對物理隔離技術安全隱患的分析

防空兵指揮學院 李晨輝 翟霄飛

中州大學 李志超

對物理隔離技術安全隱患的分析

防空兵指揮學院 李晨輝 翟霄飛

中州大學 李志超

進入21世紀以來，Internet已經成為我們生活中必不可少的要素之一，它加快了社會的發展也提高了工作的效率。但我們要深刻地認識到Internet所帶來的信息安全問題，隨著病毒入侵、黑客攻擊和信息泄密等事件的頻發，我們深切地感受到了互聯網這把雙刃劍的威力。近年來，人們利用各種安全技術和措施，如防火墻、入侵檢測、日志監測、防病毒及病毒免疫等來解決相應的網絡安全問題。但并沒有從本質上避免網絡安全事件的發生，特別是政府、軍隊、金融、電信等大型企業級網絡的安全問題。由于這些企業級網絡的安全直接關系到國家和社會的安全與穩定，必須采取極高的安全防護措施。目前，我國信息安全技術發展較弱，大部分信息安全技術和裝備仍依賴于國外進口，為了有效地提供安全防護，因此要求關鍵部門采用物理隔離技術。

物理隔離技術能滿足政府、軍隊、金融、電信、企業等部門對信息數據安全的要求，能抵御病毒和黑客對網絡的攻擊與入侵，能確保國家核心機密的安全，是政府安全建網的最佳選擇，也是國家保密局指定的建網結構。因此，物理隔離技術逐漸引起人們的重視，并廣泛地應用于各種大型企業級網絡中。

一、物理隔離技術介紹

1.安全現狀調查分析。通過對近年來中國互聯網發展狀況報告的統計進行分析可知，從2005年到2010年，各種病毒與黑客對我國企業信息網絡的攻擊比率如表1所示。

表1 國內企業信息網絡被攻擊比率

2.常見網絡安全威脅。從人為角度來看，常見的計算機網絡安全威脅形式主要有：信息泄露、完整性破壞、拒絕服務和網絡濫用。

信息泄露，信息泄露破壞了系統的保密性，它是指信息被透漏給非授權的實體。完整性破壞，可以通過漏洞利用、物理侵犯、授權侵犯、病毒，木馬，漏洞來等方式實現。拒絕服務攻擊，對信息或資源的合法訪問卻被非法的拒絕或者推遲。網絡濫用，合法的用戶濫用網絡，引入不必要的安全威脅，包括非法外聯、非法內聯、移動風險、設備濫用和業務濫用等。

常見的計算機網絡安全威脅手段主要有：竊聽、重傳、偽造、篡改、拒絕服務攻擊、行為否認和電子欺騙。

竊聽，攻擊者通過監視網絡數據的手段獲得重要的信息，從而導致網絡信息的泄密。重傳，攻擊者事先獲得部分或全部信息，以后將此信息發送給接收者。篡改，攻擊者對合法用戶之間的通訊信息進行修改、刪除和插入，再將偽造的信息發送給接收者。拒絕服務攻擊，攻擊者通過某種方法使系統響應減慢甚至癱瘓，阻止合法用戶獲得服務。行為否認，通訊實體否認已經發生的行為。電子欺騙，通過假冒合法用戶的身份來進行網絡攻擊，從而達到掩蓋攻擊者真實身份，嫁禍他人的目的。

在2011年初，國家互聯網中心對大陸地區被惡意代碼篡改網站的情況進行了深入調查。通過此次國家互聯網中心的調查，可以看到各種惡意代碼在網絡中傳播的數量越來越多且速度越來越快。國內各類網站被攻擊的比例也越來越多，特別是一些發展較快的省市。這些被篡改的網站會逐漸形成釣魚網站群，對廣大用戶在使用Internet時，造成了極大的不便和安全隱患。

3.Internet信息安全問題。通過統計分析可知，Internet中的信息安全問題主要體現在4個方面：機密性、完整性、可用性和可靠性。機密性是指只能由授權用戶訪問信息的要求；完整性是指防止信息被修改的要求；可用性是指信息和系統資源能夠持續工作的要求，授權用戶能夠在需要時，從需要的地方，以需要的方式訪問資源；可靠性是指信息能夠值得信賴的要求。

