申请/专利权人：山东超越数控电子股份有限公司

申请日：2018-01-26

公开（公告）日：2020-11-24

公开（公告）号：CN108449310B

主分类号：H04L29/06(20060101)

分类号：H04L29/06(20060101);H04B10/25(20130101)

优先权：

专利状态码：有效-授权

法律状态：2020.11.24#授权;2018.09.18#实质审查的生效;2018.08.24#公开

摘要：本发明提供一种国产网络安全隔离与单向导入系统及方法，系统包括外部处理模块、隔离交换模块以及内部处理模块；外部处理模块包括外部处理器、外部FPGA、第一网络接口、第一发送光电传感器；内部处理模块包括内部处理器、内部FPGA、第二网络接口、内部FPGA、第二接收光电传感器；隔离交换模块包括外部隔离交换模块和内部隔离交换模块；外部隔离交换模块包括第一接收光电传感器、第一安全隔离单元，第一安全隔离单元、第一交换单元；内部隔离交换模块包括第二发送光电传感器、第二安全隔离单元、第二交换单元；方法：通过处理模块实现协议解析、数据提取及接收发送，安全隔离单元实现数据格式化，交换单元实现数据缓存和安全交换。

主权项：1.一种国产网络安全隔离与单向导入系统，其特征在于，包括外部处理模块（1）、隔离交换模块（2）以及内部处理模块（3）；外部处理模块（1）包括外部处理器（4.1），外部处理器（4.1）连接有外部FPGA（5.1）和第一网络接口（6.1），外部FPGA（5.1）连接有第一发送光电传感器（7.1）；内部处理模块（3）包括内部处理器（4.2），内部处理器（4.2）连接有内部FPGA（5.2）和第二网络接口（6.2），内部FPGA（5.2）连接有第二接收光电传感器（8.2）；第一网络接口（6.1）连接有低密级网络设备（14），第二网络接口（6.2）连接有高密级网络设备（15）；隔离交换模块（2）包括外部隔离交换模块（9）和内部隔离交换模块（10）；外部隔离交换模块（9）包括第一接收光电传感器（8.1），第一接收光电传感器（8.1）连接有第一安全隔离单元（11.1），第一安全隔离单元（11.1）连接有第一交换单元（12）；内部隔离交换模块（10）包括第二发送光电传感器（7.2），第二发送光电传感器（7.2）连接有第二安全隔离单元（11.2），第二安全隔离单元（11.2）连接有第二交换单元（13）；第一发送光电传感器（7.1）与第一接收光电传感器（8.1）通过单向光纤连接；第二发送光电传感器（7.2）与第二接收光电传感器（8.2）通过单向光纤连接；第一交换单元（12）与第二交换单元（13）连接；第一交换单元（12）包括第一存储器（12.1）和第一开关（12.2），第一开关（12.2）连接有第一开关控制器（12.3）；第二交换单元（13）包括第二存储器（13.1）和第二开关（13.2），第二开关（13.2）连接有第二开关控制器（13.3）；第一开关（12.2）和第二开关（13.2）均包括固定端、开关一端和开关二端；第一开关（12.2）的固定端连接第一存储器（12.1），第一开关（12.2）的开关一端连接第一安全隔离单元（11.1）；第二开关（13.2）的固定端连接第二存储器（13.1），第二开关（13.2）的开关一端连接第二安全隔离单元（11.2）；第一开关（12.2）的开关二端与第二开关（13.2）的开关二端连接；外部处理器对接收到网络数据包进行协议解析处理，对IP碎片进行重组，对TCP数据流进行重组，提供完整的网络数据信息；外部处理器对网络数据进行行为分析、关联分析、流量异常检测以及协议异常检测，对攻击行为进行检测并处理，记录入侵的攻击名称、类型和参考ID；外部处理器对网络数据进行基于网络报文源IP、目的IP、源端口、目的端口、时间、服务、用户、脚本以及MAC地址方式的细粒度的访问控制，对网络数据进行流量管理、连接数控制、IP+MAC绑定以及用户认证；外部处理器根据系统白名单策略和数据密级标识信息，判断数据处理策略并执行；若数据包不合规，则禁止数据包通过；若数据包合规，则允许数据包通过，将数据包交第一安全隔离单元进行处理；第一安全隔离单元根据网络数据包属性信息、数据内容进行数据私有格式化处理，并将私有格式化后数据交由第一交换单元；外部隔离交换模块的数据的临时缓存和安全交换；数据临时缓存时，第一安全隔离单元通过第一开关连接第一存储器；数据交换时，第一存储器通过第一开关连接第二开关，切断TCPIP协议通讯，形成网络数据的单向导入；内部隔离交换模块的数据的临时缓存和安全交换；数据临时缓存时，第二存储器通过第二开关连接第一开关，切断TCPIP协议通讯，形成网络数据的单向导入；数据交换时，第二存储器通过第二开关连接第二安全隔离单元；第二安全隔离单元将私有格式化数据进行处理，形成带有属性信息和数据内容的网络数据包，提供给内部处理器；内部处理器根据系统白名单策略和数据密级标识信息，判断数据处理策略并执行；若数据包不合规，则禁止数据包通过；若数据包合规，则允许数据包通过；内部处理器对网络数据进行基于网络报文源IP、目的IP、源端口、目的端口、时间、服务、用户、脚本以及MAC地址方式的细粒度的访问控制，对网络数据进行流量管理、连接数控制、IP+MAC绑定以及用户认证；内部处理器对网络数据进行行为分析、关联分析、流量异常检测以及协议异常检测，对攻击行为进行检测并处理，记录入侵的攻击名称、类型和参考ID；内部处理器对接收到网络数据包进行协议解析处理，对IP碎片进行重组，对TCP数据流进行重组，为高密集网络设备提供完整的网络数据信息。

