网络物理隔离系统是指通过物理隔离技术在不同的网络安全区域之间建立一个能够实现物理隔离、信息交换和可信控制的系统以满足不同安全区域的信息或数据交换。核心目标高安全内网比如政府 / 涉密网 和 低安全外网互联网不能同时连通防止黑客从外网直接打进内网偷数据。原则同一时间内外网不能有物理通路。 但是业务又需要少量数据交换所以诞生了几种隔离方案网闸、双硬盘隔离、单向传输、单点隔离。物理隔离网闸架构21 架构外网主机单元、内网主机单元 中间固态存储介质摆渡存储网闸里面有一块独立存储板就像一个 “中间 U 盘”。 网闸内部有可控电子开关分时切换。同一时刻开关只连接一侧主机和内部存储断开另一侧工作流程叫数据摆渡分三步【外网侧】外网主机写数据 → 写到网闸内部存储此时网闸只连外网和内网断开断开外网的物理线路【内网侧】内网主机读网闸存储里的数据此时网闸只连内网和外网断开 关键点 外网主机是写内网主机是读。两台主机一个写、一个读不是只有读操作网闸能阻断网络层攻击木马、漏洞利用、网络协议攻击但是无法抵御文件本身携带的恶意内容。数据驱动攻击恶意代码藏在文件里面比如带宏病毒的 Word、恶意 PDF文件摆渡的时候网闸只是搬运文件它看不懂文件里面的恶意内容。文件到内网后在内网电脑打开就触发攻击。补充两个主机不会同时建立物理连接。网闸会剥离 TCP/IP 协议只传递原始文件数据数据包、网络攻击指令不能穿透网闸。双硬盘隔离系统一台电脑两块独立硬盘一块硬盘装内网系统一块硬盘装外网系统。硬盘 A内网系统硬盘 B外网系统 切换内外网必须关机重启在 BIOS 里切换硬盘同一时间只能用一块硬盘。 缺点每次切换都要重启很麻烦一堆隔离电脑很难统一批量管控不易统一管理。单向传输单向光闸 / 数据二极管单向传输部件由一对独立部件组成发送部件 接收部件工作模式是单工通信。数据只能从低安全区 → 高安全区单向流动不能反向传任何数据。 没有反向通道就没有反馈信号。 黑客就算控制外网也无法把命令、木马传回内网。✅发送部件仅单一的发送功能→ 只负责往外发出数据不能接收任何信息✅接收部件仅单一的接收功能→ 只负责接收数据不能回传任何信息单工、半双工、全双工区分软考常考单工只允许单向单向光闸广播半双工双方都能收发但同一时间只能一方发对讲机全双工收发可以同时双向手机通话、网闸单点隔离系统主要保护单独的计算机防止外部直接攻击和干扰。单点隔离 单机隔离。 就是保护单台独立计算机把这台机器和外网物理断开。 外网没办法直接访问、攻击这台电脑。