7企业网络安全隔离

Internet Gateway
病毒利用email夾帶闖關 病毒利用email夾帶闖關 email ，順利滲透進入企業內 部網路
Mail Server
File Server
Client
国家对物理隔离的有关规定
《计算机信息系统国际联网保密管理规定》国家保密局 国保发（1999）10号 第六条 涉及国家秘密的计算机信息系统不得直接或间接地与国际 互联网或其他公共信息网相连接，必须实行物理隔离 《关于加强政府上网信息保密管理的通知》国家保密局 国保发（1999）4号 三、涉密信息网络必须与公共信息网实行物理隔离，在与公共信息 网相连的信息设备上不得存储、处理和传递国家秘密信息 《关于严禁用涉密计算机上国际互联网的通知》 中保委发（2003）4号 一、涉密计算机信息系统必须与互联网实行物理隔离，严禁用处理 国家秘密信息的计算机上互联网，违者严肃查处。 《中共中央办公厅 国务院办公厅关于转发<国家信息化领导小组关 于我 国电子政务建设指导意见>通知》 中办发（2002）17号 (一)建设和整合统一的电子政务网络。 电子政务网络由政务内网和政 务外网构成，两网之间物理隔离，政务外网与互联网之间逻辑隔离。
案例:税务报税网络隔 离
25
案例:税务报税网络隔离
26
信道物理隔离方法
传输线路物理隔离方法－对单布线
方
重新布第二套线 一条网线同时传输两套网络信号 在终端使用集线器增加接口数 采用网络线路选择器
法
优 缺 点
费用高，施工难度大周期长 物理隔离效果差，高速传输时不稳定 物理隔离效果一般，费用高 成本低，网络易于改造
TIPTOP 三网隔离卡
TM
功能：增加两个硬盘，使一台计 算机变成虚拟三台 切换方式：外置硬件开关 型号 TP-806
TIPTOP 单硬盘隔离卡
TM
功能：无需增加硬盘，通过将一个 硬盘进行物理分区，两个硬盘分区 分别安装两个独立的操作系统，独 立引导，一个分区工作时另外一个 分区不工作，两个分区分别对应内 外网。 切换方式：软件切换 TP-60X 型号
物理隔离与逻辑隔离
防火墙不是物理隔离产品。有防火墙的根本起因是不 同网络间既要保证需要的数据交换和相互访问，又要 防御恶意或非法的访问。而无论从包过滤技术还是从 代理技术来说，其关键的都在于使数据有选择的通过， 而不是彻底的把数据隔离。 物理隔离与防火墙功能互补，但不能相互代替。其安 全策略非常清楚，即：把需要保密的内部数据，进行 100%的保护，实行物理隔离；而对可公开的数据，则 交由防火墙去保护。
物理隔离网闸
10
什么是网闸—定义
什么是物理隔离网闸? 物理隔离网闸，是利用双主机形式， 从物理上来隔离阻断潜在攻击的连接， 其中包括一系列的阻断特征，如没有 通信连接，没有命令，没有协议，没 有TCP/IP连接，没有应用连接，没有 包转发，只有裸数据“摆渡”，对固 态介质只有读和写两个命令。其结果 是无法攻击，无法入侵，无法破坏
物理隔离的实现方法
终端物理隔离方法
方 法 优 缺 点
不符合物理隔离要求
使用一台电脑，通过开关切换不同的 网络 配置两台电脑，分别联接内网和外网 采用防火墙或代理服务器技术 采用专用隔离计算机 采用物理隔离卡
成本高且网络构造复杂，不易升级 不符合物理隔离要求 成本高，机器不稳定，不易升级 成本低，网络改造容易
服务器端物理隔离技术
★ 服务器隔离产品是一种新型的网络安全产品，应用于重 服务器隔离产品是一种新型的网络安全产品，
要服务器和关键子网的入口处， 要服务器和关键子网的入口处，在保持内外网络物理隔离的 同时，进行适度的、可控的内外网络数据交换， 同时，进行适度的、可控的内外网络数据交换，提供比防火 墙级别更高的安全保护，属于准物理隔离。 墙级别更高的安全保护，属于准物理隔离。
企业网络安全隔离
通过子网掩码划分子网 网络隔离
通过子网掩码划分子网
2
计算机网络物理隔离技术
3
安全隐患－ 安全隐患－黑客攻击
