论坛公告:应用容器安全指南(SP800-190)中文版   美国政府宣布禁用卡巴斯基软件   《中华人民共和国网络安全法》讨论帖   新手报到专用帖   【论坛公告】关于本站广告贴泛滥问题的整理通知   

当前时区为 UTC + 8 小时


发表新帖 回复这个主题  [ 22 篇帖子 ]  前往页数 1, 2  下一页
作者 内容
 文章标题 : 请教 关于物理隔离设备
帖子发表于 : 2008-11-03 10:38 
离线
初级用户

注册: 2008-09-10 14:42
最近: 2014-03-27 10:19
拥有: 226.70 安全币

奖励: 6 安全币
在线: 940 点
帖子: 32
最近在学习物理隔离,有一点不太明白,请教一下。
1.如果网络边界只部署了物理隔离网闸,此时,要内网通过浏览器访问外网威web站点,是不是不可以?

2.上面情况下,是不是需要在内网和外网,分别假设web代理服务器,才可以实现访问?

3.同理,如果是内网和外网其他数据交换的应用,是不是架设对应应用的代理服务器既可以了?

4.如果把物理隔离转换成逻辑隔离,能有什么办法呢?我目前想到的是防火墙。可是加入是高安全性的隔离,比如军队网络和Internet,仅仅防火墙是不是太脆弱了?

谢谢!!!


--------本帖迄今已累计获得2安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
 文章标题 :
帖子发表于 : 2008-11-03 10:51 
离线
超级用户

注册: 2008-09-01 12:50
最近: 2013-04-28 13:28
拥有: 1,314.20 安全币

奖励: 587 安全币
在线: 1742 点
帖子: 400
只是在交换内外网数据的时候,不是经由TCP/IP协议转发,是通过网闸自己的协议在内端机和外端机之间进行了传输


--------本帖迄今已累计获得25安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
 文章标题 :
帖子发表于 : 2008-11-03 10:57 
离线
中级用户

注册: 2007-11-13 19:41
最近: 2014-02-14 14:29
拥有: 417.60 安全币

奖励: 46 安全币
在线: 1250 点
帖子: 68
实行物理隔离的网络,一般安全保护级别都是极高的。一旦实施物理隔离的网络在就是彻底隔离,任何形式的转换必然回导致安全级别的降低。
如果想楼主说的军网和Internet是是决定不能任何网络设备相接的。理论上包括网闸。军网想看新浪,一般靠大规模数据存储加严格的管理制度实行,先将新浪下来,在严格检查,再将检查的内容转移到军网中的服务器上。
按照安全级别递减,物理隔绝>网闸>防火墙。
简单的讲 物理隔绝 完全不联网
网闸 隔离实时连接
防火墙 连接筛选隔离


--------本帖迄今已累计获得54安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
 文章标题 :
帖子发表于 : 2008-12-07 05:04 
离线
版主

注册: 2008-09-01 08:52
最近: 2017-06-11 10:30
拥有: 24,773.80 安全币

奖励: 15810 安全币
在线: 13686 点
帖子: 1236
地址: 福建/浙江
如楼上所说。
如果军网和internet用网闸、代理或防火墙,准备去军事法庭,并至少和相关的人一起蹲几年吧。

