CN110035085A - 一种基于混合架构的安全系统 - Google Patents

Abstract

本发明公开了一种基于混合架构的安全系统，属于网络通信领域，包括有以太网模块、客户端访问系统、监控采集系统和监控安全防护系统，所述监控安全防护系统用于为用户提供安全可靠的安全监控系统，所述客户端访问系统用于对监控安全中心进行访问，所述监控安全防护系统包括有核心交换机模块和监控智能安全网关模块。本发明通过核心交换机模块分发密钥，使监控安全智能盒模块与监控智能安全网关模块同时具有加解密功能，通过密匙服务器模块能够运用自主扩展的SM2加密算法进行加密，提高加密强度，保证系统密级，并且通过端口防护模块能够阻断针对信息采集端和监控安全中心的漏洞攻击。

Description

一种基于混合架构的安全系统

技术领域

本发明涉及网络通信领域，尤其是涉及一种基于混合架构的安全系统。

背景技术

随着互联网的普及和视频监控技术的发展，网络安全监控系统在社会逐渐推广开来。但网络视频监控给人们带来便利的同时，也逐渐暴露出一些安全问题。大量信息采集端很容易被入侵。不仅仅是家庭，公共安全、城市管理、交通监测的公共信息采集端也很容易被入侵。

网络视频监控在现代社会的重要性不言而喻，随着它在社会生活的方方面面所发挥的作用越来越大，监控系统所面临的风险也日益增加。国家敏感信息、企业数据风险以及个人隐私的安全性受到的挑战日趋严重，安全问题逐渐成为对我们最大的考验。如何有效保障视频采集端到服务端的监控数据的安全，是视频采集监控系统刻不容缓需要解决的问题。安全监控系统的监控数据和控制数据没有加密，在网络上明文传输，攻击者可通过分析网络数据包获取监控数据和管理员口令，并且摄像头、视频录像机、监控安全中心业务系统均采用弱口令，采用弱口令的设备容易被黑客进行漏洞攻击，存在一定的安全隐患。

发明内容

本发明的目的在于提供一种基于混合架构的安全系统，以解决现有技术中的安全监控系统的监控数据和控制数据没有加密以及采用弱口令容易被黑客攻击的技术问题。

本发明提供一种基于混合架构的安全系统，包括有以太网模块、客户端访问系统、监控采集系统和监控安全防护系统，所述客户端访问系统、监控采集系统和监控安全防护系统与以太网模块之间均通过网络连接，所述监控安全防护系统用于为用户提供安全可靠的安全监控系统，所述客户端访问系统用于对监控安全中心进行访问，所述监控安全防护系统包括有核心交换机模块和用于对监控安全防护系统进行加解密的监控智能安全网关模块，所述监控智能安全网关模块与核心交换机模块连接。

进一步的，所述监控安全防护系统还包括有监控信息显示模块、端口防护模块、安全事件存储模块和密匙服务器模块，所述监控信息显示模块、端口防护模块、安全事件存储模块和密匙服务器模块均与监控智能安全网关模块连接，所述端口防护模块用于阻断针对监控采集系统的漏洞攻击。

进一步的，所述核心交换机模块连接有数据审计模块，所述数据审计模块用于对监控信息进行管理并且对监控流量进行统计。

进一步的，所述监控采集系统包括有交换机模块、若干个监控信息采集模块和若干个监控安全智能盒模块，每个所述监控安全智能盒模块均对应一个监控信息采集模块，所述监控安全智能盒模块和与其对应的监控信息采集模块连接，所述若干个监控信息采集模块均与交换机模块连接。

进一步的，所述客户端访问系统包括有客户端模块和与客户端模块连接的监控安全防护模块。

进一步的，所述监控安全防护模块和监控安全智能盒模块均用于实现在公开网络上的安全传输。

进一步的，所述监控安全防护系统的安全防护步骤为：

S1：用户通过客户端模块能够对监控安全中心进行访问；

S2：监控安全防护系统能够对接入信息采集端的监控数据进行签名认证，防止伪造；

S3：用户通过密匙服务器模块对监控安全防护系统进行解密操作；

当解密成功时，用户能够对监控安全中心进行访问，并且能够对信息采集端进行管理以及对信息采集端流量进行统计；

当解密失败时，端口防护模块能够阻断针对信息采集端和监控安全中心的漏洞攻击以及阻断与监控信息无关端口的访问，并且能够对访问者进行告警，通过安全事件存储模块能够对解密失败的日志进行记录。

