網(wǎng)絡(luò)安全隔離技術(shù)探討

王騫　奚正波

摘要：自從20世紀(jì)70年代發(fā)明互聯(lián)網(wǎng)至今，網(wǎng)絡(luò)已經(jīng)成為人們?nèi)粘Ｉ?、生產(chǎn)中不可或缺的重要組成部分。在量子計(jì)算機(jī)沒有全面推廣應(yīng)用之前，網(wǎng)絡(luò)安全隔離技術(shù)將是應(yīng)對(duì)網(wǎng)絡(luò)安全問題的首選方案。本文以此為出發(fā)點(diǎn)，選取網(wǎng)絡(luò)安全隔離技術(shù)探討作為研究題目，概述了網(wǎng)絡(luò)隔離的內(nèi)涵，與常用的網(wǎng)絡(luò)安全隔離技術(shù)。并以此為基礎(chǔ)，對(duì)網(wǎng)絡(luò)安全隔離系統(tǒng)的體系結(jié)構(gòu)進(jìn)行了具體討論。

關(guān)鍵詞：網(wǎng)絡(luò);安全;隔離技術(shù);探討

近年來，隨著工業(yè)4.0改革與“互聯(lián)網(wǎng)+”改革工作的持續(xù)深化，推動(dòng)了各行業(yè)從信息化管理向數(shù)據(jù)化管理的轉(zhuǎn)型升級(jí)。與此同時(shí)，在數(shù)據(jù)中心建設(shè)數(shù)量增加、規(guī)模擴(kuò)大，虛擬數(shù)據(jù)中心應(yīng)用相對(duì)增長的情況下，網(wǎng)絡(luò)安全風(fēng)險(xiǎn)也隨之增加，應(yīng)用網(wǎng)絡(luò)安全隔離技術(shù)后，不僅可以使內(nèi)網(wǎng)與外網(wǎng)之間實(shí)現(xiàn)有效的分享，也能夠增強(qiáng)內(nèi)網(wǎng)與外網(wǎng)數(shù)據(jù)交換的安全性。下面先對(duì)網(wǎng)絡(luò)隔離的概念與原理做出說明。

一、網(wǎng)絡(luò)隔離的內(nèi)涵

網(wǎng)絡(luò)隔離的本質(zhì)，集中在對(duì)訪問控制思想的運(yùn)用。從概念界定看，主要是指在斷開網(wǎng)絡(luò)物理連接的條件下，合法、合理的實(shí)施信息交互與數(shù)據(jù)共享，進(jìn)而達(dá)到對(duì)信息的分組可控交換。目前，對(duì)該技術(shù)的應(yīng)用中，始終將應(yīng)用目標(biāo)定位在對(duì)有害攻擊的隔離上。就其核心而言，以物理隔離為基本特征，旨在從根本上隔離開內(nèi)網(wǎng)、外網(wǎng)，具體應(yīng)用時(shí)通常在同一時(shí)間內(nèi)通過1個(gè)隔離設(shè)備創(chuàng)建非TCP/IP協(xié)議的數(shù)據(jù)連接。應(yīng)用步驟如下：1.隔離?；ヂ?lián)網(wǎng)屬于外網(wǎng)，安全性相對(duì)較低;內(nèi)部專用網(wǎng)絡(luò)作為內(nèi)網(wǎng)，安全性相對(duì)較高。通過在外網(wǎng)設(shè)置隔離設(shè)備、于內(nèi)網(wǎng)設(shè)置隔離設(shè)備，可以將二者完全斷開。2.外網(wǎng)發(fā)送數(shù)據(jù)。由于隔離設(shè)備屬于一種存儲(chǔ)介質(zhì)，當(dāng)外網(wǎng)數(shù)據(jù)向內(nèi)網(wǎng)進(jìn)行傳輸?shù)倪^程中，外部服務(wù)器可以通過發(fā)起對(duì)隔離設(shè)備的非TCP/IP協(xié)議的數(shù)據(jù)連接完成對(duì)協(xié)議的剝離處理，只在存儲(chǔ)介質(zhì)中寫入原始數(shù)據(jù)。3.內(nèi)網(wǎng)接收數(shù)據(jù)。寫入步驟完成后，外網(wǎng)與隔離設(shè)備中斷連接，然后利用同樣的原理以逆向方式將數(shù)據(jù)發(fā)達(dá)到內(nèi)網(wǎng)。4.從內(nèi)網(wǎng)向外網(wǎng)的數(shù)據(jù)傳輸原理相同。外網(wǎng)向內(nèi)網(wǎng)的數(shù)據(jù)傳輸如圖1所示。

