安全隔离与数据交换建设方案建议

《安全隔离与数据交换建设方案建议》由会员分享，可在线阅读，更多相关《安全隔离与数据交换建设方案建议（18页珍藏版）》请在装配图网上搜索。

1、附件三华能集团内外网安全隔离与数据交换建设方案建议国家信息中心信息安全研究与服务中心2008年 12 月- 北京目录1.应用背景22.安全隔离系统简介33.技术架构比较34.基本功能44.1.信息交换功能44.2.安全控制功能65.部署方式95.1.内外网统一部署95.2.根据应用分别部署96.应用实现方式106.1.OA 系统隔离106.2.数据库信息交换隔离116.3.邮件系统隔离136.4.网银应用隔离146.5.内网补丁升级1511. 应用背景众所周知，以防火墙为核心的网络边界防御体系只能够满足信息化建设的一般性安全需求，却难以满足重要信息系统的保护问题。对于重要信息系统的保护，我国历

2、来采用了物理断开的方法，国家保密局在计算机信息系统国际联网保密管理规定 中将涉密信息系统的安全防御要求定格为与任何非涉密信息系统必须 “物理断开”。断开了就安全的（事实上也并非如此） 。但是，断开了却严重影响了业务信息系统的运行。目前，华能集团在信息化建设当中已经明确了双网建设原则，重要业务系统、日常办公计算机都处于内部网络，而一些业务系统，例如：综合数据库系统、 OA 系统、邮件系统和网银系统、防病毒恶意代码升级、操作系统补丁升级等，所需要的基础数据却来自外部业务网络，甚至互联网络。物理断开造成了应用与数据的脱节，影响了行政执行能力和行政效率。实际断开不是目的，在保护内部网络的适度安全情况下

3、，实现双网隔离，保证数据的互联互通才是真正的目的。安全隔离系统就是为此开发的。22. 安全隔离系统简介安全隔离与信息交换技术 （GAP ）。这种技术在 1993 年由 MyongH.Kang在“APumpforRapid,Reliable,SecureCommunication”一文中提出， 并在 1996 年对这种概念进一步深化为一种适于网络应用的“数据泵”技术。GAP 技术是一种什么技术？从字面上理解，可以译为“缺口、豁口”，即在两个网络之间形成一个缺口。有了缺口当然就能保证安全。也有将 GAP 译为“ Gap All Protocol”的说法，表明这个“缺口”不是什么都不让通过，而只是将

4、协议隔离，应用数据还是可以利用这个缺口通过安全方式交换的。遵从这种理解方式， 如 Myong H.Kang所刻画， GAP 应该是一个三系统的设备：一个外端机、一个内端机、一个中间交换缓存。内外端机用于终止网络协议，对解析出的应用数据进行安全处理。同时能够通过中间的交换缓存通过非TCP/IP 协议的方式进行数据交换。3. 技术架构比较目前，安全隔离产品主要为三层构架和二层构架，三层架构包含内网单元、外网单元和独立的隔离硬件，内外网单元通过独立的隔离硬件进行数据交换；二层架构只有内外两个处理单元，无独立的隔离硬件，内外网单元通过网络接口、USB 接口等进行数据交换。3从安全架构上看，采用三层架构

5、安全隔离产品的安全性要高于二层架构的安全隔离产品。在功能上两种架构的安全隔离产品却相差不多。性能上采用三层架构要高于二层结构的安全隔离产品。价格上采用三层架构要比二层架构的安全隔离产品高很多。4. 基本功能典型的隔离系统应该具备以下功能：4.1.信息交换功能文件交换设计文件交换是网络应用对数据交换的基本要求，在内、外网之间存在文件交换的实际需要，正是基于这一点，安全隔离系统应具有文件交换功能，实现文件的安全访问及文件的同步。以外网用户访问内网文件服务器为例，文件安全访问功能通过代理模块将需要保护的内网文件服务器 （采用 FTP 协议或 SAMBA 协议）映射到隔离系统的外网，外网用户访问文件资

6、源时直接访问安全隔离系统外端机启用的代理服务。安全隔离系统外端机代理服务交换应用层数据到内端，内端代理访问内网真正的文件服务获取文件，返回给外端代理服务。在文件通过安全隔离系统的过程中将受到内容检查、病毒检查、文件深度检查、文件签名等安全保护。从内网访问外网文件服务器时过程类似。4文件同步功能实现隔离系统两端文件服务器中文件的同步功能。事实上，安全隔离系统通过部署在两端的客户端代理模块，分别从各自的文件服务器中提取需要同步的文件，然后安全摆渡到对端，再由对端的代理模块发布到目标文件服务器上，文件的摆渡受到安全模块的检查。Web 交换功能设计Web 应用是目前最为流行的网络应用。因此，提供对We

