许昌市公安局信息安全应用案例

　　一、网络安全现状与隔离技术应用

　　二、案例介绍

　　2.1许昌市公安局用户需求

　　2.1.1物理隔离

　　2.1.2数据交换

　　2.2网络部署

　　2.3解决方案

　　2.4实现的功能

　　2.5性能指标

　　2.6整体方案

　　三、总结

　　一、网络安全现状与隔离技术应用

　　随着互联网技术和应用的不断发展，信息存储，交流，发布都变得十分便利。基于网络技术发展起来的电子政务极大的提高了人们的工作效率，改变了部门间的管理方式，降低了企业运作的成本，方便了人们的生活。可是，人们在享受互联网所带来的方便的同时，总是有各种各样的破坏者，出于各种目的，来利用计算机系统的安全漏洞来对网络上的主机、服务器和软件等要素实施攻击，给企业，政府部门造成极大的经济和社会损失。银行，政府，军队等国家高度涉密的部门，更是“谈黑色变”。对于网络安全的忧虑极大的妨碍了办公自动化的推进。网络安全，成为国家信息化建设的最需要迫切解决的问题。

　　为有效地保障机密数据，国家有关部门于2000年1月1日起颁布实施《计算机信息系统国际联网保密管理规定》，“涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其它公共信息网络相连接，必须实行物理隔离”。

　　但是内部网络绝不应是可以定义边界的信息孤岛，要发挥网络的优势，内网外网之间必须进行数据交互。许昌市公安局内部网络上运行着各种关键信息系统，安全性至关重要，又绝对不能和Internet直接相连。所以，必须采用既能保证网络之间的物理隔离，又能够进行安全的交换数据的技术措施和方案。

　　而对于网络间的数据交换需求，在讨论新的安全技术之前我们首先来看以前的设计方案中经常使用的两种进行信息交换的两种方案：

　　1、人工方式(磁盘、移动式硬盘、手提式电脑等)

　　2、每日的定时拨号(连通外网和内网)

图1 传统隔离交换示意图

　　对第一种方案我们看到它确实实现了物理隔离，而且也能够进行信息交换(把外网的数据通过人工的方式拷贝到内网)，但是我们应当看到它所带来的问题：1、安全性：由于实现了物理隔离，安全性比使用一般的安全设备如防火墙要高，但是也有可能引来人为的安全问题，如传输时所使用的磁盘是否带有病毒等等，并没有一个很好的控制方式。2、时效性：采用人工方式不可避免带来时效性低下的问题，在电子政务初期采用人工方式可能对整个系统的性能影响不是很明显，但是随着业务的开展，采用人工方式必将妨碍整个工作开展，会极大的降低整个系统的工作效率。

第二种方案无论是安全还是时效性来说都存在问题，特别是安全性方面：定时拨号其实在内网和外网之间建立了物理链路上的连接，一旦外网出现安全隐患(如网站被攻破)，尽管其间采用安全工具(防火墙等)保护，就有很大可能把这些隐患带给内网，因此这种方案单从安全角度来说就存在极大的安全风险，时效性也不能得到很好的保证，而且随着整个系统对时效性的要求越高，内外网连通的频率越高，内网就越不安全。

　　电子政务旨在简化政府的工作流程，提高工作效率。如果在安全和时效性方面都得不到很好的保证，就会违背当初设计的初衷。以网上审批程序为例：对于用户通过互联网递交到电子政务对外网站上的申请，政府人员对其进行审批、登记备注的信息只能通过手工方式递交给内部网。这样导致信息无法及时传递给内网，制约了整个电子政务业务的开展，采用人工数据方式弊端也就暴露无遗。可一旦在内外网上建立一般的数据交换通道(如采用防火墙、VPN等)却又没有办法保证核心数据安全。这里采用以前的设计可能就导致出现了矛盾：安全性高就束缚了业务的发展，业务的正常开展却又带来安全隐患。

　　那么是否有一种既能保证电子政务的正常开展又能保证物理隔离(核心数据安全)的解决方案呢？网络隔离系统SafeDoor(上网模块、邮件模块、数据交换模块、反向代理模块、流代理模块)提供了一整套安全解决方案。

