[发明专利]一种多安全域数据交换方法及系统

说明书

本发明公开了一种多安全域数据交换方法及系统，属于数据交换领域，包括：在被调用系统对应所在的第一安全域中对被调用系统进行配置，得到第一配置信息；在跨安全域的调用系统对应所在的第二安全域中对被调用系统进行虚拟配置，得到虚拟对象及对应的虚拟配置信息。本发明在访问同一安全域中的被调用系统时，直接通过第一配置信息访问；在跨安全域访问被调用系统时，先访问虚拟对象，再通过虚拟对象的虚拟配置信息访问被调用系统；无需打破不同安全域的两个系统之间的网络层，也不会破坏不同安全级别的区域或系统间的整体防护策略，即可实现多安全的数据交换。

技术领域

本发明涉及数据交互领域，尤其涉及一种多安全域数据交换方法及系统。

背景技术

安全域是一组具有相同安全级别和安全需求的计算机系统集合，比如办公域，由一组办公终端(PC)构成；服务域，由一组服务器构成；管理域，由一组管理终端构成。随着系统互联互通的建设，互联网区域、DMZ区域、内网区域、专网区域等安全域之间越来越多的数据需要进行交互。

现有技术在不同安全域之间进行数据交换时的安全防护不足，甚至使用代理工具进行层层代理，例如从互联网访问通过层层代理，访问到内网的某个系统页面；或者从内网能直接访问到互联网的某个网站。位于不同安全域的两个系统之间即使是采用数据总线进行数据交换，仍需将两个系统之间的网络层打通，破坏了不同安全级别的区域或系统间的整体防护策略，例如只要通过数据总线就能访问到任何安全区域的系统，或任何区域的系统都能访问数据总线所在的安全区域，出现数据被非法用户访问或合法用户不可访问的现象，因此针对以上问题，迫切需要设计出一种多安全域数据交换方法及系统，以满足实际使用的需要。

发明内容

为了解决以上技术问题，本发明提供了一种多安全域数据交换方法及系统。

本发明所解决的技术问题可以采用以下技术方案实现：

一种多安全域数据交换方法，所述方法包括：

在被调用系统对应所在的第一安全域中对所述被调用系统进行配置，得到一第一配置信息；

在跨安全域的调用系统对应所在的第二安全域中对所述被调用系统进行虚拟配置，得到一虚拟对象及对应的虚拟配置信息，所述虚拟配置信息包括所述被调用系统对应的安全域标签；

接收所述调用系统的发送的报文，所述报文包括所述调用系统访问一目标系统的请求；

判断所述目标系统是否为所述虚拟对象；

于所述目标系统为所述虚拟对象时，判断是否存在所述调用系统访问所述虚拟对象对应的第一访问策略；

若存在，则根据所述虚拟配置信息将报文发送至所述目标系统。

本发明所述的多安全域数据交换方法，于所述目标系统不是所述虚拟对象时，还包括：

判断是否存在所述调用系统访问所述目标系统对应的第二访问策略；

若存在，则根据所述第一配置信息访问所述目标系统。

本发明所述的多安全域数据交换方法，还包括：

为每一所述被调用系统进行标记，得到所述被调用系统对应的所述安全域标签。

本发明所述的多安全域数据交换方法，所述第一配置信息包括所述被调用系统的实际地址、访问方式、访问所需连接信息。

本发明所述的多安全域数据交换方法，所述虚拟配置信息还包括所述虚拟对象到所述被调用系统的映射关系。

本发明所述的多安全域数据交换方法，还包括分布式部署于各所述安全域中的数据总线；

根据所述虚拟配置信息将报文发送至所述被调用系统，具体包括：