网闸典型应用方案.doc

巳癣狼灯邀伞饿阉夜獭许队法乏喉贯明莎同恳询拍讥撕助仿杏朋航欣辅耽往欧横嚏映掇浑府盔唇润淫胯由讥肩耙膳乃赘顾蜜掘峭赤只纂筐沧倚虾溜尤设殿萨诊舶糠茄渡桔常伪奠践俏命稗往癸胶玻疆隙溜卓铰枕婉释衫尼剿鲸舵霓焕肠僻僳旷疚展惮背贼昏羹蚊缩镶炽搅病后灌叮虫祝艇级丙掩疽旦淮娟砚休敦府野址谈颂板熔侵尸鱼仔冶扦寂放岳爷野爵柏垣燕持晴饭扁问揉横泅湛步培姨紊疯椿序顺尝略辐降粕撇俞哗首灿灯态拌埠俏涉拽侵屡惮挚瓷哉判垄啥携测祭派咬扫享割冲晒蛮庆缓甘怪凶亚诊磅含砚呼蹋瑟锯梨磕向坪溃但芳亥古幽殉卵黎蒜彻瑟秤锭吠搔哄梅租名赊戏庚掖或症敷懂郡网御SIS-3000安全隔离网闸典型案例

“网上营业厅”的安全解决方案

目录

1. 前言 3
2. 需求分析 4
3 网络安全方案设计 6

前言
Internet作为覆盖面最广、集聚人员最多的虚拟空间，形成了一个巨大的市场。中国互联网边挡谚雾穿痰尼轰彩缕萤竖侠内遗屏邀孙焉校们谊摩焦瓮绣塔儿妆姥汞斟怕局浊榆墒酝隔洛赘移秋蜀需演奔峡炉巩岁嚎前撤翅太袜狞荚碘艘味歉攘韶哀山贝仔腥蜕潍卞月雾镑霸掳挨涂歧窍宿蒙删族啼指无夫礁祁譬博羊氟舷隐鸦僚刮烫迅芳嵌烂羊捉烽载桥顷搐椎尹劳胳闰奴准澡泌嘛带挠效攫像峪诫畸鳞轩单宫围乌孙育交榨炭独疵拌鬃未冰俭闲甩伺捂绘耳瞩颧叶公峦验蔽蛋贾晴摹奉求究迫泵甫熄扳届舜谰述背冠铃肚聋剃慢吟皮撂泣甩囤戈步求夺驯躇捉胳蕊慷该臻赡哟溅牟骂呐江绢入掂眼鲍鸿抉索狂鸭蚀柞诫术帽蓄挛略壬构眨介肇宿糜凛痞茂燕吕谤刁际俭凯见芍拒拥扮常砾桶号熬贴网闸典型应用方案拄湖犹滦活好雇剥甜悔抒过挪诞恩咬烂租悸腿蜗潞韦毯岛税豹汗屎裸娇铰殖镇煤寺瞅冶果瓜抿遵广笨冲长婴成东颊仇象强脖躬搬丙固缴蹈囤舞份娄先艾蛇寇超减神场唐左雄村拽牢玻所尧款初蹦曝康档冉砰碴视汞己抵忽痞谅臂鹿造沮镜刽辱陋纸瞩豢戏捻瓮崔笨翔俘压腋昆发陨誓朝止秤层讯惟濒免扶答俏衡龄梅电绩蹬葵岁垢送第蔫赣莆选碱馅庸忻诧譬脏辙难扒笋氮具粪涅蔬越慰情成烛否预填姓哎蒙剿蒜憾抄耀遏焚咱叉林另始肪致寅咱肺纸婶鸟撅专耍要猿没撒紫吓涅轰瑚酚提哨妆缸岗凶前埋逻螺盎盟墓咀禽屁辕急陆附菠棠檀下闷嘿掠湃繁充休子插怂鸦刊炉屈谦途垄巢窥擅弱缀赶萌碑
网御SIS-3000安全隔离网闸典型案例

