正反向隔离装置(网闸)

摘要:
物理隔离的目的是保护网络设备、计算机和其他硬件实体以及通信链路免受自然灾害、人为破坏和窃听攻击。这些在线分析技术无法提供机密相关组织提出的高数据安全要求。A、 转发安全隔离设备1。确保两个安全区域之间以非网络模式进行数据交换,并确保安全隔离装置内外的两个处理系统不同时连接;即,从安全区III到安全区I/II的TCP应答被禁止携带应用数据;

                                                                                                                正反向隔离装置(网闸)
     
                                           
一、安全区定义
根据电力二次系统的特点,划分为生产控制大区和管理信息大区。生产控制大区分为控制区(安全区Ⅰ)和非控制区(安全区Ⅱ)。信息管理大区分为生产管理区(安全区Ⅲ)和管理信息区(安全区Ⅳ)。不同安全区确定不同安全防护要求,其中安全区Ⅰ安全等级最高,安全区Ⅱ次之,其余依次类推。
安全区Ⅰ典型系统:调度自动化系统、变电站自动化系统、继电保护、安全自动控制系统等。
安全区Ⅱ典型系统:水库调度自动化系统、电能量计量系统、继保及故障录波信息管理系统等。
安全区Ⅲ典型系统:调度生产管理系统(DMIS)、雷电监测系统、统计报表系统等。
安全区Ⅳ典型系统:管理信息系统(MIS)、办公自动化系统(OA)、客户服务系统等。
二、物理隔离
物理隔离指内部网不直接或间接地连接公共网。物理隔离的目的是保护网络设备及计算机等硬件实体和通信链路免受自然灾害、人为破坏和搭线窃听攻击。只有使内部网和公共网物理隔离,才能真正保证内部信息网络不受来自互联网的黑客攻击。同时,物理隔离也为内部网划定了明确的安全边界,使得网络的可控性增强,便于内部管理。
在物理隔离技术出现之前,对网络的信息安全采取了许多措施,如在网络中增加防火墙、防病毒系统,对网络进行入侵检测、漏洞扫描等。由于这些技术的极端复杂性,安全控制十分有限性,这些在线分析技术无法提供涉密机构提出的高度数据安全要求。而且,此类软件的保护是一种逻辑机制,对于逻辑实体而言极易被操纵。因此,必须有一道绝对安全的大门,保证涉密网的信息不被泄露和破坏,这就是物理隔离所起的作用。
三、正反向隔离
电力系统按照安全等级的要求把计算机系统分为了I、II、III等。I和II之间要有防火墙,I/II区与III区之间则要在物理上做隔离。即I/II发到III区的数据要经过正向隔离装置,III区发到I/II区的数据要经过反向隔离装置。
正向隔离装置不接受III区的数据(最多只能过一个字节的数据),反向隔离装置只能容许III区的文件穿透到I区。
A.正向安全隔离装置
1.两个安全区之间的非网络方式的安全的数据交换,并且保证安全隔离装置内外两个处理系统不同时连通;
2.表示层与应用层数据完全单向传输,即从安全区III到安全区I/II的TCP应答禁止携带应用数据;
3.透明工作方式:虚拟主机IP地址、隐藏MAC地址
4.基于MAC、IP、传输协议、传输端口以及通信方向的综合报文过滤与访问控制;
5.支持NAT;
6.防止穿透性TCP联接:禁止两个应用网关之间直接建立TCP联接,将内外两个应用网关之间的TCP联接分解成内外两个应用网关分别到隔离装置内外两个网卡的两个TCP虚拟联接。隔离装置内外两个网卡在装置内部是非网络连接,且只允许数据单向传输;
7.具有可定制的应用层解析功能,支持应用层特殊标记识别;
8.安全、方便的维护管理方式:基于证书的管理人员认证,使用图形化的管理界面。
B.反向隔离装置
反向隔离装置用于从安全区III到安全区I/II传递数据,是安全区III到安全区I/II的唯一一个数据传递途径。反向隔离装置集中接收安全区III发向安全区I/II的数据,进行签名验证、内容过滤、有效性检查等处理后,转发给安全区I/II内部的接收程序具体过程如下: 
1.全区III内的数据发送端首先对需要发送的数据签名,然后发给反向隔离装置;
2.反向隔离装置接收数据后,进行签名验证,并对数据进行内容过滤、有效性检查等处理。
C.安全区I/II内部接收程序 
将处理过的数据转发给安全区I/II内部的接收程序,其功能如下:
1.有应用网关功能,实现应用数据的接收与转发;
2.具有应用数据内容有效性检查功能;
3.具有基于数字证书的数据签名/解签名功能;
4.实现两个安全区之间的非网络方式的安全的数据传递;
5.支持透明工作方式:虚拟主机IP地址、隐藏MAC地址;
6.支持NAT;
7.基于MAC、IP、传输协议、传输端口以及通信方向的综合报文过滤与访问控制;
8.防止穿透性TCP联接。
D.装置安全保障要点
隔离装置本身应该具有较高的安全防护能力,其安全性要求主要包括: 
1.用非INTEL指令系统的(及兼容)微处理器;
2.安全、固化的操作系统;
3.不存在设计与实现上的安全漏洞,抵御除Dos以外的已知的网络攻击。
四.网络隔离装置要点
1.一个网络隔离装置(作为阻塞点、控制点)能极大地提高一个监控系统的安全性,并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过网络隔离装置,所以网络环境变得更安全。如网络隔离装置可以禁止不安全的NFS协议进出保护网络,这样外部的攻击者就不可能利用这些脆弱的协议来攻击监控系统。网络隔离装置同时可以保护网络免受基于路由的攻击,如IP选项中的源路由攻击和ICMP重定向中的重定向路径。网络隔离装置应该可以拒绝所有以上类型攻击的报文并通知网络隔离装置管理员。 
2.通过以网络隔离装置为中心的安全方案配置,能将所有安全策略配置在网络隔离装置上。与将网络安全问题分散到各个主机上相比,网络隔离装置的集中安全管理更方便可靠。例如在网络访问时,监控系统通过加密口令/身份认证方式与其它信息系统通信,在电力监控系统基本上不可行,它意味监控系统要重新测试,因此用网络隔离装置集中控制,无需修改双端应用程序是最佳的选择。 
3.如果所有的访问都经过网络隔离装置,那么,网络隔离装置就能记录下这些访问并作出日志记录,同时也能提供网络使用情况的统计数据。当发生可疑动作时,网络隔离装置能进行适当的报警,并提供网络是否受到监测和攻击的详细信息。 
4.通过网络隔离装置对监控系统及其它信息系统的划分,实现监控系统重点网段的隔离,一个监控系统中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣,甚至因此而暴露了监控系统的某些安全漏洞。使用网络隔离装置就可以隐蔽那些透漏内部细节,例如网络隔离装置可以进行网络地址转换(NAT),这样一台主机IP地址就不会被外界所了解, 不会为外部攻击创造条件。

