電子政務(wù)安全首選網(wǎng)閘隔離

1、電子政務(wù)安全首選網(wǎng)閘隔離如今，網(wǎng)絡(luò)隔離技術(shù)已經(jīng)得到越來越多用戶的重視，重要的網(wǎng)絡(luò)和部門均開始采用隔離 網(wǎng)閘產(chǎn)品來保護(hù)內(nèi)部網(wǎng)絡(luò)和關(guān)鍵點(diǎn)的基礎(chǔ)設(shè)施。目前世界上主要有三類隔離網(wǎng)閘技術(shù)，即 SCSI技術(shù)，雙端口 RAM技術(shù)和物理單向傳輸技術(shù)。SCSI是典型的拷盤交換技術(shù)，雙端口 RAM也是模擬拷盤技術(shù)，物理單向傳輸技術(shù)則是二極管單向技術(shù)。隨著互聯(lián)網(wǎng)上黑客病毒泛濫、信息恐怖、計算機(jī)犯罪等威脅日益嚴(yán)重，防火墻的攻破率 不斷上升，在政府、軍隊、企業(yè)等領(lǐng)域，由于核心部門的信息安全關(guān)系著國家安全、社會穩(wěn) 定，因此迫切需要比傳統(tǒng)產(chǎn)品更為可靠的技術(shù)防護(hù)措施。物理隔離網(wǎng)閘最早出現(xiàn)在美國、以 色列等國家的軍方，用以解決

2、涉密網(wǎng)絡(luò)與公共網(wǎng)絡(luò)連接時的安全。在電子政務(wù)建設(shè)中，我們 會遇到安全域的問題，安全域是以信息涉密程度劃分的網(wǎng)絡(luò)空間。涉密域就是涉及國家秘密 的網(wǎng)絡(luò)空間。非涉密域就是不涉及國家的秘密，但是涉及到本單位，本部門或者本系統(tǒng)的工 作秘密的網(wǎng)絡(luò)空間。公共服務(wù)域是指不涉及國家秘密也不涉及工作秘密，是一個向互聯(lián)網(wǎng)絡(luò) 完全開放的公共信息交換空間。國家有關(guān)文件就嚴(yán)格規(guī)定，政務(wù)的內(nèi)網(wǎng)和政務(wù)的外網(wǎng)要實行 嚴(yán)格的物理隔離。政務(wù)的外網(wǎng)和互聯(lián)網(wǎng)絡(luò)要實行邏輯隔離，按照安全域的劃分，政府的內(nèi)網(wǎng) 就是涉密域，政府的外網(wǎng)就是非涉密域，互聯(lián)網(wǎng)就是公共服務(wù)域。國家有關(guān)研究機(jī)構(gòu)已經(jīng)研究了安全網(wǎng)閘技術(shù)，以后根據(jù)需求，還會有更好的網(wǎng)閘技術(shù)出

3、 現(xiàn)。通過安全網(wǎng)閘，把內(nèi)網(wǎng)和外網(wǎng)聯(lián)系起來;因此網(wǎng)閘成為電子政務(wù)信息系統(tǒng)必須配置的設(shè) 備，由此開始，網(wǎng)閘產(chǎn)品與技術(shù)在我國快速興起，成為我國信息安全產(chǎn)業(yè)發(fā)展的一個新的增 長點(diǎn)。網(wǎng)閘的概念網(wǎng)閘是使用帶有多種控制功能的固態(tài)開關(guān)讀寫介質(zhì)連接兩個獨(dú)立主機(jī)系統(tǒng)的信息安全 設(shè)備。由于物理隔離網(wǎng)閘所連接的兩個獨(dú)立主機(jī)系統(tǒng)之間，不存在通信的物理連接、邏輯連 接、信息傳輸命令、信息傳輸協(xié)議，不存在依據(jù)協(xié)議的信息包轉(zhuǎn)發(fā)，只有數(shù)據(jù)文件的無協(xié)議” 擺渡”，且對固態(tài)存儲介質(zhì)只有”讀”和”寫”兩個命令。所以，物理隔離網(wǎng)閘從物理上隔離、 阻斷了具有潛在攻擊可能的一切連接，使黑客”無法入侵、無法攻擊、無法破壞，實現(xiàn)了真 正的安全

