本發(fā)明涉及一種數(shù)據(jù)安全交換方法，尤其是一種基于黑白名單的數(shù)據(jù)安全交換方法。
背景技術：
隨著網(wǎng)絡技術的成熟和應用的不斷完善，Internet正在越來越多地融入到社會的各個方面。一方面，企業(yè)上網(wǎng)、電子商務、遠程教育、遠程醫(yī)療等一系列網(wǎng)絡應用蓬勃發(fā)展，人們的日常生活與網(wǎng)絡的關系日益密切；另一方面，網(wǎng)絡用戶成分越來越多樣化，出于各種目的的網(wǎng)絡入侵和攻擊越來越頻繁。人們在享受互聯(lián)網(wǎng)所帶來的豐富、便捷的信息同時，也日益感受到頻繁的網(wǎng)絡攻擊、病毒泛濫、非授權訪問、信息泄密等問題所帶來的困擾。
在政府、國防、能源等很多重要領域，對數(shù)據(jù)機密性、網(wǎng)絡平穩(wěn)性、業(yè)務連續(xù)性要求極高，堅如磐石的安全保障尤其關鍵。市場需求催生了安全技術的創(chuàng)新，在上世紀90年代中期俄羅斯人Ry Jones首先提出“AirGap”隔離概念，然后，以色列研制成功物理隔離卡，實現(xiàn)網(wǎng)絡之間的安全隔離；其后，美國Whale Communications公司和以色列SpearHead公司先后推出了e-Gap和NetGap產(chǎn)品，利用專有硬件實現(xiàn)兩個網(wǎng)絡在不連通的情況下數(shù)據(jù)的安全交換和資源共享，從而使安全隔離技術從單純實現(xiàn)“網(wǎng)絡隔離禁止交換”發(fā)展到“安全隔離和可靠交換”。目前，美國軍方、重要政府部門均采用隔離技術保障信息安全，我國的安全隔離技術的發(fā)展同樣經(jīng)歷了類似的過程。
現(xiàn)有的電力系統(tǒng)隔離技術在真實運行環(huán)境中不夠靈活，對于內外網(wǎng)信息交互行為判斷功能單一，在一些特殊環(huán)境下，用戶希望傳輸?shù)囊恍┬畔⒁驗槟承┰颍ū热珀P鍵字審查不通過）被隔離設備阻攔無法傳送，但是這些信息用戶確認沒有問題，只能通過離線拷貝的方式傳輸，非常不方便。
技術實現(xiàn)要素：
本發(fā)明要解決的技術問題是現(xiàn)有的電力系統(tǒng)隔離技術在真實運行環(huán)境中不夠靈活，對于內外網(wǎng)信息交互行為判斷功能單一，在一些特殊環(huán)境下，用戶希望傳輸?shù)囊恍┬畔⒁驗槟承┰颍ū热珀P鍵字審查不通過）被隔離設備阻攔無法傳送，但是這些信息用戶確認沒有問題，只能通過離線拷貝的方式傳輸，非常不方便。
為了解決上述技術問題，本發(fā)明提供了一種基于黑白名單的數(shù)據(jù)安全交換方法，包括如下步驟：
步驟1，由網(wǎng)絡一的網(wǎng)口實時讀取待交換數(shù)據(jù)，將待交換數(shù)據(jù)與預設的規(guī)則策略相匹配，若匹配成功，則進入步驟2，若匹配失敗，則將該待交換數(shù)據(jù)隔離，并記錄該待交換數(shù)據(jù)的摘要信息，同時結束本次數(shù)據(jù)交換傳輸；
步驟2，對匹配成功的待交換數(shù)據(jù)進行協(xié)議剝離獲得純數(shù)據(jù)內容，將純數(shù)據(jù)內容與白名單中的關鍵字進行匹配，若匹配成功則進入步驟3，若匹配失敗，則進入步驟4；
步驟3，將待交換數(shù)據(jù)發(fā)送到網(wǎng)絡一的隔離卡，再進入步驟6；
步驟4，將純數(shù)據(jù)內容與黑名單中的關鍵字進行匹配，若匹配成功，則將該待交換數(shù)據(jù)隔離，并記錄該待交換數(shù)據(jù)的摘要信息，同時結束本次數(shù)據(jù)交換傳輸，若匹配失敗，則進入步驟5；