二、網(wǎng)絡(luò)安全隔離技術(shù)分析

（一）以物理隔離技術(shù)為例

該技術(shù)屬于比較基礎(chǔ)的網(wǎng)絡(luò)安全隔離技術(shù)，與傳統(tǒng)的防火墻隔離、入侵檢測隔離、防病毒系統(tǒng)隔離、漏洞掃描隔離相比，它具有深度防御的鮮明特征。因此，物理隔離技術(shù)并不是為了取代傳統(tǒng)的常用隔離技術(shù)，而是在基礎(chǔ)上，對(duì)其做進(jìn)一步的安全策略層面的深化，進(jìn)而形成更加有利于解決網(wǎng)絡(luò)安全問題的技術(shù)。物理隔離技術(shù)以網(wǎng)絡(luò)隔離為基本原理，主要通過安全隔離計(jì)算機(jī)技術(shù)進(jìn)行具體應(yīng)用。

以某公司開發(fā)的物理隔離技術(shù)為例：1.在硬件方面選擇了RISC體系結(jié)構(gòu);2.在軟件方面應(yīng)用了高性能嵌入式計(jì)算機(jī)芯片;3.雙機(jī)之間的物理連接選擇高速物理傳輸芯片（4個(gè)），內(nèi)網(wǎng)與外網(wǎng)的隔離連接，主要通過以太網(wǎng)接口實(shí)現(xiàn)（2個(gè)10M/100M以太網(wǎng)接口：IA1/IA2與IB1/IB2）。除此之外，還配備了內(nèi)網(wǎng)雙接口（IA3）、內(nèi)外網(wǎng)預(yù)警接口（IA4、IB3），前者用于隔離裝置的雙機(jī)熱備份，后者用于對(duì)信息輸出的預(yù)警、并向后臺(tái)主機(jī)實(shí)時(shí)上傳監(jiān)測信息。4.根據(jù)網(wǎng)絡(luò)隔離的基本原理，運(yùn)用專用協(xié)議棧（SysKeeper-2000系列安全隔離產(chǎn)品）割斷穿透性TCP連接，從而使信源C1、CUP、內(nèi)網(wǎng)相連，信源C2、CPU、外網(wǎng)相鄰，共同構(gòu)成物理隔離系統(tǒng)。對(duì)物理隔離技術(shù)進(jìn)行應(yīng)用時(shí)，需要配置二層交換機(jī)、設(shè)置配置規(guī)則，與三層交換機(jī)（路由器）、設(shè)置實(shí)際通信規(guī)則、ARP報(bào)文規(guī)則1、ARP報(bào)文規(guī)則2。具體應(yīng)用中通?？梢詫?duì)其中的不安全外網(wǎng)、安全內(nèi)網(wǎng)之間設(shè)置物理隔離。物理隔離技術(shù)應(yīng)用結(jié)構(gòu)見下圖2：

