第7章物理环境与设备安全.ppt

《第7章物理环境与设备安全.ppt》由会员分享，可在线阅读，更多相关《第7章物理环境与设备安全.ppt（52页珍藏版）》请在三一文库上搜索。

1、莆田学院计算机网络教研室,第7章 物理环境与设备安全,7.1 物理层安全威胁 7.2 物理层安全防护 7.3 物理层安全设备 7.4 物理层管理安全,莆田学院计算机网络教研室,概 述,本章先讲述物理层的安全威胁，主要包括物理安全环境和物理安全设备由于威胁而引起的不可用性，然后讲述要实现物理安全必须要注意的一些要点。,莆田学院计算机网络教研室,7.1 物理层安全威胁,物理层负责传输比特流。它从第二层数据链路层（Data Link Layer）接受数据Frame，并将Frame的结构和内容串行发送，即每次发送一个比特。 网络的物理安全风险主要指由于网络周边环境和物理特性引起的网络设备和线路的不可用

2、，而造成网络系统的不可用。 例如：设备被盗、设备老化、意外故障、无线电磁辐射泄密等。如果局域网采用广播方式，那么本广播域中的所有信息都可以被侦听。,莆田学院计算机网络教研室,7.2 物理层安全防护,7.2.1 物理位置选择 机房应选择在具有防震、防风和防雨等能力的建筑内； 机房的承重要求应满足设计要求； 机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁； 机房场地应当避开强电场、强磁场、强震动源、强噪声源、重度环境污染，易发生火灾、水灾，易遭受雷击的地区。,谷歌数据中心,莆田学院计算机网络教研室,7.2 物理层安全防护,7.2.2 物理访问控制 有人值守机房出入口应有专人值守，

3、鉴别进入的人员身份并登记在案； 无人值守的机房门口应具备告警系统； 被批准进入机房的来访人员，应限制和监控其活动范围； 应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置过渡区域；,莆田学院计算机网络教研室,7.2 物理层安全防护,应对重要区域配置电子门禁系统，鉴别和记录进入的人员身份并监控其活动，并且门禁可以是带考勤的，这样就不用公司现在的考勤卡了。 可以考虑每个员工进入公司时，有一个身份卡，这样出了安全问题后，容易找到具体实施的人。 服务器应该安放在安装了监视器的隔离房间内，并且监视器要保留15天以上的摄像记录。,莆田学院计算机网络教研室,7.2 物理层安全防护,机

4、箱，键盘，电脑桌抽屉要上锁，以确保旁人即使进入房间也无法使用电脑，钥匙要放在安全的地方。在自己的办工桌上安上笔记本电脑安全锁，以防止笔记本电脑的丢失。图7.1和图7.2所示为笔记本电脑安全锁。,莆田学院计算机网络教研室,7.2 物理层安全防护,7.2.3 防盗窃和防破坏 应将相关服务器放置在物理受限的范围内；应利用光、电等技术设置机房的防盗报警系统，以防进入机房的盗窃和破坏行为；应对机房设置监控报警系统。 7.2.4 防雷击 机房建筑应设置避雷装置；应设置防雷保安器，防止感应雷；应设置交流电源地线。,莆田学院计算机网络教研室,7.2 物理层安全防护,7.2.5 防火 应设置火灾自动消防系统，自

5、动检测火情，自动报警，并自动灭火；机房及相关的工作房间和辅助房间，其建筑材料应具有耐火等级； 7.2.6 防水和防潮 水管安装不得穿过屋顶和活动地板下；应对穿过墙壁和楼板的水管增加必要的保护措施，如设置套管；应采取措施防止雨水通过屋顶和墙壁渗透；应采取措施防止室内水蒸气结露和地下积水的转移与渗透；,莆田学院计算机网络教研室,7.2 物理层安全防护,7.2.7 防静电 应采用必要的接地等防静电措施；应采用防静电地板。 7.2.8 温湿度控制 应设置恒温恒湿系统，使机房温、湿度的变化在设备运行所允许的范围之内。防尘和有害气体控制；机房中应无爆炸、导电、导磁性及腐蚀性尘埃；机房中应无腐蚀金属的气体；

