政府 網(wǎng)絡安全隔離

　建議方案

　 編寫：

　技術(shù)支持部

　審核：

　 批準：

　文 檔 信 息 編號

　密級 秘密

　存放地址

　保存期限 2 年內(nèi)為短期

　請保護環(huán)境，注意紙張的回收利用

　 版權(quán)信息

　本文件涉及之信息，屬珠海偉思（集團）有限公司所有。

　未經(jīng)珠海偉思（集團）有限公司允許，文件中的任何部分都不能以任何形式向第三方散發(fā)。

　ViGap、VieCA 為珠海偉思（集團）有限公司系列產(chǎn)品，珠海偉思（集團）有限公司完全擁有知識產(chǎn)權(quán)，并受國際知識產(chǎn)權(quán)法律保護。

　Http://www.victory-idea.com

　正文目錄 1

　政府安全隔離需求分析 ........................................................................................... 4

　1.1 政府內(nèi)部網(wǎng)網(wǎng)絡現(xiàn)狀 .................................................................................................. 4 1.2 政府的安全風險分析 .................................................................................................. 4 1.3 建立統(tǒng)一安全隔離數(shù)據(jù)交換安全原則 ...................................................................... 5 2

　政府網(wǎng)絡安全隔離解決方案 ................................................................................... 6

　2.1 政府內(nèi)網(wǎng)安全隔離與信息交換設計 .......................................................................... 6 2.2 安全隔離與信息交換平臺實施方案 .......................................................................... 7 2.3 整體解決方案拓撲圖 .................................................................................................. 7 2.4 解決方案產(chǎn)品選型 ...................................................................................................... 8 3

　隔離網(wǎng)閘產(chǎn)品方案設計 ........................................................................................... 9

　3.1 隔離網(wǎng)閘產(chǎn)品概述 ...................................................................................................... 9 3.2 產(chǎn)品內(nèi)部架構(gòu) .............................................................................................................. 9 3.3 隔離網(wǎng)閘技術(shù)的優(yōu)勢 ................................................................................................ 10 3.4 產(chǎn)品特點 .................................................................................................................... 11 3.5 產(chǎn)品功能 .................................................................................................................... 12 3.5.1 系統(tǒng)可靠性 ........................................................................................................ 12 3.5.2 系統(tǒng)可用性 ........................................................................................................ 13 3.5.3 安全功能 ............................................................................................................ 13 3.5.4 系統(tǒng)管理 ............................................................................................................ 15 3.5.5 應用支持 ............................................................................................................ 16 3.6 偉思 ViGap300 系統(tǒng)性能參數(shù) .................................................................................. 17 4 系統(tǒng)支持與服務方案 ................................................................................................ 17

　4.1 售后服務 ..................................................................................................................... 17 4.2 培訓計劃 ..................................................................................................................... 18

　1 1 政府 安全隔離需求分析

　1.1 政府 內(nèi)部網(wǎng)網(wǎng)絡現(xiàn)狀

　本單位市政務網(wǎng)按照《政務網(wǎng)絡建設規(guī)范》進行建設。政府是按照省電子政務辦公室確認的網(wǎng)絡連接方式，與縣局、省局建立了三級網(wǎng)絡。

　政務網(wǎng)與國際互聯(lián)網(wǎng)之間在物理上完全分開，局域網(wǎng)由此形成物理上斷開的內(nèi)網(wǎng)（運行管理信息系統(tǒng)）和外網(wǎng)（運行信息發(fā)布和社會化服務系統(tǒng)）兩部分，分別連入政務網(wǎng)和國際互聯(lián)網(wǎng)。政務網(wǎng)絡主要由四部分組成：

　——內(nèi)部運行信息系統(tǒng)的局域網(wǎng)（內(nèi)網(wǎng)）； ——上下級互聯(lián)的廣域網(wǎng)（政務網(wǎng)）； ——提供信息發(fā)布查詢等社會化服務的國際互聯(lián)網(wǎng)（外網(wǎng)）； ——市級各部門信息資源共享的政務外網(wǎng)。

　1.2 政府 的安全風險分析

　政府內(nèi)外網(wǎng)、上下級互聯(lián)互通涉及數(shù)據(jù)的交換，必然帶來一定的安全風險。原來在外部網(wǎng)上傳播的病毒、在下級縣市單位存在的安全隱患可能因為數(shù)據(jù)交換而感染到本單位政府內(nèi)網(wǎng)；原來利用互連網(wǎng)發(fā)動攻擊的黑客、下級單位的人員疏忽、惡意試探也可能利用政府內(nèi)部網(wǎng)絡的數(shù)據(jù)交換的連接嘗試攻擊本單位政府內(nèi)部政務網(wǎng)，可以影響到本單位內(nèi)部網(wǎng)系統(tǒng)內(nèi)部大量的重要數(shù)據(jù)正常運行，所以安全問題變得越來越復雜和突出。

　綜合分析網(wǎng)絡的攻擊的手段，政府內(nèi)外部網(wǎng)絡的數(shù)據(jù)交換可能面臨的安全風險包括：

　問題類型 問題 問題描述 協(xié)議設計 安全問題被忽視 制定協(xié)議之時，通常首先強調(diào)功能性，而安全性問題則是到最后一刻、甚或不列入考慮范圍。

