稅務(wù)局作為國家經(jīng)濟(jì)命脈的職能部門，掌握著當(dāng)?shù)馗黝惼髽I(yè)的稅務(wù)登記情況、市場活動、交易行為等重要信息，合理組織、綜合利用這些信息能夠及時、準(zhǔn)確地反映國民經(jīng)濟(jì)狀況及發(fā)展態(tài)勢，為本地經(jīng)濟(jì)發(fā)展提供決策依據(jù)。隨著 政務(wù)公開和政府上網(wǎng)工程的開展，稅務(wù)系統(tǒng)的對外業(yè)務(wù)服務(wù)必須要通過互聯(lián)網(wǎng)來完成，例如稅務(wù)信息公布、企業(yè)初始數(shù)據(jù)的采集、網(wǎng)上報稅等，但對于這些數(shù)據(jù)的審核往往需要由處于內(nèi)網(wǎng)中的稅務(wù)人員來完成，另外對于稅務(wù)系統(tǒng)而言，所有初始數(shù)據(jù)和審批過程都需要備份，存入系統(tǒng)內(nèi)網(wǎng)的數(shù)據(jù)庫中。因此，必需要建立稅務(wù)網(wǎng)絡(luò)安全整體防護(hù)體系，提高稅務(wù)網(wǎng)絡(luò)的安全保障能力,采用防火墻、防病毒、漏洞掃描，以至入侵檢測等技術(shù)來防止外界威脅，這些技術(shù)都可在一定程度上提供安全保護(hù)，但目前所有的安全手段，無論使用一種或?qū)⑺蟹椒ňC合使用，都無法做到對網(wǎng)絡(luò)和信息資源的盡善盡美的保護(hù)，也許能夠保證一個系統(tǒng)真正安全的途徑只有一個：斷開網(wǎng)絡(luò)，而且中共中央辦公廳在[2002]17號文件中明確指出：“電子政務(wù)網(wǎng)絡(luò)由政務(wù)內(nèi)網(wǎng)和政務(wù)外網(wǎng)構(gòu)成，兩網(wǎng)之間物理隔離，政務(wù)外網(wǎng)與互聯(lián)網(wǎng)之間邏輯隔離。”要求電子政務(wù)核心密極的內(nèi)部網(wǎng)絡(luò)和普密級的外部網(wǎng)絡(luò)在物理上隔離開，可是斷開網(wǎng)絡(luò)又如何實現(xiàn)內(nèi)外網(wǎng)間的信息數(shù)據(jù)交換呢?如果為了保證安全和保密信息不泄漏，各個無法互聯(lián)的網(wǎng)絡(luò)又成了一座座信息孤島，因此這成為困擾許多政府部門信息化建設(shè)進(jìn)程的一個難題。

　　而浪潮網(wǎng)泰安全隔離網(wǎng)閘擁有內(nèi)外兩套獨立的處理系統(tǒng)，并且在兩套網(wǎng)絡(luò)系統(tǒng)之間除通過由浪潮信息安全事業(yè)部自主研發(fā)的基于映射GAP技術(shù)的隔離交換卡外沒有其他直接或間接的聯(lián)系?？蓪Χ悇?wù)內(nèi)網(wǎng)和稅務(wù)外網(wǎng)進(jìn)行了物理隔離，在其稅務(wù)內(nèi)網(wǎng)與稅務(wù)外網(wǎng)之間建立起網(wǎng)絡(luò)的安全系統(tǒng)屏障--物理隔離與信息交換系統(tǒng)，以防止各種類型的攻擊對稅務(wù)內(nèi)網(wǎng)業(yè)務(wù)系統(tǒng)造成傷害。某地稅務(wù)局(以下稱為“此稅務(wù)局”)采用了浪潮網(wǎng)泰安全隔離網(wǎng)閘進(jìn)行了網(wǎng)絡(luò)安全構(gòu)建，充分突出了此設(shè)備在網(wǎng)絡(luò)安全隔離上的優(yōu)越性。

　　需求分析

　　此稅務(wù)局的網(wǎng)絡(luò)系統(tǒng)主要劃分為兩部分，稅務(wù)內(nèi)網(wǎng)信息系統(tǒng)和稅務(wù)外網(wǎng)信息系統(tǒng)。在稅務(wù)內(nèi)網(wǎng)中運(yùn)行多個涉及稅務(wù)內(nèi)部業(yè)務(wù)和辦公的應(yīng)用系統(tǒng)，包括電子申報處理系統(tǒng)、證書申請?zhí)幚?審核系統(tǒng)、征管系統(tǒng)以及各種數(shù)據(jù)庫系統(tǒng)等，是稅務(wù)系統(tǒng)的重要業(yè)務(wù)網(wǎng)絡(luò)，需要進(jìn)行高安全的防范，屬于核心保密級網(wǎng)絡(luò)，要求其必須與稅務(wù)外網(wǎng)實行物理隔離，但該網(wǎng)還需要與各業(yè)務(wù)專網(wǎng)相連，例如商業(yè)銀行專網(wǎng)，通過“銀稅聯(lián)網(wǎng)”，方便納稅人直接通過銀行處理稅務(wù)相關(guān)業(yè)務(wù);而稅務(wù)外網(wǎng)運(yùn)行多個稅務(wù)外部業(yè)務(wù)，屬于普通保密級網(wǎng)絡(luò)，并通過互聯(lián)網(wǎng)提供網(wǎng)上報稅、便民服務(wù)，該網(wǎng)絡(luò)是稅務(wù)業(yè)務(wù)系統(tǒng)的外延，是對外服務(wù)的窗口，包括電子申報受理系統(tǒng)、證書申請WEB服務(wù)器，四小票接受系統(tǒng)等等。

