|
6月4日,美國國防信息系統(tǒng)局(DISA)發(fā)布《基于云的互聯(lián)網(wǎng)隔離方案》信息征詢書(RFI),希望工業(yè)部門協(xié)助開發(fā)一種互聯(lián)網(wǎng)隔離方案,將國防部用戶的互聯(lián)網(wǎng)上網(wǎng)行為與國防部網(wǎng)絡(luò)相隔離,以保障國防部網(wǎng)絡(luò)的安全。
事件背景
“互聯(lián)網(wǎng)隔離”技術(shù)頗受企業(yè)的歡迎,因?yàn)椴扇∵@種方式后,用戶從內(nèi)部工作機(jī)瀏覽外部互聯(lián)網(wǎng)時將被“隔離”,不必?fù)?dān)心黑客的入侵。過去,這種隔離是通過虛擬化方式來實(shí)現(xiàn)的。但虛擬化成本過高,并且不能很好地進(jìn)行擴(kuò)展。目前,供應(yīng)商正在探索新的架構(gòu)來隔離網(wǎng)絡(luò)瀏覽活動。技術(shù)研究公司Gartner將瀏覽器隔離列為2017年11大安全技術(shù)之一。2017年,Symantec公司收購了一家名為FireGlass的以色列初創(chuàng)公司,以增強(qiáng)其在瀏覽器隔離上的技術(shù)實(shí)力。
主要內(nèi)容
DISA尋求基于云的互聯(lián)網(wǎng)隔離能力,以支持該局的終端安全解決方案;谄髽I(yè)云的互聯(lián)網(wǎng)隔離可以防御針對國防部網(wǎng)絡(luò)和終端客戶的攻擊。這項服務(wù)可以將網(wǎng)絡(luò)瀏覽活動從終端用戶的桌面重定向到國防部信息網(wǎng)絡(luò)(DoDIN)以外的遠(yuǎn)程服務(wù)器。 
技術(shù)要求
方案必須能夠滿足以下能力和功能要求:
1.方案在必要時可利用多個地理位置,可包括:華納羅賓斯(喬治亞州)、哥倫布(俄亥俄州)、圣安東尼奧(德克薩斯州)、北島(加利福尼亞州)、五角大樓(華盛頓特區(qū))、漢普頓路(弗吉尼亞州)、橫田(日本)、拉姆施坦因(德國)、斯圖加特(德國)和希凱姆(夏威夷)。
2.方案須兼容聯(lián)邦信息處理標(biāo)準(zhǔn)(FIPS)140-2加密模塊,支持國防部公鑰基礎(chǔ)設(shè)施(PKI)認(rèn)證,兼容國防部批準(zhǔn)的所有瀏覽器,并使用國防部提供的用戶配置文件的目錄服務(wù)。系統(tǒng)可位于FedRamp II級認(rèn)證數(shù)據(jù)中心。供應(yīng)商可提供主機(jī)和構(gòu)建“軟件即服務(wù)”(SaaS),并負(fù)責(zé)系統(tǒng)設(shè)置、服務(wù)器維護(hù)、中間件和操作系統(tǒng)支持以及托管/維護(hù)等。
3.基于企業(yè)云的互聯(lián)網(wǎng)隔離能力由以下幾個方面組成:
1)將瀏覽器中用戶互聯(lián)網(wǎng)活動的全部或可配置部分發(fā)送至國防部信息網(wǎng)絡(luò)(DoDIN)以外的、基于云的供應(yīng)商解決方案
2)安全存儲和傳輸數(shù)據(jù),在此過程中藥確保數(shù)據(jù)的機(jī)密性、完整性、可用性及來源真實(shí)性。
3)在主機(jī)處包含一種內(nèi)容控制軟件
4)可記錄所有的Web請求,可將Web請求與特定用戶綁定(從身份驗(yàn)證至?xí)捊Y(jié)束)
5)可允許不同的組為每個客戶端設(shè)置網(wǎng)絡(luò)使用閾值。如果超過帶寬閾值,則向指定的電子郵件地址自動發(fā)送電子郵件
6)支持瀏覽器活動的不可否認(rèn)性(Non-repudiation)。不可否認(rèn)性是指在網(wǎng)絡(luò)環(huán)境中,信息交換的雙方不能否認(rèn)其在交換過程中發(fā)送信息或接收信息的行為。
7)可配置用戶會話的“非活動超時”。
8)支持使用安全套接字層(SSL)3.0和傳輸層安全性(TLS)1.0-1.3的網(wǎng)站連接
9)滿足多項性能標(biāo)準(zhǔn),比如能夠近實(shí)時地提供信息,將打開客戶端到瀏覽會話開始的時間控制在5秒之內(nèi)等。 |