安全规划设计-网络安全隔离.ppt

安全规划设计-网络安全隔离,蓝盾信息安全技术股份有限公司 毛丹 2012.03.第四周,相关品牌产品介绍,信息系统物理隔离简介,网闸原理简介,1,2,3,1.信息系统物理隔离,中共中央办公厅第十七号文件规定 “电子政务网络由政务内网和政务外网构成，两网之间物理隔离，政务外网与互联网之间逻辑隔离。” 国家保密局制定的计算机信息系统国际联网保密管理规定中第六条规定：“涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其他公共信息相连接，必须实行物理隔离”。 一些组织根据自身业务的特点，在有不同安全需求的网络之间也采取了物理隔离的措施。,应对网络安全漏洞需求,国家保密局限定的安全隔离使用环境,需要使用网闸等物理隔离的环境,由于实时性数据传输应用要求，网络之间必须连续,使用防火墙/UTM等安全网关设备无法满足安全隔离需求,两个要连接的网络原本不连接,物理隔离应用判断,安全隔离网闸已广泛应用于政府、军队、金融、交通、能源等单位的网络。在既要保证内部网的绝对安全，又要内外部网络进行数据交换时，使用安全隔离网闸是最佳解决方案。 判断原则一：两个网络如直接连接时客户会有很强的安全顾虑，认为用防火墙隔离不安全，但由于实时性传输应用要求不得不互联时，唯一的选择就是网闸。 判断原则二：如果某个政府机构和敏感企业的核心业务网要与其它网络（如国际互联网、其它相关部门的网络）之间需要进行信息交换，那么这个客户就是我们的目标客户。,物理隔离使得正常的信息交流被阻断了。 部分重要的与业务相关的数据需要在涉密网络和非涉密网络间交换，但由于物理隔离无法实现。 物理隔离也成为电子政务、电子商务的数据传输应用的瓶颈。,物理隔离带来的问题,A网,B网,人工拷贝,物理隔离方法,优点 保持了网络间物理隔离的特性，有效防止了对涉密网络的直接网络攻击 缺点 延时长 速度慢 能够满足的应用过于单一 可靠性低 在防病毒、内容过滤等方面效果较差 人工操作风险高,网闸定义,什么是网络安全隔离系统? 网络安全隔离系统，简称网闸。主要安装部署在涉密和非涉密的网络之间，实现物理隔离网络之间的所必需的业务的通信,产品原理 原理概述 安全隔离与信息交换系统采用多主机隔离结构。内外网模块连接相应网络实现数据的接收及预处理等操作。 交换模块采用专用的硬件设计，通过专有信道，采用非网络协议实现与内外网模块的数据交换，保证任意时刻内外网间没有链路层连接。数据只能以专用数据块方式静态地在内外网间通过网闸进行“摆渡”，传送到网闸另一侧。 同时通常的安全隔离与信息交换系统还集成了多种安全技术手段，采用强制安全策略，对数据内容进行安全检测，保障数据安全、可靠的交换。,网御神州网闸,网闸实物示例,管理口,网络口1,内网,网络口2,管理口,HA口,网络口1,网络口2,HA口,外网,串口可以对网闸部分 功能进行管理； usb口为安装人员调 试使用,安全隔离网闸文件交换过程,NFS,SAMBA,FTP,NFS,SAMBA,FTP,外网主机,内网主机,隔离交换模块,“2+1”系统架构,系统简介,系统硬件平台由内网主机系统、外网主机系统、隔离交换矩阵三部分组成； 内网/外网主机系统分别具有独立的运算单元和存储单元，并以相关安全平台作为系统支撑； 隔离交换矩阵由两个隔离交换模块组成； 隔离交换模块插在主机系统的PCI插槽，模块间采用数据排线互联。,1,3,5,6,7,9,10,4,8,内网主机系统获取数据，进行协议分离，安全检测，形成任务队列，供通讯交换 隔离交换模块断开彼此连接，连接内外网主机系统，内网主机系统写数据到交换缓冲区 隔离交换模块断开内外网主机系统，彼此连接，进行通讯协商，完成数据交换 隔离交换模块断开彼此连接，连接内外网主机系统，外网主机系统从交换缓存读取数据 外网主机系统获取数据，进行数据重组，安全检测，与外网主机建立连接 610从外网往内网交换数据，工作流程相同15,数据隔离交换过程（详细描述）,隔离交换过程,通过交换芯片的开关控制子系统，加速隔离交换卡首先断开彼此之间的物理连接，分别通过ASIC芯片连接内外网主机系统，内外网主机系统通过ASIC芯片将数据块封装为自有协议格式写入交换芯片的交换子系统和/或通过ASIC芯片读出交换子系统缓存将自有协议格式数据拆封为数据块，完成一次摆渡； 然后加速隔离交换卡通过开关控制子系统断开与内外网主机系统的连接，彼此之间建立连接，自动进行协商，实现数据交换，完成二次摆渡。,通过这种双摆渡技术，内外网络永远不会直接连接，由于采用专门设计的硬件加速隔离交换卡进行数据交换，没有任何管理接口，因此，内外网主机系统之间无法进行基于网络协议的数据交换，从而从硬件层面保证了内外网主机系统之间的安全隔离。 隔离交换矩阵基于LeadASIC专用芯片技术及相应的时分多路隔离交换逻辑电路，不受主机系统控制，独立完成应用数据的封包、摆渡、拆包，从而实现内外网之间的数据隔离交换。 基于VSP的高效协议处理和LeadASIC芯片的多路固化数据通道技术，分别解决了安全隔离网闸进行数据过滤和摆渡时性能低的业内难题，从而满足了用户对高性能安全隔离网闸的需求。,数据隔离交换过程,自有协议 数据包,通用协议 数据包,数据隔离交换过程,自有协议 数据包,数据隔离交换过程,自有协议 数据包,通用协议 数据包,安全隔离网闸的指导思想与防火墙有很大的不同：防火墙的思路是在保障互联互通的前提下，尽可