電力行業(yè)信創(chuàng)安全數(shù)據(jù)擺渡系統(tǒng)(簡稱:安渡)

近年來,隨著網(wǎng)絡(luò)建設(shè)和應(yīng)用的逐步深入,加強(qiáng)信息安全,特別是敏感信息的保護(hù)已經(jīng)迫在眉睫。國家能源局《關(guān)于加強(qiáng)電力行業(yè)網(wǎng)絡(luò)安全工作的指導(dǎo)意見》中,對強(qiáng)化關(guān)鍵信息基礎(chǔ)設(shè)施安全防護(hù)與加強(qiáng)電力企業(yè)數(shù)據(jù)安全保護(hù)提出了相關(guān)技術(shù)要求:按照“安全分區(qū)”、“網(wǎng)絡(luò)專用”、“橫向隔離”、“縱向認(rèn)證”的原則,進(jìn)一步完善結(jié)構(gòu)安全、本體安全和基礎(chǔ)設(shè)施安全。

一、實(shí)施背景

近年來,隨著網(wǎng)絡(luò)建設(shè)和應(yīng)用的逐步深入,加強(qiáng)信息安全,特別是敏感信息的保護(hù)已經(jīng)迫在眉睫。國家能源局《關(guān)于加強(qiáng)電力行業(yè)網(wǎng)絡(luò)安全工作的指導(dǎo)意見》中,對強(qiáng)化關(guān)鍵信息基礎(chǔ)設(shè)施安全防護(hù)與加強(qiáng)電力企業(yè)數(shù)據(jù)安全保護(hù)提出了相關(guān)技術(shù)要求:按照“安全分區(qū)”、“網(wǎng)絡(luò)專用”、“橫向隔離”、“縱向認(rèn)證”的原則,進(jìn)一步完善結(jié)構(gòu)安全、本體安全和基礎(chǔ)設(shè)施安全。

針對能源行業(yè)各單位現(xiàn)有的大量業(yè)務(wù)敏感信息,經(jīng)過風(fēng)險(xiǎn)評估與分析,批量敏感信息的外泄風(fēng)險(xiǎn)更多的存在于數(shù)據(jù)交換環(huán)節(jié)。因此如何保障數(shù)據(jù)交換環(huán)節(jié)中的數(shù)據(jù)安全,在安全性和易用性中找到合適的平衡點(diǎn),給單位業(yè)務(wù)提供堅(jiān)實(shí)的信息安全保障,符合單位內(nèi)控和外部監(jiān)管要求,是當(dāng)前數(shù)據(jù)安全面臨的一個(gè)難題。

隨著全球地緣政治與意識形態(tài)競爭的加劇,國際關(guān)系與體系正在經(jīng)歷著深刻變革,在當(dāng)下競爭與沖突兼具的外部環(huán)境背景下,信息產(chǎn)業(yè)生態(tài)同樣遭受著復(fù)雜多變的重要影響。“卡脖子”難題接二連三,推動國家高度重視網(wǎng)絡(luò)信息安全,提出一系列重大戰(zhàn)略部署,要求必須掌握安全可控的信息化核心技術(shù)。在當(dāng)前國際形勢下,世界格局正在發(fā)生深刻變化,一些國家試圖通過技術(shù)封鎖和制裁來遏制其他國家的崛起,因此,國產(chǎn)自主可控技術(shù)的重要性不言而喻。

所以,本項(xiàng)目的實(shí)施背景,在集團(tuán)整體戰(zhàn)略中,將率先展現(xiàn)國產(chǎn)自主可控技術(shù)在信息安全領(lǐng)域的重要應(yīng)用,圍繞提供便捷信息化支撐服務(wù)與完善的數(shù)據(jù)安全管理能為核心,提供管理支持與信息安化安全保障。國產(chǎn)自主可控的跨網(wǎng)數(shù)據(jù)安全擺渡系統(tǒng),將作為后續(xù)集團(tuán)內(nèi)管理信息大區(qū)與辦公互聯(lián)區(qū)的非結(jié)構(gòu)化數(shù)據(jù)安全交換通道的創(chuàng)新型技術(shù)應(yīng)用,為兩網(wǎng)內(nèi)辦公人員提供便捷高效的文件協(xié)同與辦公支撐,為集團(tuán)與各級單位在商業(yè)秘密、個(gè)人信息等數(shù)據(jù)保護(hù)提供數(shù)據(jù)傳輸階段的重要安全管控抓手,充分兼容當(dāng)前辦公環(huán)境與后續(xù)國產(chǎn)自主可控的運(yùn)行辦公環(huán)境與運(yùn)行環(huán)境,保障數(shù)字化轉(zhuǎn)型中信息與數(shù)據(jù)高效可控的發(fā)揮價(jià)值的重要基礎(chǔ)設(shè)施。

二、實(shí)施目標(biāo)