与现有技术相比较，本发明的有益效果在于：

其一，本发明设有监控安全防护系统，监控安全防护系统包括有核心交换机模块、监控信息显示模块、端口防护模块、安全事件存储模块、密匙服务器模块和监控智能安全网关模块，通过核心交换机模块分发密钥，使监控安全智能盒模块与监控智能安全网关模块同时具有加解密功能，以解决现有技术中的安全监控系统的监控数据和控制数据没有加密的问题，为用户提供安全可靠的安全监控系统；

其二，本发明设有密匙服务器模块，通过密匙服务器模块能够运用自主扩展的SM2加密算法进行加密，提高加密强度，保证系统密级，并且对密钥的设置、生成、传输、存放、更新、使用都采取了特殊的技术手段，保证了明文状态的密钥不会出现在密码机之外，在最大的程度上保证了密钥的安全；

其三，本发明设有视频智能安全盒模块，主要采用CPU+FPGA的架构处理，实现密钥协商、报文封装、流量控制、密钥落地、业务数据的加解密与认证及组包、具备无线转发和接收功能等功能；

其四，本发明设有端口防护模块和安全事件存储模块，端口防护模块用于阻断针对信息采集端和监控安全中心的漏洞攻击，并阻断针对信息采集端的漏洞攻击，还能够阻断对与监控信息无关端口的访问，只允许信息采集端与监控安全中心的白名单中的管理主机进行通信；安全事件存储模块用于对解密失败的日志进行记录。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明的整体框架图；

图2为监控安全防护系统安全防护步骤的流程图。

具体实施方式

下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。

通常在此处附图中描述和显示出的本发明实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。

基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明的描述中，需要说明的是，术语“中心”、“上”、“下”、“左”、“右”、“竖直”、“水平”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”、“第三”仅用于描述目的，而不能理解为指示或暗示相对重要性。

在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

下面结合图1至图2所示，本发明实施例提供了一种基于混合架构的安全系统，包括有以太网模块、客户端访问系统、监控采集系统和监控安全防护系统，所述客户端访问系统、监控采集系统和监控安全防护系统与以太网模块之间均通过网络连接，所述监控安全防护系统用于为用户提供安全可靠的安全监控系统，所述客户端访问系统用于对监控安全中心进行访问，所述监控安全防护系统包括有核心交换机模块和用于对监控安全防护系统进行加解密的监控智能安全网关模块，所述监控智能安全网关模块与核心交换机模块连接；视频安全智能网关模块是一个网络通向其他网络的IP地址，通过设置正确的IP地址，TCP/IP协议才能实现不同网络之间的相互通信，智能网关模块会对某些网站和地址产生保护，从而保护设备免受入侵；智能网关模块是实现三网融合的设备，同时也是局域网与外界沟通的桥梁，它除了传统的路由器、CATV、IP分配之外应该还具备无线转发和接收功能，能把外部所有的通信信号转化为无线接收，扩大了设备在网络覆盖范围，通过配置核心交换机模块，连接监控智能安全网关模块，接入密钥服务器模块，在监控信息显示模块显示视频信息，系统通过密钥服务器模块分发密钥至监控智能安全网关模块，监控智能安全网关模块连接核心交换机模块，通过核心交换机模块分发密钥，使监控安全智能盒模块与监控智能安全网关模块同时具有加解密功能，在连接终端用户时，可根据系统分发的密钥指令决定是否过滤、加密或解密。

具体的，所述监控安全防护系统还包括有监控信息显示模块、端口防护模块、安全事件存储模块和密匙服务器模块，所述监控信息显示模块、端口防护模块、安全事件存储模块和密匙服务器模块均与监控智能安全网关模块连接，所述端口防护模块用于阻断针对监控采集系统的漏洞攻击；监控信息显示模块用于显示监控信息，端口防护模块用于阻断针对信息采集端和监控安全中心的漏洞攻击，并阻断针对信息采集端的漏洞攻击，还能够阻断对与监控信息无关端口的访问，只允许信息采集端与监控安全中心的白名单中的管理主机进行通信；安全事件存储模块用于对解密失败的日志进行记录，密匙服务器模块主要提供密钥分发与管理、数据加解密、数据完整性验证、签名/验签、敏感信息存储等功能，密钥是加密系统中可以变动的因素，通过自主扩展的SM2加密算法加密，对密钥的设置、生成、传输、存放、更新、使用都采取了特殊的技术手段，保证了明文状态的密钥不会出现在密码机之外，在最大的程度上保证了密钥的安全。

具体的，所述核心交换机模块连接有数据审计模块，所述数据审计模块用于对监控信息进行管理并且对监控流量进行统计；数据审计模块能够对信息采集端进行管理和识别，并且对信息采集端的流量进行统计与分析。

