CN108833566B - 一种数据防泄漏系统的跨地域数据分发方法及系统 - Google Patents

Abstract

本发明涉及一种基于数据防泄漏系统的客户跨地域数据分发方法及系统，该系统包括：一个核心服务器、多个区域主服务器、多个负载服务器和多个用户终端；所述多个区域主服务器分布于不同区域，均与所述核心服务器维持一条长连接；多个负载服务器与位于同一区域的区域主服务器保持一条长连接，处于同一区域的负载服务器能够互连；每个负载服务器挂接多个用户终端；通过核心服务器将数据分发给多个区域主服务器，每个区域主服务器将数据以洪泛式的方式分发给与其连接的多个负载服务器。通过本发明的方案，提高了数据分发效率，并且支持了用户的跨区办公。

Description

一种数据防泄漏系统的跨地域数据分发方法及系统

【技术领域】

本发明属于数据安全领域，尤其涉及一种基于数据防泄漏系统的客户跨地域数据分发方法及系统。

【背景技术】

随着信息时代的到来，人民生活受益巨大，但国家信息安全也受到了严重挑战。安全问题愈演愈烈，网络与信息安全已获得到前所未有的关注；其中，数据防泄漏系统作为数据安全的终端防护手段，适应需求变化，逐渐向智能化、易用化方向发展。

数据防泄漏产品在使用过程中，策略信息需要通过服务器下发给各个客户端，通常情况下满足不了用户的跨地域办公的需求，如何满足客户的跨地域带权限正常使用成为客户比较关注的一个问题。

传统数据防泄漏系统中，客户的跨地域支持通常只支持有一台服务器或者有一台主服务器挂接几台负载的小用户场景；在主服务器挂接核心服务器的场景中，通常通过定时同步核心服务器的所有数据到负载上来支持客户的异地办公，但是在大批量部署环境中，这种主从同步占用带宽，同步慢，同步异常严重影响客户的正常使用，甚至影响到客户的正常业务。

【发明内容】

为了解决现有技术中的上述问题，本发明提出了一种基于数据防泄漏系统的客户跨地域数据分发系统，该系统包括：一个核心服务器、多个区域主服务器、多个负载服务器和多个用户终端；

所述多个区域主服务器分布于不同区域，均与所述核心服务器维持一条长连接；

多个负载服务器与位于同一区域的区域主服务器保持一条长连接，处于同一区域的负载服务器能够互连；

每个负载服务器挂接多个用户终端；

通过核心服务器将数据分发给多个区域主服务器，每个区域主服务器将数据以洪泛式的方式分发给与其连接的多个负载服务器；

各个负载服务器数据接收处理结束后，给区域主服务器反馈结果信息，在区域主服务器中记录下属负载服务器的状态信息。

根据本发明的系统，优选的，所述分发数据包括：策略信息和用户信息。

根据本发明的系统，优选的，该系统还包括与核心服务器连接的控制台，通过控制台将策略信息下发给核心服务器；

核心服务器将策略信息分发给与其保持长连接的所述多个区域主服务器；

各区域主服务器通过洪泛式方式将策略信息分发给与其保持长连接的多个负载服务器，负载服务器将策略信息存入本地数据库中。

根据本发明的系统，优选的，所述策略信息包括：用户组策略、特殊用户策略、未登录策略；

每个用户的用户策略信息通过上述策略信息与用户信息在各个负载服务器上进行计算得到。

根据本发明的系统，优选的，用户信息更新的同步包括两种方式：

系统新增加用户时，通过控制台更改用户信息，用户信息先在核心服务器上生成，然后分发给各区域主服务器，然后以洪泛式分发方式，将用户信息发送给各个区域负载服务器；或

当用户手动更改用户信息时，用户终端先把更改的用户信息发送给挂接的负载服务器，负载服务器把用户信息通过长连接发送给保持长连接的区域主服务器，区域主服务器把更改用户信息发送给核心服务器，核心服务器再把用户信息通过洪泛式方式分发给各区域主服务器和负载服务器。

