网络安全分级防护解决方案.docx
- 文档编号:9550700
- 上传时间:2023-02-05
- 格式:DOCX
- 页数:14
- 大小:121KB
网络安全分级防护解决方案.docx
《网络安全分级防护解决方案.docx》由会员分享,可在线阅读,更多相关《网络安全分级防护解决方案.docx(14页珍藏版)》请在冰豆网上搜索。
网络安全分级防护解决方案
NetPorter网络安全分级防护
解决方案
北邮英科(北京)信息技术研究所有限公司
2008年5月
1概述
随着信息的发展,信息化成为政府、金融、电信、电力、公安、税务等行业的重要课题,根据信息保密的程度,不同级别的用户访问的信息是不一样的,所以信息的安全是我们目前重要的环节,根据信息的保密程度不同,我们采取对不同级别的信息进行分级防护是我们目前的重要课题。
为了使不同级别的信息得到保护,在网络隔离与信息交换的基础上进行安全数据管理,流转。
北邮英科已研制成功网络隔离与信息交换系统NetPorter产品系列。
该系统从芯片、硬件平台到软件系统都拥有完全自主知识产权,在国内率先提出并实现了三网隔离与信息交换,并申请了多网隔离的发明专利(专利名称:
多个不同安全等级网络之间的隔离方法与隔离开关装置,专利号:
2.3)。
该系统已经通过公安部、中国信息安全产品测评认证中心、国家保密局、中国人民解放军信息安全测评认证中心的测试认证。
2.NetPorter分级防护介绍
根据不同业务的保密程度不同,NetPorter网络隔离与信息交换系统可以将保密程度不同的业务进行保护,并只具有相关业务的权限的用户才可以访问相关的业务服务器。
其具体的拓扑图如下:
上图说明了,总经理可以访问服务器、财务系统、销售系统,财务部的员工可以访问财务系统;销售部可以访问服务器、销售系统;技术部只能访问服务器;合作伙伴只能访问公司内部WEB服务器,办事处用户可以访问内部的服务器。
其具体的实现方式如下:
由于总经理是一个企业的最高领导,应该拥有访问所有资源的权限,所一在NetPorter网络隔离与信息交换系统可以将总经理的IP与mac绑定,再配置规则应数据交换规则,指定客户端地址为总经理的IP地址,并且在规则里允许总经理在任何时间都可以访问企业所有的服务器资源。
财务部的业务范围只能是财务,属于机密部门,所有办公都在财务系统上,所以财务部员工只允许在上班时间访问财务系统。
其他服务器不允许访问。
销售部员工主要从事销售工作,同时可能需要访问公司的网站、以及FTP服务器,所在网闸上配置销售部的应用数据交换规则,保证销售员工在上班时间能够访问销售系统,公司网站、FTP服务器等。
技术部员工由于只是从事技术方面的工作,所以只需要访问WEB、FTP服务器。
财务系统、销售系统不允许访问。
由于办事处的销售员工也需要访问销售系统,所以需要在NetPorter网络隔离与信息交换系统上配置一条办事处员工在上班时间可以访问总部的销售系统的规则。
保证办事处销售员工能够访问总部的销售系统,使公司领导能够及时了解办事处销售的业绩状况。
由于合作伙伴只是一个外部企业,不属于公司的一分子,所以,我对合作伙伴要进行资源访问的限制,所以只允许合作伙伴访问公司的WEB服务器。
在NetPorter网络隔离与信息交换系统上配置一条应用数据交换规则,保证合作伙伴能够访问公司网站。
3NetPorter网络隔离与信息交换系统的优势
3.1高安全性
具有完全自主知识产权,从芯片到硬件到软件系统完全自主开发,不存在利用设备“后门”进行攻击的危险,不存在安全隐患。
采用独有的安全隔离开关芯片,保证被隔离的两个网络或者多个网络在任何时刻都不产生物理连接;独有的安全隔离开关芯片,不具备任何通用可编程性,能够完全防范攻击者利用已知的设备驱动程序侵入受保护网络。
采用自主加固的安全操作系统内核,所有不需要的功能全部被裁减,完全为网络隔离与信息交换系统量身定制,具有极高的安全性。
业务采用模块化设计,不需要的业务模块不加载。
越简单,越安全。
使被隔离的两个网络之间协议完全终结,采用私有数据传输协议进行数据交换,自身具有强大的抗攻击与防病毒能力,不仅能够防范已知的攻击手段,也能防范未知的攻击手段。
