隔離網(wǎng)閘的安全模型

隔離網(wǎng)閘可以解決的問題一、隔離網(wǎng)閘的安全模型隔離網(wǎng)閘真正實現(xiàn)了兩個網(wǎng)絡(luò)之間的物理隔離。隔離網(wǎng)閘中斷了兩個網(wǎng)絡(luò)之間的直接連接，所有的數(shù)據(jù)交換必須通過以“反射”方式擺渡到內(nèi)部網(wǎng)絡(luò)。下面的例子闡述了隔離網(wǎng)閘的工作模型：假設(shè)一個周圍環(huán)境比較危險的加油站，在加油完畢之后要向顧客收取現(xiàn)金，同時要避免受到損害（如搶劫）。在這里GAP裝置是一個金屬抽屜，由收款員操作。金屬抽屜是收款員和外部危險環(huán)境的一個唯一連接。顧客通常把現(xiàn)金放在抽屜里，只有當柜臺里收款員透過玻璃窗檢查過抽屜中內(nèi)容之后，收款員才打開抽屜檢查里面數(shù)目。這時，抽屜和里面的東西對顧客來說變得不可訪問。收款員將發(fā)票和找回的零錢返回給顧客也通過相同的辦法。金屬抽屜是一個物理GAP，由可信的一端控制，在可信和不可信的環(huán)境之間進行有選擇性的交易，并使可信的一端得到保護，其工作效果如圖所示：二、與其它技術(shù)的區(qū)別 防火墻側(cè)重于網(wǎng)絡(luò)層至應(yīng)用層的策略隔離，往往還會存在一些安全問題，如本身操作系統(tǒng)、內(nèi)部系統(tǒng)的漏洞、通用協(xié)議的缺陷等會造成被攻擊。而物理隔離卡等則側(cè)重于物理鏈路層的硬隔離，所以存在著數(shù)據(jù)交換不方便的瓶頸，限制了應(yīng)用的發(fā)展。GAP技術(shù)屬于從物理層到數(shù)據(jù)級別的多層次隔離，所采用的技術(shù)包含了數(shù)據(jù)分片重組、協(xié)議轉(zhuǎn)化、密碼學、入侵檢測、病毒及關(guān)鍵字過濾、身份驗證及審計等多個范疇。GAP技術(shù)的安全性要高于防火墻，在數(shù)據(jù)交換方面遠優(yōu)于物理隔離卡。三、ViGAP可解決的問題 由Gap的結(jié)構(gòu)和工作原理我們可以發(fā)現(xiàn)，Gap保護了與其安全接口相連的內(nèi)部網(wǎng)絡(luò)，可解決以下的安全問題： 1.彌補防火墻先天性隱患，防御針對安全設(shè)備發(fā)起的攻擊。防火墻采用在網(wǎng)絡(luò)層上的邏輯隔離機制，即主要通過軟件策略來實現(xiàn)，且在網(wǎng)絡(luò)層是相通的，這給黑客提供了多樣的攻擊手段。主要包括三個方面：一是防火墻軟件基于OS運行，操作系統(tǒng)的安全隱患會繼承給防火墻；二是防火墻軟件自身設(shè)計缺陷引起的安全隱患，這些隱患同樣可以導致黑客掌握防火墻的控制權(quán)進而自由進出網(wǎng)絡(luò)；三是防火墻雖然實現(xiàn)邏輯隔離，但與受保護網(wǎng)內(nèi)設(shè)備仍舊維持活連接，因此黑客仍舊可以利用內(nèi)網(wǎng)服務(wù)器或路由器漏洞發(fā)動攻擊。隔離網(wǎng)閘實現(xiàn)了涉密網(wǎng)與外界基于鏈路層的安全隔離，徹底斷開了網(wǎng)絡(luò)層，使得黑客無法連接內(nèi)網(wǎng)服務(wù)器或路由器，因此無法對內(nèi)網(wǎng)發(fā)動網(wǎng)絡(luò)攻擊。隔離網(wǎng)閘獨有的隔離區(qū)由硬件邏輯實現(xiàn)對數(shù)據(jù)傳輸?shù)臎Q策，因此，數(shù)據(jù)的傳輸與操作系統(tǒng)無關(guān)，這就使得即使黑客利用軟件漏洞控制了隔離網(wǎng)閘的外網(wǎng)端，也無法透過隔離區(qū)將攻擊發(fā)展到內(nèi)網(wǎng)，從而徹底解決了設(shè)備自身安全性的問題。