物理隔離與數(shù)據(jù)交換-網(wǎng)閘
一、什么是網(wǎng)閘
網(wǎng)閘技術(shù)的需求來自內(nèi)網(wǎng)與外網(wǎng)數(shù)據(jù)互通的要求，比如政府的電子政務(wù)是對公眾服務(wù)，與互聯(lián)網(wǎng)連通，而內(nèi)網(wǎng)的政府辦公網(wǎng)絡(luò)，由于保密的要求，內(nèi)網(wǎng)若與網(wǎng)連通，則面臨來自公網(wǎng)的各種威脅。安全專家給出的建議是：由于目前的安全技術(shù)，無論防火墻、UTM等防護(hù)系統(tǒng)都不能保證攻擊的一定阻斷，入侵檢測等監(jiān)控系統(tǒng)也不能保證入侵行為完全捕獲，所以最安全的方式就是物理的分開，所以在公安部的技術(shù)要求中，要求電子政務(wù)的內(nèi)、外網(wǎng)絡(luò)之間“物理隔離”。沒有連接，來自外網(wǎng)對內(nèi)網(wǎng)的攻擊就無從談起。
但是，網(wǎng)絡(luò)的物理隔離，給數(shù)據(jù)的通訊帶來很多不便，比如工作人員出差只能接入互聯(lián)網(wǎng)，要取得內(nèi)網(wǎng)的文件就沒有辦法，只能讓辦公室的人把文件放在外網(wǎng)上。另外，內(nèi)網(wǎng)辦公系統(tǒng)需要從外網(wǎng)提供的統(tǒng)計(jì)數(shù)據(jù)，由于服務(wù)隔離，數(shù)據(jù)的獲取也很困難。因此，隨著網(wǎng)絡(luò)業(yè)務(wù)的日益成熟，數(shù)據(jù)交換的需求提議強(qiáng)烈。
最初的解決辦法就是人工的“傳遞”，用U盤或光盤在內(nèi)外網(wǎng)之間倒換數(shù)據(jù)。隨著業(yè)務(wù)的增多，數(shù)據(jù)量的擴(kuò)大，人工的方式顯然成為很多業(yè)務(wù)的瓶頸，在內(nèi)、外網(wǎng)之間建立一個(gè)既符合“物理隔離”安全要求，又能進(jìn)行數(shù)據(jù)交換的設(shè)備或解決方案，這就誕生了網(wǎng)閘技術(shù)。
網(wǎng)閘實(shí)現(xiàn)的是個(gè)安全的概念，與防火墻等網(wǎng)絡(luò)安全設(shè)備不同的地方是他阻斷通訊的連接，只完成數(shù)據(jù)的交換，沒有業(yè)務(wù)的連接，攻擊就沒有了載體，如同網(wǎng)絡(luò)的“物理隔離”。網(wǎng)閘其實(shí)就是模擬人工數(shù)據(jù)倒換，利用中間數(shù)據(jù)倒換區(qū)，分時(shí)地與內(nèi)外網(wǎng)連接，但一個(gè)時(shí)刻只與一個(gè)網(wǎng)絡(luò)連接，保持“物理的分離”，實(shí)現(xiàn)數(shù)據(jù)的倒換。這就象從前長江上的擺渡船，既沒有“物理的連接”大橋，也實(shí)現(xiàn)了貨物的交換。
其實(shí)，除了電子政務(wù)內(nèi)外網(wǎng)的交換需求，其他各種涉密網(wǎng)絡(luò)與公用網(wǎng)絡(luò)的互聯(lián)都有這種需求，比如：廣電的編播網(wǎng)和互聯(lián)網(wǎng)、電力的控制網(wǎng)與辦公網(wǎng)、海關(guān)的運(yùn)行網(wǎng)和報(bào)關(guān)查詢網(wǎng)絡(luò)、銀行的業(yè)務(wù)網(wǎng)與網(wǎng)上銀行網(wǎng)絡(luò)等等。
二、網(wǎng)閘的實(shí)現(xiàn)原理
網(wǎng)閘是實(shí)現(xiàn)兩個(gè)相互業(yè)務(wù)隔離的網(wǎng)絡(luò)之間的數(shù)據(jù)交換，通用的網(wǎng)閘模型設(shè)計(jì)一般分三個(gè)基本部分：
內(nèi)網(wǎng)處理單元
外網(wǎng)處理單元
隔離與交換控制控制單元
三個(gè)單元都要求其軟件的操作系統(tǒng)是安全的，也就是采用非通用的操作系統(tǒng)，或改造后的專用操作系統(tǒng)。一般為Unix BSD或Linux的變種版本，或者其他是嵌入式操作系統(tǒng)VxWorks等，但都要對底層不需要的協(xié)議、服務(wù)刪除，使用的協(xié)議優(yōu)化改造，增加安全特性，同時(shí)提高效率。
內(nèi)網(wǎng)處理單元：
包括內(nèi)網(wǎng)接口單元與內(nèi)網(wǎng)數(shù)據(jù)緩沖區(qū)。
接口部分負(fù)責(zé)與內(nèi)網(wǎng)的連接，并終止內(nèi)網(wǎng)用戶的網(wǎng)絡(luò)連接，對數(shù)據(jù)進(jìn)行病毒檢測、防火墻、入侵防護(hù)等安全檢測后剝離出“純數(shù)據(jù)”，作好交換的準(zhǔn)備，也完成來自內(nèi)網(wǎng)對用戶身份的確認(rèn)，確保數(shù)據(jù)的安全通道；
