上海防汛中心信息系統(tǒng)物理隔離安全方案

2019-11-04 22:37:54

字體：大中小

供稿：網(wǎng)友

　　一、系統(tǒng)安全的設(shè)計思想
　　
　　遵照國家保密局“涉密計算機(jī)必須物理隔離”的文件以及“計算機(jī)信息系統(tǒng)國際聯(lián)網(wǎng)保密治理規(guī)定”第二章中“涉及國家秘密的計算機(jī)信息系統(tǒng)，不得直接或間接地與國際互聯(lián)網(wǎng)或其他公共信息網(wǎng)絡(luò)相連接，必須實行物理隔離。”之規(guī)定，所有的涉密計算機(jī)系統(tǒng)都必須與公共網(wǎng)相連接的計算機(jī)系統(tǒng)物理隔離。
　　
　　雙網(wǎng)物理隔離即基于物理層的，保證公共網(wǎng)絡(luò)與涉密網(wǎng)絡(luò)的信息不會被儲存在同一介質(zhì)上且能夠分時訪問二個網(wǎng)絡(luò)的物理鏈路并使二個網(wǎng)絡(luò)的服務(wù)器、交換機(jī)完全獨立且物理上沒有任何連接的一整套網(wǎng)絡(luò)安全防范手段。
　　
　　本方案中，二個密級不相同的網(wǎng)絡(luò)，即公共網(wǎng)絡(luò)與含有機(jī)密資料內(nèi)部局域網(wǎng)（涉密網(wǎng)）必須相互物理斷開。由于此網(wǎng)絡(luò)具有多種連接方式，所以采用物理隔離網(wǎng)絡(luò)安全選擇系統(tǒng)。物理隔離系統(tǒng)的保密手段和計算機(jī)治理措施能保障各級涉密信息均能夠安全地在涉密網(wǎng)內(nèi)應(yīng)用，并能有效地防御來自公共網(wǎng)絡(luò)直接或者間接的破壞。
　　
　　二、方案比較
　　
　　1、防火墻：
　　
　　防火墻是通過包過濾、控制對非凡站點的訪問技術(shù)，從而達(dá)到對數(shù)據(jù)包實行監(jiān)測和預(yù)警的目的。但是由于互聯(lián)網(wǎng)的開放性，有著眾多防范功能的防火墻也有一些無法克服的缺陷：
　　
　　1）防火墻不能防范不經(jīng)由防火墻的攻擊。例如，假如答應(yīng)從受保護(hù)網(wǎng)絡(luò)內(nèi)部不受限制的向外撥號，一些用戶即建立了與Internet的直接連接，從而繞過防火墻，形成了一個潛在的后門，易受攻擊。
　　
　　2）防火墻不能防止特洛依木馬等內(nèi)存駐留病毒的攻擊。
　　
　　3）防火墻不能防止數(shù)據(jù)驅(qū)動式攻擊。當(dāng)有些表面看來無害的數(shù)據(jù)被郵寄或復(fù)制到Internet主機(jī)上并被執(zhí)行而發(fā)起攻擊時，就會發(fā)生數(shù)據(jù)驅(qū)動攻擊。
　　
　　因此，防火墻只是整體安全防范策略的一部分。若想做到內(nèi)部網(wǎng)絡(luò)中涉密信息的絕對安全就必須進(jìn)行物理隔離。
　　
　　2、審計系統(tǒng)：
　　
　　審計系統(tǒng)是通過對內(nèi)部非法訪問的記錄來實現(xiàn)的。它并不能從根本上解決內(nèi)部涉密網(wǎng)和公共網(wǎng)的物理隔離問題，但可以與物理隔離系統(tǒng)并行工作。
　　
　　三、系統(tǒng)的網(wǎng)絡(luò)、拓?fù)浣Y(jié)構(gòu)
　　
　　2-4樓每個樓層現(xiàn)已采用10M/100M集線器作星形連接，與各用戶工作站相連接；每個樓層的集線器均與安裝于機(jī)房的主集線器（5樓）相連。由于改造之后的網(wǎng)絡(luò)結(jié)構(gòu)將使涉密網(wǎng)和公共網(wǎng)這之間無任何物理連接，故每樓層和機(jī)房需添置用于連接公共網(wǎng)絡(luò)的集線器。
　　上海防汛中心信息系統(tǒng)物理隔離安全方案

　　涉密網(wǎng)與公共網(wǎng)的物理隔離
　　
　　在2-4樓的每個樓層中增加一臺 NS-100F 遠(yuǎn)端切換控制器于涉密網(wǎng)、公共網(wǎng)HUB之間，并在涉密終端上安裝NS-100C物理隔離卡。NS-100C通過控制終端涉密網(wǎng)、公共網(wǎng)硬盤電源并發(fā)送控制信號到遠(yuǎn)端NS-100F遠(yuǎn)端切換控制器，再由NS-100F對公共網(wǎng)、涉密網(wǎng)HUB之間的跳線通斷進(jìn)行控制，從而實現(xiàn)完全的物理隔離。此方案既節(jié)省了用戶方的布線投資（在機(jī)房到終端無需再增加另一路網(wǎng)線），又實現(xiàn)了終端上的網(wǎng)絡(luò)完全物理隔離，隔離之后就相當(dāng)于用戶在每個信息點上使用了兩臺計算機(jī)。
　　
　　四、方案優(yōu)勢
　　
　　1、配置于工作站上的物理隔離卡為內(nèi)置卡，在主機(jī)箱外不會有附加設(shè)備，占空間資源少。
　　
　　2、解決了用戶單位從政務(wù)網(wǎng)到使用終端的水平布線問題。（用戶單位可以利用原有局域網(wǎng)，不需要重新水平布線，大大節(jié)約投資，縮短改造周期）
　　
　　3、在安裝安全隔離網(wǎng)絡(luò)選擇系統(tǒng)后，可共享除硬盤外的所有硬件系統(tǒng)資源。
　　
　　4、改造成本低廉：在增裝一塊物理隔離卡及二塊硬盤便可實現(xiàn)兩臺PC的功能。

上一篇：使用 RGMP: 基礎(chǔ)內(nèi)容與案例分析

下一篇：最后一公里：千兆到桌面的種種現(xiàn)實分析