基于应用网关的数据交换安全管控系统的制作方法

1.本发明涉及信息技术领域，具体涉及一种基于应用网关的数据交换安全管控系统。


背景技术：

2.数据作为一种无形资产，在公司运营和决策过程中发挥的作用越来越重要，因此对数据的流动和安全管控变得越来越重要。生产运营公司通常需要与外部单位之间进行部分数据信息交换以达到双赢的目的。
3.目前，对于数据交换缺乏有效的管控方式和手段，无法对系统间交互的数据内容、数据完整性、数据交换频率、出口数据与审批内容是否一致等进行有效地管理与监控，不能满足数据安全管控的要求。
4.因此，为解决以上问题，需要一种基于应用网关的数据交换安全管控系统。


技术实现要素：

5.有鉴于此，本发明的目的是克服现有技术中的缺陷，提供基于应用网关的数据交换安全管控系统，能够全面地掌握系统间交互数据的情况，避免了敏感数据的泄露。
6.本发明的基于应用网关的数据交换安全管控系统，包括均部署在第一网络区域的应用网关、消息队列集群单元、消息发送单元、控制指令接收单元以及监控服务单元；还包括均部署在第二网络区域的消息接收单元、分析统计单元以及控制指令发送单元；
7.应用网关，用于对请求进行路由转发以及对目标服务进行负载均衡；
8.消息队列集群单元，用于存储应用网关中的交互数据；
9.消息发送单元，用于将应用网关存储在消息队列集群单元中的交互数据发送给消息接收单元；
10.控制指令接收单元，用于接收控制指令发送单元发送的作用于应用网关的应用网关控制指令；
11.监控服务单元，用于对异常的交互数据进行预警以及对数据交互过程进行记录；
12.消息接收单元，用于接收消息发送单元发送的交互数据；
13.分析统计单元，用于对消息接收单元接收到的交互数据进行分析统计；
14.控制指令发送单元，用于发送作用于应用网关的应用网关控制指令。
15.进一步，采用插件热更新的方式对应用网关的功能进行拓展。
16.进一步，所述消息队列集群单元采用容器化部署方式对消息队列进行集群。
17.进一步，所述消息发送单元采用动态扩展的方式部署消息发送服务，所述消息发送服务用于发送交互数据。
18.进一步，所述分析统计，具体包括：
19.对交互数据进行数据解析，得到解析后的数据；
20.判断解析后的数据是否与预置数据规则一致，若是，则不作处理，若否，则发出告
警信息；
21.统计汇总设定时间段内接口的调用频率、流量、成功率以及失败率。
22.进一步，所述数据解析包括结构化解析以及非结构化解析。
23.进一步，还包括部署在第一网络区域的应用网关管理单元；所述应用网关管理单元，用于对应用网关进行配置管理。
24.进一步，所述配置管理包括动态增减接入到应用网关的系统、接口路由以及插件。
25.进一步，还包括部署在第二网络区域的可视化展示单元；所述可视化展示单元，用于对交互数据的数据状态以及与交互数据相关的告警信息进行汇总并展示。
26.进一步，所述数据状态包括数据内容、数据完整性以及数据交互频率。
27.本发明的有益效果是：本发明公开的一种基于应用网关的数据交换安全管控系统，在经济效益方面：实现了对互联网大区系统与外部单位系统数据交互的安全管控，完成了对交互数据内容、交互频率、交互状态的自动动监控和展示。降低了之前靠人工监控的方式，充分发挥了软件自动化的监控分析优势，精简运维队伍，有效减少了人力资源的投入成本，可有效降低运维管理难度，提高运维管理效率。
28.在管理效益方面：进一步提高了数据安全管控成果，有效支撑了数据安全建设工作；同时，在数据交换、整合、分析方面，能够更好地支撑业务应用。促进了信息化管理向一体化、标准化、数字化、精细化、流程化、智能化转变，具有良好的管理效益。
29.在社会效益方面：充分验证了系统对外提供数据的服务能力，提升了使用对象内部与外部单位的数据交互水平，推动了跨专业数据共享，有利于更好地发挥数据价值、提升分析决策质效，促进服务品质提升，具有非常良好的外部效应和社会效益。
附图说明
30.下面结合附图和实施例对本发明作进一步描述：
31.图1为本发明的系统管控流程示意图；
32.图2为本发明的系统管控逻辑架构图；
