(完整版)边界防护技术

2024年3月2日发(作者：据理力争的意思)

人们为了解决资源的共享而建立了网络，然而全世界的计算机真的联成了网络，安全却成了问题。因为在网络上，你不清楚对方在哪里，泄密、攻击、病毒等等，越来越多的不安全因素让网络管理者难以安宁，所以把有安全需求的网络与不安全的网络分开，是没有办法的选择。分离形成了网络的“孤岛”，没有了连接，安全问题自然消失了。

然而因噎废食不是个办法，没有连接，业务也无法互通，网络孤岛的资源在重复建设、浪费严重，并且随着信息化的深入，在各种网络上信息共享需求日益强烈，比如：政府的内网与外网，需要面对公众服务；银行的数据网与互联网，需要支持网上交易；企业的办公与生产网，老总们的办公桌上不能总是两个终端吧；民航、铁路与交通部的信息网与互联网，网上预定与实时信息查询是便利出现的必然……

一、网络边界上需要什么

把不同安全级别的网络相连接，就产生了网络边界。防止来自网络外界的入侵就要在网络边界上建立可靠的安全防御措施。下面我们来看看网络边界上的安全问题都有哪些：

非安全网络互联带来的安全问题与网络内部的安全问题是截然不同的，主要的原因是攻击者不可控，攻击是不可溯源的，也没有办法去“封杀”，一般来说网络边界上的安全问题主要有下面几个方面：

1、信息泄密：网络上的资源是可以共享的，但没有授权的人得到了他不该得到的资源，信息就泄露了。一般信息泄密有两种方式：

◆攻击者(非授权人员)进入了网络，获取了信息，这是从网络内部的泄密

◆合法使用者在进行正常业务往来时，信息被外人获得，这是从网络外部的泄密

2、入侵者的攻击：互联网是世界级的大众网络，网络上有各种势力与团体。入侵就是有人通过互联网进入你的网络(或其他渠道)，篡改数据，或实施破坏行为，造成你网络业务的瘫痪，这种攻击是主动的、有目的、甚至是有组织的行为。

3、网络病毒：与非安全网络的业务互联，难免在通讯中带来病毒，一旦在你的网络中发作，业务将受到巨大冲击，病毒的传播与发作一般有不确定的随机特性。这是“无对手”、“无意识”的攻击行为。

4、木马入侵：木马的发展是一种新型的攻击行为，他在传播时象病毒一样自由扩散，没有主动的迹象，但进入你的网络后，便主动与他的“主子”联络，从而让主子来控制你的机器，既可以盗用你的网络信息，也可以利用你的系统资源为他工作，比较典型的就是“僵尸网络”。

来自网络外部的安全问题，重点是防护与监控。来自网络内部的安全，人员是可控的，可以通过认证、授权、审计的方式追踪用户的行为轨迹，也就是我们说的行为审计与合轨性审计。

由于有这些安全隐患的存在，在网络边界上，最容易受到的攻击方式有下面几种：

1、黑客入侵：入侵的过程是隐秘的，造成的后果是窃取数据与系统破坏。木马的入侵也属于黑客的一种，只是入侵的方式采用的病毒传播，达到的效果与黑客一样。

2、病毒入侵：病毒就是网络的蛀虫与垃圾，大量的自我繁殖，侵占系统与网络资源，导致系统性能下降。病毒对网关没有影响，就象“走私”团伙，一旦进入网络内部，

便成为可怕的“瘟疫”，病毒的入侵方式就象“水”的渗透一样，看似漫无目的，实则无孔不入。

3、网络攻击：网络攻击是针对网络边界设备或系统服务器的，主要的目的是中断网络与外界的连接，比如DOS攻击，虽然不破坏网络内部的数据，但阻塞了应用的带宽，可以说是一种公开的攻击，攻击的目的一般是造成你服务的中断。

二、边界防护的安全理念

我们把网络可以看作一个独立的对象，通过自身的属性，维持内部业务的运转。他的安全威胁来自内部与边界两个方面：内部是指网络的合法用户在使用网络资源的时候，发生的不合规的行为、误操作、恶意破坏等行为，也包括系统自身的健康，如软、硬件的稳定性带来的系统中断。边界是指网络与外界互通引起的安全问题，有入侵、病毒与攻击。

如何防护边界呢？对于公开的攻击，只有防护一条路，比如对付DDOS的攻击；但对于入侵的行为，其关键是对入侵的识别，识别出来后阻断它是容易的，但怎样区分正常的业务申请与入侵者的行为呢，是边界防护的重点与难点。

我们把网络与社会的安全管理做一个对比：要守住一座城，保护人民财产的安全，首先建立城墙，把城内与外界分割开来，阻断其与外界的所有联系，然后再修建几座城门，作为进出的检查关卡，监控进出的所有人员与车辆，是安全的第一种方法；为了防止入侵者的偷袭，再在外部挖出一条护城河，让敌人的行动暴露在宽阔的、可看见的空间里，为了通行，在河上架起吊桥，把路的使用主动权把握在自己的手中，控制通路的关闭时间是安全的第二种方法。对于已经悄悄混进城的“危险分子”，要在城内建立有效的安全监控体系，比如人人都有身份证、大街小巷的摄像监控网络、街道的安全联防组织，每个公民都是一名安全巡视员，顺便说一下：户籍制度、罪罚、联作等方式从老祖宗商鞅就开始在秦国使用了。只要入侵者稍有异样行为，就会被立即揪住，这是安全的第三种方法。