6、机房中应无破坏绝缘的气体。,莆田学院计算机网络教研室,7.2 物理层安全防护,7.2.9 电力供应 机房供电应与其他市电供电分开；应设置稳压器和过电压防护设备；应提供短期的备用电力供应（如UPS设备）；应建立备用供电系统（如备用发电机），以备常用供电系统停电时启用。 7.2.10 电磁防护要求 应采用接地方式防止外界电磁干扰和相关服务器寄生耦合干扰；电源线和通信线缆应隔离，避免互相干扰。,莆田学院计算机网络教研室,7.3 物理层安全设备,我国2000年1月1日起实施的计算机信息系统国际联网保密管理规定第2章第6条规定，“涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其他公共信息网

7、络相连接，必须实行物理隔离”。从此之后，我国在物理隔离领域不断有新的产品出现，如物理安全隔离卡、双硬盘物理隔离器、物理隔离网闸等。,莆田学院计算机网络教研室,7.3 物理层安全设备,7.3.1 PC网络物理安全隔离卡 PC网络物理安全隔离卡把一台普通计算机分成两或三台虚拟计算机，可以连接内部网或外部网，实现安全环境和不安全环境的绝对隔离，保护用户的机密数据和信息免受国际互联网上黑客的威胁和攻击。图4.3所示为物理安全隔离卡。,莆田学院计算机网络教研室,PC网络物理安全隔离卡,莆田学院计算机网络教研室,7.3 物理层安全设备,1. 技术特点 1）内外网绝对隔离 将用户的硬盘物理分隔成两个区：一个

8、为公共区（外网），一个为安全区（内网），分别拥有独立的操作系统，通过各自的专用接口与网络连接，安装在主板和硬盘之间，用硬件方式完全控制硬盘读写操作，使用继电器控制分区之间的转换和网络连接，任何时候两个分区均不存在共享数据，保证内外网之间的绝对隔离。 2）阻塞信息泄露通道 通过有效控制IDE（或SATA）总线，彻底阻塞黑客进入未授权分区的通路，防止信息泄露和破坏。,莆田学院计算机网络教研室,7.3 物理层安全设备,3）应用广泛 与操作系统无关，兼容所有操作系统，支持ATA133标准，可以应用于所有IDE-ATA标准的硬盘；对网络技术和协议完全透明，支持单、双布线网络和调制解调器上网。 4）实现成

9、本低 PC网络安全隔离卡价格低廉，简单实用，方便网络管理工作。,莆田学院计算机网络教研室,7.3 物理层安全设备,2. 技术原理 PC网络安全隔离卡属于端设备物理隔离设备，通过物理隔离的方式，在两个网络间转换时，保证计算机的数据在网络之间不被重用。根据本产品设计方法：当计算机进入其中一个网络时，物理隔离部件保证被隔离的计算机硬盘（或硬盘分区）及网络相互不连通。在计算机处于内网状态时，物理隔离部件可以禁止用户使用光、软驱。计算机转换网络时必须重新启动，清空内存，不存在残留信息泄漏的问题。,莆田学院计算机网络教研室,7.3 物理层安全设备,2. 技术原理,莆田学院计算机网络教研室,7.3 物理层安

10、全设备,2. 技术原理,图7.4 双硬盘型安全隔离卡原理图,莆田学院计算机网络教研室,7.3 物理层安全设备,3. 解决方案 解决方案如图7.6所示。,莆田学院计算机网络教研室,7.3 物理层安全设备,7.3.2 其他物理隔离设备 1. 网络安全物理隔离器 网络安全物理隔离器是一种双硬盘物理隔离器，它实际上只是在两个硬盘之间从物理上交换文件的一个设备。其实现原理和上面的物理隔离网卡相似，只是前面采用网卡的形式，这里采用的是磁盘的形式。,莆田学院计算机网络教研室,7.3 物理层安全设备,7.3.2 其他物理隔离设备 1.网络安全物理隔离器产品介绍： 实现单机双网（通常称为“内外”和“外网”）物理