7、b 应用的访问支持是安全隔离系统的基本功能之一。安全隔离系统的内外端机都应支持HTTP 、HTTPS 两种应用代理访问功能。安全隔离系统能够通过服务地址映射（SAT）的方式将目标 Web 服务器映射到安全隔离系统的另一端机供用户访问。Web 应用数据在通过安全隔离系统的过程中， 受到严格的安全控制，包括 HTTP/HTTPS 协议头的关键字过滤、完整性检查、 URL 长度检查、活动脚本的检测及控制、文件安全检查等内容。数据库交换功能设计在应用系统中，往往具有不同的用户群及不同的网络应用。但应用之间共享应用数据却往往是必要的。因此，安全隔离系统将数据库同步功能作为其数据交换的基本功能之一。安全隔

8、离系统的数据库访问功能可以通过数据库应用代理的方式将数据库服务映射到安全隔离系统的一端，应用程序可以直接访问映射的数据库服务，由安全隔离系统完成数据库的数据内容安全传输。在数据库访问中，安全隔离系统将支持对TNS 协议的代理功能。5邮件交换功能设计邮件通讯主要使用 POP3 和 SMTP 协议，在安全隔离系统的环境中，往往需要进行内网邮件与外网邮箱中邮件的同步，或者需要内网用户能够访问外网邮箱中的邮件。这些需求可通过安全隔离系统的邮件同步功能来完成。邮件同步模块起到邮件中继的作用，它能将安全隔离系统一端的邮件同步到另一端，即可以进行单向邮件中继，也可以进行双向邮件中继。邮件访问功能通过配置邮件

9、代理完成，安全隔离系统的邮件代理保证使用者能够通过安全隔离系统访问另一端的邮件服务器，使用邮件客户端进行邮件的正常收发。定制应用数据交换安全隔离系统需要提供私有协议定制开发功能。保证在用户提供需要支持应用的封装格式、协议状态机、命令集的情况下，安全隔离系统可以提供私有代理服务器生成模板和私有代理客户端生成模板，这样就可以快速生成满足私有应用的代理程序，用以终止私有应用的 TCP 连接、完成数据 / 命令提取和控制。因此，隔离系统对于私有的应用协议，也可以保证应用数据落地控制。4.2.安全控制功能访问控制功能安全隔离系统应实现从网络层到应用层的访问控制功能。6在网络层，安全隔离系统应具有包过滤防

10、火墙所有的安全功能。应实现对源 / 目的 IP 地址、通信端口、访问时间等属性的全面控制。在传输层，安全隔离系统应实现IP 分组与TCP 连接和UDPSocket从属关系真实性的判别，应实现防止连接劫持攻击。在应用层，安全隔离系统应对应用头的格式、内容、应用数据的内容进行审查、过滤，使只有符合安全策略的数据才被传输。通过贯穿整个协议栈的访问控制，安全隔离系统应有效过滤非法连接、数据的非法传输。数据内容审查功能安全隔离系统交换的数据是无协议格式的上层应用数据，比如发送的邮件主体内容，邮件的附件。安全隔离系统在交换这些数据时，实现了三方面的数据内容审查：关键词过滤：对含有黑名单中出现的关键词的应用

11、数据进行基于策略的安全处理，包括拒绝发送、日志审计、关键词替换等三种处理方式。模糊查询：对于应用数据中包含经过处理、伪装的敏感词语进行控制和处理，比如识别类似“法* 轮* 功”这样的敏感词汇。控制处理的方式包括：拒绝发送、日志审计和关键词替换三种。病毒扫描：隔离系统在摆渡每一个数据块时，都进行病毒扫描。病毒防护功能安全隔离系统应集成专业的病毒查杀模块，能在应用层实现基于7特征的病毒查杀。 为此，安全隔离系统必须提供病毒库在线升级功能，以及病毒库手工导入功能。文件深度检查功能用户需要对通过隔离设备传输的文件类型进行控制，比如，不允许外部的 exe 或者 bat 文件传输到内网。但是，攻击者可以将

12、文件的后缀修改为 txt 等被允许的后缀并传输，以逃避安全规则的检查。为此，安全隔离系统应对文件进行一致性检查，即一个声称的exe 是否真是 exe 文件，一个声称的 pdf 文件是否真是 pdf 文件等。安全隔离系统应具有这种深度检查功能。安全隔离系统应尽可能支持所有的文件类型的一致性检查。流量控制功能为了保证核心应用保持应有的带宽，防止网络接口流量异常，安全隔离系统应具有流量监视及控制功能。通过该功能能够对通过安全隔离系统的网络流量进行全面的控制。流量监视及控制功能可以针对不同的应用对流量设置上限，保证核心业务系统流量不会由于其它应用（如点对点应用）占用过多带宽而不能正常使用。另外，流量监

13、视及控制功能还可以对安全隔离系统的特定网络端口进行上行及下行的流量监视及控制，使用户能够随时掌握网络流量的状态，分析网络的稳定性。85. 部署方式部署方式示意图：华能内网华能外网网络隔离设备内网广域网Internet5.1.内外网统一部署便于统一管理和维护，用户投资少，在安全隔离系统上安装不同的功能模块以适应不同的业务应用。但随着应用的增加，安全隔离系统的负担会越来越重，安全隔离系统的性能也会越来越低。5.2.根据应用分别部署根据不同的应用来部署网闸，这样做最大的优势就是能够保障安全隔离系统的性能不受应用变化的影响。但投资多，每增加新应用就要部署网闸，不方便管理维护。通过 2 种部署方式的比较

