CN107800713A - 一种网间数据的安全交换方法及系统 - Google Patents

Abstract

本发明公开了一种网间数据的安全交换方法及系统，进行网间数据交换的用户处于互不联通的网络中，其特征在于，该方法包括以下步骤：用户通过存储管理模块SMC与所在网络的存储器进行数据管理交互；通过存储管理模块SMC向数据安全交换网关请求交换数据文件X；数据安全交换网关从所述用户所在网络的存储器提取出对应的数据文件X，经处理后输出处理后的数据文件X’；数据安全交换网关将数据文件X’上传到另一用户所在网络的存储器；所述另一用户通过所属网络的存储器访问所述数据文件X’，经过处理得到数据文件X。通过本方案，解决跨网数据交换的安全问题，降低安全隐患；不改变用户的办公使用习惯，操作方便，便于推广。

Description

一种网间数据的安全交换方法及系统

技术领域

本发明涉及数据安全领域，尤其涉及一种网间数据的安全交换方法及系统。

背景技术

近年来，随着信息化系统在企业集团和金融银行内部的应用普及，IT系统的安全设计也受到越来越多的重视。本着降低数据泄漏风险的原则，在金融行业单位内部IT系统的建设过程中，普遍是按照生产网络和办公网络的物理或者逻辑隔离的方案来搭建基础网络。在电子政务领域，政府事业单位的网络建设也是内网和外网进行物理或者逻辑的隔离。

网络隔离能够很好的保证内网的安全性，但是不利效果也很明显，其中一个很重要的问题就是给生产网和办公网、内网和外网、高密级网络和低密级网络之间交换数据带来很大的不便。

目前解决网络隔离最传统的技术方案是网闸(GAP)技术。安全隔离网闸是由软件和硬件组成。隔离网闸分为两种架构，一种为双主机的2+1结构，另一种为三主机的三系统结构。2+1的安全隔离网闸的硬件设备由三部分组成:外部处理单元、内部处理单元、隔离安全数据交换单元。安全数据交换单元不同时与内外网处理单元连接，为2+1的主机架构。隔离网闸采用SU-Gap安全隔离技术，创建一个内、外网物理断开的环境。三系统的安全隔离网闸的硬件也由三部分组成：外部处理单元(外端机)、内部处理单元(内端机)、仲裁处理单元(仲裁机)，各单元之间采用了隔离安全数据交换单元。

安全隔离网闸的主要功能：

1：阻断网络的直接物理连接：物理隔离网闸在任何时刻都只能与非可信网络和可信网络上之一相连接，而不能同时与两个网络连接；

2：阻断网络的逻辑连接：物理隔离网闸不依赖操作系统、不支持TCP/IP协议。两个网络之间的信息交换必须将TCP/IP协议剥离，将原始数据通过P2P的非TCP/IP连接方式，通过存储介质的“写入”与“读出”完成数据转发；

3：数据传输机制的不可编程性：物理隔离网闸的数据传输机制具有不可编程的特性；

4：安全审查：物理隔离网闸具有安全审查功能，即网络在将原始数据“写入”物理隔离网闸前，根据需要对原始数据的安全性进行检查，把可能的病毒代码、恶意攻击代码消灭干净等。

此外，相关的专利技术文献如下：

文献1：CN105871902A，公开日期：2016-08-27，发明名称：数据加密及隔离系统。

文献2：CN104298756A，公开日期：2015-01-21，发明名称：一种基于内外网的数据库之间数据的交换方法。

文献1公开了一种数据加密及隔离系统，包括由内网计算机组成的内网和由外网计算机组成的外网；内网和外网之间通过物理隔离模块或者逻辑隔离模块连接；所述物理隔离模块或者逻辑隔离模块用于将内网的数据进行加密并导出到外网；所述物理隔离模块或者逻辑隔离模块还用于将外网的非加密数据进行单向导入内网；所述物理隔离模块或者逻辑隔离模块还用于将外网的加密数据进行解密后导入内网。所述内网为一个内网计算机或者所述内网由至少两个内网计算机组成。本发明采用量子数据加密+数据中转器安全交换的解决方案来保障内部网之间的安全通信和内外部网之间安全数据交换，杜绝泄密事件的发生。

