计算机系统的网络隔离技术.docVIP

计算机系统的网络隔离技术 伍薜技术协作信息 计算机系统的网络隔离技术 ●刘建斌乎延念超林洪科 一 ,引言 面对新型网络攻击手段的出现和高安全度网络对安全的特殊需求,全新安 全防护防范理念的网络安全技术——网络隔离技术应运而生.网络隔离技术的 目标是确保把有害的攻击隔离,在可信网络之外和保证可信网络内部信息不外 泄的前提下,完成网间数据的安全交换. 2000年1月25日,国家保密局正式颁布《计算机信息系统国际联网保密管 理规定》,其中第六条也明确规定:涉及国家秘密的计算机信息系统,不得直接 或间接地与国际互联网或其它公共信息网络相联接,必须实行物理隔离. 《国家信息化领导小组关于我国电子政务建设的指导意见》(中办发[2oo2] l7号文件,简称l7号文件)从总体上对电子政务的目标,思想,重点任务和措施 进行了明确的规定.其中特别指出:电子政务网络由政务内网和政务外网构成, 两网之间物理隔离,政务外网与互联网之间逻辑隔离.政务内网主要是副省级以 上政务部门的办公网,与副省级以下政务部门的办公网物理隔离.政务外网是政 府的业务专网,主要运行政务部门面向社会的专业性服务业务和不需在内网上 运行的业务. 网络隔离技术主要有两种类型:防火墙隔离技术和网闸隔离技术. 防火墙隔离技术主要是软件隔离技术,一般应用在公用或公众信息网络对 于那些安全性要求不高,终端客户分散的互联网用户层. 网闸隔离技术属于硬件隔离的范畴,当然也配合软件隔离技术的应用,是高 安全性的网络隔离技术,主要应用在国家机关,保密部门等具有特定网络安全要 求的企事业单位等.目前世界上主要有三类隔离网闸技术,即SCSI技术,双端口 RAM技术和物理单向传输技术. 二,网络隔离技术 1.网络隔离技术的概念和发展历程. (1)网络隔离技术的概念. 网络隔离,英文名为NetworkIsolation,主要是指把两个或两个以上可路由的 网络(如:TCP/IP)通过不可路由的协议(如:IPX/SPX,NetBEUI等)进行数据交换 而达到隔离目的.由于其原理主要是采用了不同的协议,所以通常也叫协议隔 离(ProtocolIsolation). (2)网络隔离技术的发展历程. 第一代隔离技术——完全的隔离.此方法使得网络处于信息孤岛状态,做到 了完全的物理隔离,需要至少两套网络和系统,更重要的是信息交流的不便和成 本的提高,这样给维护和使用带来了极大的不便. 第二代隔离技术——硬件卡隔离.在客户端增加一块硬件卡,客户端硬盘或 其他存储设备首先连接到该卡,然后再转接到主板上,通过该卡能控制客户端硬 盘或其他存储设备.而在选择不同的硬盘时,同时选择了该卡上不同的网络接 口,连接到不同的网络.但是,这种隔离产品有的仍然需要网络布线为双网线结 构,产品存在着较大的安全隐患. 第三代隔离技术——数据转播隔离.利用转播系统分时复制文件的途径来 实现隔离,切换时间非常之久,甚至需要手工完成,不仅明显地减缓了访问速度, 更不支持常见的网络应用,失去了网络存在的意义. 第四代隔离技术——空气开关隔离.它是通过使用单刀双掷开关,使得内外 部网络分时访问临时缓存器来完成数据交换的,但在安全和性能上存在有许多 问题. 第五代隔离技术——安全通道隔离.此技术通过专用通信硬件和专有安全 协议等安全机制,来实现内外部网络的隔离和数据交换. 2.隔离技术需具备的安全要点与关键点. (1)隔离技术需具备的安全要点. ①要具有高度的自身安全性:隔离产品要保证自身具有高度的安全性,至少 在理论和实践上要比防火墙高一个安全级别.从技术实现上,除了和防火墙一样 网络技术 对操作系统进行加固优化或采用安全操作系统外,关键在于要把外网接口和内 网接口从一套操作系统中分离出来. ②要确保网络之间是隔离的:保证网间隔离的关键是网络包不可路由到对 方网络,无论中间采用了什么转换方法,只要最终使得一方的网络包能够进入到 对方的网络中,都无法称之为隔离,即达不到隔离的效果. ③要保证网间交换的只是应用数据:既然要达到网络隔离,就必须做到彻底 防范基于网络协议的攻击,即不能够让网络层的攻击包到达要保护的网络中,所 以就必须进行协议分析,完成应用层数据的提取,然后进行数据交换. ④要对网间的访问进行严格的控制和检查:作为一套适用于高安全度网络 的安全设备,要确保每次数据交换都是可信的和可控制的,严格防止非法通道的 出现,以确保信息数据的安全和访问的可审计性.所以必须施加以一定的技术, 保证每一次数据交换过程都是可信的,并且内容是可控制的,可采用基于会话的 认证技术和内容分析与控制引擎等技术来实现. ⑤要在坚持隔离的前提下保证网络畅通和应用透明:隔离产品会部署在多 种多样的复杂网络环境中,并且往往是数据交换的关键点,因此,产品要具有很 高的处理性能