跨網(wǎng)絡(luò)信息流轉(zhuǎn)的安全防護(hù)設(shè)計(jì)

王進(jìn)

（中國科學(xué)院空天信息創(chuàng)新研究院 北京市 100190）

1 引言

大工業(yè)時代的分工協(xié)作要求信息跨部門、跨組織、甚至跨國流轉(zhuǎn)，信息的安全流轉(zhuǎn)尤其是敏感信息的安全流轉(zhuǎn)就顯得尤為重要。過去各部門、組織的局域網(wǎng)間信息流轉(zhuǎn)通過防火墻設(shè)備將病毒、非法信息阻擋在局域網(wǎng)外面以此達(dá)到信息的安全流轉(zhuǎn)，但是局域網(wǎng)間以防火墻作為安全防護(hù)來連接的這種方式實(shí)質(zhì)上局域網(wǎng)間是物理連接的，只要是物理連接就會在信息流轉(zhuǎn)過程中造成很大信息泄露危險及網(wǎng)絡(luò)安全風(fēng)險。有的組織用內(nèi)部刻盤專人報(bào)送的方式消除風(fēng)險，但只適用于小量、非實(shí)時且近距離的信息流轉(zhuǎn)。當(dāng)涉及到大量、實(shí)時、長距離的信息流轉(zhuǎn)就迫切的需要新思路來設(shè)計(jì)一套跨網(wǎng)信息流轉(zhuǎn)單向?qū)雽?dǎo)出安防系統(tǒng)以達(dá)到信息有效流轉(zhuǎn)及網(wǎng)絡(luò)安全的目的。

2 設(shè)計(jì)思路

本文通過對局域網(wǎng)進(jìn)行等級劃分后，基于局域網(wǎng)等級來設(shè)計(jì)信息流轉(zhuǎn)單向?qū)雽?dǎo)出系統(tǒng)，使得信息即安全流轉(zhuǎn)，各局域網(wǎng)也得到安全防護(hù)，同時防護(hù)成本得到有效控制。文中舉例說明，首先，定義A 組織局域網(wǎng)為高等級簡稱A 網(wǎng)，B 組織局域網(wǎng)為低等級簡稱B 網(wǎng)。當(dāng)B 網(wǎng)向A 網(wǎng)流轉(zhuǎn)信息時部署防火墻+單向網(wǎng)閘+單向網(wǎng)關(guān)；當(dāng)A 網(wǎng)向B 網(wǎng)流轉(zhuǎn)信息時部署防火墻+光盤擺渡+單向網(wǎng)關(guān)。通過專用安防設(shè)備實(shí)現(xiàn)信息自動流轉(zhuǎn)，配合強(qiáng)制安全控制機(jī)制，實(shí)現(xiàn)流轉(zhuǎn)前病毒查殺、端口控制、審批審計(jì)，確保信息安全、受控流轉(zhuǎn)。該跨網(wǎng)信息流轉(zhuǎn)單向?qū)雽?dǎo)出系統(tǒng)既能滿足大數(shù)據(jù)量、高實(shí)時性的信息流轉(zhuǎn)需求，也能兼顧網(wǎng)絡(luò)安全。

3 系統(tǒng)架構(gòu)

在B 網(wǎng)與A 網(wǎng)之間建立跨網(wǎng)信息流轉(zhuǎn)單向?qū)胂到y(tǒng)，考慮到極端情況下B 網(wǎng)與A 網(wǎng)距離很遠(yuǎn)，跨區(qū)、跨市、甚至跨省，需要租賃運(yùn)營商廣域網(wǎng)專線來進(jìn)行連接，B 網(wǎng)信息經(jīng)過長距離運(yùn)營商廣域網(wǎng)專線，傳輸過程中不保證會出現(xiàn) “入侵”問題，B 網(wǎng)信息進(jìn)A網(wǎng)前通過防火墻進(jìn)行第一輪的訪問控制，過濾掉非法地址、地址組、地址池；訪問控制精度到應(yīng)用功能，應(yīng)用識別與入侵檢測、防病毒相結(jié)合；第一時間獲取最新威脅信息，準(zhǔn)確檢測并防御針對漏洞的攻擊。 通過信息安全后進(jìn)入單向網(wǎng)閘進(jìn)行數(shù)據(jù)完整性檢查、關(guān)鍵字過濾、文件類型檢查、文件大小過濾等強(qiáng)制處理后再由單向網(wǎng)閘利用內(nèi)部單向機(jī)制進(jìn)行信息流轉(zhuǎn)（物理隔離傳輸方式，沒有任何物理連接或信息傳遞），具有實(shí)時性好，高速快捷的傳輸性能，適用于所有類型信息傳送。單向網(wǎng)閘通過內(nèi)部的發(fā)送端、接收端兩套獨(dú)立的信息處理系統(tǒng)實(shí)現(xiàn)網(wǎng)絡(luò)協(xié)議剝離，內(nèi)部發(fā)送端與接收端服務(wù)器通過私有協(xié)議傳輸。做到信息強(qiáng)制單向傳輸?shù)絾蜗蚓W(wǎng)關(guān)指定目錄，另一個單向網(wǎng)關(guān)網(wǎng)卡接入A 網(wǎng)，A 網(wǎng)可以讀取到單向網(wǎng)關(guān)指定目錄流轉(zhuǎn)到的B 網(wǎng)信息。

