安全隔離與信息交換系統(tǒng)PPT課件

1、清信安安全隔離與信息交換系統(tǒng),安全隔離與信息交換系統(tǒng),2,需求分析,2000年1月，國家保密局發(fā)布實施計算機信息系統(tǒng)國際互聯(lián)網(wǎng)保密管理規(guī)定，明確要求：“涉及國家秘密的計算機信息系統(tǒng)，不得直接或間接地與國際互聯(lián)網(wǎng)或其他公共信息網(wǎng)絡相連，必須實行物理隔離。” 中共中央辦公廳2002年第17號文件國家信息化領導小組關(guān)于我國電子政務建設指導意見也明確強調(diào)：“政務內(nèi)網(wǎng)和政務外網(wǎng)之間物理隔離，政務外網(wǎng)與互聯(lián)網(wǎng)之間邏輯隔離。” 信息流通面臨涉密網(wǎng)的安全與互通問題。所以必須采取相應的安全措施來保障涉密內(nèi)網(wǎng)的安全問題,可信網(wǎng),非可信網(wǎng),如何安全互通,3,需求分析,傳統(tǒng)解決方案之一： 人工拷貝交換數(shù)據(jù),可信網(wǎng),非

2、可信網(wǎng),人工交換,4,需求分析,傳統(tǒng)解決方案之一“人工拷貝交換數(shù)據(jù)”缺點： 首先，人工投入管理開銷比較大，雙方必須投入人員參與數(shù)據(jù)拷貝工作； 其次，人工拷貝實時性較差，無法發(fā)揮網(wǎng)絡信息技術(shù)帶來的快速的通信便利等優(yōu)點； 最后，由于頻繁使用軟盤或其他存儲介質(zhì)，增加了病毒和木馬程序傳播的途徑和幾率，帶來新的安全問題。所以該方式無法適應電子政務的發(fā)展趨勢,5,需求分析,傳統(tǒng)解決方案之二： 使用防火墻邏輯隔離,可信網(wǎng),非可信網(wǎng),6,需求分析,傳統(tǒng)解決方案之二“防火墻邏輯隔離”缺點： 首先防火墻無法抵御數(shù)據(jù)驅(qū)動式攻擊，即大量合法的數(shù)據(jù)包導致網(wǎng)絡阻塞而 使正常通信癱瘓； 其次，防火墻很難阻止由通用協(xié)議本身漏

3、洞發(fā)起的入侵； 再次，防火墻系統(tǒng)本身的缺陷也是影響內(nèi)部網(wǎng)絡安全的重要問題； 另外，只有正確、合理配置防火墻才能起到本身的安全作用，而配置的復雜為網(wǎng)管人員帶來煩瑣工作量的同時，也增加了配置不當帶來的隱患,7,需求分析,傳統(tǒng)解決方案之缺點總結(jié)： 第一種解決方案雖實現(xiàn)了物理隔離，但缺乏信息實時機制，而且人員管理開銷較大； 第二種方案采用了安全防御機制不太嚴密的邏輯隔離技術(shù)來保護涉密網(wǎng)絡的信息安全，無疑為數(shù)據(jù)泄秘和黑客破壞等提供了可能,8,安全隔離與信息交換系統(tǒng),9,解決方案,安全隔離與信息交換設備，又稱網(wǎng)閘：可以為涉密網(wǎng)絡提供可靠的保護，該技術(shù)利用專用硬件保證兩個網(wǎng)絡在物理鏈路層斷開的前提下實現(xiàn)數(shù)據(jù)

4、安全傳輸和資源共享，并能夠顯著提高內(nèi)部用戶網(wǎng)絡的安全強度,10,解決方案,硬件隔離：系統(tǒng)采用雙主機+專有隔離硬件的體系架構(gòu)，即包括外網(wǎng)主機模塊、內(nèi)網(wǎng)主機模塊和隔離交換模塊。確保兩個網(wǎng)絡之間無物理層的直接連接，實現(xiàn)物理隔離。 協(xié)議阻斷：在兩個主機系統(tǒng)之間采用專有協(xié)議，阻斷TCP/IP協(xié)議的連接。這樣基于操作系統(tǒng)的漏洞攻擊和網(wǎng)絡層協(xié)議的攻擊基本被杜絕或者只發(fā)生在外網(wǎng)主機系統(tǒng)，從而實現(xiàn)一種隔離交換的安全。 應用層檢測：前面兩點只解決了網(wǎng)絡層的安全，因此，網(wǎng)閘必須針對具體的協(xié)議（可能是用戶自定義的協(xié)議）進行檢測，對各種應用層協(xié)議進行細粒度分析，甚至要對應用數(shù)據(jù)進行檢測，比如各種表單、數(shù)據(jù)格式等等進行檢

