CN115189946A - 一种跨网数据交换系统及数据交换方法 - Google Patents

一种跨网数据交换系统及数据交换方法 Download PDF

Info

Publication number
CN115189946A
CN115189946A CN202210808892.2A CN202210808892A CN115189946A CN 115189946 A CN115189946 A CN 115189946A CN 202210808892 A CN202210808892 A CN 202210808892A CN 115189946 A CN115189946 A CN 115189946A
Authority
CN
China
Prior art keywords
network
data
cross
service
module
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210808892.2A
Other languages
English (en)
Inventor
李新明
龙雨
厉海燕
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Edge Intelligence Of Cas Co ltd
Original Assignee
Edge Intelligence Of Cas Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Edge Intelligence Of Cas Co ltd filed Critical Edge Intelligence Of Cas Co ltd
Priority to CN202210808892.2A priority Critical patent/CN115189946A/zh
Publication of CN115189946A publication Critical patent/CN115189946A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/04—Processing captured monitoring data, e.g. for logfile generation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Mining & Analysis (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提供了一种跨网数据交换系统及数据交换方法，本方案的跨网数据交换系统采用成对部署的方式，分别部署于两个不同安全等级网络中，在形成的整个跨网系统中，由跨网数据交换系统、网络隔离系统、应用组件三个基本的系统搭配构成。本方案通过可视化界面、接口服务调用两种方式，支持用户、应用系统通过本系统快速实现数据跨网交换，能够运用在有跨网数据交换的信息系统建设中，具有系统侵入性小改造便捷、扩展性强、便捷易操作等特点。