　其它基礎協(xié)議問題 架構(gòu)在其他不穩(wěn)固基礎協(xié)議之上的協(xié)議，即使本身再完善也會有很多問題。

　流程問題 設計協(xié)議時，對各種可能出現(xiàn)的流程問題考慮不夠周全，導致發(fā)生狀況時，系統(tǒng)處理方式不當。

　設計錯誤 協(xié)議設計錯誤，導致系統(tǒng)服務容易失效或招受攻擊。

　軟件設計 設計錯誤 協(xié)議規(guī)劃正確，但協(xié)議設計時發(fā)生錯誤，或設計人員對協(xié)議的認知錯誤，導致各種安全漏洞。

　程序錯誤 程序撰寫習慣不良導致很多安全漏洞，包含常見的未檢查資料長度內(nèi)容、輸入資料容錯能力不足、未檢測可能發(fā)生的錯誤、應用環(huán)境的假設錯誤、引用不當模塊、未檢測資源不足等。

　人員操作 操作失誤 操作規(guī)范嚴格且完善，但是操作人員未受過良好訓練、或未按手冊操作，導致各種安全漏洞和安全隱患。

　網(wǎng)絡通訊 信息泄密 由于未采用加密手段導致通訊內(nèi)容被偵聽，或用戶名/口令在網(wǎng)上明文傳輸，導致竊取用戶身份登錄。

　系統(tǒng)維護 默認值不安全 軟件或操作系統(tǒng)的預設設置不科學，導致缺省設置下系統(tǒng)處于不安全的狀況下，如匿名登錄、訪問權(quán)限不當?shù)�。容易遭受病毒、蠕蟲、特洛依木馬等的攻擊。

　未修補系統(tǒng) 軟件和操作系統(tǒng)的各種補丁程序沒有及時修復。

　內(nèi)部安全問題 對由信任系統(tǒng)和網(wǎng)絡發(fā)起的各種攻擊防范不夠。信任領域存在的不安全系統(tǒng)，成為不信任領域內(nèi)系統(tǒng)攻擊信任領域的各種跳板。

　1.3 建立統(tǒng)一安全隔離數(shù)據(jù)交換安全原則

　根據(jù)對以上安全風險的歸納，市政府網(wǎng)絡系統(tǒng)最大的特點是復雜程度高，信息點多，安全威脅來自從物理層到應用層多個方面。本方案在制定安全系統(tǒng)設計時所采用的基本策略為：主要以安全隔離信息交換技術(shù)和數(shù)據(jù)擺渡技術(shù)為主體，輔之防火墻技術(shù)、入侵檢測技術(shù)內(nèi)外行為控制管理技術(shù)；構(gòu)造一個具有最高安全強度的、在較長一段時期內(nèi)可以防御絕大部分已知和未知的網(wǎng)絡攻擊手段的、并可以滿足用戶多種網(wǎng)絡應用信息安全交換的網(wǎng)絡安全系統(tǒng)平臺。

　政府網(wǎng)絡信息交換的安全原則和要求體現(xiàn)在如下幾個方面：

　1、建立統(tǒng)一的安全隔離交換平臺，內(nèi)部政府辦公網(wǎng)各業(yè)務部門通過統(tǒng)一出口實現(xiàn)與外部應用網(wǎng)間的可信信息交換，統(tǒng)一管理，執(zhí)行統(tǒng)一的安全策略，實現(xiàn)內(nèi)部網(wǎng)信息和上下級單位、外部應用網(wǎng)數(shù)據(jù)交換的高度可控性。

　2、所采用的安全隔離設備必須通過公安部信息安全產(chǎn)品許可和國家保密局的技術(shù)鑒定。安全隔離設備具有安全的文件和數(shù)據(jù)庫交換功能，可以支持對 http、ftp 等通用應用層協(xié)議的嚴格分析控制的物理隔離設備或功能。

　3、制定統(tǒng)一的接口開發(fā)及數(shù)據(jù)傳輸標準，實現(xiàn)內(nèi)部各業(yè)務部門應用系統(tǒng)與外部應用網(wǎng)安全交換平臺間的數(shù)據(jù)交換，并通過該標準強化應用系統(tǒng)數(shù)據(jù)通信安全。

　4、內(nèi)部網(wǎng)通過安全隔離交換平臺與外界進行的信息交換必須受到嚴格的控制，內(nèi)部網(wǎng)安全隔離平臺可以提供必要的安全手段，如信息的單向訪問，防止內(nèi)網(wǎng)向外部泄漏敏感信息和抵御外網(wǎng)攻擊。

　5、隔離平臺必須提供完整的安全審計功能，能夠詳細記錄、快速查詢內(nèi)外網(wǎng)間的訪問行為及安全事件，數(shù)據(jù)傳輸?shù)脑敿氂涗洝?/p>

　6、隔離平臺與其他網(wǎng)絡安全產(chǎn)品構(gòu)成整體的網(wǎng)絡安全架構(gòu)，全面解決市網(wǎng)絡安全問題。

　7、專業(yè)網(wǎng)安全隔離平臺必須具備較高的網(wǎng)絡性能及穩(wěn)定性、高可用性。

　2 2 政府 網(wǎng)絡安全隔離解決方案

　2.1 政府 內(nèi)網(wǎng)安全隔離與信息交換設計

　政府內(nèi)網(wǎng)安全隔離設計主要是政府內(nèi)網(wǎng)與外部應用網(wǎng)絡（互聯(lián)網(wǎng)或上下級網(wǎng)絡）間的安全隔離與信息交換問題。

