CN105282157B - 一种安全通信控制方法 - Google Patents

Abstract

本发明提供了一种安全通信控制方法。其中，管理中心发送终端安全策略文件给可信终端，以及发送网关安全策略文件给可信网关；可信终端根据终端安全策略文件对流入和流出可信终端的数据包进行安全控制；可信网关根据网关安全策略文件对流入和流出可信网关的数据包进行安全控制。由于可信终端和可信网关均对流入和流出的数据包均进行相应的安全检验和处理，避免数据包被恶意篡改，以及避免网络中网域之间的非法访问，实现了不同网域之间的安全通信。

Description

一种安全通信控制方法

技术领域

本发明涉及可信计算及网络通信领域，具体而言，涉及一种安全通信控制方法。

背景技术

随着信息技术的发展，网络通信安全已成为制约信息发展的重要问题。如何保障网络互联安全，实现网络中各设备间安全通信，已成为目前急需解决的问题。

当前，主要是通过网络中的终端通过入侵检测和病毒防护等技术，对自身接收到的信息进行安全检测，排查恶意攻击的非法信息，以保障网络通信的安全。

但是通过入侵检测和病毒防护等技术只能检测出终端接收到的信息中是否包含病毒或木马，而无法对不同网域之间的通信进行安全控制，终端可能向其无访问权限的网域发送信息，也可能接收到来自无访问权限的网域的终端发送的信息。

发明内容

有鉴于此，本发明实施例的目的在于提供一种安全通信控制方法，实现不同网域之间的安全通信。

第一方面，本发明实施例提供了一种安全通信控制方法，所述方法包括：

可信终端通过网络过滤驱动截获数据包，根据所述数据包的源地址和目的地址，判断所述数据包的类型，所述数据包的类型包括流出型和流入型；

当判断出所述数据包的类型为流出型时，所述可信终端根据所述目的地址和终端安全策略文件对所述数据包进行安全处理；

当判断出所述数据包的类型为流入型时，所述可信终端根据所述源地址和所述终端安全策略文件对所述数据包进行安全检验。

结合第一方面，本发明实施例提供了上述第一方面的第一种可能的实现方式，其中，所述可信终端根据所述目的地址和终端安全策略文件对所述数据包进行安全处理，包括：

所述可信终端根据所述目的地址，判断接收终端是否与所述可信终端位于同一可信网关对应的范围内；

如果是，则发送所述数据包给所述接收终端；如果否，则根据所述目的地址和终端安全策略文件包括的访问控制表，判断所述接收终端是否属于例外设备；

如果属于例外设备，将所述数据包发送给所述接收终端；如果不属于例外设备，则为所述数据包生成流标签，将所述流标签添加在所述数据包中，将添加所述流标签的所述数据包发送给所述接收终端。

结合第一方面的第一种可能的实现方式，本发明实施例提供了上述第一方面的第二种可能的实现方式，其中，所述为所述数据包生成流标签，将所述流标签添加在所述数据包中，包括：

所述可信终端获取自身所属的安全域的安全等级；

根据所述数据包的端口号从所述终端安全策略文件包括的标签配置表中获取所述端口号对应的优先级别；

从所述终端安全策略文件包括的组播密钥表中获取所述可信终端所属的安全域的标识及所述安全域对应的组播密钥；

通过所述组播密钥对所述安全域的标识、所述安全等级、所述优先级别、所述数据包的源地址、目的地址、虚拟机标识、预留字段及数据段进行哈希运算，得到校验值；

将所述安全域的标识、所述优先级别、所述虚拟机标识、所述预留字段和所述校验值组成所述数据包的流标签，将所述流标签添加到所述数据包的数据包头中。

结合第一方面，本发明实施例提供了上述第一方面的第三种可能的实现方式，其中，所述可信终端根据所述源地址和所述终端安全策略文件对所述数据包进行安全检验，包括：

所述可信终端判断所述数据包的数据包头中是否包含流标签；

若判断出不包含流标签，则根据所述数据包的源地址和所述终端安全策略文件包括的访问控制表，判断发送终端是否为例外设备，如果是，则接收所述数据包，如果否，则丢弃所述数据包；

若判断出包含流标签，则对所述流标签进行检验，若检验通过，则接收所述数据包，若检验未通过，则丢弃所述数据包。

结合第一方面的第三种可能的实现方式，本发明实施例提供了上述第一方面的第四种可能的实现方式，其中，所述对所述流标签进行检验，包括：

获取所述流标签包括的安全域的标识、优先级别、虚拟机标识、预留字段和校验值，以及从所述数据包中获取源地址、目的地址及数据段；

根据所述安全域的标识，获取所述安全域的组播密钥及安全等级；

通过所述组播密钥对所述安全域的标识、所述虚拟机标识、所述预留字段、所述安全等级、所述优先级别、所述数据包的源地址、目的地址及数据段进行哈希运算，将哈希运算的值与所述校验值进行比较，若两者相同，则检验通过，若两者不相同，则检验未通过。

结合第一方面，本发明实施例提供了上述第一方面的第五种可能的实现方式，其中，所述方法还包括：

所述可信终端接收管理中心发送的终端安全策略文件，所述终端安全策略文件包括标签配置表、组播密钥表、访问控制表及安全域相关表；

所述可信终端记录访问行为信息，将所述访问行为信息组成终端安全日志，并每隔第一预设时间段发送所述终端安全日志给所述管理中心。

第二方面，本发明实施例提供了一种安全通信控制方法，所述方法包括：

可信网关接收终端发送的数据包，判断所述数据包是否包含流标签；

若判断出不包含流标签，则根据所述数据包的源地址和网关安全策略文件包括的例外设备列表，判断所述终端是否为例外设备，如果是，则转发所述数据包，如果否，则丢弃所述数据包；