采用独创的工作进程保护机制,防止黑客入侵与跟踪。
3.2高可靠性
沿用了电信级整机可靠性的系统设计,采用低功耗嵌入式CPU构架,整机功耗小于80W,在完成相同工作量的前提下,功耗越小,则整机系统的安全性越高。
整机无CPU风扇与电源风扇,可靠性得到较大的提升:
因为风扇为机械部件,在长期运转过程中,其寿命远远小于电子部件。
而且CPU风扇不能冗余,一旦故障,则整个系统崩溃。
双电源冗余热备份,控制界面可实时检测电源与风扇的运行状况:
如果一个电源发生损坏,虽然系统还能正常工作,但要求管理员必须知道这个信息,从而及时进行更换处理。
如果不能通知管理员,则有电源故障后,系统可靠性将会降低。
3.3高交换速率
具有完全自主知识产权的动态缓冲器切换管理技术,并采用DMA技术与流水线处理技术,达到以太网的极限交换速率;独创高效任务调度算法及专利,在上千个任务同时工作时仍能保持峰值交换速度;具备完善的流量控制能力,对内外网速度的严重失配具有很好的控制效果。
3.4三网隔离
国内首家提出并实现三网隔离方案,并拥有三网隔离(多网隔离)的核心发明专利。
是首家获得公安部三所销售许可证的三网隔离产品,首家通过中国信息安全产品测评认证中心测试认证的三网隔离产品,首家通过军队信息安全产品测评认证中心测试认证的三网隔离产品,并获得安全级别B级,这是目前通过认证的最高安全级别。
满足综合防御、等级防护要求,可对核心数据与关键业务进行更高安全级别的保护。
3.5易管理性
在各网络被隔离的状况下,独创实现多处理主机的同步管理方法及专利。
可进行方便安全的配置管理,界面友好,易操作,可通过web配置界面完成所有的配置操作。
4.NetPorter网络隔离与信息交换系统主要功能
4.1安全可靠的隔离技术
北邮英科自主研发的安全隔离芯片确保了两个网络之间在任何时刻完全物理隔离,网络之间的信息交换都在建立好的信息通道上进行,信息的交换完全由硬件控制器控制完成。
安全的操作系统是安全的基础,网络隔离与信息交换系统NetPorter的操作系统以国产Linux为基础,防止了其他类型操作系统的恶意嵌入间谍代码。
经过自主加固,操作系统具有较强的自我防护能力,能够抵抗DoS与DDoS的攻击,防止缓冲区溢出的攻击。
针对内、外网安全特性,NetPorter对外加强入侵防护,对应用层数据施行病毒查杀,防范网络的攻击与病毒的传染;对内加强身份认证,内容过滤等措施,防范信息的泄漏。
4.2电信级体系架构
网络隔离与信息交换系统NetPorter采用电信级体系架构,高安全、高可靠。
使用嵌入式主板、嵌入式CPU,CPU的功耗只有5W,不需要CPU风扇,整机功耗也只有80W,低于一般工控机的功耗300~400W,产品的可靠性大大提高。
电源是易损部件,电源损坏将导致设备停止工作,NetPorter支持双电源热备,一个电源损坏,另一个电源自动工作,设备不会掉电;另外,NetPorter支持风扇状态告警,当风扇出现故障,及时告警,及时更换,确保设备正常工作。
4.3三网隔离
网络隔离与信息交换系统NetPorter在支持两网隔离的同时,支持三网隔离,满足不同的用户需求,特别是在电子政务应用中,网络中既有为公众提供政府信息服务的服务器,又运行着内部办公业务,对网络的安全要求不同,所受到的网络攻击也不同,需要进行等级防护,一台NetPorter将内部业务网、信息服务网与互联网完全隔离,在网络之间只建立用户需要的信息通道,根据用户需求配置访问策略,只能受控信息交互,既满足用户的业务需求,又保护了网络安全,真正地实现了电子政务的前台受理、后台处理的运行模式。
4.4高安全的系统防护
网络攻击者的手段之一是在被攻击设备上跟踪进程执行,分析配置文件与过程文件,寻找系统的漏洞并予以攻破。
所以NetPorter主要采用以下手段进行进程的安全防护:
●进程隐藏:
对于PS等进程查看指令,只能看到少部分系统进程;
●进程注册:
系统进程启动后,所有新启动的进程都要执行向设备硬件监控模块的注册动作,如果该动作不成功,则不能启动任何新的进程;
●注册表保护:
硬件监控模块内存放允许启动的用户进程标识,该模块只能通过特殊的硬件编程接口并施加特定的编程电压才能进行修改;
●进程防跟踪:
每个用户在运行过程中都需要定期向硬件监控模块发送状态码,如果长时间没有响应,则会导致整个系统重新启动。
通过以上多种技术手段的综合防护,大幅度提高了NetPorter操作系统级的安全防护能力,为整个系统的高安全等级防护打下了良好的基础。
4.5应用协议支持
NetPorter支持多种应用协议,针对应用协议特性采取不同的安全策略,对交互的信息进行严格的过滤检查。
●HTTP/HTTPS协议
NetPorter不仅支持基于HTTP协议的Web访问,还支持安全性更高的基于HTTPS的Web访问,如网上银行网站。
NetPorter在HTTP/HTTPS上的安全策略有:
Ø用户在每次打开新的Web浏览器窗口时都需要进行身份认证;
Ø基于用户、IP地址、IP/MAC、时间段的访问控制;
Ø提供URL过滤、内容过滤;
Ø恶意代码过滤,如ActiveX、CookIE、JavaApplet、JavaScript等;
Ø记录每次的浏览的详细日志。
●电子邮件
NetPorter支持SMTP与POP3邮件协议,用户可以使用客户端邮件软件通过本系统安全收发互联网上的邮件。
用户可以根据业务要求开放或禁止通过网站收发邮件。
NetPorter在电子邮件上的安全策略:
Ø基于用户、IP地址、IP/MAC、时间段的访问控制;
Ø完全白盒控制策略,只有合法的用户与邮箱才能进行电子邮件收发;
Ø对所有经过NetPorter的邮件进行病毒查杀;
Ø对所有经过NetPorter的邮件进行内容过滤、附件过滤、附件类型过滤;
ØPOST操作限制,如不允许用户通过Web网站方式发送邮件;
Ø记录每次邮件的详细日志。
●FTP协议
对FTP的控制通道消息进行完全的解析,动态建立与删除数据通道,并对所有FTP传输数据进行内容过滤,及时中断非法FTP文件传输。
记录每次的操作行为。
Ø完全基于应用层的FTP协议分析与终结;NetPorter将Client与Server隔离开,Client不能直接与Server建立TCP连接,防止针对Server的协议漏洞攻击与拒绝服务攻击;
Ø对于客户端与服务器可进行PASV与PORT方式的转换,保证在连接服务器时总是采用PASV方式,保证受保护网络的高安全性;
Ø用户认证策略可配置为不认证、用户名/口令认证、用户名/口令/IP地址等认证方式;
ØNetPorter的用户认证功能要求操作人员手工输入用户名与口令,防止病毒软件的自动非法获取文件;
Ø用户只能使用指定的FTP命令,防止越权操作文件;
Ø提供文件类型过滤功能,对FTP文件传输的类型进行控制;
ØNetPorter对Client可访问的FTP站点进行限制,防止Client用户越权访问其他服务器。
●高安全文件交换
文件交换模块主要用于两个文件服务器(或者普通计算机启动FTP服务)之间文件的同步传送。
如下图所示,两个服务器分别连接NetPorter的两个网络,经过配置,NetPorter定期检查FTP服务器A上的指定文件(或者制定目录中的文件)是否发生了改变,如果改变,则将该文件获取到本设备,再安全交换到另外一个网络,最终更新到FTP服务器B。
本模块对两个网络而言具有很高的安全性,两个网络的任何主机都不能主动发起访问到另外一个网络,只有NetPorter能主动访问两个文件服务器,而且两个网络之间还是通过私有硬件与私有交换协议进行文件数据交换,从而可达到在保证高安全性的基础上进行高效率的文件交换。
功能描述如下:
Ø保证整个数据交换过程只有NetPorter具有主动发起请求的能力,不存在任何其他可穿越通道;
Ø支持单个文件交换与整个目录的交换;
Ø可以配置多条交换规则,多条交换规则同时工作;
Ø能自动判断源目录文件是否发生改变,如果发生改变,则更新到目的服务器;
Ø定时查看源文件(或者源目录)状态,定时时间间隔可设置(针对每条规则);
Ø支持文件通配符选择,只交换特定文件名格式(后缀、前缀等)的文件;
Ø可将源目录文件的删除操作同步到目的服务器目录,即如果源目录中的一个文件被删除,则目的服务器目录中的相应文件也将被删除;
