光闸技术方案设计.pdf

《光闸技术方案设计.pdf》由会员分享，可在线阅读，更多相关《光闸技术方案设计.pdf（5页珍藏版）》请在金锄头文库上搜索。

1、 工程师笔记 光闸技术方案设计 一 一 前言 随着 网络应 用范 围 的 日益 扩大和 网 络应 用技术的不断深入 ， 网络 安全问题越 来越受到安全厂商甚至普通用户的关注， 为满足用户 日益增长 的网络安全需 求 ， 安 全厂商不断发布新产品和研发新技术 ， 但 无论网络安全技术如何发展 ， 网络及网络 上的信 息资 源依 然 存在着 相 当的安 全风 险， 目前的安全产品如防火墙、 网闸等由 于不 能彻底解 决 内外部协议连 接的 问题 ， 安全性受到质疑， 无法满足涉密级别高的 跨网文件传输需求。 为此 ， 很多高度重视 内部信 息安全的 企事业单位， 会选择内网与互联网分离的 管理方式

2、， 比较典型的做法是设置专用的 访问互联网的电脑， 日常办公电脑只与内 部网络相连 ， 二者实现物理上的分离。但 采用 这种 网络安全管理 方式时 ， 如何 将在 外网下载的资料、文档等便捷传输到内 网， 同时又能保证内部数据最安全 ， 成为 目前急需解决的技术难题。 为解决上述问题 ， 从绝对保证安全性 的角度，结合绝密网普遍的应用需求， 光 闸系统应运而生， 这是一种新模型下的系 统 ， 为用户提供 了用于将外 网的文件安全 传输到内网的单向文件传输功能。光 闸系 统采用了旁路分光采集还原技术， 同传统 的网闸技术相比， 具有传输带宽高、 数据 传输实时性强等特点 ；该系统实现简单、 维护

3、与管理也很便捷， 特别适合于解决对 内部数据有极高安全要求的用户将互联 网文件由外网自动安全地传输内网的问 题。同时， 该单向文件传输系统还集成了 加密模块和扩展模块， 更大的提升了安全 度和可扩展性。 网络安全威胁分析 早期的计算机网络主要用来收发邮 件和共享打印机等， 这时的共享程度和信 息交互程序还是初步的， 相应的， 这个时 期网络安全问题也不很突 出 ， 没有引起过 人们太大的注意。但是随着 网络 的快速发 展及 广泛应 用 ， 安 全 问题 逐步 凸显 ， 因此 我们 需要通过对各类攻击手段进行研 究 ， 分门别类 ， 从而提 出具体的应对措施 。 在此 为方便讨 论 ， 我们 把

4、 网络 安全威 胁 大致划 分为基 于主 机 的攻 击和 基于 网 络 的攻击 ， 如下所述 ： 基于主机的攻击 基于主机的攻击 主要包括文件病毒、 非法插件和木马。 文件病毒： 指编制或者在计算机程序 中插入的破坏计算机功能或者毁坏数据 ， 影响计算机使用， 并能自我复制的一组计 算机指令或者程序代码。计算机病毒有寄 生性、 传染性、 隐蔽性、 破坏性和可触发性 等特性。常见的有系统病毒、 蠕虫病毒、 邮 件病毒、 脚本病毒和宏病毒等。 非法插件 ： 这类软件介于病毒与正规 软件之间， 对系统造成的破坏较小。主要 包括一些浏览器插件、 密码窃取、 行为记 录 以及键盘钩子等恶作剧程序。 木马

5、： 通常假扮成有用的程序诱骗用 户主动激 活 ， 或利 用系统 漏洞侵入 用户 电 脑。木马进入用户 电脑后 隐藏在 系统 目录 下， 然后修改注册表 ， 完成黑客制定的操 作。它是一种基于远程控制的黑客工具 ， 具有隐蔽性和非授权性的特点。 基于网络的攻 击基于网络的攻击主 要是拒绝服务和分布式拒绝服务。 拒绝服务攻 击 ： 即攻 击者想办 法让 目 标机器停止提供服务或资源访问， 是黑客 常用的攻击手段之一。这些资源包括磁盘 空间、 内存、 进程 ， 甚至网络带宽， 从而阻 止正 常用户 的访 问。 对 网络 带宽 进行 的消耗 性 攻 击只是 拒绝服务攻击的一小部 分。只要能够 对 目

