1、 XXX 高级人民法院 安全边界接入平台解决方案 北京网御 星云信息技术 有限 公司 2016 年 5 月 XXX 高级人民 法院 安全边界接入平台解决方案 1 目 录 1. 概述 . 2 2. 需求分析 . 2 2.1 业务需求分析 . 2 2.2 安全需求分析 . 3 2.2.1 接入终端需求 . 3 2.2.2 网络安全需求 . 3 2.2.3 主机安全需求 . 4 2.2.4 应用安全需求 . 4 2.2.5 数据安全需求 . 5 3. 设计依据 . 5 4. 安全边界接入平台总体设计 . 5 4.1 总体架构设计 . 5 4.1.1 路由接入区 . 6 4.1.2 边界保护区 . 6
2、 4.1.3 应用服务区 . 6 4.1.4 安全隔离区 . 7 4.2 总体建设方案设计 . 8 4.2.1 互联网 接入对象设计 . 8 4.2.2 外部 专网 （党政军机关） 接入 对象 设计 . 13 4.2.3 外部 专网 （企事业单位 接入 ）对象 设计 . 19 4.2.4 其他对象 设计 . 26 4.2.5 移动专网 接入对象设计 . 32 5. 设备配置清单 . 37 5.1 互联网 接入对象 清单 . 37 5.2 外部 专网（ 企事业 单位）接入对象 清单 . 40 5.3 其他 接入对象 清单 . 41 5.4 移动 专网接入对象 清单 . 42 XXX 高级人民 法
3、院 安全边界接入平台解决方案 2 1. 概述 随着法院信息化建设的不断深入开展， 法院 对外交换和共享信息的接入业务需求日益强烈。结合 XXX 人民法院 信息化建设现状和发展需要，减少重复投资，主要在 XXX 人民法院 建设一个安全边界接入平台，实现各类业务的安全接入与信息交换，并对边界接入业务进行管理。 法院信息化资源不但要服务于法院机关本身，还必须为整个社会提供及时有效的信息服务，与其他政府机关、社会单位实现安全、有效的信息共享。为解决目前法院专网边界接入的安全问题，确保法 院信息网的边界安全，实现法院 法院专网 与其他网络的安全、有效的数据交换。 2. 需求分析 2.1 业务需求分析 X
4、XX 人民法院为了全面的开展审判业务，法院专网 需要 与互联网接入 对象、 企事业 单位 接入 对象 、 政法 部门接入 对象 等之间开展数据交换，实现信息共享与数据安全交换： 互联网接入 对象 ： 主要实现 对 互联网 数据的采集和对外发布 安全 数据传输 （如 ：网站、文书发布系统、案件查询系统等）。 外部 专网 （党政军机关） 接入 对象 ： 主要 实现与 公安部门 、检察院、司法等部门的业务 安全 数据交换。 外部 专网 （企事业单位 接入 ）对象 ： 主要与工商 、银行和民政部门实 现业务 安全 数据交换 移动 专网接入对象 ： 主要与 移动专网实现 法院 内部人员移动办公业务 数据
5、交换 。 其他 接入对象 ： 主要 与 互联网 采用强隔离的网络之间 业务 的数据交换（ 如 电子政务外网） 。 XXX 高级人民 法院 安全边界接入平台解决方案 3 2.2 安全需求分析 2.2.1 接入终端需求 由于平台接入用户类型多，场所物理环境不安全，人员复杂，所以终端安全的风险较大；接入终端存在非法使用、非授权访问，甚至存在伪造终端接入，并有可能发展为木马、病毒的传播来源。 必须进行设备认证，未通过认证的设备必须阻断。 必须进行用户身份认证，推荐采用数字证书等高强度身份认证方式。 2.2.2 网络安全需求 访问控制：要求实 现基于白名单的细粒度访问控制。可对进出网络的信息内容进行过滤
6、，实现对应用层 HTTP、 FTP、 TELNET、 SMTP、 POP3 等协议命令级的控制；控制细粒度为端口级，并根据会话状态信息为数据流提供明确的允许或拒绝访问处理，可将会话处于非活跃一定时间或会话结束后终止网络连接，并通过限制网络最大流量数及网络连接数以提升安全等访问控制能力。 安全审计：应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；应根据记录 数据进行分析，并生成审计报表，增加可读性；审计记录需要经管理员认证后方可删除、修改或覆盖；审计日志应报送到集中监控管理系统。 入侵防范：
