專利名稱：一種基于客戶端的安全管理系統(tǒng)和方法
技術(shù)領(lǐng)域：
本發(fā)明屬于信息安全管理技術(shù)領(lǐng)域，特別是涉及一種基于客戶端的安全管理系統(tǒng)
和方法。
背景技術(shù)：
任何一種安全管理體系的建立取決于它的完備性和非二義性，同時要體現(xiàn)它的科
學(xué)性、實用性和可實現(xiàn)性。中辦27號文明確要求"信息化發(fā)展的不同階段和不同信息系
統(tǒng)有著不同的安全需求，必須從實際出發(fā)，綜合平衡安全成本和風(fēng)險，優(yōu)化信息安全資源配
置，確保重點。要重點保護(hù)基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國家安全、經(jīng)濟(jì)命脈、社會穩(wěn)定等方面的重
要信息系統(tǒng)。"同時指出"重點保護(hù)；誰主管誰負(fù)責(zé)、誰運營誰負(fù)責(zé)；分區(qū)域保護(hù)；同步建
設(shè)；動態(tài)調(diào)整等原則。"這就是信息安全等級保護(hù)要求的精髓，它企業(yè)/機(jī)構(gòu)信息技術(shù)主管
部門對IT系統(tǒng)進(jìn)行有效的區(qū)域劃分，實行重點區(qū)域重點保護(hù)的保護(hù)策略。 隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，安全管理中的失泄密管理已經(jīng)擺到了非常重要的位置了，
網(wǎng)絡(luò)層面的控制、加解密技術(shù)的應(yīng)用能夠在一定的程度上發(fā)揮失泄密管理的作用。 現(xiàn)有技術(shù)中，存在的通過區(qū)域劃分而進(jìn)行安全管理的技術(shù)有基于安全網(wǎng)閘的物理
隔離(網(wǎng)間隔離)，基于防火墻的邊界管理(網(wǎng)內(nèi)分區(qū))，基于三層交換機(jī)的VLAN技術(shù)(分
區(qū)內(nèi)構(gòu)建VLAN)，基于監(jiān)控審計技術(shù)的安全管理技術(shù)，艮卩 (1)利用物理隔離器進(jìn)行網(wǎng)絡(luò)的物理隔離。(網(wǎng)絡(luò)級) (2)利用防火墻進(jìn)行網(wǎng)絡(luò)安全邊界劃分；(防火墻端口級) (3)利用三層交換機(jī)的虛擬局域網(wǎng)(VLAN)功能進(jìn)行虛擬局域網(wǎng)劃分。(交換機(jī)端口級) 物理隔離技術(shù)，將不同性質(zhì)的網(wǎng)絡(luò)利用物理隔離技術(shù)進(jìn)行隔離，是更粗獷的網(wǎng)段劃分方法。網(wǎng)間的通信交互主要依賴物理隔離設(shè)備的"擺渡"技術(shù)實現(xiàn)。
防火墻技術(shù)，按照防火墻的物理接口將網(wǎng)絡(luò)劃分成多個網(wǎng)段，利用防火墻的安全規(guī)則進(jìn)行區(qū)域間交互的安全管理與控制；防火墻技術(shù)劃分網(wǎng)段的粒度比物理隔離技術(shù)要細(xì)一勝。 三層交換機(jī)的VLAN技術(shù)，將通過交換機(jī)接入的客戶端劃分成多個VLAN，通過設(shè)置ACL規(guī)則來管理和控制不同VALN間交互的安全管理與控制；三層交換機(jī)的網(wǎng)段劃分粒度比防火墻要更細(xì)一些。 而在計算機(jī)安全管理中，計算機(jī)客戶端之間通信的管理、安全文檔的流轉(zhuǎn)、移動存儲介質(zhì)的管理以及輸出設(shè)備(如打印機(jī))的管理是失泄密防護(hù)和安全管理的主要方面。
然而，網(wǎng)絡(luò)隔離器(網(wǎng)閘)、防火墻、三層交換機(jī)都是網(wǎng)絡(luò)端口級別的區(qū)域劃分設(shè)備，實施訪問控制和安全管理的是網(wǎng)閘、防火墻和三層交換機(jī)；都是網(wǎng)絡(luò)級的不同性質(zhì)網(wǎng)絡(luò)、網(wǎng)段劃分方法，只能能夠?qū)崿F(xiàn)網(wǎng)絡(luò)間、網(wǎng)段間的訪問控制，無法對客戶端自身進(jìn)行更精細(xì)的管理。具體存在的問題如下
無法控制安全文檔的流轉(zhuǎn)；
5
無法控制移動存儲介質(zhì)的有序使用； 無法控制輸出設(shè)備的安全輸出； 無法控制在拔掉網(wǎng)線后的任何行為等。 也就是說，現(xiàn)有的通過區(qū)域劃分進(jìn)行安全管理的技術(shù)的實施安全策略比較粗獷，很難精細(xì)到用戶終端或具體內(nèi)容，其都是不成體系和粗粒度的，很難起到真正的安全保密作用。 而且，依靠現(xiàn)有的安全管理技術(shù)實現(xiàn)安全區(qū)域劃分的安全管理，要實現(xiàn)網(wǎng)絡(luò)通信、安全文檔、移動存儲介質(zhì)和輸出設(shè)備的安全管理與控制，必須要選用多重技術(shù)來實現(xiàn)，進(jìn)一步地，能夠?qū)崿F(xiàn)安全管理，其系統(tǒng)之間的管理信息是孤立的和分離的，不具備可管理性。

發(fā)明內(nèi)容
本發(fā)明的目的就是針對現(xiàn)有的按區(qū)域劃分的安全管理系統(tǒng)中存在的不足進(jìn)行改進(jìn)，提供一種基于客戶端的安全管理系統(tǒng)和方法。 為實現(xiàn)本發(fā)明的目的而提供的一種基于客戶端的安全管理系統(tǒng)，包括服務(wù)器和至少一客戶端，所述服務(wù)器包括管理中心，用于配置管理域的桌面虛擬保密子網(wǎng)、安全域和客戶端的安全標(biāo)識和安全級別，并設(shè)置所述客戶端的安全管理屬性；所述客戶端包括執(zhí)行中心，用于進(jìn)行安全管理時，從服務(wù)器中讀取相應(yīng)的安全標(biāo)識和安全級別，截獲操作請求，并根據(jù)相應(yīng)的安全管理屬性而對所述客戶端進(jìn)行安全管理。 為實現(xiàn)本發(fā)明目的還提供一種基于客戶端的安全管理方法，包括下列步驟
步驟S100，服務(wù)器配置管理域中的客戶端、所述客戶端對應(yīng)的安全域、所述安全域?qū)?yīng)的桌面虛擬保密子網(wǎng)的安全標(biāo)識和安全級別；