具体的，所述监控采集系统包括有交换机模块、若干个监控信息采集模块和若干个监控安全智能盒模块，每个所述监控安全智能盒模块均对应一个监控信息采集模块，所述监控安全智能盒模块和与其对应的监控信息采集模块连接，所述若干个监控信息采集模块均与交换机模块连接；监控信息采集模块能够将采集到的数据输送至与其对应的监控安全智能盒模块，监控安全智能盒模块能够实现对采集的数据在公开网络上进行安全传输，若干个监控信息采集模块能够与监控安全智能盒模块连接，并与交换机模块连接，使监控信息采集模块能够接入到以太网模块中。

具体的，所述客户端访问系统包括有客户端模块和与客户端模块连接的监控安全防护模块，监控安全防护模块用于对客户端模块数据进行监控并且能够实现对客户端模块数据进行加解密。

具体的，所述监控安全防护模块和监控安全智能盒模块均用于实现在公开网络上的安全传输；视频智能安全盒模块和监控安全智能盒模块的功能相同，且两者主要采用CPU+FPGA的架构处理，两者均能够实现密钥协商、报文封装、流量控制、密钥落地、业务数据的加解密与认证及组包等功能，视频智能安全盒模块外侧展出两个网口，分别用作内网口与外网口，内网的业务数据经过智能盒内部的加密模块，实现在公开网络上的安全传输，外网口链接外部网络链路，支持TCP/UDP协议传输，支持密码算法加解密。

具体的，所述监控安全防护系统的安全防护步骤为：

S1：用户通过客户端模块能够对监控安全中心进行访问。

S2：监控安全防护系统能够对接入信息采集端的监控数据进行签名认证，防止伪造。

S3：用户通过密匙服务器模块对监控安全防护系统进行解密操作；

当解密成功时，用户能够对监控安全中心进行访问，并且能够对信息采集端进行管理以及对信息采集端流量进行统计；

当解密失败时，端口防护模块能够阻断针对信息采集端和监控安全中心的漏洞攻击以及阻断与监控信息无关端口的访问，并且能够对访问者进行告警，通过安全事件存储模块能够对解密失败的日志进行记录。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (7)

1.一种基于混合架构的安全系统，其特征在于，包括有以太网模块、客户端访问系统、监控采集系统和监控安全防护系统，所述客户端访问系统、监控采集系统和监控安全防护系统与以太网模块之间均通过网络连接，所述监控安全防护系统用于为用户提供安全可靠的安全监控系统，所述客户端访问系统用于对监控安全中心进行访问，所述监控安全防护系统包括有核心交换机模块和用于对监控安全防护系统进行加解密的监控智能安全网关模块，所述监控智能安全网关模块与核心交换机模块连接。

2.根据权利要求1所述的基于混合架构的安全系统，其特征在于，所述监控安全防护系统还包括有监控信息显示模块、端口防护模块、安全事件存储模块和密匙服务器模块，所述监控信息显示模块、端口防护模块、安全事件存储模块和密匙服务器模块均与监控智能安全网关模块连接，所述端口防护模块用于阻断针对监控采集系统的漏洞攻击。

3.根据权利要求1所述的基于混合架构的安全系统，其特征在于，所述核心交换机模块连接有数据审计模块，所述数据审计模块用于对监控信息进行管理并且对监控流量进行统计。

4.根据权利要求1所述的基于混合架构的安全系统，其特征在于，所述监控采集系统包括有交换机模块、若干个监控信息采集模块和若干个监控安全智能盒模块，每个所述监控安全智能盒模块均对应一个监控信息采集模块，所述监控安全智能盒模块和与其对应的监控信息采集模块连接，所述若干个监控信息采集模块均与交换机模块连接。

5.根据权利要求1所述的基于混合架构的安全系统，其特征在于，所述客户端访问系统包括有客户端模块和与客户端模块连接的监控安全防护模块。

6.根据权利要求5所述的基于混合架构的安全系统，其特征在于，所述监控安全防护模块和监控安全智能盒模块均用于实现在公开网络上的安全传输。

7.根据权利要求1所述的基于混合架构的安全系统，其特征在于，所述监控安全防护系统的安全防护步骤为：

S1：用户通过客户端模块能够对监控安全中心进行访问；

S2：监控安全防护系统能够对接入信息采集端的监控数据进行签名认证，防止伪造；

S3：用户通过密匙服务器模块对监控安全防护系统进行解密操作；

当解密成功时，用户能够对监控安全中心进行访问，并且能够对信息采集端进行管理以及对信息采集端流量进行统计；

当解密失败时，端口防护模块能够阻断针对信息采集端和监控安全中心的漏洞攻击以及阻断与监控信息无关端口的访问，并且能够对访问者进行告警，通过安全事件存储模块能够对解密失败的日志进行记录。