偉思隔離網(wǎng)閘

通用解決方案?jìng)ニ技瘓F(tuán)目錄TOC\o"1-5"\h\z一、網(wǎng)絡(luò)信息安全概述 3二、安全需求分析 4\o"CurrentDocument"典型環(huán)境 4\o"CurrentDocument"潛在的網(wǎng)絡(luò)威脅分析 5\o"CurrentDocument"系統(tǒng)安全需求 6三、政府上網(wǎng)安全方案設(shè)計(jì) 6\o"CurrentDocument"政府上網(wǎng)安全模型 6\o"CurrentDocument"網(wǎng)絡(luò)隔離系統(tǒng)的設(shè)計(jì) 8ViGap隔離網(wǎng)閘 9四、售后服務(wù) 20\o"CurrentDocument"4.1售后服務(wù) 21\o"CurrentDocument"培訓(xùn)計(jì)劃 22一、網(wǎng)絡(luò)信息安全概述網(wǎng)絡(luò)安全的具體含義是隨著“角度”的變化而變化。比如：從用戶(hù)（個(gè)人、政府等）的角度來(lái)說(shuō)，他們希望涉及個(gè)人隱私或商業(yè)利益的信息在網(wǎng)絡(luò)上傳輸時(shí)受到機(jī)密性、完整性和真實(shí)性的保護(hù)，避免其他人或?qū)κ掷酶`聽(tīng)、冒充、篡改、抵賴(lài)等手段侵犯用戶(hù)的利益和隱私，同時(shí)也避免其它用戶(hù)的非授權(quán)訪(fǎng)問(wèn)和破壞。從網(wǎng)絡(luò)運(yùn)行和管理者角度說(shuō)，他們希望對(duì)本地網(wǎng)絡(luò)信息的訪(fǎng)問(wèn)、讀寫(xiě)等操作受到保護(hù)和控制，避免出現(xiàn)“陷門(mén)”、病毒、非法存取、拒絕服務(wù)和網(wǎng)絡(luò)資源非法占用和非法控制等威脅，制止和防御網(wǎng)絡(luò)黑客的攻擊。對(duì)安全保密部門(mén)來(lái)說(shuō)，他們希望對(duì)非法的、有害的或涉及國(guó)家機(jī)密的信息進(jìn)行過(guò)濾和防堵，避免機(jī)要信息泄露，避免對(duì)社會(huì)產(chǎn)生危害，對(duì)國(guó)家造成巨大損失?？偟恼f(shuō)來(lái)，網(wǎng)絡(luò)安全就是指對(duì)網(wǎng)絡(luò)中的數(shù)據(jù)信息提供完整性、機(jī)密性和可用性的網(wǎng)絡(luò)安全服務(wù)，使網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到嚴(yán)格保護(hù)，不因偶然或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。信息安全所涉及的內(nèi)容與信息系統(tǒng)的功能密切相關(guān)。例如，提供網(wǎng)上數(shù)據(jù)傳輸功能的系統(tǒng)，需要考慮網(wǎng)上傳輸信息的安全性問(wèn)題；作為數(shù)據(jù)中心的數(shù)據(jù)庫(kù)服務(wù)器，需要重點(diǎn)考慮存儲(chǔ)數(shù)據(jù)的安全保護(hù)問(wèn)題；為眾多用戶(hù)提供數(shù)據(jù)訪(fǎng)問(wèn)的服務(wù)的主機(jī)系統(tǒng)，則需要考慮對(duì)登錄主機(jī)用戶(hù)的認(rèn)證和對(duì)合法用戶(hù)數(shù)據(jù)訪(fǎng)問(wèn)權(quán)限的控制等等。因此，網(wǎng)絡(luò)安全環(huán)境的建立沒(méi)有固定的模式，必須依據(jù)實(shí)際的應(yīng)用需求采取適當(dāng)?shù)陌踩胧?。隨著網(wǎng)絡(luò)安全等級(jí)的提高，網(wǎng)絡(luò)使用的便利性將不可避免地隨之下降，而安全維護(hù)成本將急劇升高，因此，在考慮網(wǎng)絡(luò)信息的安全問(wèn)題時(shí)，盲目地提高安全強(qiáng)度反而容易使系統(tǒng)因使用不便、效率低和維護(hù)困難而失去使用價(jià)值。二、安全需求分析典型環(huán)境與過(guò)去單機(jī)撥號(hào)上網(wǎng)方式不同，目前政府上網(wǎng)主要是通過(guò)設(shè)置代理服務(wù)器或NAT方式,利用電信服務(wù)商提供的ISDN、ADSL以及光纖等寬帶線(xiàn)路，使整個(gè)局域網(wǎng)或部分PC通過(guò)代理網(wǎng)關(guān)整體上網(wǎng)。為了電子商務(wù)的需要，政府還有可能在該網(wǎng)絡(luò)域內(nèi)配置WEB和郵件服務(wù)器,為上網(wǎng)員工提供大容量快速的EMAIL服務(wù)，并為外部用戶(hù)提供政府信息訪(fǎng)問(wèn)站點(diǎn)。為保證在訪(fǎng)問(wèn)互連網(wǎng)時(shí)內(nèi)部網(wǎng)絡(luò)的安全，通用的做法是在局域網(wǎng)邊界處放置防火墻，實(shí)現(xiàn)一定的訪(fǎng)問(wèn)控制，并掩飾內(nèi)部網(wǎng)絡(luò)。如圖所示，是目前典型的政府上網(wǎng)模式。