黃曉乾

（湖南高速鐵路職業(yè)技術(shù)學(xué)院，湖南 衡陽(yáng) 421000）

1 隔離網(wǎng)閘技術(shù)的概念

隔離網(wǎng)閘技術(shù)是使用帶有多種控制功能的固態(tài)開關(guān)讀寫介質(zhì)連接兩個(gè)獨(dú)立主機(jī)系統(tǒng)的信息安全設(shè)備。由于隔離網(wǎng)閘所連接的兩個(gè)獨(dú)立主機(jī)系統(tǒng)之間，不存在通信的物理連接、邏輯連接、信息傳輸命令、信息傳輸協(xié)議，不存在依據(jù)協(xié)議的信息包轉(zhuǎn)發(fā)，只有數(shù)據(jù)文件的無(wú)協(xié)議“擺渡”，且對(duì)固態(tài)存儲(chǔ)介質(zhì)只有“讀”和“寫”兩個(gè)命令。所以，隔離網(wǎng)閘從物理上隔離、阻斷了具有潛在攻擊可能的一切連接。

隔離網(wǎng)閘技術(shù)是在保證兩個(gè)網(wǎng)絡(luò)安全隔離的基礎(chǔ)上實(shí)現(xiàn)安全信息交換和資源共享的技術(shù)。

2 隔離網(wǎng)閘的主要功能

對(duì)于一個(gè)物理網(wǎng)絡(luò)隔離設(shè)備,為了能夠有效的阻斷網(wǎng)路的直接連接,也要能夠方便地進(jìn)行內(nèi)外網(wǎng)之間的資源共享,并且能夠進(jìn)行有效的管理和控制。要做到這些,網(wǎng)閘設(shè)備應(yīng)該支持如下功能：

（1）阻斷網(wǎng)絡(luò)的直接物理連接。物理隔離網(wǎng)閘在任何時(shí)刻都只能與非可信網(wǎng)絡(luò)和可信網(wǎng)絡(luò)上之一相連接,而不能同時(shí)與兩個(gè)網(wǎng)絡(luò)連接。

（2）阻斷網(wǎng)絡(luò)的邏輯連接。物理隔離網(wǎng)閘不依賴操作系統(tǒng)、不支持TCP/IP協(xié)議。兩個(gè)網(wǎng)絡(luò)之間的信息交換必須將TCP/IP協(xié)議剝離,將原始數(shù)據(jù)通過P2P的非TCP/IP連接方式,通過存儲(chǔ)介質(zhì)的 “寫入”與“讀出”完成數(shù)據(jù)轉(zhuǎn)發(fā)。

（3）數(shù)據(jù)傳輸機(jī)制的不可編程性。物理隔離網(wǎng)閘的數(shù)據(jù)傳輸機(jī)制具有不可編程的特性。

（4）安全審查。物理隔離網(wǎng)閘具有安全審查功能,即網(wǎng)絡(luò)在將原始數(shù)據(jù)“寫入”物理隔離網(wǎng)閘前,根據(jù)需要對(duì)原始數(shù)據(jù)的安全性進(jìn)行檢查,把可能的病毒代碼、惡意攻擊代碼消滅干凈等。

（5）原始數(shù)據(jù)無(wú)危害性。物理隔離網(wǎng)閘轉(zhuǎn)發(fā)的原始數(shù)據(jù),不具有攻擊或?qū)W(wǎng)絡(luò)安全有害的特性。就像txt文本不會(huì)有病毒一樣,也不會(huì)執(zhí)行命令等。

（6）管理和控制功能。建立完善的日志系統(tǒng)。

（7）根據(jù)需要提供定制安全策略和傳輸策略的功能。用戶可以自行設(shè)定數(shù)據(jù)的傳輸策略,如:傳輸單位 (基于數(shù)據(jù)還是基于任務(wù))、傳輸間隔、傳輸方向、傳輸時(shí)問、啟動(dòng)時(shí)間等。

（8）郵件同步：支持標(biāo)準(zhǔn)的SMTP服務(wù),安全、高可用性的郵件過濾策略,可為每個(gè)用戶配置不同的郵件交換策略,內(nèi)外網(wǎng)郵件鏡像等。

（9）支持 Web 方式。

（10）數(shù)據(jù)庫(kù)同步。雙向/單向數(shù)據(jù)同步,同步內(nèi)容可定制,多種同步方式,數(shù)據(jù)可定時(shí)更新。

