网闸技术白皮书

1产品概述随着网络技术的不断应用和完善，Internet正在越来越多地渗透到社会的各个方面。一方面，企业上网、电子商务、远程教育、远程医疗等一系列网络应用蓬勃发展，人们的日常生活与网络的关系日益密切；另一方面，网络用户组成越来越多样化，出于各种目的的网络入侵和攻击越来越频繁。人们在享受互联网所带来的丰富、便捷的信息同时，也日益感受到频繁的网络攻击、病毒泛滥、非授权访问、信息泄密等问题所带来的困扰。传统的安全产品可以以不同的方式满足我们保护数据和网络安全的需要，但不可能完全解决网络间信息的安全交换问题，因为各种安全技术都有其局限性。为保护重要内部系统的安全，2000年1月，国家保密局发布实施《计算机信息系统国际互联网保密管理规定》，明确要求：“涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其他公共信息网络相连，必须实行物理隔离。”中共中央办公厅2002年第17号文件《国家信息化领导小组关于我国电子政务建设指导意见》也明确强调：“政务内网和政务外网之间物理隔离，政务外网与互联网之间逻辑隔离。”在不同安全等级的网络及系统之间实施安全隔离是一个行之有效的安全保密措施，可切断信息泄漏的途径。最初的解决方案很简单，即通过人工的操作来实现。如下图所示：在不同安全等级的网络中进行信息交换的时候，由指定人员将需要转移的数据拷贝到软盘等移动存储介质上，经过查病毒、内容检查等安全处理后，再复制到目标网络中。这种解决方案可实现网络的安全隔离，但数据的交换通过人来实现，工作效率低；安全性完全依赖于人的因素，可靠性无法保证。在数据量不大，交换不频繁的情况下，通过人工交换数据的确简单可行。然而，随着电子政务的开展，内外网交换数据的数量和频率呈几何量级上升，这种解决方案已经越来越无法满足用户的需要。如何保证信息在不同安全等级的网络间安全交换成为制约电子政务发展的瓶颈。网神SecSIS3600安全隔离与信息交换系统（简称：“网闸”）是新一代网络安全隔离产品。该产品采用专用硬件和模块化的工作组件设计，集成安全隔离、实时信息交换、协议分析、内容检测、访问控制、安全决策等多种安全功能为一体，适合部署于不同安全等级的网络间，在实现多个网络安全隔离的同时，实现高速的、安全的数据交换，提供可靠的信息交换服务。网闸可广泛应用于各级政府机关、军队、公安、科研院校及民航、电力、石油、金融、证券、交通等网络环境，实现信息的安全交换。尤其适合于电子政务、网上工商、网上报税、网上报关、电子审批、政府信息系统管理等需要严格内外网隔离的应用环境。2产品原理网闸的工作基于人工信息交换的操作模式，即由内外网主机模块分别负责接收来自所连接网络的访问请求，两模块间没有直接的物理连接，形成一个物理隔断，从而保证可信网和非可信网之间没有数据包的交换，没有网络连接的建立。在此前提下，通过专有硬件实现网络间信息的实时交换。这种交换并不是数据包的转发，而是应用层数据的静态读写操作，因此可信网的用户可以通过安全隔离与信息交换系统放心的访问非可信网的资源，而不必担心可信网的安全受到影响。信息通过网闸传递需经过多个安全模块的检查，以验证被交换信息的合法性。当访问请求到达内外网主机模块时，首先由网闸实现TCP连接的终结，确保TCP/IP协议不会直接或通过代理方式穿透网闸；然后，内外网主机模块会依据安全策略对访问请求进行预处理，判断是否符合访问控制策略，并依据RFC或定制策略对数据包进行应用层协议检查和内容过滤，检验其有效载荷的合法性和安全性。一旦数据包通过了安全检查，内外网主机模块会对数据包进行格式化，将每个合法数据包的传输信息和传输数据分别转换成专有格式数据，存放在缓冲区等待被隔离交换模块处理。这种“静态”的数据形态不可执行，不依赖于任何通用协议，只能被网闸的内部处理机制识别及处理，因此可避免遭受利用各种已知或未知网络层漏洞的威胁。