安全隔離與信息單向?qū)胂到y(tǒng)光閘FGAP白皮書

深信服安全隔離與信息單向?qū)胂到y(tǒng)光閘FGAP-1000白皮書TOC\o"1-5"\h\z\o"CurrentDocument"1概述 1\o"CurrentDocument"需求背景 1\o"CurrentDocument"叮法規(guī)標(biāo)準(zhǔn)要求 1\o"CurrentDocument"2.1.1等級保護(hù) 1\o"CurrentDocument"2.1.2行業(yè)法規(guī) 3■V安全需求 3\o"CurrentDocument"2.2.1網(wǎng)絡(luò)復(fù)雜，如何整合 3\o"CurrentDocument"2.2.2安全隱患，如何規(guī)避 3\o"CurrentDocument"2.2.3涉密信息，如何傳輸 3\o"CurrentDocument"產(chǎn)品概況 45,1產(chǎn)品定位 4產(chǎn)品介紹 4\o"CurrentDocument"產(chǎn)品架構(gòu)與性能 4\o"CurrentDocument"4.1產(chǎn)品架構(gòu) 4\o"CurrentDocument"■T工作原理 5\o"CurrentDocument"產(chǎn)品功能與特性 6\o"CurrentDocument"M產(chǎn)品功能 65.1.1業(yè)務(wù)功能 6\o"CurrentDocument"5.1.2管理功能 9\o"CurrentDocument"5.1.3高可用性功能 10Y■產(chǎn)品特性 11\o"CurrentDocument"5.2.1高安全性 11\o"CurrentDocument"5.2.2高吞吐率 11\o"CurrentDocument"5.2.3高可靠性 11\o"CurrentDocument"5.2.4高便利性 12\o"CurrentDocument"產(chǎn)品優(yōu)勢與價值 12\o"CurrentDocument"產(chǎn)品優(yōu)勢 12\o"CurrentDocument"6.1.1簡便易用的界面風(fēng)格 12\o"CurrentDocument"6.1.2強(qiáng)大的業(yè)務(wù)功能 12\o"CurrentDocument"6.1.3咼穩(wěn)定性 12\o"CurrentDocument"6.1.4良好的環(huán)境適應(yīng) 13\o"CurrentDocument"產(chǎn)品價值 13\o"CurrentDocument"7產(chǎn)品應(yīng)用場景 13\o"CurrentDocument"■■.I文件單向安全上傳場景 13\o"CurrentDocument"7.1.1場景需求 13\o"CurrentDocument"7.1.2解決方案 13\o"CurrentDocument"7.1.3實(shí)現(xiàn)效果 14\o"CurrentDocument".叮法院信息系統(tǒng)勒索病毒防護(hù)場景 157.2.1場景需求 15\o"CurrentDocument"7.2.2解決方案 15\o"CurrentDocument"7.2.3實(shí)現(xiàn)效果 161概述自上世紀(jì)90年代以來，信息技術(shù)迅猛發(fā)展，人們的生活、工作方式發(fā)生了巨大變革，信息網(wǎng)絡(luò)的大規(guī)模應(yīng)用極大地提高了辦公效率。經(jīng)過多年建設(shè)，我國已建成具有相當(dāng)規(guī)模的數(shù)字化網(wǎng)絡(luò)，但隨著網(wǎng)絡(luò)的不斷普及，安全問題日益增多，網(wǎng)絡(luò)和信息安全問題成為威脅國家和政府安全的重大隱患。隨著對安全問題的不斷認(rèn)識和了解，尤其是針對涉密信息的防護(hù)，黨和政府已將信息安全建設(shè)提到一個相當(dāng)?shù)母叨壬蟻?。?000年以來安全隔離技術(shù)作為一項新興的網(wǎng)絡(luò)安全技術(shù)，在保障國家信息安全，尤其是政府、軍隊及重點(diǎn)行業(yè)等信息系統(tǒng)安全建設(shè)方面發(fā)揮了重要的作用。但是標(biāo)準(zhǔn)安全隔離技術(shù)雖然從物理上隔離了兩個網(wǎng)絡(luò)，但是其物理安全通道的方向性仍可由軟件控制。對于涉密網(wǎng)絡(luò)，需要的是防止任何泄密的可能，因此如何從物理層完成數(shù)據(jù)流向的控制成為一個亟待解決問題。