第11章 網絡物理隔離技術原理與應用
網絡物理隔離概述
• 網絡物理隔離概念
o 既能滿足內外網信息及數據交換需求，又能防止網絡安全事件出現
• 網絡物理隔離工作原理
o 避免兩台計算機之間直接的信息交換以及物理上的連通，以阻斷兩台計算機之間的直接在線網絡攻擊
網絡物理隔離系統與類型
• 網絡物理隔離系統概念
o 指通過物理隔離技術，在不同的網絡安全區域之間建立一個能夠實現物理隔離、信息交換和可信控制的系統，以滿足不同安全域的信息或數據交換
• 分類：
o 按照隔離的對象
單點隔離系統（對象：單獨的計算機系統）
區域隔離系統（對象：網絡環境）
• 按照網絡物理隔離的信息傳遞方向
雙向網絡物理隔離系統
單向網絡物理隔離系統
網絡物理隔離機制與實現技術
• 專用計算機：用戶必須到指定計算機才能上外網
• 多PC：用戶放兩台PC
• 外網代理服務
• 內外網線路切換器
• 單硬盤內外分區
o 單台計算機在某一時刻只能鏈接到內部網或外部網
o 優點：
提供數據分類存放和加工處理
有效防止外部竊走內部網數據
實現一台PC功能多用
• 缺點：
操作失誤
驅動程序bug
計算機病毒潛入
內部人員故意泄露數據
特洛伊木馬
• 雙硬盤
• 通過硬盤控制卡對硬盤進行切換控制，連接外網掛接外網硬盤，使用內網辦公時重啟系統掛接內部網辦公硬盤
• 缺點：用戶使用不方便，頻繁重啟切換硬盤
• 網閘
• 概念：一種GAP技術，使兩個或者兩個以上的網絡在不連通的情況下，實現它們之間的安全數據交換和共享。
• 技術原理：使用一個具有控制功能的開關讀寫存儲安全設備，通過開關的設置來連接或切斷兩個獨立主機系統的數據交換
• 兩個獨立主機系統與網閘的連接是互斥的
優點：從物理上隔離、阻斷了主機之間的直接攻擊，極大降低在線攻擊可能性
缺點：入侵者可以利用惡意數據驅動攻擊
• 協議隔離技術
• 處於不同安全域的網絡在物理上是有線連接的，通過協議轉換的手段保證受保護信息在邏輯上是隔離的，只有被系統要求傳輸的、內容受限的信息可以通過
• 單向傳輸部件
• 一對具有物理上單向傳輸特性的傳輸部件，發送部件只能發送，接收部件只能接收
• 信息擺渡技術
• 物理傳輸信道只在傳輸進行時存在
• 物理斷開技術
• 處於不同安全域的網絡之間不能以直接或間接的方式相連接
網絡物理隔離主要指標與產品
網絡物理隔離主要產品
終端隔離產品
適用場景
用於同時連接兩個不同的安全域，采用物理斷開技術在終端上實現安全域物理隔離的安全隔離卡或安全隔離計算機
• 工作機制
隔離卡通過電子開關以互斥形式連接安全域A或B
網絡隔離產品
適用場景
• 實現兩個安全域之間的應用代理服務、協議轉換、信息流訪問控制、內容過濾和信息擺渡功能
工作機制
• 采用“2+1”架構，即兩台主機+專用隔離部件組成
• 采用協議隔離技術和信息擺渡技術
網絡單向導入產品
• 適用場景
• 通過物理方式構造信息單向傳輸的唯一通道，實現信息單向導入，同時反方向無任何信息傳輸或反饋
• 工作機制
• 采用單向傳輸部件相連
網絡物理隔離主要技術指標
安全功能指標
安全保障指標
• 產品質量和服務保障要求
• 配置管理、交付和運行、開發和指導性文檔、測試、脆弱性評定
性能指標
• 交換速率和硬件切換時間
網絡物理隔離應用
• 工作機安全上網實例
內網用戶安全訪問互聯網
• 電子政務中網閘應用實例
o 業務生產網與互聯網隔離
o 不同安全區域信息交換
內外網安全物理隔離