3 隔離網(wǎng)閘關(guān)鍵技術(shù)

第一，具有高度的安全性，至少在理論和實(shí)踐上要比防火墻高一個(gè)安全級(jí)別。除了和防火墻一樣對(duì)操作系統(tǒng)進(jìn)行加固優(yōu)化或采用安全操作系統(tǒng)外，關(guān)鍵在于要把外網(wǎng)接口和內(nèi)網(wǎng)接口從一套操作系統(tǒng)中分離出來(lái)。也就是說至少要由兩套主機(jī)系統(tǒng)組成，一套控制外網(wǎng)接口，另一套控制內(nèi)網(wǎng)接口，然后在兩套主機(jī)系統(tǒng)之間通過不可路由的協(xié)議進(jìn)行數(shù)據(jù)交換。

第二，網(wǎng)間完全隔離，關(guān)鍵是網(wǎng)絡(luò)包不可路由到對(duì)方網(wǎng)絡(luò)，無(wú)論中間采用了什么轉(zhuǎn)換方法，只要最終使得一方的網(wǎng)絡(luò)包能夠進(jìn)入到對(duì)方的網(wǎng)絡(luò)中，都無(wú)法稱之為隔離，即達(dá)不到隔離的效果。顯然，只是對(duì)網(wǎng)間的包進(jìn)行轉(zhuǎn)發(fā)，并且允許建立端到端連接的防火墻，是沒有任何隔離效果的。此外，那些只是把網(wǎng)絡(luò)包轉(zhuǎn)換為文本，交換到對(duì)方網(wǎng)絡(luò)后，再把文本轉(zhuǎn)換為網(wǎng)絡(luò)包的產(chǎn)品也是沒有做到隔離的。

第三，數(shù)據(jù)交換安全，既然要達(dá)到網(wǎng)絡(luò)隔離，就必須做到徹底防范基于網(wǎng)絡(luò)協(xié)議的攻擊，即不能夠讓網(wǎng)絡(luò)層的攻擊包到達(dá)要保護(hù)的網(wǎng)絡(luò)中，所以就必須進(jìn)行協(xié)議分析，完成應(yīng)用層數(shù)據(jù)的提取，然后進(jìn)行數(shù)據(jù)交換，這樣就把諸如TearDrop、Land、Smurf和SYN Flood等網(wǎng)絡(luò)攻擊包，徹底地阻擋在了可信網(wǎng)絡(luò)之外，從而明顯地增強(qiáng)了可信網(wǎng)絡(luò)的安全性。

第四，訪問控制，作為一套適用于高安全度網(wǎng)絡(luò)的安全設(shè)備，要確保每次數(shù)據(jù)交換都是可信的和可控制的，嚴(yán)格防止非法通道的出現(xiàn)，以確保信息數(shù)據(jù)的安全和訪問的可審計(jì)性。所以必須施加以一定的技術(shù)，保證每一次數(shù)據(jù)交換過程都是可信的，并且內(nèi)容是可控制的，可采用基于會(huì)話的認(rèn)證技術(shù)和內(nèi)容分析與控制引擎等技術(shù)來(lái)實(shí)現(xiàn)。

第五，網(wǎng)絡(luò)暢通，隔離技術(shù)會(huì)在多種多樣的復(fù)雜網(wǎng)絡(luò)環(huán)境中運(yùn)用，并且往往是數(shù)據(jù)交換的關(guān)鍵點(diǎn)，因此，要具有很高的處理性能，不能夠成為網(wǎng)絡(luò)交換的瓶頸，要有很好的穩(wěn)定性；不能夠出現(xiàn)時(shí)斷時(shí)續(xù)的情況，要有很強(qiáng)的適應(yīng)性，能夠透明接入網(wǎng)絡(luò)，并且透明支持多種應(yīng)用。

因此，隔離的關(guān)鍵點(diǎn)就成了要盡量提高網(wǎng)間數(shù)據(jù)交換的速度，并且對(duì)應(yīng)用能夠透明支持，以適應(yīng)復(fù)雜和高帶寬需求的網(wǎng)間數(shù)據(jù)交換。

4 隔離網(wǎng)閘技術(shù)的發(fā)展

網(wǎng)閘技術(shù)隨著互聯(lián)網(wǎng)的發(fā)展也在飛速改進(jìn),現(xiàn)在出現(xiàn)了數(shù)據(jù)通道技術(shù),并且己經(jīng)成功地應(yīng)用到網(wǎng)閘技術(shù)中。

