CN114553577B - 一种基于多主机双隔离保密架构的网络交互系统及方法 - Google Patents

一种基于多主机双隔离保密架构的网络交互系统及方法 Download PDF

Info

Publication number
CN114553577B
CN114553577B CN202210189493.2A CN202210189493A CN114553577B CN 114553577 B CN114553577 B CN 114553577B CN 202210189493 A CN202210189493 A CN 202210189493A CN 114553577 B CN114553577 B CN 114553577B
Authority
CN
China
Prior art keywords
isolation
network
protocol
data
security
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202210189493.2A
Other languages
English (en)
Other versions
CN114553577A (zh
Inventor
殷水军
刘翼
张爱丽
王正
刘海峰
伍启炎
张祖平
陈义涛
余和舟
龚智
戴宗昊
姜凌
林飞
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
722th Research Institute of CSIC
Original Assignee
722th Research Institute of CSIC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 722th Research Institute of CSIC filed Critical 722th Research Institute of CSIC
Priority to CN202210189493.2A priority Critical patent/CN114553577B/zh
Publication of CN114553577A publication Critical patent/CN114553577A/zh
Application granted granted Critical
Publication of CN114553577B publication Critical patent/CN114553577B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/18—Multiprotocol handlers, e.g. single devices capable of handling multiple protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H04L9/16—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms the keys or algorithms being changed during operation

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

本发明提供一种基于多主机双隔离保密架构的网络交互系统，系统包括第一安全隔离单元、密码运算单元、管理控制单元和第二安全隔离单元；第一安全隔离单元接收由第一网络终端发送的第一IP密文数据，将第一IP密文数据封装成密文数据；将合法的密文数据流转至管理控制单元；管理控制单元对合法的密文数据封装成第二IP密文数据；调用密码运算单元对第二IP密文数据进行解密形成第一IP明文数据；将第一IP明文数据封装成明文数据；第二安全隔离单元对合法的明文数封装成第二IP明文数据；将第二IP明文数据经业务通道发送至第二网络终端。该方法采用安全保密一体化架构，实现多种网络横、纵向隔离，以及不同安全等级网络的密码运算资源隔离运行的功能。