2需求背景2.1法規(guī)標(biāo)準(zhǔn)要求2.1.1等級保護(hù)當(dāng)前我們國家正面臨經(jīng)濟(jì)社會結(jié)構(gòu)調(diào)整和轉(zhuǎn)型，信息技術(shù)已經(jīng)成為新的引擎，可以預(yù)見，網(wǎng)絡(luò)和信息系統(tǒng)作為新興動力的承載者，必將構(gòu)建起整個經(jīng)濟(jì)社會的神經(jīng)中樞，其重要性帶來的必然是安全保障的緊迫性。為保障網(wǎng)絡(luò)安全，維護(hù)網(wǎng)絡(luò)空間主權(quán)和國家安全、社會公共利益，保護(hù)公民、法人和其他組織的合法權(quán)益，促進(jìn)經(jīng)濟(jì)社會信息化健康發(fā)展。2016年十二屆全國人大常委會第二十四次會議表決通過的《中華人民共和國網(wǎng)絡(luò)安全法》于2017年6月1日起實(shí)施。網(wǎng)絡(luò)安全法明確了網(wǎng)絡(luò)空間主權(quán)的原則，明確了網(wǎng)絡(luò)產(chǎn)品和服務(wù)提供者的安全義務(wù)，明確了網(wǎng)絡(luò)運(yùn)營者的安全義務(wù)，進(jìn)一步完善了個人信息保護(hù)規(guī)則，建立了關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)制度。同時《中華人民共和國網(wǎng)絡(luò)安全法》在第21條明確規(guī)定了“國家實(shí)行網(wǎng)絡(luò)安全等級保護(hù)制度，要求網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級保護(hù)制度要求，履行安全保護(hù)義務(wù)”；第31條規(guī)定“對于國家關(guān)鍵信息基礎(chǔ)設(shè)施，在網(wǎng)絡(luò)安全等級保護(hù)制度的基礎(chǔ)上，實(shí)行重點(diǎn)保護(hù)”。等級保護(hù)制度在今天已上升為法律，并在法律層面確立了其在網(wǎng)絡(luò)安全領(lǐng)域的基礎(chǔ)、核心地位，正如業(yè)內(nèi)所言：不做等保就是違法。

開展信息安全等級保護(hù)工作是能夠有效地降低政府、企業(yè)、事業(yè)單位等信息安全風(fēng)險、完善信息安全防護(hù)策略的重要手段，也是落實(shí)國家關(guān)于開展信息安全等級保護(hù)工作相關(guān)規(guī)定的關(guān)鍵任務(wù)。等級保護(hù)關(guān)于網(wǎng)絡(luò)安全的相關(guān)要求如下表：（其中加深部分為三級特有要求未加深部分為二、三級共有要求）表2.1網(wǎng)絡(luò)安全等級保護(hù)基本要求（2.0版本）控制點(diǎn)基本要求網(wǎng)絡(luò)架構(gòu)c）應(yīng)劃分不冋的網(wǎng)絡(luò)區(qū)域，并按照方便管理和控制的原則為各網(wǎng)絡(luò)區(qū)域分配地址；d）應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部署在邊界處，重要網(wǎng)絡(luò)區(qū)域與其他網(wǎng)絡(luò)區(qū)域之間應(yīng)采取可靠的技術(shù)隔離手段；8.1.3?1邊界防護(hù)a）應(yīng)保證跨越邊界的訪問和數(shù)據(jù)流通過邊界設(shè)備提供的受控接口進(jìn)行通信；b）應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)行檢查或限制；c）應(yīng)能夠?qū)?nèi)部用戶非授權(quán)聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查或限制；d）應(yīng)限制無線網(wǎng)絡(luò)的使用，保證無線網(wǎng)絡(luò)通過受控的邊界設(shè)備接入內(nèi)部網(wǎng)絡(luò)。訪問控制a）應(yīng)在網(wǎng)絡(luò)邊界或區(qū)域之間根據(jù)訪問控制策略設(shè)置訪問控制規(guī)則，默認(rèn)情況下除允許通信外受控接口拒絕所有通信；b）應(yīng)刪除多余或無效的訪問控制規(guī)則，優(yōu)化訪問控制列表，并保證訪問控制規(guī)則數(shù)量最小化；c）應(yīng)對源地址、目的地址、源端口、目的端口和協(xié)議等進(jìn)控制點(diǎn)基本要求仃檢查，以允許/拒絕數(shù)據(jù)包進(jìn)出；d）應(yīng)能根據(jù)會話狀態(tài)信息為進(jìn)出數(shù)據(jù)流提供明確的允許/拒絕訪問的能力；e）應(yīng)對進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)流實(shí)現(xiàn)基于應(yīng)用協(xié)議和應(yīng)用內(nèi)容的訪問控制。