在A 網(wǎng)與B 網(wǎng)之間建立跨網(wǎng)信息流轉(zhuǎn)單向?qū)С鱿到y(tǒng)，A 網(wǎng)作為高等級網(wǎng)絡(luò)的業(yè)務(wù)信息更敏感、安全性更高，因此往B 網(wǎng)流轉(zhuǎn)的信息首先由人工審查、審批后再通過防火墻進(jìn)行訪問控制和信息安全處理后進(jìn)入光盤擺渡進(jìn)行病毒查殺、關(guān)鍵字過濾、文件類型檢查、文件大小過濾等強(qiáng)制處理后再由光盤擺渡采用機(jī)械臂模擬手工操作光盤，實(shí)現(xiàn)外部網(wǎng)絡(luò)和內(nèi)網(wǎng)在物理隔離的情況下，數(shù)據(jù)自動單向傳輸。光盤擺渡屬于完全物理隔離傳輸方式，沒有任何物理連接或信息傳遞。光盤擺渡設(shè)備支持CDDVDBD 等多種光盤介質(zhì)，再將信息發(fā)送到單向網(wǎng)關(guān)指定目錄，另一個網(wǎng)卡接入B 網(wǎng)，B 網(wǎng)讀取到單向網(wǎng)關(guān)定目錄流轉(zhuǎn)的A 網(wǎng)信息。通過光盤擺渡高級物理隔離，異構(gòu)隔離做到信息由高向低的安全流轉(zhuǎn)。

系統(tǒng)架構(gòu)如圖1所示。

圖1：系統(tǒng)架構(gòu)圖

4 系統(tǒng)功能

防火墻可防護(hù)各種針對Web 的攻擊，包括SQL 注入攻擊和跨站腳本攻擊等；主動響應(yīng)惡意掃描行為，快速發(fā)現(xiàn)，記錄惡意行為，實(shí)現(xiàn)對企業(yè)威脅的實(shí)時防護(hù)；對傳輸?shù)奈募蛢?nèi)容進(jìn)行識別過濾，可準(zhǔn)確識別常見文件的真實(shí)類型，如Word、Excel、PPT、PDF等，并對內(nèi)容進(jìn)行過濾；可基于用戶對訪問內(nèi)容進(jìn)行審計(jì)、溯源；支持豐富高可靠性的VPN 特性，如IPSec VPN、SSL VPN、L2TP VPN、MPLS VPN、GRE 等；提供自研的VPN 客戶端SecoClient，實(shí)現(xiàn)SSL VPN、L2TP VPN 和L2TP over IPSec VPN 用戶遠(yuǎn)程接入，支持DES、3DES、AES、SHA、SM2/SM3/SM4 等多種加密算法。檢測并防御隱藏在SSL 加密流量中的威脅，包括入侵防御、反病毒、內(nèi)容過濾、URL 過濾等應(yīng)用層防護(hù)。如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并作出日志記錄，同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計(jì)數(shù)據(jù)。當(dāng)發(fā)生可疑動作時，防火墻能進(jìn)行適當(dāng)?shù)膱?bào)警，并提供網(wǎng)絡(luò)是否受到監(jiān)測和攻擊的詳細(xì)信息。另外，收集一個網(wǎng)絡(luò)的使用和誤用情況也是非常重要的。首先的理由是可以清楚防火墻是否能夠抵擋攻擊者的探測和攻擊，并且清楚防火墻的控制是否充足。而網(wǎng)絡(luò)使用統(tǒng)計(jì)對網(wǎng)絡(luò)需求分析和威脅分析等而言也是非常重要的。通過利用防火墻對內(nèi)部網(wǎng)絡(luò)的劃分，可實(shí)現(xiàn)內(nèi)部網(wǎng)重點(diǎn)網(wǎng)段的隔離，從而限制了局部重點(diǎn)或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。再者，隱私是內(nèi)部網(wǎng)絡(luò)非常關(guān)心的問題，一個內(nèi)部網(wǎng)絡(luò)中不引人注意的細(xì)節(jié)可能包含了有關(guān)安全的線索而引起外部攻擊者的興趣，甚至因此而暴漏了內(nèi)部網(wǎng)絡(luò)的某些安全漏洞。使用防火墻就可以隱蔽那些透漏內(nèi)部細(xì)節(jié)如Finger，DNS 等服務(wù)。Finger 顯示了主機(jī)的所有用戶的注冊名、真名，最后登錄時間和使用shell 類型等。但是Finger 顯示的信息非常容易被攻擊者所獲悉。攻擊者可以知道一個系統(tǒng)使用的頻繁程度，這個系統(tǒng)是否有用戶正在連線上網(wǎng)，這個系統(tǒng)是否在被攻擊時引起注意等等。防火墻可以同樣阻塞有關(guān)內(nèi)部網(wǎng)絡(luò)中的DNS 信息，這樣一臺主機(jī)的域名和IP 地址就不會被外界所了解。除了安全作用，防火墻還支持具有Internet 服務(wù)性的企業(yè)內(nèi)部網(wǎng)絡(luò)技術(shù)體系VPN（虛擬專用網(wǎng)）。進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)都必須經(jīng)過防火墻，防火墻通過日志對其進(jìn)行記錄，能提供網(wǎng)絡(luò)使用的詳細(xì)統(tǒng)計(jì)信息。當(dāng)發(fā)生可疑事件時，防火墻更能根據(jù)機(jī)制進(jìn)行報(bào)警和通知，提供網(wǎng)絡(luò)是否受到威脅的信息。