INTERNET典型企業(yè)上網(wǎng)環(huán)境該方式同以前的單機(jī)上網(wǎng)方式相比，具有較高的安全性和可管理性。整個(gè)內(nèi)部網(wǎng)被防火墻保護(hù)，通過(guò)防火墻的規(guī)則設(shè)置能產(chǎn)生一定的訪(fǎng)問(wèn)控制能力，阻止外網(wǎng)黑客對(duì)內(nèi)網(wǎng)的攻擊，保護(hù)內(nèi)部網(wǎng)的設(shè)備安全。同時(shí)，對(duì)于代理型防火墻或應(yīng)用代理服務(wù)器來(lái)說(shuō)，也可以集中管理內(nèi)網(wǎng)用戶(hù)的對(duì)外訪(fǎng)問(wèn)策略，對(duì)訪(fǎng)問(wèn)活動(dòng)進(jìn)行有限度的審計(jì)，如限定訪(fǎng)問(wèn)時(shí)間、記錄訪(fǎng)問(wèn)活動(dòng)潛在的網(wǎng)絡(luò)威脅分析網(wǎng)絡(luò)上的攻擊手段層出不窮，DDOS攻擊、漏洞、木馬、cookie，危險(xiǎn)的ACTIVEX等攻擊并不是防火墻能完全防御的。在以上的網(wǎng)絡(luò)環(huán)境中，政府上網(wǎng)還存在以下的威脅：（1） 內(nèi)部網(wǎng)的安全問(wèn)題。防火墻具有一定的防御外部攻擊的能力，但對(duì)內(nèi)部網(wǎng)絡(luò)的攻擊行為無(wú)能為力，當(dāng)內(nèi)部某臺(tái)PC遭到攻擊后，黑客攻擊或病毒程序可以在內(nèi)部網(wǎng)迅速傳播，導(dǎo)致整個(gè)網(wǎng)絡(luò)的癱瘓。同時(shí)，惡意用戶(hù)也可以利用內(nèi)部網(wǎng)上的PC在網(wǎng)絡(luò)內(nèi)部輕松發(fā)起攻擊。（2） 動(dòng)態(tài)防御問(wèn)題。網(wǎng)絡(luò)攻擊行為的不斷變化，使得以靜態(tài)規(guī)則策略為主要安全手段的防火墻顯得無(wú)所適從。防火墻是一種靜態(tài)的安全防護(hù)設(shè)備，它只是按照定義好的安全策略對(duì)網(wǎng)絡(luò)的數(shù)據(jù)流進(jìn)行過(guò)濾和訪(fǎng)問(wèn)控制，而且，防火墻的設(shè)置不能影響用戶(hù)正常的應(yīng)用服務(wù)，所以要被允許開(kāi)放一定的端口或服務(wù)；防火墻對(duì)很多不斷更新、更加高級(jí)的入侵攻擊方法無(wú)能為力，難以適應(yīng)瞬息萬(wàn)變的各種安全威脅；它們不能自動(dòng)調(diào)整相應(yīng)的配置、不能發(fā)現(xiàn)繞過(guò)防火墻的攻擊、也不能排除來(lái)自?xún)?nèi)部的安全隱患。（3） 對(duì)未知網(wǎng)絡(luò)攻擊的防御能力。我們發(fā)現(xiàn)，近70％的成功攻擊行為都是由新出現(xiàn)的漏洞引起的，入著名的紅色代碼、求職信等都是利用未被發(fā)現(xiàn)的IIS或OUTLOOK程序漏洞成功傳播的。所以有效防止未知的網(wǎng)絡(luò)攻擊對(duì)于確保網(wǎng)絡(luò)安全來(lái)說(shuō)十分重要。（4） 病毒的入侵。防火墻沒(méi)有辦法對(duì)付病毒的入侵，而對(duì)于政府上網(wǎng)環(huán)境來(lái)說(shuō)，員工每天要瀏覽大量網(wǎng)頁(yè)、收發(fā)email，這里面存在隨時(shí)被病毒感染的可能性，因此，防病毒不可缺少。（5） 網(wǎng)絡(luò)隔離問(wèn)題。有效防止網(wǎng)絡(luò)攻擊的方法是將內(nèi)部網(wǎng)絡(luò)與互聯(lián)網(wǎng)分隔開(kāi)，使黑客永遠(yuǎn)處于網(wǎng)絡(luò)邊界處，從而避免黑客對(duì)內(nèi)部網(wǎng)絡(luò)的直接攻擊行為的發(fā)生。防火墻不具備該能力。系統(tǒng)安全需求基于以上安全威脅，我們認(rèn)為政府上網(wǎng)環(huán)境的安全需求包括：內(nèi)網(wǎng)與互聯(lián)網(wǎng)隔離，將內(nèi)網(wǎng)與外網(wǎng)隔離開(kāi)，使得黑客無(wú)法直接接觸內(nèi)部網(wǎng)絡(luò)，保證內(nèi)網(wǎng)的安全。入侵的動(dòng)態(tài)檢測(cè)與防護(hù)，與靜態(tài)規(guī)則防護(hù)不同，系統(tǒng)應(yīng)具備動(dòng)態(tài)檢測(cè)攻擊發(fā)生并做出相應(yīng)防護(hù)動(dòng)作的能力。對(duì)發(fā)生的攻擊產(chǎn)生報(bào)警、重新生成防火墻控制規(guī)則開(kāi)放或關(guān)閉相應(yīng)端口訪(fǎng)問(wèn)的能力。監(jiān)控和審計(jì)內(nèi)網(wǎng)用戶(hù)，集中管理內(nèi)網(wǎng)用戶(hù)對(duì)互連網(wǎng)的訪(fǎng)問(wèn)策略，如制定上網(wǎng)時(shí)間，控制訪(fǎng)問(wèn)pc的IP地址、子網(wǎng)，限制訪(fǎng)問(wèn)站點(diǎn)并禁止敏感文件或信息泄漏等。監(jiān)視網(wǎng)絡(luò)非法用戶(hù)的異常訪(fǎng)問(wèn)活動(dòng)，并予以報(bào)警。