一种视频监控系统信息安全防护系统和方法

摘要

本发明公开了一种视频监控系统信息安全防护系统，包括登录子系统、数据子系统、策略子系统、加密子系统、应用子系统、网络子系统以及采集子系统；所述数据子系统接收所述登录子系统发送出需求信息，并根据编码和所述加密子系统对编码和加密需求信息分析、处理，将结果发送至所述策略子系统，以生产新的安全策略，所述数据子系统根据新的安全策略，向所述应用子系统、所述网络子系统或所述采集子系统发送执行任务，并将执行结果反馈至所述登录子系统以告知用户或系统管理员。本发明的系统及方法，防护级别高，防泄密，安全、可靠。

说明书

技术领域

本发明涉及信息安全防护技术领域，具体为一种视频监控系统信息安全防护系统和方法。

背景技术

随着视频监控技术的不断发展和应用，视频监控系统中存储着着大量的敏感数据文件，而这些视频数据存在这泄密和遭受攻击的安全隐患。然而目前对于视频监控系统的防泄密和防攻击安全防护仅局限在网络安全传输的层面，通过采用安全加密通道传输或对视频数据加密传输的技术手段防止通过网络数据窃取防止数据泄密，但对于视频监控终端的防护却存在严重缺失：

1.摄像机伪造安装，获取虚假信息，或者是在监视过程中，操作人员可轻易通过抓图、截屏或屏幕录像等操作方式获取视频数据导致泄密；

2.视频监控终端可随意调取视频录像，并通过进行下载、导出等操作将视频录像文件保存到终端计算机中，对于这些文件，操作人员可轻易的拷贝，或被病毒、黑客获取攻击，造成信息泄密和安全性能降低；

3.视频监控系统无法预知自身的安全状况，可追溯型差，例如网络的连接状态、操作员的非法操作等，无法进行及时的告警和日志记录，对于安全隐患的防治和事后追查毫无办法。

发明内容

本发明的目的在于提供一种视频监控系统信息安全防护系统和方法，以解决现有技术中存在的问题。

为实现上述目的，本发明采用的技术方案是：提供一种视频监控系统信息安全防护系统，包括登录子系统、数据子系统、策略子系统、加密子系统、应用子系统、网络子系统以及采集子系统；其中，

所述登录子系统，用于记录并预先存储给定到用户的编码，并将用户的编码和用户需求信息传递至所述加密子系统加密，而后发送至所述数据子系统中存储；同时与所述数据子系统通信连接，接收并解密获取需求请求得到的反馈结果，在与存储的编码和加密需求信息匹配时向所述数据子系统发送需求请求已经完成指令；

所述数据子系统，用于接收所述登录子系统发送出需求信息，并根据编码和所述加密子系统对编码和加密需求信息分析、处理，将结果发送至所述策略子系统，以生产新的安全策略，所述数据子系统根据新的安全策略，向所述应用子系统、所述网络子系统或所述采集子系统发送执行任务，并将执行结果反馈至所述登录子系统以告知用户或系统管理员。

优选的，在本技术方案中，所述数据子系统至少包括数据库子系统和控制子系统。

优选的，在本技术方案中，所述数据库子系统至少包括数据库模块和身份管理模块；其中，

所述数据库模块采用Oracle 10g作为数据库；

所述身份管理模块，用于对系统所涉及的用户信息进行管理，为系统管理员提供给各用户分配使用权限和账户信息，同时系统管理员需要能查询各个用户的历史浏览记录和使用日志。

优选的，在本技术方案中，所述策略子系统，用于记所述录登录子系统、所述数据子系统、所述加密子系统、所述应用子系统、所述网络子系统和所述采集子系统的安全日志，根据安全日志监控系统信息安全，并制定指导系统各子系统的安全防护策略。

优选的，在本技术方案中，所述加密子系统，用于对系统中各等级的数据进行加密，同时生成加密数据的密钥文件，并将所述密钥文件传输至所述数据子系统和所述策略子系统中，并同时保存在所述加密子系统中，并用于解密。

