网络安全平台发展及设计实例.pdfVIP

维普资讯 第 28卷第 3期 苏 州 大 学 学 报(工 科 版) V0l_28 No．3 2008年6月 JOURNALOFSUZHOUUNIVERSITY(ENG1NEER1NGSCIENCEEDITION) Jun．2oo8 文章编号：1673一MI7X(2008)03—0072—02 网络安全平台发展及设计实例 罗 毅 (上海交通大学信息安全学院，上海市金山区气象局，上海 201508) 摘 要：介绍了当前网络安全平台常用隔离技术，，并以上海市气象局的市府电子政务专网为例，介绍其所采用的物 理隔离技术方案 ，同时对物理隔离技术的发展方向进行展望 。 关键词 ：网络安全 ；物理隔离；逻辑隔离；安全 网闸；上海 中图分类号：P409 文献标识码：A 目前 ，上海气象局的网络除了互联网出口之外还有局虚拟专用网(VPN)，另外，市、区宽带网络也已建成，形成了市气象局 到区气象局的全网连通局面。市政府专用网络是对网络安全要求极高的专用信息交互平台，上海市气象局作为参与者之一，必 须为该网络提供一种绝对安全接入方式。在这种条件下，无论从网络安全角度还是网络资源角度考虑，都需要采取措施进行限 制，目前最安全有效的手段就是物理隔离，从物理层隔断连接，以确保网络绝对安全。本文就常用网络隔离技术及其未来发展 结合上海市气象局的网络应用方案讨论如下。 1 常用隔离技术 1，1 逻辑隔离 逻辑隔离的含义是公共网络和专网在物理上是有连线的，通过技术手段保证在逻辑上是隔离的。逻辑隔离器也是一种不 同网络问的隔离部件。被隔离的两端仍然存在物理上的数据通道连线 ，但通过技术手段保证被隔离的两端没有数据通道，即逻 辑上隔离。一般使用协议转换、数据格式剥离和数据流控制的方法，在两个逻辑隔离区域中传输数据，并且传输的方向是可控 状态下的单向，不能在两个网络之间直接进行数据交换。 1．2 电子开关安全 网闸 网闸技术是模拟人工拷盘工作模式，通过电子开关快速切换，实现两个不同网段的数据交换之物理隔离安全技术。安全网 闸技术在安全技术领域源于被称之为GAP(又称为AirGap)的安全技术，它本意是指由空气形成的用于隔离的缝隙 。在网络 安全技术中，主要指在物理不连通的情况下，通过专用的硬件设备实现两个独立网络之间的数据安全交换和资源共享。 1、3 物理隔离 物理隔离的含义是指公共网络和专网在网络物理连线上是完全隔离的，且无任何公用的存储信息。物理隔离器是不同网 络间的隔离部件。通过物理隔离的方式使两个网络在物理连线上完全隔离，一般采用电源切换的手段，使得所隔离的区域始终 处在互不同时通电的状态下，被隔离的两端永远无法通过隔离部件交换信息。物理隔离部件的安全功能应保证被隔离的计算 机资源不能被访问(至少应包括硬盘、软盘和光盘)，计算机数据不能被重用。 物理隔离产品根据其技术发展过程，可分为第一代、第二代等，从其在网络中所处的位置来划分，又可分为终端隔离产品、 网络／服务器隔离产品、信道隔离产品 j。终端隔离是指在计算机上采取一定的防护手段，使用户计算机可以和两个网络系统 中的一个实现物理连接，并且按需要进行切换。终端隔离产品目前主要采用各种类型的物理隔离卡，其基本原理是通过在计算 机上安装硬件插卡，使用双硬盘及操作系统隔离技术。但存在成本较高、效率较低 、操作不方便的缺点。 网络／服务器隔离产品是一种新型的网络安全产品，应用于重要服务器和关键子网的入 口处，在保持内外网络物理隔离的 同时，进行适度的、可控的内外网络数据交换，提供比防火墙级别更高的安全保护，属于准物理隔离。该类产品通常集成了操作 系统、入侵监测、病毒查杀 、身份认证、访 问控制等多种安全措施，用软硬件一体化的安全机制转发内外网之间的数据，对需要传 输的数据类型、内容等，都进行严格的检查和过滤，从而解决了隔离网络间信息安全交流的问题。 相对于在终端进行物理隔离的产品而言，信道隔离产品是在终端的传输线路上进行内外网切换，主要应用在单网络布线的 环境中。它的作用是将对内外网的切换转移到远端隔离设备进行，对终端而言只用一条网线就可连接到内外网上，解决了特定 环境下无法重新布线