高铁网络与信息安全的思考

2012-08-15黑龙江宋军

职业技术 2012年8期

黑龙江宋军

1 网络与信息安全存在的问题

高铁计算机网络利用先进的网络设备实现了计算机网络安全纵深防御体系，采用多层防护以防范计算机网络攻击的威胁，其核心思想是使攻击行为无法破坏整个信息基础设施和应用系统。纵深防御要求通过制定综合保护策略，全方位地防御任何可能存在的攻击。纵深防御并不要求在网络体系结构的每个层面实现信息保障机制，可以在适当的时候采用低级保障解决方案以便降低信息保障的代价，同时也可以在关键位置明智地使用高级保障解决方案。可以说，我们的纵深防御体系已经极大地解决了我们网络中的安全问题，但是由于目前网络安全不仅仅来自于外部，内部的网络安全也尤为突出。主要表现在以下几个方面：

1.1 人员方面的威胁

任何技术和设备都离不开操作和使用人员，信息化也不例外。有人的地方就会存在人员方面的安全隐患。高铁信息化也出现了很多由于人为误操作引起的各类系统问题。这里主要是人员的技术水平还跟不上铁路的信息化发展要求，其次也有人员素质及责任心存在问题。

1.2 操作系统存在漏洞引发安全问题

现在很多操作系统都是Unix或者windows操作系统，由于这些系统本身存在一些安全隐患和系统漏洞，这些都是黑客等实施入侵的重要目标。

1.3 网络安全存在威胁

网络系统由于采用TCP/IP作为主要的网络通讯协议，由于TCP/IP是以开放性著称的，所以现在存在很多针对它进行的网络攻击以及一些安全漏洞，对于病毒、黑客来说，网络协议的开放性使信息安全威胁的风险大为增加。

1.4 数据安全的问题

高铁信息化的数据安全十分重要，主要是与行车有关的数据。这些数据对铁路乃至国家都非常重要。目前，还没有对于项目范围内的重要信息数据（比如，技术文档、源程序、企业运行数据、电子邮件、管理文档、商业文档）的安全保护框架，以及承载这些数据的系统的安全保护框架进行全面的设计、评估。

2 针对信息化安全管理的解决办法

高铁信息安全从主动防护与被动监控、全面防护与重点防护相结合的角度出发，全面采用防火墙、防病毒、入侵检测、主机防护在内的信息安全产品，优化网络结构，克服平面网络结构先天的抵御攻击能力差、控制乏力的弱点，并采用先进的技术，加强基础设施，形成保证网络和信息安全的纵深防御体系。

2.1 加强人员教育和培养

针对目前从事信息专业的技术人员，铁路局应该从人员定编、人员教育和人才培养方面加大力度。以岗定员，确保重要岗位能够实现AB角色制度，防止“一家之言”。重要操作要有辅助人员看护。真正从人员管理方面确保操作安全。

2.2 加强技术手段，确保信息安全

2.2.1 在纵深防御体系网络架构的基础上加强内部网络安全控制

根据我们目前网络的实际情况、发展趋势以及各系统应用的现状，我们应该在发展中不断完善和健全铁路网络安全，动态长效实施网络安全建设，切实解决网络安全中存在的问题，在打造世界一流铁路的同时，打造一张可以为铁路运输生产服务的覆盖全国的高效安全的铁路计算机综合网。我们要在现有纵深防御体系的基础上不断加强内部安全控制，主要解决目前网络存在的急需解决的问题，可以从以下几方面入手：

（1）针对计算机准入的问题，我们可以在全网络内部署计算机安全准入系统，通过对接入计算机的系统补丁安装情况、防病毒软件安装情况，是否存在安全隐患等问题进行判别，实施准入控制，对不符合规定要求的计算机实行自动隔离到指定网络，自动升级补丁、自动清理cookie等工作，切实保障必须是完全符合要求的计算机才可以联网铁路网。目前主流计算机安全厂商都可以为企业量身定制准入安全控制产品。

（2）针对目前应用系统过多，开发厂商水平不同的问题，可以制定开发入网准入许可制度，软件及系统开发厂商必须通过铁路软件开发准入许可，才可以为铁路企业和单位开发相关计算机软件产品，开发出的软件产品要在铁路实验环境中进行测试，对网络占用情况要有明确说明。只有这样才能解决目前软件水平高低不同对网络影响很大的问题。同时通过“高门槛”也可以杜绝低水平软件进入铁路系统。

（3）继续加强内部访问控制系统，加强系统安全。主要考虑的问题有两个：一是病毒对于网络的威胁；二是对于对系统造成的破坏和侵入。病毒威胁主要解决病毒产生和病毒传播的问题，主要是传播问题。传播途径已由过去的软盘、光盘等存储介质变成了网络，多数病毒不仅能够直接感染网络上的计算机，也能够将自身在网络上进行复制。同时，电子邮件、文件传输（FTP）以及网络页面中的恶意Java小程序和ActiveX控件，甚至文档文件都能够携带对网络和系统有破坏作用的病毒。这些病毒在网络上进行传播和破坏的多种途径和手段，使得网络环境中的防病毒工作变得更加复杂，网络防病毒工具必须能够针对网络中各个可能的病毒入口来进行防护。对于对系统造成的破坏和侵入而言，他们的主要目的在于窃取数据和非法修改系统，其手段之一是窃取合法用户的口令，在合法身份的掩护下进行非法操作；其手段之二便是利用网络操作系统的某些合法但不为系统管理员和合法用户所熟知的操作指令。要弥补这些漏洞，我们就需要使用专门的系统风险评估工具，来帮助系统管理员找出哪些指令是不应该安装的，哪些指令是应该缩小其用户使用权限的。在完成了这些工作之后，操作系统自身的安全性问题将在一定程度上得到保障。

2.2.2 完善纵深防御体系网络架构中内外网访问控制

对于目前网络的内外网访问机制，由于某种原因我们没有正式使用，但是说明我们已经认识到网络的问题在与疏导而不是堵塞，我们只是没有更好的手段去解决存在的问题。我们要尽快完善纵深防御体系中的内外网络访问控制，争取早日解决内外网络访问。我们可以完善我们的“动态物理隔离系统”，加强认证机制和病毒过滤。

（1）我们可以从技术配合管理两个方面进行解决。我们可以采用有效控制手段，通过技术手段对入网计算机进行控制，发现有外联现象，立即联动阻断其网络访问，同时配合管理手段进行行政干预，保障第一时间杜绝“一机两网”。对多次违反规定擅自外联的要重点教育。

（2）内外网物理隔离也是存在“一机两网”的深层次原因。由于现在的Internet网络资源相对丰富，对Internet网络的需求也十分强烈，完全的物理隔离也是暂时的方式，只能说明我们的技术手段和安全措施还不成熟，需要进一步加强。对于内外网互联，我们应该疏导而不仅仅是堵住。只有彻底解决内外网互联的问题，诸多问题才会迎刃而解。