市級煙草公司內外網物理隔離設計淺談

楊洋

【摘?要】隨著市級煙草公司對網絡安全建設的發展和管理要求的提升，需要對網絡安全進行全方位防護，本文嘗試通過對網絡架構的調整，輔助網絡安全建設，在不增加網絡安全設備的情況下，進一步提升公司內部網絡安全防護水平。

【關鍵詞】內外網隔離;網絡安全威脅;網絡安全防護;無線網絡

1?引言

《信息安全技術網絡安全等級保護基本要求》于2019年12月1日正式實施，該標準針對云計算、物聯網、移動互聯網、工業控制、大數據新技術提出了新的安全擴展要求，同時也對網絡安全提出了更高的要求。

內外網物理隔離設計一般用在安全要求極高、保密要求極高的企業，將企業的生產網和辦公網進行物理隔離，阻斷內外網的數據傳輸，確保不能從外網通過網絡入侵內網，同時內部信息不能通過網絡泄漏到外網，將外部網絡安全威脅隔離開，保障信息在內部網絡交互的安全性，杜絕一個終端電腦被入侵導致整個網絡被破壞的情況發生。

市級煙草公司對網絡安全管理要求越來越嚴格，可以借鑒安全要求極高的企業相關做法，提升自己網絡安全建設和管理水平，而內外網物理隔離正是一個可以容易借鑒并能很好發揮作用的設計。

2?內部網絡連接互聯網存在的安全威脅

2.1 數據泄露

內部員工使用自己合法的系統賬戶權限，下載內部數據，擅自保存到U盤或者通過互聯網傳輸，將內部敏感數據帶出企業。

黑客通過系統漏洞或者木馬病毒軟件非法進入企業內部網絡，通過技術手段進入企業內部系統獲取數據，將內部敏感數據通過互聯網傳輸出去。

2.2 數據損壞或丟失

內部員工使用帶有計算機病毒的U盤或瀏覽帶有計算機病毒的網站，將計算機病毒安裝到本地計算機并運行，計算機病毒模擬黑客攻擊，進入到業務系統服務器，導致業務數據被非法刪除或者破壞。比如最近流行的“勒索”病毒，會對電腦上所有的數據進行加密，支付巨額贖金之后，才能還原數據。對于一般企業來說，付不起或無法支付贖金，意味著數據全部丟失。如果感染的是“蠕蟲”病毒，會對企業內網所有計算機進行網絡攻擊，嚴重時將導致服務器癱瘓，業務數據被破壞。

黑客通過系統漏洞或者木馬病毒軟件非法進入企業內部網絡，通過技術手段進入企業業務服務器，惡意進行數據刪除破壞，如果企業沒有安全的數據備份機制，將導致企業嚴重經濟損失。

2.3 業務系統故障

內部員工不經意間將計算機病毒下載到本地計算機并運行，如果感染的是含有“拒絕服務”攻擊類型的計算機病毒，將導致企業內網網絡癱瘓，或者業務系統不能正常訪問，嚴重影響企業業務開展。

3?適合市級煙草公司的內外網網絡隔離架構

3.1 企業網絡有以下方法進行內外網隔離

采用邏輯隔離：例如使用虛擬桌面技術，在單一的硬盤單一的網絡中實現邏輯隔離。這樣的優勢是不用對現有網絡進行改造，只需購置相關軟件，劣勢是資金投入較高，需要購置服務器及虛擬化軟件。

采用物理隔離：保持現有企業辦公網絡不變，新增一套和現有網絡沒有交集的網絡，包括購置交換機和網線布線。這樣的優勢是資金投入相對較少，僅采購網絡設備等硬件產品，同時根據市煙草公司現狀，可以利用因為政策原因或者使用年限到期而淘汰的交換機，劣勢是實施較繁瑣，需要較多的布線工作。

結合市級煙草公司網絡建設現狀和實施內外網網絡隔離資金投入，采用物理隔離技術更加經濟，網絡改造繁瑣的問題，可以通過將外網建設成無線網絡的方式解決，簡化網絡布線，規避有些場所不適合有線網絡布線的問題。

3.2 終端計算機有以下方法隔離內外網存儲數據

采用雙硬盤物理隔離卡，給每一臺辦公終端配備兩塊硬盤，通過切換硬盤和切換網線，在內外網隔離的環境中使一個硬盤僅對應一個網絡有效，其數據存儲和傳輸是完全分離的，從而實現同一辦公終端在內外網之間真正的物理隔離，用較低成本實現了網絡物理隔離的信息安全功能，提高了計算機辦公終端的利用率，劣勢是改變了用戶操作習慣，需要加強培訓指導。

