第9章

邊界防護1內(nèi)容提要基本概念邏輯隔離技術(shù)物理隔離技術(shù)安全隔離與信息交換29.1基本概念9.1.1邊界與邊界防護網(wǎng)絡(luò)面臨的不安全因素信息泄密入侵者的攻擊網(wǎng)絡(luò)病毒“木馬”入侵3如何應(yīng)對這些威脅？把不同安全需求的網(wǎng)絡(luò)分開，劃地而治不同安全級別的網(wǎng)絡(luò)相互連接，網(wǎng)絡(luò)與網(wǎng)絡(luò)之間的分界線稱為“網(wǎng)絡(luò)邊界”安全域之間的分界線也稱為邊界4什么叫邊界防護？對邊界進行安全防護，保證網(wǎng)絡(luò)間和安全區(qū)域間必要的信息交流安全可靠，同時防止非法訪問者對被保護網(wǎng)絡(luò)的攻擊、入侵和資源竊取等。5邊界并不是一個邏輯上沒有寬度的空間概念。邊界是實現(xiàn)一個網(wǎng)絡(luò)與外部網(wǎng)絡(luò)連接的經(jīng)過安全加固的區(qū)域，起到對網(wǎng)絡(luò)內(nèi)部系統(tǒng)和設(shè)備的防護作用。邊界一般是由多種系統(tǒng)構(gòu)成的縱深網(wǎng)絡(luò)安全防御體系9.1.2網(wǎng)絡(luò)邊界的分類不同網(wǎng)絡(luò)間邊界根據(jù)網(wǎng)絡(luò)的不同安全級別，實施邊界防護同一網(wǎng)絡(luò)不同安全域間邊界不同安全域可以確定不同的等級，并依據(jù)標準進行相應(yīng)的保護69.2邏輯隔離技術(shù)9.1.3邊界防護技術(shù)相關(guān)概念邏輯隔離擁有相同傳輸介質(zhì)系統(tǒng)的兩個網(wǎng)絡(luò)之間，通過硬件設(shè)備或軟件措施實現(xiàn)的某種隔離物理隔離兩個網(wǎng)絡(luò)通過各自擁有獨立的傳輸介質(zhì)系統(tǒng)實現(xiàn)的隔離。安全隔離由安全設(shè)備和安全線路組成的系統(tǒng)，用于涉密網(wǎng)絡(luò)與外網(wǎng)之間、涉密網(wǎng)之間、安全域之間的隔離79.2.1防火墻技術(shù)1）防火墻的概念運行在一臺或多臺計算機之上的一組特別的服務(wù)軟件，用于對網(wǎng)絡(luò)進行防護和通信控制，有時也以專用的硬件形式出現(xiàn)8網(wǎng)絡(luò)防火墻的主要功能有控制對網(wǎng)站的訪問和封鎖網(wǎng)站信息的泄露，限制被保護子網(wǎng)的暴露，具有審計功能，強制安全策略，對出入防火墻的信息進行加密和解密等。9.2.1防火墻技術(shù)防火墻必須做到如下幾點所有進出被保護網(wǎng)絡(luò)的通信必須通過防火墻所有通過防火墻的通信必須經(jīng)過安全策略的過濾或者防火墻的授權(quán)防火墻本身是不可被入侵的9防火墻是一種邏輯隔離部件9.2.1防火墻技術(shù)2）防火墻體系結(jié)構(gòu)（1）包過濾型防火墻包過濾防火墻允許或拒絕所接收的每個數(shù)據(jù)包。路由器審查每個數(shù)據(jù)包以便確定其是否與某一條包過濾規(guī)則匹配。過濾規(guī)則基于可以提供給IP轉(zhuǎn)發(fā)過程的包頭信息。包頭信息中包括IP源地址、IP目標地址、協(xié)議類型和目標端口等。109.2.1防火墻技術(shù)2）防火墻體系結(jié)構(gòu)（2）雙宿網(wǎng)關(guān)防火墻雙宿網(wǎng)關(guān)是一種擁有兩個連接到不同網(wǎng)絡(luò)上的網(wǎng)絡(luò)接口的防火墻IP層的通信被阻斷，兩個網(wǎng)絡(luò)之間的通信可通過應(yīng)用層數(shù)據(jù)共享或應(yīng)用層代理服務(wù)來完成兩種服務(wù)方式用戶直接登錄到雙重宿主主機上提供服務(wù)在雙重宿主主機上運行代理服務(wù)器119.2.1防火墻技術(shù)2）防火墻體系結(jié)構(gòu)（3）屏蔽主機防火墻屏蔽主機防火墻強迫所有的外部主機與一個堡壘主機相連接，而不讓它們直接與內(nèi