1、天融信安全隔离与信息交换系统TopRules 产品说明天融信TOPSEC北京市海淀区上地东路 1 号华控大厦 100085电话：+8610-82776666传真：+8610-82776677服务热线：+8610-8008105119http:/2版权声明本手册中的所有内容及格式的版权属于北京天融信公司（以下简称天融信）所有，未经天融信许可，任何人不得仿制、拷贝、转译或任意引用。版权所有 不得翻印 2013 天融信公司商标声明本手册中所谈及的产品名称仅做识别之用。手册中涉及的其他公司的注册商标或是版权属各商标注册人所有，恕不逐一列明。TOPSEC 天融信公司信息反馈http:/31 产品概述 .
2、41.1 公司简介 .41.2 信息安全隔离的重要性 .41.3 隔离技术的发展过程 .51.4 天融信安全隔离与信息交换系统 TOPRULES .51.5 关键技术 .72 产品特点 .82.1 基于下推自动机的高效过滤算法 .82.2 基于协议落地的信息交换 .92.3 专有隔离系统 .92.4 受控安全通道 .102.5 安全管理 .102.6 其它技术特点 .113 产品主要功能 .123.1 安全 WEB 浏览功能 .123.2 安全邮件收发功能 .123.3 FTP 文件交换功能 .133.4 数据库访问功能 .133.5 文件同步功能 .133.6 数据库同步功能 .143.7
3、视频监控信息传输 .143.8 DCS/OPC 工控信息交换 .143.9 自定义应用 .154 运行环境与标准 .155 典型应用 .165.1 在涉密网络系统中的应用 .165.2 在常规网络系统中的应用 .165.3 成功案例 .186 产品资质 .22目 录41 产品概述1.1 公司简介作为中国信息安全行业领导企业，北京天融信公司 1995 年成立于中国信息产业的摇篮北京，十年来天融信人凭借勇于创新、积极进取、和谐发展的精神，成功打造中国信息安全产业著名品牌TOPSEC。从 1996 年天融信率先推出填补国内空白的中国自主知识产权防火墙产品，到能够提供防火墙、VPN、入侵检测与防御、多
4、功能安全网关(UTM) 、过滤网关、安全审计、安全管理等高品质全系列安全产品；再到以安全产品为基础、以打造信息安全保障体系为目标、以等级保护为主线，天融信已经完成了从单一安全产品生产商向全线安全产品、解决方案与服务综合提供商的飞跃。天融信作为民族信息安全产业的领航者肩负着国家信息安全重任，秉承“可信网络安全世界”品牌理念，结合多年网络安全技术，以“可信安全管理”为技术发展方向，全力保障客户网络与信息安全、为客户创造更大价值。1.2 信息安全隔离的重要性信息化是世界科学技术和信息社会发展的大趋势，国民经济和人文社会对于信息网络和信息系统的依赖性越来越大，加强信息安全保障工作的重要性日益凸现。党中
5、央、国务院一贯高度重视信息安全问题，强调要从国家安全、社会稳定、经济发展的高度去认识信息安全问题的极端重要性。作为信息化建设重要组成部分的电子政务，也在各地轰轰烈烈地展开。促进信息共享，避免信息孤岛，为科学决策、监管控制、大众服务提供有效的平台是电子政务建设的重要目标之一。电子政务平台上承载着相当多的重要文件，这些文件信息一旦泄漏，将给国家和人民造成重大的损失，因此电子政务网信息安全隔离至关重要。电子政务平台中信息安全隔离建设的基本需求是：在对外部提供公共服务的同时，保证电子政务网络内部数据的安全性，并解决信息孤岛的问题。这也是当前我国电子政务建设中的重要课题。我国非常重视电子政务建设和信息安
6、全保障工作。2003 年 9 月，中共中央办公厅、国务院办公厅颁发国家信息化领导小组关于加强信息安全保障工作的意见（简称 27号文）明确提出要加强信息安全保障工作，实行信息安全等级保护的重要指导思想。在此思想指导下，关于信息安全等级保护工作的实施意见（公通字 2004 66 号）里明确了信息安全等级保护制度的基本内容，国家对信息安全产品的使用实行分等级管理。公通字 2006 7 号文件，即信息安全等级保护办法进一步明确了规定的系统安全保护5划分。同时，在我国的20062020 年国家信息化发展战略中，也把推行电子政务和建设国家信息安全保障体系作为我国未来 15 年的信息化发展的战略重点。电子政