　　根據(jù)中共中央辦公廳在[2002]17號文件的規(guī)定，這兩個網(wǎng)絡(luò)之間需要物理隔離。但由于稅務(wù)局業(yè)務(wù)需要，在保持稅務(wù)內(nèi)外網(wǎng)絡(luò)物理隔離的同時，應(yīng)能夠在這兩個不同安全等級的網(wǎng)絡(luò)之間進(jìn)行實時的、適度的、可控的數(shù)據(jù)交換和應(yīng)用服務(wù)。具體來說，數(shù)據(jù)信息交換需要發(fā)生在：稅務(wù)內(nèi)網(wǎng)與稅務(wù)外網(wǎng)之間，交換的應(yīng)用服務(wù)主要包含：網(wǎng)上報稅系統(tǒng)、網(wǎng)上稅票認(rèn)證系統(tǒng)、證書系統(tǒng)等;在內(nèi)外網(wǎng)間進(jìn)行交換的數(shù)據(jù)主要包括：文件交換、數(shù)據(jù)庫的數(shù)據(jù)交換等。納稅人通過Internet訪問稅務(wù)部門的網(wǎng)上報稅系統(tǒng)，正確填寫電子申報表后，提交申報數(shù)據(jù)至稅務(wù)部門服務(wù)器，稅務(wù)部門的WWW服務(wù)器對這些數(shù)據(jù)進(jìn)行處理、儲存，并將處理結(jié)果反饋給納稅人的一種電子申報方式。此種方式減少了納稅戶往返于稅務(wù)部門、銀行的煩惱，也極大的減輕了稅務(wù)部門的工作量。

　　安全風(fēng)險分析

　　但由于網(wǎng)上報稅是基于Internet的，在網(wǎng)上報稅應(yīng)用中不可避免地存在著由Internet的自由、開放所帶來的信息安全隱患。目前，在網(wǎng)上報稅系統(tǒng)應(yīng)用中，采用了建立在SSL網(wǎng)絡(luò)安全協(xié)議下的公私鑰電子簽名和認(rèn)證技術(shù)，以使在Internet 傳輸數(shù)據(jù)的安全性得到了保證，但是對與稅務(wù)外網(wǎng)客戶受理端(WWW服務(wù)器)進(jìn)行數(shù)據(jù)交互的稅務(wù)內(nèi)網(wǎng)處理端(數(shù)據(jù)處理服務(wù)器、數(shù)據(jù)庫服務(wù)器)保護(hù)仍顯不足。在這種情況下，Internet上的黑客很容易利用已存在的漏洞、攻擊稅務(wù)系統(tǒng)內(nèi)網(wǎng)的服務(wù)器。為了徹底解決其網(wǎng)上報稅系統(tǒng)的安全性，確保其內(nèi)網(wǎng)敏感信息不被泄漏、刪除及篡改，實現(xiàn)雙網(wǎng)間網(wǎng)絡(luò)的物理隔離還要保證在邏輯上兩個網(wǎng)絡(luò)能夠互連互通，在實際應(yīng)用中此稅務(wù)局最終采用由浪潮信息安全事業(yè)部提供的稅務(wù)安全整體解決方案,在最大程度上杜絕Internet帶來的安全風(fēng)險。

　　安全整體解決方案

　　通過對此稅務(wù)局網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)和網(wǎng)上報稅系統(tǒng)的分析，浪潮信息安全事業(yè)部為此稅務(wù)局量身定制了高可用性安全解決方案。在項目的實施中采用了浪潮信息安全事業(yè)部自主研發(fā)的國內(nèi)領(lǐng)先的安全隔離產(chǎn)品--浪潮網(wǎng)泰安全隔離網(wǎng)閘，網(wǎng)閘可說是目前所有安全產(chǎn)品中安全性最高的產(chǎn)品，其作為安全整體解決方案的核心產(chǎn)品，在內(nèi)端機(jī)與外端機(jī)之間設(shè)有安全隔離卡，在實現(xiàn)內(nèi)外網(wǎng)安全隔離同時，提供應(yīng)用層數(shù)據(jù)過濾和傳輸?shù)墓δ?，支持HTTP、FTP、SMTP、POP和LDAP等多種協(xié)議;還可以對SQLServer，Oracle以及其它支持ODBC驅(qū)動的數(shù)據(jù)庫進(jìn)行訪問;在高安全性和保密性的保障下，系統(tǒng)可自如運(yùn)行網(wǎng)頁瀏覽、文件傳輸、收發(fā)電子郵件、目錄訪問和數(shù)據(jù)庫訪問等看似簡單但原本無法實現(xiàn)的功能，內(nèi)嵌密級標(biāo)識檢查系統(tǒng)和內(nèi)容審查系統(tǒng)，可以對郵件的內(nèi)容和附件作內(nèi)容檢查，對郵件附件做密級標(biāo)識檢查;能對數(shù)據(jù)的單向傳輸進(jìn)行控制;提供“用戶-時間”驅(qū)動的用戶授權(quán)機(jī)制;通過管理平臺支持日志維護(hù)功能;同時提供API接口，可供用戶自己添加需要的協(xié)議。可達(dá)80Mbps吞吐率絕不會對網(wǎng)絡(luò)的運(yùn)行形成瓶頸。