2.1.2行業(yè)法規(guī)最高人民法院《關(guān)于開展全國法院辦公專網(wǎng)信息安全專項整治工作的通知》（法[2018]295號）要求，法院辦公專網(wǎng)與移動專網(wǎng)、外部專網(wǎng)、互聯(lián)網(wǎng)進(jìn)行數(shù)據(jù)交換須使用單向光導(dǎo)技術(shù)產(chǎn)品進(jìn)行隔離，加強(qiáng)專網(wǎng)整體安全建設(shè)。2t2安全需求2.2.1網(wǎng)絡(luò)復(fù)雜，如何整合面對復(fù)雜的網(wǎng)絡(luò)承載情況，如何在保證信息安全的前提下，實(shí)現(xiàn)網(wǎng)絡(luò)的互聯(lián)互通，打通網(wǎng)絡(luò)通道，數(shù)據(jù)經(jīng)過安全加密傳輸，并最大限度保證不改動原有網(wǎng)鄒影響使用單位原有系統(tǒng)及應(yīng)用。2.2.2安全隱患，如何規(guī)避通過區(qū)域的數(shù)據(jù)需要采取安全防護(hù)措施，如何根據(jù)需接入的區(qū)域類型，部署對應(yīng)的安全接入設(shè)備及措施，規(guī)避前端設(shè)備、傳輸鏈路、網(wǎng)絡(luò)邊界、系統(tǒng)應(yīng)用等各環(huán)節(jié)安全風(fēng)險，保證信息安全，確保數(shù)據(jù)不會發(fā)生外泄。2.2.3涉密信息，如何傳輸涉密網(wǎng)絡(luò)絕對不允許與非涉密網(wǎng)絡(luò)進(jìn)行互聯(lián)，但由于業(yè)務(wù)應(yīng)用的需求，部分涉密信息系統(tǒng)需要實(shí)時地收集外部文件，傳統(tǒng)人工刻盤的光盤擺渡機(jī)方式已經(jīng)無法滿足數(shù)據(jù)收集實(shí)時性要求，需要在技術(shù)上有突破。3產(chǎn)品概況3.1產(chǎn)品定位深信服安全隔離與信息單向?qū)胂到y(tǒng)主要用于各地電子政務(wù)、軍隊、軍工的信息化建設(shè)，下列場合都可使用深信服安全隔離與信息單向?qū)胂到y(tǒng)保障業(yè)務(wù)系統(tǒng)安全：?由政務(wù)外網(wǎng)向政務(wù)內(nèi)網(wǎng)報送數(shù)據(jù)；?行業(yè)內(nèi)下級向上級報送數(shù)據(jù)；?低密網(wǎng)向高密網(wǎng)傳輸數(shù)據(jù)；?低安全域向高安全域傳輸數(shù)據(jù)；?工業(yè)生產(chǎn)網(wǎng)向MES網(wǎng)/辦公網(wǎng)傳輸數(shù)據(jù)。深信服安全隔離與信息單向?qū)胂到y(tǒng)的應(yīng)用場合包括但不限于以上幾種。3.2產(chǎn)品介紹深信服科技股份有限公司在經(jīng)過大量論證之后認(rèn)為光纖傳輸在實(shí)現(xiàn)單向控制和高效性、穩(wěn)定性以及經(jīng)濟(jì)性方面可以滿足單向隔離的要求。眾所周知，光的傳播是有方向性的，光纖傳輸是利用了發(fā)光端為源、感光端為目的來傳輸信息的。雙向數(shù)據(jù)交互是采用兩條光纖，一條光纖發(fā)送數(shù)據(jù)，一條光纖接收數(shù)據(jù)。當(dāng)然也可以采用一條光纖雙向傳輸，但是這是由光纖兩端的收發(fā)器或光模塊決定的。傳統(tǒng)的SFP光模塊中，發(fā)光器和收光器是分離的，因此深信服決定采用SFP光模塊實(shí)現(xiàn)單向的傳輸。即光模塊發(fā)光端接光纖的發(fā)送端，另一主機(jī)的光模塊的收光端接光纖的接收端，這樣的傳輸原理從物理上可解決數(shù)據(jù)流向的單向性問題。深信服安全隔離與信息單向?qū)胂到y(tǒng)就是在采用單向傳輸部件的基礎(chǔ)上，結(jié)合傳統(tǒng)安全隔離技術(shù)的“擺渡+代理”技術(shù)，在保障信息單向傳輸?shù)耐瑫r，最大限度地實(shí)現(xiàn)信息的實(shí)時傳輸和可控。4產(chǎn)品架構(gòu)與性能4.1產(chǎn)品架構(gòu)深信服安全隔離與信息單向?qū)胂到y(tǒng)的主要功能特點(diǎn)就是在保證兩個網(wǎng)絡(luò)隔離的情況下，做指定的單向數(shù)據(jù)安全傳輸。深信服安全隔離與信息單向?qū)胂到y(tǒng)

