网络安全物理隔离技术的研究.pdf

I摘 要 随着电子政务电子金融等的流行如何保障涉密网络和非涉密网络之间信息交换的安全如何合理地解决网络开放性与安全性之间的矛盾日益成为一个迫切需要解决的问题隔离网闸是一项企业级的物理隔离技术它的产生正是为了解决网络安全中存在的上述问题 本文介绍了物理隔离技术在网络环境中的应用并以一种基于第一代企业级隔离技术的空气开关型隔离网闸产品为项目背景介绍了第一代产品的设计和实现在此基础上结合对第二代隔离技术的研究提出一种数据交换模型 系统硬件平台设计选用 PC104 模块的工业单板机和采用单片机实现的控制切换电路选用闪存作为系统的固态存储介质SDRAM 作为系统的内存板间通信及内外主机间采用并行口网络设备接口等 工业单板机的嵌入式 Linux 经过裁减并满足对系统对外部接口的支持并通过软件实现系统的控制和切换功能软件的设计包括单片机控制程序工业单板机的系统守护进程切换程序系统维护程序等 网络安全中的隔离技术还在不断的发展本文中提到的桌面级企业级物理隔离技术和基于这些技术的产品在现实中都在被广泛地应用而新的技术由于带来性能上效率上安全性上的提高必然会替代原先的技术而所谓的双主机结构中的数据交换技术正是其中最关键的因素本文最后在提出一种设计中的数据交换模型的基础上讨论比较了几种数据交换方式 本系统在提供了一种物理隔离的解决方案该方案基于第一代企业级物理隔离技术并在此基础上进一步研究设计了一种基于 SDRAM 的高速的数据交换模型具有一定的创新对于同类系统的设计具有实际的参考价值 关键词网络安全隔离网闸嵌入式系统Linux操作系统数据交换模型 II Abstract With the popularity of electronic government, electronic finance and so on, the problem that how to safeguard the information exchange between trusted and non-trusted networks, how to solve the contradiction between network opening and network security is urgent to be solved . Physical Isolation Gap is an enterprise-class isolation technology which these problems can be solved. This paper will introduce the application of physical isolation technology in the network environment, introduce the design and implement of the first generation product under the background of the project first generation enterprise-class Air Gap. Then base on the research of second generation isolation technology, a data exchange model is proposed. The hardware platform is an industry SBC with PC104 model, a switch and control center by single chip circuit (SCM), flash memory cards (CF card) as solid-state memory, SDRAM as system memory, parallel port and network interface as on-board data exchange and network connection between inner/outer hosts. The function of embedded Linux-based SBC is implemented by software. The control programs on SCM and daemon programs, switch programs and system maintenance programs on SBC and so on are included in software design. The isolation technology is developing continuously and the desktop-class and enterprise-class physical isolation technologies mentioned in this paper are all widely used. The new isolation technologies will displace the old ones for enhancements of performance, efficiency and security. The innovation of the system consists in propose a new data-exchange model base on the solution of the first generation enterprise-class physical isolation. It can be consulted and popularized by homogeneous system. Key wordNetwork securityIsolation GapEmbedded system Linux operation systemData-exchange model 11 绪 论 安全专家认为联网的计算机是有弱点的随着互联网上黑客病毒泛滥信息恐怖计算机犯罪等威胁日益严重防火墙的攻破率不断上升在政府军队电力等领域由于核心部门的信息安全关系着国家安全社会稳定因此迫切需要比传统产品更为可靠的技术防护措施 1.1 电子政务特点及其系统安全需求 1.1.1 电子政务特点 电子政务是一国的各级政府机关或者是有关机构借助电子信息技术而进行的政务活动其实质是通过应用信息技术转变政府传统的集中管理分层结构运行模式以适应数字化社会的需求电子政务主要由政府部门内部的数字化办公政府部门之间通过计算机网络而进行的信息共享和实时通信政府部门通过网络与公众进行的双向交流三部分组成 由于电子政务依赖于计算机和网络技术而存在这就意味着电子政务的应用就不可避免的与 INTERNET 打交道电子政务涉及对国家秘密信息和高敏感度核心政务的保护涉及维护公共秩序和行政监管的准确实施涉及到为社会提供公共服务的质量保证电子政务是党委政府人大政协有效决策管理服务的重要手段必然会遇到各种敌对势力恐怖集团捣乱分子的破坏和攻击尤其电子政务是搭建在基于互联网技术的网络平台上包括政务内网政务外网和互联网而互联网的安全先天不足互联网是一个无行政主管的全球网络自身缺少设防和安全隐患很多对互联网犯罪尚缺乏足够的法律威慑大量的跨国网络犯罪给执法带来很大的难度所有上述分子利用互联网进行犯罪则有机可乘使基于互联网开展的电子政务应用面临着严峻的挑战 对电子政务的安全威胁包括网上黑客入侵和犯罪网上病毒泛滥和蔓延信息间谍的潜入和窃密网络恐怖集团的攻击和破坏内部人员的违规和违法操作2网络系统的脆弱和瘫痪信息产品的失控等应引起足够警惕采取安全措施应对这种挑战 1.1.2 电子政务的网络架构 电子政务网络系统可规划为一个四层的安全控制域网络安全设计以各域的工作特点为依据进行设计 ? 核心层(核心数据存储与处理)是政府信息的集中存储与处理的域该域必须具有极其严格的安全控制策略信息必须通过中间处理层才能获得 ? 办公业务层(日常办公与事务处理)是政府内部的电子办公环境该区域内的信息只能在内部流动 ? 信息交换层(友邻上下级部门间)一部分需要各部门交换的信息可以通过专网域进行交换该区域负责将信息从一个内网传送到另一个内网区域它不与外网域有任何信息交换 ? 公众服务层(电子窗口与信息服务)政府部门公共信息的发布场所实现政府与公众的互操作该域与内网和专网物理隔离 1.1.3 电子政务对安全的特殊需求 电子政务对安全的特殊需求实际上就是要合理地解决网络开放性与安全性之间的矛盾在电子政务系统信息畅通的基础上有效阻止非法访问和攻击对系统的破坏 具体到技术层面除了传统的防病毒防火墙等安全措施以外电子政务特殊的安全需求主要表现在以下几个方面 1. 内外网间安全的数据交换 电子政务应用中势必存在内网与专网外网间的信息交换需求然而基于内网数据保密性的考虑我们又不希望内网暴露在对外环境中解决该问题的有效方式是设置安全岛通过安全岛来实现内外网间信息的过滤和两个网络间的物理隔离从而在内外网间实现安全的数据交换安全岛是独立于电子政务内外网的一个特殊的过渡网络它被置于内网专网和外网相交的边界位置一方面将内网与外网3物理隔离断开防止外网中黑客利用漏洞等攻击手段进入内网另一方面又完成数据的中转在其安全策略的控制下安全地进行内外网间的数据交换 隔离网闸(GAP)技术是实现安全岛的关键技术它如同一个高速开关在内外网间来回切换同一时刻内外网间没有连接处于物理隔离状态在此基础上隔离网闸作为代理从外网的网络访问包中抽取出数据然后通过反射开关转入内网 完成数据中转在中转过程中隔离网闸会对抽取的数据做应用层的协议检查内容检测也会对 IP 包地址实施过滤控制由于隔离网闸采用了独特的开关切换机制因此 在进行这些检查时网络实际上处于断开状态只有通过严格检查的数据才有可能进入内网 即使黑客强行攻击了隔离网闸 由于攻击发生时内外网始终处于物理断开状态黑客也无法进入内网另一方面由于隔离网闸仅抽取数据交换进内网因此内网不会受到网络层的攻击这就在物理隔离的同时实现了数据的安全交换 以隔离网闸技术为核心通过添加 VPN 通信认证加密入侵检测和对数据的病毒扫描就可构成一个在物理隔离基础上实现安全数据交换的信息安全岛 2. 网络域的控制 电子政务的网络应该处于严格的控制之下 只有经过认证的设备可以访问网络并且能明确地限定其访问范围这对于电子政务的网络安全而言同样十分重要然而目前绝大部分网络是基于 TCP/IP V4 网络协议的它本身不具备这种控制能力要加强电子政务网络的控制与管理能力可以采用基于 802.1x带网络接入认证功能的交换机来实现802.1x协议能够对接入设备实现认证从而控制网络的设备访问它可以利用第三方的认证系统加强认证的安全强度如 RadiusTACACS 以及 CA等系统802.1x 协议使得电子政务网络处于中心可管理的状态从而使得各种网络域管理策略得以实现 3. 标准可信时间源的获取 时间在电子政务安全应用上具有其特定的重要意义政务文件上的时间标记是重要的政策执行依据和凭证政务信息传递过程中的时间标记又是防止网络欺诈行为的重要指标同时时间也是政府各部门协同办公的参照物因此电子政务系统需要建立全系统可信统一的时间源这是保证电子政务系统不致出现混乱的关键因素建立可信统一的时间源可以通过在标准时间源(如本地天文台电视台等)上附加数字签名的方法来获得附加数字签名的目的是防止时间在传输途中被篡改情况的发生 44. 信息传递过程中的加密 电子政务应用涵盖政府内部办公和面对公众的信息服务两大方面就政府内部办公而言电子政务系统涉及到部门与部门之间上下级之间地区与地区间的公文流转这些公文的信息往往涉及到机密等级的问题应予以严格保密因此在信息传递过程中必须采取适当的加密方法对信息进行加密基于 IPsec 的加密方式正被广泛采用。