7、求进行入侵防范，能检测攻击，并切断攻击源连接和告警。能防范对应用服务区 WEB 服务的脚本攻击、 SQL 注入攻击、网站挂马攻击等，一旦发生攻击，主动切段攻击源，并进行实时报警。 恶意代码防范：要求实现恶意代码防范，在网络边界处对恶意代码进行检测和清除，定期升级、更新。 网络设备防护：要求对网络设备、安全设备的配置管理进行保护。应对登录网络设备的用户进行身份鉴别，可对管理员登录地址 进行限制。 链路加密：在网络传输过程中，外部终端与接入平台间通信内容必须实现机密性保护，防止数据篡改和伪造。 XXX 高级人民 法院 安全边界接入平台解决方案 4 2.2.3 主机安全需求 身份鉴别：要求实现安全用
8、户认证，采用数字证书认证和安全的用户鉴别协议。对访问接入平台的各类主机，在操作系统层面进行设置，要求进行强身份认证方可登录操作系统或相应的数据库系统，强制要求口令具有足够的复杂度并要求定期更换；并限制登录次数，多次输入错误锁定系统，远程管理上，有限制采用安全的 ssh登录，禁用非安全的 Telnet，最大限度保证其安全性。 访问控制：实施严格的安全访问策略，权限用户 可访问有限资源，根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限，删除多余的、过期的账户，避免共享账户的存在。 安全审计：全面细粒度的审计，对系统管理员等重要账户、对系统资源的异常使用和重要系统命令
9、的使用等重要的安全相关事件进行包括事件的日期、时间、类型、主体标识、客体标识和结果等审计，并生成详实的审计报表。 入侵防范：对重要的服务器，如前置服务器等进行入侵检测，各类操作系统遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。 恶意代码防范：安装杀毒软件，并定期升级特征库，有效防范恶意代码。 资源控制：对重要服务器进行监视，包括监视服务器的 CPU、硬盘、内存、网络等资源的使用情况，限制单个用户对系统资源的最大或最小使用限度，并到达下限进行实时报警。 2.2.4 应用安全需求 在应用安全层面，需要进行多方面的安全措施进行综合防御，满足应用安
10、全需求，符合信息安全技术信息系统安全等级保护基本要求第三级的要求。 业务应用系统需实现用户身份鉴别，认证方式可以选择采用用户名 /口令或数字证书方式，对各类应用的访问进行细粒度的访问控制，并授予不同账户为完 成各自承担任务所需的最小权限，提供基于应用的安全审计能力，对应用系统重要安全事件进行审计等手段来保证具有应用的安全性。 XXX 高级人民 法院 安全边界接入平台解决方案 5 2.2.5 数据安全需求 能够保证数据传输的完整性。根据业务需求实现数据完整性、机密性保护。根据业务的重要程度，选择提供数据备份和恢复机制。 在数据的完整性上，应保证数据在传输过程中的完整性，并在检测到完整性错误时采取
11、必要的恢复措施。 在数据的保密性上，应采用加密或其他有效措施，保证数据的不被非法窃取。 在数据备份和恢复上，应采用冗余技术手段，应提供本地数据备份与恢复功能，及异地数据备份功能。 3. 设计依 据 计算机信息系统安全保护等级划分准则（ GB 17859-1999） 信息系统安全等级保护基本要求（ GB/T 22239-2008） 信息系统安全等级保护定级指南（ GB/T 22240-2008） 信息安全技术网络基础安全技术要求（ GB/T 20270-2006） 信息安全技术网络和终端设备隔离部件安全技术要求（ GB/T 20279-2006） 4. 安全边界接入平台总体设计 4.1 总体架构
12、设计 XXX 人民法院安全边界接入平台主要包括：路由接入区、边界保护区、应用服务区、安全隔离区和监测管理 区等五个部分，但根据实际的业务不同，区域划分略有调整。整体系统构架如图所示： XXX 高级人民 法院 安全边界接入平台解决方案 6 完 善 审 判 流 程 公 开系 统路 由 接 入 区 边 界 保 护 区应 用 服 务 区安 全 隔 离 区内 网管 理 终 端安 全 监 测 与 管 理 区 ( 法 院 专 网 )防 火 墙W A F 防 火 墙抗 D D O S堡 垒 主 机网 络 审 计 系 统杀 毒 控 管服 务 器服 务 器 安 全加 固 系 统漏 洞 扫 描三 层 交 换 机单