　政府內(nèi)網(wǎng)與外部應用網(wǎng)之間隔離遵循“內(nèi)外網(wǎng)物理隔斷，內(nèi)外網(wǎng)可控信息交換”的原則，政府內(nèi)網(wǎng)不直接接受來自其他網(wǎng)絡的數(shù)據(jù)訪問請求。其中主要基于以下安全考慮：即不接收其他網(wǎng)絡數(shù)據(jù)，使得政府內(nèi)網(wǎng)對外不暴露任何端口和服務，完全隱藏內(nèi)部網(wǎng)絡，從而更集中、高效地保護內(nèi)網(wǎng)安全。更重要的是該功能阻斷了黑客通過木馬控制內(nèi)網(wǎng)主機的通訊途徑，保護內(nèi)網(wǎng)主機的安全。

　在以安全隔離網(wǎng)閘為基礎的內(nèi)外網(wǎng)信息交換平臺上，除了隔離網(wǎng)閘外，還可以應用防火墻技術(shù)、IDS 技術(shù)、SSL VPN 技術(shù)，保證政府內(nèi)網(wǎng)數(shù)據(jù)的機密性、完整性和可用性。

　這樣就以隔離網(wǎng)閘為核心，建立了一整套完整的安全隔離與信息交換平臺。

　2.2 安全隔離與信息交換 平臺 實施方案

　根據(jù)以上設計，其主要實施方式是：

　1、 在政府內(nèi)網(wǎng)與外部網(wǎng)絡邊界部署偉思安全隔離與信息交換系統(tǒng)（網(wǎng)閘），該網(wǎng)閘的作用就是隔離來自外部網(wǎng)絡的訪問，以靜態(tài)化純數(shù)據(jù)的形式擺渡交換在內(nèi)外網(wǎng)之間安全交換數(shù)據(jù)。

　2、 網(wǎng)閘部署在內(nèi)網(wǎng)與上下級關(guān)聯(lián)單位的網(wǎng)絡邊界處部署網(wǎng)閘，進行數(shù)據(jù)交換的網(wǎng)絡邊界處，僅允許定義的安全數(shù)據(jù)進行數(shù)據(jù)交換。隔離除此之外其它任何外部主機對內(nèi)網(wǎng)的訪問請求。在該隔離環(huán)境下，大量攻擊行為都被隔離網(wǎng)閘隔離而無法進入本單位政府內(nèi)網(wǎng) 3、 對大負荷應用可采用雙機集群，實現(xiàn)負載均衡和雙機熱備。解決性能保障問題和應用隔離保障問題。性能保障主要是保證隔離系統(tǒng)的網(wǎng)絡性能滿足政府應用對數(shù)據(jù)交換速率和延時的要求；實現(xiàn)負載均衡與雙機熱備，使安全交換平臺具有良好的可擴展性和可靠性，另外對于交換數(shù)據(jù)量大的應用系統(tǒng)可采用千兆隔離網(wǎng)閘。

　4、 在政府內(nèi)網(wǎng)入口處部署 SSL VPN 設備，針對遠端局、所對內(nèi)網(wǎng)應用的訪問進行鏈路加密，保證合法用戶才能訪問特定的應用系統(tǒng)，保障安全性的同時增強應用的靈活性。

　2.3 整體解決方案拓撲圖

　按照上述安全隔離與信息交換方案策略，我們對現(xiàn)有網(wǎng)絡結(jié)構(gòu)做了調(diào)整，引入了隔離網(wǎng)閘等網(wǎng)絡安全產(chǎn)品來實現(xiàn)政府網(wǎng)絡安全系統(tǒng)的建設，保證內(nèi)外安全的前提下，滿足內(nèi)外網(wǎng)隔離與信息交換的需求。

　整體拓撲圖如下：

　 隔離網(wǎng)閘可采用訪問式和同步式兩種工作模式，提供內(nèi)外網(wǎng)數(shù)據(jù)庫、文件服務器的數(shù)據(jù)同步功能，也可以提供對網(wǎng)絡訪問的全面控制和策略管理。

　網(wǎng)閘 A 實現(xiàn)本單位內(nèi)外網(wǎng)之間數(shù)據(jù)交換. 網(wǎng)閘 B 實現(xiàn)本單位與上下級單位或其他關(guān)聯(lián)單位間的安全隔離與數(shù)據(jù)交換.

　2.4 解決方案 產(chǎn)品選型

　根據(jù)所需防范的具體安全問題類型、期望達到的安全程度，本方案建議選擇相應的安全產(chǎn)品，產(chǎn)品的選型遵從如下標準：

　1)、成熟性：保證安全體系本身的可靠和穩(wěn)定，也是保證網(wǎng)絡安全系統(tǒng)平臺能夠安全可靠運行的基本要素。

　2)、先進性：保證安全體系具有較強的適應力、生命力，以便能適應未來一段時期內(nèi)安全發(fā)展的需要。

　3)、國內(nèi)自主知識產(chǎn)權(quán)，自行生產(chǎn)的網(wǎng)絡安全產(chǎn)品。

　4)、合法性：安全體系建設中所采用的安全技術(shù)及其產(chǎn)品須有國家安全部門或具有等效職能機構(gòu)認證并頒發(fā)有許可證。

　3 3 隔離網(wǎng)閘產(chǎn)品方案設計

　3.1 隔離網(wǎng)閘產(chǎn)品概述

　偉思網(wǎng)絡安全技術(shù)有限公司作為我國最早研發(fā)并率先推出安全隔離與信息交換系統(tǒng)產(chǎn)品的專業(yè)信息安全技術(shù)公司之一，其安全隔離與信息交換產(chǎn)品已經(jīng)廣泛應用于近 1000 家各種不同行業(yè)/部門的用戶系統(tǒng)中，多次在一些國家部委及金融單位總部的重要招標中成功中標或入圍，獲得了用戶的普遍高度好評。

