安全隔離與信息交換系統(tǒng)PPT課件

1、清信安安全隔離與信息交換系統(tǒng),安全隔離與信息交換系統(tǒng),2,需求分析,2000年1月，國家保密局發(fā)布實施計算機信息系統(tǒng)國際互聯網保密管理規(guī)定，明確要求：“涉及國家秘密的計算機信息系統(tǒng)，不得直接或間接地與國際互聯網或其他公共信息網絡相連，必須實行物理隔離?！?中共中央辦公廳2002年第17號文件國家信息化領導小組關于我國電子政務建設指導意見也明確強調：“政務內網和政務外網之間物理隔離，政務外網與互聯網之間邏輯隔離?！?信息流通面臨涉密網的安全與互通問題。所以必須采取相應的安全措施來保障涉密內網的安全問題,可信網,非可信網,如何安全互通,3,需求分析,傳統(tǒng)解決方案之一： 人工拷貝交換數據,可信網,非

2、可信網,人工交換,4,需求分析,傳統(tǒng)解決方案之一“人工拷貝交換數據”缺點： 首先，人工投入管理開銷比較大，雙方必須投入人員參與數據拷貝工作； 其次，人工拷貝實時性較差，無法發(fā)揮網絡信息技術帶來的快速的通信便利等優(yōu)點； 最后，由于頻繁使用軟盤或其他存儲介質，增加了病毒和木馬程序傳播的途徑和幾率，帶來新的安全問題。所以該方式無法適應電子政務的發(fā)展趨勢,5,需求分析,傳統(tǒng)解決方案之二： 使用防火墻邏輯隔離,可信網,非可信網,6,需求分析,傳統(tǒng)解決方案之二“防火墻邏輯隔離”缺點： 首先防火墻無法抵御數據驅動式攻擊，即大量合法的數據包導致網絡阻塞而 使正常通信癱瘓； 其次，防火墻很難阻止由通用協(xié)議本身漏

3、洞發(fā)起的入侵； 再次，防火墻系統(tǒng)本身的缺陷也是影響內部網絡安全的重要問題； 另外，只有正確、合理配置防火墻才能起到本身的安全作用，而配置的復雜為網管人員帶來煩瑣工作量的同時，也增加了配置不當帶來的隱患,7,需求分析,傳統(tǒng)解決方案之缺點總結： 第一種解決方案雖實現了物理隔離，但缺乏信息實時機制，而且人員管理開銷較大； 第二種方案采用了安全防御機制不太嚴密的邏輯隔離技術來保護涉密網絡的信息安全，無疑為數據泄秘和黑客破壞等提供了可能,8,安全隔離與信息交換系統(tǒng),9,解決方案,安全隔離與信息交換設備，又稱網閘：可以為涉密網絡提供可靠的保護，該技術利用專用硬件保證兩個網絡在物理鏈路層斷開的前提下實現數據

4、安全傳輸和資源共享，并能夠顯著提高內部用戶網絡的安全強度,10,解決方案,硬件隔離：系統(tǒng)采用雙主機+專有隔離硬件的體系架構，即包括外網主機模塊、內網主機模塊和隔離交換模塊。確保兩個網絡之間無物理層的直接連接，實現物理隔離。 協(xié)議阻斷：在兩個主機系統(tǒng)之間采用專有協(xié)議，阻斷TCP/IP協(xié)議的連接。這樣基于操作系統(tǒng)的漏洞攻擊和網絡層協(xié)議的攻擊基本被杜絕或者只發(fā)生在外網主機系統(tǒng)，從而實現一種隔離交換的安全。 應用層檢測：前面兩點只解決了網絡層的安全，因此，網閘必須針對具體的協(xié)議（可能是用戶自定義的協(xié)議）進行檢測，對各種應用層協(xié)議進行細粒度分析，甚至要對應用數據進行檢測，比如各種表單、數據格式等等進行檢