步驟S200，所述服務(wù)器設(shè)置所述客戶端的安全管理屬性； 步驟S300，在所述客戶端進(jìn)行安全管理時，由所述客戶端從所述服務(wù)器讀取所述客戶端、安全域和桌面虛擬保密子網(wǎng)的安全標(biāo)識和安全級別，并獲取所配置的所述客戶端安全管理屬性，進(jìn)行安全管理。 本發(fā)明的有益效果本發(fā)明的基于客戶端的安全管理系統(tǒng)和方法，以客戶端為核心的虛擬保密子網(wǎng)建立的統(tǒng)一管理體系，精細(xì)到客戶端，可以根據(jù)客戶端的重要性來確定以它自己為核心的通信"圈子"，由他自己的特性決定移動存儲介質(zhì)的使用、安全文檔的流轉(zhuǎn)、網(wǎng)絡(luò)通信和輸出設(shè)備(如打印機(jī))的使用。這樣無論網(wǎng)絡(luò)結(jié)構(gòu)如何，無論在線還是離線，決定權(quán)在客戶端自己(客戶端的策略)，這樣確保了安全保密的精準(zhǔn)和有效性，能夠?qū)崿F(xiàn)真正的安全且可管理的安全。 本發(fā)明的基于客戶端的安全管理系統(tǒng)和方法，將企業(yè)的客戶端系統(tǒng)根據(jù)其安全級別和敏感程度，精細(xì)地構(gòu)建成客戶端-安全域-虛擬保密子網(wǎng)(E-S-V)的管理體系，并為客戶端定制三級管理策略(客戶端級、安全域級、虛擬保密子網(wǎng)級)，同時安全策略由客戶端實施，這樣保證安全保密的精確性和有效性。 本發(fā)明的基于客戶端的安全管理系統(tǒng)和方法，是以客戶端為核心進(jìn)行虛擬保密子網(wǎng)的劃分，將網(wǎng)絡(luò)和客戶端的等級劃分、密碼技術(shù)和訪問控制技術(shù)進(jìn)行系統(tǒng)的結(jié)合；其大大減少了客戶端的部署系統(tǒng)的數(shù)目，提高客戶端的運行效率，減少企業(yè)的資金投入，減少了管理的復(fù)雜度，能夠大大提高企業(yè)的安全保密性能、客戶端的運行效率和企業(yè)整體的運作效率。


下面結(jié)合附圖和實施例對本發(fā)明做進(jìn)一步詳細(xì)的說明。
圖1為本發(fā)明實施例的基于客戶端的安全管理系統(tǒng)結(jié)構(gòu)示意圖； 圖2為本發(fā)明實施例的基于客戶端的安全管理方法流程圖。
具體實施例方式
為了使本發(fā)明的目的、技術(shù)方案及優(yōu)點更加清楚明白，以下結(jié)合附圖及實施例，對本發(fā)明的一種基于客戶端的安全管理系統(tǒng)和方法進(jìn)行進(jìn)一步詳細(xì)說明。應(yīng)當(dāng)理解，此處所描述的具體實施例僅僅用以解釋本發(fā)明，并不用于限定本發(fā)明。 本發(fā)明基于客戶端的安全管理系統(tǒng)，以客戶端為核心，基于客戶端的虛擬保密子網(wǎng)技術(shù)，由客戶端根據(jù)具體策略要求，決定網(wǎng)絡(luò)通信、安全文檔管理、存儲介質(zhì)管理和輸出設(shè)備管理的具體事務(wù)，同時通過管理中心11與其他客戶端保持緊密聯(lián)系，而構(gòu)建的相互依賴的安全保密與安全管理體系。 下面通過具體實施例，詳細(xì)說明本發(fā)明的客戶端的安全管理系統(tǒng)。 本發(fā)明實施例的基于客戶端的安全管理系統(tǒng)，如圖1所示，包括服務(wù)器1和至少一
客戶端(B/S)2，所述服務(wù)器l包括管理中心ll，用于配置管理域的桌面虛擬保密子網(wǎng)、安全
域和客戶端的安全標(biāo)識和安全級別，并設(shè)置所述客戶端2的安全管理屬性。 所述客戶端2包括執(zhí)行中心21，用于在進(jìn)行安全管理時，從服務(wù)器1中讀取相應(yīng)的
安全標(biāo)識和安全級別，截獲操作請求，并根據(jù)相應(yīng)的安全管理屬性而對所述客戶端2進(jìn)行
安全管理。 下面詳細(xì)說明本發(fā)明的服務(wù)器1中的管理中心11。 虛擬保密子網(wǎng)技術(shù)(Virtual Confidentiality Network, VCN)是一個安全管理系統(tǒng)，要實現(xiàn)虛擬保密子網(wǎng)，首先要明確一個具體的管理域(Enterprise Managed Domain,EMD，如一企業(yè)內(nèi)部所有計算機(jī)終端構(gòu)成一管理域)，在本發(fā)明實施例中，就是明確一個管理域具有那些具體的客戶端2需要管理，明確一個管理域的管理范圍；以及明確在這個管理域中的客戶端2需要管理的客體(包括網(wǎng)絡(luò)通信、安全文檔、存儲介質(zhì)、輸出設(shè)備)。
本發(fā)明實施例中的管理中心ll，包括DBVCN配置中心111，用于將管理域配置為多個桌面虛擬保密子網(wǎng)(DBVCN)，并配置所述虛擬保密子網(wǎng)(DBVCN)的安全標(biāo)識和安全級別。
管理域(EMD)是一項安全管理活動需要管理的全部內(nèi)容，就是將所管理要素納入一個封閉的管理體系。 在管理域(EMD)內(nèi)，將管理的要素進(jìn)行安全密級劃分，本發(fā)明實施例中，按照國家規(guī)定劃分為五個級別普通級、敏感級、秘密級、機(jī)密級、絕密級。在本發(fā)明實施例中，將密級相同客戶端2歸并為一個虛擬保密子網(wǎng)(VCN)，稱為桌面虛擬保密子網(wǎng)(Desktop BasedVirtual Confidentiality Network, DBVCN)。 在本發(fā)明實施例中，在一個確定的管理域EMD內(nèi)，最多配置五個桌面虛擬保密子網(wǎng)(DBVCN)，即EMD(DBVCN1， DBVCN2， DBVCN3， DBVCN4， DBVCN5)，或者表示為:
管理域EMD {
DBVCN1
DBVCN2
DBVCN3
DBVCN4
DBVCN5 }; 每個虛擬保密子網(wǎng)配置 一 個安全標(biāo)識DBVCNID和安全級別DBVCNSLeve 1 。其中，安全標(biāo)識DBVCNID的取值范圍為1，2，3，4，5，即DBVCNID = {1，2，3，4，5};安全級別DBVCNSLevel的取值范圍為1，2，3，4，5，即DBVCNSLevel = {1， 2， 3， 4， 5}，或者表示為
DBVCN {
DBVCNID;
DBVCNSLevel ; }; 即EMD = DBVCN1 U DBVCN2 U DBVCN3 U DBVCN4 U DBVCN5 ; 這樣，在一個管理域里，至少包括一個級別的DBVCN(如普通級)，最多包括五個級別的DBVCN (如普通級、敏感級、秘密級、機(jī)密級、絕密級)。 在本發(fā)明實施例中，任何一個客戶端2屬于且僅屬于一個DBVCN(i)， i = 1，2，. 5。 本發(fā)明實施例中的管理中心ll，還包括SD配置中心112，用于將桌面虛擬保密子網(wǎng)(DBVCN)配置為多個安全域(SD)，并配置所述安全域的安全標(biāo)識和安全級別。