又是厂家宣称是网闸物理隔离设备的受害者。不只是理论上,目前国家目前只承认网闸是逻辑隔离设备,并不得用于涉密网和INTERNET的连接。

个人觉得应该整顿网闸的市场,任何宣称用于物理隔离用途的网闸产品应该吊销其许可,并通报。

顺便查了一下: 保密测评中心认证的 xx安全隔离与信息交换系统xxxx,在厂家网页上会变成 xx物理隔离网闸xxxx。这类事情在中国是很奇怪的又是常见的现象。

如果要允许,也只有政策重新定位了再允许。


截取一段厂家说明分析(声明,网上随意搜索的,并无特意攻击哪个厂家的意图,大家的说明都差不了哪里去):
真正的物理隔离

  XX物理隔离网闸真正实现了两个网络之间的物理隔离。物理隔离网闸中断了两个网络之间的直接连接[注:物理隔离要求中,还有“或间接连接”被去掉了],所有的数据交换必须通过物理隔离网闸,网闸从网络层的第七层将数据还原为原始数据(文件),然后以"摆渡文件"的形式来传递数据。没有包,命令和TCP/IP协议可以穿透物理隔离网闸。这同透明桥,混杂模式,IP over USB,以及通过开关方式来转发包,有本质的区别,真正实现了物理隔离。 ......
xx物理隔离网闸通过采用主机的CPU时钟作为开关,将开关功能在系统的内核中实现,成功的达到网闸的最高性能,优于常见的三种开关技术。内核的效率要远远高于外设的效率。[注:计算机都是二进制的,是不是都是可以用这样的开关来描述,也变成所有的逻辑隔离设备都可以称为物理隔离设备了?]
......
物理隔离机制要求剥离所有的TCP/IP协议(Protocol),以防止来自协议的攻击。从IP协议开始,到TCP协议,以一个会话(Session)为单元,到第七层应用层(Application),最后还原成为可以存储的文件格式,以便通过低级物理介质"摆渡"数据。[注:物理隔离机制要求剥离什么吗?没看过这样的定义,物理隔离应该是原则上不允许任何数据交换]
......
应用场合

高安全性接入访问服务

  对哪些因为安全原因要求限制接入互联网的单位和部门,可以采用xx物理隔离网闸来提供接入服务。内部用户可以访问互联网,互联网无法入侵和攻击内部网络。提供的服务包括web站点访问,电子邮件收发,文件下载等服务。
[注:这和防火墙有多大差别?]

模拟一个攻击场景:在xx网站上挂了一个最新未被识别的jpg病毒,被内网用户浏览,或由邮件发送一个未被识别的类似的病毒。该病毒被设计为向外发送我的文档中的文件。


--------本帖迄今已累计获得43安全币用户奖励--------


最后由 walk0r 编辑于 2008-12-07 16:10,总共编辑了 1 次

回到顶部
 奖励本帖 用户资料  
 
 文章标题 :
帖子发表于 : 2008-12-07 10:06 
离线
超级用户

注册: 2008-09-01 12:50
最近: 2013-04-28 13:28
拥有: 1,314.20 安全币

奖励: 587 安全币
在线: 1742 点
帖子: 400
楼上说的好,我至今也没搞明白,凭啥网闸敢宣称是物理隔离的!!!哈哈


--------本帖迄今已累计获得2安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
 文章标题 :
帖子发表于 : 2008-12-07 14:11 
离线
版主

关注按钮

注册: 2004-08-03 11:20
最近: 2018-02-22 15:26
拥有: 24,476.80 安全币

奖励: 24049 安全币
在线: 13043 点
帖子: 1844
地址: 北京
我还是想问 那物理隔离 就是物理隔绝 还是有什么设备机制能够在满足物理隔离要求的情况下实现互联互通?


--------本帖迄今已累计获得2安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
 文章标题 :
帖子发表于 : 2008-12-07 15:07 
离线
版主