數(shù)據(jù)緩沖區(qū)是存放并調(diào)度剝離后的數(shù)據(jù)，負(fù)責(zé)與隔離交換單元的數(shù)據(jù)交換。
外網(wǎng)處理單元：與內(nèi)網(wǎng)處理單元功能相同，但處理的是外網(wǎng)連接。
隔離與交換控制單元：是網(wǎng)閘隔離控制的擺渡控制，控制交換通道的開啟與關(guān)閉。控制單元中包含一個(gè)數(shù)據(jù)交換區(qū)，就是數(shù)據(jù)交換中的擺渡船。對交換通道的控制的方式目前有兩種技術(shù)，擺渡開關(guān)與通道控制。擺渡開關(guān)是電子倒換開關(guān)，讓數(shù)據(jù)交換區(qū)與內(nèi)外網(wǎng)在任意時(shí)刻的不同時(shí)連接，形成空間間隔GAP，實(shí)現(xiàn)物理隔離。通道方式是在內(nèi)外網(wǎng)之間改變通訊模式，中斷了內(nèi)外網(wǎng)的直接連接，采用私密的通訊手段形成內(nèi)外網(wǎng)的物理隔離。該單元中有一個(gè)數(shù)據(jù)交換區(qū)，作為交換數(shù)據(jù)的中轉(zhuǎn)。
在內(nèi)外網(wǎng)處理單元中，接口處理與數(shù)據(jù)緩沖之間的通道，稱內(nèi)部通道1，緩沖區(qū)與交換區(qū)之間的通道，稱內(nèi)部通道2。對內(nèi)部通道的開關(guān)控制，就可以形成內(nèi)外網(wǎng)的隔離。模型中的用中間的數(shù)據(jù)交換區(qū)擺渡數(shù)據(jù)，稱為三區(qū)模型；擺渡時(shí)，交換區(qū)的總線分別與內(nèi)、外網(wǎng)緩沖區(qū)連接，也就是內(nèi)部通道2的控制，完成數(shù)據(jù)交換。
還有一種方式是取消數(shù)據(jù)交換區(qū)，分別交互控制內(nèi)部通道1與內(nèi)部通道2，形成二區(qū)模型。
二區(qū)模型的數(shù)據(jù)擺渡分兩次：先是連接內(nèi)、外網(wǎng)數(shù)據(jù)緩沖區(qū)的內(nèi)部通道2斷開，內(nèi)部通道1連接，內(nèi)外網(wǎng)接口單元將要交換的數(shù)據(jù)接收過來，存在各自的緩沖區(qū)中，完成一次擺渡。然后內(nèi)部通道1斷開，內(nèi)部通道2連接，內(nèi)外網(wǎng)的數(shù)據(jù)緩沖區(qū)與各自的接口單元斷開后，兩個(gè)緩沖區(qū)連接，分別把要交換的數(shù)據(jù)交換到對方的緩沖區(qū)中，完成數(shù)據(jù)的二次擺渡。
內(nèi)部通道一般也采用非通用網(wǎng)絡(luò)的通訊連接，讓來自兩端的可能攻擊終止于接口單元，從而增強(qiáng)網(wǎng)閘的隔離效果。所以內(nèi)部通道一般選用網(wǎng)絡(luò)、SCSI、IDE、USB、PCI等方式。
網(wǎng)閘設(shè)計(jì)的目的，是隔離內(nèi)外網(wǎng)業(yè)務(wù)連接的前提下，實(shí)現(xiàn)安全的數(shù)據(jù)交換。也就是安全專家描述的：協(xié)議落地，數(shù)據(jù)交換。
三、隔離概念的變化
嚴(yán)格地講，物理隔離因該沒有物理通訊連接，也包括無線通訊，消除了通訊的可能，入侵就沒有了載體，但同時(shí)數(shù)據(jù)交換也成了難題。
網(wǎng)閘在發(fā)展過程中，對隔離的定義也經(jīng)歷了幾個(gè)過程：
1. 物理隔離：模擬人工交換的過程，必須在內(nèi)外網(wǎng)的節(jié)點(diǎn)機(jī)上進(jìn)行數(shù)據(jù)交換，不能實(shí)現(xiàn)網(wǎng)絡(luò)上任意計(jì)算機(jī)的數(shù)據(jù)交換。
2. 網(wǎng)絡(luò)隔離：在簡單交換的基礎(chǔ)上，對文件傳輸協(xié)議的數(shù)據(jù)打包交換，實(shí)現(xiàn)了網(wǎng)絡(luò)上任意信息點(diǎn)的數(shù)據(jù)交換。
3. 協(xié)議隔離：能對文件協(xié)議代理，就可以對其他應(yīng)用協(xié)議代理，如Http，實(shí)現(xiàn)了應(yīng)用數(shù)據(jù)的直接交換。
物理隔離是指只有文件級交換的網(wǎng)閘，網(wǎng)絡(luò)隔離與協(xié)議隔離是隔離概念的進(jìn)一步弱化，根據(jù)要隔離網(wǎng)絡(luò)的安全性要求，選擇不同的隔離技術(shù)。但把協(xié)議隔離當(dāng)作物理隔離保證安全就成了網(wǎng)閘產(chǎn)品技術(shù)的誤區(qū)了。
四、網(wǎng)閘設(shè)計(jì)中的誤區(qū)