5、測，從而實現(xiàn)最高安全,特點,11,解決方案,工作原理：NetGap安全隔離與信息交換系統(tǒng)的工作原理基于人工信息交換的工作模式，即由內(nèi)外網(wǎng)主機模塊分別負責接收來自所連接網(wǎng)絡的訪問請求，兩模塊間通過專用隔離交換模塊連接，實現(xiàn)兩個主機沒有直接的網(wǎng)絡連接的建立。在此前提下，通過專有硬件實現(xiàn)網(wǎng)絡間信息的實時交換。這種交換并不是數(shù)據(jù)包的轉(zhuǎn)發(fā)，而是應用層數(shù)據(jù)的靜態(tài)讀寫操作，因此可信網(wǎng)的用戶可以通過安全隔離與信息交換系統(tǒng)放心的訪問非可信網(wǎng)的資源，而不必擔心可信網(wǎng)的安全受到影響。 信息通過網(wǎng)閘傳遞需經(jīng)過多個安全模塊的檢查，以驗證被交換信息的合法性。當訪問請求到達內(nèi)外網(wǎng)主機模塊時，首先由網(wǎng)閘實現(xiàn)TCP連接的終結(jié)，

6、確保TCP/IP協(xié)議不會直接或通過代理方式穿透網(wǎng)閘；然后，內(nèi)外網(wǎng)主機模塊會依據(jù)安全策略對訪問請求進行預處理，判斷是否符合訪問控制策略，并依據(jù)RFC或定制策略對數(shù)據(jù)包進行應用層協(xié)議檢查和內(nèi)容過濾，檢驗其有效載荷的合法性和安全性。一旦數(shù)據(jù)包通過了安全檢查，內(nèi)外網(wǎng)主機模塊會對數(shù)據(jù)包進行格式化，將傳輸信息和傳輸數(shù)據(jù)分別轉(zhuǎn)換成專有格式數(shù)據(jù)，存放在緩沖區(qū)等待被隔離交換模塊處理。這種“靜態(tài)”的數(shù)據(jù)形態(tài)不可執(zhí)行，不依賴于任何通用協(xié)議，只能被網(wǎng)閘的內(nèi)部處理機制識別及處理，因此可避免遭受利用各種已知或未知網(wǎng)絡層漏洞的威脅,12,解決方案,13,解決方案,工作原理： NetGap安全隔離與信息交換系統(tǒng)通過專有的隔離

7、交換卡實現(xiàn)內(nèi)外網(wǎng)主機模塊緩沖區(qū)的內(nèi)存映射功能，將制定區(qū)域的數(shù)據(jù)復制到對端相應的區(qū)域，完成數(shù)據(jù)的交換。隔離交換卡內(nèi)嵌安全芯片，采用高速全雙工流水線設計，內(nèi)部吞吐速率達2Gbps，完全可以滿足高速數(shù)據(jù)交換的需要。 隔離交換模塊固化控制邏輯，采用互斥機制保證隔離交換子系統(tǒng)在讀寫一端主機模塊的數(shù)據(jù)前先中止與另一端的操作，以確保網(wǎng)閘在任意時刻只與一個網(wǎng)絡連接，可信網(wǎng)與非可信網(wǎng)間不存在鏈路層通路，在物理層實現(xiàn)隔離。 當內(nèi)外網(wǎng)主機模塊通過隔離交換模塊接收到來自另一端的格式化數(shù)據(jù)，可根據(jù)本端的安全策略進行進一步的應用層安全檢查。經(jīng)檢驗合格，則進行逆向轉(zhuǎn)換，將格式化數(shù)據(jù)轉(zhuǎn)換成符合RFC標準的TCP/IP數(shù)據(jù)包，

