政府网络中物理隔离技术的应用

　　一、我国网络信息安全现状

　　随着政府上网、海关上网、电子商务等一系列网络应用的蓬勃发展，Internet正在逐渐融入到社会的各个方面。一方面，网络用户成分越来越多样化，出于各种目的的网络入侵和攻击越来越频繁；另一方面，网络应用越来越深地渗透到金融、商务、国防等等关键要害领域。换言之，Internet网的安全，包括其中的信息数据安全和网络设备服务的运行安全，日益成为与国家、政府、企业的利益休戚相关的"大事情"。 安全保障能力是新世纪一个国家综合国力、经济竞争实力和生存能力的重要组成部分。不夸张地说，它在下个世纪里完全可以与核武器对一个国家的重要性相提并论。这个问题解决不好，将全方位地危及我国的政治、军事、经济、文化、社会生活的各个方面，使国家处于信息战和高度经济金融风险的威胁之中。

　　在政府网络中，内部网络上有着大量高度机密的数据和信息，网络安全是放在首位的。如果网络安全得不到保证，那么将会给国家、社会及网络用户带来严重威胁，可能造成政治、经济等各方面的巨大损失。在政府工作不断地实现信息化、高效便捷的同时，安全保护成了亟待解决的问题。

　　二、现有的安全解决方案

　　面对网络安全的威胁，现在常用的安全防护方法主要有：

　　◆ 软件解决方案

　　◆ 法规和行政命令

　　◆ 物理隔离方案

　　软件解决方案

　　现在正在广泛应用的是许多复杂的软件及部分硬件技术，如用防火墙、代理服务器、入侵探测器、通道控制等手段来降低来自Internet的危险。但是，任何此类基于软件的保护都是一种逻辑机制，用预先设置的规则来检测和拒绝可能有害的操作或信息。但这些防护都可能被破解，在美丽莎事件中，软件基础上的安全工具面对完全陌生的病毒无计可施。

　　从这一角度来说，软件技术可以保障网络的正常运作和常规安全保障，但并不能满足一个高度机密部门的内部涉密网的万全的安全要求。

　　法规和行政命令

　　法规和行政命令对安全工作是绝对必须的，严格的工作纪律是安全防护的重要保证。但是同样不能排除在工作中的稍稍疏忽，可能会破坏行政规则，泄露机密信息。况且我们不能排除故意泄密或破坏的存在。

　　物理隔离方案

　　采用硬件物理隔离方案，即将内部涉密网与外部网彻底地物理隔离开，没有任何线路连接。这样可以保证网上黑客无法连接内部涉密网，具有极高的安全性。普通的物理隔离方法虽然安全。但也造成了工作不便、数据交流困难、设备场地增加和维护费用加大等负面影响。

　　三、物理隔离解决方案在政府网络中的应用

　　按照国家有关政策的要求，政府上网必须实行网络的内外网划分，及实现内外网的物理隔离。这是解决政府信息化过程中机密信息安全问题的必要方法。用物理隔离产品可对各种环境下网络和单机进行信息安全保护。下面只列举几个简单的方案说明。

　　单内网解决方案

　　这种方案适合小型的单网结构的局域网。在一些小规模的政府部门中（如只有5-15台计算机组成的网络），由于功能比较单一，没有必要划分几个网络，同时为节约成本，只有部分工作站节点机需要单独通过Modem等拨号设备接入Internet网。这样可以在需要接入Internet的工作站节点计算机上安装物理隔离产品，让其能够在与网络隔离的状态下拨号上网，确保内部网络的安全。如下图所示。

　　图1 单内网解决方案

　　远程解决方案

　　适用各种让远程计算机在安全环境下连接到内部安全网络中的案例上。例如一个政府部门的信息中心向分布在城市各处的分支机构查询数据，或分支机构向信息中心汇总数据时，需要有非常安全的措施保障内部网络不受非法侵犯。如下图所示。

　　图2 远程解决方案

　　双网解决方案

　　这种方案适合中大型机构的局域网布局。在这里，某个政府机构内的网络分为内部涉密网和外部公共网，其中公共网通过集中出口连接Internet（视需要也要安装防火墙、入侵检测及防病毒等措施），部分计算机需要能够接入两个网络，但同时又要保证内外网的完全物理隔离。还有一些机构的网络由于内部功能的划分，本身就有几个分离的网络，采用伟思（victory-idea）物理隔离方案将更好地把这些网络整合在一起，变为一个全范围公共网加上几个内部安全子网的多网互动的有效网络格局。

　　图3 双网工作站节点物理隔离解决方案

　　单线连接双网方案

　　伟思网络安全隔离集线器与安装了网络安全隔离卡的安全计算机配合使用可以满足对单网布线的要求，即桌面计算机只用一条网线就可连接到远端的双网上。如果用户因某种原因无法使用双网布线时，可采用此方案。如图：