13、向 光 闸（ 单 向 导 入 ）裁 判 文 书 公 开系 统互联网终端互联网接入对象单 向 光 闸（ 单 向 导 出 ）I n t e r n et三 公 开 系 统前 置 机应 用 系 统内 网 交 换 机A P T 检 测系 统I P S业 务 审 计 系 统执 行 信 息 公 开系 统4.1.1 路由接入区 该区域实现各个外部链接与接入平台之间的连接。 该区域主要安全功能为：实现路由访问控制，将来自不同接入对象或不同外部链路的数据流按照接入平台的安全策略加以区分。 4.1.2 边界保护区 该区域主要实现对接入平台的边界保护。 该区域主要安全功能为：实现身份认证、访问控制和权限管理，数据机
14、密性和完整性保护，防御网络攻击和嗅探。通过综合审计技术实现对数据行为追溯和分析。 4.1.3 应用服务 区 该区域主要处理各类与应用相关的操作，是法院专网对外信息发布、信息采集和数据交换的中间区域。 该区域主要安全功能为：作为外部终端网络连接的终点，实现应用级身份认证、访问控制、应用代理、数据暂存等功能。防止对法院专网的非法访问和信息泄露。对此区域，应加强对服务器等设备的安全保护，应具有病毒、木马保护功能，防止病毒传播和非法控制。 XXX 高级人民 法院 安全边界接入平台解决方案 7 4.1.4 安全隔离区 该区域实现法院专网与应用服务区的安全隔离和信息交换。 该区域主要安全功能为：实现法院专
15、网与应用服务区的安全网络隔离，根据安全策略，对出入内网的数据分别进行协议剥离、格式 检查和过滤，实现法院专网和应用服务区之间的安全数据交换，保障内网的安全。 XXX 高级人民 法院 安全边界接入平台解决方案 8 4.2 总体建设方案设计 4.2.1 互联网 接入对象设计 完 善 审 判 流 程 公 开系 统路 由 接 入 区 边 界 保 护 区应 用 服 务 区安 全 隔 离 区内 网管 理 终 端安 全 监 测 与 管 理 区 ( 法 院 专 网 )防 火 墙W A F 防 火 墙抗 D D O S堡 垒 主 机网 络 审 计 系 统杀 毒 控 管服 务 器服 务 器 安 全加 固 系 统漏
16、 洞 扫 描三 层 交 换 机单 向 光 闸（ 单 向 导 入 ）裁 判 文 书 公 开系 统互联网终端互联网接入对象单 向 光 闸（ 单 向 导 出 ）I n t e r n et三 公 开 系 统前 置 机应 用 系 统内 网 交 换 机A P T 检 测系 统I P S业 务 审 计 系 统执 行 信 息 公 开系 统XXX 高级人民 法院 安全边界接入平台解决方案 9 4.2.1.1 路由接入区 4.2.1.2 边界保护区 边界保护区作为安全边界接入平台的安全屏障实现对接入平台边界的访问控制、入侵防范、异常行为监测、网络行为审计、应用 审计 等功能。 4.2.1.2.1 访问控制 通过
17、防火墙实现对数据包的源地址、目标地址、协议类型、源端口、目标端口以及网络协议、应用层协议等对数据包进行访问控制，利用 NAT 功能实现内部主机地址隐藏。 利用三层网络交换机的 IP 路由和虚网功能，根据接入应用进行路由选择和虚网划分，保证不同业务应用通道之间的相互隔离。三层交换机根据不同业务设置不同的 VLAN，每个 VLAN 连接这个业务的前置机、数据库或者文件服务器，每个 VLAN之间不能互相访问。这样的配置即能保证每个业务之间相对独立，一旦某个业务的前置机感染病毒木马不能通过内部局域网迅速传播，又能实现所有业务的数据交换。 4.2.1.2.2 入侵防范 利用入侵 防御 （ IPS）是实时
18、对网络入侵行为自动识别和响应和 主动防御 的系统。目标旨在准确监测网络异常流量，自动对各类攻击进行实时阻断。即 IPS 接收到外部数 据流量时，如果检测到攻击企图，就会自动地将攻击包丢掉或采取措施将攻击源阻断，而不把入侵攻击放进内部网络 。 4.2.1.2.3 未知威胁 防范 采用 APT 检测 系统 对恶意代码等未知威胁进行细粒度检测，可实现未知恶意代码检查、嵌套式攻击检测、木马蠕虫病毒识别、隐秘通道检测等多类型未知漏洞（ 0-day）利用行为的检测。 4.2.1.2.4 恶意代码防护 利用 IPS 防病毒功能防止网络外部的黑客和病毒的威胁，并与部署在杀毒控管服务器上的网络防病毒软件相配合，
19、增强网络整体的病毒方位功能。 XXX 高级人民 法院 安全边界接入平台解决方案 10 4.2.1.2.5 网络审计系统 采用网络 审计 实现 对 与边界 接入平台 交互 的网络行为进行安全审计， 实现网络行为追溯 。 4.2.1.2.6 业务审计系统 利用业务审计实现对 边界 接入平台 的 WEB、应用行为和 中间件操作等的 审计和关联分析 ， 实现 应用 访问行为溯源。 4.2.1.2.7 设备安全管理 所有边界保护区内的关键设备都必须开启审计功能，通过接口将每个设备的日志抄送给集控探针。审计内容包括这些设备的登录事件、配置更改事件、报警事件、故障信息等等。 登录边界保护区内的关键设备都必须
