系统层实现网络安全隔离解决办法

系统构架及工作原理

我们知道计算机网络依据物理连接和逻辑连接来实现不同网络之间、不同主机之间、主机 与终端之间的信息交换与信息共享。绿盟安全隔离与信息交换系统既然隔离、阻断了网络的所 有连接，实际上就是隔离、阻断了网络的连通。网络被隔离、阻断后，两个独立主机系统之间 如何进行信息交换？网络只是信息交换的一种方式，而不是信息交换方式的全部。在互联网
时 代以前，信息照样进行交换，如数据文件复制（拷贝）、数据摆渡，数据镜像，数据反射等等， 绿盟安全隔离与信息交换系统就是使用数据“摆渡”的方式实现两个网络之间的信息交换。
网络的外部主机系统
通过绿盟安全隔离与信息交换系统与网络的内部主机系统“连接” 起来，绿盟安全隔离与信息交换系统将外部主机的 TCP/IP 协议全部剥离，将原始数据通过存 储介质，以“摆渡”的方式导入到内部主机系统，实现信息的交换。说到“摆渡”，我们会想 到在 1957 年前，长江把我国分为南北两部分，京汉铁路的列车只有通过渡轮“摆渡”到粤汉 铁路。京汉铁路的铁轨与粤汉铁路的铁轨始终是隔离、阻断的。渡轮和列车不可能同时连接京 汉铁路的铁轨，又连接到粤汉铁路的铁轨。当渡轮和列车连接在京汉铁路时，它必然与粤汉铁 路断开，反之依然。与此类似，绿盟安全隔离与信息交换系统的专用隔离芯片部分在任意时刻 只能与一个处理单元建立非 TCP/IP 协议的数据连接，即当它与外部处理单元的主机系统相连 接时，它与内部处理单元必须是断开的，反之依然。即保证内、外网络不能同时连接在绿盟安 全隔离与信息交换系统上。绿盟安全隔离与信息交换系统的原始数据“摆渡”机制是原始数 据通过存储介质的存储（写入）和转发（读出）。
绿盟安全隔离与信息交换系统在网络的第七层将数据还原为原始数据文件，然后以“摆 渡文件”的形式来传递原始数据。任何形式的数据包、信息传输命令和 TCP/IP 协议都不可能 穿透绿盟安全隔离与信息交换系统。这同透明桥、混杂模式、IP over USB、代理主机、以及 通过开关方式来转发信息包有本质的区别。下面以内网与外网之间的绿盟安全隔离与信息交 换系统为例，说明通过绿盟安全隔离与信息交换系统的信息交换过程。

当内网与外网之间无信息交换时，数据交换
单元与内网交换单元，数据交换单元与外网处 理单元，内网处理单元与外网处理单元之间是完全断开的，即三者之间不存在任何连接，

图 1 系统架构

当内网数据需要传输到外网时，内网处理单元会主动向数据交换单元发起非 TCP/IP 协议 的数据连接请求，并发出“写”命令，将“读”开关合上，并把所有的协议剥离，将原始数据 写入高速缓存。在写入之前，根据不同的应用，还要对数据进行必要的完整性、安全性
检查， 如病毒和恶意代码检查等。 在此过程中，外网处理单元与数据交换单元始终处于断开状态，

图 2 工作原理

一旦数据完全写入绿盟安全隔离与信息交换系统的存储介质
，“读取”开关立即打开，并 中断与内网的“写”开关，中断与内网的连接。转而发起对外网处理单元的非 TCP/IP 协议的 数据连接请求，当外网处理单元收到请求后，发出“读”命令，将数据交换单元的数据读取到 外网处理单元。外网处理单元重新发起 TCP/IP 的会话到达目标服务器，将数据上传交给应用 系统，完成了内网到外网的信息交换。

图 3 工作原理 2

绿盟安全隔离与信息交换系统由内网处理单元、外网处理单元与安全数据交换单元（专用 安全通道）组成。内、外网处理单元采用特殊安全电路设计，具有极高的稳定性与可靠性。安 全数据交换单元采用专用安全传输控制硬件，通过层层搬运的方式实现信息安全交换，在数据 交换的过程中通道在任何时刻都不是直接连通的。安全数据交换单元是隔离系统的内、外网单 元之间的唯一数据传输安全通道，只有私有可信数据才被识别，从而杜绝了任何不被识别数据 穿透安全传输通道，确保所有通过的数据包只被控制单元识别的合法纯数据。

绿盟安全隔离与信息交换系统的工作原理是在内、外网处理单元独立完成网络协议终止、内 容检查与日志审计，将符合安全策略的数据内容提交至安全数据交换区等待数据交换。安全数 据交换单元按照设定的周期分别由内、外网处理单元的安全数据交换区将数据内容提取并交 换至另一端的安全数据下载区，等待用户的读取或传输至指定的计算机上，同时系统集成防病 毒技术及扩展入侵检测技术，形成一套具有多重防护的安全解决方案。

