網安產品系列｜隔離裝置在電力行業的技術研究

1

什麼是隔離裝置

2015年7月，《中華人民共和國國家安全法》（以下簡稱國家安全法）正式頒佈，規定“禁止將涉密資訊系統接入國際網際網路及其他公共資訊網路”。面對各行各業需要將內網的部分資訊及業務向網際網路公開，提供資訊服務的需求，傳統的防火牆已經無法滿足安全需求，而隔離卡、移動介質這種低效率、低可靠性的解決方案也無法滿足企業資訊化需要。

安全隔離技術首先出現於國外，最早出現的是物理隔離的概念，以色列首先研發了物理隔離卡，使得一臺主機可在兩個安全等級不同的區域間來回切換，隨後，以色列和美國又出現了基於這種原理的網路隔離產品，在兩個網路並不同時連通的情況下進行資料交換與資訊共享。目前，各個國家的政府、軍隊均有采用不同形式的隔離產品保障資訊保安。當前隔離技術主要有如下兩種實現方式：

1

、“擺渡型”，採用多主機系統，連線內外網的主機內裝有物理或電子方式的切換開關，確保內外網路間在同一時刻沒有通暢的鏈路，依靠軟體控制在兩個網路間實現檔案轉存。

2

、“通訊重構型”，採用多主機系統，連線內外網的主機使用專有通訊協議進行通訊，從而實現內外部網路的隔離和資料交換，內外網主機實時捕獲、分析網路中的資料包，並進行重新封裝，並在此基礎上實現安全審查與訪問控制。

“擺渡型”隔離技術在實時通訊、穩定性、安全性方面都面臨巨大的、甚至是難以逾越的技術障礙。而“通訊重構型”隔離技術較好地解決了實時通訊的問題，但當今駭客技術發展迅速，入侵行為往往分散成多個偽裝成正常業務動作的資料包穿越各種防護裝置，抵達目標後進行重組並造成危害，令“通訊重構型”隔離產品無法防範。

在我國，政府、企事業單位等均採用隔離技術，解決涉密網與公開網之間資訊交換的安全問題，保證網路的保密性、完整性和高可用性。應用領域如電子政務、廣電、公安、醫療、銀行、電力等。本文介紹了隔離裝置的分類、原理、技術架構，再以電力行業較為特殊的SQL代理隔離裝置為例，介紹該技術的使用場景。

2

隔離裝置的原理

隔離裝置系統架構主要由內、外網處理單元和隔離交換單元三部分構成。內網處理單元與內網相連，外網處理單元與外網相連，內、外網處理單元分別負責內外網資訊的獲取和協議分析，隔離交換單元在內外網主機間按照指定的週期進行安全資料的擺渡，並根據安全策略完成資訊的安全檢測。

國家保密局對安全隔離與資訊交換類產品的應用進行了規定，規定安全隔離與資訊交換系統在以下四種網路環境下應用：

不同的涉密網路之間；

同一涉密網路的不同安全域之間；

與

Internet

物理隔離的網路與秘密級涉密網路之間；

未與涉密網路連線的網路與 Internet 之間。

針對不同環境下的安全要求，以及通用隔離裝置無法對私有協議進行資料內容檢查的問題，隔離裝置從技術線路上分為單向隔離裝置和資訊交換隔離裝置。

隔離裝置用於低安全區域到高安全區域資料流的單向傳輸，接收端無需任何反饋，以電力企業生產控制大區安全區I/II到管理資訊大區安全區III的單向資料傳遞為例，如圖所示：

正向隔離裝置用於高安全區域到低安全區域資料流的單向傳輸，與反向隔離裝置不同的是，正向隔離裝置允許存在tcp應答，但是從低安全區到高安全區的TCP 應答禁止攜帶應用資料，從而保證資料流的傳輸是單向的，以電力企業管理資訊大區安全區 III 到生產控制大區安全區 I/II 的單向資料傳遞為例，如圖所示：

資訊交換隔離裝置用於在保障資訊保安的前提下，在兩個不同安全級別的網路區域間進行適量的、可靠的資料交換，通常包含資料庫同步、檔案同步、資料庫訪問、郵件訪問、安全Web訪問、FTP訪問等功能。以電子政務內外網的資料交換為例，如圖所示：