單向網(wǎng)閘指定需要文件傳輸?shù)腂 文件夾以及A 文件夾，設(shè)備就會實(shí)時同步增量文件。支持大量小文件及大文件的傳輸，支持重名策略，支持多級目錄嵌套，支持不依賴于文件擴(kuò)展名的文件格式檢查；單向網(wǎng)閘提供精確檢查確認(rèn)文件是否正確傳輸?shù)侥康亩斯δ?，并且能幫助用戶方便快捷確定丟失的文件以及重傳未成功的文件；單向網(wǎng)閘向數(shù)據(jù)庫同步提供ORACLE、SYBASE、MS SQLSERVER 等常見數(shù)據(jù)庫的單向同步功能。支持同種數(shù)據(jù)庫或異種數(shù)據(jù)庫之間的同步、支持精度到字段級同步以及特殊的條件同步；提供穩(wěn)定且高效的郵件單向?qū)牒袜]件過濾功能。單向網(wǎng)閘提供郵件單向?qū)牍δ芴峁┼]件從B 網(wǎng)到A 網(wǎng)的郵件單向傳輸功能。高效的郵件傳輸能夠支撐大部分應(yīng)用環(huán)境日常應(yīng)用的需求.另外單向郵件傳輸模塊會對每封郵件的相關(guān)信息進(jìn)行記錄,最大限度的保證了單向郵件導(dǎo)入功能的可靠性，同時單向網(wǎng)閘提供郵件過濾功能包括郵件地址過濾,郵件域名過濾,郵件內(nèi)容過濾,郵件附件過濾和ip 地址端口過濾可以最大限度保證有害信息和敏感信息無法導(dǎo)入A網(wǎng)應(yīng)用系統(tǒng)；這樣通過防火墻邏輯隔離、單向網(wǎng)閘物理隔離，兩次異構(gòu)隔離做到信息由低向高的安全流轉(zhuǎn)。在不降低安全性的前提下能夠完成內(nèi)外網(wǎng)之間高速的數(shù)據(jù)交換，安全數(shù)據(jù)交換過程是通過專用硬件通信卡、私有通信協(xié)議和加密簽名機(jī)制來實(shí)現(xiàn)的。雖然仍是通過應(yīng)用層數(shù)據(jù)提取與安全審查達(dá)到杜絕基于協(xié)議層的攻擊和增強(qiáng)應(yīng)用層安全效果的，但卻提供了比第一代網(wǎng)閘更多的網(wǎng)絡(luò)應(yīng)用支持，并且由于其采用的是專用高速硬件通信卡，使得處理能力大大提高，達(dá)到第一代網(wǎng)閘的幾十倍之多。而私有通信協(xié)議和加密簽名機(jī)制保證了內(nèi)外處理單元之間數(shù)據(jù)交換的機(jī)密性、完整性和可信性，從而在保證安全性的同時，提供更好的處理性能，能夠適應(yīng)復(fù)雜網(wǎng)絡(luò)對隔離應(yīng)用的需求。