三、 产品功能

绿盟安全隔离与信息交换系统的主要功能特点就是在保证两个网络隔离的情况下，做一 定的安全数据交换，绿盟安全隔离与信息交换系统由内、外网处理单元和安全数据交换单元组 成，安全数据交换单元在内外网主机间按照指定的周期进行安全数据的摆渡，其数据流转过程 类似 U盘拷贝，也像船只通过船闸的过程，所以绿盟安全隔离与信息交换系统被业内形象的简 称为“绿盟安全隔离与信息交换系统”。绿盟安全隔离与信息交换系统在保证内外网隔离的情况下，实现可靠、高效的安全数据交换，而所有这些复杂的操作均由系统自动完成，用户只需 依据自身业务特点定制合适的安全策略既可实现内外网络进行安全数据通信，在保障用户信 息系统安全性的同时，最大限度保证客户应用的方便性。

业务功能

1. 安全隔离

• 物理隔离：系统由内网单元、外网单元及安全数据交换单元三个物理部分组成。安全 数据交换单元不同时与内外网处理单元连接。其数据流转过程类似 U 盘在内外网处 理单元之间拷贝数据。
• 协议隔离：内、外网单元主机均采用安全操作系统，分别独立完成网络协议的终止。 内、外网单元之间只能通过采用非网式专有安全通道进行间歇性数据传递，内外网无 法直接建立任何的协议会话，从而阻断以共同协议为载体的风险传递。
• 应用隔离：系统采用模块化的应用解码，内外网单元分别独立完成与客户会话交互、 提取安全数据等待数据交换，所以内外网之间不能建立直接的应用会话。
• 内容隔离：内、外网单元分别将待交换传输的数据进行内容检查与病毒查杀，不符合 安全规定的数据内容将被直接删除，合法的数据才允许被安全数据交换单元交换至 另一端，从而保证了数据内容的安全性。
• 风险隔离：系统以白名单机制运行，仅许可正常的、用户许可的网络应用，防范未知 的安全风险。并且系统集成防病毒并可扩展多种常规安全防护引擎，如入侵检测等， 可检测 60000 多种病毒和 4000 多种网络入侵。双重安全机制最大程度上实现了风险 隔离。

2. 信息交换

绿盟安全隔离与信息交换系统的工作原理基于人工信息交换的操作模式，即由内外 网处理单元分别负责接收来自所连接网络的访问请求，两模块间没有直接的物理连接， 形成一个物理隔断，从而保证可信网和非可信网之间没有数据包的交换，没有网络连接 的建立。在此前提下，通过专有硬件实现网络间信息的实时交换。这种交换并不是数据包 的转发，而是应用层数据的静态读写操作，因此可信网的用户可以通过 绿盟安全隔离与 信息交换系统放心的访问非可信网的资源，而不必担心可信网的安全受到影响。

• Web信息交换：通过系统内部的 Web处理模块，绿盟安全隔离与信息交换系统能够实现内外网间的 Web数据交互。通过对内外网间 Web应用进行信息获取、流 保持、内容解析、原数据丢弃、审查、数据重建、传递、流发起等系列业务动作， 实现内外网间可进行标准的、可控的 HTTP通信。如针对绝大多数 Web应用只允 许 GET、 PUT、 POST三个命令即可，其它动作例如 Delete、 Option 等较危险的 动作一律阻止；可以禁止 JavaScript 及 ActiveX 等脚本程序以屏蔽其带来的威 胁。

• 文件信息交换：通过系统内置的 FTP应用协议处理模块，绿盟安全隔离与信息交 换系统能够实现内外网间的安全 FTP数据交互，可以设定允许的用户名、密码、 动作等策略，也可以对其传输的文件类型进行过滤，摒弃不安全及泄密的因素。

• 邮件信息交换：通过内外网处理单元的 POP3、 SMTP处理模块，绿盟安全隔离与 信息交换系统能够在内外网间实现透明的、可审查的、可控的 POP3和 SMTP应 用，可以指定用户名、密码甚至邮件地址，可以禁止邮件附件功能。

• 数据库信息交换：绿盟安全隔离与信息交换系统数据库信息交换包括两部分，一 为数据库信息访问交换，一为数据库信息同步。我公司绿盟安全隔离与信息交 换系统产品同时支持这两种应用，可控制到表、字段、SQL动作等最详细信息。 目前支持的数据库种类包括 ORACLE、 SQLSERVER、 DB2、 MYSQL、 SYBASE等几款 主流数据库以及国产达梦数据库、国产人大金仓数据库等多种关系型数据库通 信。通过内置的数据库处理模块，系统内能够处理穿越绿盟安全隔离与信息交 换系统的各种数据库操作，比如 Oracle 数据库，我们可以设置只允许 Select， 不允许 Delete、 Update 以及 DROP、 CREATE等操作。