電力企業內部自研的邏輯強隔離裝置僅支援SQL代理方式進行資料交換，以電力企業網際網路大區到管理資訊大區的資料交換為例，如圖所示：

3

Sql型隔離裝置的原理和架構

SQL代理隔離裝置是在雙網隔離條件下提供外網業務系統訪問內網資料庫功能的專用安全裝置，常用於電力資訊內外網邊界，是一種基於協議隔離的網路安全隔離裝置，透過提供相容JDBC3。0標準的SG-JDBC驅動程式，基於專門設計的私有加密通訊協議在SG-JDBC驅動程式與隔離裝置間構建安全通道，實現資料庫代理訪問。透過在內網和外網的網路邊界部署SQL代理隔離裝置，僅允許內外網間必須的業務資料在可控的資料庫通訊方式下進行互動，並切斷內網主機與網際網路之間的任何連線，保證業務訪問的可靠性和安全性。

SQL代理隔離裝置架構由裝置、管理軟體客戶端、SG-JDBC驅動三大部分組成。裝置透過外網處理單元接收外網業務應用訪問資料庫的SQL請求，根據設定的規則做必要的安全檢查和sql語句重建，然後透過內建的相應資料庫驅動，經過內網處理單元將請求傳送至內網真實資料庫伺服器，最後將訪問應答結果傳送至外網業務應用。SQL代理隔離裝置相對於應用伺服器而言，就是資料庫伺服器。在應用伺服器上，需要使用SQL代理伺服器的JDBC驅動與SQL代理伺服器進行通訊。

4

Sql代理隔離裝置使用方式

1、外網應用伺服器透過sql語句直接對內網資料庫進行增刪查改操作。

缺點：如果外網應用伺服器被攻擊和控制，則整個資料庫資料可以被修改和竊取；對多個數據庫進行查詢時，需要連線多個代理程序，進行多次查詢，內外網資料互動效率低；只能單向發起互動，無法從內網主動發起請求。

2、外網應用伺服器透過強隔離驅動JDBC方式將查詢資料資訊寫入內網資料庫，內網應用伺服器透過正常的驅動JDBC方式訪問資料庫，取到查詢引數後返回呼叫內網業務系統，取到內網資料並將查詢結果寫回到資料庫結果表中。外網應用伺服器發現結果表中有資料，查詢獲取並展示給使用者，從而完成內外網之間資料的傳輸通訊。

缺點：如果外網應用伺服器被攻擊和控制，則整個資料庫資料可以被修改和竊取，隔離裝置雖然設計是單向的，但是可以部署外網和內網兩個應用訪問資料庫，所以內網和外網應用仍然可以互動資訊，增加內網被攻擊的風險；內外網應用伺服器直接訪問資料庫介面，由於無法保證訊息持久，只能透過同步通訊的方式完成資料傳輸，內外網資料互動效率較低。

3、透過一種基於訊息中介軟體的內外網資料安全高效傳輸技術，在傳輸架構中加入訊息中間層作為訊息持久，保證資訊可靠傳輸；其次，在電力內網中設定專用的穿透資料庫，只暫存互動資料，解除與具體業務的強相關性。應用該技術後，內外網應用伺服器只和訊息中間層進行通訊，不再直接訪問內網資料庫，實現了與強隔離裝置的解耦，大幅提升內外網資訊傳輸效率。

缺點：依然打通了內外網通道，增加內網被攻擊的風險。

5

總結

SQL代理隔離裝置本質還是資訊交換隔離裝置，透過減少較多功能來增加安全性，隨著資訊化程序的不斷推進，照片、聲音、短影片傳輸等業務互動需求日益增多，實現資訊共享、拆除資訊壁壘、聯通訊息孤島已成為當前“網際網路+”發展下的必然趨勢，因此，尋求“安全隔離保障”與“高效互聯互通”之間的平衡是當前面臨的主要難題，電力企業應該積極創新，擁抱變化，引入第三方廠商，促進市場經濟的有效競爭。