由內(nèi)、外網(wǎng)處理單元和單向傳輸單元組成。單向傳輸單元在內(nèi)、外網(wǎng)主機(jī)間按照指定的周期進(jìn)行安全數(shù)據(jù)的擺渡。4t2工作原理計算機(jī)網(wǎng)絡(luò)依據(jù)物理連接和邏輯連接來實(shí)現(xiàn)不同網(wǎng)絡(luò)之間、不同主機(jī)之間、主機(jī)與終端之間的信息交換與信息共享。深信服安全隔離與信息單向?qū)胂到y(tǒng)既然隔離、阻斷了網(wǎng)絡(luò)的所有連接，實(shí)際上就是隔離、阻斷了會話的連通。深信服安全隔離與信息單向?qū)胂到y(tǒng)借鑒傳統(tǒng)光閘技術(shù)，使用數(shù)據(jù)擺渡”的方式實(shí)現(xiàn)兩個網(wǎng)絡(luò)之間的信息交換。網(wǎng)絡(luò)的外部主機(jī)系統(tǒng)通過深信服安全隔離與信息單向?qū)胂到y(tǒng)與網(wǎng)絡(luò)的內(nèi)部主機(jī)系統(tǒng)“連接”起來，深信服安全隔離與信息單向?qū)胂到y(tǒng)將外部主機(jī)的TCP/IP協(xié)議全部剝離，將原始數(shù)據(jù)通過存儲介質(zhì)，以單向發(fā)送的方式導(dǎo)入到內(nèi)部主機(jī)系統(tǒng)，內(nèi)部主機(jī)系統(tǒng)再將相應(yīng)的信息發(fā)送至真正的使用者或在本地實(shí)現(xiàn)備份。深信服安全隔離與信息單向?qū)胂到y(tǒng)在網(wǎng)絡(luò)的第七層將數(shù)據(jù)還原為原始數(shù)據(jù)文件，然后以擺渡文件”的形式來傳遞原始數(shù)據(jù)。下面以信息流由外網(wǎng)到內(nèi)網(wǎng)為例，說明通過深信服安全隔離與信息單向?qū)胂到y(tǒng)的信息傳輸過程。竹網(wǎng)處理單元才曲認(rèn)證內(nèi)尋迅耀人楹椅泄病霉査浪內(nèi)網(wǎng)處理眾元詢問控制入櫻檢洌病寄査黍\_1L 丿安全數(shù)謝區(qū)圖4.1工作原理深信服安全隔離與信息單向?qū)胂到y(tǒng)由內(nèi)網(wǎng)處理單元、外網(wǎng)處理單元與單向傳輸單元（單向光纖通道）組成。內(nèi)、外網(wǎng)處理單元采用特殊安全電路設(shè)計，具有極高的穩(wěn)定性與可靠性。單向傳輸單元采用專用安全傳輸控制硬件加SFP光模塊，通過層層搬運(yùn)的方式實(shí)現(xiàn)信息的單向安全傳輸。深信服安全隔離與信息單向?qū)胂到y(tǒng)的工作原理是在內(nèi)、外網(wǎng)處理單元獨(dú)立完成網(wǎng)絡(luò)協(xié)議終止、內(nèi)容檢查與日志審計，將符合安全策略的數(shù)據(jù)內(nèi)容提交至安全數(shù)據(jù)交換區(qū)等待數(shù)據(jù)傳輸。單向傳輸單元按照設(shè)定的周期由外網(wǎng)處理單元的安全數(shù)據(jù)交換區(qū)將數(shù)據(jù)內(nèi)容提取并單向傳輸至內(nèi)網(wǎng)處理單元的安全數(shù)據(jù)下載區(qū)，等待用戶讀取或傳輸至指定的計算機(jī)上。同時系統(tǒng)集成防病毒技術(shù)及擴(kuò)展入侵檢測技術(shù)，形成一套具有多重防護(hù)的安全解決方案。5產(chǎn)品功能與特性禮1產(chǎn)品功能5?1?1業(yè)務(wù)功能5?1?1?1安全隔離?物理單向：系統(tǒng)由內(nèi)網(wǎng)單元、外網(wǎng)單元及單向傳輸單元三個物理部分組成。單向傳輸單元的物理單向由單向光纖實(shí)現(xiàn)；?協(xié)議隔離：內(nèi)、外網(wǎng)單元主機(jī)均采用安全操作系統(tǒng)，分別獨(dú)立完成網(wǎng)絡(luò)協(xié)議的終止。內(nèi)、外網(wǎng)無法直接建立任何的協(xié)議會話，從而阻斷以共同協(xié)議為載體的風(fēng)險傳遞；?應(yīng)用隔離：系統(tǒng)采用應(yīng)用解碼，客戶應(yīng)用可經(jīng)過模塊編碼驗(yàn)證，只有符合白名單的編碼規(guī)則的數(shù)據(jù)才可被傳輸至內(nèi)網(wǎng)單元；?