安全隔离与信息交换系统

清信安安全隔离与信息交换系统清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 安全隔离与信息交换系统1 需求分析3 功能特点4 应用案例5 公司简介2 解决方案清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 需求分析2000年 1月，国家保密局发布实施 计算机信息系统国际互联网保密管理规定 ，明确要求： “ 涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其他公共信息网络相连，必须实行物理隔离。 ”中共中央办公厅 2002年第 17号文件 国家信息化领导小组关于我国电子政务建设指导意见 也明确强调： “ 政务内网和政务外网之间物理隔离，政务外网与互联网之间逻辑隔离。 ”信息流通面临涉密网的安全与互通问题。所以必须采取相应的安全措施来保障涉密内网的安全问题可信网非可信网如何安全互通？清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 需求分析传统解决方案之一：人工拷贝交换数据可信网非可信网人工交换清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 需求分析传统解决方案之一 “ 人工拷贝交换数据 ” 缺点 ：首先，人工投入管理开销比较大，双方必须投入人员参与数据拷贝工作；其次，人工拷贝实时性较差，无法发挥网络信息技术带来的快速的通信便利等优点；最后，由于频繁使用软盘或其他存储介质，增加了病毒和木马程序传播的途径和几率，带来新的安全问题。所以该方式无法适应电子政务的发展趋势。清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 需求分析传统解决方案之二：使用防火墙逻辑隔离可信网非可信网清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 需求分析传统解决方案之二 “ 防火墙逻辑隔离 ” 缺点 ：首先防火墙无法抵御数据驱动式攻击，即大量合法的数据包导致网络阻塞而 使正常通信瘫痪；其次，防火墙很难阻止由通用协议本身漏洞发起的入侵；再次，防火墙系统本身的缺陷也是影响内部网络安全的重要问题；另外，只有正确、合理配置防火墙才能起到本身的安全作用，而配置的复杂为网管人员带来烦琐工作量的同时，也增加了配置不当带来的隐患。清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 需求分析传统解决方案之 缺点总结 ：第一种解决方案虽实现了物理隔离，但缺乏信息实时机制，而且人员管理开销较大；第二种方案采用了安全防御机制不太严密的逻辑隔离技术来保护涉密网络的信息安全，无疑为数据泄秘和黑客破坏等提供了可能。清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 安全隔离与信息交换系统1 需求分析3 功能特点4 应用案例5 公司简介2 解决方案清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 解决方案安全隔离与信息交换设备，又称网闸：可以为涉密网络提供可靠的保护，该技术利用专用硬件保证两个网络在物理链路层断开的前提下实现数据安全传输和资源共享，并能够显著提高内部用户网络的安全强度。数据交 换 模 块外网主机模 块 内网主机模 块外网以太接口 内网以太接口外网主机管理端口内网主机管理端口清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 解决方案硬件硬件 隔离隔离 ： 系统采用双主机 +专有隔离硬件的体系架构， 即包括外网主机模块、内网主机模块和隔离交换模块。 确保两个网络之间无物理层的直接连接，实现物理隔离。协议阻断：协议阻断： 在两个主机系统之间采用专有协议，阻断 TCP/IP协议的连接。这样基于操作系统的漏洞攻击和网络层协议的攻击基本被杜绝或者只发生在外网主机系统，从而实现一种隔离交换的安全。