以安全网闸技术实现计算机网络安全
以安全网闸技术实现计算机网络安全
作者：余　明　曲　江
来源：《科学与管理》2008年第03期
        摘要：文章从当前我国互联网络信息安全的严峻安全形势入手，概要地分析了当前应对的相关安全防护措施，最后着重讨论了利用安全隔离网闸的物理隔离技术实现涉密网络的信息安全，以及具体的实现物理隔离的配置方案。
        关键词：信息化　网络信息安全　物理隔离　安全网闸
        一、当前我国互联网络的安全形势
        我国信息化水平和信息产业建设尽管已取得了长足的进步，但另一方面，信息安全问题所引发的事件层出不穷，信息安全已成为信息产业所关注的核心问题之一。
        今年年初，金山软件公司发布了《2007年中国计算机病毒疫情及互联网安全报告》，内容显示：2007年，计算机病毒／木马仍处于一种高速“出新”的状态。2007年，金山毒霸共截获新病毒／木马283084个，较2006年相比增长了17.88％，病毒／木马增长速度仍处于大幅增长
状态，据金山毒霸全球反病毒监测中心统计数据，全国共有49，652，557台计算机感染病毒，与去年同期相比增长了18.15％，互联网用户遭受过病毒攻击的比例占到90.56％。广东、江苏、山东三省首当其冲。
        据不完全统计，我国60％以上的计算机受到过病毒感染，98％以上的网站遭遇过黑客攻击，在利益等相关因素驱使下，有组织、有目标、有计划的网络安全犯罪事件时有发生，经济案件尤为突出，黑客地下产业链以基本形成，直接威胁企业甚至国家安全。例如，2004年10月25日江苏省靖江市委员会政府网站、2004年10月24日湖南省通信管理局网站、2006年2月受到arp攻击25日湖南湘西自治州政府网站相继被黑，直接威胁到我国的信息安全。与此同时病毒的“工业化”入侵以及“流程化”攻击等特点越发明显，以熊猫烧香、灰鸽子、AV终结者为代表的恶性病毒频繁出现，广大用户对互联网安全问题的关注日益增强。
        二、针对目前严峻的安全形式所采取的措施
        目前，对于黑客和病毒的安全威胁主要来自互联网络，针对OSI／RM七层网络模型理论，网络威胁主要来自三个层次：
        针对物理层主要是电气攻击、线路侦听、线路破坏等，针对网络层主要是拒绝式服务攻击(DOS)、ARP地址欺骗，IP碎片攻击等等；而针对应用层主要是恶意代码，垃圾邮件、电子攻击等。
        正因为网络信息安全问题的严峻形势，已严重影响到了关系国家安全的层面，各个国家已采取相关措施来应对挑战。无论在法律上、技术上还是管理上都有不断的新策略、新技术出台。例如，我国已将信息安全列入国家重点基础研究发展规划项目，成为国家“十一五”计划，“863”计划和国家自然科学基金重点支持发展的领域。而针对攻击，目前的防范技术主要包括访问控制技术，安全网关技术，防火墙技术，安全路由技术，安全交换机技术，入侵检测技术，扫描与评估技术，病毒防治技术以及隔离技术等等。
        三、以物理隔离技术实现真正的网络信息安全
        尽管防护技术品种多样并且日趋成熟，但是攻击技术也是日新月异不断发展，从攻击自动化程度和攻击速度的提高、攻击工具越来越复杂、发现漏洞越来越快，到黑客病毒软件越来越高的防火墙渗透率，防护技术可以说是防不胜防，攻击从过去的单台主机到单台主机的攻击已经发展到数台主机利用多个平台或控制的多台“肉机”发动的“DDos分布式拒绝攻击”，
真是不可同日而语。反主动防御或穿透主动防卸的新技术将出现以及网络欺诈愈演愈烈的情况给信息安全防范带来了巨大的挑战。
        在这样的安全形势下，怎样保障网络信息安全的有效性呢?特别是政府部门、金融系统、科研机构、军队的内网、专网或者专有涉密信息系统的用户，怎样在充分享受网络带来的便利、享受网络共享优势的前提下，尽可能地把一些不允许访问的用户排除在外呢?或许目前最有效的方法只有一个：实现隔离。因此，隔离技术应运而生。
        隔离技术的实现有两种形式：逻辑隔离和物理隔离。
        根据公安部制定的《GA370－2001端设备隔离部件安全技术要求》的定义，物理隔离的含义是公共网络和专网在网络物理连线上是完全隔离的，且没有任何公用的存储信息。逻辑隔离的含义是公共网络和专网在物理上是有连线的，通过技术手段保证在逻辑上是隔离的。
        物理隔离是指线路、设备、存储之间的隔离。物理隔离部件的安全功能应保证被隔离的计算机资源不能被访问(至少应包括硬盘、软盘和光盘)，计算机数据不能被重用(至少应包括内存)。
        而针对这两种隔离方式产生了四种解决方案：设置软件、硬件防火墙，根据子网掩码或者交换机的VLAN技术划分子网，专门将敏感部门和关键用户划分到单独的子网或网段中；还可以采用网络隔离系统对这些敏感部门和关键用户进行网络隔离。
        但通过子网掩码的子网划分和VLAN网段划分的应用并不局限于网络安全领域，其安全性根本不能完全保证。对于防火墙技术，其自身还存在先天的缺陷：首先，防火墙依赖于计算机操作系统和网络通信协议，但二者自身就存在着漏洞，例如，黑客可以利用TCP／IP协议三次握手规则中的全连接、半连接缺陷发动对服务器主机的攻击；同时，防火情、内网和非军事区DMZ同时直接相连，这样在传输文件时，应用层程序文件中很有可能带有病毒和恶意代码，而防火墙无法检测；此外防火墙还有一些其他缺陷，比如其不能防范不通过防火墙的无线连接，不能享受所有网络服务，无法深度检测，以及受人为设置影响、防外不放内的缺点等等。