為了更精細(xì)化的管理，在桌面虛擬保密子網(wǎng)(DBVCN)中，將工作性質(zhì)相近、業(yè)務(wù)相關(guān)的客戶端2分組成為多個安全域(Security Domain, SD)。這樣一個DBVCN內(nèi)可以劃分為多個安全域(SD)，但這些安全域的安全級別跟它所屬的桌面虛擬保密子網(wǎng)DBVCN的安全域(SD)是一致的。如DBVCN(i)中有n個安全域，表示為SD(i， j)i = 1，2，3，4，5 ;j = 1，2， .， n ; SD(i， j) G DBVCN (i)DBVCN(i) =SD(i，l) U SD(i，2) U SD(i，3) U SD(i，4) U…U SD(i，n)
由于安全域SD的安全級別與所屬的DBVCN的安全級別一致。則
DBVCN (i) {
SD(i， j);i G {1，2，3，4，5}，對應(yīng)五個安全級別;j G n， n為確定的桌面虛擬保密子網(wǎng)內(nèi)安全域的數(shù)量；
則管理域EMD{
DBVCN1(DBVCNIDl， DBVCNSLevel1)DBVCN2(DBVCNID2， DBVCNSLeve12)DBVCN3(DBVCNID3， DBVCNSLeve13)DBVCN4(DBVCNID4， DBVCNSLeve14)DBVCN5(DBVCNID5， DBVCNSLeve15)
}; 本發(fā)明實施例中的管理中心ll，還包括客戶端配置中心113，用于將安全域配置 為多個客戶端2，并配置所述客戶端的安全標(biāo)識和安全級別。 客戶端2是管理域中安全管理的終端。根據(jù)本發(fā)明實施例的安全管理密級劃分， 每一客戶端2有且僅有一個安全級別，它屬于一個具體的DBVCN，為了更精細(xì)的管理，本發(fā) 明實施例中，把客戶端2劃歸為一個具體的DBVCN內(nèi)的一個具體的SD，配置客戶端2E (i， j， k) G SD(i， j) G DBVCN(i); 其中，E(i， j，k)表示安全級別為i的虛擬保密子網(wǎng)內(nèi)的第j個安全域的第k個客 戶端2。 E(i， j， k)屬于SD(i， j)，同時屬于VCN(i)，表示為E(i， j， k) G SD(i，
j) G VCN(i); 則客戶端2的安全級別就是所屬桌面虛擬保密子網(wǎng)(DBVCN)的安全級別ESCLevel(i， j， k) = SDSCLevel(i， j) = DBVCNSCLevel(i); 其中ESCLevel (i， j，k)為客戶端2的安全級別；SDSCLevel (i， j)為客戶端2所在
安全域的安全級別；DBVCNSCLevel (i)為安全域所在DBVCN的安全級別。 如果SD(i，j)中有m個客戶端2，客戶端2表示為E(i，j，k)k二 1，2，... ，m;其所
屬的安全域表示為SD(i， j) =E(i， j，l) U E(i， j，2) U ... U E(i， j，m) 或表示為SD(i，j)( E(i， j， k); i G {1，2，3，4，5}，對應(yīng)五個安全級別； j G n， n是確定的所屬虛擬保密子網(wǎng)內(nèi)安全域的數(shù)量；
k G m， m是確定的所屬安全域內(nèi)客戶端2的數(shù)量；
}; 在確定一個管理域EMD中，基于客戶端2的桌面虛擬保密子網(wǎng)DBVCN設(shè)置后，從安
全管理角度看，還要設(shè)置客戶端2的安全管理屬性，即網(wǎng)絡(luò)通信、安全文檔、存儲介質(zhì)、以及
輸出設(shè)備的安全管理屬性。在本發(fā)明實施例中，設(shè)置客戶端2的安全管理屬性，就是對所述
網(wǎng)絡(luò)通信、安全文檔、存儲介質(zhì)以及輸出設(shè)備的安全管理屬性進(jìn)行設(shè)置。 所述管理中心ll，還包括網(wǎng)絡(luò)通信屬性設(shè)置模塊114，用于根據(jù)客戶端2的MAC地
址設(shè)置客戶端2中的網(wǎng)絡(luò)連接的安全級別，并根據(jù)安全級別設(shè)置網(wǎng)絡(luò)連接方式。 管理域內(nèi)的客戶端2之間的通信連接是可控制的，將每一客戶端2的MAC地
址和客戶端2的安全等級進(jìn)行綁定。有MAC地址就可以識別出該客戶端2的安全級別
S(Xevel (Ei jk)。 本發(fā)明實施例中，對于網(wǎng)絡(luò)連接的安全管理，設(shè)置1)根據(jù)不同的安全級別，采用 訪問控制列表(Access Control List, ACL)設(shè)定不同DBVCN之間的訪問控制；級別越高， 訪問控制越嚴(yán)格；2)如果越級，那么低級別的DBVCN不允許訪問高級別的DBVCN ;高級別的 DBVCN允許訪問高級別的DBVCN ;3)同級別的DBVCN之間被授權(quán)的網(wǎng)絡(luò)通信連接采用SSL協(xié) 議進(jìn)行安全通信保障。 所述管理中心ll，還包括安全文檔屬性設(shè)置模塊115，用于設(shè)置客戶端2中的安全 文檔的安全文檔標(biāo)識和安全級別，并根據(jù)所述安全級別設(shè)置所述安全文檔的流轉(zhuǎn)方式。
9
安全文檔是企業(yè)最為富貴的資源，也是安全管理的重要要素，在桌面虛擬保密子
網(wǎng)(DBVCN)，安全文檔需要設(shè)置安全文檔標(biāo)識(SDDocID)和安全級別(ScLevel)，以便在
DBVCN中進(jìn)行精細(xì)化管理。 安全文檔SDOC( SDDocID ;文檔標(biāo)識 SCLevel ;安全級別，在{1，2，3，4，5}中取值，對應(yīng)的是普通級、敏
感級、秘密級、機(jī)密級、絕密級
} 在本發(fā)明實施例中，對于安全文檔的流轉(zhuǎn)方式，設(shè)置1)同級別使用；2)如果越 級，那么高密級的安全文檔不能流轉(zhuǎn)到低密級的DBVCN中去，低密級的文檔，允許流轉(zhuǎn)到高 密級的DBVCN中去。 所述管理中心ll，還包括存儲介質(zhì)屬性設(shè)置模塊116，用于設(shè)置客戶端2中的存 儲介質(zhì)的存儲介質(zhì)標(biāo)識和安全級別，并根據(jù)所述安全級別設(shè)置所述存儲介質(zhì)的業(yè)務(wù)操作方 式。 存儲介質(zhì)的安全管理也是安全管理的重要要素，在桌面虛擬保密子網(wǎng)(DBVCN)
