网络隔离技术发展历程和未来方向
谈GAP硬件体系中的访问控制技术
GAP技术的原理,实现机制和实现
物理隔离网闸——入门篇
GAP技术其硬件体系隔离结构，使得链路层断开，网络层和操作系统层的攻击被自动阻止，但仅有这些是不够的，来自应用层的攻击还没有得到解决。
访问控制的重要性
在GAP的设计模型中安全检查是核心部分之一，只有在详细而丰富的安全检查环境下，才能充分发挥GAP技术特殊硬件架构的作用，解决来自应用层的安全问题。GAP的隔离硬件架构好比是一扇坚固的门，访问控制与检查则定义了这个门开放的程度。
应用层的攻击威胁来自多个方面，因此要求GAP必须具有细粒度的访问控制能力，主要是为防御应用层攻击设计的。针对应用层攻击的类型，GAP应具备以下的访问控制能力。
1.基本的访问控制能力。支持包括常见的IP、子网、时间、端口、内容搜索、文件格式检查在内的基本访问控制对象。
2.强身份认证能力。身份认证是整个访问控制的基础。严格的身份认证将大幅提高网络的抗攻击能力，基于数字证书的SSL、Radius认证、微软Active Directory认证以及RSA Secure ID，都是具有极高安全性的身份认证方式。
3.应用层协议分析功能。应用层协议分析可过滤基于协议漏洞发起的攻击并过滤应用层协议的命令，更精确地控制用户的访问，减少因无用命令开放暴露出的命令滥用风险。同时，通过对HTTP等协议的分析，还可以过滤恶意控件或脚本等对象。
4.应用参数过滤功能。SQL注射、Tampering等许多攻击行为，都是利用URL等应用接口传送参数实现的。攻击者经常通过URL，利用用户ASP等动态页面的设计错误以及Web服务器的设计错误控制系统或窃取用户数据。通过应用参数的检查，我们可以避免这类利用溢出或其它参数检查漏洞造成的攻击。
日志的重要性
与路由器等产品相比网络安全产品更关注日志。
就GAP而言，完整的日志功能具有更重要的安全意义。GAP独特的网络隔离特性，决定了用户受保护的内网在与外网的信息交互过程中，内网无法获得任何外网源地址、访问协议等构成日志的基础信息，这些信息都被GAP屏蔽了，此时内网IDS等系统都无法获得完整的来自外网访问者的记录。因此，GAP必须具有完整强大的日志系统，才能与内网中包括IDS在内的安全系统相结合，准确分析攻击行为并反跟踪攻击者。
GAP的日志系统应具备以下功能：完整的日志记录功能、日志报警功能、 日志的备份与集成功能。
相关链接：
网络隔离技术发展历程和未来方向
谈GAP硬件体系中的访问控制技术
GAP技术的原理,实现机制和实现
物理隔离网闸——入门篇
(T113)
|