步驟5，將純數(shù)據(jù)內容推送給用戶進行選擇配置，若用戶選擇將純數(shù)據(jù)內容中的關鍵字加入黑名單，對純數(shù)據(jù)內容中的字段進行提取，獲得其中的關鍵字，再將獲得的關鍵字加入至黑名單中，若用戶選擇將純數(shù)據(jù)內容中的關鍵字加入白名單，對純數(shù)據(jù)內容中的字段進行提取，獲得其中的關鍵字，再將獲得的關鍵字加入至白名單中，在用戶選擇配置完成后返回步驟1；
步驟6，在待交換數(shù)據(jù)到達網(wǎng)絡一的隔離卡后，隔離卡對待交換數(shù)據(jù)進行協(xié)議剝離獲得純數(shù)據(jù)內容，再將純數(shù)據(jù)內容寫入網(wǎng)絡一的隔離卡的單向數(shù)據(jù)傳輸通道，通過單向數(shù)據(jù)傳輸通道將純數(shù)據(jù)內容傳輸至網(wǎng)絡二的隔離卡；
步驟7，純數(shù)據(jù)內容到達網(wǎng)絡二的隔離卡后，與網(wǎng)絡二的規(guī)則策略相匹配，并在匹配完成后通過網(wǎng)絡二的網(wǎng)口發(fā)到網(wǎng)絡二的系統(tǒng)中。
本發(fā)明采用智能白名單技術，解決了傳統(tǒng)隔離裝置對于特殊傳輸需求不能滿足的問題，通過主程序提取數(shù)據(jù)中的關鍵字自動擴充白名單與操作員用手動添加黑名單、白名單相結合，即保證了數(shù)據(jù)交互的安全性，又增強了數(shù)據(jù)傳輸?shù)撵`活性，并且隨著時間增加，黑名單、白名單不斷擴充，靈活性越來越強。
作為本發(fā)明的進一步限定方案，規(guī)則策略包括源地址、目的地址，源端口、目的端口、協(xié)議mac、源mac以及目的mac。
作為本發(fā)明的進一步限定方案，步驟6中，在純數(shù)據(jù)內容完全寫入網(wǎng)絡一的隔離卡的單向數(shù)據(jù)傳輸通道后，網(wǎng)絡一的隔離卡立即中斷與網(wǎng)絡一的連接，再將單向數(shù)據(jù)傳輸通道內的純數(shù)據(jù)內容推向網(wǎng)絡二的隔離卡。該設計能夠確保在數(shù)據(jù)安全傳輸完成后不會混入不安全的數(shù)據(jù)，具有較高的安全防護性能。
作為本發(fā)明的進一步限定方案，單向數(shù)據(jù)傳輸通道為FIFO通道。
本發(fā)明的有益效果在于：采用智能白名單技術，解決了傳統(tǒng)隔離裝置對于特殊傳輸需求不能滿足的問題，通過主程序提取數(shù)據(jù)中的關鍵字自動擴充白名單與操作員用手動添加黑名單、白名單相結合，即保證了數(shù)據(jù)交互的安全性，又增強了數(shù)據(jù)傳輸?shù)撵`活性，并且隨著時間增加，黑名單、白名單不斷擴充，靈活性越來越強。
附圖說明
圖1為本發(fā)明的方法流程圖。
具體實施方式
如圖1所示，本發(fā)明提供的基于黑白名單的數(shù)據(jù)安全交換方法，包括如下步驟：
步驟1，由網(wǎng)絡一的網(wǎng)口實時讀取待交換數(shù)據(jù)，將待交換數(shù)據(jù)與預設的規(guī)則策略相匹配，若匹配成功，則進入步驟2，若匹配失敗，則將該待交換數(shù)據(jù)隔離，并記錄該待交換數(shù)據(jù)的摘要信息，同時結束本次數(shù)據(jù)交換傳輸，其中，規(guī)則策略包括源地址、目的地址，源端口、目的端口、協(xié)議mac、源mac以及目的mac；
步驟2，對匹配成功的待交換數(shù)據(jù)進行協(xié)議剝離獲得純數(shù)據(jù)內容，將純數(shù)據(jù)內容與白名單中的關鍵字進行匹配，若匹配成功則進入步驟3，若匹配失敗，則進入步驟4；
