“2+1”架構網閘

3、仲裁/審計系統
仲裁系統是NiE的核心，這里保存著NiE的所有重要數據資料，并且實現了多種安全機制：可以為系統內每一位用戶提供身份識別，在系統檢測到相關事件之后可以追溯直接責任人；對流經仲裁系統的所有信息進行檢查，找出其中的敏感內容，最終將內部網絡和外部網絡的信息交換置于一個可控的狀況之下；記錄各類審計信息，供管理員審查。在“2+1”架構網閘中，“仲裁/審計系統”依附在內端機上。
為便于操作，仲裁系統向管理員提供方便靈活的管理界面。NiE在仲裁系統上實現了基于下推自動機的高效過濾算法，特別適合對大批量的關鍵字同時進行過濾。這種算法還具有避免常見的掩飾手段（如拆分敏感關鍵詞、加入標點、換行等）干擾的特點。
 

4、基于用戶的訪問控制
在部署NiE之后，如果要讓內外網兩端進行正常的信息交換，必須首先在NiE系統上建立合法的用戶賬號，后續所有的信息交換過程都將基于預先建立的用戶來進行安全控制。
NiE設備支持兩類基本用戶，一類是普通用戶，一類是管理員用戶。其中，普通用戶是受NiE系統控制的、對內外網絡中信息交換提出使用需求的用戶，而管理員用戶則是對NiE設備本身進行管理維護的人員。
5、受控協議通道及工作模式
建立合法用戶之后，需要將內外網兩端任何一類信息交換都置于特定的受控協議通道上，這些協議通道是和特定用戶關聯在一起的。
NiE借助受控協議通道來實現協議信息交換功能。這種受控協議通道，指的是一條從內端機通向外端機或者從外端機通向內端機的受控信息通路。受控通道的開啟和關閉均由管理員控制。受控通道開啟后，內端機/外端機開始監聽通道入口IP上指定的端口，仲裁機上相應的協議分析部件開始運作，準備處理各種流經通道的協議數據信息。
NiE對所有應用協議提供基本的安全配置，包括：
（1）協議通道的入口IP和監聽端口；
（2）協議通道所允許的發起源IP；
（3）協議通道所允許的用戶賬戶；
（4）協議通道所允許的最大并發用戶數；
（5）協議通道可按照管理員設置定時自動開啟/關閉。
在受控協議通道的設置上，NiE支持兩種工作模式，即代理模式和轉發模式。
在代理工作模式下，NiE的協議分析部件從用戶發來的協議信息包中分析實際的連接目標，并和這個連接目標進行信息交換。
NiE的轉發工作模式應用于服務器地址和端口固定的應用場合。管理員在設置通道的時候配置好目的服務器地址和端口，NiE在預定通道上接收客戶端連接，在確認其身份后再向固定目的服務器的固定端口發起連接。
NiE所支持的兩種協議通道工作模式相輔相成，如果組合使用，可以勝任絕大多數的應用場合。
6、安全隔離策略
NiE的仲裁機對協議通道進行控制，很重要的一點就是體現在所配置的安全策略上。管理員通過仲裁機上的管理配置接口來配置仲裁策略，仲裁系統依據相關策略，對流經的信息進行嚴格的過濾檢查。
不同類型的協議通道，在安全策略設置方面要求不同。
6.1、HTTP協議信息交換策略
NiE的HTTP信息交換有兩種工作狀態：客戶端保護狀態和服務端保護狀態。HTTP 客戶端保護狀態的主要目的是保護內網用戶不受到外網Web站點上有害內容的侵擾，本工作狀態對應于受控通道的代理工作模式；而服務端保護狀態的主要目的是保護內網Web服務器不受外來訪問的惡意攻擊，本工作狀態對應于受控通道的轉發工作模式。除了基本的配置之外，NiE在HTTP協議加入了多種安全策略供管理員配置，具體包括：
（1）本協議通道可以訪問的URL 清單；
（2）本協議通道允許使用的用戶名單；
（3）本協議通道是否過濾有害的腳本；
（4）本協議通道需要過濾的敏感關鍵字列表。
6.2、郵件協議信息交換策略
NiE在處理郵件相關協議時，可將其看作一個安全的郵件信息交換平臺，用戶可以使用常見的郵件客戶端工具（如outlook和foxmail）來設置在互聯網上的公共郵箱，以便實現郵件信息交換。
NiE在郵件相關協議的處理中加入了多種保護郵件的策略設置，具體包括：
（1）對郵件的主題及內容進行過濾，可以有效地防止內部機密信息的泄漏；
（2）限制郵件的大小，可限制大附件的郵件；
（3）限制郵件中的執行腳本；
（4）限制垃圾郵件，保護用戶不受垃圾郵件的干擾；
（5）檢測管理員設置的附件文件名的安全規則，阻斷規則所禁止的郵件。
6.3、FTP協議信息交換策略
NiE提供的FTP協議通道主要保護內網FTP服務器不受攻擊。除受控通道的基本安全支持外，FTP協議還可對使用FTP通道傳輸的內容進行過濾，包括病毒等惡意代碼的查殺。
