網(wǎng)絡(luò )隔離技術(shù)發(fā)展歷程和未來(lái)方向

　　網(wǎng)絡(luò )隔離技術(shù)的目標是確保把有害的攻擊隔離，在可信網(wǎng)絡(luò )之外和保證可信網(wǎng)絡(luò )內部信息不外泄的前提下，完成網(wǎng)間數據的安全交換。網(wǎng)絡(luò )隔離技術(shù)是在原有安全技術(shù)的基礎上發(fā)展起來(lái)的，它彌補了原有安全技術(shù)的不足，突出了自己的優(yōu)勢。

　　隔離技術(shù)的發(fā)展歷程

　　網(wǎng)絡(luò )隔離，英文名為Network Isolation，主要是指把兩個(gè)或兩個(gè)以上可路由的網(wǎng)絡(luò )（如：TCP/IP）通過(guò)不可路由的協(xié)議（如：IPX/SPX、NetBEUI等）進(jìn)行數據交換而達到隔離目的。由于其原理主要是采用了不同的協(xié)議，所以通常也叫協(xié)議隔離（Protocol Isolation）。1997年，信息安全專(zhuān)家Mark Joseph Edwards在他編寫(xiě)的《Understanding Network Security》一書(shū)中，他就對協(xié)議隔離進(jìn)行了歸類(lèi)。在書(shū)中他明確地指出了協(xié)議隔離和防火墻不屬于同類(lèi)產(chǎn)品。

　　隔離概念是在為了保護高安全度網(wǎng)絡(luò )環(huán)境的情況下產(chǎn)生的；隔離產(chǎn)品的大量出現，也是經(jīng)歷了五代隔離技術(shù)不斷的實(shí)踐和理論相結合后得來(lái)的。

　　第一代隔離技術(shù)——完全的隔離。此方法使得網(wǎng)絡(luò )處于信息孤島狀態(tài)，做到了完全的物理隔離，需要至少兩套網(wǎng)絡(luò )和系統，更重要的是信息交流的不便和成本的提高，這樣給維護和使用帶來(lái)了極大的不便。

　　第二代隔離技術(shù)——硬件卡隔離。在客戶(hù)端增加一塊硬件卡，客戶(hù)端硬盤(pán)或其他存儲設備首先連接到該卡，然后再轉接到主板上，通過(guò)該卡能控制客戶(hù)端硬盤(pán)或其他存儲設備。而在選擇不同的硬盤(pán)時(shí)，同時(shí)選擇了該卡上不同的網(wǎng)絡(luò )接口，連接到不同的網(wǎng)絡(luò )。但是，這種隔離產(chǎn)品有的仍然需要網(wǎng)絡(luò )布線(xiàn)為雙網(wǎng)線(xiàn)結構，產(chǎn)品存在著(zhù)較大的安全隱患。

　　第三代隔離技術(shù)—數據轉播隔離。利用轉播系統分時(shí)復制文件的途徑來(lái)實(shí)現隔離，切換時(shí)間非常之久，甚至需要手工完成，不僅明顯地減緩了訪(fǎng)問(wèn)速度，更不支持常見(jiàn)的網(wǎng)絡(luò )應用，失去了網(wǎng)絡(luò )存在的意義。

　　第四代隔離技術(shù)—空氣開(kāi)關(guān)隔離。它是通過(guò)使用單刀雙擲開(kāi)關(guān)，使得內外部網(wǎng)絡(luò )分時(shí)訪(fǎng)問(wèn)臨時(shí)緩存器來(lái)完成數據交換的，但在安全和性能上存在有許多問(wèn)題。

　　第五代隔離技術(shù)—安全通道隔離。此技術(shù)通過(guò)專(zhuān)用通信硬件和專(zhuān)有安全協(xié)議等安全機制，來(lái)實(shí)現內外部網(wǎng)絡(luò )的隔離和數據交換，不僅解決了以前隔離技術(shù)存在的問(wèn)題，并有效地把內外部網(wǎng)絡(luò )隔離開(kāi)來(lái)，而且高效地實(shí)現了內外網(wǎng)數據的安全交換，透明支持多種網(wǎng)絡(luò )應用，成為當前隔離技術(shù)的發(fā)展方向。

　　隔離技術(shù)需具備的安全要點(diǎn)

　　要具有高度的自身安全性 隔離產(chǎn)品要保證自身具有高度的安全性，至少在理論和實(shí)踐上要比防火墻高一個(gè)安全級別。從技術(shù)實(shí)現上，除了和防火墻一樣對操作系統進(jìn)行加固優(yōu)化或采用安全操作系統外，關(guān)鍵在于要把外網(wǎng)接口和內網(wǎng)接口從一套操作系統中分離出來(lái)。也就是說(shuō)至少要由兩套主機系統組成，一套控制外網(wǎng)接口，另一套控制內網(wǎng)接口，然后在兩套主機系統之間通過(guò)不可路由的協(xié)議進(jìn)行數據交換，如此，既便黑客攻破了外網(wǎng)系統，仍然無(wú)法控制內網(wǎng)系統，就達到了更高的安全級別。

