基于网闸的内外部文件交换平台方案设计

基于网闸的内外部文件交换平台方案设计

史纪东

（中国铁路设计集团有限公司，300308）

摘要：互联网时代，各行各业网络运算和数据管理能力得到大力发展，但同样带来了网络安全隐患，例如，网络攻击、数据窃取、敏感信息泄露等。对此，为提升信息系统网络安全整体防护水平，通过网闸实现文件交换的方式被大量应用于不同类型网络的文件传输中。实际工作中，为实现内部文件与外部文件的传输，需要层层流程审批，依靠附带标签的移动介质，才能实现内部文件与外部文件的交换。为提高内部网络与外部网络文件交换的便捷性与安全性，本文设计了一套文件交换平台，包括内部文件交换系统、外部文件交换系统、网闸安全设备。

引言

在国有交通企业领域，为确保企业内部数据资产的安全性，一般采用搭建内部局域网络的形式，与外部互联网进行物理隔离。伴随着信息技术的飞速发展，在内部局域网与外部互联网之间文件交换已成为一种非常常见的工作场景，企业内部的非密文件需要从内部网络交换至外部互联网，互联网上的前沿技术资讯、文件资料需要从外部互联网交换至内部网络开展研究学习。目前，通过附带标签的移动介质在内部局域网与外部互联网之间文件交换，存在效率低、工作不稳定的问题。对此，本文基于网闸安全设备搭建了内外网文件交换系统，实现内部网络与外部网络间文件安全高效传输。

本文研究主要达到以下目标：（1）在企业内部网络环境、外部网络环境分别部署文件交换系统；（2）在企业内部网络与外部网络边界区域部署网闸安全设备。

1 相关研究技术

在设计内外部网络文件交换平台的方案过程中，涉及到文件交换技术、网闸安全摆渡技术、病毒检测技术等。通过多种技术的组合方式实现内部网络与外部网络间文件的安全交换。

（1）文件交换技术

文件交换技术采用通过类邮件的方式，分别在不同区域的网络部署文件交换节点，允许授权用户在内部网络、外部网络通过交换平台进行文件交换。文件交换系统根据用户所属部门、用户组、标签、角色等属性，可自动生成文件交换审批流程，支持在有效期内对交换的文件进行下载。通过文件交换技术可创建多个独立的工作空间，面向不同的部门、项目，独立开展文件管理和安全管控。同时，文件交换系统具备记录功能，可实现对用户行为、系统操作行为的审计。

（2）网闸安全摆渡技术

网闸设备采用多主机隔离结构，通过专有安全隔离技术，把安全性、智能性、高效性完美的结合在一起。不同于采用计算机系统所配备的标准USB、串口、1394协议等非网络接口,网闸设备采用“2+1”架构设计，通过专有安全芯片实现安全隔离，保证内外网主机不会直接连接，具有高度安全性；通过专用安全接口或者应用代理进行数据读取和发送，避免接收未知数据，同时完全屏蔽内部网络信息。通过信息摆渡机制，在硬件底层采用独立控制逻辑技术自动实现网络协议阻断和数据交换，在应用层通过专有协议转换模块的处理，实现不同网络环境的安全隔离。

（3）病毒检测技术

通过独立的病毒检测防御引擎，根据病毒特征库和病毒网络特征库，针对文件交换过程中存在的新型僵尸病毒、木马、蠕虫等恶意代码进行检测防御，结合配置的安全策略对恶意文件进行拦截。综合运用多种识别方式对文件的安全合规性进行细粒度、深层次的识别，采用多层匹配模式加密流量分析方法，实现对应用层协议和应用程序的精准识别。同时，通过对交换文件数据的读取分析，从精确匹配的关键字到内容模糊查找，从基于文件内容到基于文件属性的检测，从被动的事件上报到主动拦截，确保内部网络与外部网络文件交换的便捷性和安全性。

2 文件交换平台方案设计

内部网络与外部网络进行文件的传输，一方面需要满足企业的安全要求，另一方面，需要实现内部网络与外部网络文件交换的需求。在设计文件交换平台的过程中，需要结合企业的安全要求，细化制定详细的文件传输控制策略，依靠文件交换系统的各项功能确保文件在不同的网络环境中进行合规传输。通过文件交换系统集成的病毒检测功能对在内部文件交换系统、外部文件交换系统中的文件进行数据进行特征分析，有效识别恶意文件，防止病毒进入内部网络。在文件的传输过程中，仅允许授权用户在不同网络环境中进行文件传输，非授权用户无访问文件交换平台权限。通过终端杀毒软件对终端文件进行实时监测，有效遏制恶意文件及病毒文件在内部网络中的蔓延。