　　基本原理：

　　切斷網(wǎng)絡(luò)之間的通用協(xié)議連接，將數(shù)據(jù)包進(jìn)行分解或重組為靜態(tài)數(shù)據(jù)，然后對靜態(tài)數(shù)據(jù)進(jìn)行安全審查，包括網(wǎng)絡(luò)協(xié)議檢查和代碼掃描等，確認(rèn)后的安全數(shù)據(jù)流入內(nèi)部單元，內(nèi)部用戶通過嚴(yán)格的身份認(rèn)證機(jī)制獲取所需數(shù)據(jù)。

　　浪潮網(wǎng)泰安全隔離網(wǎng)閘的體系結(jié)構(gòu)

　　核心設(shè)計思想： --最大程度規(guī)避泄密風(fēng)險

　　保證內(nèi)外網(wǎng)物理斷開;

　　所有信息以純文本方式交換，并對其內(nèi)容進(jìn)行審查;

　　通過秘級標(biāo)識管理、過濾向外傳送的文件。

　　浪潮為此稅務(wù)局搭建的安全整體解決方案如下圖所示，稅務(wù)外網(wǎng)的服務(wù)器要與稅務(wù)內(nèi)網(wǎng)的服務(wù)器進(jìn)行數(shù)據(jù)交換必須通過該安全隔離系統(tǒng)，除了此通道沒有其他邏輯通道存在，這就保證了稅務(wù)外網(wǎng)與稅務(wù)內(nèi)網(wǎng)物理隔離的要求。

　　浪潮網(wǎng)泰安全隔離與信息交換系統(tǒng)在此稅務(wù)網(wǎng)絡(luò)建設(shè)中的示意圖

　　更為難能可貴的是此方案除了將安全隔離網(wǎng)閘作為整個安全架構(gòu)核心，還綜合考慮了多種因素，創(chuàng)新的將防火墻、防殺毒、入侵檢測、內(nèi)容檢查、數(shù)字認(rèn)證、身份認(rèn)證安全管理等產(chǎn)品和技術(shù)進(jìn)行了全面整合，對核心層需要高保密性的數(shù)據(jù)進(jìn)行了整體防護(hù)，確保了數(shù)據(jù)的真正安全。

　　解決方案實現(xiàn)的安全效果

　　該方案充分體現(xiàn)了國家關(guān)于涉密網(wǎng)絡(luò)的“安全隔離，有限連通”政策要求，以主動進(jìn)行風(fēng)險評估為基礎(chǔ)的方式對網(wǎng)絡(luò)進(jìn)行安全管理，實現(xiàn)了此稅務(wù)局的稅務(wù)內(nèi)外網(wǎng)的安全隔離與防護(hù)，避免來自外網(wǎng)的非法攻擊和訪問，滿足了此稅務(wù)局網(wǎng)上稅務(wù)系統(tǒng)對安全的需要。

　　另外在進(jìn)行信息安全建設(shè)規(guī)劃時，考慮到稅務(wù)的高安全性問題，此稅務(wù)局的信息化建設(shè)全部采用以浪潮為代表的國產(chǎn)品牌軟硬件來搭建，一方面解決了系統(tǒng)的安全隱患，符合國家對電子政務(wù)建設(shè)的總體要求，另一方面節(jié)約了建設(shè)費(fèi)用，以最小的資金投入，獲取了最大的利益回報。

　　此稅務(wù)局通過一系列的信息化改造，現(xiàn)已可以為納稅人提供網(wǎng)上報稅、政策咨詢、法規(guī)查詢、辦稅指南、舉報投訴等便利的服務(wù)，正是由于稅務(wù)信息化建設(shè)和技術(shù)創(chuàng)新帶動，優(yōu)化了業(yè)務(wù)流程，消減了管理層次，增強(qiáng)了業(yè)務(wù)彈性和適應(yīng)性，稅收管理各項工作的質(zhì)量和效率都得到了顯著的提高，信息化建設(shè)使稅收工作不斷地走向科學(xué)化、規(guī)范化、數(shù)字化，不僅保證了稅收職能的充分發(fā)揮，而且全面提高了行政效率、降低了管理成本。目前此稅務(wù)局“多元申報、集中征收、分類管理、一級稽查”的征管新格局正在形成，浪潮的整體信息安全解決方案幫助其稅務(wù)現(xiàn)代化實現(xiàn)一個新的跨越。