京泰安全Web系统技术白皮书Word文件下载.docx

京泰安全Web系统技术白皮书Word文件下载.docx

《京泰安全Web系统技术白皮书Word文件下载.docx》由会员分享，可在线阅读，更多相关《京泰安全Web系统技术白皮书Word文件下载.docx（10页珍藏版）》请在冰豆网上搜索。

3.4系统自身安全保护8

3.5IC卡技术8

3.6多种保护方式8

3.7适用范围广8

3.8高效服务能力9

3.9保护内容容量大9

3.10限定服务器地址9

3.11服务器实时报警9

4应用示例10

4.1简单的Web保护方式10

4.2通用的Web保护方式10

5公司简介11

——————————————————

1京泰网络安全体系结构

由于计算技术和网络技术的飞速发展，使得整个世界的联系比以往更加紧密，信息的获取和信息的处理比以往任何时候都要更方便，更快捷。

任何人无论何时何地，只需要简单的一根线就能从网络世界获得他想要的任何信息，这在以往是不可想象的，是什么能够让世界如此享受信息交流所带来的好处？

一个最主要的原因就是互联网的建立和发展。

互联网能够爆炸性增长的原因，主要是由于互联网采用开放式标准，任何需要连网的单位和个人，只要愿意都可以获得网络建立的一切细节技术，从而大大方便了各种异质网络的互联。

开放性在带来信息交流便捷的同时，也带来了网络安全的隐患。

这一点，在各国有关国家政府、军队等重要安全部门的网络互联上更显突出。

黑客可以通过黑客工具试探、攻击各种网络安全漏洞，从而获取、破坏、篡改各种重要信息，造成重大的经济损失，恶劣的社会影响，甚至引起政治和国家安全问题。

因此，各国对网络和信息安全都非常重视，中国也成立了专门的安全工作部门，负责指导全国的网络和信息安全工作。

京泰网络以中科院计算所为技术源头，结合京泰集团多年的工程和市场经验和优势，为国家党政机关、军队和重点行业解决各种网络和信息安全问题提出了适合中国国情的网络与信息安全理念和原则。

京泰网络认为网络和信息安全是一个体系，相应的安全策略包含法律层面、管理层面和技术层面三个层次。

法律层面是安全的基石，而通过加强安全管理，提高整体安全意识，可以在相当程度上堵住很多安全漏洞，在安全技术应用上，依靠的不仅仅是单一的一、两种技术，而是一个完整的体系。

京泰网络认为安全体系必须满足如下“五不”原则：

1、“进不来”：

阻止非授权用户进入内部网络。

2、“拿不走”：

实现对用户的权限控制，防止非法用户获得重要的信息。

3、“看不懂”：

通过加密和认证技术，确保XX的人无法阅读非法得到的信息。

4、“改不了”：

使用数据完整性鉴别机制，任何非法的篡改能够立刻被检测出来。

5、“走不脱”：

利用审计、监控、现场保护及跟踪技术，获取黑客行踪，使之不能抵赖。

京泰网络把国家党政机关、军队和重点行业的安全问题，抽象为三个方面：

信息的安全获取、对外的信息安全服务、内部信息的安全流转。

并且针对这三个方面，分别为之量身定做了各层面的安全产品，帮助用户解决面临的安全问题。

信息的获取，是指内网用户如何安全的从互联网获取信息，如何在获取互联网信息的同时保证内网信息的安全。

京泰网络提供了物理隔离系列产品和信息转播系统产品帮助用户解决这方面问题。

物理隔离技术帮助用户隔离内外网络，保证上外网时，内网不通；

上内网时，外网不通，从而从物理链路层面就彻底隔绝了黑客攻击，京泰网络具有多款物理隔离产品，可以提供多种物理隔离安全应用方案，满足用户的各种应用需求；

信息转播系统相当于一个虚拟的内部互联网平台，它通过高效的数据采集，从互联网获取用户所需的信息，对内提供离线的互联网访问，自动采集，自动更新，并且提供信息分类和信息检索等多种信息服务能力。

