基于信息安全管理的网络隔离技术研究

薛志文

（吕梁学院 计算机系，山西 吕梁 033001）

基于信息安全管理的网络隔离技术研究

薛志文

（吕梁学院 计算机系，山西 吕梁 033001）

随着电子商务的广泛应用，网络安全问题越来越受到人们的重视.网络隔离技术随之快速发展，安全隔离产品因而引起人们的关注.但是在使用过程中，由于人们对网络隔离产品的认识不足和管理过程中的一些疏漏，给一些机密文件的安全性造成了很大的冲击.笔者从网络隔离技术的概念出发，对网络隔离技术的发展历程进行了回顾，总结了网络隔离技术常用的一些手段，分析了实体网络隔离的技术原理，从提高网络安全标准等角度出发讨论了网络隔离性技术的安全性.

网络隔离；信息安全；保密管理

0 引言

2000年，中国首次生产出可以进行网络安全隔离的计算机和控制卡.从此之后，中国针对网络安全隔离技术的研发就进入了一个新阶段.后来，伴随电子商务的应用越来越广泛，安全计算机和控制卡在很多部门得到重用，特别是一些党政机关部门，网络安全技术更是呈现普及局面.但是，任何事件都有其两面性，这些网络安全隔离产品在给我们带来方便的同时，也给我们的工作带来了不少麻烦，无论是技术层面还是管理层面，这种产品都存在较大的安全隐患，笔者将针对这一现象做出分析，结合当前这种产品的使用现状提出有建设性的意见.

1 网络隔离的观念

内部网一旦和互联网连接起来，就必然要面对来自互联网的一些安全风险.当前，在不能保证来自互联网的威胁可以解除的前提下，最直接的操作就是把互联网断开，让内部网成为封闭的网络连接，通过这样的手段来避免来自互联网的入侵.也就是说，当前网络隔离的认知还停留在把内部网和互联网之间连接的实体线路隔离开[1].或者说，只要内部网不连接互联网，就不需要使用隔离技术，网络隔离技术只是在需要连接互联网、实现两个网络之间的数据传输和资源共享的背景下才有需要.换句话说，研究网络隔离技术，只需要研究连接互联网、需要数据共享的条件下的网络隔离技术.

实际上，当前很多政府机关的很多工作还需要连接互联网进行数据传输，最起码需要和外部网进行数据交换，这样就需要保证无论在哪种情况下，在用的计算机都不能受到来自外部的危险袭击.

2 安全隔离计算机的技术特点

2.1 安全隔离计算机的技术特点

安全隔离计算机也被称为双网隔离计算机，这里的双网既包含外网也包含内网，这种计算机在连接双网的前提下仍能处于隔离状态.这样就要求计算机具备安全隔离卡和双硬盘.两个硬盘都具备独立启动的功能.借助控制卡和独立开关，完成内网和外网之间数据的相互交换.让专属的硬盘可以处于相对隔离的状态，从而确保电脑资料的安全.

2.2 安全隔离卡的技术特点

所谓的安全隔离卡是一种让电脑处于物理隔离状态的设施.这种设施安装在电脑的主板和其硬盘的中间，凭借数据线掌握硬盘的安全状况，借助继电器实现内网、外网之间硬盘资料上的相互转换，保证电脑无论是连接内网还是外网的时候，电脑本身仍然处于物理隔离的状态，确保电脑资料的安全性.

2.3 安全隔离计算机的风险分析

安全隔离计算机有很多不同的型号，其实现安全的方式和取得的效果也不一样.但是，这些产品的设计原理却大致相似.下面结合在保密安全检查中找出的有关问题，以及针对当前市面上使用较多的几种安全隔离产品做出相应的测试和攻击实验[2]，从几个方面对安全隔离计算机存在的安全隐患做出相应的解析.

2.4 错误连接网线的摩患分析

2.4.1 外网网线误接计算机网卡

安全隔离卡正确连接方式是网卡和隔离卡的连接口和相应的连接口连接，实现内网对内网，外网和外网的连接，如图1所示.但是，假如外网的网线没有连接隔离卡，而是直接和内网连接时（如图2所示），导致安全隔离计算机在连接外网和内网模式的时候都可以和互联网连在一起，就会导致本机内网模式的重要资料遭受被盗的风险.

这种问题多出现在使用者内部没有单独的网络，计算机内网模式使用单机模式管理，它最明显的特点是安全隔离计算机的内网系统一直都连接到互联网，但是使用者一直都没有意识到.

