大型信息系统物理安全隔离技术的研究

大型信息系统物理安全隔离技术的研究

柴彦

（天津市普迅电力信息技术有限公司天津300384）

摘要：本文以电子商务平台为例，重点剖析了在一级部署的大型信息系统上，为保证系统安全，在内外网隔离的情况下，如何提高现有的隔离技术。本文对于信息系统在安全方面具有很高的借鉴作用。

关键词：物理安全隔离技术；SQL代理；一级部署；SQL过滤防护

0引言

电子商务平台是与物资集约化发展的背景相适应，是大势所趋，不过，也将带来极大的挑战，尤其是在安全方面。为保证平台安全稳定运行，采用何种安全策略将是一个极具挑战性的课题。

1内外网划分

通过物理安全隔离装置的部署，实现信息内外网强隔离，有效抵御来自互联网及外网的恶意代码、黑客等对公司信息内网的破坏和攻击活动，保护公司信息内网及应用系统的安全、优质及稳定运行。

为落实国家对信息安全保障工作的要求，提高公司网络信息系统安全防护能力，保障公司信息化建设的安全稳定运行，在公司实施网络与信息系统安全隔离方案，建设信息安全三道纵深防线，将管理信息网划分为信息内网和信息外网，并实施有效的安全隔离。按照“双网双机、分区分域、等级保护、多层防护”的安全策略，通过采用自主研发的信息内外网逻辑强隔离装置，实现信息内外网系统与设备的高强度逻辑隔离，仅允许内外网间必须的业务数据在可控的数据库通信方式下实现交换，数据访问过程可控、交互数据真实可靠，并禁止信息内网主机对互联网的任何访问。

2物理安全隔离原理

通过SQL代理隔离装置的部署，实现信息内外网强隔离，能有效抵御来自互联网及外网的恶意代码、黑客等对公司信息内网的破坏和攻击活动，保护公司信息内网及应用系统的安全、优质及稳定运行。为了保证业务数据安全，所有数据库均存放在内网，外网需通过隔离装置访问内网数据库。业务系统使用SG-JDBC通过安全自定义协议访问隔离装置代理服务器，代理服务器通过调用OCI驱动（针对Oracle）或ODBC驱动（针对非Oracle数据库）实现SQL代理功能。

SQL代理引擎作为核心模块，处理数据的转换以及安全控制等内容。JDBC接口适配器，负责连接各种后台数据库，屏蔽不同数据库的差异性。数据提供者负责模拟成一个数据库服务器接口，向数据客户端提供服务，将数据客户端发送来的操作请求交给SQL代理引擎进行处理。数据客户端为部署在应用服务器上的JDBC驱动程序，通过自定义的协议与数据提供者进行通讯。管理模块提供了整个体系架构的管理输入接口，负责与远端的图形化管理控制客户端进行通讯，动态调整配置。监控模块负责将整个软件体系的运行情况进行记录、筛选和输出，并支持输出至远端的安管平台或者监控中心进行监控。

SQL代理隔离装置是在物理安全隔离条件下提供外网业务系统访问内网数据库功能的专用安全装置。本装置可以对信息内外网间的传输进行过滤，只允许特定的应用服务器通过特定的程序对特定的数据库服务器进行访问，并且对客户端程序访问数据库服务的内容和行为进行控制。

3物理安全隔离技术

（1）基于业务应用的专用安全JDBC驱动

遵循JDBC3.0标准，完全满足标准JDBC驱动的13个接口类，支持增、删、改、查、存储过程和大对象等常见功能。安全JDBC接口是整个应用系统的用户接口，应用程序通过调用安全JDBC接口实现对数据库的安全操作，在应用服务器端对SQL的各类操作进行透明过滤，并对业务应用传输的内容进行安全检查。

（2）自定义虚拟数据库安全传输协议

设计了一套国家电网公司信息系统应用服务器与隔离装置虚拟数据库之间的自定义安全传输协议，支持国家密码管理局规定的高强度加密算法。支持对常用的协商类、登陆认证类、数据传输类等对象进行高强度加密与身份认证。

（3）自学习智能SQL过滤防护

采用模式匹配以及基于动态风险值的自学习过滤技术实现了对SQL注入攻击的安全防护。相比较其他SQL注入防护方法，本装置通过将模式匹配与特征过滤两种方法配合使用，相互弥补，大幅提高SQL注入防护效率。

（4）基于流还原的数据库安全防护

采用流还原技术屏蔽应用程序对数据库系统的直接访问，将连续独立的SQL语句还原为SQL流，然后采用深度数据挖掘技术对SQL流进行智能关联分析，获取潜在的攻击行为以及攻击趋势。并实现了数据类型转换以及结果集的序列化以及反序列化等功能，并提供JDBC结果集缓存机制，大幅减少重复访问带来的网络负载。