（二）以通用網(wǎng)閘技術(shù)為例

通用網(wǎng)閘技術(shù)（GAP，也稱安全隔離網(wǎng)閘技術(shù)），是物理隔離技術(shù)的進(jìn)一步發(fā)展形成了安全隔離技術(shù)。該技術(shù)由以色列的Whale、Spearhead等企業(yè)研發(fā)設(shè)計(jì)，從1997年發(fā)明至今，已經(jīng)獲得了廣泛應(yīng)用，適用于電子政務(wù)、信息化建設(shè)、電子商務(wù)等各大領(lǐng)域。從基本原理看，該技術(shù)主要是通過將安全隔離網(wǎng)閘設(shè)置于內(nèi)外、外網(wǎng)之間，從而達(dá)到對(duì)網(wǎng)絡(luò)病毒、惡意代碼、黑客攻擊等安全風(fēng)險(xiǎn)的有效隔離、防御。所以，這是對(duì)網(wǎng)絡(luò)隔離原理的深化應(yīng)用。具體如下：首先，將要解決的問題劃分為五類，分別是操作系統(tǒng)依賴產(chǎn)生的漏洞、TCP/IP協(xié)議依賴漏洞、通信攻擊、鏈路連接漏洞、安全策略漏洞。為了有效解決多重問題，在該技術(shù)中應(yīng)用了OSI七層網(wǎng)絡(luò)模型，將不同的應(yīng)用功能分布在物理層、數(shù)據(jù)鏈鏈路層、網(wǎng)絡(luò)層、傳輸層、會(huì)話層、表示層、應(yīng)用層，構(gòu)成OSI模型應(yīng)用代理，通過網(wǎng)卡將其與外網(wǎng)相連。按照同樣的布置方式完成內(nèi)網(wǎng)、網(wǎng)卡、SOI模型應(yīng)用代理連接，從而搭建具有網(wǎng)絡(luò)隔離功能的OSI模型。如此，可以通過各層的斷開方式，消除TCP/IP網(wǎng)絡(luò)中受到的攻擊。其次，在網(wǎng)絡(luò)隔離技術(shù)線路方面主要選擇單向連接、實(shí)時(shí)交換、網(wǎng)絡(luò)開關(guān)等技術(shù)，具體應(yīng)用時(shí)一般采用動(dòng)態(tài)斷開技術(shù)或者固定斷開技術(shù)，完成對(duì)專用隔離硬件的設(shè)置。動(dòng)態(tài)斷開技術(shù)方面，常用的技術(shù)包括SCSI網(wǎng)閘技術(shù)、總線網(wǎng)閘技術(shù)。在固定斷開技術(shù)方面，以單向傳輸網(wǎng)閘技術(shù)為主。最后，在通過隔離網(wǎng)閘體系結(jié)構(gòu)方面，按照通用網(wǎng)閘技術(shù)工作流程，分為內(nèi)部處理單元與外部處理單元，并通過專用隔離硬件完成對(duì)網(wǎng)絡(luò)隔離體系結(jié)構(gòu)的搭建。具體應(yīng)用通用網(wǎng)閘技術(shù)時(shí)，主要在不信任網(wǎng)絡(luò)（外網(wǎng)）中設(shè)置協(xié)議轉(zhuǎn)換、內(nèi)核防護(hù)、病毒過濾，于可信任網(wǎng)絡(luò)（內(nèi)網(wǎng)）中增加身份驗(yàn)證、安全審計(jì)、協(xié)議轉(zhuǎn)換、訪問控制、內(nèi)核防護(hù)、病毒過濾等，保障隔離效果。

例如，以某公司設(shè)計(jì)的通用網(wǎng)閘技術(shù)為例，按照基本的模塊化設(shè)計(jì)思想進(jìn)行系統(tǒng)結(jié)構(gòu)設(shè)計(jì)：1.在USB模塊中設(shè)置了ISP1581芯片（雙端口，用于搭建數(shù)據(jù)通路、設(shè)置雙端口存儲(chǔ)器）;2.利用XC3S400作為控制芯片（用于寫入、讀出、緩存數(shù)據(jù)）;3.存儲(chǔ)器選擇了IDT70V7399S芯片（雙端口）。見下圖3：