根据本发明的系统，优选的，所述用户策略信息通过增量计算得到；

每个负载服务器设有策略监听线程，当发现负载服务器中用户信息发生变更，或者策略信息发生变更时，启动策略监听线程，计算变更后的用户策略信息，记录到本地数据库中。

为解决上述问题，本发明公开了一种采用上述系统进行数据分发方法，该方法包括：

通过核心服务器将数据分发给与其维持长连接的多个区域主服务器，每个区域主服务器将数据以洪泛式的方式分发给与其保持长连接的多个负载服务器。

根据本发明的方法，优选的，通过控制台将策略信息下发给核心服务器；

核心服务器将策略信息分发给与其保持长连接的所述多个区域主服务器；

各区域主服务器通过洪泛式方式将策略信息分发给与其保持长连接的多个负载服务器，负载服务器将策略信息存入本地数据库中。

根据本发明的方法，优选的，所述策略信息包括：用户组策略、特殊用户策略、未登录策略；

每个用户的用户策略信息通过上述策略信息与用户信息在各个负载服务器上进行计算得到。

根据本发明的方法，优选的，用户信息更新的同步包括两种方式：

系统新增加用户时，通过控制台更改用户信息，用户信息先在核心服务器上生成，然后分发给各区域主服务器，然后以洪泛式分发方式，将用户信息发送给各个区域负载服务器；或

当用户手动更改用户信息时，用户终端先把更改的用户信息发送给挂接的负载服务器，负载服务器把用户信息通过长连接发送给保持长连接的区域主服务器，区域主服务器把更改用户信息发送给核心服务器，核心服务器再把用户信息通过洪泛式方式分发给各区域主服务器和负载服务器。

根据本发明的方法，优选的，所述用户策略信息通过增量计算得到；

每个负载服务器设有策略监听线程，当发现负载服务器中用户信息发生变更，或者策略信息发生变更时，启动策略监听线程，计算变更后的用户策略信息，记录到本地数据库中。

本发明的有益效果包括：提高了数据分发效率，节省网络带宽，支持客户的跨区域办公要求，保证了客户异地办公时，权限的正常使用。

【附图说明】

此处所说明的附图是用来提供对本发明的进一步理解，构成本申请的一部分，但并不构成对本发明的不当限定，在附图中：

图1是本发明的数据分发系统架构示意图。

图2是本发明的用户信息分发方法流程示意图。

图3是本发明的策略信息分发方法流程示意图。

图4是本发明的用户信息更改上报分发方法流程示意图。

图5是本发明的数据分发方法流程示意图。

图6是本发明的用户策略信息变更方法流程示意图。

【具体实施方式】

下面将结合附图以及具体实施例来详细说明本发明，其中的示意性实施例以及说明仅用来解释本发明，但并不作为对本发明的限定。

为了解决上述问题，本发明提供了一种防泄密支持客户跨区域办公的用户信息同步、策略信息分发系统。

步骤S1，首先进行服务器的部署。

通过部署一台核心服务器，多台区域主服务器，每台区域主服务器下面挂接多台负载服务器形成一张服务器部署网络网；

步骤S2，其次进行用户信息的同步。

当增加新用户的时候，先把用户信息同步到该负载服务器对应的区域主服务器，区域主服务器再发给负载服务器，之后按照1的部署分发方式分发给各个负载服务器；

步骤S3，然后进行策略信息的分发。

策略信息分为用户组，特殊用户，未登录3类。从控制台以洪泛式分发用户组，特殊用户，未登录3类策略信息到各个负载服务器。洪泛是基于P2P的发送方式，不过在这个基础上形成了负载服务器1-->负载服务器2，负载服务器1-2-->负载服务器3-4，负载服务器1-4-->负载服务器5-8这种发送模式。

步骤S4，用户策略的计算。

每个用户的策略信息都是通过各个负载服务器计算得到的；通过下发的3类策略信息和用户的信息进行计算得到用户策略信息，写入到本地策略数据库中。用户策略信息是通过控制台下发给用户进行控制的标志，系统根据这些标志判断执行什么操作；