• 视频信息交换：绿盟安全隔离与信息交换系统设备支持标准的 MMS、RSTP、SIP、H323 等多种视频信息交换协议，在指定的通道中绑定视频媒体模块后，可以保证通道中 传输的数据必须符合以上的媒体格式，否则丢弃；支持视频点播、回放；支持同厂 家或不同厂家平台之间的国标级联；

• DCS工控信息交换：冶金系统、电力系统、煤炭、石油、石化、化工、环保等单位的 生产内网需要将生产数据及时提交到办公网络的实时数据库中，保证生产内网的绝 对安全。采用绿盟安全隔离与信息交换系统单向传输生产数据，采用 DCS工控信息 交换模块，使专用安全通道只传输工控生产数据信息，保证了生产内网的绝对安全。 支持工控领域常见的 MODBUS主流协议，并可控制相应的功能代码。比如只允许通过 MODBUS协议读取状态信息，不能发送控制指令等。

• 组播代理：对于客户网络的组播应用做不同网络之间的代理，支持三层设备的代 理穿透，支持 PIM协议的代理，使客户组播应用无缝跨网代理。

• 特殊定制信息交换：对于用户自行研发的标准 TCP/IP 通信协议，可借助我公司 提供的协议分析产品和自定义协议界面，完成用户协议的安全定制，华御 绿盟 安全隔离与信息交换系统会以用户定制的命令、参数等协议解析方式来解析用 户的通信内容，从而实现在通信端口内只允许用户特定的协议通过，远比其它 产品只进行端口过滤和内容过滤安全的多。

1. 网络访问控制

绿盟安全隔离与信息交换系统具有强大的访问控制力，管理员可通过订制访问策略，精细 地控制 谁 （网络对象）能够 （允许或禁止）访问自己。管理控制台以人性化的人机接口协 助管理员轻松实现管理目标。

• 网络访问控制：隔离系统的内、外网单元完整实现链路层、网络层、传输层访问 控制，通过灵活组合网络对象，制定与实际需求完全吻合的访问策略。
• 访问用户控制：隔离系统的内、外网单元可实现定制、绑定哪些用户可以访问， 以何种策略访问。

4. 数据内容审查

内容检查是指当绿盟安全隔离与信息交换系统准备交换文件之前对文件所进行的安全检 查，确保只有符合保密、安全策略的数据、文件才允许被交换至另一端。

• 行为动作：隔离系统的内、外网单元可依据管理员设定的各个应用模块的行为动作 策略进行控制，拒绝非允许的动作操作：如 FTP的允许下载不允许上传，数据库的 允许 SELECT不允许 DELETE等控制并将记录非授权动作到日志告警。
• 关键字检查：隔离系统的内、外网单元可依据管理员设定的涉密或不健康的信息进 行过滤，将过滤到关键字的信息摈弃并记录日志告警。

文件类型检查：隔离系统的内、外网单元可将指定的可能产生危险的文件类型过滤、删除并 且记录日志告警。

5. 缓存空间及传输数据的管理

绿盟安全隔离与信息交换系统的内、外网单元在特定的时间自动清理缓存中的文件碎片、 修复文件系统错误，保持文件访问效率。

6. 双重安全防护机制

绿盟安全隔离与信息交换系统采用双重安全防护机制，即系统的内、外网处理单元以白名 单方式接受网络请求、建立并终止会话。所有的客户网络请求无法穿透系统进入内网，并且只 有被允许的客户的网络请求才被响应。这样绿盟安全隔离与信息交换系统就能够隔离各种未 知的安全风险。客户的业务数据均需经过安全检查才允许被交换否则将被视为无效数据，直接 删除并丢弃。同时，绿盟安全隔离与信息交换系统内嵌防病毒和入侵检测引擎，能够实时检测、 阻绝已知的各种病毒与入侵，并在控制台示警，帮助管理员在最短时间内做出响应。绿盟安全 隔离与信息交换系统提供开放、可靠的 API接口，可与第三方安全技术（如以 PKI为基础的身 份认证技术、安全审计技术等）无缝集成。

7. 双协议栈接入

绿盟安全隔离与信息交换系统支持双协议栈接入，绿盟安全隔离与信息交换系统可同时 设置 IPV4及 IPV6的地址，且互不影响

不仅仅支持在单一的 IPV4的网络环境或 IPV6的网络环境下工作，还支持在 IPV4及 IPV6的两个网络环境之间工作，可满足用户各种网络环境。

参考资料

绿盟 安全隔离与信息交换系统 SIES 产品白皮书

友情链接

绿盟 2021年全球DDoS威胁报告