20、通过用户身份认证，一般登录交换机、防火墙、 IDS 等设备都采用用户名 /口令方式，口令设置长度不小于 8 位。 应用服务区 4.2.1.3 应用服务区 根据实际业务需求，应用服务区放置了相应业务 应用的前置服务器（包括应用服务器、 WEB 服务器、数据库服务器、文件服务器等）。作为外部终端网络连接的终点，提供给终端用户应用代理、数据库 数据 数据无 干扰抽取、 暂存等功能服务。 该区域主要部署 实时数据同步系统、 业务前置机、杀毒控管服务器、服务器安全加固系统、漏洞扫描系统、集控探针。 4.2.1.3.1 数据暂存 在应用服务区部署各个业务系统实现与业务专网交换数据的暂存与信息发布。 4.2
21、.1.3.2 恶意代码防护 为提高应用服务区内各个主机的安全性，在应用服务区安装网络防病毒软件。通过杀毒软件在应用服务区内构建统一的网络病毒防范体系，并在内部建立统一 的病毒防范策略，从而达到病毒防范效果。 4.2.1.3.3 服务器安全加固 主要实现对主机服务器操作系统内核层面的安全加固、文件 /目录进行强制访问控制、进程进行强制访问控制、注册表进行强制访问控制、补丁分发、文件 /服务 /XXX 高级人民 法院 安全边界接入平台解决方案 11 驱动 /注册表进行完整性检测和硬件的安全策略等功能。 通过漏洞扫描系统对业务系统定期进行安全扫描，报告系统的安全漏洞和存在的安全隐患，进行相应的安全风
22、险修复。 服务器设备应遵循以下安全原则： 屏蔽超级用户、 guest 用户等，加强登录用户的密码强度 关闭所有不安全的远程控制端口 屏蔽所有不用的端口 安装防病毒软件 安装防火墙软件 应用软件最小安装原则 4.2.1.4 安全隔离区 该区域采用物理 单向导入 /导出 技术 手段实现法院专网 与应用服务区网络隔离和数据的安全交换 , 它通过高可信的方式，实现异构系统、数据源之间安全、灵活、有效、快速的数据交换。 4.2.1.4.1 网络隔离 通过单向光闸切断与法院专网的网络连接，剥离所有通过本系统交换的通信协议，保证在内外网之间只能通过裸数据进行有限单向 导入 /导出 。 4.2.1.4.2 身
23、份认证 通过 HTTPS 协议进行远程管理，并对管理员的登录失败次数、超时时间的限定 ; 源端服务器和目标端服务器基于 IP/MAC、协议等方式进行认证格式过滤 。 4.2.1.4.3 格式检查 系统能够根据用户事先定义业务规则对数据进行全面过滤，支持对每个业务单独设置过滤规则，过滤规则粒度细化到每个字段，包括类型、范围、长度、枚举、缺省值、特殊字段、字符编码、图像字段许可等等。 对文件格式进行安全检查，包括文件后缀、 PE 格式、内容安全检查，支持白名单保护机制。 XXX 高级人民 法院 安全边界接入平台解决方案 12 格式检查是指系统对所传输的文件格式进行检查，避免在数据交换过程中交换可执
24、行程序，而造成病毒、木马夹杂在交换数据中进行传播。 当前系统支持的格式识别引擎有： PE 可执行程序检测引擎 : 可以识别 PE 可执行程序，即便用户修改文件后缀也可以直接检查出来； 二进制检测引擎：可以识别交换数据中的二进制数据，可以直接过滤二进制数据； 图片文件检测引擎：可以识别错误格式的图片文件。 4.2.1.4.4 病毒过滤 系统集成了世界上首屈一指的流杀毒引擎，可以节省您在防病毒、木马上的投资。系统能够识别数据交换内容中 SQL 语句，能够有效防范所有 SQL 提交攻击，保护用户内网的数据库和业务应用系统，保证不泄露内网数据结构。系统能够根据用户事先设置的黑名单过滤所有交换的数据，如
25、果出现黑名单中的内容则阻断数据交换行为并报警通知用户。 4.2.1.4.5 异构交换 系统支持各种数据库之间的异构数据转换 ，支持包括：不同数据库、同类数据库不同版本的转换、异构表、异构字段名、异构字段类型的转换、异构字符类型、异构数据库字符集的转换、支持通过公共函数实现字段值转换、支持 BLOB、 CLOB、LONG、 TEXT、 IMAGE 等大字段的异构；支持表 /字段级的异构规则设置。 XXX 高级人民 法院 安全边界接入平台解决方案 13 4.2.2 外部 专网 （党政军机关） 接入 对象 设计 办 案 系 统路 由 接 入 区 （ 外 网 ） 边 界 保 护 区应 用 服 务 区安