Description

一种跨网数据交换系统及数据交换方法
技术领域
本发明涉及网络服务技术领域，尤其是涉及跨网交换领域，特别涉及一种针对服务化的跨网数据交换的系统及数据交换方法。
背景技术
随着互联网技术的发展和迭代，计算机网络安全方面面临的安全威胁形势也变的越来越严峻，特别是针对安全要求较高的企业等的安全交换显得尤为重要。对于安全性要求非常严格的部门，如果将其涉密信息系统暴漏在公共安全网络中可能带来严重的安全隐患。因此，必须要将这类涉密信息系统与公共网络、不同安全等级网络之间进行网络隔离，确保网络内的信息系统安全可控。
对于上述网络安全性要求较高的部门机构，除了需要将自身涉密信息进行隔离防止数据泄露外，还面临着因为业务需求必须依赖外部输入数据才能正常工作的情况，即在特定情况下需要将内部网络与外部网络进行一定的受控连接，实现数据交换。如何确保不同安全等级网络之间的数据安全可控交换成为一个亟待解决的难题。
网络物理隔离虽然确保了网络内部信息系统的安全，对于一些依赖外部数据输入的信息系统，在使用上造成的严重不便，导致工作效率低，系统利用率不高，建设的系统无法达到预期要求。因此需要一种安全可靠的跨网数据交换系统，既确保了网络隔离的安全又提供了快速的数据跨网交换。
发明内容
本发明通过服务化的方式实现不同安全网络之间的跨网数据交换，采用服务化技术利用跨网隔离设备既满足了不同网络安全等级之间的网络物理隔离要求，又实现了跨网络安全等级之间的数据可控交换。
具体而言，本发明提供了以下技术方案：
一方面，本发明提供了一种跨网数据交换系统，所述系统采用成对部署方式，设置于不同安全等级的专网中；
所述系统布设时，与设置于不同的专网之间的网络隔离系统进行数据的跨网传输；不同的专网中设置有应用组件，所述应用组件与设置于相同专网中的跨网数据交换系统进行交互；
所述系统包括：用户服务子系统、服务中心子系统、日志服务子系统、跨网交换服务子系统；
用户服务子系统、日志服务子系统、跨网交换服务子系统向所述服务中心子系统进行服务注册；其他外部应用系统通过所述服务中心子系统查找相应服务以实现数据跨网交换；
跨网交换服务子系统与网络隔离系统对接实现数据的可控安全交换；
用户服务子系统与设置于同一专网中的第三方用户管理系统对接，用于跨网数据交换系统的用户管理、权限控制；
日志服务子系统用于对日志进行记录、用户安全审计及溯源；
跨网交换服务子系统，与网络隔离系统连接，用于网络隔离系统内硬件设备的对接适配和数据跨网前的安全处理。
优选的，用户服务子系统包括用户管理模块、用户认证模块、权限管理模块、第三方用户对接模块；
所述用户管理模块用于对跨网数据交换系统的用户管理；
权限管理模块用于对系统访问的用户权限进行管控；
第三方用户对接模块用于对接第三方用户系统，以支持外部系统用户验证后的访问；
用户认证模块用于对本系统用户的认证管理。
优选的，所述日志服务子系统包括日志采集模块、日志审计模块、日志分析模块、第三方日志对接模块；
日志采集模块用于采集跨网数据交换系统中产生的日志数据；
日志审计模块用于对用户操作的行为进行查阅、审计；
日志分析模块用于对本系统运行过程中的日志进行分析、统计；
第三方日志对接模块用于对接第三方日志分析系统或第三方日志审计系统，包括但不限于上传和/或导出日志。
优选的，跨网交换服务子系统包括设备管控模块、数据交换模块、数据处理模块、交换管理模块；
设备管控模块用于管理跨网硬件设备，包括但不限于设备状态管理、设备接入管理、设备控制；
数据交换模块用于与网络隔离系统内的跨网隔离设备进行跨网数据的收发；
数据处理模块用于处理跨网交换的数据，包括但不限于数据加解密、数据脱敏、数据打包/解包、数据打标签；
交换管理模块用于对数据交换过程的审批管理和跨网数据订阅/分发。
优选的，跨网交换服务子系统通过接口协议与网络隔离系统链接，其数据打包方式为：