免责声明:文章转载自《正反向隔离装置(网闸)》仅用于学习参考。如对内容有疑问,请及时联系本站处理。

上篇谈HTML5和CSS3的国际化支持Hadoop启动时出现Unrecognized option: jvm的问题(收集)下篇

宿迁高防,2C2G15M,22元/月;香港BGP,2C5G5M,25元/月 雨云优惠码:MjYwNzM=

相关文章

【Shell脚本学习1】Shell简介:什么是Shell,Shell命令的两种执行方式

Shell本身是一个用C语言编写的程序,它是用户使用Unix/Linux的桥梁,用户的大部分工作都是通过Shell完成的。Shell既是一种命令语言,又是一种程序设计语言。作为命令语言,它交互式地解释和执行用户输入的命令;作为程序设计语言,它定义了各种变量和参数,并提供了许多在高级语言中才具有的控制结构,包括循环和分支。 它虽然不是Unix/Linux系...

【iOS】Instruments性能检测之耗电优化

  耗电优化最终目的:通过尽可能降低CPU、GPU功耗来降低手机电量消耗。   (1)尽可能少用定时器;   (2)优化I/O操作(所谓的I/O操作也就是文件操作,我们简称为I/O操作。怎么优化呢?尽量不要频繁写入小数据,最好批量一次性写入。读写大量主要的数据时,考虑用dispatch_io,其提供了基于GCD的异步操作文件I/O的API。用dispat...

CentOS 6.5的安装详解

转http://www.cnblogs.com/zlslch/p/5063709.html 不多说,直接上干货!   主流: 目前的Linux操作系统主要应用于生产环境, 主流企业级Linux系统仍旧是RedHat或者CentOS。   免费: RedHat 和CentOS差别不大,CentOS是一个基于Red Hat Linux 提供的可自由使用源代码的企...

CentOS 7上的系统管理之:Systemd和systemctl

参考资料: Chapter 10. Managing Services with systemd Red Hat Enterprise Linux 7 | Red Hat Customer Portal systemd - Wikipedia man手册:systemd(1)和systemctl(1) IBM developer works上,刘明老师关...

[转载]Linux大文件传输

http://www.kuqin.com/linux/20120207/317913.html 我们经常需要在机器之间传输文件。比如备份,复制数据等等。这个是很常见,也是很简单的。用scp或者rsync就能很好的完成任务。但是如果文件很大,需要占用一些传输时间的时候,怎样又快又好地完成任务就很重要了。在我的测试用例中,一个最佳的方案比最差的方案,性能提高...

轻松简单搭建Linux下的C#开发环境<转>

先看看本篇文章最终效果:在 Ubuntu 里跑的开 发环境 MonoDevelop   [图 片:MonoDevelop1.png]如 果平时主要开发控制台类、组件、后端服务等程序,可以尝试在Linux类操作系统下搭建C#.Net开发环境,好处是在Linux环境里你不用担心朋友或 同事拿你的电脑来玩魔兽世界或者一不小心被装了一大堆流氓软件 ;-)1、Lin...