網(wǎng)閘利用隔離業(yè)務(wù)連接阻斷用戶業(yè)務(wù)連接，完成數(shù)據(jù)的交換。但是由于網(wǎng)閘兩端的網(wǎng)絡(luò)出口，直接連在內(nèi)外網(wǎng)的節(jié)點(diǎn)上，沒有其他的中間代理，各種應(yīng)用協(xié)議連接直接到達(dá)網(wǎng)閘的接口，從用戶角度來講，看到的是一個(gè)內(nèi)外網(wǎng)互通服務(wù)，好像在內(nèi)外網(wǎng)間建立了連接，只是時(shí)延大一些，也就是說建立了邏輯的連接。網(wǎng)閘好像是一個(gè)網(wǎng)絡(luò)堡壘機(jī)。
大多數(shù)網(wǎng)閘廠家在設(shè)計(jì)網(wǎng)閘產(chǎn)品時(shí)，為了方便客戶業(yè)務(wù)的方便，在內(nèi)外網(wǎng)接口上解析各種應(yīng)用協(xié)議，一方面剝離成數(shù)據(jù)，另一面有恢復(fù)成應(yīng)用協(xié)議，網(wǎng)閘可以根據(jù)安全檢測的結(jié)果，合乎要求的讓通過，不合要求的就阻斷。這樣不僅僅實(shí)現(xiàn)數(shù)據(jù)的交換，而且實(shí)現(xiàn)了業(yè)務(wù)應(yīng)用的代理訪問，有些網(wǎng)閘產(chǎn)品實(shí)現(xiàn)了外網(wǎng)的訪問者訪問內(nèi)網(wǎng)的服務(wù)器。這種解析不僅有覆蓋常見應(yīng)用協(xié)議的趨勢，而且對數(shù)據(jù)庫的訪問也代理通過，為緩沖區(qū)溢出、SQL注入等攻擊提供了生存的溫床。網(wǎng)閘成了名副其實(shí)的集裝箱擺渡。
由于應(yīng)用協(xié)議的解析，應(yīng)用可以通過網(wǎng)閘，攻擊也有了載體，網(wǎng)閘的安全就依賴于網(wǎng)閘的安全檢測技術(shù)。物理隔離的含義是作為攻擊載體的應(yīng)用協(xié)議被中斷，入侵與攻擊才沒有進(jìn)入的路徑，隔離達(dá)到安全的目的。所以網(wǎng)閘要“破壞”是業(yè)務(wù)的協(xié)議，而不是代理。這比如：火車可以通過擺渡繼續(xù)整列車行進(jìn)，而網(wǎng)閘因該把貨物的組合徹底打散，這邊是用火車，到了對岸，用汽車還是馬車就不一定了?；谶@種方式，網(wǎng)絡(luò)攻擊行為中比較難探測的分散隱藏就不容易了。
網(wǎng)閘的安全檢測技術(shù)與目前各種安全網(wǎng)關(guān)類產(chǎn)品的檢測技術(shù)應(yīng)該一致，所以若能通過網(wǎng)閘建立業(yè)務(wù)連接的話，網(wǎng)閘的功能就與用防火墻等安全網(wǎng)關(guān)類設(shè)備建立的網(wǎng)絡(luò)連接是同樣的安全效果了。
因此，解析應(yīng)用協(xié)議，成為應(yīng)用代理的網(wǎng)閘實(shí)際上成為一個(gè)邏輯上的安全網(wǎng)關(guān)，滿足了數(shù)據(jù)交換的功能，但失去了網(wǎng)絡(luò)隔離的效果。
五、網(wǎng)閘安全原則的定義
網(wǎng)閘對業(yè)務(wù)協(xié)議的解析給網(wǎng)閘帶來新的安全問題，所以不是說功能越豐富越好，從網(wǎng)閘處于網(wǎng)絡(luò)中的位置，以及要實(shí)現(xiàn)的目的，網(wǎng)閘應(yīng)該有自己的安全設(shè)計(jì)原則。
使用網(wǎng)閘的目的是為了隔離業(yè)務(wù)的同時(shí)，進(jìn)行安全的數(shù)據(jù)交換。從安全服務(wù)的角度講，網(wǎng)閘開通的服務(wù)種類越少，被攻擊的可能性越小，網(wǎng)閘可交換的數(shù)據(jù)類型越少，隱含攻擊的可能越小。網(wǎng)閘的安全原則定義為：
單一服務(wù)：
只完成數(shù)據(jù)文件的交換，只完成文件形式的數(shù)據(jù)交換。
其他的服務(wù)一律關(guān)閉
定向交換：在數(shù)據(jù)交換時(shí)指定接收人、發(fā)送人
網(wǎng)閘不支持應(yīng)用協(xié)議解析，不透傳業(yè)務(wù)應(yīng)用，只進(jìn)行文件數(shù)據(jù)的擺渡，對于Http、SMTP、FTP等協(xié)議無法通過，數(shù)據(jù)庫的訪問就更加不能通過，網(wǎng)閘只起到數(shù)據(jù)的擺渡，不支持應(yīng)用的互通，應(yīng)用協(xié)議的終止，讓入侵、攻擊徹底失去了傳播的載體。
定義了安全原則的網(wǎng)閘安全性分析：
指定內(nèi)外網(wǎng)的發(fā)送與接收人：數(shù)據(jù)交換是提供點(diǎn)到點(diǎn)的數(shù)據(jù)交換服務(wù)，方便數(shù)據(jù)交換的審計(jì)，方便問題定位到源頭。避免第三者冒充、截獲信息重放等攻擊的發(fā)生。
