划分内部网络，隔离非常必要

时间：2021-01-20

目前网络威胁APT、0day漏洞等攻击手段层出不穷，勒索软件大行其道，又有破坏性较强的黑客工具四处传播。建议对内部网络根据功能划分不同的子网，子网之间不通信，可以采用文件过滤网关、单向通信的文件摆渡系统、网闸等设备来传送文件，对于内网之间IP流量，可以采取禁止的规则，这样可以防范网络威胁整个网络。对外服务的网络与内部网络隔离后，可以切断对内部的威胁，与内部网络之间也可以采用文件过滤网关/单向文件摆渡系统/网闸等设备通信。

常见USB介质直接通过USB端口插入内网PC主机，USB存储难免会携带病毒，一旦侵入内部网络，会*传播，造成各种损害，严重的会影响正常工作，必须维护一个安全的内部网络，因此要封闭usb接口执行隔离。首先是使用政策上要求不能再使用usb端口，技术上实现有各种办法：例如设置BIOS，内部切断电路或者修改操作系统配置等；隔离后分割出不同的安全域，针对不同的安全等级实施不同的安全管理政策。可以在内网部署usb防毒盒来使用usb介质，通过设备过滤检测文件后再行使用。

词条
词条说明
划分内部网络，隔离非常必要
目前网络威胁APT、0day漏洞等攻击手段层出不穷，勒索软件大行其道，又有破坏性较强的黑客工具四处传播。建议对内部网络根据功能划分不同的子网，子网之间不通信，可以采用文件过滤网关、单向通信的文件摆渡系统、网闸等设备来传送文件，对于内网之间IP流量，可以采取禁止的规则，这样可以防范网络威胁整个网络。对外服务的网络与内部网络隔离后，可以切断对内部的威胁，与内部网络之间也可以采用文件过滤网关/单向文件摆
隔离的几种场景
隔离网仍然有读取或者写出文件的需要，常见的几种情况如下：只进不出的高密网：这类内部网络密级高，内部资料绝不外泄，例如**涉密网、公安涉密网、某些重点企业网等，需要外部文件时采用导向导入方式，例如刻光盘来读取外部文件。只出不进的高密网：一般是工控内网，要求安全很高，决不能进入非正常的任何内容，例如重点企业的生产网、石油石化生产控制网、金融企业的电力控制网络、重要设备的控制网等，平时运行有生产数据
USB病毒隔离器，防U盘病毒，外来文件检查，社保，税务，银行，USB防毒盒
1 在社保、税务等对外服务窗口，经常需要通过u盘传递文件，直接把外来的u盘插入内网电脑非常危险，可以采用usb防毒盒将文件过滤后使用，网络共享式使用，可以使用标准的http或者ftp协议访问，可以嵌入其他程序。 2 usb防毒盒为网络式，共享使用，多人通过网络接口共享使用一台设备，设备上有多个usb端口可多人同时使用。（也可单机直连） Usb防毒盒，型号【GLBZB-BK】技术参数 1）白名单方式
文件检测白名单技术
对外来文件的检测防范是重中之重。如果外来的文件直接进入内网，文件很可能携带窃听、攻击、威胁等恶意代码，窃听内网重要机密，通过某些渠道泄露内网秘密，或者对内网发动攻击致使内网瘫痪，因此在文件进入内网的时候首先对其检测，确保其安全之后，再允许其进入。目前内容检测分为黑名单和白名单两类，黑名单是根据已经发生过的经验提取病毒特征，例如常见的杀毒软件，但是杀毒软件需要连接互联网病毒云，单位内建的杀毒系统往往