一种智能数据安全管理控制系统和控制方法技术方案

本发明专利技术提供一种智能数据安全管理控制系统和控制方法，该智能数据安全管理控制系统包括安全策略服务器、应用服务器及访问安全代理、管理控制服务器、数据库服务器、电源系统、存储安全网关和存储系统；本发明专利技术依据安全策略生成访问数据块的安全载荷信息，数据安全载荷的传输和存储，解析协议获取安全载荷，依据安全载荷计算并验证访问请求的合法性，并控制对数据的访问是否允许或拒绝。本发明专利技术通过在存储系统数据访问协议层上增加安全载荷，并利用安全代理软件对安全载荷进行解析，并根据安全载荷实施对数据的访问控制，能够真正做到对数据访问强度更高，粒度更细的安全控制。

【技术实现步骤摘要】

本专利技术属于数据安全管理
，尤其涉及一种智能数据安全管理控制系统和控制方法。
技术介绍
世界上超过60％的公司首席信息官担心云计算的安全性，特别是云数据的安全性。关于云计算的数据安全的主要问题之一是，存在于云数据中心的数据可以通过云数据中心服务提供商的员工及第三方承包商访问。因此，希望允许用户在任何时间从任何地点控制存在于任何设备的数据的数据安全性，这些设备可包括云数据中心、终端设备、USB设备等。在云计算环境下，数据存储系统架构发生很大的变化，面临更复杂的应用和服务场景，比如存储虚拟化技术的应用，云存储服务的出现，使得用户的数据在存储系统中往往会面临更多来自互联网和云计算系统内部的威胁。传统的针对数据的访问控制方法主要在应用层和服务层实现，这就使得很难抵御这种开放环境所带来的安全威胁。当前针对数据存储系统的安全方法主要包括访问控制列表(ACL)、身份认证、数据加密等。这些方法存在一些问题。首先，这类方法控制粒度较粗，主要应用在存储系统的设备层，而不是对数据本身的访问做控制，比如ACL访问控制策略只能控制基于访问设备IP地址的访问连接，不能直接细粒度控制用户对数据的访问，对于攻击者而言很容易通过IP地址欺骗绕过安全策略。身份验证机制是对应用服务器与目标存储设备之间的认证，比如使用CHAP协议，这种方法不能控制应用服务器上的具体用户或应用对数据的访问。其次，这些方法主要在应用层实现，很容易被恶意程序攻击，造成安全控制被旁路或直接篡改授权信息。比如数据加密方法，当授权信息被非法获取，非法用户能够直接获得加密密钥，加密方法就失去效果。
技术实现思路
为了解决上述技术问题，本专利技术提供一种智能数据安全管理控制系统和控制方法，旨在解决现有的智能数据安全管理控制系统和控制方法结构复杂、不安全、智能化程度低等的问题。一种智能数据安全管理控制系统和控制方法，该智能数据安全管理控制系统包括安全策略服务器、应用服务器及访问安全代理、管理控制服务器、数据库服务器、电源系统、存储安全网关和存储系统；本专利技术依据安全策略生成访问数据块的安全载荷信息，数据安全载荷的传输和存储，解析协议获取安全载荷，依据安全载荷计算并验证访问请求的合法性，并控制对数据的访问是否允许或拒绝。所述安全策略服务器负责配置和保存所有数据访问的安全策略，数据的安全属性将根据依据针对该数据的访问控制策略制定并生成；安全策略则依据具体的应用环境数据访问安全需求由安全管理人员制定并配置；所述应用服务器及访问安全代理：所述应用服务器是运行有数据访问需求的应用程序的系统或接收来自客户端的数据访问请求的实体，所述应用服务器运行访问安全代理实现对所述数据库服务器、存储安全网关和存储系统的数据访问，包括应用服务器自身的IO子系统和存储系统驱动模块；所述访问安全代理则负责对用户的数据访问请求进行处理，包括安全载荷的生成和封装，并转换为IO请求，通过底层驱动程序实际操作存储系统的物理存储设备或虚拟存储设备，并响应访问请求；所述管理控制服务器连接所述安全策略服务器和应用服务器及访问安全代理，并用于管理控制所述安全策略服务器所配置的安全策略，控制所述应用服务器的智能运行；所述数据库服务器连接所述管理控制服务器，可以存储所述