图1 正确连接示意图

图2 错误连接示意图

图3 错误连接示意图

图4 外网模式状态

图5 内网模式状态

2.4.2 安全隔离计算机的第二块网卡误接外网网线

安全隔离计算机安装有两块网卡，其中网卡2把电脑接入互联网，网卡l和安全隔离卡实现连接（如图3所示），导致安全隔离计算机处于外网连接状态时（如图4所示），隔离卡就失去效果.计算机外网系统借助网卡2直接拜访互联网.但是这一计算机处于内网连接状态时（如图5所示），网卡2仍可以和互联网进行连接，网卡l借助隔离卡和内网进行连接，这个时间这种安全隔离计算机既可以登录内网又可以和互联网实现连接.内网和互联网之间的连接通过这种计算机实现，导致本机处于内网连接模式的时候计算机内部的数据仍然被盗窃，而其连接外网的时候计算机仍存在泄密隐患.

2.5 共用办公自动化设备的隐患分析

因为打印机、一体机等办公设施都可以进行硬件数据缓存，有的设备还可以进行数据存储以及相关资料调阅，所以安全隔离计算机在进行内外网转换时，假如这些办公设施没及时清除相关资料，这些资料就有可能被二次获取.同时，因为这种计算机的内外网相关设备是共用的.这些设备一般会存在一定数量的缓存，假如这些缓存在内外网转换的时候不能清除，就有可能会被泄露.

2.6 内外网切换软件失效的隐患分析

依据国家保密标准，安全隔离计算机在实现内外网连接切换的时候，应该检查目前体系内部没有软盘、U盘等移动存储设备.但是很多使用者在进行“安全删除硬件”的操作之后，会忘记把这些移动设备从计算机上移除，这样这些设备就会和计算机仍然处于物理连接状态.这些安全计算机在进行内外网切换的时候，这些设备就会被重新连接，这样就存在了安全隐患.

2.7 安全隔离卡失效的隐患分析

尽管安全隔离卡内安装的继电器具备一定的持久性，以OMRON G6H-2为对象，它的电气持久性是20万次以上，但是安全隔离卡处于工作状态时，继电器就会“长时间处于通电状态，”但是开关不进行切断操作的时候，线圈自身就会发热导致物体呈现绝缘恶化、继电器接触点表面生成皮膜会加快这种现象的发生，导致安全隔离卡丧失功能.此外，假如安全隔离卡在制定内部控制或者驱动程序设计的时候不科学，还存在被第三方程序控制安全隔离卡的现象，导致资料存在被窃的危险.

3 网络安全管理

3.1 网络控制措施

在维护网络安全的时候，应该采取一定的网络安全措施.针对网络，采取一定的手段进行管理，让这些网络安全设施始终处于安全状态，同时也要让网络内部的系统安全和相关资料不受到安全的危险.同时应该采取一定的手段以保证网络连接状态的信息安全.网络管理者必须构建起计算机网络体系的安全管理制度，以保证在传送资料的时候网络处于安全状态.尤其需要注意的有下面几个方面：

1）最大范围内做好网络和电脑的分区，避免电脑硬件遭受来自网络的袭击；

2）构建远程设施（包含使用者客户端的设备）的管理责任和程序，比如掌控远程登录设施[3]，杜绝未经授权的登录；

3）实施安全加密制度和控制手段，确保通过公众网络或无线网络传输资料的严密性和整体性，并确保联机的体系和应用程序，以保证电脑可以正常连网和正常运转；

4）保存一定数量的监控录像和记录，以备查证；

5）关注协调计算机及网络管理之间的关系，保证网络管理措施手段行之有效的效果.

3.2 网络服务的安全

上级机关应该给予管理者考核的权力，通过定期的考核，对提供网络服务的厂商进行甄选；应该确保提供网络服务的厂家，具备提供安全措施的能力，比如厂家提供的安全措施的性质，以及为了保证网络安全的他们会采取的措施、安全等级和管理手段等.

4 网络隔离技术及其控制措施

4.1 采用完全实体隔离的管理措施

1）制定安全区域作业程序.组织必需按照一定的标准要求制定作业程序，帮助有关工作人员在执行任务的时候有据可依，避免出现人为疏漏.这一标准程序应该让全部的使用者都可以无偿使用.对于使用者来说，都需要明了这一标准的内容.这一标准程序也应该根据组织的规定，存在一定的存取限制，一般情况下，为使用者提供的权限只需要够他们完成本职工作就可以.同时，还要针对不同的使用者进行权限分区，避免没有权限的使用者获得权限外的资料.

2）资料存取考察.要保证系统登录具有一定的记录，无论是登录成功获取资料的记录，还是登录失败的记录，在完全隔离的情况下，要对这些记录进行仔细考察，特别是那些登录失败的记录，更是要仔细核查其是不是存在异常之处.在考核的时候需要遵循下面两个原则：①对于具备一定权限的使用者，要定期审核其登录信息；②对于特权存取事件，应审核其是不是真实存在.