Description

一种基于多主机双隔离保密架构的网络交互系统及方法
技术领域
本发明属于网络互联与安全保密技术领域，具体涉及一种基于多主机双隔离保密架构的网络交互系统及方法。
背景技术
随着云计算、虚拟化技术的广泛应用，不少企业建设自己的私有云，在私有云中部署云办公平台，通过有线专线、移动通信等通信手段访问云办公平台，在安全可靠的专线通信外，补充移动办公方式，可以更快捷，优化办公条件。利用移动通信手段访问私有云上的办公平台，是目前移动办公常见的方式，但由于移动通信环境开放，易暴露，容易被攻击，因此一般企业在选择移动办公时，会选择加密传输，确保移动办公软件至办公平台的传输数据的机密性、完整性，同时将移动办公网和有线专线办公网进行不同安全等级的安全域划分，有线专线网因其物理安全，可办理更高级别的业务，会选择与移动办公网不同的加密算法。但是，移动办公网和有线办公专网两个不同安全等级的网络需要访问同一数据中心的云平台系统，涉及数据中心内网与办公外网互联安全、移动办公网和有线专线办公网两个不同安全等级的网络互联安全、不同安全等级加密资源隔离安全等问题。
目前，为了实现移动办公网和有线专线办公网访问同一云办公平台，有两类安全解决方案，一是采用物理隔离的方式，建设移动办公和有线专线网两个独立访问云平台的通道，并在每个通道中部署安全及密码防护设备，实现独立访问，该方案的不足在于安全及密码设备类型多、利用率低，维护困难，无法实现统一管理；二是部署网络防火墙，实现云平台、有线专线网、移动办公网安全域划分，该方案的不足在于安全域划分属于逻辑隔离，安全性不足，同时不同域的加密设备仍需配置多套。
发明内容
针对现有移动办公网和有线专线网两类不同安全等级的网络访问数据中心同一办公平台安全保密防护方案缺陷，该发明的目的在于提供一种多主机双隔离安全保密一体化架构实现方法。该方法采用“4+2”系统架构的安全保密一体化架构，即“内网控制(第二网络隔离)+主控+密码运算+安全域隔离(第一网络隔离)”4单元，“内网隔离+分域隔离”双隔离，通过该方法研制的一型设备，就可防护内网与外网之间的渗透攻击、实现设备内部密码运算资源与外部网络(内网、外网)纵向隔离、外网(有线专线网、移动办公网)通道横向隔离、内部不同安全等级和类型网络的密码运算资源隔离运行及保密存储等功能，此外，该架构涉及网络隔离、协议隔离、服务通道隔离、协议解析处理软件隔离、密码运算隔离、资源存储隔离、网络安全防护等模块，实现安全保密功能一体化设计。
为实现上述目的，按照本发明第一方面，提供一种基于多主机双隔离保密架构的网络交互系统，所述系统包括第一安全隔离单元、密码运算单元、管理控制单元和第二安全隔离单元；
所述第一安全隔离单元用于通过访问通道接收由第一网络终端发送的第一IP密文数据，对所述第一IP密文数据进行安全检测；以及对所述第一IP密文数据的IP协议进行卸载，并根据第一网络隔离协议重新封装形成密文数据；以及对所述密文数据进行认证，将合法的密文数据交换流转至所述管理控制单元；
所述管理控制单元用于对所述合法的密文数据的第一网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP密文数据；以及调用所述密码运算单元对所述第二IP密文数据进行解密形成第一IP明文数据；以及对所述第一IP明文数据的IP协议进行卸载，根据第二网络隔离协议重新封装形成明文数据；
所述密码运算单元用于被调用对相应的IP数据进行解密或者加密；
所述第二安全隔离单元用于对所述明文数据进行认证，保留合法的明文数据；以及对所述合法的明文数据的第二网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP明文数据；以及对所述第二IP明文数据进行安全检测，将通过安全检测的第二IP明文数据经业务通道发送至第二网络终端。
进一步地，所述第一安全隔离单元还包括多个第一防护主机模块、以及与所述第一防护主机模块连接的多个第一隔离模块；
所述第一防护主机模块与一访问通道连接，用于接收所述第一IP密文数据，并对所述第一IP密文数据包括以下至少之一的内容进行安全检测管理：抗DDOS攻击、访问控制、协议格式检查、入侵检测和应用层保护；以及对所述第一IP密文数据的IP协议进行卸载，并根据第一网络隔离协议重新封装形成密文数据；
所述第一隔离模块用于对所述密文数据进行认证，将合法的密文数据交换流转至所述管理控制单元。
进一步地，所述第二安全隔离单元还包括第二隔离模块、以及与所述第二隔离模块连接的第二防护主机模块；
所述第二隔离模块与所述管理控制单元连接，对所述明文数据进行认证，保留合法的明文数据；
所述第二防护主机模块与至少一业务通道连接，用于对所述合法的明文数据的第二网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP明文数据；以及对所述数据交换后的合法数据包括以下至少之一的内容进行安全检测管理：抗DDOS攻击、访问控制、协议格式检查、入侵检测和应用层保护，并将通过安全检测的第二IP明文数据经业务通道发送至第二网络终端。
进一步地，所述密码运算单元包括多个密码运算模块，所述管理控制单元包括多个协议处理模块，所述协议处理模块与至少一密码运算模块连接；其中，
