软考-信息安全-网络物理隔离技术原理与应用

11.1 网络物理隔离概述

• 阐述物理隔离的基本概念，分析物理隔离的安全风险问题。

11.1.1 网络物理隔离概念

• 随着网络攻击技术不断增强，恶意入侵内部网络的风险性也相应急剧提高，网络入侵者可以涉透内部重要信息系统，窃取数据或恶意破坏数据。所以需要对内外网及上网计算机实现物理隔离，以求减少来自外网的威胁。
• 《计算机信息系统国际联网保密管理规定》第二章第六条规定，涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其他公共信息网络相连接，必须实行物理隔离。

11.1.2 网络物理隔离安全风险

• 网络物理隔离有利于强化网络安全得保障，增强涉密网络的安全性，但是不能完全确保网络的安全性。采用网络物理隔离安全保护措施的网络仍然面临以下网络安全风险。
• 1.网络非法外联
• 一旦处于隔离状态的网络用户私自连接互联网或第三方网络，则物理隔离安全措施失去保护作用。
• 2.U盘摆渡攻击
• 网络攻击者利用U盘作为内外网络的摆渡工具，攻击程序将敏感数据拷贝到U盘中，然后由内部人员通过U盘泄露。
• 3.网络物理隔离产品安全隐患
• 网络隔离产品的安全漏洞，导致DoS/DDoS攻击，使得网络物理隔离设备不可用。或者网络攻击者通过构造恶意数据文档，绕过物理隔离措施，从而导致内部网络受到攻击。
• 4.针对物理隔离的攻击新方法
• 针对网络物理隔离的窃密技术已经出现，其原理是利用各种手段，将被隔离计算机中的数据转换为声波，热量，电磁波等模拟信号后发射出去，在接收端通过模数转换复原数据，从而达到窃取信息的目的。

11.2 网络物理隔离系统与类型

11.2.1 网络物理隔离系统

• 网络物理隔离系统是指通过物理隔离技术，在不同的网络安全区域之间建立一个能够实现物理隔离，信息交换和可信控制的系统，以满足不同安全域的信息或数据交换。

11.2.2 网络物理隔离类型

• 按照隔离的对象来分，网络物理隔离系统一般可以分为单点隔离系统和区域隔离系统。
• 单点隔离系统主要保护单独的计算机系统，防止外部直接攻击和干扰。
• 区域隔离系统针对的是网络环境，防止外部攻击内部保护网络。
• 按照网络物理隔离的信息传递方向，网络物理隔离系统可分为双向网络物理隔离系统和单向网络物理隔离系统。

11.3 网络物理隔离机制与实现技术

• 主要包括专用计算机上网，多PC，外网代理服务，内外网线路切换器，单硬盘内外分区，双硬盘，网闸，协议隔离，单向传输，信息摆渡，物理断开等技术。

11.3.1 专用计算机上网

• 在内部网络中指定一台计算机，这台计算机只与外部网相连，不与内部网相连，用户必须到指定的计算机才能上网，并要求用户离开自己的工作环境。

11.3.2 多PC

• 内部网络中，在上外网的用户桌面上安放两台PC，分别连接两个分离的物理网络，一台用于连接外部网络，另一台用于连接内部网络。

11.3.3 外网代理服务

• 在内部网指定一台或多台计算机充当服务器，负责专门搜集外部网的指定信息，然后把外网信息手工导入内部网，供内部用户使用，从而实现内部用户“上网”，又切断内网与外网的物理连接，避免内网的计算机受到来自外网的攻击。

11.3.4 内外网线路切换器

• 在内部网中，上外网的计算机上连接一个物理线路A/B交换盒，通过交换盒的开关设置控制计算机的网络物理连接。

11.3.5 单硬盘内外分区

• 单硬盘内外分区的技术原理是把单一硬盘分隔成不同的区域，在IDE总线物理层上，通过一块IDE总线信号控制卡截取IDE总线信号，控制磁盘通道的访问，在任一时间内，仅允许操作系统访问指定的分区，这样，单硬盘内外分区技术将单台物理PC虚拟成逻辑上的两台PC，使得单台计算机在某一时刻只能连接到内部网或外部网。

11.3.6 双硬盘

• 在一台机器上安装两个硬盘，通过硬盘控制卡对硬盘进行切换控制，用户在连接外网时，挂接外网硬盘，而当用内网办公时，重启系统，挂接内部网办公硬盘。
• 主要是在两个硬盘上安装了两个操作系统。

11.3.7 网闸

• 网闸通过利用一种GAP技术（源于英文Air Gap），使用两个或者两个以上的网络在不连通的情况下，实现它们之间的安全数据交换和共享。
• 原理是使用一个具有控制功能的开关读写存储安全设备，通过开关的设置来连接或切断两个独立主机系统的数据交换。

11.3.8 协议隔离技术

• 协议隔离指处于不同安全域的网络在物理上是有连线的，通过协议转换的手段保证受保护信息的逻辑上是隔离，只有被系统要求传输的，内容受限的信息可以通过。

11.3.9 单向传输部件

• 单向传输部件是指一对具有物理上单向传输特性的传输部件，该传输部件由一对独立的发送和接收部件构成，发送和接收部件只能以单工方式工作，发送部件仅具有单一的发送功能。接收部件仅具有单一的接收功能，两者构成可信的单向信道，该信道无任何反馈信息。

11.3.10 信息摆渡技术

• 信息摆渡技术是信息交换的一种方式，物理传输信道只在传输进行时存在。

11.3.11 物理断开技术

• 物理断开是指处于不同安全域的网络之间不能以直接或间接的方式相连接。

11.4 网络物理隔离主要产品与技术指标

11.4.1 网络物理隔离主要产品

• 1.终端隔离产品
• 终端隔离产品用于同时连接两个不同的安全域，采用物理断开技术在终端上实现安全域物理隔离的安全隔离卡或安全隔离计算机。
• 2.网络隔离产品
• 网络隔离产品用于连接两个不同的安全域，实现两个安全域之间的应用代理服务，协议，转换，信息流访问控制，内容过滤和信息摆渡等功能。
• 3.网络单向导入产品
• 网络单向导入产品位于两个不同的安全域之间，通过物理方式（可基于电信号传输或光信号传输）构造信息单向传输的唯一通道，实现信息单向导入，并且保证只有安全策略允许传输的信息可以通过，同时反方向无任何信息传输或反馈。

11.4.2 网络物理隔离技术指标

• 网络和终端隔离产品的技术指标主要有安全功能指标，安全保障指标，性能指标。

11.5 网络物理隔离应用

11.5.1 工作机安全上网实例

• 用户在需要上外网的计算机中安装一块物理隔离卡，通过物理隔离卡，使一台工作机在上外网时，从物理上断开与内部网的连接。

11.5.2 电子政务中网闸应用实例

• 浪潮网泰安全隔离网闸