全文数据：一种国产网络安全隔离与单向导入系统及方法技术领域[0001]本发明属于数据安全隔离交换领域，具体涉及一种国产网络安全隔离与单向导入系统及方法。背景技术[0002]随着数据价值不断提升以及存储技术不断发展，数据成为最核心的资产，在实际应用中存在数据交换需求，由于相关数据的重要性，国家相关规定只运行由低密级网络向高密级网络传输，该交换数据往往成为攻击者的首选目标，从而达到窃取、篡改或破坏数据的目的，如果没有安全防范措施，一旦攻击者成功窃取，其负面影响将是无法估计的，因此数据的安全隔离交换安全变得至关重要。[0003]现有的网络安全隔离与单向导入方法，一般采用国外通用专用处理器实现，无法从根本上避免后门植入、数据窃取风险，从而不能保证网络数据单向导入的正确性。[0004]此为现有技术的不足，因此，针对现有技术中的上述缺陷，提供一种国产网络安全隔离与单向导入系统及方法，是非常有必要的。发明内容[0005]本发明的目的在于，针对上述现有网络安全隔离与单向导入方法无法保证网络数据单向导入正确性的缺陷，提供一种国产网络安全隔离与单向导入系统及方法，以解决上述技术问题。[0006]为实现上述目的，本发明给出以下技术方案：一种国产网络安全隔离与单向导入系统，包括外部处理模块、隔离交换模块以及内部处理模块；外部处理模块包括外部处理器，外部处理器连接有外部FPGA和第一网络接口，外部FPGA连接有第一发送光电传感器；内部处理模块包括内部处理器，内部处理器连接有内部FPGA和第二网络接口，内部FPGA连接有第二接收光电传感器；第一网络接口连接有低密级网络设备，第二网络接口连接有高密级网络设备；隔离交换模块包括外部隔离交换模块和内部隔离交换模块；外部隔离交换模块包括第一接收光电传感器，第一接收光电传感器连接有第一安全隔离单元，第一安全隔离单元连接有第一交换单元；内部隔离交换模块包括第二发送光电传感器，第二发送光电传感器连接有第二安全隔离单元，第二安全隔离单元连接有第二交换单元；第一发送光电传感器与第一接收光电传感器通过单向光纤连接；第二发送光电传感器与第二接收光电传感器通过单向光纤连接；第一交换单元与第二交换单元连接。内部处理模块、外部处理模块均与隔离交换模块通过单向光纤连接，采用光通信的方式，从根本上杜绝数据在传输过程中被窃取;隔离交换模块是内部处理模块和外部处理模块之间唯一的连接部件，内部处理模块与外部处理模块之间不存在任何网络设备连接。系统采用过程操作系统、国产固件作为系统平台，集成高速网卡驱动，实现网络数据包的高速收发处理。[0007]进一步地，第一交换单元包括第一存储器和第一开关，第一开关连接有第一开关控制器；第二交换单元包括第二存储器和第二开关，第二开关连接有第二开关控制器；第一开关和第二开关均包括固定端、开关一端和开关二端;第一开关的固定端连接第一存储器，第一开关的开关一端连接第一安全隔离单兀；第二开关的固定端连接第二存储器，第二开关的开关一端连接第二安全隔离单元；第一开关的开关二端与第二开关的开关二端连接。[0008]进一步地，外部处理器包括第一协议分析单元、第一入侵检测单元、第一访问控制单元以及第一合规检查单元；第一协议分析单元，用于对接收到网络数据包进行协议解析处理，对IP碎片进行重组，对TCP数据流进行重组，为第一入侵检测单元、第一访问控制单元提供完整的网络数据信息；第一入侵检测单元，用于对网络数据进行行为分析、关联分析、流量异常检测以及协议异常检测，对攻击行为进行检测并处理，记录入侵的攻击名称、类型和参考ID;攻击行为包括蠕虫或病毒、木马、后门、DoS或DDoS攻击、探测或扫描、间谍软件、网络钓鱼、利用漏洞的攻击、SQL注入攻击、缓冲区溢出攻击、协议异常以及IDSIPS逃逸攻击；第一访问控制单元，用于对网络数据进行基于网络报文源IP、目的IP、源端口、目的端口、时间、服务、用户、脚本以及MAC地址方式的细粒度的访问控制，对网络数据进行流量管理、连接数控制、IP+MAC绑定以及用户认证；第一合规检查单元，用于根据系统白名单策略和数据密级标识信息，判断数据处理策略并执行;若数据包不合规，则禁止数据包通过;若数据包合规，则允许数据包通过，将数据包交第一安全隔离单元进行处理。