互聯網是一個十分復雜而龐大的系統。在硬件的構成和軟件的組成等多個方面都會存在著許多安全漏洞，網絡安全威脅的來源也可能是多種多樣。據統計，常見的安全威脅主要來自以下幾個方面：一是網絡設備、協議和操作系統的脆弱性；二是硬件和軟件系統的設計缺陷；三是內部用戶的權限濫用；四是外部用戶的惡意攻擊，網絡安全策略配置不合理。

4.物理隔離技術。物理隔離技術是指內部網不直接或間接地連接Internet。目前，在需要保護的內網與公共外網之間中有2種安全隔離解決方案，即物理隔離和邏輯隔離。物理隔離是要保證絕對安全，內網與外網在物理實體上是完全分離的，不能有任何鏈接。而邏輯隔離是在保證網絡正常運行的情況下，最大限度的安全防護，即通過軟件的功能進行內網與外網的隔離。

一種典型的物理隔離解決方案如圖1所示。外網是安全性要求不高的互聯網，而內網是安全性要求很高的專用網絡。正常情況下，隔離設備和外網、隔離設備和內網、外網和內網是完全斷開的。在圖1中，可以將隔離設備理解為由存儲交換介質和安全控制臺組成。

當外網需要有數據傳輸到內網時，如電子郵件，外部的網關服務器會發起對隔離設備的非TCP/IP協議的數據連接，隔離設備將所有的協議剝離，將原始數據寫入存儲介質。根據應用的級別不同，會對數據進行完整性和安全性檢查，如病毒檢測和惡意代碼分析等。

一旦數據完全寫入隔離設備的存儲交換介質后，隔離設備立即中斷與外網的鏈接。轉而發起對內網的非TCP/IP協議的數據鏈接。隔離設備將存儲交換介質內的數據傳輸到內網服務器中。內網服務器收到數據后，立即進行TCP/IP的封裝和應用協議的封裝，并交給相應的終端用戶。

然后，控制臺在收到的數據交換完成的信號后，隔離設備立刻切斷于內網的直接連接。可以看出利用物理隔離技術，即使在外網無任何安全防護的情況下，也能保證內網的安全問題，不會有任何破壞。同時，由于物理隔離的作用，修復內網系統也相對容易。

二、物理隔離技術的安全隱患

由于物理隔離技術的安全性，會給用戶造成一定的錯覺，感覺使用了該技術，其內部網絡就會十分安全，也就不再會注意相應的安全防護措施。因此便會產生如下一些安全隱患問題。

1.用戶自身放松安全防護意識。目前，大部分政府、軍隊等單位的網絡基本上是物理隔離的。但由于用戶的安全防護意識淡薄，造成內外網之間、用戶之間共用移動存儲設備（如U盤、移動硬盤等），進而引起擺渡攻擊的出現，導致內部資料外泄。另外，有的內網用戶直接在外網編輯和處理內部資料或通過電子郵件發送內部資料；或為了方便直接繞過安全防護和隔離設備，將內部設備連入外網中使用等，這都給非法入侵和內網信息泄密制造了機會。

2.用戶的安全保密觀念薄弱。雖然大部分單位都已實現信息化和網絡化，但相應的保密概念和工作仍處于傳統的常規保密方式，對如何實施信息時代的保密缺乏了解，忽視了對數據的保密與防護。如將涉密磁盤、光盤隨意丟棄，對報廢的計算機系統處理不當，隨意設置資源共享等，這都將導致內部數據的非法獲取和泄密等情況的出現。另外，由于國內外信息及安全技術發展的差異，造成部分用戶在信息保密問題的認識上存有誤區，有“無密可保”、“有密難保”的麻痹思想和畏難情緒，造成了在工作中不自覺地把機密資料和敏感數據泄露出去的現象。