　偉思信安ViGap300安全隔離與信息交換系統(tǒng)采用國際先進的GAP硬件隔離反射技術(shù)，實現(xiàn)了在網(wǎng)絡隔離環(huán)境下的可控信息交換，并針對傳統(tǒng)安全隔離與信息交換系統(tǒng)應用層安全防護薄弱的現(xiàn)狀，運用創(chuàng)新技術(shù)開發(fā)出基于網(wǎng)絡隔離安全基礎平臺下的應用層防護系統(tǒng)，為各類黨政部門、軍事單位、金融電信、科研院校及企事業(yè)單位等機構(gòu)的關(guān)鍵業(yè)務處理系統(tǒng)與外部不可信網(wǎng)絡間信息交換提供了完整的安全隔離與信息交換解決方案。

　偉思信安 ViGap300 安全隔離與信息交換系統(tǒng)率先采用國際領先的基于 ASIC芯片（大規(guī)模集成電路芯片）設計的高速硬件電子隔離開關(guān)技術(shù)，實現(xiàn)了受保護網(wǎng)絡與不可信網(wǎng)絡（互聯(lián)網(wǎng)、專網(wǎng)等外部網(wǎng)絡）間的物理斷開，并通過擺渡機制在可控環(huán)境下實現(xiàn)內(nèi)外網(wǎng)間應用層數(shù)據(jù)交換。ASIC 芯片具有不可編程特性而且通訊方式徹底私有，從技術(shù)上消除了傳統(tǒng)攻擊手段對受保護內(nèi)部網(wǎng)絡的威脅，所有交換數(shù)據(jù)均經(jīng)過 ViGap300 的嚴格安全檢查，置于 ViGap300 設備保護之下的內(nèi)部網(wǎng)絡與外部不可信網(wǎng)絡在任一時刻內(nèi)均不存在直接的物理網(wǎng)絡連接，從而起到了保護內(nèi)部網(wǎng)絡免遭來自外部已知和未知的網(wǎng)絡攻擊，實現(xiàn)了安全、可靠的數(shù)據(jù)交換。

　3.2 產(chǎn)品內(nèi)部架構(gòu)

　偉思信安安全隔離交換系統(tǒng)的系統(tǒng)結(jié)構(gòu)如下圖表所示：

　PCI LVDS數(shù)據(jù)流

　數(shù)據(jù)流PCI外部安全板 內(nèi)部安全板內(nèi)部網(wǎng)絡接口外部網(wǎng)絡接口

　 圖表 1 安全隔離交換系統(tǒng)的隔離體系結(jié)構(gòu)

　 VIGAP300 安全隔離交換系統(tǒng)的所有控制邏輯由硬件實現(xiàn)的，不能被軟件修改；安全隔離交換系統(tǒng)在內(nèi)外安全主板上各設計了一個隔離開關(guān)，稱反射 GAP。反射 GAP 實現(xiàn)內(nèi)外網(wǎng)絡之間的物理斷開，但同時能交換數(shù)據(jù)的目的。

　反射 GAP 使得內(nèi)外網(wǎng)中繼數(shù)據(jù)的速率達到物理連通狀態(tài)的 100％，從而消除了因物理斷開內(nèi)外網(wǎng)絡而可能造成的通信瓶頸。

　3.3 隔離網(wǎng)閘技術(shù)的優(yōu)勢

　同傳統(tǒng)的防火墻等邏輯隔離訪問控制技術(shù)相比，隔離網(wǎng)閘獨特的模型結(jié)構(gòu)天然具有了一些其它安全技術(shù)難以達到的安全特性，主要包括以下幾個方面：

　1) 對網(wǎng)絡層/OS 層已知和未知攻擊的全面防護能力。由于在網(wǎng)閘 2+1 隔離架構(gòu)模型中內(nèi)外網(wǎng)間實際上物理斷開，所有訪問被轉(zhuǎn)化成應用層數(shù)據(jù)形式通過獨立的存儲介質(zhì)在內(nèi)外網(wǎng)移動，因此，移動的數(shù)據(jù)中并不包含相對低層的網(wǎng)絡層/OS層控制信息，換句話說，隱藏在網(wǎng)絡層/OS 層的攻擊行為根本沒有進入受保護內(nèi)網(wǎng)網(wǎng)絡的可能，無論該攻擊方式是已知的還是未知的。而目前其它安全技術(shù)基本上還是基于特征匹配的方式過濾這些攻擊行為，遺漏和處理不當都在所難免，并且對未知攻擊毫無辦法，對受保護網(wǎng)絡造成嚴重安全隱患。

　2) 不再依賴操作系統(tǒng)的安全性。目前所有安全技術(shù)的實現(xiàn)都必須依賴操作系統(tǒng)作為平臺提供低層服務支持，操作系統(tǒng)的安全性實際上就影響到整個安全產(chǎn)品的安全性，目前主流的 OS 主要是微軟和 UNIX/Linux 兩大類，所有這些操作系統(tǒng)都具有一定數(shù)量的 Bugs，這些漏洞也隨之成為整個安全產(chǎn)品的漏洞。而隔離網(wǎng)閘很好地解決了這個問題，其內(nèi)網(wǎng)處理服務器上的操作系統(tǒng)完全不對外暴露，暴露在外的僅僅是負責外網(wǎng)處理的服務器，即使該服務器因操作系統(tǒng) Bugs 被攻擊，實際上也無法進一步影響內(nèi)網(wǎng)處理服務器，因為內(nèi)外網(wǎng)是物理斷開的。實際上，與防火墻等其它安全產(chǎn)品不同，黑客無法利用現(xiàn)有操作系統(tǒng) Bugs 獲得對隔離網(wǎng)閘結(jié)構(gòu)的控制權(quán)。

　3) 強化安全決策過程的安全性。安全決策是最重要和基礎的安全防御手段之一，安全決策包括認證、訪問控制列表（ACL）、內(nèi)容過濾以及格式檢查等一系列方式。安全決策功能一旦失效，惡意訪問將無阻礙地進入受保護網(wǎng)絡（例如訪問控制列表被更改，已禁止端口被開放等）。目前的網(wǎng)絡安全產(chǎn)品對決策模塊的防護能力相對較弱，而隔離網(wǎng)閘則將所有安全決策過程置于中立的與內(nèi)外網(wǎng)沒有連接的隔離區(qū)內(nèi)完成，且關(guān)鍵的策略庫置于與被檢查數(shù)據(jù)物理斷開的受保護端（LAN）服務器上，因此，策略庫和決策過程都十分安全，未經(jīng)嚴格檢查的數(shù)據(jù)將始終被隔離在受保護網(wǎng)絡（LAN）以外，確保決策過程的安全。

　4) 數(shù)據(jù)靜態(tài)化。在隔離網(wǎng)閘中，所有進入網(wǎng)閘內(nèi)的數(shù)據(jù)在傳遞過程中都是靜態(tài)的，其內(nèi)容不被任何程序執(zhí)行，僅僅是對靜態(tài)內(nèi)容實施檢查和決策，因此，這些數(shù)據(jù)本身攜帶的任何惡意代碼都無法執(zhí)行，也就無法危及系統(tǒng)的安全，整個系統(tǒng)安全可靠。

　3.4 產(chǎn)品特點

　? ViGap300 是一款面向大型網(wǎng)絡的安全隔離系統(tǒng)，為各類黨政部門、軍事單位、金融電信、科研院校及企事業(yè)單位等關(guān)鍵部門的內(nèi)部網(wǎng)絡或服務器提供網(wǎng)絡隔離環(huán)境下的實時隔離保護，并在可控狀態(tài)下實現(xiàn)內(nèi)部網(wǎng)絡或服務器與外界的實時（適度）信息交換。

　? 采用獨特的“2＋1”安全體系架構(gòu)，通過基于 ASIC 芯片技術(shù)設計的專用隔離電子開關(guān)系統(tǒng)，實現(xiàn)用戶關(guān)鍵網(wǎng)絡及服務系統(tǒng)與外界的物理隔斷，實現(xiàn)鏈路層與網(wǎng)絡層的徹底斷開。

　? 采用高性能和多條流水線設計的 ASIC 芯片為基礎建立的全新硬件隔離架構(gòu)，擁有全線速隔離交換性能，滿足大型網(wǎng)絡應用所面對大用戶量、低延時訪問的需求。在核心的 GAP 電子開關(guān)隔離芯片上采用了含 TRUE LVDS功能強大的 APXII 系列 EP2A70 作為 FPGA 設計硬件基片，該芯片具有 500萬門電路以及多路 Giga 位的通道，支持內(nèi)部高達 1060 個硬件 I/Os 通道，使得電子開關(guān)具有高速的數(shù)據(jù)傳輸能力和并發(fā)處理能力。

　? 充分考慮關(guān)鍵應用對可靠性、可用性的要求，獨家采用負載均衡技術(shù)以及基于應用協(xié)議連接資源保護的 QOS 服務質(zhì)量控制技術(shù)消除單點故障和網(wǎng)

　絡實現(xiàn)對網(wǎng)絡服務的高可靠性及可用性保證。

　? 采用無協(xié)議的“GAP Reflective”，GAP 隔離反射技術(shù)實現(xiàn)開放網(wǎng)絡通訊協(xié)議的剝離與重組，有效阻斷來自網(wǎng)絡層及服務器 OS 層的各類已知/未知攻擊，彌補其它安全技術(shù)對網(wǎng)絡未知攻擊的防御盲區(qū)。

　? 廣泛支持各類通用應用協(xié)議（HTTP、FTP、SMTP、DNS、SQL 等），包括支持視頻會議、流媒體以及 VPN 等特殊應用代理以及用戶定制協(xié)議，無需再進行二次開發(fā)或單獨購買模塊。

　? 采用專利技術(shù)的應用層安全防御系統(tǒng)，ViGap300 特別針對廣泛應用的WEB、EMAIL 和 FTP 等服務采用專利技術(shù) Web Application™，實現(xiàn)了全面應用層安全防護，可防止WEB溢出漏洞、Unicode漏洞、Inject攻擊、Cookie中毒、惡意 JavaScript、ActiveX 控件甚至 CGI 腳本等各類應用層安全風險。

　? 智能化攻擊識別與過濾，ViGap300 采用先進的應用層協(xié)議分析技術(shù)智能識別并過濾大量基于應用層協(xié)議的攻擊行為，ViGap300 提供目前市場上豐富的協(xié)議分析模塊，全面防護各類應用系統(tǒng)安全風險，包括：HTTP、FTP、SMTP、POP3、IMAP、DNS 等數(shù)十種協(xié)議分析模塊。

　3.5 產(chǎn)品功能

　3.5.1 系統(tǒng)可靠性

　? 雙機熱備功能模塊 ViGap300 系列產(chǎn)品針對大型網(wǎng)絡的應用提供了雙機熱備份功能，實現(xiàn)系統(tǒng)的穩(wěn)定可靠運行。通過內(nèi)置的雙機熱備系統(tǒng)，連接在同一個網(wǎng)絡內(nèi)的多臺 ViGap300設備可以建立雙機熱備機制，并通過虛擬 IP 統(tǒng)一對外提供服務。從設備不斷發(fā)出心跳信息偵測主設備狀態(tài)，一旦主設備出現(xiàn)故障從設備將立即接管并繼續(xù)提供服務。結(jié)合 ViGap300 獨有的狀態(tài)檢測系統(tǒng)，管理員能夠迅速發(fā)現(xiàn)設備故障并作出處理。

　? 系統(tǒng)工作狀態(tài)檢測與報警

　ViGap300 系列采用基于工業(yè)控制系統(tǒng)的架構(gòu)設計，具備良好的穩(wěn)定性。并且建立了設備狀態(tài)檢測系統(tǒng)，在開機狀態(tài)下持續(xù)對系統(tǒng)各硬件板卡及軟件模塊進

　行檢查，并將系統(tǒng)狀態(tài)顯示在液晶面板上，管理員可針對故障信息迅速了解故障原因并作出響應。

　 同時，ViGap300 系列軟件系統(tǒng)采用了先進的自愈技術(shù)，當故障發(fā)生時可迅速命令系統(tǒng)重啟恢復到正常工作狀態(tài)。

　3.5.2 系統(tǒng)可用性

　ViGap300 系列為滿足高性能的網(wǎng)絡處理而設計，因此，必須支持大規(guī)模的并發(fā)訪問和高帶寬的數(shù)據(jù)吞吐。除了采用更高端的處理系統(tǒng)、內(nèi)存以及接口以外，ViGap300 系列還設計了最大支持 32 臺設備的負載平衡系統(tǒng)來實現(xiàn)高可用性。

　 ViGap300系列的負載平衡系統(tǒng)通過仲裁網(wǎng)絡流量方式實現(xiàn)流量在ViGap300集群中的平均分配，從而將處理性能大幅提升。

　3.5.3 安全功能

　? 網(wǎng)絡隔離功能 ViGap300 系列具有網(wǎng)絡隔離功能，通過基于 ASIC 設計的硬件電子開關(guān)實現(xiàn)可信、不可信網(wǎng)絡間的物理斷開，保護可信網(wǎng)絡免遭黑客攻擊。

　? 數(shù)據(jù)靜態(tài)化 采用“裸數(shù)據(jù)”機制，運用協(xié)議剝離和重組技術(shù)，在網(wǎng)閘內(nèi)部實現(xiàn)“裸數(shù)據(jù)”和數(shù)據(jù)靜態(tài)化，有效的防止網(wǎng)絡上未知攻擊。

　? IDS 入侵檢測功能

　ViGap300 系列在設備兩端內(nèi)置了 IDS 入侵檢測引擎，該引擎可有效保護系統(tǒng)自身及受保護網(wǎng)絡免受攻擊者的頻繁攻擊。該系統(tǒng)將自動分析對受保護內(nèi)網(wǎng)的訪問請求，并與 ViGAP300 隔離系統(tǒng)實現(xiàn)內(nèi)部聯(lián)動對可疑數(shù)據(jù)包采取拒絕連接的方式防御攻擊。

　 ? SAT（服務器地址映射）功能

　ViGap300 系列具備完善的 SAT 功能，可信端服務器可通過 SAT 功能將自身的

　特定服務虛擬映射到 ViGap300 系列的不可信端接口上，通過隔離系統(tǒng)的不可信端虛擬端口對外提供服務，訪問者僅能訪問虛擬端口而無法直接連接服務器，從而對外屏蔽服務器，防止服務器遭到攻擊。

　? 身份認證功能

　不同于部門級網(wǎng)絡，大型網(wǎng)絡對身份認證的要求極高，且需要基于第三方的統(tǒng)一身份認證服務。ViGap300 系列除了提供基本的用戶名/口令身份認證功能以外，還可與外部認證系統(tǒng)集成支持擴展的 Radius、PKI 數(shù)字證書、SecureID 等多種強身份認證功能。

　 ? 安全代理服務功能

　ViGap300 系列允許可信端用戶以應用代理方式訪問不可信網(wǎng)絡，ViGap300 系列作為應用代理網(wǎng)關(guān)對內(nèi)網(wǎng)訪問請求進行檢測，相對于傳統(tǒng)的基于網(wǎng)絡層的 NAT方式來說，由于代理服務在應用層對訪問請求進行檢測具有更細的粒度和檢查元素，因此，對訪問具有更高的安全控制能力。

　? AI 安全過濾功能

　 應用智能能夠使您根據(jù)來源、目的地、用戶特權(quán)和時間來控制對特定的 HTTP、SMTP 或 FTP 等資源的訪問。ViGap300 系列產(chǎn)品通過協(xié)議分析技術(shù)提供應用級的安全過濾以保護數(shù)據(jù)和應用服務器免受惡意 Java 和 ActiveX applet 的攻擊。ViGap300 系列在 AI 功能中新增了安全功能，包括：確認通信是否遵循相關(guān)的協(xié)議標準；進行異常協(xié)議檢測；限制應用程序攜帶惡意數(shù)據(jù)的能力；對應用層操作進行控制，這些新功能對企業(yè)級網(wǎng)絡環(huán)境中應用層的安全控制起到了很重要的強化作用。

　? 防病毒功能 系統(tǒng)內(nèi)嵌防病毒引擎，可實現(xiàn)對內(nèi)外網(wǎng)擺渡數(shù)據(jù)的病毒查殺，其防水墻模塊可有效阻止內(nèi)網(wǎng)信息的外泄及木馬、蠕蟲等惡意程序通過 HTTP、SMTP 等方式向外泄漏信息。實現(xiàn)對病毒的高效查殺，支持包括 HTTP、SMTP、POP3 協(xié)議的網(wǎng)關(guān)級病毒過濾。

　? 內(nèi)容及格式檢測功能

　ViGap300 系列具備內(nèi)容過濾及文件格式檢查功能，對管理員指定格式的文件或指定內(nèi)容關(guān)鍵字的郵件、網(wǎng)頁、FTP 文件等具有安全過濾功能，能夠阻止敏感的信息外泄或惡意程序的入侵。

　? VPN 通訊安全

　ViGap300 系列對受保護 WEB 服務器提供內(nèi)置的 SSL VPN 加密通訊機制，建立客戶端與虛擬服務端口間的 SSL 加密 VPN 鏈路，實現(xiàn)通訊安全。該加密方式無需修改客戶端設置，透明實現(xiàn)客戶端與服務器端的加密通訊。

　? WEB 站點保護功能

　 目前大量應用基于 B/S 架構(gòu)開發(fā)，WEB 服務成為了越來越通用的服務，然而WEB 服務器的大量漏洞也時時威脅著應用系統(tǒng)的安全。ViGap300 系列全面分析了來自 WEB 服務的漏洞，建立了 WEB 站點保護系統(tǒng) Web Application™，全面抵御黑客對用戶對外 WEB、MAIL 以及 FTP 系統(tǒng)服務系統(tǒng)發(fā)動的攻擊。包括：Cookie 安全簽名、URL 字段細粒度過濾、輸入?yún)��?shù)檢測、操作系統(tǒng)屏蔽、Web service 函數(shù)、CGI 調(diào)用函數(shù)、特別針對 WEB 的 IDS 檢測、文件目錄及文件訪問控制等功能。

　? 規(guī)則庫后置 偉思 ViGap300 將規(guī)則庫后置在網(wǎng)閘的內(nèi)網(wǎng)可信端一側(cè)，通過芯片級的隔離部件和“裸數(shù)據(jù)”擺渡機制的保護，使得放置于 GAP 產(chǎn)品的受保護網(wǎng)絡端（即后端）的規(guī)則庫具有嚴格的在外部網(wǎng)絡端不可修改特性，保護規(guī)則庫的安全。

　3.5.4 系統(tǒng)管理

　? 輕松管理 ViGap300 系列安全管理架構(gòu)允許管理員將多個隔離與信息交換系統(tǒng)設備部署到任何位置上并對其進行集中式管理。一旦創(chuàng)建或修改了策略，它就被自動分發(fā)到規(guī)則指定的所在位置。

　? 良好的用戶界面 ViGap300 系列提供了一個良好的用戶界面，以樹型結(jié)構(gòu)組織對象，可在所有規(guī)則中共享所有的對象定義（例如：用戶、主機、網(wǎng)絡和服務等等），以便進行有

　效的策略創(chuàng)建和安全管理。

　? 豐富的日志及審計模塊 ViGap300 系列管理平臺能夠監(jiān)控并記錄 ViGap300 系列產(chǎn)品的系統(tǒng)狀態(tài)。全面審計網(wǎng)絡活動、入侵活動、管理員的配置操作、系統(tǒng)錯誤信息、違反規(guī)則的過濾信息等日志信息，支持日志擴展，導出日志到第三方系統(tǒng)進行專業(yè)分析。

　3.5.5 應用支持

　? 安全上網(wǎng) ViGap300 系列支持用戶安全上網(wǎng)應用，可根據(jù)身份認證、IP＋MAC 綁定等多種安全策略實現(xiàn)用戶安全上網(wǎng)應用，同時支持透明應用代理方式，客戶端無需設置。

　? 數(shù)據(jù)庫應用模塊 ViGap300 系列全面支持各種類型的數(shù)據(jù)庫應用，支持 Oracle、MS SQL、MySQL、Sybase 等主流的數(shù)據(jù)庫的 SQL 查詢，支持全表復制、增量更新、全表更新等多種數(shù)據(jù)庫同步方式，并支持自定義表和字段。

　? 文件交換和消息應用模塊 ViGap300 系列全面支持各種類型的文件同步，包括 SAMBA、NFS 等協(xié)議應用的文件同步，支持基于消息中間件的網(wǎng)絡同步應用，提供消息模式數(shù)據(jù)轉(zhuǎn)發(fā)和同步。

　? 網(wǎng)絡應用 ViGap300 系列支持各類 TCP/IP 以上的網(wǎng)絡應用協(xié)議，無需二次開發(fā)。包括：HTTP、SMTP、POP3、DNS、FTP、NFS、MMS、IM、VOIP 等等。支持用戶自定義開發(fā)的特殊應用協(xié)議。支持網(wǎng)閘訪問的單向、雙向自定義。同時，針對用戶特殊需求ViGap300 系列提供 API 應用開發(fā)接口。

　? 即插即用 網(wǎng)閘設備的應用，不會改變現(xiàn)有網(wǎng)絡拓撲結(jié)構(gòu)，不改變原有網(wǎng)絡和業(yè)務系統(tǒng)，

　網(wǎng)閘的應用，對原有網(wǎng)絡無需做大的改動。

　3.6 偉思 0 ViGap300 系統(tǒng)性能參數(shù)

　偉思 ViGap300 提供千兆安全隔離與交換系統(tǒng)，其主要性能指標如下：

　? ViGap300 網(wǎng)絡吞吐量性能：>600Mbps ? ViGap300 隔離硬件芯片數(shù)據(jù)交換速率：5Gbps ? ViGap300 系統(tǒng)時延：2ns 級 ? ViGap300 并發(fā)連接數(shù)：>=12000 ? 平均無故障運行時間：>60000 小時 ? 支持冗余電源擴展，提供高可用性 ? 用戶數(shù)支持：無限制 4 系統(tǒng)支持與服務方案

　4 41 .1 售后服務

　我們提供的售后服務內(nèi)容主要包括以下幾個方面：

　電話支持 提供專用售后服務技術(shù)電話，為用戶進行有關(guān)產(chǎn)品使用的電話答疑和操作指導等。我們的技術(shù)支持電話為：（0756）3391616－技術(shù)部 提供免費電話支持服務：400-881-8180；800-830-7670

　E-mail 支持 提供E-mail支持，解答用戶有關(guān)安全產(chǎn)品使用疑問的電子郵件。偉思公司的技術(shù)支持E-mail為：Service@victory-idea.com

　網(wǎng)站支持 在公司網(wǎng)站上發(fā)布有關(guān)產(chǎn)品的信息，如FAQ、產(chǎn)品使用交流BBS、支持信息等對客戶進行知識服務。用戶和代理商可隨時瀏覽網(wǎng)站，查看有關(guān)內(nèi)容或進行在線交流等。偉思公司的網(wǎng)址為：www.victory-idea.comH。

　現(xiàn)場支持 偉思公司承諾對貴單位安全工程的快速反應能力。在確認需要現(xiàn)場支持后，按照故障級別，會采取不同級別的現(xiàn)場技術(shù)支持。

　產(chǎn)品更新服務 偉思公司將在網(wǎng)上及時發(fā)布最新的升級程序�？梢酝ㄟ^網(wǎng)上更新的方式進行升級。

　產(chǎn)品的升級服務 當產(chǎn)品有版本的升級時，偉思承諾在第一時間將有關(guān)升級情況公布在公司的網(wǎng)頁上；提供升級介質(zhì)和升級培訓服務。

　4 42 .2 培訓計劃

　貴單位的網(wǎng)絡管理人員和業(yè)務工作人員的培訓是本次安全建設項目的重要組成部分，是實現(xiàn)業(yè)務網(wǎng)絡安全、提高安全系統(tǒng)效率的重要保證。為此，我們?yōu)橘F單位制定了如下的培訓計劃，對技術(shù)人員進行必要的培訓，確保技術(shù)人員自己能對安全產(chǎn)品進行日常的維護。

　培訓目的 本次培訓的主要目的是讓貴單位的技術(shù)人員可以系統(tǒng)地了解 ViGap 隔離網(wǎng)閘的架構(gòu)、實現(xiàn)原理、策略設定及管理方式。達到能夠熟練安裝、調(diào)試及維護安全產(chǎn)品，可以處理一般常見問題的目的。

　培訓對象 培訓的對象主要分為貴單位的安全管理人員、技術(shù)人員，另外，參加培訓的人員還會有相關(guān)的代理商、集成商的技術(shù)人員等。

　培訓內(nèi)容 根據(jù)本次安全建設所涉及到的安全產(chǎn)品，及培訓對象的不同，準備的培訓課程如下表：

　課程名稱 培訓講師 培訓時間 培訓地點 網(wǎng)絡基礎知識培訓 資深網(wǎng)絡安全工程師 2 天

　網(wǎng)絡安全基礎知識培訓 資深網(wǎng)絡安全工程師

　安全管理培訓 資深網(wǎng)絡安全工程師

　隔離網(wǎng)閘技術(shù)培訓 資深網(wǎng)絡安全工程師

　具體的培訓內(nèi)容可以根據(jù)貴單位的實際情況進行靈活的調(diào)整。偉思公司在培訓前會準備好相應的培訓教材,包括產(chǎn)品技術(shù)培訓教材和相應的 PPT 文檔等，培訓講師由偉思公司和相關(guān)廠商的資深技術(shù)人員擔任，培訓地點將與貴單位協(xié)商后確定。

　培訓方法 本次培訓力求體現(xiàn)簡單、實用的特點，針對不同的培訓對象，選派不同的培訓教員，采用不同的培訓方法。網(wǎng)絡安全管理人員能夠在培訓后了解一般的安全知識，掌握網(wǎng)絡安全基礎理論知識，熟悉隔離網(wǎng)閘產(chǎn)品的安裝、維護，能解決一般的常見問題，具備安全管理的能力。具體方法如下：

　步驟 1：培訓教師詳細講解培訓內(nèi)容中的重點、難點。

　步驟 2：用戶對培訓中存在的問題進行提問，并由培訓教師進行解答。

　步驟 3：培訓教師在具體環(huán)境上進行產(chǎn)品演示 步驟 4：用戶自己在具體環(huán)境上進行實踐。

相關(guān)熱詞搜索：網(wǎng)絡安全 隔離 建議