數據通道控制技術與安全隔離

2019-11-03 09:02:57

字體：大中小

來源：轉載

供稿：網友

郭偉（國保金泰）
　　一、當前政務建設及安全隔離背景

　　電子政務是指政府機構利用信息化手段，實現各類政府職能。其核心是：運用信息通信系統輔助政府的管理與服務工作。其目的是：辦公信息化、政務公開化、管理一體化、決策科學化。

　　我國的電子政務起步于20世紀80年代末期，各級政府機關開展了辦公自動化工程，建立了各種縱向及橫向地內部信息辦公網絡。從二十世紀九十年代開始，通過重點建設金稅、金關、金卡等重點信息系統，我國電子政務發展取得了長足的進步，1999年，40多個部委（辦、局）的信息主管部門共同倡議發起了"政府上網工程"，開始系統推進電子政務的發展，2002年7月3日，國家信息化領導小組審議通過《中國電子政務建設指導意見》，提出了"十五"期間我國電子政務建設的目標是：初步建成標準統一、功能完善、安全可靠的政務信息網絡平臺；重點業務系統建設，基礎性、戰略性政務信息庫建設取得實質性成效，信息資源共享程度有較大提高；初步形成電子政務安全保障體系，人員培訓工作得到加強，與電子政務相關法規和標準的制定取得重要進展。這標志著中國電子政務建設進入了一個全面規劃、整體發展的新階段。

　　電子政務建設離不開網絡建設，但隨著越來越多的應用系統加入到電子政務網絡中，隨著越來越多的地方網絡開始互連互通，相應的安全風險隨之而來。如說一個政府門戶被黑客攻陷可以使政務工作暫時停止進而影響政府工作效率和國家形象是一個很大的損失，那么如果安全保密技術不過關而將諸如黨政核心機關、軍隊等的涉密信息帶給敵國的話對我國的危害就有可能是毀滅性的。所以國家在電子政務內網，包括涉密網的互連上始終保持謹慎態度。

　　防火墻、防病毒、漏洞掃描和系統風險評估、以至入侵檢測，這些技術都可以在一定程度上提供安全防護，但目前所有的安全手段，無論使用一種還是將所有方法綜合使用，都無法做到對網絡及信息資源的完美保護。原因很明顯：任何人對他們所了解網絡的認知程度都是有限的，包括網絡中的缺陷以及可能利用這些缺陷的攻擊手段，這個前提導致的結果就是我們的網絡管理人員不斷的通過已發布的補丁來像補漏洞一樣升級我們的系統。網絡管理人員清楚網絡永遠存在問題，所以他們總是申請更多的資金用以保護網絡；但同樣重要的是黑客也清楚這個問題，所以我們經常會從新聞上看到這樣的標題："某網絡遭受到黑客的集體攻擊"，而這些網絡包括銀行網、電子商務網、教育網、甚至政府網。

　　如何保護我們的網絡遭受到越來越多的未知攻擊，又可以提高系統的保密強度減少信息泄露，同時還可以讓我們的網絡交換更多更安全的信息？也許通過目前最熱門的安全隔離技術進行臨界資源保護正好可以解決這一問題。

　　二、隔離技術的必要性

　　 Enterasys公司網絡安全設計師Dick Bussiere認為：在電腦網絡犯罪手段與網絡安全防御技術道高一尺魔高一丈不斷升級的形勢下，網絡攻擊者和防御者都失去了技術方面的屏障，單依靠網絡安全技術不可能非常有效。

　　有統計數據表明，將近一半的防火墻被攻破過。而且，更多更新的攻擊手段還會層出不窮。因此，機密數據的安全不能完全依賴于各種安全技術的保護，這就是隔離技術發揮作用的時候了。

　　安全隔離可以說是網絡安全的最后一道防線。既然網絡已經不能直接或間接地連通了，那么也就不可能通過網絡泄密或者是染毒、受到攻擊。從網絡的7層結構來看，物理層的隔離是最徹底的。北京國保金泰信息安全技術有限公司表示："安全隔離是結合通道控制、內容檢查、協議轉換等機制的軟硬結合的全新安全產品，安全隔離產品的保密性和安全強度均高于傳統安全手段。如果我們希望在安全保密的前提下進行數據通信，那么安全隔離將成為一個終極解決方案。"

　　國家有關部門近年來對隔離技術可謂空前重視，中保委、中辦、國家保密局等機構已經下達相關文件闡述了隔離的重要性，中辦27號文也把安全隔離技術列為信息安全重點發展方向，科技部也通過863計劃對安全隔離技術的開發進行支持。

　　三、主要的隔離技術

　　既然有相關條例要求內外網間隔離，市場上自然會出現相應的解決辦法。最簡單、最干脆的辦法自然是徹頭徹尾地采用兩套系統：包括兩套布線、兩套網絡設備以及兩套終端，布線還要加一些屏蔽手段來防電磁輻射。節省一點的辦法是搞雙網機。安全專家曲成義研究員指出："雙網機目前有十幾家已被國家審定過，它有雙盤型的，也有單盤型雙驅型的。它確實是物理隔離并經過嚴格檢測出來的。雖然它用的是一個殼，但是里面有兩套操作系統，有的是兩個硬盤；有的是單硬盤，單硬盤是邏輯分區，但是分區是物理隔絕，這些都是很嚴格審查過的"。雙網機的實現方法包括加裝隔離卡、設置BIOS等等。目前最先進的解決辦法是通過安全隔離與信息交換系統進行網關處的鏈路、信息隔離。

