企業(yè)物理層面臨著對計算機網(wǎng)絡與計算機系統(tǒng)的物理裝備的威脅，主要表現(xiàn)在自然災害、電磁輻射與惡劣工作環(huán)境方面。而相應的防范措施包括抗干擾系統(tǒng)、物理隔離、防輻射系統(tǒng)、隱身系統(tǒng)、加固系統(tǒng)、數(shù)據(jù)備份和恢復等。在眾多技術(shù)當中，物理隔離和數(shù)據(jù)備份及恢復是最為關(guān)鍵和重要的企業(yè)物理層安全防護技術(shù)，本文將對他們進行詳細介紹。
在互聯(lián)網(wǎng)高度發(fā)展的今天，訪問沒有好的防護措施的企業(yè)的內(nèi)部局域網(wǎng)對于外部的惡意訪問者來說并非難事，他們通?？梢愿Q探、非法獲取甚至是惡意毀壞企業(yè)的寶貴數(shù)據(jù)和資料，從而對企業(yè)造成不可挽回的經(jīng)濟損失。當前絕大多數(shù)的企業(yè)都在物理層面采用了物理隔離的措施將本地局域網(wǎng)和互聯(lián)網(wǎng)進行隔離，保證兩個網(wǎng)絡的不可互訪，從而達到保護內(nèi)網(wǎng)數(shù)據(jù)安全的目的。
目前看來，對安全要求比較高的企業(yè)，一般會采用物理隔離網(wǎng)閘來實現(xiàn)企業(yè)的網(wǎng)絡管理。物理隔離網(wǎng)閘是使用帶有多種控制功能的固態(tài)開關(guān)讀寫介質(zhì)連接兩個獨立主機系統(tǒng)的信息安全設(shè)備。由于物理隔離網(wǎng)閘所連接的兩個獨立主機系統(tǒng)之間，不存在通信的物理連接、邏輯連接、信息傳輸命令、信息傳輸協(xié)議，不存在依據(jù)協(xié)議的信息包轉(zhuǎn)發(fā)，只有數(shù)據(jù)文件的無協(xié)議"擺渡"，且對固態(tài)存儲介質(zhì)只有"讀"和"寫"兩個命令。所以，物理隔離網(wǎng)閘從物理上隔離、阻斷了具有潛在攻擊可能的一切連接，使"黑客"無法入侵、無法攻擊、無法破壞；物理隔離網(wǎng)閘可以解決以下威脅：操作系統(tǒng)漏洞，入侵，基于TCP/IP漏洞的攻擊，基于協(xié)議漏洞的攻擊，木馬，基于隧道的攻擊，基于文件的攻擊等。這些是互聯(lián)網(wǎng)目前存在的絕大部分主要威脅，物理隔離網(wǎng)閘在理論上是完全實現(xiàn)了真正的安全。
物理隔離網(wǎng)閘最早出現(xiàn)在美國、以色列、俄羅斯等國家的軍方，用以解決涉密網(wǎng)絡與公共網(wǎng)絡連接時的安全。俄羅斯的Ry Jones，以色列的Buky Carmeli，Elad Baron，Daniel Steiner等人都是該領(lǐng)域的先驅(qū)，后者現(xiàn)在美國開公司。目前最大的物理隔離公司當屬美國的Whale communications公司，Spearhead公司也不小。
隨著我國電子政務快速發(fā)展，外部網(wǎng)絡連接著廣大民眾，內(nèi)部網(wǎng)絡連接著政府公務員桌面辦公系統(tǒng)，專網(wǎng)連接著各級政府的信息系統(tǒng)，在外網(wǎng)、內(nèi)網(wǎng)、專網(wǎng)之間交換信息是基本要求。如何在保證內(nèi)網(wǎng)和專網(wǎng)資源安全的前提下，實現(xiàn)從民眾到政府的網(wǎng)絡暢通、資源共享、方便快捷是電子政務系統(tǒng)建設(shè)中必須解決的技術(shù)問題。一般采取的方法是在內(nèi)網(wǎng)與外網(wǎng)之間實行防火墻的邏輯隔離，在內(nèi)網(wǎng)與專網(wǎng)之間實行物理隔離。出于對重要信息、文件保護的目的，物理隔離網(wǎng)閘開始被人們接受，物理隔離網(wǎng)閘成為電子政務信息系統(tǒng)必須配置的設(shè)備。