所述协议处理模块用于对所述合法的密文数据的第一网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP密文数据；以及调用至少一密码运算模块对所述第二IP密文数据进行解密形成第一IP明文数据；以及对所述第一IP明文数据的IP协议进行卸载，根据第二网络隔离协议重新封装形成明文数据；
所述密码运算模块用于对所述第二IP密文数据进行解密运算形成第一IP明文数据，并将所述第一IP明文数据返回至协议处理模块。
进一步地，所述第一安全隔离单元包括多个访问通道，所述多个访问通道分别与不同网络类型和/或网络安全级别的第一网络终端连接。
进一步地，所述第一网络隔离协议和第二网络隔离协议为自定义的网络协议，所述第一网络隔离协议与第二网络隔离协议可以相同或者不同。
进一步地，根据所述访问通道所连接的第一网络终端的网络类型和/或网络安全级别来设定所述密码运算单元的算法逻辑程序。
进一步地，所述网络类型为有线网络或者无线网络。
进一步地，所述第二安全隔离单元包括至少一个业务通道。
按照本发明第二方面，提供一种基于多主机双隔离保密架构的网络交互方法，所述方法包括：
通过访问通道接收由第一网络终端发送的第一IP密文数据对所述第一IP密文数据进行安全检测；
对所述第一IP密文数据的IP协议进行卸载，并根据第一网络隔离协议重新封装形成密文数据；
对所述密文数据进行认证，将合法的密文数据进行交换流转；
对所述合法的密文数据的第一网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP密文数据；
对所述第二IP密文数据进行解密形成第一IP明文数据；
对所述第一IP明文数据的IP协议进行卸载，根据第二网络隔离协议重新封装形成明文数据；
对所述明文数据进行认证，保留合法的明文数据；
对所述合法的明文数据的第二网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP明文数据；
对所述第二IP明文数据进行安全检测，将通过安全检测的第二IP明文数据经业务通道发送至第二网络终端。
总体而言，通过本发明所构思的以上技术方案与现有技术相比，具有以下有益效果：
1)本发明提供一种基于多主机双隔离保密架构的网络交互系统及方法，该方法具有减型增效优势，通过该方法可以通过一型设备实现防火墙、网络隔离、密码设备、入侵检测、态势平台5型设备功能。
2)本发明提供一种基于多主机双隔离保密架构的网络交互系统及方法，该系统具有安全保密一体化优势，该系统可以通过一台设备实现数据中心内网与办公外网纵向隔离、移动办公网和有线专线网横向隔离，同时，针对不同安全等级的区域配置两套加密算法，并实现两套算法运算环境隔离，实现一台设备安全保密功能一体化设计。
3)本发明提供一种基于多主机双隔离保密架构的网络交互系统及方法，该系统具有安全增强优势，该系统在实现数据中心内网、移动办公网、有线专线网纵向与横向隔离基础上，采用主机防护系统，实现入侵检测、明密文协议检查、访问控制、防病毒等功能，防止纵向与横向相互渗透。
附图说明
图1为按照本发明实现的一种基于多主机双隔离保密架构的网络交互系统的结构示意图；
图2为按照本发明实现的一种基于多主机双隔离保密架构的网络交互方法的流程图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。此外，下面所描述的本发明各个实施方式中所涉及到的技术特征只要彼此之间未构成冲突就可以相互组合。
本领域的技术人员容易理解，以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。
需要说明的是，本发明涉及的术语“第一\第二”仅仅是区别类似的对象，不代表针对对象的特定排序，可以理解地，“第一\第二”在允许的情况下可以互换特定的顺序或先后次序。应该理解“第一\第二”区分的对象在适当情况下可以互换，以使这里描述的本发明的实施例能够以除了在这里描述或图示的那些以外的顺序实施。
针对现有针对不同安全等级和网络类型的网络访问数据中心同一办公平台安全保密防护方案缺陷，该发明的目的在于提供一种多主机双隔离安全保密一体化架构实现系统和方法，该架构涉及网络隔离、协议隔离、服务通道隔离、协议解析处理软件隔离、密码运算隔离、资源存储隔离、网络安全防护等功能，可实现安全保密功能一体化设计。用户可以通过5G、有线网络等通信手段，访问数据中心办公平台为例，交互数据在多主机双隔离安全保密一体化架构下安全流转。
根据一种具体的实施方式，如图1所示，本发明提供一种基于多主机双隔离保密架构的网络交互系统，该系统包括第一安全隔离单元、密码运算单元、管理控制单元和第二安全隔离单元；