內(nèi)容隔離：外網(wǎng)單元分別將待交換傳輸?shù)臄?shù)據(jù)進(jìn)行內(nèi)容檢查與病毒查殺，不符合安全規(guī)定的數(shù)據(jù)內(nèi)容將被直接刪除，合法的數(shù)據(jù)才允許被安全數(shù)據(jù)交換單元交換至另一端，從而保證了數(shù)據(jù)內(nèi)容的安全性；?風(fēng)險隔離：系統(tǒng)以白名單機(jī)制運(yùn)行，僅許可正常的、用戶許可的網(wǎng)絡(luò)應(yīng)用，防范未知的安全風(fēng)險。系統(tǒng)集成防病毒并可擴(kuò)展多種常規(guī)安全防護(hù)引擎，如入侵檢測等，可檢測60000多種病毒和4000多種網(wǎng)絡(luò)入侵。雙重安全機(jī)制最大程度上實(shí)現(xiàn)了風(fēng)險隔離。5?1?1?2信息交換深信服安全隔離與信息單向?qū)胂到y(tǒng)的工作原理基于人工信息交換的操作模式，即由外網(wǎng)處理單元接收來自客戶端的發(fā)送數(shù)據(jù)請求，內(nèi)網(wǎng)處理單元負(fù)責(zé)接收來自外網(wǎng)處理單元的信息，并將信息提交至目標(biāo)服務(wù)器。由于單向傳輸單元的物理單向性，兩個處理單元之間沒有交互式會話，無法實(shí)現(xiàn)發(fā)送數(shù)據(jù)的校驗(yàn)。在此前提下，通過專有硬件實(shí)現(xiàn)網(wǎng)絡(luò)間信息的實(shí)時單向傳輸可能會造成部分?jǐn)?shù)據(jù)的丟失。深信服安全隔離與信息單向?qū)胂到y(tǒng)采用獨(dú)特的冗余數(shù)據(jù)算法，最大限度地保證了數(shù)據(jù)的完整性。TCP應(yīng)用層：通過系統(tǒng)內(nèi)部的TCP代理處理模塊，深信服安全隔離與信息單向?qū)胂到y(tǒng)能夠?qū)崿F(xiàn)代理外網(wǎng)客戶端發(fā)送的TCP會話，并對應(yīng)用層數(shù)據(jù)進(jìn)行白名單格式的檢查。對于符合規(guī)則的應(yīng)用數(shù)據(jù)單向傳輸至內(nèi)網(wǎng)處理單元，對于不符合白名單規(guī)則的會話將進(jìn)行日志報警并斷開會話。內(nèi)網(wǎng)處理單元對于從外網(wǎng)處理單元發(fā)送過來的數(shù)據(jù)根據(jù)任務(wù)號可發(fā)送給相應(yīng)的服務(wù)器；UDP應(yīng)用層：通過系統(tǒng)內(nèi)部的UDP代理處理模塊，深信服安全隔離與信息單向?qū)胂到y(tǒng)能夠?qū)崿F(xiàn)代理外網(wǎng)客戶端發(fā)送的UDP會話，并對應(yīng)用層數(shù)據(jù)進(jìn)行白名單格式的檢查。對于符合規(guī)則的應(yīng)用數(shù)據(jù)單向傳輸至內(nèi)網(wǎng)處理單元，對于不符合白名單規(guī)則的會話將進(jìn)行日志報警。內(nèi)網(wǎng)處理單元對于從外網(wǎng)處理單元發(fā)送過來的數(shù)據(jù)根據(jù)任務(wù)號可發(fā)送給相應(yīng)的服務(wù)器；主動文件信息交換：通過系統(tǒng)內(nèi)置的FTP文件客戶端模塊，深信服安全隔離與信息單向?qū)胂到y(tǒng)能夠?qū)崿F(xiàn)主動到外網(wǎng)FTP服務(wù)器抓取文件并向內(nèi)網(wǎng)的FTP服務(wù)器上傳文件。管理員可設(shè)置文件傳輸完成后是否刪除源文件；被動文件信息交換：通過系統(tǒng)內(nèi)置的專用文件傳輸模塊，深信服安全隔離與信息單向?qū)胂到y(tǒng)能夠?qū)崿F(xiàn)外網(wǎng)向內(nèi)網(wǎng)的私有文件的安全、單向的傳輸。客戶機(jī)通過管理控制臺分配的賬號，使用專用的文件客戶端軟件上傳或下載文件。每個賬號均有自己的私有目錄空間，另外系統(tǒng)提供一個公共空間以供所有用戶使用；郵件中繼：系統(tǒng)內(nèi)置SMTP郵件代理引擎，實(shí)現(xiàn)外網(wǎng)郵件服務(wù)器將郵件轉(zhuǎn)發(fā)至深信服安全隔離與信息單向?qū)胂到y(tǒng)的外網(wǎng)處理單元，經(jīng)過內(nèi)容檢查及單向擺渡后，內(nèi)網(wǎng)處理單元會將郵件發(fā)送至客戶內(nèi)網(wǎng)郵件服務(wù)器中，從而實(shí)現(xiàn)外網(wǎng)郵件服務(wù)器到內(nèi)網(wǎng)郵件服務(wù)器的中繼轉(zhuǎn)發(fā)；數(shù)據(jù)庫單向同步：通過系統(tǒng)內(nèi)置或外置的數(shù)據(jù)庫同步模塊，深信服安全隔離與信息單向?qū)胂到y(tǒng)可實(shí)現(xiàn)外網(wǎng)向內(nèi)網(wǎng)的單向數(shù)據(jù)庫同步。