|
一、解决方案背景说明
某市是信息产业部确定的国家信息化试点城市，是省信息办确定的电子政务试点城市，经过几年的税务信息化建设已经成功搭建了基于国产软硬件的综合信息平台，但如何利用好这一平台，为纳税人提供更方便的“一站式”服务，实现"科技兴税"，提高信息技术的应用水平呢？解决的办法首先就要从税收征管入手，尽快使网上、银行网点申报纳税方式成为纳税人申报纳税的主体模式，为实现征管信息的集中管理创造有利条件。但是由于网络的开放性，实行网上报税会带来一定的风险，这就必须建立信息安全系统，利用电子网络加强监管，对网络信息安全加以防范，采用防火墙、防病毒、漏洞扫描，入侵检测等技术虽然可在一定程度上提供安全保护，但无论使用哪一种或多种安全手段一起上，都无法做到尽善尽美的保护，也许能够保证一个系统真正安全的途径只有一个：断开网络。可是断开网络又如何实现内外网间的信息数据交换呢？如果为了保证安全和保密信息不泄漏，各个无法互联的网络又成了一座座信息孤岛，这成为困扰很多政府部门信息化建设进程中的一个难题。
税务局作为国家经济命脉的职能部门，掌握着当地各类企业的税务登记情况、市场活动、交易行为等重要信息，合理组织、综合利用这些信息能够及时、准确地反映国民经济状况及发展态势，为本地经济发展提供决策依据。
随着政务公开和政府上网工程的开展，税务系统的对外业务服务必须要通过互联网来完成，例如税务信息公布、企业初始数据的采集、网上报税等，但对于这些数据的审核往往需要由处于内网中的税务人员来完成，另外对于税务系统而言，所有初始数据和审批过程都需要备份，存入系统内网的数据库中。因此，必需要建立税务网络安全整体防护体系，提高税务网络的安全保障能力,采用防火墙、防病毒、漏洞扫描，以至入侵检测等技术来防止外界威胁，这些技术都可在一定程度上提供安全保护，但目前所有的安全手段，无论使用一种或将所有方法综合使用，都无法做到对网络和信息资源的尽善尽美的保护，也许能够保证一个系统真正安全的途径只有一个：断开网络，而且中共中央办公厅在[2002]17号文件中明确指出：“电子政务网络由政务内网和政务外网构成，两网之间物理隔离，政务外网与互联网之间逻辑隔离。”要求电子政务核心密极的内部网络和普密级的外部网络在物理上隔离开，可是断开网络又如何实现内外网间的信息数据交换呢？如果为了保证安全和保密信息不泄漏，各个无法互联的网络又成了一座座信息孤岛，因此这成为困扰许多政府部门信息化建设进程的一个难题。
而叁佳网闸SAN-NetGap100拥有内外两套独立的处理系统，并且在两套网络系统之间具有安全数据交换单元，也叫专用安全通道，具有极高的稳定性和可靠性，安全数据交换单元采用专用安全传输控制硬件，通过层层搬运的方式实现信息安全交换，在数据交换的过程中通道在任何时刻都不是直接连通的，可对税务内网和税务外网进行了物理隔离，在其税务内网与税务外网之间建立起网络的安全系统屏障——物理隔离与信息交换系统，以防止各种类型的攻击对税务内网业务系统造成伤害。某地税务局（以下称为“此税务局”）采用了叁佳网闸SAN-NetGap100进行了网络安全构建，充分突出了此设备在网络安全隔离上的优越性。
二、需求分析
此税务局的网络系统主要划分为两部分，税务内网信息系统和税务外网信息系统。在税务内网中运行多个涉及税务内部业务和办公的应用系统，包括电子申报处理系统、证书申请处理/审核系统、征管系统以及各种数据库系统等，是税务系统的重要业务网络，需要进行高安全的防范，属于核心保密级网络，要求其必须与税务外网实行物理隔离，但该网还需要与各业务专网相连，例如商业银行专网，通过“银税联网”，方便纳税人直接通过银行处理税务相关业务；而税务外网运行多个税务外部业务，属于普通保密级网络，并通过互联网提供网上报税、便民服务，该网络是税务业务系统的外延，是对外服务的窗口，包括电子申报受理系统、证书申请WEB服务器，四小票接受系统等等。
根据中共中央办公厅在[2002]17号文件的规定，这两个网络之间需要物理隔离。但由于税务局业务需要，在保持税务内外网络物理隔离的同时，应能够在这两个不同安全等级的网络之间进行实时的、适度的、可控的数据交换和应用服务。具体来说，数据信息交换需要发生在：税务内网与税务外网之间，交换的应用服务主要包含：网上报税系统、网上税票认证系统、证书系统等；在内外网间进行交换的数据主要包括：文件交换、数据库的数据交换等。纳税人通过Internet访问税务部门的网上报税系统，正确填写电子申报表后，提交申报数据至税务部门服务器，税务部门的WWW服务器对这些数据进行处理、储存，并将处理结果反馈给纳税人的一种电子申报方式。此种方式减少了纳税户往返于税务部门、银行的烦恼，也极大的减轻了税务部门的工作量。
三、安全风险分析
但由于网上报税是基于Internet的，在网上报税应用中不可避免地存在着由Internet的自由、开放所带来的信息安全隐患。目前，在网上报税系统应用中，采用了建立在SSL网络安全协议下的公私钥电子签名和认证技术，以使在Internet
传输数据的安全性得到了保证，但是对与税务外网客户受理端（WWW服务器）进行数据交互的税务内网处理端（数据处理服务器、数据库服务器）保护仍显不足。在这种情况下，Internet上的黑客很容易利用已存在的漏洞、攻击税务系统内网的服务器。为了彻底解决其网上报税系统的安全性，确保其内网敏感信息不被泄漏、删除及篡改，实现双网间络的物理隔离还要保证在逻辑上两个网络能够互连互通，在实际应用中此税务局最终采用由浪潮信息安全事业部提供的税务安全整体解决方案,在最大程度上杜绝Internet带来的安全风险。
四、安全整体解决方案
通过对此税务局网络拓扑结构和网上报税系统的分析，为此税务局量身定制了高可用性安全解决方案。在项目的实施中采用了北京叁佳信智科技有限公司自主研发的国内领先的安全隔离产品——叁佳网闸SAN-NetGap100，网闸可说是目前所有安全产品中安全性最高的产品，其作为安全整体解决方案的核心产品，在实现内外网安全隔离同时，提供应用层数据过滤和传输的功能，支持HTTP、FTP、SMTP、POP和LDAP等多种协议；还可以对SQLServer，Oracle以及其它支持ODBC驱动的数据库进行访问；在高安全性和保密性的保障下，系统可自如运行网页浏览、文件传输、收发电子邮件、目录访问和数据库访问等看似简单但原本无法实现的功能，内嵌密级标识检查系统和内容审查系统，可以对邮件的内容和附件作内容检查，对邮件附件做密级标识检查；能对数据的单向传输进行控制；提供“用户-时间”驱动的用户授权机制；通过管理平台支持日志维护功能；同时提供API接口，可供用户自己添加需要的协议。可达80Mbps吞吐率绝不会对网络的运行形成瓶颈。
五、基本原理
切断网络之间的通用协议连接，将数据包进行分解或重组为静态数据，然后对静态数据进行安全审查，包括网络协议检查和代码扫描等，确认后的安全数据流入内部单元，内部用户通过严格的身份认证机制获取所需数据。 |