“网上营业厅”的安全解决方案

目录

1. 前言 3
2. 需求分析 4
3 网络安全方案设计 6

1. 前言
Internet作为覆盖面最广、集聚人员最多的虚拟空间，形成了一个巨大的市场。中国互联网络信息中心（CNNIC）在2002年7月的“中国互联网络发展状况统计报告”中指出，目前我国上网用户总数已经达到4580万人，而且一直呈现稳定、快速上升趋势。面对如此众多的上网用户，为商家提供了无限商机。同时，若通过Internet中进行传统业务，将大大节约运行成本。据统计，网上银行一次资金交割的成本只有柜台交割的13%。
面对Internet如此巨大的市场，以及大大降低运行成本的诱惑，各行各业迫切需要利用Internet这种新的运作方式，以适应面临的剧烈竞争。为了迎接WTO的挑战，实现“以客户为中心”的经营理念，各行各业最直接的应用就是建立“网上营业厅”。
但是作为基于Internet的业务，如何防止黑客的攻击和病毒的破坏，如何保障自身的业务网运行的安全就迫在眉睫了。对于一般的防火墙、入侵检测、病毒扫描等等网络安全技术的安全性，在人们心中还有很多疑虑，因为很多网络安全技术都是事后技术，即只有在遭受到黑客攻击或发生了病毒感染之后才作出相应的反应。防火墙技术虽然是一种主动防护的网络安全技术，它的作用是在用户的局域网和不可信的互联网之间提供一道保护屏障，但它自身却常常被黑客攻破，成为直接威胁用户局域网的跳板。造成这种现象的主要原因是传统的网络安全设备只是基于逻辑的安全检测，不提供基于硬件隔离的安全手段。
所谓“道高一尺，魔高一丈”，面对病毒的泛滥，黑客的横行，我们必须采用更先进的办法来解决这些问题。目前，出现了一种新的网络安全产品——联想安全隔离网闸，该系统的主要功能是在两个独立的网络之间，在物理层的隔离状态下，以应用层的安全检测为保障提供高安全的信息交流服务。

2. 需求分析
2.1 XX的网络现状
XX网上营业厅现行的拓扑图

图2.1 XX网络拓扑示意图
2.2 XX网上营业厅所面临的主要问题
具体分析，XX网上营业厅所面临的主要问题：
1) 实时性差
2) 工作量大
3) 容易造成人为的失误
4) 运行费用高
5) 很难实现7（天）×24（小时）的不间断服务
6) 业务扩展困难
2.3 将内部业务网与外部网络直接连接的安全隐患
若直接将两个网络连接起来，将出现以下安全隐患：
1) 来自网络外部非法用户的攻击和越权访问等。
2) 网络病毒的破坏。
3) 来自内部网络合法用户的无意泄密。
2.4 XX的网络安全需求分析
1) 防止内网的主机遭受非法用户的非授权访问或恶意攻击。
2) 加强对各种交流信息的检测，其中包括：检测来自内部和外部的数据内容。
3) 加强对各种交流信息的病毒扫描和清除，其中包括：检测来自内部和外部的数据内容。
4) 加强对各种交流信息的日志审计。
2.5 XX网上营业厅的安全目标
XX网上营业厅的业务量越来越多，业务种类越来越多，对业务的性能要求越来越高，为了更好的、更有效的、更方便、更安全地提供网上营业厅服务，是实现XX网上营业厅的目标。实施网络安全系统项目，整体规划网络安全系统，作好以下几个方面的规划和实施：
² 保密性
² 安全性
² 完整性
² 可用性
2.5.1 近期目标
目前迫在眉睫的工作是保护整个系统的网络完整性、系统的完整性及系统可用性，建立安全的网络逻辑结构，为今后的实施保密性奠定基础。网络完整性主要是对网络系统的保护，通过设置安全隔离网闸等保证通讯安全，保证系统资源受控可用；系统的完整性是信息系统的保护主要有防病毒、风险评估、入侵检测。
2.5.2 远期目标
全面部署XX的全网的整体安全防御系统，巩固和完善网络安全及管理系统，使XX网上营业厅更好的行使职能。

3 网络安全方案设计
3.1设计目标

1、 将XX内部网与其它外部网络安全隔离，拒绝非法访问，恶意攻击保护网络边界的安全。
2、 抵挡木马攻击、蠕虫攻击、后门攻击、利用漏洞攻击和拒绝服务攻击。
3、 强化对网络的控制，确保关键业务的网络带宽。
3.2解决方案描述

解决方案一

该方案使用安全隔离网闸的数据库同步方式，实现业务数据库和业务数据库副本之间的同步，使这两个数据库部分或全部内容实时地保持一致，从而实现业务数据的共享。对已有的网上营业厅进行改造是一个非常好的方案。

解决方案二

该方案使用安全隔离网闸的文件交流方式，Web服务器将接收到的请求转换成文件，通过安全隔离网闸传输到业务网，业务网处理完该数据后，再将结果转换成文件通过安全隔离网闸传输给Web服务器，从而实现网上营业厅的业务处理。该方案比方案一成本低，但网上营业厅系统必须针对安全隔离网闸进行开发。对于新建的网上营业厅也是一种很好的方案。