11、隔离及数据隔离最简单易用的、真正的物理隔离的产品。该产品的主体是一块插在电脑主机内的插卡，通过外接手动开关来控制电脑中两块硬盘的工作电源、以及内、外网线的切换，彻底隔断了涉密网（或内网）与互联网（或外网）之间的数据信息交换途径，从而起到安全、保密的作用，确保本地系统不受侵害、信息资源不外泄，保证了内、外网络之间的安全物理隔离，达到国家规定的物理隔离的要求。,莆田学院计算机网络教研室,7.3 物理层安全设备,7.3.2 其他物理隔离设备 网络安全物理隔离器,莆田学院计算机网络教研室,7.3 物理层安全设备,2. 物理隔离网闸 物理隔离网闸最早出现在美国、以色列等国家的军方，用以解决涉密网络与公共

12、网络连接时的安全。我国也有庞大的政府涉密网络和军事涉密网络，但是我国的涉密网络与公共网络，特别是与互联网是无任何关联的独立网络，不存在与互联网的信息交换，也用不着使用物理隔离网闸解决信息安全问题。所以，在电子政务、电子商务之前，物理隔离网闸在我国因无市场需求，产品和技术发展较慢。,莆田学院计算机网络教研室,7.3 物理层安全设备,(1) 物理隔离网闸的定义 物理隔离网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。由于物理隔离网闸所连接的两个独立主机系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协

13、议“摆渡”，且对固态存储介质只有“读”和“写”两个命令。所以，物理隔离网闸从物理上隔离、阻断了具有潜在攻击可能的一切连接，使“黑客”无法入侵、无法攻击、无法破坏，实现了真正的安全。,莆田学院计算机网络教研室,7.3 物理层安全设备,(2) 物理隔离网闸的信息交换方式 计算机网络依据物理连接和逻辑连接来实现不同网络之间、不同主机之间、主机与终端之间的信息交换与信息共享。物理隔离网闸既然隔离、阻断了网络的所有连接，实际上就是隔离、阻断了网络的连通。网络被隔离、阻断后，两个独立主机系统之间如何进行信息交换？网络只是信息交换的一种方式，而不是信息交换方式的全部。在互联网时代以前，信息照样进行交换，如数

14、据文件复制、数据摆渡（摆渡攻击）、数据镜像、数据反射等，物理隔离网闸就是使用数据“摆渡”的方式实现两个网络之间的信息交换。,莆田学院计算机网络教研室,7.3 物理层安全设备,(2) 物理隔离网闸的信息交换方式 网络的外部主机系统通过物理隔离网闸与网络的内部主机系统连接起来，物理隔离网闸将外部主机的TCP/IP协议全部剥离，将原始数据通过存储介质，以“摆渡”的方式导入内部主机系统，实现信息的交换。 例如：1957年前，京汉铁路与粤汉铁路的列车“摆渡”。 物理隔离网闸在任意时刻只能与一个网络的主机系统建立非TCP/IP协议的数据连接，保证了内、外网络不能同时连接在物理隔离网闸上。,莆田学院计算机网

15、络教研室,7.3 物理层安全设备,(2) 物理隔离网闸的信息交换方式 当内网与专网之间无信息交换时，物理隔离网闸与内网，物理隔离网闸与专网，内网与专网之间是完全断开的，即三者之间不存在物理连接和逻辑连接，如图7.7所示。,莆田学院计算机网络教研室,7.3 物理层安全设备,(2) 物理隔离网闸的信息交换方式 当内网数据需要传输到专网时，物理隔离网闸主动向内网数据交换代理服务器发起非TCP/IP协议的数据请求，并发出“写”命令，将写入开关合上，并把所有的协议剥离，将原始数据写入存储介质。在写入之前，根据不同的应用，还要对数据进行必要的完整性、安全性检查，如病毒和恶意代码检查等。在此过程中，专网服务