數(shù)據(jù)庫單向同步支持的類型包括Oracle/Sqlserver/Mysql/Db2/Sybase/Postgresql等國際主流數(shù)據(jù)庫，同時也支持人大金倉、武漢達(dá)夢等國產(chǎn)數(shù)據(jù)庫的同步。支持異構(gòu)數(shù)據(jù)庫之間的同步，支持按條件過濾的同步；?組播單向代理：系統(tǒng)通過內(nèi)置的組播代理，支持多種模式的組播單向代理傳輸；光網(wǎng)聯(lián)動：深信服安全隔離與信息單向?qū)胂到y(tǒng)支持與深信服安全隔離與信息交換系統(tǒng)進(jìn)行聯(lián)動，實(shí)現(xiàn)在深信服安全隔離與信息交換系統(tǒng)傳輸雙向信令，在深信服安全隔離與信息單向?qū)胂到y(tǒng)中傳輸單向視頻流；雙單向聯(lián)動：支持兩臺深信服安全隔離與信息單向?qū)胂到y(tǒng)組成一個雙向應(yīng)用的代理環(huán)路，在兩條單向鏈路上實(shí)現(xiàn)業(yè)務(wù)雙向服務(wù)。網(wǎng)絡(luò)訪問控制深信服安全隔離與信息單向?qū)胂到y(tǒng)具有強(qiáng)大的訪問控制力，管理員可通過訂制訪問策略，精細(xì)地控制“誰”（網(wǎng)絡(luò)對象）“能夠”（允許或禁止）訪問系統(tǒng)。管理控制臺以人性化的人機(jī)接口協(xié)助管理員輕松實(shí)現(xiàn)管理目標(biāo)。網(wǎng)絡(luò)訪問控制：深信服安全隔離與信息單向?qū)胂到y(tǒng)的內(nèi)、外網(wǎng)單元可分別實(shí)現(xiàn)鏈路層、網(wǎng)絡(luò)層、傳輸層訪問控制，通過靈活組合網(wǎng)絡(luò)對象，制定與實(shí)際需求完全吻合的訪問控制策略；訪問用戶控制：深信服安全隔離與信息單向?qū)胂到y(tǒng)的內(nèi)、外網(wǎng)單元可分別實(shí)現(xiàn)定制、綁定哪些用戶可以訪問系統(tǒng)。數(shù)據(jù)內(nèi)容審查內(nèi)容檢查是指深信服安全隔離與信息單向?qū)胂到y(tǒng)外網(wǎng)處理單元對接收到的文件和信息進(jìn)行安全性檢查，確保只有符合保密、安全策略的數(shù)據(jù)、文件才允許被單向傳輸至內(nèi)網(wǎng)端。白名單規(guī)則：數(shù)據(jù)流代理應(yīng)用規(guī)范可由管理員設(shè)定，只有符合設(shè)定的數(shù)據(jù)規(guī)范才可以被傳輸。數(shù)據(jù)規(guī)范包括以下三種類型：>ASCII類型數(shù)據(jù)格式表示；>十六進(jìn)制數(shù)據(jù)類型格式表示；A正則表達(dá)式數(shù)據(jù)格式表示。關(guān)鍵字檢查：深信服安全隔離與信息單向?qū)胂到y(tǒng)的外網(wǎng)單元可依據(jù)管理員設(shè)定的涉密或不健康的信息進(jìn)行過濾，將過濾到關(guān)鍵字的信息擯棄并記錄日志告警；?文件類型檢查：隔離系統(tǒng)的內(nèi)、外網(wǎng)單元可將指定的可能產(chǎn)生危險的文件類型過濾、刪除并且記錄日志告警；?病毒檢查：深信服安全隔離與信息單向?qū)胂到y(tǒng)的外網(wǎng)處理單元可針對用戶上傳的文件進(jìn)行檢查，在確保沒有病毒的情況下才被轉(zhuǎn)存到安全數(shù)據(jù)區(qū)當(dāng)發(fā)現(xiàn)病毒后，系統(tǒng)會將病毒文件刪除，并記錄日志告警。文件校驗(yàn)二次傳輸由于深信服安全隔離與信息單向?qū)胂到y(tǒng)的單向傳輸特性，外網(wǎng)處理單元發(fā)送數(shù)據(jù)后無法判斷內(nèi)網(wǎng)處理單元接收的文件是否正確。因此系統(tǒng)提供了傳輸記錄的校驗(yàn)功能，管理員可根據(jù)一段時間導(dǎo)出接收記錄，并在外網(wǎng)處理單元導(dǎo)入記錄進(jìn)行校驗(yàn)，當(dāng)發(fā)現(xiàn)丟失的文件或錯誤的文件后，系統(tǒng)提供重傳功能，最大限度地保證數(shù)據(jù)的完整性。緩存空間及傳輸數(shù)據(jù)的管理深信服安全隔離與信息單向?qū)胂到y(tǒng)的內(nèi)、外網(wǎng)單元在特定的時間自動清理緩存中的文件碎片、修復(fù)文件系統(tǒng)錯誤，保持文件訪問效率。