只選擇文件級的交換：采用文件級交換，而不是數(shù)據(jù)包級交換，是因?yàn)槲募鄬π畔⑼暾苊馊湎x式的分片隱藏。交換的信息單元之間沒有關(guān)聯(lián)，無需網(wǎng)閘進(jìn)行信息還原、重組(這需要大量的緩沖區(qū))。
只選擇文件交換，內(nèi)外網(wǎng)沒有通訊的連接，來自外網(wǎng)的黑客遠(yuǎn)程攻擊因?yàn)闆]有遙控線路而難以實(shí)現(xiàn)，對內(nèi)網(wǎng)的業(yè)務(wù)進(jìn)行攻擊只有發(fā)自內(nèi)網(wǎng)本身的病毒、蠕蟲，這就實(shí)現(xiàn)了和人工數(shù)據(jù)擺渡同樣的安全效果。
文件的內(nèi)容安全可以對發(fā)送者身份認(rèn)證來保證。文件附著的病毒、蠕蟲、木馬等的檢測是靜態(tài)檢測，可以通過對交換文件格式的規(guī)范，讓他們難以躲藏。實(shí)際系統(tǒng)中，網(wǎng)閘可以根據(jù)應(yīng)用系統(tǒng)對安全級別的要求，選擇性交換無格式文本文件，Word等有格式的文檔文件，壓縮文件，可執(zhí)行文件等交換文件的格式，降低交換文件隱藏病毒、木馬的機(jī)會。
六、通過網(wǎng)閘實(shí)現(xiàn)業(yè)務(wù)自動交換的方法
使用網(wǎng)閘，只提供數(shù)據(jù)的文件的點(diǎn)到點(diǎn)交換，這對于支持內(nèi)外網(wǎng)大量數(shù)據(jù)通訊的應(yīng)用是顯然不夠的，如何實(shí)現(xiàn)應(yīng)用的轉(zhuǎn)換呢？
盡管網(wǎng)閘的安全原則定義了不做業(yè)務(wù)協(xié)議解析的原則，保障網(wǎng)閘隔離業(yè)務(wù)的效果。但對于業(yè)務(wù)本身可以設(shè)立自己的代理服務(wù)器，通過要交換數(shù)據(jù)的翻譯，實(shí)現(xiàn)業(yè)務(wù)的自動交換。
在內(nèi)外網(wǎng)設(shè)立業(yè)務(wù)數(shù)據(jù)交換的代理服務(wù)器，在內(nèi)外網(wǎng)的代理服務(wù)器成對出現(xiàn)，目的是建立業(yè)務(wù)訪問的邏輯連接代理。
代理服務(wù)器把業(yè)務(wù)的數(shù)據(jù)轉(zhuǎn)換成可以交換的數(shù)據(jù)文件，并且指定交換的發(fā)送人與接收人為內(nèi)外網(wǎng)的代理服務(wù)器。
從業(yè)務(wù)應(yīng)用的角度來看，這種業(yè)務(wù)數(shù)據(jù)代理方式與廠家在網(wǎng)閘中實(shí)現(xiàn)的協(xié)議解析有些相似，都實(shí)現(xiàn)了業(yè)務(wù)訪問的內(nèi)外網(wǎng)互通，但從整個(gè)網(wǎng)絡(luò)的安全角度上看，是有根本區(qū)別的：
通過網(wǎng)閘沒有應(yīng)用協(xié)議，業(yè)務(wù)應(yīng)用在內(nèi)外網(wǎng)中間是中斷的。
業(yè)務(wù)數(shù)據(jù)交換代理是針對每個(gè)需要內(nèi)外網(wǎng)大量數(shù)據(jù)交換的業(yè)務(wù)開發(fā)的，業(yè)務(wù)針對性強(qiáng)，認(rèn)證、加密等方式各不相同，由于業(yè)務(wù)開發(fā)的認(rèn)證、加密屬于私密處理，每個(gè)應(yīng)用都不相同，被攻擊的可能比較小。即使有攻擊，也只能針對本業(yè)務(wù)，不會擴(kuò)展到內(nèi)網(wǎng)的其他業(yè)務(wù)。
與進(jìn)行協(xié)議解析相比，網(wǎng)閘解析協(xié)議開通的是一類協(xié)議的所有應(yīng)用，而業(yè)務(wù)代理是針對一個(gè)應(yīng)用的開通。協(xié)議原理比較公開，被利用攻擊的可能性較高，即使使用安全的用戶身份確認(rèn)技術(shù)，也不能與應(yīng)用不同而改變，當(dāng)應(yīng)用增多時(shí)，危險(xiǎn)增大。而代理服務(wù)的數(shù)據(jù)轉(zhuǎn)換是業(yè)務(wù)本身開發(fā)的，根據(jù)業(yè)務(wù)本身的安全級別要求，采取各自的身份確認(rèn)機(jī)制，與應(yīng)用的融合性好，對業(yè)務(wù)使用者本身的權(quán)限管理也比較嚴(yán)格，對資源的安全管理粒度也比較細(xì)。
網(wǎng)閘的設(shè)計(jì)目標(biāo)：保證業(yè)務(wù)通訊隔離的基礎(chǔ)上，實(shí)現(xiàn)數(shù)據(jù)交換，其關(guān)鍵是安全性的延續(xù)，所以網(wǎng)閘的設(shè)計(jì)重點(diǎn)不僅是隔離與交換的控制邏輯設(shè)計(jì)上，而且包括業(yè)務(wù)代理的實(shí)現(xiàn)模式上。通過網(wǎng)閘實(shí)現(xiàn)業(yè)務(wù)數(shù)據(jù)自動交換。
