安全规划设计-网络安全隔离

数据隔离交换过程（详细描述） 数据隔离交换过程（详细描述）
4 3 2
5
1
6 7 8
10 9
1.内网主机系统获取数据，进行协议分离，安全检测，形成任务队列，供通讯交换 2.隔离交换模块断开彼此连接，连接内外网主机系统，内网主机系统写数据到交换缓冲区 3.隔离交换模块断开内外网主机系统，彼此连接，进行通讯协商，完成数据交换 4.隔离交换模块断开彼此连接，连接内外网主机系统，外网主机系统从交换缓存读取数据 5.外网主机系统获取数据，进行数据重组，安全检测，与外网主机建立连接 6.6~10从外网往内网交换数据，工作流程相同1~5
隔离交换过程
• 通过交换芯片的开关控制子系统，加速隔离交换卡首先 通过交换芯片的开关控制子系统， 断开彼此之间的物理连接，分别通过ASIC芯片连接内外 断开彼此之间的物理连接，分别通过 芯片连接内外 网主机系统，内外网主机系统通过ASIC芯片将数据块封 网主机系统，内外网主机系统通过 芯片将数据块封 装为自有协议格式写入交换芯片的交换子系统和/或通过 装为自有协议格式写入交换芯片的交换子系统和 或通过 ASIC芯片读出交换子系统缓存将自有协议格式数据拆封 芯片读出交换子系统缓存将自有协议格式数据拆封 为数据块，完成一次摆渡； 为数据块，完成一次摆渡； • 然后加速隔离交换卡通过开关控制子系统断开与内外网 主机系统的连接，彼此之间建立连接，自动进行协商， 主机系统的连接，彼此之间建立连接，自动进行协商， 实现数据交换，完成二次摆渡。 实现数据交换，完成二次摆渡。
物理隔离应用判断
• 安全隔离网闸已广泛应用于政府、军队、金融、交通、能源 安全隔离网闸已广泛应用于政府、军队、金融、交通、 等单位的网络。在既要保证内部网的绝对安全， 等单位的网络。在既要保证内部网的绝对安全，又要内外部 网络进行数据交换时，使用安全隔离网闸是最佳解决方案。 网络进行数据交换时，使用安全隔离网闸是最佳解决方案。 • 判断原则一：两个网络如直接连接时客户会有很强的安全顾 判断原则一： 认为用防火墙隔离不安全， 虑，认为用防火墙隔离不安全，但由于实时性传输应用要求 不得不互联时，唯一的选择就是网闸。 不得不互联时，唯一的选择就是网闸。 • 判断原则二：如果某个政府机构和敏感企业的核心业务网要 判断原则二： 与其它网络（如国际互联网、其它相关部门的网络） 与其它网络（如国际互联网、其它相关部门的网络）之间需 要进行信息交换，那么这个客户就是我们的目标客户。 要进行信息交换，那么这个客户就是我们的目标客户。
外网主机系统
内网主机系统
通用协议 数据包
非可信网络
可信网络
安全隔离网闸产品定位
• 安全隔离网闸的指导思想与防火墙有很大的不 安全隔离网闸的指导思想与防火墙有很大的不 同：防火墙的思路是在保障互联互通的前提下 尽可能安全， 安全隔离网闸的思路是在保 ，尽可能安全，而安全隔离网闸的思路是在保 证必须安全的前提下，尽可能互联互通。 证必须安全的前提下，尽可能互联互通。
• 通过这种双摆渡技术，内外网络永远不会直接连接，由 通过这种双摆渡技术，内外网络永远不会直接连接， 于采用专门设计的硬件加速隔离交换卡进行数据交换， 于采用专门设计的硬件加速隔离交换卡进行数据交换， 没有任何管理接口，因此， 没有任何管理接口，因此，内外网主机系统之间无法进 行基于网络协议的数据交换， 行基于网络协议的数据交换，从而从硬件层面保证了内 外网主机系统之间的安全隔离。 外网主机系统之间的安全隔离。 • 隔离交换矩阵基于LeadASIC专用芯片技术及相应的时分 隔离交换矩阵基于LeadASIC专用芯片技术及相应的时分 多路隔离交换逻辑电路，不受主机系统控制， 多路隔离交换逻辑电路，不受主机系统控制，独立完成 应用数据的封包、摆渡、拆包，从而实现内外网之间的 应用数据的封包、摆渡、拆包， 数据隔离交换。 数据隔离交换。 • 基于VSP的高效协议处理和 基于 的高效协议处理和LeadASIC芯片的多路固化数 芯片的多路固化数 的高效协议处理和 据通道技术， 据通道技术，分别解决了安全隔离网闸进行数据过滤和 摆渡时性能低的业内难题， 摆渡时性能低的业内难题，从而满足了用户对高性能安 全隔离网闸的需求。 全隔离网闸的需求。
国家保密局限定的安全隔离使用环境
需要使用网闸等物理隔离的环境
谁帮我！ 谁帮我！ 必须连！ 必须连！
• 两个要连接的网络原本不连接 • 由于实时性数据传输应用要求，网络之间必须连续 由于实时性数据传输应用要求， • 使用防火墙 使用防火墙/UTM等安全网关设备无法满足安全隔 等安全网关设备无法满足安全隔 离需求
网闸实物示例
网御神州网闸
管理口 HA口 口 网络口1 网络口 网络口2 网络口
外网 串口可以对网闸部分 功能进行管理； 功能进行管理； usb口为安装人员调 口为安装人员调 试使用 内网 管理口 HA口 口 网络口2 网络口 网络口1 网络口
安全隔离网闸文件交换过程
外网主机 NFS SAMBA FTP
安全规划设计-网络安全 安全规划设计 网络安全 隔离