[0009]进一步地，第一安全隔离单元，用于根据网络数据包属性信息、数据内容进行数据私有格式化处理，并将私有格式化后数据交由第一交换单元；第一交换单元，用于外部隔离交换模块的数据的临时缓存和安全交换；数据临时缓存时，第一安全隔离单元通过第一开关连接第一存储器；数据交换时，第一存储器通过第一开关连接第二开关，切断TCPIP协议通讯，形成网络数据的单向导入；第二交换单元，用于内部隔离交换模块的数据的临时缓存和安全交换；数据临时缓存时，第二存储器通过第二开关连接第一开关，切断TCPIP协议通讯，形成网络数据的单向导入；数据交换时，第二存储器通过第二开关连接第二安全隔离单元；第二安全隔离单元，用于将私有格式化数据进行处理，形成带有属性信息和数据内容的网络数据包，提供给内部处理器。[001°]进一步地，内部处理器包括第二协议分析单元、第二入侵检测单元、第二访问控制单元以及第二合规检查单元；第二合规检查单元，用于根据系统白名单策略和数据密级标识信息，判断数据处理策略并执行;若数据包不合规，则禁止数据包通过;若数据包合规，则允许数据包通过，将数据包交第二访问控制单元进行处理；第二访问控制单元，用于对网络数据进行基于网络报文源IP、目的IP、源端口、目的端口、时间、服务、用户、脚本以及MAC地址方式的细粒度的访问控制，对网络数据进行流量管理、连接数控制、IP+MAC绑定以及用户认证；第二入侵检测单元，用于对网络数据进行行为分析、关联分析、流量异常检测以及协议异常检测，对攻击行为进行检测并处理，记录入侵的攻击名称、类型和参考ID;第二协议分析单元，用于对接收到网络数据包进行协议解析处理，对IP碎片进行重组，对TCP数据流进行重组，为高密集网络设备提供完整的网络数据信息。[0011]进一步地，第一安全隔离单元与第二安全隔离单元均采用安全隔离芯片，安全隔离芯片通过多线程并行固化处理将合法数据转化为私有协议格式的数据包；第一交换单元和第二交换单元均采用交换芯片。[0012]进一步地，外部处理器和内部处理器均采用国产申威处理器。采用国产申威处理器，从根本上杜绝了系统漏洞、后门植入的风险。[0013]进一步地，外部处理模块和内部处理模块均还包括板级管理芯片、管理串口、热备串口、DDR内存、桥片以及电源。[0014]系统接收到网络数据后，依次进行协议分析、入侵检测、访问控制、合规检查以及数据格式化处理，最终将格式化数据交由隔离交换模块的交换单元进行单向导入，真正实现网络数据安全隔离和单向导入。[0015]本发明还给出如下技术方案：一种基于上述权利要求1-6的国产网络完全隔离与单向导入方法，包括如下步骤：步骤1•外部处理器对接收到网络数据包进行协议解析处理，对IP碎片进行重组，对TCP数据流进行重组，提供完整的网络数据信息；步骤2.外部处理器对网络数据进行行为分析、关联分析、流量异常检测以及协议异常检测，对攻击行为进行检测并处理，记录入侵的攻击名称、类型和参考ID;步骤3•外部处理器对网络数据进行基于网络报文源IP、目的IP、源端口、目的端口、时间、服务、用户、脚本以及MAC地址方式的细粒度的访问控制，对网络数据进行流量管理、连接数控制、IP+MAC绑定以及用户认证；_步骤4•外部处理器根据系统白名单策略和数据密级标识信息，判断数据处理策略并执行;若数据包不合规，则禁止数据包通过;若数据包合规，则允许数据包通过，将数据包交第一安全隔离单元进行处理；步骤5•第一安全隔离单元根据网络数据包属性信息、数据内容进行数据私有格式化处理，并将私有格式化后数据交由第一交换单元；步骤6•外部隔离交换模块的数据的临时缓存和安全交换；数据临时缓存时，第一安全隔离单元通过第一开关连接第一存储器；数据交换时，第一存储器通过第一开关连接第二开关，切断TCPIP协议通讯，形成网络数据的单向导入；步骤7•内部隔离交换模块的数据的临时缓存和安全交换；数据临时缓存时，第二存储器通过第二开关连接第一开关，切断TCPIP协议通讯，形成网络数据的单向导入；数据交换时，第二存储器通过第二开关连接第二安全隔离单元；步骤8.