記錄內(nèi)網(wǎng)用戶(hù)的訪(fǎng)問(wèn)記錄。防病毒，實(shí)施全網(wǎng)一致的病毒防御機(jī)制，及時(shí)動(dòng)態(tài)更新病毒庫(kù)，嚴(yán)格管理客戶(hù)端的病毒掃描行為，要差殺包括HTTP、Email在內(nèi)的各種協(xié)議病毒。防御未知網(wǎng)絡(luò)攻擊，禁止未知網(wǎng)絡(luò)攻擊同客戶(hù)機(jī)或服務(wù)器直接連接，防止未知攻擊對(duì)網(wǎng)絡(luò)的破壞。嚴(yán)格進(jìn)行控制訪(fǎng)問(wèn)，關(guān)閉不必要的端口，僅允許有限且必要的訪(fǎng)問(wèn)進(jìn)入內(nèi)網(wǎng)，同時(shí)控制內(nèi)網(wǎng)對(duì)外的訪(fǎng)問(wèn)，減少攻擊的發(fā)生。三、政府上網(wǎng)安全方案設(shè)計(jì)政府上網(wǎng)安全模型要保證政府訪(fǎng)問(wèn)互連網(wǎng)的安全，一個(gè)核心的策略是建立全網(wǎng)動(dòng)態(tài)控制策略，并將內(nèi)外網(wǎng)隔離開(kāi)來(lái)。即：政府上網(wǎng)安全=檢測(cè)+動(dòng)態(tài)響應(yīng)+網(wǎng)絡(luò)隔離要達(dá)到政府互聯(lián)網(wǎng)訪(fǎng)問(wèn)安全，必須建立動(dòng)態(tài)的防御與響應(yīng)控制機(jī)制，傳統(tǒng)的靜態(tài)安全方式是預(yù)先定義好安全規(guī)則，并按照該規(guī)則執(zhí)行，這種方式無(wú)法應(yīng)付變化的應(yīng)用環(huán)境和攻擊的現(xiàn)實(shí)網(wǎng)絡(luò)情況，同時(shí)，靜態(tài)規(guī)則的制定難免有疏忽的地方，體現(xiàn)在安全上就是規(guī)則設(shè)置不夠、相互抵觸、定義不明等情況，從而給黑客留有可趁之機(jī)，導(dǎo)致整個(gè)網(wǎng)絡(luò)的癱瘓。動(dòng)態(tài)的防御與響應(yīng)體系則不同，它通過(guò)設(shè)置各種傳感器在網(wǎng)絡(luò)內(nèi)分布各類(lèi)檢測(cè)系統(tǒng)，實(shí)時(shí)對(duì)網(wǎng)絡(luò)攻擊和異常行為做出預(yù)測(cè)，并根據(jù)需要做出相應(yīng)的響應(yīng)動(dòng)作，指揮靜態(tài)防御設(shè)備如防火墻做出相應(yīng)的應(yīng)急配置更改，重建防御體系以達(dá)到組織攻擊的目的，同時(shí)向管理員報(bào)警、記錄事件情況，以便管理員進(jìn)一步完善防御系統(tǒng)。動(dòng)態(tài)防御與響應(yīng)體系在靜態(tài)防御體系被動(dòng)防御的基礎(chǔ)上增加了主動(dòng)防御的能力，大大增強(qiáng)了系統(tǒng)的整體抗攻擊能力，隨著這一理念被廣泛接受，各廠(chǎng)家也推出了相應(yīng)的網(wǎng)絡(luò)安全產(chǎn)品供我們選擇，這使得實(shí)現(xiàn)動(dòng)態(tài)防御具有了實(shí)際的可操作性。另一方面，即使是動(dòng)態(tài)防御體系仍是在已知攻擊特征的基礎(chǔ)上建立起來(lái)的防御系統(tǒng)，通過(guò)規(guī)則定義檢測(cè)攻擊的發(fā)生，這并不能有效阻止未知攻擊的發(fā)生，因此為全面保證系統(tǒng)的安全，我們還應(yīng)做兩個(gè)方面的工作：將政府內(nèi)網(wǎng)與互連網(wǎng)物理隔離、及時(shí)更新動(dòng)態(tài)防御系統(tǒng)的規(guī)則庫(kù)或病毒庫(kù)。物理隔離的作用是保證在政府用戶(hù)訪(fǎng)問(wèn)互連網(wǎng)的情況下，內(nèi)網(wǎng)與外網(wǎng)完全物理隔離，外網(wǎng)的攻擊行為無(wú)論已知或未知攻擊都無(wú)法直接連接到內(nèi)網(wǎng)，物理隔離將攻擊范圍限定在了內(nèi)外網(wǎng)的邊界處，從而避免內(nèi)網(wǎng)受到攻擊的情況發(fā)生。如圖所示：

外網(wǎng)Inernet隔離區(qū)內(nèi)網(wǎng)拒絕所有已知或未知攻擊的連接純數(shù)據(jù)隔離區(qū)

僅傳送純數(shù)據(jù)安全區(qū)的連接與外網(wǎng)完全外網(wǎng)Inernet隔離區(qū)內(nèi)網(wǎng)拒絕所有已知或未知攻擊的連接純數(shù)據(jù)隔離區(qū)