4、。安全隔離與信息交換系統(tǒng)，即網(wǎng)閘，是新一代高安全度的企業(yè)級信息安全防護(hù)設(shè)備，它 依托安全隔離技術(shù)為信息網(wǎng)絡(luò)提供了更高層次的安全防護(hù)能力，不僅使得信息網(wǎng)絡(luò)的抗攻擊 能力大大增強(qiáng)，而且有效地防范了信息外泄事件的發(fā)生。第一代網(wǎng)閘的技術(shù)原理是利用單刀雙擲開關(guān)使得內(nèi)外網(wǎng)的處理單元分時存取共享存儲 設(shè)備來完成數(shù)據(jù)交換的，實現(xiàn)了在空氣縫隙隔離(Air Gap)情況下的數(shù)據(jù)交換，安全原理是通 過應(yīng)用層數(shù)據(jù)提取與安全審查達(dá)到杜絕基于協(xié)議層的攻擊和增強(qiáng)應(yīng)用層安全的效果。第二代網(wǎng)閘正是在吸取了第一代網(wǎng)閘優(yōu)點(diǎn)的基礎(chǔ)上，創(chuàng)造性地利用全新理念的專用交換 通道PET(Private Exchange Tunnel)技術(shù)，在

5、不降低安全性的前提下能夠完成內(nèi)外網(wǎng)之間高速 的數(shù)據(jù)交換，有效地克服了第一代網(wǎng)閘的弊端，第二代網(wǎng)閘的安全數(shù)據(jù)交換過程是通過專用 硬件通信卡、私有通信協(xié)議和加密簽名機(jī)制來實現(xiàn)的，雖然仍是通過應(yīng)用層數(shù)據(jù)提取與安全 審查達(dá)到杜絕基于協(xié)議層的攻擊和增強(qiáng)應(yīng)用層安全效果的，但卻提供了比第一代網(wǎng)閘更多的 網(wǎng)絡(luò)應(yīng)用支持，并且由于其采用的是專用高速硬件通信卡，使得處理能力大大提高，達(dá)到第 一代網(wǎng)閘的幾十倍之多，而私有通信協(xié)議和加密簽名機(jī)制保證了內(nèi)外處理單元之間數(shù)據(jù)交換 的機(jī)密性、完整性和可信性，從而在保證安全性的同時，提供更好的處理性能，能夠適應(yīng)復(fù) 雜網(wǎng)絡(luò)對隔離應(yīng)用的需求。傳統(tǒng)防火墻與網(wǎng)閘(SGAP)的對比下面我

6、們用一張表反映傳統(tǒng)防火墻與網(wǎng)閘(SGAP)的對比情況。網(wǎng)閘（SGAP ）與傳統(tǒng)防火墻的技術(shù)特點(diǎn)對比如下表1所示:表1網(wǎng)閘工作原理隔離網(wǎng)閘（安全隔離與信息交換），是在保證兩個網(wǎng)絡(luò)安全隔離的基礎(chǔ)上實現(xiàn)安全信息交換 和資源共享的技術(shù)。它采用獨(dú)特的硬件設(shè)計并集成多種軟件防護(hù)策略，能夠抵御各種已知和 未知的攻擊，顯著提高內(nèi)網(wǎng)的安全強(qiáng)度，為用戶創(chuàng)造無憂的網(wǎng)絡(luò)應(yīng)用環(huán)境。GAP源于英文的”Air Gap”，GAP技術(shù)是一種通過專用硬件使兩個或者兩個以上的網(wǎng)絡(luò) 在不連通的情況下，實現(xiàn)安全數(shù)據(jù)傳輸和資源共享的技術(shù)。GAP中文名字叫做安全隔離網(wǎng) 閘，它采用獨(dú)特的硬件設(shè)計，能夠顯著地提高內(nèi)部用戶網(wǎng)絡(luò)的安全強(qiáng)度。GAP