)部主機相連屏蔽主機防火墻由包過濾路由器和堡壘主機組成提供的安全等級比包過濾防火墻要高129.2.1防火墻技術(shù)2）防火墻體系結(jié)構(gòu)（4）屏蔽子網(wǎng)防火墻屏蔽子網(wǎng)防火墻用了兩個包過濾路由器和一個堡壘主機最安全的防火墻系統(tǒng)定義了“非軍事區(qū)”網(wǎng)絡(luò)支持網(wǎng)絡(luò)層和應(yīng)用層安全功能139.2.2入侵檢測技術(shù)用于檢測損害或企圖損害網(wǎng)絡(luò)系統(tǒng)的機密性、完整性或可用性等行為的一類安全技術(shù)IDS需要解決三個問題需要充分并可靠地采集網(wǎng)絡(luò)和系統(tǒng)中的數(shù)據(jù)，提取描述網(wǎng)絡(luò)和系統(tǒng)行為的特征必須根據(jù)以上數(shù)據(jù)和特征，高效并準確地判斷網(wǎng)絡(luò)和系統(tǒng)行為的特征需要對網(wǎng)絡(luò)和系統(tǒng)入侵提供入侵相應(yīng)手段149.2.2入侵檢測技術(shù)入侵檢測系統(tǒng)結(jié)構(gòu)15配置庫檢測支持庫結(jié)果存儲分析檢測響應(yīng)數(shù)據(jù)源其他系統(tǒng)結(jié)果報警9.2.2入侵檢測技術(shù)（1）基于主機的IDS16基于主機型的簡單入侵檢測系統(tǒng)結(jié)構(gòu)9.2.2入侵檢測技術(shù)（2）基于網(wǎng)絡(luò)的IDS17基于網(wǎng)絡(luò)型的簡單入侵檢測系統(tǒng)結(jié)構(gòu)9.2.2入侵檢測技術(shù)分析檢測方法18誤用檢測。這類分析檢測技術(shù)首先建立各類入侵的行為模式，對它們進行標識或編碼，建立誤用模式庫；在運行中，誤用檢測方法對來自數(shù)據(jù)源的數(shù)據(jù)進行分析檢測，檢查是否匹配已知的誤用模式。誤用模式的缺陷在于只能檢測出已知的攻擊9.2.2入侵檢測技術(shù)分析檢測方法19異常檢測。無論是程序還是系統(tǒng)用戶的行為，各自表現(xiàn)上均存在一些特性。這些帶有一致性的特性與正常的基本模式相對應(yīng)，而異常行為不具有這些特征。異常檢測指通過對系統(tǒng)異常行為的檢測，發(fā)現(xiàn)攻擊的存在，甚至識別相應(yīng)的攻擊。誤用模式的優(yōu)點在于能檢測出未知的攻擊，但系統(tǒng)或用戶的行為模式可能發(fā)生變化或增加9.2.2入侵檢測技術(shù)分析檢測方法20其他檢測。生物免疫IDS，一個特定程序的系統(tǒng)調(diào)用序列是比較穩(wěn)定的，使用這一序列識別自身或外來的操作，能夠獲得抵御入侵的能力。基因的特點是可以進行組合和變異，因此存在天然的表征不同生物遺傳特性的能力，該特性可以用于構(gòu)造系統(tǒng)特征或異常特征。9.2.2入侵檢測技術(shù)入侵響應(yīng)21被動響應(yīng)。是指IDS在檢測到攻擊后進行報警，為網(wǎng)絡(luò)管理者或用戶提供信息，由它們決定要采取的措施。在被動響應(yīng)中，攻擊按照其危害成都，一般分為不同的級別。級別是IDS極其用戶重要的決策依據(jù)。9.2.2入侵檢測技術(shù)入侵響應(yīng)22主動響應(yīng)。IDS按照配置策略阻斷攻擊過程或者以其他方式影響、制約攻擊過程或攻擊的再次發(fā)生。主動響應(yīng)采取的主要措施包括人工或自動地針對入侵者的措施及修正系統(tǒng)。9.2.3安全網(wǎng)關(guān)技術(shù)安全網(wǎng)關(guān)一般部署在內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的邊界，主要用來抵御來自外部網(wǎng)絡(luò)的安全威脅。這里所指的安全網(wǎng)關(guān)是傳統(tǒng)意義上的單一功能安全網(wǎng)關(guān)。常見的安全網(wǎng)關(guān)包括：23VPN網(wǎng)關(guān)