对外的信息安全服务，包括用户通过WWW站点对外发布信息，也包括用户通过互联网对外提供信息服务。

前者，京泰网络提供安全Web系统来保障网站信息的安全，后者，京泰网络提供信息交流服务器，帮助用户安全的提供对外在线安全服务。

安全Web系统具有安全的体系结构，采用数字指纹、数字加密、心跳检测、IC卡等技术自动检测被保护文件，一旦页面被非法篡改，立即自动恢复。

信息交流服务器通过在内外两个网络之间增加高速开关，把外网服务器获取的服务请求，通过开关的切换，导入到内网服务器；

同样把内网服务器处理的结果，通过开关的切换，导出到外网服务器。

在数据进出内外网络时，增加对数据的各种安全检测。

同时，系统对内外网交换的数据，重新进行分片和重组，采用自定义的安全协议进行交换，并对内容进行安全过滤和检测，杜绝了黑客利用各种网络协议漏洞攻击内部网络。

内部信息的安全流转，主要解决内部用户在安全的环境下，各种办公和事务处理的应用。

京泰网络提供了CA证书产品，以及安全通道、文件加密三种产品保证内部办公的用户和信息安全，提供了安全邮件服务器、代理计费系统为用户提供日常安全的应用服务。

内部网络需要保护的数据可以分为静态数据和动态数据，静态数据指的是以文件形式存放在存储介质上的数据，动态数据指的是在网络中流动的数据。

对于静态数据可以采用京泰文件加密产品，不同用户具有对文件的不同访问权限，这种权限控制是建立在数字加密的基础上的，具有高度的安全性，对于动态数据，可以采用京泰网络的安全通道产品，对传输的数据流进行加密传输，对传输双方用户身份进行认证，防止非法侦听和篡改。

这两款产品都建立在数字证书的基础上，京泰网络提供CA证书服务器软件完成证书的分发和管理，当然，用户也完全可以采用其他的第三方证书服务器来完成工作。

安全邮件服务器通过以隔离开关连接的内外网两个邮件服务器，在内外网之间进行安全隔离的邮件转发工作，并对邮件进行安全的检测，而用户的使用是透明的，最后京泰网络还提供代理计费系统，提供多协议代理，超量自动锁定等功能，更好的帮助用户管理和使用网络。

通过以上分析，可以看到，京泰网络根据用户的应用需求，为广大的党政机关、军队系统和重要行业的用户构建了一个完整的安全体系结构。

相信在京泰网络的竭诚服务和高技术的产品支持下，定能让广大的客户在信息时代里自由的翱翔。

2产品介绍

2.1市场需求

在社会信息化飞速发展的今天，计算机网络已经成为人们工作和生活的一部分，人们开始习惯通过网络查询、交流、购物和办公等等，同时我们社会的数字化进程也在加快。

越来越多的政府机关、企事业部门为了适应社会的发展，为了树立自身良好的形象，扩大自身在社会的影响，已经在Internet中建立起自己的网站。

这些网站往往代表一个政府机关、企事业部门的形象，甚至某些网站代表国家形象，与国家利益息息相关。

但网站常常成为黑客的首选攻击对象，这是因为网站是Internet中重要的信息源之一，其影响面巨大。

网站被黑事件已经屡见不鲜了，就连各国官方网站也很难幸免。

而且，某些不法黑客常常利用有关政府网站的知名度，通过攻击有关政府网站，进而篡改网站数据，散播有关非法言论和资料，给有关政府的声誉带来极坏的影响。

我们面临捍卫我们“电子领空”的职责。

除了黑客攻击外，我国还面临高级安全人才的缺乏。

根据国内一些网络安全研究机构的资料显示，国内站点的网络管理人员至少有90%以上没有受过正规的网络安全培训；

这几年中国的Internet处于发展建设阶段，大部分的ISP和其它从事信息产业的公司都没有精力对网络安全进行必要的人力和物力投入，很多重要站点的管理员都是Internet的新手，一些操作系统，如Unix，在有经验的系统管理员的配置下尚且有缺陷，在新手的操作中更是漏洞百出。