– Internet具有巨大的优势，但是当你计划同 Internet相联时，安全应是首要关心的问题。 – 网络入侵者的活动很难预测、发现和修正。 – 由于网络遭到破坏所导致时间、财政和声誉的 损失是难以估量的。（如银行系统） – 1996年在GAO向美国国会提交的报告中
物理隔离的含义
物理隔离－指内部网不得直接或间接国际连网
物理传导 确保外部网不能通过网络连接而侵入内部网； 防止内部网信息通过网络连接泄漏到外部网。 物理存储 对磁带机、硬盘等存储设备，内网与外网信息分开存储； 对内存、处理器等暂存部件，转换网络时作清除处理， 防止残留信息串网； 严格限制可移动介质的使用，光盘、软盘等。 物理辐射 内部网信息不会通过电磁辐射或耦合方式泄漏到外部网。
产品应用－ 产品应用－物理隔离技术在安全技术体系中的定位
信息安全保障体系：PDRR模型
Protection 保护 Detection检测 Reaction 反应 Restore恢复 保护 信息保障 反应 恢复 检测
物理隔离是一种保护手段
√
划分了一个非常明确的安全边界， 增强了网络的可控性 非常高的安全强度，物理隔离是防范入侵系 统、拒绝服务等网络攻击简单而有效的办法 适度的防范原则，10％的保护措施可以防范 80％的安全威胁
认识产品
外置开关切换 TP80X系列隔离卡
认识产品
软切换方式 TP90X 系列隔离卡
启动选择界面
切换选择界面
认识产品
TIPTOP 网络线路选择器
TM
其主要功能是：使单布线系统变成虚拟双布线系统 型号 LS－8 － LS－24 －
产品应用－ 产品应用－TIPTOP物理隔离解决方案之一 物理隔离解决方案之一 单机拨号上网） （单机拨号上网）
产品应用－ 物理隔离解决方案之三（ 产品应用－TIPTOP物理隔离解决方案之三（单布线） 物理隔离解决方案之三 单布线）
internet
内网涉密 服务器
内网HUB
外网HUB
外网服 务器
网络线路选择器
连接内 网硬盘
隔离卡 连接外 网硬盘
连接内 网硬盘
隔离卡 连接外 网硬盘
连接内 网硬盘
隔离卡 连接外 网硬盘
物理隔离的技术路线
网络开关（Network Switcher） 实时交换（Real-time Switch） 单向连接（One Way Link）
13
网闸的原理
存储介质 外网 内网
控制台
14
网闸的原理
存储介质 外网 内网
控制台
15
网闸的原理
存储介质 外网 内网
控制台
16
网闸的原理
存储介质 外网 内网
产品应用－ 物理隔离解决方案之五（ 产品应用－TIPTOP物理隔离解决方案之五（内网之间隔离） 物理隔离解决方案之五 内网之间隔离）
内网1涉 密服务器
内网2涉 密服务器
内网1HUB
内网2HUB
......
......
连接内 隔离卡 连接内 网1硬盘 网2硬盘
连接内 隔离卡 连接内 连接内 隔离卡 连接内 网1硬盘 网2硬盘 网1硬盘 网2硬盘
internet
Modem
涉密硬盘
隔离卡
连接外网硬盘
产品应用－ 产品应用－TIPTOP物理隔离解决方案之二 物理隔离解决方案之二 内部局域网，外网拨号上网） （内部局域网，外网拨号上网）
百度文库
内网涉密 服务器
internet
内网HUB
Modem 连接互连 网的用户 不连接互连 网的用户 涉密 硬盘 隔离卡 连接外 网硬盘
控制台
17
网闸的原理
存储介质 外网 内网
控制台
18
网闸的原理
存储介质 外网 内网
控制台
19
网闸的原理
存储介质 外网 内网
控制台
20
中网网闸的照片
装配形式: 2台主机加上一条SCSI开关线,全部由螺钉铆上,可以 由用户拆卸、验证。
21
暂住人口及网吧管理
22
移动警务
23
110接警指挥系统
24
产品应用－ 物理隔离解决方案之五（ 产品应用－TIPTOP物理隔离解决方案之五（三网物理隔离） 物理隔离解决方案之五 三网物理隔离）
TIPTOP 网络切换器
—- 弱物理隔离解决方案
TIPTOP网络切换器 —弱物理隔离解决方案 网络切换器 弱物理隔离解决方案
应用环境