入侵防御網(wǎng)關(guān)

防病毒網(wǎng)關(guān)

基于密級標志的保密網(wǎng)關(guān)9.2.3安全網(wǎng)關(guān)技術(shù)VPN網(wǎng)關(guān)24

外部用戶訪問內(nèi)部主機或服務(wù)器時，為了保證用戶身份的合法性、確保網(wǎng)絡(luò)的安全、一般在網(wǎng)絡(luò)邊界部署VPN（虛擬網(wǎng)）網(wǎng)關(guān)，主要作用就是利用公共網(wǎng)絡(luò)把多個網(wǎng)絡(luò)節(jié)點和私有網(wǎng)絡(luò)連接起來遠程訪問虛擬網(wǎng)企業(yè)內(nèi)部虛擬網(wǎng)企業(yè)擴展虛擬網(wǎng)遠程訪問網(wǎng)企業(yè)內(nèi)部Internet網(wǎng)企業(yè)網(wǎng)絡(luò)9.2.3安全網(wǎng)關(guān)技術(shù)入侵防御網(wǎng)關(guān)25

入侵防御網(wǎng)關(guān)以在線方式部署，實施分析鏈路上的傳輸數(shù)據(jù)，對隱藏在其中的攻擊行為進行阻斷，關(guān)注的是深層防御、精確阻斷，以解決用戶面臨的邊界入侵威脅，進一步優(yōu)化網(wǎng)絡(luò)邊界安全與旁路的IDS相比，入侵防御網(wǎng)關(guān)可以進行實時防御與基于靜態(tài)規(guī)則進行邊界防護的防火墻相比，入侵防御可以實現(xiàn)動態(tài)深層次的、精確的防御9.2.3安全網(wǎng)關(guān)技術(shù)防病毒網(wǎng)關(guān)26

網(wǎng)絡(luò)成為病毒傳播的重要渠道，網(wǎng)絡(luò)邊界也成為阻止病毒傳播的重要前沿，防病毒網(wǎng)關(guān)應(yīng)運而生

防病毒網(wǎng)關(guān)技術(shù)包括兩個部分：對進出網(wǎng)關(guān)的數(shù)據(jù)進行查殺對查殺的數(shù)據(jù)進行檢測和清除防病毒網(wǎng)關(guān)著眼于在網(wǎng)絡(luò)邊界就把病毒拒之門外，可以提高網(wǎng)絡(luò)防病毒查殺效率9.2.3安全網(wǎng)關(guān)技術(shù)基于密級標志的保密網(wǎng)關(guān)27BMB17-2006《涉及國家秘密的信息系統(tǒng)分級保護技術(shù)要求》中對安全域邊界防護部分明確提出，對于不同等級的網(wǎng)絡(luò)或安全域間通信，應(yīng)禁止高密級信息由高等級網(wǎng)絡(luò)或安全域流向低等級網(wǎng)絡(luò)或安全域。

基于密級標志的保密網(wǎng)關(guān)，將融合安全設(shè)備功能的基礎(chǔ)上，提供涉密信息流向的細粒度控制。9.2.3安全網(wǎng)關(guān)技術(shù)基于密級標志的保密網(wǎng)關(guān)28保密網(wǎng)關(guān)部署圖9.2.3安全網(wǎng)關(guān)技術(shù)基于密級標志的保密網(wǎng)關(guān)29

“防高密低傳”策略

禁止高密級的文件傳輸?shù)降兔芗壔蚍潜Ｃ艿膮^(qū)域

允許不帶密級的一個用信息能夠正常流轉(zhuǎn)

保密網(wǎng)關(guān)技術(shù)

安全域密級標志的定義與識別技術(shù)

文檔密級的提取和文檔傳輸?shù)目刂萍夹g(shù)9.2.3安全網(wǎng)關(guān)技術(shù)基于密級標志的保密網(wǎng)關(guān)30

控制涉密文檔傳輸范圍的一個重要依據(jù)是安全域IP地址作為安全域密級標志識別的基礎(chǔ)