16、器与物理隔离网闸始终处于断开状态，如图7.8所示。,莆田学院计算机网络教研室,7.3 物理层安全设备,(2) 物理隔离网闸的信息交换方式 专网服务器收到数据后，按TCP/IP协议重新封装接收到的数据，交给应用系统，完成了内网到专网的信息交换，详见图7.9所示。,莆田学院计算机网络教研室,7.3 物理层安全设备,(3) 物理隔离网闸的组成 外部处理单元； 内部处理单元； 隔离硬件。 (4) 物理隔离网闸的主要安全模块 安全隔离模块：隔离硬件在两个网络上进行切换，通过对硬件上的存储芯片的读写，完成数据的交换。保证两个网络在链路层断开，不与两个网络同时连接，两个网络交换的数据必须是剥离TCP/IP协

17、议后在应用层之上进行。,莆田学院计算机网络教研室,7.3 物理层安全设备,(4) 物理隔离网闸的主要安全模块 内核防护模块：在内、外部处理单元中嵌入安全加固的操作系统，设置基于内核的IDS等。 安全检查模块：数据完整性检查、病毒查杀、恶意攻击代码检查等。 身份认证模块：支持身份认证、数字签名。 访问控制模块：实行强制访问控制。 安全审计模块：建立完善日志系统。,莆田学院计算机网络教研室,7.3 物理层安全设备,(5) 物理隔离网闸的主要功能 阻断网络的直接物理连接； 阻断网络的逻辑连接； 数据传输机制的不可编程性； 安全审查； 原始数据无危害性； 管理和控制功能； 根据需要建立数据特征库；,莆

18、田学院计算机网络教研室,7.3 物理层安全设备,(5) 物理隔离网闸的主要功能 根据需要提供定制安全策略和传输策略的功能； 支持定时/实时文件交换，支持单向/双向文件交换，支持数字签名、内容过滤，可为每个用户配置不同的邮件交换策略，内外网邮件镜像等； 支持Web方式； 数据库同步； 支持多种数据库,莆田学院计算机网络教研室,7.3 物理层安全设备,(6) 物理隔离网闸的主要指标 数据交换数率 支持百兆和千兆的数据交换数率； 切换时间 使用高速安全隔离电子开关，支持毫秒级的高速切换。,莆田学院计算机网络教研室,7.3 物理层安全设备,(7) 物理隔离网闸的典型应用,莆田学院计算机网络教研室,7.

19、3 物理层安全设备,物理隔离网闸应用,莆田学院计算机网络教研室,7.3 物理层安全设备,物理隔离网闸应用,莆田学院计算机网络教研室,物理隔离网闸产品,莆田学院计算机网络教研室,7.4 物理层管理安全,7.4.1 内部网络与外部网络隔离管理 公司内部的研发网与外面的因特网是完全从物理上隔离的(没有网线直接相接)。这样从物理上隔离可以防止公司的核心代码被外网上黑客盗用，也可以防止公司内部人员将公司代码“偷”出去，也最大程度上防止了来自外部恶意的入侵行为(如网上的病毒等)。如图7.11所示。 但造成上网查找资料不便，影响研发效率。,莆田学院计算机网络教研室,7.4 物理层管理安全,设置专门的上网区域

20、（在研发区以外），叫它上网缓冲区。这个上网缓冲区，可以自由上因特网网络来查找资料。供需要上因特网的研发员工上网。但是上网缓冲区与研发区是物理隔离的，没有任何形式的联接。 给重要员工配置笔记本，通过无线方式，上因特网来查找资料。,莆田学院计算机网络教研室,7.4 物理层管理安全,7.4.2 内部网络的安全管理 为了进一步的安全考虑，控制研发区里的传输介质显得尤其重要。在研发区里，对于传输介质的控制，采用的是一个多层次、多方面的控制措施。这样可以最大程度上防止公司核心成果的外漏，特别是公司内部人员将公司机密泄漏。 禁止公司员工将自己的笔记本电脑、U盘和MP3等传输介质带入公司，一经发现，严肃处理。