若判断出包含流标签，则根据所述网关安全策略文件对所述流标签进行检验，若检验通过，则转发所述数据包，若检验未通过，则丢弃所述数据包。

结合第二方面，本发明实施例提供了上述第二方面的第一种可能的实现方式，其中，所述可信网关接收终端发送的数据包之前，还包括：

所述可信网关接收管理中心发送的网关安全策略文件，所述网关安全策略文件包括例外设备列表、验签策略表及安全域组播密钥表。

结合第二方面，本发明实施例提供了上述第二方面的第二种可能的实现方式，其中，所述方法还包括：

所述可信网关记录数据包异常信息，将所述数据包异常信息组成网关安全日志，并每隔第二预设时间段将所述网关安全日志发送给管理中心。

第三方面，本发明实施例提供了一种安全通信控制方法，所述方法包括：

管理中心发送终端安全策略文件给可信终端，以及发送网关安全策略文件给可信网关，使所述可信终端根据所述终端安全策略文件进行安全通信控制，以及使所述可信网关根据所述网关安全策略文件进行安全通信控制；

所述管理中心接收所述可信终端发送的终端安全日志，以及接收所述可信网关发送的网关安全日志，根据所述终端安全日志及所述网关安全日志分别对所述可信终端和所述可信网关进行安全监控。

在本发明实施例提供的方法中，管理中心为可信终端配置终端安全策略文件，以及为可信网关配置网关安全策略文件。可信终端根据终端安全策略文件对流入或流出可信终端的数据包进行安全控制。可信网关根据网关安全策略文件对经过可信网关的数据包进行安全控制。如此可以实现不同网域之间的安全通信，避免无访问权限的网域之间的恶意访问。

为使本发明的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1示出了本发明实施例1所提供的一种安全通信控制的方法流程图；

图2A示出了本发明实施例2所提供的一种安全通信控制的信令交互图；

图2B示出了本发明实施例2所提供的一种可信终端处理数据包的示意图；

图2C示出了本发明实施例2所提供的一种验签策略示意图；

图2D示出了本发明实施例2所提供的一种通信网络示意图；

图3示出了本发明实施例3所提供的一种安全通信控制的***结构示意图。

具体实施方式

下面将结合本发明实施例中附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

考虑到相关技术中无法对不同网域之间的通信进行安全控制，终端可能向其无访问权限的网域发送信息，也可能接收到来自无访问权限的网域的终端发送的信息。基于此，本发明实施例提供了一种安全通信控制方法。下面通过实施例进行描述。

实施例1

参见图1，本发明实施例提供了一种安全通信控制方法。该方法具体包括以下步骤：

步骤101：管理中心发送终端安全策略文件给可信终端，以及发送网关安全策略文件给可信网关；

上述终端安全策略文件包括标签配置表、组播密钥表、访问控制表及安全域相关表。上述网关安全策略文件包括例外设备列表、验签策略表及安全域组播密钥表。

步骤102：可信终端接收管理中心发送的终端安全策略文件，根据该终端安全策略文件对经过可信终端的数据包进行安全控制；

可信终端通过网络过滤驱动截获数据包，根据数据包的源地址和目的地址，判断数据包的类型，数据包的类型包括流出型和流入型；当判断出数据包的类型为流出型时，根据目的地址和终端安全策略文件对数据包进行安全处理；当判断出数据包的类型为流入型时，根据源地址和终端安全策略文件对数据包进行安全检验。

步骤103：可信网关接收管理中心发送的网关安全策略文件，根据该网关安全策略文件对经过可信网关的数据包进行安全控制。

可信网关接收终端发送的数据包，判断数据包是否包含流标签；若判断出不包含流标签，则根据数据包的源地址和网关安全策略文件包括的例外设备列表，判断终端是否为例外设备，如果是，则转发数据包，如果否，则丢弃数据包；若判断出包含流标签，则根据网关安全策略文件对流标签进行检验，若检验通过，则转发数据包，若检验未通过，则丢弃数据包。

在本发明实施例中，管理中心为可信终端配置终端安全策略文件，以及为可信网关配置网关安全策略文件。可信终端根据终端安全策略文件对流入或流出可信终端的数据包进行安全控制。可信网关根据网关安全策略文件对经过可信网关的数据包进行安全控制。如此可以实现不同网域之间的安全通信，避免数据包被恶意篡改，以及避免无访问权限的网域之间的恶意访问。

实施例2

参见图2A，本发明实施例提供了一种安全通信控制方法。在本发明实施例中，通过管理中心对网络中的可信终端和可信网关进行统一管理，通过多个可信终端和多个可信网关可以组成不同的网域。通过本发明实施例提供的安全通信控制方法可以实现不同的网域之间的安全通信。该方法具体包括以下步骤：