26、 全 隔 离 区内 网管 理 终 端安 全 监 测 与 管 理 区 ( 法 院 专 网 )入 侵 检 测 设 备业 务 系 统 A防 火 墙杀 毒 控 管服 务 器终 端安 全 管 理 系 统漏 洞 扫 描前 置 机GA部门可 信 综 合 安 全 网 关内 网 交 换 机三 层 交 换 机办 公 系 统应 用 系 统业 务 系 统 B党政军接入对象业 务 系 统 A业 务 系 统 B民政部门专 线请 求 服 务 系 统请 求 服 务系 统单 向 光 闸（ 单 向 导 入 ）单 向 光 闸（ 单 向 导 出 ）视 频 隔 离网 闸网 络 审 计 系 统业 务 审 计 系 统XXX 高级人民 法院
27、 安全边界接入平台解决方案 14 4.2.2.1 路由接入区 4.2.2.1.1 终端安全 政法部门接入终端是指为访问的 PC 机或服务器。 终端安全主要体现在如下几个方面：终端安全加固、终端访问控制。 终端设备安全加固 终端 加固应遵循以下原则： 尽可能采用经过国家权威部门检测认可的安全操作系统（如红旗 LINUX 等） 屏蔽超级用户、 guest 用户等，加强登录用户的密码强度 关闭所有不安全的远程控制端口 屏蔽所有不用的低端端口 安装防病毒软件 安装防火墙软件 应用软件最小安装原则 4.2.2.1.2 终端访问控制 对接入接入终端必须进行设备认证，认证方式可采用 IP/MAC 绑定，没有
28、经过认证的终端必须阻断。 对接入的终端通过 VPN 安全 网关 实现身份认证，认证方式可采用用户名 /口令或数字证书，确保不同的终端访问不同的应用，实现应用级的访问控制 。 在终 端与平台完成连接认证时，通过设置细粒度访问控制策略，确保非法用户不能访问，合法用户不能越权访问。 4.2.2.1.3 链路安全 政府部门接入链路采用专线方式进行接入。 对接入链路基于 SSL 技术进行加密，保证数据传输安全。 4.2.2.2 边界保护区 边界保护区作为安全边界接入平台的安全屏障实现对接入平台边界的访问控XXX 高级人民 法院 安全边界接入平台解决方案 15 制、入侵防范、异常行为监测、网络行为审计、应
29、用 审计 等功能。 4.2.2.2.1 访问控制 通过防火墙实现对数据包的源地址、目标地址、协议类型、源端口、目标端口以及网络协议、应用层协议等对数据包进行访问控制，利用 NAT 功能实现内部主机地址隐藏。 利用三层 网络交换机的 IP 路由和虚网功能，根据接入应用进行路由选择和虚网划分，保证不同业务应用通道之间的相互隔离。三层交换机根据不同业务设置不同的 VLAN，每个 VLAN 连接这个业务的前置机、数据库或者文件服务器，每个 VLAN之间不能互相访问。这样的配置即能保证每个业务之间相对独立，一旦某个业务的前置机感染病毒木马不能通过内部局域网迅速传播，又能实现所有业务的数据交换。 4.2.
30、2.2.2 入侵防范 利用入侵检测系统（ IDS）是实时对网络入侵行为自动识别和响应的系统。它通过实时监听网络数据流，识别和记录入侵行为，该系统安装于防火墙后，可以 对穿透防火墙进行攻击的数据流进行响应。 4.2.2.2.3 网络审计系统 采用网络 审计 实现 对 与边界 接入平台 交互 的网络行为进行安全审计，实现网络行为追溯 。 4.2.2.2.4 业务审计系统 利用业务审计实现对 边界 接入平台 的应用行为、 中间件操作等 审计和 关联分析 ，实现 应用 访问行为溯源 。 4.2.2.2.5 设备安全管理 所有边界保护区内的关键设备都必须开启审计功能，通过接口将每个设备的日志抄送给集控探
31、针。审计内容包括这些设备的登录事件、配置更改事件、报警事件、故障信息等等。 登录边界保护区内的关键设备都必须通过用户身份认证，一般登录交换机、防火墙、 IDS 等设备都采用用户 名 /口令方式，口令设置长度不小于 8 位。 应用服务区 XXX 高级人民 法院 安全边界接入平台解决方案 16 4.2.2.3 应用服务区 根据实际业务需求，应用服务区放置了相应业务应用的前置服务器（包括应用服务器、 WEB 服务器、数据库服务器、文件服务器等）。作为外部终端网络连接的终点，提供给终端用户应用代理、数据暂存等功能服务。 该区域主要部署业务前置机、杀毒控管服务器、服务器安全加固系统、漏洞扫描系统、集控探