跨网数据打包后形成的数据包使用的字段包括但不限于：标识码、数据类型、包序号、数据标签、数据源、目的地、有效期、加密的原始数据、校验码；
标识码用于确认数据为跨网交换数据，以用于网络交换检查；
数据类型用于标识跨网交换的数据类型；
数据标签，用于对跨网数据安全等级的标识，用于确认跨网后的系统是否能够处理该等级数据；
包序号用于记录跨网交换数据包序号；
数据源和目的地用于确认跨网数据的来源和发往的目的地；
有效期用于确认跨网交换数据的有效性，过期的数据将会被丢弃以减少跨网交换传输的负载；
加密的原始数据用于保护跨网数据的安全性；
校验码用于检查跨网数据的完整性，防止传输错误或数据篡改。
优选的，服务中心子系统包括：服务注册模块、服务发现模块、服务监控模块、服务调用模块；
服务注册模块用于本系统内各子系统向服务中心子系统进行注册声明；
服务发现模块用于为其他服务提供查询、检索已注册的服务便于后续服务调用/访问；
服务监控模块用于监控已注册的服务的运行状态、实时更新和高可用；
服务调用模块用于调用/访问已注册的服务实例。
优选的，网络隔离系统包括网络边界防护模块、网络隔离器；
网络边界防护模块用于网络边界的安全防护；
网络隔离器用于跨网数据交换。
优选的，所述应用组件是专网中的业务系统应用，这些系统可以是例如邮件、数据库、网盘、聊天信息、业务系统等。
优选的，所述用户服务子系统、日志服务子系统、跨网交换服务子系统向所述服务中心子系统进行服务注册，服务注册成功后，可被所述系统内部其他服务或者所述系统外部应用调用和/或访问。
另一方面，本发明还提供了一种跨网数据交换方法，该方法应用于如上所述的跨网数据交换系统，所述方法包括：
步骤1、由用户服务子系统进行用户登陆验证，并验证访问用户是否为系统授权用户；
步骤2、验证通过后，若进行跨网数据传输则执行步骤3，若接收跨网数据则执行步骤14；
步骤3、提交数据跨网申请，并将待跨网数据上传至跨网数据交换服务子系统；
步骤4、跨网交换服务子系统对待跨网数据进行合规检测；若待跨网数据不合规，则执行步骤5，否则执行步骤6；
步骤5、跨网交换服务子系统对待跨网数据进行合规处理；
步骤6、跨网交换服务子系统启动数据跨网审批；
步骤7、对跨网交换服务子系统对数据跨网审批通过后的待跨网数据进行加密；
步骤8、对步骤7加密后的数据进行数据打包，并将打包后的数据包发送给网络隔离器；
步骤9、另一侧专网内的跨网数据交换系统通过网络隔离器接收跨网数据；
步骤10、由另一侧专网内的跨网交换服务子系统将跨网后的数据解包、解密，并进行数据完整性验证；
步骤11、对步骤10处理后的数据进行审批，判断数据是否符合要求，若不符合，则执行步骤12，否则执行步骤13；
步骤12、将数据丢弃，由另一侧专网内的日志服务子系统进行该丢弃操作日志；
步骤13、将接收到的跨网数据进行归档，执行步骤16；
步骤14、提交跨网数据订阅申请；
步骤15、跨网交换服务子系统对提交的订阅权限进行检查；
步骤16、实时检查跨网数据订阅清单；
步骤17、检测到订阅的跨网数据信息后，将跨网数据发送给订阅者。
与现有技术相比，本方案通过可视化界面、接口服务调用两种方式，支持用户、应用系统通过本系统快速实现数据跨网交换。本方案能够运用在有跨网数据交换的信息系统建设中，具有系统侵入性小改造便捷、扩展性强、便捷易操作等特点。
附图说明
为了更清楚地说明本发明具体实施方式或现有技术中的技术方案下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例的跨网数据交换架构图；
图2为本发明实施例的跨网数据交换系统详细架构图；
图3为本发明实施例的跨网数据交换处理流程图；
图4为本发明实施例的跨网数据打包示意图。
具体实施方式
下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。
下面结合具体的实施方式对本发明做进一步的解释说明。