如下图所示：网闸通过专有的隔离交换卡实现内外网主机模块的缓冲区内存映射功能，将指定区域的数据复制到对端相应的区域，完成数据的交换。隔离交换卡内嵌安全芯片，采用高速全双工流水线设计，内部吞吐速率达5Gbps，完全可以满足高速数据交换的需要。隔离交换模块固化控制逻辑，与内外网模块间只存在内存缓冲区的读写操作，没有任何网络协议和数据包的转发。隔离交换子系统采用互斥机制，在读写一端主机模块的数据前先中止对另一端的操作，确保隔离交换系统不会同时对内外网主机模块的数据进行处理，以保证在任意时刻可信网与非可信网间不存在链路层通路，实现网络的安全隔离。当内外网主机模块通过隔离交换模块接收到来自另一端的格式化数据，可根据本端的安全策略进行进一步的应用层安全检查。经检验合格，则进行逆向转换，将格式化数据转换成符合RFC标准的TCP/IP数据包，将数据包发送到目的计算机，完成数据的安全交换。3产品功能说明3.1丰富的应用模块网闸采用模块化的系统结构设计，根据不同的应用环境，量身定制多个功能模块，以满足用户的不同需求，主要包括：文件交换模块：实现不同安全等级网络间文件的安全交换。数据库同步模块：通过灵活的同步机制，保证安全等级不同的网络中的数据库系统实现数据同步更新。邮件交换模块：保证在内外网隔离的环境下实现安全的邮件收发。安全浏览模块：保证在内外网隔离的环境下，内网用户安全浏览外网资源。通用模块：保证内外网隔离的同时实现FTP、DNS、TNS等协议及其他通用TCP/IP协议的定制交换。其它定制用户专有应用模块。3.2访问控制系统支持强大的访问控制策略，支持通过源地址、目的地址、端口、协议等多种元素对允许通过网闸传输的数据进行过滤，判断是否符合组织安全策略。3.3地址绑定提供IP与MAC地址绑定功能，可对指定接口所连接的网络中的主机的IP和MAC地址进行绑定，防止内部用户盗用IP和内网地址资源分配的混乱，方便网络IP资源管理。3.4内容检查网闸提供多种内容安全过滤与内容访问控制功能，既能有效的防止外部恶意代码进入内网，也能控制内网用户对外部资源不良内容的访问及敏感信息的泄漏。网神SecSIS3600安全隔离与信息交换系统的内容检查机制主要针对HTTP、FTP、邮件及文件交换等应用，包括URL过滤、关键字过滤、Cookie过滤、文件类型检查及病毒查杀等操作。URL/域名过滤网闸可对用户访问的Web站点的域名及URL等进行基于正则表达式的过滤，禁止用户访问暴力、色情、反动的主页或站点中的特定目录或文件。黑/白名单关键字过滤网闸可对邮件标题和内容以及传输的文件等进行黑/白名单关键字过滤，进行单词及短句的智能匹配，禁止包含特定关键字的敏感信息泄漏，或只允许包含相应关键字的文件通过网闸传递。COOKIE过滤网闸可对COOKIE进行过滤。通过对COOKIE进行过滤，可以防止敏感信息的泄漏。同时还可以防止用户进行浏览论坛、上网聊天等违反安全策略的操作。文件类型检查网闸可对传输的文件进行类型检查，只允许符合安全策略的文件通过网闸传递。避免传输二进制文件可能带来的病毒和敏感信息泄露等问题。病毒及恶意代码检查系统可内嵌杀病毒引擎，对允许传输的文件进行病毒的检查，确保进入可信网络的文件不包含病毒及Java/JavaScript/ActiveX等恶意代码。3.5高安全的文件交换网闸提供基于纯文件的交换方式，内网和外网的数据传输模块各自对文件进行病毒扫描、签名校验、文件类型校验、文件内容过滤，对符合要求的文件进行转发。不借助任何第三方软件，完全通过文件的拷贝、粘贴方式实现，为了避免网络漏洞，网闸不开放任何连通两侧的网络通道，在保证绝对安全的前提下，通过数据摆渡实现文件交换。3.6内置的数据库同步模块网闸的数据库同步模块，独立自主开发完成，完全内置于网闸内部，所有的同步操作由网闸自己独立完成。不在用户数据库中安装任何客户端软件，不需要在用户网络中部署专用服务器，对用户数据库不作任何改变。该模块支持Oracle和SqlServer等流行数据库版本，同时预留开发接口，定制支持各种数据库系统。