僅傳送純數(shù)據(jù)安全區(qū)的連接與外網(wǎng)完全隔開(kāi)及時(shí)更新動(dòng)態(tài)規(guī)則和病毒庫(kù)使動(dòng)態(tài)防御系統(tǒng)工作在最佳狀態(tài)，對(duì)最新網(wǎng)絡(luò)攻擊行為及時(shí)做出響應(yīng)。該政府互聯(lián)網(wǎng)訪(fǎng)問(wèn)安全模型以?xún)?nèi)外網(wǎng)物理隔離為基礎(chǔ)，通過(guò)建立動(dòng)態(tài)防御體系，及時(shí)發(fā)現(xiàn)攻擊的發(fā)生并把它阻止在網(wǎng)絡(luò)邊界處，同時(shí)，監(jiān)控和限制內(nèi)網(wǎng)用戶(hù)的訪(fǎng)問(wèn)行為，保證網(wǎng)絡(luò)處于可控狀態(tài)，從而保證內(nèi)網(wǎng)處于安全的運(yùn)行環(huán)境下以下我們將根據(jù)該模型結(jié)合產(chǎn)品設(shè)計(jì)實(shí)際的網(wǎng)絡(luò)安全環(huán)境。。網(wǎng)絡(luò)隔離系統(tǒng)的設(shè)計(jì)網(wǎng)絡(luò)隔離系統(tǒng)由ViGap隔離網(wǎng)閘構(gòu)成，為內(nèi)部網(wǎng)提供對(duì)外網(wǎng)的隔離保護(hù)。通過(guò)在ViGap上單向設(shè)置允許通過(guò)的協(xié)議，系統(tǒng)可以及其嚴(yán)格的限定內(nèi)網(wǎng)能獲得的服務(wù)和外網(wǎng)能進(jìn)入內(nèi)網(wǎng)的信息。通過(guò)在ViGap上設(shè)置內(nèi)容檢查和格式檢查，可以阻止敏感機(jī)密信息的流出。在政府互連網(wǎng)訪(fǎng)問(wèn)環(huán)境中，我們可以設(shè)定僅允許內(nèi)網(wǎng)某子網(wǎng)用戶(hù)訪(fǎng)問(wèn)HTTP、SMTP和POP3，其它用戶(hù)將被ViGap與外網(wǎng)隔離，同時(shí)外網(wǎng)也與內(nèi)網(wǎng)隔離開(kāi)，無(wú)法訪(fǎng)問(wèn)內(nèi)網(wǎng)。內(nèi)網(wǎng)用戶(hù)通過(guò)代理方式通過(guò)ViGap安全端訪(fǎng)問(wèn)互聯(lián)網(wǎng)外網(wǎng)可通過(guò)Vigap訪(fǎng)問(wèn)DMZ區(qū)，這樣可保證網(wǎng)絡(luò)必須信息的交流，其它無(wú)關(guān)服務(wù)一律無(wú)效，同時(shí)外網(wǎng)、內(nèi)網(wǎng)、DMZ之間相互處于隔離狀態(tài)。如圖所示:目前按照國(guó)家要求，政府網(wǎng)絡(luò)進(jìn)行了物理隔離，將外網(wǎng)與內(nèi)部網(wǎng)絡(luò)完全隔離開(kāi)。但是隨著互聯(lián)網(wǎng)和網(wǎng)上應(yīng)用系統(tǒng)的快速發(fā)展，外網(wǎng)的WEB服務(wù)與內(nèi)網(wǎng)的應(yīng)用處理系統(tǒng)的數(shù)據(jù)交換是不可避免的，傳統(tǒng)的做法可能是用人工磁盤(pán)或者中間件軟件來(lái)進(jìn)行交換數(shù)據(jù)，顯然傳統(tǒng)方式不安全而且效率不高。隨著網(wǎng)上電子政務(wù)系統(tǒng)應(yīng)用的普遍，在內(nèi)網(wǎng)和外網(wǎng)之間的數(shù)據(jù)交換量將逐漸增大，而且隨著電子政務(wù)系統(tǒng)更加注重應(yīng)用的特點(diǎn)，網(wǎng)上系統(tǒng)對(duì)數(shù)據(jù)反饋和傳輸實(shí)時(shí)性的要求也逐漸提高。所以在安全隔離的情況下進(jìn)行內(nèi)外網(wǎng)數(shù)據(jù)庫(kù)數(shù)據(jù)交換是目前各地政務(wù)系統(tǒng)經(jīng)常碰到的問(wèn)題。這種數(shù)據(jù)交換可能有數(shù)據(jù)量大，實(shí)時(shí)要求高，需要靈活設(shè)定數(shù)據(jù)庫(kù)同步交換數(shù)據(jù)，非交換時(shí)間隔離斷開(kāi)的應(yīng)用特點(diǎn)，ViGAP完全可以適合這些方面的應(yīng)用。國(guó)家則馥乘疊內(nèi)國(guó)家則馥乘疊內(nèi)M財(cái)政應(yīng)：用系統(tǒng)ViGap隔離網(wǎng)閘GAP技術(shù)GAP技術(shù)，也稱(chēng)AIR-GAP技術(shù)，它創(chuàng)建一個(gè)這樣的環(huán)境，兩個(gè)網(wǎng)絡(luò)物理斷開(kāi),但邏輯地相連。某些網(wǎng)絡(luò)是典型的可信網(wǎng)絡(luò)(TrustedNetwork),如企業(yè)內(nèi)部網(wǎng)Intranet；另一些網(wǎng)絡(luò)則是不可信的網(wǎng)絡(luò)(Non-Trusted或Untrusted)，如Internet。GAP技術(shù)在這兩個(gè)網(wǎng)絡(luò)之間創(chuàng)建了一個(gè)物理隔斷，這意味著網(wǎng)絡(luò)數(shù)據(jù)包不能從一個(gè)網(wǎng)絡(luò)直接流向另外一個(gè)網(wǎng)絡(luò)，并且可信網(wǎng)絡(luò)上的計(jì)算機(jī)和不可信網(wǎng)絡(luò)上的計(jì)算機(jī)從不會(huì)有實(shí)際的連接。對(duì)于可信網(wǎng)絡(luò)和不可信網(wǎng)絡(luò)有連接的網(wǎng)絡(luò)，黑客可以使用各種方法，通過(guò)連接最終控制可信網(wǎng)絡(luò)，然而GAP的物理隔斷卻能杜絕這種情況發(fā)生。