一、實(shí)施背景
近年來，隨著網(wǎng)絡(luò)建設(shè)和應(yīng)用的逐步深入，加強(qiáng)信息安全，特別是敏感信息的保護(hù)已經(jīng)迫在眉睫。國家能源局《關(guān)于加強(qiáng)電力行業(yè)網(wǎng)絡(luò)安全工作的指導(dǎo)意見》中，對強(qiáng)化關(guān)鍵信息基礎(chǔ)設(shè)施安全防護(hù)與加強(qiáng)電力企業(yè)數(shù)據(jù)安全保護(hù)提出了相關(guān)技術(shù)要求：按照“安全分區(qū)”、“網(wǎng)絡(luò)專用”、“橫向隔離”、“縱向認(rèn)證”的原則，進(jìn)一步完善結(jié)構(gòu)安全、本體安全和基礎(chǔ)設(shè)施安全。
針對能源行業(yè)各單位現(xiàn)有的大量業(yè)務(wù)敏感信息，經(jīng)過風(fēng)險(xiǎn)評估與分析，批量敏感信息的外泄風(fēng)險(xiǎn)更多的存在于數(shù)據(jù)交換環(huán)節(jié)。因此如何保障數(shù)據(jù)交換環(huán)節(jié)中的數(shù)據(jù)安全，在安全性和易用性中找到合適的平衡點(diǎn)，給單位業(yè)務(wù)提供堅(jiān)實(shí)的信息安全保障，符合單位內(nèi)控和外部監(jiān)管要求，是當(dāng)前數(shù)據(jù)安全面臨的一個(gè)難題。
隨著全球地緣政治與意識形態(tài)競爭的加劇，國際關(guān)系與體系正在經(jīng)歷著深刻變革，在當(dāng)下競爭與沖突兼具的外部環(huán)境背景下，信息產(chǎn)業(yè)生態(tài)同樣遭受著復(fù)雜多變的重要影響。“卡脖子”難題接二連三，推動國家高度重視網(wǎng)絡(luò)信息安全，提出一系列重大戰(zhàn)略部署，要求必須掌握安全可控的信息化核心技術(shù)。在當(dāng)前國際形勢下，世界格局正在發(fā)生深刻變化，一些國家試圖通過技術(shù)封鎖和制裁來遏制其他國家的崛起，因此，國產(chǎn)自主可控技術(shù)的重要性不言而喻。
所以，本項(xiàng)目的實(shí)施背景，在集團(tuán)整體戰(zhàn)略中，將率先展現(xiàn)國產(chǎn)自主可控技術(shù)在信息安全領(lǐng)域的重要應(yīng)用，圍繞提供便捷信息化支撐服務(wù)與完善的數(shù)據(jù)安全管理能為核心，提供管理支持與信息安化安全保障。國產(chǎn)自主可控的跨網(wǎng)數(shù)據(jù)安全擺渡系統(tǒng)，將作為后續(xù)集團(tuán)內(nèi)管理信息大區(qū)與辦公互聯(lián)區(qū)的非結(jié)構(gòu)化數(shù)據(jù)安全交換通道的創(chuàng)新型技術(shù)應(yīng)用，為兩網(wǎng)內(nèi)辦公人員提供便捷高效的文件協(xié)同與辦公支撐，為集團(tuán)與各級單位在商業(yè)秘密、個(gè)人信息等數(shù)據(jù)保護(hù)提供數(shù)據(jù)傳輸階段的重要安全管控抓手，充分兼容當(dāng)前辦公環(huán)境與后續(xù)國產(chǎn)自主可控的運(yùn)行辦公環(huán)境與運(yùn)行環(huán)境，保障數(shù)字化轉(zhuǎn)型中信息與數(shù)據(jù)高效可控的發(fā)揮價(jià)值的重要基礎(chǔ)設(shè)施。
二、實(shí)施目標(biāo)
從整體安全能力建設(shè)角度出發(fā)，采用電力專用單向隔離裝置提供跨網(wǎng)傳輸數(shù)據(jù)的安全管理，對傳輸數(shù)據(jù)提供防病毒與數(shù)據(jù)內(nèi)容識別檢測能力，開發(fā)創(chuàng)新型跨網(wǎng)數(shù)據(jù)安全交換方案。并針對本次應(yīng)用的跨網(wǎng)數(shù)據(jù)交換應(yīng)用場景，需充分考慮其服務(wù)端與應(yīng)用端的信創(chuàng)應(yīng)用實(shí)踐需求，完成從管理后臺的CPU、操作系統(tǒng)、數(shù)據(jù)庫、用戶端的自主可控要求。
