CN105187380A - 一种安全访问方法及系统 - Google Patents

Abstract

本发明涉及通信领域，尤其涉及一种安全访问方法及系统。将网关按照安全级别进行划分，并根据身份验证为合法的移动终端的安全级别获取网关中安全级别相同的配置信息，根据配置信息设置移动终端与网关之间通信的访问权限，实现不同的身份信息拥有不同的访问权限，从而提升移动终端访问的安全性，且本发明提供的安全访问方法及系统，操作简单、方便。

Description

一种安全访问方法及系统

技术领域

本发明涉及通信领域，尤其涉及一种安全访问方法及系统。

背景技术

随着智能终端的成熟与普及，以手机、平板电脑为代表的个人智能终端设备逐渐进入企业应用领域。据国际权威咨询公司Gartner的预测，到2014年90％的企业将会支持员工在个人移动终端上运行企业办公应用程序，员工使用个人智能终端设备办公已经成为一种无法逆转的潮流。这类被称为BYOD(BringYourOwnDevice，自带设备办公)的现象为企业安全和管理带来了新的挑战：

1、企业员工的移动终端可以在任何时间、任何地点接入移动互联网或公共/家庭Wi-Fi网络，移动终端中的企业数据也会暴露在来自互联网的攻击之下。

2、企业员工可以随意访问、存取企业数据，从而存在企业数据被个人非法上传、共享和外泄的风险。如存储在手机中的办公邮件、文件、图片、通信记录以及与业务内容有关的短信等，这些敏感信息的泄漏给企业带来极大的信息安全风险。

3、遗失或被窃移动终端，移动终端中所保存的企业敏感数据也因此面临泄密风险。

4、手机病毒呈指数式增长，移动终端成为渗透企业内网的跳板。

综上说明，商用移动终端通常工作在无法由企业或组织控制的外部和远端，能够访问企业的应用和敏感数据的终端可能被窃取、泄露，或者错误配置，从而把企业资产置于危险之中。

现在针对企业移动终端的安全问题主要有两种解决办法：

第一种解决方案依然着手于移动终端，通过在移动终端进行部署，在移动终端上划分出一个独立的区域，隔绝企业信息和个人信息，避免企业数据被第三方应用获取。其技术架构由移动终端APP和服务器控制台构成，控制台以企业私有云或公有云的方式，部署到企业内网的通用服务器或电脑上，实现移动终端管理、策略管理下发、企业应用管理等。APP则在移动终端上建立一个安全的工作区，工作区内的应用和数据受到保护，通过监测、加密等手段确保企业数据在移动终端上的安全。其结构体系如图1所示。

第二种解决办法由网关入手，在移动终端与企业服务器的连接中间设立一个网关，通过在网关上进行安全配置，使用移动终端在访问企业数据时经过网关，并且按照网关的安全配置访问允许其访问的数据，从而达到管理移动终端，保护企业数据的目的。

以上两种解决方案，均存在一定的不足，主要有以下问题：

(1)在移动终端与公有云进行数据交互时增加了中间设备，增加了访问时间。

(2)由于所有病毒防护、安全监测等操作均由移动终端进行，极大的增加了移动终端的负荷，导致移动终端性能降低、耗能增加。同时由于软件的更新由移动终端个人完成，若没有及时更新，同时会造成安全隐患。

