CN102843352B - 在内网和外网之间跨物理隔离透明传输数据的系统和方法 - Google Patents

Abstract

本发明涉及一种在内网和外网之间跨物理隔离透明传输数据的系统：包括在所述的物理隔离的两侧分别设有第一、第二企业服务总线，第一、第二企业服务总线上分别部署有第一、第二安全数据传输适配器，物理隔离设在内网和外网的网关之间，进行网络安全区域隔离，第一、第二企业服务总线分别提供调用接口，同时与物理隔离通讯，第一、第二安全数据传输适配器分别负责内网和外网数据的安全认证和完整性、有效性校验。本发明还涉及所述系统的跨物理隔离透明传输数据的方法。通过本系统和方法对物理隔离环境下进行数据传送改进，可以简化业务系统的改造难度和工作量，同时数据通过安全数据传输适配器进一步增强了数据传输的安全性。

Description

在内网和外网之间跨物理隔离透明传输数据的系统和方法

技术领域

本发明涉及一种传输数据的系统，尤其是涉及一种基于企业服务总线在内网和外网之间实现跨物理隔离透明传输数据的系统。本发明还涉及采用所述系统在内网和外网之间跨物理隔离透明传输数据的方法。

背景技术

在许多重要的行业部门里，为了保障网络安全，会将非常重要的业务系统与其他办公系统进行很严格的安全防范，物理断开则是最安全的防范。但有很多的业务系统需要跨安全区域从重要的保护区取得需要分析、处理、展示的数据，为此采用物理隔离设备是这种行业内业务系统确保安全的重要安全手段。例如电力系统是技术密集行业，近几十年陆续出现了许多业务系统，如调度自动化、配电自动化、电量计量计费、电压无功控制、自动发电控制、电力市场技术支持及交易、客户服务、变电站自动化、发电厂监控、管理信息、励磁控制、稳定控制、保护信息、广域监控信息、负荷预报、负荷控制、三级数据网、四级数据网、通信监控、信息统计分析、培训仿真、生产运行管理、营销管理、财务管理、台帐管理和企业资源管理等系统，无不是以数据传输与分析为基本手段而建设的。

根据原国家经贸委第30号令发布的“电网和电厂计算机监控系统及调度数据网络安全防护规定”的要求，针对电力调度系统电网二次系统的特点、目前状况和安全要求，全国电力二次系统安全防护专家组和工作组提出了“全国电力二次系统安全防护总体方案”，国家电力监管委员会通过了“电力二次系统安全防护规定”(5号令)。将整个二次系统分为两个大区、四个安全工作区。生产控制大区：安全Ⅰ区(实时控制区)、安全Ⅱ区(非控制生产区)、管理信息大区：安全Ⅲ区(生产管理区)、安全Ⅳ区：(管理信息区)。为了强化安全区之间的隔离，采用不同强度的网络安全设备如硬件防火墙、电力专用安全隔离装置(正向、反向)等，使各安全区中的业务系统得到有效的保护：安全区Ⅰ与安全区Ⅱ之间的采用硬件防火墙隔离；生产控制大区(安全区Ⅱ、Ⅱ)与管理信息大区(安全区Ⅲ、Ⅳ)之间的采用电力专用隔离装置进行隔离。并严格限制数据的流向：从安全区Ⅰ、Ⅱ往安全区Ⅲ单向传输信息须采用正向隔离装置，由安全区Ⅲ往安全区Ⅱ甚至安全区Ⅱ的单向数据传输必须采用反向隔离装置。

电网信息系统通过隔离装置相互连接的示意图如图1所示。

物理隔离设备采用双主机形式，从物理上阻断潜在攻击的连接。其中包括一系列的阻断特征，如没有通信连接，没有命令，没有协议，没有TCP/IP连接，没有应用连接，没有包转发，只有文件“摆渡”，对固态介质只有读和写两个命令。其结果是无法攻击、无法入侵、无法破坏。物理隔离网闸的硬件主要包括3部分：专用安全隔离切换装置(数据暂存区)、内部处理单元和外部处理单元。系统中的专用安全隔离切换装置分别连接内部处理单元和外部处理单元，内外单元不对话不通信，保证装置中的数据暂存区在任意时刻仅连通内部或者外部处理单元，从而实现内外网的安全隔离。这种方案目前应用较多，其实现原理如图2所示。

