TopRules网闸

天融信TopRules网闸软件是一款面向网络边界安全隔离与数据可控交换需求的专业级安全产品，核心功能是在不同安全域之间建立安全隔离屏障的同时，实现合规、可控的数据交换。其设计遵循“安全隔离优先、数据交换可控”的原则，通过硬件级或软件增强的隔离机制，阻断网络层直接连接，仅允许经过严格安全检查的数据在指定通道内交换，适用于政府、金融、能源、医疗等对网络边界安全要求极高的行业场景。

一、核心定位与整体架构

TopRules网闸的核心定位是“网络边界的安全隔离网关”，区别于传统防火墙的逻辑隔离，其采用“2+1”物理/准物理隔离架构，确保不同安全域之间无实时网络连接，从根本上阻断网络攻击渗透路径。同时，通过可控的数据交换机制，满足业务系统之间的合规数据共享需求，实现“隔离不阻断、交换可管控”的平衡。

TopRules网闸的整体架构由三部分组成：

• 内网处理主机：负责接入内网安全域的数据源，完成数据的接收、预处理、安全检查（如身份认证、协议解析），并将符合要求的数据提交给隔离交换单元。
• 外网处理主机：负责接入外网安全域的数据源，功能与内网处理主机对称，接收隔离交换单元传递的数据，完成协议重建与安全验证后，转发至外网目标系统。
• 隔离交换单元：网闸的核心组件，实现内网与外网处理主机之间的物理/准物理隔离。硬件版采用天融信自主研发的TS-ISU专用隔离芯片，通过电气隔离阻断TCP/IP协议栈的直接通信；软件版采用内存隔离、进程沙箱、数据摆渡等多重机制，确保两侧主机无共享资源。隔离交换单元采用“存储-转发”模式，仅传递经过验证的原始数据载荷，无实时连接。

架构的核心优势在于：隔离交换单元作为数据交换的唯一通道，实现了“网络层断开、应用层连通”的效果，既保证了安全隔离的强度，又满足了业务数据交换的需求。

二、核心功能模块详解

1. 安全隔离机制

• 物理级隔离（硬件版）：通过TS-ISU隔离芯片实现内网与外网处理主机的电气隔离，芯片内部采用非网络式的数据摆渡通道（如FIFO队列），仅允许数据块单向或双向传递，无任何网络协议栈的交互。芯片支持硬件级加密，确保数据在摆渡过程中不被篡改或窃取。
• 软件增强隔离（软件版）：采用内存地址空间隔离技术，内网与外网处理主机的进程运行在独立的内存空间，无共享内存区域；采用进程沙箱机制，限制进程的系统调用权限，防止恶意代码逃逸；采用协议剥离与重建技术，对传入的数据进行协议解析，剥离TCP/UDP/IP等网络协议头，仅保留应用层数据载荷，经过安全检查后，在另一侧重新封装协议头，确保恶意协议无法穿透隔离。
• 单向隔离模式：支持单向数据交换（如从内网到外网，或从外网到内网），单向模式下隔离交换单元仅允许数据单向传递，彻底阻断反向数据流动，适用于涉密网向非涉密网发布信息等场景。

2. 数据交换功能

• 多协议支持：覆盖主流应用协议，包括FTP、SFTP、HTTP、HTTPS、SMTP、POP3、IMAP、数据库协议（Oracle、MySQL、SQL Server、PostgreSQL、达梦DM8、人大金仓KingbaseES、南大通用GBase）、文件共享协议（SMB/CIFS）、消息队列协议（RabbitMQ、Kafka）等，满足不同业务系统的数据交换需求。
• 数据类型覆盖：支持结构化数据（数据库表、CSV、JSON、XML）、非结构化数据（文档、图片、音视频、压缩包、二进制文件）、半结构化数据（日志文件、配置文件）的交换，支持大文件（最大TB级）与小文件的混合交换。
• 交换模式多样化：
  • 同步交换：实时接收数据并立即处理转发，延迟低至毫秒级，适用于数据库增量同步、实时消息传递等场景；
  • 异步交换：数据先存储在网闸的缓存区，经过完整的安全检查后批量转发，支持断点续传与大文件分片，适用于非实时性的大规模数据交换；
  • 定时交换：按预设时间周期（如每天凌晨2点、每周日10点）自动执行交换任务，支持 cron 表达式配置，减少人工干预；
  • 触发式交换：基于外部事件触发交换（如文件新增、数据库记录变更），适用于需要即时响应的业务场景。
• 数据库交换增强：
  • 全量/增量同步：支持数据库全量数据初始化同步，增量同步基于日志解析（Oracle Redo Log、MySQL Binlog、SQL Server事务日志）或时间戳/主键字段，确保数据一致性；
  • 字段级过滤：仅同步指定数据库表的特定字段，隐藏敏感字段（如身份证号、银行卡号）；
  • 冲突处理：提供覆盖、忽略、告警、人工干预四种冲突处理策略，应对目标数据库中存在重复记录的场景；
  • 数据一致性校验：支持MD5/SHA-256哈希校验，确保同步后的数据与源数据一致。
• 文件交换增强：
  • 断点续传：网络中断后恢复文件传输，无需重新上传/下载；
  • 大文件分片：将TB级大文件拆分为小分片传输，降低传输失败风险；
  • 文件属性保留：保留文件的创建时间、修改时间、权限等属性；
  • 文件格式校验：验证文件的真实格式（如检测后缀为.jpg的文件是否为真实图片），防止恶意文件绕过检查。