5、測，從而實現最高安全,特點,11,解決方案,工作原理：NetGap安全隔離與信息交換系統(tǒng)的工作原理基于人工信息交換的工作模式，即由內外網主機模塊分別負責接收來自所連接網絡的訪問請求，兩模塊間通過專用隔離交換模塊連接，實現兩個主機沒有直接的網絡連接的建立。在此前提下，通過專有硬件實現網絡間信息的實時交換。這種交換并不是數據包的轉發(fā)，而是應用層數據的靜態(tài)讀寫操作，因此可信網的用戶可以通過安全隔離與信息交換系統(tǒng)放心的訪問非可信網的資源，而不必擔心可信網的安全受到影響。 信息通過網閘傳遞需經過多個安全模塊的檢查，以驗證被交換信息的合法性。當訪問請求到達內外網主機模塊時，首先由網閘實現TCP連接的終結，

6、確保TCP/IP協(xié)議不會直接或通過代理方式穿透網閘；然后，內外網主機模塊會依據安全策略對訪問請求進行預處理，判斷是否符合訪問控制策略，并依據RFC或定制策略對數據包進行應用層協(xié)議檢查和內容過濾，檢驗其有效載荷的合法性和安全性。一旦數據包通過了安全檢查，內外網主機模塊會對數據包進行格式化，將傳輸信息和傳輸數據分別轉換成專有格式數據，存放在緩沖區(qū)等待被隔離交換模塊處理。這種“靜態(tài)”的數據形態(tài)不可執(zhí)行，不依賴于任何通用協(xié)議，只能被網閘的內部處理機制識別及處理，因此可避免遭受利用各種已知或未知網絡層漏洞的威脅,12,解決方案,13,解決方案,工作原理： NetGap安全隔離與信息交換系統(tǒng)通過專有的隔離

7、交換卡實現內外網主機模塊緩沖區(qū)的內存映射功能，將制定區(qū)域的數據復制到對端相應的區(qū)域，完成數據的交換。隔離交換卡內嵌安全芯片，采用高速全雙工流水線設計，內部吞吐速率達2Gbps，完全可以滿足高速數據交換的需要。 隔離交換模塊固化控制邏輯，采用互斥機制保證隔離交換子系統(tǒng)在讀寫一端主機模塊的數據前先中止與另一端的操作，以確保網閘在任意時刻只與一個網絡連接，可信網與非可信網間不存在鏈路層通路，在物理層實現隔離。 當內外網主機模塊通過隔離交換模塊接收到來自另一端的格式化數據，可根據本端的安全策略進行進一步的應用層安全檢查。經檢驗合格，則進行逆向轉換，將格式化數據轉換成符合RFC標準的TCP/IP數據包，

8、將數據包發(fā)送到目的計算機,14,安全隔離與信息交換系統(tǒng),15,功能特點,1、純硬件隔離交換系統(tǒng)（一）： 專有芯片實現數據交換：通過專有安全芯片實現安全隔離，不同于采用計算機系統(tǒng)所配備的標準USB、串口、1394協(xié)議等非網絡接口實現安全隔離，具有高度安全性。 硬件獨立控制邏輯：硬件本身具有獨立控制邏輯，不受任何軟系統(tǒng)控制，數據交換不受任何外部信號和指令控制，內外主機系統(tǒng)只能負責往指定的交換區(qū)存放或讀寫數據，不能對交換過程做其他任何控制，實現了完全基于硬件進行安全交換。 可靠傳輸：支持CRC校驗以保證隔離交換卡之間數據的可靠傳輸，系統(tǒng)自動進行CRC校驗，當出現CRC校驗錯時，系統(tǒng)支持數據重傳，真正