（5）软硬件两种方式实现SQL代理集群负载均衡

软件方式实现SQL代理集群负载均衡，适用于四个服务节点以下规模的隔离装置集群，这种模式下需要在业务系统的应用服务器上配置数据库连接字符串，连接字符串中包含隔离装置集群中所有装置的IP地址的，SG-JDBC驱动采用轮询方式访问隔离装置集群。

大集群部署方式，适用于五个服务节点以上规模的隔离装置集群。大集群部署方式通过硬件负载均衡器实现负载均衡，隔离装置的集群规模可以动态扩展，扩展过程对业务系统透明，集群规模基本不受限制。

（6）支持多类型数据库的统一适配器

研制的SQL代理隔离装置实现了对通用Oracle、SQLServer、DB2等数据库的统一隔离防护，基于代理技术和多线程统一适配技术，实现了从JDBC接口到ODBC、OCI接口的自动翻译与映射。

4物理安全隔离技术功能

（1）基本功能

SQL代理隔离装置是在物理安全隔离条件下提供外网业务系统访问内网数据库功能的专用安全装置。通过隔离装置访问内网数据库，业务系统使用SG-JDBC通过安全自定义协议访问隔离装置代理服务器，代理服务器通过调用OCI驱动(针对Oracle)或ODBC驱动(针对非Oracle数据库)实现SQL代理功能。本装置可以对信息内外网间的传输进行过滤，只允许特定的应用服务器通过特定的程序对特定的数据库服务器进行访问，并且对客户端程序访问数据库服务的内容和行为进行控制。

SQL代理服务器可以配置多个应用，支持多个虚拟数据库，支持多个不同种类的真实数据库，支持软硬件集群负载均衡等。

（2）基础安全功能

①、加固的安全操作系统：采用安全LINUX操作系统，根据最小特权原则对装置的软件，制定MAC（强制访问控制）策略。

②、IP地址过滤：只有特定的TCP链路才能通过本装置。本装置可以配置对源IP进行控制，最大程度让数据库服务器对非法访问者不可见，以保障数据库安全。

③、安全通信协议：专用安全JDBC驱动，自定义安全传输协议，加密认证算法支持对象传输。

④、安全审计：支持对网络层、传输层、应用层的安全审计。

（3）数据库专用防护功能

①、SQL语句控制

对于连接上数据库的通讯内容进行全方位分析，从其中分析出完整的SQL语句，对其进行过滤。如果通过词法分析并与已知合法SQL语句相匹配，则进行放过。如果不与已知的合法SQL语句相匹配，这进行恶意特征检查。若包含恶意特征，本装置将立即阻止该SQL语句执行或者切断其连接，将恶意SQL语句及时阻挡住，使之无法在数据库服务器上执行。

②、SQL解析和过滤

SQL解析和过滤模块，进行深入的SQL分析过滤，并根据用户配置的安全控制策略，对来自特定网络地址范围以及具有特定内容的应用数据进行阻断或允许操作，将来自外部网络中企图对后台数据库进行攻击的危险行为阻断，从而在一定程度上保证了只有来自可信网络的不具攻击性的数据才能进入内部网络，确保后台数据库的安全。

SQL代理装置对一些常见的SQL注入攻击预置了相应的默认过滤规则，随着黑客技术的发展和网络攻击手段的进步，技术人员可以对过滤规则进行及时更新。规则的更新是实时动态生效的，装置无需重新启动，因此并不会阻断上层应用。

③、SQL阻断方式

对于常规的恶意语句，装置将拒绝该语句执行，记录详细的操作日志，并在JDBC端抛出“SQLcheckfailed!”的异常信息。对于恶意编码的SQL语句，如含有不可打印字符等，装置将直接切断其连接。

（4）安全方便的维护管理

SQL代理装置配置非常简便，对它的操作及设置基本上只需使用规则配置管理工具就可以实现。SQL代理装置提供了配置管理工具，即GUI管理工具。

规则管理工具（GUI）是本产品的专用配套程序。该管理器具有界面友好、直观、功能齐全、通俗易懂等特点。具备以上功能的SQL代理装置是计算机网络与网络之间、主机与网络之间、主机与主机之间实施安全隔离的最佳解决方案。

结语

本文所论述的物理安全隔离技术，该技术是针对电子商务平台系统的实际需要，且取得良好的效果，为平台稳定使用提供巨大的借鉴指导作用。

参考文献：

[1].克拉克SQL注入攻击与防御[J]清华大学出版社2010

[2].杜彦辉信息安全技术教程[J]清华大学出版社2013

[3].2007年电力系统专用网络隔离装置的原理及应用http://bbs.51cto.com/thread-424303-1-1.html