8、將數(shù)據(jù)包發(fā)送到目的計算機,14,安全隔離與信息交換系統(tǒng),15,功能特點,1、純硬件隔離交換系統(tǒng)（一）： 專有芯片實現(xiàn)數(shù)據(jù)交換：通過專有安全芯片實現(xiàn)安全隔離，不同于采用計算機系統(tǒng)所配備的標準USB、串口、1394協(xié)議等非網(wǎng)絡接口實現(xiàn)安全隔離，具有高度安全性。 硬件獨立控制邏輯：硬件本身具有獨立控制邏輯，不受任何軟系統(tǒng)控制，數(shù)據(jù)交換不受任何外部信號和指令控制，內(nèi)外主機系統(tǒng)只能負責往指定的交換區(qū)存放或讀寫數(shù)據(jù)，不能對交換過程做其他任何控制，實現(xiàn)了完全基于硬件進行安全交換。 可靠傳輸：支持CRC校驗以保證隔離交換卡之間數(shù)據(jù)的可靠傳輸，系統(tǒng)自動進行CRC校驗，當出現(xiàn)CRC校驗錯時，系統(tǒng)支持數(shù)據(jù)重傳，真正

9、實現(xiàn)服務器級可靠性。 雙擺渡技術(shù)：通過硬件控制邏輯，隔離交換卡首先斷開彼此之間的物理連接，分別連接內(nèi)外網(wǎng)主機系統(tǒng)，內(nèi)外網(wǎng)主機系統(tǒng)把需要交換的數(shù)據(jù)寫入或者讀出制定的交換區(qū)，完成一次擺渡，然后隔離交換卡通過硬件控制邏輯斷開與內(nèi)外網(wǎng)主機系統(tǒng)的連接，彼此之間建立連接，自動進行協(xié)商，實現(xiàn)數(shù)據(jù)交換，完成二次擺渡。通過雙擺渡技術(shù)，內(nèi)外網(wǎng)絡永遠不會直接連接，并在此基礎上實現(xiàn)內(nèi)外網(wǎng)絡的安全隔離,16,功能特點,1、純硬件隔離交換系統(tǒng)（二）： 硬件自動協(xié)商：隔離交換卡設計有獨立控制硬件邏輯，在實現(xiàn)雙擺渡技術(shù)中，隔離交換卡自動進行協(xié)商，數(shù)據(jù)交換實現(xiàn)硬件互斥訪問，按照分時輪詢機制實現(xiàn)對連接的自動、高效的控制，防止信號

10、死鎖。 專有協(xié)議交換：安全隔離與信息交換系統(tǒng)只能按照專有的格式進行數(shù)據(jù)交換，任何數(shù)據(jù)必須經(jīng)過分析、過濾按照確定的方式進行交換。系統(tǒng)底層實現(xiàn)了專有信息傳輸，自動完成信息的轉(zhuǎn)化和恢復。 數(shù)據(jù)分片重組：由于實現(xiàn)了協(xié)議和數(shù)據(jù)的分離，系統(tǒng)只會傳遞靜態(tài)純數(shù)據(jù)，為了實現(xiàn)用戶的透明訪問，保障任意大小的數(shù)據(jù)塊都能順利傳輸，系統(tǒng)底層自動實現(xiàn)了數(shù)據(jù)文件按照交換區(qū)大小進行自動的分片傳輸，在系統(tǒng)另一側(cè)，自動按照約定的專有協(xié)議進行數(shù)據(jù)重組，從而實現(xiàn)任意數(shù)據(jù)的交換。 實現(xiàn)總線獨享，高速流水線操作。無需CPU調(diào)度，無需總線競爭和申請，每步操作無需等待，實現(xiàn)高效交換,17,功能特點,2、豐富的應用模塊 根據(jù)不同的應用環(huán)境，量身