　　要確保網(wǎng)絡(luò )之間是隔離的 保證網(wǎng)間隔離的關(guān)鍵是網(wǎng)絡(luò )包不可路由到對方網(wǎng)絡(luò )，無(wú)論中間采用了什么轉換方法，只要最終使得一方的網(wǎng)絡(luò )包能夠進(jìn)入到對方的網(wǎng)絡(luò )中，都無(wú)法稱(chēng)之為隔離，即達不到隔離的效果。顯然，只是對網(wǎng)間的包進(jìn)行轉發(fā)，并且允許建立端到端連接的防火墻，是沒(méi)有任何隔離效果的。此外，那些只是把網(wǎng)絡(luò )包轉換為文本，交換到對方網(wǎng)絡(luò )后，再把文本轉換為網(wǎng)絡(luò )包的產(chǎn)品也是沒(méi)有做到隔離的。

　　要保證網(wǎng)間交換的只是應用數據 既然要達到網(wǎng)絡(luò )隔離，就必須做到徹底防范基于網(wǎng)絡(luò )協(xié)議的攻擊，即不能夠讓網(wǎng)絡(luò )層的攻擊包到達要保護的網(wǎng)絡(luò )中，所以就必須進(jìn)行協(xié)議分析，完成應用層數據的提取，然后進(jìn)行數據交換，這樣就把諸如TearDrop、Land、Smurf和SYN Flood等網(wǎng)絡(luò )攻擊包，徹底地阻擋在了可信網(wǎng)絡(luò )之外，從而明顯地增強了可信網(wǎng)絡(luò )的安全性。

　　要對網(wǎng)間的訪(fǎng)問(wèn)進(jìn)行嚴格的控制和檢查 作為一套適用于高安全度網(wǎng)絡(luò )的安全設備，要確保每次數據交換都是可信的和可控制的，嚴格防止非法通道的出現，以確保信息數據的安全和訪(fǎng)問(wèn)的可審計性。所以必須施加以一定的技術(shù)，保證每一次數據交換過(guò)程都是可信的，并且內容是可控制的，可采用基于會(huì )話(huà)的認證技術(shù)和內容分析與控制引擎等技術(shù)來(lái)實(shí)現。

　　要在堅持隔離的前提下保證網(wǎng)絡(luò )暢通和應用透明 隔離產(chǎn)品會(huì )部署在多種多樣的復雜網(wǎng)絡(luò )環(huán)境中，并且往往是數據交換的關(guān)鍵點(diǎn)，因此，產(chǎn)品要具有很高的處理性能，不能夠成為網(wǎng)絡(luò )交換的瓶頸，要有很好的穩定性；不能夠出現時(shí)斷時(shí)續的情況，要有很強的適應性，能夠透明接入網(wǎng)絡(luò )，并且透明支持多種應用。

　　網(wǎng)絡(luò )隔離的關(guān)鍵點(diǎn)

　　網(wǎng)絡(luò )隔離的關(guān)鍵是在于系統對通信數據的控制，即通過(guò)不可路由的協(xié)議來(lái)完成網(wǎng)間的數據交換。由于通信硬件設備工作在網(wǎng)絡(luò )七層的最下層，并不能感知到交換數據的機密性、完整性、可用性、可控性、抗抵賴(lài)等安全要素，所以這要通過(guò)訪(fǎng)問(wèn)控制、身份認證、加密簽名等安全機制來(lái)實(shí)現，而這些機制的實(shí)現都是通過(guò)軟件來(lái)實(shí)現的。

　　因此，隔離的關(guān)鍵點(diǎn)就成了要盡量提高網(wǎng)間數據交換的速度，并且對應用能夠透明支持，以適應復雜和高帶寬需求的網(wǎng)間數據交換。而由于設計原理問(wèn)題使得第三代和第四代隔離產(chǎn)品在這方面很難突破，既便有所改進(jìn)也必須付出巨大的成本，和“適度安全”理念相悖。

　　隔離技術(shù)的未來(lái)發(fā)展方向

　　第五代隔離技術(shù)的出現，是在對市場(chǎng)上網(wǎng)絡(luò )隔離產(chǎn)品和高安全度網(wǎng)需求的詳細分析情況下產(chǎn)生的，它不僅很好地解決了第三代和第四代很難解決的速度瓶頸問(wèn)題，并且先進(jìn)的安全理念和設計思路，明顯地提升了產(chǎn)品的安全功能，是一種創(chuàng )新的隔離防護手段。

　　隔離原理 第五代隔離技術(shù)的實(shí)現原理是通過(guò)專(zhuān)用通信設備、專(zhuān)有安全協(xié)議和加密驗證機制及應用層數據提取和鑒別認證技術(shù)，進(jìn)行不同安全級別網(wǎng)絡(luò )之間的數據交換，徹底阻斷了網(wǎng)絡(luò )間的直接TCP/IP連接，同時(shí)對網(wǎng)間通信的雙方、內容、過(guò)程施以嚴格的身份認證、內容過(guò)濾、安全審計等多種安全防護機制，從而保證了網(wǎng)間數據交換的安全、可控，杜絕了由于操作系統和網(wǎng)絡(luò )協(xié)議自身漏洞帶來(lái)的安全風(fēng)險。