gap创造安全的网络办公环境

GAPGAP 创造安全的网络办公环境创造安全的网络办公环境 目前，宽带网已经得到普及，业界电子商务的开展， 海量的网络信息，日趋丰富的网络功能使“网上办公”条 件已经成熟。随着我国电子政务的进一步发展，政府对企 事业单位的管理将更多地在网络上进行，因此企业办公将 不再局限于传统模式。根据现代办公的信息化程度，可以 将其分成三个阶段。首先是机械电子设备代替大量手工操 作的阶段，主要由电话、早期的计算机、打印机、模拟复 印机实现。第二个阶段是办公自动化，办公室内甚至整个 企业众多独立的计算机被局域网连接起来，数字复印机、 网络打印机、扫描仪的普遍使用，使得原本分散、孤立的 办公作业得到集成，初步具备了办公信息化的雏形。办公 自动化的进一步发展就是办公信息化阶段， “网络办公”将 实现“内部办公自动化，文件交换无纸化，管理决策网络 化，服务用户电子化”的办公信息化目标。但随着办公信 息化带来效率的提高，其安全性，特别是内部办公网络的 安全问题，也引起人们更大的关注和思考。 办公网络面临的内部安全威胁 正如我们所知道的那样，70的安全威胁来自网络内 部，其形式主要表现在以下几个方面。 内部办公人员安全意识淡漠 内部办公人员每天都专注于本身的工作，认为网络安 全与己无关，因此在意识上、行为上忽略了安全的规则。 为了方便，他们常常会选择易于记忆但同时也易于被猜测 或被黑客工具破解的密码，不经查杀病毒就使用来历不明 的软件，随便将内部办公网络的软硬件配置、拓扑结构告 之外部无关人员，给黑客入侵留下隐患。 别有用心的内部人员故意破坏 办公室别有用心的内部人员会造成十分严重的破坏。 防火墙、IDS 检测系统等网络安全产品主要针对外部入侵进 行防范，但面对内部人员的不安全行为却无法阻止。一些 办公人员喜欢休息日在办公室内上网浏览网页，下载软件 或玩网络游戏，但受到网络安全管理规定的限制，于是绕 过防火墙的检测偷偷拨号上网，造成黑客可以通过这些拨 号上网的计算机来攻入内部网络。而有些办公人员稍具网 络知识，又对充当网络黑客感兴趣，于是私自修改系统或 找到黑客工具在办公网络内运行，不知不觉中开启了后门 或进行了网络破坏还浑然不觉。更为严重的是一些人员已 经在准备跳槽或被施利收买，办公内部机密信息被其私自 拷贝、复制后流失到外部。此外，还有那些被批评、解职、 停职的内部人员，由于对内部办公网络比较熟悉，会借着 各种机会（如找以前同事）进行报复，如使用病毒造成其 传播感染，或删除一些重要的文件，甚至会与外部黑客相 勾结，攻击、控制内部办公网络，使得系统无法正常工作， 严重时造成系统瘫痪。 单位领导对办公网络安全没有足够重视 有些单位对办公网络存在着只用不管的现象，有的领 导只关心网络有没有建起来，能否连得上，而对其安全没 有概念，甚至对于网络基本情况，包括网络规模、网络结 构、网络设备、网络出口等概不知情。对内部办公人员， 公司平时很少进行安全技术培训和安全意识教育，没有建 立相应的办公网络安全岗位和安全管理制度，对于黑客的 攻击和内部违规操作则又存在侥幸心理，认为这些是非常 遥远的事情。在硬件上，领导普遍认为只要安装了防火墙、 IDS、IPS，设置了 Honeypot 就可以高枕无忧。而没有对新 的安全技术和安全产品做及时升级更新，对网络资源没有 进行细粒度安全级别的划分，使内部不同密级的网络资源 处于同样的安全级别，一旦低级别的数据信息出现安全问 题，将直接影响核心保密信息的安全和完整。 缺乏足够的计算机网络安全专业人才 由于计算机网络安全在国内起步较晚，许多单位缺乏 专门的信息安全人才，使办公信息化的网络安全防护只能 由一些网络公司代为进行，但这些网络安全公司必定不能 接触许多高级机密的办公信息区域，因此依然存在许多信 息安全漏洞和隐患。没有内部信息安全专业人员对系统实 施抗攻击能力测试，单位则无法掌握自身办公信息网络的 安全强度和达到的安全等级。同时，网络系统的漏洞扫描， 操作系统的补丁安装和网络设备的软、硬件升级，对办公 网内外数据流的监控和入侵检测，系统日志的周期审计和 分析等经常性的安全维护和管理也难以得到及时的实行。 网络隔离技术（GAP）初探 GAP 技术 GAP 是指通过专用硬件使两个或两个以上的网络在不连 通的情况下进行网络之间的安全数据传输和资源共享的技 术。简而言之，就是在不连通的网络之间提供数据传输， 但不允许这些网络间运行交互式协议。GAP 一般包括三个部 分：内网处理单元、外网处理单元、专用隔离交换单元。 其内、外网处理单元各拥有一个网络接口及相应的 IP 地址， 分别对应连接内网（涉密网）和外网（互联网） ，专用隔离 交换单元受硬件电路控制高速切换，在任一瞬间仅连接内 网处理单元或外网处理单元之一。 GAP 可以切断网络之间的 TCP/IP 连接，分解或重组 TCP/IP 数据包，进行安全审查，包括网络协议检查和内容 确认等，在同一时间只和一边的网络连接，与之进行数据 交换。 GAP 的数据传递过程 内网处理单元代理内网用户的网络服务请求，将数据 通过专用隔离硬件交换单元转移至外网处理单元，外网处 理单元负责向外网服务器发出连接请求并取得网络数据， 然后通过专用隔离交换单元将数据转移回内网处理单元， 再由其返回给内网用户。 GAP 具有的高安全性 GAP 设备具有安全隔离、内核防护、协议转换、病毒查 杀、访问控制、安全审计和身份认证等安全功能。由于 GAP 断开链路层并切断所有的 TCP 连接，并对应用层的数据交 换按安全策略进行安全检查，因此能够保证数据的安全性 并防止未知病毒的感染破坏。 使用网络隔离技术（GAP）进行内部防护 我们知道，单台的计算机出现感染病毒或操作错误是 难以避免的，而这种局部的问题较易解决并且带来的损失 较小。但是，在办公信息化的条件下，如果这种错误在网 络所允许的范围内无限制地扩大，则造成的损失和破坏就 难以想象。因此，对办公内部网络的安全防范不是确保每 一台网络内的计算机不发生安全问题，而是确保发生的安 全问题只限于这一台计算机或这一小范围，控制其影响的 区域。目前，对内网采取“多安全域划分”的技术较好地 解决了这个问题，而 GAP 系统的一个典型的应用就是对内 网的多个不同信任域的信息交换和访问进行控制。因此， 使用 GAP 系统来实现办公内网的“多安全域划分” ，是一个 比较理想的方法。 “多安全域划分”技术 “多安全域划分”技术就是根据内网的安全需求将内 网中具有不同信任度（安全等级）网段划分成独立的安全 域，通过在这些安全域间加载独立的访问控制策略来限制 内网中不同信任度网络间的相互访问。这样，即使某个低 安全级别区域出现了安全问题，其他安全域也不会受到影 响。 利用网络隔离技术（GAP）实现办公内网的“多安全域 划分” 首先，必须根据办公内网的实际情况将内网划分出不 同的安全区域，根据需要赋予这些安全区域不同的安全级 别。安全级别越高则相应的信任度越高，安全级别较低则 相应的信任度较低，然后安全人员按照所划分的安全区域 对 GAP 设备进行安装。系统管理员依照不同安全区域的信 任度高低，设置 GAP 设备的连接方向。GAP 设备的内网处理 单元安装在高安全级别区域，GAP 设备的外网处理单元安装 在低信任度的安全区域，专用隔离硬件交换单元则布置在 这两个安全区域之间。内网处理单元代理高安全级别区域 （假设为 A 区域）用户的网络服务请求，外网处理单元负 责从低安全级别区域（设为 B 区域）取得网络数据，专用 隔离硬件则将 B 区域的网络数据转移至 A 区域，最终该网 络数据返回给发出网络服务请求的 A 区域用户。这样，A 区 域内用户可通过 GAP 系统访问 B 区域内的服务器、邮件服 务器、进行邮件及网页浏览等。同时，A 区域内管理员可以 进行 A 区域与 B 区域之间的批量数据传输、交互操作，而 B 区域的用户则无法访问 A 区域的资源。这种访问的不对称 性符合不同安全区域信息交互的要求，实现信息只能从低 安全级别区域流向高安全级别区域的“安全隔离与信息单 向传输” 。 这样，较易出现安全问题的低安全区（包括人员和设 备）就不会对高安全区造成安全威胁，保证了核心信息的 机密性和完整性。同时，由于在 GAP 外网单元上集成了入 侵检测和防火墙模块，其本身也综合了访问控制、代理检 测、内容过滤、病毒查杀，因此，GAP 可限制指定格式的文 件，采用专用映射协议实现系统内部的纯数据传输，限定 了内网局部安全问题只能影响其所在的那个安全级别区域， 控制了其扩散的范围。 “多安全域划分”的防护效果 由于 GAP 实现内网的信任度划分和安全区域设定，使 办公内网的安全性极大提高，办公内网易出现的安全问题 得到有效控制。 首先，安装 GAP 设备并进行内网的信任度划分，会使 单位领导形成内网安全级别的概念，明白其所在的安全区 域具有较高的安全级别，因而对于网络基本情况，包括网 络规模、网络结构、网络设备、网络出口等情况有更多的 了解，提高他们的安全意识。 此外，对于内部办公人员，无论其安全意识是否淡漠 或别有用心进行破坏，在 GAP 设