论坛公告:应用容器安全指南(SP800-190)中文版   美国政府宣布禁用卡巴斯基软件   《中华人民共和国网络安全法》讨论帖   新手报到专用帖   【论坛公告】关于本站广告贴泛滥问题的整理通知   

当前时区为 UTC + 8 小时


发表新帖 回复这个主题  [ 6 篇帖子 ] 
作者 内容
 文章标题 : 物理隔离和高安全性要求下的安全数据安全传递分析
帖子发表于 : 2008-12-12 11:53 
离线
版主

注册: 2008-09-01 08:52
最近: 2017-06-11 10:30
拥有: 24,773.80 安全币

奖励: 15810 安全币
在线: 13686 点
帖子: 1236
地址: 福建/浙江
物理隔离,是一种保障内部网络的信息安全的极端措施.
原则上不应该存在数据的交换.但是这是理想的情况.
实际上不可避免地会存在数据需要传递的情况.如:系统、补丁、应用的安装,升级等,

一般两类需要采用这样的情况,及两种情况的复合:
1)涉密或涉及高度工作机密,以防范信息泄漏为主要目的。
需要传递到内部网络。也会出现部分信息需要导出到外部的情况。
在物理隔离要求下,数据的传递,需要制度、人、检查手段做保障。
非物理隔离外网,流入物理隔离的内外时,通常需要按照规范的要求,仅仅传递安全性问题少的、特定的信息,如文本文件。并辅助以安全检查措施。
、特别是常用来达到保护数据安全。共用介质,才离开高密时应当按规定可靠擦除,保证不会残留,包括如磁介质的磁道间歇的残留。

这种情况下,可以允许以低密级向高密级,受控地传递信息;不允许高密级数据向低密级传递。对于存在于高密级网络中的低密级信息,在审核确认的情况下,也会向低密级传递。

其中,审核,应该是包括人工的和有技术手段的。

涉密系统国家做了强制规定应该采取物理隔离措施。


2)高可用系统
这类系统以防范远程攻击、病毒等可能降低可用性为主要目的的。
其信息泄漏的要求可能比起高可用相对较低。
此环境下,不允许普通网络向高可用网络传递数据(不允许低要求向高要求传递).
由于此情况下,目前国家没有强制标准要求采取物理隔离措施,也有行业规定采取较严格逻辑隔离来实现,如电力系统的单向网闸。电力系统网闸采取剥离协议的可能混杂数据信息和限制协议中通讯字节数,来防范可能恶意信息混杂到正常信息中。对信息内容部分的安全性的安全性检查是不太完备的。

3)复合的情况,当然为了保障安全性,采取2个情况下的最严格措施。

先写到这里,对于非涉密的,高度工作机密的信息传递以及不同等级间的信息传递,后续再做分析


--------本帖迄今已累计获得13安全币用户奖励--------


最后由 walk0r 编辑于 2008-12-12 21:35,总共编辑了 1 次

回到顶部
 奖励本帖 用户资料  
 
 文章标题 :
帖子发表于 : 2008-12-12 19:31 
离线
版主

注册: 2008-09-01 08:52
最近: 2017-06-11 10:30
拥有: 24,773.80 安全币

奖励: 15810 安全币
在线: 13686 点
帖子: 1236
地址: 福建/浙江
非涉密的,目前等级保护基本要求防护,其中四级边界要求
8.1.2  网络安全
8.1.2.1  结构安全(G4)
f) 应避免将重要网段部署在网络边界处且直接连接外部信息系统,重要网段与其他网段之间采取可靠的技术隔离手段;
8.1.2.2  访问控制(G4)
本项要求包括:
a) 应在网络边界部署访问控制设备,启用访问控制功能;
b) 应不允许数据带通用协议通过;
c) 应根据数据的敏感标记允许或拒绝数据通过;
d) 应不开放远程拨号访问功能。
8.1.2.4  边界完整性检查(S4)
本项要求包括:
a) 应能够对非授权设备私自联到内部网络的行为进行检查,准确定出位置,并对其进行有效阻断;
b) 应能够对内部网络用户私自联到外部网络的行为进行检查,准确定出位置,并对其进行有效阻断。
8.1.2.5  入侵防范(G4)
本项要求包括:
a) 应在网络边界处监视以下攻击行为:端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等;
b) 当检测到攻击行为时,应记录攻击源IP、攻击类型、攻击目的、攻击时间,在发生严重入侵事件时应提供报警及自动采取相应动作。
8.1.2.6  恶意代码防范(G4)
本项要求包括:
a) 应在网络边界处对恶意代码进行检测和清除;
b) 应维护恶意代码库的升级和检测系统的更新。