3. 安全控制功能

• 身份认证：支持本地密码认证、USB Key（PKI）认证、数字证书（X.509）认证、LDAP/AD域认证、Radius认证等多种方式，确保只有授权用户才能操作网闸或发起交换任务。认证失败次数超过阈值时，自动锁定用户账户。
• 细粒度访问控制：基于源IP、目标IP、协议类型、端口、用户角色、交换任务类型等维度配置访问控制策略。例如，限制仅允许192.168.1.0/24网段的主机发起数据库交换任务，或限制管理员角色才能修改安全策略。
• 内容深度检测：
  • 病毒与恶意代码检测：集成天融信TSAV自主杀毒引擎，支持实时病毒扫描，病毒库每日自动更新，覆盖常见病毒、木马、蠕虫、 ransomware 等恶意程序；
  • 敏感内容检测：支持关键词、正则表达式、指纹库、语义分析四种检测模式，可检测文本、文档、数据库字段中的敏感信息（如身份证号、银行卡号、手机号、涉密词汇、个人隐私信息）。用户可自定义敏感词库，支持分级管理（一级敏感词直接阻断，二级敏感词触发告警）；
  • 恶意代码检测：对可执行文件（.exe、.dll、.sh）进行静态特征分析与动态沙箱检测，识别隐藏的恶意代码；
  • 合规性检测：支持检测数据是否符合行业合规标准（如GDPR、HIPAA、等保2.0），例如医疗数据中的患者隐私信息是否脱敏。
• 数据加密保护：
  • 传输加密：采用SSL/TLS 1.2/1.3协议对数据传输通道进行加密，支持国密算法（SM2、SM3、SM4）；
  • 存储加密：对网闸缓存区中的数据采用AES-256或SM4算法加密存储，防止数据泄露；
  • 密钥管理：支持密钥生成、存储、轮换、销毁的全生命周期管理，密钥存储在安全芯片中，防止密钥被盗取。
• 审计与日志：
  • 操作日志：记录用户登录、配置变更、任务执行等操作的详细信息，包括操作时间、操作人、源IP、操作内容、结果；
  • 安全日志：记录病毒检测、敏感内容触发、恶意代码检测、非法访问尝试等安全事件；
  • 交换日志：记录交换任务的执行情况，包括源系统、目标系统、数据类型、数据量、交换时间、结果；
  • 日志管理：支持日志导出（CSV、PDF、Syslog）、日志检索、日志归档，日志保存时间可配置（最长730天），支持与第三方SIEM系统（如天融信SOC）对接。

4. 运维管理功能

• 可视化管理界面：提供Web-based中文图形化界面，支持 Dashboard 展示网闸运行状态、交换任务统计、安全事件趋势等关键指标，界面操作简洁直观，降低运维门槛。
• 实时监控：
  • 系统监控：监控CPU使用率、内存使用率、磁盘使用率、系统负载、进程状态等；
  • 网络监控：监控接口带宽利用率、数据包转发速率、错误包率、丢包率；
  • 交换监控：监控交换任务数量、成功/失败任务占比、交换数据量、交换延迟；
  • 安全监控：监控病毒检测数量、敏感内容触发数量、恶意代码检测数量、非法访问次数。
• 告警管理：支持邮件、短信、SNMP Trap、Syslog、钉钉/企业微信机器人等告警方式，可配置告警级别（紧急、重要、普通），针对不同级别事件发送给不同责任人。例如，紧急告警（如硬件故障）发送给运维主管，普通告警（如任务执行成功）发送给运维专员。
• 配置管理：
  • 配置备份与恢复：支持手动/自动备份配置文件，备份文件加密存储，可随时恢复到指定版本；
  • 配置版本管理：记录配置变更历史，显示变更人、变更时间、变更内容，支持回滚到历史版本；
  • 批量配置：支持导入导出配置模板，实现多台网闸的批量配置，提高运维效率。
• 高可用性：
  • 双机热备：支持主备模式，主设备故障时自动切换到备设备，切换时间小于1秒，配置自动同步；
  • 集群部署：支持多台网闸组成集群，实现负载均衡与故障冗余，满足大规模数据交换需求；
  • 故障自愈：对常见故障（如进程崩溃、网络中断）自动尝试恢复，恢复失败时触发告警。
• 远程管理：支持通过HTTPS/SSH加密通道进行远程管理，限制远程管理的IP地址范围，支持双因素认证，确保管理通道安全。

