警務公開對公網(wǎng)數(shù)據(jù)傳輸單向項目邊界接入技術方案

1、公安警務公開（對公網(wǎng)數(shù)據(jù)傳播）項目邊界接入單向傳播系統(tǒng)TH-FTMS解決技術方案北京以利天誠科技有限公司 TIME yyyy年M月d日 6月17日目 錄 TOC o 1-3 h z u HYPERLINK l _Toc390789579 1、項目需求 PAGEREF _Toc390789579 h 3 HYPERLINK l _Toc390789580 2、解決方案設計 PAGEREF _Toc390789580 h 4 HYPERLINK l _Toc390789581 3、方案分析 PAGEREF _Toc390789581 h 5 HYPERLINK l _Toc390789582 3.

2、1單向導入鏈路 PAGEREF _Toc390789582 h 5 HYPERLINK l _Toc390789583 3.2單向出鏈路 PAGEREF _Toc390789583 h 6 HYPERLINK l _Toc390789584 3.3安全性分析 PAGEREF _Toc390789584 h 7 HYPERLINK l _Toc390789585 4、單向傳輸技術簡介 PAGEREF _Toc390789585 h 8 HYPERLINK l _Toc390789586 4.1單向傳輸技術原理 PAGEREF _Toc390789586 h 8 HYPERLINK l _Toc3

3、90789587 4.1.1單向傳輸體系架構 PAGEREF _Toc390789587 h 8 HYPERLINK l _Toc390789588 4.1.2分光單向傳輸單元工作原理 PAGEREF _Toc390789588 h 10 HYPERLINK l _Toc390789589 4.2軟件功能 PAGEREF _Toc390789589 h 111、項目需求隨著公安信息化建設的進一步開展，公安信息化系統(tǒng)已經(jīng)逐漸成為公安工作的核心基本，公安工作依托公安信息通信網(wǎng)（如下簡稱公安信息網(wǎng)），對于公安信息網(wǎng)上信息的完整性、及時性、精確性的規(guī)定日趨強烈。通過公安信息網(wǎng)廣泛的采集公共網(wǎng)絡的各類信

4、息，并全面提高公安機關服務水平及推廣便民措施是必然的發(fā)展趨勢。公安信息網(wǎng)在廣泛采集社會信息的同步，也必然面臨來自公共網(wǎng)絡的襲擊、入侵、病毒、木馬、探頭等多種類型的安全威脅，存在很大的安全風險，因此如何在接入公共網(wǎng)絡采集信息的同步有效的避免多種類型的襲擊成為公安信息網(wǎng)網(wǎng)絡邊界接入的核心課題。公安網(wǎng)絡是用于公安工作的專用網(wǎng)絡，其為提高公安工作效率和能力，提高戰(zhàn)斗力，發(fā)揮著重要作用，已成為公安工作離不開的重要基本設施。目前，為保障自治區(qū)公安機關從公網(wǎng)采集數(shù)據(jù)、面向公眾提供警務公開等便民服務，XX公安需建設“對公網(wǎng)數(shù)據(jù)傳播邊界接入”項目，因此公安信息網(wǎng)的安全、可靠運營是公安工作的重要保證。基于公安信息

5、網(wǎng)既有業(yè)務需求，以利天誠于推出的天誠_天河單向傳播系統(tǒng)作為公安信息網(wǎng)邊界接入業(yè)務與其她網(wǎng)絡進行數(shù)據(jù)互換和授權訪問的基本。在單向傳播系統(tǒng)提供單一業(yè)務支持、單點安全防護的基本上提出了覆蓋整個公安信息網(wǎng)邊界數(shù)據(jù)互換全業(yè)務流程的完整解決方案。將終端、網(wǎng)絡、通信、業(yè)務所有納入完整監(jiān)控管理體系，實現(xiàn)事件關聯(lián)管理。在實現(xiàn)大量業(yè)務信息互換的同步，保障公安信息網(wǎng)安全。本方案通過在公安信息網(wǎng)邊界建立一套完整的對公網(wǎng)數(shù)據(jù)傳播邊界接入平臺，加強信息共享和綜合應用，建成一套運營可靠、管理嚴密、控制有效、信息全面、監(jiān)管有力、便于維護、高效安全的對公網(wǎng)數(shù)據(jù)傳播邊界接入平臺系統(tǒng)。系統(tǒng)在保證采集社會信息的同步切斷公安信息網(wǎng)與公