步骤S5，策略信息的变更。

当策略信息发生变更的时候，先执行步骤S3，再执行步骤S4；这里用户策略信息的计算只进行增量计算，不进行全量的计算；减少各个负载服务器的负担。

在一个实施例中，如图1，系统包括：1台核心服务器，每个地域1台区域主服务器，每个区域主服务器下面挂接若干负载服务器(支持最大100个负载服务器部署，每台负载服务器默认挂接2000台终端，在此仅为优选实施方式，实际部署时可根据需求进行变化，其均落入本发明的保护范围)。

核心服务器跟区域主服务器和负载服务器形成树形部署结构；

核心服务器只跟区域主服务器进行交互，不跟负载服务器直接进行交互；

负载服务器之间通过局域网络或者互联网进行互通；每个负载服务器都跟区域主服务器相连(长连接保证)，负载服务器按照编号依次进行排序；区域主服务器维护其下面负载服务器的状态信息；不同区域的负载服务器之间一般不做交互。

区域主服务器与核心服务器之间维持一条长连接(socket网络连接)。

如图5，数据分发机制，先从核心服务器发送给各个区域主服务器；区域主服务器将数据发送给负载服务器1，负载服务器1-->负载服务器2，负载服务器1-2-->负载服务器3-4。即通过洪泛的方式把数据发送给各个负载服务器；各个负载服务器的数据接收处理结束后，给区域主服务器反馈结果信息；通过区域主服务器里面记录下属负载服务器的状态信息，控制负载服务器之间数据的洪泛传输逻辑；

如图2，是用户信息的分发流程图。由核心服务器分发给多个区域主服务器，然后由区域主服务器采用洪泛的发送方式分发给同一区域内的负载服务器。传输的数据通过对称加密算法加密，密钥通过非对称加密算法加密，同时校验传输数据的MD5和SHA保证数据的安全和完整性；区域主服务器向其下面的负载服务器分发数据，如图5所示。

如图3，是策略信息的分发流程图。策略信息都是从控制台进行分发的，策略信息主要分为3大类，分为用户组策略，特殊用户策略，未登录策略；通过控制台将策略信息下发给核心服务器，核心服务器将策略信息分发给各个区域主服务器；区域主服务器通过洪泛方式将数据分发给各个负载服务器，负载服务器将这3类的策略信息存入本地数据库中。

用户组策略：企业环境中，用户通常是按照机构部门进行划分的，通常情况下相同部门下面的用户管控是一致的，这样可以只给服务器下发一个组策略，用户的策略是各个负载服务器自己计算的。

特殊用户策略：这个主要是给公司的管理人员以及领导下发的策略；特殊用户只限制在小范围的群体中，人数不会特别多，故特殊用户的策略也是直接分发的。

未登陆策略：新安装防泄漏环境也应该支持管控功能，所有没有用户名和密码的终端都使用未登录策略，未登录是一类策略，也是通过分发下来的，为了防止信息泄露，这种策略管控方式通常比较严格。

终端上的用户信息发生变更时的用户信息分发方法，包括两种方式：

第一种，服务器初始安装的时候用户信息的整体同步，新增加用户，控制台管理员更改用户信息的时候，用户信息先在核心服务器上生成，如图1所示的洪泛发送方式，将用户数据发送给各个负载服务器，让负载服务器获取到所有用户的用户信息。

第二种，当用户手动更改自己信息的时候，此时，客户端先把更改信息发送给相应负载服务器，负载服务器会把用户的信息通过长连接发送给区域主服务器，区域主服务器把更改用户信息发送给核心服务器，核心服务器把数据按照图1中的洪泛数据发送方式分发下去，具体见图4。

每个用户的策略信息是一条保存在负载服务器的数据库中的记录，用户自己的策略是通过用户组策略，特殊用户策略，未登录策略同用户信息在各个负载服务器上进行计算的；

由于策略计算是由每个负载服务器进行的，这样做的弊端是所有的负载服务器都需要计算策略，这样看起来浪费资源；但是相比于核心服务器对用户信息进行同步对客户的影响更小，由于用户的策略信息是每个用户一条信息，所以，即使是增量同步数据量也会很大，占用客户网路带宽，甚至同步异常还得重新同步；