在功能設(shè)置方面，內(nèi)部處理單元中預(yù)設(shè)了安全策略審查、TCP/IP協(xié)議分解有專用協(xié)議封裝、消息認(rèn)證、身份認(rèn)證。外部處理單元中，除設(shè)置TPC/IP協(xié)議分解有專用協(xié)議封裝功能外，增加了專用協(xié)議分解及TCP/IP協(xié)議封閉功能與附加消息認(rèn)證印戳功能。這樣，就可以利用隔離硬件中的USB總線（數(shù)據(jù)線寬度設(shè)置為16位），通過嵌入式Linux操作系統(tǒng)內(nèi)核（開關(guān)控制、存儲(chǔ)介質(zhì)），將內(nèi)部、外部處理單元中的數(shù)據(jù)連接，進(jìn)行切換、隔離、控制。其中的開關(guān)控制流程如下：開始——是否有寫信號(hào)——是否兩端都讀完——啟動(dòng)定時(shí)器——對(duì)存儲(chǔ)器寫——是否有寫完信號(hào)——定時(shí)器是否超時(shí)——切換開關(guān)——對(duì)存儲(chǔ)器讀。需要注意的是，在系統(tǒng)軟件的基本模塊中，外部數(shù)據(jù)單元中并不能設(shè)置安全模塊，只能設(shè)置數(shù)據(jù)分析模塊，并利用隔離硬件提供風(fēng)險(xiǎn)預(yù)防。而內(nèi)部處理單元中，除了數(shù)據(jù)分析模塊外，設(shè)置有安全模塊，可以有效地提取消息摘要密文，降低風(fēng)險(xiǎn)。

（三）其他技術(shù)

除以上兩種主要技術(shù)外，隨著數(shù)據(jù)中心、虛擬數(shù)據(jù)中心技術(shù)的發(fā)展，對(duì)于網(wǎng)絡(luò)安全隔離技術(shù)的需求越來越高，一般而言，在數(shù)據(jù)中心方面的安全隔離技術(shù)應(yīng)用方面，可以選擇數(shù)據(jù)庫審計(jì)、數(shù)據(jù)庫隔離技術(shù)。以數(shù)據(jù)庫審計(jì)技術(shù)為例，主要通過數(shù)據(jù)庫管理員操作進(jìn)行記錄，從而對(duì)數(shù)據(jù)庫中的實(shí)際安全狀態(tài)進(jìn)行監(jiān)測、分析、揭示。從技術(shù)應(yīng)用路線看，是在總線技術(shù)中使用協(xié)議解析方法，從而對(duì)數(shù)據(jù)庫日志全記錄實(shí)施全方位、實(shí)時(shí)動(dòng)態(tài)化解析。以數(shù)據(jù)庫隔離技術(shù)為例，我國在該方面的技術(shù)研發(fā)尚處于初級(jí)階段，國外的應(yīng)用情況表明，主要是利用具有數(shù)據(jù)庫隔離功能的技術(shù)產(chǎn)品，作為數(shù)據(jù)庫中的中間件進(jìn)行風(fēng)險(xiǎn)隔離與防范。與數(shù)據(jù)中心的安全隔離技術(shù)相比，虛擬數(shù)據(jù)中心的安全隔離需求更高，所以在實(shí)踐中通常要求按照實(shí)際服務(wù)器、虛擬機(jī)、應(yīng)用業(yè)務(wù)的安全需求，研發(fā)設(shè)計(jì)匹配的安全隔離方案。

三、網(wǎng)絡(luò)安全隔離技術(shù)應(yīng)用風(fēng)險(xiǎn)

（一）網(wǎng)線誤接

無論采用哪一種類型的安全隔離技術(shù)，均需要以計(jì)算機(jī)為載體，由于在安全隔離計(jì)算機(jī)技術(shù)條件下，以內(nèi)網(wǎng)卡（計(jì)算機(jī)網(wǎng)卡）、外網(wǎng)網(wǎng)線之間必須通過硬件連接，保障數(shù)據(jù)連接時(shí)應(yīng)用隔離技術(shù)，因此，在這種情況下，不能排除網(wǎng)線誤接的風(fēng)險(xiǎn)。例如，在安全隔離卡使用過程中，隔離卡接口、網(wǎng)卡接口連接時(shí)，沒有區(qū)分內(nèi)網(wǎng)、外網(wǎng)的情況下，容易出現(xiàn)接入錯(cuò)誤?；蛘撸B接了內(nèi)網(wǎng)未連接外網(wǎng)（反之亦然），也會(huì)造成隔離失效。從風(fēng)險(xiǎn)發(fā)生的常見原因看，主要是在用戶內(nèi)部單獨(dú)網(wǎng)線絡(luò)缺失時(shí)，內(nèi)網(wǎng)中采用了單機(jī)模式進(jìn)行管理所致。再如，在安全隔離技術(shù)應(yīng)用時(shí)，通常設(shè)置了雙卡，當(dāng)?shù)诙K網(wǎng)卡與外網(wǎng)網(wǎng)線發(fā)生誤接時(shí)，也容易造成信息安全風(fēng)險(xiǎn)。

