[计算机]leadsec-sisv11白皮书安全隔离与信息交换系统网闸产品白皮书.doc

安全隔离与信息交换系统安全隔离与信息交换系统 （网闸）产品白皮书（网闸）产品白皮书 Leadsec-SIS V1.1  专家级数据安全专家级数据安全 高安全的“2＋1”系统架构和细粒度的内容过滤技术，打造数据安全专家  最强隔离交换性能最强隔离交换性能 最早突破网闸性能瓶颈，单端口单向可达 730Mbps 吞吐，1ms 延时  广泛的应用适用性广泛的应用适用性 10 多个应用模块，满足用户通用需求，10 多个行业深入研究，支撑用户专业需求  业界领先高可靠性业界领先高可靠性 最高可达 32 台网闸做负载均衡，电信级高可靠性设计，故障运行时间 5 万小时以上 2 网闸网闸(SIS)(SIS)产品白皮书产品白皮书 目目 录录 1引言引言5 2产品概述产品概述6 2.1产品定位.6 2.2工作原理.6 2.3技术特性.7 3系统架构系统架构9 3.1硬件架构.9 3.2软件架构.11 4产品特色产品特色 12 4.1高安全的架构设计.12 4.2高速隔离交换性能.12 4.3专家级的数据安全.12 4.4广泛的应用适用性.13 4.5业内领先高可靠性.13 5技术优势技术优势 14 5.1安全性技术优势.14 5.2高性能技术优势.17 5.3适用性技术优势.18 5.4可靠性技术优势.18 5.5易管理技术优势.19 5.6核心技术优势.21 3 网闸网闸(SIS)(SIS)产品白皮书产品白皮书 6基本功能基本功能 23 7产品规格产品规格 28 8运行环境运行环境/标准标准.29 9典型应用典型应用 30 9.1安全浏览.30 9.2文件传输.31 9.3数据库同步.31 9.4邮件交换.32 9.5双机热备.32 9.6负载分担.33 10应用案例应用案例 34 10.1网上报税.34 10.2公安行业.35 10.3电子政务.36 10.4保险行业.38 10.5新闻媒体.38 10.6多网接入.39 11目标客户目标客户 41 11.1电子政务.41 11.2公安行业.42 11.3税务行业.42 11.4其它行业.42 12产品殊荣产品殊荣 43 4 网闸网闸(SIS)(SIS)产品白皮书产品白皮书 13产品图示产品图示 44 14公司简介公司简介 45 5 网闸网闸(SIS)(SIS)产品白皮书产品白皮书 1引言 Michael Bobbin（《计算机安全杂志》主编）说， “保证一个系统真正安全 的途径只有一个：断开网络，这也许正在成为一个真正的解决方案。

” 在政府、国防、能源等很多重要领域，对数据机密性、网络平稳性、业务 连续性要求极高，坚如磐石的安全保障尤其关键市场需求催生了安全技术的 创新，在上世纪 90 年代中期俄罗斯人 Ry Jones 首先提出“AirGap”隔离概念， 然后，以色列研制成功物理隔离卡，实现网络之间的安全隔离；其后，美国 Whale Communications 公司和以色列 SpearHead 公司先后推出了 e-Gap 和 NetGap 产品，利用专有硬件实现两个网络在不连通的情况下数据的安全交换和 资源共享，从而使安全隔离技术从单纯实现“网络隔离禁止交换”发展到“安 全隔离和可靠、可控交换” 目前，美国军方、重要政府部门均采用隔离技术保 障信息安全，我国的安全隔离技术的发展同样经历了类似的过程 2000 年 1 月 1 日，国家保密局发布实施《计算机信息系统国际联网保密管 理规定》明确要求“涉及国家秘密的计算机信息系统，不得直接或间接地与国 际互联网或其它公共信息网络相连，必须实行物理隔离” 该规定在互联网发展 初期具有前瞻性地提出政府上网必须“物理隔离” ，及时的把政府上网安全提到 一个重要的高度，具有重大意义。

