一种瘦客户端模式的数据资源安全管控方法

摘要

本发明属于网络安全领域，特别是一种瘦客户端模式的数据资源安全管控方法。包括八个子系统：包括身份认证子系统、远程应用服务子系统、安全标签子系统、文件访问控制子系统、安全通信子系统、安全审计子系统、安全存储子系统、管理平台子系统；文件的存储和管控集中在后台服务器，按用户类型或文件安全等级进行分区存储，实现对文件的存储保护，服务器端无法识别文件内容。用户需要访问和处理文件时，在浏览器上进行用户登录，和服务器间完成身份认证并建立文件访问连接。瘦客户端的文件处理在服务器端完成（由物理应用服务器或虚拟应用服务器提供），瘦客户端上无须安装任何应用或代理，界面互操作由远程应用服务发布的相关服务支持。

主权项

一种瘦客户端模式的数据资源安全管控系统，其特征在于：包括八个子系统：包括身份认证子系统、远程应用服务子系统、安全标签子系统、文件访问控制子系统、安全通信子系统、安全审计子系统、安全存储子系统、管理平台子系统；具体步骤如下：步骤1：启动浏览器，用户登录服务器，服务器通过身份认证子系统完成对用户的身份认证；步骤2：建立安全通信及传输信道，通过安全通信子系统中的安全协议来保障数据资源从客户端到集中存储服务器之间通信安全；步骤3：服务器通过远程应用服务子系统建立远程应用服务，用户在浏览器窗口进入自己的存储目录，选择相关文件和所需应用，应用和文件处理在服务端完成，浏览器窗口中显示处理结果并支持互操作；具体结构和应用方法如下：1)应用发布门户：设计统一的应用访问门户，实现应用列表管理和客户端的个性列表定制；2)远程交互展示层：实现浏览器端的操作同步、数据过滤和桌面绘制，将应用系统运行界面在浏览器端呈现，同步浏览器端的操作在服务器端进行操作处理；在远程交互展示层中实现了基于浏览器端的访问控制，以结合文件访问控制子系统实现瘦客户端访问的细粒度控制；3)本地应用管理层：实现对服务器端的应用调度和管理，将桌面转化成图片文件；本地的应用安装于虚拟机系统、物理主机或是提供应用样本库以虚拟应用形态运行，若以虚拟机系统形式实现则需增加虚拟机管理模块，管理和调度分为以下三种模式，具体描述如下：物理主机：应用程序安装物理主机之上，每个主机有独立的硬件平台和操作系统，由应用管理模块统一调度；虚拟主机：应用程序安装虚拟机系统之上，虚拟机系统共享底层硬件平台，由应用管理模块统一调度；应用虚拟化：通过一个完整的应用程序样本库，样本库包含应用程序和 所需系统环境样本，根据需要加载到物理或虚拟主机中执行；应用管理模块根据远程应用访问请求形成应用任务列表，调度部署于物理主机、虚拟主机之上的应用程序进行处理，4)本地应用支撑层：由安装于虚拟机系统、物理主机的应用程序或是集中管理的应用样本库组成；把用户从浏览器发送的请求转换成为能与应用服务器交互的网络数据包，并根据处理结果通过页面跳转的方式反馈到客户端；构建一个用户界面框架，采用一个JavaScript框架实现，把多个应用整合到一个页面中；在后台截获应用程序窗口的图像更新，并通过远程传输协议传输到客户端显示，并把客户端的键盘鼠标事件传到服务端； 通过窗口同步技术来同步客户端和服务端的应用窗口；应用窗口的同步分为窗口大小改变的同步、窗口激活的同步、窗口关闭的同步，实现用户界面框架模块和应用窗口传输模块的函数的互相调用；步骤4：在用户对电子文件进行操作过程中，服务器通过安全标签子系统自动对文件添加安全标签，实现基于安全标签的访问控制；对于用户存储在服务器端的电子文件，安全标签子系统首先采集文件属性信息，然后整合制作成安全标签的形式，再将安全标签嵌入文件，由此实现安全标签和文件的不可分离；标签属性包括基本属性，包括文件名、创建者、创建时间和文件密钥；安全等级属性，包括安全等级、定密人、审核人和审批人；安全属性，包括数字签名、流转信息和日志信息；授权属性，包括访问主体和操作权限；电子文件在被创建后，系统自动创建其基本属性和安全属性，安全等级属性和授权属性根据提供的工具规则，由用户进行设定；标签管理的核心设计思路是利用标签工具将数据资源按照安全等级进行划分，按照标签属性与信息的访问控制权限进行权限划分，实现基于安全等级的访问控制和基于授权的访问控制，分为规则管理、标签制作和权限管理三个模块；规则管理模块实现人员安全等级管理、文档安全等级管理和安全等级关系管理；标签制作模块提供对文档安全等级的标识功能，由用户设定文档安全等级和使用年限，用户能够访问文档的前提是“用户安全等级”>=“文档安全等级”；该模块还提供安全等级模版管理功能，能够支持对涉密文件的批量制作；权限管理模块调用文件访问控制子系统的权限控制，用户只有被授权才能访问文件；文件访问控制子系统对文件和访问用户授权，被授权的用户只有在操作权限的控制下才能对文件进行操作，对文档的用户权限进行设置；安全存储子系统在集中存储区域上以逻辑卷的形式为每个用户分配独立存储空间，通过访问控制对各个存放目录进行保护，且基于文件等级信息将存储空间分为若干个存储区域；在管理平台子系统中，采用集中化的管理方式和基于角色的权限管理体系，管理员模式分为系统管理员、安全管理员、审计管理员，三类管理员分工不同，系统管理员负责用户管理、管理员账号的锁定与解锁、数据库备份设置等，安全管理员负责下发安全策略，审计管理员负责审计日志信息；安全审计子系统提供对各类子系统的日志进行集中采集、集中管理、集中审计，并集中存储到安全审计子系统数据库中，同时对各类日志中的异常事件进行预警、告警。