需要防范IP欺騙9.2.4UTM技術(shù)2004年，互聯(lián)網(wǎng)數(shù)據(jù)中心（IDC）首度提出“統(tǒng)一威脅管理”的概念防病毒、入侵檢測和防火墻安全設(shè)備，劃歸同意威脅管理（UnifiedThreatManagement，簡稱UTM）UTM為由硬件、軟件和網(wǎng)絡(luò)技術(shù)組成的具有專門用途的設(shè)備提供一項或多項安全功能，同時將多種安全特性集成于一個硬件設(shè)備理，形成標準的同意威脅管理平臺UTM基本功能包括網(wǎng)絡(luò)防火墻、網(wǎng)絡(luò)入侵檢測/防御和網(wǎng)關(guān)防病毒319.2.4UTM技術(shù)UTM基本組成32統(tǒng)一威脅管理（UTM）VPN防火墻防病毒內(nèi)容過濾入侵防御入侵檢測統(tǒng)一威脅管理平臺9.2.4UTM技術(shù)UTM的三個要素33面對的威脅UTM部署在網(wǎng)絡(luò)邊界的位置針對2-7層所有種類的威脅包括對網(wǎng)絡(luò)自身與應(yīng)用系統(tǒng)進行破壞的威脅、利用網(wǎng)路咯進行非法活動的威脅和網(wǎng)絡(luò)資源濫用的威脅9.2.4UTM技術(shù)UTM的三個要素34處理的方式在傳統(tǒng)網(wǎng)關(guān)設(shè)備的基礎(chǔ)上擁有防火墻、入侵防御、防病毒，VPN等多種功能在統(tǒng)一安全策略下相互配合、協(xié)同工作9.2.4UTM技術(shù)UTM的三個要素35達成的目標保持網(wǎng)絡(luò)暢通、業(yè)務(wù)正常運轉(zhuǎn)保持較高的性能，性能不能明顯下降管理方便、配置簡單UTM：通過安全策略的統(tǒng)一部署，融合多種安全能力，針對網(wǎng)絡(luò)自身與應(yīng)用系統(tǒng)進行破壞、利用網(wǎng)絡(luò)進行非法活動、網(wǎng)絡(luò)資源濫用等威脅，實現(xiàn)精度防控的高可靠、高性能、易管理的網(wǎng)關(guān)安全設(shè)備。9.2.4UTM技術(shù)UTM的優(yōu)缺點36UTM的優(yōu)點多種安全產(chǎn)品得到整合，在網(wǎng)絡(luò)邊界建立了強大的立體防線UTM的安全防護性能比單一的網(wǎng)絡(luò)防護設(shè)備要好些，可以抵御常見的入侵與病毒9.2.4UTM技術(shù)UTM的優(yōu)缺點37UTM的缺點UTM不能解決所有的安全問題通過特征識別入侵，更新要及時UTM對抵御“正?！蓖ㄓ嵎稚⒂鼗毓裟芰τ邢轚TM對于處于被保護內(nèi)部網(wǎng)絡(luò)的攻擊者沒有作用“道高一尺，魔高一丈”，為徹底杜絕來自外部網(wǎng)絡(luò)對重要網(wǎng)絡(luò)的直接威脅，需要采取物理隔離的措施

涉密信息系統(tǒng)容易遭受攻擊CPU,操作系統(tǒng)，網(wǎng)絡(luò)設(shè)備等關(guān)鍵技術(shù)受制于人對于運行涉密信息系統(tǒng)的網(wǎng)絡(luò)，必須與其他非涉密網(wǎng)絡(luò)實施物理隔離389.3物理隔離技術(shù)2000年1月1日實施的《計算機信息系統(tǒng)國際聯(lián)網(wǎng)保密管理規(guī)定》2008年發(fā)布的《涉密國家秘密的信息系統(tǒng)保密管理規(guī)定》涉密信息系統(tǒng)的物理隔離應(yīng)把握兩點物理隔離是相對于涉密信息系統(tǒng)與公共信息網(wǎng)絡(luò)的隔離物理隔離是相對于使用防火墻等設(shè)備進行邏輯隔離在物理傳輸上使涉密網(wǎng)絡(luò)與非涉密網(wǎng)絡(luò)隔斷在物理存儲上隔斷涉密網(wǎng)絡(luò)與非涉密網(wǎng)絡(luò)物理隔離技術(shù)包括終端隔離技術(shù)遠程傳輸隔離技術(shù)網(wǎng)絡(luò)隔離技術(shù)399.3物理隔離技術(shù)9.3.1終端隔離40雙布線雙用戶終端BMB5-2000《涉密信息設(shè)備使用現(xiàn)場的電磁泄露發(fā)射防護要求》涉密信息終端與公共信息網(wǎng)絡(luò)徹底分開在信息傳輸、存儲和處理上，實現(xiàn)與公共信息網(wǎng)絡(luò)的物理隔離9.3.1終端隔離41隔離卡（NetworkSecuritySeparatedCard）將一臺計算機虛擬為兩臺計算機，實現(xiàn)工作站的雙重狀態(tài)，從而使一部分工作站可在完全安全的狀態(tài)下連接內(nèi)外網(wǎng)構(gòu)造在物理層上，對上提供接口服務(wù)，這些服務(wù)中包括了安全功能要求采用關(guān)機、重啟操作系統(tǒng)的方式來切換工作狀態(tài)9.3.1終端隔離42隔離卡（NetworkSecuritySeparatedCard）9.3.2遠程傳輸隔離43