在一个具体的实施例中，如图1所示，本发明的跨网数据交换采用成对部署的方式，分别部署于两个不同安全等级网络中，在形成的整个跨网系统中，由跨网数据交换系统、网络隔离系统、应用组件三个基本的系统搭配构成，该三个基本系统具体如下：
(1)跨网数据交换系统。其组成为服务中心、用户服务、日志服务、跨网交换服务等子系统。服务中心子系统提供跨网数据交换系统的服务注册、发现、寻址、调用等；用户服务子系统提供用户管理、用户认证、权限管理、第三方用户系统对接等；日志服务子系统提供日志采集、审计、第三方日志系统对接等；跨网交换服务提供设备管控、数据交换、数据处理、交换管理、用户界面等。跨网数据交换系统设置于需要进行跨网数据交换的专用网络中。
(2)网络隔离系统。主要用于不同秘密等级网络之间的网络隔离和边界防护。其组成包括但不限于网络边界防护、网络隔离器等组件。其中，网络边界防护主要用于网络边界的安全防护，具体设备配置和数量取决于网络防护等级要求，包括但不限于：防火墙、IPS入侵防护、IDS入侵检测、抗DDOS攻击、可信边界网关、深度包检测DPI等安全防护设备。网络隔离器主要用于跨网数据交换，依据网络安全等级选择不同的单向传输隔离器，包括：光盘摆渡类、网闸类、光闸类、协议变换类等。
(3)应用组件。主要是业务系统应用软件，根据具体业务需求而定，包括但不限于：邮件、数据库、网盘、聊天信息、业务系统等。
结合图1所示，在系统布设时，应用组件设置于不同的专用网络中，并与设置于该专用网络中的跨网数据交换系统进行交互。不同专用网络之间的跨网数据交换系统，通过网络隔离系统进行数据的跨网传输。
本实施例所提供的架构，可实现跨网络安全等级的数据可控交换，提供用户管理、服务中心、数据交换、数据处理、日志审计等功能。跨网数据交换系统采用微服务和轻量级虚拟化技术，支持B/S、C/S两种架构，可广泛应用于多种硬件环境，包括但不限于：x86、鲲鹏、飞腾、龙芯、兆芯、申威等CPU硬件平台。跨网数据交换系统提供一键上传、权限检测、合规审查、人工审批、自动跨网、日志审计等自动化、流程化数据跨网传输功能，终端用户可通过桌面客户端、移动客户端、浏览器等方式访问跨网数据交换系统实现数据跨网交换，应用系统通过服务访问接口实现数据跨网交换。
更进一步的，在一个更为优选的实施方式中，结合图2所示，本发明提供的跨网数据交换系统，其架构细节中包括用户服务、服务中心、日志服务、跨网交换服务四个子系统。
服务中心子系统作为跨网数据交换系统的枢纽中心提供服务发布、服务注册、服务发现、服务调用、服务监控等功能，用户服务子系统、日志服务子系统、跨网交换服务子系统向服务中心子系统进行服务注册，外部应用系统通过服务中心子系统查找相应服务实现数据跨网交换。其中，用户服务子系统支持与第三方用户管理系统的对接，可支撑用户单点登录；日志服务子系统支持与第三方日志审计系统对接，可将跨网交换相关日志上传至第三方日志审计系统用于跨网交换监测；跨网交换服务子系统与网络边界防护设备、跨网隔离设备对接实现数据的可控安全交换，跨网交换服务子系统与网络边界防护设备、跨网隔离设备交换的是跨网狡猾服务子系统打包后的数据，并且对数据包头进行检查，数据包头如图4所示，主要进行数据标签识别、标识码识别等信息的确认。跨网数据交换系统各组件均采用轻量级虚拟技术以提高操作系统和硬件环境的兼容性。
用户服务子系统主要用于跨网数据交换系统的用户管理和权限控制等，包括：用户管理模块、用户认证模块、权限管理模块、第三方用户对接模块。用户管理模块用于对跨网数据交换系统的用户管理，包括但不限于：用户增、删、改、查，用户分组管理等。用户认证模块用于对本系统用户的认证管理，认证方式包括但不限于：口令、智能卡、密钥、指纹、虹膜以及人脸识别等手段。权限管理模块用于对系统访问的用户权限进行细粒度的管控。第三方用户对接模块用于对接第三方用户系统，支持外部系统用户验证后访问本系统，从而实现用户的统一登录认证，对接方式包括但不限于：Web Service、Restful、JSON、XML等网络应用协议接口方式。本发明的跨网数据交换系统采用成对部署的方式，即在同一专网内设置一跨网数据交换系统，通过不同专网内的跨网数据交换系统来实现不同专网之间的跨网数据交换。同一专网内的跨网数据交换系统与第三方用户管理、第三方日志审计在同一专网内进行，不需要跨网数据交换。