9、實現服務器級可靠性。 雙擺渡技術：通過硬件控制邏輯，隔離交換卡首先斷開彼此之間的物理連接，分別連接內外網主機系統(tǒng)，內外網主機系統(tǒng)把需要交換的數據寫入或者讀出制定的交換區(qū)，完成一次擺渡，然后隔離交換卡通過硬件控制邏輯斷開與內外網主機系統(tǒng)的連接，彼此之間建立連接，自動進行協(xié)商，實現數據交換，完成二次擺渡。通過雙擺渡技術，內外網絡永遠不會直接連接，并在此基礎上實現內外網絡的安全隔離,16,功能特點,1、純硬件隔離交換系統(tǒng)（二）： 硬件自動協(xié)商：隔離交換卡設計有獨立控制硬件邏輯，在實現雙擺渡技術中，隔離交換卡自動進行協(xié)商，數據交換實現硬件互斥訪問，按照分時輪詢機制實現對連接的自動、高效的控制，防止信號

10、死鎖。 專有協(xié)議交換：安全隔離與信息交換系統(tǒng)只能按照專有的格式進行數據交換，任何數據必須經過分析、過濾按照確定的方式進行交換。系統(tǒng)底層實現了專有信息傳輸，自動完成信息的轉化和恢復。 數據分片重組：由于實現了協(xié)議和數據的分離，系統(tǒng)只會傳遞靜態(tài)純數據，為了實現用戶的透明訪問，保障任意大小的數據塊都能順利傳輸，系統(tǒng)底層自動實現了數據文件按照交換區(qū)大小進行自動的分片傳輸，在系統(tǒng)另一側，自動按照約定的專有協(xié)議進行數據重組，從而實現任意數據的交換。 實現總線獨享，高速流水線操作。無需CPU調度，無需總線競爭和申請，每步操作無需等待，實現高效交換,17,功能特點,2、豐富的應用模塊 根據不同的應用環(huán)境，量身

11、定制多個功能模塊，以滿足用戶的不同需求，主要包括： 文件交換模塊：實現不同安全等級網絡間文件的安全交換。 數據庫同步模塊：通過靈活的同步機制，保證安全等級不同的網絡中的數據庫系統(tǒng)實現數據同步更新。 數據庫訪問模塊：在安全訪問控制的前提下，通過安全隔離網閘實現一側數據庫客戶端對另一側的數據庫服務器的訪問。 FTP訪問模塊：客戶端通過網閘實現可控制的訪問ftp服務器。 郵件訪問：客戶端通過網閘可以訪問另一側的件服務器。 安全瀏覽模塊：保證在內外網隔離的環(huán)境下，內網用戶安全瀏覽外網資源。 通用模塊：保證內外網隔離的同時實現TELNET、DNS、TNS等協(xié)議及其他通用TCP/IP協(xié)議的定制交換。 其它

12、定制用戶專有應用模塊,18,功能特點,3、傳輸方向控制 NetGap安全隔離與信息交換系統(tǒng)采用雙通道通信機制，從可信網到非可信網的數據流與從非可信網到可信網的數據流采用不同的數據通道，對通道的分離控制保證各通道的傳輸方向可控。在特殊應用環(huán)境中可實現數據的單向傳送，以避免信息的泄漏。 4、訪問控制 系統(tǒng)支持強大的訪問控制策略，支持通過源地址、目的地址、端口、協(xié)議等多種元素對允許通過網閘傳輸的數據進行過濾 5、協(xié)議分析 系統(tǒng)支持HTTP/HTTPS、POP3、SMTP、FTP、SAMBA、NFS、DNS等多種應用層協(xié)議，可對常見協(xié)議的命令和參數進行分析和過濾。 6、高安全的文件交換 提供基于純文件

13、的交換方式，內網和外網的數據傳輸模塊各自對文件進行病毒掃描、簽名校驗、文件類型校驗、文件內容過濾，對符合要求的文件進行轉發(fā)。不借助任何第三方軟件，完全通過文件的拷貝、粘貼方式實現，為了避免網絡漏洞，網閘不開放任何連通兩側的網絡通道，在保證絕對安全的前提下，通過數據擺渡實現文件交換,19,功能特點,7、內置的數據庫同步模塊 獨立自主開發(fā)完成，完全內置于網閘內部，所有的同步操作由網閘自己獨立完成。不在用戶數據庫中安裝任何客戶端軟件，不需要在用戶網絡中部署專用服務器，對用戶數據庫不作任何改變?？紤]到基于文件的數據交換是最安全的交換方式，所以數據庫同步模塊也采用基于文件的交換方式，所有的數據都通過格式

