[发明专利]基于NDIS过滤驱动的网络数据单向传输控制方法

说明书

本发明提出一种基于NDIS过滤驱动的网络数据单向传输控制方法，包括以下步骤：建立两台不同密级计算机的网络连接，密级较高计算机作为服务端，密级较低计算机作为客户端；在服务端和客户端分别安装网络过滤驱动；在服务端安装监测服务和检测程序，防止过滤驱动被破坏后单向传输控制失效；在服务端运行单向传输接收程序；在客户端运行单向传输发送程序；客户端过滤驱动将TCP数据包加密后发送给服务端,服务端过滤驱动接收解密TCP数据包，查验发送出去的数据包，保证发送的TCP数据包不包括数据内容，实现数据单向传输控制。本发明通过软件手段实现网络数据单向传输控制，不需要特殊硬件，安装部署方便，并且传输安全可靠。

技术领域

本发明涉及单向网络传输控制方法，具体涉及一种基于NDIS过滤驱动的网络数据单向传输控制方法。

背景技术

网络数据单向传输控制属于网络安全技术领域，主要应用在对网络安全有较高需求的单位中，实现密级较高网络中的数据不能流向密级较低网络，但密级较低网络中的数据可以流向密级较高网络的单向传输网络数据。目前常见的网络数据单向传输控制技术称为网闸或隔离网闸，是通过硬件的方式在两个不连通的网络间进行数据传递或者交换。隔离网闸的硬件通常由外网处理单元、内网处理单元及隔离与交换控制单元组成，交换控制单元类似于数据交换中的摆渡船，采用摆渡开关或通道控制方式，让数据交换区与内外网在任意时刻不同时连接或在内外网之间改变通讯模式中断内外网的直接连接，从而实现内外网的物理隔离。内外网之间数据安全传递的基本原理是通过切断网络，切断网络之间的TCP/IP连接，分解TCP/IP数据包，运用自由协议进行数据包转发，重组TCP/IP数据包，进行安全性检查，将数据交换传输出去。其中数据包的转发不采用面向连接的TCP协议来进行传输，只存在数据信息流而不存在控制信息流，因此还需要采用一定的数据容错、纠错技术来提高信息传递的可靠性。隔离网闸技术的复杂性决定了目前硬件网闸设备实现网络数据单向传输控制成本较高，安装部署不方便，不方便大范围推广使用。

发明内容

本发明利用纯软件手段，实现网络数据单向传输控制并保证其安全可靠。为了达到上述目的，本发明提供一种基于NDIS过滤驱动的网络数据单向传输控制方法，包括以下步骤：

（1）建立两台不同密级计算机的网络连接，设定密级较高计算机作为服务端，设定密级较低计算机作为客户端；

（2）在服务端和客户端分别安装网络过滤驱动；

（3）在服务端安装网络探测程序和系统检测程序，采用双进程保护，防止过滤驱动被破坏后单向传输控制失效；

（4）在服务端运行单向传输接收程序，设定服务端监听端口，监听并接收客户端发送的数据；

（5）在客户端运行单向传输发送程序，指定要接收数据的服务端计算机IP地址和端口，按照文件单向传输协议，以文件形式发送数据；

（6）客户端过滤驱动将发送到服务端的TCP数据包自动加密；服务端过滤驱动接收解密TCP数据包，查验发送出去的数据包，保证发送出去的TCP数据包不包括数据内容，实现数据单向传输控制。

上述基于NDIS过滤驱动的网络数据单向传输控制方法，其中，安装服务端网络过滤驱动，设定网络传输时TCP端口异或数值；安装客户端网络过滤驱动，设定可与本机采用加密通讯的计算机的IP地址及TCP端口异或数值，该异或数值与服务端设置的数值相同。