教育、金融、电力等涉密程度不高但安全要求很高的部门 通常利用内外两条网线将内外网服务器和线路分开，以实现基 本的物理隔离。当要访问内外网，需要手动插拔网线、手动转 换IP地址且重新启动系统，这样操作起来非常麻烦。 使用TIPTOP网络切换器仅利用一根网线就可完成两个网 络间的物理切换。 如果您想从内网进入外网，只需简单地点 击Windows上的内外网转换按钮，就可自动完成内外网线和IP 地址的转换，不需要重新启动系统。
★ 此类产品通常集成了安全操作系统、入侵监测、病毒查 此类产品通常集成了安全操作系统、入侵监测、
身份认证、访问控制等多种安全检查措施， 杀、身份认证、访问控制等多种安全检查措施，用软硬件一 体化的安全机制转发内外网之间的数据， 体化的安全机制转发内外网之间的数据，对需要传输的数据 类型、内容等，都进行严格的检查和过滤， 类型、内容等，都进行严格的检查和过滤，从而解决了隔离 网络间信息安全交流的问题。 网络间信息安全交流的问题。
TIPTOP 内外网数据安全交换系统
——一种安全的“信息渡船”解决方 一种安全的“信息渡船” 一种安全的 案
物理隔离环境下实现数据交换的方法
信息“渡船”
同一时间只与一端相连，确保内外网之间没有实时 连接。
终端无需安装隔离卡！
TIPTOP网络切换器工作示意图 网络切换器工作示意图
TIPTOP网络切换器 产品特点 网络切换器—产品特点 网络切换器
产品特点及功能
易于操作，只需要轻轻点击内外网切换图标，就 可完成内外网之间的转换。 无需重新启动系统，IP切换软件就可自动更改网 络配置。 当一个网络处于工作状态时，另一个网络则处于 关闭状态。 支持Microsoft Windows 9x/2000/ME/NT。 支持所有通讯协议。 不降低网络性能。
借助Internet基于DISA企图进入军队和国防系统 的入侵活动有38,000次。
• 65％成功进入 • 在这些成功的入侵中仅有4％被发现（988） • 在被发现的入侵中只有27％被报告（267）
安全隐患－ 安全隐患－ 病毒輕易滲透防火牆入侵內部網路
Internet
Firewall
現今email病毒都具有 現今email病毒都具有 email 利用電子郵件系統自動 快速散播的特性， 快速散播的特性，迅速 造成慘痛災情
11
对物理隔离的理解表现为以下几 点：
1、阻断网络的直接连接，即没有两个网络同时连在隔离设 备上； 2、阻断网络的互联网逻辑连接，即TCP/IP的协议必需被剥 离，将原始数据通过P2P的非TCP/IP连接协议透过隔离设备 传递； 3、离设备的传输机制具有不可编程的特性，因此不具有感 染的特性； 4、任何数据都是通过两级移动代理的方式来完成，两级移 动代理之间是物理隔离的； 5、隔离设备具有审查的功能； 6、隔离设备传输的原始数据，不具有攻击或对网络安全有 害的特性。就像txt文本不会有病毒一样，也不会执行命令 等。 12 7、强大的管理和控制功能。
产品应用－ 物理隔离解决方案之六（ 产品应用－TIPTOP物理隔离解决方案之六（内部子网） 物理隔离解决方案之六 内部子网）
内网终端
内网HUB 内网终端 内网服 务器
......
隔离卡 隔离卡 连接子 连接内 网硬盘 网硬盘 隔离卡 连接内 网硬盘 连接子 网硬盘 连接内 网硬盘 连接子 网硬盘
子网涉密 服务器 子网HUB
产品应用－ 物理隔离解决方案之四（ 产品应用－TIPTOP物理隔离解决方案之四（双布线） 物理隔离解决方案之四 双布线）
internet
内网涉密 服务器
内网HUB
外网HUB
外网服 务器
......
......
连接内 网硬盘
隔离卡 连接外 网硬盘
连接内 网硬盘
隔离卡 连接外 网硬盘
连接内 网硬盘
隔离卡 连接外 网硬盘
√
√
TIPTOP 网络安全隔离卡
TM
功能：增加一个硬盘，使一台计算机 变成虚拟两台 切换方式：外置硬件开关 型号 TP-801 TP-802 TP-803
切换方式：钥匙切换 型号 TP-801K
TIPTOP 网络安全隔离卡
TM
功能：增加一个硬盘，使一台计算机 变成虚拟两台 切换方式：软件开关（鼠标切换） 型号 TP-901 TP-902 TP-903