14、轉換，變成特定格式文件，在通過文件交換的方式傳輸到另一側。網閘兩側不開放任何基于數據庫訪問或者定制TCP的網絡服務端口，避免網絡安全漏洞,20,功能特點,8、多樣化的身份認證 本地認證 系統(tǒng)內置認證數據庫提供本地的用戶名、口令認證，支持HTTP/HTTPS方式實現認證信息的獲取。 數字證書認證 網閘支持數字證書認證，允許客戶端通過HTTP連接向服務器發(fā)送訪問請求。網閘可導入根證書，通過檢查用戶證書格式，證書的過期時間，簽發(fā)者等信息以確認訪問者身份的合法性，還可依據用戶身份屬性判斷其是否具有適當的訪問權限。 RADIUS/RADIUS+遠程訪問認證及LDAP認證 網閘向第三方認證服務器發(fā)送用戶名

15、和口令，一旦認證服務器認證成功，則網閘允許用戶訪問。 9、地址綁定 提供IP與MAC地址綁定功能，可對指定接口所連接的網絡中的主機的IP 和MAC 地址進行綁定，防止內部用戶盜用IP和內網地址資源分配的混亂，方便網絡IP資源管理,21,功能特點,10、內容檢查（一） 提供多種內容安全過濾與內容訪問控制功能，既能有效的防止外部惡意代碼進入內網，也能控制內網用戶對外部資源不良內容的訪問及敏感信息的泄漏。NetGap安全隔離與信息交換系統(tǒng)的內容檢查機制主要針對HTTP、FTP、郵件及文件交換等應用，包括URL過濾、關鍵字過濾、Cookie過濾、文件格式檢查及病毒查殺等操作。 URL/域名過濾 網閘可

16、對用戶訪問的Web站點的域名及URL等進行基于正則表達式的過濾，禁止用戶訪問暴力、色情、反動的主頁或站點中的特定目錄或文件。 關鍵字過濾 網閘可對郵件標題和內容以及傳輸的文件等進行關鍵字過濾，進行單詞及短句的智能匹配，禁止包含特定關鍵字的敏感信息泄漏，或只允許包含相應關鍵字的文件通過網閘傳遞。 COOKIE過濾 網閘可對COOKIE進行過濾。通過對COOKIE進行過濾，可以防止敏感信息的泄漏。同時還可以防止用戶進行瀏覽論壇、上網聊天等違反安全策略的操作,22,功能特點,10、內容檢查（二） 文件格式檢查 網閘可對傳輸的文件進行格式檢查，只允許特定的文件通過網閘傳遞。系統(tǒng)還可對文本類文件進行文件

17、結構檢查，通過可定制的文件結構模版驗證文件是否符合策略要求。 病毒及惡意代碼檢查 系統(tǒng)可內嵌殺病毒引擎，對允許傳輸的文件進行病毒的檢查，確保進入可信網絡的文件不包含病毒及Java/JavaScript/Active-X等惡意代碼,23,功能特點,11、高可用設計 NetGap安全隔離與信息交換系統(tǒng)支持高可用方案，全面解決設備故障與鏈路故障造成的業(yè)務中斷，保證系統(tǒng)7X24小時不間斷服務。 12、負載均衡解決方案 NetGap安全隔離與信息交換系統(tǒng)支持負載均衡解決方案。網閘群集可實現動態(tài)管理和維護，根據實際響應時間制定優(yōu)先響應策略，從而提高系統(tǒng)總體性能、優(yōu)化流量管理、提高群集性能，保證系統(tǒng)正常運行