第二安全隔离单元将私有格式化数据进行处理，形成带有属性信息和数据内容的网络数据包，提供给内部处理器；步骤9•内部处理器根据系统白名单策略和数据密级标识信息，判断数据处理策略并执行;若数据包不合规，则禁止数据包通过;若数据包合规，则允许数据包通过，将数据包交第二访问控制单元进行处理；步骤10•内部处理器对网络数据进行基于网络报文源IP、目的IP、源端口、目的端口、时间、服务、用户、脚本以及MAC地址方式的细粒度的访问控制，对网络数据进行流量管理、连接数控制、IP+MAC绑定以及用户认证；步骤11•内部处理器对网络数据进行行为分析、关联分析、流量异常检测以及协议异常检测，对攻击行为进行检测并处理，记录入侵的攻击名称、类型和参考ID;步骤12•内部处理器对接收到网络数据包进行协议解析处理，对IP碎片进行重组，对TCP数据流进行重组，为高密集网络设备提供完整的网络数据信息。[0016]本发明的有益效果在于：本发明采用国产申威处理器根本上杜绝了系统漏洞、后门植入的风险;采用光纤通信，从根本上杜绝数据在传输过程中被窃取，通过内外部处理器进行协议分析、入侵检测、访问控制、合规检查以及数据格式化处理，最终将格式化数据交由隔离交换模块的交换单元进行单向导入，真正实现网络数据安全隔离和单向导入。[0017]此外，本发明设计原理可靠，结构简单，具有非常广泛的应用前景。[0018]由此可见，本发明与现有技术相比，具有突出的实质性特点和显著的进步，其实施的有:效果也是显而易见的。附图说明[0019]图1为本发明的系统连接示意图；图2为本发明的外部处理器的结构示意图；图3为本发明的内部处理器的结构示意图；图4为本发明的方法流程图；其中，1-外部处理模块;2-隔离交换模块;3-内部处理模块;4•1-外部处理器;4.2-内部处理器;5•1-外部FPGA;5•2-内部FPGA;6•1-第一网络接口；6•2-第二网络接口；7•1-第一发送光电传感器;7.2_第二发送光电传感器;8.1-第一接收光电传感器;8.2-第二接收光电传感器;9_外部隔离交换模块;10-内部隔离交换模块;11.1-第一安全隔离单元;11.2-第二安全隔离单元;12-第一交换单元;12.1-第一存储器;12.2-第一开关；12.3-第一开关控制器；13-第二交换单元;I3.1-第二存储器;13.2-第二开关；13.3-第二开关控制器；14-低密级网络设备；15-高密级网络设备；16.1-第一协议分析单元；16.2-第二协议分析单元；17.1-第一入侵检测单兀；17.2-第二入侵检测单元；18.1-第一访问控制单元；19.1-第一合规检查单元;19.2-第二合规检查单元。[0020]具体实施方式：为使得本发明的目的、特征、优点能够更加的明显和易懂，下面将结合本发明具体实施例中的附图，对本发明中的技术方案进行清楚、完整地描述。