三、建設(shè)內(nèi)容
目前，國內(nèi)外對于安全隔離場景下的安全管理能力研究與實(shí)踐主要應(yīng)用于以非結(jié)構(gòu)化數(shù)據(jù)傳輸場景下的應(yīng)用場景中，主要以同網(wǎng)內(nèi)的非結(jié)構(gòu)化數(shù)據(jù)安全管理方案為主，整體可分為三大類，第一類是審計(jì)取證類，例如敏感數(shù)據(jù)識別為主的DLP技術(shù)、流量審計(jì)等，第二類是加密類，例如文檔透明加解密等，第三類是訪問控制類，例如身份和訪問管理。從目前行業(yè)實(shí)踐與技術(shù)成熟度來講，三類技術(shù)各有其相對成熟的技術(shù)應(yīng)用場景。在綜合考慮了非結(jié)構(gòu)化數(shù)據(jù)安全傳輸場景的應(yīng)用場景，以及提升最終用戶使用體驗(yàn)效率的基礎(chǔ)上，本方案中將此三類技術(shù)均應(yīng)用于本創(chuàng)新課題中。
（1）一是以敏感數(shù)據(jù)識別技術(shù)應(yīng)用與跨網(wǎng)數(shù)據(jù)傳輸時(shí)的內(nèi)容檢測，并結(jié)合審批管理能力，提供不同安全區(qū)域間數(shù)據(jù)傳輸?shù)木?xì)化管理，確保敏感、重要的數(shù)據(jù)跨網(wǎng)傳輸時(shí)可受管理要求的約束，并可對跨網(wǎng)數(shù)據(jù)傳輸行為與管理員/審計(jì)員行為進(jìn)行完整審計(jì)，實(shí)現(xiàn)管理制度的技術(shù)應(yīng)用落地。
（2）二是以非結(jié)構(gòu)化數(shù)據(jù)傳輸存儲時(shí)的文件名信息與數(shù)據(jù)庫表項(xiàng)的加密存儲，保證出現(xiàn)數(shù)據(jù)庫被竊取數(shù)據(jù)時(shí)依然保證傳輸文件的存儲信息不可被截取。
（3）三是基于用戶角色與獲取數(shù)據(jù)所在網(wǎng)絡(luò)進(jìn)行身份鑒別與非結(jié)構(gòu)化數(shù)據(jù)使用權(quán)限管理，實(shí)現(xiàn)不同用戶在不同網(wǎng)絡(luò)區(qū)域內(nèi)的權(quán)限可進(jìn)行差異化管理，實(shí)現(xiàn)靈活的應(yīng)用延展性。同時(shí)結(jié)合以上三大類數(shù)據(jù)安全技術(shù)方向，并扎根于信創(chuàng)平臺與支撐能力，配合電力行業(yè)專用安全隔離裝置構(gòu)建的安全隔離能力，成為本創(chuàng)新課題后續(xù)應(yīng)用與推廣的重要發(fā)力點(diǎn)，在以上技術(shù)與安全架構(gòu)得以充分應(yīng)用的基礎(chǔ)上，可確保行業(yè)內(nèi)用戶在進(jìn)行跨網(wǎng)數(shù)據(jù)傳輸時(shí)的安全可靠與自主可控。
四、實(shí)施效果
通過兩套數(shù)據(jù)安全交換系統(tǒng)一體機(jī)與電力系統(tǒng)專用安全隔離組合部署，構(gòu)建能源行業(yè)物理隔離場景下的跨網(wǎng)數(shù)據(jù)安全交換方案，提升整體安全性，并與現(xiàn)網(wǎng)隔離場景相匹配。
【先進(jìn)性；物理隔離和邏輯隔離技術(shù)的應(yīng)用】
設(shè)計(jì)原理是基于虛擬化技術(shù)和物理隔離技術(shù)的應(yīng)用而來，內(nèi)外網(wǎng)各一臺物理服務(wù)器作為數(shù)據(jù)交換服務(wù)器，中間用電力專用單向隔離裝置連接，內(nèi)網(wǎng)到外網(wǎng)使用正向隔離裝置，外網(wǎng)到內(nèi)網(wǎng)使用反向隔離裝置。為了實(shí)現(xiàn)數(shù)據(jù)交換效果，在文件審計(jì)服務(wù)器與單向隔離裝置之間，通過代理進(jìn)程的將TCP協(xié)議轉(zhuǎn)換為單向網(wǎng)閘專用協(xié)議的方式進(jìn)行文件轉(zhuǎn)移，同時(shí)，在單向隔離裝置內(nèi)通過TCP聯(lián)接分解的方式保障物理隔離，從而整體達(dá)到該電力行業(yè)集團(tuán)內(nèi)外網(wǎng)之間安全可控?cái)?shù)據(jù)通訊，實(shí)現(xiàn)內(nèi)外網(wǎng)間的文件安全交換。