具体地，所述第一安全隔离单元用于通过访问通道接收由第一网络终端发送的第一IP密文数据对所述第一IP密文数据进行安全检测；以及对所述第一IP密文数据的IP协议进行卸载，并根据第一网络隔离协议重新封装形成密文数据；以及对所述密文数据进行认证，将合法的密文数据交换流转至所述管理控制单元；所述管理控制单元用于对所述合法的密文数据的第一网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP密文数据；以及调用所述密码运算单元对所述第二IP密文数据进行解密形成第一IP明文数据；以及对所述第一IP明文数据的IP协议进行卸载，重新封装第二网络隔离协议形成明文数据；所述密码运算单元用于被调用对相应的IP数据进行解密或者加密；所述第二安全隔离单元用于对所述明文数据进行认证，保留合法的明文数据；以及对所述合法的明文数据的第二网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP明文数据；以及对所述第二IP明文数据进行安全检测，将通过安全检测的第二IP明文数据经业务通道发送至第二网络终端。
具体地，密码运算单元可以同时用于加密和解密功能。
更具体地，第一安全隔离单元包括多个访问通道，第二安全隔离单元包括至少一个业务通道。
更具体地，所述多个访问通道分别与不同网络类型和/或网络安全级别的第一网络终端连接。
更具体地，所述第一网络隔离协议和第二网络隔离协议为自定义的网络协议，所述第一网络隔离协议与第二网络隔离协议可以相同或者不同。可以根据所述访问通道所连接的第一网络终端的网络类型和/或网络安全级别来设定所述第一网络隔离协议和第二网络隔离协议。
具体地，所述第一安全隔离单元还包括多个第一防护主机模块、以及与所述第一防护主机模块连接的多个第一隔离模块；所述第一防护主机模块与一访问通道连接，用于接收所述第一IP密文数据并对所述第一IP密文数据包括以下至少之一的内容进行安全检测管理：抗DDOS攻击、访问控制、协议格式检查、入侵检测和应用层保护；以及对所述第一IP密文数据的IP协议进行卸载，并根据第一网络隔离协议重新封装形成密文数据；所述第一隔离模块用于对所述密文数据进行认证，将合法的密文数据交换流转至所述管理控制单元。
更具体地，用户通过5G通信终端办公软件或者专线办公网，通过访问通道发起对办公平台的访问请求，访问请求数据采用移动办公专用算法进行加密；访问请求密文数据通过访问通道进入第一防护主机模块，由第一防护主机模块进行访问请求第一IP密文数据的安全检测，防止攻击者通过5G通信网或者有线网络对数据中心进行跨网渗透；第一防护主机模块将安全检测后的第一IP密文数据的IP协议进行卸载，并根据第一网络隔离协议重新封装形成密文数据，流转至第一隔离模块，由第一隔离模块对流转过来的密文数据进行认证对合法的密文数据交换流转至所述管理控制单元。第一安全隔离单元通过5G通信网或者有线网络与内网的网络隔离与数据安全交换，实现访问控制、网络隔离(即内网与移动办公网隔离或者内网与有线专线办公网隔离)、数据防泄露等安全功能。第一网络隔离协议为自定义的网络协议。
更具体地，第一防护主机模块可以优选为安全防护主机系统，第一隔离模块优选为分域隔离部件。
更具体地，第一IP密文数据、第二IP密文数据、第一IP明文数据以及第二IP明文数据均为标准的IP数据。
更具体地，第一安全隔离单元主要负责与办公网安全互联，包括第一防护主机模块、第一隔离模块和第一主控模块。其中，第一防护主机模块用于网络安全防护、常规协议解析、应用层协议代理、专用安全隔离协议封解装；第一隔离模块用于办公网与密码运算单元、管理控制单元的隔离，同时进行专用安全隔离协议安全检测；第一主控模块用于对第一隔离模块控制、安全策略下发及日志信息收集，并传递给管理控制单元，由管理控制单元集中管理。第一隔离模块满足移动办公网和有线专线网同时接入，涉及不同安全等级的密文信息处理，因此设计两路分域隔离，满足本架构密码运算单元、管理控制单元与办公网纵向隔离，同时，对移动办公网和有线专线网横向通道隔离。
具体地，所述密码运算单元包括多个密码运算模块，所述管理控制单元包括多个协议处理模块，所述协议处理模块与至少一密码运算模块连接；其中，所述协议处理模块用于对所述合法的密文数据的第一网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP密文数据；以及调用至少一密码运算模块对所述第二IP密文数据进行解密形成第一IP明文数据；以及对所述第一IP明文数据的IP协议进行卸载，重新封装第二网络隔离协议形成明文数据；所述密码运算模块用于对所述第二IP密文数据进行解密运算形成第一IP明文数据，并将所述第一IP明文数据返回至协议处理模块。
更具体地，第一隔离模块将安全交换的密文数据流转至协议处理模块，由协议处理模块对所述合法的密文数据的第一网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP密文数据；再调用密码运算模块，由密码运算模块实现访问请求密文数据的解密运算，并向协议处理模块返回访问请求明文数据。
更具体地，管理控制单元还包括安全处理模块，上述多个协议处理模块均与安全处理模块连接，安全处理模块对IP数据进行明文检测，将合法数据交换流转至第二安全隔离单元。
更具体地，密码运算模块优选为密码运算卡。
更具体地，如图1和图2所示，管理控制单元主要用于专用安全隔离协议解析及封装、本机配置管理、运行控制、资源管理中心、算法调用、安全保密态势呈现等，管理控制单元为整个架构的管理运行主单元，功能包括密码资源接收、存储，设备注入、认证等应用处理。
