发布时间 : 星期一 文章安全隔离与数据交换建设方案建议更新完毕开始阅读56b25cedaeaad1f346933f61
附件三
华能集团内外网安全隔离与数据交换
建设方案建议
国家信息中心信息安全研究与服务中心
2008年12月-北京
目 录
1. 2. 3. 4.
应用背景 ............................................................................................................................................... 2 安全隔离系统简介 ................................................................................................................................ 2 技术架构比较 ....................................................................................................................................... 3 基本功能 ............................................................................................................................................... 4 4.1. 4.2. 5.
信息交换功能 ........................................................................................................................................ 4 安全控制功能 ........................................................................................................................................ 6
部署方式 ............................................................................................................................................... 8 5.1. 5.2.
内外网统一部署 .................................................................................................................................... 9 根据应用分别部署 ................................................................................................................................ 9
6. 应用实现方式 ....................................................................................................................................... 9 6.1. 6.2. 6.3. 6.4. 6.5.
OA系统隔离 .......................................................................................................................................... 9 数据库信息交换隔离 .......................................................................................................................... 11 邮件系统隔离 ...................................................................................................................................... 12 网银应用隔离 ...................................................................................................................................... 13 内网补丁升级 ...................................................................................................................................... 14
1
1. 应用背景
众所周知，以防火墙为核心的网络边界防御体系只能够满足信息化建设的一般性安全需求，却难以满足重要信息系统的保护问题。对于重要信息系统的保护，我国历来采用了物理断开的方法，国家保密局在《计算机信息系统国际联网保密管理规定 》中将涉密信息系统的安全防御要求定格为与任何非涉密信息系统必须“物理断开”。断开了就安全的（事实上也并非如此）。但是，断开了却严重影响了业务信息系统的运行。
目前，华能集团在信息化建设当中已经明确了双网建设原则，重要业务系统、日常办公计算机都处于内部网络，而一些业务系统，例如：综合数据库系统、OA系统、邮件系统和网银系统、防病毒恶意代码升级、操作系统补丁升级等，所需要的基础数据却来自外部业务网络，甚至互联网络。物理断开造成了应用与数据的脱节，影响了行政执行能力和行政效率。实际断开不是目的，在保护内部网络的适度安全情况下，实现双网隔离，保证数据的互联互通才是真正的目的。安全隔离系统就是为此开发的。
2. 安全隔离系统简介
安全隔离与信息交换技术（GAP）。这种技术在1993年由Myong H.Kang在“A Pump for Rapid, Reliable, Secure Communication”一文中提出，并在1996年对这种概念进一步深化为一种适于网络应用
2
的“数据泵”技术。
GAP技术是一种什么技术？从字面上理解，可以译为“缺口、豁口”，即在两个网络之间形成一个缺口。有了缺口当然就能保证安全。也有将GAP译为“Gap All Protocol”的说法，表明这个“缺口”不是什么都不让通过，而只是将协议隔离，应用数据还是可以利用这个缺口通过安全方式交换的。遵从这种理解方式，如Myong H.Kang所刻画，GAP应该是一个三系统的设备：一个外端机、一个内端机、一个中间交换缓存。内外端机用于终止网络协议，对解析出的应用数据进行安全处理。同时能够通过中间的交换缓存通过非TCP/IP协议的方式进行数据交换。
3. 技术架构比较
目前，安全隔离产品主要为三层构架和二层构架，三层架构包含内网单元、外网单元和独立的隔离硬件，内外网单元通过独立的隔离硬件进行数据交换；二层架构只有内外两个处理单元，无独立的隔离硬件，内外网单元通过网络接口、USB接口等进行数据交换。
从安全架构上看，采用三层架构安全隔离产品的安全性要高于二层架构的安全隔离产品。在功能上两种架构的安全隔离产品却相差不多。性能上采用三层架构要高于二层结构的安全隔离产品。价格上采用三层架构要比二层架构的安全隔离产品高很多。
3