步驟3，將待交換數(shù)據(jù)發(fā)送到網(wǎng)絡一的隔離卡，再進入步驟6；
步驟4，將純數(shù)據(jù)內容與黑名單中的關鍵字進行匹配，若匹配成功，則將該待交換數(shù)據(jù)隔離，并記錄該待交換數(shù)據(jù)的摘要信息，同時結束本次數(shù)據(jù)交換傳輸，若匹配失敗，則進入步驟5；
步驟5，將純數(shù)據(jù)內容推送給用戶進行選擇配置，若用戶選擇將純數(shù)據(jù)內容中的關鍵字加入黑名單，對純數(shù)據(jù)內容中的字段進行提取，獲得其中的關鍵字，再將獲得的關鍵字加入至黑名單中，若用戶選擇將純數(shù)據(jù)內容中的關鍵字加入白名單，對純數(shù)據(jù)內容中的字段進行提取，獲得其中的關鍵字，再將獲得的關鍵字加入至白名單中，在用戶選擇配置完成后返回步驟1；
步驟6，在待交換數(shù)據(jù)到達網(wǎng)絡一的隔離卡后，隔離卡對待交換數(shù)據(jù)進行協(xié)議剝離獲得純數(shù)據(jù)內容，再將純數(shù)據(jù)內容寫入網(wǎng)絡一的隔離卡的單向數(shù)據(jù)傳輸通道，通過單向數(shù)據(jù)傳輸通道將純數(shù)據(jù)內容傳輸至網(wǎng)絡二的隔離卡，在純數(shù)據(jù)內容完全寫入網(wǎng)絡一的隔離卡的單向數(shù)據(jù)傳輸通道后，網(wǎng)絡一的隔離卡立即中斷與網(wǎng)絡一的連接，再將單向數(shù)據(jù)傳輸通道內的純數(shù)據(jù)內容推向網(wǎng)絡二的隔離卡，單向數(shù)據(jù)傳輸通道為FIFO通道；
步驟7，純數(shù)據(jù)內容到達網(wǎng)絡二的隔離卡后，與網(wǎng)絡二的規(guī)則策略相匹配，并在匹配完成后通過網(wǎng)絡二的網(wǎng)口發(fā)到網(wǎng)絡二的系統(tǒng)中。
具體實施例：
本發(fā)明以外網(wǎng)作為網(wǎng)絡一，以內網(wǎng)作為網(wǎng)絡二，假定信息由外網(wǎng)到內網(wǎng)，采用“2+1”模塊結構設計，即包括外網(wǎng)主機模塊、內網(wǎng)主機模塊和隔離交換模塊。內、外網(wǎng)主機模塊具有獨立運算單元和存儲單元，分別連接內外網(wǎng)網(wǎng)絡。隔離交換模塊采用專用的雙通道隔離交換卡實現(xiàn)，通過內嵌的安全芯片完成內外網(wǎng)主機模塊間安全的數(shù)據(jù)交換。內外網(wǎng)主機模塊間不存在任何網(wǎng)絡連接，因此不存在基于網(wǎng)絡協(xié)議的數(shù)據(jù)轉發(fā)。隔離交換模塊是內外網(wǎng)主機模塊間數(shù)據(jù)交換的唯一通道，本身沒有操作系統(tǒng)和應用編程接口，所有的控制邏輯和傳輸邏輯固化在安全芯片中，自主實現(xiàn)內外網(wǎng)數(shù)據(jù)的交換和驗證。黑名單與白名單兩個資源池，內外網(wǎng)程序均有黑白名單，黑白名單皆為關鍵字集合，白名單為系統(tǒng)學習與用戶設置，黑名單關鍵字包括“1=1”等，配置主程序在外網(wǎng)，程序檢測到黑名白名單發(fā)生改動后，會自動將改動進行內外網(wǎng)同步。配置策略為用戶在外網(wǎng)側配置，配置完成后會自動同步到內網(wǎng)，策略包括數(shù)據(jù)源、目的地址，源、目的端口、內外網(wǎng)網(wǎng)口地址、協(xié)議、源、目的mac。利用數(shù)據(jù)隔離技術實現(xiàn)內外網(wǎng)信息交換，實現(xiàn)的方式共兩個階段。