其中，在网域之间的通信进行安全控制前，首先通过如下步骤201-204的操作完成对可信终端和可信网关的初始化配置。

步骤201：管理中心生成终端安全策略文件，将该终端安全策略文件发送给可信终端，该终端安全策略文件包括标签配置表、组播密钥表、访问控制表及安全域相关表；

在本发明实施例中，可信终端和可信网关可以均通过可信增强技术进行增强，增加可信终端和可信网关的可信性。可信终端上可以根据用户需求安装多个虚拟机。例外设备为无法进行可信增强的设备。例外设备、可信终端和可信网关等组成的通信网络中可以包括多个不同的网域，一个网域覆盖一段IP(Internet Protocol Address，网际协议地址)地址段，每个网域中都可以包括多个可信终端或例外设备，不同的网域之间可以通过可信网关进行连接。

对于每个网域，管理中心设置了网域的安全域ID(Identity，标识)、安全等级及组播密钥，安全域ID即为网域的标识，根据网域的IP地址段划分网域的安全等级，可以划分为绝密、机密、秘密和公开等不同等级，由于网域设置了安全等级，在本发明中网域又可称为安全域。每个网域都有其对应的组播密钥，可以根据网域的组播密钥实现网域之间的安全通信。对于每个网域，管理中心还设置了允许网域访问的网域，以及禁止该网域访问的网域。其中，一个安全域内的所有终端可自由通信，同一安全级别的安全域之间可进行通信，根据需要可设定一些域之间不能进行通信。

管理中心为一可信终端配置终端安全策略文件时，管理中心首先根据该可信终端的IP地址确定该可信终端所属的网域，将该网域的安全域ID及该网域的组播密钥组成该可信终端的组播密钥表。

管理中心根据该可信终端所属的网域，确定允许该可信终端访问的网域，以及确定允许访问的网域包括的例外设备的标识，将允许访问的网域的安全域ID、IP地址段、组播密钥以及允许访问的网域包括的例外设备的标识组成该可信终端的访问控制表。例外设备的标识可以为例外设备的IP地址。

管理中心根据该可信终端所属的网域，确定禁止该可信终端访问的网域，将禁止该可信终端访问的网域的安全域ID组成该可信终端的安全域互斥表。

另外，有时需要更改可信终端所属的网域，需要记录该可信终端所属网域的变动情况，管理中心记录有可信终端的安全域历史记录表，该安全域历史记录表中包括可信终端上的虚拟机标识、虚拟机所属网域的安全域ID及属于该网域的起止时间。当将该可信终端从其所属的网域中划分出来后，由于其原来所属网域与某些特定网域之间不可通信，那么此可信终端不能再划分到这些特定的网域中。因此，管理中心应在每次为可信终端或可信终端上的虚拟机重新指定网域时，需首先检查此网域是否与安全域历史记录表中的网域互斥。管理中心将可信终端的安全域互斥表和安全域历史记录表组成安全域相关表。

可信终端具有多个端口，管理中心可以设置每个端口的优先级别，端口的优先级别可以为低、高或实时等不同级别。管理中心将该可信终端各个端口的端口号及各个端口的优先级别组成该可信终端的标签配置表。

管理中心将上述组播密钥表、访问控制表、安全域相关表和标签配置表组成终端安全策略文件，并将该终端安全策略文件发送给该可信终端。

对于网络中的其它每个可信终端，管理中心都按照上述方式为其它每个可信终端配置终端安全策略文件。

在本发明实施例中，在修改可信终端所属的安全域时，通过列表的方式选择将要分配的安全域。检查该安全域的安全级别是否高于可信终端的安全级别。查看可信终端的安全域历史记录表和安全域互斥表，检查当前所选择的安全域是否与其历史记录所记录的安全域互斥，若互斥需重新选择，若不互斥，则提示选择成功，并将此可信终端所属的安全域修改为所选择的安全域。然后向安全域历史记录表中添加新的记录，加入当前可信终端ID和当前的安全域ID。

终端安全策略文件更新时，管理中心需及时将更新后的终端安全策略文件发送给可信终端。

另外，在本发明实施例中，管理中心将终端安全策略文件发送给可信终端之前，还可以先对可信终端的身份进行认证。身份认证可由可信终端发起，采用基于公钥体制的对等身份认证协议，认证通过且可信终端获得终端安全策略文件后，可信终端可以将终端安全策略文件中的组播密钥表存于Ukey(小型存储设备)中。

步骤202：可信终端接收并存储管理中心发送的终端安全策略文件；

管理中心完成对网络中的可信终端的初始化配置的同时，也需要通过如下步骤203和204的操作完成对可信网关的初始化配置。

步骤203：管理中心生成网关安全策略文件，将该网关安全策略文件发送给可信网关，该网关安全策略文件包括例外设备列表、验签策略表及安全域组播密钥表；

管理中心将所有网域的安全域ID及组播密钥组成安全域组播密钥表。管理员将所有例外设备的ID和该例外设备可以访问的安全域的IP地址段组成例外设备列表。

在本发明实施例中，可信网关的验签方式由两个因素控制，一是端口的优先级，高优先级的数据包，验签比例相对较低，反之较高。二是可信终端或虚拟机的安全级别，安全级别越高，则验签的比例越高。管理中心综合考虑上述两个因素，指定验签策略表。验签策略表可以是管理中心基于“风险矩阵”制定的二维表，如表1所示。

表1

低

高

实时

绝密	100％	50％	20％
				机密	50％	30％	10％
秘密	30％	20％	5％
				公开	20％	10％	0％

上述表1中的百分比数据表示验签比例，如安全等级为绝密且优先等级为低时验签比例为100％，即需要对每个安全等级为绝密且优先等级为低的数据包进行验签。上述百分比数据可由管理员进行预先配置。可信终端发送数据包前首先要对数据包加载流标签，流标签中包含了安全域ID与优先级别字段。数据包传送至可信网关时，可信网关按照上述表1所示的二维表中的抽样比例对数据包的流标签进行验签。