網(wǎng)閘技術(shù)的需求來自內(nèi)網(wǎng)與外網(wǎng)數(shù)據(jù)互通的要求，比如政府的電子政務(wù)是對公眾服務(wù)，與互聯(lián)網(wǎng)連通，而內(nèi)網(wǎng)的政府辦公網(wǎng)絡(luò)，由于保密的要求，內(nèi)網(wǎng)若與網(wǎng)連通，則面臨來自公網(wǎng)的各種威脅。安全專家給出的建議是：由于目前的安全技術(shù)，無論防火墻、UTM等防護(hù)系統(tǒng)都不能保證攻擊的一定阻斷，入侵檢測等監(jiān)控系統(tǒng)也不能保證入侵行為完全捕獲，所以最安全的方式就是物理的分開，所以在公安部的技術(shù)要求中，要求電子政務(wù)的內(nèi)、外網(wǎng)絡(luò)之間“物理隔離”。沒有連接，來自外網(wǎng)對內(nèi)網(wǎng)的攻擊就無從談起。
但是，網(wǎng)絡(luò)的物理隔離，給數(shù)據(jù)的通訊帶來很多不便，比如工作人員出差只能接入互聯(lián)網(wǎng)，要取得內(nèi)網(wǎng)的文件就沒有辦法，只能讓辦公室的人把文件放在外網(wǎng)上。另外，內(nèi)網(wǎng)辦公系統(tǒng)需要從外網(wǎng)提供的統(tǒng)計(jì)數(shù)據(jù)，由于服務(wù)隔離，數(shù)據(jù)的獲取也很困難。因此，隨著網(wǎng)絡(luò)業(yè)務(wù)的日益成熟，數(shù)據(jù)交換的需求提議強(qiáng)烈。
最初的解決辦法就是人工的“傳遞”，用U盤或光盤在內(nèi)外網(wǎng)之間倒換數(shù)據(jù)。隨著業(yè)務(wù)的增多，數(shù)據(jù)量的擴(kuò)大，人工的方式顯然成為很多業(yè)務(wù)的瓶頸，在內(nèi)、外網(wǎng)之間建立一個(gè)既符合“物理隔離”安全要求，又能進(jìn)行數(shù)據(jù)交換的設(shè)備或解決方案，這就誕生了網(wǎng)閘技術(shù)。
網(wǎng)閘實(shí)現(xiàn)的是個(gè)安全的概念，與防火墻等網(wǎng)絡(luò)安全設(shè)備不同的地方是他阻斷通訊的連接，只完成數(shù)據(jù)的交換，沒有業(yè)務(wù)的連接，攻擊就沒有了載體，如同網(wǎng)絡(luò)的“物理隔離”。網(wǎng)閘其實(shí)就是模擬人工數(shù)據(jù)倒換，利用中間數(shù)據(jù)倒換區(qū)，分時(shí)地與內(nèi)外網(wǎng)連接，但一個(gè)時(shí)刻只與一個(gè)網(wǎng)絡(luò)連接，保持“物理的分離”，實(shí)現(xiàn)數(shù)據(jù)的倒換。這就象從前長江上的擺渡船，既沒有“物理的連接”大橋，也實(shí)現(xiàn)了貨物的交換。
其實(shí)，除了電子政務(wù)內(nèi)外網(wǎng)的交換需求，其他各種涉密網(wǎng)絡(luò)與公用網(wǎng)絡(luò)的互聯(lián)都有這種需求，比如：廣電的編播網(wǎng)和互聯(lián)網(wǎng)、電力的控制網(wǎng)與辦公網(wǎng)、海關(guān)的運(yùn)行網(wǎng)和報(bào)關(guān)查詢網(wǎng)絡(luò)、銀行的業(yè)務(wù)網(wǎng)與網(wǎng)上銀行網(wǎng)絡(luò)等等。
二、網(wǎng)閘的實(shí)現(xiàn)原理
網(wǎng)閘是實(shí)現(xiàn)兩個(gè)相互業(yè)務(wù)隔離的網(wǎng)絡(luò)之間的數(shù)據(jù)交換，通用的網(wǎng)閘模型設(shè)計(jì)一般分三個(gè)基本部分：
內(nèi)網(wǎng)處理單元
外網(wǎng)處理單元
隔離與交換控制控制單元
三個(gè)單元都要求其軟件的操作系統(tǒng)是安全的，也就是采用非通用的操作系統(tǒng)，或改造后的專用操作系統(tǒng)。一般為Unix BSD或Linux的變種版本，或者其他是嵌入式操作系統(tǒng)VxWorks等，但都要對底層不需要的協(xié)議、服務(wù)刪除，使用的協(xié)議優(yōu)化改造，增加安全特性，同時(shí)提高效率。
內(nèi)網(wǎng)處理單元：
包括內(nèi)網(wǎng)接口單元與內(nèi)網(wǎng)數(shù)據(jù)緩沖區(qū)。
接口部分負(fù)責(zé)與內(nèi)網(wǎng)的連接，并終止內(nèi)網(wǎng)用戶的網(wǎng)絡(luò)連接，對數(shù)據(jù)進(jìn)行病毒檢測、防火墻、入侵防護(hù)等安全檢測后剝離出“純數(shù)據(jù)”，作好交換的準(zhǔn)備，也完成來自內(nèi)網(wǎng)對用戶身份的確認(rèn)，確保數(shù)據(jù)的安全通道；
