安全隔离与信息交换系统PPT课件

1、清信安安全隔离与信息交换系统,安全隔离与信息交换系统,2,需求分析,2000年1月，国家保密局发布实施计算机信息系统国际互联网保密管理规定，明确要求：“涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其他公共信息网络相连，必须实行物理隔离。” 中共中央办公厅2002年第17号文件国家信息化领导小组关于我国电子政务建设指导意见也明确强调：“政务内网和政务外网之间物理隔离，政务外网与互联网之间逻辑隔离。” 信息流通面临涉密网的安全与互通问题。所以必须采取相应的安全措施来保障涉密内网的安全问题,可信网,非可信网,如何安全互通,3,需求分析,传统解决方案之一： 人工拷贝交换数据,可信网,非

2、可信网,人工交换,4,需求分析,传统解决方案之一“人工拷贝交换数据”缺点： 首先，人工投入管理开销比较大，双方必须投入人员参与数据拷贝工作； 其次，人工拷贝实时性较差，无法发挥网络信息技术带来的快速的通信便利等优点； 最后，由于频繁使用软盘或其他存储介质，增加了病毒和木马程序传播的途径和几率，带来新的安全问题。所以该方式无法适应电子政务的发展趋势,5,需求分析,传统解决方案之二： 使用防火墙逻辑隔离,可信网,非可信网,6,需求分析,传统解决方案之二“防火墙逻辑隔离”缺点： 首先防火墙无法抵御数据驱动式攻击，即大量合法的数据包导致网络阻塞而 使正常通信瘫痪； 其次，防火墙很难阻止由通用协议本身漏

3、洞发起的入侵； 再次，防火墙系统本身的缺陷也是影响内部网络安全的重要问题； 另外，只有正确、合理配置防火墙才能起到本身的安全作用，而配置的复杂为网管人员带来烦琐工作量的同时，也增加了配置不当带来的隐患,7,需求分析,传统解决方案之缺点总结： 第一种解决方案虽实现了物理隔离，但缺乏信息实时机制，而且人员管理开销较大； 第二种方案采用了安全防御机制不太严密的逻辑隔离技术来保护涉密网络的信息安全，无疑为数据泄秘和黑客破坏等提供了可能,8,安全隔离与信息交换系统,9,解决方案,安全隔离与信息交换设备，又称网闸：可以为涉密网络提供可靠的保护，该技术利用专用硬件保证两个网络在物理链路层断开的前提下实现数据

4、安全传输和资源共享，并能够显著提高内部用户网络的安全强度,10,解决方案,硬件隔离：系统采用双主机+专有隔离硬件的体系架构，即包括外网主机模块、内网主机模块和隔离交换模块。确保两个网络之间无物理层的直接连接，实现物理隔离。 协议阻断：在两个主机系统之间采用专有协议，阻断TCP/IP协议的连接。这样基于操作系统的漏洞攻击和网络层协议的攻击基本被杜绝或者只发生在外网主机系统，从而实现一种隔离交换的安全。 应用层检测：前面两点只解决了网络层的安全，因此，网闸必须针对具体的协议（可能是用户自定义的协议）进行检测，对各种应用层协议进行细粒度分析，甚至要对应用数据进行检测，比如各种表单、数据格式等等进行检

5、测，从而实现最高安全,特点,11,解决方案,工作原理：NetGap安全隔离与信息交换系统的工作原理基于人工信息交换的工作模式，即由内外网主机模块分别负责接收来自所连接网络的访问请求，两模块间通过专用隔离交换模块连接，实现两个主机没有直接的网络连接的建立。在此前提下，通过专有硬件实现网络间信息的实时交换。这种交换并不是数据包的转发，而是应用层数据的静态读写操作，因此可信网的用户可以通过安全隔离与信息交换系统放心的访问非可信网的资源，而不必担心可信网的安全受到影响。 信息通过网闸传递需经过多个安全模块的检查，以验证被交换信息的合法性。当访问请求到达内外网主机模块时，首先由网闸实现TCP连接的终结，

