CN112448960B

CN112448960B - 一种利用人脸识别技术的内网计算机网络管控系统

Info

Publication number: CN112448960B
Application number: CN202011429364.3A
Authority: CN
Inventors: 宋为; 栗鹏辉; 张博; 高武; 高云海; 左越; 朱宇红; 朱家正; 路志桐; 宁博
Original assignee: State Grid Corp of China SGCC; State Grid Liaoning Electric Power Co Ltd
Current assignee: State Grid Corp of China SGCC; State Grid Liaoning Electric Power Co Ltd
Priority date: 2020-12-09
Filing date: 2020-12-09
Publication date: 2023-04-18
Anticipated expiration: 2040-12-09
Also published as: CN112448960A

Abstract

本发明涉及一种利用人脸识别技术的内网计算机网络管控系统。本系统从内网计算机至数据服务器共分为三层，分别为终端层、防火墙层和服务器层；终端层包含配备了摄像头设备的内网计算机、人脸识别认证服务器及数据链路；防火墙层包含一个或多个防火墙设备，每个终端层部署的小型局域网的下方都配备一台防火墙设备，确保每个内网计算机访问服务器层必须通过防火墙层；所述服务器层包含一个或多个数据服务器，服务器内部存储主要业务数据；本发明通过不断采集操作人员的人脸数据与数据库中的已授权人员人脸数据进行比对，完成对内网计算机连接服务器的控制和管理，适宜作为内网计算机网络管控系统使用。

Description

一种利用人脸识别技术的内网计算机网络管控系统

技术领域

本发明涉及的是网络安全领域的计算机网络管控系统，具体地说是一种利用人脸识别技术的内网计算机网络管控系统。

背景技术

目前，国家电网公司正在加快建设智能电网，几乎所有的电气设备（包括电能表、电气开关等）及计算机系统均已接入国家电网公司内部网络（以下称公司内网），已经可以实现远程操作、管理的功能，大大提升了电力系统的运行及管理效率。但在将计算机系统及各类电气设备接入网络的同时，也给这些系统及设备带来了遭受网络攻击的风险，近几年已有大量电力系统因遭受到网络攻击导致的核电站停电、关键系统信息泄露等案例。国家电网公司各级单位均已实现利用计算机系统完成各类工作，开展各类业务，这些计算机系统已全部接入公司内网。但由于县（区）分公司及供电所一级单位网络安全意识薄弱，防范手段单一，且由这些单位数量庞大，这些单位中的计算机系统也都已经接入公司内网，所以这些单位对计算机系统（以下称内网计算机）管控不到位的情况对于公司内网的网络安全有非常大的威胁。

社会工程学攻击是一类利用“社会工程学”来实施的网络攻击行为。社会工程学是指通过与他人的合法交流来使其心理受到影响，做出某些动作或是透露一些机密信息的方式。这通常被认为是一种欺诈他人以收集信息、行骗和入侵计算机系统的行为。例如，某人前往国家电网公司某营业场所，自称是某电信公司的技术人员，来对内网计算机进行维修，并以此为由进入内网计算机放置一些有破坏性的计算机程序（即计算机病毒），从而完成对公司内网的攻击。

对于社会工程学攻击手段，目前国家电网公司的防范手段还较为单一。例如，目前国家电网公司各营业场所常用的典型验证要求操作内网计算机的人员的身份流程为：1.营业场所查验来访者的身份证件

2.联系上级部门进行确认

3.上级部门查验报备记录

4.上级部门通知营业场所是否准许进入

这种身份验证流程较为繁琐，验证时间较长，且需要工作人员主动联系上级单位，可控性较差，存在因工作人员疏忽而导致漏报的情况，依然存在遭受社会工程学攻击的风险。由此可见，防范此类网络攻击的关键点在于如何迅速、有效的识别正在操作内网计算机的人员身份，从而判断是否准许其继续使用内网计算机。因此，设计一种能对内网计算机操作者实时授权的系统是目前急需解决的问题。

发明内容

为了能够设计一种能对内网计算机操作者实时授权的系统，本发明提出了一种利用人脸识别技术的内网计算机网络管控系统。该内网计算机网络管控系统通过在内网计算机上添加一个摄像头设备，在网络拓扑中架设人脸识别认证服务器，利用人脸识别技术、读取和传输摄像头数据和网络连接控制软件，解决对内网计算机操作者实时授权的技术问题。

本发明解决技术问题所采用的方案是：

本系统从内网计算机至数据服务器共分为三层，分别为终端层、防火墙层和服务器层；

所述终端层包含配备了摄像头设备的内网计算机、人脸识别认证服务器及数据链路；内网计算机上安装网络连接控制和能够读取和传输摄像头图像数据的软件，人脸识别认证服务器上运行人脸识别认证服务程序，内网计算机及人脸识别认证服务器通过数据链路连接到一台交换机上形成一个小型局域网；