換句話說，網(wǎng)閘沒有先天性的安全缺陷，更有力地保護互聯(lián)網(wǎng)的安全。2.防已知和未知網(wǎng)絡(luò)層攻擊和DOS攻擊隔離網(wǎng)閘在內(nèi)外網(wǎng)間斷開了網(wǎng)絡(luò)層和TCP/IP層協(xié)議，所有通訊以電路級和應(yīng)用層代理方式實現(xiàn)，所有數(shù)據(jù)在進入網(wǎng)閘時都被剝離網(wǎng)絡(luò)層和傳輸層報頭，因此，任何基于網(wǎng)絡(luò)層的攻擊無論是已知還是未知攻擊都被過濾掉了。如：LAND攻擊、SYN泛洪攻擊、FIN泛洪攻擊、死亡PING攻擊等等。3.防已知和未知操作系統(tǒng)攻擊隔離網(wǎng)閘通過配置對外開放有限的服務(wù)，所有服務(wù)都通過網(wǎng)閘上設(shè)計的服務(wù)模塊對外提供服務(wù)，從而替代并屏蔽了不必要的內(nèi)部服務(wù)器和網(wǎng)絡(luò)設(shè)備自身的操作系統(tǒng)及服務(wù)，由于這些服務(wù)被屏蔽，因此針對操作系統(tǒng)發(fā)動的已知和未知攻擊行就被永久過濾掉了。最近發(fā)生的“沖擊波”病毒攻擊就是一個很好的例子?！皼_擊波”病毒是利用微軟操作系統(tǒng)RPC的一個漏洞發(fā)動的攻擊，該病毒以前一直未出現(xiàn)，屬于未知病毒，由于隔離網(wǎng)閘自動屏蔽了RPC服務(wù)（RPC服務(wù)由在網(wǎng)閘上相應(yīng)開放的應(yīng)用服務(wù)在應(yīng)用層面而非操作系統(tǒng)層對外提供服務(wù)），因此，該病毒無法對隔離網(wǎng)閘保護的內(nèi)網(wǎng)產(chǎn)生作用。 4.網(wǎng)閘協(xié)議檢查和“白名單”功能防各類蠕蟲等基于網(wǎng)絡(luò)方式傳播的病毒攻擊 蠕蟲病毒通常以應(yīng)用軟件的設(shè)計漏洞對網(wǎng)絡(luò)上的主機發(fā)動攻擊，隔離網(wǎng)閘擁有的協(xié)議檢查功能可實時發(fā)現(xiàn)利用應(yīng)用層協(xié)議發(fā)動的病毒攻擊，著名的例子是紅色代碼病毒，該病毒利用IIS的一個設(shè)計漏洞利用HTTP協(xié)議實現(xiàn)攻擊。這類攻擊會被網(wǎng)閘即刻發(fā)現(xiàn)并阻止。另外，網(wǎng)閘的白名單功能也起到重要防護作用，它默認狀態(tài)下所有流量都無法通過，我們將確認沒有問題的訪問加入白名單，這樣就最大限度的防止了各類外來攻擊行為。如今年流行并造成12億美元損失的SQL slammer病毒，該病毒利用并不常用的udp 1434端口攻擊安裝有SQL的服務(wù)器系統(tǒng)，而其不在網(wǎng)閘的白名單中被自動過濾。網(wǎng)閘防病毒能力彌補了專業(yè)防病毒系統(tǒng)的不足，專業(yè)防毒系統(tǒng)是依賴特征庫匹配檢查病毒的，這使得其對新病毒和未知病毒的防御較差，而隔離網(wǎng)閘通過協(xié)議檢查和白名單的防毒方式，恰好解決了這方面的問題，增加了對新病毒和未知病毒的防范能力。 5.合理的系統(tǒng)配置可防任何來自外網(wǎng)的攻擊，包括病毒、木馬、暴力破解、協(xié)議攻擊等等。 很多場合下，合理配置的隔離網(wǎng)閘系統(tǒng)可防御任何攻擊行為。以銀行業(yè)務(wù)系統(tǒng)來說，其系統(tǒng)對外僅提供了固定類型的信息交換服務(wù)，因此，我們完全可以通過“白名單”、協(xié)議分析功能嚴格限定訪問的類型、數(shù)