物理隔離網(wǎng)閘主要由內(nèi)網(wǎng)處理單元、外網(wǎng)處理單元、安全隔離與信息交換處理單元三部分組成。外網(wǎng)處理單元與外網(wǎng)（如Internet）相連，內(nèi)網(wǎng)處理單元與內(nèi)網(wǎng)（如軍隊網(wǎng)）相連；安全隔離與信息交換處理單元通過專用硬件斷開內(nèi)、外網(wǎng)的物理連接，并在任何時刻只與其中一個網(wǎng)絡連接，讀取等待發(fā)送的數(shù)據(jù)，然后"推送"到另一個網(wǎng)絡上。在切換速度非?？斓那闆r下，可以實現(xiàn)信息的實時交換。
物理隔離卡是物理隔離的低級實現(xiàn)形式，一個物理隔離卡只能管一臺個人計算機，甚至只可能在Windows環(huán)境下工作，每次切換都需要開關(guān)機一次。物理隔離網(wǎng)閘是物理隔離的高級實現(xiàn)形式，網(wǎng)閘可以管理整個網(wǎng)絡，不需要開關(guān)機。網(wǎng)閘實現(xiàn)后，原則上不再需要物理隔離卡。安全隔離是一種邏輯隔離，防火墻就是一種邏輯隔離，因此防火墻也是一種安全隔離。有些廠商對安全隔離增加了一些特點，如采用了雙主機結(jié)構(gòu)，但雙主機之間卻是通過包來轉(zhuǎn)發(fā)的。
無論雙主機之間采用了多么嚴格的安全檢查，但只要是包轉(zhuǎn)發(fā)，就存在基于包的安全漏洞，存在對包的攻擊。這在本質(zhì)上同兩個防火墻串聯(lián)并無本質(zhì)的差別。從目前已經(jīng)存在的安全隔離網(wǎng)閘，包括以下類型：通過串口或并口來實現(xiàn)雙主機之間的包轉(zhuǎn)發(fā)，通過USB或1394或firewire（火線）等方式來實現(xiàn)雙主機之間的包轉(zhuǎn)發(fā)，甚至是直接通過以太線來實現(xiàn)雙主機之間的包轉(zhuǎn)發(fā)，以及其他任何形式的通信方式來實現(xiàn)雙主機之間的包轉(zhuǎn)發(fā)如專用ASIC開關(guān)電路，ATM，Myrinet卡等，都是安全隔離網(wǎng)閘，但都不是物理隔離網(wǎng)閘。
對于企業(yè)用戶來說，物理隔離網(wǎng)閘適用于五種典型應用場合：
1、局域網(wǎng)與互聯(lián)網(wǎng)之間（內(nèi)網(wǎng)與外網(wǎng)之間）
有些局域網(wǎng)絡，特別是政府辦公網(wǎng)絡，涉及政府敏感信息，有時需要與互聯(lián)網(wǎng)在物理上斷開，用物理隔離網(wǎng)閘是一個常用的辦法。
2、辦公網(wǎng)與業(yè)務網(wǎng)之間
由于辦公網(wǎng)絡與業(yè)務網(wǎng)絡的信息敏感程度不同，例如，銀行的辦公網(wǎng)絡和銀行業(yè)務網(wǎng)絡就是很典型的信息敏感程度不同的兩類網(wǎng)絡。為了提高工作效率，辦公網(wǎng)絡有時需要與業(yè)務網(wǎng)絡交換信息。為解決業(yè)務網(wǎng)絡的安全，比較好的辦法就是在辦公網(wǎng)與業(yè)務網(wǎng)之間使用物理隔離網(wǎng)閘，實現(xiàn)兩類網(wǎng)絡的物理隔離。
3、電子政務的內(nèi)網(wǎng)與專網(wǎng)之間