雙重安全防護(hù)機(jī)制深信服安全隔離與信息單向?qū)胂到y(tǒng)采用雙重安全防護(hù)機(jī)制，即系統(tǒng)的內(nèi)、外網(wǎng)處理單元以白名單方式接受網(wǎng)絡(luò)請求、建立并終止會話。所有的客戶網(wǎng)絡(luò)請求無法穿透系統(tǒng)進(jìn)入內(nèi)網(wǎng)，并且只有被允許的客戶的網(wǎng)絡(luò)數(shù)據(jù)或文件才被傳輸，因此深信服安全隔離與信息單向?qū)胂到y(tǒng)就能夠隔離各種未知的安全風(fēng)險?？蛻舻臉I(yè)務(wù)數(shù)據(jù)均需經(jīng)過安全檢查才允許被交換，否則將被視為無效數(shù)據(jù)，直接刪除并丟棄。同時，深信服安全隔離與信息單向?qū)胂到y(tǒng)內(nèi)嵌防病毒和入侵檢測引擎能，夠?qū)崟r檢測、阻絕已知的各種病毒與入侵，并在控制臺示警，幫助管理員在最短時間內(nèi)做出響應(yīng)。5.1.2管理功能安全的管理通信深信服安全隔離與信息單向?qū)胂到y(tǒng)只允許從專用的管理控制端口進(jìn)行管理，管理員可設(shè)置允許管理設(shè)備的地址。在通信端口不接受任何管理請求，避免了管理信息的旁入可能。權(quán)限分配方式深信服安全隔離與信息單向?qū)胂到y(tǒng)采取系統(tǒng)策略配置管理員與日志管理員角色分立的權(quán)限分配模式，用戶只能維護(hù)操作本類基礎(chǔ)管理角色的功能與操作，權(quán)限各不交叉。系統(tǒng)也提供用戶角色分配權(quán)限的策略，使用戶管理更加方便且易于理解。策略定制功能深信服安全隔離與信息單向?qū)胂到y(tǒng)采用面向用戶的策略定制方式，即便是初次使用的用戶也可依據(jù)界面向?qū)?，依次制定適應(yīng)實(shí)際網(wǎng)絡(luò)應(yīng)用環(huán)境的交換策略。此外，系統(tǒng)內(nèi)置的初始策略更是方便了新用戶的使用。并且系統(tǒng)提供了強(qiáng)大的幫助系統(tǒng)，它詳細(xì)地介紹了深信服安全隔離與信息單向?qū)胂到y(tǒng)的安裝、使用的各個步驟并舉例說明。日志審計功能深信服安全隔離與信息單向?qū)胂到y(tǒng)提供強(qiáng)大的日志和審計功能，深信服安全隔離與信息單向?qū)胂到y(tǒng)設(shè)備內(nèi)置日志存儲空間。支持標(biāo)準(zhǔn)SYSLOG的日志格式發(fā)送到遠(yuǎn)端日志服務(wù)器，為日志審計提供了很好的數(shù)據(jù)支撐和方便性。日志內(nèi)容完整記錄并保存系統(tǒng)設(shè)定、通信控制、內(nèi)容檢查、連接限制、系統(tǒng)告警等各類日志告警信息。審計模塊可使管理員以多種方式進(jìn)行查詢、審計。系統(tǒng)具有各種日志信息的導(dǎo)入、導(dǎo)出、備份等功能，保證了日志信息的安全性與易用性。5.1.3高可用性功能深信服安全隔離與信息單向?qū)胂到y(tǒng)提供雙機(jī)熱備乃至多機(jī)熱備功能。兩臺安全設(shè)備可組成熱備機(jī)組，機(jī)組內(nèi)設(shè)備有主設(shè)備與備用設(shè)備之分，兩臺設(shè)備間相互檢測狀態(tài)并同步訪問策略，當(dāng)主設(shè)備發(fā)生故障，從設(shè)備啟動并自動變?yōu)橹髟O(shè)備，同時以聲音與告警信息示警。如下圖所示：圖5.1雙機(jī)熱備拓?fù)鋱D產(chǎn)品特性5.2.1高安全性深信服安全隔離與信息單向?qū)胂到y(tǒng)采用專有的安全操作系統(tǒng)。安全os存貯于ROM中，無法被惡意修改，具有極高的安全性。系統(tǒng)內(nèi)置高性能安全過濾弓［擎,防止DoS和DDoS、緩沖區(qū)溢出、惡意編碼、應(yīng)用層洪泛等攻擊。深信服安全隔離與信息單向?qū)胂到y(tǒng)采用專用的單向傳輸單元進(jìn)行信息傳輸，業(yè)務(wù)數(shù)據(jù)通過應(yīng)用隔離等措施使外網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)及有害數(shù)據(jù)信息無法進(jìn)入內(nèi)網(wǎng)。