安全策略服务器所有的安全策略，并根据所述应用服务器运行的数据访问需求提供优先选择的安全策略；所述电源系统用于对所有服务器提供不间断的电源供应；所述存储安全网关是一个逻辑功能实体，位于存储系统和应用服务器及访问安全代理之间，所述存储安全网关是软件实现的功能部件或者是采用硬件方式的存储网关类设备；所述存储安全网关负责对数据安全载荷进行解析，依据安全载荷计算并验证数据的访问是否符合安全策略，并依据验证结果对访问请求进行控制，允许或拒绝对数据的访问；所述存储系统包括物理或虚拟的存储设备；其是数据访问请求实际操作数据的物理或虚拟存储设备，是数据的主要存储地。进一步，所述的安全策略服务器包括安全策略管理模块和安全策略库；安全策略管理模块接收并响应对安全策略的查询请求，安全策略库则保存系统中用户及应用的数据访问策略。进一步，所述的应用服务器及访问安全代理包括安全协议扩展模块、安全载荷管理模块、安全策略缓存和虚拟端口驱动及IO传输模块；所述安全协议扩展模块负责将IO请求进行底层传输协议层的封装，将安全载荷与数据块封装为存储传输协议层能够识别的数据包；安全协议扩展模块同安全载荷管理模块进行通信，获取安全载荷信息；安全协议扩展模块维护安全载荷以及安全策略缓存，已减少访问安全策略库的次数；安全协议扩展模块还负责将数据包重新封装为存储系统所支持的传输协议进行传输，以兼容不同的存储系统；所述安全载荷管理模块进行数据安全载荷和访问安全载荷的计算，有效性验证以及合法性验证；应用服务器上的安全载荷管理模块负责根据安全策略中包含的请求方主体安全属性信息计算后生产数据安全载荷以及访问安全载荷；应用服务器上的安全策略缓存用于将从安全策略服务器获取的安全策略缓存到本地，并供本地查询和判断使用；所述虚拟端口驱动及IO传输模块：由应用服务器的IO子系统通过虚拟端口的方式提供对底层存储设备的驱动，负责将操作系统的数据访问请求转换为存储设备识别的IO请求，并通过驱动程序传输到存储系统上。进一步，所述的电源系统包括电源连接模块、蓄电模块和继电保护模块；所述电源连接模块包括至少一个连接外部电源的电源输入模块和至少一个连接负载的负载输出模块；所述蓄电模块包括连接蓄电池的蓄电池充放电模块。进一步，所述的存储安全网关包括安全协议扩展模块、安全载荷管理模块、访问控制实施模块、虚拟存储管理模块、安全策略缓存和存储网络传输模块；安全载荷与数据块封装为存储传输协议层能够识别的数据包；所述安全协议扩展模块同安全载荷管理模块进行通信，获取安全载荷信息；安全协议扩展模块维护安全载荷以及安全策略缓存，已减少访问安全策略库的次数；在存储安全网关上实现的安全协议扩展模块还负责从标准存储传输协议或安全扩展的存储传输协议的数据包中解析安全载荷信息，并将安全载荷信息发送给安全载荷管理模块进行处理；该模块还负责将数据包重新封装为存储系统所支持的传输协议进行传输，以兼容不同的存储系统；所述安全载荷管理模块主要进行数据安全载荷和访问安全载荷的计算，有效性验证以及合法性验证；存储安全网关上的安全载荷管理模块负责根据安全策略中包含的请求方主体安全属性信息计算后生产数据安全载荷以及访问安全载荷，同时还要进行安全载荷的有效性验证，合法性验证等操作；所述访问控制实施模块由存储安全网关实现，负责执行访问控制允许或拒绝访问请求并进行应答；所述虚拟存储管理模块由存储安全网关实现，利用存储虚拟化技术管理物理存储设备；负责接收来自应用服务器的数据IO请求，并进行IO请求解析；还负责物理设备地址的映射，虚拟端口管理，并对数据块进行封装和转发，按照所连接的存储网络识别的传输格式发送到存储系统上；同时其还管理存储安全网关同安全策略服务器的连接和通信；所述存储安全网关上的安全策略缓存用于将从安全策略服务器获取的安全策略缓存到本地，并供本地查询和判断使用；所述存储网络传输模块负责数据块传输；根据存储网络接口的不同实现不同传输协议。进一步，所述智能数据安全管理控制方法的本文档来自技高网...