在高速运行的基础上解决了字段级数据同步、双向数据同步、大字段同步等技术难题，适合于各种数据库同步工作的需要。由于是网闸自身发起的动作，所以网闸两侧不开放任何基于数据库访问或者定制TCP的网络服务端口，避免网络安全漏洞。3.7高可用设计网闸支持高可用方案，最多支持32台设备进行负载均衡，全面解决设备故障与链路故障造成的业务中断，保证系统7X24小时不间断服务。3.8轻松的管理网闸配备专门的管理端口，通过数字证书认证与管理信息的加密传输实现网闸设备的集中管理。系统采用全中文的Web方式进行远程网络管理，界面友好，操作方便。系统管理员和审计员实现分权管理，使得对网闸的管理更加安全可控，避免人为因素带来的安全风险。3.9传输方向控制网闸采用双通道通信机制，从可信网到非可信网的数据流与从非可信网到可信网的数据流采用不同的数据通道，对通道的分离控制保证各通道的传输方向可控。在特殊应用环境中可实现数据的单向传送，以避免信息的泄漏。3.10协议分析能力系统支持HTTP/HTTPS、POP3、SMTP、FTP、SAMBA、NFS、DNS等多种应用层协议，可对常见协议的命令和参数进行分析和过滤。应用数据以“原始”的形态在内外主机模块中传递，数据包经过预处理、安全决策、RFC校验、协议分析、数据提取、格式化等多个处理模块的检查，充分保证了交换信息内容的安全。3.11完善的安全审计网闸提供管理员多种手段了解网络运行状况及可疑事件的发生。用户可根据特定的需要进行日志审计（包括系统日志、访问控制策略日志、应用层协议分析日志、应用层内容检查日志等）。系统支持本地日志缓存,可实现本地日志的浏览查询等操作。日志依据事件的重要程度分为错误/警告/通知三级，支持Syslog日志存储，可实现日志的分级发送。网闸提供管理员多种手段了解网络运行状况及可疑事件的发生。主要方式如下：控制台方式：通过管理控制台可以实时监控日志告警信息。Syslog：以Syslog方式向管理工作站发送告警信息。电子邮件：通过向管理员指定的电子邮件帐号发送电子邮件来发送报警信息。3.12强大的抗攻击能力网闸具备强大的抗攻击能力，内外网主机模块采用专用的安全操作系统，内核经过特殊定制，实现强制性访问控制，保护自身进程及文件不被非法篡改和破坏。同时系统实现了针对多种DoS和DDoS攻击的防范，可阻挡SynFlood、UdpFlood、PingFlood、TearDrop、PingofDeath、Smurf、Land等多种类型的DoS和DDoS攻击，保护可信网络的安全。3.13多样化的身份认证网闸支持多样灵活的身份认证方式，包括：本地用户名及口令认证、基于数字证书的认证、RADIUS远程访问认证及LDAP认证等。本地认证系统内置认证数据库提供本地的用户名、口令认证，支持HTTP/HTTPS方式实现认证信息的获取。数字证书认证网闸支持数字证书认证，允许客户端通过HTTP连接向服务器发送访问请求。网闸可导入根证书，通过检查用户证书格式、证书的过期时间、签发者等信息以确认访问者身份的合法性，还可依据用户身份属性判断其是否具有适当的访问权限。RADIUS远程访问认证及LDAP认证网闸向第三方认证服务器发送用户名和口令，一旦认证服务器认证成功，则网闸允许用户访问。3.14负载均衡解决方案网闸支持负载均衡解决方案。网闸群集可实现动态管理和维护，根据实际响应时间制定优先响应策略，从而提高系统总体性能、优化流量管理、提高群集性能，保证系统正常运行的高可用性和高可靠性。如果访问量超出了网闸的响应能力，只需增加服务器数目即可实现系统的平滑升级，无需第三方软件支持。4产品技术优势在网络中部署网闸既能够符合政府、军队、企事业单位等的强制性安全策略－－既在不同安全等级的网络间实现安全隔离，又能够保证可靠、安全的信息交换，提供文件交换、收发电子邮件、数据库同步、安全浏览等多种服务，在网络应用的安全性及可用性间取得完美的平衡。4.1安全高效的硬件交换系统网闸具有自主研发的内外主机系统间的安全检测与