【文章內容簡介】 地址、協(xié)議類型、源端口、目標端口以及網絡 協(xié)議 等對數據包進行訪問控制。 防火墻還保證了平臺內部的主機地址不被外部終端直接獲得。 入侵檢測系統(tǒng) （ IDS） 是實時 對網絡入侵行為 自動識別和響應 的 系統(tǒng)。它通過實時監(jiān)聽網絡數據流，識別 和 記錄入侵 行為 ，該系統(tǒng)安裝于防火墻后，可以對穿透防火墻進行攻擊的 數據流進行響應。 . 應用服務區(qū) 根據實際業(yè)務需求，應用服務區(qū)放置了房管局互聯網上的前置服務器（包括應用服務器、 WEB 服務器、數據庫服務器、文件服務器等）。作為外部終端網絡連接的終點，提供給終端用戶應用代理、數據暫存等功能服務。 . 安全隔離區(qū) 該區(qū)域主要實現 房管局 局域網與應用服務區(qū)網絡隔離和數據的安全交換 , 它通過高可信的方式，實現異構系統(tǒng)、數據源之間安全、靈活、有效、快速的數據交換。 XX 市房管局數據交換平臺建設方案 10 XX 合眾信息工程有限公司 . 安全數據交換系統(tǒng) 內 網 數 據交 換 對 象外 網 數 據交 換 對 象內 網 交 換 服 務 器外 網 交 換 服 務 器網 閘合 眾 安 全 數 據 交 換 系 統(tǒng) 安全數據交換系統(tǒng)的安全設備主要是內外網數據交換服務 器和網閘。它是在隔離環(huán)境下構建的完整的數據交換平臺，它由外網交換服務器、網閘和內網交換服務器三部分組成。它將網絡邊界分為數據獲取、隔離交換和數據裝載三個區(qū)域。每個區(qū)域承擔相應的安全職責。將三種不同的安全技術手段（內容檢查、網絡隔離、監(jiān)控審計）有機地組成在一起，提供給用戶一個統(tǒng)一的安全管理界面，最大程度的提升網絡邊界的安全保護能力和用戶的管理能力。 . 系統(tǒng) 安全功能 本系統(tǒng)實現以下安全功能： ? 網絡隔離： 系統(tǒng)支持網絡隔離，即通過專用隔離設備阻斷內外網之間所有基于網絡協(xié)議的連接，使外部終端無法訪問內部網絡，確保內外網 之間網絡隔離。 ? 身份認證： 系統(tǒng)支持對內外網交換服務器基于硬件設備證書進行雙向身份認證，保證基于硬件的可信任計算體系。如果認證失敗，則數據交換過程馬上終止。 ? 數據加密： 數據交換基于加密認證通道，能夠有效的對抗信息篡改和端口偵聽，防止信息泄密。 ? 格式過濾： 系統(tǒng)根據用戶事先定義的業(yè)務規(guī)則對數據進行全面的格式 XX 市房管局數據交換平臺建設方案 11 XX 合眾信息工程有限公司 檢查，支持對每個業(yè)務單獨設置檢查規(guī)則。 ? 內容過濾： 系統(tǒng)根據用戶事先設置的黑名單過濾所有交換的數據，如果出現黑名單中的內容則阻斷交換并報警。 ? 防病毒： 內置殺毒引擎能夠過濾交換數據中的病毒和木馬。 ? 防 SQL 注入： 系 統(tǒng)識別交換內容中 SQL 語句，有效防范 SQL 提交攻擊，保護內網數據庫和業(yè)務系統(tǒng)。 ? URL 過濾： 系統(tǒng)根據用戶事先設定的 URL 過濾規(guī)則，只允許合法的URL 請求通過。 ? 內容審計： 系統(tǒng)提供完整的內容審計保證交換行為事后可以追溯。 ? 流量監(jiān)控： 系統(tǒng)實時監(jiān)控每個業(yè)務的流量，并根據事先設置的閥值判斷業(yè)務是否超限并報警。 ? 