管理中心将上述例外设备列表、验签策略表及安全域组播密钥表组成网关安全策略文件，将该网关安全策略文件发送给可信网关。对于网络中的每个可信网关，管理中心都按照上述方式将网关安全策略文件发送给每个可信网关。当网关安全策略文件更新时，管理中心需及时将更新后的网关安全策略文件发送给可信网关。

在本发明实施例中，管理中心将网关安全策略文件发送给可信网关之前，还可以先对可信网关进行身份认证。可信网关在第一次启动时与管理中心进行双向身份认证，身份认证是由可信网关对管理中心发起的，采用基于公钥体制的对等身份认证协议进行认证，认证通过后，可信网关才能获得网关安全策略文件。

上述基于公钥体制的对等身份认证协议的认证过程如下：

可信网关向管理中心发起会话，利用管理中心的公钥加密可信网关的ID和可信网关的公钥数字证书，并发送给管理中心，管理中心接收到可信网关的公钥数字证书后得到可信网关的公钥；管理中心利用可信网关的公钥，将管理中心的公钥数字证书、身份ID和产生的第一随机数加密，并发送给可信网关；可信网关接收到上述信息后，利用管理中心的公钥数字证书得到管理中心的公钥，然后利用管理中心的公钥将可信网关的ID、产生的第二随机数及上述第一随机数加密，并发送给管理中心；管理中心利用自己的私钥解密后确认可信网关的身份，最后管理中心利用可信网关的公钥将可信网关所管辖的安全域的组播密钥和安全域ID加密后传输给可信网关，双方进行对等身份认证结束。

步骤204：可信网关接收并存储管理中心发送的安全策略文件；

在本发明实施例中，为可信终端配置终端安全策略文件，以及为可信网关配置网关策略文件，此处统称为为终端配置安全策略文件，该配置过程可以有以下两种方式：

1.终端主动发起认证。

由终端发出连接请求，管理中心预先设置服务端监听线程，实时接收来自终端的连接请求。终端与管理中心之间的TCP(Transmission Control Protocol,传输控制协议)连接建立完成后，管理中心将需要推送的安全策略文件，利用管理中心私钥进行数字签名，然后发送到终端。终端收到安全策略文件后，使用管理中心的公钥证书验证数字签名，并加入管理中心当前的时间戳，保证安全策略文件的安全性，若验证失败，则需要请求管理中心重新发送安全策略文件。

2.管理中心主动发起认证。

当管理中心的安全策略文件更新时，由管理中心向终端发送请求建立TCP连接。终端需要预先开放监听端口，实时查看是否有来自管理中心的请求，TCP连接建立后，使用与第一种方式中数字签名验证同样的方法将更新的安全策略文件发送给终端。

通过上述步骤201-204的步骤完成对网络中的可信终端和可信网关的初始化配置后，可信终端和可信网关就可以通过如下步骤205-212的操作来对网络中的数据通信进行安全控制。

步骤205：可信终端通过网络过滤驱动截获数据包，根据数据包的源地址和目的地址，判断数据包的类型，当数据包的类型为流出型时执行步骤206，当数据包的类型为流入型时执行步骤207；

由于，可信终端上安装有多个虚拟机，可能同时有虚拟机往外发送数据包或接收到其它设备发送的数据包，据此本发明实施例中将数据包的类型分为流入型和流出型两种。流入型的数据包为其它设备发送过来的数据包，流出型的数据包为可信终端的虚拟机往外发送的数据包。

可信终端通过网络过滤驱动截获经过可信终端的数据包，从该数据包中获取该数据包的源地址和目的地址，分别将该数据包的源地址和目的地址与可信终端的IP地址进行比较，若数据包的源地址与可信终端的IP地址相同，则判断出该数据包的类型为流出型。若数据包的目的地址与可信终端的IP地址相同，则判断出该数据包的类型为流入型。

步骤206：可信终端根据目的地址和终端安全策略文件对数据包进行安全处理；

当判断出数据包的类型为流出型时，可信终端根据数据包的目的地址，判断该数据包的接收终端是否与可信终端位于同一可信网关对应的范围内，同一可信网关对应的范围内是指接收终端所属的网域及该可信终端所属的网域与同一个可信网关连接，同一可信网关对应的范围内的可信终端都可以相互访问。其中，数据包的目的地址就是接收终端的IP地址，根据接收终端的IP地址，查看终端安全策略文件中的访问控制表包括的网域的IP地址段，确定该接收终端所属的网域，判断该网域与可信终端所属的网域是否位于同一可信网关的范围内。如果是，则可信终端发送该数据包给接收终端。如果否，则根据数据包的目的地址，查看终端安全策略文件包括的例外设备列表中是否包含该目的地址，若包含，则判断出接收终端属于例外设备，将数据包发送给接收终端。若不包含，则判断出接收终端不属于例外设备，则为数据包生成流标签，将流标签添加在数据包中，将添加流标签的数据包发送给接收终端。