　　在網上隨便搜索一下，便能找到若干種隔離技術的解決方案。典型的例如：

　　1.電腦采用兩個獨立硬盤分別對應于內部網和公共網，它們分別擁有各自的操作系統，分別通過各自的專用接口與網絡連接，依靠繼電器來控制分區間的轉換和網絡連接，從而保證內網與外網的隔離；

　　2.使用 PC網絡安全隔離卡，當計算機進入內網或外網中的一個時，物理隔離部件保證被隔離的硬盤或硬盤分區以及相應網絡彼此不連通，在計算機與內網相連時，可以選用物理隔離部件，禁止用戶使用軟驅和光驅，計算機在內網與外網之間轉換時，必須重新啟動，這樣連內存也都不能被重用，因此不會發生殘留信息泄密的問題；

　　3.把安全隔離開關安裝在內外網之間，通過固有硬件控制，智能切換實現內網與外網的隔離。當該軟件進行信息采集時，應與外網連接，與內網斷開；當進行信息傳遞時與內網連接，與外網斷開。采集的信息使用純文本文件格式；

　　4.基于網絡安全開關的基礎，在信道上進行控制，以增強信息交換的實時性和數據的保密性；結合隱通道分析等技術保證數據傳遞的安全性。

　　四、安全隔離技術概述3類產品

　　針對安全隔離，目前世界上主要有3類解決手段，Michael Bobbit對此做了一個概括：

　　 1．實時電子開關

　　實時電子開關是一個網關處的設備，如圖1所示，可以通過物理斷開的方式連接兩個網絡，并且在兩個網絡間做到了網絡協議終止，即只交換應用層數據。北京國保金泰信息安全技術有限公司所生產的安全隔離產品中，安全隔離與信息交換系統就屬于此類產品。此外，國保金泰公司還在安全隔離與信息交換系統中創造性的提出了通道控制和硬件映射隔離技術，進一步確保了系統的保密性。

圖 1

　　2．單向傳輸系統

　　單向傳輸系統是一個網關處的設備，如圖2所示，可以通過物理斷開的方式連接兩個網絡，并且在兩個網絡間做到了網絡協議終止，即只交換應用層數據。特別的是，單向傳輸系統可以對數據的方向進行控制，即可以通過硬件保證數據只從源網絡流向目的網絡而不存在反向數據通路，這樣做的好處是可以保證目的網絡的數據的保密性。北京國保金泰信息安全技術有限公司所生產的安全隔離產品中，安全隔離與信息單向傳輸系統就屬于此類產品。國保金泰安全隔離與信息單向傳輸產品也是目前國內唯一的單向傳輸系統，產品同樣基于通道控制技術，目前已經在國家核心部門使用。

圖 2

　　3．網絡開關

　　網絡開關也是一個網關處的設備，如圖3所示，不同于上述兩個產品，網絡開關在內外網間的信息傳輸并不基于通道控制而是基于存儲介質（通常是硬盤）的緩存。由于此類系統實時性較差，通常數據交換延時大于10秒，所以基本已經在政務網絡中淘汰。

圖 3

　　五、通道控制技術概述

　　所謂通道控制技術是指用硬件的手段將進數據通道和出數據通道分開，甚至在單向系統中只有進通道而沒有出通道。通道控制做到了進出信息的分開處理，結合有效的內容檢查引擎和特殊的協議棧，可以做到信息檢查的完備性，防止信息旁路，因此安全性和保密性也比傳統安全手段高出許多。

　　通道控制技術比傳統網閘產品的先進之處

　　傳統網閘技術，很少能直接進行協議交互，影響用戶使用，并且對信道不能進行完全控制，造成隱信息傳送的可能。此外基于網絡開關傳統網閘技術并不能提供高強度的、國家認可的涉密內容檢查機制。基于通道控制的隔離交換系統采用全新的硬件映射技術，能在瞬時內完成內外網的信息交互，可以在隔離的條件下提供很好的的實時交互性。而且安全隔離交換系統采用特有的通道模式，可以對信道進行完全控制，從根本上杜絕泄密的可能。在安全隔離交換系統，尤其是國保金泰安全隔離與信息交換系統上也集成了國家認可的涉密內容檢查機制。

　　信息檢查與審計同樣重要

　　僅通過硬件進行內外網間的安全隔離是不夠的，因為網絡建設的目的還是信息交換。所以在交換數據的過程中如何做到信息檢查，如何對已經發生的行為進行審計就顯得尤為重要。傳統的安全防護手段，如防火墻等，就無法做到信息內容檢查和內容審計，而先進的安全隔離交換系統都應具備內容檢查和審計功能，特別是國保金泰公司的安全隔離產品，還具備隱通道檢查和語義分析功能，使安全隔離產品具有更好的實用性和保密性。

　　所以，國家對基于通道控制技術的國保金泰安全隔離產品鑒定意見中指出：國保金泰安全隔離產品可以在保證系統保密性的前提下提高了系統的安全性，技術屬于領先水平。

　　六、采購安全隔離產品時候的注意事項

　　1．選擇相關資質齊全的安全隔離產品，如公安部資質、保密局資質等。

　　2．選擇在核心政務系統中已經成功應用并有可行性論證的安全隔離產品。

　　3．選擇內容檢查功能豐富、保密性強的安全隔離產品。

　　4．選擇實時性強、系統傳輸速率高的安全隔離產品。

　　5．選擇具有通道控制機制的安全隔離產品。

摘自賽迪網

上一篇：DDN網絡的應用及維護

下一篇：數據中心鬧“革命”（上）