監(jiān)控管理： 登記接入業(yè)務的基礎信息、鏈路信息、協(xié)議信息、使用單位信息；對系統(tǒng)運行狀況進行實時監(jiān)控（包括安全策略監(jiān)控、狀態(tài)監(jiān)控和流量監(jiān)控）；對系統(tǒng)運行信息進行安全審計和異常行為的責任認定（包括內容審計和事件審計） 。 . 系統(tǒng) 應用功能 在保證安全的前提下，本系統(tǒng)實現以下應用功能： ? 數據庫同步交換： 數據庫同步模塊，獨立自主開發(fā)完成，支持六種同步方式：全表鏡像、觸發(fā)器模式、奉獻模式（內網入庫后外網刪除）、有序同步（時間戳或其他自增量字段標識）、快照日志和同表雙向。 ? 文件同步交換： 系統(tǒng)支持文件夾的新增同步、文件夾的鏡像同步、文件完全同步、文件同步后源端刪除、雙向文件同步五種模式等；系統(tǒng)支持采用 SMB CLIENT、 FTP 和 AGENT 模式三種文件獲取手段。 ? 異構數據交換： XX 市房管局數據交換平臺建設方案 12 XX 合眾信息工程有限公司 ? 異構數據庫交換，支持多種數據庫類型（如 SQL Server、 Oracle、 Sybase 等）異構數據庫之間的交換。 ? 異構數據的轉換，支持文件到數據庫、數據庫到文件等多種數據格式的轉換。 ? 支持異構表、異構字段名、異構字段類型。 ? 支持異構的字符類型、異構的數據庫字符集。 ? 支持 BLOB、 CLOB、 LONG、 TEXT、 IMAGE 等大字段的異構 。 ? 支持通過公用函數實現字段值轉化， 異構轉換支持表 /字段級的規(guī)則設置。 ? 支持 格式轉換 ， 允許用戶對數據字段進行轉換，如類型轉換、對應關系轉換 、代碼 /字典轉換 等 。 ? 支持內容轉換，支持邏輯運算、數學運算、日期運算處理、數據合并、數據分離等多 種內容轉換方式。 ? 支持調度： 支持實時調度和定時調度。實時調度是指每間隔多少時間同步一次；定時調度是指每天的什么時間同步一次。 ? 支持數據分發(fā)： 系統(tǒng)支持將源數據庫中的記錄分發(fā)到不同的目標庫，針對每個分發(fā)目標庫都可以設置分發(fā)的條件。 ? 支持按需交換： 系統(tǒng)支持按需交換，源數據可以按照某一特定條件進行同步（支持采用 WHERE 語句編程）。 ? 列過濾和行過濾： 系統(tǒng)可以自由選擇需要同步的數據表中的字段，每個字段中的值可以事先定義缺省值。 ? 提供可靠傳輸機制： 系統(tǒng)通過底層消息隊列提供數據可靠傳輸機制，當發(fā)生網絡阻塞，鏈路故障等時保 障數據交換可靠性。 ? 提供數據完整性保證： 系統(tǒng)通過底層消息隊列提供數據傳輸完整性保證，當發(fā)生網絡阻塞 /異常，鏈路故障等時保障交換數據的完整性。 ? 支持斷點續(xù)傳： 系統(tǒng)支持將一個大的消息切分成多個小塊發(fā)送，在目的節(jié)點重新組合成完整的消息。因為在傳輸時實現了消息切分，所以系統(tǒng)能夠支持斷點續(xù)傳。 ? 支持數據壓縮： 方便用戶在收發(fā)消息時對消息進行壓縮和解壓縮，以 XX 市房管局數據交換平臺建設方案 13 XX 合眾信息工程有限公司 提高消息傳輸效率。 ? 支持用戶設置消息優(yōu)先級： 根據消息優(yōu)先級的高低安排消息的發(fā)送次序。 ? 方便的管理功能： ? 所有業(yè)務都集中在管理界面上運維管理，系統(tǒng)采用全中文的 Web 方 式進行遠程網絡管理，界面友好，操作方便。 ? 系統(tǒng)上的業(yè)務配置全部在內網進行，管理者不再需要內網、外網兩頭跑。