隔離網絡及其安全防護

周騫 王立中 彭志新 李菲

摘要 網絡隔離是重要的網絡安全措施，目前主要有完全隔離、硬盤隔離卡、空氣開關、協議隔離等方式;由于安全意識淡薄、內部惡意行為、擺渡攻擊等安全問題存在，隔離網絡面臨巨大威脅;可從強化網絡安全制度意識，提升網絡安全防御能力兩方面提高網絡安全防護。

【關鍵詞】隔離網絡 網絡安全 黑客

網絡隔離的目的是禁止網絡之間的資源共享，防止一個網絡的信息泄露到另一個網絡，是各類保密和專用網絡普遍采用這種方式。隨著網絡攻擊武器的擴展、黑客工具的簡易化，以及網絡攻擊的組織化，網絡將經受越來越多的高級可持續性攻擊APT，隔離網絡的安全問題也變得愈發嚴峻，需要我們更新安全理念、提高防御能力，保障隔離網絡的安全可控。

1 隔離網絡概念

隔離網絡主要分為物理隔離網絡和邏輯隔離網絡（協議隔離）兩種，物理隔離網絡一般是指通過網絡與網絡（包括電磁空間）分離來實現的網絡隔離，物理隔離網絡主要應用包括國家涉密網絡、軍事信息網絡和特殊專用網絡等;邏輯隔離網絡通過對各種邏輯通信協議進行技術隔離，物理層依然保持連接，一定程度上存在信息交換的可能，邏輯隔離網絡主要應用于一些重要工業控制系統。從信息安全角度來說，物理隔離網絡的安全性高于邏輯隔離網絡。

網絡隔離技術在保證兩個網絡斷開的前提下，實現數據安全傳輸交換。邏輯隔離原理如刀閘開關一樣，不同的處理單元分時進行數據存儲、讀取交換，物理隔離的數據交換機制是存儲和轉發。

2 隔離網絡主要類型及特點

2.1 完全隔離

該方法基于物理空間的隔離思想，利用兩套獨立設備將內網與外網完全隔離，內網與外網通過光盤、磁盤等方式進行數據交換，這種方式網絡隔離效果最好，風險暴露點少，但這種信息孤島狀態，也為系統維護和安全升級帶來了不便，特別是各種漏洞的補丁難以及時更新，容易遭遇非技術性攻擊。

2.2 硬盤隔離卡技術

該方法需要在兩塊硬盤或一塊硬盤的兩個分區預先安裝操作系統，部署兩套接入設備，通過在用戶主板上安裝專用隔離卡，使一塊硬盤或分區對應內外網中的一個有效，進行切換控制時，當前系統需關閉，并清除內存后，再開啟另一個系統，從而實現內外網在物理上的隔離。該方法具有投資相對少，便于部署的特點，但頻繁的切換不僅影響使用，而且由于兩套系統共用內存、顯存等設備，存在較大的安全隱患。

2.3 空氣開關隔離

該方法基于“單刀雙擲開關”原理，使內、外網處理單元分時訪問臨時緩存器完成數據交換，緩存中的數據經過內、外網處理單元安全審查的、剝離了所有協議的純用戶數據，用于數據傳輸中介的緩存器同一時刻只能與內、外網處理單元中的一個物理相連，實現了內外之間的物理隔離。該方法內外網分時訪問臨時緩存器完成數據交換，不能保證時效性，且難以阻止惡意數據的傳遞，由于未對數據分組長度進行控制，不具備抗數據分組大小隱蔽通道（ Packet Lengths'Covert Channel， PLCC） 的功能。

2.4 協議隔離

該方法的基本思想是內外網數據在交換前剝離所有網絡協議。網間數據交換通過安全通道（ Private Secure Tunnel，PST）完成，PST由定制通信硬件、專有交換協議和加密簽名機制等協議隔離組成。PST確保網間通信雙方互信，此外內外網處理單元還要增加內容過濾、安全審計等多種安全防護機制，保證網間數據交換的安全可控。

該方法從物理上隔離、阻斷了具有潛在攻擊可能的一切連接，保證了數據傳輸的高安全性和數據交互的高實時性，但并沒有消除重組前后數據分組長度之間的固定映射關系，不具備抗PLCC的功能。不能阻斷接收時產生的狀態信息的反饋回傳，不具備抗狀態信息隱蔽通道（ Status Covert Channel，SCC）的功能。

3 隔離網絡主要的安全威脅

隔離網絡安全概念清晰、易于理解，可有效防御互聯網上的各種普通攻擊。但“震網”（ Stuxnet）病毒、跨網竊密等網絡攻擊行為徹底粉碎了這種幻想，在隔離網絡也面臨著巨大威脅。主要威脅如下：