11、定制多個功能模塊，以滿足用戶的不同需求，主要包括： 文件交換模塊：實現(xiàn)不同安全等級網(wǎng)絡間文件的安全交換。 數(shù)據(jù)庫同步模塊：通過靈活的同步機制，保證安全等級不同的網(wǎng)絡中的數(shù)據(jù)庫系統(tǒng)實現(xiàn)數(shù)據(jù)同步更新。 數(shù)據(jù)庫訪問模塊：在安全訪問控制的前提下，通過安全隔離網(wǎng)閘實現(xiàn)一側(cè)數(shù)據(jù)庫客戶端對另一側(cè)的數(shù)據(jù)庫服務器的訪問。 FTP訪問模塊：客戶端通過網(wǎng)閘實現(xiàn)可控制的訪問ftp服務器。 郵件訪問：客戶端通過網(wǎng)閘可以訪問另一側(cè)的件服務器。 安全瀏覽模塊：保證在內(nèi)外網(wǎng)隔離的環(huán)境下，內(nèi)網(wǎng)用戶安全瀏覽外網(wǎng)資源。 通用模塊：保證內(nèi)外網(wǎng)隔離的同時實現(xiàn)TELNET、DNS、TNS等協(xié)議及其他通用TCP/IP協(xié)議的定制交換。 其它

12、定制用戶專有應用模塊,18,功能特點,3、傳輸方向控制 NetGap安全隔離與信息交換系統(tǒng)采用雙通道通信機制，從可信網(wǎng)到非可信網(wǎng)的數(shù)據(jù)流與從非可信網(wǎng)到可信網(wǎng)的數(shù)據(jù)流采用不同的數(shù)據(jù)通道，對通道的分離控制保證各通道的傳輸方向可控。在特殊應用環(huán)境中可實現(xiàn)數(shù)據(jù)的單向傳送，以避免信息的泄漏。 4、訪問控制 系統(tǒng)支持強大的訪問控制策略，支持通過源地址、目的地址、端口、協(xié)議等多種元素對允許通過網(wǎng)閘傳輸?shù)臄?shù)據(jù)進行過濾 5、協(xié)議分析 系統(tǒng)支持HTTP/HTTPS、POP3、SMTP、FTP、SAMBA、NFS、DNS等多種應用層協(xié)議，可對常見協(xié)議的命令和參數(shù)進行分析和過濾。 6、高安全的文件交換 提供基于純文件

13、的交換方式，內(nèi)網(wǎng)和外網(wǎng)的數(shù)據(jù)傳輸模塊各自對文件進行病毒掃描、簽名校驗、文件類型校驗、文件內(nèi)容過濾，對符合要求的文件進行轉(zhuǎn)發(fā)。不借助任何第三方軟件，完全通過文件的拷貝、粘貼方式實現(xiàn)，為了避免網(wǎng)絡漏洞，網(wǎng)閘不開放任何連通兩側(cè)的網(wǎng)絡通道，在保證絕對安全的前提下，通過數(shù)據(jù)擺渡實現(xiàn)文件交換,19,功能特點,7、內(nèi)置的數(shù)據(jù)庫同步模塊 獨立自主開發(fā)完成，完全內(nèi)置于網(wǎng)閘內(nèi)部，所有的同步操作由網(wǎng)閘自己獨立完成。不在用戶數(shù)據(jù)庫中安裝任何客戶端軟件，不需要在用戶網(wǎng)絡中部署專用服務器，對用戶數(shù)據(jù)庫不作任何改變?？紤]到基于文件的數(shù)據(jù)交換是最安全的交換方式，所以數(shù)據(jù)庫同步模塊也采用基于文件的交換方式，所有的數(shù)據(jù)都通過格式

14、轉(zhuǎn)換，變成特定格式文件，在通過文件交換的方式傳輸?shù)搅硪粋?cè)。網(wǎng)閘兩側(cè)不開放任何基于數(shù)據(jù)庫訪問或者定制TCP的網(wǎng)絡服務端口，避免網(wǎng)絡安全漏洞,20,功能特點,8、多樣化的身份認證 本地認證 系統(tǒng)內(nèi)置認證數(shù)據(jù)庫提供本地的用戶名、口令認證，支持HTTP/HTTPS方式實現(xiàn)認證信息的獲取。 數(shù)字證書認證 網(wǎng)閘支持數(shù)字證書認證，允許客戶端通過HTTP連接向服務器發(fā)送訪問請求。網(wǎng)閘可導入根證書，通過檢查用戶證書格式，證書的過期時間，簽發(fā)者等信息以確認訪問者身份的合法性，還可依據(jù)用戶身份屬性判斷其是否具有適當?shù)脑L問權(quán)限。 RADIUS/RADIUS+遠程訪問認證及LDAP認證 網(wǎng)閘向第三方認證服務器發(fā)送用戶名

