信创安全 | 政务大厅外部数据安全导入系统解决方案
点击 新型基础设施建设 并设为星标⭐️ 及时获取最新资讯
编者按：自主可控外网电子文件安全导入系统采用全国产化、全定制化软硬件一体集成系统，硬件采用国产信创终端，客户端系统为统信UOS®安全加固（定制）操作系统+数据导入专用软件，病毒及恶意代码防护为360软件信创版，后端集中管理系统采用B/S方式架构。
编辑｜新型基础设施建设公众号（ID：morlight20）出品 | 安东工作室来源｜江苏阿尔发云信息技术有限公司转载｜请注明出处
01
数据安全导入解决方案概述
当前，网络空间安全早已成为国家安全的核心内容之一，在此大背景下，各级党政机关全面加强政务内网安全建设和管控，各级政务内网普遍采取了内外网物理隔离、禁止来源不明的外部（网络）数据未加防护地传送到内部专网等防范措施，内网终端电脑的U盘接口普遍被禁用，打印端口、网络端口亦受到严格管控，上述措施的施行极大地增强了党政各级各类内部专网的安全等级，各类安全事件也得到较好控制，但是，上述措施在强化网络安全管理的同时，又必然地给网络的日常使用带来一些麻烦。
当前，党政机关普遍存在大量的需要将各种外部文件与内网进行数据交换的工作需要，USB口被普遍禁用后，上述文件传输或数据交换就变得困难，虽然各级部门均针对性地构建了各种内外网数据交换平台以解决此内外网数据交换问题，但此类平台普遍存在操作繁琐、管控严格的弊端，从而形成了工作瓶颈并造成工作效率下降。
针对上述情况，我司结合实际、积极探索，完全采用国产信创技术自主研发出一款可快捷完成外部数据导入内网的【自主可控外网电子文件安全导入系统】，该系统完全采用国产自主可控技术，实现软硬件一体化集成操作，在依然保持较高的网络安全等级并完全满足网络安全防护要求的前提下，实现内外网文件数据交换的快速便捷操作，极大地提高了内外网数据交换工作效率。【自主可控外网电子文件安全导入系统】采用全国产化、全定制化软硬件一体集成系统，硬件采用国产信创终端，客户端系统为统信UOS®安全加固（定制）操作系统+数据导入专用软件，病毒及恶意代码防护为360软件信创版，后端集中管理系统采用B/S方式架构。
02
解决方案总体架构及说明
2.1系统设计规范
GB∕T 22239-2019 信息安全技术 网络安全等级保护基本要求
GB∕T 25070-2019 信息安全技术 网络安全等级保护安全设计技术要求
GB/T 28452-2012信息安全技术 应用软件系统通用安全技术要求
GB/T 30276-2013信息安全技术 信息安全漏洞管理规范
GB/T 20271-2006信息安全技术 信息系统通用安全技术要求
GB/T 20279-2015信息安全技术 网络和终端隔离产品安全技术要求
GB∕T 32925-2016信息安全技术 政府联网计算机终端安全管理基本要求
GB/T 30278-2013信息安全技术 政务计算机终端核心配置规范
2.2 系统安全要素
2.2.1 全国产软硬件平台
系统设计成仅兼容国产信创硬件终端，客户端系统软件为统信UOS®安全加固（定制）操作系统+数据导入专用软件，具备完全自主知识产权
2.2.2 等保（2.0）二级等保要求
（1）安全边界访问 实现：
边界防护、访问控制、入侵防范、恶意代码防范、安全审计、可信验证。
（2）安全计算环境 实现：
身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数 据备份、信息保护。
2.2.3 操作系统安全加固
（1）系统最小化
除必要的系统进程、杀毒软件、数据导入程序外，无其他软件进程运行。
（2）端口最少化
除必要网络端口外，关闭所有无关系统端口，以减少系统漏洞。
（3）权限最小化
普通账户权限仅可运行数据导入应用程序，并且不可更改任何系统配置资源。
（4）开机最简化
系统开机直接启动至数据导入应用程序。