7、技術(shù)的基本原理是：切斷網(wǎng)絡(luò)之間的通用協(xié)議連接;將數(shù)據(jù)包進(jìn)行分解或重組為靜 態(tài)數(shù)據(jù);對靜態(tài)數(shù)據(jù)進(jìn)行安全審查，包括網(wǎng)絡(luò)協(xié)議檢查和代碼掃描等確認(rèn)后的安全數(shù)據(jù)流入 內(nèi)部單元;內(nèi)部用戶通過嚴(yán)格的身份認(rèn)證機(jī)制獲取所需數(shù)據(jù)。安全隔離與信息交換系統(tǒng)SGAP 一般由三部分構(gòu)成：內(nèi)網(wǎng)處理單元、外網(wǎng)處理單元和 專用隔離硬件交換單元。系統(tǒng)中的內(nèi)網(wǎng)處理單元連接內(nèi)部網(wǎng)，外網(wǎng)處理單元連接外部網(wǎng)，專 用隔離硬件交換單元在任一時刻點(diǎn)僅連接內(nèi)網(wǎng)處理單元或外網(wǎng)處理單元，與兩者間的連接受 硬件電路控制高速切換。這種獨(dú)特設(shè)計保證了專用隔離硬件交換單元在任一時刻僅連通內(nèi)部 網(wǎng)或者外部網(wǎng)，既滿足了內(nèi)部網(wǎng)與外部網(wǎng)網(wǎng)絡(luò)物理隔離的要求，又能實現(xiàn)

8、數(shù)據(jù)的動態(tài)交換。 SGAP系統(tǒng)的嵌入式軟件系統(tǒng)里內(nèi)置了協(xié)議分析引擎、內(nèi)容安全引擎和病毒查殺引擎等多種 安全機(jī)制，可以根據(jù)用戶需求實現(xiàn)復(fù)雜的安全策略SGAP系統(tǒng)可以廣泛應(yīng)用于銀行、政府 等部門的內(nèi)部網(wǎng)絡(luò)訪問外部網(wǎng)絡(luò)，也可用于內(nèi)部網(wǎng)的不同信任域間的信息交互。網(wǎng)閘的應(yīng)用定位1）涉密網(wǎng)與非涉密網(wǎng)之間；2）局域網(wǎng)與互聯(lián)網(wǎng)之間（內(nèi)網(wǎng)與外網(wǎng)之間）；有些局域網(wǎng)絡(luò)，特別是政府辦公網(wǎng)絡(luò)，涉及政府敏感信息，有時需要與互聯(lián)網(wǎng)在物理上 斷開，用物理隔離網(wǎng)閘是一個常用的辦法。3）辦公網(wǎng)與業(yè)務(wù)網(wǎng)之間由于辦公網(wǎng)絡(luò)與業(yè)務(wù)網(wǎng)絡(luò)的信息敏感程度不同，例如，銀行的辦公網(wǎng)絡(luò)和銀行業(yè)務(wù)網(wǎng)絡(luò) 就是很典型的信息敏感程度不同的兩類網(wǎng)絡(luò)。為了提高

9、工作效率，辦公網(wǎng)絡(luò)有時需要與業(yè)務(wù) 網(wǎng)絡(luò)交換信息。為解決業(yè)務(wù)網(wǎng)絡(luò)的安全，比較好的辦法就是在辦公網(wǎng)與業(yè)務(wù)網(wǎng)之間使用物理 隔離網(wǎng)閘，實現(xiàn)兩類網(wǎng)絡(luò)的物理隔離。4）電子政務(wù)的內(nèi)網(wǎng)與專網(wǎng)之間在電子政務(wù)系統(tǒng)建設(shè)中要求政府內(nèi)望與外網(wǎng)之間用邏輯隔離，在政府專網(wǎng)與內(nèi)網(wǎng)之間用 物理隔離?，F(xiàn)常用的方法是用物理隔離網(wǎng)閘來實現(xiàn)。5）業(yè)務(wù)網(wǎng)與互聯(lián)網(wǎng)之間電子商務(wù)網(wǎng)絡(luò)一邊連接著業(yè)務(wù)網(wǎng)絡(luò)服務(wù)器，一邊通過互聯(lián)網(wǎng)連接著廣大民眾。為了保障 業(yè)務(wù)網(wǎng)絡(luò)服務(wù)器的安全，在業(yè)務(wù)網(wǎng)絡(luò)與互聯(lián)網(wǎng)之間應(yīng)實現(xiàn)物理隔離。網(wǎng)閘的應(yīng)用領(lǐng)域目前，象國產(chǎn)的中網(wǎng)隔離網(wǎng)閘、偉思網(wǎng)絡(luò)安全隔離網(wǎng)閘、聯(lián)想網(wǎng)御安全隔離網(wǎng)閘等廠家 網(wǎng)閘產(chǎn)品可以滿足信任網(wǎng)絡(luò)用戶與外部的文件交換、