6、标造成麻烦， 使某些服务被暂停甚至主机 死机 ， 都属于拒绝服务攻击。 拒绝服务攻击问题也一直得不到合 理的解决 ， 主要因为这种攻击行为是由于 网络协议本身的安全缺陷造成的， 从而拒 绝服务攻击也成为了攻击者的终极手法。 攻击者进行拒绝服务攻击， 一是迫使服务 器的缓冲区满 ， 不接收新的请求 ； 二是使 屯 子 世 界 2 0 1 1 o 3 2 6一 用 I P欺骗， 迫使服务器把合法用户的连接 复位 ， 影响合 法用户 的连接。 目前 主 要 的 DO S 攻 击 有 ： S Y N F lo o d 、 I P欺骗 、 UD P F lo o d 、 P i n g F l o o

7、d 、 I P 碎 片攻击等。 分布式拒绝服务 DD O S是在 D OS 基础上发展起来的， 它通过多台终端同时 向一台目标主机发起拒绝服务攻击。由于 D D OS具有 多个攻 击来 源 ， 使得 它的攻 击 效率比DOS高， 效果也更明显。D D OS的 多源性， 使得它比 D OS更具有隐蔽性， 不 易被 受攻击 目标追 查到确 切 的攻 击发 起 源。 另一方面， 相对于 D OS ， 在 目标主机上 对 D DO S的防御难度也更高。 通过以上对各类攻击的深入分析不 难发现 ， 受攻击目标存在安全漏洞， 是网 络安全问题频现的根本原因。很大程度 上， 系统的安全漏洞是造成入侵和攻击的

8、 根源。 常见的技术漏洞包括 ： 设计上的漏 洞： 操作 系统 自身的漏洞 ； 软件中存 在的错误、 缺陷和漏洞 ； 数据库中的安 全漏洞。 不论出于什么目的的攻击者， 基本都 是利用上 述各类漏洞来达到 自己的 目的 ； 与此同时， 被攻击目标将竭尽所能的来弥 补这些漏洞、 抵御来自各方的攻击， 这个 实际的矛盾同时也促进了网络安全技术 的发展与进步 。 常用 网络安全解决方案 形形色色的网络攻击一直促使着网 络防御技术的发展， 目前网络安全技术已 较 为成熟 ， 相应 的产品也早 已上市。不过 ， 只要有计算机网络的存在 ， 网络的攻防战 就永远不会结束。 下 面就 当前 针对 网络安 全

9、 问题所 采 取的主要措施进行总结。 反病毒技术 常见的反病毒技术有两 类， 即用户主动预防和第三方软件定期扫 描。 用户主动采取预防措施。这需要根据 不同的保护对象采取不同的主动预防措 工程师笔记 向明显， 对安全措施的提高与丰富提出了 更多更高的要求。 面对这种状况， 国家有关部门纷纷发 文， 要求对网络进行隔离。根据我国 2 0 0 0 年 1月 1日起颁布实施的 计算机信息系 统国际联网保密管理规定 第二章保密制 度第六条的规定， “ 涉及国家秘密的计算 机信息系统， 不得直接或间接地与国际互 联网或其他公共信息网络相连接， 必须实 行物理隔离” 。各级政府机关和涉密单位， 必须将 已

10、建成的办公局域网同 I n t e r n e t 或上一级专网实行物理隔离 ， 正在建设的 电子政务网络必须实现物理隔离。 各级政府 、 金融 、 电力等 重要 部 门按 照保密规定， 对计算机和计算机网络的管 理采用了多自治域、多组织域的模式， 把 计算机网络甚至是计算机主机划分为不 同安全等级的管理域。为保证关键域内信 息的机密性， 这些域内的计算机网络严禁 与非信任域的网络进行连接 ， 甚至是同一 安全等级 下 的内部 网络也 进行 了划分和 隔离， 这样就在部门内部、 部门之间以及 部 门与外界间形成 了多个域 间的“ 信 息孤 岛” 。 “ 信息孤岛” 的形成， 对“ 孤岛” 上信

11、息 的机密性的保护起到了积极的作用， 但是 在信息化高度发达的今天， 这种保护模式 严 重的阻碍 了各信任域 问信 息的交互 ； 另 一 方面， 在这种模式下， 共享数据要求分 别存储到多个自治域中， 多备份的状况为 数据维护带来了极大的不便 ， 同时也很难 满足用户对数据共享的要求。 “ 信息孤岛”模式根本不能满足信息 的实时交互， 从而限制了实时业务的正常 开展。这种模式十分低效 ， 不能满足用户 信 息交互要求。 在网络时代，信息总是要交互的， 彻 底物理隔离不是解决网络安全最好的办 法。为了达到既能隔离又能进行安全的数 据交换的目的，人们开始寻求一种全新、 简洁的网络安全技术 ， 要求