优选的，在本技术方案中，所述应用子系统，用于对登录子系统采用身份认证、用户权限及访问控制，同时基于所述数据子系统连接所述策略子系统进行视频监控系统资源控制。

优选的，在本技术方案中，所述应用子系统包括信息访问控制模块和文件访问控制模块；

所述信息访问控制模块，用于对数据子系统发送出的执行任务信令控制消息进行处理，确定访问消息类型并发送出去；

所述文件访问控制模块，接受所述信息访问控制模块的信息处理结果，并辨识处理结果是否为文件访问信息，当确定为文件访问信息时，从加密子系统中获取解密密码与及密钥进行匹配，匹配一致将文件解密发送解密信号至所述数据子系统，所述数据子系统的数据库子系统，则身份管理模块核对ID无误后，数据库模块提取对应文件反馈至登录者；确认有无，则发出警告信号至所述登录子系统和所述数据子系统进行报警提示。

优选的，在本技术方案中，述应用子系统包括信息访问控制模块和设备访问控制模块；所述信息访问控制模块确定的消息类型为设备访问时，所述信息访问控制模块将设备访问消息发送至所述设备访问控制模块，所述设备访问控制模块自主进行辨识确认，当确定为设备访问信息时，从所述加密子系统中获取解密密码与ID及密钥进行匹配，匹配一致将文件解密发送解密信号至所述数据子系统，所述数据子系统的数据库子系统，则身份管理模块核对ID无误后，数据库模块提取对应设备信息反馈至登录者；确认有无，则发出警告信号至所述登录子系统和所述数据子系统进行报警提示。

优选的，在本技术方案中，所述网络子系统，用于实现各系统内部及与外网的通信连接，并对登录者访问视频监控系统防护系统时进行实时监测；

所述网络子系统至少包括网络监听模块、网络通信模块、网络协议模块及网络限流模块。

本发明的另一个目的在于提供一种视频监控系统信息安全防护系统的防护方法，其特征在于，其包括如下步骤：

S010，在安全网络环境中，对通过登录子系统的用户账号ID进行确定并进行密钥加密，将其将ID和密钥分别登记于数据子系统和加密子系统中；

S020，数据子系统与加密子系统基于协议互认；

S030，加密子系统确认通过，将用户的ID和请求信息作为参数，发送至策略子系统，并发给应用子系统、数据采集子系统、网络子系统等；

S040，策略子系统制定安全防护策略，发送至数据子系统分析并根据用户ID和请求信息，基于安全防护策略在控制模块中生成执行任务方案；

S050，应用子系统、数据采集子系统和网络子系统接受执行任务方案，执行、处理任务并生成日志记录。

与现有技术对比，本发明具备以下有益效果：

本发明的视频监控系统信息安全防护系统的防护方法，通过对设备的唯一ID登记及密钥通信，避免了摄像机伪造安装，获取虚假信息的发生。视频的记录是保存在数据子系统中，获取访问数据信息时，需要进行ID、密钥等信息匹配，并在登录时进行识别，由此生成安全策略进行防护，即使是操作人员也无法轻易查看和拷贝资料，在网络子系统中对病毒、黑客等进行协议确认，有效防护。而且对于视频记录的访问只许可操作管理员有权限一旦在监视过程中，操作人员可轻易通过抓图、截屏或屏幕录像等操作方式获取视频数据导致泄密时，实时告警，可以及时追溯隐患的防治和事后问责。

附图说明

图1为本发明系统的构成示意图；

图2为本发明的应用子系统的构成示意图；

图3为本发明的网络子系统的构成示意图；

图4为本发明的数据子系统的构成示意图；

图5为本发明的安全防护的时序图；

图6为本发明的安全防护方法的流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参阅图1，一种视频监控系统信息安全防护系统，包括登录子系统10、数据子系统20、策略子系统30、加密子系统40、应用子系统50、网络子系统60以及采集子系统70；其中，

登录子系统10，用于记录并预先存储给定到用户的编码(ID)，并将用户的编码ID和用户需求信息传递至加密子系统加密40，而后发送至数据子系统20中存储；同时与数据子系统20通信连接，接收并解密获取需求请求得到的反馈结果，在与存储的编码ID和加密需求信息匹配时向数据子系统20发送需求请求已经完成指令。目的在于通过账号和密码限制非法或违规访问，从而避免非某单位的合法用户进入系统进行非法操作，破坏系统的数据安全以及获取某单位的重要信息。用户在登录子系统在登录时，首先初始化多COM接口，对需要采集的对象进行匹配，检查各项功能能够正常进行工作，其中包括有录像、预览、窗口显示、滤波器、采集设备以及Filter Craph的确认。然后，采集图片和保存图片，例如对人脸采集并形成图片是为了实现对登录者信息数据的保存，并在数据库中将其存储，以此来作为数据源来对登录系统人员账号安全性进行验证。用户登录过程中，系统会对人脸图像信息与之前保存在系统数据库中的信息进行比对，根据比对结果向数据子系统20发出控制信号，如果一致，则会跳转到系统界面。如果不一致，系统则禁止人员登录，并进行报警提示安全警告。进一步的，登录子系统可由单片机实现，例如8051单片机或其他可替代8051的单片机。

