安全防护系统的相关措施

4.2.4.1　网络攻击的形式和传统防御策略的缺陷

互联网本身已发展成为一个巨大的电子空间，人们对它的依赖程度也越来越高，但是随着互联网协议和应用变得日益复杂，越来越多与之对应的攻击技术和工具大量出现。目前存在的攻击手段，可以归纳为几个种类：①计算机病毒；②特洛伊木马 （Trojan Horses）；③后门 （Trap Doom）； ④隐蔽通道； ⑤拒绝服务攻击 （Denial of Service Attack）等。

网络漏洞和攻击存在的同时，也推动了信息安全防护技术的发展，尤其是防火墙技术、加密技术、鉴别技术、数字签名技术、内容检查技术和计算机病毒防治技术等。其中又以防火墙技术发展最为迅猛，应用最为广泛。按照实现原理的不同，防火墙产品目前主要分包过滤防火墙、状态检测包过滤防火墙和应用层代理防火墙。

各类防火墙产品在确保网络安全方面各有特色，但也有各自缺陷。如包过滤防火墙很容易受到如下攻击：①IP 欺骗攻击：②D.O.S 拒绝服务攻击；③分片攻击；④木马攻击。而状态检测包过滤防火墙则面临以下威胁：①协议隧道攻击；②利用FTP-pasv 绕过防火墙认证的攻击；③反弹木马攻击。针对应用层代理防火墙从机理上来讲较前两种技术更为先进，协议检查也更深入。但由于应用层代理防火墙所采用的单系统设计，在内、外网络间都相当于代理机，一旦黑客利用漏洞攻破代理机，将长驱直入攻击内网，窃取机密数据。另外，防火墙都是根据访问控制规则来检测攻击行为，针对的都是已知的攻击手段。因而应用层代理防火墙并不能一劳永逸地解决安全问题，对层出不穷的未知攻击更是缺乏先天免疫能力。

4.2.4.2　安全隔离设备的定义

传统的网络安全措施在日新月异的网络攻击面前难以保证系统安全，要安全有效地屏蔽内部网络各种漏洞，保护内部网络不受攻击，最有效的办法是实现内、外网络间的安全隔离，从而提升内部网络的整体安全性。这就催生了网络安全隔离设备的出现。

网络安全隔离设备是一种通过专用的硬件使两个网络在不连通的情况下进行网络间的安全数据传输和资源共享的网络设备；因此，它有广阔的应用前景。已被美国、以色列等国家的军政、航天、金融等要害部门广泛应用。作为国际上最新的网络安全技术，网络安全隔离设备独特的硬件设计使它能够提供比防火墙更高的安全性能，可大大提高政府、金融、军队等高端用户的整体网络安全度。

网络安全隔离设备将可信任的内网和不可信任的外网进行隔离，因此必须保证内部网和外部网之间的通信均通过网络安全隔离设备进行，同时还必须保证网络安全隔离设备自身的安全性；网络安全隔离设备是实施内部网安全策略的一部分，保证了内部网的正常运行而不受外部的干扰。

4.2.4.3　网络安全隔离设备访问控制策略

访问控制策略是网络安全隔离设备的基础，它可以按如下两种逻辑来制订：

（1）默认禁止。访问控制规则没有明确允许的都禁止访问。

（2）默认允许。访问控制规则没有明确禁止的都允许访问。

可以看出，前一种逻辑限制性大，后一种逻辑则比较宽松。基于安全性考虑，网络安全隔离设备采用的是 “默认禁止” 访问控制策略。

4.2.4.4　网络安全隔离设备简介

1.工作原理(www.xing528.com)

网络安全隔离设备采用软、硬结合的安全措施。在硬件上，使用双机结构通过安全岛装置进行通信来实现物理上的隔离；在软件上，采用综合过滤、访问控制、应用代理技术实现链路层、网络层与应用层的隔离。在保证网络透明性的同时，实现对非法信息的隔离。

网络安全隔离设备通过开关切换及数据缓冲设施来进行数据交换。开关的切换使得在任何时刻两个网络没有直接连通，在某个时刻网络安全隔离设备只能连接到一个网络，而数据流经网络安全隔离设备时TCP／IP协议被终止，因此可以有效地防护利用网络进行的外部攻击。

网络安全隔离设备作为代理从外网的网络访问包中抽取出数据然后通过数据缓冲设施转入内网，完成数据中转。在中转过程中，网络安全隔离设备会对抽取的数据报文的IP地址、MAC地址、端口号、连接方向实施过滤控制。由于网络安全隔离设备采用了独特的开关切换机制，因此，在进行过滤检查时网络实际上处于断开状态。通过严格检查，只有符合安全策略的数据才能进入内网，因此即使黑客强行攻击了网络安全隔离设备，由于攻击发生时内外网始终处于物理断开状态，黑客也无法进入内网。

网络安全隔离设备在实现物理隔断的同时允许可信的内部网络和不可信的外部网络之间的数据和信息进行安全交换。由于网络安全隔离设备仅抽取合法数据进入内网，因此，内网不会受到网络层的攻击，这就在物理隔离的同时实现了数据的安全交换。

2.功能和特性

（1）具有物理隔离能力的硬件结构。由两个嵌入式计算机及辅助装置形成安全岛系统，并由安全半岛调度引擎实现安全轮渡，保证了内部网络和外部网络的物理隔离。

（2）软、硬结合的数据流向控制。经过安全隔离设备的数据流向控制可以通过安全策略实现软控制，通过物理开关实现硬控制，极大地保证了内部系统的安全。

（3）连接方向的控制。可对TCP连接进行方向控制，TCP连接只能由内网主机建立连接，以保证内网主机不向外网提供网络服务。

（4）多级过滤的立体访问控制。多级过滤形成了立体的全面的访问控制机制。它可以在链路层根据MAC地址进行分组过滤，在IP层提供基于状态检测的分组过滤，可以根据网络地址、网络协议以及TCP、UDP端口进行过滤；在应用层通过应用代理提供对应用协议的命令、访问路径、内容等过滤；同时还提供用户级的鉴别和过滤控制。保证系统的安全性，提高防护能力，增强控制的灵活性。

（5）更强的防御功能。采用非INTEL系列的RISC处理器，减少被病毒攻击的概率，采用专门裁剪的LINUX 内核，取消所有系统网络功能。不但提高了安全性，而且保证了高性能；

（6）支持实时报警。支持多种工作模式，包括无IP 地址透明监听、网络地址转换、混合工作模式、双向网络地址转换 （NAT）。可以支持无IP 地址透明监听、网络地址转换、混合工作模式。隔离设备没有IP地址，非法用户无法对隔离设备本身进行网络攻击。同时双向NAT，隐藏内部网络主机IP地址。不但便于实施，而且还提高了安全性能。

（7）真正实现了透明接入。网络安全隔离设备真正做到了透明接入；即在接入网络安全隔离设备后，不影响现有的网络应用的数据传输，正常使用网络的合法用户对本设备是不可感知的。

（8）维护管理安全方便。网络安全隔离设备配置非常简便，对它的操作及设置基本上只需使用规则配置管理工具就可以实现。如StoneWall-2000网络安全隔离设备提供了两种不同的规则配置管理工具，即GUI管理工具和CLI管理工具。 其中规则管理工具（GUI）是其专用配套程序。该管理器具有界面友好、直观、功能齐全、通俗易懂等特点，可以运行于Microsoft Windows9X／Me／2000／XP 环境下。命令行方式是指使用设备提供的Console接口进行本地管理。该管理工具具有最高的安全级别，但是对管理员的要求比较高。