所述防火墙层包含一个或多个防火墙设备，每个终端层部署的小型局域网的下方都配备一台防火墙设备，确保每个内网计算机访问服务器层必须通过防火墙层；

所述服务器层包含一个或多个数据服务器，服务器内部存储主要业务数据。

进一步的，所述摄像头设备通过USB接口连接至内网计算机，用于采集内网计算机操作者的人脸图像数据；

所述内网计算机中安装的用于网络连接控制的软件，满足可以接收人脸识别认证服务器的指令；可以由计算机系统管理员和人脸识别认证服务器调整、关闭任一台已安装该软件的内网计算机的网络访问权限；在内网计算机开机时自动开始运行且进程不可被用户自行关闭；

所述内网计算机中安装的用于读取和传输摄像头图像数据的软件，满足可以通过USB接口接收摄像头采集的图像数据；可以保证每分钟10次或10次以上的摄像头图像数据采集频率；当检测到内网计算机连续1分钟以上无人使用时自动将内网计算机锁屏；在每次打开锁屏或开机时，将锁屏或开机操作1分钟内的摄像头图像数据传输到人脸识别认证服务器重新进行认证；在内网计算机开机时自动开始运行且进程不可被用户自行关闭；

所述人脸识别认证服务器上运行的人脸识别认证服务程序，满足服务器启动后自动运行；可存储已经授权过的人脸识别图像数据；可以接收内网计算机传输的人脸图像数据；在接到人脸图像数据后根据存储的数据进行识别、比对，并输出识别结果：识别成功、识别不成功；如果识别成功（即内网计算机操作者是被授权过的），则向内网计算机运行的网络连接控制软件发送授权指令，使得内网计算机可以正常进行网络连接；如果识别不成功，向内网计算机运行的网络连接控制软件发送禁止连接指令，由网络连接控制软件断开该内网计算机的网络连接；

所述小型局域网在终端层可以存在一个或者多个。

积极效果，由于本发明采用了人脸识别技术完成内网计算机操作者身份认证工作，确保了身份信息验证的准确性和有效性；通过建立人脸识别认证服务器，可以将人脸识别认证过程集中到单台服务器上，增加了认证过程的可控性；将人脸图像数据保存在认证服务器上，消除了人脸识别过程放在终端内网计算机上可能会导致的人脸图像数据被篡改的风险；通过人脸识别认证服务器统一授权的方式，确保了未被授权的内网计算机不可连接内部网络，大幅度的减小了内部网络遭受社会工程学攻击的风险；不少于每分钟10次的人脸图像数据采集频率保证了采集信息的时效性，避免了获得授权人员中途离开导致的信息泄露风险，综上，本发明适宜作为一种利用人脸识别技术的内网计算机网络管控系统使用。

附图说明

附图1为利用人脸识别技术的内网计算机网络管控系统整体拓扑结构图；

附图2为利用人脸识别技术的内网计算机网络管控系统认证程序流程图。

具体实施方式

据图1所示，本系统从内网计算机至数据服务器共分为三层，分别为终端层、防火墙层和服务器层；

所述小型局域网在终端层可以存在一个或者多个。

据图2所示，本系统的运行程序流程为：

S1:内网计算机开机之后，网络连接控制软件与读取和传输摄像头图像的软件自动启动；

S2:网络连接控制软件将内网计算机的网络连接状态设置为“禁止连接”；

S3:摄像头开始采集人脸图像数据，采集频率不少于每分钟10次；同时开始持续监听人脸识别服务器发送的指令；

S4:读取和传输摄像头图像的软件将图像数据发送到人脸识别认证服务器，由人脸识别认证服务器根据已经存储的人脸图像数据进行匹配识别；

S5:如果可以成功识别出内网计算机操作者为已有的人脸图像数据中的某一人，跳到S6；否则跳到S7；

S6:向内网计算机的网络连接控制软件发送授权指令，允许其继续连接内网；跳到S8；

S7：向内网计算机的网络连接控制软件发送禁止连接指令，要求网络连接控制软件断开内网计算机的网络连接；

S8：网络连接控制软件接收指令，若收到授权指令，跳到S9；收到禁止连接指令，跳到S10；

S9：网络连接控制软件将连接状态更改为允许连接；跳到S11；

S10：网络连接控制软件将连接状态更改为禁止连接；

S11：返回S3。

本发明的原理：

利用人脸识别技术防范直接利用内网计算机进行的网络攻击行为，具体过程为：系统通过人脸识别结果来判断内网计算机操作者是否具有操作权限，若没有操作权限则直接断开该内网计算机的网络连接；