数据子系统20，用于接收登录子系统10发送出需求信息，并根据ID和加密子系统40对ID和加密需求信息分析、处理，将结果发送至策略子系统30，以生产新的安全策略，数据子系统20根据新的安全策略，向应用子系统50、网络子系统60或采集子系统70发送执行任务，并将执行结果反馈至登录子系统10以告知用户或系统管理员。

进一步的，如图4所示，在本发明中，数据子系统20至少包括数据库子系统21和控制子系统22。

进一步的，数据库子系统21至少包括数据库模块211和身份管理模块212。

进一步的，在本发明中，数据库模块211为同时满足登录子系统10、应用子系统50等的要求，需要包括数据存储、数据管理、数据读取、数据更新等功能，在本实施例中优选用系统采用Oracle 10g作为数据库，也可以选用其他数据库。对于应用子系统50，Oracle 10g作为数据库是保证应用子系统50内部的稳定性，保证系统内部数据不会外泄、丢失、受损，保证程序运行高效稳定。数据库模块211中至少设定有用户信息表、网络设备表及安全日志表。其中，用户信息表，用户表信息中包含了系统用户详细注册信息，如用户名、密码、所属用户组等。网络设备表，网络设备表中存储了网络设备的信息，如设备型号、MAC地址等。安全日志表，安全日志中存储了系统中所产生的网络安全日志的信息，包含生成时间、节点名、告警级别等。

进一步的，在本发明中，身份管理模块212，用于对系统所涉及的用户信息进行管理，为系统管理员提供给各用户分配使用权限和账户信息，同时系统管理员需要能查询各个用户的历史浏览记录、使用日志等。

控制子系统22，用于处理分析数据信息，并将数据信息生成控制指令发送至各模块执行。在本发明中，控制子系统22至少包括数据处理模块221、指令控制模块222、报警控制模块223以及输出控制模块224，控制子系统22各模块的功能实现采用现有技术实施，进一步优选的，控制子系统22可以选用具有视频数据处理分析，报警等功能的单片、CPU等实现，例如可以考虑选用至强Xeon-E3四核CPU，采用Haswell架构设计、22纳米工艺制程、原生四核心设计支持超线程技术，该处理器原生主频3.30GHz、LGA1150接口设计。至强E3-1230V3处理器采用8M LLC缓存、支持睿频加速技术，在开启睿频加速后该处理器可以根据程序需求最高主频可以达到3.7GHz。具备并能快速实现数据处理模块221、指令控制模块222、报警控制模块223以及输出控制模块224的所有功能，具体实现方式可参看《Intel至强E系列CPU参数》在此不一一累述。除举例说明选用的技术方案外，还可以是现有技术中其它可满足控制子系统所能需功能的技术方案，具体不进行一一举例说明了。

进一步的，在本发明中，控制子系统22处理分析数据信息，并将数据信息生成控制指令发送至各模块执行。其过程可以采用如下逻辑算法处理完成，具体是，数据处理模块221、指令控制模块222、报警控制模块223以及输出控制模块224，在对控制系统进行算法结构设计时，考虑到由数据处理模块221、指令控制模块222、报警控制模块223以及输出控制模块224组成，为对应对策略子系统30、加密子系统40以、应用子系统50、网络子系统60及采集子系统来设置安全值判断函数。其中，输出模块的输出信号OUT设计为：

OUT＝[O

其中，O

指令控制模块输出的函数定义和完成结果反馈设置为：

其中，

另外，由于控制子系统是一个全系统连接的数据网络结构，所以在实施例中数据处理模块根据式(3)进行计算输出动作选项：

D(x)＝W

其中，在监控防护系统中，表示每一子系统的输入，表示每一子系统输入的权重数值，表示每一各子系统的偏置。

而在安全策略调优中，则是通过公式(4)