光盤擺渡各種類型文件自動擺渡，包括文件、圖像、視頻等不同類型文件的自動擺渡，支持主流商用數(shù)據(jù)庫和國產(chǎn)數(shù)據(jù)庫的單向擺渡，支持同構(gòu)或異構(gòu)數(shù)據(jù)庫之間的單向擺渡。外部專網(wǎng)可指定某臺計(jì)算機(jī)共享數(shù)據(jù)擺渡目錄，將產(chǎn)生的數(shù)據(jù)存入該目錄，單向光閘實(shí)時監(jiān)控該目錄，發(fā)現(xiàn)有新增文件，即時將文件增量（或全量）擺渡至隔離緩沖區(qū)，調(diào)度網(wǎng)關(guān)收到文件自動判別文件類型，將數(shù)據(jù)量小的文件產(chǎn)生的文件發(fā)送給影像擺渡設(shè)備，實(shí)時擺渡至內(nèi)網(wǎng)端的數(shù)據(jù)交換網(wǎng)關(guān)；將數(shù)據(jù)量大的文件發(fā)送給光盤擺渡設(shè)備，定時進(jìn)行文件自動擺渡。內(nèi)網(wǎng)端的數(shù)據(jù)交換網(wǎng)關(guān)收到文件后，存入預(yù)設(shè)的文件目錄內(nèi)，實(shí)現(xiàn)一次完整的數(shù)據(jù)擺渡?？蓪τ脩羯矸葸M(jìn)行認(rèn)證，只有合法用戶才可進(jìn)入系統(tǒng)，進(jìn)行數(shù)據(jù)擺渡。光盤擺渡能夠通過IP 地址、MAC 地址進(jìn)行檢查，只有IP 地址、MAC 地址都匹配的數(shù)據(jù)包才能夠通過，以此來限制發(fā)送方和接收方終端違規(guī)傳輸數(shù)據(jù)。光盤擺渡當(dāng)實(shí)時性不強(qiáng)的大數(shù)據(jù)量文件從外網(wǎng)導(dǎo)入內(nèi)網(wǎng)時，必須通過審批或?qū)徲?jì)才可進(jìn)行擺渡，支持自定義審批流程設(shè)置，用戶可根據(jù)實(shí)際需求設(shè)置審批流程，確保導(dǎo)入內(nèi)網(wǎng)的數(shù)據(jù)可控可查。光盤擺渡能夠根據(jù)擺渡的數(shù)據(jù)類型、大小，設(shè)置不同擺渡任務(wù)，分別調(diào)用不同擺渡設(shè)備，實(shí)現(xiàn)不同類型的數(shù)據(jù)分別由不同設(shè)備擺渡至內(nèi)網(wǎng)。后續(xù)擺渡數(shù)據(jù)量增加，追加擺渡設(shè)備后，還可進(jìn)行設(shè)備空閑狀態(tài)自動檢查，提高系統(tǒng)的使用效率。光盤擺渡日志審計(jì)內(nèi)容包括任務(wù)日志與管理日志，任務(wù)日志記錄擺渡任務(wù)執(zhí)行情況；管理日志記錄管理員操作、系統(tǒng)狀態(tài)等內(nèi)容。任務(wù)日志內(nèi)容包括任務(wù)時間、任務(wù)類型、任務(wù)用戶等內(nèi)容，同時也支持基于任務(wù)時間、任務(wù)類型、任務(wù)用戶等條件進(jìn)行日志檢索。管理日志包括系統(tǒng)日志、調(diào)試日志等，記錄系統(tǒng)交互時的系統(tǒng)消息、系統(tǒng)運(yùn)行情況，管理人員根據(jù)調(diào)試日志能夠快速定位系統(tǒng)故障，并能夠?qū)ο到y(tǒng)運(yùn)行是否正常做出判斷。