Ø支持文件交换完成后将源目录中的文件删除或不删除,可配置;
ØFTP服务器软件可采用商用标准的FTP服务器,也可采用北邮英科自主开发的专用FTP服务器端软件(具备强认证、数据通道加密等方面的优势);
Ø定时或实时同步、单向、双向同步;
Ø提供内容过滤功能;
Ø对每次的交换动作进行详细的日志记录。
●高安全数据库访问
数据库访问模块提供安全的数据库访问通道,允许一个网络的数据库客户端安全的访问另外一个网络的数据库服务器。
模块提供如下功能与安全特性:
Ø支持常见数据库访问,如Oracle,SQLServer、Sybase等;
Ø支持Oracle数据库的TNS协议解析,支持数据通道的动态打开与关闭;
Ø支持服务器模式与网关模式:
服务器模式是客户端访问NetPorter的网络接口IP地址与配置端口号,根据配置规则,NetPorter会重新发起请求访问另外一个网络的服务器与端口,通过端口映射的方式保护服务器网络,隐藏服务器网络所有的网络结构与网络参数配置;网关方式是一个网络中的客户端直接访问另外一个网络的服务器地址,但网关为NetPorter,NetPorter终结这个请求,并在另外一个网络重新发起请求,访问数据库服务器;
Ø用户认证策略可配置为不认证、用户名/口令认证、用户名/口令/IP地址等认证方式;
Ø支持SQL语句过滤;
Ø对每次的交换动作进行详细的日志记录。
●高安全数据库同步交换
数据库交换模块主要用于前台数据库与后台数据库之间的实时数据同步。
前台数据库布置在安全性低的网络,接收用户提交的数据记录。
NetPorter的数据库同步模块负责将前台数据库的数据实时向后台数据库同步,而且将后台数据库中处理的结果返回给前台数据库。
其系统结构如下图所示,图中,前台数据库(源数据库)与后台数据库(目的数据库)分布在被NetPorter隔离的两个网络,每个数据库都有多个表组成。
NetPorter的数据库交换模块将根据配置将原表中的相关字段同步到目的表的对应字段。
在下图中,表1的内容将会被同步到表3,表2的内容将会被同步到表4,而且只有配置的字段才会被同步。
数据库同步功能描述如下:
Ø仅由本设备发起数据库访问,不提供任何其他的可穿越通道,保证两个网络之间的高度安全隔离;
Ø支持Oracle、SQLServer、Sybase与MySql四种数据库的访问(作为源数据库或者目的数据库);
Ø支持四种数据库类型的同构交换(同类型数据库之间交换)与异构交换(不同类型数据库之间的交换,比如Oracle数据库到SQLServer数据库之间的交换);
Ø支持同步过程中字段名的更改(源表中的字段名同步到目的表中的另外一个字段名,但要求字段类型相同);
Ø支持一个数据库中多个表的同步交换;
Ø支持双向数据库同步;
Ø支持记录插入操作的同步、支持记录更新操作的同步、支持记录删除操作的同步;
Ø支持同步过程中主键冲突的检测与解决;
Ø支持同步过程中外键冲突的检测与解决;
Ø对每次的交换动作进行详细的日志记录。
●消息模块
NetPorter消息模块可以提供与上层应用系统无缝衔接的API程序接口,使内外网的业务应用融为一体,而内外网需要交换的数据由网闸完成并确保从物理链路到应用的整体安全。
●其他应用
NetPorter除支持常见的应用协议,还可以根据用户的需求快速定制开发新的应用。
4.6路由与透明网桥工作模式
NetPorter不仅可以工作在路由工作模式下,不同的网络处于不同的网段,网络之间的信息交互都通过网络层;而且可以工作在透明网桥工作模式下,NetPorter将同一个网段分到不同的网络中,用户终端不需要更改任何配置,而NetPorter利用网络隔离技术已将重要信息保护起来。
路由与透明网桥工作模式的支持提供了无须中断现有的网络地址或服务而无缝地接入NetPorter并提供安全性的能力。
4.7IP、IP/MAC、用户名、时间段访问控制
NetPorter不仅可以防范外部的网络攻击与病毒感染,而且对内部网络通过严格的访问控制与应用层数据检查,有效地阻止了信息的泄漏。
