网络物理隔离技术原理与应用

“物理隔离技术:既能满足内外网信息及数据交换需求,又能防止网络安全事件出现的安全技术 基本原理:是避免两台计算机之间直接的信息交换以及物理上的连通,以阻断两台计算机之间的直接在线网络攻击 隔离的目的:是阻断直接网络攻击活动,避免敏感数据向外泄露,保障不同网络安全域之间进行信息及数据交换”

11.网络物理隔离技术原理与应用

• 1. 网络物理隔离概述
  • 1. 网络物理隔离概念
    • 既能满足内外网信息及数据交换需求，又能防止网络安全事件出现的安全技术称为物理隔离技术。其基本原理是避免两台计算机之间直接的信息交换以及物理上的连通，以阻断两台计算机之间的直接在线网络攻击。
  • 2. 网络物理隔离安全风险
    • （1）网络非法外联。---非法私联
    • （2）U盘摆渡攻击。---U盘泄露。如“U盘泄密者”病毒。
    • （3）网络物理隔离产品安全隐患。---自身漏洞
    • （4）针对物理隔离的攻击新方法。利用各种手段，将被隔离计算机中的数据转换为声波、热量、电磁波等模拟信号后发射出去，在接收端通过模数转换复原数据，从而达到窃取信息的目的。如Bitwhisper窃密技术，是利用温度升降原理。
• 2. 网络物理隔离系统与类型
  • 1. 网络物理隔离系统
    • 隔离不同的网络安全区域的系统
  • 2. 网络物理隔离类型
    • 按照隔离的对象来分
      • 单点隔离系统
        • 保护单独的计算机系统
      • 区域隔离系统
        • 针对的是网络环境
    • 按照物理隔离的信息传递方向
      • 双向网络物理隔离系统。---全双工
      • 单向网络物理隔离系统
• 3. 网络物理隔离机制与实现技术
  • 1. 专用计算机上网
    • 只有这台能上网
  • 2. 多PC
    • 一个人多台P，一台用于连接外部网络，另一台用于连接内部网络。
  • 3. 外网代理服务
    • 搞一台上网代理服务器，把外网信息手工导入内部网络
  • 4. 内外网线路切换器
    • 使用物理线路A／B交换盒切换实现内外网连接。
  • 5. 单硬盘内外分区
    • 是把单一硬盘分隔成不同的区域，通过IDE总线控制内外网连接。单硬盘逻辑上分成两台PC，使得单台计算机在某一时刻只能连接到内部网或外部网。
  • 6. 双硬盘
    • 两个硬盘，通过硬盘控制卡对硬盘进行切换控制。在两个硬盘上实际上安装了两个操作系统。缺点是需要不断地重启系统，不易统一管理。
  • 7. 网闸
    • 通过利用一种GAP（---开关）技术实现
    • 安全风险：入侵者可以利用恶意数据驱动攻击，将恶意代码隐藏在电子文档中，将其发送到目标网络中，通过具有恶意代码功能的电子文档触发，构成对内部网络的安全威胁。
  • 8. 协议隔离技术
    • 指处于不同安全域的网络在物理上是有连线的，通过协议转换的手段保证受保护信息在逻辑上是隔离的。其中，协议转换的定义是协议的剥离和重建。把基于网络的公共协议中的应用数据剥离出来，封装为系统专用协议传递至所属其他安全域的隔离产品另一端，再将专用协议剥离，并封装成需要的格式。
  • 9. 单向传输部件
    • 使用单向传输特性的传输部件实现，该传输部件由一对独立的发送和接收部件构成，发送和接收部件只能以单工方式工作。
  • 10. 信息摆渡技术
    • 源---GAP控制--->中间缓存--->GAP控制---目的。在任何时刻，中间缓存区域只与一段安全域相连（只能一边开或一边开）。
  • 11. 物理断开技术
    • 是指处于不同安全域的网络之间不能以直接或间接的方式相连接。在一个物理网络环境中，实施不同安全域的网络物理断开，在技术上应确保信息在物理传导、物理存储上的断开。物理断开通常由电子开关实现。---这种一种综合技术（使用多种技术）
• 4. 网络物理隔离产品与技术指标
  • 1. 网络物理隔离主要产品
    • 1||| 终端隔离产品
      • 采用物理断开技术在终端上实现安全域物理隔离的安全隔离卡或安全隔离计算机。
      • 终端隔离产品一般以隔离卡的方式接入目标主机。隔离卡通过电子开关以互斥的形式实现不同安全区域的连接。一般将隔离卡整合入主机，以整机的形式作为产品。
    • 2||| 网络隔离产品
      • 采用“2＋1”的架构，即以两台主机＋专用隔离部件构成，采用协议隔离技术和信息摆渡技术在网络上实现安全域安全隔离与信息交换。
    • 3||| 网络单向导入产品
      • 单向传输部件（---具有单向传输特性）
  • 2. 网络物理隔离技术指标
    • 网络物理隔离技术指标：主要有安全功能指标、安全保障指标、性能指标。
    • 功能指标
      • 1||| 终端隔离产品
        • 访问控制、不可旁路和客体重用
      • 2||| 网络隔离产品
        • 访问控制、抗攻击、安全管理、标识和鉴别、审计、域隔离、容错、数据完整性和密码支持
      • 3||| 网络单向导入
        • 访问控制、抗攻击、安全管理、标识和鉴别、审计、域隔离、配置数据保护和运行状态监测
    • 安全保障指标
      • 主要是关于产品的质量和服务保障要求
    • 性能要求
      • 交换速率和硬件切换时间。
• 5. 网络物理隔离应用
  • 1. 工作机安全上网实例
    • 通过物理隔离卡实现
  • 2. 电子政务中网闸应用实例
    • 电子政务网络由政务内网和政务外网构成，两网之间物理隔离，政务外网与互联网之间逻辑隔离。
    • 税务外网和内网的数据交换只能通过安全隔离网闸。该网闸技术原理是切断网络之间的通用协议连接，将数据包进行分解或重组为静态数据