[0021]如图1所示，本发明提供一种国产网络安全隔离与单向导入系统，包括外部处理模块1、隔离交换模块2以及内部处理模块3;外部处理模块1包括外部处理器4.1，外部处理器4.1连接有外部FPGA5.1和第一网络接口6.1，外部FPGA5.1连接有第一发送光电传感器7.1;外部处理器采用国产申威处理器；内部处理模块3包括内部处理器4.2，内部处理器4.2连接有内部FPGA5.2和第二网络接口6.2，内部FPGA5.2连接有第二接收光电传感器8.2;内部处理器采用国产申威处理器；外部处理模块和内部处理模块均还包括板级管理芯片、管理串口、热备串口、DDR内存、桥片以及电源；第一网络接口6.1连接有低密级网络设备14,第二网络接口6.2连接有高密级网络设备15；隔离交换模块2包括外部隔离交换模块9和内部隔离交换模块10;外部隔离交换模块9包括第一接收光电传感器8.1，第一接收光电传感器8.1连接有第一安全隔离单元11.1，第一安全隔离单元11.1连接有第一交换单元12;内部隔离交换模块10包括第二发送光电传感器7.2，第二发送光电传感器7.2连接有第二安全隔离单元11.2,第二安全隔离单元11.2连接有第二交换单元13;第一发送光电传感器7.1与第一接收光电传感器8.1通过单向光纤连接；第二发送光电传感器7.2与第二接收光电传感器8.2通过单向光纤连接；第一交换单元12与第二交换单元13连接；第一交换单元12包括第一存储器12•1和第一开关12•2，第一开关12.2连接有第一开关控制器12.3;第一交换单元12采用交换芯片；第二交换单元13包括第二存储器13.1和第二开关13•2，第二开关13•2连接有第二开关控制器13.3;第二交换单元13采用交换芯片；第一开关I2•2和第二开关13.2均包括固定端、开关一端和开关二端;第一开关12.2的固定端连接第一存储器12.1，第一开关12.2的开关一端连接第一安全隔离单元11.1;第二开关13•2的固定端连接第二存储器13•1，第二开关13•2的开关一端连接第二安全隔离单元11.2;第一开关12.2的开关二端与第二开关13.2的开关二端连接；如图2所示，外部处理器4.1包括第一协议分析单元16•1、第一入侵检测单元17.1、第一访问控制单元18.1以及第一合规检查单元19.1;第一协议分析单元16_1，用于对接收到网络数据包进行协议解析处理，对^碎片进行重组，对TCP数据流进行重组，为第一入侵检测单元17.1、第一访问控制单元18.1提供完整的网络数据信息；第一入侵检测单元17.1，用于对网络数据进行行为分析、关联分析、流量异常检测以及协议异常检测，对攻击行为进行检测并处理，记录入侵的攻击名称、类型和参考ID;第一访问控制单元18.1，用于对网络数据进行基于网络报文源ip、目的IP、源端口、目的端口、时间、服务、用户、脚本以及MAC地址方式的细粒度的访问控制，对网络数据进行流量管理、连接数控制、IP+MAC绑定以及用户认证；第一合规检查单元19.1，用于根据系统白名单策略和数据密级标识信息，判断数据处理策略并执行;若数据包不合规，则禁止数据包通过;若数据包合规，则允许数据包通过，将数据包交第一安全隔离单元11.1进行处理；第一安全隔离单元11.1，用于根据网络数据包属性信息、数据内容进行数据私有格式化处理，并将私有格式化后数据交由第一交换单元12;第一安全隔离单元11.1采用安全隔离芯片，通过多线程并行固化处理将合法数据转化为私有协议格式的数据包；第一交换单元12，用于外部隔离交换模块9的数据的临时缓存和安全交换；数据临时缓存时，第一安全隔离单元11.1通过第一开关12.2连接第一存储器12•1;数据交换时，第一存储器12.1通过第一开关12.2连接第二开关12.2,切断TCPIP协议通讯，形成网络数据的单向导入；第二交换单元13,用于内部隔离交换模块10的数据的临时缓存和安全交换；数据临时缓存时，第二存储器13.1通过第二开关12.2连接第一开关12•2，切断TCPIP协议通讯，形成网络数据的单向导入；数据交换时，第二存储器13.1通过第二开关13.2连接第二安全隔离单元11.2;第二安全隔离单元11.2,用于将私有格式化数据进行处理，形成带有属性信息和数据内容的网络数据包，提供给内部处理器4.2;第二安全隔离