【技术保护点】
一种智能数据安全管理控制系统，其特征在于，该智能数据安全管理控制系统包括安全策略服务器、应用服务器及访问安全代理、管理控制服务器、数据库服务器、电源系统、存储安全网关和存储系统；所述安全策略服务器负责配置和保存所有数据访问的安全策略，数据的安全属性将根据依据针对该数据的访问控制策略制定并生成；安全策略则依据具体的应用环境数据访问安全需求由安全管理人员制定并配置；所述应用服务器及访问安全代理：所述应用服务器是运行有数据访问需求的应用程序的系统或接收来自客户端的数据访问请求的实体，所述应用服务器运行访问安全代理实现对所述数据库服务器、存储安全网关和存储系统的数据访问，包括应用服务器自身的IO子系统和存储系统驱动模块；所述访问安全代理则负责对用户的数据访问请求进行处理，包括安全载荷的生成和封装，并转换为IO请求，通过底层驱动程序实际操作存储系统的物理存储设备或虚拟存储设备，并响应访问请求；所述管理控制服务器连接所述安全策略服务器和应用服务器及访问安全代理，并用于管理控制所述安全策略服务器所配置的安全策略，控制所述应用服务器的智能运行；所述数据库服务器连接所述管理控制服务器，可以存储所述安全策略服务器所有的安全策略，并根据所述应用服务器运行的数据访问需求提供优先选择的安全策略；所述电源系统用于对所有服务器提供不间断的电源供应；所述存储安全网关是一个逻辑功能实体，位于存储系统和应用服务器及访问安全代理之间，所述存储安全网关是软件实现的功能部件或者是采用硬件方式的存储网关类设备；所述存储安全网关负责对数据安全载荷进行解析，依据安全载荷计算并验证数据的访问是否符合安全策略，并依据验证结果对访问请求进行控制，允许或拒绝对数据的访问；所述存储系统包括物理或虚拟的存储设备；其是数据访问请求实际操作数据的物理或虚拟存储设备，是数据的主要存储地；所述的安全策略服务器包括安全策略管理模块和安全策略库；安全策略管理模块接收并响应对安全策略的查询请求，安全策略库则保存系统中用户及应用的数据访问策略；所述的应用服务器及访问安全代理包括安全协议扩展模块、安全载荷管理模块、安全策略缓存和虚拟端口驱动及IO传输模块；所述安全协议扩展模块负责将IO请求进行底层传输协议层的封装，将安全载荷与数据块封装为存储传输协议层能够识别的数据包；安全协议扩展模块同安全载荷管理模块进行通信，获取安全载荷信息；安全协议扩展模块维护安全载荷以及安全策略缓存，已减少访问安全策略库的次数；安全协议扩展模块还负责将数据包重新封装为存储系统所支持的传输协议进行传输，以兼容不同的存储系统；所述安全载荷管理模块进行数据安全载荷和访问安全载荷的计算，有效性验证以及合法性验证；应用服务器上的安全载荷管理模块负责根据安全策略中包含的请求方主体安全属性信息计算后生产数据安全载荷以及访问安全载荷；应用服务器上的安全策略缓存用于将从安全策略服务器获取的安全策略缓存到本地，并供本地查询和判断使用；所述虚拟端口驱动及IO传输模块：由应用服务器的IO子系统通过虚拟端口的方式提供对底层存储设备的驱动，负责将操作系统的数据访问请求转换为存储设备识别的IO请求，并通过驱动程序传输到存储系统上；所述的电源系统包括电源连接模块、蓄电模块和继电保护模块；所述电源连接模块包括至少一个连接外部电源的电源输入模块和至少一个连接负载的负载输出模块；所述蓄电模块包括连接蓄电池的蓄电池充放电模块；所述的存储安全网关包括安全协议扩展模块、安全载荷管理模块、访问控制实施模块、虚拟存储管理模块、安全策略缓存和存储网络传输模块；安全载荷与数据块封装为存储传输协议层能够识别的数据包；所述安全协议扩展模块同安全载荷管理模块进行通信，获取安全载荷信息；安全协议扩展模块维护安全载荷以及安全策略缓存，已减少访问安全策略库的次数；在存储安全网关上实现的安全协议扩展模块还负责从标准存储传输协议或安全扩展的存储传输协议的数据包中解析安全载荷信息，并将安全载荷信息发送给安全载荷管理模块进行处理；该模块还负责将数据包重新封装为存储系统所支持的传输协议进行传输，以兼容不同的存储系统；所述安全载荷管理模块主要进行数据安全载荷和访问安全载荷的计算，有效性验证以及合法性验证；存储安全网关上的安全载荷管理模块负责根据安全策略中包含的请求方主体安全属性信息计算后生产数据安全载荷以及访问安全载荷，同时还要进行安全载荷的有效性验证，合法性验证操作；所述访问控制实施模块由存储安全网关实现，负责执行访问控制允许或拒绝访问请求并进行应答；所述虚拟存储管理模块由存储安全网关实现，利用存储虚拟化技术管理物理存储设备；负责接收来自应用服务器的数据IO请求，并进行IO请求解析；还负责物理设备地址的映射，虚拟端口管理，并对数据块进行封装和转发，按照所连接的存储网络识别的传输格式发送到存储系统上；同...