利用人脸识别认证服务器集中对内网计算机进行授权，具体过程为：内网计算机通过数据链路连接到人脸识别认证服务器，内网计算机配备的摄像头将采集到的人脸图像数据统一发送到人脸识别认证服务器上，由服务器进行识别并根据识别结果向内网计算机发送指令控制内网计算机的网络连接状态。

本发明的优点：由于本发明采用了人脸识别技术完成内网计算机操作者身份认证工作，确保了身份信息验证的准确性和有效性；通过建立人脸识别认证服务器，可以将人脸识别认证过程集中到单台服务器上，增加了认证过程的可控性；将人脸图像数据保存在认证服务器上，消除了人脸识别过程放在终端内网计算机上可能会导致的人脸图像数据被篡改的风险；通过人脸识别认证服务器统一授权的方式，确保了未被授权的内网计算机不可连接内部网络，大幅度的减小了内部网络遭受社会工程学攻击的风险；不少于每分钟10次的人脸图像数据采集频率保证了采集信息的时效性，避免了获得授权人员中途离开导致的信息泄露风险。

最后应说明的是：以上所述仅为本发明的优选实施例而已，并不用于限制本发明，尽管参照前述实施例对本发明进行了详细的说明，对于本领域的技术人员来说，其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换,凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种利用人脸识别技术的内网计算机网络管控系统，其特征是：

系统从内网计算机至数据服务器共分为三层，分别为终端层、防火墙层和服务器层；

所述服务器层包含一个或多个数据服务器，服务器内部存储主要业务数据；

本系统的整体认证程序流程为：

S1：内网计算机开机之后，网络连接控制软件与读取和传输摄像头图像的软件自动启动；

S2：网络连接控制软件将内网计算机的网络连接状态设置为“禁止连接”；

S3：摄像头开始采集人脸图像数据，采集频率不少于每分钟10次；同时开始持续监听人脸识别服务器发送的指令；

S4：读取和传输摄像头图像的软件将图像数据发送到人脸识别认证服务器，由人脸识别认证服务器根据已经存储的人脸图像数据进行匹配识别；

S5：如果可以成功识别出内网计算机操作者为已有的人脸图像数据中的某一人，跳到S6；否则跳到S7；

S6：向内网计算机的网络连接控制软件发送授权指令，允许其继续连接内网；跳到S8；

S10：网络连接控制软件将连接状态更改为禁止连接；

S11：返回S3。

2.根据权利要求1所述的一种利用人脸识别技术的内网计算机网络管控系统其特征在于：

所述摄像头设备通过USB接口连接至内网计算机，用于采集内网计算机操作者的人脸图像数据。

3.根据权利要求1所述的一种利用人脸识别技术的内网计算机网络管控系统其特征在于：

所述内网计算机中安装的用于网络连接控制的软件，满足可以接收人脸识别认证服务器的指令；可以由计算机系统管理员和人脸识别认证服务器调整、关闭任一台已安装该软件的内网计算机的网络访问权限；在内网计算机开机时自动开始运行且进程不可被用户自行关闭。

4.根据权利要求1所述的一种利用人脸识别技术的内网计算机网络管控系统其特征在于：

所述内网计算机中安装的用于读取和传输摄像头图像数据的软件，满足可以通过USB接口接收摄像头采集的图像数据；可以保证每分钟10次或10次以上的摄像头图像数据采集频率；当检测到内网计算机连续1分钟以上无人使用时自动将内网计算机锁屏；在每次打开锁屏或开机时，将锁屏或开机操作1分钟内的摄像头图像数据传输到人脸识别认证服务器重新进行认证；在内网计算机开机时自动开始运行且进程不可被用户自行关闭。

5.根据权利要求1所述的一种利用人脸识别技术的内网计算机网络管控系统其特征在于：

所述人脸识别认证服务器上运行的人脸识别认证服务程序，满足服务器启动后自动运行；可存储已经授权过的人脸识别图像数据；可以接收内网计算机传输的人脸图像数据；在接到人脸图像数据后根据存储的数据进行识别、比对，并输出识别结果：识别成功、识别不成功；如果识别成功（即内网计算机操作者是被授权过的），则向内网计算机运行的网络连接控制软件发送授权指令，使得内网计算机可以正常进行网络连接；如果识别不成功，向内网计算机运行的网络连接控制软件发送禁止连接指令，由网络连接控制软件断开该内网计算机的网络连接。

6.根据权利要求1所述的一种利用人脸识别技术的内网计算机网络管控系统其特征在于：

所述小型局域网在终端层可以存在一个或者多个。