6、網(wǎng)之間的網(wǎng)絡鏈接，保證了公安信息網(wǎng)的自身高高度安全；實現(xiàn)了公安信息網(wǎng)采集社會信息的同步發(fā)布信息的功能，提高了業(yè)務效率；系統(tǒng)將公安信息網(wǎng)邊界各業(yè)務系統(tǒng)進行無縫統(tǒng)一接入管理，提供了統(tǒng)一的對外出入口；系統(tǒng)提供了多種數(shù)據(jù)互換方式，并可對業(yè)務數(shù)據(jù)內容進行嚴格格式檢查，從主線上杜絕了不良信息進入公安信息網(wǎng)；本系統(tǒng)由北京以利天誠科技有限公司設計開發(fā)，擁有完全的自主知識產(chǎn)權，成熟可靠，可為公安顧客提供有力的后續(xù)開發(fā)、技術、服務保障。2、解決方案設計為解決警務公開及對公網(wǎng)數(shù)據(jù)傳播需求，我們設計了如下解決方案：參照公安信息網(wǎng)邊界接入平臺系統(tǒng)建設規(guī)定，劃分為如下幾種安全區(qū)域：路由接入?yún)^(qū)該區(qū)域實現(xiàn)公網(wǎng)接入鏈路與對公網(wǎng)

7、鏈路傳播鏈路中的外部應用服務區(qū)的連接。該區(qū)域重要安全功能為：實現(xiàn)路由訪問控制。邊界保護區(qū)該區(qū)域重要實現(xiàn)對公網(wǎng)鏈路傳播鏈路外部應用服務區(qū)的邊界保護。該區(qū)域重要安全功能為：實現(xiàn)網(wǎng)絡身份認證。訪問控制和權限管理；數(shù)據(jù)機密性和完整性保護；防御網(wǎng)絡襲擊和嗅探。外部應用服務區(qū)該區(qū)域重要解決各類與應用有關的操作，是公安信息通信網(wǎng)對外信息服務、信息發(fā)布，數(shù)據(jù)單向傳入、傳出的中間區(qū)域。該區(qū)域重要安全功能為：作為接入終端網(wǎng)絡連接的終點，實現(xiàn)應用級身份認證、訪問控制、應用代理、數(shù)據(jù)暫存等功能；避免對接入平臺應用服務區(qū)和公安信息通信網(wǎng)的非法訪問和信息泄露。對此區(qū)域，應加強對服務器等設備的安全保護，應具有病毒、木馬防護

8、功能，避免病毒傳播與非法控制。單向隔離區(qū)單向出鏈路的單向隔離區(qū)實現(xiàn)從邊界接入平臺應用服務區(qū)到單向出鏈路的外部應用服務區(qū)的單向數(shù)據(jù)傳播。單向入鏈路的單向隔離區(qū)實現(xiàn)從單向外部應用服務區(qū)到邊界接入平臺應用服務區(qū)的單向數(shù)據(jù)傳播。該區(qū)域的重要安全功能為：實現(xiàn)邊界接入平臺應用服務區(qū)與外部應用服務區(qū)的安全網(wǎng)絡隔離；根據(jù)安全方略，對從邊界接入平臺應用服務區(qū)出到單向出鏈路的外部應用服務區(qū)的數(shù)據(jù)進行格式檢查和內容過濾，實現(xiàn)公安信息通信網(wǎng)到公網(wǎng)的單向數(shù)據(jù)傳播；對從外部與應用服務區(qū)入到單向入鏈路的邊界接入平臺應用服務區(qū)的數(shù)據(jù)進行格式檢查和內容過濾，實現(xiàn)公網(wǎng)到公安信息通信網(wǎng)的單向數(shù)據(jù)傳播。安全監(jiān)測與管理區(qū)該區(qū)域實現(xiàn)整個