6、确保TCP/IP协议不会直接或通过代理方式穿透网闸；然后，内外网主机模块会依据安全策略对访问请求进行预处理，判断是否符合访问控制策略，并依据RFC或定制策略对数据包进行应用层协议检查和内容过滤，检验其有效载荷的合法性和安全性。一旦数据包通过了安全检查，内外网主机模块会对数据包进行格式化，将传输信息和传输数据分别转换成专有格式数据，存放在缓冲区等待被隔离交换模块处理。这种“静态”的数据形态不可执行，不依赖于任何通用协议，只能被网闸的内部处理机制识别及处理，因此可避免遭受利用各种已知或未知网络层漏洞的威胁,12,解决方案,13,解决方案,工作原理： NetGap安全隔离与信息交换系统通过专有的隔离

7、交换卡实现内外网主机模块缓冲区的内存映射功能，将制定区域的数据复制到对端相应的区域，完成数据的交换。隔离交换卡内嵌安全芯片，采用高速全双工流水线设计，内部吞吐速率达2Gbps，完全可以满足高速数据交换的需要。 隔离交换模块固化控制逻辑，采用互斥机制保证隔离交换子系统在读写一端主机模块的数据前先中止与另一端的操作，以确保网闸在任意时刻只与一个网络连接，可信网与非可信网间不存在链路层通路，在物理层实现隔离。 当内外网主机模块通过隔离交换模块接收到来自另一端的格式化数据，可根据本端的安全策略进行进一步的应用层安全检查。经检验合格，则进行逆向转换，将格式化数据转换成符合RFC标准的TCP/IP数据包，

8、将数据包发送到目的计算机,14,安全隔离与信息交换系统,15,功能特点,1、纯硬件隔离交换系统（一）： 专有芯片实现数据交换：通过专有安全芯片实现安全隔离，不同于采用计算机系统所配备的标准USB、串口、1394协议等非网络接口实现安全隔离，具有高度安全性。 硬件独立控制逻辑：硬件本身具有独立控制逻辑，不受任何软系统控制，数据交换不受任何外部信号和指令控制，内外主机系统只能负责往指定的交换区存放或读写数据，不能对交换过程做其他任何控制，实现了完全基于硬件进行安全交换。 可靠传输：支持CRC校验以保证隔离交换卡之间数据的可靠传输，系统自动进行CRC校验，当出现CRC校验错时，系统支持数据重传，真正

9、实现服务器级可靠性。 双摆渡技术：通过硬件控制逻辑，隔离交换卡首先断开彼此之间的物理连接，分别连接内外网主机系统，内外网主机系统把需要交换的数据写入或者读出制定的交换区，完成一次摆渡，然后隔离交换卡通过硬件控制逻辑断开与内外网主机系统的连接，彼此之间建立连接，自动进行协商，实现数据交换，完成二次摆渡。通过双摆渡技术，内外网络永远不会直接连接，并在此基础上实现内外网络的安全隔离,16,功能特点,1、纯硬件隔离交换系统（二）： 硬件自动协商：隔离交换卡设计有独立控制硬件逻辑，在实现双摆渡技术中，隔离交换卡自动进行协商，数据交换实现硬件互斥访问，按照分时轮询机制实现对连接的自动、高效的控制，防止信号

10、死锁。 专有协议交换：安全隔离与信息交换系统只能按照专有的格式进行数据交换，任何数据必须经过分析、过滤按照确定的方式进行交换。系统底层实现了专有信息传输，自动完成信息的转化和恢复。 数据分片重组：由于实现了协议和数据的分离，系统只会传递静态纯数据，为了实现用户的透明访问，保障任意大小的数据块都能顺利传输，系统底层自动实现了数据文件按照交换区大小进行自动的分片传输，在系统另一侧，自动按照约定的专有协议进行数据重组，从而实现任意数据的交换。 实现总线独享，高速流水线操作。无需CPU调度，无需总线竞争和申请，每步操作无需等待，实现高效交换,17,功能特点,2、丰富的应用模块 根据不同的应用环境，量身

11、定制多个功能模块，以满足用户的不同需求，主要包括： 文件交换模块：实现不同安全等级网络间文件的安全交换。 数据库同步模块：通过灵活的同步机制，保证安全等级不同的网络中的数据库系统实现数据同步更新。 数据库访问模块：在安全访问控制的前提下，通过安全隔离网闸实现一侧数据库客户端对另一侧的数据库服务器的访问。 FTP访问模块：客户端通过网闸实现可控制的访问ftp服务器。 邮件访问：客户端通过网闸可以访问另一侧的件服务器。 安全浏览模块：保证在内外网隔离的环境下，内网用户安全浏览外网资源。 通用模块：保证内外网隔离的同时实现TELNET、DNS、TNS等协议及其他通用TCP/IP协议的定制交换。 其它