所謂通道控制技術(shù)是指用硬件的手段將進(jìn)數(shù)據(jù)通道和出數(shù)據(jù)通道分開,甚至在單向系統(tǒng)中只有進(jìn)通道而沒有出通道。通道控制做到了進(jìn)出信息的分開處理,結(jié)合有效的內(nèi)容檢查引擎和特殊的協(xié)議棧,可以做到信息檢查的完備性,防止信息旁路,因此安全性和保密性也比傳統(tǒng)安全手段高出許多。傳統(tǒng)網(wǎng)閘技術(shù),很少能直接進(jìn)行協(xié)議交互,影響用戶使用,并且對(duì)信道不能進(jìn)行完全控制,造成隱信息傳送的可能。此外基于傳統(tǒng)網(wǎng)絡(luò)開關(guān)網(wǎng)閘技術(shù)并不能提供高強(qiáng)度的、國(guó)家認(rèn)可的涉密內(nèi)容檢查機(jī)制?；谕ǖ揽刂频母綦x交換系統(tǒng)采用全新的硬件映射技術(shù),能在瞬時(shí)內(nèi)完成內(nèi)外網(wǎng)的信息交互,可以在隔離的條件下提供很好的的實(shí)時(shí)交互性。而且安全隔離交換系統(tǒng)采用特有的通道模式,可以對(duì)信道進(jìn)行完全控制,從根本上杜絕泄密的可能。這就是第二代網(wǎng)閘技術(shù),目前市場(chǎng)上主流的網(wǎng)閘產(chǎn)品都是基于第二代網(wǎng)閘技術(shù)。

但是,第二代網(wǎng)閘產(chǎn)品也并非完美無(wú)缺,也不可能完全徹底的達(dá)到隔離和達(dá)到防攻擊的效果。市場(chǎng)上出現(xiàn)了一種最新的產(chǎn)品,可以說是第三代網(wǎng)閘產(chǎn)品,這種網(wǎng)絡(luò)產(chǎn)品采用3機(jī)系統(tǒng)的設(shè)計(jì)模型:一個(gè)與外網(wǎng)相連的外端機(jī),一個(gè)與內(nèi)網(wǎng)相連的內(nèi)端機(jī)和一個(gè)介于兩者之間獨(dú)立的仲裁機(jī),內(nèi)端機(jī)和外端機(jī)通過專用硬件與仲裁機(jī)相連,內(nèi)端機(jī)和外端機(jī)分別是內(nèi)網(wǎng)和外網(wǎng)的網(wǎng)絡(luò)協(xié)議的終點(diǎn)。所有過往的應(yīng)用層信息都從內(nèi)網(wǎng)和外網(wǎng)的網(wǎng)絡(luò)協(xié)議(例如T C P/I P)中剝離,被還原為應(yīng)用層信息。應(yīng)用層信息再通過專用硬件和專用通信協(xié)議發(fā)送給仲裁系統(tǒng)。仲裁系統(tǒng)對(duì)收到的應(yīng)用層信息進(jìn)行過濾檢查,控制網(wǎng)絡(luò)間傳播的信息內(nèi)容,同時(shí)對(duì)病毒等惡意代碼進(jìn)行查殺。仲裁系統(tǒng)采用專用硬件和專用協(xié)議與內(nèi)外端機(jī)相連,不會(huì)被任何人從內(nèi)部或外部借助通用的網(wǎng)絡(luò)協(xié)議到達(dá),因此仲裁系統(tǒng)不會(huì)受到黑客的攻擊。可以說,這又是網(wǎng)閘技術(shù)的一次飛躍。當(dāng)然,“道高一尺,魔高一丈”,不管黑客技術(shù)如何改進(jìn)、發(fā)展,總會(huì)在隨后出現(xiàn)新的安全技術(shù),保證互聯(lián)網(wǎng)的健康發(fā)展,我們期待下一代網(wǎng)閘產(chǎn)品的面世。

［1］汪鳴.隔離網(wǎng)閘技術(shù)淺析[J].商場(chǎng)現(xiàn)代化,2011,11(中旬刊),總第665期.

［2］李江味.隔離網(wǎng)閘技術(shù)的現(xiàn)狀與應(yīng)用[J].軟件導(dǎo)刊,2005(18).

［3］鄭煒,須文波.隔離網(wǎng)閘的設(shè)計(jì)與實(shí)現(xiàn)[J].微計(jì)算機(jī)信息,2005(25).