应用层检测：应用层检测： 前面两点只解决了网络层的安全，因此，网闸必须针对具体的协议（可能是用户自定义的协议）进行检测，对各种应用层协议进行细粒度分析，甚至要对应用数据进行检测，比如各种表单、数据格式等等进行检测，从而实现最高安全 。特点：特点：清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 解决方案工作原理 ： NetGap安全隔离与信息交换系统的工作原理基于人工信息交换的工作模式，即由内外网主机模块分别负责接收来自所连接网络的访问请求，两模块间通过专用隔离交换模块连接，实现两个主机没有直接的网络连接的建立。在此前提下，通过专有硬件实现网络间信息的实时交换。这种交换并不是数据包的转发，而是应用层数据的静态读写操作，因此可信网的用户可以通过安全隔离与信息交换系统放心的访问非可信网的资源，而不必担心可信网的安全受到影响。信息通过网闸传递需经过多个安全模块的检查，以验证被交换信息的合法性。当访问请求到达内外网主机模块时，首先由网闸实现 TCP连接的终结，确保TCP/IP协议不会直接或通过代理方式穿透网闸；然后，内外网主机模块会依据安全策略对访问请求进行预处理，判断是否符合访问控制策略，并依据 RFC或定制策略对数据包进行应用层协议检查和内容过滤，检验其有效载荷的合法性和安全性。一旦数据包通过了安全检查，内外网主机模块会对数据包进行格式化，将传输信息和传输数据分别转换成专有格式数据，存放在缓冲区等待被隔离交换模块处理。这种 “ 静态 ” 的数据形态不可执行，不依赖于任何通用协议，只能被网闸的内部处理机制识别及处理，因此可避免遭受利用各种已知或未知网络层漏洞的威胁。清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 解决方案清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 解决方案工作原理 ：NetGap安全隔离与信息交换系统通过专有的隔离交换卡实现内外网主机模块缓冲区的内存映射功能，将制定区域的数据复制到对端相应的区域，完成数据的交换。隔离交换卡内嵌安全芯片，采用高速全双工流水线设计，内部吞吐速率达 2Gbps，完全可以满足高速数据交换的需要。隔离交换模块固化控制逻辑，采用互斥机制保证隔离交换子系统在读写一端主机模块的数据前先中止与另一端的操作，以确保网闸在任意时刻只与一个网络连接，可信网与非可信网间不存在链路层通路，在物理层实现隔离。当内外网主机模块通过隔离交换模块接收到来自另一端的格式化数据，可根据本端的安全策略进行进一步的应用层安全检查。经检验合格，则进行逆向转换，将格式化数据转换成符合 RFC标准的 TCP/IP数据包，将数据包发送到目的计算机。清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 安全隔离与信息交换系统1 需求分析3 功能特点4 应用案例5 公司简介2 解决方案清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 功能特点1、纯硬件隔离交换系统（一） ：专有芯片实现数据交换 ：通过专有安全芯片实现安全隔离，不同于采用计算机系统所配备的标准 USB、串口、 1394协议等非网络接口实现安全隔离，具有高度安全性。硬件独立控制逻辑 ：硬件本身具有独立控制逻辑，不受任何软系统控制，数据交换不受任何外部信号和指令控制，内外主机系统只能负责往指定的交换区存放或读写数据，不能对交换过程做其他任何控制，实现了完全基于硬件进行安全交换。可靠传输 ：支持 CRC校验以保证隔离交换卡之间数据的可靠传输，系统自动进行 CRC校验，当出现 CRC校验错时，系统支持数据重传，真正实现服务器级可靠性。双摆渡技术 ：通过硬件控制逻辑，隔离交换卡首先断开彼此之间的物理连接，分别连接内外网主机系统，内外网主机系统把需要交换的数据写入或者读出制定的交换区，完成一次摆渡，然后隔离交换卡通过硬件控制逻辑断开与内外网主机系统的连接，彼此之间建立连接，自动进行协商，实现数据交换，完成二次摆渡。通过双摆渡技术，内外网络永远不会直接连接，并在此基础上实现内外网络的安全隔离。