文献2公开了一种基于内外网的数据库之间数据的交换方法，该技术适用于内网可以访问外网，外网不能访问内网的情况下，在内网区域中建立一个中间库，作为内外网访问的桥梁，然后在中间库中创建存储过程以及针对外网数据库的dblink，通过中间库的存储过程以及dblink对外网数据库。

而与本发明最接近的是联软科技的UniNXG安渡数据摆渡解决方案。

如图1，在一台物理服务器上虚拟出两台服务器(外网、内网各一台)，通过虚拟化技术使该这两台服务器分别链接到内外网或不同的安全区域中通过模拟PCI硬件设备的方式达到虚拟机与宿主机之间安全可靠的数据通讯。

现有技术的缺点如下：

(1)物理服务器需要较高的性能以支撑虚拟出两台机器的计算和读写压力。

(2)物理服务器存储容量的限制对于数据摆渡速度有较大的影响。

(3)无论是外网还是内网，都有PC直连服务器虚拟主机的情况，对于安全存在一定的风险，如DDos攻击，恶意访问等可以轻松的导致服务器服务宕机。

发明内容

为解决上述技术问题，本发明提供了一种网间数据的安全交换方法，进行网间数据交换的用户处于互不联通的网络中，其特征在于，该方法包括以下步骤：

1).用户通过存储管理模块SMC与所在网络的存储器进行数据管理交互；

2).通过存储管理模块SMC向数据安全交换网关请求交换数据文件X；

3).数据安全交换网关从所述用户所在网络的存储器提取出对应的数据文件X，经处理后输出处理后的数据文件X’；

4).数据安全交换网关将数据文件X’上传到另一用户所在网络的存储器；

5).所述另一用户通过所属网络的存储器访问所述数据文件X’，经过处理得到数据文件X。

根据本发明的实施例，优选的，所述互不联通的网络是指通过物理隔离或者逻辑隔离的不同网络；

对于物理隔离的多个网络，数据安全交换网关需要针对不同网络安装一块网卡。

根据本发明的实施例，优选的，所述步骤2)中，所述用户通过存储管理模块SMC发起数据网间交互请求信令，请求交换数据文件X，该存储管理模块SMC把数据交换请求信令转发到数据安全交换网关的文件摆渡服务模块。

根据本发明的实施例，优选的，所述步骤3)中，数据安全交换网关收到数据交换请求信令后，根据信令中的内容从所述用户所属网络的存储器中提取出对应的数据文件X下载到本地，经过文件扫描、分类、加/解密处理，输出数据文件X处理后的文件X’。

根据本发明的实施例，优选的，所述步骤4)中，数据安全交换网关将数据文件X’上传到另一用户所在网络的存储器后，得到到文件唯一路径。

根据本发明的实施例，优选的，数据安全交换网关的文件摆渡服务模块在所述数据网间交互请求信令的基础上，添加所述文件唯一路径，生成消息Outcome A；

所述步骤5)中另一用户通过查看消息Outcome A，访问数据文件X’。

为解决上述技术问题，本发明提供了一种网间数据的安全交换系统，该系统包括多个存储管理模块SMC以及相应的存储器、一个数据安全交换网关；

其中，不同的所述存储管理模块SMC以及相应的存储器位于互不联通的不同网络中；

用户通过所在网络的存储管理模块SMC与存储器进行数据管理交互，并读写存储在存储器上的文件；

用户通过存储管理模块SMC向数据安全交换网关发起数据交换请求；

数据安全交换网关接收用户的数据交换请求，并从请求用户所在网络的存储器提取待交换的数据文件X，对其进行处理后，输出处理后的数据文件X’存储在目标网络所在的存储器。

根据本发明的实施例，优选的，不同的所述存储管理模块SMC以及相应的存储器处于物理隔离或者逻辑隔离的不同网络中，数据安全交换网关需要针对物理隔离的每一网络安装一块网卡。

根据本发明的实施例，优选的，所述数据安全交换网关包括一文件摆渡服务模块；

请求发送数据的存储管理模块SMC把数据交换请求信令发送给所述文件摆渡服务模块；

所述文件摆渡服务模块收到数据交换请求信令后，对待交换数据文件X进行处理后，将处理后的数据文件X’上传到目标网络所在存储器中，得到文件唯一路径；

所述文件摆渡服务模块在所述数据交换请求信令的基础上，添加所述文件唯一路径，生成供目标用户访问的消息。

为解决上述技术问题，本发明提供了一种计算机存储介质，其包括有计算机程序指令，通过执行所述计算机程序指令，实现上述权利要求之一的方法。

通过本发明的技术方案取得了以下技术效果：

1)能够完美的解决物理隔离和逻辑隔离网络之间的数据文件交换问题，节约成本。

2)数据文件交换完全通过服务端进行流转，客户端只是发起请求，网间数据交换可以对文件进行自动扫描，分类分级，加密/脱密操作。解决跨网数据交换的安全问题，降低安全隐患。