從整體安全能力建設(shè)角度出發(fā),采用電力專用單向隔離裝置提供跨網(wǎng)傳輸數(shù)據(jù)的安全管理,對傳輸數(shù)據(jù)提供防病毒與數(shù)據(jù)內(nèi)容識別檢測能力,開發(fā)創(chuàng)新型跨網(wǎng)數(shù)據(jù)安全交換方案。并針對本次應(yīng)用的跨網(wǎng)數(shù)據(jù)交換應(yīng)用場景,需充分考慮其服務(wù)端與應(yīng)用端的信創(chuàng)應(yīng)用實(shí)踐需求,完成從管理后臺的CPU、操作系統(tǒng)、數(shù)據(jù)庫、用戶端的自主可控要求。

三、建設(shè)內(nèi)容

目前,國內(nèi)外對于安全隔離場景下的安全管理能力研究與實(shí)踐主要應(yīng)用于以非結(jié)構(gòu)化數(shù)據(jù)傳輸場景下的應(yīng)用場景中,主要以同網(wǎng)內(nèi)的非結(jié)構(gòu)化數(shù)據(jù)安全管理方案為主,整體可分為三大類,第一類是審計(jì)取證類,例如敏感數(shù)據(jù)識別為主的DLP技術(shù)、流量審計(jì)等,第二類是加密類,例如文檔透明加解密等,第三類是訪問控制類,例如身份和訪問管理。從目前行業(yè)實(shí)踐與技術(shù)成熟度來講,三類技術(shù)各有其相對成熟的技術(shù)應(yīng)用場景。在綜合考慮了非結(jié)構(gòu)化數(shù)據(jù)安全傳輸場景的應(yīng)用場景,以及提升最終用戶使用體驗(yàn)效率的基礎(chǔ)上,本方案中將此三類技術(shù)均應(yīng)用于本創(chuàng)新課題中。

(1)一是以敏感數(shù)據(jù)識別技術(shù)應(yīng)用與跨網(wǎng)數(shù)據(jù)傳輸時(shí)的內(nèi)容檢測,并結(jié)合審批管理能力,提供不同安全區(qū)域間數(shù)據(jù)傳輸?shù)木?xì)化管理,確保敏感、重要的數(shù)據(jù)跨網(wǎng)傳輸時(shí)可受管理要求的約束,并可對跨網(wǎng)數(shù)據(jù)傳輸行為與管理員/審計(jì)員行為進(jìn)行完整審計(jì),實(shí)現(xiàn)管理制度的技術(shù)應(yīng)用落地。

(2)二是以非結(jié)構(gòu)化數(shù)據(jù)傳輸存儲時(shí)的文件名信息與數(shù)據(jù)庫表項(xiàng)的加密存儲,保證出現(xiàn)數(shù)據(jù)庫被竊取數(shù)據(jù)時(shí)依然保證傳輸文件的存儲信息不可被截取。

(3)三是基于用戶角色與獲取數(shù)據(jù)所在網(wǎng)絡(luò)進(jìn)行身份鑒別與非結(jié)構(gòu)化數(shù)據(jù)使用權(quán)限管理,實(shí)現(xiàn)不同用戶在不同網(wǎng)絡(luò)區(qū)域內(nèi)的權(quán)限可進(jìn)行差異化管理,實(shí)現(xiàn)靈活的應(yīng)用延展性。同時(shí)結(jié)合以上三大類數(shù)據(jù)安全技術(shù)方向,并扎根于信創(chuàng)平臺與支撐能力,配合電力行業(yè)專用安全隔離裝置構(gòu)建的安全隔離能力,成為本創(chuàng)新課題后續(xù)應(yīng)用與推廣的重要發(fā)力點(diǎn),在以上技術(shù)與安全架構(gòu)得以充分應(yīng)用的基礎(chǔ)上,可確保行業(yè)內(nèi)用戶在進(jìn)行跨網(wǎng)數(shù)據(jù)傳輸時(shí)的安全可靠與自主可控。

四、實(shí)施效果

通過兩套數(shù)據(jù)安全交換系統(tǒng)一體機(jī)與電力系統(tǒng)專用安全隔離組合部署,構(gòu)建能源行業(yè)物理隔離場景下的跨網(wǎng)數(shù)據(jù)安全交換方案,提升整體安全性,并與現(xiàn)網(wǎng)隔離場景相匹配。

【先進(jìn)性;物理隔離和邏輯隔離技術(shù)的應(yīng)用】

設(shè)計(jì)原理是基于虛擬化技術(shù)和物理隔離技術(shù)的應(yīng)用而來,內(nèi)外網(wǎng)各一臺物理服務(wù)器作為數(shù)據(jù)交換服務(wù)器,中間用電力專用單向隔離裝置連接,內(nèi)網(wǎng)到外網(wǎng)使用正向隔離裝置,外網(wǎng)到內(nèi)網(wǎng)使用反向隔離裝置。為了實(shí)現(xiàn)數(shù)據(jù)交換效果,在文件審計(jì)服務(wù)器與單向隔離裝置之間,通過代理進(jìn)程的將TCP協(xié)議轉(zhuǎn)換為單向網(wǎng)閘專用協(xié)議的方式進(jìn)行文件轉(zhuǎn)移,同時(shí),在單向隔離裝置內(nèi)通過TCP聯(lián)接分解的方式保障物理隔離,從而整體達(dá)到該電力行業(yè)集團(tuán)內(nèi)外網(wǎng)之間安全可控?cái)?shù)據(jù)通訊,實(shí)現(xiàn)內(nèi)外網(wǎng)間的文件安全交換。