32、针。 4.2.2.3.1 数据暂存 在应用服务区部署各个业务前置机服务区实现与业务专网交换数据的暂存与信息发布。 4.2.2.3.2 请求 数据安全过滤 通过部署 请求服务系统 实现对 基于 SOAP 协议 请求数据 进行 安全格式 检查 ； 实现对 请求数据与 XML 文件 之间的转换，实现数据落地传输，满足业务和安全性需求。 4.2.2.3.3 恶意代码防护 为提高应用服务区内各个主机的安全性，在应用服务区安装网络防病毒软件。通过杀毒软件在应用服务区内构建统一的网络病毒防范体系，并在内部建立统一的病毒防范策略，从而达到病毒防范效果。 4.2.2.3.4 服务器安全加固 主要实现对主机服务器
33、操作系统内核层面的安全加固、文件 /目录进行强制访问控制、进程进行强制访问控制、注册表进行强制访问控制、补丁分发、文件 /服务 /驱动 /注册表进行完整性检测和硬件的安全策略等功能。 通过漏洞扫描系统对业 务系统定期进行安全扫描，报告系统的安全漏洞和存在的安全隐患，进行相应的安全风险修复。 服务器设备应遵循以下安全原则： 屏蔽超级用户、 guest 用户等，加强登录用户的密码强度 关闭所有不安全的远程控制端口 XXX 高级人民 法院 安全边界接入平台解决方案 17 屏蔽所有不用的端口 安装防病毒软件 安装防火墙软件 应用软件最小安装原则 4.2.2.4 安全隔离区 该区域主要实现内网与应用服务
34、区网络隔离和数据的安全交换 , 它通过高可信的方式，实现异构系统、数据源之间安全、灵活、有效、快速的数据交换。 该区域部署单向光闸和 视频网闸 ，实现安全隔离和 交换 功能： 4.2.2.4.1 身份认证 通过 HTTPS 协议 进行远程管理，并对管理员的登录失败次数、超时时间的限定 ; 源端服务器和目标端服务器基于 IP/MAC、协议等方式进行认证格式过滤 。 4.2.2.4.2 格式检查 系统能够根据用户事先定义业务规则对数据进行全面过滤，支持对每个业务单独设置过滤规则，过滤规则粒度细化到每个字段，包括类型、范围、长度、枚举、缺省值、特殊字段、字符编码、图像字段许可等等。 对文件格式进行安
35、全检查，包括文件后缀、 PE 格式、内容安全检查，支持白名单保护机制。 格式检查是指系统对所传输的文件格式进行检查，避免在数据交换过程中交换可执行程序，而造成病毒、木马夹 杂在交换数据中进行传播。 当前系统支持的格式识别引擎有： PE 可执行程序检测引擎 : 可以识别 PE 可执行程序，即便用户修改文件后缀也可以直接检查出来； 二进制检测引擎：可以识别交换数据中的二进制数据，可以直接过滤二进制数据； 图片文件检测引擎：可以识别错误格式的图片文件。 XXX 高级人民 法院 安全边界接入平台解决方案 18 4.2.2.4.3 病毒过滤 系统集成了世界上首屈一指的流杀毒引擎，可以节省您在防病毒、木马
36、上的投资。系统能够识别数据交换内容中 SQL 语句，能够有效防范所有 SQL 提交攻击，保护用户内网的数据库和业务应用系统，保证不泄露内网数据结构。系统能够根据用户事先设置的黑 名单过滤所有交换的数据，如果出现黑名单中的内容则阻断数据交换行为并报警通知用户。 4.2.2.4.4 异构交换 系统支持各种数据库之间的异构数据转换，支持包括：不同数据库、同类数据库不同版本的转换、异构表、异构字段名、异构字段类型的转换、异构字符类型、异构数据库字符集的转换、支持通过公共函数实现字段值转换、支持 BLOB、 CLOB、LONG、 TEXT、 IMAGE 等大字段的异构；支持表 /字段级的异构规则设置。
37、4.2.2.4.5 视频接入设备和 用户 认证 视频接入认证服务器对接入对象 (终端、视频服务器等 )进行设备认证并与之交互，禁止未认证设备连接视频接 入链路。 视频用户认证服务器对内网的用户进行身份认证和访问控制，保证仅允许认证通过的用户才能访问已授权的视频资源。 4.2.2.4.6 视频 安全过滤 访问控制： 视频接入设备的网络连接终止于视频接入认证服务器，严格禁止视频接入设备对内网的直接访问或直接与内网交换数据。 视频控制信令格式检测： 在与内网进行视频单向传输前，要按照预先注册的视频控制信令的类型、格式和内容，对控制信令进行“白名单”方式的格式检查和内容过滤，仅允许符合格式要求的控制信