數(shù)據(jù)緩沖區(qū)是存放并調(diào)度剝離后的數(shù)據(jù)，負(fù)責(zé)與隔離交換單元的數(shù)據(jù)交換。
外網(wǎng)處理單元：與內(nèi)網(wǎng)處理單元功能相同，但處理的是外網(wǎng)連接。
隔離與交換控制單元：是網(wǎng)閘隔離控制的擺渡控制，控制交換通道的開啟與關(guān)閉。控制單元中包含一個(gè)數(shù)據(jù)交換區(qū)，就是數(shù)據(jù)交換中的擺渡船。對交換通道的控制的方式目前有兩種技術(shù)，擺渡開關(guān)與通道控制。擺渡開關(guān)是電子倒換開關(guān)，讓數(shù)據(jù)交換區(qū)與內(nèi)外網(wǎng)在任意時(shí)刻的不同時(shí)連接，形成空間間隔GAP，實(shí)現(xiàn)物理隔離。通道方式是在內(nèi)外網(wǎng)之間改變通訊模式，中斷了內(nèi)外網(wǎng)的直接連接，采用私密的通訊手段形成內(nèi)外網(wǎng)的物理隔離。該單元中有一個(gè)數(shù)據(jù)交換區(qū)，作為交換數(shù)據(jù)的中轉(zhuǎn)。
在內(nèi)外網(wǎng)處理單元中，接口處理與數(shù)據(jù)緩沖之間的通道，稱內(nèi)部通道1，緩沖區(qū)與交換區(qū)之間的通道，稱內(nèi)部通道2。對內(nèi)部通道的開關(guān)控制，就可以形成內(nèi)外網(wǎng)的隔離。模型中的用中間的數(shù)據(jù)交換區(qū)擺渡數(shù)據(jù)，稱為三區(qū)模型；擺渡時(shí)，交換區(qū)的總線分別與內(nèi)、外網(wǎng)緩沖區(qū)連接，也就是內(nèi)部通道2的控制，完成數(shù)據(jù)交換。
還有一種方式是取消數(shù)據(jù)交換區(qū)，分別交互控制內(nèi)部通道1與內(nèi)部通道2，形成二區(qū)模型。
二區(qū)模型的數(shù)據(jù)擺渡分兩次：先是連接內(nèi)、外網(wǎng)數(shù)據(jù)緩沖區(qū)的內(nèi)部通道2斷開，內(nèi)部通道1連接，內(nèi)外網(wǎng)接口單元將要交換的數(shù)據(jù)接收過來，存在各自的緩沖區(qū)中，完成一次擺渡。然后內(nèi)部通道1斷開，內(nèi)部通道2連接，內(nèi)外網(wǎng)的數(shù)據(jù)緩沖區(qū)與各自的接口單元斷開后，兩個(gè)緩沖區(qū)連接，分別把要交換的數(shù)據(jù)交換到對方的緩沖區(qū)中，完成數(shù)據(jù)的二次擺渡。
內(nèi)部通道一般也采用非通用網(wǎng)絡(luò)的通訊連接，讓來自兩端的可能攻擊終止于接口單元，從而增強(qiáng)網(wǎng)閘的隔離效果。所以內(nèi)部通道一般選用網(wǎng)絡(luò)、SCSI、IDE、USB、PCI等方式。
網(wǎng)閘設(shè)計(jì)的目的，是隔離內(nèi)外網(wǎng)業(yè)務(wù)連接的前提下，實(shí)現(xiàn)安全的數(shù)據(jù)交換。也就是安全專家描述的：協(xié)議落地，數(shù)據(jù)交換。
三、隔離概念的變化
嚴(yán)格地講，物理隔離因該沒有物理通訊連接，也包括無線通訊，消除了通訊的可能，入侵就沒有了載體，但同時(shí)數(shù)據(jù)交換也成了難題。
網(wǎng)閘在發(fā)展過程中，對隔離的定義也經(jīng)歷了幾個(gè)過程：
1. 物理隔離：模擬人工交換的過程，必須在內(nèi)外網(wǎng)的節(jié)點(diǎn)機(jī)上進(jìn)行數(shù)據(jù)交換，不能實(shí)現(xiàn)網(wǎng)絡(luò)上任意計(jì)算機(jī)的數(shù)據(jù)交換。
2. 網(wǎng)絡(luò)隔離：在簡單交換的基礎(chǔ)上，對文件傳輸協(xié)議的數(shù)據(jù)打包交換，實(shí)現(xiàn)了網(wǎng)絡(luò)上任意信息點(diǎn)的數(shù)據(jù)交換。
3. 協(xié)議隔離：能對文件協(xié)議代理，就可以對其他應(yīng)用協(xié)議代理，如Http，實(shí)現(xiàn)了應(yīng)用數(shù)據(jù)的直接交換。
物理隔離是指只有文件級交換的網(wǎng)閘，網(wǎng)絡(luò)隔離與協(xié)議隔離是隔離概念的進(jìn)一步弱化，根據(jù)要隔離網(wǎng)絡(luò)的安全性要求，選擇不同的隔離技術(shù)。但把協(xié)議隔離當(dāng)作物理隔離保證安全就成了網(wǎng)閘產(chǎn)品技術(shù)的誤區(qū)了。
四、網(wǎng)閘設(shè)計(jì)中的誤區(qū)
