物理隔离机制的实现技术:

专用计算机上网多 PC外网代理服务内外网线路切换器单硬盘内外分区双硬盘网闸协议隔离单向传输信息摆渡物理断开

专用计算机上网

在内部网络中指定一台计算机，这台计算机只与外部网相连，不与内部网相连。用户必须到指定的计算机才能上网，并要求用户离开自己的工作环境

多 PC

内部网络中，在上外网的用户桌面上安放两台 PC，分别连接两个分离的物理网络，一台用于连接外部网络，另一台用于连接内部网络

外网代理服务

在内部网指定一台或多台计算机充当服务器，负责专门搜集外部网的指定信息，然后把外网信息手工导入内部网，供内部用户使用，从而实现内部用户“上网”，又切断内网与外网的物理连接，避免内网的计算机受到来自外网的攻击

内外网线路切换器

在内部网中，上外网的计算机上连接一个物理线路 A/B 交换盒，通过交换盒的开关设置控制计算机的网络物理连接

单硬盘内外分区

单硬盘内外分区的技术原理是把单一硬盘分隔成不同的区域， 在 IDE 总线物理层上， 通过一块 IDE 总线信号控制卡截取 IDE 总线信号， 控制磁盘通道的访问， 在任一时间内， 仅允许操作系统访问指定的分区，如图 所示。这样，单硬盘内外分区技术将单台物理 PC 虚拟成逻辑上的两台 PC，使得单台计算机在某一时刻只能连接到内部网或外部网。当连接内部网时，就启用硬盘内部分区， 用于处理内部业务敏感数据文件，此时，计算机只能与内部 LAN 连接，而与外部网(因特网或不可信网)物理开关连接断开。当连接外部网时，就启用对外的硬盘分区， 与外部网直接物理相连， 但与内部 LAN 断开， 而且不可访问内部使用的硬盘分区。

单硬盘内外分区技术的优点是：

提供数据分类存放和加工处理；可有效防止外部窃走内部网数据；实现一台 PC 功能多用，节省资源开支。

单硬盘内外分区技术仍然存在安全威胁：

操作失误，如误将敏感数据存放在对外硬盘分区中；驱动程序软件 bug；计算机病毒潜入；内部人员故意泄露数据；特洛伊木马程序

双硬盘

在一台机器上安装两个硬盘，通过硬盘控制卡对硬盘进行切换控制，用户在连接外网时，挂接外网硬盘，而当用内网办公时，重新启动系统，挂接内部网办公硬盘，如图所示。在两个硬盘实际上安装了两个操作系统。这种技术在理论上说可以防止内部数据流向外网，但是用户在使用时又必须不断地重新启动切换，造成用户使用不方便，而且也不易统一管理。

网闸

网闸通过利用一种 GAP 技术(源于英文的 Air Gap) ，使两个或者两个以上的网络在不连通的情况下，实现它们之间的安全数据交换和共享。其技术原理是使用一个具有控制功能的开关读写存储安全设备，通过开关的设置来连接或切断两个独立主机系统的数据交换，如图 所示。

两个独立主机系统与网闸的连接是互斥的，因此，两个独立主机不存在通信的物理连接，而且主机对网闸的操作只有“读”和“写”。所以，网闸从物理上隔离、阻断了主机之间的直接攻击，从而在很大程度上降低了在线攻击的可能性。但是，网闸仍然存在安全风险，例如，入侵者可以利用恶意数据驱动攻击，将恶意代码隐藏在电子文档中，将其发送到目标网络中，通过具有恶意代码功能的电子文档触发，构成对内部网络的安全威胁。

协议隔离技术

协议隔离指处于不同安全域的网络在物理上是有连线的，通过协议转换的手段保证受保护信息在逻辑上是隔离的，只有被系统要求传输的、内容受限的信息可以通过。其中，协议转换的定义是协议的剥离和重建。把基于网络的公共协议中的应用数据剥离出来，封装为系统专用协议传递至所属其他安全域的隔离产品另一端，再将专用协议剥离，并封装成需要的格式。

单向传输部件

单向传输部件是指一对具有物理上单向传输特性的传输部件，该传输部件由一对独立的发送和接收部件构成，发送和接收部件只能以单工方式工作，发送部件仅具有单一的发送功能，接收部件仅具有单一的接收功能，两者构成可信的单向信道，该信道无任何反馈信息。

信息摆渡技术

信息摆渡技术是信息交换的一种方式，物理传输信道只在传输进行时存在。信息传输时，信息先由信息源所在安全域一端传输至中间缓存区域，同时物理断开中间缓存区域与信息目的所在安全域的连接；随后接通中间缓存区域与信息目的所在安全域的传输信道，将信息传输至信息目的所在安全域，同时在信道上物理断开信息源所在安全域与中间缓存区域的连接。在任何时刻，中间缓存区域只与一端安全域相连

物理断开技术

物理断开是指处于不同安全域的网络之间不能以直接或间接的方式相连接。在一个物理网络环境中，实施不同安全域的网络物理断开，在技术上应确保信息在物理传导、物理存储上的断开。物理断开通常由电子开关来实现。

学习参考资料：

信息安全工程师教程（第二版）

建群网培信息安全工程师系列视频教程

信息安全工程师5天修炼