“2+1”架构网闸

3、仲裁/审计系统
仲裁系统是NiE的核心，这里保存着NiE的所有重要数据资料，并且实现了多种安全机制：可以为系统内每一位用户提供身份识别，在系统检测到相关事件之后可以追溯直接责任人；对流经仲裁系统的所有信息进行检查，找出其中的敏感内容，最终将内部网络和外部网络的信息交换置于一个可控的状况之下；记录各类审计信息，供管理员审查。在“2+1”架构网闸中，“仲裁/审计系统”依附在内端机上。
为便于操作，仲裁系统向管理员提供方便灵活的管理界面。NiE在仲裁系统上实现了基于下推自动机的高效过滤算法，特别适合对大批量的关键字同时进行过滤。这种算法还具有避免常见的掩饰手段（如拆分敏感关键词、加入标点、换行等）干扰的特点。
 

4、基于用户的访问控制
在部署NiE之后，如果要让内外网两端进行正常的信息交换，必须首先在NiE系统上建立合法的用户账号，后续所有的信息交换过程都将基于预先建立的用户来进行安全控制。
NiE设备支持两类基本用户，一类是普通用户，一类是管理员用户。其中，普通用户是受NiE系统控制的、对内外网络中信息交换提出使用需求的用户，而管理员用户则是对NiE设备本身进行管理维护的人员。
5、受控协议通道及工作模式
建立合法用户之后，需要将内外网两端任何一类信息交换都置于特定的受控协议通道上，这些协议通道是和特定用户关联在一起的。
NiE借助受控协议通道来实现协议信息交换功能。这种受控协议通道，指的是一条从内端机通向外端机或者从外端机通向内端机的受控信息通路。受控通道的开启和关闭均由管理员控制。受控通道开启后，内端机/外端机开始监听通道入口IP上指定的端口，仲裁机上相应的协议分析部件开始运作，准备处理各种流经通道的协议数据信息。
NiE对所有应用协议提供基本的安全配置，包括：
（1）协议通道的入口IP和监听端口；
（2）协议通道所允许的发起源IP；
（3）协议通道所允许的用户账户；
（4）协议通道所允许的最大并发用户数；
（5）协议通道可按照管理员设置定时自动开启/关闭。
在受控协议通道的设置上，NiE支持两种工作模式，即代理模式和转发模式。
在代理工作模式下，NiE的协议分析部件从用户发来的协议信息包中分析实际的连接目标，并和这个连接目标进行信息交换。
NiE的转发工作模式应用于服务器地址和端口固定的应用场合。管理员在设置通道的时候配置好目的服务器地址和端口，NiE在预定通道上接收客户端连接，在确认其身份后再向固定目的服务器的固定端口发起连接。
NiE所支持的两种协议通道工作模式相辅相成，如果组合使用，可以胜任绝大多数的应用场合。
6、安全隔离策略
NiE的仲裁机对协议通道进行控制，很重要的一点就是体现在所配置的安全策略上。管理员通过仲裁机上的管理配置接口来配置仲裁策略，仲裁系统依据相关策略，对流经的信息进行严格的过滤检查。
不同类型的协议通道，在安全策略设置方面要求不同。
6.1、HTTP协议信息交换策略
NiE的HTTP信息交换有两种工作状态：客户端保护状态和服务端保护状态。HTTP 客户端保护状态的主要目的是保护内网用户不受到外网Web站点上有害内容的侵扰，本工作状态对应于受控通道的代理工作模式；而服务端保护状态的主要目的是保护内网Web服务器不受外来访问的恶意攻击，本工作状态对应于受控通道的转发工作模式。除了基本的配置之外，NiE在HTTP协议加入了多种安全策略供管理员配置，具体包括：
（1）本协议通道可以访问的URL 清单；
（2）本协议通道允许使用的用户名单；
（3）本协议通道是否过滤有害的脚本；
（4）本协议通道需要过滤的敏感关键字列表。
6.2、邮件协议信息交换策略
NiE在处理邮件相关协议时，可将其看作一个安全的邮件信息交换平台，用户可以使用常见的邮件客户端工具（如outlook和foxmail）来设置在互联网上的公共邮箱，以便实现邮件信息交换。
NiE在邮件相关协议的处理中加入了多种保护邮件的策略设置，具体包括：
（1）对邮件的主题及内容进行过滤，可以有效地防止内部机密信息的泄漏；
（2）限制邮件的大小，可限制大附件的邮件；
（3）限制邮件中的执行脚本；
（4）限制垃圾邮件，保护用户不受垃圾邮件的干扰；
（5）检测管理员设置的附件文件名的安全规则，阻断规则所禁止的邮件。
6.3、FTP协议信息交换策略
NiE提供的FTP协议通道主要保护内网FTP服务器不受攻击。除受控通道的基本安全支持外，FTP协议还可对使用FTP通道传输的内容进行过滤，包括病毒等恶意代码的查杀。
