网络等级保护中的边界防护机制

采用ＭＩＬＳ来进行不同网络等级的安全保护， 边界防护是最重要的机制之一。边界防护指的是如 何对进出该等级网络的数据进行有效的控制与监 视。有效的控制措施包括防火墙、边界护卫、虚拟
专用网（ＶＰＮ）以及对于远程用户的标识与鉴别／ 访问控制；有效的监视机制包括基于网络的入侵检 测系统（ＩＤＳ）、脆弱性扫描器与局域网中的病毒检 测器。
④处理、过滤与阻塞技术。边界护卫使用各种 处理、过滤和阻塞技术来提供各种安全级别网络 之间的数据净化和隔离。假设两个网络上的数据 密级一方级别高于另一方，则所有高级网络的数 据都被认定是高级数据，高级网络的用户必须明 确指定数据为低级才能请求将这些数据传送到低 级网络，而高级数据不能传送到低级网络，并且 必须对高级网络进行保护以防止高级数据被泄 漏、篡改和攻击。边界护卫执行自动的处理和过 滤技术是数据获得新的级别，使用阻塞技术控制 从较低安全网络用户到较高安全级别网络用户的 数据传送。
·４０·
全国计算机安全学术交流会论文集
业务网已经和Ｉｎｔｅｍｅｔ连接， 并作了必要的安 全防护。
生产网目前没有任何安全措施，但是一个独立 网络，不与外网有任何信息交流。
如果两网互联，那么由于业务网的开放性，生 产网必将面临巨大的安全风险。而生产网由于系统 漏洞或人为因素，也可能造成主动的数据泄露。如 图１所示：
ＩＤＳ应具有选择被检测的攻击类型的能力。监 测哪些攻击、检测哪些源／目的地址、对于被检测的 入侵采用什么响应等等都应该是可以进行选择，这 些对入侵检测的能力有着至关重要的影响。入侵检 测系统的传感器收集到了入侵检测信息以后，对于 不同的事件采取不同的响应。一些可以终止连接， 封堵被检测到的入侵的来源地址、屏蔽端口，甚至 关闭站点。报告机制使入侵能够得到及时的人员响 应。
● 较低安全级别网
● 较高安全级别网络
● 木马 ● 黑客攻击 · 病毒和蠕虫 · 非授权访问 ● 数据窃取
· 数据泄露
图１两网间存在的威胁
４．网络监测 （１）入侵检测 入侵检测（ＩＤＳ）的目标是实施识别和组织内 部网络用户和外部攻击者对计算机系统的非授权 使用、误用和滥用。入侵检测系统通常架设在网络
间的通信路径中间，可以访问所有通信层次上的数 据。它的处理能力、吞吐量和自身对抗攻击的能力 是影响性能的关键因素。入侵检测的方法有：特征 检测、非正常行为检测和基于日志的检测方式。
强壮连续的用户认证策略。在网络边缘上，局 域密码的认证确保只有授权用户可以访问网络。其 他边界保护机制与密码认证协同工作，从而对用户 访问网络进行控制；连续验证阻止未授权用户在会 话过程中的非法插入。
信息流全程保密。保密机制保护网络内和远程 计算机免受被动拦截攻击，使数据和数据信息得到 保护。
软，硬件完整性。检测和保护机制使网络免受分 发攻击、外来篡改和未授权用户的物理访问。
边界保护主要考虑的问题是如何使某个安全 等级的网络内部不受来自外部的攻击，提供各种机 制防止恶意的内部人员跨越边界实施攻击，防止外 部人员通过开放门户／隐通道进入网络内部。边界防 护包括许多防御措施，还包括远程访问安全级间互 操作等许多功能。
边界防护策略要求对所有进入网络内部的数 据进行入侵检测，采用足够的措施对高安全级别的 一方实施保护，同时加密技术不得损害检测性能：