9、接入平臺的安全監(jiān)測，管理與維護。該區(qū)域重要安全功能為：對接入平臺運營狀況進行安全監(jiān)測與審計；對接入平臺及業(yè)務信息進行注冊管理，多種安全方略管理，流量監(jiān)測，記錄分析，安全審計等；接入平臺內網(wǎng)絡設備，安全設備的配備管理及平常運營維護；補丁升級，漏洞掃描與病毒防備。3、方案分析3.1單向導入鏈路如公安信息網(wǎng)需要從外部公網(wǎng)采集數(shù)據(jù)進入公安信息網(wǎng)，則流程如下圖：公網(wǎng)顧客將數(shù)據(jù)提交至外部應用服務區(qū)；公網(wǎng)顧客的網(wǎng)絡連接終結于外部應用服務區(qū)；單向傳播設備回絕任何向內部網(wǎng)絡的連接祈求；配備數(shù)據(jù)入鏈路上的單向傳播設備，積極連接外部應用服務區(qū)的數(shù)據(jù)服務器，將數(shù)據(jù)服務器中的數(shù)據(jù)（文獻/數(shù)據(jù)庫）抽取出來，統(tǒng)一打包成文獻

10、，傳播至邊界接入平臺系統(tǒng)應用服務區(qū)的數(shù)據(jù)導入服務器；此后由數(shù)據(jù)互換系統(tǒng)將數(shù)據(jù)抽取進入公安形象，過程同公安信息網(wǎng)邊界接入平臺系統(tǒng)。3.2單向出鏈路如公安信息網(wǎng)需將數(shù)據(jù)發(fā)布到從外部公網(wǎng)，對外提供便民服務，則流程如下圖：按照公安信息網(wǎng)邊界接入平臺系統(tǒng)社會企事業(yè)單位鏈路工作模式及數(shù)據(jù)傳播規(guī)定，將公安信息網(wǎng)的數(shù)據(jù)通過數(shù)據(jù)互換系統(tǒng)發(fā)布到應用服務區(qū)的數(shù)據(jù)導出服務器暫存；配備數(shù)據(jù)出鏈路上的單向傳播設備，積極連接應用服務區(qū)的數(shù)據(jù)導出服務器，將數(shù)據(jù)導出服務器中的數(shù)據(jù)（文獻/數(shù)據(jù)庫）抽取出來，統(tǒng)一打包成文獻，傳播至外部應用服務區(qū)的數(shù)據(jù)服務器；公網(wǎng)顧客登錄至外部應用服務區(qū)查詢、提取數(shù)據(jù)信息；公網(wǎng)顧客的網(wǎng)絡連接終結于外

11、部應用服務區(qū)；單向傳播設備回絕任何向內部網(wǎng)絡的連接祈求。3.3安全性分析本系統(tǒng)的安全風險重要來自公網(wǎng)，由于公網(wǎng)終端數(shù)量不可估計，故無法使用邊界接入平臺系統(tǒng)中的可信網(wǎng)關設備對外部終端設備逐個進行認證，重點考慮如何從應用、網(wǎng)絡、物理方面杜絕來自互聯(lián)網(wǎng)的風險。公網(wǎng)接入規(guī)劃在單獨的鏈路中進行建設，部署兩臺單向網(wǎng)閘嚴格辨別數(shù)據(jù)單向流入、單向流出的鏈路，并互相隔離，在不同的物理通道上傳播。單向網(wǎng)閘上只傳播指定格式和類型的靜態(tài)文獻內容，其她數(shù)據(jù)一概不予傳播。單向網(wǎng)閘使用積極獲取的方式從一端獲取數(shù)據(jù)后寫入到此外一端服務器中，“推”“拉”的工作機制可保證只有需要傳播的數(shù)據(jù)才被傳播，同步可對“推”“拉”過程進行認