2.1文件交换需求分析

根据企业文件交换的需求和网络安全的要求，实现内部网络与外部网络文件交换需要满足以下要求：（1）企业内部网络与外部网络为物理隔离，内部网络终端、服务器无法访问互联网，同样外部网络无法访问内部网络终端、服务器。（2）企业职工终端安装必备杀毒软件，方可使用个人账号通过统一认证，获取访问文件交换平台的权限。（3）结合企业办公特点，只允许办公类文档进行文件交换。（4）通过文件交换平台开展病毒检查，最大限度确保内部网络的网络安全。（5）通过文件交换平台传输的文件仅能在有效期下载，过期后系统将自动清除文件。

2.2文件交换风险应对措施

在内部网络与外部网络进行文件交换的过程中，针对可能产生网络安全事件的风险点进行梳理，制定对应改进措施，逐一消除风险点，在提高效率的同时最大程度确保内部网络与外部网络文件交换的安全性。

（1）在内部网络与外部网络之间部署网闸安全设备，实现内部网络与外部网络的物理隔离。

（2）在内部网络终端安装杀毒工具，通过准入控制实现统一认证，严禁内部终端以有线或者无线形式访问互联网。

（3）结合企业办公特点，严格限制内部网络与外部网络文件传输类型，严禁带有潜在风险后缀格式的文件进行传输。

（4）启用文件交换平台杀毒功能，并定期对病毒库检测规则进行升级，实现内部网络与外部网络传输的安全检测。

（5）设置文件交换平台文件存储有效期，到期后自动清理服务器文件，有效释放存储空间。

2.3文件交换系统设计与实现

文件交换平台由内部文件交换系统、外部文件交换系统、网闸构成。对此，分别在企业内部网络环境、外部网络环境部署文件交换系统节点，两套系统节点采用相同虚拟化方式部署模式，配置不同网络区域IP，与网闸安全设备进行直连，通过网闸内部私有协议实现内部网络与外部网络的物理隔离。

内部文件交换系统负责实现企业用户在内部网络中的文件上传与下载，外部文件交换系统负责实现企业用户在外部网络中的文件上传与下载。通过网闸安全设备实现内部网络与外部网络间文件的安全交换与自动同步。

在内部网络环境中，用户终端需安装杀毒软件，确保从内部网络环境中上传至文件交换系统的文件未感染病毒，通过统一认证平台认证通过后方可访问内部文件交换系统。外部环境同样要求用户安装杀毒软件，确保文件交换安全合规。

文件交换系统系统开启文件级病毒查杀、用户行为全程审计等安全功能。通过文件交换系统自带的病毒检测规则库，对内部网络与外部网络交换的文件进行查杀，若文件未携带病毒，则允许文件进入跨网交换；若文件携带病毒，则将文件删除并通知发件人及系统管理员。

在启动内部网络与外部网络文件交换阶段，通过文件交换系统将用户信息、操作时间，文件基本信息发送到办公平台API接口，利用流程引擎发起逐级审批。审批通过后将结果返回给文件交换系统。若审批通过，系统开始将文件交换到外网；若审批未通过，系统将阻止本次文件交换，并通知用户审批结果。

通过文件交换系统限制单个用户单次交换文件的大小，严禁带有潜在风险后缀格式的文件进行跨网交换。

文件交换系统自动记录用户行为和文件流向，主要包括交换文件的发件人、收件人、文件跨网交换时间等信息。系统根据每月用户使用数据，从用户视角、部门视角及企业视角整理出文件上传数量、数据流量、分时使用次数等维度的排行榜及图表。该功能需要使用系统提供的日志数据导出功能，将数据导出后，由运维人员归纳整理出所需维度的报表。

3 数据分析

通过对比文件交换平台与移动介质两种文件传输方式，根据实验数据，采用文件交换平台交换文件的方式，可以大幅提高用户在内部网络与外部网络间文件交换的效率。根据监测文件交换平台一个月内的内部网络中的病毒活跃数量，较使用移动介质进行文件交换的方式，病毒拦截率得到明显提升。

4 结束语

本文通过采用文件交换技术、网闸安全摆渡技术、病毒检测技术多种技术组合的方式，在内部网络与外部网络物理隔离的情况下，基于网闸安全设备、文件交换系统，设计搭建了文件交换平台，实现了跨网文件交换，提高了企业职工在面临内部网络与外部网络文件交换场景下的工作效率，同时，从企业网络安全的角度出发，通过制定文件安全检查策略，有效降低了内部网络环境中的病毒文件数量，在提高内部网络与外部网络文件交换便捷性的同时，实现了对企业网络安全的保障，达到了文件交换与网络安全合规的合理平衡。