2000年1月，国家保密局颁布了“计算机信息系统国际联网保密管理规定”，其中规定“涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其它公共信息网络相联接，必须实行物理隔离。”因此，出于安全的考虑，最近各政府部门纷纷将其内部局域网与互联网进行了物理隔离。然而，随着政务公开和政府上网工程的开展，很多政府部门的对外业务服务必须通过互联网来完成。一般的，初始数据的采集和处理结果的反馈必须通过互联网来实现，而数据的审核和处理则需要由处于内网中的工作人员来完成。所以，对于几乎所有的政府机关而言，从外网采集来的初始数据和内网中的审批过程都必须存档备份，即存入系统内部的数据库中。这就产生了一个需求，如何在内外网物理隔离的条件下，将外网工作数据安全转移到内网，供内网工作人员使用。反过来。内网反馈的结果和公告信息又如何传送到外网去发布呢？由此，内外网的数据安全传输成为各政府部门需要迫切解决的问题。

目前为满足这种需求要针对特定的物理隔离设备进行大量的源程序改造和部署工作，而且有的程序找不到源代码则无法进行程序改造，为了转化成物理隔离设备能够识别的文本文件需要人工做大量转换工作，这样会使得办公效率低下、人员过于劳累。

为此研究物理隔离环境下基于企业服务总线的方式来进行安全代理的数据传输，从而实现业务系统跨物理隔离进行透明传输，能有效地减小系统的改造工作和提高运行效率。

企业服务总线ESB全称为Enterprise Service Bus，是传统中间件技术与XML、Web服务等技术结合的产物。ESB提供了网络中最基本的连接中枢。ESB的出现改变了传统的软件架构，可以提供比传统中间件产品更为廉价的解决方案，同时它还可以消除不同应用之间的技术差异，让不同的应用服务器协调运作，实现了不同服务之间的通信和整合。从功能上看，ESB提供了事件驱动和文档导向的处理模式，以及分布式的运行管理机制，它支持基于内容的路由和过滤，具备了复杂数据的传输能力，并可以提供一系列的标准接口。ESB基于面向服务的架构思想，具有强大的业务组件库；提供易用的服务编制工具以及数据映射工具；采用集中式管理，分布式运行的设计思想；解决企业、政府的数据整合、应用整合、接口整合、界面整合的问题。它将应用程序的不同功能单元既服务，通过服务间定义良好的接口和契约联系起来。接口采用中立的方式定义，独立于具体实现服务的硬件平台、操作系统和编程语言，使得构建在这样的系统中的服务可以使用统一和标准的方式进行通信。这种具有中立的接口定义的特征称为服务之间的松耦合。

穿物理隔离要实现以下功能：

1)数据访问：屏蔽对异种数据的访问细节，为数据加工处理提供统一的数据访问服务，包括：数据源定义、多个数据源连接、屏蔽异种数据的羞异，例如将消息转成文本文件，将邮件请求转成文本文件。

2)安全规则判定：将按照预先设定的策略，如对请求权限认证，对进出的数据内容进行扫描分析、筛选过滤，对于发往外网的HTTP、FTP、SMTP等数据如果违反安全规则，就被阻止进出。

3)数据加工处理：根据定义规则，通过数据访问，取出源数据，并按照规则要求对数据进行加工，转换为通用的XML格式数据文件，经由数据通信模块传输至物理隔离单元。所有数据加工及处理过程均记录至日志中。

4)日志：记录所有操作信息.当发生严重错误时，发出告警信息。所有日志信息记录在日志库中，更方便查询定位。

5)数据通信：将数据加工处理的结果打包成物理隔离单元能够识别认可的文本文件，穿过物理隔离单元，发送到外网物理隔离单元指定目录，在外网的企业服务总线监视该目录变化，发现更新便解读文本文件转换成服务请求，经安全数据传输适配器判定数据内容合法有效后传输给外网的业务系统。

以上为内网传数据至外网为例，反之亦然。

发明内容

本发明所要解决的第一个技术问题，就是提供一种能减少应用程序为实现跨物理隔离传输而进行源代码改造的工作量、简化应用程序在物理隔离设备两侧的部署、提高业务系统工作效率的在内网和外网之间跨物理隔离透明传输数据的系统。

