內外網數據交互平臺的設計與實現

◆潘德偉 林敏

（民航中南空管局 廣東 510403）

眾所周知，對于重要信息系統的保護，通常我們采用物理斷開的方法，但是物理斷開很多時候會對業務系統的運行造成嚴重的不便，對業務系統的發展人為地增加了困難。隨著各單位信息化建設的不斷深入發展，越來越多部署在單位內網的業務系統（如：信息發布、內部OA、內部在線培訓等）需要提供單位外部的網絡訪問方式。

很多企業單位在信息化建設中，通常的雙網建設原則是重要業務系統、日常辦公計算機處于內部網絡，而一些業務系統需要對外部網絡甚至互聯網提供訪問。物理斷開造成了應用與數據的脫節，影響了工作的效率。因此為了實現用戶通過外部網絡安全、實時、高效地訪問相關業務系統，需要建立一個安全的內外網絡安全隔離與數據交互平臺，實現不同區域網絡之間的安全數據交換。

1 系統網絡結構

根據系統安全性設計原則，內外數據交互基礎平臺分三個區域建設：應用發布區、安全隔離區和內部安全區，三個區域之間通過安全設備進行隔離，在保證信息安全的前提下，將單位內部經主管部門評估并可對外發布的數據與信息，通過安全可靠的方式，實現對外部單位用戶的進行發布及相關信息數據交互，系統整體網絡結構如圖1所示。

圖1 內外網數據交互平臺拓撲圖

2 系統主要區域及功能特點

從圖一我們可以看出，外部網絡區和內部安全區為常規的部署模式，而系統安全建設的重點主要集中在應用發布區及安全隔離區，以下將對重點區域安全建設相關設備及功能進行介紹。

2.1 應用發布區

防DDoS 攻擊設備：從紛雜的網絡背景流量中精準地識別出各種已知和未知的拒絕服務攻擊流量，并能夠實時過濾和清洗，確保網絡正常訪問流量通暢，是保障服務器數據可用性的安全產品。

出口防火墻：以透明方式部署，內置包含AV 功能模塊，作為4G、移動網絡接入交互時的安全隔離、權限控制使用，防止非法訪問及惡意攻擊防范。

入侵防御系統：以透明方式部署，重點關注網絡攻擊行為，尤其是對應用層協議進行分析，并主動阻斷攻擊行為。提供主動防護，是預先對入侵活動和攻擊性網絡流量進行攔截，避免其造成損失。

網頁防篡改系統：基于對Web 應用業務和邏輯的深刻理解，對來自Web 應用程序客戶端的各類請求進行內容檢測和驗證，確保其安全性與合法性，對非法的請求予以實時阻斷，保護Web 網站應用不被篡改，并且即使被篡改后，也有馬上恢復正常的能力。

負載均衡系統：主要是用來做服務器的冗余負載，通過多樣化的負載均衡策略，智能化的流量管理，可達到最佳的負載均衡需求。提高了應用服務器和網絡的利用率，增加了業務應用的安全性和可靠性，從而有效降低了用戶服務器硬件成本和網絡運維成本。

網管審計系統：采用旁路部署的模式，可以實現集中的賬號管理、集中的訪問控制和集中的安全審計，為運維人員提供統一認證登錄方式，并對運維審計操作行為以文本、視頻的方式進行審計存檔，便于異常事件發生后的調查取證。

漏洞掃描系統：采用旁路部署的模式，通過對網絡的掃描，網絡管理員能了解網絡的安全設置和運行的應用服務，及時發現安全漏洞，客觀評估網絡風險等級。網絡管理員能根據掃描的結果更正網絡安全漏洞和系統中的錯誤設置，在黑客攻擊前進行防范。如果說防火墻和網絡監視系統是被動的防御手段，那么安全掃描就是一種主動的防范措施，能有效避免黑客攻擊行為，做到防患于未然。

態勢感知平臺：系統通過收集所管理網絡的資產、流量、日志、網站等相關的安全數據，經過存儲、處理、分析后形成安全態勢及告警，輔助用戶了解所管轄網絡安全態勢并能對告警進行協同處置。利用現有的安全系統、安全設備，逐步演進為“安全數據集中存儲、態勢感知場景豐富、動態建模分析及可視化綜合展示”的高價值安全信息存儲及分析系統，加快對安全威脅的認知及有效預警。

2.2 安全隔離區域

數據庫審計系統：主要用于監視并記錄對數據庫服務器的各類操作行為，通過對網絡數據的分析，實時地、智能地解析對數據庫服務器的各種操作，并記入審計數據庫中以便日后進行查詢、分析、過濾，實現對目標數據庫系統的用戶操作的監控和審計。

數據安全擺渡設備：該設備主要作用在兩個不同安全域之間，通過協議轉換的手段，以信息擺渡的方式實現數據交換，且只有被系統明確要求傳輸的信息才可以通過。該設備的基本特征就是使應用發布區和內部安全區永遠不連接，應用發布區和內部安全區在同一時間最多只有一個同擺渡設備建立數據連接，可以是兩個都不連接，但不能同時連接兩個。

3 業務系統實現方式

基于內外網交互平臺的架構模式下，相關的業務系統部署相比傳統方式也有一定的調整，涉及業務系統發布的主要服務器如下：

應用發布區：發布區Web-SRV

安全隔離區：隔離區DB-SRV、隔離區Web-SRV

內部安全區：內部Web-SRV、內部DB-SRV

圖2 應用部署結構圖

4 結束語

綜上我們可以認為，基于內外網安全隔離的數據交互雙網解決方案，在保護內部網絡安全的情況下，實現了雙網安全有效地隔離，保證了數據的互聯互通，打破了采用物理斷開方式下造成應用與數據的脫節這類弊端，從而有效地提高業務系統的使用效率及行政執行效率。