[发明专利]局域网系统和维护局域网信息安全的方法

权利要求书

1.一种局域网系统，其特征在于，包括：网络监控设备以及与所述网络监控设备分别相 连的安全终端、主控制服务器、公共涉密资源服务器、私有涉密资源服务器和防护服务器，

所述网络监控设备，用于根据网络安全策略，监控所述安全终端之间以及所述安全终端 与外网之间数据的交换和转发；

所述安全终端具有身份标识，包括：

划分模块，用于划分所述安全终端的逻辑存储区域；

认证模块，用于获取用户的身份认证信息和所述用户的登录模式；将所述身份认证信息 和所述登录模式通过所述网络监控设备发送给所述主控制服务器；

本地监控模块，用于根据本地安全策略、所述用户的在线信息和所述登录模式监控所述 用户对所述系统的访问；

所述主控制服务器，用于验证所述安全终端发来的所述身份认证信息，初始化所述用户 的密级为最低密级并发送给所述安全终端；维护所述网络安全策略、所述本地安全策略和所 述用户的当前密级、最高密级、在线信息；将验证结果通过所述网络监控设备发送给所述安 全终端；将所述用户的在线信息与当前密级信息发送给网络监控设备、公共涉密资源服务器、 私有涉密资源服务器、防护服务器；

所述公共涉密资源服务器，用于提供所述系统内公共涉密资源的集中式存储，并根据所 述当前密级信息对所述用户进行访问控制，管理所述公共涉密资源的密级，并维护公共涉密 资源的更新信息；

所述私有涉密资源服务器，用于提供所述系统内私有涉密资源的网络分布式存储，并根 据所述在线信息与当前密级信息对所述用户进行访问控制；

所述防护服务器，用于提供对所述安全终端的逻辑存储区域的数据还原保护。

2.如权利要求1所述的局域网系统，其特征在于，所述安全终端还包括存储区域，所述 存储区域被所述划分模块划分为多个逻辑存储区域，包括：

系统资源存储区，用于存储操作系统和应用程序代码，由所述安全终端及所述防护服务 器提供数据还原保护；

非涉密资源存储区，用于存储与所述安全终端具有相同身份标识的用户的私有非涉密数 据；

涉密资源存储区，是所述安全终端的虚拟存储区，是所述私有涉密资源服务器存储的所 述用户的私有涉密资源在所述安全终端本地的映射；

临时存储区，用于临时存储各类数据，由所述安全终端及所述防护服务器提供数据还原 保护。

3.如权利要求2所述的局域网系统，其特征在于，所述本地监控模块包括以下单元中的 至少一个：

第一单元，用于允许未访问过涉密数据的所述用户自由访问所述非涉密资源存储区；禁 止访问过涉密数据的所述用户写入任何信息到所述非涉密资源存储区；

第二单元，用于当所述用户的登录模式为涉密模式时，禁止对所述安全终端的输入输出 设备和所述非涉密资源存储区进行写操作；

第三单元，用于根据所述用户的请求，获取所述公共涉密资源服务器上的公共涉密资源 并存储在所述临时存储区；根据所述用户的请求，获取所述私有涉密资源服务器上的所述用 户的私有涉密资源并存储在所述涉密资源存储区；

第四单元，用于允许用户对密级不高于用户的最高密级的文件进行只读访问，并在所述 只读访问操作之后，更新所述用户的当前密级；允许用户对密级不低于用户的当前密级的文 件进行只写访问；允许用户对密级不高于用户的最高密级且不低于用户的当前密级的文件进 行读写访问，并在所述读写访问操作之后，更新所述用户的当前密级；在用户当前密级发生 改变时，将所述用户的当前密级信息转发给主控制服务器。

4.如权利要求1所述的局域网系统，其特征在于，所述网络监控设备具体用于，

禁止信息由当前密级较高的安全终端流向当前密级较低的安全终端，其中，所述安全终 端的当前密级与所述安全终端的登录用户的当前安全密级保持一致；

对以涉密模式登录的用户，禁止所述以涉密模式登录的用户所使用的安全终端与外网连 接。