3.1 安全意識薄弱

隔離網絡管理人員和運營人員的安全管理意識都會變得更為薄弱，而人員的安全意識是網絡最大的威脅隱患。而且由于隔離，會造成網絡其它安全技術應用的減少，網絡設備和操作系統的版本古老，補丁修補不及時、軟件版本達不到最新版，這種情況下，內網一旦某點被滲透成功，會造成整個網絡系統的全面淪陷。

3.2 對內部惡意的行為無效

據統計，60%以上的網絡安全事件，都源于內部設備問題或人員行為，包括內部人員有意的惡意行為，也包括一些無意的操作，內網難以破壞內部人員有意無意的破壞或攻擊。如2017年初NASA某內部IT員工為系統打補丁，造成計算機重啟，大型工程爐監視系統停轉，同時阻礙了火警系統的正常運轉，導致一場火災，燒毀了爐內航天器硬件。

3.3 隔離網絡無法做到真正隔離

內網的操作系統和各種應用軟件，在安裝和升級等操作中，需要通過U盤、光盤、移動硬盤、交換數據等手段，將互聯網或其他網絡中的資源，上傳到內網中，整個過程就會客觀上造成內網與其它網絡的連接。而且，對于大規模分散部署的內網來說，其接入端的信息接入點分散，很容易被非法接入。

3.4 網絡物理隔離難度增加

隨著無線網絡、智能終端、物聯網技術的發展，內網環境中充斥中各種類型的有型、無型網絡系統，而高技術黑客可通過各種新型竊密技術，竊取信息秘密。傳統物理隔離網絡正在面臨更大的挑戰，過去可以認為安全的網絡環境，正在逐步變得不再安全。

4 隔離網絡安全對策

網絡上的行為是有跡可循的，只要方法得當，網絡威脅就可能被及時發現和處置，為此，需要在加強網絡安全意識和提升網絡安全防御能力兩方面的工作。

4.1 強化網絡安全意識

網絡安全是一個三分技術、七分管理的問題，因此要加強人員安全意識培養，進行安全技術培訓，加強安全管理。

（1）要制定嚴格的網絡安全制度。設立專門的信息安全管理機構及人員，制定完備的信息安令管理條例，加強檢查監督，形成里化評估標準和獎懲機制。

（2）要強化網絡安全責任，涉及網絡工作的領導、分管領導、具體業務人員要明確責任，各負其責，嚴格執行網絡安全法律法規，做好網絡安全工作。

（3）要定期進行安全技術培訓。根據網絡安全防護的需要，有針對性的組織業務培訓，提高勝任安全崗位能力，并對全體人員進行網絡安全宣講，形成網絡安全防護的群體意識。

4.2 提升網絡安全防御能力

基于策略.防御.檢測.響應的PPDR網絡安全模型，構建縱深防護體系，及時發現并堵塞漏洞，阻止攻擊進入;控制攻擊危害，形成反制與威懾手段。

4.2.1 完善防御檢測系統

在網絡入口部署防火墻、隔離網關、數據收集與行為檢測系統，在用戶網絡布設末端探測設備，強化安全事件原始數據采集，消除監控盲區死角。

4.2.2 提高網絡反病毒技術能力

通過安裝病毒防火墻，進行實時過濾。對網絡服務器中的文件進行頻繁掃描和監測，在工作站上采用防毒卡，加強網絡目錄和文件訪問權限的設置。在網絡中，限制只能由服務器才允許執行的文件。

4.2.3 推進量子密碼計算運用

推進量子計算等新型密碼技術的實際應用，設計加密等級與管理體系，保證信息的安全性。四要加強人工智能網絡安全應用。將人工智能算法與網絡安全相結合，實現對海量數據的實時處理，能夠對未知復雜威脅行為模式的檢測識別，提升網絡安全威脅檢查與應急響應能力。

參考文獻

[1]畢波.隔離網絡間移動存儲介質惡意軟件的共生傳播模型及抑制策略研究[D].碩士學位論文，遼寧沈陽：東北大學，2015.

[2]李風華，談苗苗，樊凱，等.抗隱蔽通道的網絡隔離通信方案[J]，通信學報，2014， 35 （11）： 96-106.

[3]何旭田，網絡隔離技術研究[J].計算機安全，2012. 08： 79-81.

[4]趙天福，王海生.網絡隔離技術分析[J].高性能計算技術，2005. 10，176： 46-49.