12、證。在鏈路上部署防火墻設備，實行多重訪問控制方略，保證數(shù)據(jù)互換期間的網(wǎng)絡通信的網(wǎng)絡通信及訪問行為可控制。在公安信息網(wǎng)邊界部署數(shù)據(jù)互換系統(tǒng)以及單向傳播系統(tǒng)對互換的數(shù)據(jù)內容進行審查和過濾，涉及病毒查殺，保證公安信息網(wǎng)與外部網(wǎng)絡的隔離以及數(shù)據(jù)互換過程的安全。整個系統(tǒng)成為一套縱深防御體系，保證公安信息網(wǎng)與公網(wǎng)之間無直接及間接的網(wǎng)絡連接。4、單向傳播技術簡介本項目中使用了單向物理隔離設備：單向傳播來保證內部網(wǎng)絡與公網(wǎng)之間的物理隔離及數(shù)據(jù)交互。4.1單向傳播技術原理以利天誠單向傳播系統(tǒng)（TH-FTMS）通過持續(xù)開發(fā)、改善和近年來的應用實踐，證明了產(chǎn)品成熟穩(wěn)定、功能齊全，已經(jīng)成為“安全隔離與信息互換”產(chǎn)品技

13、術領域內的帶頭人、技術領先者和市場領先者。根據(jù)近年的市場和顧客反饋，以利天誠不斷增長技術和研發(fā)投入，正式推出以利天誠單向傳播（TG-FTMS）3.0版本，其功能全面、界面和諧、性能卓越、適應需求、簡樸易用。基于單向分光隔離技術的安全隔離產(chǎn)品，達到國際領先水平；完全符合國家保密局單向信息互換產(chǎn)品技術規(guī)定；使用高可靠性硬件設計，數(shù)據(jù)傳播模塊內置差錯校驗機制，數(shù)據(jù)差錯率不不小于1Bit/1TBit；在單向文獻傳播基本上實現(xiàn)了數(shù)據(jù)庫內容的單向同步，極大豐富單向傳播設備功能，具有更好的應用適應性。4.1.1單向傳播體系架構單向傳播設備仍然需要遵循網(wǎng)閘技術實現(xiàn)思路：“單向隔離-應用數(shù)據(jù)白名單方略-安全方式

14、獲取數(shù)據(jù)-數(shù)據(jù)內容檢查-安全方式發(fā)送數(shù)據(jù)”。以利天誠單向傳播完全遵循該技術定義來實現(xiàn)。體系架構如下圖：系統(tǒng)構成涉及內網(wǎng)單元、外網(wǎng)單元、分光單向傳播單元三個邏輯部分構成。內網(wǎng)單元與內部網(wǎng)相連，外網(wǎng)單元與外部網(wǎng)相連。分光單向傳播單元是內、外網(wǎng)單元之間唯一且安全的數(shù)據(jù)傳播通道。負責在保證內、外網(wǎng)單向隔離前提下，實現(xiàn)預定數(shù)據(jù)內容的單向傳播。以上的單向體系構造示意圖體現(xiàn)了單向技術的要點：面向應用數(shù)據(jù)，采用白名單方略，進行高度可控的單向數(shù)據(jù)互換。實現(xiàn)機制上，單向技術采用如下三點設計保證核心機制的實行。一、采用多主機構造設計和單向硬件切斷TCP/IP合同通訊，形成網(wǎng)絡間的單向隔離單向硬件采用多主機架構。單向

15、設備需要對在網(wǎng)絡間互換的數(shù)據(jù)進行預解決。預解決過程涉及：將網(wǎng)絡上傳送的數(shù)據(jù)還原為應用層數(shù)據(jù)；對這些數(shù)據(jù)進行由顧客所定義的檢查；讀取和發(fā)送這些應用數(shù)據(jù)。這些預解決操作在進行數(shù)據(jù)互換之前必須在獨立的主機系統(tǒng)中進行，保證數(shù)據(jù)的隔離。此外，兩臺主機用專用單向硬件串聯(lián)的架構形成縱深防御，雖然外部主機被襲擊，也可以保證內部主機的安全。單向硬件架構中采用專用光單向傳播設備隔斷TCP/IP合同通信，并形成單向傳播通道，保證數(shù)據(jù)傳送和檢查機制固化，物理設備無被控制的安全隱患，保證網(wǎng)絡隔離的有效性。二、設備不接受任何未知來源的積極祈求；應用層數(shù)據(jù)獲取后進行落地還原解決系統(tǒng)“白名單”方略面向應用數(shù)據(jù)，并對未知來源的