本发明所要解决的第二个技术问题，就是提供一种上述系统在内网和外网之间跨物理隔离透明传输数据的方法。

解决上述第一个技术问题，本发明采用的技术方案如下：

一种在内网和外网之间跨物理隔离透明传输数据的系统，其特征是：包括在所述的物理隔离的两侧分别设有第一、第二企业服务总线，所述的第一、第二企业服务总线上分别部署有第一、第二安全数据传输适配器，所述的物理隔离设在内网和外网的网关之间，进行网络安全区域隔离，所述的第一、第二企业服务总线分别提供调用接口，同时与物理隔离通讯，所述的第一、第二安全数据传输适配器分别负责内网和外网数据的安全认证和完整性、有效性校验。

所述的第一、第二安全数据传输适配器中封装了两种服务：发送和接收数据服务，以实现双向的数据传输，所述的企业服务总线提供标准类型的数据传输和多种协议转换，包括消息、文件、数据库和邮件传输。

所述的物理隔离单元通过以下几个方面对内网进行保护：(1)隔离开关部件的通断；(2)协议的分拆和重组；(3)细粒度的访问控制和日志管理。这三方面对黑客和病毒入侵起到了很好的防范作用。再通过安全数据传输适配器对数据进行权限认证，有效性、完整性检查可以进一步提高物理隔离环境下数据传输系统安全强度。

所述的安全数据传输适配器中的数据访问模块定义多个数据源连接，拒绝没有设定的访问目标，采用PKI身份认证技术，通过公钥密码体制中用户私钥的机密性来提供用户身份的唯一性验证，并通过数字证书机制保证流入内网数据的真实性和合法性，同时采用数字签名技术保证传输数据的不可抵赖性。

所述的外网业务系统在发送数据文件时，调用本地安装的杀毒软件的杀毒引擎对文件进行扫描并查杀病毒，通过病毒检查后的文件，才由物理隔离单元发送到内网，保证内网的安全。

所述的内网通过升级本地杀毒软件，保证内网安全数据代理病毒检查和查杀的能力，对于内网向外网的数据传输，需要防止内网用户泄露涉密数据信息。严格的安全管理制度是安全防护的重要保证，但是也不排除工作中的疏忽，导致内网信息的疏漏。为此需要在安全数据传输适配器中进行严格的安全审计，做到用户访问有案可查。当出现涉密数据泄露事件时，可以结合数字证书技术进行审计和追杏，以确定泄漏的行为人和安全风险的程度。

解决上述第二个技术问题，本发明采用的技术方案如下：

一种采用所述的系统在内网和外网之间跨物理隔离透明传输数据的方法，包括以下步骤：

S1 物理隔离单元两侧的业务系统面向服务架构提供服务接口；

S2 物理隔离单元两侧分别部署企业服务总线；

S3 业务系统提供的服务接口配置到企业服务总线提供调用；

S4 业务系统的请求或参数的数据发送到企业服务总线；

S5 安全数据传输适配器对数据进行审计；

S6 审计通过后，企业服务总线将请求或数据封装成物理隔离设备能识别的文本文件存放在指定目录；

S7 物理隔离单元将文本文件摆渡到另一侧；

S8 另一侧部署的企业服务总线监测指定目录；

S9 发现新文件后，对该文件内容进行解析成标准服务请求或数据传输给指定的业务系统。

本发明的基本原理是利用企业服务总线定义良好的接口和契约将业务系统联系起来，进行自动的协议转换，将所有业务系统的请求自动转换成物理隔离设备能够识别的文本文件，从而减小业务系统为穿越物理隔离而进行大量的改造工作，简化程序的部署，提高业务系统效率。