15、和口令，一旦認證服務器認證成功，則網(wǎng)閘允許用戶訪問。 9、地址綁定 提供IP與MAC地址綁定功能，可對指定接口所連接的網(wǎng)絡中的主機的IP 和MAC 地址進行綁定，防止內(nèi)部用戶盜用IP和內(nèi)網(wǎng)地址資源分配的混亂，方便網(wǎng)絡IP資源管理,21,功能特點,10、內(nèi)容檢查（一） 提供多種內(nèi)容安全過濾與內(nèi)容訪問控制功能，既能有效的防止外部惡意代碼進入內(nèi)網(wǎng)，也能控制內(nèi)網(wǎng)用戶對外部資源不良內(nèi)容的訪問及敏感信息的泄漏。NetGap安全隔離與信息交換系統(tǒng)的內(nèi)容檢查機制主要針對HTTP、FTP、郵件及文件交換等應用，包括URL過濾、關(guān)鍵字過濾、Cookie過濾、文件格式檢查及病毒查殺等操作。 URL/域名過濾 網(wǎng)閘可

16、對用戶訪問的Web站點的域名及URL等進行基于正則表達式的過濾，禁止用戶訪問暴力、色情、反動的主頁或站點中的特定目錄或文件。 關(guān)鍵字過濾 網(wǎng)閘可對郵件標題和內(nèi)容以及傳輸?shù)奈募冗M行關(guān)鍵字過濾，進行單詞及短句的智能匹配，禁止包含特定關(guān)鍵字的敏感信息泄漏，或只允許包含相應關(guān)鍵字的文件通過網(wǎng)閘傳遞。 COOKIE過濾 網(wǎng)閘可對COOKIE進行過濾。通過對COOKIE進行過濾，可以防止敏感信息的泄漏。同時還可以防止用戶進行瀏覽論壇、上網(wǎng)聊天等違反安全策略的操作,22,功能特點,10、內(nèi)容檢查（二） 文件格式檢查 網(wǎng)閘可對傳輸?shù)奈募M行格式檢查，只允許特定的文件通過網(wǎng)閘傳遞。系統(tǒng)還可對文本類文件進行文件

17、結(jié)構(gòu)檢查，通過可定制的文件結(jié)構(gòu)模版驗證文件是否符合策略要求。 病毒及惡意代碼檢查 系統(tǒng)可內(nèi)嵌殺病毒引擎，對允許傳輸?shù)奈募M行病毒的檢查，確保進入可信網(wǎng)絡的文件不包含病毒及Java/JavaScript/Active-X等惡意代碼,23,功能特點,11、高可用設計 NetGap安全隔離與信息交換系統(tǒng)支持高可用方案，全面解決設備故障與鏈路故障造成的業(yè)務中斷，保證系統(tǒng)7X24小時不間斷服務。 12、負載均衡解決方案 NetGap安全隔離與信息交換系統(tǒng)支持負載均衡解決方案。網(wǎng)閘群集可實現(xiàn)動態(tài)管理和維護，根據(jù)實際響應時間制定優(yōu)先響應策略，從而提高系統(tǒng)總體性能、優(yōu)化流量管理、提高群集性能，保證系統(tǒng)正常運行

18、的高可用性和高可靠性。如果訪問量超出了網(wǎng)閘的響應能力，只需增加服務器數(shù)目就可平滑升級，無需第三方軟件支持,24,功能特點,13、輕松的管理 NetGap安全隔離與信息交換系統(tǒng)配備專門的管理端口，通過數(shù)字證書認證與管理信息的加密傳輸實現(xiàn)網(wǎng)閘設備的集中管理。系統(tǒng)采用全中文的Web方式進行遠程網(wǎng)絡管理，界面友好，操作方便。同時提供基于串口的管理方式。 NetGap安全隔離與信息交換系統(tǒng)支持分級安全管理。分級管理使得對網(wǎng)閘的管理更加安全可控，避免人為因素帶來的安全風險。 兩側(cè)主機系統(tǒng)獨立控制，分別配置。 網(wǎng)絡管理員和審計管理員是分開的,25,功能特點,14、安全審計 NetGap安全隔離與信息交換系統(tǒng)