【先進(jìn)性：虛擬化技術(shù)的應(yīng)用】
安渡系統(tǒng)是基于虛擬化技術(shù)，在一臺物理設(shè)備的環(huán)境下，起多個(gè)虛擬服務(wù)器搭建的基礎(chǔ)架構(gòu)。安渡于2011年開發(fā)，就沿用了該技術(shù)成為產(chǎn)品基礎(chǔ)，并創(chuàng)新性的設(shè)置SELinux打造MAC（強(qiáng)制管控策略）、虛擬機(jī)的讀寫權(quán)限控制、專用指令通道和專用數(shù)據(jù)通道等等技術(shù)的應(yīng)用；多項(xiàng)安全技術(shù)能力與國家保密局與2021年04月09日發(fā)布的《基于KVM/QEMU虛擬化系統(tǒng)的多租戶安全隔離技術(shù)研究》一文提倡的安全技術(shù)能力一致；說明安渡系統(tǒng)在2011年設(shè)計(jì)之初，就已經(jīng)技術(shù)先沿和創(chuàng)新的能力。
【獨(dú)特性：容錯(cuò)式設(shè)計(jì)】
基于安渡系統(tǒng)是以虛擬機(jī)鏡像方式啟動，遇大范圍黑客攻擊或勒索病毒攻擊時(shí)，虛擬服務(wù)器可進(jìn)行快速恢復(fù)操作，避免因勒索病毒、滲透攻擊和竊取敏感文件等危險(xiǎn)操作帶來的風(fēng)險(xiǎn)。虛擬服務(wù)器恢復(fù)的操作，是沿用了虛擬化技術(shù)的特性，也是國內(nèi)首創(chuàng)該技術(shù)應(yīng)用到安全數(shù)據(jù)交換行業(yè)的廠家。
【獨(dú)特性：防范跳板攻擊】
安渡系統(tǒng)內(nèi)部是通過專用指令通道（非TCP/IP協(xié)議）通訊，OS設(shè)計(jì)獨(dú)立的指令內(nèi)存空間和數(shù)據(jù)虛擬空間，避免出現(xiàn)堆棧溢出，降低惡意代碼以數(shù)據(jù)形式植入進(jìn)程內(nèi)存空間加以執(zhí)行的風(fēng)險(xiǎn)。
整體方案現(xiàn)已驗(yàn)收，該電力行業(yè)信創(chuàng)安全數(shù)據(jù)擺渡系統(tǒng)在集團(tuán)內(nèi)部全國多個(gè)廠區(qū)進(jìn)行宣貫和試用。滿足預(yù)定的實(shí)施目標(biāo)和方案效果，總體上有以下幾方面的建設(shè)效果：
（1）與電力專用單向隔離裝置對接，實(shí)現(xiàn)物理隔離和邏輯隔離數(shù)據(jù)擺渡的效果，滿足內(nèi)外部檢查部門的檢查，具有合規(guī)性；
（2）輸數(shù)據(jù)提供防病毒與數(shù)據(jù)內(nèi)容識別檢測能力，可杜絕病毒文件的傳播及敏感文件泄密等風(fēng)險(xiǎn)；
（3）本次應(yīng)用的跨網(wǎng)數(shù)據(jù)交換應(yīng)用場景，是基于信創(chuàng)的芯片、操作系統(tǒng)、數(shù)據(jù)庫和中間件，相當(dāng)于全棧化信創(chuàng)交付，實(shí)現(xiàn)各個(gè)技術(shù)領(lǐng)域自主可控要求；
（4）數(shù)據(jù)傳輸時(shí)是通過加密鏈路，數(shù)據(jù)落地會對存儲路徑、文件名、文件內(nèi)容和密鑰，通過多種加密算法實(shí)現(xiàn)存儲加密，避免數(shù)據(jù)交換過程中出現(xiàn)泄密、攔截和注入病毒等風(fēng)險(xiǎn)；
（5）實(shí)現(xiàn)不同用戶在不同網(wǎng)絡(luò)區(qū)域內(nèi)的權(quán)限可進(jìn)行差異化管理，實(shí)現(xiàn)靈活的應(yīng)用延展性；提升管理員的效率。
（6）另外：還包括大量可自定義的安全配置項(xiàng)，病毒檢測、審批審計(jì)、支持多種類型終端（含信創(chuàng)）等等；
整體應(yīng)用價(jià)值包括：合規(guī)、安全、可控、高效、易用這幾個(gè)特點(diǎn)。