38、令数据通过，对不符合格式的数据进行阻断和报警。 视频数据格式检测： 按照预先注册的视频数据格 式，对所传输的视频数据进行实时分析和过滤，对不符合格式的视频数据进行阻断和报警。 视频数据病毒木马检测： 采取必要的安全技术防范措施，防止视频数据夹杂恶意代码进入专网。 XXX 高级人民 法院 安全边界接入平台解决方案 19 4.2.3 外部 专网 （企事业单位 接入 ）对象 设计 办 案 系 统路 由 接 入 区 （ 外 网 ） 边 界 保 护 区应 用 服 务 区安 全 隔 离 区内 网管 理 终 端安 全 监 测 与 管 理 区 ( 法 院 专 网 )入 侵 检 测 设 备业 务 系 统 A防
39、火 墙杀 毒 控 管服 务 器服 务 器安 全 加 固 系 统漏 洞 扫 描前 置 机银行可 信 综 合 安 全 网 关内 网 交 换 机三 层 交 换 机办 公 系 统应 用 系 统业 务 系 统 B企事业单位专 线请 求 服 务 系 统请 求 服 务系 统单 向 光 闸（ 单 向 导 入 ）单 向 光 闸（ 单 向 导 出 ）网 络 审 计 系 统业 务 审 计 系 统XXX 高级人民 法院 安全边界接入平台解决方案 20 4.2.3.1 路由接入区 4.2.3.1.1 终端安全 其他部门接入终端是指 银行 等 单位 的 PC 机或服务器。 终端安全主要体现在如下几个方面：终端安全加固、终
40、端访问控制。 终端设备安全加固 终端加固应遵循以下原则： 尽可能采用经过国家权威部门检测认可的安全操作系统（如红旗 LINUX 等） 屏蔽超级用户、 guest 用户等，加强登录用户的密码强度 关闭所有不安全的远程控制端口 屏蔽所有不用的低端端口 安装防病毒软件 安装防火墙软件 应用软件最小安装原则 4.2.3.1.2 终端访问控制 对接入接入终端必须进行设备认证，认证方式可采用 IP/MAC 绑定，没有经过认证的终端必须阻断。 对接入的终端通过 VPN 安全 网关 实现身份认证，认证方式可采用用户名 /口令或数字证书，确保不同的终端访问不同的应用，实现应用级的访问控制 。 在终端与平台完成连
41、接认证时，通过设置细粒度访问控制策略，确保非法用户不能访问，合法用户不能越 权访问。 4.2.3.1.3 链路安全 企事业 单位接入链路采用专线方式进行接入。 对接入链路基于 SSL 技术进行加密，保证数据传输安全。 4.2.3.2 边界保护区 边界保护区作为安全边界接入平台的安全屏障实现对接入平台边界的访问控XXX 高级人民 法院 安全边界接入平台解决方案 21 制、入侵防范、异常行为监测、网络行为审计、应用审计 等 功能。 4.2.3.2.1 访问控制 通过防火墙实现对数据包的源地址、目标地址、协议类型、源端口、目标端口以及网络协议、应用层协议等对数据包进行访问控制，利用 NAT 功能实现
42、内部主机地址隐藏。 利用三层网络交换机的 IP 路由和虚网功能，根据接入应用进行路由选择和虚网划分，保证不同业务应用通 道之间的相互隔离。三层交换机根据不同业务设置不同的 VLAN，每个 VLAN 连接这个业务的前置机、数据库或者文件服务器，每个 VLAN之间不能互相访问。这样的配置即能保证每个业务之间相对独立，一旦某个业务的前置机感染病毒木马不能通过内部局域网迅速传播，又能实现所有业务的数据交换。 4.2.3.2.2 入侵防范 利用入侵检测系统（ IDS）是实时对网络入侵行为自动识别和响应的系统。它通过实时监听网络数据流，识别和记录入侵行为，该系统安装于防火墙后，可以对穿透防火墙进行攻击的数
43、据流进行响应。 4.2.3.2.3 网络审计系统 采用网络 审计 实现 对 与边界 接入平台 交互 的网络行为进行安全审计，实现网络行为追溯 。 4.2.3.2.4 业务审计系统 利用业务审计实现对 边界 接入平台 的应用行为、 中间件操作等 审计和 关联分析 ，实现 应用 访问行为溯源 。 4.2.3.2.5 设备安全管理 所有边界保护区内的关键设备都必须开启审计功能，通过接口将每个设备的日志抄送给集控探针。审计内容包括这些设备的登录事件、配置更改事件、报警事件、故障信息等等。 登录边界保护区内的关键设备都必须通过用户身份认证，一般登录交换机、防火墙、 IDS 等设备都采用用户名 /口令方式