并由此而发展出了安全隔离计算机、安全隔 离卡等系列安全隔离安全产品 网御 SIS 产品就是联想网御科技（北京）有限公司开发的高性能安全隔离 与信息交换系统，它凭借强大的功能、卓越的性能、以及遍及全国各地的完善 客户服务机构和保障体系为用户的网络隔离安全提供最全面、最安全的解决方 案 6 网闸网闸(SIS)(SIS)产品白皮书产品白皮书 2产品概述 2.1 产品定位产品定位 联想网御 SIS-3000 系列是联想网御依靠多年信息安全产品研发的积累， 严格遵照国家有关主管部门的设计规范要求，具有完全自主知识产权的安全隔 离与信息交换系统该产品是利用网络隔离技术的访问控制产品，处于网络边 界，连接两个或多个安全等级不同的网络，主要应用于政府部门网络建设中， 对重点数据提供高安全隔离的保护政府部门的主要应用定位包括：  各政府部门对外提供各项便民服务的接口，内网数据必须部分要共享到 外网  各政府部门的不同安全域之间进行数据交换的接口  各政府部门与业务相关的其他政府部门之间进行数据交换的接口 国家保密局对安全隔离与信息交换类产品的应用也做了规定，规定安全隔 离与信息交换系统在以下四种网络环境下应用：  不同的涉密网络之间；  同一涉密网络的不同安全域之间；  与 Internet 物理隔离的网络与秘密级涉密网络之间；  未与涉密网络连接的网络与 Internet 之间。

广义的应用定义，以下环境可推荐应用网闸： 原有绝对物理隔离的网络，现有数据交换的需要； 要加强现有网络边界安全，实现网络间安全隔离的前提下进行信息 交换； 2.2 工作原理工作原理 安全隔离技术的工作原理是使用带有多种控制功能的固态开关读写介质连 7 网闸网闸(SIS)(SIS)产品白皮书产品白皮书 接两个独立的主机系统，模拟人工在两个隔离网络之间的信息交换其本质在 于：两个独立主机系统之间，不存在通信的物理连接和逻辑连接，不存在依据 TCP/IP 协议的信息包转发，只有格式化数据块的无协议“摆渡” 被隔离网络 之间的数据传递方式采用完全的私有方式，不具备任何通用性 安全隔离与信息交换系统两侧网络之间所有的 TCP/IP 连接在其主机系统上 都要进行完全的应用协议还原，还原后的应用层信息根据用户的策略进行强制 检查后，以格式化数据块的方式通过隔离交换矩阵进行单向交换，在另外一端 的主机系统上通过自身建立的安全会话进行最终的数据通信，即实现“协议落 地、内容检测” 这样，既从物理上隔离、阻断了具有潜在攻击可能的一切连接， 又进行了强制内容检测，从而实现最高级别的安全 联想网御 SIS-3000 系列安全隔离与信息交换系统工作原理图 2.3 技术特性技术特性 安全隔离与信息交换系统架构主要由内网主机系统、外网主机系统和隔离 交换矩阵三部分构成。

内网主机系统与内网相连，外网主机系统与外网相连， 内/外网主机系统分别负责内外网信息的获取和协议分析，隔离交换矩阵根据安 全策略完成信息的安全检测，内外网络之间的安全交换整个系统具备以下技 术特性： 8 网闸网闸(SIS)(SIS)产品白皮书产品白皮书  多网络隔离的体系结构，通过专用硬件完成两侧信息的“摆渡”  被隔离网络之间任何时刻不产生物理连接  内/外网主机系统之间没有网络协议逻辑连接，通过隔离交换矩阵的全 部是应用层数据，也就是 OSI 模型的七层协议全部断开  数据交换方式完全私有，不具备可编程性 9 网闸网闸(SIS)(SIS)产品白皮书产品白皮书 3系统架构 3.1 硬件架构硬件架构 现在国内安全隔离与信息交换系统业内的硬件架构设计主要有：双主机架 构、三主机架构和“2+1”架构三种，下表为三种硬件架构的简要说明和对比分 析 架构名称架构名称架构组成架构组成安全分析安全分析安全性安全性性能性能 双主机架构双主机架构 硬件由内网机、外网机和连接 硬件组成，连接硬件如网线、 SCSI 线、USB 线等 两主机完成协议终止和内容检 查，连接硬件采用通用可编程 硬件 低高 三主机架构三主机架构 硬件由内网机、仲裁机、外网 机组成 内网机和外网机完成协议终止， 仲裁机独立完成数据检查 高低 “2“2＋＋1”1”架架 构构 硬件由内网机、外网机两个主 机系统和一个隔离交换矩阵组 成 两主机完成协议终止和内容检 查，隔离交换矩阵不受主机系 统控制 高高 基于安全隔离与信息交换系统要在硬件上实现接近于物理隔离的原则，就 要求系统的三部分硬件必须互相独立，并且通过隔离交换硬件实现切换来确保 内外网两个主机系统任何时刻不直接相连。

