1.背景

    網閘是新一代高安全性的網絡隔離產品,已經成為繼防火墻之后最受關注的安全產品.網閘很好地解決了隔離斷開和數據交換的難題,在保證兩個網絡完全斷開和協議終止的情況下,以非網絡方式實現了數據交換.同時網閘還提供高速度、高穩定性的數據交換能力,能夠滿足用戶對高安全、高性能、高可靠性的應用需要.本文結合社保網絡實際應用,提出了采用網閘來隔離成的不同安全域,并設置策略保護核心服務器區域.這種隔離保護措施可操作性強,安全防護效果明顯。

　　但客戶在完成雙網改造后，卻又面臨一個新的問題，低安全域和高安全域之間信息安全交互受到制約，保密性（Confidentiality）和可用性（Availability）矛盾日益凸出。

　　2. 定義

　　高安全域：被安全隔離和信息交換系統（網閘）隔離后形成的安全內網

　　低安全域：被安全隔離和信息交換系統（網閘）隔離后，網閘設備外部的網絡

　　跨域安全訪問（Cross Domain Access，簡稱CDA）：

　　高安全域和低安全域之間的的數據經過網閘的安全動態交互

　　3. 環境描述

　　客戶已經具備雙網改造后的環境，或者正在準備通過安全隔離和信息交換系統進行雙網改造。

　　4. 需求分析

　　4.1 需要保護的資源

　　保障高安全域內網絡和數據的絕對安全，高安全域網絡絕對不可以被病毒、木馬感染、控制、破壞，不允許任何敏感數據的非法外瀉。

　　4.2 面臨的風險

　　低安全域的用戶在移動辦公時和高安全域的應用之間通過網閘實時數據交互、協同辦公就必須相連，易造成感染病毒、木馬，敏感信息外瀉等安全事件；具體體現為。

　　高安全域的數據流向低安全域用戶端

　　低安全域用戶上傳到高安全域的數據文件攜帶病毒

　　應用缺乏有效訪問控制管理策略

　　4.3 跨域安全訪問目的

　　實現雙網隔離客戶以高安全方式完成內外網數據交互，并保證內網涉密數據不會下載到外網，同時確保數據安全和應用的安全

　　要求：

　　不影響移動辦公系統應用

　　運行要穩定并且保持高安全域對低安全域網絡的安全隔離，以保證高安全域信息數據及應用的安全

　　有效解決應用在跨域訪問的安全訪問問題，實現保密性（Confidentiality）和可用性（Availability）矛盾的和諧統一

　　全面超越傳統內外網數據同步方式，降低應用系統部署維護成本，降低能耗

　　同時滿足用戶身份認證、訪問控制、權限管理、傳輸加密、監控審計等，并能支持與安全監控與管理系統的對接

　　5. 解決方案

　　5.1 溝通安全接入堡壘機方案

　　針對以上客戶需求，溝通科技業界內首先提出了安全接入堡壘機方案，徹底解決了雙網環境下跨域安全訪問應用的難題。

　　方案設計思想：

　　用戶在低安全域環境下把鍵盤和鼠標指令信息通過溝通安全接入堡壘機上行到高安全域應用服務器，高安全域的屏幕變化信息下行到低安全域，但禁止其它實體數據信息流在兩個安全域之間直接交換；由于沒有其它實體信息流在兩個安全域之間直接交換，因此，低安全域的鍵鼠指令信息，不會直接破壞高安全域的完整性，高安全域的高密級實體數據信息也不會泄漏到低安全域。

　　方案原理圖示：

　　圖示（一）

　　5.2 安全接入堡壘機方案拓撲圖

　　5.3 安全接入堡壘機產品原理

　　采用虛擬化技術分離應用的表現與計算，實現虛擬應用交互、本地化應用體驗，客戶端與服務器之間只傳遞鍵盤、鼠標和熒屏變化等交互信息，沒有實際的業務數據流到客戶端，客戶端看到的只是服務器上應用運行的顯示映像，避免跨域傳輸實體數據，從而提升跨域訪問的安全性。

　　實體靜態數據傳輸建立專屬文件安全傳輸通道，涉及靜態文件跨安全域上傳和下載，先通過網閘或其他數據同步傳輸設備從低安全域同步到高安全域，靜態數據經過安全擺渡，避免由于上傳靜態文件攜帶病毒威脅高安全域的網絡或數據安全。

文章作者：國脈電子政務網