(3)如果办公区的一些文档需要调用个人区域的程序打开的话，那么信息也是从办公区跳转到个人区域，这依然会对企业信息安全造成极大的一个隐患。

综上所述，目前的解决方案还是存在安全性差且操作不方便的问题。

发明内容

本发明所要解决的技术问题是：提供一种安全性高、操作方便的安全访问方法及系统。

为了解决上述技术问题，本发明采用的技术方案为：

一种安全访问方法，包括：

移动终端发送身份验证信息经网关转发至验证平台；所述身份验证信息包括用户身份和安全级别；

所述验证平台对接收到的身份验证信息进行验证，得到验证结果后发送至网关；

所述网关判断接收到的验证结果是否合法，若合法，获取所述移动终端的安全级别；

在划分成不同安全级别的网关中获取与移动终端的安全级别相同的配置信息；

根据所述配置信息设置所述移动终端与网关之间通信的访问权限；

建立所述移动终端与网关的VPN安全通道。

本发明采用的另一技术方案为：

一种安全访问系统，包括：发送模块、验证模块、判断模块、第一获取模块、第二获取模块、设置模块和建立模块；

所述发送模块，用于移动终端发送身份验证信息经网关转发至验证平台；所述身份验证信息包括用户身份和安全级别；

所述验证模块，用于所述验证平台对接收到的身份验证信息进行验证，得到验证结果后发送至网关；

所述判断模块，用于所述网关判断接收到的验证结果是否合法；

所述第一获取模块，用于若所述网关判断接收到的验证结果为合法时，获取所述移动终端的安全级别；

所述第二获取模块，用于在划分成不同安全级别的网关中获取与移动终端的安全级别相同的配置信息；

所述设置模块，用于根据所述配置信息设置所述移动终端与网关之间通信的访问权限；

所述建立模块，用于建立所述移动终端与网关的VPN安全通道。

本发明的有益效果在于：将网关按照安全级别进行划分，并根据身份验证为合法的移动终端的安全级别获取网关中安全级别相同的配置信息，根据配置信息设置移动终端与网关之间通信的访问权限，实现不同的身份信息拥有不同的访问权限，从而提升移动终端访问的安全性，且本发明提供的安全访问方法及系统，操作简单、方便。

附图说明

图1为本发明背景技术的第一种解决方案的结构体系图；

图2为本发明的一种安全访问方法的步骤流程图；

图3为本发明的一种安全访问系统的结构示意图；

标号说明：

1、发送模块；2、验证模块；3、判断模块；4、第一获取模块；5、第二获取模块；6、设置模块；7、建立模块。

具体实施方式

为详细说明本发明的技术内容、所实现目的及效果，以下结合实施方式并配合附图予以说明。

本发明最关键的构思在于：对网关进行安全级别划分，并根据身份验证为合法的移动终端的安全级别获取网关中安全级别相同的配置信息，根据配置信息设置移动终端与网关之间通信的访问权限。

请参照图2，本发明提供的一种安全访问方法，包括：

移动终端发送身份验证信息经网关转发至验证平台；所述身份验证信息包括用户身份和安全级别；

所述验证平台对接收到的身份验证信息进行验证，得到验证结果后发送至网关；

所述网关判断接收到的验证结果是否合法，若合法，获取所述移动终端的安全级别；

在划分成不同安全级别的网关中获取与移动终端的安全级别相同的配置信息；

根据所述配置信息设置所述移动终端与网关之间通信的访问权限；

建立所述移动终端与网关的VPN安全通道。

从上述描述可知，本发明的有益效果在于：将网关按照安全级别进行划分，并根据身份验证为合法的移动终端的安全级别获取网关中安全级别相同的配置信息，根据配置信息设置移动终端与网关之间通信的访问权限，实现不同的身份信息拥有不同的访问权限，从而提升移动终端访问的安全性，且本发明提供的安全访问方法，操作简单、方便。

进一步的，所述身份验证信息还包括访问内容、使用终端和终端状态。

进一步的，所述配置信息是根据移动终端发送的用户身份、访问内容、使用终端和终端状态分析得到。

进一步的，所述访问权限的内容包括应用交付与流量管理、应用加速和应用安全。

进一步的，所述应用交付与流量管理包括内容交换、负载均衡、动态路由选择和访问控制列表。

由上述描述可知，利用内容交换、负载均衡、动态路由选择、访问控制列表等技术，整合硬件和软件系统，提供高质量的运营级别和高可用性，最终保障用户安全、高效地访问企业敏感数据。

进一步的，所述应用加速包括整合SSL卸载、应用压缩、应用缓存和TCP缓冲及优化。

由上述描述可知，整合SSL卸载、应用压缩、应用缓存、TCP缓冲及优化等技术，通过基础设施优化，智能HTTP压缩，将服务器资源解放出来，确保高优先级应用得到优先处理，极大提高服务器性能及降低带宽成本。

进一步的，所述应用安全包括拒绝服务攻击的保护、安全内容隐藏、应用攻击过滤、HTTP重写、优先队列和浪涌保护。

由上述描述可知，支持对拒绝服务(DoS)攻击的保护、安全内容隐藏、应用攻击过滤、HTTP重写、优先队列、浪涌保护等应用安全功能，添加了多项不能在网络其它地方实现的关键安全特性，全面保证服务器的数据安全。