蓝盾信息安全技术股份有限公司
毛丹 2012.03.第四周 第四周
1 2 3
信息系统物理隔离简介
网闸原理简介
相关品牌产品介绍
1.信息系统物理隔离 1.信息系统物理隔离
应对网络安全漏洞需求
中共中央办公厅第十七号文件规定 “电子政 务网络由政务内网和政务外网构成， 务网络由政务内网和政务外网构成，两网之间物 理隔离，政务外网与互联网之间逻辑隔离。 理隔离，政务外网与互联网之间逻辑隔离。” 国家保密局制定的《 国家保密局制定的《计算机信息系统国际联网 保密管理规定》中第六条规定： 保密管理规定》中第六条规定：“涉及国家秘密 的计算机信息系统， 的计算机信息系统，不得直接或间接地与国际互 联网或其他公共信息相连接， 联网或其他公共信息相连接，必须实行物理隔 离”。 一些组织根据自身业务的特点， 一些组织根据自身业务的特点，在有不同安全 需求的网络之间也采取了物理隔离的措施。 需求的网络之间也采取了物理隔离的措施。
内网主机系统
非可信网络
可信网络
数据隔离交换过程③ 数据隔离交换过程③
联想网御安全隔离网闸 外网隔离交换模块 交换芯片
交换子系统 开关控制子系统
内网隔离交换模块 交换芯片
自有协议 交换子系统 数据包
开关控制子系统
ASIC芯片 Leadsec ASIC芯片
ASIC芯片 Leadsec ASIC芯片
数据块 数据块
物理隔离带来的问题
物理隔离使得正常的信息交流被阻断了。 物理隔离使得正常的信息交流被阻断了。 部分重要的与业务相关的数据需要在涉密网 络和非涉密网络间交换， 络和非涉密网络间交换，但由于物理隔离无法实 现。 物理隔离也成为电子政务、 物理隔离也成为电子政务、电子商务的数据 传输应用的瓶颈。 传输应用的瓶颈。
病毒 格式 内容
内网主机 NFS
格式 内容
SAMBA FTP
病毒
隔离交换模块
“2+1”系统架构 系统架构
系统简介
• 系统硬件平台由内网主机系统、外网主机系统、 系统硬件平台由内网主机系统、外网主机系统、 隔离交换矩阵三部分组成； 隔离交换矩阵三部分组成； • 内网 外网主机系统分别具有独立的运算单元和存 内网/外网主机系统分别具有独立的运算单元和存 储单元，并以相关安全平台作为系统支撑； 储单元，并以相关安全平台作为系统支撑； • 隔离交换矩阵由两个隔离交换模块组成； 隔离交换矩阵由两个隔离交换模块组成； • 隔离交换模块插在主机系统的 隔离交换模块插在主机系统的PCI插槽，模块间 插槽， 插槽 采用数据排线互联。 采用数据排线互联。
• 安全隔离网闸的优势在于它通过在不可信网络 牺牲自己来积极有效地应对攻击， 牺牲自己来积极有效地应对攻击，以充分保护 可信网络避免受到基于操作系统和网络的各种 攻击 。
交 讨论！ 讨论！
数据隔离交换过程① 数据隔离交换过程①
联想网御安全隔离网闸 外网隔离交换模块 交换芯片
交换子系统 开关控制子系统 交换子系统 开关控制子系统
内网隔离交换模块 交换芯片
自有协议 数据包
ASIC芯片 Leadsec ASIC芯片
数据块 数据块
ASIC芯片 Leadsec ASIC芯片
外网主机系统
通用协议 数据包
物理隔离方法
人工拷贝
A网
数 据
B网
数 据
优点
保持了网络间物理隔离的特性， 保持了网络间物理隔离的特性，有效防止了对涉 密网络的直接网络攻击
缺点
– 延时长 – 速度慢 – 能够满足的应用过于单一 – 可靠性低 – 在防病毒、内容过滤等方面效果较差 在防病毒、 – 人工操作风险高
网闸定义
什么是网络安全隔离系统? 什么是网络安全隔离系统 网络安全隔离系统，简称网闸。 网络安全隔离系统，简称网闸。 主要安装部署在涉密和非涉密的网 络之间， 络之间，实现物理隔离网络之间的 所必需的业务的通信
产品Βιβλιοθήκη Baidu理
• 原理概述
安全隔离与信息交换系统采用多主机隔离结构。内外网模块连接 安全隔离与信息交换系统采用多主机隔离结构。 相应网络实现数据的接收及预处理等操作。 相应网络实现数据的接收及预处理等操作。 交换模块采用专用的硬件设计，通过专有信道， 交换模块采用专用的硬件设计，通过专有信道，采用非网络协 议实现与内外网模块的数据交换， 议实现与内外网模块的数据交换，保证任意时刻内外网间没有链路 层连接。 层连接。数据只能以专用数据块方式静态地在内外网间通过网闸进 摆渡” 传送到网闸另一侧。 行“摆渡”，传送到网闸另一侧。 同时通常的安全隔离与信息交换系统还集成了多种安全技术手 采用强制安全策略，对数据内容进行安全检测， 段，采用强制安全策略，对数据内容进行安全检测，保障数据安全 可靠的交换。 、可靠的交换。
内网主机系统
非可信网络
可信网络
数据隔离交换过程② 数据隔离交换过程②
联想网御安全隔离网闸 外网隔离交换模块 交换芯片
自有协议 交换子系统 数据包
开关控制子系统 交换子系统 开关控制子系统
内网隔离交换模块 交换芯片
ASIC芯片 Leadsec ASIC芯片
ASIC芯片 Leadsec ASIC芯片
外网主机系统