物理隔离环境下数据安全传输的要点就是要在内、外网隔离的基础上实现安全、动态、准实时的数据传输。

图3给出了基于企业服务总线的跨物理隔离传输原理图。主要由三大部分组成：第一部分是物理隔离单元；第二部分是企业服务总线；第三部分是安全数据传输适配器。

企业内网和外网的业务系统在这三部分协同工作、通力合作下实现了内外网文件、数据库跨物理隔离的安全传输，双向同步和实时更新。

运行时，一侧的安全数据传输适配器负责接受用户的数据，对用户权限进行认证，对数据完整性、规范性进行校验；企业服务总线对这些数据进行重新分片，按照物理隔离单元自定义的网络传输协议与物理隔离单元通讯、传递和交换数据；物理隔离单元然后对传输来的数据按照协议进行重组，并传递给上层业务系统。两侧的安全数据传输适配器同对运行，完成数据的正常传递和传输。

例如电网故障诊断系统跨物理隔离从调度自动化系统获取电网基础数据、历史数据和实时数据，数据单向流动。调度自动化系统对外提供数据获取服务接口，该接口遵循面向服务架构，可以直接部署到企业服务总线上，在企业服务总线上配置该服务，其接口的请求经安全数据传输适配器转发进行安全审计。电网故障诊断系统发送来的请求也遵循面向服务架构接口标准，请求发送到企业服务总线后同样经安全数据传输适配器转发进行安全审计，审计通过后企业服务总线将请求封装成符合物理隔离单元要求的文本文件，该文本文件会被物理隔离单元摆渡到调度自动化系统所在网段指定的目录。该侧的企业服务总线监测该目录，发现新文件将文件解析成面向服务架构接口标准的请求发送给调度自动化系统，从而调度自动化系统通过提供的服务接口将要请求的数据利用另一个单向隔离通道将数据发送到电网故障诊断系统。

有益效果：本发明利用在物理隔离设备两侧部署企业服务总线，通过服务总线配置的服务代理和协议转换规则将物理隔离的两侧的应用服务实现透明传输，从而减少应用服务为实现穿物理隔离而进行程序源代码的改造，为应用程序的开发和部署带来便利。通过本系统和方法对物理隔离环境下进行数据传送改进，可以简化业务系统的改造难度和工作量，同时数据通过安全数据传输适配器进一步增强了数据传输的安全性。

更具体点：

a.大幅度提高系统的安全性和保密性。

b.保持网络原有的性能特点，充分利用企业服务总线的协议转换功能，即对网络协议和传输具有很好的透明性、较高的传输速率和低的延迟性。

c.易于操作、维护，并便于自动化管理，尽量少增加附加操作。

d.不影响原网络拓扑结构，同时便于系统及系统功能的扩展。

e.较好的性能价格比，一次性投资，可以长期使用。

附图说明

图1隔离装置相互连接的示意图；

图2物理隔离网闸的实现原理；

图3基于企业服务总线的跨物理隔离传输原理图；

图4基于企业服务总线的跨物理隔离传输流程图。

具体实施方式

如图3所示，本发明的在内网和外网之间跨物理隔离透明传输数据的系统实施例，包括在物理隔离单元的两侧分别设有第一、第二企业服务总线，第一、第二企业服务总线上分别部署有第一、第二安全数据传输适配器，物理隔离单元设在内网和外网的网关之间，进行网络安全区域隔离，第一、第二企业服务总线分别提供调用接口，同时与物理隔离单元通讯，第一、第二安全数据传输适配器分别负责内网和外网数据的安全认证和完整性、有效性校验。

第一、第二安全数据传输适配器中封装了两种服务：发送和接收数据服务，以实现双向的数据传输，企业服务总线提供标准类型的数据传输和多种协议转换，包括消息、文件、数据库和邮件传输。

物理隔离单元通过以下几个方面对内网进行保护：(1)隔离开关部件的通断；(2)协议的分拆和重组；(3)细粒度的访问控制和日志管理。这三方面对黑客和病毒入侵起到了很好的防范作用。再通过安全数据传输适配器对数据进行权限认证，有效性、完整性检查可以进一步提高物理隔离环境下数据传输系统安全强度。

安全数据传输适配器中的数据访问模块定义多个数据源连接，拒绝没有设定的访问目标，采用PKI身份认证技术，通过公钥密码体制中用户私钥的机密性来提供用户身份的唯一性验证，并通过数字证书机制保证流入内网数据的真实性和合法性，同时采用数字签名技术保证传输数据的不可抵赖性。

