物理環(huán)境與設備安全.ppt

1、版權所有，盜版必糾,第7章 物理環(huán)境與設備安全,李 劍 北京郵電大學信息安全中心 E-mail: 電話版權所有，盜版必糾,概 述,本章先講述物理層的安全威脅，主要包括物理安全環(huán)境和物理安全設備由于威脅而引起的不可用性。然后講述了要實現(xiàn)物理安全必須要注意的一些要點。,版權所有，盜版必糾,目 錄,7.1 物理層安全威脅 7.2 物理層安全防護 7.3 物理層安全設備 7.4 物理層管理安全,版權所有，盜版必糾,7.1 物理層安全威脅,物理層負責傳輸比特流。它從第二層數(shù)據(jù)鏈路層（Data Link Layer）接受數(shù)據(jù)Frame，并將Frame的結構和內(nèi)容串行發(fā)送，即每次發(fā)

2、送一個比特。 網(wǎng)絡的物理安全風險主要指由于網(wǎng)絡周邊環(huán)境和物理特性引起的網(wǎng)絡設備和線路的不可用，而造成網(wǎng)絡系統(tǒng)的不可用。 例如：設備被盜、設備老化、意外故障、無線電磁輻射泄密等。如果局域網(wǎng)采用廣播方式，那么本廣播域中的所有信息都可以被偵聽。,版權所有，盜版必糾,7.2 物理層安全防護,7.2.1 物理位置選擇 機房應選擇在具有防震、防風和防雨等能力的建筑內(nèi)；機房的承重要求應滿足設計要求；機房場地應避免設在建筑物的高層或地下室，以及用水設備的下層或隔壁；機房場地應當避開強電場、強磁場、強震動源、強噪聲源、重度環(huán)境污染，易發(fā)生火災、水災，易遭受雷擊的地區(qū)。,版權所有，盜版必糾,7.2 物理層安全防護

3、,7.2.2 物理訪問控制 有人值守機房出入口應有專人值守，鑒別進入的人員身份并登記在案；無人值守的機房門口應具備告警系統(tǒng)；應批準進入機房的來訪人員，限制和監(jiān)控其活動范圍；應對機房劃分區(qū)域進行管理，區(qū)域和區(qū)域之間設置物理隔離裝置，在重要區(qū)域前設置交付或安裝等過渡區(qū)域；應對重要區(qū)域配置電子門禁系統(tǒng)，鑒別和記錄進入的人員身份并監(jiān)控其活動,并且門禁可以是帶考勤的，這樣就不用公司現(xiàn)在的考勤卡了?？梢钥紤]每個員工進入公司時，有一個身份卡，這樣出了安全問題后，容易找到具體實施的人。服務器應該安放在安裝了監(jiān)視器的隔離房間內(nèi)，并且監(jiān)視器要保留15天以上的攝像記錄。,版權所有，盜版必糾,7.2 物理層安全防護,

4、機箱，鍵盤，電腦桌抽屜要上鎖，以確保旁人即使進入房間也無法使用電腦，鑰匙要放在安全的地方。在自己的辦工桌上安上筆記本電腦安全鎖，以防止筆記本電腦的丟失。圖7.1和圖7.2所示為筆記本電腦安全鎖。,版權所有，盜版必糾,7.2 物理層安全防護,7.2.3 防盜竊和防破壞 應將相關服務器放置在物理受限的范圍內(nèi)；應利用光、電等技術設置機房的防盜報警系統(tǒng)，以防進入機房的盜竊和破壞行為；應對機房設置監(jiān)控報警系統(tǒng)。,版權所有，盜版必糾,7.2 物理層安全防護,7.2.4 防雷擊 機房建筑應設置避雷裝置；應設置防雷保安器，防止感應雷；應設置交流電源地線。 7.2.5 防火 應設置火災自動消防系統(tǒng)，自動檢測火情

5、，自動報警，并自動滅火；機房及相關的工作房間和輔助房，其建筑材料應具有耐火等級； 7.2.6 防水和防潮 水管安裝不得穿過屋頂和活動地板下；應對穿過墻壁和樓板的水管增加必要的保護措施，如設置套管；應采取措施防止雨水通過屋頂和墻壁滲透；應采取措施防止室內(nèi)水蒸氣結露和地下積水的轉(zhuǎn)移與滲透；,版權所有，盜版必糾,7.2 物理層安全防護,7.2.7 防靜電 應采用必要的接地等防靜電措施；應采用防靜電地板。 7.2.8 溫濕度控制 應設置恒溫恒濕系統(tǒng)，使機房溫、濕度的變化在設備運行所允許的范圍之內(nèi)。防塵和有害氣體控制；機房中應無爆炸、導電、導磁性及腐蝕性塵埃；機房中應無腐蝕金屬的氣體；機房中應無破壞絕緣