很多服务器都有多种以上的漏洞可以使入侵者获取系统的最高控制权。

面对不法黑客的恶意攻击，面对站点的网络管理员在网络安全知识方面的匮乏，如何保证网站页面不被篡改，捍卫我们的“电子领空”不受侵犯，防止自身形象受到损失，以及由此带来的其他多方面的损失就至关重要了。

因此，保证网站信息的完整性成为了信息技术的一个前沿课题。

京泰安全Web系统就是在这种背景下孕育而生的网站页面保护系统。

它采用先进的体系结构，结合数字指纹、数字加密、周期检测等多种安全技术，既保护网站的页面不被篡改，也保证系统自身的安全运行。

它能够自动扫描网页，及时发现网页是否被篡改。

若发现被篡改，系统将自动引导恢复机制，保护网页。

同时，它还使用先进的技术保障京泰安全Web服务器和京泰安全Web代理之间的通信安全，若非法用户停止京泰安全Web代理，或冒充系统的任何一部分都能被及时发现，从而保障系统运行的安全性、稳定性。

此产品结构简单、安全，并且有Windows®

、Linux®

和Solaris®

等多种平台的版本，适合保护各种各样的网站，特别适合保护那些更新周期较长、内容重要的中小型网站，例如：

党政军等政府部门、学校等事业部门的网站。

2.2技术背景

京泰安全Web系统主要采用了若干种加密技术来保证数据的完整性和安全性，使非法用户对于系统的重要数据“看不懂”和“改不了”。

本系统采用了快速的专用算法对备份数据库加密，保证了备份数据的安全。

同时，本系统在安全Web服务器和安全Web代理之间的通讯中使用了一次一密的随机密钥技术。

此项技术能够保证即使它们之间的通讯被第三方窃听后，也无法破译其中的内容，更谈不上冒充了。

同时，在安全Web服务器和安全Web代理之间采用自定义的传输协议。

这充分保障了安全Web服务器和安全Web代理之间的通讯安全。

另外，对于安全Web代理的配置文件也采用了这种加密技术，这保证重要数据的安全性。

数字指纹是用单向散列函数对文件内容进行求值得到的一串数字。

该单向散列函数的特点是对于任何两个内容不同的文件将产生不同的指纹。

这样，系统只要保存网页的数字指纹，然后用当前网页的数字指纹与原有的数字指纹匹配，若匹配不成功，则表示网页已经被篡改。

这大大提高了系统的效率。

系统采用了通用的IC卡技术。

通过把软件和用户的重要信息保存在智能电子钥匙而不是硬盘上，既方便了系统的管理，也防止了系统关键信息的泄漏。

即便智能电子钥匙丢失，由于别人不知道智能电子钥匙口令和其内部结构，仍然不会泄漏任何信息，从而大大提高了系统的安全性。

2.3产品定义

京泰安全Web系统是一款保护WWW网站中重要的文件在被非法篡改后能及时自动恢复的软件产品。

系统由两部分组成，其中一部分是与WWW服务器安装在同一台计算机中的京泰安全Web代理；

另一部分是内部安全的不提供任何服务的京泰安全Web服务器。

京泰安全Web服务器是系统的核心，它负责整个系统的安全，以及对WWW服务器的受保护内容的管理和完全监测。

它能够及时探测到网页是否被篡改，若探测到网页发生了变化，它能够自动启动恢复机制，及时自动恢复发生变化的网页。

同时它将把运行的过程记入日志中，供管理员参考。

对京泰安全Web系统的任何操作都需要使用系统提供的智能电子钥匙。

对于严重的异常事件，它能够自动给管理员发送报警通知，使管理员在远程也能及时、准确地了解系统发生的异常事件，以便及时处理。