16、積極祈求一律回絕。由于顧客對所傳播的數(shù)據(jù)的定義只能是面向應用而不也許面向網(wǎng)絡會話或者IP報文。這樣可以避免絕大多數(shù)隱患。系統(tǒng)只根據(jù)需要打開相應的數(shù)據(jù)傳播服務端口，并可根據(jù)顧客配備關閉或打開。其她任何多余的服務端口一律關閉，提高系統(tǒng)自身安全性。三、通過可進行擴展定義的內容檢查機制為白名單方略提供進一步的保障機制提供內容檢查機制。內容檢查機制一方面采用病毒查殺引擎對已知病毒進行查殺。另一方面內容檢查根據(jù)顧客對數(shù)據(jù)的定義檢查數(shù)據(jù)的格式和內容與否匹配。綜上所述，單向技術隔斷了從物理層到應用層所有網(wǎng)絡層次的合同通信，同步運用分光單向傳播單元實現(xiàn)了數(shù)據(jù)的單向隔離傳播。4.1.2分光單向傳播單元工作原理分光

17、單向傳播單元可以實現(xiàn)從一種主機系統(tǒng)向此外一種主機系統(tǒng)單向傳播數(shù)據(jù)重要依賴于如下兩點：光傳播的單向性，在光纖通道設備內，連接光纖的兩端分別為光發(fā)生器、光接受器，在光纖通道設備內不容許也不能實現(xiàn)光纖兩端都具有光發(fā)生器以及光接受器；光傳播的可復制性，運用分光設備（如多棱鏡）可將一束光復制為兩束或更多束光線，運用這一特性，我們可將在一種系統(tǒng)內部傳播的數(shù)據(jù)以光的方式復制一種副本供使用。分光單向傳播單元工作原理如下圖：在以利天誠單向傳播的內外主機系統(tǒng)上分別插有一塊光纖網(wǎng)卡，在內外網(wǎng)主機之間部署風光器，并按照“一進兩出”的連線方式，將外網(wǎng)主機系統(tǒng)的發(fā)送和接受端元連接起來、內網(wǎng)主機的接受端元連接起來。通過上述

18、連接方式，但外網(wǎng)主機將數(shù)據(jù)通過光纖網(wǎng)卡傳播時，光在分光器上被一分為二。一束光回到外網(wǎng)主機，可用于確認數(shù)據(jù)與否被傳播；一束光被內網(wǎng)主機接受。此時外網(wǎng)的數(shù)據(jù)被傳播至內網(wǎng)主機，而內網(wǎng)主機將無任何數(shù)據(jù)反饋至外網(wǎng)主機，形成有效的單向物理隔離。整個分光單向傳播單元內部為物理方式實現(xiàn)，無任何電氣及軟件程序控制功能，從而徹底避免了電氣及軟件自身被控制、篡改的風險。4.2軟件功能以利天誠單向傳播是為理解決顧客對系統(tǒng)安全性的最高規(guī)定而推出的產(chǎn)品系列，涉及數(shù)據(jù)庫采集、文獻采集功能。在以利天誠安全隔離光閘上，只有容許的、需要傳遞的數(shù)據(jù)才干進入網(wǎng)閘內部，同步在網(wǎng)閘內部通過一系列的安全訪問控制手段對數(shù)據(jù)進行檢查、互換，最后安全的將數(shù)據(jù)互換到目的端。以利天誠單向傳播的各個功能模塊基于單向文獻傳播實現(xiàn)分別支持不同的應用：文獻采集模塊提供對文獻傳播的支持功能；數(shù)據(jù)庫傳播模塊提供對多種常用數(shù)據(jù)庫的數(shù)據(jù)支持。文獻傳播特性：支持文獻傳播優(yōu)先級設定；網(wǎng)閘關機/重啟緩存中的目錄和文獻不丟失；可以自動清理緩存中的文獻碎片，修復文獻系統(tǒng)錯誤；保證文獻傳播效率。數(shù)據(jù)庫傳播特性：支持異構不同數(shù)據(jù)庫之間的數(shù)據(jù)互換，目