关注按钮

注册: 2008-05-16 23:34
最近: 2012-05-18 18:41
拥有: 10,303.40 安全币

奖励: 12822 安全币
在线: 9152 点
帖子: 490
“涉及国家秘密的计算机信息系统,不得直接或间接地与国际互联网或其他公共信息网络相联接,必须实行物理隔离。”《计算机信息系统国际联网保密管理规定》,2000年1月1日正式实施。
因此,电子政务涉密信息系统不得直接或间接与国际联网,应与国际互联网或其他公共信息网络实行物理隔离;电子政务非涉密信息系统应与国际互联网或其他公共信息网络采取必要的逻辑隔离措施 。
目前,国家认可的涉密系统中物理隔离方案有用户终端隔离方案和远程传输隔离方案。
用户终端隔离方案:
“双布线双用户终端”和“双布线单用户终端”两种方案。其中“双布线双用户终端”即涉密和非涉密使用不同的网络和终端,物理上完全隔断;而“双布线单用户终端”则在一定的限定条件下可共享终端,目前国家保密局认可的“双布线单用户终端”物理隔离解决方案主要有:(1) 双主板、双硬盘;(2)单主板、双硬盘;(3)单主板、单硬盘。
远程传输隔离方案:
(1)在采取密码保护措施的情况下,涉密数据远程传输目前可以使用独立铺设线路和交换设备,以及使用永久虚拟电路(PVC)两种交换方式。
(2)在使用独立铺设的线路或使用基于复用技术的线路能够达到独享时隙或频段(如DDN、X.25、帧中继、ATM、SDH等)时,可以使用VPN技术和IP密码机构建涉密信息系统 。
因此,涉密系统中使用“安全隔离与信息交换系统”和“安全隔离与信息单向导入系统”都是属于特定限制条件下的互联互通,不属于真正意义上的物理隔离。


--------本帖迄今已累计获得33安全币用户奖励--------


最后由 Janrry 编辑于 2008-12-07 15:56,总共编辑了 1 次

回到顶部
 奖励本帖 用户资料  
 
 文章标题 :
帖子发表于 : 2008-12-07 15:52 
离线
版主

注册: 2008-09-01 08:52
最近: 2017-06-11 10:30
拥有: 24,773.80 安全币

奖励: 15810 安全币
在线: 13686 点
帖子: 1236
地址: 福建/浙江
目前,就我所知,没有关于可通的国家认可的设备。


只在涉密系统中规定,在遵循低密可向高密的原则。正如3楼所说的,应该在严格的检查、审核基础上进行。

除非国家保密局对此做出另外的规定。

另外,实际上,对网闸的适用范围,国家保密局已经做了明确的规定。

即使这样的情况,当前网闸所使用的技术的有效性,关于GAP处理部分,并未被业界所广泛认同。而其他部分技术,与GAP无关。个人也未听说过在发达国家中明确网闸列为标准的高级别防护设备。就安全技术而言,如果一项技术被认可,应该是会在国际安全界得到广泛的一致的。而围绕非核心技术的外围扩展,造成系统的复杂,甚至有可能降低安全性。

以上模拟攻击场景,已经可以清晰看到这样的网闸存在的安全隐患。网闸技术,个人也没有听说有什么安全权威参与技术支撑。就连一个说明说也写得漏洞百出的产品,实在难让安全界的人信任其可以作为安全产品的存在。

举例说测试过的一家通过认证的网闸产品的实例:针对源地址的策略,是不分内外接口的,也即如果策略是通行的,外网IP有可能被认为是内外的IP被放行。且产品日志简单,几乎起不到审计作用。

以前有传,网闸将不再发许可证的说法,但似乎现在还在更新。个人觉得,网闸这样的产品,应该从涉密产品列表中予以清除或在功能上予以简化(如,用于指定有限文件类型的单向定时传递)。

以前有人质疑国内的安全产品认证,是产品功能性认证,忽略安全,我觉得是有道理的。包括标准的适用性和时效,行政文件依据过期等,也多存在问题。



chinadoors 写道:
我还是想问 那物理隔离 就是物理隔绝 还是有什么设备机制能够在满足物理隔离要求的情况下实现互联互通?