（二）軟件切換

目前使用的物理隔離技術(shù)、通用網(wǎng)閘技術(shù)中，為了提高隔離效果與應(yīng)用的便利性，均設(shè)置了切換功能。具全應(yīng)用中對(duì)切換功能進(jìn)行使用時(shí)，首要的檢查對(duì)象是系統(tǒng)內(nèi)的存儲(chǔ)設(shè)備狀況。可是，部分用命在使用過程中，進(jìn)入安全模式對(duì)相關(guān)的硬件進(jìn)行刪除操作后，并沒有斷開計(jì)算機(jī)與存儲(chǔ)設(shè)備之間的物理連接關(guān)系。在這種情況下，一旦進(jìn)入切換狀態(tài)，其中的存儲(chǔ)設(shè)備也會(huì)重新進(jìn)行連接。此時(shí)，信息安全風(fēng)險(xiǎn)隱患會(huì)一直存在，不利于用戶的使用安全。

（三）設(shè)備風(fēng)險(xiǎn)

網(wǎng)絡(luò)的應(yīng)用中，除計(jì)算機(jī)外配置了多種附屬性的辦公設(shè)備，包括打印機(jī)、掃描儀、傳真機(jī)，以及其他配套的辦公設(shè)備等。此類辦公設(shè)備中部分設(shè)備具有硬件數(shù)據(jù)緩存功能，一些設(shè)備甚至設(shè)置了存儲(chǔ)數(shù)據(jù)、調(diào)閱數(shù)據(jù)的功能。在內(nèi)網(wǎng)、外網(wǎng)進(jìn)行數(shù)據(jù)連接時(shí)，雖然能夠借助安全隔離技術(shù)對(duì)其中的病毒、惡意代碼等進(jìn)行過濾、監(jiān)測、清理、防范，但是，并不能保障轉(zhuǎn)換內(nèi)外網(wǎng)狀態(tài)時(shí)的數(shù)據(jù)泄漏。尤其對(duì)于一些具有知識(shí)產(chǎn)權(quán)的企業(yè)而言，辦公設(shè)備中沒有及時(shí)清除的重要信息，一旦通過數(shù)據(jù)連接傳入外網(wǎng)，即可能造成較大損失。

四、網(wǎng)絡(luò)安全隔離技術(shù)應(yīng)用控制措施

（一）開展隔離管理

在應(yīng)對(duì)網(wǎng)線誤接方面，應(yīng)該建立事前、事中、事后的全過程管理方案，進(jìn)而優(yōu)化隔離管理。首先，在應(yīng)用安全隔離技術(shù)前，按照設(shè)計(jì)方案、實(shí)施步驟，做好連接網(wǎng)絡(luò)方面的編號(hào)，這樣在安裝環(huán)節(jié)，既不容易出現(xiàn)錯(cuò)誤，也能夠有條不紊地完成安裝操作。其次，在安裝過程中應(yīng)該設(shè)置過程評(píng)價(jià)方案，從而在監(jiān)督機(jī)制、評(píng)價(jià)機(jī)制充分應(yīng)用的條件下，保障網(wǎng)線安裝時(shí)的有效性。第三，進(jìn)入安全隔離方案運(yùn)行環(huán)節(jié)，應(yīng)對(duì)隔離效果進(jìn)行檢查與評(píng)估，預(yù)防因網(wǎng)線誤接造成的隔離無效情況。

（二）控制網(wǎng)絡(luò)存取

軟件切換中引發(fā)的存儲(chǔ)連接風(fēng)險(xiǎn)，重點(diǎn)集中在存儲(chǔ)連接上，因而在這種情況下可以選擇控制網(wǎng)絡(luò)存取的辦法有效解決此類問題。具體而言，在實(shí)體隔離方面，硬件、軟件方面均有明顯的規(guī)則設(shè)置，而且利用此類配置規(guī)則可以保障內(nèi)外網(wǎng)的獨(dú)立性。所以，建議從獨(dú)立網(wǎng)絡(luò)應(yīng)用的角度出發(fā)，安排專人對(duì)數(shù)據(jù)交換時(shí)的網(wǎng)絡(luò)存取環(huán)節(jié)進(jìn)行管理。對(duì)于一些機(jī)密性較高的數(shù)據(jù)，可以根據(jù)實(shí)際情況通過手工方式進(jìn)行數(shù)據(jù)交換。

