[发明专利]一种基于网络标签通信的分级分域访问控制方法和系统

说明书

技术领域

本发明属于计算机信息安全技术领域，特别是涉及一种基于网络标签通信的分级分域访问控制方法和系统。

背景技术

涉密信息系统分级保护是以系统所处理信息的最高密级来确定安全等级的，在合理划分安全域边界安全可控的情况下，各安全域可根据涉密高定级单独定级，实施“分域分级防护”的策略，从而保障信息安全。目前现有的分级分域访问控制大多是基于权限的用户层分级分域访问控制方法，该方法无法实现终端分级分域管理。

发明内容

本发明所要解决的技术问题是提供一种基于网络标签通信的分级分域访问控制方法和系统，区别于普通的基于权限的用户层分级分域访问控制，本发明不仅能够实现分级分域访问控制功能，而且能够保障网络数据安全。

本发明解决其技术问题所采用的技术方案是：一种基于网络标签通信的分级分域访问控制方法，具体包括以下步骤：

1) 终端在IP数据包发送前根据终端内部配置策略确认数据是否能够发送，如果能够发送对待发送的IP数据包追加设备标签数据后发送；

2) 终端在接收IP数据包时验证设备标签数据，根据终端内部配置策略判断IP包是否能够接收，如果设备标签数据合法则解除标签数据，接收IP数据包，否则丢弃此IP包；

所述标签数据包括网络域标识、网络级别标识、主体标识和访问权限。

优选的，所述步骤1）之前还包括策略管理系统配置终端访问控制策略步骤，具体包括配置终端所在网络域划分、网络级别指定、运行主体指定、通信协议、接入接出控制、终端之间访问控制。

优选的，所述配置终端访问控制策略步骤之前还包括终端客户端下载安装注册步骤，具体包括以下子步骤：

31）终端下载策略管理系统提供的终端客户端安装包；

32）终端对下载好的客户端安装包执行安装；

33）终端在安装过程中将终端注册到策略管理系统中，同时在终端内加载相关访问控制引擎。

优选的，还包括终端客户端定时向策略管理系统请求更新策略信息步骤。

优选的，所述的标签数据来源于策略管理系统。

本发明解决其技术问题所采用的技术方案是：还提供一种基于网络标签通信的分级分域访问控制系统，终端内部包括发送单元，所述发送单元用于在IP数据包发送前根据终端内部配置策略确认数据是否能够发送，如果能够发送对待发送的IP数据包追加设备标签数据后发送；终端内部还包括接收单元，所述接收单元在接收IP数据包时验证设备标签数据，根据终端内部配置策略判断IP包是否能够接收，如果设备标签数据合法则解除标签数据，接收IP数据包，否则丢弃此IP包；所述标签数据包括网络域标识、网络级别标识、主体标识、访问权限。

优选的，还包括策略管理系统，所述策略管理系统用于配置终端访问控制策略，具体包括配置终端所在网络域划分、网络级别指定、运行主体指定、通信协议、接入接出控制、终端之间访问控制。

优选的，所述终端在策略管理系统配置终端之前下载策略管理系统提供的终端客户端安装包，并执行安装，终端在安装过程中将终端注册到策略管理系统中，同时在终端内加载相关访问控制引擎。

优选的，还包括终端客户端策略更新单元，用于终端客户端定时向策略管理系统请求更新策略信息步骤。

优选的，所述的标签数据来源于策略管理系统。

有益效果

由于采用了上述的技术方案，本发明与现有技术相比，具有以下的优点和积极效果：

第一：能够实现终端分级分域管理

通过策略管理系统对终端指定网络域、网络级别，终端在发送数据时依据自身策略和目标终端域、级别标识判断IP数据包是否能够发送到目标终端；终端在接收数据时依据自身策略和源终端域、级别标识判断IP数据包是否能够接收；如此实现低级别域内终端数据单向流入高级别域，同级别域终端可以双向访问等访问控制。

第二：能够保障网络数据安全

通过IP数据增加网络标签数据通信，在网络传输的IP数据只有被管理的终端能够识别，普通未被管理的终端无法识别，提升了网络数据安全性。

附图说明

图1是本发明基于网络标签通信的分级分域访问控制系统结构图。

具体实施方式

下面结合具体实施例，进一步阐述本发明。应理解，这些实施例仅用于说明本发明而不用于限制本发明的范围。此外应理解，在阅读了本发明讲授的内容之后，本领域技术人员可以对本发明作各种改动或修改，这些等价形式同样落于本申请所附权利要求书所限定的范围。