--------本帖迄今已累计获得51安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
 文章标题 :
帖子发表于 : 2008-12-07 20:27 
离线
版主

关注按钮

注册: 2008-05-16 23:34
最近: 2012-05-18 18:41
拥有: 10,303.40 安全币

奖励: 12822 安全币
在线: 9152 点
帖子: 490
walk0r 写道:
如楼上所说。
模拟一个攻击场景:在xx网站上挂了一个最新未被识别的jpg病毒,被内网用户浏览,或由邮件发送一个未被识别的类似的病毒。该病毒被设计为向外发送我的文档中的文件。

对于这种模拟攻击,在高安全的涉密信息系统的隔离方案中,配置正确的隔离网关应该是能够防范这种主动木马程序的。
不妨假定内网是高密级的信息网络,外网是低密级的信息网络,隔离网关的重点是防止来自外部的攻击和内部有意或无意的信息泄露,因此,在策略配置上:
1)将隔离网关配置为严格单向控制,即仅允许内部高密级网络主动去访问低密级网络的信息,而不允许外部低密级网络去访问内网高密级网络的信息;
2)对于每一个内网的主机,严格控制能够访问的外部资源或服务,除去允许的以外,一律禁止;
3)对于每一次访问,进行内容检查,检查会话所传递的内容是否是否合法;
4)对于每一个允许的访问策略,辅以严格的身份认证机制。高安全环境下,可以要求采用基于会话的身份鉴别技术,即每一个新发起的连接都要求提供身份鉴别信息。对于刚才的模拟攻击,即使这种主动木马被种植在内网的主机上,那么其在发起一个主动连接,向外部网络发送我的文档中的文件时,身份鉴别程序会主动要求提供身份鉴别信息,这时使用者可以根据发起连接的源端口号锁定发起连接的程序,从而确定这个程序是否为用户主动发起的,如果不是,则可以不提供身份鉴别信息,从而达到阻断这个连接的效果。

当然这种高安全配置会使使用相对比较麻烦,但可以从一定程度上确保内网信息的安全性。


--------本帖迄今已累计获得32安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
 文章标题 :
帖子发表于 : 2008-12-08 09:29 
离线
版主

注册: 2008-09-01 08:52
最近: 2017-06-11 10:30
拥有: 24,773.80 安全币

奖励: 15810 安全币
在线: 13686 点
帖子: 1236
地址: 福建/浙江
Janrry存在诸多潜在的安全问题,关于身份鉴别部分,已经不是GAP技术的范畴。其中的相关的描述,如果和防火墙技术相结合,均是可能有效的。
关于1)内部高密级网络主动去访问低密级网络的信息的情况。即由上术网闸功能HTTP为例,发起人需要携带数据的(URL, GET/POST xxxx),后门的制作,可以将内部数据插入到IE浏览的get,post数据中。于是就会产生数据外泄的情况。产生误解的原因,应该是将以TCP/IP发起状态的方向,当成所有信息的流向所致。
包括象jpg这样的数据文件,依然有可能在利用漏洞的情况下,变成可执行的。
2)在前述产品说明中,完全让人误解潜在这样的不安全因素:外部资源不需要控制,由于GAP的采用不能泄漏信息。
也许可以这样说网闸采用最不安全的因素、和最可怕的是,产品制造者自己没有能力知道或甚至隐藏了不安全因素,而告诉你这样做是安全的。

3)内容检查,不可能做到万无一失。实际上,泄密的自动检查通常情况下是几乎不可实现的。不然就不需要物理隔离措施了。

4)已经说明。
Janrry所说的,提升安全性的手段,几乎所有均不是GAP带来的结果。就网关技术而言,防火墙技术比网闸要成熟很多。

但是,在非物理隔离环境的情况下,使用这些技术或策略,是有利的。

当前主流技术中,如CHECKPOINT、SYMANTEC均有将网关和端点安全防护做关联的考虑,国内也有这样的尝试。但是,目前依然未达到完善的程度。


Janrry 写道:
walk0r 写道:
如楼上所说。
模拟一个攻击场景:在xx网站上挂了一个最新未被识别的jpg病毒,被内网用户浏览,或由邮件发送一个未被识别的类似的病毒。该病毒被设计为向外发送我的文档中的文件。