7、务建设将改善公共服务、加强社会管理、强化综合监管、完善宏观调控。随着积极防御思想的深入贯彻，信息安全隔离技术必将为我国信息化和信息安全的科学发展做出重要贡献。1.3 隔离技术的发展过程安全隔离技术是指在需要信息交换的情况下，实现网络隔离的信息安全软硬件技术。随着电子政务建设安全隔离需求的发展，我国的隔离技术这几年来发展迅速，走过了以下历程： 多套网络技术早期没有合适的设备可用，一些组织通过建立两套完全独立的网络来实现隔离，一套可对外连接，一套完全封闭于内部，两套网络互不相连。两套系统间无法做到信息共享，只能借助于人工或各自部署于两套网络中的独立的计算机来分别获取内部和外部信息。这种方式安全性较
8、高，但两个网络间信息交换困难。 隔离卡技术随后出现的隔离卡技术避免了使用多套计算机系统而带来的资源浪费和操作不便。它借助隔离卡对两个网络控制器分别供电，并将一台设备上的硬盘物理分割为两个分区，分别与内外网络相连。在不同的硬盘上各自安装独立的操作系统，形成两个完全独立的环境。操作者每次只能进入其中一个系统，要进行系统切换时，必须关机重启。采用单机隔离卡技术，解决了单机非实时信息交换的需求，但网间连续实时的业务依然无法开展，且对单机通信的信息泄漏问题没有有效的监控手段。 传统网闸技术在安全隔离方面也曾出现过其它多种技术方案，比如在隔离卡建立起的两套系统间设立数据缓冲区，进行分时连接和切换，还有就是
9、基于电子开关的方式进行隔离系统两端网络通断的控制。这类技术可以归结为传统网闸技术。传统网闸技术在一定程度上能够解决信息交换和隔离的需求，但在安全功能实现和系统性能上仍不能完全满足电子政务建设的安全要求。1.4 天融信安全隔离与信息交换系统 TopRules随着电子政务建设的不断深化发展，很多组织的内部网络与外部网络之间需要交换的信息越来越多，传统的方式很难兼顾安全隔离与信息交换两者的需求，更缺乏对信息安全的严格审查，极易导致攻击代码的流入和重要信息的泄漏。因此，在电子政务系统6的内外网络之间迫切需要一种安全设备，它既能保证重要网络与其它网络安全隔离，又能实现网络之间有效的数据交换。目前，北京天
10、融信科技有限公司利用自身的技术优势和在安全体系结构方面的研究成果，经过长期研发的过程，推出了一种全新的、高效的、安全的网间隔离产品天融信安全隔离与信息交换系统 TopRules V3.0（以下简称 TopRules）。该产品基于完整的安全体系结构设计理念，率先完善了安全隔离的概念。该产品采用“2+1”系统架构，通过对信息进行落地、还原、扫描、过滤、防病毒、入侵检测、审计等一系列安全处理，有效防止黑客攻击、恶意代码和病毒渗入，同时防止内部机密信息的泄露，实现网间安全隔离和信息交换。北京天融信科技有限公司的“安全隔离与信息交换系统 TopRules V3.0”产品，通过了公安部计算机信息系统安全产
11、品质量监督检测中心的检验，符合端设备隔离部件安全技术要求，取得了计算机信息系统安全专用产品销售许可证；通过了国家保密局涉密信息系统安全保密测评中心的检测及鉴定，满足涉密系统对安全隔离与信息交换的技术要求，取得了涉密信息系统产品检测证书；通过了国家信息安全产品认证中心认证，获得中国国家信息安全产品认证证书；还取得了军用信息安全产品 B 级认证证书。 TopRules 的基本功能主要体现在这些方面：在保持内外网络有效隔离的基础上，实现了两网间安全的、受控的数据交换。数据交换由发起方以客户机身份与 TopRules 连接，TopRules 再以客户机身份与数据交换的另一方建立连接，实现数据交换。系统
12、中的数据交换业务可以灵活配置和快速定制，数据交换可以单向也可以双向。除了必须要开放的用于数据交换的特定应用通道外，TopRules 不提供任何对外的服务。此外，独特的结构设计和所支持的双机热备功能，更在极大程度上保证了网络系统间信息交换的安全性和可靠性，增强了产品的竞争力。TopRules 具体的功能特点总结如下： 网间安全隔离：TopRules 采用多机系统结构，以软硬件结合的方式，有效地隔断内外网络间直接的连接，保障信息可信的交换。 协议中断，信息落地：TopRules 的内外端机是内外网络各自通用协议（即TCP/IP 协议）的终点，一方的网络协议不可向对方延伸。所有过往的应用层信息都从