上述为数据包生成流标签并将流标签添加在数据包中的过程如下：

可信终端获取自身所属的安全域的安全等级；根据数据包的端口号从终端安全策略文件包括的标签配置表中获取端口号对应的优先级别；从终端安全策略文件包括的组播密钥表中获取可信终端所属的安全域的标识及安全域对应的组播密钥；可信终端从数据包中获取该数据包的源地址、目的地址、虚拟机标识、预留字段及数据段；通过组播密钥对安全域的标识、安全等级、优先级别、数据包的源地址、目的地址、虚拟机标识、预留字段及数据段进行哈希运算，得到校验值；将安全域的标识、优先级别、虚拟机标识、预留字段和校验值组成数据包的流标签，将流标签添加到数据包的数据包头中。

上述虚拟机标识是管理中心为每个虚拟机所配置的标识，且一旦配置完成后就不能再进行更改，主要用于审计功能。预留字段主要用于扩展流标签内容；校验值是为了保证数据包包括的IP地址的真实性，防止IP地址被篡改，使用组播密钥对数据包的源IP地址、目的IP地址、优先级别、安全域的标识、虚拟机标识、预留字段及数据包的数据段进行计算，得出流标签的校验值。

上述流标签主要用于访问控制，保证数据的真实性，防止身份被伪造、IP地址被篡改。另外，流标签还能用于对流量进行控制，在通信中不允许存在不带流标签又不属于例外设备的数据流，即不允许通信中存在异常流量。

在本发明实施例中，可信终端若要发送数据，首先根据终端安全策略文件检查是否可以和接收方通信，通过验证后，为数据包添加流标签，然后正常发送数据。对于流出型的数据包，可信终端按照上述方式对该数据包的接收终端进行判断，并根据判断结果进行安全处理，以防止可信终端上的虚拟机对禁止访问的网域进行非法访问。

步骤207：可信终端根据源地址和终端安全策略文件对数据包进行安全检验；

当可信终端判断出网络过滤驱动截获的数据包位流入型时，可信终端需要对发送该数据包的终端进行判断，并根据判断结果进行安全控制，以防止其它终端对可信终端的非法访问。

上述安全检验的过程如下：

可信终端判断数据包的数据包头中是否包含流标签；若判断出不包含流标签，则根据数据包的源地址，查看终端安全策略文件包括的例外设备列表，若查看出例外设备列表中包含该源地址，则判断出发送终端为例外设备，则接收数据包，若查看出例外设备列表中不包含该源地址，则丢弃该数据包；

若可信终端判断出数据包的数据包头中包含流标签，则对该流标签进行检验，若检验通过，则接收数据包，若检验未通过，则丢弃数据包。

在本发明实施例中可以通过如下方式来对流标签进行检验，具体包括：

可信终端获取流标签包括的安全域的标识、优先级别、虚拟机标识、预留字段和校验值，以及从数据包中获取源地址、目的地址及数据段；根据安全域的标识，获取安全域的安全等级，以及根据安全域的标识从终端安全策略文件包括的组播密钥表中获取对应的组播密钥；通过组播密钥对安全域的标识、虚拟机标识、预留字段、安全等级、优先级别、数据包的源地址、目的地址及数据段进行哈希运算，将哈希运算的值与校验值进行比较，若两者相同，则检验通过，若两者不相同，则检验未通过。

为了防止可信终端接收来自同一网关管辖的且未授权的非可信终端发送的恶意数据，又为了提高终端甚至整个网络的验签效率，对于带有流标签的数据包，可信终端可以先根据数据包的源地址判断此数据包是否来自同一安全域；若不属于同一安全域，则查看安全域互斥表，若该安全域存在于安全域互斥表中，则不允许此数据包流入上层，若不存在于安全域互斥表中，则允许流入。若属于同一安全域，则要按照上述验签操作对该数据包进行验签。

在本发明实施例中，可信终端若要接收数据，按照终端安全策略文件对接收的数据包中的流标签进行验签，保证流标签的完整性。

如图2B所示，可信终端的网络过滤驱动截获数据包，判断数据包的类型为流入型还是流出型，若为流出型，则为数据包加流标签，若为流入型，则对数据包包括的流标签进行验签。通过上述步骤205-207的操作对经过该可信终端的所有数据包进行安全处理，以及时发现并丢弃非法访问的数据包，同时避免可信终端上的虚拟机对禁止访问的网域进行访问，提高了网络通信的安全性和可信性。

通过上述操作进行可信终端的通信安全控制后，还可以通过如下步骤208和209的操作来对可信终端进一步地安全控制。

步骤208：可信终端记录访问行为信息，将访问行为信息组成终端安全日志，并每隔第一预设时间段发送终端安全日志给管理中心；

上述第一预设时间段可以为一天或一周等。访问行为信息可以包括虚拟机ID或可信网关ID、源IP、源端口、目的IP、目的端口、安全级别、事件及日期等。

步骤209：管理中心接收可信终端发送的终端安全日志，根据终端安全日志对可信终端进行安全监控；

管理中心将该终端安全日志发送给审计管理员的终端，审计管理员的终端接收并显示终端安全日志，以使审计管理员对终端安全日志中进行安全审计，检查出试图进行非法访问的用户。

另外，审计管理员也可以使用授权Ukey登陆可信终端，直接审计可信终端生成的终端安全日志。

在本发明实施例中，可信网关可以根据网关安全策略文件，通过如下步骤210-212的操作来对经过该可信网关的数据包进行安全处理。

步骤210：可信网关接收终端发送的数据包，对该数据包进行安全检验，检验通过，则转发该数据包，检验不通过，则丢弃该数据包；

可信网关接收终端发送的数据包，判断该数据包是否包含流标签，若判断出不包含流标签，则根据数据包的源地址，查看网关安全策略文件包括的例外设备列表中是否包含该源地址，若包含，则判断出该终端为例外设备，则转发该数据包。若例外设备列表中不包含该源地址，则判断出该终端不是例外设备，则丢弃该数据包。