对于这种模拟攻击,在高安全的涉密信息系统的隔离方案中,配置正确的隔离网关应该是能够防范这种主动木马程序的。
不妨假定内网是高密级的信息网络,外网是低密级的信息网络,隔离网关的重点是防止来自外部的攻击和内部有意或无意的信息泄露,因此,在策略配置上:
1)将隔离网关配置为严格单向控制,即仅允许内部高密级网络主动去访问低密级网络的信息,而不允许外部低密级网络去访问内网高密级网络的信息;
2)对于每一个内网的主机,严格控制能够访问的外部资源或服务,除去允许的以外,一律禁止;
3)对于每一次访问,进行内容检查,检查会话所传递的内容是否是否合法;
4)对于每一个允许的访问策略,辅以严格的身份认证机制。高安全环境下,可以要求采用基于会话的身份鉴别技术,即每一个新发起的连接都要求提供身份鉴别信息。对于刚才的模拟攻击,即使这种主动木马被种植在内网的主机上,那么其在发起一个主动连接,向外部网络发送我的文档中的文件时,身份鉴别程序会主动要求提供身份鉴别信息,这时使用者可以根据发起连接的源端口号锁定发起连接的程序,从而确定这个程序是否为用户主动发起的,如果不是,则可以不提供身份鉴别信息,从而达到阻断这个连接的效果。

当然这种高安全配置会使使用相对比较麻烦,但可以从一定程度上确保内网信息的安全性。


--------本帖迄今已累计获得32安全币用户奖励--------


最后由 walk0r 编辑于 2008-12-13 02:00,总共编辑了 2 次

回到顶部
 奖励本帖 用户资料  
 
 文章标题 :
帖子发表于 : 2008-12-08 10:00 
离线
版主

关注按钮

注册: 2004-08-03 11:20
最近: 2018-02-22 15:26
拥有: 24,476.80 安全币

奖励: 24049 安全币
在线: 13043 点
帖子: 1844
地址: 北京
可不可以这样理解

1、物理隔离的政策要求 是在当时技术手段不够成熟的非常时期 一棍子打死的一刀切政策 就好比明清时期的海禁

2、确实有一部分核心机密的信息系统 需要彻底物理隔离 但是也有相当一部分系统 自身存在的互联互通需求 需要机密性保障作出一定让步 物理隔离的概念 只能导致矛盾和争议 这方面 似乎也需要与时俱进

3、任何实现互联互通的隔离和交换机制 都不是物理隔离 可以冠以网络隔离之类的名号 但是严格意义上都无法满足政策的保密要求


--------本帖迄今已累计获得26安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
 文章标题 :
帖子发表于 : 2008-12-08 10:26 
离线
版主

注册: 2008-09-01 08:52
最近: 2017-06-11 10:30
拥有: 24,773.80 安全币

奖励: 15810 安全币
在线: 13686 点
帖子: 1236
地址: 福建/浙江
1)赞同
2)..."相当一部分系统",要区分开是否涉及国家秘密.如果涉及,不能互通.要互通必须剥离涉密(涉及国家秘密)部分
3)"可以冠以网络隔离之类的名号",不赞同,个人认为这是欺骗.是隐瞒,或者根本不懂.不管是什么情况,都可以认为是不可信任,使用方没必要涉险,也可以一棍子打死它.

是不是以后可用,等政策确认.


--------本帖迄今已累计获得26安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
 文章标题 :
帖子发表于 : 2008-12-08 11:00 
离线
版主