作为网络边界的安全建设，也采用同样的思路：控制入侵者的必然通道，设置不同层面的安全关卡，建立容易控制的“贸易”缓冲区，在区域内架设安全监控体系，对于进入网络的每个人进行跟踪，审计其行为等等。

三、边界防护技术

从网络的诞生，就产生了网络的互联。从没有什么安全功能的早期路由器，到防火墙的出现，网络边界一直是攻防对抗的前沿阵地。边界防护技术也在不断对抗中逐渐成熟：

1、防火墙技术

网络隔离最初的形式是网段的隔离，因为不同的网段之间的通讯是通过路由器连通的，要限制某些网段之间不互通，或有条件地互通，就出现了访问控制技术，也就出现了防火墙，防火墙是不同网络互联时最初的安全网关。

防火墙的作用就是建起了网络的“城门”，把住了进入网络的必经通道。防火墙的缺点是：不能对应用层识别，面对隐藏在应用中的病毒、木马都好无办法。

2、多重安全网关技术

既然一道防火墙不能解决各个层面的安全防护，就多上几道安全网关，如用于应用层入侵的IPS、用于对付病毒的防病毒产品、用于对付DDOS攻击的专用防火墙技术……此时UTM（Unified Threat Management）安全网关设备就诞生了。设计在一起是UTM，分开就是各种不同类型的安全网关。

多重安全网关的安全性显然比防火墙要好些，对各种常见的入侵与病毒都可以抵御。但是大多的多重安全网关都是通过特征识别来确认入侵的，这种方式速度快，不会带来明显的网络延迟，但也有它本身的固有缺陷，首先，应用特征的更新一般较快，目前最长也以周计算，所以网关要及时地“特征库升级”；其次，很多黑客的攻击利用“正常”的通讯，分散迂回进入，没有明显的特征，安全网关对于这类攻击能力很有限；最后，安全网关再多，也只是若干个检查站，一旦“混入”，进入到大门内部，网关就没有作用了。

3、网闸技术

网闸的安全思路来自于“不同时连接”。不同时连接两个网络，通过一个中间缓冲区来“摆渡”业务数据，业务实现了互通，“不连接”原则上入侵的可能性就小多了。

后来网闸设计中出现了存储通道技术、单向通道技术等等，但都不能保证数据的“单纯性”。

4、数据交换网技术

数据交换网技术是基于缓冲区隔离的思想，把城门处修建了一个“数据交易市场”，形成两个缓冲区的隔离。在防止内部网络数据泄密的同时，保证数据的完整性，即没有授权的人不能修改数据，防止授权用户错误的修改，以及内外数据的一致性。

数据交换网技术给出了边界防护的一种新思路，用网络的方式实现数据交换，也是一种用“土地换安全”的策略。在两个网络间建立一个缓冲地，让“贸易往来”处于可控的范围之内。数据交换网技术比其他边界安全技术有显著的优势：

1、综合了使用多重安全网关与网闸，采用多层次的安全“关卡”。

2、有了缓冲空间，可以增加安全监控与审计，用专家来对付黑客的入侵，边界处于可控制的范围内，任何蛛丝马迹、风吹草动都逃不过监控者的眼睛。

3、业务的代理保证数据的完整性，业务代理也让外来的访问者止步于网络的交换区，所有的需求由服务人员提供，就象是来访的人只能在固定的接待区洽谈业务，不能进入到内部的办公区。

数据交换网技术针对的是大数据互通的网络互联，一般来说适合于下面的场合：

1、频繁业务互通的要求：

要互通的业务数据量大，或有一定的实时性要求，人工方式肯定不够用，网关方式的保护性又显不足，比如银行的银联系统、海关的报关系统、社保的管理系统、公安的出入境管理系统、大型企业的内部网络(运行ERP)与Internet之间、公众图书馆系统等等。这些系统的突出特点都是其数据中心的重要性是不言而喻，但又与广大百姓与企业息息相关，业务要求提供互联网的访问，在安全性与业务适应性的要求下，业务互联需要用完整的安全技术来保障，选择数据交换网方式是适合的。

2、高密级网络的对外互联：

高密级网络一般涉及国家机密，信息不能泄密是第一要素，也就是绝对不允许非授权人员的入侵。然而出于对公众信息的需求，或对大众网络与信息的监管，必须与非安全网络互联，若是监管之类的业务，业务流量也很大，并且实时性要求也高，在网络互联上选择数据交换网技术是适合的。

四、总结

“魔高道高，道高魔高”。网络边界是两者长期博弈的“战场”，然而安全技术在“不断打补丁”的同时，也逐渐在向“主动防御、立体防护”的思想上迈进，边界防护的技术也在逐渐成熟，数据交换网技术就已经不再只是一个防护网关，而是一种边界安全网络，综合性的安全防护思路。也许安全的话题是永恒的，但未来的网络边界一定是越来越安全的，网络的优势就在于连通。