21、如果必须使用U盘等传输介质来传输文件，则必需要通过公司的专门人员完成(比如公司安全管理员)。禁止公司员工将公司的笔记本电脑带回家。,莆田学院计算机网络教研室,7.4 物理层管理安全,对于研发网内机器上的U盘接口、串口、并口等采用带有公司公章的封条封上。封条封的时候要注意，要选择那种一碰就容易破的纸。并且在封之前，最好再将里面塞满纸。这样做的话，如果有人想要往里插线，还要将里面的纸取出，这时外面的封条早都破了。 将研发网机器内部U盘接口、串口和并口等的接口线拔掉。 将机箱上锁。 从机器BIOS设置里面将U盘接口，串口和并口等去掉。 如果员工要从内部向外部，或从外部向内容拷贝资料，则必须通过专门的

22、安全管理人员。,莆田学院计算机网络教研室,7.4 物理层管理安全,最好不用文件删除技术，而用文件粉碎或擦除技术。 将计算机上的IP地址与MAC地址绑定，这一点可以通过交换机来实现。除此之外，还要将计算机上的网线用带有公司公章的封条封上，以防止非法人员将网线拔掉，而插入别的计算机。 所有从内网到外网要传输的资料，都要经过部门主管人员的审批。 主管人员的审批后，交给管理员杀病毒，管理员再放到内网的FTP服务器上，供需要的人员下载。,莆田学院计算机网络教研室,思考题,1. 机房的物理位置选择应该注意哪些条件？ 2. 简述门禁系统的作用。 3. 什么是物理隔离网闸？ 4. 内网的安全应该注意什么？,莆

23、田学院计算机网络教研室,摆渡攻击,摆渡攻击是一种专门针对移动存储设备，从与互联网物理隔离的内部网络中窃取文件资料的信息攻击手段。在现实生活中，被河流隔断的两岸往往利用渡船进行摆渡实现相互交通，摆渡攻击原理与之非常类似。政府机关、军队、银行、科研机构等重要部门和涉密单位出于信息安全的考虑，一般将单位自建的内部网络与互联网之间实施严格的物理隔离，u盘一度成为内、外网离线交换文件数据的首选工具。摆渡攻击就是利用u盘作为“渡船”，达到间接从内网中秘密窃取文件资料的目的。,莆田学院计算机网络教研室,摆渡攻击,摆渡攻击的工具是摆渡木马，它是一种特殊的木马，其感染机制与u盘病毒的传播机制完全一样，只是感染目

24、标计算机后，它会尽量隐蔽自己的踪迹，不会出现普通 u盘病毒感染后的症状，如更改盘符图标，破坏系统数据，在弹出菜单中添加选项等，它唯一的动作就是扫描系统中的文件数据，利用关键字匹配等手段将敏感文件悄悄写回u盘中，一旦这个u盘再插入到连接互联网的计算机上，就会将这些敏感文件自动发送到互联网上指定的计算机中。 摆渡木马是一种间谍人员定制的木马，隐蔽性、针对性很强，一般只感染特定的计算机，普通杀毒软件和木马查杀工具难以及时发现，对国家重要部门和涉密单位的信息安全威胁巨大。,莆田学院计算机网络教研室,摆渡攻击,自2005年在网络中首次截获摆渡木马以来，很多单位的安全保密部门在做内部网络安全检测时，陆续发现了许多同类木马。因受摆渡攻击而造成的泄密事件时有发生，有关部门痛定思痛，不得不在涉密办公计算机上安装保密系统，采取强制措施，严格限制u盘的使用范围，杜绝使用u盘由内网向外网拷贝文件数据。对付摆渡攻击，除应采取防范u盘病毒的常用手段以外，最重要的是要严格执行有关移动存储设备的管理规定，绝不能抱任何侥幸心理，给摆渡木马以可乘之机。,莆田学院计算机网络教研室,谷歌数据中心所在地已被命名为“Googleville(谷歌村)”,数据中心园区一景,谷歌数据中心,莆田学院计算机网络教研室,谷歌数据中心,莆田学院计算机网络教研室,谷歌数据中心,莆田学院计算机网络教研室,谷歌数据中心,