日志服务子系统主要用于对系统运行、用户操作等过程的日志记录，用户安全审计和溯源，包括：日志采集模块、日志审计模块、日志分析模块、第三方日志对接模块。日志采集模块用于采集跨网数据交换系统中产生的日志数据。日志审计模块用于对用户操作的行为进行查阅、审计等，在进行日志的审计时，可以通过提前设置的规则或者对应的关键字段的匹配检查，看日志对应的用户操作是否合规，如果出发预设的告警规则，则进行告警；在此基础上，还可以设置一人工主动查询检查的第二审计，以保证日志审计的严密性。日志分析模块用于对本系统运行过程中的日志进行分析、统计等。第三方日志对接模块用于对接第三方日志分析(或审计)系统，包括但不限于上传/导出日志等，对接方式不限于：WebService、Restful、JSON、XML等网络应用协议接口方式。
跨网交换服务子系统主要用于网络隔离系统内相关硬件设备的对接适配和数据跨网前的安全处理，该模块是数据跨网传输安全性的重要保证，作为跨网数据交换系统中数据安全的核心模块。包括：设备管控模块、数据交换模块、数据处理模块、交换管理模块。设备管控模块用于管理跨网硬件设备，包括但不限于设备状态管理、设备接入管理、设备控制等。数据交换模块用于与网络隔离系统内的跨网隔离设备进行跨网数据的收发。此处，在一个优选的实施方式中，跨网数据的收发过程主要是跨网数据交换系统通过硬件设备接口协议将数据发送给跨网隔离设备，随后由跨网隔离设备完成数据跨网传输，典型的如：光盘摆渡机，跨网过程为数据刻录进光盘，再由摆渡机的机械臂将光盘移动至另一侧对光盘数据进行读取，再发送给跨网数据交换系统。
数据处理模块用于处理跨网交换的数据，包括数据加解密、数据脱敏、数据打包/解包、数据打标签等。交换管理模块用于对数据交换过程的审批管理和跨网数据订阅/分发等，审批管理包括人工审批、基于策略的自动审批等。此处，在一个优选的实施方式中，基于策略的自动审批，通过检测识别跨网数据的元数据信息，判断是否符合预先设定的要求即可自动审批通过，这些元数据信息可以包括：数据标签、数据源、目的地、发送人、接收人等信息。
跨网交换服务子系统与网络隔离系统的物理连接方式采用网线、光缆等方式连接，数据交互方式包括但不限于：Web Service、Restful、JSON、XML等网络应用协议接口方式。跨网数据打包格式示例如图4所示。
结合图4，在另一个实施例中，本发明提供的跨网数据交换系统内跨网数据交互协议格式的示例，数据打包的具体方式可以如下方法实现：数据包所使用的字段名包括但不限于：标识码、数据类型、包序号、数据标签、数据源、目的地、有效期、加密的原始数据、校验码等。标识码：用于确认数据为跨网交换数据用于网络交换检查。数据类型：用于标识跨网交换的数据类型，包括但不限于：音频、视频、文件、数据库、邮件、专用协议数据、控制指令等。包序号：用于记录跨网交换数据包序号，跨网数据交换多为单向传输，因此需要包序号用于记录丢失的数据包以便于重传。数据标签：对跨网数据安全等级的标识，用于确认跨网后的系统是否能够处理该等级数据。数据源和目的地用于确认跨网数据的来源和发往的目的地，可用于数据跨网过程中的安全检查。有效期用于确认跨网交换数据的有效性，过期的数据将会被丢弃以减少跨网交换传输的负载。加密的原始数据用于保护跨网数据的安全性，防止跨网数据泄露后被解析。校验码用于检查跨网数据的完整性，防止传输错误或数据被篡改。