--------本帖迄今已累计获得7安全币用户奖励--------


最后由 walk0r 编辑于 2008-12-12 22:01,总共编辑了 2 次

回到顶部
 奖励本帖 用户资料  
 
 文章标题 :
帖子发表于 : 2008-12-12 19:55 
离线
版主

注册: 2008-09-01 08:52
最近: 2017-06-11 10:30
拥有: 24,773.80 安全币

奖励: 15810 安全币
在线: 13686 点
帖子: 1236
地址: 福建/浙江
在部委实施培训教材,给出了关于等级边界安全规定示例:
制定总体安全策略
规则1 通过骨干网/城域网只能建立同级安全域的连接,实现上、下级单位的同级安全域的互接;
规则2 4级安全域通过专网的VPN通道进行数据交换;3级安全域可以通过公网的VPN通道进行数据交换;
规则3 4级安全域不能与2级安全域、1级安全域直接连接;3级安全域不能与1级安全域直接连接;
规则4 只有1级安全域可以直接访问Internet。
等等。。。
关于等级边界进行安全控制的规定
规定1 4级安全域与3级安全域之间必须采用接近物理隔离的专用设备进行隔离;
规定2 各级别安全域网络与外部网络的边界处必须使用防火墙进行有效的边界保护;
规定3 通过3级安全域与外部单位进行数据交换时,必须把要交换的数据推送到前置机,外部单位从外部接入网络的前置机或中间件将数据取走,反之亦然;

在安全域间交换数据方式的类型中,给出了如下示例:
4级到4级安全域间的双向访问;
4级到3级间的自高到低的单向推送;{引用注:对应涉密系统,该方式应不成立,可采用高密向低密取数据}
与外部单位进行数据交换时,采用传出方推送至前置机,接收方从前置机取(拉)入的方式。



从其中我们看到,除了防火墙外,对于高安全要求的安全措施提到的有:
安全隔离、前置机和中间件

其中安全隔离,实现“不允许数据带通用协议通过”的要求。
前置机(也常被叫为通讯机/交换服务器等)、中间件在应用层实现隔离。

安全隔离即通常说的网闸设备,其安全性在于避免通用协议可能被攻击和利用。沿用安全隔离设备的要求,通用协议目前所用的网络中通常是指TCP/IP协议。目前安全隔离与信息交换设备中,包括两个类型,文件交换和协议重组的方式都是允许的。在文件交换的方式下,低安全级别域的不能控制隔离设备的情况下,安全性体系在传递到高安全级别端的数据的安全性上,否存在恶意数据文件以及数据是否泄露;在重组的方式下,除了数据的安全性外,存在协议重组时,依然间接通过协议进行访问。安全隔离设备需要具备协议是否存在威胁。

个人认为:攻击行为和正常访问往往难以区别,或者实际上就是正常的访问行为,协议重组方式下,与一般的访问控制设备安全性差异不大.除非进行特别的限制,如电力系统用网闸,严格限制协议通过的位数(似乎不是字节数?忘记了)等,可避免类似缓冲溢出等攻击手段,有可能提升安全性,而简单的重组并不提升安全性。

前置机方式,有高安全级别或己方,向外推送数据的方式传出数据,以取(拉)入的方式,保障控制权在高级别方或己方。增加中间堡垒机的安全缓冲环节。其安全缺陷在于,堡垒机的安全性;以及采用协议可能被攻击,但是由于攻击者处于被动方式,提升了安全性。在前置机方式中,数据传递方向是安全性的设计的重要因素。

中间件的方式,与前置机堡垒主机方式类似,通过中间件,对数据传输进行了限制,避免了数据源和接收方直接传递。其安全性缺陷是,有可能中间件没有完全过滤恶意行为,以及中间件本身的安全缺陷。


--------本帖迄今已累计获得51安全币用户奖励--------


最后由 walk0r 编辑于 2008-12-13 01:53,总共编辑了 3 次

回到顶部
 奖励本帖 用户资料  
 
 文章标题 :
帖子发表于 : 2008-12-12 20:59 
离线
版主

注册: 2008-09-01 08:52
最近: 2017-06-11 10:30
拥有: 24,773.80 安全币

奖励: 15810 安全币
在线: 13686 点
帖子: 1236
地址: 福建/浙江
以上分析,希望在做安全设备选择和安全方案设计时,起到能不仅仅盲目采用安全设备,而且要对采用的设备或方法的安全实现机理及存在的缺陷心中有数。

暂时就写到这里。

也希望能起到抛砖引玉的作用,不妥之处,请各位大侠指正。


回到顶部
 奖励本帖 用户资料  
 
 文章标题 :
帖子发表于 : 2009-03-19 10:20 
离线
初级用户

注册: 2009-01-07 10:25
最近: 2009-05-07 16:38
拥有: 16.50 安全币

奖励: 0 安全币
在线: 134 点
帖子: 36
不错不错,学习


回到顶部
 奖励本帖 用户资料  
 
 文章标题 :
帖子发表于 : 2009-03-19 10:58 
离线
高级用户

注册: 2007-03-30 13:49
最近: 2016-04-15 14:31
拥有: 10.40 安全币

奖励: 0 安全币
在线: 3513 点
帖子: 266
学习学习


回到顶部
 奖励本帖 用户资料  
 
显示帖子 :  排序  
发表新帖 回复这个主题  [ 6 篇帖子 ] 

当前时区为 UTC + 8 小时


在线用户

正在浏览此版面的用户:没有注册用户 和 1 位游客


不能 在这个版面发表主题
不能 在这个版面回复主题
不能 在这个版面编辑帖子
不能 在这个版面删除帖子
不能 在这个版面提交附件

前往 :  
cron
华安信达(CISPS.org) ©2003 - 2012