若可信网关判断出该数据包包含流标签，则获取流标签包括的安全域的标识、优先级别、虚拟机标识、预留字段和校验值，以及从数据包中获取源地址、目的地址及数据段；根据安全域的标识，获取安全域的安全等级，以及根据安全域的标识从网关安全策略文件包括的安全域组播密钥表中获取对应的组播密钥；通过组播密钥对安全域的标识、虚拟机标识、预留字段、安全等级、优先级别、数据包的源地址、目的地址及数据段进行哈希运算，将哈希运算的值与校验值进行比较，若两者相同，则检验通过，若两者不相同，则检验未通过。

在本发明实施例中，经过可信网关的数据包也可以分为流入网关和流出网关两种类型。可信网关对流入的数据包的处理流程可以为：可信网关首先查看数据包是否带有流标签；若没有带流标签，则根据数据包的源地址查看例外设备列表判断其是否属于例外设备；若属于，则允许数据包流入，若不属于，则禁止接收该数据包；若带有流标签，则对数据包进行验签，验签成功的数据包允许流入可信网关。可信网关对流出的数据包的处理流出如下：可信网关对将要流出的数据包执行的处理由可信网关的网络过滤驱动实施，当数据包从网卡传输到网络过滤驱动时，网络过滤驱动截获到该数据包，然后检查数据包是否带有流标签；若带有，则直接将其传输出去；若不带有，则查看其是否属于例外设备；若属于，则将其传输出去；若不属于，则丢弃该数据包。

可信网关还可以对验签进行负载均衡，当可信网关对大量数据包进行验签时会降低其自身的执行效率，因此必须考虑验签的负载均衡问题。

可信网关的验签方式可以分为不验签、抽样验签和全部验签。不验签表示只查看数据包中是否携带可信标签，并根据可信标签和网关安全策略文件控制数据包的转发；可信网关自身存有它所管辖范围内的终端IP表，在可信网关流量较大时，可信网关根据该IP表查看数据包的IP，属于这张表的数据包，网关可对其不验签。抽样验签可以按表1所设置的抽样比例，或者按照抽样比例的调整公式随机抽取数据包进行验签；全部验签表示所有流经可信网关的数据包均被验签。

另外，可以自动调整可信网关抽样验签的比例，抽样比例与可信终端或安全域的密级要求相适应，密级越高，验签的比例越高。抽样比例与业务的实时性要求成反比，实时性要求越高，验签的比例越低。因此，流标签中的优先级能用于保证一些特定进程的实时性，在网络流量较大时，可信网关可以根据流标签中的优先级别将数据包直接转发出去。根据流标签中的安全域ID所对应的安全级别与优先级别按照管理中心设置的验签二维表中抽验的比例进行验签。当网络过滤驱动截获到数据包后，首先根据流标签中优先级别与安全级别查看制定的如图2C所示的验签策略示意图，然后对数据包实施相应的验签方式，验签的实施主要是依据管理中心下发的验签二维表，并以计数据包个数的方式进行，如图2C所示，当数据包的安全级别为绝密级且优先级别为“实时”时，验签策略为“每5个包验签一次”，则对当前所拦截的数据包进行计数，当数据包个数没有达到5个时则将此数据包放行，若达到5个了，则对当前数据包进行验签。

步骤211：可信网关记录数据包异常信息，将数据包异常信息组成网关安全日志，并每隔第二预设时间段将网关安全日志发送给管理中心；

上述第二预设时间段可以为一天或一周等。数据包异常信息可以为可信网关在对数据包进行安全检验过程中丢弃的数据包，这些数据包存在安全风险。

步骤212：管理中心接收可信网关发送的网关安全日志，根据网关安全日志对可信网关进行安全监控。

管理中心将网关安全日志发送给审计管理员的终端，审计管理员的终端接收并显示该网关安全日志，以使审计管理员对网关安全日志中包括的存在安全隐患的数据包进行安全审计，检查出试图进行非法访问的用户。

在本发明实施例中，设备之间的通信可以分为多种情况，为了便于理解，下面结合附图进行说明。如图2D所示的通信网络示意图，根据图2D所示的通信网络可以归纳出本发明实施例中通信的多种情况。其中，所有的例外设备都必须通过可信网关才能与其它设备进行通信。下面对通信情况进行分别说明：

①通信双方之间经过多个可信网关连接，并且双方都为常规可信终端。如图2D中所示的可信终端C1与可信终端C5之间的通信；

②通信双方之间有可信网关连接，但双方中有一方为例外设备，如图2D中所示的可信终端C1与例外设备C6之间的通信；

③通信双方之间连接不经过可信网关，由交换机连接，双方都为常规可信终端，如图2D中所示的可信终端C1与可信终端C3之间的通信；

④通信双方中有一方为例外设备，如图2D中所示的可信终端C1与例外设备C2之间的通信；

⑤通信双方经一个可信网关连接，双方都为可信终端，如图2D中所示的可信终端C1与可信终端C7之间的通信；

⑥通信双方都为例外设备，且通过可信网关连接，由可信网关对其发送的数据进行处理，如图2D中所示的例外设备C2与例外设备C6之间的通信。

其中，上述①和②两种情况都要经过可信网关进行处理，可信网关可以通过步骤210的操作来对经过其的数据包进行安全控制。上述③的情况没有可信网关对数据包进行控制，可以由发送端和接收端的可信终端按照步骤205-207的操作对数据包进行安全控制。而由于所有例外设备都需要通过可信网关，由可信网关对其通信进行管理。