服务中心子系统主要用于跨网数据交换系统内各子系统之间服务注册与访问调用，以及外部系统应用调用跨网数据交换系统内的服务。包括：服务注册模块用于本系统内各子系统向服务中心进行注册声明，在一个优选的实施方式中，注册的过程，可以通过其他子系统向服务中心子系统发送注册元数据信息的方式来实现，该些注册元数据信息包括但不限于：服务名称、接口标识、中文别名、服务描述、访问地址、服务关键词、服务依赖、服务更新时间等。
服务发现模块用于为其他服务提供查询、检索已注册的服务便于后续服务调用/访问。服务监控模块用于监控已注册的服务的运行状态、实时更新和高可用等，在一个优选的实施方式中，服务监控采用主动式和被动式两种方式监控服务运行状态：主动式为已注册服务按固定时间间隔向服务中心上报运行状态或当已注册的服务发生状态更新(重启、离线、升级等)后主动上报服务更新数据；被动式为服务监控模块定时向已注册服务发起调用访问，依据调用反馈更新已注册服务状态。服务调用模块用于调用/访问已注册的服务实例。
结合图3，在另一个实施例中，本发明提供的跨网数据交换系统，其数据交换流程可以设置如下：
步骤1-1：用户或应用系统在访问跨网数据交换系统前首先由用户服务子系统进行用户登录验证；
步骤1-2：验证访问用户是否为系统授权用户；若是，执行步骤1-3，否则执行步骤1-1；
步骤1-3：用户验证通过后成功登录跨网数据交换系统，需要进行跨网数据传输的执行步骤1-4，需要接收跨网数据的执行步骤1-18；
步骤1-4：提交数据跨网申请；
步骤1-5：将待跨网的数据上传至跨网数据交换服务子系统；
步骤1-6：由跨网交换服务子系统对上传的待跨网数据进行数据合规检测，包括但不限于病毒查杀、数据敏感性检查等；
步骤1-7：跨网交换服务子系统判断数据是否合规，若不合规，则执行步骤1-8；若数据合规则执行步骤1-9；
步骤1-8：跨网交换服务子系统对待跨网数据进行数据合规处理；
步骤1-9：跨网交换服务子系统在数据合规检测通过后启动数据跨网审批；
步骤1-10：跨网审批通过后跨网交换服务子系统对待跨网数据进行数据加密处理；
步骤1-11：对加密后的数据进行数据打包，并对数据打上标签；
步骤1-12：将打包后的数据由跨网交换服务子系统发送给网络隔离器进行数据跨网摆渡；
步骤1-13：另一侧专网内的跨网数据交换系统通过网络隔离器接收跨网数据；
步骤1-14：由另一侧专网内的跨网交换服务子系统将跨网后的数据进行解包、解密，并对数据进行完整性验证；
步骤1-15：对跨网后的数据进行审批，判断数据是否符合要求，若不符合要求，执行步骤1-16；若符合要求执行步骤1-17。此处判断是否符合的要求有如跨网数据的数据类型是否满足处理要求、跨网数据的安全等级是否满足跨网后系统的处理要求等。
步骤1-16：将数据丢弃至回收站，由日志服务子系统进行该操作日志并通知管理员处理，结束流程；
步骤1-17：将接收到跨网数据进行归档，执行步骤1-20；
步骤1-18：用户或应用系统提交跨网数据订阅申请；
步骤1-19：跨网交换服务子系统对提交的数据订阅权限进行检查；
步骤1-20：跨网交换服务子系统实时检查跨网数据订阅清单；
步骤1-21：检测到订阅的跨网数据信息后将跨网数据发送给订阅者；
步骤1-22：跨网数据订阅者接收跨网数据。
本发明提供的跨网数据交换系统其服务注册和服务访问方式为跨网数据交换系统内的子系统/模块向服务中心子系统进行服务注册，服务注册成功后可被本系统内部其他服务或者系统外部应用调用/访问。
以上，为本发明方案的示例性的优选实施方式。本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read－OnlyMemory，ROM)或随机存储记忆体(Random Access Memory，RAM)等。
最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (10)