NetPorter可以基于IP地址、IP/MAC绑定、用户名/口令、时间段来验证用户是否是合法身份与有效权限。
IP/MAC的绑定可限定IP地址只能在一台指定的用户终端上使用,阻止了内部网络用户擅自修改IP地址,以获取一个特定的IP地址来进行相应的网络应用的行为。
IP/MAC绑定+用户名/口令可以保障合法用户在指定的终端上的应用权限,加上完善的日志管理,大大地提高了网络的安全管理。
4.8PPPOE/宽带接入方式
NetPorter的PPPOE模块专为ADSL/ISDN等拨号接入的用户而设计,利用PPPOE协议,NetPorter可以方便地接入拨号网络,提供安全的网关防护功能。
NetPorter的PPPOE支持开机自动拨入功能,极大地方便了用户的使用,支持动态修改用户口令功能,断线自动重连功能保证了拨号接入网络的可用性。
4.9负荷分担与双机热备
NetPorter处于网络之间的连接处,其可靠性直接影响着网络之间的业务通讯,一旦NetPorter出现故障,网络间的业务通讯就会中断。
为了保证网络的高可用性与高可靠性,NetPorter提供了负荷分担与双机热备功能,即在同一个网络节点使用两台NetPorter。
正常情况下两台NetPorter都处于工作状态,负荷分担网络之间的业务流量,业务处理能力成倍提高。
当一台NetPorter发生意外宕机、网络链路发生故障、硬件故障等情况时,另一台NetPorter自动承担所有的通讯业务,并向网管报告,在网络管理员修理好故障NetPorter后,放入到网络中,两台NetPorter又自动负荷分担网络间的业务。
切换过程不需要人为操作与其他系统的参与,切换时间少于10秒。
NetPorter的HA架构设计基于增强的VRRP协议,为用户提供了最高可用性的产品,其HA功能具备以下特性:
●设备发生故障时自动切换;
●链路发生故障时自动切换;
●手工切换;
●切换时间小于10秒;
●用户可定制的负荷分担能力。
4.10日志审计
NetPorter提供完善的基于应用层业务的日志审计信息。
对于安全web浏览业务,每次访问都可以提供包括用户名,用户IP地址,请求的URL,请求的结果,本次请求获取数据的大小,访问时间(年月日时分秒)等日志审计信息;对于安全电子邮件收发业务,每次收发操作都可提供用户名,用户IP地址、发件人地址、收件人地址、收发结果、邮件大小、收发时间等信息;对于FTP业务、应用数据交换业务、数据库访问,都提供用户名、用户IP地址、访问目的服务器地址、访问结果、访问时间等日志信息。
大量的应用层信息可保证日志信息的客观性与完备性,从而获得准确、详尽的访问过程回溯,保证了信息安全。
4.11安全管理
NetPorter的系统管理采用基于HttpS的Web管理界面,引导式配置管理,不需要复杂的规则配置,网络管理员只要将网络的安全要求按照系统管理软件的提示输入即可。
NetPorter利用网络隔离技术有效地防范了网络攻击,安全性不依赖于规则的配置,这样,不需要网络管理员去维护规则库,大大地降低了网络管理的复杂度。
NetPorter支持系统的模块升级与版本升级,在不影响NetPorter正常工作的情况下,能够从网络对系统版本进行升级。
设备的安全首先是管理安全,一旦设备被非法控制,则整个系统的安全性将会遭到彻底的破坏。
NetPorter的管理安全主要措施如下:
●管理只能从内网发起,防止外网恶意用户的攻击控制;
●管理采用Https加密方式,即使内网用户采用sniffer类抓包工具也不能得到管理内容;
●管理只能从固定的终端设备上发起(系统管理员与日志管理员),依靠IP地址与MAC地址的绑定来识别合法的管理者;
●采用高强度的密码保护机制,如果连续三次输入错误密码,则将管理连接挂起,防止对密码的暴力破解;
●系统管理员与日志管理员分权管理,互相监督,可以查看对方的近期操作。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 网络安全 分级 防护 解决方案
![提示](https://static.bdocx.com/images/bang_tan.gif)