请参阅图3，本发明提供的一种安全访问系统，包括：发送模块1、验证模块2、判断模块3、第一获取模块4、第二获取模块5、设置模块6和建立模块7；

所述发送模块1，用于移动终端发送身份验证信息经网关转发至验证平台；所述身份验证信息包括用户身份和安全级别；

所述验证模块2，用于所述验证平台对接收到的身份验证信息进行验证，得到验证结果后发送至网关；

所述判断模块3，用于所述网关判断接收到的验证结果是否合法；

所述第一获取模块4，用于若所述网关判断接收到的验证结果为合法时，获取所述移动终端的安全级别；

所述第二获取模块5，用于在划分成不同安全级别的网关中获取与移动终端的安全级别相同的配置信息；

所述设置模块6，用于根据所述配置信息设置所述移动终端与网关之间通信的访问权限；

所述建立模块7，用于建立所述移动终端与网关的VPN安全通道。

从上述描述可知，本发明的有益效果在于：将网关按照安全级别进行划分，并根据身份验证为合法的移动终端的安全级别获取网关中安全级别相同的配置信息，根据配置信息设置移动终端与网关之间通信的访问权限，实现不同的身份信息拥有不同的访问权限，从而提升移动终端访问的安全性，且本发明提供的安全访问系统，操作简单、方便。

实施例一

本发明提供的一种安全访问方法，具体如下：

当企业移动用户使用移动终端需要访问企业服务器时，需要先在移动终端运行的软/硬件模块与网关建立VPN安全通道，建立VPN安全通道需要进行以下步骤：

移动终端通过网关向验证平台(即为移动安全管理员)提供用户身份、安全级别等验证信息，验证平台进行验证，返回验证结果给网关，网关上运行的软件模块根据验证平台返回的验证结果执行相应操作。若验证结果为非法(即为未通过)，网关则拒绝移动终端访问并向移动终端返回验证结果；若验证结果为合法(即为通过)，验证平台根据移动终端提供的安全级别进行相应的安全配置，网关执行验证平台配置的安全策略，设置所述移动终端与网关之间通信的访问权限，同时通过流量管理、应用交付、应用加速与安全等功能模块，实现移动终端与服务器的数据交互，同时保证数据交互过程的安全性与高速性。

在网关上安装有应用交付与流量管理模块、应用加速模块和应用安全模块；

应用交付与流量管理模块：利用内容交换、负载均衡、动态路由选择、访问控制列表等技术，整合硬件和软件系统，提供高质量的运营级别和高可用性，最终保障用户安全、高效地访问企业敏感数据。

所述内容交换，也称七层负载均衡技术。也就是主要通过报文中的真正有意义的应用层内容(如cookie、HTTPheader、请求URL等信息)，然后根据内容交换设备设置的服务器选择方式，决定最终选择的服务器后将请求发送至该服务器上。内容交换设备起到了代理服务器的作用。内容交换使整个网络更“智能化”，例如能把对图片类的请求转发到图片服务器，对文字的请求转发到文字服务器上，极大提升了应用系统在网络层的灵活性；同时可以有效防止SYNFlood攻击，SYN攻击不会被转发到后端的服务器上，而是在负载均衡设备上就截止了，从而不会影响后台服务器的正常运营，使得网站更安全。

所述负载均衡就是使用网络四层信息(如IP地址、端口等)将访问请求分摊到多个操作单元上进行执行。例如，随着网站访问量的增加，单台服务器明显不能承担全部负荷，此时需要增加服务器来组成一个服务器集合，每台服务器都具有德等价地位，都可以单独对外提供服务而无需其他服务器辅助。现在的网络负载均衡对外只需提供一个IP地址(域名)，当有请求发送到站点时，通过某种负载分担技术，根据报文中的目标地址和端口，再加上负载均衡设备设置的服务器选择方式，决定最终选择的内部服务器与请求客户端建立TCP连接，然后向该服务器发送Client请求的数据。这样就提供了一种扩展网络设备和服务器的带宽、增加吞吐量、加强网络数据处理能力、提高网络的灵活性和可用性。

所述动态路由选择是指路由器随着网络拓扑结构和通信流量的改变而自动调整的过程。与之相对的是静态路由选择，它需要路由器管理人员手工输入路由。动态路由选择就是节点的路由选择要依靠网络当前的状态信息来决定。这种策略能较好地适应网络流量、拓扑结构的变化，有利于改善网络的性能。但由于算法复杂，会增加网络的负担。例如，某站点是移动、电信双线接入，用户在访问时可能使用用户ISP网络响应会更快；同时还不能因为电信用户访问过多时都使用电信线路响应而造成网络拥塞，而另一移动网络流量却相差很大，此时要在两条线路间做好智能管理。另外当两条线路都比较拥挤时，还要优先保证关键业务可用。

所述访问控制列表是应用在主干线路上，用来过滤流量及保证网络安全阻止未授权的访问。它是一系列用来确定是否允许访问的条件的集合，主要任务是保证网络资源不被非法使用和访问。访问控制涉及的技术也比较广，包括入网访问控制、网络权限控制、目录级控制以及属性控制等多种手段。在接收到访问请求时，可以根据数据包中的源IP地址、目标IP的机制等信息确定数据包是接收还是拒绝。例如，银行内容各个部门对各种文件的访问级别是不同的，人力资源部的计算机通常不允许访问资金营运部所属的文件，反之亦是如此。