1.一种跨网数据交换系统，其特征在于，所述系统采用成对部署方式，设置于不同安全等级的专网中；
所述系统布设时，与设置于不同的专网之间的网络隔离系统进行数据的跨网传输；不同的专网中设置有应用组件，所述应用组件与设置于相同专网中的跨网数据交换系统进行交互；
所述系统包括：用户服务子系统、服务中心子系统、日志服务子系统、跨网交换服务子系统；
用户服务子系统、日志服务子系统、跨网交换服务子系统向所述服务中心子系统进行服务注册；其他外部应用系统通过所述服务中心子系统查找相应服务以实现数据跨网交换；
跨网交换服务子系统与网络隔离系统对接实现数据的可控安全交换；
用户服务子系统与设置于同一专网中的第三方用户管理系统对接，用于跨网数据交换系统的用户管理、权限控制；
日志服务子系统用于对日志进行记录、用户安全审计及溯源；
跨网交换服务子系统，与网络隔离系统连接，用于网络隔离系统内硬件设备的对接适配和数据跨网前的安全处理。
2.根据权利要求1所述的系统，其特征在于，用户服务子系统包括用户管理模块、用户认证模块、权限管理模块、第三方用户对接模块；
所述用户管理模块用于对跨网数据交换系统的用户管理；
权限管理模块用于对系统访问的用户权限进行管控；
第三方用户对接模块用于对接第三方用户系统，以支持外部系统用户验证后的访问；
用户认证模块用于对本系统用户的认证管理。
3.根据权利要求1所述的系统，其特征在于，所述日志服务子系统包括日志采集模块、日志审计模块、日志分析模块、第三方日志对接模块；
日志采集模块用于采集跨网数据交换系统中产生的日志数据；
日志审计模块用于对用户操作的行为进行查阅、审计；
日志分析模块用于对本系统运行过程中的日志进行分析、统计；
第三方日志对接模块用于对接第三方日志分析系统或第三方日志审计系统，包括但不限于上传和/或导出日志。
4.根据权利要求1所述的系统，其特征在于，跨网交换服务子系统包括设备管控模块、数据交换模块、数据处理模块、交换管理模块；
设备管控模块用于管理跨网硬件设备，包括但不限于设备状态管理、设备接入管理、设备控制；
数据交换模块用于与网络隔离系统内的跨网隔离设备进行跨网数据的收发；
数据处理模块用于处理跨网交换的数据，包括但不限于数据加解密、数据脱敏、数据打包/解包、数据打标签；
交换管理模块用于对数据交换过程的审批管理和跨网数据订阅/分发。
5.根据权利要求4所述的系统，其特征在于，跨网交换服务子系统通过接口协议与网络隔离系统链接，其数据打包方式为：
跨网数据打包后形成的数据包使用的字段包括但不限于：标识码、数据类型、包序号、数据标签、数据源、目的地、有效期、加密的原始数据、校验码；
标识码用于确认数据为跨网交换数据，以用于网络交换检查；
数据类型用于标识跨网交换的数据类型；
包序号用于记录跨网交换数据包序号；
数据源和目的地用于确认跨网数据的来源和发往的目的地；
有效期用于确认跨网交换数据的有效性，过期的数据将会被丢弃以减少跨网交换传输的负载；
加密的原始数据用于保护跨网数据的安全性；
校验码用于检查跨网数据的完整性，防止传输错误或数据篡改；
数据标签，用于对跨网数据安全等级的标识。
6.根据权利要求1所述的系统，其特征在于，服务中心子系统包括：服务注册模块、服务发现模块、服务监控模块、服务调用模块；
服务注册模块用于本系统内各子系统向服务中心子系统进行注册声明；
服务发现模块用于为其他服务提供查询、检索已注册的服务便于后续服务调用/访问；
服务监控模块用于监控已注册的服务的运行状态、实时更新和高可用；
服务调用模块用于调用/访问已注册的服务实例。
7.根据权利要求1所述的系统，其特征在于，网络隔离系统包括网络边界防护模块、网络隔离器；
网络边界防护模块用于网络边界的安全防护；
网络隔离器用于跨网数据交换。
8.根据权利要求1所述的系统，其特征在于，所述应用组件是专网中的业务系统应用。
9.根据权利要求1所述的系统，其特征在于，所述用户服务子系统、日志服务子系统、跨网交换服务子系统向所述服务中心子系统进行服务注册，服务注册成功后，可被所述系统内部其他服务或者所述系统外部应用调用和/或访问。
10.一种跨网数据交换方法，其特征在于，所述方法应用于如权利要求1-9任一所述的跨网数据交换系统，所述方法包括：
步骤1、由用户服务子系统进行用户登陆验证，并验证访问用户是否为系统授权用户；
步骤2、验证通过后，若进行跨网数据传输则执行步骤3，若接收跨网数据则执行步骤14；
步骤3、提交数据跨网申请，并将待跨网数据上传至跨网数据交换服务子系统；
步骤4、跨网交换服务子系统对待跨网数据进行合规检测；若待跨网数据不合规，则执行步骤5，否则执行步骤6；
步骤5、跨网交换服务子系统对待跨网数据进行合规处理；
步骤6、跨网交换服务子系统启动数据跨网审批；
步骤7、对跨网交换服务子系统对数据跨网审批通过后的待跨网数据进行加密；
步骤8、对步骤7加密后的数据进行数据打包，并将打包后的数据包发送给网络隔离器；
步骤9、另一侧专网内的跨网数据交换系统通过网络隔离器接收跨网数据；
步骤10、由另一侧专网内的跨网交换服务子系统将跨网后的数据解包、解密，并进行数据完整性验证；
步骤11、对步骤10处理后的数据进行审批，判断数据是否符合要求，若不符合，则执行步骤12，否则执行步骤13；
步骤12、将数据丢弃，由另一侧专网内的日志服务子系统进行该丢弃操作日志；
步骤13、将接收到的跨网数据进行归档，执行步骤16；
步骤14、提交跨网数据订阅申请；
步骤15、跨网交换服务子系统对提交的订阅权限进行检查；
步骤16、实时检查跨网数据订阅清单；
步骤17、检测到订阅的跨网数据信息后，将跨网数据发送给订阅者。
CN202210808892.2A 2022-07-11 2022-07-11 一种跨网数据交换系统及数据交换方法 Pending CN115189946A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210808892.2A CN115189946A (zh) 2022-07-11 2022-07-11 一种跨网数据交换系统及数据交换方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210808892.2A CN115189946A (zh) 2022-07-11 2022-07-11 一种跨网数据交换系统及数据交换方法

