中网物理隔离网闸在涉密网中的应用探讨.docVIP

中网物理隔离网闸在涉密网中的应用探讨 ??? 涉密网希望访问互联网信息，这种需求和呼声越来越高，但安全和保密方面的要求和挑战一直无法很好的解决。现在，利用中网物理隔离网闸（X-gap），可以实现涉密网和互联网的物理隔离，并且涉密网可以向互联网实时发起服务请求，但互联网无法访问涉密网。本文探讨物理隔离网闸在涉密网中的应用。一、概述　　传统的网络安全是通过限制边界来执行安全政策完成的。内网和外网，专网和公网，涉密网和非涉密网，互联网和内联网（Internet and Intranet），大体上反映了这样一种划分。这种二元逻辑划分，有时候过于简单，人们采用非战区（DMZ）或安全访问子网（SSN）的办法进行补充。通过限制边界，改善了网络的安全状况。　　意识到需要解决网络安全问题，在这种二元安全观的基础上，客户已经花费巨资安装了很多安全设备。然而，随着时间的推移，人们发现了这些设备的缺点，黑客曝光这些设备的漏洞，它们不足以满足客户的安全要求。因为每一种安全设备都有自己的局限性，于是市场上出现了很多的防御体系，以防火墙为核心的安全防御体系，以入侵检测为核心的安全防御体系，以管理为核心的安全防御体系等。今天，身份认证技术，单点登录技术，密码技术，过滤技术，端口封锁技术，入侵检测技术，漏洞扫描技术，防病毒技术等众多的技术被集成到一个防御体系之中，复杂性大大增加，协同作业困难，配置冲突，升级困难，最后出现了“木桶原理”，即水桶的装水量由最短的板块决定，安全体系的安全性取决于所有设备的安全性最差的那一个。很明显，这些体系也未能有效地解决客户的网络安全问题。在没有有效解决互联网的安全问题之前，基于二元安全观的办法，多是因噎废食，彻底放弃互联网的好处，与互联网断开。　　是不是与互联网断开就安全？答案是否定的。2002年底发生SQL Slammer病毒，将病毒的感染传播特性和网络拒绝服务的攻击特性合二为一，在很短时间里，将互联网基础设施破坏。这意味着，完全与互联网断开的专网，如果病毒被从其他途径进入专网，如人工安装软件，照样可以感染带攻击性的病毒，因此也不能完全防止来自互联网的攻击。因此，即使与互联网断开，也必须增加可以阻断这些攻击的安全设备。物理隔离网闸正是这样一种阻断设备。　　在今天的竞争社会里，这种二元划分以及其改进办法，在很大程度上已经无法满足客户的需求。今天的互联网在信息交换和共享方面已经远远超过传统的报纸杂志广播电视，成为独领风骚的第五媒体，普通人都可以从互联网上得到信息，但涉密网内部的人员却不能得到，因为为了涉密网的安全，涉密网必须和互联网断开。在我国，从中央到地方，也出现了越来越高的呼声，要求涉密网与互联网安全连接。　　为了解决这些问题，一种新的网络安全技术“物理隔离网闸”应运而生。美国、俄罗斯、以色列等国家纷纷采用物理隔离网闸，用于本国的政治、军事和经济等重要网络与互联网隔离。我国保密部门对物理隔离网闸技术十分重视和关注。可以预见不远的将来，物理隔离网闸技术将应用在我国的涉密网络和专网上。 二、涉密网对互联网信息的需求、风险及安全要求1．涉密网对互联网信息的需求日益增加　　涉密网，顾名思义，服务于党政军涉及机关国家秘密的网络。涉密网应该高度安全。随着知识经济和信息时代的到来，信息发生和传递的速度越来越快，互联网业已成为全球第五大媒体，且信息量大、实效性强。涉密网内部的党政军领导和工作人员，对信息的时效性要求越来越高，需要及时、准确地得到互联网上大量的信息，以便于利用。按照我国《计算机信息系统国际联网保密管理规定》的要求，涉密网不能直接或间接与互联网以及其他公共信息网络连接，必须实行物理隔离。在物理隔离网闸技术问世之前，对互联网信息的需要，多采用以下办法：　　1）每个工作人员采用两台计算机，一台在内部涉密网上，一台在互联网上。该方案重复建设，投资过大，使用不方便，没有那么大的办公地方放两台计算机，明显不合适。　　2）采用物理隔离卡等低级形式，每次使用开关机一次，不方便。　　3）设立专门的互联网隔离访问室，到专门指定的地方访问互联网，或人工把从互联网上采集的信息拷到内部涉密网上，实时性不好。　　4）不使用互联网。　　随着我国社会主义事业的快速发展和进步，尤其是加入WTO之后，党政军机关对互联网信息的需求越来越高，现有的方式已不能满足党政军机关对各种信息的实时性要求。因此，急需解决互联网和涉密网之间的访问和安全问题，既需要高速高效的访问互联网，又必须在互联网和涉密网之间实现物理隔离。 2．目前存在的来自互联网的安全威胁和风险 来自网络上的威胁和风险主要包括：（红线属于内容安全的范畴） 对象 环境 威胁 传统技术 其他解决办法 ? 外网 入侵 IDS，蜜罐 隔离 攻击 抗攻击网关 隔离 扫描 网络屏蔽