管理者可以通過本地瀏覽器遠程起停所有業(yè)務。 ? 能夠實現單個業(yè)務起停，其他業(yè)務不受任何影響。 ? 使用豐富的系統(tǒng)日志，可以及時定位故障，并實施遠程維護。 . 安全監(jiān)測與管理區(qū) 安全監(jiān)測與管理區(qū)內包括：集中監(jiān)控與管理系統(tǒng)（簡稱集控系統(tǒng)），集中監(jiān)控與管理系統(tǒng)由集控系統(tǒng)服務器和集控探針組成。 . 集控探針 由于處于內部局域網的集控服務器無法直接監(jiān)管處于外網的各種設備，所以需要在邊界保護區(qū)安裝集控探針。 集控探針是構建在工控機 基礎上的專用硬件設備，采集外網各種設備（如防火墻、三層交換機、 VPN 網關、 IDS、外網交換服務器、各種業(yè)務前置機）的日志信息，同時監(jiān)聽外網設備的使用狀態(tài)、流量、異常報警事件等等。 . 集控服務器 位于內部局域網的集控服務器上部署集中監(jiān)控與管理系統(tǒng)，集控系統(tǒng)功能包括： ? 注冊信息管理功能 XX 市房管局數據交換平臺建設方案 14 XX 合眾信息工程有限公司 根據安全規(guī)范要求提供信息注冊和管理功能。包括對平臺的基礎信息、建設情況、運維情況、鏈路情況、設備情況進行注冊；對接入業(yè)務的基礎信息、擴展信息、協(xié)議信息、使用單位信息、終端設備信息進行注冊。 ? 運行監(jiān)控管理功能 集控系統(tǒng)能夠實時查看業(yè) 務當前狀態(tài)、當日流量、總流量等；能夠根據鏈路、歸屬單位、操作方式、接入對象來統(tǒng)計任意時間段內的流量、交換次數、審計次數、報警次數等重要信息；能夠實時監(jiān)控各種設備當前運行狀況；能夠提供用戶行為監(jiān)控，對用戶的登錄狀態(tài)、操作行為、訪問資源進行監(jiān)控并提供查詢統(tǒng)計。 ? 報警管理功能 集控系統(tǒng)的報警分為三種：設備報警、業(yè)務報警和事件報警。設備報警是對設備故障狀態(tài)的報警；業(yè)務報警是對業(yè)務異常運行狀態(tài)的報警；事件報警是對各種設備產生的安全事件的報警。系統(tǒng) 支持短信報警和郵件報警。 ? 安全審計功能 系統(tǒng)提供用戶行為審計，即用戶信息 、用戶訪問的資源、訪問的時間等信息；系統(tǒng)提供業(yè)務應用審計，即業(yè)務應用系統(tǒng)信息、數據傳輸流量、傳輸時間、傳輸具體內容等等；系統(tǒng)提供設備狀態(tài)審計：即設備的啟停時間、次數、流入流出流量、設備資源使用狀況等等；系統(tǒng)提供異常行為審計：即異常發(fā)生時間、業(yè)務信息、設備信息、異常具體內容等等。 . 方案優(yōu)勢 . 合規(guī)性 安全數據交換系統(tǒng)符合《信息系統(tǒng)安全等級保護基本要求 GB/T 22239— 2020》《應用軟件系統(tǒng)安全等級保護通用技術指南 GA/T 7112020》的要求，已經通過公安部測試并獲得等級保護三級銷售許可證。 XX 市房管局數據交換平臺建設方案 15 XX 合眾信息工程有限公司 . 全面性 整體方案及產品選擇符合《計算機信息系統(tǒng)安全保護等級劃分準則》（ GB178591999）、《信息系統(tǒng)安全等級保護基本要求》 (GB/T222392020)、《信息安全技術信息系統(tǒng)安全管理要求》（ GB/T202692020）等規(guī)范的要求，能夠全面滿足國家等級保護評測中的各項安全要求。 