（２）恶意代码检测（反病毒） 恶意代码检测技术用来防止和删除已知与部 分未知类型的恶意代码。反病毒技术有： 预防技术。在系统被攻击之前，防御工作就已 经开始了。例如限制一些Ｊａｖａ和ＡｃｔｉｖｅＸ插件的执 行；采取措施防止用户打开恶意代码程序等等。 恶意中断技术。用于中断恶意代码的复制过 程，阻止其感染系统。检测程序常驻内存，监视系 统行为。发现异常，及时中断，消除恶意代码。 检测技术。系统在受到恶意代码侵害后会留下 各种痕迹。检测技术在感染发生后检测到这些痕 迹。例如使文件具有自我检测能力，防止自身被修 改；或者系统关键信息作好记录和备份，一旦被更 改，就发出提示；以及对恶意代码留下的痕迹做精 细的分析。各种技术的结合使用可以有效地防御恶 意代码。
多级安全（Ｍｕｌｔｉ Ｌｅｖｅｌ Ｓｅｃｕｒｉｔｖ．ＭＬＳ）是网络 等级保护的实质内容。ＭＬＳ要求一个通信设施能 够同时进行不同安全等级的数据通信，并且某安 全级别网络上的数据既要与较低安全级别网络进 行通信，同时也要与较高安全级别的网络进行通 信。因此，可互操作性的实现需要一个完善的ＭＬＳ 解决方案，要求对高可靠的硬件和软件进行集成。虽 然可编程密码的实现有望成为一种良好的解决办法， 但现在还没有真正的ＭＬＳ解决方案。目前等级保护 的方法是采用多个独立的安全级别ＭⅡ，Ｓ（Ｍｕｌ石Ｄｌｅ， Ｉｎｄｅｐｅｎｄｅｎｔ Ｓｅｃ嘶ｔｙ Ｌｅｖｅｌｓ）系统及组件。
二、边界防护机制
某个网络内部的用户可以通过网络连接、专线 连接或拨号连接来访问外部信息。访问方法有： Ｉｎｔｅｍｅｔ服务商（ＩＳＰ），综合业务数字网（ＩＳＤＮ）， 公共电话交换网（ＰＳＴＮ），Ｘ．２５包交换，宽带以及 有各种代理共同组成的因特网与企业网及主机。这 样一种涉及多访问级别问题的环境，边界保护非常 必要，只要网络相互连接，就要为保护网络边界上 的结点实施安全策略。
因此该网络面临的是复合型威胁，需要一个完 整的数据交换安全解决方案。通过建立一个数据交 换中心来解决该企业的数据交换安全问题。
数据交换中心主要由两台前置机和三台安全 系统串联构成。如图２所示。
其中各组成部分功能如下： ①内网访问控制系统：可以由应用层防火墙构 成。并具备详细的访问目志审计系统。其作用是通 过防火墙的严格策略控制，保证只有生产网的数据 库发起对外访问，并只能通过允许的数据库协议， 不允许从外部到内部的任何主动连接，最后将所有 访问过程记录日志。 ②内网前置机：安装数据库，并和生产网的数 据库中与业务网相关表进行同步。在该数据库上部
网络等级保护中的边界防护机制
·３７·
网络等级保护中的边界防护机制
杜皎 北京７２２７信箱４分箱
摘要：多级安全（ＭＬｓ）是网络等级保护的实质内容，目前却没有真正的ＭＬｓ解决方案。现
在等级保护的方法个独立的安全级别（ＭＩＬｓ）中，边界防护是最为重要的机制之一。本文较为全 面细致地论述了可以用于ＭＩＬＳ的各种边界防护机制，并提出一种综合的边界防护机制一一数据
网络等级保护中的边界防护机制
·３·
防火墙的优势在于：它集中考虑了集中化的 网络安全管理，成为网络安全决策的焦点；它是 唯一直接接近内部网络的部件，限制网络暴露。 防火墙的弊端也同样存在：它是边界上受攻击威 胁最大的点。
防火墙的主要技术手段有： ①访问控制及包过滤。这是防火墙的主要功 能，可以从ｏＳＩ的应用层代理到ＩＰ层进行全状态 检查，以限制外部目标访问内部网络和系统，也限 制内部用户与外部的连接，防止漏洞开放。 ②Ｉ＆Ａ（Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ａｎｄ Ａｕｍｅｎｔｉｃａｔｉｏｎ）。认 证是防火墙提供的另一个重要功能，需要访问内部 网络的外来用户必须通过认证，方法包括一次性密 码，基于时间的密码和挑战相应方案。 ③移动代码阻塞。提供对移动代码阻塞和移动 代码的密封罩。 ④加密。以加密方式通信，向防火墙发送数据 和接收来自防火墙的数据使用兼容的加密系统。典 型的实例是使用ＩＰＳｅｃ标准实施网络级加密。 其他技术手段包括审计、网络地址转换、防渗 透级第三方监视。 ３．远程访问 远程用户通过本文以上提到的各种通信方式 和其他传输方法访问他们的目标计算环境。为了对 抗远程访问给某个安全网络带来的威胁，主要采用 的技术有：