GAP技術(shù)除可以實(shí)現(xiàn)物理隔斷外，還可以允許可信網(wǎng)絡(luò)和不可信網(wǎng)絡(luò)之間的數(shù)據(jù)、資源和信息的安全交換。GAP技術(shù)的突出優(yōu)點(diǎn)是：物理隔斷使可信網(wǎng)絡(luò)安全，邏輯連接使我們可以在線(xiàn)式訪(fǎng)問(wèn)不可信網(wǎng)絡(luò)。電子政務(wù)和電子商務(wù)安全問(wèn)題一直是阻礙它們得以順利開(kāi)展的重要原因之一，有了基于GAP技術(shù)的安全產(chǎn)品后，這方面的問(wèn)題就迎刃而解了。GAP技術(shù)的要點(diǎn)考慮到Sneakernet勺局限性，基于GAP技術(shù)的新產(chǎn)品努力提供更好的方法，為此,GAP技術(shù)關(guān)鍵要達(dá)到如下幾點(diǎn)：要點(diǎn)描述物理隔斷可信網(wǎng)和不可信網(wǎng)物理隔斷，可信網(wǎng)絡(luò)上的計(jì)算機(jī)不能訪(fǎng)問(wèn)不可信網(wǎng)絡(luò)可選擇數(shù)據(jù)交換兩個(gè)網(wǎng)絡(luò)能夠有選擇的交換數(shù)據(jù)，好像它們直接相連一樣數(shù)據(jù)是靜態(tài)的在交換數(shù)據(jù)過(guò)程中，數(shù)據(jù)是靜態(tài)的（被動(dòng)的），不能被執(zhí)行獨(dú)立決策所有決策在一個(gè)安全的環(huán)境中處理，與不可信網(wǎng)絡(luò)隔斷支持文件和命令交換數(shù)據(jù)可以包含文件和命令高性能上述所有工作實(shí)時(shí)進(jìn)行，實(shí)現(xiàn)最大吞吐量和最小延時(shí)第二代的GAP產(chǎn)品目前國(guó)內(nèi)只有偉思公司的ViGap100產(chǎn)品，下面我們來(lái)詳細(xì)討論一下它的原理和關(guān)鍵技術(shù)。

第二代GAP產(chǎn)品一ViGaplOO簡(jiǎn)介第二代GAP產(chǎn)品是一個(gè)一體化的解決方案，全面替代了第一代解決方案中的外部主機(jī)、內(nèi)部主機(jī)和GAP設(shè)備。外部主機(jī)集成為一塊板，稱(chēng)為不可信的CPU(Non-trustedCPU)，而內(nèi)部主機(jī)集成為一塊板，稱(chēng)為可信的CPU(TrustedCPU)。第二代GAP設(shè)備N(xiāo)on-trustedNetivcrkTrustedNetworkNon-trustedNetivcrkTrustedNetwork圖三第二代GAP設(shè)備第二代GAP產(chǎn)品包括雙物理開(kāi)關(guān)結(jié)構(gòu)。雙開(kāi)關(guān)結(jié)構(gòu)有兩個(gè)不連續(xù)的狀態(tài)，在每一個(gè)狀態(tài)，兩個(gè)開(kāi)關(guān)彼此對(duì)立，這個(gè)獨(dú)特的結(jié)構(gòu)用兩個(gè)內(nèi)存條代替原來(lái)的一個(gè)，允許并行讀寫(xiě)操作。下表解釋了當(dāng)數(shù)據(jù)從Non-trused經(jīng)GAP到Trusted傳輸時(shí)，雙開(kāi)關(guān)是如何操作的:階段開(kāi)關(guān)1狀態(tài)開(kāi)關(guān)2狀態(tài)Non-trusted在內(nèi)存1的動(dòng)作Trusted在內(nèi)存1的動(dòng)作Non-trusted在內(nèi)存2的動(dòng)作Trusted在內(nèi)存2的動(dòng)作1“左”“右”寫(xiě)內(nèi)存1斷開(kāi)斷開(kāi)讀內(nèi)存22“右”“左”斷開(kāi)讀內(nèi)存1寫(xiě)內(nèi)存2斷開(kāi)

ViGap中開(kāi)關(guān)切換過(guò)程圖四ViGap100的開(kāi)關(guān)切換過(guò)程雙開(kāi)關(guān)結(jié)構(gòu)在Non-trusted和Trusted之間一直提供完全的物理隔斷，因?yàn)樵贜on-trusted和Trusted唯一的連接是內(nèi)存條，每一時(shí)刻每一個(gè)內(nèi)存條只能被兩個(gè)安全板中的一個(gè)訪(fǎng)問(wèn)。即使每個(gè)開(kāi)關(guān)和內(nèi)存條執(zhí)行一個(gè)讀或?qū)懙牟僮?，系統(tǒng)的吞吐量不減，因?yàn)樵诿總€(gè)階段，Non-trusted寫(xiě)到某一內(nèi)存，同時(shí)，Trusted從另外一個(gè)內(nèi)存讀，（假如有數(shù)據(jù)讀或?qū)懀瑑蓚€(gè)開(kāi)關(guān)同步進(jìn)行，系統(tǒng)將達(dá)到總線(xiàn)吞吐量的100%。第二代GAP設(shè)備相對(duì)于第一代GAP設(shè)備有如下優(yōu)點(diǎn):1. 它利用了一個(gè)1G位/秒LVDS總線(xiàn)技術(shù)，它比第一代GAP設(shè)備的總線(xiàn)技術(shù)更快。2. 雙物理開(kāi)關(guān)裝置使得實(shí)際數(shù)據(jù)吞吐量達(dá)到了總線(xiàn)吞吐量的100%，而