6、的氣體。,版權所有，盜版必糾,7.2 物理層安全防護,7.2.9 電力供應 機房供電應與其他市電供電分開；應設置穩(wěn)壓器和過電壓防護設備；應提供短期的備用電力供應（如UPS設備）；應建立備用供電系統(tǒng)（如備用發(fā)電機），以備常用供電系統(tǒng)停電時啟用。 7.2.10 電磁防護要求 應采用接地方式防止外界電磁干擾和相關服務器寄生耦合干擾；電源線和通信線纜應隔離，避免互相干擾。,版權所有，盜版必糾,7.3 物理層安全設備,我國2000年1月1日起實施的計算機信息系統(tǒng)國際聯(lián)網(wǎng)保密管理規(guī)定第2章第6條規(guī)定，“涉及國家秘密的計算機信息系統(tǒng)，不得直接或間接地與國際互聯(lián)網(wǎng)或其他公共信息網(wǎng)絡相連接，必須實行物理隔離”。

7、從此之后，我國在物理隔離領域不斷有新的產(chǎn)品出現(xiàn)，如物理安全隔離卡、雙硬盤物理隔離器、物理隔離網(wǎng)閘等。,版權所有，盜版必糾,7.3 物理層安全設備,7.3.1 PC物理安全隔離卡 PC網(wǎng)絡物理安全隔離卡把一臺普通計算機分成兩或三臺虛擬計算機，可以連接內(nèi)部網(wǎng)或外部網(wǎng)，實現(xiàn)安全環(huán)境和不安全環(huán)境的絕對隔離，保護用戶的機密數(shù)據(jù)和信息免受國際互聯(lián)網(wǎng)上黑客的威脅和攻擊。圖4.3所示為物理安全隔離卡。,版權所有，盜版必糾,7.3 物理層安全設備,1. 技術特點 (1) 內(nèi)外網(wǎng)絕對隔離 (2) 阻塞信息泄露通道 (3) 應用廣泛 (4) 實現(xiàn)成本低,版權所有，盜版必糾,7.3 物理層安全設備,2. 技術原理 P

8、C網(wǎng)絡安全隔離卡屬于端設備物理隔離設備，通過物理隔離的方式，在兩個網(wǎng)絡間轉(zhuǎn)換時，保證計算機的數(shù)據(jù)在網(wǎng)絡之間不被重用。根據(jù)本產(chǎn)品設計方法：當計算機進入其中一個網(wǎng)絡時，物理隔離部件保證被隔離的計算機硬盤（或硬盤分區(qū)）及網(wǎng)絡相互不連通。在計算機處于內(nèi)網(wǎng)狀態(tài)時，物理隔離部件可以禁止用戶使用光、軟驅(qū)。計算機轉(zhuǎn)換網(wǎng)絡時必須重新啟動，清空內(nèi)存，不存在殘留信息泄漏的問題。,版權所有，盜版必糾,7.3 物理層安全設備,2. 技術原理,版權所有，盜版必糾,7.3 物理層安全設備,2. 技術原理,版權所有，盜版必糾,7.3 物理層安全設備,3. 解決方案 解決方案如圖7.5所示。,版權所有，盜版必糾,7.3 物理層

9、安全設備,7.3.2 其他物理隔離設備 1. 網(wǎng)絡安全物理隔離器 網(wǎng)絡安全物理隔離器是一種雙硬盤物理隔離器，如圖7.6所示。它實際上只是在兩個硬盤之間從物理上交換文件的一個設備。其實現(xiàn)原理和上面的物理隔離網(wǎng)卡相似，只是前面采用網(wǎng)卡的形式，這里采用的是磁盤的形式,這里就不再贅述。,版權所有，盜版必糾,7.3 物理層安全設備,7.3.2 其他物理隔離設備 1. 網(wǎng)絡安全物理隔離器,版權所有，盜版必糾,7.3 物理層安全設備,2. 物理隔離網(wǎng)閘 物理隔離網(wǎng)閘最早出現(xiàn)在美國、以色列等國家的軍方，用以解決涉密網(wǎng)絡與公共網(wǎng)絡連接時的安全。我國也有龐大的政府涉密網(wǎng)絡和軍事涉密網(wǎng)絡，但是我國的涉密網(wǎng)絡與公共網(wǎng)