網(wǎng)閘利用隔離業(yè)務(wù)連接阻斷用戶業(yè)務(wù)連接，完成數(shù)據(jù)的交換。但是由于網(wǎng)閘兩端的網(wǎng)絡(luò)出口，直接連在內(nèi)外網(wǎng)的節(jié)點(diǎn)上，沒有其他的中間代理，各種應(yīng)用協(xié)議連接直接到達(dá)網(wǎng)閘的接口，從用戶角度來講，看到的是一個(gè)內(nèi)外網(wǎng)互通服務(wù)，好像在內(nèi)外網(wǎng)間建立了連接，只是時(shí)延大一些，也就是說建立了邏輯的連接。網(wǎng)閘好像是一個(gè)網(wǎng)絡(luò)堡壘機(jī)。
大多數(shù)網(wǎng)閘廠家在設(shè)計(jì)網(wǎng)閘產(chǎn)品時(shí)，為了方便客戶業(yè)務(wù)的方便，在內(nèi)外網(wǎng)接口上解析各種應(yīng)用協(xié)議，一方面剝離成數(shù)據(jù)，另一面有恢復(fù)成應(yīng)用協(xié)議，網(wǎng)閘可以根據(jù)安全檢測的結(jié)果，合乎要求的讓通過，不合要求的就阻斷。這樣不僅僅實(shí)現(xiàn)數(shù)據(jù)的交換，而且實(shí)現(xiàn)了業(yè)務(wù)應(yīng)用的代理訪問，有些網(wǎng)閘產(chǎn)品實(shí)現(xiàn)了外網(wǎng)的訪問者訪問內(nèi)網(wǎng)的服務(wù)器。這種解析不僅有覆蓋常見應(yīng)用協(xié)議的趨勢，而且對數(shù)據(jù)庫的訪問也代理通過，為緩沖區(qū)溢出、SQL注入等攻擊提供了生存的溫床。網(wǎng)閘成了名副其實(shí)的集裝箱擺渡。
由于應(yīng)用協(xié)議的解析，應(yīng)用可以通過網(wǎng)閘，攻擊也有了載體，網(wǎng)閘的安全就依賴于網(wǎng)閘的安全檢測技術(shù)。物理隔離的含義是作為攻擊載體的應(yīng)用協(xié)議被中斷，入侵與攻擊才沒有進(jìn)入的路徑，隔離達(dá)到安全的目的。所以網(wǎng)閘要“破壞”是業(yè)務(wù)的協(xié)議，而不是代理。這比如：火車可以通過擺渡繼續(xù)整列車行進(jìn)，而網(wǎng)閘因該把貨物的組合徹底打散，這邊是用火車，到了對岸，用汽車還是馬車就不一定了?；谶@種方式，網(wǎng)絡(luò)攻擊行為中比較難探測的分散隱藏就不容易了。
網(wǎng)閘的安全檢測技術(shù)與目前各種安全網(wǎng)關(guān)類產(chǎn)品的檢測技術(shù)應(yīng)該一致，所以若能通過網(wǎng)閘建立業(yè)務(wù)連接的話，網(wǎng)閘的功能就與用防火墻等安全網(wǎng)關(guān)類設(shè)備建立的網(wǎng)絡(luò)連接是同樣的安全效果了。
因此，解析應(yīng)用協(xié)議，成為應(yīng)用代理的網(wǎng)閘實(shí)際上成為一個(gè)邏輯上的安全網(wǎng)關(guān)，滿足了數(shù)據(jù)交換的功能，但失去了網(wǎng)絡(luò)隔離的效果。
五、網(wǎng)閘安全原則的定義
網(wǎng)閘對業(yè)務(wù)協(xié)議的解析給網(wǎng)閘帶來新的安全問題，所以不是說功能越豐富越好，從網(wǎng)閘處于網(wǎng)絡(luò)中的位置，以及要實(shí)現(xiàn)的目的，網(wǎng)閘應(yīng)該有自己的安全設(shè)計(jì)原則。
使用網(wǎng)閘的目的是為了隔離業(yè)務(wù)的同時(shí)，進(jìn)行安全的數(shù)據(jù)交換。從安全服務(wù)的角度講，網(wǎng)閘開通的服務(wù)種類越少，被攻擊的可能性越小，網(wǎng)閘可交換的數(shù)據(jù)類型越少，隱含攻擊的可能越小。網(wǎng)閘的安全原則定義為：
單一服務(wù)：
只完成數(shù)據(jù)文件的交換，只完成文件形式的數(shù)據(jù)交換。
其他的服務(wù)一律關(guān)閉
定向交換：在數(shù)據(jù)交換時(shí)指定接收人、發(fā)送人
網(wǎng)閘不支持應(yīng)用協(xié)議解析，不透傳業(yè)務(wù)應(yīng)用，只進(jìn)行文件數(shù)據(jù)的擺渡，對于Http、SMTP、FTP等協(xié)議無法通過，數(shù)據(jù)庫的訪問就更加不能通過，網(wǎng)閘只起到數(shù)據(jù)的擺渡，不支持應(yīng)用的互通，應(yīng)用協(xié)議的終止，讓入侵、攻擊徹底失去了傳播的載體。
定義了安全原則的網(wǎng)閘安全性分析：
指定內(nèi)外網(wǎng)的發(fā)送與接收人：數(shù)據(jù)交換是提供點(diǎn)到點(diǎn)的數(shù)據(jù)交換服務(wù)，方便數(shù)據(jù)交換的審計(jì)，方便問題定位到源頭。避免第三者冒充、截獲信息重放等攻擊的發(fā)生。