44、，口令设置长度不小于 8 位。 应用服务区 XXX 高级人民 法院 安全边界接入平台解决方案 22 4.2.3.3 应用服务区 根据实际业务需求，应用服 务区放置了相应业务应用的前置服务器（包括应用服务器、 WEB 服务器、数据库服务器、文件服务器等）。作为外部终端网络连接的终点，提供给终端用户应用代理、数据暂存等功能服务。 该区域主要部署业务前置机、杀毒控管服务器、服务器安全加固系统、漏洞扫描系统、集控探针。 4.2.3.3.1 数据暂存 在应用服务区部署各个业务前置机服务区实现与业务专网交换数据的暂存与信息发布。 4.2.3.3.2 请求 数据安全过滤 通过部署 请求服务系统 实现对 基于
45、 SOAP 协议 请求数据 进行 安全格式检查 ；实现对 请求数据与 XML 文件 之间的转换，实现数据落地传输，满足业务和安全性需求。 4.2.3.3.3 恶意代码防护 为提高应用服务区内各个主机的安全性，在应用服务区安装网络防病毒软件。通过杀毒软件在应用服务区内构建统一的网络病毒防范体系，并在内部建立统一的病毒防范策略，从而达到病毒防范效果。 4.2.3.3.4 服务器安全加固 主要实现对主机服务器操作系统内核层面的安全加固、文件 /目录进行强制访问控制、进程进行强制访问控制、注册表进行强制访问控制、补丁分发、文件 /服务 /驱动 /注册表进行完整性检测和硬件的安全策略等功能。 通过漏洞扫
46、描系统对业务系统定期进行安全扫描，报告系统的安全漏洞和存在的安全隐患，进行相应的安全风险修复。 服 务器设备应遵循以下安全原则： 屏蔽超级用户、 guest 用户等，加强登录用户的密码强度 关闭所有不安全的远程控制端口 屏蔽所有不用的端口 安装防病毒软件 XXX 高级人民 法院 安全边界接入平台解决方案 23 安装防火墙软件 应用软件最小安装原则 4.2.3.4 安全隔离区 该区域主要实现内网与应用服务区网络隔离和数据的安全交换 , 它通过高可信的方式，实现异构系统、数据源之间安全、灵活、有效、快速的数据交换。 该区域部署单向光闸，实现安全隔离和 交换 功能： 4.2.3.4.1 身份认证 通
47、过 HTTPS 协议进行远程管理，并对管理员的登录失败次数、超时时间的限定 ; 源端服务器和目标端服务器基于 IP/MAC、协议等方式进行认证格式过滤 。 4.2.3.4.2 格式检查 系统能够根据用户事先定义业务规则对数据进行全面过滤，支持对每个业务单独设置过滤规则，过滤规则粒度细化到每个字段，包括类型、范围、长度、枚举、缺省值、特殊字段、字符编码、图像字段许可等等。 对文件格式进行安全检查，包括文件后缀、 PE 格式、内容安全检查，支持白名单保护机制。 格式检查是指系统对所传输的文件格式进行检查，避免在数据交换过程中交换可执行程序，而造成病毒、木马夹杂在交换数据中进行传播。 当前系统支持的
48、格式识别引擎有： PE 可执行程序检测引擎 : 可以识别 PE 可 执行程序，即便用户修改文件后缀也可以直接检查出来； 二进制检测引擎：可以识别交换数据中的二进制数据，可以直接过滤二进制数据； 图片文件检测引擎：可以识别错误格式的图片文件。 4.2.3.4.3 病毒过滤 系统集成了世界上首屈一指的流杀毒引擎，可以节省您在防病毒、木马上的投资。系统能够识别数据交换内容中 SQL 语句，能够有效防范所有 SQL 提交攻击，保XXX 高级人民 法院 安全边界接入平台解决方案 24 护用户内网的数据库和业务应用系统，保证不泄露内网数据结构。系统能够根据用户事先设置的黑名单过滤所有交换的数据，如果出现黑
49、名单中的内容则阻断数据交换行为并报警通知用户。 4.2.3.4.4 异构交换 系统支 持各种数据库之间的异构数据转换，支持包括：不同数据库、同类数据库不同版本的转换、异构表、异构字段名、异构字段类型的转换、异构字符类型、异构数据库字符集的转换、支持通过公共函数实现字段值转换、支持 BLOB、 CLOB、LONG、 TEXT、 IMAGE 等大字段的异构；支持表 /字段级的异构规则设置。 XXX 高级人民 法院 安全边界接入平台解决方案 25 XXX 高级人民 法院 安全边界接入平台解决方案 26 4.2.4 其他对象 设计 办 案 系 统路 由 接 入 区 （ 外 网 ） 边 界 保 护 区应 用 服 务 区安 全 隔 离 区内 网管 理 终 端安 全 监 测 与 管 理 区 ( 法 院 专 网 )入 侵 检 测 设 备业 务 系 统 A防 火 墙杀 毒 控 管服 务 器服 务 器 安 全加 固 系 统漏 洞 扫 描前 置 机可 信 综 合 安 全 网 关内 网 交 换 机三 层 交 换 机办 公 系 统应 用 系 统业 务 系 统 B其他电 子 政
