科东隔离装置正向千兆

StoneWall-2000网络安全隔离设备(反向型)

2.1 开发背景

调度自动化系统等与当地的MIS系统或因特网之间直接互联(或无缝连接),对电网安全运行构成严重隐患。

2000-10-13二滩电厂由于控制系统死机造成川渝电网大范围的停电事故,其中控制系统网络与办公自动化系统网络的直接互联就被认为是事故的一个可能因素;

国家电力公司科技环保部2000年科技攻关项目,是国家863项目国家电网调度中心二次系统安全防护的子课题;

2001年在国调试运行,并对设备进行多次改型、功能与性能完善;

2002年6月,国家经贸委下发30号令;

20027月通过公安部检验,并获得网络安全隔离设备的销售许可;

2002年9月由国调、科技环保部在保密局组织了安全测试;

2002年9月通过国家网络安全积极防御实验室检测;

2002年9月通过解放军信息安全评测中心检测;

2002年9月底,国调、科技环保部组织了安全技术评审,受到何德全、曲延文、吴世忠、杨有权、袁文恭等院士专家的好评

2003年10月22日 StoneWall-2000网络安全隔离设备获得 实用新型   号ZL 02 82484.7;

2003年11月15日 StoneWall-2000网络安全隔离设备(反向型) 全国第一个获得国家电力调度通信中心《关于电力专用安全防护设备的检测证明》;

2007年7月对StoneWall-2000网络安全隔离设备(反向型)进行全面的升级改造。

2.2 概述

    StoneWall-2000网络安全隔离设备(反向型)是由北京科东电力控制系统有限责任公司自主开发研制,具有物理隔离能力的网络安全设备,具有操作简便、高性能、高可靠性等特点。

StonewWall-2000网络安全隔离设备(反向型)采用软、硬结合的安全措施,在硬件上使用双机结构通过安全岛装置进行通信来实现物理上的隔离;在软件上,采用综合过滤、访问控制、应用代理、双字节检查技术实现链路层、网络层与应用层的隔离。在保证网络透明性的同时,实现了对非法信息的隔离。

StoneWall-2000网络安全隔离设备(反向型)配套软件,实现可信数据根据计划自动或手动地从外网到内网的传输,传输过程中,发送端程序对外网数据进行双字节转换及数字签名,报文在通过网络安全隔离设备前,网络安全隔离设备根据规则进行综合过滤,并对签名进行验证,对验证通过的报文再进行双字节检查,这样检查通过的报文才可以进入内网,以保证内网系统的安全,并保证在网络隔离的情况下可信数据能够进入内网。

2.3 基本功能

  1. 完全满足《全国电力二次系统安全防护总体方案》标准要求,并通过公安部、国家电力调度通信中心、解放军信息安全评测中心的检测;

  2. 实现两个安全区之间的非网络方式的安全的数据交换,并且保证安全隔离装置内外两个处理系统不同时连通;

  3. 具有基于非对称加密算法数字签名和验证功能;

  4. 通过对文本数据进行全角检查,进一步防毒;

  5. 在配套软件的配合下,实现可信数据由外网到内网的自动或手动传输;

  6. 自动传递的文件任务可定制,支持更新检查、增量发送;

  7. 任务发送情况有日志记录,可随时查阅;

  8. 支持多种工作模式:无IP地址透明工作方式(虚拟主机IP地址、隐藏MAC地址)、支持网络地址转换(NAT)、混杂工作模式,保证标准应用的透明接入;

  9. 支持基于状态检测的MAC、IP、传输协议、传输端口以及通信方向的综合报文过滤与访问控制;

  10. 提供完备的日志审计功能,如时间、IP、MAC、PORT等日志信息。对通过装置进入内网的应用数据及未通过装置而被丢失的应用数据进行完整的纪录,已备事后审计;

  11. 具有报警功能,当发生非法入侵、装置异常、通信中断或丢失应用数据时,可输出报警信息;

  12. 安全、方便的维护管理方式:基于证书的管理人员认证,图形化的管理界面。方便地对装置进行设置,监视和控制系统运行;

  13. 支持地址绑定功能,可以有效阻止非法用户盗用合法用户的IP地址;

  14. 支持双向地址转换功能,可以在保障自身网络安全的前提下向外提供服务;

  15. 具有可定制的应用层解析功能,支持应用层特殊标记识别;

  16. 提供基于硬件WatchDog的系统监视功能,保证系统连续稳定可靠运行;

  17. 提供数据传输软件和API函数接口,方便用户进行二次系统安全隔离的改造。


2.13 安全机理

2.13.1 具有的物理结构和安全岛技术

StoneWall-2000使用双机结构,通过连接双机的非网络设备而实现的安全岛技术将受保护网络从物理上隔离开来。

网络安全隔离设备(正向型)通过开关切换及数据缓冲设施来进行数据交换。开关的切换使得在任何时刻两个网络没有直接连通,而数据流经网络安全隔离设备(正向型)时TCP/IP协议被终止,防止了利用协议进行攻击,在某一时刻网络安全隔离设备(正向型)只能连接到一个网络。 