京泰安全Web代理负责快速监测受保护的WWW服务器的内容，执行京泰安全Web服务器的命令，以及及时报告WWW服务器状态等等。

京泰安全Web系统的一台服务器可以监测多台WWW服务器，其体系结构如图2.1所示。

图2.1京泰安全Web体系结构图

2.4运行环境及配置

2.4.1京泰安全Web服务器

硬件配置

CPU：

PentiumIV1.5GHz

内存容量：

256MB

硬盘：

40GB

网卡：

100Mbps

其他：

智能电子钥匙

软件配置

操作系统：

中文Windows®

2000

系统软件：

京泰安全Web系统（专业版）

外型尺寸及适用环境

外型尺寸：

2U高度标准工控机箱

环境温度：

10-35摄氏度

环境湿度：

相对40-80%

远离强磁场和辐射源

防尘、防震动

硬件需求

主机：

IBMPCPentiumIII以上或其他100%兼容计算机

128MB以上，建议使用512MB

硬盘空间：

剩余20MB以上空间

其他要求：

100Mbps以上的以太网卡两片（建议）

软件需求

中文WindowsNT®

，中文Windows®

SunULTRA平台

Solaris®

7以上

Linux

说明：

京泰安全Web服务器和京泰安全Web代理之间必须有永久的网络连接。

3功能特点

3.1先进的加密技术

本系统采用了全方位的先进加密技术保证了网站数据以及本系统数据的完整性和安全性，不漏过任何可能的安全隐患，使非法用户对网站内容“改不了”、对本系统的数据“看不懂”、“改不了”。

本系统使用数字摘要技术计算出所有需要保护的网页的指纹，通过核对网页的指纹来确保数据的完整，使网页被非法篡改后能及时发现。

而且对所有备份数据都进行了加密处理，若发现某网页被非法篡改，将立刻用备份数据自动恢复此网页。

本系统的备份加密算法采用了快速的专用算法，保证了备份数据“看不懂”、“改不了”。

同时，系统对代理的配置信息采用了一次一密的随机密钥加密技术来保证非法用户获取不到本系统的任何配置信息，更谈不上修改系统的配置信息了。

除此之外，服务器和代理之间的通讯也采用了一次一密的随机密钥加密技术，使非法用户即使侦听到它们之间的传输内容也无法破译，以及无法冒充它们之间的通讯，从而保证系统运行过程的安全性。

3.2分布式检测

将系统程序和代理分布在两台独立的计算机中运行，其中系统程序被安装在内部安全的不提供任何服务的专用服务器中，从而保障了整个系统的安全完整性，使得整个京泰安全Web系统构成一个可靠的安全体系。

将系统程序安装在内部安全的不提供任何服务的专用服务器中，使得整个系统有了安全的基础。

因为若无安全基础，系统的安全将成为空中楼阁。

只有在安全的基础之上建立完备的先进的安全体系结构才能保障系统自身的安全，使系统能安全的工作，才能使系统出色地完成保护站点安全的任务。

3.3自动恢复

当任何受到保护的网页被非法修改或删除时，系统都能及时准确地探测到，并能自动启动对应的操作，使被修改或删除的网页立刻得到自动恢复。

本系统除了可以恢复被修改或删除的网页外，对用户选择保护的站点目录也有自动恢复功能，这使得当网站的某个目录甚至整个网站被黑客恶意删除时，也能准确地自动地正常地恢复。