中，存儲介質(zhì)需要設(shè)置存儲介質(zhì)標(biāo)識(SMSMID)和安全級別(ScLevel)，以便在DBVCN中進(jìn)行
精細(xì)化的管理。 存儲介質(zhì)SMSM( SMSMID ;存儲介質(zhì)標(biāo)識 ScLevel ;安全級別，在{1，2，3，4，5}中取值，對應(yīng)的是普通級、敏
感級、秘密級、機(jī)密級、絕密級 0pDomain ;操作屬性 } 在本發(fā)明實施例中，對于存儲介質(zhì)的業(yè)務(wù)操作方式，設(shè)置1)同級使用；2)如果越
級，那么高密級的存儲介質(zhì)不能在低密級的DBVCN中使用，或者只能執(zhí)行寫操作；低密級的
移動存儲介質(zhì)，不能在高密級的DBVCN中進(jìn)行操作，或者只能執(zhí)行讀操作。 所述管理中心ll，還包括輸出設(shè)備屬性設(shè)置模塊117，用于設(shè)置客戶端2中的輸
出設(shè)備的輸出設(shè)備標(biāo)識和安全級別，并根據(jù)所述安全級別設(shè)置所述輸出設(shè)備的業(yè)務(wù)操作方式。 輸出設(shè)備的安全管理也是安全管理的重要要素，在桌面虛擬保密子網(wǎng)(DBVCN)
中，輸出設(shè)備需要設(shè)置輸出設(shè)備標(biāo)識(SprtID)和安全級別(ScLevel)，以便在DBVCN中進(jìn)行
精細(xì)化管理。 輸出設(shè)備SPrt( SprtID ;輸出設(shè)備標(biāo)識 ScLevel ;安全級別，在{1，2，3，4，5}中取值，對應(yīng)的是普通級、敏
感級、秘密級、機(jī)密級、絕密級 0pDomain ;操作屬性 } 本發(fā)明實施例中，對于輸出設(shè)備的安全管理，設(shè)置1)同級使用；2)如果越級，那
10么高密級的DBVCN不允許使用低密級的輸出設(shè)備；低密級的DBVCN可以使用高密級的輸出 設(shè)備。 下面詳細(xì)說明本發(fā)明的基于客戶端的安全管理方法，如圖2所示，包括如下步驟
步驟S100，服務(wù)器1配置管理域中的客戶端2、所述客戶端2對應(yīng)的安全域、所述 安全域?qū)?yīng)的桌面虛擬保密子網(wǎng)的安全標(biāo)識和安全級別；
所述步驟S100包括下列步驟 步驟S110，對每個客戶端E(i，j，k)設(shè)置一個安全標(biāo)識EID(i，j，k)和一個安全級 別為ESCLevel (i， j， k);并對每個客戶端E(i， j， k)的MAC地址進(jìn)行捆綁綁定；
步驟S120，將工作性質(zhì)相近、業(yè)務(wù)相關(guān)的客戶端2設(shè)置為安全域(SD)，用SD(i， j)表示；并對每個安全域SD(i， j)設(shè)置一個安全標(biāo)識SDID(i， j)和一個安全級別為 SDSCLevel(i， j); 步驟S130，將安全域(SD)中所需保密級別相同的安全域(SD)設(shè)置成桌面虛擬保 密子網(wǎng)(DBVCN)，用DBVCN(i)表示；并對每個所述桌面虛擬保密子網(wǎng)(DBVCN)設(shè)置一個安 全標(biāo)識DBVCNID(i)和一個安全級別為DBVCNSCLevel(i); 其中，DBVCN(i)表示安全級別為i的桌面虛擬保密子網(wǎng)，i表示安全級別；i越大， 表示虛擬保密子網(wǎng)安全級別越高。 步驟S200，服務(wù)器1設(shè)置客戶端的安全管理屬性；
步驟S210，設(shè)置客戶端的網(wǎng)絡(luò)通信的安全管理屬性； 在基于終端的安全管理系統(tǒng)的物理設(shè)備部署完畢后，管理域內(nèi)的客戶端之間的通 信連接的建立是可控制的，將每一客戶端的MAC地址和客戶端的安全等級進(jìn)行綁定。有MAC 地址就可以識別出該客戶端的安全級別SCLevel (Ei jk)。
步驟S220，設(shè)置客戶端的安全文檔的安全管理屬性； 在基于終端的安全管理系統(tǒng)的物理設(shè)備部署完畢后，安全文檔Sdoc都進(jìn)行安全 標(biāo)記和密級劃分，也就是每一個需要保護(hù)的安全文檔都給它分配唯一的安全標(biāo)識SDDocID， 和設(shè)置安全級別SCLevel，無論在這一管理域中如何流轉(zhuǎn)，這兩個標(biāo)記不會改變。
步驟S230，設(shè)置客戶端的存儲介質(zhì)的安全管理屬性； 在基于終端的安全管理系統(tǒng)的物理設(shè)備部署完畢后，存儲介質(zhì)(包括移動硬 盤、移動USB等)在它下發(fā)給管理域內(nèi)的用戶時，要分配安全標(biāo)識SMSMID，設(shè)置安全級別 SCLevel,無論這些存儲設(shè)備在這一管理域內(nèi)如何流轉(zhuǎn)，安全標(biāo)識SMSMID，設(shè)置安全級別 SCLevel都不會變化。 步驟S240，設(shè)置客戶端的輸出設(shè)備的安全管理屬性。 在基于終端的安全管理系統(tǒng)的物理設(shè)備部署完畢后，給管理域內(nèi)的每一輸出設(shè)備 分配安全標(biāo)識SPrnID，和安全級別SPrnSClevel。在管理域中輸出設(shè)備的配置變更前，這些 輸出設(shè)備的安全標(biāo)識SPrnID，和安全級別SPrnSClevel不會改變。 步驟S300，在客戶端2進(jìn)行安全管理時，由客戶端2從服務(wù)器1讀取所述客戶端 2、安全域和桌面虛擬保密子網(wǎng)的安全標(biāo)識和安全級別，并獲取所配置的客戶端2安全管理 屬性，進(jìn)行安全管理。 本發(fā)明的基于客戶端的安全管理方法，是由客戶端2實施的，其讀取所述客戶端 2、安全域和桌面虛擬保密子網(wǎng)的安全標(biāo)識和安全級別，并獲取所配置的客戶端2安全管理屬性，然后客戶端2根據(jù)自身的狀態(tài)(在線、商旅、脫管)進(jìn)行安全管理。 作為一種可實施方式，網(wǎng)絡(luò)通信、安全文檔、存儲介質(zhì)和輸出設(shè)備都是分別由客戶