3)不改变用户的办公使用习惯，操作方便，便于推广。

附图说明

图1是现有技术的系统架构图

图2是本发明的系统架构图

具体实施方式

<网间数据交换方法>

如图2，本发明提供了一种网间数据的安全交换方法，进行网间数据交换的用户处于互不联通的网络中，其特征在于，该方法包括以下步骤：

1).用户通过存储管理模块SMC与所在网络的存储器进行数据管理交互；

2).通过存储管理模块SMC向数据安全交换网关请求交换数据文件X；

3).数据安全交换网关从所述用户所在网络的存储器提取出对应的数据文件X，经处理后输出处理后的数据文件X’；

4).数据安全交换网关将数据文件X’上传到另一用户所在网络的存储器；

5).所述另一用户通过所属网络的存储器访问所述数据文件X’，经过处理得到数据文件X。

具体的实施方案如下：

1.首先用户A和用户B处于两个通过物理隔离或者逻辑隔离的互不联通的网段的网络中，其中用户A位于网段1中；用户B位于网段2中。

2.对于物理隔离的两个网段，数据安全交换网关需要安装两块网卡；对于逻辑隔离的两个网段，数据安全交换网关只需要单网卡就能完成工作。

3.用户A通过存储管理模块SMC A与存储实例A进行数据管理交互。

4.用户A通过SMC模块发起数据网间交互请求RequestA，请求交换数据文件X。

5.SMC A模块把数据交换请求信令RequestA转发到数据安全交换网关的文件摆渡服务模块

6.数据安全交换网关收到数据交换请求信令后，根据信令中的内容从存储A中提取出对应的数据文件下载到本地，经过分类分级网关的文件扫描、分类、加(解)密处理模块的处理，输出一份数据文件X的处理后文件X’。

7.数据安全交换网关的文件摆渡服务模块将步骤6中得到的处理后的数据文件X’上传到存储B中，获取到文件唯一路径。

8.数据安全交换网关的文件摆渡服务模块在步骤4中产生的RequestA信令的基础上，去除在存储A的路径的字段，添加上步骤7产生的目标路径，然后添加一些其它的处理的基础上，转发给存储B的管理模块SMC B管理的用户B名下，生成消息Outcome A。

9.用户B登录访问存储B的管理控制模块SMC B时，查看到文件摆渡消息Outcome A后，即可访问到用户A发送的数据文件。

<系统架构>

如图2，本发明提供了一种网间数据的安全交换系统，该系统包括多个存储管理模块SMC以及相应的存储器、一个数据安全交换网关；

其中，不同的所述存储管理模块SMC以及相应的存储器位于互不联通的不同网络中；

用户通过所在网络的存储管理模块SMC与存储器进行数据管理交互，并读写存储在存储器上的文件；

用户通过存储管理模块SMC向数据安全交换网关发起数据交换请求；

数据安全交换网关接收用户的数据交换请求，并从请求用户所在网络的存储器提取待交换的数据文件X，对其进行处理后，输出处理后的数据文件X’存储在目标网络所在的存储器。

不同的所述存储管理模块SMC以及相应的存储器处于物理隔离或者逻辑隔离的不同网络中，数据安全交换网关需要针对物理隔离的每一网络安装一块网卡。

所述数据安全交换网关包括一文件摆渡服务模块；

请求发送数据的存储管理模块SMC把数据交换请求信令发送给所述文件摆渡服务模块；

所述文件摆渡服务模块收到数据交换请求信令后，对待交换数据文件X进行处理后，将处理后的数据文件X’上传到目标网络所在存储器中，得到文件唯一路径；

所述文件摆渡服务模块在所述数据交换请求信令的基础上，添加所述文件唯一路径，生成供目标用户访问的消息。

数据安全交换网关还包括分类分级网关和加(解)密处理模块。在数据安全交换网关收到数据交换请求信令后，根据信令中的内容从存储A中提取出对应的数据文件下载到本地，经过分类分级网关的文件扫描、分类、加(解)密处理模块的处理，输出一份数据文件X的处理后文件X’。