更具体地，如图1和图2所示，密码运算模块为用于密码运算的部件，可分为两类不同的密码运算卡，部署不同的密码算法及资源。密码运算模块可实现密码算法引擎运行与调度、密码算法逻辑实现、加解密服务。
具体地，所述第二安全隔离单元还包括第二隔离模块、以及与所述第二隔离模块连接的第二防护主机模块；所述第二隔离模块与所述管理控制单元连接，对所述明文数据进行认证，保留合法的明文数据；所述第二防护主机模块与至少一业务通道连接，用于对所述合法的明文数据的第二网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP明文数据；以及对所述数据交换后的合法数据包括以下至少之一的内容进行安全检测管理：抗DDOS攻击、访问控制、协议格式检查、入侵检测和应用层保护，并将通过安全检测的第二IP明文数据经业务通道发送至第二网络终端。
更具体地，合法数据流转至第二隔离模块，由第二隔离模块进行IP数据与内网的网络隔离与数据安全交换，实现访问控制、网络隔离、数据防泄露等安全功能。第二隔离模块将安全交换的明文数据流转至第二防护主机模块，由其将合法的数据流转至内网，进而由内网流转至办公平台。
更具体地，第二隔离模块优选为内网隔离部件，第二防护主机模块优选为内网防护主机系统。
更具体地，如图1和图2所示，第二安全隔离单元由第二防护主机、第二隔离模块和第二主控模块组成。第二防护主机对外通过内网业务通道与数据中心内网互联，完成内网接口数据处理、访问控制、数据检测、应用代理、专用安全隔离协议封装与解析等功能，对内与第二隔离模块连接；第二隔离模块负责网络隔离与数据安全交换，对内与管理控制单元的安全处理模块；其中，第二主控模块为管理模块，负责第二防护主机和第二隔离模块管理。
根据另一种具体的实施方式，本发明提供一种基于多主机双隔离保密架构的网络交互方法，保护机制如图2所示，该方法包括：
S1：通过访问通道接收由第一网络终端发送的第一IP密文数据对所述第一IP密文数据进行安全检测；
S2：对所述第一IP密文数据的IP协议进行卸载，并根据第一网络隔离协议重新封装形成密文数据；
S3：对所述密文数据进行认证，将合法的密文数据进行流转；
S4：对所述合法的密文数据的第一网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP密文数据；
S5：对所述第二IP密文数据进行解密形成第一IP明文数据；
S6：对所述第一IP明文数据的IP协议进行卸载，重新封装第二网络隔离协议形成明文数据；
S7：对所述明文数据进行认证，保留合法的明文数据；
S8：对所述合法的明文数据的第二网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP明文数据；
S9：对所述第二IP明文数据进行安全检测，将通过安全检测的第二IP明文数据经业务通道发送至第二网络终端。
具体地，步骤S1包括：接收密文数据，并对第一IP密文数据包括以下至少之一的内容进行安全检测管理：抗DDOS攻击、访问控制、协议格式检查、入侵检测和应用层保护；
更具体地，步骤S1包括：移动办公网用户通过无线通信(例如5G、卫星等)或者有线办公用户通过有线网络将密文数据传输至本方法实现的系统，通过访问通道进入设备；第一防护主机模块对密文数据进行抗DDOS攻击检测、基于策略规则的访问控制、基于密文协议格式的检查、入侵检测等防止办公网攻击者渗透；
具体地，步骤S2包括：启用专用应用代理服务，对允许访问的请求信息进行专用安全隔离协议封装与解析，将封装数据流转至第一隔离模块；
具体地，步骤S3包括：第一隔离模块只允许被封装成专用安全隔离协议后的数据通过，将通过数据流转至管理控制单元；
具体地，步骤S4～S6包括：管理控制单元采用至少两个独立的协议处理软件容器，由协议处理模块负责处理至少一个第一隔离模块流转过来的数据，对数据解析并还原成IP数据，协议处理模块调用至少一个独立的密码运算模块，采用第一隔离模块配套算法，实现密文数据解密成明文数据，协议处理模块将明文数据封装为专用安全隔离协议，将封装后数据流转至第二隔离模块。
具体地，步骤S7包括：第二隔离模块只允许被封装成专用安全隔离协议后的数据通过，将通过数据流转至内网防护主机系统；
具体地，步骤S8包括：第二防护主机对接收的专用安全隔离协议数据进行解析并封装成标准IP数据；
具体地，步骤S9包括：对明文数据进行抗DDOS攻击检测、基于策略规则的访问控制、基于密文协议格式的检查、入侵检测等防止办公网攻击者渗透，并启用专用应用代理服务。将经过检测后的数据通过业务通道流转至内网，再由内网路由至云办公平台。
在多主机双隔离安全保密一体化架构安全保密防护机制中，由步骤S2、S6实现数据中心内网与办公外网纵向隔离；由步骤S1、S2、S3实现不同第一网络的横向隔离；由步骤S4和S5实现不同安全等级网络配套不同算法，实现算法运算环境隔离；由步骤S1和S9实现安全防护增强。