6.4、Telnet 協議信息交換策略
NiE提供Telnet協議通道，可保護內網的Telnet服務器不受攻擊。Telnet協議處理模塊暫存通過NiE的用戶Telnet命令并作分析，以阻止有害信息進入而形成危害，同時對用戶登錄后所有的操作進行審計記錄。
6.5、數據庫信息交換策略
NiE提供MS SQL Server、Oracle、Sybase、DB2等協議通道，保護數據庫信息交換的安全，該策略可以提供完美的數據庫同步方案，具體包括：
（1）支持各種同構或異構關系數據庫之間的數據交換，如Oracle、Sybase、SQL Server、DB2等，另外，還支持數據庫到文件、文件到數據庫、文件到文件的數據交換；
（2）支持異構數據結構以及代碼語義的轉換規則定義，并實現源數據到目標數據之間的實時數據交換，支持數據整合業務；
（3）支持數據一對一、一對多、多對多的單向或雙向交換和同步，支持實時交換或定時同步的策略定義；
（4）采用XML技術，具有可配置性。可以通過標準定義、規則定義、通道定義和路由定義進行個性化的數據交換策略定義；
（5）數據傳輸的實時性。如果其中一個系統的數據發生變化，那么通過NiE傳輸到其他系統中，相應數據也會即時發生變化。
7 自定義協議信息通道
除了以上幾種基本的受控通道，NiE還可以根據用戶的需求進行新的自定義通信協議的開發。
新的通信協議可提供多種擴展功能，包括：
（1）自定義協議通道可以采取代理工作模式或者轉發工作模式；
（2）自定義協議通道可以直接使用現有的全部通道基本設置；
（3）自定義協議通道可以根據需求定制安全功能；
（4）自定義協議通道可以根據需求開發新的專用協議處理功能；
自定義協議通道得益于NiE在設計上的強大的可擴展性，它使得NiE具有了很大的靈活性，能夠適應多種應用領域。
8 其它技術特點
NiE在支持安全隔離和信息交換基本功能的同時，還借助一些輔助性安全機制，來提供足夠的安全保證。其中包括：內嵌的入侵檢測和病毒防護機制，對數字簽名的支持，黑白名單，地址綁定，雙機熱備等。
（1）數字簽名
NiE系統可以很好地和數字證書體系相結合，根據用戶的需求將數字證書引入應用協議通道當中。數字證書作為原有用戶身份鑒別系統的有力補充，可以使NiE 的功能更為強大。
（2）入侵檢測
NiE系統在內核中嵌入了專用的入侵檢測引擎，能夠對進出網絡的原始數據進行攻擊檢測、過濾和審計。這種入侵檢測是基于NiE預先設定的完備的攻擊特征庫來實現的，無須管理員配置。有了這種機制，可以最大程度上降低NiE 遭受直接攻擊的可能性。
（3）病毒檢測
針對目前互聯網上以病毒等惡意代碼為主的信息攻擊，NiE可在內部定制集成殺毒引擎，能夠對一些主流的病毒進行檢測查殺功能。
（4）黑白名單
NiE對所有的網絡應用均提供黑白名單。通過黑白名單，可以拒絕或允許哪些用戶能夠進行網絡訪問。
（5）地址綁定
為了防止IP地址被非法盜用，同時校驗主機的合法性，NiE提供地址綁定功能。通過對指定接口所連接的網絡中主機的IP和MAC地址進行綁定，防止IP盜用，并對非法IP地址的訪問進行詳細記錄，以便管理員查看。
（6）雙機熱備
NiE提供雙機熱備功能，兩套系統以主動機和備用機的身份獨立運行，同時隨時檢測運行狀態。當主動機出現問題時，備用機可以在2分鐘內接管，并提升為主動機。雙機熱備方案保證了網絡的高可用性和高安全性，顯著提升了系統的可靠性。
 

 

3、行業應用解決方案
安全隔離與信息交換系統適用于金融、稅務、海關、公安、司法、安全、醫療等行業領域，尤其是各級政府機關和涉密企事業單位。
3.1 財稅系統應用解決方案
財政局，稅務局（國稅局、地稅局）掌握著當地各類企業的登記情況、市場活動交易行為等重要信息，合理組織、綜合利用這些信息可以從多角度反映本地的經濟運行狀況，為本地經濟發展提供決策依據。隨著政務公開和政府上網工程的開展，稅務系統的對外業務服務必須要通過互聯網來完成，例如企業初始數據的采集、網上報稅、處理結果的反饋等，對于這些數據的審核往往需要由處于內網中的稅務人員來完成，另外對于稅務系統而言，所有初始數據和審批過程都需要備份，存入系統內網的數據庫中。另外，由于網絡的互聯共享，來自企業內部和全世界各個地方不懷好意的計算機專業人士和黑客都有可能對其實施攻擊。我們幾乎每天都可以聽到黑客對某某企業信息資源進行入侵、篡改和破壞的報道，所以有必要建立稅務網絡安全整體防護體系，提高稅務網絡的安全保障能力。 
 

NiE在財稅中的應用示范

NiE在政務中的應用示范