階段1：初始階段。
在初始階段，白名單內容少，可以通過預先配置白名單，擴充白名單內容，并且因為初始測試階段，可以默認環(huán)境比較安全，可以將所有通過的信息默認為安全信息，系統(tǒng)自動讀取信息內容，摘取關鍵字擴充白名單。
本階段要求用戶使用模擬業(yè)務進行發(fā)送，本階段開始前，操作員配置程序進入“初始階段”，初始階段中不啟用黑名單功能，所有數(shù)據(jù)信息默認為安全數(shù)據(jù)。假定信息由外網(wǎng)到內網(wǎng)，數(shù)據(jù)首先到達外網(wǎng)口，外網(wǎng)程序首先對協(xié)議進行解析，然后與策略進行匹配，匹配內容包括源、目的地址，源、目的端口、協(xié)議、源、目的mac，之后將數(shù)據(jù)剝離，主程序對特定字段提取，形成關鍵字存入白名單，然后純數(shù)據(jù)到達外網(wǎng)硬件隔離卡，通FIFO數(shù)據(jù)通道到達外網(wǎng)隔離卡，同時只允許應用層不帶任何數(shù)據(jù)的TCP包的控制信息傳輸?shù)絻染W(wǎng)，沒有任何包、命令和TCP/IP協(xié)議（包括UDP和ICMP）可以穿透內外網(wǎng)，內網(wǎng)程序匹配策略之后送向內網(wǎng)。數(shù)據(jù)由內外網(wǎng)到達外網(wǎng)時采用同樣的流程。
階段2：運行階段
初始階段結束后，進入正式運行階段，即業(yè)務上線階段，默認運行環(huán)境不安全，用戶配置主程序進入“運行階段”，系統(tǒng)啟用黑名單，在本階段，信息會經(jīng)過白名單、黑名單的匹配在到達另外一端，并且操作員可以根據(jù)實際情況擴充白名單與黑名單。具體過程為：
過程1，假定信息由外網(wǎng)到內網(wǎng)，數(shù)據(jù)首先到達外網(wǎng)口，外網(wǎng)程序首先對協(xié)議進行解析，與規(guī)則策略相匹配，匹配內容包括源、目的地址，源、目的端口、協(xié)議、源、目的mac，匹配結果有兩種：第一種是能夠匹配到策略（Y），第二種是匹配不到策略（N）（例如：數(shù)據(jù)協(xié)議是TCP源地址是1.1.1.1，目的地址是1.1.1.2，mac是00000000abcdabcd，策略只有一條，源地址是1.1.1.1，目的地址是1.1.1.2，mac是00000000abcdabcd，則匹配結果是Y），如果匹配不到策略（N），主程序將信息隔離，并且審計系統(tǒng)記錄信息摘要并生成syslog，本次數(shù)據(jù)發(fā)送結束；
過程2，“過程1”中匹配結果為Y，則將數(shù)據(jù)剝離后，純數(shù)據(jù)內容與白名單中的關鍵字進行匹配，匹配結果有兩種：第一種是能夠匹配到策略（Y），第二種是匹配不到策略（N）（例如：源數(shù)據(jù)是“12345 南京供電 采集器”，白名單內有關鍵字“南京供電”，則匹配結果為Y，白名單內無“12345 南京供電 采集器”，則匹配結果為（N），匹配結果為（Y），則數(shù)據(jù)送到外網(wǎng)隔離卡，通過專用fifo通道到達內網(wǎng)隔離卡；
過程3，“過程2”中匹配結果為N，則純數(shù)據(jù)與黑名單相匹配，匹配結果有兩種：第一種是能夠匹配到策略（Y），第二種是匹配不到策略（N）（例如：源數(shù)據(jù)是“12345 南京供電 采集器”，黑名單內有關鍵字“南京供電”，則匹配結果為Y，白名單內無“12345 南京供電 采集器”，則匹配結果為N），匹配結果為Y，則主程序將信息隔離，并且審計系統(tǒng)記錄信息摘要并生成syslog，本次數(shù)據(jù)發(fā)送結束；