13、TCP/IP 协议包被剥离成为应用层信息。 受控的信息交换：由 TopRules 连接的内外网络之间，所有信息交换活动都在预先建立的有效安全通道上进行，这些安全通道借助严格的安全策略进行控制，因此能防范恶意攻击和敏感信息的泄漏。 基于用户的访问控制：内外网络之间，只有合法用户的特定信息交换活动才允许通过。协议通道的建立、通信、断开，都是严格基于用户的访问控制策略进行的。7 防范各类攻击和信息泄漏：借助用户访问控制、安全协议通道的建立、安全策略的设定，TopRules 可以发现、过滤并阻塞各种已知和未知的攻击，特别是很多基于应用的攻击手段，例如 Web 脚本攻击、病毒和蠕虫等恶意代码，有效保护内
14、部网络系统的安全性。与此同时，借助严格的内容控制，也可以防止内部敏感信息外泄。 应用级的安全审计：借助预先设定的审计策略，TopRules 可以对所有信息交换过程中出现的问题进行审计记录，便于及时获知“谁在何时做了何事”。综上所述，TopRules 一方面可以防止来自外部网络的恶意攻击，另一方面也能防止内部网络重要信息的泄漏，在保障网络安全隔离的前提下，最终实现了可控的网间信息交换。1.5 关键技术TopRules 是北京天融信科技有限公司具有自主知识产权的安全隔离产品。从最初的完全断开，到物理隔离，再到逻辑隔离，以及今天常讲的“安全隔离”（Security Isolation），安全隔离技术
15、随着时代发展迅速演化。安全隔离当前一般指两个或两个以上可路由的网络借助不可路由的协议来进行数据交换而达到隔离的目的，这与单机系统间的隔离是有所区别的。安全隔离产品务必要满足现实应用当中的安全需求，对于电子政务建设而言，在实践中总结提炼出来的政策性的要求更应该被严格遵守。TopRules 正是这样一款产品，它从设计理念、功能实现等都紧密结合电子政务建设中的安全隔离需求。 “2+1”系统架构TopRules “2+1”系统架构网闸产品，由内端机、外端机、隔离系统（也称数据迁移控制单元）三部分组成。内端机和外端机具有独立的存储和运算单元，并具有独立总线。内外端机采用了天融信自主知识产权的专有 TOS
16、 安全操作系统，可为 TopRules 系统提供全方位的保护。内外端机之间采用了具有互斥效果的隔离系统进行连接，其结构如下图所示：Top Rules“2+1”系统模型8内端机和外端机分别是内网和外网网络协议的终点。所有过往的应用层数据都从内网和外网的 TCP/IP 协议中剥离，被剥离的数据再通过隔离系统在内外端机之间进行传输。内端机与外端机之间采用专用传输隔离硬件和专用协议相连，从而阻断了任何从一端机攻击另外一端机的可能。由于隔离系统使用专用的私有协议与内外端机进行通信，且其驱动程序模块也是独立编写的，在这种情况下，即使有人试图通过代码分析洞悉 TopRules 一端机的接口，也无法通过控制单
17、元攻击到另外一端机，也就无法攻击到另一端网络。 专用硬件和专用通信协议在 TopRules 系统内部，采用了专用硬件（双通道光钎卡）进行高速数据摆渡，使系统具有了极高的数据吞吐能力。通过在专用操作系统内核中嵌入专有协议和认证机制，使得 TopRules 安全隔离的能力进一步增强。 对于高并发的多数据流，TopRules 采用基于虚拟通道的并发处理机制，从而解决了传统多进程处理的效率问题，大大提高了现有硬件设备的数据吞吐能力。 完善的安全隔离机制一方面 TopRules 能防止来自外网恶意的攻击，另一方面也可以有效保护内网用户的信息、防止泄漏，进而减少病毒等恶意代码泛滥和传播的可能，从而确保受保
18、护网络系统能够达到预期的安全等级。 TopRules 对经过的数据包进行协议落地，裸数据还原，专有协议封装，高效数据摆渡传输，在网络隔离的基础之上实现信息交换。 内外端机严格控制对外网用户提供的服务，甚至可以不对外提供服务，以减少由于开放知名服务而带来的安全隐患。 设备所依赖的 TOS 安全操作系统，是天融信公司集多年安全经验自主研发的新一代安全操作系统，该系统集防火墙、入侵检测、身份认证等多种安全技术为一体，其本身的安全性值得信赖。 TopRules 采用了内嵌入侵检测和病毒防护等安全机制，利用自有高效的安全算法，可最大限度防止攻击和恶意代码侵袭等活动。 系统提供管理员身份鉴别功能，并借助强