所述存储和存储管理模块SMC的解决方案包括但不限于网盘，云盘等云存储的技术方案。

通过本发明的技术方案，能够完美的解决物理隔离和逻辑隔离网络之间的数据文件交换问题，节约成本；数据文件交换完全通过服务端进行流转，客户端只是发起请求，网间数据交换可以对文件进行自动扫描，分类分级，加密/脱密操作。解决跨网数据交换的安全问题，降低安全隐患；不改变用户的办公使用习惯，操作方便，便于推广。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换以及改进等，均应保护在本发明的保护范围之内。

Claims (10)

1.一种网间数据的安全交换方法，进行网间数据交换的用户处于互不联通的网络中，其特征在于，该方法包括以下步骤：

1).用户通过存储管理模块SMC与所在网络的存储器进行数据管理交互；

2).通过存储管理模块SMC向数据安全交换网关请求交换数据文件X；

3).数据安全交换网关从所述用户所在网络的存储器提取出对应的数据文件X，经处理后输出处理后的数据文件X’；

4).数据安全交换网关将数据文件X’上传到另一用户所在网络的存储器；

5).所述另一用户通过所属网络的存储器访问所述数据文件X’，经过处理得到数据文件X。

2.根据权利要求1所述的方法，其特征在于，所述互不联通的网络是指通过物理隔离或者逻辑隔离的不同网络；

对于物理隔离的多个网络，数据安全交换网关需要针对不同网络安装一块网卡。

3.根据权利要求1所述的方法，其特征在于，所述步骤2)中，所述用户通过存储管理模块SMC发起数据网间交互请求信令，请求交换数据文件X，该存储管理模块SMC把数据交换请求信令转发到数据安全交换网关的文件摆渡服务模块。

4.根据权利要求3所述的方法，其特征在于，所述步骤3)中，数据安全交换网关收到数据交换请求信令后，根据信令中的内容从所述用户所属网络的存储器中提取出对应的数据文件X下载到本地，经过文件扫描、分类、加/解密处理，输出数据文件X处理后的文件X’。

5.根据权利要求4所述的方法，其特征在于，所述步骤4)中，数据安全交换网关将数据文件X’上传到另一用户所在网络的存储器后，得到到文件唯一路径。

6.根据权利要求5所述的方法，数据安全交换网关的文件摆渡服务模块在所述数据网间交互请求信令的基础上，添加所述文件唯一路径，生成消息Outcome A；

所述步骤5)中另一用户通过查看消息Outcome A，访问数据文件X’。

7.一种网间数据的安全交换系统，该系统包括多个存储管理模块SMC以及相应的存储器、一个数据安全交换网关；

其中，不同的所述存储管理模块SMC以及相应的存储器位于互不联通的不同网络中；

用户通过所在网络的存储管理模块SMC与存储器进行数据管理交互，并读写存储在存储器上的文件；

用户通过存储管理模块SMC向数据安全交换网关发起数据交换请求；

数据安全交换网关接收用户的数据交换请求，并从请求用户所在网络的存储器提取待交换的数据文件X,对其进行处理后，输出处理后的数据文件X’存储在目标网络所在的存储器。

8.根据权利要求7所述的系统，其特征在于，不同的所述存储管理模块SMC以及相应的存储器处于物理隔离或者逻辑隔离的不同网络中，数据安全交换网关需要针对物理隔离的每一网络安装一块网卡。

9.根据权利要求7所述的系统，其特征在于，所述数据安全交换网关包括一文件摆渡服务模块；

请求发送数据的存储管理模块SMC把数据交换请求信令发送给所述文件摆渡服务模块；

所述文件摆渡服务模块收到数据交换请求信令后，对待交换数据文件X进行处理后，将处理后的数据文件X’上传到目标网络所在存储器中，得到文件唯一路径；

所述文件摆渡服务模块在所述数据交换请求信令的基础上，添加所述文件唯一路径，生成供目标用户访问的消息。

10.一种计算机存储介质，其包括有计算机程序指令，通过执行所述计算机程序指令，实现权利要求1-6之一的方法。