（通信与信息系统专业论文）网络安全隔离与数据迁移平台的设计与实现.pdf

重庆邮电大学硕士论文 摘要 网络的发展和普及为人们的工作和生活提供了很多便利，但同时也带 来了更多的安全隐患。如网络攻击方式和手段不断更新，网络攻击事件层 出不穷，攻击目的越来越趋于商业化，政府机关首当其冲地成了最大的受 害者。目前，现有的“安全网关”或“安全网闸”等相关产品虽然已有所 应用，但由于其高昂的价格，特别是不能很好的满足一些特殊的应用环境 要求而受到用户的诸多置疑，对网络安全隔离与数据迁移平台进行研究的 目的就是为了实现物理隔离的两个网络间，数据从一个网络高效、快捷、 安全地被迁移到另一个网络，试图解决目前人工数据摆渡的繁琐和大数据 转移的困难。 本论文首先介绍了隔离技术发展现状，并对国内外典型产品进行了简 要的介绍，对本课题一一网络安全隔离与数据迁移平台进行了系统的分 析，对其需求分析、安全目标、功能要求进行了概述。其次，对迁移平台 总体方案和硬件设计进行了深入的分析。迁移平台硬件部分主要包括内、 外预处理模块和数据迁移模块三部分，主要对数据迁移模块即迁移卡的设 计进行了详细介绍。与传统的基于s c s i 和空气开关的方案相比，采用 f p g a 安全芯片设计降低了硬件成本和复杂度，提高了系统可靠性和传输 效率。再次，论述了迁移平台的软件设计及实现。软件部分由迁移服务程 序模块、硬件驱动程序模块和配置管理模块构成，主要从迁移服务程序和 配置管理模块的设计和实现的角度进行了详细的介绍。迁移服务程序模块 提供私有文件迁移协议对数据进行迁移、文件监控服务以及对t c p i p 协 议剥离等功能。配置管理模块主要负责日志管理、安全访问策略的设定以 及根据用户需求自定义的策略等。最后介绍的是迁移平台功能测试和性能 测试，并根据性能测试的结果对迁移平台性能进行了分析，且对未来的工 作进行了展望。 关键词：网络安全，数据迁移，物理隔离，私有协议 重庆邮电大学硕士论文 a b s t r a c t a l a r g eo fc o n v e n i e n c eh a sb e e no f f e r e dt ou sw i t ht h ed e v e l o p m e n ta n d p r e v a l e n c eo fn e t w o r k ，b u tm o r es e c u r i t yt h r e a t sa l s oc o m ef o r t ha tt h es a m e t i m e t h em o d e sa n dm e a n so fn e t w o r ka t t a c ku p d a t ei n c r e a s i n g l y t h e o c c u r r e n c e so fn e t w o r ka t t a c ke m e r g ei ne n d l e s s l y t h ep u r p o s eo ft h e s e e v e n t sp a y sm o r ea n dm o r ea t t e n t i o nt oc o m m e r c ep r o f i t ，s og o v e r n m e n t d e p a r t m e n tf i r s t l yb e c o m et h el a r g e s tv i c t i m n o w a d a y s ，a l t h o u g ht h ep r o d u c t s i m i l a rt o s e c u r i t yg a t e w a y o r s e c u r i t yn e t g a p h a sb e e nu s e d ，c o n s u m e r s h a v eag o o dm a n yd o u b t sa b o u tt h ee x p e n s i v ep r i c e ，e s p e c i a l l yf a i l u r et o s a t i s f ys p e c i a la p pc i r c u m s t a n c e t h ea i mo fp l a t f o r mo fn e t w o r ks e c u r i t y i s o l a t i o na n dd a t ae x c h a n g ew er e s e a r c hi st h a td a t ac a nt r a n s f e re f f e c t i v e l y , q u i c k l y ，s a f e l yb e t w e e nt w op h y s i c a ld i s c o n n e c t i o nn e t w o r k s ，a n dt r y i n gt o s o l v et h et r o u b l eo fm a n u a ld a t af e r r ya n d d i f f i c u l t yo fl a r g ed a t at r a n s f e r i n t h i sd i s s e r t a t i o n ，t h ed e v e l o p i n ga c t u a l i t yo fi s o l a t i o nt e c h n o l o g yi s f i r s t l yp r e s e n t e d t h er e p r e s e n t a t i v e o f p r e s e n tn e t g a pi n c o u n t r y a n d o u t - c o u n t r ya r ea l s oi n t r o d u c e d t oa n a l y z es y s t e m i c a l l yt h ep l a t f o r mo f n e t w o r ks e c u r i t yi s o l a t i o na n dd a t ae x c h a n g e ，i t sr e q u i r e m e n t ，s e c u r eg o a l ， f u n c t i o nr e q u i r e m e n ta r ea n a l y z e dr e s p e c t i v e l y s e c o n d l y , t h ed e s i g no ft o t a l p r o j e c ta n dh a r d w a r eo ft h ep l a t f o r ma r ei n t r o d u c e di nd e t a i l t h eh a r d w a r eo f p l a t f o r m i n c l u d e st h r e e p a r t s ：i n t r a n e tp r e t r e a t m e n tm o d u l e ，o u t - n e t p r e t r e a t m e n tm o d u l ea n dd a t ae x c h a n g em o d u l e ，a n dt h ed e s i g no ft h el a s t m o d u l en a m e l ye x c h a n g ec a r di se l a b o r a t e do n c o m p a r i n gt ot h ep r o j e c t b a s e do ns c s ia n da i rs w i t c h ，a d o p t i n gs e c u r ef p g a c h i pd e s i g nt a k e sf r o m t h ec o s t sa n d c o m p l e x i t y o f h a r d w a r e ，e n h a n c e s t h e r e l i a b i l i t y a n d t r a n s m i s s i o ne f f i c i e n c yo fp l a t f o r m t h i r d l y , t h ed e s i g na n dr e a l i z a t i o no f s o f t w a r eo f p l a t f o r m i s o f f e r e d e x c h a n g e s e r v i c e p r o g r a mm o d u l e ， c o n f i g u r i n gm a n a g e m e n tm o d u l ea n dh a r d w a r ed r i v ep r o g r a mm o d u l em a k eu p o fs o f t w a r ep a r t s ，a n dt h ef r o n tt w om o d u l e sa r ct h ec o n t e n tw h a t1w a n tt o i n t r o d u c ee m p h a t i c a l l y e x c h a n g es e r v i c ep r o g r a mm o d u l eo f f e r st h ef u n c t i o n a b o u tu s i n gp r i v a t ef i l e e x c h a n g ep r o t o c o lt oe x c h a n g ed a t a ，f i l em o n i t o r s e r v i c ea n dp e e l i n go f ft c p i pp r o t o c o le t c c o n f i g u r i n gm a n a g e m e n tm o d u l e 重庆邮电大学硕士论文 摘j m o s t l ya n s w e r sf o rl o gm a n a g e m e n t ，s e c u r ea c c e s st a c t i ca n dc u s t o ms t r a t e g l a s t l y , s y s t e mt e s ti si n t r o d u c e da n df u t u r ew o r k sa r em e n t i o n e d k e yw o r d s ：n e t w o r ks e c u r i t y ，d a t ae x c h a n g e ，p h y s i c a li s o l a t i o n ，p r i v a p r o t o c o l 独创性声明 本人声明所呈交的学位论文是本人在导师指导下进行的研究工作及 取得的研究成果。据我所知，除了文中特别加以标注和致谢的地方外，论 文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得重庆 邮电太堂或其他教育机构的学位或证书而使用过的材料。与我一同工作 的同志对本研究所做的任何贡献均已在论文中作了明确的说明并表示谢 意。 学位论文作者签名：亳歙茂羡 签字日期： 知夕年z 月占日 学位论文版权使用授权书 本学位论文作者完全了解重废邮电太堂有关保留、使用学位论 文的规定，有权保留并向国家有关部门或机构送交论文的复印件和磁盘， 允许论文被查阅和借阅。本人授权重废邮直太堂可以将学位论文的 全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描等 复制手段保存、汇编学位论文。 ( 保密的学位论文在解密后适用本授权书) 学位论文作者签名：声功如凌 导师签名： 签字日期：知嗲年占月占日 重庆邮电大学硕士论文 第1 章绪论 1 1 引言 第1 章绪论 如今，网络已成为我们工作、生活不可或缺的一部分，大家都在充分 享受网络给我们带来的便利和好处。但几乎就在网络诞生的同时，网络攻 击也相继出现，特别是近几年，网络攻击事情屡屡发生，资料被窃严重， 如2 0 0 5 年上半年全球共计发生2 3 7 亿以上的网络攻击事件，政府机关成 为黑客的首要目标，遭到攻击次数达5 4 0 0 万次【1 1 。故我们国家在2 0 0 0 年 1 月1 日正式实施了计算机信息系统国际联网保密管理规定，该规定中 明确规定：“凡涉及国家秘密的计算机信息系统，不得直接或间接地与国 际互联网或者其他公共信息网络相连接，必须实行物理隔离。”该规定在 互联网发展初期具有前瞻性地提出政府上网必须“物理隔离”，及时的把 政府上网安全提到一个重要的高度，具有重大意义。在这样一个大背景下， 我国开始了对网络隔离技术的研究。 、 网络隔离是指在完全断开网络物理连接的基础上，实现合法信息的共 享，也就是实现信息的分级可控交换【2 1 。隔离的本质不在于网络完全隔开， 而在于安全；同样，隔离也并不是完全地禁止，而是不同保密等级的信息 之间完全隔离，特别是高密级网络中的信息绝对不能流向低密级的网络， 在相同密级信息的网络之间可以按照用户要求进行授权流动。 网络隔离( 物理隔离) 技术的发展已经经历了数个阶段，衍生出多种 产品，从产品发展过程来看，物理隔离技术演变经历了以下几个阶段【3 1 1 双机双网通过人工磁盘拷贝实现网络间隔离；单机双网等通过物理隔离卡 隔离集线器切换机制实现终端隔离；物理隔离网闸实现网络安全隔离与信 息交换如今，很多厂商都纷纷出台自己的物理隔离产品，且随着技术的 发展和需求的变化在不断的更新换代。 重庆邮电大学硕士论文第1 章绪论 1 2 隔离技术发展现状 1 2 1 国外网络隔离技术的研究现状 美国、以色列、俄罗斯等国家都实行内部网与公共网的网络隔离，网 络隔离方面的技术和产品也相对较多。从总体上来看。大致可以分为简单 隔离技术和网闸技术1 4 1 。 简单隔离技术 隔离技术在理论上可分为终端级和网络级两个层次。终端级是通过存 储器的隔离实现的，在单硬盘上划分安全区、非安全区以及交换区，通过 使用特制的隔离卡，使安全区和非安全区的控制逻辑具有互斥性，以达到 信息隔离的效果；网络级的隔离通过在终端上使用特制的网络隔离卡，与 安全集线器相配合，通过网络隔离卡上的电信号的高低，选择相应的网络 进行连接，做到不能同时连接安全和非安全网络，与终端存储器的隔离相 配合达到信息隔离的效果。 网闸技术 网闸的主要原理是由两套各自独立的系统分别连接安全和非安全的 网络，两套系统之间是一个类似。网闸”的装置，保证存储介质与安全的 网络连通时，断开与非安全网络的连接；当与非安全网络连通时，断开与 安全网络的连接，分时地使用两套系统中的数据通路进行数据交换，以达 到隔离与交换的目的。在数据交换过程中要进行防病毒、防恶意代码等信 息过滤，以保证信息的安全 1 2 2 国内网络隔离技术的研究现状 根据国家保密局公开的文献资料，我国目前流行的网络隔离技术的产 品和方案，主要分五类【钔。 ， 方案一：建设两个独立的网络，一个是内部网络，用于存储、处理、 传输涉密信息；一个是外部网络，与i n t e m e t 相连两个网络之间如果有 数据交换需要，则采用人工操作( 如通过软盘、磁带等) 的方式。 方案二：采用安全隔离计算机( 终端级解决方案) ，用户使用一台客 户端设备连接内部网络和外部网络主要类型可分为： 双主板，双硬盘型 2 重庆邮电大学硕士论文第1 章绪论 在一个机箱内设置两套计算机设备，相当于两台计算机共用一台显示 器，通过客户端开关分别选择两套计算机系统。 单主板，双硬盘型 客户端通过增加一块隔离卡、一块硬盘，将硬盘接口通过添加的隔离 卡转接到主板，网卡也可通过该卡引出两个网络接口。通过该卡控制客户 端存储设备，同时选择相应的网络接口，达到物理隔离的效果；另外一种 方案是在主板b i o s 等更底层的技术方面进行设计，做到不同的网络选择 不同的硬盘，达到物理隔离的目的。 单主板，单硬盘型 客户端需要增加一块隔离卡，但不需要额外增加硬盘，将存储器通过 隔离卡连接到主板，网卡也通过隔离卡引出两个网络接口在原有硬盘上 划分安全区和非安全区，通过该卡控制客户端存储设备分时使用安全区和 非安全区，同时选择相应的网络接口，达到隔离的效果 方案三：采用安全隔离集线器( 集线器解决方案) 。主要解决房间和 楼层单网布线的问题，这种集线器需要和专用的安全隔离计算机相配合， 只采用一个网络接口，通过网线将不同的网络选择信号传递到网络选择 器，根据不同的选择信号，选择不同的网络连接。 方案四；属于物理隔离的远程安全传输方式，包括使用独立铺设线路 和交换设备方式；在具备相应的认证和链路加密措施的前提下，使用面向 连接的电路交换方式( 如p s t n 、i s d n 、a d s l 等) ；使用永久虚电路( p v c ) 交换方式( 如在d d n 、x 2 5 、帧中继a t m 中使用永久虚电路构建的专线) 。 方案五：采用网闸的网络隔离方案。网闸的外部主机连接外部网络， 网闸的内部主机连接内部网络，网闸的外部主机和内部主杌是完全物理隔 离的，支持文件、数据或信息的交换。 1 2 3 典型产品介绍 目前国外的网闸产品，主要是美国的鲸鱼通信公司( w h a l e ) 的网 闸( e g a p ) 和美国矛头公司( s p e a r h e a d ) 的网闸( n e t g a p ) 国内 的网闸产品，主要有中网公司的网闸( x g a p ) ，伟思公司的网闸( v i g a p ) 和联想公司的网闸( s i s ) 等。 通信公司的网闸( e g a p ) 、 通信公司的网闸( e g a p ) ，是典型的s c s i 技术实现的网闸【5 ，6 l 。c g a p 采用实时交换技术，固态介质存储设备是r a m d i s k 。c g a p 剥离了 重庆邮电大学硕士论文 第1 章绪论 t c p i p 协议。鲸鱼公司形象地称自己的网闸为“应用巴士”。目前支持的 应用有“文件巴士”，“w e b 巴士”，“电子邮件巴士”和“数据库巴士”等。 该产品的最大缺点是基于w i n d o w s 平台。尽管可以对w i n d o w s 平台进行 加固，但w i n d o w s 平台的安全性似乎是先天不足。 矛头公司的网闸( n e t g a p ) 矛头公司的网闸( n e t g a p ) ，采用的是基于总线的网闸技术。通过采 用双端口的静态存储器和低电压差分信号( l v d c ) 总线技术来实现内存 数据的交换i7 1 。矛头公司把该技术取名为基于硬件的反射技术。n e t g a p 第一代产品采用了一路存储转发，第二代采用了两路同时存储转发，效率 提高了倍 中网公司的网闸产品( x g a p ) 中网公司的网闸是采用s c s i 技术实现的网闸。系统组成包括内部主 机与外部主机、固态存储介质。网闸中断了两个网络之间的直接连接。包 括通信连接、网络连接和应用连接，将o s i 模型的第一层至第七层全部断 开，从第七层将数据还原为原始数据( 静态可携带的文件) ，然后以“摆 渡文件”的形式来传递数据【8 j 。没有包、命令和t c p i p 协议可以穿透网闸。 中网网闸剥离所有的t c p i p 协议，以防止来自协议的攻击。从l p 协 议开始，到t c p 协议，再到第七层应用层，最后还原成为可以存储的文件 格式，以便通过低级物理介质。摆渡”数据。 联想公司的网闸( s i s ) 联想网御s i s 一3 0 0 0 安全隔离网闸( 硬件) 的组成为【9 】：内置高速固 态开关、信息交流服务器、a 网代理模块、b 网代理模块等，负责在内外 网之间获得并交换信息。 联想的网闸对应地支持采用模块方式。如文件同步模块( 软件) ，按 配置策略，在内外网之间进行文件的安全策略。邮件同步模块( 软件) ， 在内外网邮件服务器之间进行邮件交换，内网用户可以在内网安全地收发 外网邮件。数据库同步模块( 软件) ，在内外网数据库之间进行数据同步， 可提供全表更新、增量更新、标志更新等多种同步策略。 伟思公司的网闸( v i g a p ) 伟思公司的网闸v i g a p 产品是引用了国际上最先进的网络安全技术 ( 第二代技术) 设计的安全网关【1 0 】，通过它的专用硬件保证内部网络与不 可信网络物理隔离，能够阻止各种已知和未知的网络层和操作系统层的攻 击。提供比防火墙、入侵检测等技术更好的安全性能，并通过基于硬件的 反射技术，实现在线式实时访问不可信网络，通过强大的协议检查、内容 4 重庆邮电大学硕士论文第1 章绪论 审查和用户审计等手段来确保内外网资源、信息和数据的安全交换。 1 3 研究的目的和意义 本课题旨在开发出适合目前公安网络实际应用环境的网络隔离与数 据单向迁移平台，试图解决目前人工数据摆渡的繁琐和大数据转移的困 难。 对大量的实际应用进行分析之后发现；在实际应用需求之中，有很大 一部分用户是隶望将指定的数据高效、快捷、安全的迁移到另一个物理隔 离的网络中去。目前，现有的。安全网关”或“安全网闸”等相关产品虽 然已有所应用，但由于其高昂的价格及安全性而受到用户的诸多置疑，特 别是不能很好的满足一些特殊的应用环境要求，其主要存在的问题如下： 1 ) 系统内部数据存在双向传输的可能，一旦任意一方被入侵，均可能 使整个系统受到黑客控制，存在严重的安全隐患； 2 ) 不适合在内外网之问进行批量数据迁移，缺乏安全认证、事务跟踪， 难于保障被迁移数据的完整性和安全性； 3 1 数据交换过程是通过内外网络不断切换来实现，效率比较低，特别 是不适合大数据量持续传送： 4 ) 对应用层支持不够完善，缺乏统一的、面向包括o a 、数据库在内 的多种应用系统的标准接口，兼容性较差，二次开发工作量较大； 5 1 没有根据被迁移数据的应用类型对数据进行安全级、优先级别的区 分，数据进入内网后不能准确即时地被分发到各目标应用系统； 针对上述应用需求和已有网闸系统存在的问题进行研究，弼络安全隔 离与数据迁移平台正是居于用户实际的需求进行研究和开发的。随着电子 政务不断的深入发展，各行业对“物理隔离”加“数据迁移”的需求越来 越强烈，公安、税务，海关、电力、铁道等众多行业，在面临把传统应用 通过互联网提供电子政务服务，或者把来自互联网收集的信息迁移到自己 的内部网络时，都需要用到网络安全隔离与数据迁移平台。 1 4 研究内容及其创新 本课题研究的是采用专用硬件和模块化的工作组件设计，集成物理隔 离、实时数据迁移、自定义传输协议、内容检测、协议分析、访问控制及 数据校验等多种安全功能为一体【1 1 l ，部署于不同安全等级的网络问，在实 重庆邮电大学硕士论文第1 章绪论 现两个网络物理隔离的同时，实现高速的、安全的数据迁移服务的安全隔 离体系。其本质在于：两侧网络不能直接连接，阻断两侧网络间任何通用 或私有协议连接。使之不能进行网络协议通讯，对传递的数据采用基于固 化硬件逻辑控制的无反馈单向传输技术进行迁移，彻底防止数据反向回 流。在满足用户需求的同时最大限度的杜绝了所有已知和未知的安全隐 患。对迁移的数据进行严格的审计，即实现“协议落地、行为检测、内容 审计”。 课题的创新主要体现在以下几个方面： 1 ) 基于物理层硬件逻辑实现数据的单向无反馈传输，解决了传统网闸 技术在同一个系统中存在双向数据传送的难题，实现了更为可靠的安全数 据迁移； 2 物理层数据传输采用基于f p g a 的高速总线方案，与传统的基于 s c s i 和空气开关的方案相比，降低了硬件成本和复杂度，提高了系统可靠 性和传输效率； 3 ) 将数字签名和事务处理技术引入到内外网的数据迁移中，增强数据 迁移的完整性和安全性。 1 5 论文内容组织 本文将对网络安全隔离与数据迁移平台进行较深入的研究，从平台的 系统分析到总体设计及关键功能模块的实现进行了介绍。 本文包括以下主要内容： 第1 章绪论，介绍了国内外隔离技术发展现状、当前网闸的典型产 品、本课题的研究目的、意义、内容以及创新点。 第2 章网络安全隔离与数据迁移平台系统分析，本章首先对迁移平 台的需求进行了分析，根据基本需求提出了本设计的主要技术路线。然后 介绍了迁移平台应用的4 种网络环境最后分析了迁移平台的三大安全目 标和几个功能要求。 第3 章网络安全隔离与数据迁移平台总体方案及硬件设计，本章首 先介绍平台设计指标和整体构架并划分了功能模块，分别是内、外网预处 理模块和数据迁移模块。接着介绍了平台的两种工作方式；静态文件数据 迁移和定制接口型迁移。最后介绍了迁移平台的硬件设计。 第4 章网络安全隔离与数据迁移平台软件设计及实现，本章首先介 绍了软件的总体结构，分迁移服务程序模块、硬件驱动程序模块和配置管 6 重庆邮电大学硕士论文 第1 章绪论 理模块三大部分。然后分别详细介绍了迁移服务程序模块和配置管理模块 中几个功能的设计和实现。 第5 章网络安全隔离与数据迁移平台测试及应用，介绍平台的测试 以及性能。 第6 章全文总结与展望，对本文进行了总结，分析迁移平台的不足 和未来的发展。 7 重庆邮电大学硕士论文第2 章网络安全隔离与数据迁移平台系统分析 第2 章网络安全隔离与数据迁移平台系统分析 本文所研究的网络安全隔离与数据迁移平台是通过专有隔离迁移卡 实现基于硬件的安全隔离和数据的单向迁移，使得两个网络之问没有任何 的网络物理连接，没有任何的网络协议可以穿透，隔离迁移卡提供了高速 数据交换带宽，使得内部数据迁移不再成为速度瓶颈。研究和设计此迁移 平台的总体目标是建立一个安全可靠、高速高性能的安全隔离硬件体系 1 1 2 , 1 3 j ，实现对内网与外网的安全物理隔离，保护内网免受外部入侵攻击， 同时内、外网能进行高速的数据交换。 2 1 需求分析 2 1 1 安全防护的基本需求 1 ) 必须保证内网与外网是网络隔离的； 2 ) 限定格式的文件( 保证文件的无害性) 才能通过该迁移平台进入内 网： 3 ) 在迁移平台连接外网的一端采取访问控制技术、认证技术、内容检 测，病毒检测等安全手段，并对请求返回的数据进行类型限制和安全检查； 4 1 具有单向访问的能力，即禁止外网主动向内网发起数据访问请求， 准许内网向外网发起数据访问的请求，并准许请求回来的数据经过安全检 查后流入内网； 5 1 为接收的数据提供一致性、完整性的验证； 6 ) 保证核心内网在任何时候不受黑客的正面攻击； 7 ) 保证核心内网的机密信息不外泄。 2 1 2 本设计的主要技术要求 1 ) 基于物理层的数据单向无反馈传输控制技术； 2 ) 基于高速数据传输总线的高效数据迁移技术； 3 ) 数据完整性、安全性保障技术； 8 重庆邮电大学硕士论文第2 章网络安全隔离与数据迁移平台系统分析 4 ) 用专用的内网转换协议； 5 1 完善的内网用户管理、管理员管理和审计功能。 2 2 部署环境 国家保密局对安全隔离与信息交换类产品的应用做了规定，规定安全 隔离与信息交换类产品在以下四种网络环境下应用： 1 ) 不同的涉密网络之间 对那些因为安全原因要求限制接入互联网的单位和部门，可以采用安 全隔离与信息交换类产品来提供接入服务。内部用户可以访问互联网，互 联网无法入侵和攻击内部网络。提供的服务包括w e b 站点访问，电子邮件 收发，文件下载等服务。 2 1 同一涉密网络的不同安全域之间 由于办公网络与业务网络的信息敏感程度不同，例如，银行的办公网 络和银行业务网络就是很典型的信息敏感程度不同的两类网络。为了提高 工作效率，办公网络有时需要与业务网络交换信息。为解决业务网络的安 全，比较好的办法就是在办公网与业务网之间使用安全隔离与信息交换类 产品，实现两类网络的物理隔离。 3 ) 与i n t e r n e t 物理隔离的网络与秘密级涉密网络之间 在电子政务系统建设中要求政府内网与外网之间用逻辑隔离，在政府 专网与内网之间也要用物理隔离。现常用的方法是用安全隔离与信息交换 类产品来实现。对那些提供电子商务和电子政务的单位来讲，既要提供访 问服务，又要解决安全问题。在网站或数据库之前采用安全隔离与信息交 换类产品就可以解决相关的安全问题。 4 1 未与涉密网络连接的网络与i n t e r n e t 之间 业务网与互联网之间，电子商务网络一边连接着业务网络服务器，一 边通过互联网连接着广大民众。为了保障业务网络服务器的安全，在业务 网络与互联网之间应实现物理隔离。大量的专网和公网之间，内网和外网 之间，需要解决入侵和安全问题。采用安全隔离与信息交换类产品，可以 实现两网之间必要的数据通信，又保证不会有相互入侵的安全问题。 网络安全隔离与数据迁移平台适合于上述四种网络环境，部署在内网 与外网的交界处，迁移平台的内、外网e t h c r n e t 接口，分别与内网和外网 相连：同时，还各有一个标准1 0 1 0 0 b a s e t ( r j 4 5 ) 接口用于平台的配置。 9 重庆邮电大学硕士论文 第2 章网络安全隔离与数据迁移平台系统分析 2 3 安全目标 2 3 1 保证数据完整性 数据从一台主机摆渡到另一台主机的过程中，必须保证数据没有被篡 改。迁移平台嵌入h a s h 算法软件，可以生成数据摘要，这样可以保证数 据的完整性：采用多点验证，避免一切包裹、附着、伪造的数据从一个网 络迁移到另一个网络。如在迁移服务程序模块中加入了m d 5 算法以及 x o r 加密等，有效地保障了需要迁移的数据的完整性和安全性。迁移平台 也可以根据用户的需要加入数字签名功能，提供数据的不可抵赖性证明 【1 4 ，1 5 l 。 2 3 2 保证内网不受黑客攻击 为实现这一目标，迁移平台做了如下的设计： 在硬件设计上，采用专有隔离迁移卡进行数据的单向迁移，数据仅从 一个网络到另一个两络的数据单向传递，而并非数据的双向交换。从而使 得任何恶意程序无法入侵、无法攻击、无法破坏。实现了两个网络间的数 据安全迁移功能。隔离迁移卡具有互斥访问的特点，保证了两个网络任何 时候都不可能同时连通；采用私有协议对t c p i p 通信协议进行转换，阻 断了黑客攻击的途径。 在软件设计上，采用专门定制的安全操作系统，所有不需要的功能全 部被裁减，完全为迁移平台量身定制，具有极高的安全性。同时，操作系 统存放在d o m 中，不能被随意修改，而经常读写的日志系统则存放在大 容量的硬盘中，把操作系统和日志系统存储设计分开，使得系统结构更加 安全。系统能够识别并防范对网络和主机的扫描攻击、异常网络协议攻击、 i p 欺骗攻击、源i p 攻击、i p 碎片攻击、d o s d d o s 攻击等。能有效的防 止诸如：i p s p o o | f i n g ，s y na t t a c k ，i c m p f l o o d 等各种黑客攻击。 2 3 3 防止内网的机密信息外泄 第三个安全目标是保证内网的机密信息不外泄。主要是为了避免任何 黑客通过一些类似木马程序之类的恶意代码，从内网向外发出信息的可 1 0 重庆邮电大学硕士论文第2 章网络安全隔离与数据迁移平台系统分析 能。为了实现这一目标，迁移平台设计根据需求，禁用各种通讯协议，比 如：f t p 协议、s m t p 协议以及i c m p 等协议。 2 4 功能要求 网络安全隔离与数据迁移平台是一种在网关处实施的、将内部可信网 与外部不可信网隔离的硬件隔离体系，它的两端分别与内网和外网相连， 从安全和应用两个角度分析，迁移平台应实现以下几方面的需求。 2 4 1 内外网之间的物理隔离 这是对网络安全隔离与数据迁移平台的最基本要求。为了实现内外网 之间的隔离，需要保证内外网在任意时刻都保持物理传导和物理辐射意义 上的断开。即确保外网不能与内网有任何形式的连接，防止内部网络的信 息通过连接泄漏到外部网络；并且，确保内网信息不会通过电磁辐射或耦 合方式泄漏到外网。 2 4 2 抵抗多种类型的攻击 网络安全隔离与数据迁移平台应能抵抗多种类型煦攻击。其中有缓冲 区溢出攻击；基于t c p i p 协议的各种攻击，如地址欺骗、端口扫描、嗅 觉器攻击等；区分针对服务器的合法请求和非法请求、拒绝服务攻击等。 2 4 3 单向可控数据迁移 内外网之问所交换的数据，必须是完全可控的静态数据的交换。此处 的可控是指根据系统安全策略的设置，可根据协议类型、源地址、目的地 址、协议命令、时间等特征对所交换的数据进行控制。此处的静态有两个 含义：一是指断开基于t c p i p 协议的连接；二是指所有的数据在迁移过 程中均是不可执行的。内外网之间的数据迁移通过一个基于隔离迁移卡的 迁移模块来实现的。该迁移平台可在不同的时刻分别与内网和外网连接， 但不能与内网和外网同时建立连接，而且数据只能单向迁移。 1 l 重庆邮电大学硕士论文 第2 章网络安全隔离与数据迁移平台系统分析 2 4 4 高速的数据迁移 网络安全隔离与数据迁移平台应能在内外和外网之间进行高速的数 据迁移。数据在两个主机间的数据摆渡，主要是解决目前人工数据摆渡的 繁琐和大数据转移的困难。本课题采用基于p c i 和s c s i 总线的数据摆渡 设计方案，理论速度可以达到1 0 g b p s ，目前第一阶段的目标为不小于 1 3 3 m b p s 。专有硬件进行数据迁移，针对数据迁移的特点，内部设计了高 速交换总线，采用d m a 流水线传输技术，既不占用c p u 时间，又能实现 高速数据迁移，实现了真正的高性能。 2 4 5 协议转换 数据在通过网络安全隔离与数据迁移平台内部实现内外网数据迁移 的时候，必须中断原有的t c p i p 连接，对t c p i p 包进行协议分析，取出 t c p i p 包中的数据并且用私有协议重新封装后进行数据交换1 1 6 】。 t c p i p 连接被中断后，通过网络安全隔离与数据迁移平台的数据封装 采用私有封装协议，此协议是为网络安全隔离与数据迁移平台专门设计的 数据传输协议，此协议仅在平台内部进行数据迁移时使用。因此，私有协 议必须严密、高效、完全适用数据迁移平台的系统结构和应用环境，防止 针对各种应用协议漏洞进行的攻击；并且，私有协议必须采用消息认证和 数字签名等措施来防止伪造。、 2 4 6 迁移平台的独立性 网络安全隔离与数据迁移平台应是完全独立于计算机之外运行的硬 件设备，该设备的启动、复位、运行不受计算机的控制和影响其自身的 工作流程独立于计算机主机和操作系统。 2 4 7 迁移平台本身的安全性 迁移平台本身具有自我保护和安全审计功能，使用该迁移平台主要是 完成数据从一个网络到另一个网络的安全转移，转移的基础不依赖任何通 用或专用的网络协议。避免基于所有协议的攻击，在转移过程中即使设备 重庆邮电大学硕士论文第2 章网络安全隔离与数据迁移平台系统分析 工作异常均不会形成两个网络的新的安全漏洞( 在硬件的设计上杜绝了网 络物理隔离系统被旁路的可能性) 。 2 4 8 兼容性和接口开放性 为了满足不同的应用需要，网络安全隔离与数据迁移平台需要制定面 向应用层的标准接口方式。根据这一接口方式可以满足：数据库类型数据 的迁移、电子公文和文件的迁移、各信息系统之间的数据迁移、网络应用 中的大部分数据迁移( 例如：f r p 、s m t p 、p o p 3 等应用) 2 4 9 安全策略设置和集中管理 网络安全隔离与数据迁移平台能进行多种安全策略的设置并根据安 全策略管理和控制通过网络安全隔离与数据迁移平台的数据，对于为了提 高网络带宽，需要在同一网络中应用多个网络安全隔离与数据迁移平台的 情况时，多台数据迁移平台组成一个服务机群，通过负载均衡技术，采用 高效调度算法，将外部请求视服务器群集中各迁移平台上的负载状况合理 分配到某个迁移平台上，籍此大幅提高数据的迁移速度，解决海量数据的 迁移问题。无需额外的第三方软硬件支持。 重庆邮电大学硕士论文第3 章网络安全隔离与数据迁移平台方案及硬件设计 第3 章网络安全隔离与数据迁移平台方案及硬件设计 3 1 迁移平台总体方案设计 3 1 1 迁移平台设计指标 网络安全隔离与数据迁移平台需要完成相应指标的设计，主要包括基 本功能、管理控制功能、审计功能、基本安全保密等方面的设计指标【1 7 1 。 迁移平台设计指标如表3 1 所示： 表3 1 迁移平台设计指标 类别子类解释 安全操作系统内、外网单元应采用安全操作系统或公开源代码且经过 安全性增强的操作系统。 内、外网单元应具备协议解析和应用代理功能。接收和 网络协议终止响应用户的网络访问请求，解析、提取出应用层数据， 以数据文件的方式进行交换，不得直接或间接转发l p 数据包。 唯一传送通道控制单元是内、外网单元之间唯一且安全的数据传输通 基本 道 功能 命令过滤和控制控制单元对所支持的应用协议中的命令进行过滤和控 制。 内容检查和控制控制单元对所支持应用协议的通信内容进行检查和控 制，只有符合安全保密策略的数据才被允许进行交换。 病毒查杀控制单元对所传输的文件进行病毒查杀。 身份鉴别对用户进行身份鉴别与权限控制 日志审计提供日志审计功能。 友好的配置管理提供基于w e b 的图形化、友好的配置管理界面。 管理界面 控制 界面内容要齐全管理配置界面应包含配置和管理产品所需的所有功能。 功能 1 4 重庆邮电大学硕士论文 第3 章网络安全隔离与数据迁移平台方案及硬件设让 为网络安全隔离与数据迁移平台的配置和使用产生审 审计日志计记录，至少记录以下重大事件：鉴别失败、系统配置 修改、用户权限修改等。 审计 审计记录审计记录至少包含以下内容；发生时问、源目的地址、 功能 内容 用户身份，事件类型和结果( 成功或失败) 等。 记录方式审计日志的记录方式应便于用户理解 导入导出具有导入、导出审计数据的功能。 在管理员执行任何与安全功能相关的操作之前进行鉴 别认证。 当用户鉴别尝试失败次数连续达到一定次数后，系统应 锁定该帐号。并将有关信息生成审计事件。允许的鉴别 尝试次数仅由授权管理员设定。 具有登录超时认证功能在设定的时间段内没有任何操 鉴别作的情况下，需要再次进行身份鉴别才能重新管理产 品。最大超时时间仅由授权管理员设定。 允许管理员锁定自己的交互会话，锁定后需要再次进行 身份鉴别才能够重新管理产品 保护鉴别数据不被授权查阅和修改。 预防有关管理鉴别数据的重用( 如不应显示默认的登录 基本 用户名) 。 安全 应设置多个角色，并保证每一个用户标识是唯一的。 保密 为每一个用户保存安全属性表，属性应包括：用户标识、 用户管理 鉴别数据( 如口令) 、授权信息或用户组信息、其它安 全属性等。 系统配置管理与日志审计管理的权限各自独立系统配 置管理可对产品进行用户管理、系统配置、策略更改、 告警信息的查看以及导入导出等操作；e l 志审计管理可 对产品的审计日志进行查看、删除、导入导出等操作 仅限于指定的授权角色具有查询、删除和清空审计记 录。 审计记录应防止被篆改、删除或伪造。 将删除或清空审计记录的事件记入审计日志 确保遭受攻击时。能够完整保留已经保存的数据 重庆邮电大学硕士论文第3 章网络安全隔离与数据迁移平台方案及硬件设计 审计数据安全应在审计数据存储空闯将耗尽时，自动产生告警。产生 告警时的剩余存储空间大小可由管理员设定。 如果审计数据存储空间已满，迁移平台应选择采取以下 措施之一：忽略审计数据、覆盖最早存储的审计数据等， 并发出警告。 迁移平台自身安迁移平台本身具有自我保护和安全审计功能。 全 迁移平台应能够连续运行 吞吐 最大数据传输率：1 0 0 m b p s ( 双工) 量 内部 交换 2 g b p s 带宽 延时纳秒级别 3 1 2 迁移平台整体架构 网络安全隔离与数据迁移平台是一套双主机系统【1 8 , 1 9 l ，内外网主机之 间采用自主研发的迁移卡进行安全通信。迁移平台架构主要由内网预处理 模块、外网预处理模块和数据迁移模块三部分构成。内网预处理模块与内 网相连，外网预处理模块与外网相连，内、外网预处理模块主要负责内、 外网数据的汇集、分发、校验和审计，分别对数据的来源、目的地、使用 者，数据的完整性进行分析和审计。数据迁移模块采用专用的硬件设计， 通过专有信道，采用私有协议实现与内、外网模块的数据交换，保证任意 时刻内、外网之间没有链路层连接。一个网络上的数据只能以专用数据块 方式静态地通过迁移平台进行“摆渡”，传送到与该网络物理隔离的另一 个网络中同时，该平台集成了多种安全技术手段，采用强制安全策略， 对数据内容进行安全检测，保障数据安全、可靠地交换。 其工作原理图如图3 1 所示： 重庆邮电大学硕士论文 第3 章网络安全舅离与数据垂整垩鱼虚塞垦堡堡堡丛 图3 1 网络安全隔离与数据迁移平台工作原理图 其工作流程图如图3 2 所示： 从外网数据服务器( 不可信网络) 经过网络安全隔离与数据迁移平台 到内网数据服务器( 可信网络) 的数据流要经过如下步骤： r 。1 会话终止i i 。- - - - - - - - ，- - - - - - - - - - j r 【 l 协议重组 l i ，j r j 1 教字签名 i - - - - _ - - - - - - - - - - - - - - - - - - - - - - _ _ - - 一 i f o + 1 一 l 数据迁移 i 爹* f 至壅互 图3 2 网络安全隔离与数据迁移平台数据处理流程 会话终止 会话终止是指在外网的计算机通过网络安全隔离与数据迁移平台与 内网建立连接时，网络安全隔离与数据迁移平台的外部网络接口会通过模 拟应用的服务器端，终止网络之间的会话连接，这样可确保在不可信和可 信网络之间没有一条激活的会话连接。 1 7 害 重庆邮电大学硕士论文第3 章网络安全隔离与数据迁移平台方案及硬件设计 协议重组 对来自连接的数据包进行基于内部r f c 的协议分析，也可以对某些协 议进行动态分析，检查是否有