【先進(jìn)性:虛擬化技術(shù)的應(yīng)用】

安渡系統(tǒng)是基于虛擬化技術(shù),在一臺物理設(shè)備的環(huán)境下,起多個(gè)虛擬服務(wù)器搭建的基礎(chǔ)架構(gòu)。安渡于2011年開發(fā),就沿用了該技術(shù)成為產(chǎn)品基礎(chǔ),并創(chuàng)新性的設(shè)置SELinux打造MAC(強(qiáng)制管控策略)、虛擬機(jī)的讀寫權(quán)限控制、專用指令通道和專用數(shù)據(jù)通道等等技術(shù)的應(yīng)用;多項(xiàng)安全技術(shù)能力與國家保密局與2021年04月09日發(fā)布的《基于KVM/QEMU虛擬化系統(tǒng)的多租戶安全隔離技術(shù)研究》一文提倡的安全技術(shù)能力一致;說明安渡系統(tǒng)在2011年設(shè)計(jì)之初,就已經(jīng)技術(shù)先沿和創(chuàng)新的能力。

【獨(dú)特性:容錯(cuò)式設(shè)計(jì)】

基于安渡系統(tǒng)是以虛擬機(jī)鏡像方式啟動,遇大范圍黑客攻擊或勒索病毒攻擊時(shí),虛擬服務(wù)器可進(jìn)行快速恢復(fù)操作,避免因勒索病毒、滲透攻擊和竊取敏感文件等危險(xiǎn)操作帶來的風(fēng)險(xiǎn)。虛擬服務(wù)器恢復(fù)的操作,是沿用了虛擬化技術(shù)的特性,也是國內(nèi)首創(chuàng)該技術(shù)應(yīng)用到安全數(shù)據(jù)交換行業(yè)的廠家。

【獨(dú)特性:防范跳板攻擊】

安渡系統(tǒng)內(nèi)部是通過專用指令通道(非TCP/IP協(xié)議)通訊,OS設(shè)計(jì)獨(dú)立的指令內(nèi)存空間和數(shù)據(jù)虛擬空間,避免出現(xiàn)堆棧溢出,降低惡意代碼以數(shù)據(jù)形式植入進(jìn)程內(nèi)存空間加以執(zhí)行的風(fēng)險(xiǎn)。

整體方案現(xiàn)已驗(yàn)收,該電力行業(yè)信創(chuàng)安全數(shù)據(jù)擺渡系統(tǒng)在集團(tuán)內(nèi)部全國多個(gè)廠區(qū)進(jìn)行宣貫和試用。滿足預(yù)定的實(shí)施目標(biāo)和方案效果,總體上有以下幾方面的建設(shè)效果:

(1)與電力專用單向隔離裝置對接,實(shí)現(xiàn)物理隔離和邏輯隔離數(shù)據(jù)擺渡的效果,滿足內(nèi)外部檢查部門的檢查,具有合規(guī)性;

(2)輸數(shù)據(jù)提供防病毒與數(shù)據(jù)內(nèi)容識別檢測能力,可杜絕病毒文件的傳播及敏感文件泄密等風(fēng)險(xiǎn);

(3)本次應(yīng)用的跨網(wǎng)數(shù)據(jù)交換應(yīng)用場景,是基于信創(chuàng)的芯片、操作系統(tǒng)、數(shù)據(jù)庫和中間件,相當(dāng)于全棧化信創(chuàng)交付,實(shí)現(xiàn)各個(gè)技術(shù)領(lǐng)域自主可控要求;

(4)數(shù)據(jù)傳輸時(shí)是通過加密鏈路,數(shù)據(jù)落地會對存儲路徑、文件名、文件內(nèi)容和密鑰,通過多種加密算法實(shí)現(xiàn)存儲加密,避免數(shù)據(jù)交換過程中出現(xiàn)泄密、攔截和注入病毒等風(fēng)險(xiǎn);

(5)實(shí)現(xiàn)不同用戶在不同網(wǎng)絡(luò)區(qū)域內(nèi)的權(quán)限可進(jìn)行差異化管理,實(shí)現(xiàn)靈活的應(yīng)用延展性;提升管理員的效率。

(6)另外:還包括大量可自定義的安全配置項(xiàng),病毒檢測、審批審計(jì)、支持多種類型終端(含信創(chuàng))等等;

整體應(yīng)用價(jià)值包括:合規(guī)、安全、可控、高效、易用這幾個(gè)特點(diǎn)。

THEEND

最新評論

更多
暫無評論