天御6000单向安全隔离系统.docx

天御6000单向安全隔离系统时间:2011-05-31 18:34来源:未知 作者:admin 点击: 46次一、 系统简介 天御 6000 单向安全隔离系统 依照全国电力二次系统安全防护总体方案 、 国家经贸委【 2002 】第 30 号令电网和电厂计算机监控系统及调度数据网络安全防护的规定 一、 系统简介天御6000单向安全隔离系统依照全国电力二次系统安全防护总体方案、国家经贸委【2002】第30号令电网和电厂计算机监控系统及调度数据网络安全防护的规定和电力二次系统安全防护规定（电监会5号令）由我公司自主开发研制的，满足中国电力行业需求的网络安全产品。适用于电力安全/区与安全/区之间的安全连接，可以文件单向传输、数据库单向同步、实时数据流单向广播等不同环境的应用。天御6000单向安全隔离系统获得产品资质证书如下：l 国家公安部销售许可证（证书编号：XKC35122）l 国家电力调度中心检测证书l 国家涉密信息系统产品检测证书（证书编号：ISSTEC2007YT0517）l 国家信息安全认证证书（注册号CNITSEC2006TYP495）l 防电磁辐射检测报告（2003）量认（国）字（H0851）号二、 系统组成天御6000单向安全隔离系统由三个部分组成，内网关、外网关和硬件隔离控制器三部分组成，硬件隔离控制器通过对RAM的存储转发和电子开关的切换实现安全隔离和单向控制，同时具有对外网数据包的过滤和阻断功能。内、外网关采用RISC专用网络处理器，中间硬件隔离控制器的主要采用专用数字处理芯片构成。三、 技术原理天御6000单向安全隔离系统的核心技术是架构在网络安全隔离基础上的，保证用户网络安全隔离的强度接近于物理隔离，下面用图例的方式说明天御6000单向安全隔离系统实现网络单向安全隔离的全过程（图中外网是指非安全网络，内网是指安全级别极高的内部专用网络）。内网数据传送到外网的过程：初始状态下，电子开关与内网关断开，保证外网和内网完全断开。 1. 内网发起数据请求。2. 内网关收到数据包后，首先进行身份认证。3. 内网数据包通过内网关安全认证后，去掉IP包头，把数据包转变成纯数据。4. 电子开关接通内网关，把纯数据通过数据线写到隔离控制器的存储介质上。5. 电子开关断开内网关，接通外网关，隔离控制器把数据通过数据通讯线转发到外网关上，并封装上IP包头，转变成数据包。6. 外网关将数据包发送到外网。外网数据传送到内网的过程：1. 外网有IP包发送到外网关。2. 外网关收到后，首先判断数据包是否为内网数据的回应包，如果不是则抛弃；如果是就对回应的应用层数据进行判断，大于1bit抛弃，小于1bit的应用层数据（以下简称数据）允许进入。3. 外网关通过数据线把数据据转发到隔离控制器的存储介质上。4. 存储介质接收到数据后，首先进行存储，然后电子开关接通内网关，隔离控制器通过数据线把数据转发到内网关上。5. 内网关把数据发送到内网。从以上过程可以看出，安全隔离的一个突出特征就是内网与外网永不连接，非网络方式安全隔离与单向控制，内网和外网在同一时间最多只有一个同隔离设备（数据交换器）建立非TCP/IP协议的数据连接。其数据传输机制是存储和转发。每一次数据交换，隔离设备都要经历数据的接收、存储和转发三个过程。四、 技术特点1) 产品采用2+1结构设计，双主机系统+硬件隔离控制器。2) 采用非INTEL指令集的网络处理器；3) 硬件隔离控制器采用专用数据处理芯片，无操作系统，延时小于1毫秒；4) 中间硬件隔离控制器通过电子开关实现安全隔离和单向控制，使生产控制大区与管理信息大区之间的隔离强度接近物理隔离； 5) 安全、固化的操作系统，采用嵌入式LINUX系统内核，内、外网关取消所有网络功能；6) 内外网关TCP/IP协议栈被裁剪掉，内外网关之间采用私有通讯协议；7) 应用层数据完全单向传输，TCP应答包禁止携带应用层数据；8) 高可用性：支持双机容错，支持冗余电源，支持双链路。五、 基本功能1) 实现两个安全区之间的非网络方式的安全的数据交换，并且保证安全隔离装置内外两个处理系统不同时连通；2) 表示层与应用层数据完全单向传输，TCP应答为1Bit；3) 支持路由、透明两种工作模式，虚拟主机IP地址、隐藏MAC地址，支持NAT功能；4) 基于MAC、IP、传输协议、传输端口以及通信方向的综合报文过滤与访问控制；5) 防止穿透性TCP联接：禁止内网、外网的两个应用网关之间直接建立TCP/IP联接；6) 具有可定制的应用层解析功能，支持应用层特殊标记识别；7) 支持数据库的同步，可以实现生产网和办公网之间数据库数据的实时同步；8) 安全、方便的维护管理方式，支持集中管理，支持远程监控；9) 强大的日志审计功能，除记录管理日志外还可以记录实时通讯日志及非授权访问日志，支持日志导出；10) 支持配置信息导入、导出；11) 支持身份认证；12) 支持双机热备份。六、 技术参数网络接口：单进单出型：4个RJ45 (内网1、外网1、热备1、管理1)双进双出型：6个RJ45（内网2、外网2、热备1、管理1）网络接口速率：10MBASE/100MBASE串行通信接口：2个RS-232（RJ45接口）贮存