（5）USB端口只读
系统限定全部USB端口只读，且仅提供U盘的接入支持，禁止其它类型外设设备（例如鼠标键盘）的使用。
（6）全触屏操作
系统禁用鼠标键盘，以进一步减少非法访问风险。
（7）（可选）可信验证
硬件级可信验证（可信根），形成可信验证梯度：硬件->主板BIOS->操作系统->应用软件可信。
（8）系统防火墙
系统内嵌Iptable防火墙。
（9）系统日志审计
全面的系统和应用程序操作日志审计，以追踪任何安全事件。
（10）程序独占
系统仅用于运行外部数据导入程序。
（11）数字签名
提供数字签名机制，未经签名认证的应用程序无法执行。
2.2.4 病毒自动检测
系统内嵌360安全防护引擎，所有外部文件均须通过病毒木马检测后方能传入内网，最大化实现外部数据导入时的病毒防护，有效解决U盘文件导入时的防病毒安全隐忧，同时病毒库与内网病毒库实现同步更新。系统同时内置文件格式检测器，有效过滤非法文件。
2.2.5 身份认证和访问控制
系统通过身份证件扫描实现外部人员身份认证和日志审计，通过操作系统和应用软件双重控制实现使用人员访问控制，即登陆用户只允许执行U盘文件导入操作。
2.2.6 客户端操作便捷
（1）全触屏操作
（2）文件加密传输
（3）快速复选文件
（4）默认数字键盘
（5）版本自动升级
2.2.7 后端集中管控
（1）B/S架构
（2）终端接入统一管理
（3）文件格式、大小集中管控
（4）日志存储/查询
（5）程序版本自动升级
（6）文件定期清理
2.3 系统安全架构
03
解决方案功能介绍
3.1 系统功能框图
3.2 系统功能描述：
3.2.1 前端（客户端）系统：
① 身份验证（扫描身份证件）
② 文件复选
③ 文件格式校验
④ 病毒自动检测
⑤ 文件加密
⑥ 文件发送
⑦ 日志记录
3.2.2 后端管理系统：
① 终端准入控制
② 策略管控（文件大小/格式集中管控）
③ 终端地址管理
④ 日志存储/查询
⑤ 文件定期清理
⑥ 终端版本控制/升级
3.3 系统应用拓扑图
04
解决方案实施效果
各级各类政务大厅应用外部文件安全导入系统实现外部文件向内网传输导入，将实现并达到以下效果：
安全高效
系统自动实现对上传文件的病毒查杀，并自动更新病毒库，杀毒、文件检测等内嵌在业务处理流程中，从而极大缩短人工杀毒时间，并使得业务处理过程高效、简洁，内网数据的防病毒安全得到最大程度地保证。
安全审计
系统操作全程日志审计，确保所有事件可朔源。
权限最小化
通过对操作系统的安全加固，实现外部操作人员的权限最小化，最大程度提高系统安全性。
设备安全
通过可信验证、数字签名、网络准入等措施实现终端硬件、网络端口的不可访问，确保即使终端设备处于非安全区也能实现终端硬件及网络端口的高安全性。
端口管控
通过操作系统和应用程序两级层面实现对终端硬件端口（USB端口只读）的管控，同样确保实现终端硬件的高安全性。
系统自动实现违规外联屏蔽
通过身份证件认证实现访问人员的身份鉴别和操作审计
操作便捷
外部文件安全导入系统实现外部文件向政务内网传输的高效便捷。
05
解决方案应用场景
需向政务内网传输外部文件的场合，如政务大厅、办税服务厅等。
06
解决方案应用实例
目前，该【自主可控外网电子文件安全导入系统】已成功应用于国家税务总局无锡市税务局各办税大厅，为纳税人提供高效便捷的外部文件导入功能。
07
解决方案操作流程
07
相关产品介绍
【阿尔发云自主可控外网电子文件安全导入系统V1.0】是江苏阿尔发云信息技术有限公司自主研发的完全基于国产信创技术的终端安全类产品，产品主要用于各级党政、金融、军工等单位需要向内网传输数据文件的应用场景，用于提供文件传输过程中终端硬件、内网网络环境的安全保护和传输功能实现、以及全面的朔源能力。
08
解决方案联系方式
公司名称：江苏阿尔发云信息技术有限公司
END
点击图片查看完整内容：