关注按钮

注册: 2008-05-16 23:34
最近: 2012-05-18 18:41
拥有: 10,303.40 安全币

奖励: 12822 安全币
在线: 9152 点
帖子: 490
1、这里的所说的隔离网关不是物理隔离,也不是网闸,“物理隔离”和“网闸”本身的技术体系都不完善,不应画等号。(虽然国家已经颁布了网络和终端设备隔离部件的相关技术标准,也给出了“网闸”定义的一个描述:该信息安全部件位于两个不同安全域之间,通过协议转换的手段,以信息摆渡的方式实现数据交换,且只有被信息明确要求传输的信息可以通过。其信息流一般是网络服务。但由于安全市场上的习惯宣传,往往“物理隔离”就被和“网闸”画上了等号,更有的直接称为“物理隔离网闸”。)。
2、这里提供的隔离配置策略和技术是针对重要信息系统的互联互通的,只要能达到防止泄密的最终目的,不管采用那种产品,应该都是可以探讨的,最终目的都是达到保密的目的,并符合国家保密的相关政策要求。
walk0r 写道:
Janrry存在诸多潜在的安全问题,关于身份鉴别部分,已经不是GAP技术的范畴。其中的相关的描述,如果和防火墙技术相结合,均是可能有效的。
关于1)内部高密级网络主动去访问低密级网络的信息的情况。即由上术网闸功能HTTP为例,发起人需要携带数据的(URL, GET/PUT xxxx),后门的制作,可以将内部数据插入到IE浏览的get,put数据中。于是就会产生数据外泄的情况。产生误解的原因,应该是将以TCP/IP发起状态的方向,当成所有信息的流向所致。
包括象jpg这样的数据文件,依然有可能在利用漏洞的情况下,变成可执行的。
2)在前述产品说明中,完全让人误解潜在这样的不安全因素:外部资源不需要控制,由于GAP的采用不能泄漏信息。
也许可以这样说网闸采用最不安全的因素、和最可怕的是,产品制造者自己没有能力知道或甚至隐藏了不安全因素,而告诉你这样做是安全的。

3)内容检查,不可能做到万无一失。实际上,泄密的自动检查通常情况下是几乎不可实现的。不然就不需要物理隔离措施了。

4)已经说明。
Janrry所说的,提升安全性的手段,几乎所有均不是GAP带来的结果。就网关技术而言,防火墙技术比网闸要成熟很多。

但是,在非物理隔离环境的情况下,使用这些技术或策略,是有利的。

当前主流技术中,如CHECKPOINT、SYMANTEC均有将网关和端点安全防护做关联的考虑,国内也有这样的尝试。但是,目前依然未达到完善的程度。


Janrry 写道:
walk0r 写道:
如楼上所说。
模拟一个攻击场景:在xx网站上挂了一个最新未被识别的jpg病毒,被内网用户浏览,或由邮件发送一个未被识别的类似的病毒。该病毒被设计为向外发送我的文档中的文件。

对于这种模拟攻击,在高安全的涉密信息系统的隔离方案中,配置正确的隔离网关应该是能够防范这种主动木马程序的。
不妨假定内网是高密级的信息网络,外网是低密级的信息网络,隔离网关的重点是防止来自外部的攻击和内部有意或无意的信息泄露,因此,在策略配置上:
1)将隔离网关配置为严格单向控制,即仅允许内部高密级网络主动去访问低密级网络的信息,而不允许外部低密级网络去访问内网高密级网络的信息;
2)对于每一个内网的主机,严格控制能够访问的外部资源或服务,除去允许的以外,一律禁止;
3)对于每一次访问,进行内容检查,检查会话所传递的内容是否是否合法;
4)对于每一个允许的访问策略,辅以严格的身份认证机制。高安全环境下,可以要求采用基于会话的身份鉴别技术,即每一个新发起的连接都要求提供身份鉴别信息。对于刚才的模拟攻击,即使这种主动木马被种植在内网的主机上,那么其在发起一个主动连接,向外部网络发送我的文档中的文件时,身份鉴别程序会主动要求提供身份鉴别信息,这时使用者可以根据发起连接的源端口号锁定发起连接的程序,从而确定这个程序是否为用户主动发起的,如果不是,则可以不提供身份鉴别信息,从而达到阻断这个连接的效果。

当然这种高安全配置会使使用相对比较麻烦,但可以从一定程度上确保内网信息的安全性。


--------本帖迄今已累计获得43安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
 文章标题 :
帖子发表于 : 2008-12-08 11:04 
离线
版主

