安全产品介绍-网闸.pptVIP

* 发送数据的过程与接收正好相反，由内部主机先进行数据的接收后与固态存储介质之间建立非TCP/IP协议的数据连接，内部主机剥离所有的TCP/IP协议和应用协议得到原始数据，并写入固态存储介质。对其进行防病毒处理和防恶意代码检查后，中断与内部主机的直接连接。再由外部主机与控制逻辑之间产生连接后，再次对TCP/IP协议和应用协议进行封装，并发送到外网，当控制逻辑收到处理完毕的信息后，中断隔离设备与外网的连接。恢复完全隔离的状态。 每一次的数据交换，隔离设备都经历了数据的接收、存储、转发三个过程，网络隔离的一个特点就是内网与外网永不连接。网络隔离的内部主机和外部主机在同一时间最多只有一个同网络隔离的固态存储介质建立非TCP/IP协议的数据连接。其数据传输机制是存储和转发。 这样的机制有一个明显的好处，即使外网在最坏的情况下，内网也不会有任何破坏。 税务系统信息安全产品解读 税务系统信息安全产品解读 税务系统信息安全产品解读 信息安全产品解读 概要 (一) 防火墙 (二) 安全隔离与信息交换系统 (三)入侵检测系统 (四)入侵防御系统 (五)上网行为管理系统 (六)网络准入系统 (七)安全审计系统 (八)防病毒系统 (九)漏洞扫描系统 (十)基线配置核查系统 (十一)桌面管理系统 纲要 1）网络隔离技术的提出背景及基本概念 2）网络隔离技术的有关政策 3）网络隔离技术的原理 4）安全隔离与信息交换系统的体系结构 5）安全隔离与信息交换系统的软件结构 6）安全隔离与信息交换系统的硬件结构 7）网络隔离与防火墙的比较 8）安全隔离与信息交换系统的选购 防火墙不能满足安全要求 网闸gap 该信息安全部件位于两个不同的安全域之间，通过协议转换的手段，以信息摆渡的方式实现数据交换，且只有被系统明确要求传输的信息可以通过。其信息流一般是通用服务。 --GB/T 20279-2006 最早由以色列和美国军方提出,目前防护级别最高的一种技术手段 信息孤岛 信息化建设 既要网络隔离又要受控信息交换 网络隔离技术的提出及背景 国家863计划已两期立项研制，国务院信息办和国家保密局都积极支持和大力推进 国家保密局推荐使用网络隔离（网闸）设备 国家保密局技术研究所：网络隔离（网闸）设备可以满足安全隔离的要求又可进行安全的信息交换，可防泄密﹑防黑客攻击﹑防病毒，比防火墙安全性更高，防火墙已经不能完全满足网络发展对安全性的要求 军密字12号：《中国人民解放军机关办公保密规定》第三十条第二款中明确规定：“经批准接入国际互联网的用户，必须做到专机上网、专线连接、转盘存储、专人管理并与内部涉密网络实行严格物理隔离。” 网络隔离技术的有关政策 数据 数据 高安全域 低安全域 Net-sneeker 网络隔离技术的原理 IP 包， 3 层 IP 包， 3 层 TCP 4 层 TCP 4 层 5 至 7 层 5 至 7 层 文件摆渡 OSI 第七层外 隔离 私有协议摆渡 网络隔离技术的特性 被隔离网络在任何时刻都不产生物理连接 被隔离网络之间没有网络协议逻辑连接，两个网络之间传输的全部是应用层数据，也将ISO模型的七层协议全部断开 被隔离网络之间的数据传递方式必须是完全的私有方式，不具备任何通用可编程性 强大的检查机制 IP层 TCP层 1 2 IP层 TCP层 …… 应用层 隔离 交换层 IP层 TCP层 …… 应用层 隔离 交换层 1 2 网络隔离与防火墙的比较 防火墙设备 网络隔离设备 网络隔离与防火墙的比较 ? 网络层 应用层 对已知攻击防护 对未知攻击防护 应用代理防火墙 防火墙 安全信息交换系统 安全定位 第一代网络隔离产品 单刀双掷 共用存储介质，不能满足物理隔离要求 交换速度慢 第二代网络隔离产品 独立存储介质 工控机平台，功耗大，可靠性差，存在安全隐患 两网隔离，不能满足应用的需求 第三代网络隔离产品 嵌入式主板，交换速度快，功耗小，可靠性、安全性好 三网/多网隔离方案，满足各种应用需求 从芯片到硬件到软件系统完全自主研发，堵住“后门” 网络隔离产品的演进 — 存储 介质 控制模块 受保护网络 存储 介质 安全隔离与信息交换系统模块组成 PC PC PC 非信任网络 Internet A B B A 系统体系结构 内 网 机 模 块 外 网 机 模 块 由内到外 由外到内 互斥 物理开关 互斥 物理开关 隔离交换器件 高安全域 低安全域 2. 硬件结构 内 网 机 外 网 机 由内到外 由外到内 互斥 物理开关 互斥 物理开关 数据格式化 -应用层纯洁数据 内容检查 数据提取 协议剥离 协议检查 访问控制 会