10、收發(fā)郵件、單向瀏覽、數(shù)據(jù)庫交換等功 能，同時已在電子政務(wù)中，如政府內(nèi)部的領(lǐng)導(dǎo)決策支持系統(tǒng)、政務(wù)應(yīng)用系統(tǒng)OA系統(tǒng)、專用 業(yè)務(wù)處理系統(tǒng)）和公共信息處理系統(tǒng)（信息采集系統(tǒng)、信息交換系統(tǒng)、信息發(fā)布系統(tǒng)等）得到應(yīng) 用，網(wǎng)閘很好地解決了安全隔離下的信息可控交換等問題，從而推動了電子政務(wù)走向應(yīng)用時 代。由于網(wǎng)閘可以實現(xiàn)兩個物理層斷開網(wǎng)絡(luò)間的信息擺渡，構(gòu)建信息可控交換“安全島”， 所以在政府、軍隊、電力等領(lǐng)域具有極為廣闊的應(yīng)用前景。網(wǎng)閘有會突破電子政務(wù)外網(wǎng)與內(nèi) 網(wǎng)之間數(shù)據(jù)交換的瓶頸，并消除政府部門之間因安全造成的信息孤島效應(yīng)。目前網(wǎng)閘大都提 供了文件交換、收發(fā)郵件、瀏覽網(wǎng)頁等基本功能。此外，網(wǎng)閘產(chǎn)品在負(fù)載均衡

11、、冗余備份、 硬件密碼加速、易集成管理等方面需要進(jìn)一步改進(jìn)完善，同時更好地集成入侵檢測和加密通 道、數(shù)字證書等技術(shù)，也成為新一代網(wǎng)閘產(chǎn)品發(fā)展的趨勢。目前國外有Whale公司的e-GAP系統(tǒng)、Spearhead公司的NetGAP等網(wǎng)閘產(chǎn)品，在軍政、 航天、金融等部門被采用。Whale公司將e-GAP系統(tǒng)定位為應(yīng)用層的防護(hù)設(shè)備。該產(chǎn)品通 過隔離服務(wù)器、數(shù)據(jù)暫存區(qū)、隔離開關(guān)(Air GAP Switch)、并結(jié)合應(yīng)用層安全控制來達(dá)到整 體安全。它集成了加密技術(shù)、授權(quán)認(rèn)證、PKI、HTTP鏡像、規(guī)則過濾、Air GAP(空氣隔離) 等多種安全技術(shù)構(gòu)成軟硬一體化平臺。Spearhead公司的NetGAP直接連接兩個網(wǎng)絡(luò)。通過插在PCI槽的安全電路板與LVDS 總線一起實現(xiàn)了”Reflective GAP”技術(shù)，每一個安全電路板包含一對雙開關(guān)結(jié)構(gòu)，雙開關(guān)結(jié) 構(gòu)確保了在兩個網(wǎng)絡(luò)之間一個完全的鏈路層隔斷。數(shù)據(jù)包從外網(wǎng)傳至內(nèi)網(wǎng)需要經(jīng)理會話終 止、剝離數(shù)據(jù)、編碼、惡意代碼掃描、傳輸恢復(fù)、會話再生等過程，