【技术特征摘要】
1.一种智能数据安全管理控制系统，其特征在于，该智能数据安全管理控制系统包括安全策略服务器、应用服务器及访问安全代理、管理控制服务器、数据库服务器、电源系统、存储安全网关和存储系统；所述安全策略服务器负责配置和保存所有数据访问的安全策略，数据的安全属性将根据依据针对该数据的访问控制策略制定并生成；安全策略则依据具体的应用环境数据访问安全需求由安全管理人员制定并配置；所述应用服务器及访问安全代理：所述应用服务器是运行有数据访问需求的应用程序的系统或接收来自客户端的数据访问请求的实体，所述应用服务器运行访问安全代理实现对所述数据库服务器、存储安全网关和存储系统的数据访问，包括应用服务器自身的IO子系统和存储系统驱动模块；所述访问安全代理则负责对用户的数据访问请求进行处理，包括安全载荷的生成和封装，并转换为IO请求，通过底层驱动程序实际操作存储系统的物理存储设备或虚拟存储设备，并响应访问请求；所述管理控制服务器连接所述安全策略服务器和应用服务器及访问安全代理，并用于管理控制所述安全策略服务器所配置的安全策略，控制所述应用服务器的智能运行；所述数据库服务器连接所述管理控制服务器，可以存储所述安全策略服务器所有的安全策略，并根据所述应用服务器运行的数据访问需求提供优先选择的安全策略；所述电源系统用于对所有服务器提供不间断的电源供应；所述存储安全网关是一个逻辑功能实体，位于存储系统和应用服务器及访问安全代理之间，所述存储安全网关是软件实现的功能部件或者是采用硬件方式的存储网关类设备；所述存储安全网关负责对数据安全载荷进行解析，依据安全载荷计算并验证数据的访问是否符合安全策略，并依据验证结果对访问请求进行控制，允许或拒绝对数据的访问；所述存储系统包括物理或虚拟的存储设备；其是数据访问请求实际操作数据的物理或虚拟存储设备，是数据的主要存储地；所述的安全策略服务器包括安全策略管理模块和安全策略库；安全策略管理模块接收并响应对安全策略的查询请求，安全策略库则保存系统中用户及应用的数据访问策略；所述的应用服务器及访问安全代理包括安全协议扩展模块、安全载荷管理模块、安全策略缓存和虚拟端口驱动及IO传输模块；所述安全协议扩展模块负责将IO请求进行底层传输协议层的封装，将安全载荷与数据块封装为存储传输协议层能够识别的数据包；安全协议扩展模块同安全载荷管理模块进行通信，获取安全载荷信息；安全协议扩展模块维护安全载荷以及安全策略缓存，已减少访问安全策略库的次数；安全协议扩展模块还负责将数据包重新封装为存储系统所支持的传输协议进行传输，以兼容不同的存储系统；所述安全载荷管理模块进行数据安全载荷和访问安全载荷的计算，有效性验证以及合法性验证；应用服务器上的安全载荷管理模块负责根据安全策略中包含的请求方主体安全属性信息计算后生产数据安全载荷以及访问安全载荷；应用服务器上的安全策略缓存用于将从安全策略服务器获取的安全策略缓存到本地，并供本地查询和判断使用；所述虚拟端口驱动及IO传输模块：由应用服务器的IO子系统通过虚拟端口的方式提供对底层存储设备的驱动，负责将操作系统的数据访问请求转换为存储设备识别的IO请求，并通过驱动程序传输到存储系统上；所述的电源系统包括电源连接模块、蓄电模块和继电保护模块；所述电源连接模块包括至少一个连接外部电源的电源输入模块和至少一个连接负载的负载输出模块；所述蓄电模块包括连接蓄电池的蓄电池充放电模块；所述的存储安全网关包括安全协议扩展模...

【专利技术属性】
技术研发人员：许德合，杨成杰，张俊峰，赵东保，
申请(专利权)人：华北水利水电大学，
类型：发明
国别省市：河南;41