在本发明实施例中，在安全通信过程中，发送方终端的网络过滤驱动根据管理中心下发的终端安全策略文件判断是否能发送数据包，并对允许发出的数据包加载流标签，将加载流标签后的数据包发送出去。数据包流出可信网关时，可信网关不对数据包进行验签，只查看是否带有流标签，是否为例外设备，然后进行相应操作。数据包流入可信网关时，可信网关要对数据包进行验签，以数据包的个数、数据包流标签中的安全级别和优先级别确定可信网关的验签方式，验签方式主要分为全部验签、抽样验签及不验签。接收终端的网络过滤驱动要对流入的数据包进行验签，允许验签通过的数据包流入终端。

其中，通信网络中除了可信终端、可信网关和例外设备以外，还会有服务器和交换机等多种设备。不论通信网络的拓扑结构如何，网络中的数据通信都可以按照本发明实施例提供的方法，通过可信终端和可信网关对数据包进行安全控制。

在本发明实施例提供的方法中，管理中心为可信终端配置终端安全策略文件，以及为可信网关配置网关安全策略文件。可信终端根据终端安全策略文件对流入或流出可信终端的数据包进行安全控制。可信网关根据网关安全策略文件对经过可信网关的数据包进行安全控制。如此可以实现不同网域之间的安全通信，避免无访问权限的网域之间的恶意访问。

实施例3

参见图3，本发明实施例提供了一种安全通信控制***，该***具体包括：管理中心301、可信终端302和可信网关303；由于可信终端302和可信终端303之间也进行数据通信，图3中用虚线标识两者之间的通信连接。

管理中心301，用于发送终端安全策略文件给可信终端302，以及发送网关安全策略文件给可信网关303；接收可信终端302发送的终端安全日志，以及接收可信网关303发送的网关安全日志，根据终端安全日志及网关安全日志分别对可信终端302和可信网关303进行安全监控。

可信终端302，用于接收管理中心301发送的终端安全策略文件，终端安全策略文件包括标签配置表、组播密钥表、访问控制表及安全域相关表；通过网络过滤驱动截获数据包，根据数据包的源地址和目的地址，判断数据包的类型，数据包的类型包括流出型和流入型；当判断出数据包的类型为流出型时，根据目的地址和终端安全策略文件对数据包进行安全处理；当判断出数据包的类型为流入型时，根据源地址和终端安全策略文件对数据包进行安全检验；

当数据包的类型为流出型时，可信终端302根据目的地址，判断接收终端是否与可信终端302位于同一可信网关对应的范围内；如果是，则发送数据包给接收终端；如果否，则根据目的地址和终端安全策略文件包括的访问控制表，判断接收终端是否属于例外设备；如果属于例外设备，将数据包发送给接收终端；如果不属于例外设备，则为数据包生成流标签，将流标签添加在数据包中，将添加流标签的数据包发送给接收终端。

可信终端302获取自身所属的安全域的安全等级；根据数据包的端口号从终端安全策略文件包括的标签配置表中获取端口号对应的优先级别；从终端安全策略文件包括的组播密钥表中获取可信终端302所属的安全域的标识及安全域对应的组播密钥；通过组播密钥对安全域的标识、安全等级、优先级别、数据包的源地址、目的地址、虚拟机标识、预留字段及数据段进行哈希运算，得到校验值；将安全域的标识、优先级别、虚拟机标识、预留字段和校验值组成数据包的流标签，将流标签添加到数据包的数据包头中。

当数据包的类型为流入型时，可信终端302判断数据包的数据包头中是否包含流标签；若判断出不包含流标签，则根据数据包的源地址和终端安全策略文件包括的访问控制表，判断发送终端是否为例外设备，如果是，则接收数据包，如果否，则丢弃数据包；若判断出包含流标签，则对流标签进行检验，若检验通过，则接收数据包，若检验未通过，则丢弃数据包。

可信终端302获取流标签包括的安全域的标识、优先级别、虚拟机标识、预留字段和校验值，以及从数据包中获取源地址、目的地址及数据段；根据安全域的标识，获取安全域的组播密钥及安全等级；通过组播密钥对安全域的标识、虚拟机标识、预留字段、安全等级、优先级别、数据包的源地址、目的地址及数据段进行哈希运算，将哈希运算的值与校验值进行比较，若两者相同，则检验通过，若两者不相同，则检验未通过。

可信终端302还记录访问行为信息，将访问行为信息组成终端安全日志，并每隔第一预设时间段发送终端安全日志给管理中心301。

可信网关303，用于接收管理中心301发送的网关安全策略文件，网关安全策略文件包括例外设备列表、验签策略表及安全域组播密钥表；接收终端发送的数据包，判断数据包是否包含流标签；若判断出不包含流标签，则根据数据包的源地址和网关安全策略文件包括的例外设备列表，判断终端是否为例外设备，如果是，则转发数据包，如果否，则丢弃数据包；若判断出包含流标签，则根据网关安全策略文件对流标签进行检验，若检验通过，则转发数据包，若检验未通过，则丢弃数据包。