19、提供全面的安全審計能力，用戶可根據(jù)特定的需要進行日志審計（包括系統(tǒng)日志、訪問控制策略日志、應用層協(xié)議分析日志、應用層內(nèi)容檢查日志等）。系統(tǒng)支持本地日志緩存,可實現(xiàn)本地日志的瀏覽查詢等操作。日志依據(jù)事件的重要程度分為錯誤/警告/通知三級，支持SYSLOG日志存儲，可實現(xiàn)日志的分級發(fā)送。 NetGap安全隔離與信息交換系統(tǒng)提供管理員多種手段了解網(wǎng)絡運行狀況及可疑事件的發(fā)生。主要方式如下： 控制臺方式：通過管理控制臺可以實時監(jiān)控日志告警信息。 Syslog：以Syslog方式向管理工作站發(fā)送告警信息。 電子郵件：通過向管理員指定的電子郵件帳號發(fā)送電子郵件來發(fā)送報警信息,26,安全隔離與信息交換系統(tǒng),

20、27,應用案例,1、數(shù)據(jù)庫安全隔離解決方案,28,應用案例,1、數(shù)據(jù)庫安全隔離解決方案 某政府部門開展電子政務，通過互聯(lián)網(wǎng)向社會提供相應政府信息資源。如果允許訪問者通過Web服務器直接向核心數(shù)據(jù)庫服務器發(fā)起數(shù)據(jù)查詢請求，則黑客可能穿透防火墻的保護直接侵入后臺數(shù)據(jù)庫系統(tǒng)，嚴重威脅到業(yè)務的正常開展。 如上圖所示，采用NetGap安全隔離與信息交換系統(tǒng)，在核心數(shù)據(jù)庫服務器和外部不可信網(wǎng)絡間實現(xiàn)安全隔離。根據(jù)更新策略定時將需訪問的數(shù)據(jù)庫內(nèi)容同步到前置數(shù)據(jù)庫系統(tǒng)，對外提供服務。這種方式強化了應用層的安全控制，可有效防止TCP/IP數(shù)據(jù)包穿越網(wǎng)絡到達核心數(shù)據(jù)庫服務器，大大增強了系統(tǒng)的安全性，為電子政務的有

21、效開展提供了可靠的保證。 NetGap安全隔離與信息交換系統(tǒng)提供多種數(shù)據(jù)庫同步方式，支持Oracle、Sybase、SQL Server、MySql、DB2等多種主流數(shù)據(jù)庫，可實現(xiàn)異類數(shù)據(jù)庫間的數(shù)據(jù)同步,29,應用案例,2、安全文件交換解決方案 某機構(gòu)的計算機網(wǎng)絡由涉密網(wǎng)及辦公網(wǎng)兩部分組成，涉密網(wǎng)涉及重要的信息，禁止非授權(quán)人員訪問；但涉密網(wǎng)有部分信息可對低密級用戶公開，在組織內(nèi)可進行分發(fā)。如通過防火墻保護涉密網(wǎng)絡，則安全性只能得到部分的加強。首先，防火墻的安全程度依賴于操作系統(tǒng)的安全，一旦防火墻被攻破，則被保護網(wǎng)絡暴露在攻擊者的視線之內(nèi)；其次，作為網(wǎng)關(guān)型的訪問控制設備，缺乏對應用層的檢測能力，只要網(wǎng)絡提供相應的服務，就需要在防火墻上開放相應的端口，服務類型越多，潛在的威脅就越大。因此，防火墻并不是在高安全等級的網(wǎng)絡間實現(xiàn)隔離的最佳選擇,30,應用案例,2、安全文件交換解決方案 可在涉密網(wǎng)及辦公網(wǎng)間部署NetGap安全隔離與信息交換系統(tǒng)，在網(wǎng)絡安全隔離的前提下實現(xiàn)安全的文件交換。安全管理員可制定相應的信息交換策略，定時或?qū)崟r將符合安全級別的文件通過網(wǎng)閘系統(tǒng)分發(fā)到非涉密網(wǎng)；還可以選擇交換的方向、文件類型，對被交換文件進行內(nèi)容檢查、查病毒等處理，只允許或不允許包含相應內(nèi)容的文件通過網(wǎng)閘。 用戶傳輸?shù)奈募筛綆?shù)字簽名。網(wǎng)閘可對數(shù)字