第一代GAP設(shè)備只有50%。3?第二代GAP3?ViGaplOO體系結(jié)構(gòu)圖五ViGaplOO結(jié)構(gòu)圖五ViGaplOO結(jié)構(gòu)圖五ViGaplOO結(jié)構(gòu)ViGap100結(jié)構(gòu)中包含兩臺(tái)嵌入式單板計(jì)算機(jī)：1、 不可信CPU—連接不可信網(wǎng)絡(luò)2、 可信CPU---連接可信網(wǎng)絡(luò)在ViGap設(shè)備內(nèi)部，可信網(wǎng)絡(luò)端單板計(jì)算機(jī)（可信CPU）和不可信網(wǎng)絡(luò)端單板計(jì)算機(jī)（不可信CPU）通過(guò)專(zhuān)門(mén)設(shè)計(jì)的硬件連接，這個(gè)硬件包含獨(dú)有的通過(guò)高速LVDS總線(xiàn)連接的安全電路板，安全電路板插在每一個(gè)單板計(jì)算機(jī)的PCI插槽上?？尚臗PU和不可信CPU之間的數(shù)據(jù)吞吐量和PCI總線(xiàn)的相同，它為32Mhz主頻下32位，達(dá)到了1056M位/秒，超過(guò)了1G位/秒。安全電路板與LVDS總線(xiàn)一起實(shí)現(xiàn)了反射GAP技術(shù)，每一個(gè)安全電路板包含一對(duì)雙開(kāi)關(guān)結(jié)構(gòu)，總共4個(gè)開(kāi)關(guān)，一個(gè)雙開(kāi)關(guān)用于輸入，另一個(gè)用于輸出，雙開(kāi)關(guān)結(jié)構(gòu)確保了在可信網(wǎng)絡(luò)和不可信網(wǎng)絡(luò)之間一個(gè)完全的物理隔斷，同時(shí)不削弱總線(xiàn)吞吐量。反射GAP結(jié)構(gòu)反射GAP體系結(jié)構(gòu)可信網(wǎng)絡(luò)寰全牴開(kāi)折TRUSTEDW可信網(wǎng)絡(luò)寰全牴開(kāi)折TRUSTEDW圖六反射GAP結(jié)構(gòu)上圖重點(diǎn)說(shuō)明了ViGap100中連接可信CPU和不可信CPU的GAP反射組件。反射GAP基于硬件，目的是為了從NON-TRUSTED內(nèi)存至【」TRUSTED內(nèi)存的緩存快速鏡像，反射GAP不依賴(lài)于任何通信協(xié)議，通過(guò)讀寫(xiě)內(nèi)存塊實(shí)現(xiàn)它的所有活動(dòng)。反射GAP包含兩個(gè)安全電路板和兩個(gè)獨(dú)立的、交叉的LVDS電纜。每一個(gè)安全電路板提供兩個(gè)獨(dú)立的數(shù)據(jù)路徑，一個(gè)用于發(fā)送，另一個(gè)用于接收，在上圖中,從NON-TRUSTED到TRUSTED的數(shù)據(jù)路徑被顯示，它的步驟被標(biāo)出。每個(gè)雙開(kāi)關(guān)裝置在安全電路板的內(nèi)部實(shí)施，用于安全電路板收發(fā)信息，如上圖所示?？傊?，NON-TRUSTED（及其后的全部不可信網(wǎng)絡(luò)）所能做的是發(fā)送數(shù)據(jù)塊到NON-TRUSTED安全電路板。NON-TRUSTED安全電路板再把它們傳輸?shù)絋RUSTED安全電路板，在那里將被動(dòng)的已編碼的數(shù)據(jù)塊放到有TRUSTED計(jì)算機(jī)標(biāo)識(shí)的內(nèi)存緩沖區(qū)，再由 TRUSTED對(duì)數(shù)據(jù)進(jìn)行隨心所欲的處理，這與Sneakernet相似，在那兒人將數(shù)據(jù)放到磁盤(pán)，可信網(wǎng)絡(luò)上的計(jì)算機(jī)能夠隨心所欲的讀和復(fù)制。所有反射GAP的邏輯由硬件控制，不能被軟件修改；反射GAP在TRUSTED和NON-TRUSTED之間實(shí)現(xiàn)了一個(gè)GAP，即使NON-TRUSTED計(jì)算機(jī)被黑客操控，這個(gè)GAP也不能被破壞。經(jīng)過(guò)GAP設(shè)備的數(shù)據(jù)流程分析從不可信網(wǎng)絡(luò)經(jīng)GAP設(shè)備到可信網(wǎng)絡(luò)的數(shù)據(jù)流要經(jīng)過(guò)如下步驟：經(jīng)GAP的數(shù)據(jù)流1)會(huì)話(huà)終止2)協(xié)議檢查3)數(shù)據(jù)抽取4)數(shù)字簽名校驗(yàn)5)GAP6)編碼7)安全決策8)解碼9)會(huì)話(huà)生成以上步驟簡(jiǎn)要解釋如下：會(huì)話(huà)終止會(huì)話(huà)終止是指當(dāng)不可信計(jì)算機(jī)接收到來(lái)自外部網(wǎng)絡(luò)的某個(gè)數(shù)據(jù)時(shí)候，就自動(dòng)地終止與外部網(wǎng)絡(luò)的連接，確保不可信網(wǎng)絡(luò)和可信網(wǎng)絡(luò)沒(méi)有鏈路連接。協(xié)議檢查不可信CPU對(duì)所收到的數(shù)據(jù)包進(jìn)行基于RFC的協(xié)議分析，也可以對(duì)某些協(xié)議進(jìn)行動(dòng)態(tài)分析，檢查是否有攻擊成分。目前可分析的協(xié)議有HTTP、FTP、SMTP、POP3、DNS等。