[发明专利]网络中双向协议隔离方法及其装置

说明书

技术领域

本发明涉及一种网络中双向协议隔离方法，对网络中传输的数据能进行双向协议隔离，以及相应的双向协议隔离装置。

背景技术

信息化是发展我国经济的必由之路，可以说，在当今世界上，谁的信息化程度愈高，谁就占据着经济发展的主动。

电子政务作为国家信息化建设的重点工程，对于提高政府办公效率、增加政府办公透明度有重要作用。但是，电子政务建设的发展也给我们提出了新的问题，比如，计算机病毒等有害信息的传播，严重影响正常的网络活动；网络违法犯罪行为日益突出，攻击政务网站、散布谣言等种种违法活动，严重干扰了电子政务的有序运行，甚至危及社会的稳定。信息网络上的安全问题已引起党和国家的高度重视，中央领导明确提出了“趋利避害”、“兴利除弊”的方针，要求在信息化建设过程中，必须抓好信息系统的安全的建设。目前我国信息系统的安全技术与产品主要是加密与VPN技术、漏洞扫描技术、防病毒技术、内容审计技术、防电磁泄漏技术、强认证网关、防火墙技术(Firewall)等。其中边界保护技术传统的采用是以防火墙(Firewall)为核心的防御体系，通过纵深防御、系统联动达到协同保护网络安全的目的。

但是，尽管防火墙(Firewall)在安全防御中作为一种核心的访问控制手段，起到了不可替代的作用，但以防火墙为核心的防御体系已经不能满足网络安全的真正需求，因为防火墙始终保持了可信网络与不可信网络之间的TCP/IP连接。这样就不可能真正解决内外网络之间信息交互的安全问题。一旦防火墙因攻击或故障失效，或不能正确实现其职能时，始终存在的TCP/IP连接就成为攻击者攻击受保护网络的罪恶之手。因此，设计一种TCP/IP连接断开同时逻辑连接的安全设备是意义重大的。正是基于以上的想法，产生了新的协议隔离技术(GAP)。

协议隔离的指导思想与防火墙有很大的不同：(1)防火墙的思路是在保障互联互通的前提下，尽可能安全，而(2)协议隔离的思路是在保证必须安全的前提下，尽可能互联互通。通过协议隔离设备可以解决目前防火墙(Firewall)存在的根本问题：

1)防止TCP/IP的协议漏洞：其中一段不用TCP/IP，使用独立的GAP协议；

2)屏蔽防火墙中内网、外网和DMZ同时直接TCP/IP连接：采用双主机结构；

3)防护应用协议的漏洞，因为应用协议的命令和指令可能是非法的：进行应用层级别的协议内容检查。

在国内，目前许多公司开展了隔离技术研究，并推出了自己产品，但性能不如国外。最初第一代隔离技术提出的是双网的概念、即每个用户拥有两台独立的计算机，这种方式的最大缺点就是对资源的严重浪费，随着硬件和软件产品的飞速发展第二代第三代隔离产品相继问世。这些新产品在技术上比较第一代有了很大的改进与提高，方便了客户，降低了成本，但还是有很多问题没有得到妥善的解决，如内外网络物理隔离问题、内外网的信息高速交换问题等。国内现有的网络隔离产品，有的只是实现了隔离功能，但是内、外网络之间不能进行信息交换；有的产品虽然有内、外网信息交换功能，但是速度很慢，不能满足当今网络数据进行高速交换的需求。总之，目前国内的隔离技术存在如下问题：

1)有的是单纯基于开关方式隔离，不能在内外网络之间方便地进行数据交换；

2)即使是有基于开关方式数据交换功能的隔离技术，也是速度很慢，最高不过10Mbit/s；

3)没有高级的应用层检查功能、也没有病毒检测功能；

4)支持的用户数目少，只能针对很小的网络等诸多问题。

发明内容

本发明所要解决的技术问题是提出一种简便易行、能进行双向隔离的网络中双向协议隔离方法。

本发明所提供的技术方案是：一种在网络中双向协议隔离方法，包括有以下步骤：

a、网络数据为TCP/IP数据，通过不可信端网络接口层传递TCP/IP协议栈；

b、TCP/IP协议栈根据对网络数据依据全局安全策略库中的规则进行访问控制；

c、TCP/IP数据在由TCP/IP协议栈传递给协议分析模块，协议分析模块根据应用协议不同采用不同应用协议状态机处理，其中，协议分析模块中输入的是TCP/IP应用协议数据，输出的GAP协议数据包；

d、GAP协议数据包由协议分析模块传递给会话模块，会话模块启动具体的隔离程序，把合理的数据摆渡给对方的会话模块中；