单向文件传输光闸在部队计算机
网络中的应用
2014年1月
第 1 页/共 15 页
目录
1
建设目标和参考依据 ............................................................................................................... 3 1.1 建设目标 ....................................................................................................................... 3 1.2 部队的安全需要 ........................................................................................................... 3 1.3 安全策略 ....................................................................................................................... 3 总体设计 ................................................................................................................................... 4 2.1 总体架构 ....................................................................................................................... 4 2.2 安全设计 ....................................................................................................................... 5
2.2.1 物理安全设计 ................................................................................................... 5 2.2.2 网络安全设计 ................................................................................................... 5 2.2.3 主机安全设计 ................................................................................................... 6 2.2.4 应用安全设计 ................................................................................................... 7 2.2.5 数据安全设计 ................................................................................................... 7 2.3 管理设计 ....................................................................................................................... 8
2.3.1 安全管理制度 ................................................................................................... 8 2.3.2 系统建设管理 ................................................................................................... 8 2.3.3 系统运维管理 ................................................................................................... 8 建设方案 ................................................................................................................................... 9 3.1 部署方案 ....................................................................................................................... 9 3.2 逻辑隔离 ..................................................................................... 错误！未定义书签。 3.3 边界保护区 ................................................................................................................. 10 3.4 应用服务区 ................................................................................................................. 10 3.5 安全隔离区 ................................................................................................................. 11
3.5.1 数据导入 ......................................................................................................... 11 3.5.2 数据导出 ......................................................................................................... 14 3.6 与等级保护三级的对应 ............................................................................................. 15 方案总结 ................................................................................................. 错误！未定义书签。
2
3
4
第 2 页/共 15 页
1 建设目标和参考依据
1.1 建设目标
20世纪90年代以来，网络在全球的迅猛发展为人们提供了方便、自由的网络环境，网络逐渐成为生活中的重要介质。我国的部队在科技发展大潮中，提出科技强军的口号，出现了自动化、网络化的趋势，网络迅速普及，被广泛应用于人员管理、物资管理、作战指挥、命令的上传和上达等工作中。随着网络的迅速普及，网络系统本身所具有的脆弱性日益显现出来。部队是有极高涉密性的单位，其系统中的信息和数据被非法窃取、篡改、伪造或者删除，会给部队安全乃至国宝安全带来巨大的威胁。所以，加强部队网络安全势在必行。基于以上情况，我们提出针对部队网络的安全方案。
1.2 部队的安全需要
通过对部队系统的风险分析及需要解决的安全问题，我们需要制定合理的安全策略及安全方案来保证部队网络系统的机密性、完整性、可用性、可控性、可审查性和可恢复性。 机密性：信息不暴露给未授权的实体或进程。 完整性：保证数据不被未授权修改。 可用性：授权实体有权访问数据。
可控性：控制授权范围内的信息流向及操作方式。 可审查性：对出现的安全问题提供依据与手段。
可恢复性：对于删除、篡改和破坏的数据能够恢复达到继续使用的目的，对物理力破坏的网络瘫痪，能迅速维修网络达到畅通可用。
1.3 安全策略
针对以上分析，提出以下安全策略： 1. 对部队内部网络相对低密度网络
（1） 采用漏洞扫描技术，对重要的网络设备进行风险评估，保证部队网络系统在最优状
态下运行
（2） 采用防火墙技术、NAT技术、VPN技术、网络加密技术、网络实时监测等技术构建
防御系统。
（3） 实时响应与恢复：制定和完善安全管理体制，提高对网络攻击等实时响应和恢复能
力。
（4） 建立分层管理和各级网络安全管理中心
2. 对部队高保密的网络
在物理层面进行物理隔离，采用文件数据单向传输的方式，保证高机密文件的绝对安全。
第 3 页/共 15 页
2 总体设计
2.1 总体架构
图1 总体架构设计
边界接入平台整体架设在部队外部网络与部队内部网络之间，分为路由接入区、边界保护区、应用服务区、安全隔离区及安全监测管理区5个区域。
路由接入区负责线路接入，此区域内设备一般为原有设备，如接入路由器。本方案中，接入链路为互联网链路。
边界保护区负责对网络边界的保护，主要设备有防火墙、防毒墙、三层交换机、入侵检测/防御系统（IDS/IPS）、可信边界网关等，负责实现网络身份认证、访问控制和权限管理、数据机密性和完整性保护、防御网络攻击和嗅探等。
应用服务区内主要处理各类与应用相关的操作，是部队内网对外信息服务、信息采集、数据交换的中间区域。区域内的服务器设备一般由业务应用系统承建商提供，为用户主要的应用系统。该区域主要安全功能为：作为接入终端网络连接的终点，实现应用级身份认证、访问控制、应用代理、数据暂存等功能；防止对部队内网的非法访问和信息泄露。对此区域，应加强对服务器等设备的安全保
第 4 页/共 15 页
护，应具有病毒、木马防护功能，防止病毒传播与非法控制。
安全隔离区实现部队高绝密计算机网络与应用服务区的安全隔离与信息交换。该区域主要功能是实现部队高绝密计算机网络与应用服务区的安全网络隔离。根据安全策略，对出入部队内网的数据分别进行协议剥离、格式检查和内容过滤，实现部队高绝密计算机网络和应用服务区之间的安全数据交换。主要设备为安全数据交换系统，由导入前置机、单向隔离光闸、导入服务器串行连接组成。
安全监测管理区实现整个接入平台的安全监测，管理与维护。该区域主要安全功能为：对接入平台运行情况进行安全监测与审计；对接入平台及业务信息进行注册管理，各种安全策略管理，流量监测，统计分析，安全审计等；接入平台中网络设备、安全设备的配置管理及日常运行维护；补丁升级，漏洞扫描与病毒防范。
2.2 安全设计 2.2.1 物理安全设计
部队网络所依托的部队信息采集链路的设备部署于部队部门的信息中心。各级部队机关的信息中心在物理安全上一直尤为注重，对等级保护第三级所要求的物理位置、物理访问控制、防盗窃和防破坏、防雷击、防火、水、潮、静电、温湿度，电力供应，电磁防护等技术上均有严格的标准和制度，故在本方案设计中，仅需要遵循部队信息中心有关物理安全的已有设计即可。
2.2.2 网络安全设计
结构安全：根据业务实际需要并考虑扩展，选用业务处理能力比实际需求较高的产品。
访问控制：在网络边界可选部署集网闸类、防火墙类、网关类产品，可对进行细粒度的访问控制。可对进出网络的信息内容进行过滤，实现对应用层 HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；拥有细粒度为端口级，并根据会话状态信息为数据流提供明确的允许/拒绝访问处理，可将会话处于非活跃一定时间或会话结束后终止网络连接并通过限制网络最大流量数及网络连接数以
第 5 页/共 15 页