外网业务系统在发送数据文件时，调用本地安装的杀毒软件的杀毒引擎对文件进行扫描并查杀病毒，通过病毒检查后的文件，才由物理隔离单元发送到内网，保证内网的安全。

内网通过升级本地杀毒软件，保证内网安全数据代理病毒检查和查杀的能力，对于内网向外网的数据传输，需要防止内网用户泄露涉密数据信息。严格的安全管理制度是安全防护的重要保证，但是也不排除工作中的疏忽，导致内网信息的疏漏。为此需要在安全数据传输适配器中进行严格的安全审计，做到用户访问有案可查。当出现涉密数据泄露事件时，可以结合数字证书技术进行审计和追杏，以确定泄漏的行为人和安全风险的程度。

一种基于上述系统实现跨物理隔离透明传输的方法，其总体流程如图4所示，包括以下步骤：

(1)物理隔离单元两侧的业务系统面向服务架构提供服务接口；

(2)物理隔离单元两侧部署企业服务总线；

(3)业务系统提供的服务接口配置到企业服务总线提供调用；

(4)业务系统的请求或参数的数据发送到企业服务总线；

(5)安全数据传输适配器对数据进行审计；

(6)审计通过后，企业服务总线将请求或数据封装成物理隔离设备能识别的文本文件存放在指定目录；

(7)物理隔离单元将文本文件摆渡到另一侧；

(8)另一侧部署的企业服务总线监测指定目录；

(9)发现新文件后，对该文件内容进行解析成标准服务请求或数据传输给指定的业务系统。

Claims (4)

1.一种在内网和外网之间跨物理隔离透明传输数据的系统，其特征是：包括在所述的物理隔离的两侧分别设有的第一、第二企业服务总线，所述的第一、第二企业服务总线上分别部署有第一、第二安全数据传输适配器，所述的物理隔离设在内网和外网的网关之间，进行网络安全区域隔离，所述的第一、第二企业服务总线分别提供调用接口，同时与物理隔离通讯，所述的第一、第二安全数据传输适配器分别负责内网和外网数据的安全认证和完整性、有效性校验；所述的第一、第二安全数据传输适配器中封装了两种服务：发送和接收数据服务，以实现双向的数据传输，所述的企业服务总线提供标准类型的数据传输和多种协议转换，包括消息、文件、数据库和邮件传输；

所述的物理隔离通过以下三个方面对内网进行保护：(1)隔离开关部件的通断；(2)协议的分拆和重组；(3)细粒度的访问控制和日志管理；

所述的安全数据传输适配器中的数据访问模块定义多个数据源连接，拒绝没有设定的访问目标，采用PKI身份认证技术，通过公钥密码体制中用户私钥的机密性来提供用户身份的唯一性验证，并通过数字证书机制保证流入内网数据的真实性和合法性，同时采用数字签名技术保证传输数据的不可抵赖性。

2.根据权利要求1所述的在内网和外网之间跨物理隔离透明传输数据的系统，其特征是：所述的外网业务系统在发送数据文件时，调用本地安装的杀毒软件的杀毒引擎对文件进行扫描并查杀病毒，通过病毒检查后的文件，才由物理隔离发送到内网，保证内网的安全。

3.根据权利要求2所述的在内网和外网之间跨物理隔离透明传输数据的系统，其特征是：所述的内网通过升级本地杀毒软件，保证内网安全数据代理病毒检查和查杀的能力，对于内网向外网的数据传输，需要防止内网用户泄露涉密数据信息。

4.一种采用如权利要求1至3任意一项所述的系统在内网和外网之间跨物理隔离透明传输数据的方法，包括以下步骤：

S1 物理隔离单元两侧的业务系统面向服务架构提供服务接口；

S2 物理隔离单元两侧分别部署企业服务总线；

S3 业务系统提供的服务接口配置到企业服务总线提供调用；

S4 业务系统的请求或参数的数据发送到企业服务总线；

S5 安全数据传输适配器对数据进行审计；

S6 审计通过后，企业服务总线将请求或数据封装成物理隔离设备能识别的文本文件存放在指定目录；

S7 物理隔离单元将文本文件摆渡到另一侧；

S8 另一侧部署的企业服务总线监测指定目录；

S9 发现新文件后，对该文件内容进行解析成标准服务请求或数据传输给指定的业务系统。