网闸的技术要求

安全网闸技术是模拟人工拷盘的工作模式,通过电子开关的快速切换实现两个不同网段的数据交换的物理隔离安全技术。安全网闸技术在安全技术领域源于被称之为GAP,又称为Air Gap的安全技术,它本意是指由空气形成的用于隔离的缝隙。在网络安全技术中,主要指通过专用的硬件设备在物理不连通的情况下,实现两个独立网络之间的数据安全交换和资源共享。

它由三个组件构成:A网处理机、B网处理机和GAP开关设备。我们可以很清楚地看到连接两个网络的GAP设备不能同时连接到相互独立的A网和B网中,即GAP在某一时刻只与其中某个网络相连。GAP设备连接A网时,它是与B网断开的,A网处理机把数据放入GAP中;GAP在接收完数据后自动切换到B网,同时,GAP与A网断开;B网处理机从GAP中取出数据,并根据合法数据的规则进行严格的检查,判断这些数据是否合法,若为非法数据,则删除它们。同理,B网也以同样的方式通过GAP将数据安全地交换到A网中。从A网处理机往GAP放入数据开始,到B网处理机从GAP中取出数据并检查结束,就完成了一次数据交换。GAP就这样在A网处理机与B网处理机之间来回往复地进行实时数据交换。在通过GAP交换数据的同时,A网和B网依然是隔离的。

安全网闸是如何来保证在两个网络之间的安全性呢?首先,这两个网络一直是隔离的,在两个网络之间只能通过GAP来交换数据,当两个网络的处理机或GAP三者中的任何一个设备出现问题时,都无法通过GAP进入另一个网络,因为它们之间没有物理连接;第二,GAP只交换数据,不直接传输TCP/IP,这样避免了TCP/IP的漏洞;第三,任何一方接收到数据,都要对数据进行严格的内容检测和病毒扫描,严格控制非法数据的交流。GAP的安全性高低关键在于其对数据内容检测的强弱。若不做任何检测,虽然是隔离的两个网络,也能传输非法数据、病毒、木马,甚至利用应用协议漏洞通过GAP设备从一个网络直接进入另一个网络。那么GAP的作用将大打折扣。

尽管作为物理安全设备,安全网闸提供的高安全性是显而易见的,但是由于其工作原理上的特性, 不可避免地决定了安全网闸存在一些缺陷:

1、 只支持静态数据交换,不支持交互式访问

这是安全网闸最明显得一个缺陷。类似于拷盘在两台主机间交换数据,安全网闸的数据是以存储转发模式工作的,在数据链路层其网段的两边始终是中断的,在其三个组件的任何一个节点上交换的都必须是完整的应用层数据。因此,它不支持诸如动态WEB页面技术中的ActiveX、Java甚至是客户端的cookie技术,目前安全网闸一般只支持静态WEB页,邮件文件等静态数据的交换。

2、 适用范围窄,必须根据具体应用开发专用的交换模块

由于数据链路层被忽略,安全网闸无法实现一个完整的ISO/OSI七层连接过程,所以安全网闸对所有交换的数据必须根据其特性开发专用的交换模块,而不是采用IS0/OSI七层模型提供的传统的层次封装的开放式编程接口。所以客户所能实现的数据交换类型均取决于产品提供商到底能提供多少种应用模块,甚至于要根据客户的要求临时开发各种应用模块,灵活性差,适用范围十分狭窄;

3、 系统配置复杂,安全性很大程度上取决于网管员的技术水平

安全网闸采用由其主动发起数据请求的方式进行工作,它不会接受和响应其它主机主动发起的数据请求,也不对外提供任何服务。对于取到的数据还要进行一些病毒、木马过滤和安全性检查等一系列功能,这都需要网管员根据网络应用的具体情况加以判断和设置。如果设置不当,比如对内部人员向外部提交的数据不进行过滤而导致信息外泄等,都可能造成安全网闸的安全功能大打折扣。

4、 结构复杂,实施费用较高

安全网闸的三个组件都必须为大容量存储设备,特别在支持多种应用的情况下,存储转发决定了必须采用较大的存储器来存储和缓存大量的交换数据。另外,安全网闸由于处在两个网段的结合部,具有网关的地位,一旦当机就会使两边数据无法交换,所以往往需要配置多台网闸设备作为冗余,使购置和实施费用不可避免地上升了;

5、 技术不成熟,没有形成体系化

安全网闸技术是一项新兴的网络安全技术,尚无专门的国际性研究组织对其进行系统的研究和从事相关体系化标准的制定工作。对其工作原理的界定也很模糊,在国外,一些应用的比较多的安全网闸产品,比如国外的e-Gap(Whale公司)和Air Gap AG系列(Spearhead公司),本质上它们是一种内容过滤型防火墙,由于支持交互式会话,严格意义上已经不属于物理隔离产品。国内的安全网闸成熟产品少,由于诸多原因,也并未得到充分推广;

6、 可能造成其他安全产品不能正常工作,并带来瓶颈问题

安全性和易用性始终是一对矛盾,在已有的防火墙,VPN,AAA认证设备等安全设施的多重构架环境中,安全网闸产品的加入,使网络日趋复杂化,正常的访问连接越来越多的被各种不可见和不易见因素所干扰和影响,已经配置好的各种网络产品和安全产品,可能由于安全网闸的配置不当而受到影响。由于多重过滤的安全设施结构,安全网闸的加入使瓶颈问题更加突出。因为电子开关切换速率的固有特性和安全过滤内容功能的复杂化,目前安全网闸的交换速率已接近该技术的理论速率极限,可以预见在不久的将来,随着高速网络技术的发展,安全网闸在交换速率上的问题将会成为阻碍网络数据交换的重要因素。

1)网闸产品厂家需要具备以下资质:

① 公安部计算机信息系统安全专用产品销售许可证(三级以上)及公安部计算机信息系统安全产品质量监督检验中心检验报告(三级以上)

② 国家保密局涉密信息系统产品检测证书

③ 国家密码管理局密码检测证书

④ 国家电网公司EMC检测认证

⑤ DTP物理隔离通道系统证书

⑥ 解放军军用信息安全产品认证证书(军C以上)级

⑦ 国家信息安全产品3C证书(三级以上)

2)网闸技术要求:

网闸用于数据采集网络到办公网络的数据传送,在保证仪表数据正常采集传输的同时保证数据采集网络与办公网络的有效隔离。网闸设置在办公网核心附近,电解数据采集网络核心和炭素数据采集网络核心分别通过千兆网络连接到网闸的内网接口,网闸的外网接口连接到办公网核心。

3)网闸产品需要具备以下功能:

① 内网网口不少于4个10/100M/1000M RJ-45接口(千兆电口);外网网口不少于4个10/100M/1000M RJ-45接口(千兆电口);管理口内网1个console口,外网1个console口;

② 数据传输数率≥850 M;

③ 内部数据传输: 5Gbps ;

④ 最大并发连接数: 100,000 ;

⑤ 数据库同步应用可通过灵活的同步机制保证安全等级不同的网络中的数据库系统实现数据同步更新,支持表级、字段级同步;

⑥ 提供对Oracle 、SQL Server等数据库的安全访问,实现内外网之间数据库及表内容安全传输;

⑦ 实现特定TCP、UDP协议的数据隔离交换,可合作定制开发针对特定协议的安全检测,实现如黑白名单控制、关键字过滤等;

⑧ 支持病毒检查,包括:文件交换病毒文件过滤,数据库交换/同步中表或字段病毒过滤,以及访问互联网过滤病毒等;

可采用用户名和密码、IP地址、MAC地址、IP与MAC绑定、Radius、CA、动态口令等多种组合方式实现客户端访问控制;

原文:头条新闻

发表评论

电子邮件地址不会被公开。 必填项已用*标注