端2內(nèi)置的不同驅(qū)動模塊在底層實施的。 步驟S310，在客戶端2進(jìn)行網(wǎng)絡(luò)連接時，從服務(wù)器1中讀取相應(yīng)的安全標(biāo)識和安全 級別，截獲網(wǎng)絡(luò)連接操作請求，并根據(jù)相應(yīng)的安全管理屬性而對所述客戶端2的網(wǎng)絡(luò)連接 進(jìn)行安全管理。 網(wǎng)絡(luò)通信的安全管理分為管理域內(nèi)部客戶端2之間的通信，以及管理域內(nèi)部客戶 端2與管理域外部的客戶端2之間的通信兩種情況。 所述步驟S310，是一個客戶端E(i，j，k)對該系統(tǒng)內(nèi)的另一個客戶端E(x，y，z)發(fā) 起連接，客戶端2之間的網(wǎng)絡(luò)通信的安全管理流程，包括如下步驟 步驟S311 :客戶端2截獲客戶端E(i， j， k)對管理域內(nèi)的客戶端E(x， y， z)的連 接請求； 步驟S312 :客戶端2從連接請求中讀取所述兩個客戶端2的安全標(biāo)識，根據(jù)所述 安全標(biāo)識比較桌面虛擬安全子網(wǎng)、安全域和客戶端2的安全級別，根據(jù)不同的比較結(jié)果，以 及網(wǎng)絡(luò)連接的安全屬性進(jìn)行安全管理操作；
所述安全管理操作，包括如下步驟 步驟S3121，如果i不等于x，則根據(jù)DBVCN(i)和DBVCN(x)的網(wǎng)絡(luò)連接方式，判斷 DBVCN(i)是否可以訪問DBVCN(x);如果不允許DBVCN(i)訪問VCN(x)，則終止發(fā)起連接；
如果允許DBVCN(i)訪問DBVCN(x);則根據(jù)SD(i， j)和SD(x，y)的網(wǎng)絡(luò)連接方式， 判斷SD(i， j)是否可以訪問SD(x， y);如果不允許SD(i， j)訪問SD(x， y)，則終止發(fā)起連 接； 如果允許SD(i， j)訪問SD(x， y);則根據(jù)E(i， j， k)和E(x， y， z)的網(wǎng)絡(luò)連接方 式，判斷E(i， j，k)是否可以訪問E(x，y，z);如果不允許E(i， j，k)訪問E(x，y，z)，則終止 發(fā)起連接； 如果允許E(i， j，k)訪問E(x，y，z)，則允許E(i， j，k)向E(x，y，z)發(fā)起連接；
步驟S3122，如果i 二x，則繼續(xù)比較j和y;如果j不等于y，則根據(jù)SD(i， j)和 SD(x，y)的網(wǎng)絡(luò)連接方式，判斷安全域SD(i， j)是否可以訪問安全域SD(x，y);
如果不允許SD (i， j)訪問SD (x， y)，則終止發(fā)起連接； 如果允許SD(i， j)訪問SD(x， y);則根據(jù)E(i， j， k)和E(x， y， z)的網(wǎng)絡(luò)連接方 式，判斷E(i， j，k)是否可以訪問E(x，y，z); 如果不允許E(i， j， k)訪問E(x， y， z)，則終止發(fā)起連接; 如果允許E(i， j，k)訪問E(x，y，z)，則允許E(i， j，k)向E(x，y，z)發(fā)起連接；
步驟S2133，如果i = x， j 二y，則繼續(xù)比較k和z，如果k不等于z，則根據(jù)E(i， j，k)和E(x，y，z)的網(wǎng)絡(luò)連接方式，判斷客戶端E(i， j，k)是否可以訪問客戶端E(x，y，z); 如果不允許E(i， j， k)訪問E(x， y， z)，則終止發(fā)起連接; 如果允許E(i， j，k)訪問E(x，y，z)，則允許E(i， j，k)向E(x，y，z)發(fā)起連接；
作為一種可實施方式，所述網(wǎng)絡(luò)連接可由安裝在客戶端2的網(wǎng)絡(luò)驅(qū)動過濾程序 NetFilter負(fù)責(zé)實現(xiàn)。 對于任何管理體系內(nèi)部的通信雙方，DBVCN系統(tǒng)是能夠?qū)崟r獲取通信雙方的MAC地址源地址SMac，目標(biāo)地址0Mac。 NetFilter(VCNPolicy， SDPolicy， EndpointPolicy， SMac， OMac， Sport， 0Port， Protocol){ VCNPolicy ;DBVCN間網(wǎng)絡(luò)通信連接方式； SDPolicy ;VCN內(nèi)安全域間的網(wǎng)絡(luò)通信連接方式； EndpointPolicy ;安全域內(nèi)客戶端間的網(wǎng)絡(luò)通信連接方式； SMac;源MAC地址； 0Mac ;目的MAC地址； Sport ;源端口 ； 0Port ;目的通信端口 ； Protocol ;協(xié)議； } 步驟S320，在進(jìn)行安全文檔訪問請求時，從服務(wù)器1中讀取相應(yīng)的安全標(biāo)識和安 全級別，截獲安全文檔流轉(zhuǎn)訪問請求，并根據(jù)相應(yīng)的安全管理屬性而對所述文檔訪問請求 進(jìn)行安全管理。 作為一種可實施方式，所述安全文檔可以是由管理域發(fā)布的，存放在具體位置，設(shè)
置了安全文檔安全標(biāo)識ID和安全級別Dlevel的，供管理域中有權(quán)限瀏覽的人員瀏覽的格
式化文檔。 SD0C = { SD0CID :安全文檔標(biāo)識； SDOCSCLevel :安全級別(普通1，敏感2，秘密3，機(jī)密4，絕密5)
} 安全文檔安全管理需要進(jìn)行全局配置，由客戶端2具體實施。根據(jù)實際情況為每
一個客戶端2確定允許訪問的安全文檔，為每一個客戶端2設(shè)置允許訪問的安全文檔列表，
實現(xiàn)不同DBVCN之間的安全文檔的控制，包括安全文檔(SD0CID， SDOCSCLevel)與客戶端
(EID， ESCLevel)的結(jié)合關(guān)系控制；客戶端2是否能夠訪問該安全文檔、是否可以存儲該安
全文檔、是否允許接受(流進(jìn))該安全文檔、是否可以傳出(流出)該安全文檔。 所述步驟S320，是從一個客戶端E(i，j，k)流出安全文檔的管理流程，包括如下步
驟 步驟S321，客戶端2截獲安全文檔的訪問請求； 步驟S322，客戶端2從訪問請求中檢查安全級別及流出方式，并讀取所述客戶端2
的安全標(biāo)識，根據(jù)安全文檔的流轉(zhuǎn)方式進(jìn)行安全管理操作。 所述安全文檔的流轉(zhuǎn)方式進(jìn)行安全管理操作，包括如下步驟 步驟S3221，如果安全文檔將要通過網(wǎng)絡(luò)傳輸至客戶端E(x， y， z)，則比較客戶端
E(x， y， z)和安全文檔的安全級別； 如果客戶端E(x， y， z)的安全級別小于安全文檔的安全級別，即SCLevel (Exyz) < SCLevel (SD0C)，則終止傳輸; 如果客戶端E(x， y， z)的安全級別等于或大于安全文檔的安全級別，即 SCLevel (Exyz) > SCLevel (SD0C)，則允許傳輸；
13