根据一种更具体地实施方式，本发明提供一种基于多主机双隔离保密架构的网络交互系统，该系统包括第一安全隔离单元、密码运算单元、管理控制单元和第二安全隔离单元；其中，第一安全隔离单元包括二个访问通道，第一防护主机模块包括两个第一防护主机模块和两个第一隔离模块，管理控制单元包括两个独立的协议处理模块，密码运算单元包括两个独立的密码运算模块，具体运行机制如下：
更具体地，移动办公网用户通过无线通信(例如5G、卫星等)将第一IP密文数据传输至本方法实现的系统，通过访问通道A进入系统；第一防护主机模块A对密文数据进行抗DDOS攻击检测、基于策略规则的访问控制、基于密文协议格式的检查、入侵检测等防止办公网攻击者渗透，并启用专用应用代理服务，对允许访问的请求信息进行专用安全隔离协议封装与解析，对所述第一IP密文数据的IP协议进行卸载，并根据第一网络隔离协议重新封装形成密文数据；将封装密文数据流转至第一隔离模块A；第一隔离模块A只允许被封装成第一网络隔离协议(专用安全隔离协议)后的密文数据通过，将通过数据流转至管理控制单元；由协议处理模块A负责处理第一隔离模块A流转过来的数据，对数据解析并还原成第二IP密文数据，协议处理模块A调用密码运算模块A，采用第一隔离模块A配套算法，实现密文数据解密成第一IP明文数据，协议处理模块A所述第一IP明文数据的IP协议进行卸载，重新封装第二网络隔离协议(专用安全隔离协议)形成明文数据，将封装后明文数据流转至第二隔离模块。第二隔离模块对所述明文数据进行认证，保留合法的明文数据；对所述合法的明文数据的第二网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP明文数据；对所述第二IP明文数据进行安全检测，将通过安全检测的第二IP明文数据经业务通道发送至第二网络终端。有线专线网用户将第一IP密文数据传输至本方法实现的系统，通过访问通道B进入系统；第一防护主机模块B对密文数据进行抗DDOS攻击检测、基于策略规则的访问控制、基于密文协议格式的检查、入侵检测等防止办公网攻击者渗透，并启用专用应用代理服务，对允许访问的请求信息进行专用安全隔离协议封装与解析，对所述第一IP密文数据的IP协议进行卸载，并根据第一网络隔离协议重新封装形成密文数据；将封装密文数据流转至第一隔离模块B；第一隔离模块B只允许被封装成第一网络隔离协议(专用安全隔离协议)后的密文数据通过，将通过数据流转至管理控制单元；由协议处理模块B负责处理第一隔离模块B流转过来的数据，对数据解析并还原成第二IP密文数据协议处理模块B调用密码运算模块B，采用第一隔离模块B配套算法，实现密文数据解密成第一IP明文数据，协议处理模块B所述第一IP明文数据的IP协议进行卸载，重新封装第二网络隔离协议(专用安全隔离协议)形成明文数据，将封装后明文数据流转至第二隔离模块。第二隔离模块对所述明文数据进行认证，保留合法的明文数据；对所述合法的明文数据的第二网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP明文数据；对所述第二IP明文数据进行安全检测，将通过安全检测的第二IP明文数据经业务通道发送至第二网络终端。
根据本发明另一种具体地实施方式，提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如上所述方法的步骤。
根据本发明另一种具体地实施方式，提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如上所述方法的步骤。
应当理解，本发明的方法、流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现特定逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本发明的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。
应当理解，本发明的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实施方式中，多个步骤或方法可以用存储在存储器中且由合适的指令执行系统执行的软件或固件来实现。例如，如果用硬件来实现，和在另一实施方式中一样，可用本领域公知的下列技术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列(PGA)，现场可编程门阵列(FPGA)等。
本技术领域的普通技术人员可以理解实现上述实施例方法携带的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，该程序在执行时，包括方法实施例的步骤之一或其组合。
此外，在本发明各个实施例中的各功能单元可以集成在一个处理模块中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。
上述提到的存储介质可以是只读存储器，磁盘或光盘等。
尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在不脱离本发明的原理和宗旨的情况下在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。本发明的范围由所附权利要求及其等同限定。