深信服安全隔離與信息單向?qū)胂到y(tǒng)采用雙重全防護(hù)機(jī)制，白名單的防護(hù)機(jī)制保護(hù)客戶業(yè)務(wù)系統(tǒng)免于遭受各種已知安全風(fēng)險及新型安全隱患，內(nèi)嵌的防病毒、入侵檢測引擎為用戶提供第二層保護(hù)，識別已發(fā)現(xiàn)的各種病毒和入侵時示警并記錄日5.2.2咼吞吐率深信服安全隔離與信息單向?qū)胂到y(tǒng)的內(nèi)、外網(wǎng)處理單元采用復(fù)雜對稱多處理（RSMP）技術(shù)，在一臺深信服安全隔離與信息單向?qū)胂到y(tǒng)內(nèi)集成多個處理模塊，成倍提升處理能力，使安全隔離與信息單向?qū)胂到y(tǒng)具有很高的性能。5.2.3高可靠性深信服安全隔離與信息單向?qū)胂到y(tǒng)的設(shè)備在硬件結(jié)構(gòu)上采用專用安全主板設(shè)計，進(jìn)一步提高了隔離系統(tǒng)的可靠性，使深信服安全隔離與信息單向?qū)胂到y(tǒng)可在超重負(fù)荷的環(huán)境下長期穩(wěn)定運(yùn)行。雙機(jī)熱備的部署方式可使系統(tǒng)抵抗災(zāi)難性損壞時的可靠性成倍提高。5.2.4高便利性深信服安全隔離與信息單向?qū)胂到y(tǒng)為方便管理員使用，在出廠設(shè)置已提供了一套適合多數(shù)網(wǎng)絡(luò)環(huán)境的常用安全策略，管理員用戶只需要將設(shè)備對應(yīng)的IP地址修改為實(shí)際網(wǎng)絡(luò)中分配的IP地址即可。日志用戶與策略配置用戶的權(quán)限分立以及層次化的權(quán)限劃分允許用戶可將各類管理工作交由不同的用戶來完成，真正與管理需求相吻合。管理用戶及訪問用戶以及眾多的日志審計記錄均實(shí)現(xiàn)可導(dǎo)入導(dǎo)出操作，大大加強(qiáng)了深信服安全隔離與信息單向?qū)胂到y(tǒng)的便利性與可操作性。6產(chǎn)品優(yōu)勢與價值M產(chǎn)品優(yōu)勢6.1?1簡便易用的界面風(fēng)格系統(tǒng)通過HTTPS方式提供系統(tǒng)工作監(jiān)控工作臺、配置向?qū)А⑴渲锰崾镜确绞?為用戶提供了簡單易用的界面，即使是初次使用系統(tǒng)，也完全能在較短的時間內(nèi)掌握。6.1.2強(qiáng)大的業(yè)務(wù)功能除標(biāo)準(zhǔn)的TCP/UDP單向業(yè)務(wù)代理功能之外，深信服安全隔離與信息單向?qū)胂到y(tǒng)產(chǎn)品還兼具如下與業(yè)務(wù)場景深度相關(guān)的功能：?數(shù)據(jù)庫單向同步與文件單向同步?光網(wǎng)聯(lián)動?郵件中繼代理?雙單向TCP代理?支持多種形態(tài)的組播代理?文件傳輸既支持主動抓取推送，又支持被動接收代理6.1.3高穩(wěn)定性系統(tǒng)在適配不同的文件大小以及數(shù)據(jù)吞吐量時，自動采取不同的系統(tǒng)調(diào)節(jié)參數(shù)，以在系統(tǒng)性能與穩(wěn)定性間平衡運(yùn)行，保證在系統(tǒng)穩(wěn)定的基礎(chǔ)上發(fā)揮出最高的性能。6.1.4良好的環(huán)境適應(yīng)系統(tǒng)的文件傳輸以及數(shù)據(jù)庫同步等模塊均可采用內(nèi)置或外置的方式進(jìn)行部署,同時外置的數(shù)據(jù)庫同步和文件同步均支持WINDOWS/LINUX等主流操作系統(tǒng)。產(chǎn)品價值采用深信服安全隔離與信息單向?qū)胂到y(tǒng)做不同安全域間的數(shù)據(jù)單向傳輸，通過對文件、數(shù)據(jù)、業(yè)務(wù)流量的檢查與擺渡，實(shí)現(xiàn)域間數(shù)據(jù)安全、單向的傳輸。1） 實(shí)現(xiàn)外網(wǎng)端向內(nèi)網(wǎng)端單向傳輸文件；2） 實(shí)現(xiàn)外網(wǎng)端向內(nèi)外端單向同步數(shù)據(jù)庫；3） 內(nèi)網(wǎng)不能向外網(wǎng)傳輸任何數(shù)據(jù)；4） 符合國家相關(guān)網(wǎng)絡(luò)安全政策要求。7產(chǎn)品應(yīng)用場景”文件單向安全上傳場景7?1?1場景需求深信服安全隔離與信息單向?qū)胂到y(tǒng)主要用于各地電子政務(wù)、軍隊、軍工的信息化建設(shè)，下列環(huán)境都可使用深信服安全隔離與信息單向?qū)胂到y(tǒng)保證業(yè)務(wù)系統(tǒng)安全：?由政務(wù)外網(wǎng)向政務(wù)內(nèi)網(wǎng)報送數(shù)據(jù)?行業(yè)內(nèi)下級向上