步驟S3222，如果安全文檔將要通過輸出設(shè)備輸出，則比較輸出設(shè)備和安全文檔的 安全級別； 如果輸出設(shè)備安全級別小于安全文檔的安全級別，即SCLevel (Sprt)
< SCLevel (SD0C)，則終止輸出； 如果輸出設(shè)備的安全級別等于或大于安全文檔的安全級別，即 SCLevel (Sprt) > SCLevel (SDOC)，則允許輸出； 步驟S3223，如果安全文檔將要復(fù)制至移動存儲介質(zhì)，則比較安全移動存儲介質(zhì)和 安全文檔的安全級別； 如果安全移動存儲介質(zhì)的級別小于安全文檔的安全級別，即SCLevel (SMSM)
< SCLevel (SDOC)，則終止復(fù)制; 如果安全移動存儲介質(zhì)的安全級別等于或大于安全文檔的安全級別，即 SCLevel (SMSM) > SCLevel (SDOC)，則允許復(fù)制。 作為一種可實施方式，可以由由安裝在客戶端2的文件系統(tǒng)驅(qū)動過濾程序 FSFilter負(fù)責(zé)實現(xiàn)。FSFilter(VCNPolicy， SDPolicy， EndpointPolicy， SDOCID){ VCNPolicy :VCN間安全文檔流轉(zhuǎn)方式； SDPolicy :VCN內(nèi)安全域間安全文檔流轉(zhuǎn)方式； EndpointPolicy :安全域內(nèi)客戶端間安全文檔流轉(zhuǎn)方式； SDOCID :安全文檔標(biāo)識； SD0CSCLevel :安全文檔安全級別； } 步驟S330，在進(jìn)行存儲介質(zhì)訪問請求時，從服務(wù)器1中讀取相應(yīng)的安全標(biāo)識和安 全級別，截獲存儲介質(zhì)訪問請求，并根據(jù)相應(yīng)的安全管理屬性而對所述存儲介質(zhì)訪問請求 進(jìn)行安全管理。 作為一種可實施方式，本發(fā)明實施例的存儲介質(zhì)可以是由企業(yè)管理部門采購、登 記、注冊、分區(qū)、密級定義、規(guī)定使用范圍等，然后分發(fā)給管理域內(nèi)用戶使用的移動USB盤、 移動硬盤和軟盤。
SMSM = { SMSMID :移動存儲介質(zhì)標(biāo)識； SMSMSCLevel :安全級別(1，2，3，4，5) SMSMTime :使用期限； SMSM0wner :使用者； } 存儲介質(zhì)的安全管理需要進(jìn)行全局配置，并由客戶端2具體實施。根據(jù)實際情況 為每一個客戶端2確定允許使用的存儲介質(zhì)，通過Web管理控制臺為每一個客戶端2設(shè)置 允許使用的存儲介質(zhì)列表，通過這種方法來實現(xiàn)不同DBVCN之間的存儲介質(zhì)的控制，即存 儲介質(zhì)與客戶端2的結(jié)合關(guān)系控制；文件進(jìn)出移動存儲介質(zhì)控制(含加、解密)、共享區(qū)、高 密區(qū)的使用控制；外來未注冊移動存儲介質(zhì)的控制。 所述步驟S330，是在一個客戶端2E(i，j，k)中插入使用安全移動存儲介質(zhì)的安全管理流程，包括如下步驟 步驟S331，客戶端2截獲存儲介質(zhì)的訪問請求； 步驟S332，客戶端2從訪問請求中讀取存儲介質(zhì)的的安全標(biāo)識，并比較存儲介質(zhì) 和客戶端的安全級別，根據(jù)不同的比較結(jié)果利用存儲介質(zhì)的業(yè)務(wù)操作方式進(jìn)行安全管理操 作； 所述根據(jù)不同的比較結(jié)果利用存儲介質(zhì)的業(yè)務(wù)操作方式進(jìn)行安全管理操作，包括 下列步驟 步驟S3321，如果客戶端的安全級別小于安全移動存儲介質(zhì)的安全級別時，即 SCLevel (SMSM) < SCLevel (Ei jk)，則檢查安全移動存儲介質(zhì)是否存在分區(qū)，即高密區(qū)和共 享區(qū)； 如果不存在共享區(qū)，則禁止客戶端使用安全存儲介質(zhì)； 如果存在共享區(qū)，則允許客戶端使用共享區(qū)讀寫非保密文件； 步驟S3322，如果客戶端的安全級別等于安全移動存儲介質(zhì)的安全級別時，即
SCLevel (SMSM) = SCLevel (Eijk)，則檢查安全移動存儲介質(zhì)是否存在分區(qū)，即高密區(qū)和共
享區(qū)； 如果不存在共享區(qū)，則允許客戶端使用高密區(qū)讀、寫； 如果存在共享區(qū)，則允許客戶端使用共享區(qū)讀寫非密級文件； 步驟S3323，如果客戶端的安全級別大于安全移動存儲介質(zhì)的安全級別時，即 SCLevel (SMSM) > SCLevel (Eijk)則檢查安全移動存儲介質(zhì)是否存在分區(qū)，即高密區(qū)和共 享區(qū)； 如果不存在共享區(qū)，則允許客戶端以只讀模式使用高密區(qū)；
如果存在共享區(qū)，則允許客戶端使用共享區(qū)讀寫非密級文件。 作為一種可實施方式，在本發(fā)明實施例中，可由安裝在客戶端的外設(shè)接口及文件 系統(tǒng)驅(qū)動過濾程序MSMFilter負(fù)責(zé)實現(xiàn)MSMFilter (VCNPolicy， SDPolicy， EndpointPolicy， MSMID) { VCNPolicy :VCN間存儲介質(zhì)業(yè)務(wù)操作方式； SDPolicy :VCN內(nèi)安全域間存儲介質(zhì)業(yè)務(wù)操作方式； EndpointPolicy :安全域內(nèi)客戶端間存儲業(yè)務(wù)操作方式； SMSMID :存儲介質(zhì)標(biāo)識； SMSMSCLevel :存儲介質(zhì)安全級別； } 步驟S340，在進(jìn)行輸出設(shè)備訪問請求時，從服務(wù)器1中讀取相應(yīng)的安全標(biāo)識和安 全級別，截獲輸出設(shè)備訪問請求，并根據(jù)相應(yīng)的安全管理屬性而對所述輸出設(shè)備訪問請求 進(jìn)行安全管理。 作為一種可實施方式，本發(fā)明實施例中，輸出設(shè)備的安全管理是由企業(yè)管理機(jī)構(gòu) 設(shè)置，分配安全標(biāo)識，安全級別等屬性，根據(jù)客戶端2的安全屬性確定安全策略，控制是否 可以使用相關(guān)安全輸出設(shè)備的過程。 輸出設(shè)備的安全管理需要進(jìn)行全局配置，并由客戶端2具體實施，根據(jù)實際情況 為每一個客戶端2確定允許使用的輸出設(shè)備，為每一個客戶端2設(shè)置允許使用的輸出設(shè)備的列表，通過這種方法來實現(xiàn)不同虛擬保密子網(wǎng)之間的輸出設(shè)備的控制，即列表輸出設(shè)備 之外，客戶端2無法安裝配置其他輸出設(shè)備；輸出設(shè)備與DBVCN之間的結(jié)合關(guān)系控制、與客 戶端2之間的結(jié)合關(guān)系控制； 所述步驟S340，是在一個客戶端2E(i，j，k)使用輸出設(shè)備(如打印機(jī))輸出文件