以上这些操作均将不需要任何人工干预而由系统自动探测和恢复，同时将对应的记录写入日志中，备管理员日后查阅。

这样即减轻了管理员的压力，又加快了系统反应速度。

3.4系统自身安全保护

本系统具有完善的自身安全保护机制。

整个系统安全基础立足于内部安全的不提供任何服务的服务器。

然后由它来负责整个系统的安全。

因为它与代理之间使用一次一密的随机密钥加密通道，所以防止了黑客模拟代理与服务器的通讯，从而保证了代理和服务器连接通讯的安全。

这样服务器就能够及时准确知晓WWW服务器的运行状态，然后根据代理返回结果判断WWW服务器运行状态是否正常，并采用对应的操作。

除了必须保障系统运行的安全外，还必须保障系统数据的安全。

因此系统对服务端所有的数据都进行了加密处理，使非法用户“看不懂”、“改不了”。

若用户需要对京泰安全Web系统做任何操作都必须插入京泰安全Web系统配备的智能电子钥匙，以及输入正确的口令。

这样彻底防止了非法用户擅自修改京泰安全Web系统数据的可能。

3.5IC卡技术

本系统配备了一把方便的、嵌入IC卡技术的智能电子钥匙。

对京泰安全Web系统做任何操作都需要插入该智能电子钥匙，并输入正确的口令，系统才能正常运行。

当系统发现智能电子钥匙口令多次输入不正确后，自动锁死系统。

当系统正常运行时，可以拔掉智能电子钥匙，这样，杜绝了管理员以外的人通过计算机和网络获取智能电子钥匙中重要信息的可能。

即便管理员不慎遗失智能电子钥匙，由于别人不知道智能电子钥匙口令和内部结构，仍然无法读取内部重要数据，从而进一步保障了系统的安全性。

3.6多种保护方式

本系统采用只读、追加和整个目录只读等多种方式来保护网页文件和网站目录，不同的保护方式保护程度不一样，即安全和恢复程度不一样。

用户可以根据不同的需要，对不同的保护对象赋予不同的保护方式，系统将相应的采用不同的恢复机制。

使网站在安全性和由安全付出的代价之间得到一个平衡，获得最佳情况，使京泰安全Web系统和计算机中其他系统都能充分发挥各自的作用。

本系统除了保护网页外，还能自动发现非法用户擅自在网站中增加的文件、目录，并将对这些东西自动清除，从而保护网站资源不被非法用户使用。

同时，系统还提供完备的日志，记录系统操作和网站内容发生的一切变化，供管理员参考。

3.7适用范围广

本系统采用了安全的体系结构，适用范围非常广泛。

它的结构简单，既适合各种WWW站点的环境，例如：

Apache、MicrosoftInternetInformationServer等，又可以和其他安全保护机制共存，例如：

防火墙等。

同时，本系统的代理有多种操作平台的版本，例如：

Windows®

、Solaris®

等。

3.8高效服务能力

最大限度的减少为了安全而付出的服务能力下降的代价。

通过高效的安全设计，使得系统服务性能的下降只在5%以内。

3.9保护内容容量大

因为采用了专用的服务器，从而使得备份数据不占WWW服务器的磁盘空间，并提供了大容量的备份空间，被保护的内容容量可达到18GB。

3.10限定服务器地址

用户必须指定合法的京泰安全Web服务器的IP地址。

代理将只与合法的服务器进行通讯，对于非法的服务器将不于理睬，这样避免了非法用户使用非法服务器干扰代理的运行。

3.11服务器实时报警

京泰安全Web系统捕捉到异常事件时，系统能够为管理员提供实时的可视化报警信息。

管理员可以结合报警信息和日志内容迅速发现WWW服务器是否受到攻击，以及攻击的时间等。

对于紧急事件，系统将通过电子邮件主动通知管理员，使管理员能及时处理。

4应用示例

京泰安全Web系统既可为了保护网页的安全单独使用，又可为了保护整台计算机的安全和其他安全机制混合使用。

用户可以根据不同的需求选择不同的安全解决方案。

4.1简单的Web保护方式

京泰安全Web系统是一个对网页进行安全保护的独立的完善的系统，因此可以在现有的WWW服务器基础之上增加京泰安全Web系统（如图4.1所示），这样既安全又经济。

图4.1简单Web保护方式

4.2通用的Web保护方式

大多数WWW服务器已经受防火墙保护，同样也不妨碍京泰安全Web系统发挥其强劲的保护功能（如图4.2所示），这样对WWW服务器来说就是双保险，如果黑客攻破防火墙，也休想篡改网页。

图4.2一般Web保护方式