联想网御 SIS-3000 系列安全隔离与信息交换系统硬件架构采用“2+1”模 型结构设计，即内网主机系统、外网主机系统加上隔离交换矩阵 内外主机系 统采用专有工控主板设计，性能稳定、质量可靠，隔离交换矩阵采用专有硬件 交换电路设计的双通道隔离交换模块，隔离交换模块拥有完全的自主知识产权 隔离交换模块基于专有的 Leadsec ASIC 安全隔离芯片和交换芯片，是内外网主 机系统唯一的连接部件，因此内外主机系统之间不存在任何网络设备连接其 中，Leadsec ASIC 安全隔离芯片通过多线程并行固化处理将数据块转化为自有 协议格式的数据包，交换芯片的交换子系统和开关控制子系统实现对数据的临 时缓存和安全交换 硬件架构如下图所示： 10 网闸网闸(SIS)(SIS)产品白皮书产品白皮书 联想网御 SIS-3000 系列安全隔离与信息交换系统硬件架构原理图 通过交换芯片的开关控制子系统，隔离交换模块首先断开彼此之间的物理 连接，分别通过 ASIC 芯片连接内外网主机系统，内外网主机系统通过 ASIC 芯 片将数据块封装为自有协议格式写入交换芯片的交换子系统和/或通过 ASIC 芯 片读出交换子系统缓存将自有协议格式数据拆封为数据块，完成一次摆渡；然 后隔离交换模块通过开关控制子系统断开与内外网主机系统的连接，彼此之间 建立连接，自动进行协商，实现数据交换，完成二次摆渡。

通过这种双摆渡技 术，内外网络永远不会直接连接，由于采用专门设计的硬件隔离交换模块进行 数据交换，没有任何管理接口，因此，内外网主机系统之间无法进行基于网络 协议的数据交换，从而从硬件层面保证了内外网主机系统之间的安全隔离 隔离交换模块具有独立的硬件交换控制逻辑，无 OS 及任何“软”控制， 自主完成数据的交换，主机系统只负责把数据块传递到隔离交换模块，由隔离 交换模块根据硬件控制逻辑自动完成自有协议的封装和数据交换，自动同步两 侧控制逻辑，进行互斥的读写操作，同时还具有自动数据完成性校验，当发现 数据错误时，自动重传，保证数据的完全正确，从而实现内外网主机系统真正 11 网闸网闸(SIS)(SIS)产品白皮书产品白皮书 的物理隔离交换 3.2 软件架构软件架构 联想网御 SIS-3000 系列安全隔离与信息交换系统通过基本模块实现关键的 数据交换功能，它是内外网主机系统进行信息交换的唯一接口，其他任何功能 模块都建立在基本模块之上，通过核心层驱动程序的设计和隔离交换模块高速 全双工流水线设计，使得内部数据交换达到最大的性能 其他各功能模块建立在对通信过程七层还原的基础上，以模块化设计。

对 常见的网络协议以独立的功能模块完成，用户可根据不同的应用需求选用，系 统还提供应用层检测二次开发功能来适应特殊的用户需求此外，系统提供基 于数字认证的多种远程管理功能，功能强大的集中管理、日志审计等多种管理 手段，有效的帮助用户使用和管理安全隔离与信息交换系统 每个主机系统的软件系统架构如下图所示 联想网御 SIS-3000 系列安全隔离与信息交换系统主机系统软件架构图 12 网闸网闸(SIS)(SIS)产品白皮。