　　二、案例介绍

　　■2.1许昌市公安局用户需求

　　■2.1.1物理隔离

　　内外网要保证有效的物理隔离-物理隔离的有效性以及对整网运行和连接状况的统一监控和集中管理。

　　■2.1.2数据交换

　　物理隔离后的数据交换-安全、及时、有效的实现内网和外网间的数据交换。

　　数据交换必须支持：

　　●上网浏览与收发电子邮件

　　●公文交换

　　●内网获取外网的申报数据

　　●内网向外网的信息发布

　　●内外网间部分数据信息的共享

　　■2.2网络部署

　　网络隔离系统SafeDoor部署在内部网和外部网之间，如下图所示。

图2 网络隔离系统SafeDoor在许昌市公安局中的应用

　　如图所示：许昌市公安局内部网络运行的是局里的内部业务系统，包括机关的核心业务以及核心数据，核心数据存储在内部服务器数据库中；对外提供的数据存储于发布数据库服务器中。

　■2.3解决方案

　　电子政务、网上银行、网上证券交易和电子商务的发展要求政府和企业把内部的业务系统扩展到因特网上。但由于内部网络系统中的数据非常敏感，如何保证安全成为首要问题。

　　大唐电信网络隔离系统SafeDoor为这一问题提供了完美的解决方案。网络隔离系统SafeDoor基于安全的物理隔离技术，部署于内部办公及业务系统和外部系统之间，在保证安全隔离的前提下，使内部用户安全的浏览网页和收发邮件并能为各种形式的数据提供安全、可靠、高效率的灵活交换方法。

　　网络隔离系统SafeDoo的基本工作原理是：不改变原有网络的拓扑结构，在需要保护的内外网络间加入一个特殊的硬件安全平台，在保证网络隔断的前提下提供安全的数据交换。此硬件平台由两个主机系统和一个独特的硬件交换模块三部分组成。内外网主机系统完全独立并在网络层实现隔离，需要进行交换的业务数据可以借助底层交换硬件相互传送。

　　网络之隔离系统SafeDoor所以具有高度的安全性，主要突出在其独立的双系统结构和特殊的底层硬件平台上。硬件交换模块通过独立或共享总线，分时高速切换开关等硬件设计，可以做到内外网交换的数据不同时访问共享存储介质，因此在微观上实现两个网络的完全意义的物理隔断。而从宏观上看，借助于高速的开关切换和DMA技术，可以实现用户应用净荷数据的高速交换。应用级有效数据不再借助网络层协议进行传递，而是直接控制电子切换开关，通过交换总线，访问共享存贮介质进行交互。这种基于私有硬件交换平台的设计，避免了防火墙等安全产品TCP/IP协议栈的漏洞，使黑客无法通过IP欺骗、DOS等手段通过网络连接进行攻击。同时，系统在软件设计上通过内容审查，在线杀毒，数字签名，加密等机制，避免了黑客从应用层攻击，种植木马和伪造数据的可能性，从而保证数据交换通道的高度安全可靠。

　　网络隔离系统SafeDoor集成了包括具有内核级入侵检测功能的安全操作系统、安全WEB浏览子系统、具有负载均衡能力的反向WEB代理系统，具有过滤功能的安全邮件子系统、安全文件传输子系统、病毒扫描子系统、日志与审计子系统、Web与邮件用户管理子系统、带数据摘要和加密功能的数据交换子系统等在内的多种安全技术。

　　■2.4实现的功能

　　●物理隔离硬件模块

　　通过具有自主技术的硬件系统设计，实现内外网之间的物理隔断。

　　●安全操作系统

　　在内核级改进了内外网主机系统所基于的操作系统安全性，能自动检测并防止来自网络的攻击，对于操作系统的重要文件、进程和内核采取特殊的保护机制，使非法用户无机可乘。

　　●WEB浏览子系统

　　用户通过WEB浏览子系统浏览WEB站点前要进行身份认证；过滤可能带来安全隐患的危险网页；过滤用户向外网提交的页面，防止泄密；缓存技术使WEB浏览速度更快；支持文件传输FTP协议；支持HTTPS协议。

　　●反向WEB代理子系统

　　反向WEB代理子系统使内网能安全的为外网用户提供WEB服务，提供WEB系统冗余备份和负载均衡功能，过滤恶意WEB请求等。

　　●邮件子系统

　　用户收发邮件时需要进行身份认证；用户可以通过Outlook，Foxmail等常用邮件客户代理收发邮件，也可通过大唐电信自主开发的基于SSL协议的WEB邮件系统收发邮件，使邮件系统更安全；可以禁止或允许邮件附件的发送或接受，可以限制附件的大小，可以过滤外发邮件的内容防止信息泄露。