单元11.2采用安全隔离芯片，通过多线程并行固化处理将合法数据转化为私有协议格式的数据包；如图3所示，内部处理器4.2包括第二协议分析单元16.2、第二入侵检测单元17.2、第二访问控制单元18.2以及第二合规检查单元19.2;第二合规检查单元19.2，用于根据系统白名单策略和数据密级标识信息，判断数据处理策略并执行;若数据包不合规，则禁止数据包通过;若数据包合规，则允许数据包通过，将数据包交第二访问控制单元18.1进行处理；第二访问控制单元18.2,用于对网络数据进行基于网络报文源IP、目的IP、源端口、目的端口、时间、服务、用户、脚本以及MAC地址方式的细粒度的访问控制，对网络数据进行流量管理、连接数控制、IP+MAC绑定以及用户认证；第二入侵检测单元17.2,用于对网络数据进行行为分析、关联分析、流量异常检测以及协议异常检测，对攻击行为进行检测并处理，记录入侵的攻击名称、类型和参考ID;第二协议分析单元16.2,用于对接收到网络数据包进行协议解析处理，对IP碎片进行重组，对TCP数据流进行重组，为高密集网络设备15提供完整的网络数据信息。[0022]如图4所示，本发明提供的一种国产网络完全隔离与单向导入方法，包括如下步骤：步骤1.外部处理器对接收到网络数据包进行协议解析处理，对IP碎片进行重组，对TCP数据流进行重组，提供完整的网络数据信息；步骤2•外部处理器对网络数据进行行为分析、关联分析、流量异常检测以及协议异常检测，对攻击行为进行检测并处理，记录入侵的攻击名称、类型和参考ID;步骤3•外部处理器对网络数据进行基于网络报文源IP、目的IP、源端口、目的端口、时间、服务、用户、脚本以及MAC地址方式的细粒度的访问控制，对网络数据进行流量管理、连接数控制、IP+MAC绑定以及用户认证；步骤4.外部处理器根据系统白名单策略和数据密级标识信息，判断数据处理策略并执订;右数据包不合规，则禁止数据包通过;若数据包合规，则允许数据包通过，将数据包交第女全隔尚单兀进彳丁处理；步骤5•第一安全隔离单元根据网络数据包属性信息、数据内容进行数据私有格式化处理，并将私有格式化后数据交由第一交换单元；步骤6•外部隔离交换模块的数据的临时缓存和安全交换；数据临时缓存时，第一安全隔离单元通过第一开关连接第一存储器；数据交换时，第一存储器通过第一开关连接第二开关，切断TCPIP协议通讯，形成网络数据的单向导入；步骤7•内部隔离交换模块的数据的临时缓存和安全交换；数据临时缓存时，第二存储器通过第二开关连接第一开关，切断TCPIP协议通讯，形成网络数据的单向导入；数据交换时，第二存储器通过第二开关连接第二安全隔离单元；步骤8•第二安全隔离单元将私有格式化数据进行处理，形成带有属性信息和数据内容的网络数据包，提供给内部处理器；_步骤9•内部处理器根据系统白名单策略和数据密级标识信息，判断数据处理策略并执行;若数据包不合规，则禁止数据包通过;若数据包合规，则允许数据包通过，将数据包交第二访问控制单元进行处理；步骤10•内部处理器对网络数据进行基于网络报文源IP、目的IP、源端口、目的端口、时间、服务、用户、脚本以及MAC地址方式的细粒度的访问控制，对网络数据进行流量管理、连接数控制、IP+MAC绑定以及用户认证；步骤11•内部处理器对网络数据进行行为分析、关联分析、流量异常检测以及协议异常检测，对攻击行为进行检测并处理，记录入侵的攻击名称、类型和参考ID;步骤12•内部处理器对接收到网络数据包进行协议解析处理，对ip碎片进行重组，对TCP数据流进行重组，为高密集网络设备提供完整的网络数据信息。[0023]本发明的实施例是说明性的，而非限定性的，上述实施例只是帮助理解本发明，因此本发明不限于具体实施方式中所述的实施例，凡是由本领域技术人员根据本发明的技术方案得出的其他的具体实施方式，同样属于本发明保护的范围。