在電子政務系統(tǒng)建設(shè)中要求政府內(nèi)望與外網(wǎng)之間用邏輯隔離，在政府專網(wǎng)與內(nèi)網(wǎng)之間用物理隔離?，F(xiàn)常用的方法是用物理隔離網(wǎng)閘來實現(xiàn)。
4、業(yè)務網(wǎng)與互聯(lián)網(wǎng)之間
電子商務網(wǎng)絡一邊連接著業(yè)務網(wǎng)絡服務器，一邊通過互聯(lián)網(wǎng)連接著廣大民眾。為了保障業(yè)務網(wǎng)絡服務器的安全，在業(yè)務網(wǎng)絡與互聯(lián)網(wǎng)之間應實現(xiàn)物理隔離。
5、涉密網(wǎng)與非涉密網(wǎng)之間
電子政務建設(shè)中一般都對網(wǎng)絡按照安全級別進行了安全域的劃分，這在一定程度上保證了信息的安全，非涉密的系統(tǒng)及面向公眾的信息采集和發(fā)布系統(tǒng)主要運行在非涉密網(wǎng)部分。涉密網(wǎng)、非涉密網(wǎng)之間物理隔離，依照涉密信息"最小化"原則，進行涉密網(wǎng)和非涉密網(wǎng)之間兩個不同的信息安全域信息的適度"可靠交換"。
物理隔離網(wǎng)閘在網(wǎng)絡的第七層將數(shù)據(jù)還原為原始數(shù)據(jù)文件，然后以"擺渡文件"的形式來傳遞原始數(shù)據(jù)。任何形式的數(shù)據(jù)包、信息傳輸命令和TCP/IP協(xié)議都不可能穿透物理隔離網(wǎng)閘。根據(jù)我國計算機網(wǎng)絡安全管理的規(guī)定，物理隔離網(wǎng)閘需要取得公安部、國家保密局和中國信息安全測評認證中心的安全產(chǎn)品的測評認證證書。在此基礎(chǔ)上，進入軍事領(lǐng)域，還需要軍隊測評認證中心的認證證書。
涉及國家秘密的計算機信息系統(tǒng)，不得直接或間接地與國際互聯(lián)網(wǎng)或其它公共信息網(wǎng)絡相連接，必須實行物理隔離。涉密網(wǎng)絡必須在物理隔離的基礎(chǔ)上實現(xiàn)WWW瀏覽和自由收發(fā)E-mail。各級政府機關(guān)和涉密單位，必須將已建成的辦公局域網(wǎng)同Internet或上一級專網(wǎng)實行物理隔離，正在建設(shè)的電子政務網(wǎng)絡必須實現(xiàn)物理隔離。除了黨政軍外，其他行業(yè)和部門紛紛頒布建設(shè)規(guī)范和管理辦法，要求使用物理隔離。電力、鐵道、金融、銀行、證券、保險、稅務、海關(guān)、水利、交通、民航、社保、石化等行業(yè)部門，要求在物理隔離的條件下實現(xiàn)安全的數(shù)據(jù)庫數(shù)據(jù)交換。為了保證電子政務和電子商務體系中關(guān)鍵系統(tǒng)的安全性，物理隔離網(wǎng)閘將確保關(guān)鍵網(wǎng)絡和涉密網(wǎng)絡萬無一失，同時又能提供網(wǎng)絡業(yè)務的互聯(lián)互通。
目前市場上出現(xiàn)專門應用于特定行業(yè)的物理隔離網(wǎng)閘，如供應電力專用物理隔離網(wǎng)閘是一種專門用為是一種專門用為電力系統(tǒng)"二次安全防護設(shè)計的"一款單向物理隔離網(wǎng)閘。主要應用于實時控制區(qū)(I區(qū)、或者DCS網(wǎng))、非控制生產(chǎn)區(qū)（II區(qū)）與生產(chǎn)管理區(qū)（III、IV區(qū)、或MIS網(wǎng)）完全的網(wǎng)絡物理隔離，并保證I、II區(qū)可向III、IV有效實時地傳輸數(shù)據(jù)，但反過來，任何網(wǎng)絡入侵、病毒的攻擊均被有效地阻隔，這樣就可在最大的限度上防止黑客、病毒的侵害。