关注按钮

注册: 2008-05-16 23:34
最近: 2012-05-18 18:41
拥有: 10,303.40 安全币

奖励: 12822 安全币
在线: 9152 点
帖子: 490
参照一下《电子政务保密管理指南》国保发[2007]5号,从其中也许可以找到许多可以借鉴和参考的信息。
1)、同意,在当时的技术背景下(2000年左右),提出这样的保密要求作为政策层来说应该是没有问题的,但未提供相应的技术保障措施。
2)、只要是涉密系统的互联互通,保密性是绝对不允许降低的,必须在符合一定安全要求的前提下进行互联互通。
3)、“安全隔离与信息交换”是目前保密认可的名称,但网关级产品实现物理隔离基本没有得到认可,市场上都是在打擦边球。
chinadoors 写道:
可不可以这样理解

1、物理隔离的政策要求 是在当时技术手段不够成熟的非常时期 一棍子打死的一刀切政策 就好比明清时期的海禁

2、确实有一部分核心机密的信息系统 需要彻底物理隔离 但是也有相当一部分系统 自身存在的互联互通需求 需要机密性保障作出一定让步 物理隔离的概念 只能导致矛盾和争议 这方面 似乎也需要与时俱进

3、任何实现互联互通的隔离和交换机制 都不是物理隔离 可以冠以网络隔离之类的名号 但是严格意义上都无法满足政策的保密要求


--------本帖迄今已累计获得21安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
 文章标题 :
帖子发表于 : 2008-12-08 11:34 
离线
版主

注册: 2008-09-01 08:52
最近: 2017-06-11 10:30
拥有: 24,773.80 安全币

奖励: 15810 安全币
在线: 13686 点
帖子: 1236
地址: 福建/浙江
隔离网关,实际上即通常网关设备,用于边界的可进行适度控制. 中文隔离有诸多歧义,完全的"隔离",还是限制.网关起的作用是限制.

“网闸”的定义中,个人认为存在含糊,也使得后续这个市场的混乱.计算机结构中,采用存储区域作为数据交换是正常的和普遍的处理方式,即使在CPU中,通过寄存器作为中间环节来实现数据运算和交换中间存储.信息摆渡,未明确确定信息最小单元. 协议转换未明确提升安全性需要的限制,协议转换是转换A->B,还是A->B->A(即重组)在安全性上是完全不在一个级别的.
重组的方式,类似于代理。
如果不限制交换单元,分析下去会发现,普通防火墙设备都可以说是信息摆渡;如果不对协议转换做限制,只不过中间加了一个几乎不起安全作用的环节。

基本定义和产品检测标准上存在一些问题,也使得网闸是一个混乱的产品.“网闸”按照原始引进是GAP,意为有气隙的。未定义最小单元,我想这就是可以有人可以把一些概念延深至CPU。也许那个厂家会出现这样的描述:在CPU中特殊的交换单元进行交换,将数据交换速度提到到xxx云云,完全解决了传统网闸数据交换速度瓶颈,达到世界领先水平。