权利要求：1.一种国产网络安全隔离与单向导入系统，其特征在于，包括外部处理模块（1、隔离交换模块2以及内部处理模块3;外部处理模块（1包括外部处理器4•1，外部处理器4.1连接有外部FPGA5•1和第一网络接口（6.1，外部FPGA5.1连接有第一发送光电传感器7•1;内部处理模块3包括内部处理器4•2，内部处理器4•2连接有内部FPGA5•2和第二网络接口（6.2，内部FPGA5.2连接有第二接收光电传感器8•2;第一网络接口（6.1连接有低密级网络设备（14，第二网络接口（6.2连接有高密级网络设备15;隔离交换模块2包括外部隔离交换模块9和内部隔离交换模块10;外部隔离交换模块9包括第一接收光电传感器8.1，第一接收光电传感器8.1连接有第一安全隔离单元11.1，第一安全隔离单元11.1连接有第一交换单元12;内部隔离交换模块（10包括第二发送光电传感器7.2，第二发送光电传感器7.2连接有第二安全隔离单元11.2，第二安全隔离单元11•2连接有第二交换单元13;第一发送光电传感器7.1与第一接收光电传感器8.1通过单向光纤连接；第二发送光电传感器7.2与第二接收光电传感器8.2通过单向光纤连接；第一交换单元12与第二交换单元13连接。2.如权利要求1所述的一种国产网络安全隔离与单向导入系统，其特征在于，第一交换单元12包括第一存储器12.1和第一开关（12•2，第一开关12•2连接有第一开关控制器（12.3;第二交换单元（13包括第二存储器13.1和第二开关（13•2，第二开关（13.2连接有第二开关控制器13.3;第一开关（12.2和第二开关（13.2均包括固定端、开关一端和开关二端；第一开关12.2的固定端连接第一存储器12.1，第一开关12.2的开关一端连接第一安全隔离单元11.1;第二开关13.2的固定端连接第二存储器13•1，第二开关（13.2的开关一端连接第二安全隔离单元11.2;第一开关12.2的开关二端与第二开关13•2的开关二端连接。3.如权利要求2所述的一种国产网络安全隔离与单向导入系统，其特征在于，外部处理器（4.1包括第一协议分析单元（16.1、第一入侵检测单元（17.1、第一访问控制单元18.1以及第一合规检查单元19.1;第一协议分析单元（16.1，用于对接收到网络数据包进行协议解析处理，对IP碎片进行重组，对TCP数据流进行重组，为第一入侵检测单元17•1、第一访问控制单元（18.1提供完整的网络数据信息；第一入侵检测单元（17.1，用于对网络数据进行行为分析、关联分析、流量异常检测以及协议异常检测，对攻击行为进行检测并处理，记录入侵的攻击名称、类型和参考ID;第一访问控制单元（18.1，用于对网络数据进行基于网络报文源IP、目的IP、源端口、目的端口、时间、服务、用户、脚本以及MAC地址方式的细粒度的访问控制，对网络数据进行流量管理、连接数控制、IP+MAC绑定以及用户认证；第一合规检查单元（19.1，用于根据系统白名单策略和数据密级标识信息，判断数据处理策略并执行;若数据包不合规，则禁止数据包通过;若数据包合规，则允许数据包通过，将数据包交第一安全隔离单元11.1进行处理。4.如权利要求3所述的一种国产网络安全隔离与单向导入系统，其特征在于，第一安全隔离单元（11.1，用于根据网络数据包属性信息、数据内容进行数据私有格式化处理，并将私有格式化后数据交由第一交换单元12;第一交换单元12，用于外部隔离交换模块9的数据的临时缓存和安全交换；数据临时缓存时，第一安全隔离单元（11.1通过第一开关（12.2连接第一存储器12.1；数据交换时，第一存储器（12.1通过第一开关（12.2连接第二开关（12.2，切断TCPIP协议通讯，形成网络数据的单向导入；第二交换单元13，用于内部隔离交换模块10的数据的临时缓存和安全交换；数据临时缓存时，第二存储器（13.1通过第二开关（12•2连接第一开关（12.2，切断TCPIP协议通讯，形成网络数据的单向导入；数据交换时，第二存储器13.1通过第二开关13.2连接第二安全隔离单元11.2;第二安全隔离单元（11.2，用于将私有格式化数据进行处理，形成带有属性信息和数据内容的网络数据包，提供给内部处理器4.2。5.