單向網(wǎng)關(guān)感知網(wǎng)絡(luò)接入的能力，網(wǎng)關(guān)首先是具有對各節(jié)點(diǎn)屬性、狀態(tài)等信息的獲取功能，即可以感知各節(jié)點(diǎn)的實(shí)時狀態(tài)。其次是具有對節(jié)點(diǎn)的遠(yuǎn)程控制、喚醒、診斷和數(shù)據(jù)傳輸?shù)裙δ?，即?shí)現(xiàn)節(jié)點(diǎn)的自動化管理；異構(gòu)網(wǎng)絡(luò)互通的能力，因?yàn)榧彝?nèi)網(wǎng)和互聯(lián)網(wǎng)外網(wǎng)的IP 是不一樣的，是無法通訊的，這樣網(wǎng)關(guān)接入必然存在跨域通信的要求，因此需要完善的尋址技術(shù)，以確保所有節(jié)點(diǎn)的信息都能被準(zhǔn)確、高效、安全地進(jìn)行定位和查詢；隨著物聯(lián)網(wǎng)應(yīng)用的發(fā)展，節(jié)點(diǎn)地址的數(shù)量會逐漸增大，且其編碼結(jié)構(gòu)與DNS 中的域名結(jié)構(gòu)不同，因此需要有一套與互聯(lián)網(wǎng)不同的尋址技術(shù)以滿足需求；通訊與數(shù)據(jù)格式標(biāo)準(zhǔn)化，網(wǎng)關(guān)必須實(shí)現(xiàn)傳感網(wǎng)絡(luò)到傳統(tǒng)通信網(wǎng)絡(luò)的協(xié)議轉(zhuǎn)換，將協(xié)議適配層上傳輸?shù)臉?biāo)準(zhǔn)格式數(shù)據(jù)進(jìn)行統(tǒng)一封裝，將廣域接入層下發(fā)的數(shù)據(jù)解包成標(biāo)準(zhǔn)格式數(shù)據(jù)，實(shí)現(xiàn)命令的解析，之后轉(zhuǎn)換為感知層協(xié)議可以識別的信號和控制指令。

通過設(shè)計(jì)，將四類類設(shè)備功能有機(jī)地組合在一起實(shí)現(xiàn)跨網(wǎng)信息有效流轉(zhuǎn)及網(wǎng)絡(luò)安全。通過防火墻+單向網(wǎng)閘+單向網(wǎng)關(guān)串聯(lián)方式構(gòu)建異構(gòu)隔離通道，通過三種技術(shù)原理不同的異構(gòu)隔離設(shè)備，實(shí)現(xiàn)數(shù)據(jù)單向?qū)耄邆漭^強(qiáng)的防攻擊能力，能夠更加有效的防止外部威脅侵入。防火墻+光盤擺渡+單向網(wǎng)關(guān)串聯(lián)方式構(gòu)建異構(gòu)隔離通道，通過三種技術(shù)原理不同的異構(gòu)隔離設(shè)備，實(shí)現(xiàn)數(shù)據(jù)單向?qū)С觯邆漭^強(qiáng)的防攻擊能力，能夠更加有效的防止外部威脅侵入。其中，單向網(wǎng)閘是數(shù)據(jù)單向擺渡，且傳輸時進(jìn)行了網(wǎng)絡(luò)協(xié)議剝離，光盤擺渡設(shè)備是目前安全級別最高的完全物理隔離設(shè)備，二者技術(shù)原理、實(shí)現(xiàn)方式、傳輸介質(zhì)截然不同，增強(qiáng)了系統(tǒng)的防攻擊能力，提高系統(tǒng)的安全防范級別。

5 結(jié)束語

在目前的網(wǎng)絡(luò)安全建設(shè)標(biāo)準(zhǔn)規(guī)范中，還沒有完整的信息跨網(wǎng)流轉(zhuǎn)建設(shè)依據(jù)，在幾個相關(guān)建設(shè)標(biāo)準(zhǔn)中，涉密內(nèi)網(wǎng)與非涉密網(wǎng)應(yīng)始終保持物理隔離狀態(tài)；本設(shè)計(jì)充分考慮并抓住物理隔離的關(guān)鍵進(jìn)行設(shè)計(jì)。即使這樣本設(shè)計(jì)并不適用任何信息跨網(wǎng)流轉(zhuǎn)建設(shè)，隨著新入侵手段的不斷發(fā)展，更新的防護(hù)思路也要隨之而來，包括制定新的標(biāo)準(zhǔn)規(guī)范，設(shè)計(jì)更新的防護(hù)方案，選用更新的防護(hù)設(shè)備。總之要與時俱進(jìn)地實(shí)時提升網(wǎng)絡(luò)安全意識。