·３８·
全国计算机安全学术交流会论文集
另外，为某一级别安全网络提供远程访问的系统和 网络必须与该等级安全网络的安全策略一致，所支 持的远程访问也要求协议一致，得到网络边界的认 证，并确保大量的远程访问不会危及该安全网络， 远程访问将要求采用获得许可的技术进行认证；将 基础设施建立在多级安全策略上也是一个很好的 选择，有利于解决不同安全级别之间的互操作问 题。
交筷串心，通过各种机制的合作与联动达到等级保护的良好效果。该综合机制在实际应用中表现
良好。 关键词：等级防护 多级安全（ＭＬｓ） 多个独立的安全级别（ＭＩＬｓ） 边界防护机制
一、引言
随着下一代网络与通信设备的广泛采用，网络 等级保护越来越成为一个难题。传统的安全策略安 全对系统和不同安全级的数据进行严格的物理隔 离。但是，物理隔离显然违背了等级保护为不同等 级数据提供通信的初衷，并且随着ＳＤＲ（Ｓｏｆｔｗａｒｅ Ｄｅｓｉｇｎｅｄ Ｒａｄｉｏ）在各个领域中的应用，物理隔离已 经越来越难以实现。
护的环境中隔离不同的利益群体，在不同安全级 别的网络中提供逻辑的数据隔离。另外，通过适 当的工具和流程，审计日志也能够帮助检测安全 违规、性能问题、应用缺陷，并确保数据的完整 性。边界护卫的操作级别与安全性级别依赖与操 作系统，操作系统本身应该建立在一个可信的操 作平台上，并且有效利用现有操作系统提供的安 全机制和服务。
本文论述的边界防护主要采用的机制有：边界 护卫、防火墙、远程访问和网络监测。保护不同安 全级别网络最常使用的技术：数据隔离技术、认证 技术和数据处理、过滤与阻塞技术，都在这些安全 机制中得以瞳用。
１．边界护卫 边界护卫使得用户可以在不同安全等级网络 之间进行数据交换。通过提供运行在不同安全级别 的系统之间所要求的互连，边界护卫技术能够提供 跨越安全边界的桥接。边界护卫提供各种处理、过 滤和数据阻塞技术，以提供网络上数据净化（降级） 或隔离。边界护卫本身为高保障平台，可以运行某 些形式的可信操作系统和可信网络软件。它采用的 技术有： ①双重网络。边界护卫采用最多的是双重网络 的方法，对不同安全等级的网络进行物理分割。这 种边界护卫面向特定应用，信息进出边界要通过应 用层的双向过滤。边界护卫并发检测和净化多个任 何复杂的数据格式文件。根据规则的不同，边界护 卫控制多个ＬＡＮ系统之间的信息流。与防火墙协 同工作可以达到更高的保护级别。 ②认证技术。要求访问之前强制使用密码认证 机制，通信双方必须达到相互信任。信任方之间可 能存在安全级别的差异，安全护卫结合访问控制列 表或其他机制来做出访问决策，以决定哪些用户得 到授权发布专网信息，或限制较低安全级别用户得 到授权向较高安全级别网络发送信息。边界护卫检 查数据包的数字签名及用户标识和认证，根据这些 信息接受或拒绝进入网络的通信流。 ③保密性与完整性。完整性保护主要在服务器 或客户端数据进行数据处理（如ｈａｓｈ）来提供； 保密性通过数据的与加密以及服务器和客户机之 间的数据加／解密来完成。有些加密用在一个受保