Claims (10)

1.一种基于多主机双隔离保密架构的网络交互系统，其特征在于，所述系统包括第一安全隔离单元、密码运算单元、管理控制单元和第二安全隔离单元；
所述第一安全隔离单元用于通过访问通道接收由第一网络终端发送的第一IP密文数据，对所述第一IP密文数据进行安全检测；以及对所述第一IP密文数据的IP协议进行卸载，并根据第一网络隔离协议重新封装形成密文数据；以及对所述密文数据进行认证，将合法的密文数据交换流转至所述管理控制单元；
所述管理控制单元用于对所述合法的密文数据的第一网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP密文数据；以及调用所述密码运算单元对所述第二IP密文数据进行解密形成第一IP明文数据；以及对所述第一IP明文数据的IP协议进行卸载，根据第二网络隔离协议重新封装形成明文数据；
所述密码运算单元用于被调用对相应的IP数据进行解密或者加密；
所述第二安全隔离单元用于对所述明文数据进行认证，保留合法的明文数据；以及对所述合法的明文数据的第二网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP明文数据；以及对所述第二IP明文数据进行安全检测，将通过安全检测的第二IP明文数据经业务通道发送至第二网络终端。
2.根据权利要求1所述的基于多主机双隔离保密架构的网络交互系统，其特征在于，所述第一安全隔离单元还包括多个第一防护主机模块、以及与所述第一防护主机模块连接的多个第一隔离模块；
所述第一防护主机模块与一访问通道连接，用于接收所述第一IP密文数据，并对所述第一IP密文数据包括以下至少之一的内容进行安全检测管理：抗DDOS攻击、访问控制、协议格式检查、入侵检测和应用层保护；以及对所述第一IP密文数据的IP协议进行卸载，并根据第一网络隔离协议重新封装形成密文数据；
所述第一隔离模块用于对所述密文数据进行认证，将合法的密文数据交换流转至所述管理控制单元。
3.根据权利要求1所述的基于多主机双隔离保密架构的网络交互系统，其特征在于，所述第二安全隔离单元还包括第二隔离模块、以及与所述第二隔离模块连接的第二防护主机模块；
所述第二隔离模块与所述管理控制单元连接，对所述明文数据进行认证，保留合法的明文数据；
所述第二防护主机模块与至少一业务通道连接，用于对所述合法的明文数据的第二网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP明文数据；以及对所述数据交换后的合法数据包括以下至少之一的内容进行安全检测管理：抗DDOS攻击、访问控制、协议格式检查、入侵检测和应用层保护，并将通过安全检测的第二IP明文数据经业务通道发送至第二网络终端。
4.根据权利要求1所述的基于多主机双隔离保密架构的网络交互系统，其特征在于，所述密码运算单元包括多个密码运算模块，所述管理控制单元包括多个协议处理模块，所述协议处理模块与至少一密码运算模块连接；其中，
所述协议处理模块用于对所述合法的密文数据的第一网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP密文数据；以及调用至少一密码运算模块对所述第二IP密文数据进行解密形成第一IP明文数据；以及对所述第一IP明文数据的IP协议进行卸载，根据第二网络隔离协议重新封装形成明文数据；
所述密码运算模块用于对所述第二IP密文数据进行解密运算形成第一IP明文数据，并将所述第一IP明文数据返回至协议处理模块。
5.根据权利要求1所述的基于多主机双隔离保密架构的网络交互系统，其特征在于，所述第一安全隔离单元包括多个访问通道，所述多个访问通道分别与不同网络类型和/或网络安全级别的第一网络终端连接。
6.根据权利要求1或5所述的基于多主机双隔离保密架构的网络交互系统，其特征在于，所述第一网络隔离协议和第二网络隔离协议为自定义的网络协议，所述第一网络隔离协议与第二网络隔离协议相同或者不同。
7.根据权利要求6所述的基于多主机双隔离保密架构的网络交互系统，其特征在于，根据所述访问通道所连接的第一网络终端的网络类型和/或网络安全级别来设定所述密码运算单元的算法逻辑程序。
8.根据权利要求5所述的基于多主机双隔离保密架构的网络交互系统，其特征在于，所述网络类型为有线网络或者无线网络。
9.根据权利要求1所述的基于多主机双隔离保密架构的网络交互系统，其特征在于，所述第二安全隔离单元包括至少一个业务通道。
10.一种基于多主机双隔离保密架构的网络交互方法，其特征在于，所述方法包括：
通过访问通道接收由第一网络终端发送的第一IP密文数据对所述第一IP密文数据进行安全检测；
对所述第一IP密文数据的IP协议进行卸载，并根据第一网络隔离协议重新封装形成密文数据；
对所述密文数据进行认证，将合法的密文数据进行交换流转；
对所述合法的密文数据的第一网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP密文数据；
对所述第二IP密文数据进行解密形成第一IP明文数据；
对所述第一IP明文数据的IP协议进行卸载，根据第二网络隔离协议重新封装形成明文数据；
对所述明文数据进行认证，保留合法的明文数据；
对所述合法的明文数据的第二网络隔离协议进行卸载，并根据IP协议重新封装形成第二IP明文数据；
对所述第二IP明文数据进行安全检测，将通过安全检测的第二IP明文数据经业务通道发送至第二网络终端。
CN202210189493.2A 2022-02-28 2022-02-28 一种基于多主机双隔离保密架构的网络交互系统及方法 Active CN114553577B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210189493.2A CN114553577B (zh) 2022-02-28 2022-02-28 一种基于多主机双隔离保密架构的网络交互系统及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210189493.2A CN114553577B (zh) 2022-02-28 2022-02-28 一种基于多主机双隔离保密架构的网络交互系统及方法