19、有力的安全策略来保证鉴别的有效性和安全性，例如对口令强度的检测及对登录尝试次数的限制等。2 产品特点92.1 基于下推自动机的高效过滤算法TopRules 在核心实现时，采用了天融信自主研发的基于下推自动机的高效过滤算法。这种算法采用树形结构存储敏感信息，特别设计的数据源过滤器以策略树为过滤依据, 内建多个下推自动机（自动机数量由策略树结构动态决定），对敏感信息进行并行的匹配和过滤。更新策略树不会影响已经存在的数据源过滤器,更新之后的过滤动作自动采用新的策略树作为过滤依据，策略树更新做到了“热插拔”。这种过滤算法，特别适合大批量关键字同时过滤，而且还能避免常见的掩饰手段的干扰，如将敏感关键词拆
20、开、加入标点、换行等，具有很强的信息滤出能力。2.2 基于协议落地的信息交换TopRules 的信息交换主要基于通用的应用协议（如HTTP、FTP 、 Telnet、SMTP、POP3、Oracle 等）和用户自定义协议（TCP 、UDP ）的信息交换。信息交换的功能通过内外端机来实现，信息交换的安全性通过隔离系统来保证。根据信息交换的发起源所在位置，可以分为从内端机向外端机和从外端机向内端机两个方向的数据交换。这里，我们以内端机到外端机这个方向为例，来说明 TopRules“2+1”架构网闸内部信息处理的整个过程。 TopRules “2+1”架构网闸信息处理过程内端机接受用户发来的连接请求
21、后，将用户连接的基本信息与管理员配置的策略进行匹配，审查其来源，连接发起源是否为合法发起源。若是合法发起源，内端机接受连接发起源发来的信息，对信息就行 TCP/IP 协议剥离和专用私有协议封装，然后按照既定的安全通道进行传输，随后交由隔离系统进行应用层数据过滤和处理，隔离系统如果没有发现问题则将剥离出来的应用层数据交换到外端机。外端机在收到数据之后，将数据重新封装成 TCP/IP 包并发送给目的服务器，本次数据交换工作即告结束。TopRules “2+1”架构网闸102.3 专有隔离系统隔离系统是安全隔离与信息交换系统的核心，这里保存着 TopRules 的重要数据资料，并且实现了多种安全机制
22、。隔离系统对流经的所有信息进行应用层数据安全处理，找出其中的敏感内容、命令和参数并进行过滤和控制，最终将内部网络和外部网络的信息交换置于一个可控的状况之下；同时记录各类审计信息，供管理人员审查。2.4 受控安全通道建立应用规则之后，需要将内外网两端任何一类信息交换都置于特定的受控安全通道上，这些安全通道是和应用规则关联在一起的。TopRules 借助受控安全通道来实现信息交换功能。这种受控安全通道，指的是专有协议基础之上一条从内端机通向外端机或者从外端机通向内端机的逻辑信息通路。安全通道的开启和关闭均由管理员控制。安全通道开启后，内端机/外端机开始监听通道入口IP 上指定的端口，隔离系统上相应
23、的安全分析部件开始运作，准备处理各种流经安全通道的数据信息。TopRules 对所有安全通道提供基本的策略配置，包括： 安全通道的入口 IP 和监听端口； 安全通道所允许的发起源 IP； 安全通道所允许的发起源 MAC； 安全通道所允许的协议、命令和参数； 安全通道可按照管理员设置定时自动开启/关闭；2.5 多种工作模式TopRules 支持三种工作模式，即代理模式，透明代理模式，路由模式。代理模式：当设备工作为代理模式时，客户端比较容易理解隔离设备的工作原理，即代理。这时的客户端需要将与服务器通信的内容全部改由隔离设备的 IP 来进行通信，在客户端看来，服务器的 IP 已经不可见，客户端只需要把隔离设备的内、外端机的 IP作为其目标服务器即可。透明模式：设备工作为透明模式时，在外部网络看来，设备就是一条透明的网络，不存在网络拓扑中，但是设备一样有安全作用，是因为隔离设备的工作机制是白名单工作机制，即只允许明确指出允许通信的内容才可以通信，除此之外的一律丢弃。路由模式：当设备工作为路由模式时，客户只需要将隔离设备理解为一个路由器或网关即可，客户机的网关设置为隔离设备的 IP，或到目标段的静态路由设置为隔离设备的 IP，或其网关上做了路由设置可以到达隔离设备端时，客户端访问目标服务器的 IP