只選擇文件級的交換：采用文件級交換，而不是數(shù)據(jù)包級交換，是因?yàn)槲募鄬π畔⑼暾苊馊湎x式的分片隱藏。交換的信息單元之間沒有關(guān)聯(lián)，無需網(wǎng)閘進(jìn)行信息還原、重組(這需要大量的緩沖區(qū))。
只選擇文件交換，內(nèi)外網(wǎng)沒有通訊的連接，來自外網(wǎng)的黑客遠(yuǎn)程攻擊因?yàn)闆]有遙控線路而難以實(shí)現(xiàn)，對內(nèi)網(wǎng)的業(yè)務(wù)進(jìn)行攻擊只有發(fā)自內(nèi)網(wǎng)本身的病毒、蠕蟲，這就實(shí)現(xiàn)了和人工數(shù)據(jù)擺渡同樣的安全效果。
文件的內(nèi)容安全可以對發(fā)送者身份認(rèn)證來保證。文件附著的病毒、蠕蟲、木馬等的檢測是靜態(tài)檢測，可以通過對交換文件格式的規(guī)范，讓他們難以躲藏。實(shí)際系統(tǒng)中，網(wǎng)閘可以根據(jù)應(yīng)用系統(tǒng)對安全級別的要求，選擇性交換無格式文本文件，Word等有格式的文檔文件，壓縮文件，可執(zhí)行文件等交換文件的格式，降低交換文件隱藏病毒、木馬的機(jī)會。
六、通過網(wǎng)閘實(shí)現(xiàn)業(yè)務(wù)自動交換的方法
使用網(wǎng)閘，只提供數(shù)據(jù)的文件的點(diǎn)到點(diǎn)交換，這對于支持內(nèi)外網(wǎng)大量數(shù)據(jù)通訊的應(yīng)用是顯然不夠的，如何實(shí)現(xiàn)應(yīng)用的轉(zhuǎn)換呢？
盡管網(wǎng)閘的安全原則定義了不做業(yè)務(wù)協(xié)議解析的原則，保障網(wǎng)閘隔離業(yè)務(wù)的效果。但對于業(yè)務(wù)本身可以設(shè)立自己的代理服務(wù)器，通過要交換數(shù)據(jù)的翻譯，實(shí)現(xiàn)業(yè)務(wù)的自動交換。
在內(nèi)外網(wǎng)設(shè)立業(yè)務(wù)數(shù)據(jù)交換的代理服務(wù)器，在內(nèi)外網(wǎng)的代理服務(wù)器成對出現(xiàn)，目的是建立業(yè)務(wù)訪問的邏輯連接代理。
代理服務(wù)器把業(yè)務(wù)的數(shù)據(jù)轉(zhuǎn)換成可以交換的數(shù)據(jù)文件，并且指定交換的發(fā)送人與接收人為內(nèi)外網(wǎng)的代理服務(wù)器。
從業(yè)務(wù)應(yīng)用的角度來看，這種業(yè)務(wù)數(shù)據(jù)代理方式與廠家在網(wǎng)閘中實(shí)現(xiàn)的協(xié)議解析有些相似，都實(shí)現(xiàn)了業(yè)務(wù)訪問的內(nèi)外網(wǎng)互通，但從整個(gè)網(wǎng)絡(luò)的安全角度上看，是有根本區(qū)別的：
通過網(wǎng)閘沒有應(yīng)用協(xié)議，業(yè)務(wù)應(yīng)用在內(nèi)外網(wǎng)中間是中斷的。
業(yè)務(wù)數(shù)據(jù)交換代理是針對每個(gè)需要內(nèi)外網(wǎng)大量數(shù)據(jù)交換的業(yè)務(wù)開發(fā)的，業(yè)務(wù)針對性強(qiáng)，認(rèn)證、加密等方式各不相同，由于業(yè)務(wù)開發(fā)的認(rèn)證、加密屬于私密處理，每個(gè)應(yīng)用都不相同，被攻擊的可能比較小。即使有攻擊，也只能針對本業(yè)務(wù)，不會擴(kuò)展到內(nèi)網(wǎng)的其他業(yè)務(wù)。
與進(jìn)行協(xié)議解析相比，網(wǎng)閘解析協(xié)議開通的是一類協(xié)議的所有應(yīng)用，而業(yè)務(wù)代理是針對一個(gè)應(yīng)用的開通。協(xié)議原理比較公開，被利用攻擊的可能性較高，即使使用安全的用戶身份確認(rèn)技術(shù)，也不能與應(yīng)用不同而改變，當(dāng)應(yīng)用增多時(shí)，危險(xiǎn)增大。而代理服務(wù)的數(shù)據(jù)轉(zhuǎn)換是業(yè)務(wù)本身開發(fā)的，根據(jù)業(yè)務(wù)本身的安全級別要求，采取各自的身份確認(rèn)機(jī)制，與應(yīng)用的融合性好，對業(yè)務(wù)使用者本身的權(quán)限管理也比較嚴(yán)格，對資源的安全管理粒度也比較細(xì)。
網(wǎng)閘的設(shè)計(jì)目標(biāo)：保證業(yè)務(wù)通訊隔離的基礎(chǔ)上，實(shí)現(xiàn)數(shù)據(jù)交換，其關(guān)鍵是安全性的延續(xù)，所以網(wǎng)閘的設(shè)計(jì)重點(diǎn)不僅是隔離與交換的控制邏輯設(shè)計(jì)上，而且包括業(yè)務(wù)代理的實(shí)現(xiàn)模式上。通過網(wǎng)閘實(shí)現(xiàn)業(yè)務(wù)數(shù)據(jù)自動交換。