如图6所示，负载服务器策略的计算是进行增量计算的，每个负载服务器都有监听线程，当发现负载服务器中用户信息发生变更，或者策略信息发生变更的时候(策略信息通常不会频繁变更)，策略监听线程会启动，计算相应的用户策略信息，或者计算策略信息的变更，策略信息的变更发生在控制台上，控制台只跟核心服务器相连接，只有管理员才有变更策略信息的权限；

当管理员更改控制台策略信息后，更改的策略信息发送给核心服务器，核心服务器将策略信息按照图3所示进行分发；

当负载服务器接收到策略变更后，按照图4进行用户策略信息的重新计算；

此处的用户策略信息计算只进行增量计算，不进行全量计算。

某大型银行客户基于本发明的方案对已部署运行的数据防泄漏系统进行改造部署；改造之前存在如下问题：

1、设计单一，用户不能跨区域去使用防泄漏系统；

2、各个分行都部署一套环境，不同分行之间隔离，造成管理麻烦，且成本高；

改造后取得如下效果：

1、总行和分行公用一套数据防泄漏部署系统；方便管理员进行管理；

2、支持了客户的跨区域办公要求，保证了客户异地办公时，权限的正常使用。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

本领域内的技术人员应明白，本发明实施例的实施例可提供为方法、系统、或计算机程序产品。因此，本发明实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明实施例是参照根据本发明实施例的方法、终端设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式发送机或其他可编程数据发送终端设备的发送器以产生一个机器，使得通过计算机或其他可编程数据发送终端设备的发送器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的系统。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据发送终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令系统的制造品，该指令系统实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据发送终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的发送，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明实施例的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明实施例范围的所有变更和修改。

最后，还需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。

以上对本发明所提供的一种数据防泄漏系统的跨地域数据分发方法及系统，进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (2)

1.一种基于数据防泄漏系统的客户跨地域数据分发系统，其特征在于，该系统包括：一个核心服务器、多个区域主服务器、多个负载服务器和多个用户终端；

所述多个区域主服务器分布于不同区域，均与所述核心服务器维持一条长连接；

多个负载服务器与位于同一区域的区域主服务器保持一条长连接，处于同一区域的负载服务器能够互连；

每个负载服务器挂接多个用户终端；

通过核心服务器将数据分发给多个区域主服务器，每个区域主服务器将数据以洪泛式的方式分发给与其连接的多个负载服务器；

各个负载服务器数据接收处理结束后，给区域主服务器反馈结果信息，在区域主服务器中记录下属负载服务器的状态信息；

分发数据包括：策略信息和用户信息；

用户信息更新的同步包括两种方式：

系统新增加用户时，通过控制台更改用户信息，用户信息先在核心服务器上生成，然后分发给各区域主服务器，然后以洪泛式分发方式，将用户信息发送给各个区域负载服务器；或

当用户手动更改用户信息时，用户终端先把更改的用户信息发送给挂接的负载服务器，负载服务器把用户信息通过长连接发送给保持长连接的区域主服务器，区域主服务器把更改用户信息发送给核心服务器，核心服务器再把用户信息通过洪泛式方式分发给各区域主服务器和负载服务器；

该系统还包括与核心服务器连接的控制台，通过控制台将策略信息下发给核心服务器；

核心服务器将策略信息分发给与其保持长连接的所述多个区域主服务器；

各区域主服务器通过洪泛式方式将策略信息分发给与其保持长连接的多个负载服务器，负载服务器将策略信息存入本地数据库中；

所述策略信息包括：用户组策略、特殊用户策略、未登录策略；

每个用户的用户策略信息通过上述策略信息与用户信息在各个负载服务器上进行计算得到。

2.根据权利要求1所述的系统，其特征在于，用户策略信息通过增量计算得到；

每个负载服务器设有策略监听线程，当发现负载服务器中用户信息发生变更，或者策略信息发生变更时，启动策略监听线程，计算变更后的用户策略信息，记录到本地数据库中。

Images