Publications (1)

Publication Number Publication Date
CN115189946A true CN115189946A (zh) 2022-10-14

Family

ID=83518231

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210808892.2A Pending CN115189946A (zh) 2022-07-11 2022-07-11 一种跨网数据交换系统及数据交换方法

Country Status (1)

Country Link
CN (1) CN115189946A (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116418587A (zh) * 2023-04-19 2023-07-11 中国电子科技集团公司第三十研究所 一种数据跨域交换行为审计追踪方法和数据跨域交换系统
CN117201071A (zh) * 2023-07-27 2023-12-08 高新兴讯美科技股份有限公司 基于双策略和数据安全在线审计的跨网数据交换系统
CN117354304A (zh) * 2023-10-24 2024-01-05 中航机载系统共性技术有限公司 一种数据传输通道安全能力建设方法

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116418587A (zh) * 2023-04-19 2023-07-11 中国电子科技集团公司第三十研究所 一种数据跨域交换行为审计追踪方法和数据跨域交换系统
CN116418587B (zh) * 2023-04-19 2024-04-30 中国电子科技集团公司第三十研究所 一种数据跨域交换行为审计追踪方法和数据跨域交换系统
CN117201071A (zh) * 2023-07-27 2023-12-08 高新兴讯美科技股份有限公司 基于双策略和数据安全在线审计的跨网数据交换系统
CN117201071B (zh) * 2023-07-27 2024-06-28 高新兴讯美(重庆)科技有限公司 基于双策略和数据安全在线审计的跨网数据交换系统
CN117354304A (zh) * 2023-10-24 2024-01-05 中航机载系统共性技术有限公司 一种数据传输通道安全能力建设方法

Similar Documents

Publication Publication Date Title
Chadwick et al. A cloud-edge based data security architecture for sharing and analysing cyber threat information
Agarwal et al. A closer look at intrusion detection system for web applications
CA2966408C (en) A system and method for network intrusion detection of covert channels based on off-line network traffic
US10114966B2 (en) Systems and methods of per-document encryption of enterprise information stored on a cloud computing service (CCS)
RU2680736C1 (ru) Сервер и способ для определения вредоносных файлов в сетевом трафике
CN107872456A (zh) 网络入侵防御方法、装置、系统及计算机可读存储介质
CN115189946A (zh) 一种跨网数据交换系统及数据交换方法
US20100212010A1 (en) Systems and methods that detect sensitive data leakages from applications
US20100251369A1 (en) Method and system for preventing data leakage from a computer facilty
CN111030963B (zh) 文档追踪方法、网关设备及服务器
US11374946B2 (en) Inline malware detection
US11636208B2 (en) Generating models for performing inline malware detection
Alotaibi et al. Sdn-based detection of self-propagating ransomware: the case of badrabbit
Sangster et al. Network endpoint assessment (NEA): Overview and requirements
Makura et al. Digital forensic readiness in operational cloud leveraging ISO/IEC 27043 guidelines on security monitoring
US10938849B2 (en) Auditing databases for security vulnerabilities
KR101201629B1 (ko) 멀티테넌시 환경에서 테넌트 별 보안 관제를 위한 클라우드 컴퓨팅 시스템 및 그 방법
KR101775517B1 (ko) 빅데이터 보안 점검 클라이언트, 빅데이터 보안 점검 장치 및 방법
KR101425726B1 (ko) 네트워크 분리 환경에서 가상화 기반 네트워크 연계 보안 시스템 및 그 방법
Chang et al. Information security modeling for the operation of a novel highly trusted network in a virtualization environment
Raja et al. Threat Modeling and IoT Attack Surfaces
JP2022541250A (ja) インラインマルウェア検出
US20220245249A1 (en) Specific file detection baked into machine learning pipelines
US20230254308A1 (en) Real-time analysis plugin for cyber defense
US20230421562A1 (en) Method and system for protection of cloud-based infrastructure

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination