3.4 安全隔离区
为保证部队计算机网络的安全，在低密级应用服务区和高密级计算机网络之间利用单向隔离等技术手段保证两个网络之间的安全隔离。
参照等级保护的要求，本区域主要实现：主机安全和数据安全。
本区域主要实现的安全功能有：安全审计、安全隔离、格式检查、内容过滤、单向导入、安全加固等
3.4.1 数据导入
在安全隔离区，在数据采集进入部队高绝密计算机网络方向，通过单向光闸将导入前置的数据单向摆渡至导入服务器，然后利用防火墙进一步净化数据，传入至内网应用系统。
3.4.1.1 导入前置机和导入服务器
单向光闸两侧分别部署导入前置机和导入服务器。单向光闸设备从导入前置机主动获取数据，单向摆渡至导入服务器上。
单向隔离光闸设备利用光的单向性的物理特性，保证数据仅能利用光闸从导入前置机单向传入至导入服务器，而没有任何反向的可能，为进一步增强安全性，导入服务器和部队内网应用系统之间采用防火墙作为逻辑隔离手段。
对两侧的导入服务器，均需要进行安全加固和安装正版的杀毒软件等一系列安全处理。保证服务器以最精简、最安全的方式运行。
3.4.1.2 单向隔离光闸
安全隔离与信息单向导入系统，在产品形式上，即为此处提及的单向隔离光闸。
单向隔离光闸由内网单元、外网单元、分光单向传输单元三个逻辑部分组成，它基于光隔离平台的通信服务，采用经过优化的传输和分组算法，将数据传输的功能整合统一，使得用户在享受光闸的超高强度安全性的同时，可以灵活的制定
第 11 页/共 15 页
隔离解决方案，实现 “在特定的时间，特定的地点，用特定的身份，以特定的方式传输特定的数据”，安全性、灵活性、高可靠性以及高可配置性等需求同时满足最大限度平衡用户的安全、功能和效率要求。
图3 单向隔离光闸
单向隔离光闸根据业务的具体需求，不仅可以实现文件数据的单向安全传输，而且可实现数据库的单向同步传输，支持主流的FTP、Samba文件传输协议，支持Oracle、SQL Server、Sybase、DB2主流的数据库。
产品特性：
? 支持异构不同数据库之间的数据交换，现在支持四大常用的数据库之间
的互相交换。
? 数据库交换模式包含全表机制和触发器机制全表机制按照用户定义的时
间间隔，根据用户配置过的表和字段把源表的全部数据传送到目的表中。
? 支持对交换的数据进行内容的过滤，根据用户的定义内容黑名单对数据
库中的数据进行过滤，对不符合的数据不进行交换。
? 支持对数据库数据中的大字段进行格式检查。查看大字段中有没有木马
和病毒的特征码的判断和大字段数据的数据具体的文件格式是不是符合要求。
? 可依据用户设置的同步条件判断是否同步以及同步策略。
? 可自行调度任务的执行周期、频率、次数、每周期数据处理量等，满足
特殊的要求。
第 12 页/共 15 页
? 支持文件传输优先级设定；
? 网闸关机/重启缓存中的目录和文件不丢失；
? 能够自动清理缓存中的文件碎片，修复文件系统错误； ? 保证文件传输效率。
单向隔离光闸产品在本方案中，用于将导入前置机的互联网暂存数据安全摆渡至导入服务器，并采用防火墙逻辑隔离手段，进一步净化数据至部队内网应用服务系统，以供业务使用。
银河玉衡文件单向传输管理系统YH-FTMS技术规格
2009年12月该系统通过了中国人民解放军信息安全测评认证中心的认证，获得了军B级的高安全等级。目前，银河玉衡文件单向传输系统已成功应用于解放军报、国防科技大学、中电54所等单位，取得了良好的应用效果和用户好评。
产品外观 功能分类 个人网盘 功能项 用户网盘 文件上传 文件下载 文件新建 文件修改 文件删除 文件重命名 文件移动 新建目录 删除目录 WEB界面文件单向传输功能 端系统文件同步 文件单向传输 单向传输流量控制 手动传输文件 文件夹自动同步 功能说明 每个注册用户拥有独立的网盘空间。 合法用户可把文件从本地磁盘空间上传到网盘空间。 合法用户可以WEB页面的形式从网盘空间下载文件。 在网盘空间内新建文件。 对网盘空间内的文件内容进行编辑修改。 删除网盘空间内的文件。 将网盘空间的文件重命名。 将网盘空间的文件移动到不同的目录。 在网盘空间内新建一个目录。 删除网盘空间内的用户目录及其中所有文件。 将外端机中注册用户的文件单向传输到内端机中相应注册用户网盘空间内，且保持目录结构不变。 对系统全局的单向传输速率进行控制，较低的传输速率可以加大文件传输的成功率。 从外网端系统向内网端系统传输单个文件。 将外网端系统指定文件夹中的文件自动同步到内网端系统特定文件夹中。 手动将外网中的数据库信息单向同步到内网中的数据库。 定时将外网中的数据库变化信息自动单向同步到内网中的数据库。 第 13 页/共 15 页
数据库同步 数据库手动同步 数据库自动同步
支持多种数据库类型 外网向内网发送邮件 用户管理 内外网邮件代理 邮件从外网发送到内网 用户注册 支持Oracle、SQLServer等多种数据库的同步。 在内外网分别提供邮件代理服务 通过内外网邮件代理，外网用户可以向内网邮件服务器发送邮件。 支持两种用户注册方式： （1）管理员代为注册：管理员手工添加一个用户，用户分为普通用户和管理员用户两类。 （2）用户自助注册：用户自助提交注册申请，由管理员审核后注册生效。 删除一个系统用户及其所有的文件和目录。 修改用户相关的特定个人信息。 用户口令加密存储，保护用户隐私。 提供系统管理的安全身份鉴别功能，身份鉴别基于用户名/口令实现。 可限定系统的管理终端使用范围。 用户删除 用户信息修改 用户口令加密存储 安全控制功能 密码身份认证 管理终端限制 病毒检测（YH-FTMS 对上传的文件进行病毒扫描和查杀。 TR800） 文件类型检测（YH-FTMS TR800） 内容深度检查（YH-FTMS TR800） 系统监控与审计功能 系统监控 日志审计 提供传输文件类型与文件后缀的一致性检测功能。 提供传输数据文件内容的检查和过滤功能。 提供对系统运行状态的实时监控功能。 提供对用户访问行为、安全事件信息、系统日志信息的记录及审计功能。
3.4.2 数据导出
出于保护部队内网绝密信息的安全，对于数据从部队内网流出而应用于部队网络的需求，采用离线处理的数据导出方式或光闸单向传输方式进行物理隔离，保证高安全性，并在安全隔离区和部队绝密内网建立导出服务器，采用安全加固、强审计等技术手段经一步提升安全性。
3.4.2.1 导出前置机和导出服务器
安全隔离区和内网分别部署数据导出前置机和导出服务器组成单向导出系统。它们结合离线数据导入处理机制，实现数据的离线导出。
数据的离线处理（导出），只允许从内网的数据导出服务器经由物理存储设
第 14 页/共 15 页
备人工导出的方式导出。每次导出的数据以文件形式存储，并附加校验码和时间戳，导出到应用服务区的导出前置机之后进行校对，确保数据完整性；如有必要，进行加密存储。
对导出前置机和导出服务器均需要进行安全加固和安装正版的杀毒软件等一系列安全处理。保证服务器以最精简、最安全的方式运行。
3.4.2.2 离线处理
针对目前部队共享网络需要利用部队计算机网络内部的数据的需求，局限于目前的技术水平和相关制度规范的制约，为保证部队计算机网络数据的安全性，不能直接利用网络进行交换。
为保证数据可控安全地导出，需要在部队计算机网络内部设置专门的“导出服务器”，对可导出的数据可进行大小限制，对导出时间，导出设备硬件特征码等等进行强审计，对数据打包签名，以便数据导出前置进行完整性校验。
使用的设备可选用U盘、光盘、移动硬盘的形式，由专人在限定的时间内限次导入至前置服务区的“导出前置机”供互联网业务应用。
建议：也可以通过增加一套单向传输系统进行数据和文件导出
3.5 与等级保护三级的对应
1、物理安全主要依托于部队现有的先行物理安全技术，它已经完全能响应等保三级的要求细节，本方案不作其他建议。
2、网络安全方面，可选用防火墙设备，并结合IDS/IPS设备及三层交换设备来响应。
3、在应用服务区，部署有和互联网相关的应用服务器，它们主要采用安全加固、漏洞补丁、防篡改等手段保证应用安全。
4、主机安全、数据安全通过对安全隔离区的导入前置机、导出前置机、导入服务器的系统进行精简、安全加固，安装正版杀毒软件等安全手段，并借助单向隔离光闸及离线处理（导出）等方式满足等保三级的两个方面要求。
第 15 页/共 15 页