5. 国产化适配功能

• 操作系统适配：全面支持国产操作系统，包括麒麟操作系统（Kylin OS）V10、统信UOS V20、深度操作系统（Deepin）20、红旗Linux V10等。
• 芯片架构适配：支持龙芯3A5000/3B5000、飞腾FT-2000+/64、鲲鹏920、兆芯开先KX-6000、海光CPU等国产芯片架构，实现全栈国产化支持。
• 国产数据库适配：与达梦DM8、人大金仓KingbaseES V8、南大通用GBase 8s/8a、神舟通用OSCAR、阿里云 PolarDB 等国产数据库深度兼容，支持数据库全量/增量同步。
• 国产中间件适配：支持东方通TongWeb、金蝶Apusic、中创中间件InforSuite、普元EOS等国产中间件，实现业务系统的无缝集成。
• 国密算法支持：全面支持SM2（签名/加密）、SM3（哈希）、SM4（对称加密）等国密算法，满足等保2.0与信创场景的合规要求。

三、技术特点与优势

• 极致安全隔离：采用“2+1”架构与协议剥离重建技术，实现真正的物理/准物理隔离，有效阻断APT攻击、 ransomware 渗透、SQL注入等网络威胁，安全等级达到国家三级以上。
• 高性能数据交换：硬件版支持10Gbps以上的交换吞吐量，软件版支持1Gbps以上吞吐量，采用多线程并发处理、数据缓存优化、零拷贝技术，降低交换延迟，满足大规模数据交换需求。
• 全场景适配能力：覆盖主流协议与数据类型，支持国产化全栈适配，适用于政府、金融、能源、医疗等多行业场景，满足不同业务系统的数据交换需求。
• 高可靠性与可用性：双机热备、集群部署、故障自愈等机制确保业务连续性，核心组件冗余设计，平均无故障时间（MTBF）超过10万小时。
• 易用性与可管理性：图形化界面、向导式配置、可视化监控降低运维门槛，日志审计与告警系统便于问题追溯与处理，批量配置支持大规模部署。
• 合规性保障：符合GB/T 22239《信息安全技术 网络安全等级保护基本要求》、GB/T 31167《信息安全技术 网闸产品安全技术要求》、GB/T 18336《信息技术 安全技术 信息技术安全性评估准则》等国家与行业标准，满足等保2.0、分保、信创等合规需求。

四、典型应用场景

• 政府跨网数据交换场景：政府部门通常分为涉密网、政务内网、政务外网三个安全域，TopRules网闸实现不同域之间的安全数据交换。例如，政务内网的公文系统需要向政务外网发布公开信息，通过网闸的敏感内容检测与单向隔离模式，确保发布信息无涉密内容，同时阻断外网对政务内网的攻击。
• 金融核心系统隔离场景：银行核心账务系统与网银系统分属不同安全域，TopRules网闸实现两者之间的可控数据交换。例如，网银系统需要查询核心系统的账户余额，通过网闸的数据库增量同步与身份认证，确保查询请求合法，同时防止核心系统被外网攻击。
• 能源工控网与管理网隔离场景：电厂SCADA系统（工控网）与企业管理网隔离，TopRules网闸实现运行数据的安全交换。例如，管理网需要获取SCADA系统的设备运行数据进行分析，通过网闸的协议过滤与恶意代码检测，确保交换数据无恶意指令，同时阻断管理网对工控网的非法控制。
• 医疗数据共享场景：医院电子病历系统与区域医疗平台隔离，TopRules网闸实现病历数据的安全共享。例如，医院向区域医疗平台上传患者病历，通过网闸的敏感内容脱敏（隐藏患者身份证号、手机号）与数据加密，确保患者隐私安全，同时满足医疗数据共享的合规要求。
• 企业内网与外网隔离场景：企业内部OA系统与外网隔离，TopRules网闸实现邮件、文件的可控交换。例如，员工从内网向外网发送邮件，通过网闸的病毒扫描与敏感内容检测，防止病毒扩散与敏感信息泄露；员工从外网向内网上传文件，通过网闸的恶意代码检测，确保内网安全。

五、总结

天融信TopRules网闸软件凭借“安全隔离+可控交换”的核心设计，结合丰富的功能模块、极致的安全性能、全场景适配能力，成为网络边界安全防护的核心产品。其自主研发的隔离技术、国产化适配能力、高可靠性保障，满足了政府、金融、能源等行业对网络边界安全的严格要求，为用户构建了稳定、安全、高效的网络边界防护体系。无论是涉密网与非涉密网的隔离，还是核心系统与外网的防护，TopRules网闸都能提供专业的解决方案，助力用户实现业务安全与效率的平衡。

点击链接，了解更多产品详情：

登录后查看

http://www.topsec.com.cn/product/28.html" rel="noopener noreferrer" target="_blank" style="color: rgb(230, 0, 0, null, null, null, null, null, 9, null, 0, 0, null, 0, null, 0, null, 0, 0, null, 0);">http://www.topsec.com.cn/product/28.html