态的实时监测，以及对接入终端计算机的实时监测，实现对视频监控系统中监控中心、网络、以及操作席计算机的安全防护。当出现异常操作时，例如视频监控系统网络出现故障或无法联通时，用户在视频监控系统中进行非法操作时，安全防护系统会通过发送消息和发送邮件的方式通知管理员，或通过发送接口的方式向上级监管平台进行告警。防止视频监控系统泄密。