实际上,个人认为、保密目前认可的“安全隔离与信息交换系统”整体上说是一个败笔。


Janrry 写道:
1、这里的所说的隔离网关不是物理隔离,也不是网闸,“物理隔离”和“网闸”本身的技术体系都不完善,不应画等号。(虽然国家已经颁布了网络和终端设备隔离部件的相关技术标准,也给出了“网闸”定义的一个描述:该信息安全部件位于两个不同安全域之间,通过协议转换的手段,以信息摆渡的方式实现数据交换,且只有被信息明确要求传输的信息可以通过。其信息流一般是网络服务。但由于安全市场上的习惯宣传,往往“物理隔离”就被和“网闸”画上了等号,更有的直接称为“物理隔离网闸”。)。
2、这里提供的隔离配置策略和技术是针对重要信息系统的互联互通的,只要能达到防止泄密的最终目的,不管采用那种产品,应该都是可以探讨的,最终目的都是达到保密的目的,并符合国家保密的相关政策要求。
walk0r 写道:
Janrry存在诸多潜在的安全问题,关于身份鉴别部分,已经不是GAP技术的范畴。其中的相关的描述,如果和防火墙技术相结合,均是可能有效的。
关于1)内部高密级网络主动去访问低密级网络的信息的情况。即由上术网闸功能HTTP为例,发起人需要携带数据的(URL, GET/PUT xxxx),后门的制作,可以将内部数据插入到IE浏览的get,put数据中。于是就会产生数据外泄的情况。产生误解的原因,应该是将以TCP/IP发起状态的方向,当成所有信息的流向所致。
包括象jpg这样的数据文件,依然有可能在利用漏洞的情况下,变成可执行的。
2)在前述产品说明中,完全让人误解潜在这样的不安全因素:外部资源不需要控制,由于GAP的采用不能泄漏信息。
也许可以这样说网闸采用最不安全的因素、和最可怕的是,产品制造者自己没有能力知道或甚至隐藏了不安全因素,而告诉你这样做是安全的。

3)内容检查,不可能做到万无一失。实际上,泄密的自动检查通常情况下是几乎不可实现的。不然就不需要物理隔离措施了。

4)已经说明。
Janrry所说的,提升安全性的手段,几乎所有均不是GAP带来的结果。就网关技术而言,防火墙技术比网闸要成熟很多。

但是,在非物理隔离环境的情况下,使用这些技术或策略,是有利的。

当前主流技术中,如CHECKPOINT、SYMANTEC均有将网关和端点安全防护做关联的考虑,国内也有这样的尝试。但是,目前依然未达到完善的程度。


Janrry 写道:
walk0r 写道:
如楼上所说。
模拟一个攻击场景:在xx网站上挂了一个最新未被识别的jpg病毒,被内网用户浏览,或由邮件发送一个未被识别的类似的病毒。该病毒被设计为向外发送我的文档中的文件。

对于这种模拟攻击,在高安全的涉密信息系统的隔离方案中,配置正确的隔离网关应该是能够防范这种主动木马程序的。
不妨假定内网是高密级的信息网络,外网是低密级的信息网络,隔离网关的重点是防止来自外部的攻击和内部有意或无意的信息泄露,因此,在策略配置上:
1)将隔离网关配置为严格单向控制,即仅允许内部高密级网络主动去访问低密级网络的信息,而不允许外部低密级网络去访问内网高密级网络的信息;
2)对于每一个内网的主机,严格控制能够访问的外部资源或服务,除去允许的以外,一律禁止;
3)对于每一次访问,进行内容检查,检查会话所传递的内容是否是否合法;
4)对于每一个允许的访问策略,辅以严格的身份认证机制。高安全环境下,可以要求采用基于会话的身份鉴别技术,即每一个新发起的连接都要求提供身份鉴别信息。对于刚才的模拟攻击,即使这种主动木马被种植在内网的主机上,那么其在发起一个主动连接,向外部网络发送我的文档中的文件时,身份鉴别程序会主动要求提供身份鉴别信息,这时使用者可以根据发起连接的源端口号锁定发起连接的程序,从而确定这个程序是否为用户主动发起的,如果不是,则可以不提供身份鉴别信息,从而达到阻断这个连接的效果。

当然这种高安全配置会使使用相对比较麻烦,但可以从一定程度上确保内网信息的安全性。


--------本帖迄今已累计获得41安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
显示帖子 :  排序  
发表新帖 回复这个主题  [ 22 篇帖子 ]  前往页数 1, 2  下一页

当前时区为 UTC + 8 小时


在线用户

正在浏览此版面的用户:没有注册用户 和 1 位游客


不能 在这个版面发表主题
不能 在这个版面回复主题
不能 在这个版面编辑帖子
不能 在这个版面删除帖子
不能 在这个版面提交附件

前往 :  
cron
华安信达(CISPS.org) ©2003 - 2012