10、絡，特別是與互聯(lián)網(wǎng)是無任何關聯(lián)的獨立網(wǎng)絡，不存在與互聯(lián)網(wǎng)的信息交換，也用不著使用物理隔離網(wǎng)閘解決信息安全問題。所以，在電子政務、電子商務之前，物理隔離網(wǎng)閘在我國因無市場需求，產(chǎn)品和技術發(fā)展較慢。,版權所有，盜版必糾,7.3 物理層安全設備,(1) 物理隔離網(wǎng)閘的定義 物理隔離網(wǎng)閘是使用帶有多種控制功能的固態(tài)開關讀寫介質(zhì)連接兩個獨立主機系統(tǒng)的信息安全設備。由于物理隔離網(wǎng)閘所連接的兩個獨立主機系統(tǒng)之間，不存在通信的物理連接、邏輯連接、信息傳輸命令、信息傳輸協(xié)議，不存在依據(jù)協(xié)議的信息包轉(zhuǎn)發(fā)，只有數(shù)據(jù)文件的無協(xié)議“擺渡”，且對固態(tài)存儲介質(zhì)只有“讀”和“寫”兩個命令。所以，物理隔離網(wǎng)閘從物理上隔離、阻斷

11、了具有潛在攻擊可能的一切連接，使“黑客”無法入侵、無法攻擊、無法破壞，實現(xiàn)了真正的安全。,版權所有，盜版必糾,7.3 物理層安全設備,(2) 物理隔離網(wǎng)閘的信息交換方式 計算機網(wǎng)絡依據(jù)物理連接和邏輯連接來實現(xiàn)不同網(wǎng)絡之間、不同主機之間、主機與終端之間的信息交換與信息共享。物理隔離網(wǎng)閘既然隔離、阻斷了網(wǎng)絡的所有連接，實際上就是隔離、阻斷了網(wǎng)絡的連通。網(wǎng)絡被隔離、阻斷后，兩個獨立主機系統(tǒng)之間如何進行信息交換？網(wǎng)絡只是信息交換的一種方式，而不是信息交換方式的全部。在互聯(lián)網(wǎng)時代以前，信息照樣進行交換，如數(shù)據(jù)文件復制、數(shù)據(jù)擺渡、數(shù)據(jù)鏡像、數(shù)據(jù)反射等，物理隔離網(wǎng)閘就是使用數(shù)據(jù)“擺渡”的方式實現(xiàn)兩個網(wǎng)絡之間

12、的信息交換。,版權所有，盜版必糾,7.3 物理層安全設備,(2) 物理隔離網(wǎng)閘的信息交換方式 當內(nèi)網(wǎng)與專網(wǎng)之間無信息交換時，物理隔離網(wǎng)閘與內(nèi)網(wǎng)，物理隔離網(wǎng)閘與專網(wǎng)，內(nèi)網(wǎng)與專網(wǎng)之間是完全斷開的，即三者之間不存在物理連接和邏輯連接，如圖7.7所示。,版權所有，盜版必糾,7.3 物理層安全設備,(2) 物理隔離網(wǎng)閘的信息交換方式 在寫入之前，根據(jù)不同的應用，還要對數(shù)據(jù)進行必要的完整性、安全性檢查，如病毒和惡意代碼檢查等。在此過程中，專網(wǎng)服務器與物理隔離網(wǎng)閘始終處于斷開狀態(tài)，如圖7.8所示。,版權所有，盜版必糾,7.3 物理層安全設備,(2) 物理隔離網(wǎng)閘的信息交換方式 專網(wǎng)服務器收到數(shù)據(jù)后，按TCP

13、/IP協(xié)議重新封裝接收到的數(shù)據(jù)，交給應用系統(tǒng)，完成了內(nèi)網(wǎng)到專網(wǎng)的信息交換，詳見圖7.9所示。,版權所有，盜版必糾,7.3 物理層安全設備,外部處理單元； 內(nèi)部處理單元； 隔離硬件。 (4) 物理隔離網(wǎng)閘的主要安全模塊 安全隔離模塊：隔離硬件在兩個網(wǎng)絡上進行切換，通過對硬件上的存儲芯片的讀寫，完成數(shù)據(jù)的交換。 保證兩個網(wǎng)絡在鏈路層斷開，不與兩個網(wǎng)絡同時連接，兩個網(wǎng)絡交換的數(shù)據(jù)必須是剝離TCP/IP協(xié)議后在應用層之上進行。,版權所有，盜版必糾,7.3 物理層安全設備,(3) 物理隔離網(wǎng)閘的組成 外部處理單元； 內(nèi)部處理單元； 隔離硬件。 (4) 物理隔離網(wǎng)閘的主要安全模塊 安全隔離模塊：隔離硬件在