其中，θ表示当前时刻，E表示多组数据实际加密状态与动作目标之间误差的期望值,R表示期望目标的参数，A表示θ前网络行为对应确定的安全策略参数，Q(O

策略子系统30，用于登录子系统10、数据子系统20、加密子系统40、应用子系统50、网络子系统60和采集子系统70的安全日志，根据安全日志监控系统信息安全，并制定指导系统各子系统的安全防护策略。策略子系统30的设定选用申请号为202110377650.09的中国发明专利《一种信息系统的安全防护系统和方法》所公开的安全策略设定的技术方案来实现。也可以进行根据系统应用的环境进行设定实现本发明所述系统很重要的一点是安全策略的设定，设定时需要符合国家GB35114-2018标准规定的安全领域视频监控联网视频信息以及控制信令信息安全保护的技术要求，包括视频监控联系安全系统的互联结构、证书和密钥要求、基本功能要求、性能要求等技术要求。例如：对安全等级的设定，为满足各种客户对不同安全需求，安全等级有三级：核密，机密，秘密。选用的加密算法设定通过应用程序可以设定不同加密算法，如DES，3DES，AES，RC4等。密钥设定通过应用程序可以设定不同密钥，可以设定任何长度的密钥。关联程序设定，为了实现专用应用程序解密，从而设定专用读取程序，获得授权的应用程序可以正常读取文件，驱动会为其透明加解密，而对于非授权的应用程序却只能读到密文，无法正常读取使用文件。策略内容设定，设定策略的详细内容，如具体的文件类型(可以使用通配符*、？)，特定的文件目录。策略内容可以指定任何逻辑扇区比如：＠：\*.*，就是在终端储存设备下的所有文件都是加密保存的。

加密子系统40，用于对系统中各等级的数据进行加密，同时生成加密数据的密钥文件，并将所述密钥文件传输至数据子系统20和策略子系统30中，并同时保存在加密子系统40中，并用于解密。

进一步的，在本发明的系统中，当监控设备部署在视频监控中心中，通过动态加解密技术，实现对视频监控中心中的视频数据文件和通过视频监控软件抓图所获得的图片文件进行及时加密处理，加密文件在视频监控系统中被正常使用时，能够自动解密使用，一旦脱离视频监控中心，则无法被使用。同时针对监控中心中的IO端口进行实时监管，一旦发现有通过IO端口传输重要文件的操作，则将重要文件进行加密。例如，当通过USB存储设备或刻录光盘复制重要文件时，存储到USB存储设备和刻录光盘中的重要文件自动加密。

进一步的，本发明的系统中，加密子系统40还可以通过数据子系统20基于应用子系统50、网络子系统60及采集子系统70自身合法应用，在用户读取被加密的数据时，加密子系统40进行解密操作，合应用子系统50、网络子系统60及采集子系统70则可正常使用数据；当登录者对文件进行写操作时，加密子系统40进行加密操作，应用子系统50、网络子系统60及采集子系统70保存的文件为加密后的文件；当登录者非法读取被加密的数据时，加密子系统40不进行解密操作，应用子系统50、网络子系统60及采集子系统70则不正常执行；当对文件进行写操作时，加密子系统40不进行加解密操作。

