信息安全技术 网络和终端隔离产品安全技术要求 GBT 20279-2015.pdf

GB/T20279-2015域，同时在信道上物理断开信息源所在安金域与中间缓存区域的连接，在任一时刻，中间缓存区域只与一端安全域相连，3.6单向传输部件unilateral transmission unit一对具有物理上单向传输特性的传输部件，该传输部件由一对独立的发送和接收部件构成，发送和接收部件只能以单工方式工作，发送部件仅具有单一的发送功能，接收部件仅具有单一的接收功能，两者构成可信的单向信道，该信道无任何反馈信息。3.7终端隔离产品terminal separation product同时连接两个不同安全域，采用物理斯开技术在终端上实现安全域物理隔离的安全隔离卡或安全隔离计算机。3.8网络隔离产品network separation product位于两个不同安全域之间，采用协议隔离技术在网络上实现安全域安全隔离与信息交换的产品。3.9网络单向导入产品network unilateral transmission product位于两个不同安全域之间，通过物理方式构造信息单向传输的唯一通道，实现信息单向导入，并且保证只有安全策略允许传输的信息可以通过，同时反方向无任何信息传输或反馈。4网络和终端隔离产品描述网络和终端隔离产品从形态和功能上可以划分为终端隔离产品、网络隔离产品和网络单向导入产品三类，目的是在不同的网络终端和网络安全域之间建立安全控制点，实现在不同的网络终端和网络安全域之间提供访问可控的服务。此外，适用于下一代互联网网络环境的网络和终端隔离产品的协议栈除支持IPv4技术外，还应支持IPv6以及IPv4/Pv6过渡技术。网络和终端隔离产品保护的资产是受安全策路保护的网络服务和资原等，此外，网络和终端隔离产品本身及其内部的重要数据也是受保护的资产。图1为终端隔离产品的一个典型运行环境。终端隔离产品一般以隔高卡的方式接入目标主机，隔离卡通过电子开关以互斥的形式同时连通安全域A所连的硬盘1和安全域A,或者安全城B所连的硬盘2和安全域B,从而实现内外两个安全域的物理隔离。该类产品也可将隔离卡整合入主机，以整机的形式作为产品。PC安全城CPU硬盘1硬盘2主板双硬数隔离卡安全域B图1终端隔离产品典型运行环境