33.图3为本发明的应用网关架构图；
34.图4为本发明的管控系统应用实例图；
35.图5为本发明的管控系统部署构架示意图。
具体实施方式
36.以下结合说明书附图对本发明做出进一步的说明，如图所示：
37.本发明的基于应用网关的数据交换安全管控系统，包括均部署在第一网络区域的应用网关、消息队列集群单元、消息发送单元、控制指令接收单元以及监控服务单元；还包括均部署在第二网络区域的消息接收单元、分析统计单元以及控制指令发送单元；其中，所述第一网络区域以及第二网络区域均为由网络设备、网络通信链路以及服务器等构成的计算机网络；本实施例中，如图1所示，所述第一网络区域为互联网大区，所述第二网络区域为信息内网，所述信息内网也称为管理信息大区；
38.应用网关，用于对请求进行路由转发以及对目标服务进行负载均衡；消息队列集群单元，用于存储应用网关中的交互数据；消息发送单元，用于将应用网关存储在消息队列
集群单元中的交互数据发送给消息接收单元；控制指令接收单元，用于接收控制指令发送单元发送的作用于应用网关的应用网关控制指令；监控服务单元，用于对异常的交互数据进行预警以及对数据交互过程进行记录；
39.消息接收单元，用于接收消息发送单元发送的交互数据；分析统计单元，用于对消息接收单元接收到的交互数据进行分析统计；控制指令发送单元，用于发送作用于应用网关的应用网关控制指令。
40.本发明的管控系统可部署在阿里云上，与生产运营公司等设置的系统属于同一个内网；所述管控系统可以选择ingress loadbalancer的方式暴露对外服务接口，ingress controller通过云原生组件traefik实现。所述阿里云采用现有技术，在此不再赘述。
41.本发明旨在为公司或企业的数据安全管控提供一套及时的审计和管控手段，对异常的数据交互及时发出警报，当出口数据与审批数据不一致时，能及时阻断数据传输，避免敏感数据泄露，以便全面地掌握系统间交互数据的情况，做到了对数据的可见、可查、可管、可控的一体化安全管控要求。
42.本实施例中，应用网关采用无状态的集群部署，结合kubernetes的功能高可用及负载均衡。如图3所示，应用网关核心专注于请求的路由转发、目标服务的负载均衡，同时，采用插件热更新的方式对应用网关的功能进行拓展。其中，所述插件热更新表示加载或卸载插件无需重启应用网关服务。
43.本实施例中，消息队列集群单元采用kafka消息队列集群；所述消息队列集群单元采用容器化部署方式对消息队列进行集群。解决了阿里云未提供kafka集群服务组件的问题；通过采用容器化部署方式，避免了单点故障或者因其他原因导致的服务漂移、重启等造成服务不可用，本发明的kafka集群启用至少3个服务实例，每条消息选择3个存储副本，消息至少保留7天。
44.本实施例中，消息发送单元主要负责将应用网关存储在kafka中的交互数据通过内外网穿透工具发送给管理信息大区侧的消息接收单元；其中，内外网穿透工具采用现有的信息透传技术，在此不再赘述；所述消息发送单元采用动态扩展的方式部署消息发送服务，所述消息发送服务用于发送交互数据。其中，消息发送服务部署在阿里云的kubernetes集群中。
45.本实施例中，控制指令接收单元主要是接收信息内网发送的应用网关控制指令并作用于应用网关，比如通过内网控制应用网关上的某个接入的业务系统或者锁定(解锁)某个客户端ip等。
46.本实施例中，监控服务单元是管控系统中最重要的一环，可以做到事前及时预警，事后提供详细的数据记录，同时还可为系统性能优化提供数据支撑。
47.监控服务单元中的监控服务选用prometheus进行实现，相较于其他监控组件，prometheus具有易于管理与集成、强大的数据模型、强大的查询语言等优点。
48.本实施例中，部署在管理信息大区的消息接收单元与部署在互联网大区的消息发送单元是一组应用；消息发送与消息接收通过内外网穿透工具将位于互联网大区的kafka消息透传到数据中台的kafka集群上去，为信息内网的统计、分析等提供数据基础。其中，所述数据中台为现有的数据服务平台，在此不再赘述。
49.本实施例中，所述分析统计单元采用flink进行分析统计；所述分析统计，具体包
