南瑞网络安全隔离技术与产品

南瑞网络安全隔离技术与产品国网电力科学研究院刘金锁[e-mail]手机：136751102252008年7月第一章物理隔离技术1.1研发背景国网电力二次系统安全防护规定要求：安全分区，网络专用，横向隔离，纵向认证。其中横向隔离是电力二次安全防护体系的横向防线，在生产控制大区与管理信息大区之间必须设置经国家指定部门检测认证的电力专用横向单向安全隔离装置，隔离强度应接近或达到物理隔离。电力专用横向安全隔离装置作为生产控制大区与管理信息大区之间的必备边界防护措施，是横向防护的关键设备。20:442000年10月13日二滩电厂由于控制系统死机造成甩出电力89万千瓦，造成川渝电网大范围停电，通过专家调查认为控制系统与办公自动化系统网络的直接互联是事故的一个可能因素。国家电力公司科技环保部2000年设立了科技攻关项目，研究电力二次系统安全防护技术，并申请了国家863项目。南瑞集团公司于2001年开始研究电力专用安全隔离技术。南瑞集团公司多名专家参加国家“863”科技项目《国家电网调度中心及网络安全防护策略研究》，并在其中发挥重要作用。2003年6月，SysKeeper-2000网络安全隔离产品通过公安部计算机信息系统安全产品质量监督检验中心检测，并获得产品销售许可证，销售许可证号XKC30412。2003年7月，成为全国唯一一家通过国家电网公司电磁兼容试验和常规型式试验检测认证的网络安全隔离产品。1.1研发背景2003年7月，通过解放军信息安全测评认证中心的攻防测试。2003年8月，获得国家电力调度通信中心关于电力专用安全防护设备的检测证明(正向型)2003年11月，获得国家电力调度通信中心关于电力专用安全防护设备的检测证明(反向型)。2004年5月，南瑞单向通道隔离技术获得国家知识产权局专利，专利号：ZL200420025888.62007年年初，国家调度中心鉴于电力网络的安全状况，提出对正反向隔离装置的改造方案，以加强各个安全区之间的隔离效果，提高安全性。改造方案要求隔离装置在物理上进行严格隔离，在传输内容上进行强制过滤。20:441.1研发背景1.2隔离技术概述安全域是以信息涉密程度划分的网络空间。涉密域就是涉及国家秘密的网络空间。非涉密域就是不涉及国家的秘密，但是涉及本单位，本部门或者本系统的工作秘密的网络空间。公共服务域是指既不涉及国家秘密也不涉及工作秘密，是一个向因特网络完全开放的公共信息交换空间。1.1.1隔离的概念1、安全域电子政务的内网和外网要实行严格的物理隔离。政务的外网和因特网络要实行逻辑隔离，按照安全域的划分，政府的内网就是涉密域，政府的外网就是非涉密域，因特网就是公共服务域。1.2隔离技术概述网络隔离（NetworkIsolation），主要是指把两个或两个以上可路由的网络（如TCP/IP）通过不可路由的协议（如IPX/SPX、NetBEUI等）进行数据交换而达到隔离目的。由于其原理主要是采用了不同的协议，所以通常也叫协议隔离（ProtocolIsolation）。2、网络隔离第一代隔离技术——完全的隔离第二代隔离技术——硬件卡隔离第三代隔离技术——数据转播隔离第四代隔离技术——空气开关隔离第五代隔离技术——安全通道隔离1.1.1隔离的概念1.1.2网络隔离的技术原理下图表示没有连接时内外网的应用状况，从连接特征可以看出这样的结构从物理上完全分离。内网外网存储介质控制器1.2隔离技术概述当外网需要有数据到达内网的时候，以电子邮件为例，外部的服务器立即发起对隔离设备的非TCP/IP协议的数据连接，隔离设备将所有的协议剥离，将原始的数据写入存储介质。内网外网存储介质控制器1.2隔离技术概述1.1.2网络隔离的技术原理1.2隔离技术概述一旦数据完全写入隔离设备的存储介质，隔离设备立即中断与外网的连接。转而发起对内网的非TCP/IP协议的数据连接。隔离设备将存储介质内的数据推向内网。内网收到数据后，立即进行TCP/IP的封装和应用协议的封装，并交给应用系统。