12、定制用户专有应用模块,18,功能特点,3、传输方向控制 NetGap安全隔离与信息交换系统采用双通道通信机制，从可信网到非可信网的数据流与从非可信网到可信网的数据流采用不同的数据通道，对通道的分离控制保证各通道的传输方向可控。在特殊应用环境中可实现数据的单向传送，以避免信息的泄漏。 4、访问控制 系统支持强大的访问控制策略，支持通过源地址、目的地址、端口、协议等多种元素对允许通过网闸传输的数据进行过滤 5、协议分析 系统支持HTTP/HTTPS、POP3、SMTP、FTP、SAMBA、NFS、DNS等多种应用层协议，可对常见协议的命令和参数进行分析和过滤。 6、高安全的文件交换 提供基于纯文件

13、的交换方式，内网和外网的数据传输模块各自对文件进行病毒扫描、签名校验、文件类型校验、文件内容过滤，对符合要求的文件进行转发。不借助任何第三方软件，完全通过文件的拷贝、粘贴方式实现，为了避免网络漏洞，网闸不开放任何连通两侧的网络通道，在保证绝对安全的前提下，通过数据摆渡实现文件交换,19,功能特点,7、内置的数据库同步模块 独立自主开发完成，完全内置于网闸内部，所有的同步操作由网闸自己独立完成。不在用户数据库中安装任何客户端软件，不需要在用户网络中部署专用服务器，对用户数据库不作任何改变。考虑到基于文件的数据交换是最安全的交换方式，所以数据库同步模块也采用基于文件的交换方式，所有的数据都通过格式

14、转换，变成特定格式文件，在通过文件交换的方式传输到另一侧。网闸两侧不开放任何基于数据库访问或者定制TCP的网络服务端口，避免网络安全漏洞,20,功能特点,8、多样化的身份认证 本地认证 系统内置认证数据库提供本地的用户名、口令认证，支持HTTP/HTTPS方式实现认证信息的获取。 数字证书认证 网闸支持数字证书认证，允许客户端通过HTTP连接向服务器发送访问请求。网闸可导入根证书，通过检查用户证书格式，证书的过期时间，签发者等信息以确认访问者身份的合法性，还可依据用户身份属性判断其是否具有适当的访问权限。 RADIUS/RADIUS+远程访问认证及LDAP认证 网闸向第三方认证服务器发送用户名

15、和口令，一旦认证服务器认证成功，则网闸允许用户访问。 9、地址绑定 提供IP与MAC地址绑定功能，可对指定接口所连接的网络中的主机的IP 和MAC 地址进行绑定，防止内部用户盗用IP和内网地址资源分配的混乱，方便网络IP资源管理,21,功能特点,10、内容检查（一） 提供多种内容安全过滤与内容访问控制功能，既能有效的防止外部恶意代码进入内网，也能控制内网用户对外部资源不良内容的访问及敏感信息的泄漏。NetGap安全隔离与信息交换系统的内容检查机制主要针对HTTP、FTP、邮件及文件交换等应用，包括URL过滤、关键字过滤、Cookie过滤、文件格式检查及病毒查杀等操作。 URL/域名过滤 网闸可

16、对用户访问的Web站点的域名及URL等进行基于正则表达式的过滤，禁止用户访问暴力、色情、反动的主页或站点中的特定目录或文件。 关键字过滤 网闸可对邮件标题和内容以及传输的文件等进行关键字过滤，进行单词及短句的智能匹配，禁止包含特定关键字的敏感信息泄漏，或只允许包含相应关键字的文件通过网闸传递。 COOKIE过滤 网闸可对COOKIE进行过滤。通过对COOKIE进行过滤，可以防止敏感信息的泄漏。同时还可以防止用户进行浏览论坛、上网聊天等违反安全策略的操作,22,功能特点,10、内容检查（二） 文件格式检查 网闸可对传输的文件进行格式检查，只允许特定的文件通过网闸传递。系统还可对文本类文件进行文件