括：
50.对交互数据进行数据解析，得到解析后的数据；其中，所述数据解析包括结构化解析以及非结构化解析；结构化解析针对固定的一些数据格式，非结构化解析主要针对请求包体和应答包体；
51.判断解析后的数据是否与预置数据规则一致，若是，则不作处理，若否，则发出告警信息；通过发出告警信息，触发报警机制；
52.统计汇总设定时间段内接口的调用频率、流量、成功率以及失败率；从而为可视化展示提供数据基础；其中，所述设定时间段可根据实际工况进行设置。
53.本实施例中，部署在管理信息大区的控制指令发送单元与部署在互联网大区的控制指令接收单元是一组应用，控制指令发送与控制指令接收通过内外网穿透工具实现了在内网中可对应用网关的个别功能进行管控。
54.本实施例中，所述管控系统还包括部署在第一网络区域的应用网关管理单元；所述应用网关管理单元，用于对应用网关进行配置管理。应用网关管理单元为应用网关提供可视化的配置管理界面，使管理人员可以很好地通过界面观察到当前应用网关的所有配置；所述配置管理包括动态增减接入到应用网关的系统、接口路由以及插件。
55.本实施例中，所述管控系统还包括部署在第二网络区域的可视化展示单元；所述可视化展示单元，用于对交互数据的数据状态以及与交互数据相关的告警信息进行汇总并展示。可视化展示单元是一个针对互联网大区系统与外围系统交互数据的数据状态等相关方面进行监控和管理的应用，以可视化的形式对数据交互情况、告警信息进行实时监测、查询展示，并以报表的形式提供内外部系统间交互情况的查询汇总。其中，所述数据状态包括数据内容、数据完整性以及数据交互频率。
56.为了更好地理解本发明的管控系统，现依据本发明的管控系统进行数据交换安全管控，结合图3与图4，举例如下：
57.在互联网大区的业务前置系统与外部单位系统之间构建一套应用网关，并通过防火墙阻断前置业务系统与外部单位系统之间的通信，仅保留前置业务系统与应用网关以及外部单位系统与应用网关之间的通信，确保在链路上阻断两者系统直接交互的可能性。
58.同时，所有涉及到与外部单位系统的接口调用、数据交换均需通过应用网关进行转发实现。应用网关负责对链路上的请求消息进行过滤、甄别、存储，把通过校验的请求消息转发到对应的前置业务系统或外部单位系统，对于无法通过校验的消息由应用网关直接返回具体的错误原因给调用者；同时，对前置业务系统或外部单位系统应答的数据进行过滤、甄别、存储，把通过校验的应答数据返回给调用者，对于无法通过校验的数据返回具体的错误原因给调用者。
59.其中，应用网关将存储的数据通过消息队列的方式，由消息发送服务将交互数据通过内网穿透工具写入到数据中台大数据中心进行分析处理。应用网关作为内外部系统交换数据的唯一通道，其稳定性、可扩展性至关重要，必须满足7x24小时不间断服务，服务可用性至少达到99.99％，因此应用网关采用多结点集群部署，以提高应用可靠性。
60.为了更好地应用现有平台的业务组件，利用平台的安全性和稳定性，本发明的管控系统部署在互联网大区的阿里云kubernetes集群环境中。kubernetes提供服务发现、负载均衡能力，同时，将原本在应用网关中实现的非业务性功能剥离出来，使应用网关可以更
专注于业务功能的实现；
61.kubernetes提供的自动收缩功能可以在系统运行阶段根据当前系统的负载情况自动增加或减少应用实例个数，既可以避免突发的请求激增对应用系统的冲击，又可以避免业务平峰或低谷时对系统资源的浪费；kubernetes提供的滚动升级能力可以让接入应用网关的前置业务系统及外部系统在无感的情况下(即服务不中断)完成系统的平滑升级。
62.通过kubernetes提供的负载均衡、自动收缩及滚动升级的能力，实现数据交换安全应用网关的7x24服务以及动态扩展能力，既充分利用了现有技术平台的优势，又符合当前主流的架构风格，使数据交换安全应用网关更专注于功能实现和单机性能优化。
63.最后说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的宗旨和范围，其均应涵盖在本发明的权利要求范围当中。