6.4、Telnet 协议信息交换策略
NiE提供Telnet协议通道，可保护内网的Telnet服务器不受攻击。Telnet协议处理模块暂存通过NiE的用户Telnet命令并作分析，以阻止有害信息进入而形成危害，同时对用户登录后所有的操作进行审计记录。
6.5、数据库信息交换策略
NiE提供MS SQL Server、Oracle、Sybase、DB2等协议通道，保护数据库信息交换的安全，该策略可以提供完美的数据库同步方案，具体包括：
（1）支持各种同构或异构关系数据库之间的数据交换，如Oracle、Sybase、SQL Server、DB2等，另外，还支持数据库到文件、文件到数据库、文件到文件的数据交换；
（2）支持异构数据结构以及代码语义的转换规则定义，并实现源数据到目标数据之间的实时数据交换，支持数据整合业务；
（3）支持数据一对一、一对多、多对多的单向或双向交换和同步，支持实时交换或定时同步的策略定义；
（4）采用XML技术，具有可配置性。可以通过标准定义、规则定义、通道定义和路由定义进行个性化的数据交换策略定义；
（5）数据传输的实时性。如果其中一个系统的数据发生变化，那么通过NiE传输到其他系统中，相应数据也会即时发生变化。
7 自定义协议信息通道
除了以上几种基本的受控通道，NiE还可以根据用户的需求进行新的自定义通信协议的开发。
新的通信协议可提供多种扩展功能，包括：
（1）自定义协议通道可以采取代理工作模式或者转发工作模式；
（2）自定义协议通道可以直接使用现有的全部通道基本设置；
（3）自定义协议通道可以根据需求定制安全功能；
（4）自定义协议通道可以根据需求开发新的专用协议处理功能；
自定义协议通道得益于NiE在设计上的强大的可扩展性，它使得NiE具有了很大的灵活性，能够适应多种应用领域。
8 其它技术特点
NiE在支持安全隔离和信息交换基本功能的同时，还借助一些辅助性安全机制，来提供足够的安全保证。其中包括：内嵌的入侵检测和病毒防护机制，对数字签名的支持，黑白名单，地址绑定，双机热备等。
（1）数字签名
NiE系统可以很好地和数字证书体系相结合，根据用户的需求将数字证书引入应用协议通道当中。数字证书作为原有用户身份鉴别系统的有力补充，可以使NiE 的功能更为强大。
（2）入侵检测
NiE系统在内核中嵌入了专用的入侵检测引擎，能够对进出网络的原始数据进行攻击检测、过滤和审计。这种入侵检测是基于NiE预先设定的完备的攻击特征库来实现的，无须管理员配置。有了这种机制，可以最大程度上降低NiE 遭受直接攻击的可能性。
（3）病毒检测
针对目前互联网上以病毒等恶意代码为主的信息攻击，NiE可在内部定制集成杀毒引擎，能够对一些主流的病毒进行检测查杀功能。
（4）黑白名单
NiE对所有的网络应用均提供黑白名单。通过黑白名单，可以拒绝或允许哪些用户能够进行网络访问。
（5）地址绑定
为了防止IP地址被非法盗用，同时校验主机的合法性，NiE提供地址绑定功能。通过对指定接口所连接的网络中主机的IP和MAC地址进行绑定，防止IP盗用，并对非法IP地址的访问进行详细记录，以便管理员查看。
（6）双机热备
NiE提供双机热备功能，两套系统以主动机和备用机的身份独立运行，同时随时检测运行状态。当主动机出现问题时，备用机可以在2分钟内接管，并提升为主动机。双机热备方案保证了网络的高可用性和高安全性，显著提升了系统的可靠性。
 

 

3、行业应用解决方案
安全隔离与信息交换系统适用于金融、税务、海关、公安、司法、安全、医疗等行业领域，尤其是各级政府机关和涉密企事业单位。
3.1 财税系统应用解决方案
财政局，税务局（国税局、地税局）掌握着当地各类企业的登记情况、市场活动交易行为等重要信息，合理组织、综合利用这些信息可以从多角度反映本地的经济运行状况，为本地经济发展提供决策依据。随着政务公开和政府上网工程的开展，税务系统的对外业务服务必须要通过互联网来完成，例如企业初始数据的采集、网上报税、处理结果的反馈等，对于这些数据的审核往往需要由处于内网中的税务人员来完成，另外对于税务系统而言，所有初始数据和审批过程都需要备份，存入系统内网的数据库中。另外，由于网络的互联共享，来自企业内部和全世界各个地方不怀好意的计算机专业人士和黑客都有可能对其实施攻击。我们几乎每天都可以听到黑客对某某企业信息资源进行入侵、篡改和破坏的报道，所以有必要建立税务网络安全整体防护体系，提高税务网络的安全保障能力。 
 

NiE在财税中的应用示范

NiE在政务中的应用示范