4.2 网络存取控制措施

在实体隔离规定的限制下，把内网和外网隔离为两个相互独立的网络，在进行数据交换的时候，实行定时专人执行，或者是不定时申请执行，把相关资料传输到相应的设施之上，采用手工方式进行数据交换.因为内网和外网通过网络线路进行实体隔离作业，主要的网络存取控制手段的重点应放在作业区域的管理控制措施上.

为保证数据传输作业区域内的资料相对安全，除了把内网和外网隔离成两个相对的网络之外，针对数据传输的专属设施，需采取不同的外网和内网的存取规定，保证网络安全环境的安全，减少网络资料的威胁.比如：内网处理机密性资料、网络处理机处理一般的自理资料.机密性资料构建位于内网的单独数据库或者档案区域，机敏性信息资料也只允许内部员工使用，员工必须和连接于内网的电脑做好信息处理工作.另外为避免机敏性资料的泄露，内部网络的终端计算机不能和下面的这些设施连接在一起：比如：磁盘片、U盘、光盘片、随身碟等.

为避免存取资料交换作业区域的专属计算机，应根据规定的存取政策，使用逻辑隔离技术，把差别等级的作业隔离在对应的网段，比如：把资料交换作业与普通信息作业的网段隔离，借助合适的封包过滤制度，避免没有权限的网络流量之间实现连接，同时可监督数据的存取，防止资料被误用.而且需要建立科学的入侵监督体系，监督组织内网络封包的出入，方便在最快的时间内发现危险.

5 安全隔离计算机的管理

5.1 完善安全隔离计算机的管理制度

制定科学的管理体制保证安全隔离计算机处于安全状态，隔离计算机需要依据内外网体系的最高保密级别实行设施安全监督，内外网体系依据等级安全规定实行分级技术保护，杜绝私自改变安全隔离卡的网线位置和插拔网线，经常提升使用者的计算机安全级别，对使用者进行保密技术培训，增加日常工作和找出问题的能力.

5.2 限定安全隔离计算机的使用范围

和单位当前的现状联系，限制安全隔离计算机的使用范围和网络安全隔离卡交换资料的更换时间，比如把隔离计算机的内外网限制在不同保密等级的安全网络之间，或者限制在互联网和与互联网物理隔离的非涉密网之间，杜绝隔离计算机在分享打印机时候出现秘密泄露的风险.避免在互联网和保密网之间采用安全隔一体机等自动设施，减少隔离计算机被盗的威胁.

5.3 加强安全隔离计算机的定期检查

准时对安全隔离计算机的安全状况做好审核，保证设施正常运转、防护手段有效，增加对内外网上异常IP地址的监督和整治，对通过验证的网络安全隔离卡和网线添加标志，避免因为安全隔离卡不正当连接造成泄密事件.

5.4 加大安全隔离计算机的技术研究

面对目前安全隔离设备的一些安全威胁，我们必须不断提高产品的安全技术标准，增加对安全隔离技术的探究，不断增加安全保密规定的内容，提高安全隔离卡密保问题的安全等级.研发更新的安全隔离卡软件，提升设施的安全性和可信度.比如保证隔离卡在非工作状态的自动断电，确保各个网口的相互独立；设置专门的隔离卡网口，避免误连的风险[4].

6 结论

针对安全隔离计算机在工作状态中经常发生一些安全问题进行了探究和分析，找出了引起这些问题发生的原因，以及其存在的依据，并提出安全隐患排除的建议，希望可以通过对安全密保软件的研发、安全系统的检测、加强日常管理和监督等方式来加强网络信息的安全.

[1]林晓东，杨义先.网络防火技术[J].电信科学，1997，（5）：20-25.

[2]KARANJIT S,CHARS H.Internet Firewalls and Network Security[M].USA：New Ridrs Publishing，2005.

[3]FREDERIC J.COOPER.Implementing Internet Security[M].USA：New Riders Publishing，1995.

[4]梅杰,许榕生.Internet防火墙技术最新发展[J].微电脑世界，1996，（6）：27-30.

（责任编辑 李健飞）

A Research of Network Isolation Technique Based on Information Security Management

XUE Zhi-wen
（Department of Computer，Luliang College，Luliang，Shanxi 033001，China）

Along with popularization of e-commerce，network security problem draws people’s attention. With the rapid development of network isolation technology，security products arouse people’s concern.But in the application，owing to deficiency of cognition and management of network isolation products，the security of classified documents is harmed.This paper，from the concept of network isolation technology，reviews the development process of network isolation technology，summarizes some commonly-used methods of the network isolation technology，analyzes the technical principle of solid network isolation，and discusses network security from the angle of improving network security isolation technology.

network isolation；information security；confidentiality management

TP309.1

：A

：1673-1972（2014）06-0054-05

2014-07-25

薛志文（1982-），男，山西临县人，讲师，主要从事计算机网络研究.