（三）增強(qiáng)設(shè)備維保

目前，在各行業(yè)諸領(lǐng)域高質(zhì)量發(fā)展階段，數(shù)據(jù)管理的重要性越來高，數(shù)據(jù)安全風(fēng)險(xiǎn)也隨之增大。因此，即使在內(nèi)網(wǎng)、外網(wǎng)數(shù)據(jù)連接中使用了網(wǎng)絡(luò)安全隔離技術(shù)的條件下，也應(yīng)該增強(qiáng)對(duì)附屬辦公設(shè)備的數(shù)據(jù)管理。例如，按照辦公設(shè)備的使用頻率，設(shè)定固定的時(shí)間間隔清理相關(guān)設(shè)備中的緩存數(shù)據(jù)。在哪，對(duì)具有數(shù)據(jù)存儲(chǔ)功能、調(diào)用數(shù)據(jù)功能的設(shè)置進(jìn)行獨(dú)立的數(shù)據(jù)管理等。

五、結(jié)束語

總之，從信息化時(shí)代轉(zhuǎn)入到數(shù)據(jù)化時(shí)代后，網(wǎng)絡(luò)安全風(fēng)險(xiǎn)相對(duì)擴(kuò)大，為了有效化解此類風(fēng)險(xiǎn)，一方面應(yīng)該增強(qiáng)對(duì)網(wǎng)絡(luò)安全隔離技術(shù)的研發(fā)創(chuàng)新，另一方面需要結(jié)合實(shí)際的應(yīng)用場景與需求選擇適用性較強(qiáng)的網(wǎng)絡(luò)安全隔離技術(shù)，提高其應(yīng)用效用。通過上初步分析可以看出，網(wǎng)絡(luò)安全隔離技術(shù)種類較多，技術(shù)優(yōu)勢鮮明，在實(shí)際應(yīng)用中仍然存在網(wǎng)絡(luò)誤接風(fēng)險(xiǎn)、軟件切換風(fēng)險(xiǎn)，以及相關(guān)的辦公設(shè)備風(fēng)險(xiǎn)等。所以，建議在各行業(yè)高質(zhì)量發(fā)展階段應(yīng)用安全隔離技術(shù)時(shí)，盡可能結(jié)合配套地做好實(shí)體隔離管理、做好網(wǎng)絡(luò)存取控制等工作，保障安全隔離技術(shù)的應(yīng)用效果。

作者單位：王騫? ? 奚正波? ? 國能大渡河大數(shù)據(jù)服務(wù)有限公司

參? 考? 文? 獻(xiàn)

[1]徐恪，凌思通，李琦，等.基于區(qū)塊鏈的網(wǎng)絡(luò)安全體系結(jié)構(gòu)與關(guān)鍵技術(shù)研究進(jìn)展[J].計(jì)算機(jī)學(xué)報(bào)，2021，44（1）：55-83.

[2]楊宏宇，曾仁韻.一種深度學(xué)習(xí)的網(wǎng)絡(luò)安全態(tài)勢評(píng)估方法[J].西安電子科技大學(xué)學(xué)報(bào)（自然科學(xué)版），2021，48（1）：183-190.

[3]袁得崳，黃淑華，高見，等.基于掃描分析的視頻監(jiān)控網(wǎng)絡(luò)安全現(xiàn)狀及對(duì)策研究[J].科技管理研究，2021，41（4）：198-204.

[4]駱慧勇.基于云桌面實(shí)現(xiàn)網(wǎng)絡(luò)安全隔離的應(yīng)用[J].計(jì)算機(jī)應(yīng)用與軟件，2020，37（2）：15-17，38.

[5]林育凱.淺析隔離網(wǎng)閘與防火墻在網(wǎng)絡(luò)安全中的綜合利用[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2020，19（1）：14-15.