网络安全隔离设备(正向型)作为代理从内网的网络数据包中抽取出数据然后通过数据缓冲设施转到外网,完成数据中转。在中转过程中,网络安全隔离设备(正向型)会对抽取的数据报文的IP地址、MAC地址、端口号、连接方向实施综合过滤控制,只有满足要求的报文才可以通过网络安全隔离设备(正向型)。由于网络安全隔离设备(正向型)采用了独特的开关切换机制,因此,在进行检查时网络实际上处于断开状态,即使黑客强行攻击了网络安全隔离设备(正向型),由于攻击发生时内外网始终处于物理断开状态,黑客也无法进入内网

网络安全隔离设备(正向型)在实现物理隔断的同时允许可信网络和不可信网络之间的数据和信息的安全交换。在安全岛硬件上将外网到内网传递的应用数据大小限定为1个bit,保证从低安全区到高安全区的TCP应答禁止携带应用数据,因此,内网不会受到网络层的攻击,这就在物理隔离的同时实现了数据的安全交换,并提高了防止病毒和黑客非法访问的能力。

2.13.2 安全的硬件及操作系统

StoneWall-2000网络安全隔离设备(正向型)采用非INTEL指令系统(及兼容)的RISC微处理器、采用双嵌入式计算机及安全岛技术,减少受攻击的概率,实现两个安全区之间的非网络方式的单向数据传输;

设备固化了精简的、安全的linux操作系统,将嵌入式Linux内核进行了裁剪。内核中只包括用户管理﹑进程管理﹑和Socket编程接口,裁剪掉TCP/IP协议栈和其它不需要的所有系统服务,提高了系统安全性和抗攻击能力,保证了系统安全的大化;


2.13.3 数据包的综合过滤技术

StoneWall-2000网络安全隔离设备(正向型)对于数据包要进行IP/MAC/PORT的综合过滤,只有满足条件的数据包才可以通过隔离设备;

通过综合报文过滤与访问控制、非穿透性TCP联接、表示层与应用层数据完全单向传输、应用层解析、日志审计和报警功能,能够抵御除DoS以外的已知的网络攻击。

2.13.4 状态检测技术

状态检测技术:基于隔离设备所维护的状态表的内容转发或拒绝数据包的传送,比普通的包过滤有着更好的网络性能和安全性。普通包过滤使用的过滤规则是静态的。而采用状态检测技术的隔离设备在运行过程中一直维护着一张状态表,这张表记录了从受保护网络发出的数据包的状态信息,然后隔离设备根据状态表内容对返回受保护网络的数据包进行分析判断,这样,只有响应受保护网络请求的数据包才被放行。

2.13.5 高可用技术

StoneWall-2000网络安全隔离设备(正向型)内置硬件Watchdog,保证系统软件的可靠运行。支持双机热备,互为备用的两台设备中任何一台出现故障,另一台设备自动接替其工作,保证提供不间断的网络服务;支持双电源,在工作的时候,有一个电源作为主电源供电,一个作为辅电源作备份,实现了主备电源的在线无缝切换,有效地提高整个电源工作的可靠性及延长整个系统的平均无故障工作时间,通过采用以上技术,提高设备的持续运行能力,提供更高的可用性;

2.13.6 地址绑定技术

隔离设备具有地址绑定技术,可以通过建立起来的合法IP地址和MAC地址的对应关系识破非法用户盗用合法IP的阴谋,并拒绝该连接请求。

2.13.7 双向网络地址转换技术

为了达到可以让不同网段两个网络通过隔离设备通信的目的,在隔离设备上采用网络地址转换功能模块,当NAT代表内部网络与外部网络建立连接时,它使用自定义的IP地址。在受保护的内部网络里,当一个TCP/IP请求被送往隔离设备时,NAT模块将源IP地址替换为自定义的IP地址。当外部网络的应答返回到隔离设备时,NAT将应答的目标地址字段替换为最初建立TCP/IP请求的的内部网络计算机结点的IP地址。

因为外部网络的计算机结点也有可能主动发送TCP/IP连接请求给内部网络,所以外部网络的计算机必须知道内部网络的计算机的IP地址,因此,对于NAT的设计采用的是静态地址分配机制,就是说NAT为内部网络的计算机结点绑定了一个固定的IP地址(虚拟的IP地址)。

2.13.8 日志审计及实时报警

可以实时监控数据通信状况,对非法的数据包进行信息记录和浏览,方便管理员及早发现问题。支持日志集中存储和管理的SYSLOG机制。

StoneWall-2000网络安全隔离设备(正向型)提供实时的报警输出功能,用户可以通过串口,获得系统的实时报警信息,报警格式遵循SYSLOG规范,便于用户收集、分析及综合利用。

2.13.9 高强度的抗攻击能力

通过特殊的硬件结构和加固的操作系统的内核以及隔离设备本身没有IP地址,使得隔离设备本身的抗攻击能力的强度极高,黑客对设备的攻击无从下手。

2.13.10 性能优化技术

隔离设备性能的优劣影响到用户的使用也同时影响了系统的安全和稳定性,我们采用了多种性能优化技术,大大改善了隔离设备的性能。

2.15 典型应用

StoneWall-2000网络安全隔离设备(正向型)的应用可分为比较典型的三种:

2.15.1 计算机和计算机主机之间









2.15.2 计算机网络和计算机主机之间










2.15.3 计算机网络和计算机网络之间