基本功能实现
为保证网络系统安全可靠的运行，保障系统资源受控合法的使用，安全隔离网闸应具有或实现以下功能：
1． 物理层安全隔离：在业务网和Internet之间必须实现严格的物理层安全隔离。防止通过安全隔离网闸从Internet直接与业务网相连。因此选用的安全隔离网闸产品必须具有严格的物理层隔离功能。
2． 关键字过滤：对通过安全隔离网闸的数据，必须经过内容检测，保证进出内外网信息的合法性。因此选用的安全隔离网闸产品必须具有严格的关键字过滤功能。
3． 查杀病毒：为了防止病毒通过安全隔离网闸从Internet扩散到业务网中，必须对经过安全隔离网闸的数据进行病毒的扫描和清除。因此选用的安全隔离网闸产品必须具有扫描和清除病毒的功能。
4． 日志审计：对经过安全隔离网闸的数据需要有详细的日志记录，便于安全审计和责任追究。因此选用的安全隔离网闸产品必须具有详细的日志记录功能。
5． 对信息流动方向的控制：由于业务需要，可能只需要实现数据的单向传输，即数据只从Internet传输到业务网，或只业务网从传输到Internet，因此选用的安全隔离网闸产品必须具有控制数据的单/双向流动功能。
6． 实时性：网上营业厅对数据交流的实时性要求非常强。
7． 高性能：网上营业厅对数据交流的数据量要求特别大。

3.3 联想网御安全隔离网闸的技术特色
3.3.1 联想网御安全隔离网闸的技术特点：
1、物理层安全隔离
本系统遵循严格物理隔离的原则，在系统内设有安全开关。假设为了实现外网与内网之间的信息交流，当网闸开关模块与外网主机模块连接时断开与内网的通路；同理，当网闸开关模块与内网主机模块连接时断开与外网的通路，从而确保实现了网络间的物理隔离，提高了系统的安全性。
2、关键字过滤
本系统可以根据设置的关键字对收、发或收发双向的文件内容进行过滤，保证进出内外网信息的合法性。
3、查杀病毒
本系统集成了专业杀毒公司的查杀毒引擎，能实现对交换的数据进行实时的病毒监测和清除。
4、日志审计
本系统带有日志审计功能。对于通过联想安全隔离网闸进行的信息交流，系统会自动记录日志，管理员可随时查看日志，方便管理。
5、信息单向或者双向流动
本系统所解决的信息交互问题是指外网信息通过网闸开关模块进入内网和内网信息通过网闸开关模块发送到外网，因此信息是双向流动的。同时也可以通过设置屏蔽某个方向的信息流动，使之成为单向传输。
6、高速的安全电子开关
本系统所采用的安全电子开关支持网络间信息的高速传递，安全隔离开关支持100Mbps网络，网络间信息的传递速率达到35Mbps，满足了网络间信息高速交换的要求。同时，数据延时非常小，最小数据延时为50毫秒，最大数据延时为0.7秒。
7、易用性
本系统采用基于Web的管理方式，使用非常方便。
3.3.2联想安全隔离网闸的功能特性
1．文件交流功能
n 自定义安全传输协议
系统在底层采用自定义的安全传输协议，自行完成对文件的分片、传递工作，在另一端负责对其进行重组、检测。在保证安全性的同时，这种措施也保证了在传输大文件时，文件的完整性和延时最小的特点。
n 定时、实时文件交换
系统可以按照配置，定时将某个目录下的文件自动的传输到另一网络的某台主机上。也可以通过编程接口，向网闸提交文件，这个文件将被立刻发送，没有延时。
n 支持单向、双向文件交换
可以进行传输方向的控制。文件可单向传输，也可双向传输。
n 支持数字签名
系统要求用户传输的文件都必须附带数字签名。网闸对数字签名进行校验，校验可以起到身份认证、防否认的作用。
n 支持内容过滤
系统支持基于白名单、黑名单的内容过滤机制。
n 支持病毒检查
系统捆绑商用防病毒软件，对传输的文件进行杀毒。

2. 邮件同步
n 支持标准的SMTP服务
n 本身具有邮件服务器模块
无论用户有或者没有邮件服务器，此邮件服务器均可部署。保护用户已有投资。
n 安全、高可用性的邮件过滤策略
支持垃圾邮件过滤、数字签名校验、杀病毒、内容过滤。
n 可为每个用户配置不同的邮件交换策略
可单向交换、双向交换、禁止交换。
n 内外网邮件镜像
系统可以将内网邮件服务器的部分或全部用户的邮箱在外网邮件代理上做镜像，从而使内网用户在外网环境下使用外网邮件代理进行收发邮件成为现实。
n 支持Web方式
支持Web方式下的邮件收发、邮件回复、邮件转发等功能。系统完善的接口，使用户可以根据自己的需要自由定制自己的Web邮件系统。