        就黑客来说，无论采用什么连网方式下的防护手段，他们追求的理念是：世界上任何信息都是免费的。那么最安全的手段只有一个了：实现物理隔离。就像Michael Bobbin(《计算机安全杂志》主编)所说的：“保证一个系统真正安全的途径只有一个：断开网络，这也许正
在成为一个真正的解决方案”。事实上，美国宇航局对付网络攻击所采取的方法就是拔掉网线。2000年1月1日，国家保密局发布实施《计算机信息、系统国际联网保密管理规定》明确要求“涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其它公共信息网络相连，必须实行物理隔离”。该规定在互联网发展初期具有前瞻性的提出政府上网必须“物理隔离”，及时的把政府网络安全提到一个重要的高度，具有重大意义。
        基于这样的需求，以安全隔离计算机、物理安全隔离卡、隔离集线器、交换机、物理安全隔离网闸为产品的物理隔离技术产生了，成为安全防护的生力军。
        这里介绍一下早期的利用物理安全隔离卡实现安全隔离的方法以及详细讨论目前比较直接并且效果也比较好的利用物理隔离网闸技术实现物理隔离的方法。
        四、以物理隔离卡技术实现物理隔离
        利用物理安全隔离卡实现安全隔离是起步较早的方案和技术之一。隔离卡是物理隔离的低级实现形式，一个隔离卡只能管一台个人计算机，甚至只能在Windows环境下工作，每次切换都需要开关机一次。隔离卡的功能即是以物理方式将一台PC虚拟为两台电脑，实现工作
站的双重状态，既可在安全状态，又可在公共状态，两个状态是完全隔离的，通过手动开关或者电气开关切换网络布线状态，使一台工作站可在完全安全状态下连接内、外网。
        通过隔离卡，PC机硬盘被物理分隔成为公共区和安全区两个区域，装有独立的操作系统和应用软件。在任何时候，数据只能通往一个分区。
        在安全状态时，主机只能使用硬盘的安全区与内部网连接，而此时外部网(如Internet)连接是断开的，且硬盘的公共区的通道是封闭的。在公共状态时，主机只能使用硬盘的公共区，可以与外部网连接，而此时与内部网是断开的，且硬盘安全区也是被封闭的。当两种状态转换时，需要通过操作系统切换，即进入一个热启动过程。切换时，系统通过硬件重启信号重新启动，这样PC内存中的所有数据被清除。两个状态分别有独立的操作系统并独立导入，而且两个硬盘分区不会同时激活。
        五、以物理隔离网闸技术实现物理隔离
        1、安全隔离网闸技术的产生
        安全隔离网闸技术“Air Gap”，最早出现在美国、以列等国家的军方中，用以解决涉密
网络与公共网络连接时的安全问题。我国第一台物理隔离网闸产品是由一位中国科学院院士从以列购买的。
        近年来，我国信息化建设迅猛发展，电子商务、电子政务应运而生。特别是电子政务，它与国家和个人的利益密切相关，在我国的电子政务系统建设中，外部网络连接着广大民众，内部网络连接着政府公务员桌面办公系统，专网连接着各级政府的信息系统，在外网、内网、专网之间交换信息是基本要求。如何在保证内网和专网资源安全的前提下，实现从民众到政府的网络畅通、资源共享是电子政务系统建设中必须解决的技术问题。而传统物理安全隔离卡技术虽然确保了网络的安全性，却因缺乏信息交换机制的局限性，对网络连通性的支持率较低，往往会形成流通不畅的“孤岛”，而限制了应用的发展。因此，隔离网闸技术成为物理隔离技术的发展趋势。
        2、安全隔离网闸技术的基本原理
        安全隔离网闸是一种带有多种控制的专用硬件，在电路上切断网络之间的链路及协议连接，并能够在网络间进行安全适度的应用数据交换的网络安全设备。
        由于物理隔离卡技术的切换开关频率一般通过外设时钟设定，网络开关速度低，网络传输性能受到制约，即使开关切换速率高，隔离卡也受到主机性能的影响。而安全隔离网闸采用CPU时钟作为开关，将开关功能在系统内核中实现。从而成功地达到物理隔离的最佳性能。
        该技术是使用带有多种控制功能的固态开关读写介质来连接两个独立主机系统的信息安全设备。由于在安全隔离网闸所连接的两个独立主机系统之间不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议“摆渡”，且对中间固态存储介质只有“读”和“写”两个命令，所以，安全隔离网闸从物理上阻断了具有潜在攻击可能的一切连接，使“黑客”无法入侵、无法攻击、无法破坏，实现了真正的安全保护。
        3、安全隔离网闸技术的组成与信息交换原理
        安全隔离网闸包括三个组成部分；内外网处理单元和专用隔离交换单元。内、外处理单元各拥有一个网络接口及相应的IP地址，分别对应连接内网(涉密网)和外网(互联网)，专有隔离交换单元受硬件电路控制，在任意瞬间仅连接内网处理单元或外网处理单元。安全隔离网
闸切断网络之间的TCP／IP连接，分解重组TCP／IP数据包，进行安全隔离审查，包括网络协议检查、入侵检测、病毒审查、恶意代码模式匹配和内容确认等等，在同一时刻只与一边的网络连接进行数据交换。

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。