清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 功能特点1、纯硬件隔离交换系统（二） ：硬件自动协商 ：隔离交换卡设计有独立控制硬件逻辑，在实现双摆渡技术中，隔离交换卡自动进行协商，数据交换实现硬件互斥访问，按照分时轮询机制实现对连接的自动、高效的控制，防止信号死锁。专有协议交换：安全隔离与信息交换系统只能按照专有的格式进行数据交换，任何数据必须经过分析、过滤按照确定的方式进行交换。系统底层实现了专有信息传输，自动完成信息的转化和恢复。数据分片重组 ：由于实现了协议和数据的分离，系统只会传递静态纯数据，为了实现用户的透明访问，保障任意大小的数据块都能顺利传输，系统底层自动实现了数据文件按照交换区大小进行自动的分片传输，在系统另一侧，自动按照约定的专有协议进行数据重组，从而实现任意数据的交换。实现总线独享，高速流水线操作。无需 CPU调度，无需总线竞争和申请，每步操作无需等待，实现高效交换。清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 功能特点2、丰富的应用模块根据不同的应用环境，量身定制多个功能模块，以满足用户的不同需求，主要包括：文件交换模块 ：实现不同安全等级网络间文件的安全交换。数据库同步模块 ：通过灵活的同步机制，保证安全等级不同的网络中的数据库系统实现数据同步更新。数据库访问模块 ：在安全访问控制的前提下，通过安全隔离网闸实现一侧数据库客户端对另一侧的数据库服务器的访问。FTP访问模块 ：客户端通过网闸实现可控制的访问 ftp服务器。邮件访问 ：客户端通过网闸可以访问另一侧的件服务器。安全浏览模块 ：保证在内外网隔离的环境下，内网用户安全浏览外网资源。通用模块 ：保证内外网隔离的同时实现 TELNET、 DNS、 TNS等协议及其他通用 TCP/IP协议的定制交换。其它定制用户专有应用模块 。清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 功能特点3、 传输方向控制NetGap安全隔离与信息交换系统采用双通道通信机制，从可信网到非可信网的数据流与从非可信网到可信网的数据流采用不同的数据通道，对通道的分离控制保证各通道的传输方向可控。在特殊应用环境中可实现数据的单向传送，以避免信息的泄漏。4、 访问控制系统支持强大的访问控制策略，支持通过源地址、目的地址、端口、协议等多种元素对允许通过网闸传输的数据进行过滤5、协议分析系统支持 HTTP/HTTPS、 POP3、 SMTP、 FTP、 SAMBA、 NFS、 DNS等多种应用层协议，可对常见协议的命令和参数进行分析和过滤。6、 高安全的文件交换提供基于纯文件的交换方式，内网和外网的数据传输模块各自对文件进行病毒扫描、签名校验、文件类型校验、文件内容过滤，对符合要求的文件进行转发。不借助任何第三方软件，完全通过文件的拷贝、粘贴方式实现，为了避免网络漏洞，网闸不开放任何连通两侧的网络通道，在保证绝对安全的前提下，通过数据摆渡实现文件交换。清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 功能特点7、内置的数据库同步模块独立自主开发完成，完全内置于网闸内部，所有的同步操作由网闸自己独立完成。不在用户数据库中安装任何客户端软件，不需要在用户网络中部署专用服务器，对用户数据库不作任何改变。考虑到基于文件的数据交换是最安全的交换方式，所以数据库同步模块也采用基于文件的交换方式，所有的数据都通过格式转换，变成特定格式文件，在通过文件交换的方式传输到另一侧。网闸两侧不开放任何基于数据库访问或者定制 TCP的网络服务端口，避免网络安全漏洞。清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 功能特点8、多样化的身份认证本地认证系统内置认证数据库提供本地的用户名、口令认证，支持 HTTP/HTTPS方式实现认证信息的获取。数字证书认证网闸支持数字证书认证，允许客户端通过 HTTP连接向服务器发送访问请求。网闸可导入根证书，通过检查用户证书格式，证书的过期时间，签发者等信息以确认访问者身份的合法性，还可依据用户身份属性判断其是否具有适当的访问权限。RADIUS/RADIUS+远程访问认证及 LDAP认证网闸向第三方认证服务器发送用户名和口令，一旦认证服务器认证成功，则网闸允许用户访问。