网闸——安全隔离网闸:从第一代走向第二代

转载 2004年11月01日 10:09:00
安全隔离网闸:从第一代走向第二代

北京盖特佳信息安全技术有限公司技术总监 王献冰

  安全隔离与信息交换系统,即网闸,是新一代高安全度的企业级信息安全防护设备,它依托安全隔离技术为信息网络提供了更高层次的安全防护能力,不仅使得信息网络的抗攻击能力大大增强,而且有效地防范了信息外泄事件的发生。

  网闸技术最早起源于以色列,通常在物理隔离的情况下要在外网和内网之间进行数据交换的话,一般是通过磁盘或其他存储设备进行人工的数据交换,而通过自动方式来模拟这种数据交换过程,其实就是网闸的雏形。现今,网闸实际的安全交换过程是先提取出网络包中的应用数据,经安全审查后再完成数据交换,相对于人工的交换而言,整个过程是由软件自动完成的,并且增加了安全审查的过程,从而大大提高了交换效率。但是,由于整个交换过程是持续不断进行的,其实质是在网间形成了一个稳定的数据流,也就意味着在网间存在有逻辑上的连接,尽管网闸有了安全审查的过程,但是仍然不能彻底保证交换数据的安全性,因此,网闸无法满足物理隔离的要求,属于非物理隔离设备。

  第一代网闸的技术原理是利用单刀双掷开关使得内外网的处理单元分时存取共享存储设备来完成数据交换的,实现了在空气缝隙隔离(Air Gap)情况下的数据交换,安全原理是通过应用层数据提取与安全审查达到杜绝基于协议层的攻击和增强应用层安全的效果。

  通过分析可以知道,网闸由于采用了应用层数据提取技术,剥离了网络特性,从而彻底解决了基于网络协议的攻击。但是,由于基于GAP技术的网闸使得内外网共用了存储设备,因此不能够满足物理隔离的要求,而因为受到电子开关切换速度的限制,导致了整体处理性能的低下,带来的后果是较低的吞吐量、较低的并发连接数和较大的交换延迟,也就容易成为网络的瓶颈,再有,存储设备因受到持续快速的通电与断电的影响,导致寿命大大缩短,往往会因失效或损坏而使数据交换过程中断。

  从另一个角度来看,两个网络之间存在GAP空气缝隙也并不意味着就能够保证安全,比如两个通过无线网卡互联的网络,尽管在物理上是没有连线的,但他们之间和用直接连线是没有什么区别的。因此,判定网间是否存在连接的标准不能单从物理连接上来看,而应该是从逻辑上分析,即不同网络之间在一定时间内无论通过任何设备或任何形式只要能够自动持续地完成数据交换,就属于存在有逻辑上的连接,显然也就不能满足物理隔离要求,因为交换数据的安全性到目前为止没有一种技术能够从根本上得以完全保证,也就是意味着这种数据交换过程存在有安全风险的。

  第二代网闸正是在吸取了第一代网闸优点的基础上,创造性地利用全新理念的专用交换通道PET(Private Exchange Tunnel)技术,在不降低安全性的前提下能够完成内外网之间高速的数据交换,有效地克服了第一代网闸的弊端,第二代网闸的安全数据交换过程是通过专用硬件通信卡、私有通信协议和加密签名机制来实现的,虽然仍是通过应用层数据提取与安全审查达到杜绝基于协议层的攻击和增强应用层安全效果的,但却提供了比第一代网闸更多的网络应用支持,并且由于其采用的是专用高速硬件通信卡,使得处理能力大大提高,达到第一代网闸的几十倍之多,而私有通信协议和加密签名机制保证了内外处理单元之间数据交换的机密性、完整性和可信性,从而在保证安全性的同时,提供更好的处理性能,能够适应复杂网络对隔离应用的需求。


  实现安全的信息交换


  目前国内市场上的网络隔离设备大多是基于主机的,基于主机的网络隔离产品符合国家对内、外网物理隔离的要求,其不同网络之间的信息交换将完全依赖手工操作的方式,以磁盘等为中间介质进行。这种信息交换方式实时性差、效率很低,往往会造成信息传递的阻塞。同时,这种方式对所传递的数据的合法性、安全性没有可靠的技术措施保障,人为因素造成失误的可能性极大,仍然存在网络安全隐患。

  采用协议转换方式的隔离网闸产品,没有从理论上解释其安全性,以及如何实现物理隔离和网络断开,并且这些产品在实际的使用中也出现了一些安全问题。

  由中网公司研制开发的安全隔离和信息交换系统(X-Gap),能够较好地解决隔离断开和数据交换的难题。X-Gap 中断了两个网络之间的链路连接、通讯连接、网络连接和应用连接,在保证两个网络完全断开和协议中止的情况下,以非网络方式实现了数据交换。没有任何包、命令和TCP/IP协议(包括UDP和ICMP)可以穿透X-Gap, 它具有高安全、高带宽、高速度、高可用性的优点。此外,由于采用了SCSI技术,背板速率高达5G,开关效率达到纳秒级,彻底解决了速度慢、效率低的问题。除此之外,SCSI控制系统本身具有不可编程的特性和冲突机制,形成简单的开关原理,从而彻底解决了网闸开关的安全性问题。

  隔离系统被认为是安全性最高的安全设备。它是在保证安全的情况下,尽可能支持信息交换,如果不安全就断开隔离。隔离技术被广泛地应用于专网和公网之间、内网和外网之间,在用户要求进行物理隔离,同时又需要实时地交换数据,解决物理隔离和信息交流的问题时,采用中网X-GAP系列产品则可以实现两网之间必要的“摆渡”,又保证不会有相互入侵的安全问题。(中网通讯网络有限公司总裁 万平国)


  相关链接


  安全隔离网闸的应用领域

  安全网闸适用于政府、军队、公安、银行、工商、航空、电力和电子商务等有高安全级别需求的网络,在电子政务中的典型应用是安装在政务外网和Internet之间或者是在政务内网划分不同的安全域,或者是安装在政务内网和其他不与Internet相连的网络之间。当然网闸也可用来隔离保护主机服务器或专门隔离保护数据库服务器。

  内外网的安全隔离

  20世纪90年代以来,各地公安机关结合自己的实际相继建设了旅店住宿管理登记系统,在打击犯罪中发挥了一定的作用。进入90年代末期和新千年,新技术不断涌现,原有系统在多个方面已不能适应新形势的要求,包括技术路线、网络形式、网络安全、信息共享等。特别是如何使流动人口这种社会信息安全进入公安内部网络,实现实时共享,是迫切需要解决的问题。

  为适应当前社会治安形势,根据国家公安部制定的“金盾工程”(即公安信息化工程)规划,对流动人口要进行全面网络化管理,作为治安综合管理系统的重要组成部分,并要充分利用先进的信息网络技术,重点解决网络安全和实时信息共享问题。北京市作为首都,流动人口数量和网络规模都非常巨大,一般流动人口系统难以满足要求。

  流动人口系统是为公安机关服务的,网络和系统的安全性是首要考虑的问题。公安部门的信息网络是专用网络,安全性要求高,根据国家有关规定,应与其他网络进行隔离。由于该系统的前端用户是旅店,不可能让其访问公安网络,但信息必须实时进入公安网络。因此,在这样一个社会用户与公安网络之间进行信息交换的大型系统中,如何在保证网络高安全性的前提下进行实时的信息交换是系统设计上需要考虑的核心问题之一,必须使用全新的安全物理隔离技术。

  安全隔离系统2002年初正式上线运行,在近两年的应用实践中,几次大规模的黑客攻击和蠕虫流行,都没有对安全隔离网闸所保护的内网造成任何安全威胁。(北京市公安局信息通讯处工程师 杨小龙)

物理隔离与数据交换-网闸的设计原理与误区

一、什么是网闸 网闸技术的需求来自内网与外网数据互通的要求,比如政府的电子政务是对公众服务,与互联网连通,而内网的政府办公网络,由于保密的要求,内网若与网连通,则面临来自公网的各种威胁。安全专家给出...
  • zhanggnol
  • zhanggnol
  • 2015年03月19日 12:32
  • 1330

网闸——物理隔离网闸常见概念问题解答

物理隔离网闸需要哪些“许可证”?   答:根据我国计算机网络安全管理的规定,物理隔离网闸需要取得公安部、国家保密局和中国信息安全测评认证中心的安全产品的测评认证证书。在此基础上,进入军事领域,还需要军...
  • sah
  • sah
  • 2004年11月01日 10:04
  • 1900

网闸——物理隔离功能及实现技术分析

 物理隔离功能及实现技术分析◎ 物理隔离网闸的定位物理隔离技术,不是要替代防火墙,入侵检测,漏洞扫描和防病毒系统,相反,它是用户“深度防御”的安全策略的另外一块基石,一般用来保护为了的“核心”。物理隔...
  • sah
  • sah
  • 2004年10月29日 09:25
  • 1478

物理隔离网闸技术概述

一、物理隔离网闸的概念我国2000年1月1日起实施的《计算机信息系统国际联网保密管理规定》第二章第六条规定,“涉及国家秘密的计算机信息系统,不得直接或间接地与国际互联网或其它公共信息网络相连接,必须实...
  • wxygod
  • wxygod
  • 2005年06月21日 15:34
  • 2369

网闸——(好)物理隔离网闸——入门篇

一、物理隔离网闸的概念    我国2000年1月1日起实施的《计算机信息系统国际联网保密管理规定》第二章第六条规定,“涉及国家秘密的计算机信息系统,不得直接或间接地与国际互联网或其它公共信息网络相连接...
  • sah
  • sah
  • 2004年11月01日 10:19
  • 2501

网闸——物理隔离网闸常见技术问题解答

 物理隔离网闸一定要采用专用开关集成电路吗?答:不是。在开关的实现中,最直接的办法是采用专用开关集成电路,直接控制总线方式。由于受我国芯片制造业的水平限制,性能和质量很难保证,送到外国生产则必须交出电...
  • sah
  • sah
  • 2004年11月01日 10:03
  • 2268

网闸结构和工作原理

物理隔离网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。由于物理隔离网闸所连接的两个独立主机系统之间,不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议,不存在...
  • huyangg
  • huyangg
  • 2011年05月09日 22:28
  • 3267

关于网闸原理的研究

据说国外根本没有这种东西,但为什么在国内会卖20来万??!!莫名其妙啊。和几个朋友分析了一下它的工作原理,就像一个水闸一样,上游一个门,下游一个门,中间是一个储水池。一开始两个门都是关闭的,当有流量需...
  • zhstarkiller
  • zhstarkiller
  • 2005年12月08日 15:49
  • 2490

网闸与防火墙的区别

网闸与防火墙一样是网络安全边界的安全卫士,其发挥的作用都不可轻视。但它们究竟有哪些不一样拉?是不是有了防火墙安全性就安枕无忧拉?或者说网闸的出现是为了取替防火墙的么? 两者有哪些区别下边罗列一二:1...
  • yxwmzouzou
  • yxwmzouzou
  • 2016年04月22日 15:47
  • 6871

正反向隔离装置(网闸)

一、安全区定义 根据电力二次系统的特点,划分为生产控制大区和管理信息大区。生产控制大区分为控制区(安全区Ⅰ)和非控制区(安全区Ⅱ)。信息管理大区分为生产管理区(安全区Ⅲ)和管理信息区(安全区Ⅳ)。不...
  • stillfantasy1988
  • stillfantasy1988
  • 2017年12月14日 18:39
  • 267
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:网闸——安全隔离网闸:从第一代走向第二代
举报原因:
原因补充:

(最多只允许输入30个字)