如权利要求4所述的一种国产网络安全隔离与单向导入系统，其特征在于，内部处理器4.2包括第二协议分析单元（16•2、第二入侵检测单元（17.2、第二访问控制单元18.2以及第二合规检查单元19.2;第二合规检查单元（19.2，用于根据系统白名单策略和数据密级标识信息，判断数据处理策略并执行;若数据包不合规，则禁止数据包通过;若数据包合规，则允许数据包通过，将数据包交第二访问控制单元18.1进行处理；第二访问控制单元（18.2，用于对网络数据进行基于网络报文源IP、目的IP、源端口、目的端口、时间、服务、用户、脚本以及MAC地址方式的细粒度的访问控制，对网络数据进行流量管理、连接数控制、IP+MAC绑定以及用户认证；第二入侵检测单元（17.2，用于对网络数据进行行为分析、关联分析、流量异常检测以及协议异常检测，对攻击行为进行检测并处理，记录入侵的攻击名称、类型和参考ID;第二协议分析单元（16.2，用于对接收到网络数据包进行协议解析处理，对IP碎片进行重组，对TCP数据流进行重组，为高密集网络设备15提供完整的网络数据信息。6.如权利要求1所述的一种国产网络安全隔离与单向导入系统，其特征在于，第一安全隔离单元（11.1与第二安全隔离单元11.2均采用安全隔离芯片，安全隔离芯片通过多线程并行固化处理将合法数据转化为私有协议格式的数据包；第一交换单元（12和第二交换单元（13均采用交换芯片。7.如权利要求1所述的一种国产网络安全隔离与单向导入系统，其特征在于，外部处理器和内部处理器均采用国产申威处理器。8.如权利要求1所述的一种国产网络安全隔离与单向导入系统，其特征在于，外部处理模块和内部处理模块均还包括板级管理芯片、管理串口、热备串口、DDR内存、桥片以及电源。9.一种基于上述权利要求1-8的国产网络完全隔离与单向导入方法，其特征在于，包括如下步骤：步骤1•外部处理器对接收到网络数据包进行协议解析处理，对IP碎片进行重组，对TCP数据流进行重组，提供完整的网络数据信息；步骤2•外部处理器对网络数据进行行为分析、关联分析、流量异常检测以及协议异常检测，对攻击行为进行检测并处理，记录入侵的攻击名称、类型和参考ID;步骤3.外部处理器对网络数据进行基于网络报文源IP、目的IP、源端口、目的端口、时间、服务、用户、脚本以及MAC地址方式的细粒度的访问控制，对网络数据进行流量管理、连接数控制、IP+MAC绑定以及用户认证；步骤4•外部处理器根据系统白名单策略和数据密级标识信息，判断数据处理策略并执行;若数据包不合规，则禁止数据包通过;若数据包合规，则允许数据包通过，将数据包交第一安全隔离单元进行处理；步骤5•第一安全隔离单元根据网络数据包属性信息、数据内容进行数据私有格式化处理，并将私有格式化后数据交由第一交换单元；步骤6•外部隔离交换模块的数据的临时缓存和安全交换；数据临时缓存时，第一安全隔离单元通过第一开关连接第一存储器；数据交换时，第一存储器通过第一开关连接第二开关，切断TCPIP协议通讯，形成网络数据的单向导入；步骤7•内部隔离交换模块的数据的临时缓存和安全交换；数据临时缓存时，第二存储器通过第二开关连接第一开关，切断TCPIP协议通讯，形成网络数据的单向导入；数据交换时，第二存储器通过第二开关连接第二安全隔离单元；步骤8•第二安全隔离单元将私有格式化数据进行处理，形成带有属性信息和数据内容的网络数据包，提供给内部处理器；步骤9•内部处理器根据系统白名单策略和数据密级标识信息，判断数据处理策略并执行;若数据包不合规，则禁止数据包通过;若数据包合规，则允许数据包通过，将数据包交第二访问控制单元进行处理；步骤10•内部处理器对网络数据进行基于网络报文源IP、目的IP、源端口、目的端口、时间、服务、用户、脚本以及MAC地址方式的细粒度的访问控制，对网络数据进行流量管理、连接数控制、IP+MAC绑定以及用户认证；步骤11.内部处理器对网络数据进行行为分析、关联分析、流量异常检测以及协议异常检测，对攻击行为进行检测并处理，记录入侵的攻击名称、类型和参考ID;步骤12.内部处理器对接收到网络数据包进行协议解析处理，对ip碎片进行重组，对TCP数据流进行重组，为高密集网络设备提供完整的网络数据信息。

百度查询： 山东超越数控电子股份有限公司 一种国产网络安全隔离与单向导入系统及方法

免责声明
1、本报告根据公开、合法渠道获得相关数据和信息，力求客观、公正，但并不保证数据的最终完整性和准确性。
2、报告中的分析和结论仅反映本公司于发布本报告当日的职业理解，仅供参考使用，不能作为本公司承担任何法律责任的依据或者凭证。

阅读全文 双屏查看 官方信息 专利公告 收藏专利 下载PDF 下载WORD