内网外网存储介质控制器在控制台收到完整的交换信号之后，隔离设备立即切断隔离设备于内网的直接连接1.1.2网络隔离的技术原理1.2隔离技术概述内网有电子邮件要发出，隔离设备收到内网建立连接的请求之后，建立与内网之间的非TCP/IP协议的数据连接。隔离设备剥离所有的TCP/IP协议和应用协议，得到原始的数据，将数据写入隔离设备的存储介质。内网外网存储介质控制器1.1.2网络隔离的技术原理1.2隔离技术概述一旦数据完全写入隔离设备的存储介质，隔离设备立即中断与内网的连接。转而发起对外网的非TCP/IP协议的数据连接。隔离设备将存储介质内的数据推向外网。外网收到数据后，立即进行TCP/IP的封装和应用协议的封装，并交给系统内网外网存储介质控制器1.1.2网络隔离的技术原理1.2隔离技术概述每一次数据交换，隔离设备经历了数据的接受、存储和转发三个过程。由于这些规则都是在内存和内核中完成的，因此速度上有保证，可以达到100%的总线处理能力。物理隔离的一个特征，就是内网与外网永不连接，内网和外网在同一时间最多只有一个同隔离设备建立非TCP/IP协议的数据连接。其数据传输机制是存储和转发。物理隔离的好处是明显的，即使外网在处在最坏的情况下，内网也不会有任何破坏，修复外网系统也非常容易。1.1.2网络隔离的技术原理1.2隔离技术概述1.1.3网络隔离技术分类1．基于代码、内容等隔离的反病毒和内容过滤技术2．基于网络层隔离的防火墙技术3．基于物理链路层的物理隔离技术1.2隔离技术概述1.1.4网络隔离技术要点与发展方向1．网络隔离技术需要具有的安全要点2．网络隔离的关键点隔离的关键点就成了要尽量提高网间数据交换的速度，并且对应用能够透明支持，以适应复杂和高带宽需求的网间数据交换。要具有高度的自身安全性要确保网络之间是隔离的要保证网间交换的只是应用数据要对网间的访问进行严格的控制和检查要在坚持隔离的前提下保证网络畅通和应用透明1.2隔离技术概述3．隔离技术的未来发展方向通过专用通信设备、专有安全协议和加密验证机制及应用层数据提取和鉴别认证技术，进行不同安全级别网络之间的数据交换，彻底阻断网络间的直接TCP/IP连接，同时对网间通信的双方、内容、过程施以严格的身份认证、内容过滤、安全审计等多种安全防护机制，从而保证了网间数据交换的安全、可控，杜绝了由于操作系统和网络协议自身漏洞带来的安全风险。第二章SysKeeper-2000网络安全隔离产品概述*实现两个安全区之间的非网络方式的安全的数据交换，并且保证安全隔离装置内外两个处理系统不同时连通；*透明工作方式：虚拟主机IP地址、隐藏MAC地址；*基于MAC、IP、传输协议、传输端口以及通信方向的综合报文过滤与访问控制；*支持NAT；安全隔离装置的基本要求（正向型）*防止穿透性TCP联接：禁止两个应用网关之间直接建立TCP联接，应将内外两个应用网关之间的TCP联接分解成内外两个应用网关分别到隔离装置内外两个网卡的两个TCP虚拟联接。隔离装置内外两个网卡在装置内部是非网络连接，且只允许数据单向传输。*具有可定制的应用层解析功能，支持应用层特殊标记识别；*安全、方便的维护管理方式：基于证书的管理人员认证，图形化的管理界面。安全隔离装置的基本要求（正向型）隔离设备前面板图(正向型)电源内网灯外网灯隔离设备后面板图(正向型)*具有应用网关功能，实现应用数据的接收与转发；*具有应用数据内容有效性检查功能；*具有基于数字证书的数据签名/解签名功能；*实现两个安全区之间非网络方式的安全数据传递；*支持透明工作方式：虚拟主机IP地址、隐藏MAC地址*基于MAC、IP、传输协议、传输端口以及通信方向的综合报文过滤与访问控制；安全隔离装置的基本要求（反向型）20:44隔离设备前面板图(反向型)智能IC卡接口20:44隔离设备后面板图(反向型)20:44SysKeeper-2000安全隔离系列产品特性1.