[发明专利]一种实现数据安全存储及数据访问控制的系统及其方法

摘要

本发明公开一种实现数据安全存储及数据访问控制的系统及其方法，该系统包括应用服务器，存储安全网关，安全策略服务器和后端存储系统；应用服务器以及后端存储系统之间增加存储安全网关来实现数据安全域划分、隔离及访问控制。存储安全网关同存储虚拟化网关能协同工作，利用虚拟化技术实现数据在实际物理介质上按照安全域方式存储。数据访问请求到达存储虚拟化网关时，可由存储虚拟化网关调用存储安全网关的功能来实现数据安全域的隔离和访问控制。由于所有访问后端存储系统的数据请求都会经过存储安全网关处理，确保安全控制在数据的唯一路径上进行，不会被旁路。且安全控制在数据访问的底层实现，能够有效防止上层应用层针对数据的攻击手段。

主权项

一种实现数据安全存储及数据访问控制的系统，其特征在于：包括四个部分分别为发起请求的应用服务器，存储安全网关，安全策略服务器和后端存储系统；所述应用服务器负责接收来自网络上的数据访问请求，并发起对后端存储系统的数据访问请求；所述存储安全网关负责实现安全域管理，数据安全域划分、隔离及访问控制功能；存储安全网关是一个逻辑功能部件，其是通过软件实现的功能模块或者是硬件方式的网关设备；存储安全网关同存储虚拟化网关直连，如果存储安全网关是软件实现的功能模块，则作为存储虚拟化网关的一个功能部件实现；如果存储安全网关是硬件方式的网关设备，则同存储虚拟化网关直接连接；所述存储安全网关包括设备信息管理模块、安全域管理模块、数据迁移监控模块、数据敏感度判定模块和数据访问控制模块；所述设备信息管理模块负责管理存储设备信息并计算所接入的后端存储系统中物理存储介质的安全属性值；所述设备信息管理模块会事先维护一个列表，其中记录所有存储设备品牌、设备类型、和对应权重及值，作为计算设备安全属性值的输入项；首先，设备信息管理模块将自动获取并管理后端存储系统接入的每个存储设备的信息，并利用该信息计算出设备对应的安全属性值，同时维护和管理存储设备安全属性值列表；该安全属性值将作为安全域管理模块的输入项，作为划分安全域的依据；纳入管理的每个存储设备的信息包括设备品牌，存储容量，存储介质类型和RAID信息；所述安全域管理模块负责维护和管理由存储设备虚拟地址空间到安全域之间的映射表；首先，安全域管理模块会获取存储设备的安全属性值，依据安全属性值计算存储设备所属的安全域，建立存储设备的虚拟地址空间到安全域的映射表记录项；所述数据迁移监控模块负责监控在安全域之间的数据流量，当安全域之间有违背安全策略的数据流动，监控模块会发出控制命令，阻止数据迁移；数据流量通常发生在数据的复制，迁移过程中，由存储虚拟化网关在进行存储管理功能时自动进行或在应用层发出指令时进行；数据迁移监控模块会依据安全域之间的数据流安全策略监控数据流向，当发现不符合安全策略的数据流量时，则通知访问控制模块进行控制；所述数据敏感度判定模块，当接收到数据请求指令时，数据敏感度判定模 块将识别指令中数据块的敏感级别；当识别到高敏感级别的数据存储指令，则依据安全域管理模块的映射表，计算该数据块对应的安全域和虚拟地址空间，并通知存储虚拟化网关，将数据存储到对应的安全域；当识别为数据访问指令时，则获取访问请求主体的安全等级，并由数据访问控制模块来根据安全策略处理访问请求；数据块的敏感级别以及访问主体的安全等级可以作为数据块安全属性的一部分同存储指令一同传输到存储虚拟化网关，并交给数据敏感度判定模块进行判定所述数据访问控制模块负责实现对数据的访问进行安全域隔离和访问控制功能；对数据的安全域隔离包括接收来自数据迁移监控模块的指令，并转换为存储虚拟化网关识别的操作指令，限制数据在安全域之间的迁移；访问控制功能包括依据安全策略，限制不同安全级别的请求者对安全域中数据的访问；数据访问控制模块实施的控制方式由安全策略定义；所述安全策略服务器用于保存并管理所有数据安全域策略，接受来自存储安全网关的查询并响应；所述后端存储系统包括物理或虚拟的存储设备，后端存储系统是数据的主要存储地，主要由存储网络设备，存储控制器以及存储介质构成；其中，应用服务器发起数据访问请求，请求携带数据的敏感级安全属性信息，存储安全网关获取请求中的敏感级信息，判断该敏感级对应的安全域，并建立数据块的安全域索引；存储安全网关将安全域信息转换为存储虚拟化网关识别的虚拟地址，再由虚拟化网关转换为对应的物理地址，最终数据将被保存在物理地址上对应的安全域中；数据访问请求如果是读取数据，则存储安全网关获取当前访问请求方的安全等级以及被访问数据的敏感级，并查询安全策略服务器，获取该访问请求方对应的安全策略，判断是否允许访问；在数据迁移或复制过程中，存储安全网关监控数据块的迁移源地址和目的地址，如果和地址所对应的安全域策略相违背，则会通知存储虚拟化网关阻止迁移发生，并在相同等级的安全域之间或安全域内部进行迁移和复制。