(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210938865.7 (22)申请日 2022.08.05 (71)申请人 东风商用车有限公司 地址 442000 湖北省十堰市张湾区车城路2 号 (72)发明人 潘守华　杨洋　郝宏基　 (74)专利代理 机构 湖北竟弘律师事务所 42 230 专利代理师 张雯俐 (51)Int.Cl. H04L 9/40(2022.01) H04L 67/141(2022.01) H04L 41/069(2022.01) (54)发明名称 一种用于信息安全访问点控制的系统及方 法 (57)摘要 本发明公开了一种用于信息安全访问点控 制的系统及方法， 涉及智 能网联信息安全领域， 该系统包括黑白名单模块、 访问控制模块、 会话 控制模块和日志模块， 黑白名单模块用于进行IP 地址的白名单和黑名单创建， 并基于经过访问点 控制的数据包中的源IP地址或目的IP地址， 实现 数据包的放行或阻断过滤策略控制； 访问控制模 块用于创建用于记录五元组的访问控制列表， 并 基于经过访问点控制的数据包的五元组， 实现数 据包的放行或阻断过滤策略控制； 会话控制模块 用于创建用于记录五元组的会话控制列表。 本发 明保证了车内网络与车外网络直接数据流的合 法性， 还可以防止域外非法数据流的侵入， 同时 也保证合法的数据流能够快速流入流出。 权利要求书2页 说明书8页 附图2页 CN 115442081 A 2022.12.06 CN 115442081 A 1.一种用于信息安全访问点控制的系统， 其特 征在于， 包括： 黑白名单模块， 其用于进行IP地址的白名单和黑名单创建， 并基于经过访 问点控制的 数据包中的源IP地址或目的IP地址， 实现数据包的放行或阻断过 滤策略控制； 访问控制模块， 其用于创建用于记录五元组的访 问控制列表， 并基于经过访 问点控制 的数据包的五元组， 实现数据包的放行或阻断过 滤策略控制； 会话控制模块， 其用于创建用于记录五元组的会话控制列表， 并基于经过访 问点控制 的数据包的五元组， 当数据包的五元组不在会话控制列表 时放行数据包， 当数据包的五元 组在会话控制列表时， 基于当前 连接的会话数实现数据包的放行或阻断过 滤策略控制； 日志模块， 其用于经过访 问点控制的数据包的过滤过程进行记录， 以及对访 问点控制 过程中产生的信息进行记录； 其中， 所述 黑白名单模块、 访问控制模块和会话控制模块依次对数据包进行 过滤。 2.如权利要求1所述的一种用于信息安全访问点控制的系统， 其特 征在于： 基于访问控制需求进行IP地址的白名单和黑名单的创建得到黑白名单模块、 进行访问 控制列表的创建得到访问控制模块、 进行会话控制列表的创建得到会话控制模块， 同时进 行日志模块的创建， 生成XML配置文件； 基于解析工具对生成的XML配置文件进行解析， 生成T ‑BOX端可运行的配置文件数据 库， 且配置文件数据库通过解析工具中集成的加密算法进行加密保护， 所述配置文件数据 库中包括 黑白名单模块、 访问控制模块和会话控制模块的过 滤策略。 3.如权利要求2所述的一种用于信息安全访问点控制的系统， 其特 征在于： 从外网中获取用于经过访问点控制的数据包 并解析， 解析后的数据包依次通过黑白名 单模块、 访问控制模块和会话控制模块进行 过滤检测； 所述黑白名单模块、 访问控制模块和会话控制模块从配置文件数据库中获取过滤策 略。 4.如权利要求3所述的一种用于信 息安全访问点控制的系统， 其特征在于： 所述黑白名 单模块、 访问控制模块和会话控制模块的过滤策略根据需求可实时更新， 且更新后的过滤 策略写入配置文件数据库。 5.如权利要求1所述的一种用于信息安全访问点控制的系统， 其特 征在于： 当经过访问点控制的数据包中的源IP地址或目的IP地址， 存在于白名单时， 则黑白名 单模块对该 数据包放行； 当经过访问点控制的数据包中的源IP地址或目的IP地址， 存在于黑名单时， 则黑白名 单模块对该 数据包阻断。 6.如权利要求1所述的一种用于信息安全访问点控制的系统， 其特 征在于： 当经过访 问点控制的数据包的五元组， 不存在于访 问控制列表时， 则访 问控制模块对 该数据包阻断； 当经过访问点控制的数据包的五元组， 存在于访问控制列表时， 若设定的动作为阻断， 则访问控制模块对该 数据包阻断， 若设定的动作为 放行， 则访问控制模块对该 数据包放行。 7.如权利要求1所述的一种用于信息安全访问点控制的系统， 其特 征在于： 当经过访 问点控制的数据包的五元组， 不存在于会话控制列表时， 则会话控制模块对 该数据包放行；权　利　要　求　书 1/2 页 2 CN 115442081 A 2当经过访 问点控制的数据包的五元组， 存在于会话控制列表时， 若当前连接的会话数 未超过会话阈值， 则会话控制模块对该数据包放行， 若当前连接的会话数超过会话阈值， 则 当策略开关为高时， 会话控制模块对该数据包阻断， 当策略开关为低时， 会话控制模块对该 数据包放行。 8.如权利要求7 所述的一种用于信息安全访问点控制的系统， 其特 征在于： 基于设定的会话策略， 对经过访 问点控制的新建会话进行检测， 且从第一条连接会话 开始， 记录每一条连接会话的状态， 当检测到会话连接建立时， 进行当前连接会话数的记 录； 当会话连接建立后， 对于后续来自同一会话的数据包， 黑白名单模块、 访问控制模块和 会话控制模块 不再对数据包进行 过滤。 9.如权利要求8所述的一种用于信 息安全访问点控制的系统， 其特征在于， 对于已建立 连接的会话： 若在设定的时间内， 会话双方中的任一方发送会话结束数据包或重置会话数据包， 则 将记录的当前 连接会话数减一； 若在设定的时间内， 会话双方中的任一方均未发送会话结束数据包， 且没有任何数据 包发送， 则判定当前会话超时， 将当前会话结束， 并将记录的当前 连接会话数减一。 10.一种用于信 息安全访问点控制的方法， 基于权利要求1至9任一项所述系统实现， 其 特征在于， 具体包括以下步骤： S1： 获取数据包的源IP地址， 转到S2； S2： 判断数据包的源IP地址是否存在于白名单中， 若是， 则转到S9， 若否， 则转到S3； S3： 判断数据包的源IP地址是否存在于黑名单中， 若是， 则转到S4， 若否， 则转到S5； S4： 阻断数据包， 结束； S5： 判断数据包的源IP地址是否存在于访问控制列表中， 若是， 转到S6， 若否， 转到S4； S6： 判断数据包的源IP地址是否存在于会话控制列表中， 若是， 则转到S7， 若否， 则转到 S9； S7： 判断当前 连接的会话数 是否超过会话阈值， 若否， 则转到S9， 若是， 则转到S 8； S8： 判断策略开关， 当策略开关为高时， 转到S4， 当策略开关为低时， 转到S9； S9： 放行数据包。权　利　要　求　书 2/2 页 3 CN 115442081 A 3