18、的高可用性和高可靠性。如果訪問量超出了網閘的響應能力，只需增加服務器數目就可平滑升級，無需第三方軟件支持,24,功能特點,13、輕松的管理 NetGap安全隔離與信息交換系統(tǒng)配備專門的管理端口，通過數字證書認證與管理信息的加密傳輸實現網閘設備的集中管理。系統(tǒng)采用全中文的Web方式進行遠程網絡管理，界面友好，操作方便。同時提供基于串口的管理方式。 NetGap安全隔離與信息交換系統(tǒng)支持分級安全管理。分級管理使得對網閘的管理更加安全可控，避免人為因素帶來的安全風險。 兩側主機系統(tǒng)獨立控制，分別配置。 網絡管理員和審計管理員是分開的,25,功能特點,14、安全審計 NetGap安全隔離與信息交換系統(tǒng)

19、提供全面的安全審計能力，用戶可根據特定的需要進行日志審計（包括系統(tǒng)日志、訪問控制策略日志、應用層協(xié)議分析日志、應用層內容檢查日志等）。系統(tǒng)支持本地日志緩存,可實現本地日志的瀏覽查詢等操作。日志依據事件的重要程度分為錯誤/警告/通知三級，支持SYSLOG日志存儲，可實現日志的分級發(fā)送。 NetGap安全隔離與信息交換系統(tǒng)提供管理員多種手段了解網絡運行狀況及可疑事件的發(fā)生。主要方式如下： 控制臺方式：通過管理控制臺可以實時監(jiān)控日志告警信息。 Syslog：以Syslog方式向管理工作站發(fā)送告警信息。 電子郵件：通過向管理員指定的電子郵件帳號發(fā)送電子郵件來發(fā)送報警信息,26,安全隔離與信息交換系統(tǒng),

20、27,應用案例,1、數據庫安全隔離解決方案,28,應用案例,1、數據庫安全隔離解決方案 某政府部門開展電子政務，通過互聯網向社會提供相應政府信息資源。如果允許訪問者通過Web服務器直接向核心數據庫服務器發(fā)起數據查詢請求，則黑客可能穿透防火墻的保護直接侵入后臺數據庫系統(tǒng)，嚴重威脅到業(yè)務的正常開展。 如上圖所示，采用NetGap安全隔離與信息交換系統(tǒng)，在核心數據庫服務器和外部不可信網絡間實現安全隔離。根據更新策略定時將需訪問的數據庫內容同步到前置數據庫系統(tǒng)，對外提供服務。這種方式強化了應用層的安全控制，可有效防止TCP/IP數據包穿越網絡到達核心數據庫服務器，大大增強了系統(tǒng)的安全性，為電子政務的有

21、效開展提供了可靠的保證。 NetGap安全隔離與信息交換系統(tǒng)提供多種數據庫同步方式，支持Oracle、Sybase、SQL Server、MySql、DB2等多種主流數據庫，可實現異類數據庫間的數據同步,29,應用案例,2、安全文件交換解決方案 某機構的計算機網絡由涉密網及辦公網兩部分組成，涉密網涉及重要的信息，禁止非授權人員訪問；但涉密網有部分信息可對低密級用戶公開，在組織內可進行分發(fā)。如通過防火墻保護涉密網絡，則安全性只能得到部分的加強。首先，防火墻的安全程度依賴于操作系統(tǒng)的安全，一旦防火墻被攻破，則被保護網絡暴露在攻擊者的視線之內；其次，作為網關型的訪問控制設備，缺乏對應用層的檢測能力，只要網絡提供相應的服務，就需要在防火墻上開放相應的端口，服務類型越多，潛在的威脅就越大。因此，防火墻并不是在高安全等級的網絡間實現隔離的最佳選擇,30,應用案例,2、安全文件交換解決方案 可在涉密網及辦公網間部署NetGap安全隔離與信息交換系統(tǒng)，在網絡安全隔離的前提下實現安全的文件交換。安全管理員可制定相應的信息交換策略，定時或實時將符合安全級別的文件通過網閘系統(tǒng)分發(fā)到非涉密網；還可以選擇交換的方向、文件類型，對被交換文件進行內容檢查、查病毒等處理，只允許或不允許包含相應內容的文件通過網閘。 用戶傳輸的文件可附帶數字簽名。網閘可對數字