過程4，“過程3”中匹配結果為N，則觸發(fā)審計系統(tǒng)，生成syslog，并將數(shù)據(jù)信息推送至配置界面，此時用戶操作員可以有2個選擇，選擇1：選擇數(shù)據(jù)中的關鍵字加入黑名單，主程序對特定字段提取，形成關鍵字存入黑名單；選擇2：選擇數(shù)據(jù)中的關鍵字加入白名單，主程序對特定字段提取，形成關鍵字存入白名單；
過程5，數(shù)據(jù)到達外網(wǎng)隔離卡,外網(wǎng)的服務器立即發(fā)起對隔離設備的數(shù)據(jù)連接，隔離設備將所有的協(xié)議剝離，將原始的純數(shù)據(jù)寫入高速數(shù)據(jù)傳輸通道，一旦數(shù)據(jù)完全寫入安全隔離設備的單向安全通道，隔離設備外網(wǎng)側立即中斷與外網(wǎng)的連接，將單向安全通道內的數(shù)據(jù)推向內網(wǎng)側，內網(wǎng)側收到數(shù)據(jù)后發(fā)起對外網(wǎng)的數(shù)據(jù)連接，連接建立成功后，進行TCP/IP的封裝和應用協(xié)議的封裝；
過程6，數(shù)據(jù)到達內網(wǎng)隔離卡后，與內網(wǎng)規(guī)則相匹配，匹配完按照內網(wǎng)規(guī)則發(fā)到內網(wǎng)系統(tǒng)；
過程7，數(shù)據(jù)如果從內網(wǎng)到達外網(wǎng)，按照從外網(wǎng)到達內網(wǎng)同樣的流程進行。
本發(fā)明技術術語的名詞解釋如下：
（1）TCP/IP
Transmission Control Protocol/Internet Protocol的簡寫，中譯名為傳輸控制協(xié)議/因特網(wǎng)互聯(lián)協(xié)議，又名網(wǎng)絡通訊協(xié)議，是Internet最基本的協(xié)議、Internet國際互聯(lián)網(wǎng)絡的基礎，由網(wǎng)絡層的IP協(xié)議和傳輸層的TCP協(xié)議組成。
（2）fifo
在系統(tǒng)設計中，以增加數(shù)據(jù)傳輸率、處理大量數(shù)據(jù)流、匹配具有不同傳輸率的系統(tǒng)為目的而廣泛使用FIFO存儲器，從而提高了系統(tǒng)性能。FIFO存儲器是一個先入先出的雙口緩沖器，即第一個進入其內的數(shù)據(jù)第一個被移出，其中一個存儲器的輸入口，另一個口是存儲器的輸出口。對于單片F(xiàn)IFO來說，主要有兩種結構：觸發(fā)導向結構和零導向傳輸結構。觸發(fā)導向傳輸結構的FIFO是由寄存器陣列構成的，零導向傳輸結構的FIFO是由具有讀和寫地址指針的雙口RAM構成。
（3）Syslog
系統(tǒng)日志（Syslog）協(xié)議是在一個IP網(wǎng)絡中轉發(fā)系統(tǒng)日志信息的標準，它是在美國加州大學伯克利軟件分布研究中心（BSD）的TCP/IP系統(tǒng)實施中開發(fā)的，目前已成為工業(yè)標準協(xié)議，可用它記錄設備的日志。Syslog記錄著系統(tǒng)中的任何事件，管理者可以通過查看系統(tǒng)記錄隨時掌握系統(tǒng)狀況。系統(tǒng)日志通過Syslog進程記錄系統(tǒng)的有關事件，也可以記錄應用程序運作事件。通過適當配置，還可以實現(xiàn)運行Syslog協(xié)議的機器之間的通信。通過分析這些網(wǎng)絡行為日志，可追蹤和掌握與設備和網(wǎng)絡有關的情況。