遠程數(shù)據(jù)傳輸技術(shù)分類電路交換方式分組交換方式幀交換方式信元交換方式9.3.2遠程傳輸隔離44

獨立鋪設(shè)線路和交換設(shè)備是涉密網(wǎng)絡(luò)最安全的傳輸方式造價偏高，實施困難

面向連接的電路交換通過不同時隙進行數(shù)據(jù)傳輸，一個連接中所有數(shù)據(jù)都要經(jīng)過固定的路由傳遞數(shù)據(jù)存在搭線竊聽的威脅，需配合認證和鏈路加密措施確保安全9.3.2遠程傳輸隔離45

虛電路分組交換是面向連接的交換方式同一業(yè)務(wù)的不同分組在網(wǎng)絡(luò)中可經(jīng)過不同路由達到目的地傳輸線路不可控，有一定的泄密隱患永久虛電路：類似于專線的效果交換虛電路：VPI/VCI表通過網(wǎng)絡(luò)狀況隨機建立，傳輸線路不可控，有一定的泄密隱患9.3.2遠程傳輸隔離46

多協(xié)議標記交換方式

多協(xié)議標記交換方式（MPLS）通過預(yù)先設(shè)置好的路由標記，可以使數(shù)據(jù)包快速地從一個邊緣路由器通過固定的路由，到達另一個邊緣路由器，做到了傳輸線路的可控性在MPLS核心網(wǎng)沒有與Internet連接，且運營商可信和配置正確的情況下，也可以達到專線的效果9.3.2遠程傳輸隔離47

數(shù)據(jù)報文組交換

非連接的分組交換方式

各個分組利用各自分組頭中的選路信息，獨立地完成交換，同一業(yè)務(wù)的不同分組，在網(wǎng)絡(luò)中可經(jīng)過不同路由到達由于傳輸線路的不可控性，存在一定的安全隱患，不宜用于涉密網(wǎng)絡(luò)傳輸9.3.2遠程傳輸隔離48

無線通信

通信信道開放，任何具有無線通信能力的設(shè)備，都有可能連入網(wǎng)絡(luò)或?qū)罩行盘栠M行攔截，具有很大風(fēng)險容易造成失泄密不宜使用無線技術(shù)構(gòu)建涉密信息系統(tǒng)的遠程網(wǎng)絡(luò)傳輸9.3.3網(wǎng)絡(luò)隔離49

網(wǎng)絡(luò)物理隔離是指涉密信息系統(tǒng)與公共信息網(wǎng)絡(luò)彼此斷開，兩個網(wǎng)絡(luò)之間不存在數(shù)據(jù)通路在技術(shù)上，必須從網(wǎng)絡(luò)設(shè)備與布線、終端、遠程傳輸?shù)确矫?，確保物理隔離的實現(xiàn)

網(wǎng)絡(luò)設(shè)備與布線：符合BMB5-2000規(guī)定的方式

終端：隔離卡，不能通過網(wǎng)絡(luò)撥號、無線聯(lián)網(wǎng)等技術(shù)

遠程傳輸：單獨部署專用傳輸線路，并經(jīng)過密碼管理部門批準的加密技術(shù)，對傳輸數(shù)據(jù)實施保護50

在隔離網(wǎng)絡(luò)間建立“邏輯連接”，在保障網(wǎng)絡(luò)安全的同時進行可控的數(shù)據(jù)交換安全隔離與信息交換技術(shù)在保證安全保密的前提下，盡可能地實現(xiàn)互聯(lián)互通9.4安全隔離與信息交換安全隔離與信息交換處理單元外網(wǎng)處理單元內(nèi)網(wǎng)處理單元安全隔離與信息交換系統(tǒng)體系結(jié)構(gòu)51