數(shù)據(jù)抽取在協(xié)議檢查同時(shí)，將數(shù)據(jù)包中的數(shù)據(jù)提取出來(lái)，然后將數(shù)據(jù)和轉(zhuǎn)換協(xié)議一起通過(guò)特定的壓縮格式進(jìn)行數(shù)據(jù)封裝，轉(zhuǎn)化為在GAP另一端能接受的格式。數(shù)字簽名校驗(yàn)數(shù)字簽名是對(duì)專(zhuān)門(mén)壓縮格式的數(shù)據(jù)塊進(jìn)行數(shù)字簽名校驗(yàn)，其目的是為了防止其他軟件模擬不可信計(jì)算機(jī)軟件向GAP發(fā)送數(shù)據(jù)。GAP一旦完成數(shù)據(jù)塊專(zhuān)用壓縮格式的數(shù)字簽名，它們被不可信計(jì)算機(jī)安全電路板硬件從不可信計(jì)算機(jī)內(nèi)存中取出，驗(yàn)證數(shù)字簽名，接著數(shù)據(jù)塊經(jīng)過(guò)GAP反射到可信計(jì)算機(jī)安全電路板。編碼對(duì)已經(jīng)是靜態(tài)的數(shù)據(jù)塊進(jìn)行編碼，編碼是相對(duì)復(fù)雜而且基于隨機(jī)關(guān)鍵字的，一旦編碼，就可阻止其中包含的惡意程序執(zhí)行。安全決策安全策略是運(yùn)行在可信CPU上，由系統(tǒng)管理員定義的安全策略。它分析由不可信計(jì)算機(jī)軟件以專(zhuān)用壓縮格式封裝的元數(shù)據(jù)，主要包含通信源、目的地和協(xié)議等信息，并和規(guī)則庫(kù)進(jìn)行匹配，看是否允許通過(guò)或丟棄。解碼一旦數(shù)據(jù)經(jīng)過(guò)了內(nèi)容檢測(cè)且確認(rèn)是安全的，它就被可信計(jì)算機(jī)解碼，準(zhǔn)備發(fā)送到可信網(wǎng)絡(luò)。因?yàn)樗呀?jīng)被檢測(cè)過(guò)，所以這樣做是安全的。會(huì)話(huà)生成運(yùn)行在可信CPU上的軟件發(fā)送經(jīng)檢測(cè)過(guò)的數(shù)據(jù)到可信網(wǎng)絡(luò),首先，它和可信網(wǎng)絡(luò)上的目的計(jì)算機(jī)建立一個(gè)新的連接，生成符合RFC協(xié)議新通信包。然后，可信CPU發(fā)送數(shù)據(jù)到目的計(jì)算機(jī)。ViGap100的功能定位大家知道，對(duì)于每一種新的網(wǎng)絡(luò)蠕蟲(chóng)、DoS攻擊、分布式DoS、緩沖區(qū)溢出攻擊，仍然沒(méi)有徹底預(yù)防的安全技術(shù)來(lái)確保一個(gè)企業(yè)的信息系統(tǒng)的安全。即使是使用一些高級(jí)的安全技術(shù)，例如網(wǎng)絡(luò)防火墻，加密技術(shù)和代理，但是對(duì)任何一個(gè)單一的安全技術(shù)，網(wǎng)絡(luò)安全問(wèn)題都得不到很好的解決。下圖描述了現(xiàn)今可用的安全解決方法，網(wǎng)絡(luò)本身被分為兩個(gè)部分，網(wǎng)絡(luò)層和應(yīng)用層。GAP安全解決方法優(yōu)勢(shì)在于它既能阻塞又能預(yù)防。阻塞發(fā)生在已經(jīng)知道的攻擊而預(yù)防則是對(duì)于未知的攻擊。Known NFirswallProtectionUnknownR?flActivaGapAppi沖輯tiphProxyAppiicationApplicationProt&ctianSCaHH^rBlockingPrevehnlrion在上圖的左上部分，這部分屬于防火墻，能夠?qū)σ阎墓籼峁┻m當(dāng)?shù)谋Ｗo(hù),這意味著防火墻必須進(jìn)行調(diào)整來(lái)鑒別威脅。左下部分描繪應(yīng)用代理，能夠在應(yīng)用層對(duì)已知道的攻擊進(jìn)行阻塞。在右下角表述的是新的技術(shù)，例如內(nèi)容檢測(cè)，主機(jī)保護(hù)和對(duì)應(yīng)用程序掃描，這些保護(hù)針對(duì)應(yīng)用層未知的攻擊，目前的防護(hù)還不是很好。偉思公司利用GAP技術(shù)生產(chǎn)的ViGap產(chǎn)品既能阻止網(wǎng)絡(luò)層和操作系統(tǒng)層的已知的攻擊，又能防止網(wǎng)絡(luò)層和操作系統(tǒng)層受到未知的攻擊，解決了防范未知網(wǎng)絡(luò)攻擊的安全難題。今天，許多人為了物理上隔離他們的核心任務(wù)系統(tǒng)，在安全上使用了GAP技術(shù)并且收效很大。通過(guò)GAP技術(shù)，特別是反射GAPTM技術(shù)，管理員能夠物理的從因特網(wǎng)上斷開(kāi)他們核心的系統(tǒng)，保護(hù)它們免受各類(lèi)已知甚至未知的網(wǎng)絡(luò)威脅，在現(xiàn)代高速的電子商務(wù)和電子政務(wù)中進(jìn)行安全的網(wǎng)絡(luò)通信。偉思ViGapTM產(chǎn)品的設(shè)計(jì)是基于要保證內(nèi)部網(wǎng)絡(luò)的安全唯一的辦法是斷開(kāi)外部的網(wǎng)絡(luò)這一個(gè)眾所周知的原理。在內(nèi)外兩個(gè)網(wǎng)絡(luò)隔離的同時(shí)，內(nèi)部網(wǎng)絡(luò)又要實(shí)時(shí)的訪(fǎng)問(wèn)外部的網(wǎng)絡(luò)。