每一個用戶配備兩臺辦公終端，一臺辦公終端僅能使用內部網絡，另一臺辦公終端僅能使用外部網絡，在不改變用戶使用電腦操作習慣的前提下，實現了數據內外網隔離。劣勢是對比雙硬盤物理隔離卡的方案，初期投資更大。

結合市級煙草公司員工使用電腦習慣等現狀，每一個用戶配備兩臺辦公終端能更好使用戶接受，而初期投資較大的問題，可以通過只進行內外網隔離建設，讓用戶自備上網終端的方式解決。

4?市級煙草公司內外網物理隔離后帶來的網絡安全防護效果

徹底的內外網物理隔離后，切斷內部網絡與外部網絡的聯系，可以杜絕黑客通過互聯網非法進入企業內部網絡、各種互聯網計算機病毒的入侵、內部數據被內部員工或黑客通過互聯網泄露出去。但是，煙草公司不是安全性、保密性要求極高的企業，可以適當將服務器等必要設施設備聯接到互聯網中，方便工作和業務的開展，只將較難管理的辦公終端區進行內外網隔離。

市級煙草公司網絡架構一般擁有核心交換區、服務器區、辦公區等網絡區域，最關鍵的服務器區有較多的網絡安全設備進行防護，并配備有專職的網絡與安全管理員，對服務器區進行安全保障。辦公終端使用人員由于計算機操作水平有限，安全意識欠缺，不具備安全防護水平等因素，安全風險為所有網絡區域中最大的一個區域。

將辦公終端區域劃分為外部網絡進行物理隔離以后，可以實現以下安全防護效果：

1、進一步提高市級煙草公司內部數據安全性，通過管控外部網絡和內部網絡數據傳輸通道，可以有效避免數據泄露事件;

2、進一步提高市級煙草公司服務器區的安全性，杜絕了因為辦公終端感染計算機病毒，而導致黑客入侵、蠕蟲病毒傳播等安全風險，從而避免了以上事件導致的業務數據損壞或丟失;

3、進一步提高市級煙草公司業務系統運行穩定性，因為安全設備不需要對內網辦公區域進行重點防護，所以可以適當降低服務器區安全防護等級，避免安全設備的誤判斷而攔截用戶正常訪問業務系統的請求。

內外網物理隔離之后，仍然存在數據交互的需求，需加強數據交互的安全管理，比如U盤的使用管理。

5?市級煙草公司內外網隔離設計建議

無線局域網（WLAN）技術對比有線傳輸技術，具有以下特點：

（1）簡易性：WLAN相關設備的安裝便捷，可減少敷設管道及布線等工作量;

（2）靈活性：WLAN相關設備安裝位置方便調整，使無線網絡可以覆蓋更多的區域;

（3）綜合成本較低：WLAN網絡減少了布線的費用 ，在需要移動上網的環境中，WLAN技術可以更好地保護現有投資;

（4）擴展能力強：WLAN系統支持平滑擴容，更容易擴展上網終端的數量。

綜上所述，適合于市級煙草公司內外網物理隔離的網絡建設可以采用以下方法：

（1）所有辦公區、基層網點部署POE供電的無線AP設備，無線AP部署的密度視辦公人數和辦公場布局所而定;

（2）所有辦公區、基層網點部署的無線AP，通過網線接入匯聚交換機，匯聚交換機通過光纖、市縣專線接入市級煙草公司信息中心機房核心交換機;

（3）搭建無線網絡安全管控平臺，形成基于身份認證的安全管理及認證系統，通過密碼、短信認證、MAC地址綁定等方式防止非法用戶接入公司無線網絡，確保公司網絡的安全;

（4）將現有互聯網區部署的網絡安全產品，比如互聯網防火墻、防毒墻、上網行為管理設備、IPS設備等網絡安全和管理設備遷移到無線網絡前端;

（5）遷移現有互聯網線路到無線網絡中，現有內部網絡辦公區域不再訪問互聯網，而服務器區訪問互聯網可以使用省級煙草公司DMZ區互聯網出口;

（6）用戶訪問互聯網可以采取自帶筆記本電腦、平板電腦、手機等方式，降低外網物理隔離實施成本。

參考文獻：

[1]俞華.醫院內外網融合的網絡架構 配置實踐[J].中國數字醫學，2017，（3）.94-96.

[2]張樹超.基于物理隔離技術的視頻系統設計與實現[D].西安電子科技大學，2015.1-72.

[3]肖江蘇.無線網絡中的安全問題相關技術應用研究[J].電腦迷，2016，（1）.21-21.

[4]呂計英.淺談企業信息化建設中網絡安全管理問題[J].數字通信世界，2019，（5）.256.

（作者單位：安徽省煙草公司馬鞍山市公司）