[发明专利]语义完整的TCP连接隔离与控制方法和系统

说明书

技术领域

本发明涉及一种网络信息安全技术领域的方法和系统，具体是一种语义完整的TCP连接隔离与控制方法和系统。

背景技术

随着信息技术和网络互联技术的发展，网络与信息安全问题日益突出。由于网络攻击方法和黑客技术不断提高和发展，普通网络安全产品无法满足重要网络和数据的安全需求。对于金融、政府和科研机构等对网络安全有高等级要求的用户，它们往往是建立一个专用内部网络，和公网之间采用物理或逻辑隔离。这就给不同信任域之间的信息交换带来了不便，各种隔离技术应运而生。

物理隔离技术(GAP技术)最早由美国、以色列提出，该技术利用专用硬件使两个网络在不连通的情况下实现数据安全传输和资源共享，已被美国、以色列等的军政、航天、金融等要害部门以及其它电子政务网络广泛采用。

国外有Whale公司的e-Gap系统、Spearhead公司的NetGAP等，国内有北京天行网安的天行安全隔离网闸(Topwalk-GAP)，北京京泰的京泰安全信息交流系统(安全网闸)。Whale公司将e-Gap系统定位为应用层的防护设备，该产品通过隔离服务器、数据暂存区、隔离开关(Air Gap Switch)，并结合应用层安全控制来达到整体安全。它集成了加密技术、授权认证、PKI、HTTP镜像、规则过滤、Air Gap(空气隔离)等技术构成软硬一体化安全平台。Spearhead公司的NetGAP直接连接两个网络。通过插在PCI槽的安全电路板与LVDS总线一起实现了“Reflective GAP”技术，每个安全电路板包含一对双开关结构，双开关结构确保了在两个网络之间链路层隔断。数据包从外网传至内网需要经历会话终止、剥离数据、编码、恶意代码扫描、传输恢复、会话再生等过程，确保内网的安全性。由于NetGAP对外部与内部服务器的会话请求进行规则过滤后重组，所以出现过安全漏洞，如过滤规则可被特殊编码攻击代码绕过漏洞，外部黑客可通过特殊URL组合穿过NetGAP拒绝规则而访问内部Web服务器。

TCP连接容易导致很大的安全问题，很多网络攻击，如序列号攻击等，都是针对TCP连接的攻击。因此，几乎所有的网络隔离技术和系统，都不允许TCP连接直接穿透所连接的内网和外网。经研究和分析发现，TCP连接能够在内外网间得到阻断，但是TCP连接的语义完整性无法得到保证。具体原因如下：

要实现网络隔离，需要存在两个网络处理单元(这里分别称为内网处理单元、外网处理单元)。假定由内网的一个客户端向外网的服务器发起一个TCP连接，原有网络隔离系统几乎都使用如下方法进行TCP连接的隔离与控制：内网处理单元先代替外网服务器和内网的客户端通过三次握手过程完成TCP连接的建立，然后网络隔离系统基于内网客户端和所连接的外网服务器的各种特征判断是否应该支持该服务器和客户端的信息交换，如果能够进行信息交换，则内网处理单元将客户端信息和所连接的服务器信息通过对应的隔离交换技术传输到外网处理单元，外网处理单元模拟客户端向外网服务器发起TCP连接请求，连接建立后，就可以进行相应的数据隔离和信息交换了。

从上述的TCP连接的隔离和数据交换的过程中可以看出，如果客户端发起TCP连接最终能够形成数据隔离交换通路，TCP连接的语义完整性就没有问题。如果最终的TCP连接没有形成对应的隔离交换通路，则TCP连接的语义完整性就不能得到保证。假如外网服务器目前处于关机状态，外网处理单元代替客户端向外网服务器不能完成三次握手过程，也不能成功建立起TCP连接。这时候，外网处理单元只能告知内网处理单元对服务器连接失败，这时候内网处理单元只能关闭与客户端已经建立起来的TCP连接，或者通过超时等机制自动关闭TCP连接。这样对内网的客户端而言，它不能理解为何TCP连接已经成功建立，又要被“服务器”主动关闭，如果是服务器关闭，TCP握手过程就应该不能成功，而现在握手过程成功后，还没有进行信息传递就已经关闭了。这就是语义完整性，也就是说这种TCP连接隔离与控制方法会破坏TCP连接的完整性。

发明内容

本发明针对现有技术中存在的上述不足，提供一种语义完整的TCP连接隔离与控制方法和系统，使其既可实现TCP连接的安全隔离，也能保证TCP连接语义完整的网络安全隔离系统。本发明解决了上述网络安全隔离系统不能保证TCP连接语义完整性的不足，能够支持各种基于TCP协议的网络应用，对客户端呈现出连接和数据交换许可一致的TCP连接特征，即如果能够建立TCP连接，就能完成基于TCP的数据交换。

本发明是通过如下技术方案实现的：