的安全管理流程，包括如下步驟 步驟S341 ，客戶端2截獲訪問請求 步驟S342，客戶端2從訪問請求中讀取所述客戶端的安全標(biāo)識，并比較客戶端和 輸出設(shè)備的安全級別，根據(jù)不同的比較結(jié)果利用輸出設(shè)備的業(yè)務(wù)操作方式進(jìn)行安全管理操 作。 所述根據(jù)不同的比較結(jié)果利用輸出設(shè)備的業(yè)務(wù)操作方式進(jìn)行安全管理操作，包括 如下步驟 步驟S3421，客戶端的安全級別小于或等于安全輸出設(shè)備的安全級別時，即 SCLevel (Ei jk)《SCLevel (Sprt)，允許客戶端自由使用和輸出； 步驟S3422，客戶端的安全級別大于輸出設(shè)備的安全級別時，即SCLevel (Eijk) > SCLevel (Sprt)，比較輸出設(shè)備和輸出安全文檔的安全級別； 如果輸出安全文檔的安全級別大于輸出設(shè)備的安全級別時，即SCLevel (SDoc) > SCLevel (Sprt)，禁止輸出； 如果輸出安全文檔的安全級別小于或等于輸出設(shè)備的安全級別時，即 SCLevel (SDoc)《SCLevel (Sprt)，允許客戶端自由使用和輸出。 作為一種可實施方式，本發(fā)明實施例由安裝在客戶端2的輸出設(shè)備及文件系統(tǒng)驅(qū) 動過濾程序PrtFilter負(fù)責(zé)實現(xiàn)。PrtFilter(VCNPolicy， SDPolicy， EndpointPolicy， SPrtID， SPrtSCLevel){ VCNPolicy :VCN間輸出設(shè)備的業(yè)務(wù)操作方式； SDPolicy :VCN內(nèi)安全域間輸出設(shè)備的業(yè)務(wù)操作方式； EndpointPolicy :安全域內(nèi)客戶端間輸出設(shè)備的業(yè)務(wù)操作方式； SPrtID :輸出設(shè)備標(biāo)識； SPrtSCLevel :輸出設(shè)備安全級別； } 本發(fā)明實施例的基于客戶端的安全管理系統(tǒng)，將管理域的客戶端根據(jù)其安全級別 和敏感程度，精細(xì)地構(gòu)建成客戶端-安全域-桌面虛擬保密子網(wǎng)(E-S-V)的管理體系，并為 客戶端設(shè)置三級管理方式(客戶端級、安全域級、桌面虛擬保密子網(wǎng)級)，同時安全管理由 客戶端實施，保證安全管理的精確性和有效性。 本發(fā)明實施例的基于客戶端的安全管理系統(tǒng)，將網(wǎng)絡(luò)和客戶端的等級劃分、密碼 技術(shù)和訪問控制技術(shù)進(jìn)行結(jié)合，構(gòu)成一個完備的安全管理體系，同時將網(wǎng)絡(luò)通信、安全文 檔、存儲介質(zhì)、打印設(shè)備等四個安全管理中重要的要素納入管理中，實現(xiàn)安全管理的完美應(yīng) 用。 本發(fā)明實施例的基于客戶端的安全管理系統(tǒng)，以客戶端為核心進(jìn)行保密子網(wǎng)的劃 分，實施訪問控制和安全管理就是客戶端自己，這樣確保了安全管理的精準(zhǔn)和有效性。
本發(fā)明實施例的基于客戶端的安全管理系統(tǒng)，大大減少了客戶端的部署系統(tǒng)的數(shù)目，提高客戶端的運行效率，減少管理域(如企業(yè))的資金投入，減少了管理的復(fù)雜度，能夠 大大提高企業(yè)的安全保密性能，客戶端的運行效率和管理域的整體的運行效率。其以客戶 端為核心的虛擬保密子網(wǎng)安全保密和安全管理系統(tǒng)非常適合黨、政、軍、警等機(jī)要保密部門 及航天軍工等核心高科技單位。 最后應(yīng)當(dāng)說明的是，很顯然，本領(lǐng)域的技術(shù)人員可以對本發(fā)明進(jìn)行各種改動和變 型而不脫離本發(fā)明的精神和范圍。這樣，倘若本發(fā)明的這些修改和變型屬于本發(fā)明權(quán)利要 求及其等同技術(shù)的范圍之內(nèi)，則本發(fā)明也意圖包含這些改動和變形。
權(quán)利要求
一種基于客戶端的安全管理系統(tǒng)，包括服務(wù)器和至少一客戶端，其特征在于所述服務(wù)器包括管理中心，用于配置管理域的桌面虛擬保密子網(wǎng)、安全域和客戶端的安全標(biāo)識和安全級別，并設(shè)置所述客戶端的安全管理屬性；所述客戶端包括執(zhí)行中心，用于進(jìn)行安全管理時，從所述服務(wù)器中讀取相應(yīng)的安全標(biāo)識和安全級別，截獲操作請求，并根據(jù)相應(yīng)的安全管理屬性而對所述客戶端進(jìn)行安全管理。
2. 根據(jù)權(quán)利要求1所述的基于客戶端的安全管理系統(tǒng)，其特征在于，所述管理中心包括DBVCN配置中心，SD配置中心，客戶端配置中心，其中所述DBVCN配置中心，用于將管理域配置為多個桌面虛擬保密子網(wǎng)，并配置所述虛擬保密子網(wǎng)的安全標(biāo)識和安全級別；所述SD配置中心，用于將所述桌面虛擬保密子網(wǎng)配置為多個安全域，并配置所述安全域的安全標(biāo)識和安全級別；所述客戶端配置中心，用于將所述安全域配置為多個客戶端，并配置所述客戶端的安全標(biāo)識和安全級別。
3. 根據(jù)權(quán)利要求1或2所述的基于客戶端的安全管理系統(tǒng)，其特征在于，所述管理中心還包括網(wǎng)絡(luò)通信屬性設(shè)置模塊，安全文檔屬性設(shè)置模塊，存儲介質(zhì)屬性設(shè)置模塊，輸出設(shè)備屬性設(shè)置模塊，其中所述網(wǎng)絡(luò)通信屬性設(shè)置模塊，用于根據(jù)所述客戶端的MAC地址，設(shè)置所述客戶端中的網(wǎng)絡(luò)連接的安全級別，并根據(jù)安全級別設(shè)置網(wǎng)絡(luò)連接方式；所述安全文檔屬性設(shè)置模塊，用于設(shè)置所述客戶端中的安全文檔的安全文檔標(biāo)識和安全級別，并根據(jù)所述安全級別設(shè)置所述安全文檔的流轉(zhuǎn)方式；所述存儲介質(zhì)屬性設(shè)置模塊，用于設(shè)置所述客戶端中的存儲介質(zhì)的存儲介質(zhì)標(biāo)識和安全級別，并根據(jù)所述安全級別設(shè)置所述存儲介質(zhì)的業(yè)務(wù)操作方式；所述輸出設(shè)備屬性設(shè)置模塊，用于設(shè)置所述客戶端中的輸出設(shè)備的輸出設(shè)備標(biāo)識和安全級別，并根據(jù)所述安全級別設(shè)置所述輸出設(shè)備的業(yè)務(wù)操作方式。