安全隔離與信息交換技術(shù)主要有兩個特點協(xié)議終止：指安全隔離與信息交換系統(tǒng)在網(wǎng)絡(luò)鏈路層斷開連接，網(wǎng)絡(luò)間通信協(xié)議“落地”，完全終止。不允許信息以數(shù)據(jù)包的方式進出網(wǎng)絡(luò)，必須在內(nèi)、外網(wǎng)處理單元完全“落地”組裝、還原成文件后，以純文件的方式進行交換。9.4安全隔離與信息交換52

安全隔離與信息交換技術(shù)主要有兩個特點數(shù)據(jù)擺渡：在任何一個時刻都不與內(nèi)、外網(wǎng)處理單元同時連接，而是在完全終止通信協(xié)議的基礎(chǔ)上，以“擺渡”的方式將外網(wǎng)數(shù)據(jù)傳送到內(nèi)網(wǎng)，或者將內(nèi)網(wǎng)數(shù)據(jù)傳送到外網(wǎng)，確保從鏈路層上斷開網(wǎng)絡(luò)連接的同時實現(xiàn)內(nèi)外網(wǎng)數(shù)據(jù)安全交換。9.4安全隔離與信息交換安全隔離與信息交換技術(shù)是介于邏輯隔離和物理隔離之間的新型技術(shù)53

國家保密局對安全隔離與信息交換產(chǎn)品的使用規(guī)定

涉密電子政務(wù)網(wǎng)絡(luò)與非涉密電子政務(wù)網(wǎng)絡(luò)之間使用安全隔離與信息交換系統(tǒng)時，必須保證該非涉密電子政務(wù)網(wǎng)絡(luò)與互聯(lián)網(wǎng)是物理隔離的關(guān)系

涉密電子政務(wù)網(wǎng)絡(luò)與非涉密電子政務(wù)網(wǎng)絡(luò)之間使用安全隔離與信息單向傳輸系統(tǒng)時，該非涉密電子政務(wù)網(wǎng)絡(luò)與互聯(lián)網(wǎng)雖然可以是邏輯隔離的關(guān)系，但必須報經(jīng)國家保密局批準后才能使用9.4安全隔離與信息交換54安全隔離與信息交換技術(shù)分類

安全隔離與信息交換技術(shù)（數(shù)據(jù)雙向交換）

代表技術(shù)：網(wǎng)閘數(shù)據(jù)雙向交換的雙向網(wǎng)閘實現(xiàn)數(shù)據(jù)單向?qū)氲膯蜗蚓W(wǎng)閘

安全隔離與信息單向傳輸技術(shù)（數(shù)據(jù)單向?qū)耄?.4安全隔離與信息交換9.4.1網(wǎng)閘技術(shù)55

涉密網(wǎng)絡(luò)與非涉密網(wǎng)絡(luò)連接若非涉密網(wǎng)絡(luò)與互聯(lián)網(wǎng)是物理隔離，可采用雙向網(wǎng)閘若非涉密網(wǎng)絡(luò)與互聯(lián)網(wǎng)是邏輯隔離，可采用單向網(wǎng)閘安全隔離網(wǎng)閘是一種由帶有多種控制功能專用硬件、在電路上切斷網(wǎng)絡(luò)之間的鏈路層連接，并能夠在網(wǎng)絡(luò)間進行安全適度的應(yīng)用數(shù)據(jù)交換的網(wǎng)絡(luò)安全設(shè)備。網(wǎng)閘的安全思路來自于“不同時連接”。不同時連接兩個網(wǎng)絡(luò)，通過一個中間緩沖區(qū)來“擺渡”業(yè)務(wù)數(shù)據(jù)，業(yè)務(wù)實現(xiàn)了互通，“不連接”原則上降低了入侵的可能9.4.2雙向網(wǎng)閘56

雙向網(wǎng)閘是指允許數(shù)據(jù)雙向流動的網(wǎng)閘雙向網(wǎng)閘部署9.4.2雙向網(wǎng)閘57

雙向網(wǎng)閘的隔離作用基于“擺渡”數(shù)據(jù)

網(wǎng)閘切斷了上層業(yè)務(wù)的通訊協(xié)議，看到了原始的數(shù)據(jù)，為了達到“隔離”的效果，采用私有通訊協(xié)議或采用存儲協(xié)議每次擺渡可能不再是一個完整數(shù)據(jù)內(nèi)容。攻擊者可以把一個“蠕蟲”分成若干片段分別傳遞，不恢復(fù)原狀很難知道它是什么若傳遞“可執(zhí)行代碼”的二進制文件，網(wǎng)閘很