17、结构检查，通过可定制的文件结构模版验证文件是否符合策略要求。 病毒及恶意代码检查 系统可内嵌杀病毒引擎，对允许传输的文件进行病毒的检查，确保进入可信网络的文件不包含病毒及Java/JavaScript/Active-X等恶意代码,23,功能特点,11、高可用设计 NetGap安全隔离与信息交换系统支持高可用方案，全面解决设备故障与链路故障造成的业务中断，保证系统7X24小时不间断服务。 12、负载均衡解决方案 NetGap安全隔离与信息交换系统支持负载均衡解决方案。网闸群集可实现动态管理和维护，根据实际响应时间制定优先响应策略，从而提高系统总体性能、优化流量管理、提高群集性能，保证系统正常运行

18、的高可用性和高可靠性。如果访问量超出了网闸的响应能力，只需增加服务器数目就可平滑升级，无需第三方软件支持,24,功能特点,13、轻松的管理 NetGap安全隔离与信息交换系统配备专门的管理端口，通过数字证书认证与管理信息的加密传输实现网闸设备的集中管理。系统采用全中文的Web方式进行远程网络管理，界面友好，操作方便。同时提供基于串口的管理方式。 NetGap安全隔离与信息交换系统支持分级安全管理。分级管理使得对网闸的管理更加安全可控，避免人为因素带来的安全风险。 两侧主机系统独立控制，分别配置。 网络管理员和审计管理员是分开的,25,功能特点,14、安全审计 NetGap安全隔离与信息交换系统

19、提供全面的安全审计能力，用户可根据特定的需要进行日志审计（包括系统日志、访问控制策略日志、应用层协议分析日志、应用层内容检查日志等）。系统支持本地日志缓存,可实现本地日志的浏览查询等操作。日志依据事件的重要程度分为错误/警告/通知三级，支持SYSLOG日志存储，可实现日志的分级发送。 NetGap安全隔离与信息交换系统提供管理员多种手段了解网络运行状况及可疑事件的发生。主要方式如下： 控制台方式：通过管理控制台可以实时监控日志告警信息。 Syslog：以Syslog方式向管理工作站发送告警信息。 电子邮件：通过向管理员指定的电子邮件帐号发送电子邮件来发送报警信息,26,安全隔离与信息交换系统,

20、27,应用案例,1、数据库安全隔离解决方案,28,应用案例,1、数据库安全隔离解决方案 某政府部门开展电子政务，通过互联网向社会提供相应政府信息资源。如果允许访问者通过Web服务器直接向核心数据库服务器发起数据查询请求，则黑客可能穿透防火墙的保护直接侵入后台数据库系统，严重威胁到业务的正常开展。 如上图所示，采用NetGap安全隔离与信息交换系统，在核心数据库服务器和外部不可信网络间实现安全隔离。根据更新策略定时将需访问的数据库内容同步到前置数据库系统，对外提供服务。这种方式强化了应用层的安全控制，可有效防止TCP/IP数据包穿越网络到达核心数据库服务器，大大增强了系统的安全性，为电子政务的有

21、效开展提供了可靠的保证。 NetGap安全隔离与信息交换系统提供多种数据库同步方式，支持Oracle、Sybase、SQL Server、MySql、DB2等多种主流数据库，可实现异类数据库间的数据同步,29,应用案例,2、安全文件交换解决方案 某机构的计算机网络由涉密网及办公网两部分组成，涉密网涉及重要的信息，禁止非授权人员访问；但涉密网有部分信息可对低密级用户公开，在组织内可进行分发。如通过防火墙保护涉密网络，则安全性只能得到部分的加强。首先，防火墙的安全程度依赖于操作系统的安全，一旦防火墙被攻破，则被保护网络暴露在攻击者的视线之内；其次，作为网关型的访问控制设备，缺乏对应用层的检测能力，只要网络提供相应的服务，就需要在防火墙上开放相应的端口，服务类型越多，潜在的威胁就越大。因此，防火墙并不是在高安全等级的网络间实现隔离的最佳选择,30,应用案例,2、安全文件交换解决方案 可在涉密网及办公网间部署NetGap安全隔离与信息交换系统，在网络安全隔离的前提下实现安全的文件交换。安全管理员可制定相应的信息交换策略，定时或实时将符合安全级别的文件通过网闸系统分发到非涉密网；还可以选择交换的方向、文件类型，对被交换文件进行内容检查、查病毒等处理，只允许或不允许包含相应内容的文件通过网闸。 用户传输的文件可附带数字签名。网闸可对数字