　　图4 单线连接双网方案

　　四、解决方案中采用的物理隔离产品

　　1. 高端的单硬盘物理隔离产品

　　◇ 网络安全隔离卡

　　◇ 网络安全隔离集线器

　　以伟思公司的网络安全隔离卡和网络安全隔离集线器为例，其网络安全隔离卡是符合国家保密局认证的的单硬盘物理隔离产品。是与IBM-PC兼容的硬件PCI总线插卡产品。适用于X86平台的计算机或网络工作站上，在不增加其它硬件和软件成本、不用对系统重新设置的情况下，实现单台计算机连接内外两个网络，替代用独立的两套计算机网络实施的物理隔离方案。具有安全性能高、使用方便、维护费用低等特点。

　　图5 网络安全隔离卡

　　网络安全隔离卡通过卡上的硬件逻辑控制器实现在物理层的访问控制，其安全防护完全符合物理隔离的要求。同时采用了硬件钥匙来保证隔离卡本身的安全不被攻破。因此，在工作状态下，不论是远端的黑客还是坐在本机旁的其他人员都无法破解安全计算机的防护。

　　网络安全隔离集线器是一种多路开关切换设备，它与网络安全隔离卡配合使用。它具有标准的RJ45接口，入口与网络安全隔离卡相连，出口分别与内外网络的集线器（HUB）相连。它检测网络安全隔离卡发出的特殊信号，识别出所连接的计算机，自动将其网络线切换至相应的网络HUB上。实现多台独立的安全计算机与内外两个网络的安全连接以及自动切换，进一步提高了系统的安全性。并且解决了多网布线问题，可以让连接两个网络的安全计算机只通过一条网络线即可与多网切换连接。对现存网络改进有较大帮助。

　　单硬盘物理隔离产品的功能特点：

　　采用单机、单卡、单硬盘解决网络安全问题。

　　单硬盘物理隔离技术，拥有与众不同的特点：

　　1. 在现有计算机上不增加任何成本，便能够安全地连接内外两个网络，计算机原有操作系统可继续应用；

　　2.由单硬盘分区为安全区和公共区，分别安装有独立的操作系统，分别连接内外两个网络，并完全采用硬件方案对硬盘不同分区的数据及内网和外网进行隔离，保证系统的数据安全；

　　3.特有的转换技术保证完全的转换控制，内外网切换只需点击图标实现热切换，用户操作界面友好，简洁方便；

　　4. 特设的硬盘数据交换区可以让内外网间在安全条件下，按设定的单向方式交换数据；

　　5. 在安全区及内网连接状态下可以禁用软驱、光驱等设备防止内部数据泄密；

　　6. 卡上集成多项功能，适用于各种不同的网络环境下；

　　7. 兼容多种操作系统，不占用任何系统资源，不影响系统运行速度;

　　8. 网络安全隔离卡和网络安全隔离集线器配合使用，可以使工作站计算机用单网线控制远端切换连接内外双网，解决了连接内外双网的布线问题。

　　2. 低端的双硬盘物理隔离产品

　　◇双硬盘物理隔离卡

　　以伟思双硬盘物理隔离卡为例，相对于高端的单硬盘伟思网络安全隔离卡是一种成本较低、功能相对简单的产品，但它是当前双硬盘物理隔离产品中性能最高、功能最全、性能价格比最好的产品之一。适用于上面所述的各项政府网络物理隔离解决方案。

　　伟思双硬盘物理隔离卡具有如下特点：

　　1. 安全计算机中采用双硬盘，A硬盘中存储一套操作系统用于与内部涉密网相连，B硬盘中存储另一套操作系统用于与外部公共网相连；

　　2. 隔离卡插入计算机PCI插槽内，A、B两个硬盘的电源通过隔离卡接到计算机电源上，隔离卡上可连接两条网络线及两条Modem线，并可通过继电器对其接通或切断；

　　3. 隔离卡根据当前的计算机状态控制网络隔离状态，两个硬盘必须分时工作，两条网络线也同样分时接通；

　　4. 切换采用操作系统界面上的图标，不需要硬开关，只要点击屏幕上的图标即可实现内外网操作系统的热转换。如图所示.

　　图6 控制界面

　　结束语

　　政府网络安全是国家网络安全的基石，也是针对未来的信息战来加强国防建设的重要基础。一般来说，安全性越高，其实现就越复杂，费用也相应的越高。对于政府部门来说，就需要对网络中需保护的信息和数据进行详细的经济性评估，决定投资强度。企业的网络安全工作可以根据本企业的主营方向来决定建设自己的网络安全服务队伍还是购买市场上的服务。网络安全的技术研究在国内起步较晚，虽然目前许多网络专家开始注意并研究相关的技术，但是总体来说网络安全技术的专门人才还比较缺乏。因此多数网络的建设者和运行者并不拥有相应的技术力量。