12、其能在保证安 全的情况下进行数据传输这就是所 谓的网络隔离技术。 网络隔离技术 从物理隔离到网络隔离 ， 大致经历了 三个阶段 的发展。 断开 此方法使得 网络 处于“ 信 息孤 岛” 状态。要做到完全的物理隔离， 需要至 网单元向控制单元 ( 专用数据迁移模块 ) 少两套网络和系统， 分别联接内外两个网 发起请求并连通 ， 涉密网单元将经过协议 络。两个网络间信息交互的方式只能通过 剥离后的数据文件写入控制单元此 原始的人工拷盘。 时非涉密网单元与控制单元是断开的。 这种方式投资成本高、网络设置复 数据传输完毕， 涉密网单元与控制单 杂、 维护难度大。一旦出现问题， 会对效率 元断开 ，然后

13、控制单元连通非涉密网单 要求较高的部门产生很大影响。信息交流 元， 将数据文件读到非涉密网单元 ， 再与 的不畅给维护和使用都带来了极大不便。 非涉密网单元断开， 最后非涉密网单元对 虽然这种隔离方法严重影响了用户 数据文件进行协议重组后封包转发出去。 间的交互性， 但它的安全性最高， 因而 目 数据反 向传输原理是类似的可逆过 前存有绝密信息的诸多单位及部门仍在 程。 使用。 网络隔离技术日趋完善与成熟。 在各 硬件卡隔离 即在客户端增加一块硬 类安全行业的应用案例也比较普遍， 而且 件卡， 客户端硬盘或其他存储设备首先连 伴随不同的应用需求 ， 也有各种不同形态 接到该卡， 然后再转接到主

14、板 ， 通过该卡 的网络隔离产品形成。当前隔离技术主要 能控制客户端硬盘或其他存储设备， 选择 有如下两种实现方式： 该卡上不同的网络接 口即可访问不同网 1 、 “ 摆渡型” ： 采用多主机系统 ， 连接 络下的存储( 硬盘 ) 。 涉密网与非涉密网的主机内装有物理或 网络隔离网络隔离经历了简单的协 电子方式的切换开关， 确保两个网络间在 议隔离到安全通道隔离的发展。安全通道 同一时刻没有通畅的链路 ， 依靠软件控制 技术采用专用通信硬件和专有安全协议 在两个网络间实现文件转存。 等安全机制， 实现内外部网络的隔离和数 2 、 “ 通讯重构型” ：采用多主机系统 ， 据交换 ，弥补了以前隔离

15、技术的缺陷， 在 连接涉密网与非涉密网的主机使用专有 有效隔离内外部网络的同时， 又高效地实 通信协议进行通讯， 从而实现内外部网络 现了两个网络间数据的安全交换 ， 并透明 的隔离和数据交换， 两个网络的主机实时 支持常见的网络应用。 捕获、 分析网络中的数据包， 并进行重新 不同安全等级的两个或多个信任域 封装，此基础上实现安全审查与访问控 在不相连、 不互通的条件下， 可借助网络 制。该种隔离技术较好地解决了实时通信 隔离设备实现数据的安全可控交换。网络 的问题。 隔离设备是软硬件一体的集成产品， 其体 隔离产品发展 安全隔离概念及产品 系架构采用三层结构 ： 涉密网服务器( 涉 首先出

16、现在国外。上世纪 9 0年代中期俄 密网单元 ) 、控制单元、非涉密网服务器 罗斯人 R y J o n e s首先提出“ A i r G a p , 隔离 ( 非涉密网单元) 。 概念； 其后， 以色列首先研制成功物理隔 通常， 网络隔离系统的架构如图 1 所 离卡， 实现网络之间的安全隔离 ； 接着， 美 示。 国 Wh a l e C o mmu n ic a t i o n s公 司 和 以 色 涉 密 网单 元 与 ， 工程师笔记 分流设备有三个连接口，分别为入 口、 出 口和镜像 口 ： 分流设 备的入 口连接 外 网发 送端 ， 出 口连 接外 网接 收端 ， 镜像 口连接内网解码端。外网发送端将要传输 的文件 向外 网接 收端 发送 ， 在外 网上产生 数据流 ， 如图 3 ： 光闸文件传输系统逻辑框 图( 图 3) 所示 ； 外 网发送 端包括 文件 搬运