在這方面前人做的所有的努力，結(jié)果都不是很成功，從它們都得不到很好的商業(yè)應(yīng)用的就可以證明，偉思利用先進(jìn)的反射GAP技術(shù)來(lái)解決這個(gè)問(wèn)題是最理想的。我們引入新的安全層次在傳輸數(shù)據(jù)時(shí)不會(huì)對(duì)網(wǎng)絡(luò)和操作系統(tǒng)服務(wù)造成任何危害。作為網(wǎng)絡(luò)安全設(shè)備，ViGap提供四種最主要的保護(hù)：網(wǎng)絡(luò)漏洞，操作系統(tǒng)的不穩(wěn)定，軟件漏洞，DoS攻擊。偉思獨(dú)特的反射GAP技術(shù)，結(jié)合ViGap完整的協(xié)議檢查，使網(wǎng)絡(luò)受攻擊的可能性大大降低。ViGap100功能特點(diǎn)作為網(wǎng)絡(luò)安全網(wǎng)閘，ViGaplOO產(chǎn)品包含以下功能：GAP物理隔斷功能和數(shù)據(jù)安全交換?支持基于標(biāo)的UDP、TCP議系統(tǒng)日志和報(bào)警顯示流量控制特性支持DNS協(xié)議檢查支持SNMP、WebTrends?和SysLog?外部系統(tǒng)日志?豐富的圖形用戶(hù)接口（GUI）管理和規(guī)則庫(kù)系統(tǒng)遠(yuǎn)程的、加密的和論證的策略管理系統(tǒng)?多Gap設(shè)備集群ViGaplOO產(chǎn)品具有以下優(yōu)點(diǎn)：防止已知或未知的對(duì)網(wǎng)絡(luò)層和操作系統(tǒng)層的攻擊可信網(wǎng)絡(luò)與不可信網(wǎng)絡(luò)物理隔斷的同時(shí)，提供對(duì)它的實(shí)時(shí)訪(fǎng)問(wèn)供一個(gè)附加的安全層來(lái)保護(hù)網(wǎng)絡(luò)的同時(shí)，不會(huì)降低速度和性能阻止攻擊進(jìn)入可信網(wǎng)絡(luò)，提高關(guān)鍵服務(wù)器正常運(yùn)行時(shí)間強(qiáng)迫流量控制來(lái)保護(hù)基礎(chǔ)設(shè)備免受DoS攻擊在可信網(wǎng)絡(luò)端創(chuàng)建所有的安全策略在安裝Gap設(shè)備后能提高和增強(qiáng)一個(gè)組織現(xiàn)有的安全水平ViGap100產(chǎn)品特性和硬件規(guī)格：?jiǎn)蝹€(gè)ViGap系統(tǒng)吞吐量：大于90MB/秒反射GAP內(nèi)部數(shù)據(jù)交換速度：1GB/秒硬件規(guī)格大小尺寸高度：3.5英寸（89mm,2U）寬度：17.0英寸（432mm）長(zhǎng)度：21.8英寸（555mm）重 量15KG電 壓100~240VAC,47?63Hz功 率300W操作環(huán)境-5°-50°C環(huán)境濕度5%-95%結(jié)束語(yǔ)GAP技術(shù)是目前國(guó)際上最新的網(wǎng)絡(luò)安全技術(shù)之一，它提供內(nèi)、外網(wǎng)物理分離的基礎(chǔ)上，同時(shí)提供實(shí)時(shí)訪(fǎng)問(wèn)互聯(lián)網(wǎng)的能力，目前國(guó)內(nèi)除了偉思還沒(méi)有同類(lèi)產(chǎn)品推向市場(chǎng)。防止所有針對(duì)網(wǎng)絡(luò)層和OS層的已知的和未知的攻擊是它的主要功能之一。大家知道，半數(shù)以上的攻擊是基于網(wǎng)絡(luò)層和OS層的攻擊，其中多數(shù)成功的攻擊是采用人們還未知的攻擊，特別是新OS的引入，各種漏洞和后門(mén)都潛在,容易被黑客利用，對(duì)于未知的網(wǎng)絡(luò)攻擊防火墻無(wú)能為力。另外它的網(wǎng)絡(luò)安全策略放在可信網(wǎng)絡(luò)端，黑客不能訪(fǎng)問(wèn)到，更不能修改它。不象防火墻沒(méi)有切斷外部和內(nèi)部的連接，可能被黑客通過(guò)使用IP碎片包攻擊來(lái)旁路防火墻規(guī)則庫(kù)的檢查，并通過(guò)修改規(guī)則庫(kù)使之成為一個(gè)網(wǎng)絡(luò)層的簡(jiǎn)單路由器，就象一座沒(méi)有士兵看守的橋一樣，隨便通行，此時(shí)，內(nèi)部網(wǎng)絡(luò)沒(méi)任何安全性可言?；贕AP技術(shù)的網(wǎng)絡(luò)安全產(chǎn)品對(duì)OSI模型的七層都提供保護(hù)功能，功能比較全面。GAP產(chǎn)品已經(jīng)在國(guó)外使用許多年了，從第一代發(fā)展到現(xiàn)在的第二代產(chǎn)品，技術(shù)已經(jīng)比較成熟了。它被廣泛應(yīng)用于政府、銀行、證券、公安、稅務(wù)、社會(huì)保險(xiǎn)、企事業(yè)單位的電子商務(wù)或電子政務(wù)系統(tǒng)中。四、售后服務(wù)4.1售后服務(wù)我們提供的售后服務(wù)內(nèi)容主要包括以下幾個(gè)方面：電話(huà)支持提供專(zhuān)用售后服務(wù)技術(shù)電話(huà)，為用戶(hù)進(jìn)行有關(guān)產(chǎn)品使用的電話(huà)答疑和操作指導(dǎo)等。我們的技術(shù)支持電話(huà)為：（0756）339161