14、兩個網(wǎng)絡上進行切換，通過對硬件上的存儲芯片的讀寫，完成數(shù)據(jù)的交換。 保證兩個網(wǎng)絡在鏈路層斷開，不與兩個網(wǎng)絡同時連接，兩個網(wǎng)絡交換的數(shù)據(jù)必須是剝離TCP/IP協(xié)議后在應用層之上進行。,版權所有，盜版必糾,7.3 物理層安全設備,(3) 物理隔離網(wǎng)閘的組成 外部處理單元； 內(nèi)部處理單元； 隔離硬件。 (4) 物理隔離網(wǎng)閘的主要安全模塊 安全隔離模塊：隔離硬件在兩個網(wǎng)絡上進行切換，通過對硬件上的存儲芯片的讀寫，完成數(shù)據(jù)的交換。 保證兩個網(wǎng)絡在鏈路層斷開，不與兩個網(wǎng)絡同時連接，兩個網(wǎng)絡交換的數(shù)據(jù)必須是剝離TCP/IP協(xié)議后在應用層之上進行。,版權所有，盜版必糾,7.3 物理層安全設備,版權所有，盜版必

15、糾,7.4 物理層管理安全,7.4.1 內(nèi)部網(wǎng)絡與外部網(wǎng)絡隔離管理 公司內(nèi)部的研發(fā)網(wǎng)與外面的因特網(wǎng)是完全從物理上隔離的(沒有網(wǎng)線直接相接)。這樣從物理上隔離可以防止公司的核心代碼被見外網(wǎng)上黑客盜用，也可以防止公司內(nèi)部人員將公司代碼“偷”出去，也最大程度上防止了來自外部惡意的入侵行為(如網(wǎng)上的病毒等)。如圖7.11所示。,版權所有，盜版必糾,7.4 物理層管理安全,(1) 設置專門的上網(wǎng)區(qū)域（在研發(fā)區(qū)以外），叫它上網(wǎng)緩沖區(qū)。這個上網(wǎng)緩沖區(qū)，可以自由上因特網(wǎng)網(wǎng)絡來查找資料。供需要上因特網(wǎng)的研發(fā)員工上網(wǎng)。但是上網(wǎng)緩沖區(qū)與研發(fā)區(qū)是物理隔離的，沒有任何形式的聯(lián)接。 (2) 給重要員工配置筆記本，通過無線

16、方式，上因特網(wǎng)來查找資料。,版權所有，盜版必糾,7.4 物理層管理安全,7.4.2 內(nèi)部網(wǎng)絡的安全管理 剛才說了，研發(fā)區(qū)與因特網(wǎng)是物理隔離的，所以為了進一步的安全考慮，控制研發(fā)區(qū)里的傳輸介質(zhì)就顯得尤其重要了。在研發(fā)區(qū)里，對于傳輸介質(zhì)的控制，采用的是一個多層次、多方面的控制措施。這樣可以最大程度上防止公司核心成果的外漏。特別是公司內(nèi)部人員將公司機密泄漏。 (1) 禁止公司員工將自己的筆記本電腦、U盤和MP3等傳輸介質(zhì)帶入公司，一經(jīng)發(fā)現(xiàn)，嚴肅處理。如果非人使用U盤等傳輸介質(zhì)來傳輸文件，則必需要通過公司的專門人員一完成(比如公司安全管理員)。禁止公司員工將公司的筆記本電腦帶回家。,版權所有，盜版必糾

17、,7.4 物理層管理安全,(2) 對于研發(fā)網(wǎng)機器上的U盤接口、串口、并口等采用帶有公司公章的封條封上。封條封的時候要注意，要選擇那種一碰就容易破的紙。并且在封之前，最好再給里面塞滿紙。這樣做的話，試想如果有人想要往里插線的話，還要將里面的紙取出。這時外面的封條早都破了。 (3) 將研發(fā)網(wǎng)機器內(nèi)部U盤接口、串口和并口等的接口線拔掉。 (4) 將機箱上鎖。 (5) 從機器BIOS設置里面將U盤接口，串口和并口等去掉。 (6) 如果員工要從內(nèi)部向外部，或多外部向內(nèi)容拷貝資料，則必須通過專門的安全管理人員。,版權所有，盜版必糾,7.4 物理層管理安全,(7) 最好不用文件刪除技術，而用文件粉碎或擦除技術。 (8) 將計算機上的IP地址與MAC地址綁定，這一點可以通過交換機來實現(xiàn)。除此之外，還要將計算機上的網(wǎng)線用帶有公司公章的封條封上