9、地址绑定提供 IP与 MAC地址绑定功能，可对指定接口所连接的网络中的主机的 IP 和MAC 地址进行绑定，防止内部用户盗用 IP和内网地址资源分配的混乱，方便网络 IP资源管理。清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 功能特点10、内容检查（一）提供多种内容安全过滤与内容访问控制功能，既能有效的防止外部恶意代码进入内网，也能控制内网用户对外部资源不良内容的访问及敏感信息的泄漏。 NetGap安全隔离与信息交换系统的内容检查机制主要针对 HTTP、 FTP、邮件及文件交换等应用，包括 URL过滤、关键字过滤、 Cookie过滤、文件格式检查及病毒查杀等操作。URL/域名过滤网闸可对用户访问的 Web站点的域名及 URL等进行基于正则表达式的过滤，禁止用户访问暴力、色情、反动的主页或站点中的特定目录或文件。关键字过滤网闸可对邮件标题和内容以及传输的文件等进行关键字过滤，进行单词及短句的智能匹配，禁止包含特定关键字的敏感信息泄漏，或只允许包含相应关键字的文件通过网闸传递。COOKIE过滤网闸可对 COOKIE进行过滤。通过对 COOKIE进行过滤，可以防止敏感信息的泄漏。同时还可以防止用户进行浏览论坛、上网聊天等违反安全策略的操作。清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 功能特点10、内容检查（二）文件格式检查网闸可对传输的文件进行格式检查，只允许特定的文件通过网闸传递。系统还可对文本类文件进行文件结构检查，通过可定制的文件结构模版验证文件是否符合策略要求。病毒及恶意代码检查系统可内嵌杀病毒引擎，对允许传输的文件进行病毒的检查，确保进入可信网络的文件不包含病毒及 Java/JavaScript/Active-X等恶意代码。清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 功能特点11、 高可用设计NetGap安全隔离与信息交换系统支持高可用方案，全面解决设备故障与链路故障造成的业务中断，保证系统 7X24小时不间断服务。12、负载均衡解决方案NetGap安全隔离与信息交换系统支持负载均衡解决方案。网闸群集可实现动态管理和维护，根据实际响应时间制定优先响应策略，从而提高系统总体性能、优化流量管理、提高群集性能，保证系统正常运行的高可用性和高可靠性。如果访问量超出了网闸的响应能力，只需增加服务器数目就可平滑升级，无需第三方软件支持。清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 功能特点13、轻松的管理NetGap安全隔离与信息交换系统配备专门的管理端口，通过数字证书认证与管理信息的加密传输实现网闸设备的集中管理。系统采用全中文的Web方式进行远程网络管理，界面友好，操作方便。同时提供基于串口的管理方式。NetGap安全隔离与信息交换系统支持分级安全管理。分级管理使得对网闸的管理更加安全可控，避免人为因素带来的安全风险。两侧主机系统独立控制，分别配置。网络管理员和审计管理员是分开的。清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 功能特点14、安全审计NetGap安全隔离与信息交换系统提供全面的安全审计能力，用户可根据特定的需要进行日志审计（包括系统日志、访问控制策略日志、应用层协议分析日志、应用层内容检查日志等）。系统支持本地日志缓存 ,可实现本地日志的浏览查询等操作。日志依据事件的重要程度分为错误 /警告 /通知三级，支持 SYSLOG日志存储，可实现日志的分级发送。NetGap安全隔离与信息交换系统提供管理员多种手段了解网络运行状况及可疑事件的发生。主要方式如下：控制台方式：通过管理控制台可以实时监控日志告警信息。Syslog：以 Syslog方式向管理工作站发送告警信息。电子邮件：通过向管理员指定的电子邮件帐号发送电子邮件来发送报警信息。清大信安（北京）科技有限公司技术服务电话 ： 400-865-7878 安全隔离与信息交换系统1 需求分析3 功能特点4 应用案例5 公司简介2 解决方案