具有安全隔离能力的硬件结构嵌入式微处理器采用RISC体系结构高性能嵌入式微处理器采用安全通道隔离技术实现两个安全区非网络方式的数据交换采用硬件安全算法保证隔离装置内外两个处理系统不同时连通2.高可靠性硬件设计产品电源采用进口工业级开关电源，平均无故障时间达64233小时PCB板设计，严格按照EDA对高频电路设计的要求，设计了单独的电源层与地层，进一步保证整个嵌入式主板的稳定性支持双电源，实现主、备电源的在线无缝切换，有效地提高电源工作的可靠性和整个系统的平均无故障时间3.硬件优化设计产品整体设计遵循分布均匀、布局合理的原则，风扇处增加了防尘罩，而且紧靠散热源，起过滤作用，避免灰尘和湿气机箱散热风扇采用滚轴风扇，保证风扇的长期可靠运行通过增加专用转接板，起到了更好的加固和抗震作用，即使在长途的运输过程中，也能充分地保障设备内部的完整性。4.严格的生产流程控制遵循ISO90002000版质量认证体系静放电、浪涌冲击抗扰度对每一个隔离装置的关键芯片和元器件进行产品老化试验电压突降、短时中断等所有的安全隔离装置出厂必须经过240小时以上连续通电试验20:445.安全裁减内核，系统的安全性和抗攻击能力强采用自主知识产权的嵌入式安全操作系统系统无TCP/IP协议栈，设备没有IP地址，隐藏MAC地址对内核进行安全加固和最小化服务，整个嵌入式操作系统内核大小为380K6.基本安全功能丰富，实现在网络中的快速部署综合过滤技术，根据安全策略决定如何处理数据包支持静态地址映射和虚拟IP技术基于数字证书的签名与解签名功能编码转换和纯文本识别技术支持应用层特殊标记识别支持报警功能7.网络数据通信流畅采用motorola高性能CPU和高速传输芯片FIFO，内核使用高效的过滤算法，百兆状态下的网络通吐率可达60~80Mbps，密文数据包吞吐量20Mbps，数字签名速率150次/秒。8.丰富的通信工具软件和API函数接口提供反向配套文件传输软件，方便用户改造提供数字签名和加密API函数，方便系统改造厂家进行系统改造SysKeeper-2000安全隔离系列产品特性20:44丰富的电力二次系统改造经验南瑞SysKeeper－2000网络安全隔离设备与南瑞所有的监控系统（包括网、省调、地调、县调和变电站SCADA系统以及水电、火电监控系统）进行了安全改造工作和现场的实际运行；同时与国内外主流的监控系统厂商进行了广泛、深入的合作（国内：包括东方电子、鲁能积成、上海申贝等；国外：阿尔斯通监控系统、原CAE公司监控系统、PI实时数据库、ValmetSCADA系统等），保证电力二次系统安全防护工程的顺利实施。20:44第三章SysKeeper-2000网络安全隔离系列产品功能原理20:44隔离装置硬件结构图(正向型)20:44正向隔离装置业务交互FIFO数据信息G1G2Computer1信源C1Computer2信源C2内网外网TCPconnection（G2，C2）IP报文TCPconnection（C1，G1）IP报文CPU1CPU2（G1，G2）CPLD链路状态信息20:44隔离单元正向隔离装置软件结构图G1G2I/II区业务主机Fifo驱动数据链路处理（虚拟地址）网卡驱动安全策略过滤报文处理割断TCP连接应用层解析数据内容从组报文Fifo驱动数据链路处理（虚拟地址）网卡驱动安全策略过滤报文处理割断TCP连接应用层解析数据内容从组报文业务数据内容控制信息1bitIII/IV区业务主机20:44灵活的访问控制控制策略数据包数据包查找对应的控制策略根据策略决定如何处理该数据包截获数据包进行分析基于源地址的访问控制基于目标地址的访问控制基于端口的访问控制基于协议的访问控制可以灵活地制定控制策略20:44应用数据处理－应用层标记识别IP报头TCP报头数据分组过滤判断信息查找对应的控制策略根据策略决定如何处理该数据包数据包数据包控制策略应用过滤判断信息截获数据包20:44双机热备工作原理内网外网正常情况下由主隔离装置工作主隔离装置出故障后接管它的工作检测