可信网关303还记录数据包异常信息，将数据包异常信息组成网关安全日志，并每隔第二预设时间段将网关安全日志发送给管理中心301。

在本发明实施例提供的***中，管理中心为可信终端配置终端安全策略文件，以及为可信网关配置网关安全策略文件。可信终端根据终端安全策略文件对流入或流出可信终端的数据包进行安全控制。可信网关根据网关安全策略文件对经过可信网关的数据包进行安全控制。如此可以实现不同网域之间的安全通信，避免无访问权限的网域之间的恶意访问。

本发明实施例所提供的---装置可以为设备上的特定硬件或者安装于设备上的软件或固件等。所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，前述描述的***、装置和单元的具体工作过程，均可以参考上述方法实施例中的对应过程。

在本申请所提供的几个实施例中，应该理解到，所揭露装置和方法，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个***，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (8)

1.一种安全通信控制方法，其特征在于，所述方法包括：

可信终端通过网络过滤驱动截获数据包，根据所述数据包的源地址和目的地址，判断所述数据包的类型，所述数据包的类型包括流出型和流入型；

当判断出所述数据包的类型为流出型时，所述可信终端根据所述目的地址和终端安全策略文件对所述数据包进行安全处理；

当判断出所述数据包的类型为流入型时，所述可信终端判断所述数据包的数据包头中是否包含流标签；若判断出不包含流标签，则根据所述数据包的源地址和所述终端安全策略文件包括的访问控制表，判断发送终端是否为例外设备，如果是，则接收所述数据包，如果否，则丢弃所述数据包；若判断出包含流标签，则对所述流标签进行检验，若检验通过，则接收所述数据包，若检验未通过，则丢弃所述数据包。

2.根据权利要求1所述的方法，其特征在于，所述可信终端根据所述目的地址和终端安全策略文件对所述数据包进行安全处理，包括：

所述可信终端根据所述目的地址，判断接收终端是否与所述可信终端位于同一可信网关对应的范围内；

如果是，则发送所述数据包给所述接收终端；如果否，则根据所述目的地址和终端安全策略文件包括的访问控制表，判断所述接收终端是否属于例外设备；

如果属于例外设备，将所述数据包发送给所述接收终端；如果不属于例外设备，则为所述数据包生成流标签，将所述流标签添加在所述数据包中，将添加所述流标签的所述数据包发送给所述接收终端。

3.根据权利要求2所述的方法，其特征在于，所述为所述数据包生成流标签，将所述流标签添加在所述数据包中，包括：

所述可信终端获取自身所属的安全域的安全等级；

根据所述数据包的端口号从所述终端安全策略文件包括的标签配置表中获取所述端口号对应的优先级别；

从所述终端安全策略文件包括的组播密钥表中获取所述可信终端所属的安全域的标识及所述安全域对应的组播密钥；

通过所述组播密钥对所述安全域的标识、所述安全等级、所述优先级别、所述数据包的源地址、目的地址、虚拟机标识、预留字段及数据段进行哈希运算，得到校验值；

将所述安全域的标识、所述优先级别、所述虚拟机标识、所述预留字段和所述校验值组成所述数据包的流标签，将所述流标签添加到所述数据包的数据包头中。

4.根据权利要求1所述的方法，其特征在于，所述对所述流标签进行检验，包括：

获取所述流标签包括的安全域的标识、优先级别、虚拟机标识、预留字段和校验值，以及从所述数据包中获取源地址、目的地址及数据段；

根据所述安全域的标识，获取所述安全域的组播密钥及安全等级；

通过所述组播密钥对所述安全域的标识、所述虚拟机标识、所述预留字段、所述安全等级、所述优先级别、所述数据包的源地址、目的地址及数据段进行哈希运算，将哈希运算的值与所述校验值进行比较，若两者相同，则检验通过，若两者不相同，则检验未通过。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述可信终端接收管理中心发送的终端安全策略文件，所述终端安全策略文件包括标签配置表、组播密钥表、访问控制表及安全域相关表；

所述可信终端记录访问行为信息，将所述访问行为信息组成终端安全日志，并每隔第一预设时间段发送所述终端安全日志给所述管理中心。

6.一种安全通信控制方法，其特征在于，所述方法包括：

可信网关接收终端发送的数据包，判断所述数据包是否包含流标签；

若判断出不包含流标签，则根据所述数据包的源地址和网关安全策略文件包括的例外设备列表，判断所述终端是否为例外设备，如果是，则转发所述数据包，如果否，则丢弃所述数据包；

若判断出包含流标签，则查看数据包中是否携带可信标签，如果是，则根据可信标签和网关安全策略文件控制数据包的转发；如果否，则按预先设置的抽样比例进行流标签检验，或者按照抽样比例的调整公式随机抽取数据包进行流标签检验；在进行流标签检验时根据所述网关安全策略文件对所述流标签进行检验，若检验通过，则转发所述数据包，若检验未通过，则丢弃所述数据包。

7.根据权利要求6所述的方法，其特征在于，所述可信网关接收终端发送的数据包之前，还包括：

所述可信网关接收管理中心发送的网关安全策略文件，所述网关安全策略文件包括例外设备列表、验签策略表及安全域组播密钥表。

8.根据权利要求6所述的方法，其特征在于，所述方法还包括：

所述可信网关记录数据包异常信息，将所述数据包异常信息组成网关安全日志，并每隔第二预设时间段将所述网关安全日志发送给管理中心。