Publications (2)

Publication Number Publication Date
CN114553577A CN114553577A (zh) 2022-05-27
CN114553577B true CN114553577B (zh) 2023-09-26

Family

ID=81662472

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210189493.2A Active CN114553577B (zh) 2022-02-28 2022-02-28 一种基于多主机双隔离保密架构的网络交互系统及方法

Country Status (1)

Country Link
CN (1) CN114553577B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117560224B (zh) * 2024-01-08 2024-04-26 深圳高新区信息网有限公司 一种密码治理系统和方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102984170A (zh) * 2012-12-11 2013-03-20 清华大学 一种工业控制网络安全过滤系统及方法
CN103812861A (zh) * 2014-01-20 2014-05-21 广东电网公司电力科学研究院 Ipsec vpn设备及其隔离方法与系统
CN104363231A (zh) * 2014-11-17 2015-02-18 北京锐驰信安技术有限公司 一种基于单向通道的网络安全隔离与信息交换方法及系统
CN105656883A (zh) * 2015-12-25 2016-06-08 冶金自动化研究设计院 一种适用于工控网络的单向传输内外网安全隔离网闸
CN112887267A (zh) * 2021-01-05 2021-06-01 天津七所精密机电技术有限公司 一种具有报文认证功能的网络隔离系统及其方法

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8774213B2 (en) * 2011-03-30 2014-07-08 Amazon Technologies, Inc. Frameworks and interfaces for offload device-based packet processing

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102984170A (zh) * 2012-12-11 2013-03-20 清华大学 一种工业控制网络安全过滤系统及方法
CN103812861A (zh) * 2014-01-20 2014-05-21 广东电网公司电力科学研究院 Ipsec vpn设备及其隔离方法与系统
CN104363231A (zh) * 2014-11-17 2015-02-18 北京锐驰信安技术有限公司 一种基于单向通道的网络安全隔离与信息交换方法及系统
CN105656883A (zh) * 2015-12-25 2016-06-08 冶金自动化研究设计院 一种适用于工控网络的单向传输内外网安全隔离网闸
CN112887267A (zh) * 2021-01-05 2021-06-01 天津七所精密机电技术有限公司 一种具有报文认证功能的网络隔离系统及其方法

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
内外网络切换与隔离技术应用研究;李瑞;;数字技术与应用(12);第84-85页 *
医院内外网互联的网络化平台设计;尉雯雯;赵浩宇;;电脑知识与技术(25);第43-44页 *
基于网络隔离技术的信息资源共享方案研究;敖麟钦;陈卓;;软件导刊(06);第166-170页 *
铁路信号集中监测系统安全隔离机制研究;任小东;张永丽;牛旭龙;;铁道通信信号(03);第27-29页 *

Also Published As

Publication number Publication date
CN114553577A (zh) 2022-05-27

Similar Documents

Publication Publication Date Title
US10009325B1 (en) End-to-end communication security
CN107750441B (zh) 安全动态通讯网络及协定
US8443190B2 (en) Method for securing a two-way communications channel and device for implementing said method
US10095634B2 (en) In-vehicle network (IVN) device and method for operating an IVN device
US11743297B2 (en) Systems and methods for providing network security using a secure digital device
US7051365B1 (en) Method and apparatus for a distributed firewall
US7624434B2 (en) System for providing firewall capabilities to a communication device
BR112019020749A2 (pt) método de transmissão de pacotes de dados de um dispositivo cliente para a nuvem.
US9219709B2 (en) Multi-wrapped virtual private network
US7607167B1 (en) Secure gateway/router
CN110266725B (zh) 密码安全隔离模块及移动办公安全系统
EP3994595B1 (en) Execution environment and gatekeeper arrangement
CN110213221B (zh) 用于执行诊断的方法
US20080244716A1 (en) Telecommunication system, telecommunication method, terminal thereof, and remote access server thereof
Kornaros et al. Hardware-assisted security in electronic control units: Secure automotive communications by utilizing one-time-programmable network on chip and firewalls
CN115603932A (zh) 一种访问控制方法、访问控制系统及相关设备
CN114553577B (zh) 一种基于多主机双隔离保密架构的网络交互系统及方法
EP4360257A1 (en) A containerized cross-domain solution
O’Raw et al. Securing the industrial Internet of Things for critical infrastructure (IIoT-CI)
KR20210001728A (ko) 이더넷 기반의 선박 네트워크 보호를 위한 선박 보안 시스템
US9419800B2 (en) Secure network systems and methods
JP2005065004A (ja) 暗号化通信データ検査方法、暗号化通信データ検査装置及び暗号化通信データ検査プログラム
Hirschler et al. Secure Deterministic L2/L3 Ethernet Networking for Integrated Architectures
Duan et al. Architecture for Multilevel Secure System Design
Liguori Design and implementation of multilevel security architectures

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant