網(wǎng)絡(luò)隔離技術(shù)簡介

　　面對新型網(wǎng)絡(luò)攻擊手段的出現(xiàn)和高安全度網(wǎng)絡(luò)對安全的特殊需求，全新安全防護(hù)防范理念的網(wǎng)絡(luò)安全技術(shù)——“網(wǎng)絡(luò)隔離技術(shù)”應(yīng)運(yùn)而生。

　　網(wǎng)絡(luò)隔離技術(shù)的目標(biāo)是確保把有害的攻擊隔離，在可信網(wǎng)絡(luò)之外和保證可信網(wǎng)絡(luò)內(nèi)部信息不外泄的前提下，完成網(wǎng)間數(shù)據(jù)的安全交換。網(wǎng)絡(luò)隔離技術(shù)是在原有安全技術(shù)的基礎(chǔ)上發(fā)展起來的，它彌補(bǔ)了原有安全技術(shù)的不足，突出了自己的優(yōu)勢。

　　隔離技術(shù)的發(fā)展歷程

　　網(wǎng)絡(luò)隔離，英文名為Network Isolation，主要是指把兩個或兩個以上可路由的網(wǎng)絡(luò)(如：TCP/IP)通過不可路由的協(xié)議(如：IPX/SPX、NetBEUI等)進(jìn)行數(shù)據(jù)交換而達(dá)到隔離目的。由于其原理主要是采用了不同的協(xié)議，所以通常也叫協(xié)議隔離(Protocol Isolation)。1997年，信息安全專家Mark Joseph Edwards在他編寫的《Understanding Network Security》一書中，他就對協(xié)議隔離進(jìn)行了歸類。在書中他明確地指出了協(xié)議隔離和防火墻不屬于同類產(chǎn)品。

　　隔離概念是在為了保護(hù)高安全度網(wǎng)絡(luò)環(huán)境的情況下產(chǎn)生的;隔離產(chǎn)品的大量出現(xiàn)，也是經(jīng)歷了五代隔離技術(shù)不斷的實(shí)踐和理論相結(jié)合后得來的。

　　第一代隔離技術(shù)——完全的隔離。此方法使得網(wǎng)絡(luò)處于信息孤島狀態(tài)，做到了完全的物理隔離，需要至少兩套網(wǎng)絡(luò)和系統(tǒng)，更重要的是信息交流的不便和成本的提高，這樣給維護(hù)和使用帶來了極大的不便。

　　第二代隔離技術(shù)——硬件卡隔離。在客戶端增加一塊硬件卡，客戶端硬盤或其他存儲設(shè)備首先連接到該卡，然后再轉(zhuǎn)接到主板上，通過該卡能控制客戶端硬盤或其他存儲設(shè)備。而在選擇不同的硬盤時，同時選擇了該卡上不同的網(wǎng)絡(luò)接口，連接到不同的網(wǎng)絡(luò)。但是，這種隔離產(chǎn)品有的仍然需要網(wǎng)絡(luò)布線為雙網(wǎng)線結(jié)構(gòu)，產(chǎn)品存在著較大的安全隱患。

　　第三代隔離技術(shù)—數(shù)據(jù)轉(zhuǎn)播隔離。利用轉(zhuǎn)播系統(tǒng)分時復(fù)制文件的途徑來實(shí)現(xiàn)隔離，切換時間非常之久，甚至需要手工完成，不僅明顯地減緩了訪問速度，更不支持常見的網(wǎng)絡(luò)應(yīng)用，失去了網(wǎng)絡(luò)存在的意義。

　　第四代隔離技術(shù)—空氣開關(guān)隔離。它是通過使用單刀雙擲開關(guān)，使得內(nèi)外部網(wǎng)絡(luò)分時訪問臨時緩存器來完成數(shù)據(jù)交換的，但在安全和性能上存在有許多問題。

　　第五代隔離技術(shù)—安全通道隔離。此技術(shù)通過專用通信硬件和專有安全協(xié)議等安全機(jī)制，來實(shí)現(xiàn)內(nèi)外部網(wǎng)絡(luò)的隔離和數(shù)據(jù)交換，不僅解決了以前隔離技術(shù)存在的問題，并有效地把內(nèi)外部網(wǎng)絡(luò)隔離開來，而且高效地實(shí)現(xiàn)了內(nèi)外網(wǎng)數(shù)據(jù)的安全交換，透明支持多種網(wǎng)絡(luò)應(yīng)用，成為當(dāng)前隔離技術(shù)的發(fā)展方向。

　　隔離技術(shù)需具備的安全要點(diǎn)

　　要具有高度的自身安全性 隔離產(chǎn)品要保證自身具有高度的安全性，至少在理論和實(shí)踐上要比防火墻高一個安全級別。從技術(shù)實(shí)現(xiàn)上，除了和防火墻一樣對操作系統(tǒng)進(jìn)行加固優(yōu)化或采用安全操作系統(tǒng)外，關(guān)鍵在于要把外網(wǎng)接口和內(nèi)網(wǎng)接口從一套操作系統(tǒng)中分離出來。也就是說至少要由兩套主機(jī)系統(tǒng)組成，一套控制外網(wǎng)接口，另一套控制內(nèi)網(wǎng)接口，然后在兩套主機(jī)系統(tǒng)之間通過不可路由的協(xié)議進(jìn)行數(shù)據(jù)交換，如此，既便黑客攻破了外網(wǎng)系統(tǒng)，仍然無法控制內(nèi)網(wǎng)系統(tǒng)，就達(dá)到了更高的安全級別。

　　要確保網(wǎng)絡(luò)之間是隔離的 保證網(wǎng)間隔離的關(guān)鍵是網(wǎng)絡(luò)包不可路由到對方網(wǎng)絡(luò)，無論中間采用了什么轉(zhuǎn)換方法，只要最終使得一方的網(wǎng)絡(luò)包能夠進(jìn)入到對方的網(wǎng)絡(luò)中，都無法稱之為隔離，即達(dá)不到隔離的效果。顯然，只是對網(wǎng)間的包進(jìn)行轉(zhuǎn)發(fā)，并且允許建立端到端連接的防火墻，是沒有任何隔離效果的。此外，那些只是把網(wǎng)絡(luò)包轉(zhuǎn)換為文本，交換到對方網(wǎng)絡(luò)后，再把文本轉(zhuǎn)換為網(wǎng)絡(luò)包的產(chǎn)品也是沒有做到隔離的。

　　要保證網(wǎng)間交換的只是應(yīng)用數(shù)據(jù) 既然要達(dá)到網(wǎng)絡(luò)隔離，就必須做到徹底防范基于網(wǎng)絡(luò)協(xié)議的攻擊，即不能夠讓網(wǎng)絡(luò)層的攻擊包到達(dá)要保護(hù)的網(wǎng)絡(luò)中，所以就必須進(jìn)行協(xié)議分析，完成應(yīng)用層數(shù)據(jù)的提取，然后進(jìn)行數(shù)據(jù)交換，這樣就把諸如TearDrop、Land、Smurf和SYN Flood等網(wǎng)絡(luò)攻擊包，徹底地阻擋在了可信網(wǎng)絡(luò)之外，從而明顯地增強(qiáng)了可信網(wǎng)絡(luò)的安全性。

　　要對網(wǎng)間的訪問進(jìn)行嚴(yán)格的控制和檢查 作為一套適用于高安全度網(wǎng)絡(luò)的安全設(shè)備，要確保每次數(shù)據(jù)交換都是可信的和可控制的，嚴(yán)格防止非法通道的出現(xiàn)，以確保信息數(shù)據(jù)的安全和訪問的可審計性。所以必須施加以一定的技術(shù)，保證每一次數(shù)據(jù)交換過程都是可信的，并且內(nèi)容是可控制的，可采用基于會話的認(rèn)證技術(shù)和內(nèi)容分析與控制引擎等技術(shù)來實(shí)現(xiàn)。

　　要在堅持隔離的前提下保證網(wǎng)絡(luò)暢通和應(yīng)用透明 隔離產(chǎn)品會部署在多種多樣的復(fù)雜網(wǎng)絡(luò)環(huán)境中，并且往往是數(shù)據(jù)交換的關(guān)鍵點(diǎn)，因此，產(chǎn)品要具有很高的處理性能，不能夠成為網(wǎng)絡(luò)交換的瓶頸，要有很好的穩(wěn)定性;不能夠出現(xiàn)時斷時續(xù)的情況，要有很強(qiáng)的適應(yīng)性，能夠透明接入網(wǎng)絡(luò)，并且透明支持多種應(yīng)用。

　　網(wǎng)絡(luò)隔離的關(guān)鍵點(diǎn)

　　網(wǎng)絡(luò)隔離的關(guān)鍵是在于系統(tǒng)對通信數(shù)據(jù)的控制，即通過不可路由的協(xié)議來完成網(wǎng)間的數(shù)據(jù)交換。由于通信硬件設(shè)備工作在網(wǎng)絡(luò)七層的最下層，并不能感知到交換數(shù)據(jù)的機(jī)密性、完整性、可用性、可控性、抗抵賴等安全要素，所以這要通過訪問控制、身份認(rèn)證、加密簽名等安全機(jī)制來實(shí)現(xiàn)，而這些機(jī)制的實(shí)現(xiàn)都是通過軟件來實(shí)現(xiàn)的。

　　因此，隔離的關(guān)鍵點(diǎn)就成了要盡量提高網(wǎng)間數(shù)據(jù)交換的速度，并且對應(yīng)用能夠透明支持，以適應(yīng)復(fù)雜和高帶寬需求的網(wǎng)間數(shù)據(jù)交換。而由于設(shè)計原理問題使得第三代和第四代隔離產(chǎn)品在這方面很難突破，既便有所改進(jìn)也必須付出巨大的成本，和“適度安全”理念相悖。

　　隔離技術(shù)的未來發(fā)展方向

　　第五代隔離技術(shù)的出現(xiàn)，是在對市場上網(wǎng)絡(luò)隔離產(chǎn)品和高安全度網(wǎng)需求的詳細(xì)分析情況下產(chǎn)生的，它不僅很好地解決了第三代和第四代很難解決的速度瓶頸問題，并且先進(jìn)的安全理念和設(shè)計思路，明顯地提升了產(chǎn)品的安全功能，是一種創(chuàng)新的隔離防護(hù)手段。

　　隔離原理 第五代隔離技術(shù)的實(shí)現(xiàn)原理是通過專用通信設(shè)備、專有安全協(xié)議和加密驗(yàn)證機(jī)制及應(yīng)用層數(shù)據(jù)提取和鑒別認(rèn)證技術(shù)，進(jìn)行不同安全級別網(wǎng)絡(luò)之間的數(shù)據(jù)交換，徹底阻斷了網(wǎng)絡(luò)間的直接TCP/IP連接，同時對網(wǎng)間通信的雙方、內(nèi)容、過程施以嚴(yán)格的身份認(rèn)證、內(nèi)容過濾、安全審計等多種安全防護(hù)機(jī)制，從而保證了網(wǎng)間數(shù)據(jù)交換的安全、可控，杜絕了由于操作系統(tǒng)和網(wǎng)絡(luò)協(xié)議自身漏洞帶來的安全風(fēng)險。

　　產(chǎn)品實(shí)現(xiàn) 北京蓋特佳的研發(fā)人員從1999年就開始了對網(wǎng)絡(luò)隔離技術(shù)的研究， 并經(jīng)歷了從串口、并口到USB的研發(fā)過程。在實(shí)踐中發(fā)現(xiàn)，要更安全地完成協(xié)議隔離，靠不可路由的協(xié)議雖然達(dá)到了一定的安全度，但由于像串口、并口和USB等都為通用設(shè)備，IPX/SPX和NetBEUI等都為常見協(xié)議，都有規(guī)范的接口，安全強(qiáng)度仍然不夠高。為此，研發(fā)人員提出了用專用硬件通信和專有安全協(xié)議的全新理念，并研發(fā)出了“網(wǎng)閘-動態(tài)實(shí)時網(wǎng)絡(luò)隔離系統(tǒng)”.