　　●透明SMTP/POP3代理

　　通过SMTP/POP3代理，能对原有的邮件系统提供多一层保护，提供病毒扫描和邮件过滤功能。

　　●透明流代理子系统

　　可以提供TCP和UDP级的透明流代理功能，为已开发完毕的客户/服务器程序提供透明的数据传输通道，使原有的应用程序平滑过渡。

　　●多引擎杀毒子系统

　　在线多引擎杀毒系统，可以实时检查进入内网的数据是否包含病毒或其它有害代码。对有毒的邮件进行过滤，并能通知发送者和接受者。

●日志与审计子系统

　　对于所有的WEB浏览和邮件收发都有详细的日志记录，系统管理员可以实时监控；提供日志的备份和导入、导出。

　　●系统管理

　　通过有安全保证的WEB系统，系统管理员能通过浏览器管理和配置系统，管理WEB用户和邮件用户，配置系统运行参数等。

　　●数据(库)交换模块

　　通过数据摘要和加密技术在内外网之间传递数据，保证数据的一致性和安全性；良好的软件结构设计使数据交换模块能支持各种类型应用的数据交换；基于XML描述的内外网数据库信息交换等。

　　■2.5性能指标

　　交换时延：毫秒(ms)级

　　系统交换带宽：87.5Mbps

　　最大邮件用户数：20000个

　　标准并发连接数：2000--4000个

　　机箱：4U高19寸架装式工业用服务器

　　底板：工业级全长主板

　　■2.6整体方案

　　基于对用户需求的分析，决定采用“网络隔离系统SafeDoor企业网关版”来满足整网运行的安全要求。在整个解决方案中，我们采用网络隔离系统SafeDoor的上网和邮件模块来保证内网用户在物理隔离的前提下进行安全上网和收发邮件；采用数据交换模块保证物理隔离前提下网站数据库(即对外服务器)和内网进行安全的数据交换；采用反向代理模块实现并保证内网向外网信息发布时的安全；采用流代理模块保证公文交换的安全实现。

　　上网和收发邮件：通过网络隔离系统SafeDoor，内部用户可以在物理隔离的前提下进行浏览网页和收发邮件，同时由于在隔离系统上集成内容过滤、邮件病毒查杀、入侵检测、安全认证等多种安全模块，使内部用户可以安全访问因特网。

　　数据交换：外部网络主要是和互联网进行信息交互的平台，如信息发布(网站)。一般用户通过因特网连接到对外网站上填写相应的资料如申请、投诉等等材料，这些数据就存入网站数据库服务器(即外部服务器)，之后再由网络隔离系统SafeDoor根据预先管理员配置自动把这些数据放入内部网的内部服务器数据库中；同时并把内部数据库中一些需要向互联网发布的数据放入外部网的外部数据库中，这样就保证了在物理隔离的前提下进行的安全的数据交换，使整个业务系统能够在保证最大化安全的基础上运行起来。

　　网络隔离系统SafeDoor通常情况下工作在两个网络之间，这两个网络可以是Internet和专网也可以是内部的不同权限的两个网络。不需要调整现有内部以及外部网络配置，只需在现有网络基础上对数据交换系统简单配置之后就可以进行工作。如果已经在内部网络中采用防火墙等安全工具，数据交换系统则放置在防火墙之后。

　　我们可以看到通过采用网络隔离系统SafeDoor不同模块的组合很好满足了许昌市公安局电子政务系统安全和应用需求，网络隔离系统SafeDoor在物理隔离的基础上，能安全、实时和高速的在内外网之间交换数据，完美地解决了涉密用户所关心的物理隔离、数据交换和数据共享等问题。

　　三、总结

　　本方案通过采用大唐电信网络隔离系统SafeDoor，提出了针对许昌市公安局安全隔离与信息交流的安全解决方案，实现了物理隔离前提下安全数据交换、上网和收发邮件，既满足了整个工程的安全需求，又保证业务工作的网上顺利开展。本方案分析了系统业务需求、安全需求，简单介绍了网络隔离系统SafeDoor的安全技术，并针对各个需求提出了完整的解决方案。