4. 一種基于客戶端的安全管理方法，其特征在于，包括下列步驟步驟S100，服務(wù)器配置管理域中的客戶端、所述客戶端對應(yīng)的安全域、所述安全域?qū)?yīng)的桌面虛擬保密子網(wǎng)的安全標(biāo)識和安全級別；步驟S200，所述服務(wù)器設(shè)置所述客戶端的安全管理屬性；步驟S300，在所述客戶端進(jìn)行安全管理時，由所述客戶端從所述服務(wù)器讀取所述客戶端、安全域和桌面虛擬保密子網(wǎng)的安全標(biāo)識和安全級別，并獲取所配置的所述客戶端安全管理屬性，進(jìn)行安全管理。
5. 根據(jù)權(quán)利要求4所述的基于客戶端的安全管理方法，其特征在于，所述步驟S100包括下列步驟步驟S110，對每個客戶端E(i，j，k)設(shè)置一個安全標(biāo)識EID(i，j，k)和一個安全級別為ESCLevel (i， j， k);并對每個客戶端E(i， j， k)的MAC地址進(jìn)行捆綁綁定；步驟S120，將工作性質(zhì)相近、業(yè)務(wù)相關(guān)的客戶端設(shè)置為安全域，用SD(i， j)表示；并對每個安全域SD(i， j)設(shè)置一個安全標(biāo)識SDID(i， j)和一個安全級別為SDSCLevel(i， j);步驟S130，將安全域中所需保密級別相同的安全域設(shè)置成桌面虛擬保密子網(wǎng)，用DBVCN(i)表示；并對每個所述桌面虛擬保密子網(wǎng)設(shè)置一個安全標(biāo)識DBVCNID(i)和一個安全級別為DBVCNSCLevel (i)。
6. 根據(jù)權(quán)利要求4或5所述的基于客戶端的安全管理方法，其特征在于，所述步驟S200包括下列步驟步驟S210，設(shè)置所述客戶端的網(wǎng)絡(luò)通信的安全管理屬性；步驟S220，設(shè)置所述客戶端的安全文檔的安全管理屬性；步驟S230，設(shè)置所述客戶端的存儲介質(zhì)的安全管理屬性；步驟S240，設(shè)置所述客戶端的輸出設(shè)備的安全管理屬性。
7. 根據(jù)權(quán)利要求6所述的基于客戶端的安全管理方法，其特征在于，所述步驟S300包括下列步驟步驟S310，在所述客戶端進(jìn)行網(wǎng)絡(luò)連接時，從所述服務(wù)器中讀取相應(yīng)的安全標(biāo)識和安全級別，截獲網(wǎng)絡(luò)連接操作請求，并根據(jù)相應(yīng)的安全管理屬性而對所述客戶端的網(wǎng)絡(luò)連接進(jìn)行安全管理；步驟S320，在進(jìn)行安全文檔訪問請求時，從所述服務(wù)器中讀取相應(yīng)的安全標(biāo)識和安全級別，截獲安全文檔流轉(zhuǎn)訪問請求，并根據(jù)相應(yīng)的安全管理屬性而對所述文檔訪問請求進(jìn)行安全管理；步驟S330，在進(jìn)行存儲介質(zhì)訪問請求時，從所述服務(wù)器中讀取相應(yīng)的安全標(biāo)識和安全級別，截獲存儲介質(zhì)訪問請求，并根據(jù)相應(yīng)的安全管理屬性而對所述存儲介質(zhì)訪問請求進(jìn)行安全管理；步驟S340，在進(jìn)行輸出設(shè)備訪問請求時，從所述服務(wù)器中讀取相應(yīng)的安全標(biāo)識和安全級別，截獲輸出設(shè)備訪問請求，并根據(jù)相應(yīng)的安全管理屬性而對所述輸出設(shè)備訪問請求進(jìn)行安全管理。
8. 根據(jù)權(quán)利要求7所述的基于客戶端的安全管理方法，其特征在于所述步驟S310包括下列步驟步驟S311 :所述客戶端截獲客戶端E(i， j， k)對管理域內(nèi)的客戶端E(x， y， z)的連接請求；步驟S312 :所述客戶端從連接請求中讀取所述兩個客戶端的安全標(biāo)識，根據(jù)所述安全標(biāo)識比較桌面虛擬安全子網(wǎng)、安全域和客戶端的安全級別，根據(jù)不同的比較結(jié)果，以及網(wǎng)絡(luò)連接的安全屬性進(jìn)行安全管理操作；所述步驟S320包括下列步驟步驟S321，所述客戶端截獲安全文檔的訪問請求；步驟S322，所述客戶端從訪問請求中檢查安全級別及流出方式，并讀取所述客戶端的安全標(biāo)識，根據(jù)安全文檔的流轉(zhuǎn)方式進(jìn)行安全管理操作；所述步驟S330包括下列步驟步驟S331，所述客戶端截獲存儲介質(zhì)的訪問請求；步驟S332，所述客戶端從訪問請求中讀取存儲介質(zhì)的的安全標(biāo)識，并比較存儲介質(zhì)和客戶端的安全級別，根據(jù)不同的比較結(jié)果利用存儲介質(zhì)的業(yè)務(wù)操作方式進(jìn)行安全管理操作；所述步驟S340包括下列步驟步驟S341，所述客戶端截獲訪問請求步驟S342，所述客戶端從訪問請求中讀取所述客戶端的安全標(biāo)識，并比較客戶端和輸出設(shè)備的安全級別，根據(jù)不同的比較結(jié)果利用輸出設(shè)備的業(yè)務(wù)操作方式進(jìn)行安全管理操作。
全文摘要
本發(fā)明公開一種基于客戶端的安全管理系統(tǒng)和方法。該系統(tǒng)包括服務(wù)器和至少一客戶端，所述服務(wù)器包括管理中心，用于配置管理域的桌面虛擬保密子網(wǎng)、安全域和客戶端的安全標(biāo)識和安全級別，并設(shè)置所述客戶端的安全管理屬性；所述客戶端包括執(zhí)行中心，用于進(jìn)行安全管理時，從服務(wù)器中讀取相應(yīng)的安全標(biāo)識和安全級別，截獲操作請求，并根據(jù)相應(yīng)的安全管理屬性而對所述客戶端進(jìn)行安全管理。其確保了安全保密的精準(zhǔn)和有效性，能夠?qū)崿F(xiàn)真正的安全且可管理的安全。
文檔編號H04L12/24GK101764798SQ200910087629
公開日2010年6月30日 申請日期2009年7月1日 優(yōu)先權(quán)日2009年7月1日
發(fā)明者馬東平 申請人:北京華勝天成科技股份有限公司