应用加速模块：整合SSL卸载、应用压缩、应用缓存、TCP缓冲及优化等技术，通过基础设施优化，智能HTTP压缩，将服务器资源解放出来，确保高优先级应用得到优先处理，极大提高服务器性能及降低带宽成本。

应用安全模块：支持对拒绝服务(DoS)攻击的保护、安全内容隐藏、应用攻击过滤、HTTP重写、优先队列、浪涌保护等应用安全功能，添加了多项不能在网络其它地方实现的关键安全特性，全面保证服务器的数据安全。

实施例二

本实施例二是在实施例一的基础上对验证信息进一步限定为用户身份、访问内容、使用设备及设备状态，由访问内容、使用设备及设备状态决定安全级别。

综上所述，本发明提供的一种安全访问方法及系统，将网关按照安全级别进行划分，并根据身份验证为合法的移动终端的安全级别获取网关中安全级别相同的配置信息，根据配置信息设置移动终端与网关之间通信的访问权限，实现不同的身份信息拥有不同的访问权限，从而提升移动终端访问的安全性，且本发明提供的安全访问系统，操作简单、方便。由访问内容、使用设备及设备状态决定安全级别。在本发明的完整体系结构中，针对当前的解决方案中存在的问题，使用ActiveDirectory微软组件或其它标准用户管理方式，解决移动终端与计算机客户端无法统一管理的问题，使得移动终端与计算机客户端实行同一标准，解决企业面对各类终端的统一管理问题。将所有的病毒防护、安全监测等操作全部交由移动安全网关处理，完全解决了移动终端的耗能高，资源占用高的问题，将移动终端的资源完全解放出来，极大的提高了移动终端的性能与续航能力。移动安全网关同时具有应用交付、应用加速与安全功能模块，对于增加数据交换速度，提高企业服务器安全性起到了极大的促进作用，解决了因为在移动终端和企业服务器之间加入其它设备所导致的访问速度变慢、延时等问题。

以上所述仅为本发明的实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等同变换，或直接或间接运用在相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (8)

1.一种安全访问方法，其特征在于，包括：

移动终端发送身份验证信息经网关转发至验证平台；所述身份验证信息包括用户身份和安全级别；

所述验证平台对接收到的身份验证信息进行验证，得到验证结果后发送至网关；

所述网关判断接收到的验证结果是否合法，若合法，获取所述移动终端的安全级别；

在划分成不同安全级别的网关中获取与移动终端的安全级别相同的配置信息；

根据所述配置信息设置所述移动终端与网关之间通信的访问权限；

建立所述移动终端与网关的VPN安全通道。

2.根据权利要求1所述的一种安全访问方法，其特征在于，所述身份验证信息还包括访问内容、使用终端和终端状态。

3.根据权利要求2所述的一种安全访问方法，其特征在于，所述配置信息是根据移动终端发送的用户身份、访问内容、使用终端和终端状态分析得到。

4.根据权利要求1所述的一种安全访问方法，其特征在于，所述访问权限的内容包括应用交付与流量管理、应用加速和应用安全。

5.根据权利要求4所述的一种安全访问方法，其特征在于，所述应用交付与流量管理包括内容交换、负载均衡、动态路由选择和访问控制列表。

6.根据权利要求4所述的一种安全访问方法，其特征在于，所述应用加速包括整合SSL卸载、应用压缩、应用缓存和TCP缓冲及优化。

7.根据权利要求4所述的一种安全访问方法，其特征在于，所述应用安全包括拒绝服务攻击的保护、安全内容隐藏、应用攻击过滤、HTTP重写、优先队列和浪涌保护。

8.一种安全访问系统，其特征在于，包括：发送模块、验证模块、判断模块、第一获取模块、第二获取模块、设置模块和建立模块；

所述发送模块，用于移动终端发送身份验证信息经网关转发至验证平台；所述身份验证信息包括用户身份和安全级别；

所述验证模块，用于所述验证平台对接收到的身份验证信息进行验证，得到验证结果后发送至网关；

所述判断模块，用于所述网关判断接收到的验证结果是否合法；

所述第一获取模块，用于若所述网关判断接收到的验证结果为合法时，获取所述移动终端的安全级别；

所述第二获取模块，用于在划分成不同安全级别的网关中获取与移动终端的安全级别相同的配置信息；

所述设置模块，用于根据所述配置信息设置所述移动终端与网关之间通信的访问权限；

所述建立模块，用于建立所述移动终端与网关的VPN安全通道。