3.內網違規建設問題突出。盡管政府和有關部門出臺了一系列法規和要求，加大了對物理隔離設備的管理，但違規采購物理隔離設備現象仍有發生。主要表現為：一是未按政府和保密部門指定的物理隔離設備進行采購；二是對購進的物理隔離設備重視不夠，把關不嚴，沒有認真審核驗收就投入使用；三是政府和保密部門對物理隔離設備采購的法規體系還不夠完善。

4.缺乏專業的網絡管理人才。隨著內網建設在國家信息化發展中的作用越來越重要，其網絡結構和軟件設置也越來越復雜，由于網絡管理人員專業不精、技能不強而造成的安全事件時有發生。

部分網絡管理人員，甚至違反保密規定，私自連接互聯網瀏覽信息、升級病毒庫、下載應用軟件等。擅自找人維修內網設備的故障，從而導致連接互聯網。私自將內網淘汰的計算機轉為外網使用等。

在管理方面，不少單位由于受成本、技術和人力的限制，存在著重應用、輕管理和系統設置和安全管理一肩挑，管理水平落后于網絡系統的現象。同時，還缺乏先進的網絡安防設備和技術，缺乏自動化的智能安全監控軟件，缺乏對內網用戶的安全培訓等工作。

三、提升物理隔離技術安全的措施

1.加強人員培養與管理，完善制度法規。嚴格按照國家保密標準中有關物理隔離的具體規定，建設獨立的與外網毫無連接的單位內網，并符合國家相關安全技術標準。采用的物理隔離和其他安全保密技術產品，須經過國家保密部門批準。加強對內網用戶的信息安全知識培訓，提高其安全意識。同時，全面監控用戶的網絡行為，從技術上和思想上實現對內網用戶的信息安全防護事故的控制。

2.安裝智能防護軟件，提升內網監控能力。利用自動化的安全防護軟件系統對內網的入侵行為進行預警和監控，如在各類終端上安裝違規外聯監控軟件，用技術手段采取強制阻斷方式，禁止違規外聯行為，來有效確保內網的安全。實現內網中入侵監測系統、防火墻、防病毒和免疫系統、蜜罐系統，以及日志系統的聯動機制，并能夠利用反追蹤系統對入侵者進行監控。

3.嚴控內網軟硬件的使用，降低安全隱患。由于計算機的硬件與軟件設計十分復雜與繁瑣，加之設計者技能水平的限制，不可避免地會在各類設備或系統中產生安全漏洞。所以，必須對內網中所使用的各類硬件與軟件系統進行嚴格的審查與測試，盡量將安全漏洞與后門屏蔽在內網之外。

具體采取的措施有很多：如嚴禁內外網共享打印機設備；嚴禁使用帶復印功能的傳真機；嚴禁隨意更換內網計算機的配件等。要充分利用身份認證、授權訪問、加密防護等措施，嚴格控制內網計算機的外部接口，如USB、光驅接口等。防止使用未授權的移動存儲介質，防止其連接手機、照相機等非法涉密載體。內網計算機之間的信息交換，可通過保密技術防護專用系統認證的專用涉密移動存儲介質來實現。內網與外網交換信息數據時，必須建立相應的安全審查制度，利用單向導入的方式，如采取一次性光盤刻錄等來實現內外網信息數據交換的安全通道。

四、結論

目前，政府、軍隊和大型企業都有自己的內部網絡，并隨著信息化建設的深入，對這些信息網絡的依賴性越來越強。同時，各類計算機網絡都存在著這樣或那樣的安全隱患或漏洞。而現有的安全防護技術和機制，主要為靜態防護，即對較為明確的安全隱患和漏洞，有針對性的措施。對于安全動態防護技術，目前仍在進一步發展之中。物理隔離技術已成為網絡安全體系中不可缺少的重要手段，越來越受到各部門、各單位的高度重視，也是解決網絡安全的最好方法。但我們必須要清醒的認識到，任何安全技術并不能產生絕對的安全防護作用，主要還是在于對人員安全意識的培養和對管理制度的加強。