应用子系统50，用于对登录子系统10采用身份认证、用户权限及访问控制，同时基于数据子系统20连接策略子系统30进行视频监控系统资源控制。更具体的是，在本发明中，应用子系统50如图2所示，至少包括信息访问控制模块51、文件访问控制模块52、设备访问控制模块53、日志记录模块54及视频备份模块55。信息访问控制模块51用于对数据子系统20发送出的执行任务信令控制消息进行处理，确定访问消息类型并发送出去。文件访问控制模块52，接受信息访问控制模块51的信息处理结果，并辨识处理结果是否为文件访问信息，当确定为文件访问信息时，从加密子系统中获取解密密码与ID及密钥进行匹配，匹配一致将文件解密发送解密信号至数据子系统20，数据子系统20的数据库子系统21，则身份管理模块222核对ID无误后，数据库模块211提取对应文件反馈至登录者；确认有无，则发出警告信号至登录子系统10和数据子系统20进行报警提示。当消息类型为设备访问时，信息访问控制模块51将设备访问消息发送至设备访问控制模块53，设备访问控制模块53自主进行辨识确认，当确定为设备访问信息时，从加密子系统中获取解密密码与ID及密钥进行匹配，匹配一致将文件解密发送解密信号至数据子系统20，数据子系统20的数据库子系统21，则身份管理模块222核对ID无误后，数据库模块211提取对应设备信息反馈至登录者；确认有无，则发出警告信号至登录子系统10和数据子系统20进行报警提示。日志记录模块54，用于记录各子系统运行过程中错误或警告信息，以及对系统运行过程中数据的流转情况进行记录，包括：接收IP、接收端口、发送IP、发送端口、传输协议、密钥协商等，便于跟踪回溯。另外当消息类型为日志访问时，信息访问控制模块51将日志访问消息发送至日志记录模块54，日志记录模块54自主进行辨识确认，当确定为日志访问信息时，从加密子系统中获取解密密码与ID及密钥进行匹配，匹配一致将文件解密发送解密信号至数据子系统20，数据子系统20的数据库子系统21，则身份管理模块222核对ID无误后，数据库模块211提取对应日子信息反馈至登录者；确认有无，则发出警告信号至登录子系统10和数据子系统20进行报警提示。视频备份模块55，用于对视频数据进行备份，其限权仅允许系统管理员访问及许可解密，由此可以防范获取虚假信息，或者是在监视过程中，操作人员可轻易通过抓图、截屏或屏幕录像等操作方式获取视频数据导致泄密问题的发生，若一旦发生由于是只许可了操作者访问，利于进行问题追踪问责。

网络子系统60，用于实现各系统内部及与外网的通信连接，并对登录者访问视频监控系统防护系统时进行实时监测。在本发明中如图3所示，网络子系统60至少包括网络监听模块61、网络通信模块62、网络协议模块63及网络限流模块64。其中网络监听模块61，通过网络监听功能，要求系统能及时获取到网络中的数据包，根据数据包的类型分析其端口类型和其所包含的协议内容等，通过这种监听方式，确保网络中的安全威胁数据能在第一时间被发现。网络通信模块62，包括无线网络、串口等多种通信形式，以实现各系统内部及与外网的通信。网络协议模块63是对协议分析以将UDP及TCP等协议中的信息提出来，并及时跟踪协议中传输的系统数据，防止数据受到安全威胁，同时一旦发生摄像机伪造安装问题的发生。网络限流模块64，用于对被警告的登录者子在进行文件访问、设备访问、日志查看，视频下载等事项时进行限流通信。

采集子系统70，用于采集并暂时存储视频资源，其至少包括视频采集器，AI摄像机。

本发明的视频监控系统信息安全防护系统的防护方法，如图5和图6所示，其包括如下步骤：

S010，在安全网络环境中，对通过登录子系统的用户账号ID进行确定并进行密钥加密，将其将ID和密钥分别登记于数据子系统和加密子系统中；

S020，数据子系统与加密子系统基于协议互认(ID、密钥及其他预定参数)；

S030，加密子系统确认通过，将用户的ID和请求信息作为参数，发送至策略子系统，并发给应用子系统、数据采集子系统、网络子系统等；

S040，策略子系统制定安全防护策略，发送至数据子系统分析并根据用户ID和请求信息，基于安全防护策略在控制模块中生成执行任务方案；

S050，应用子系统、数据采集子系统和网络子系统接受执行任务方案，执行、处理任务并生成日志记录。

综上所述，本发明的视频监控系统信息安全防护系统的防护方法，通过对设备的唯一ID登记及密钥通信，避免了摄像机伪造安装，获取虚假信息的发生。视频的记录是保存在数据子系统中，获取访问数据信息时，需要进行ID、密钥等信息匹配，并在登录时进行识别，由此生成安全策略进行防护，即使是操作人员也无法轻易查看和拷贝资料，在网络子系统中对病毒、黑客等进行协议确认，有效防护。而且对于视频记录的访问只许可操作管理员有权限一旦在监视过程中，操作人员可轻易通过抓图、截屏或屏幕录像等操作方式获取视频数据导致泄密时，实时告警，可以及时追溯隐患的防治和事后问责。

在本实施例子中未说明的部件结构、连接关系、工作原理等均采用现有技术来实现，在此不再重复累述。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。

尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同物限定。