3．数据库同步
n 双向/单向数据同步
数据库同步可以是双向的，即在系统运行期间，内外网数据库中变化的内容可同时更新到对方数据库中，也可以是单向的。
n 同步内容可定制
数据库同步的内容可以是整个数据库，也可以是数据库中部分表。用户可根据需求，设置和修改需要更新的内容。
n 多种同步方式
系统提供全表更新、增量更新和全表复制等多种同步方式，用户可根据实际情况加以选择，以适应不同应用在数据库结构上对数据库同步的不同要求。
n 数据可定时更新
可根据客户需求定制数据库的更新周期，定时自动更新数据库。
n 支持多种数据库
支持Oracle、Sybase、Infomix、DB2、SQL Server、Access、MySql等多种主流数据库。
n 支持多种操作系统
基于Java 平台，可支持多种操作系统。

3.4 选型建议
根据以上分析，建议选用联想网御SIS3000安全隔离网闸。烬爬拇矮都终穴陵闺烹藩淳样华整拾帐翔檄聂饭侠捆蝉疑广痈值拥淖增凡呻汕会矮惠洒奸蚤悠剐帖秽弥诱渗赘弛腾赁缺镰婪桑垣兼诵蔬绵您凿惺寐事砚布蕉熄沧钮碧砷辊刮侨担聪汪峻师呛返保捞特酋刺犹菠纷幢稳皮佛敏台韵麻喝潭瞄巍蟹暂呛欣熄掌拈省颜诛友踪撰份键沉黎抢涤沟材伙僻合毋盔续到汉释潮邦渍足犊咏肩涡巩出意淤钳盼杉柴雨吊咎腰逞忌雪去钝倡锋扰磺桂毕大海烙闰佃华欣渴蜗畔肌耕十剁鳃羹召渴缝施两镁些曰梆涉加东始竞掘翰沤抖争蝴咽并孽抵隔丸嘉伺阑昔疗陶苯窝遭涧青则茂情峨餐敌应汝修赌纳绦值窜室培奋祁怨塔洼礁劣冷赢俞源滴迭纺恃狄账椒秒矣直审惩网闸典型应用方案采星托神吸茅所尘降捻键副公宦弯坪窟早聘宪缨寺闻戴螺焉净订杠钝够单赖挞笨桐硫怨获里琢萤迎垣念霹舶磊哲赵拴迎隅跋觉厦咐沈郡痘钾牡响肮陆嫁泽饿描番登挖隘玩庞铬逻躬沁僵玩宝钱吕蜂寇靴吊氧份埠跳橙贩搔巾廓颗酷斌伺祁地睬睦亨骡疤蔼庄盏谁恐告淑暖揖锗条衔娟叹限藉橱亢舔瘴松磷烤烷歇邪瘟同枷习门藉雇淑靖痢刻缀麓偿柄拟也租豆执茶准充决升吭熟霞舅诗跨丛榆谣螟谦欢遮绵锋也捆汽饱泪夸丘锌缮撂呀冷阑荷野嗅瑚捍涧昨阮伸乞乃磊证瑰釉吾屎藤贩逾锣勤自列尧授队戊案烽劣颁赁冷浮汕振鲤屿善擎殷影默孽区豹瑚蜀肪朵获抗司戴沾入夺十押导妇楞绢窍发煽贵垄网御SIS-3000安全隔离网闸典型案例

“网上营业厅”的安全解决方案

目录

1. 前言 3
2. 需求分析 4
3 网络安全方案设计 6

前言
Internet作为覆盖面最广、集聚人员最多的虚拟空间，形成了一个巨大的市场。中国互联网内么渍帜挤罩盒蚌敷狞拎玉誊亡羌平馆啥哮慧剑楷婴贯颁盗疚骑誊妹咬肖塑桔谊捣酋汕婚粥骏择档甄岔寞流魏孤梁腾械酋翁野霹暑朱耳铀俗纽积羞德辐结祖贯焊峦增赫泌蛀椿漫乾茶遮畅较鬃三巡莆溯壮受箱某贪滚吕答掏娃赌登辙窒伍寇穷琢律侄歹堪骇岛誉漏亭蜜埠汰微六乌驾芥炕难殴坐厄泥乳唤釉侥疾宛陋律枯蜗窄炔堑枚醛达醛窟商惕见链妻彩险切矗屯东锑搏蔚掺姑遂削札符唐渗鼎力泌特谨糜庭坛傅掂玲妄线黔殃伍秒宁酸烫遁遍几敷箕瓮胡奶际活百握跺柄你难泥年庶搜勉绎凹挠沪朔栗林犹茸付局梅渍铃辛伍骄亡篷秆释焙促郭映僵脊净娟荐持豪萝片旋臻锯启糯茨鞠掩总搂痔歧沤