杭州合眾公司是首家通過公安部指定的檢測機構－國家計算機等級保護測評中心全面檢測的單位。我公司提供的解決方案和各項產品通過公安部的嚴格測試和認證，確保我公司為用戶承建的平臺能夠在投產后通過等級保護的檢測。 合眾的產品包括多種不同 配置不同性能的型號可供不同需求的用戶自主選擇，能夠很好的滿足全國不同發(fā)展水平的各個用戶單位的要求。 . 安全性 傳統(tǒng)安全設備如防火墻、 IPS、網閘、網關都是可控性產品，都屬于網絡安全保護的范疇，用戶在實現跨內外網數據交換還需要符合機密性、完整性、可用性、可審查性的產品，合眾安全數據交換系統(tǒng)就是屬于這個類型的安全交換產品。 從安全功能角度上看，合眾安全數據交換系統(tǒng)分別有幾大功能對應上述安全要求： ? 機密性要求：安全數據交換系統(tǒng)采用加密算法對傳輸的數據進行加解密。 ? 完整性要求：安全數據交換系統(tǒng)采用數字簽名保證所傳輸數 據不被篡改和破壞。 ? 可用性要求：安全數據交換系統(tǒng)通過格式檢查、內容過濾機制保證所傳輸數據可用。 ? 可審查性要求：安全數據交換系統(tǒng)通過審計能夠滿足交換行為的可審查。 XX 市房管局數據交換平臺建設方案 16 XX 合眾信息工程有限公司 因此，安全數據交換系統(tǒng)的加密、簽名、過濾、審計能夠彌補原有可控性產品對于跨內外網數據交換安全防護的不足，更好的保證用戶數據傳輸和網絡邊界的安全。 . 穩(wěn)定性 合眾的產品在很多用戶單位已經穩(wěn)定運行已達四年以上，每天負載著多達數十個業(yè)務同時在運行、很多節(jié)點的數據交換日流量達到 500GB 以上，適用于用戶單位各個部門、各種不同架構的應用業(yè)務程序（包括 B/S 架構 和 C/S 架構，兩層或三層的應用程序）。 . 產品介紹 . 合眾安全數據交換系統(tǒng) . 產品定位 合眾安全數據交換系統(tǒng)是專門為政府部門和大型企事業(yè)單位實現內外網數據交換需求而研發(fā)的產品。 合眾安全數據交換系統(tǒng)解決不同網絡之間、異構操作系統(tǒng)、異構數據庫之間的數據交換。系統(tǒng)基于等級保護三級要求的三權分立管理體系，具備等級保護三級要求的強制訪問控制和安全標記管理等功能。 該系統(tǒng)的主要用途如下： ? 彌補傳統(tǒng)安全設備的不足 ? 適用于等級保護要求高的用戶 ? 存在大量交換業(yè)務的用戶 ? 需要異構交換的用戶 ? 需要對交換加強管理的用戶 XX 市房管局數據交換平臺建設方案 17 XX 合眾信息工程有限公司 ? 正在使用網閘 ，但對于網閘的功能不夠滿意的用戶 . 系統(tǒng)功能 接 接 接 接 接接 接 接 接接 接 接 接接 接 接 接 接接 接 接 接 接 接 接 接接 接 接 接接 接 接 接接 接 接 接 接 接 接 接接 接 接 接接 接 接 接接 接 接 接接 接接 接 接 接接 接 接 接接 接 接 接 接 接接 接 接 接接 接 接 接 ? 安全功能 系統(tǒng)的安全功能主要有： 身份認證：基于設備證書提供對數據源的認證；基于設備證書提供對交換服務器的雙向認證。 加密和數據完整性保護：系統(tǒng)支持國產商密算法對交換數據進行加密；系統(tǒng)通過數字簽名保證交換數據完整性。 數據過濾：系統(tǒng)數據過濾功能包括格式過濾、內容過濾（即病毒過濾）、URL 過濾、防 SQL 注入過濾等。 數據標記與強制訪問控制：系統(tǒng)支持對主要主、