14、，我们建议用户采用统一部署的方式，一旦应用增加到安全隔离系统的负荷后，再通过增加安全隔离系统的方式做负载均衡。96. 应用实现方式6.1.OA 系统隔离华能集团 OA 系统部署在内网中， 内部办公人员可以直接访问OA系统并通过认证后，完成日常的个人事务及办公流程。其他分支机构的 OA 系统结构也是类似的。在建立内、外双网结构后，面临的问题是：当集团办公人员出差到外地需要进行移动办公时如何安全访问内网的 OA 系统。当使用安全隔离系统后，缺省情况下安全隔离系统屏蔽了内、外网之间的所有网络连接。当移动办公用户需要在互联网上访问内网的OA 系统时，通过安全隔离系统SAT（服务地址映射）功能实现对内网

15、 OA 系统的访问。此时，隔离系统的部署结构如下：10移动用户InternetDMZ区VPN服务器外网交换机外网OA映射服务安全隔离与信息交换系统内网内网交换机OA服务器内网计算机OA 隔离部署从图中可以看出，安全隔离系统外网端首先通过SAT 映射启用OA 服务的代理模块，远程移动用户通过VPN 连入外网，并访问OA代理服务，安全隔离系统将代理请求转发到内网的真实服务器，真实OA 服务的反馈信息通过隔离系统交换后在由外段的OA 代理返回给移动用户，最终实现移动办公。6.2.数据库信息交换隔离华能集团的核心业务数据库服务均部署在内网，通过内网的业务11系统对数据库进行操作，并将结果展示给使用者。

16、但有些业务系统的数据需要来源于外网 （例如外部采集数据） 。这些数据应该如何从外网传递到内网，我们将采用两种方式进行设计。第一种方式是对某些应用可以在外网建立一个外网数据库，这些数据库中只存储外部网络获取的数据，不存储其他敏感数据，当需要将这些数据交换到内网时，通过安全隔离系统实现，如图：外网数据库外网交换机外网安全隔离与信息交换系统数据库同步模块内网内网交换机内网数据库内网计算机数据库同步部署图此时，在安全隔离系统上将部署数据库同步模块，该同步模块将只允许将外网数据库中的特定数据同步到内网数据库中，反向不允许数据库信息传输。第二种方式适合于外网不建数据库的情况。外网有某个业务系统服务在运行，

17、其中需要的数据信息来源于内网数据库，同时需要对数据库进行修改。此时的部署设计如下：12外网交换机外网外网应用服务数据库 SAT映射安全隔离与信息交换系统内网内网交换机内网数据库内网计算机数据库访问设计如图，安全隔离系统配置内网数据库的SAT 映射，在外端机启用数据库代理模块，当外网业务系统访问数据库代理时，数据库代理将请求转发给内网数据库，安全隔离系统将反馈信息交换到数据库代理，并通过代理将数据传给外网业务系统。6.3.邮件系统隔离华能集团邮件服务将部署在外网，提供外网及互联网的邮件服务，但内网用户也需要访问邮件服务获取邮件信息。此时，需要通过安全隔离系统实现邮件的交换功能。我们将设计如下的部

18、署方式支持华能集团的邮件应用：13外网内网外网邮件系统外网交换机安全隔离与信息交换系统邮件 SAT映射内网交换机内网服务器内网计算机邮件交换部署如图，通过在隔离系统内端机开启邮件SAT 映射，将在内端机启用邮件的 POP3 代理。当内网用户通过代理应用收邮件时，邮件代理将邮件协议内容转发给外网的邮件服务，真正的邮件将通过外网邮件服务进行收件任务的。这样，在内网的用户也可以通过外网邮件服务进行邮件的接收。本方法主要考虑到内网邮件系统的安全性，内网邮件系统只能通过 pop3接受邮件，发送邮件需要通过web 邮件系统进行发送。6.4.网银应用隔离华能财务公司的结算系统（采用上海CA 认证的 VPN

19、系统）连接到华能主要产业公司和下属企业，与工、建、交、农、召行都有专线连接。华能集团结算系统属于核心业务系统，部署在内网，但需要通14过外网与银行进行连接，通过网银接口实现与银行的财务结算。安全隔离系统部署在内外网之间后，内网的结算系统需要通过安全隔离系统进行SAT 映射，然后网银接口模块可以通过映射的代理服务与银行对接。如图所示：银行前置机专线网银接口服务器外网内网结算系统 外网交换机映射服务内网交换机安全隔离与信息交换系统结算系统内网计算机网银业务隔离设计图中显示了网银接口如何通过安全隔离系统与银行连接。此时在安全隔离系统外端机映射结算系统的代理服务，外段网银接口模块通过访问代理服务获取结算数据，并与银行前置机连接进行数据结算。6.5.内网补丁升级华能集团的内网防病毒系统、桌面管理系统，需要定期进行补丁和病毒库的升级，安全隔离系统可以为病毒库和系统补丁开通一条特15殊的数据通道，从而保证病毒库和补丁的及时更新。1617