鐘小華 上海鐵路局蕪湖車務(wù)段

信息化網(wǎng)絡(luò)在當(dāng)今鐵路運(yùn)輸物流的過(guò)程中扮演著異常重要的角色。不管是客票發(fā)售、車站作業(yè)，還是運(yùn)輸生產(chǎn)數(shù)據(jù)的傳遞，都離不開(kāi)計(jì)算機(jī)網(wǎng)絡(luò)。上至領(lǐng)導(dǎo)決策，下至一線班組，覆蓋面之廣，深入運(yùn)輸生產(chǎn)之深，使得網(wǎng)絡(luò)安全問(wèn)題日益突出。如何確保計(jì)算機(jī)網(wǎng)絡(luò)免遭破壞，保證信息網(wǎng)絡(luò)的安全，是當(dāng)前面臨的重大課題。

1 鐵路計(jì)算機(jī)網(wǎng)絡(luò)安全建設(shè)現(xiàn)狀

自上世紀(jì)九十年代信息技術(shù)飛速發(fā)展以來(lái)，鐵路在其主營(yíng)業(yè)務(wù)上率先應(yīng)用了計(jì)算機(jī)、網(wǎng)絡(luò)等新技術(shù)，為客貨運(yùn)行車等提供了強(qiáng)有力的支撐，大大提升了工作效率，為世界上最繁忙的鐵路運(yùn)輸網(wǎng)做出了巨大貢獻(xiàn)。從客貨運(yùn)業(yè)務(wù)到辦公自動(dòng)化，信息化網(wǎng)絡(luò)覆蓋了鐵路所有的崗位，終端類型多種多樣，網(wǎng)絡(luò)架構(gòu)復(fù)雜，接入部門眾多，包括一些和鐵路部門有業(yè)務(wù)往來(lái)的重點(diǎn)企業(yè)，使用人網(wǎng)絡(luò)安全意識(shí)缺失，移動(dòng)存儲(chǔ)設(shè)備等廣泛使用，使得鐵路網(wǎng)絡(luò)存在著諸多安全薄弱環(huán)節(jié)，隱患很大。

在列車調(diào)度指揮系統(tǒng)（TDCS）和分散自律調(diào)度集中系統(tǒng)（CTC）上，信息安全防護(hù)體系主要包括：防火墻、網(wǎng)絡(luò)防病毒系統(tǒng)、身份認(rèn)證、安全漏洞評(píng)估系統(tǒng)。在鐵路客票發(fā)售網(wǎng)絡(luò)上，信息安全防護(hù)體系有：前臺(tái)終端有永達(dá)安全管控系統(tǒng)、用戶身份認(rèn)證系統(tǒng)，在路局級(jí)則有業(yè)務(wù)和管控系統(tǒng)服務(wù)器負(fù)責(zé)業(yè)務(wù)安全管理等。在鐵路綜合信息網(wǎng)絡(luò)上，信息安全防護(hù)體系有：防火墻、網(wǎng)絡(luò)防病毒系統(tǒng)等。它們主要是依靠網(wǎng)絡(luò)的封閉性即物理隔離來(lái)確保安全，但是一旦有外來(lái)設(shè)備接入，系統(tǒng)缺少相應(yīng)的預(yù)警和檢測(cè)機(jī)制來(lái)防范未經(jīng)授權(quán)的非法接入，內(nèi)部網(wǎng)絡(luò)系統(tǒng)沒(méi)有足夠的安全管理機(jī)制。鐵路綜合信息網(wǎng)負(fù)載的應(yīng)用系統(tǒng)眾多，單一防病毒系統(tǒng)更無(wú)法應(yīng)對(duì)惡意的非法入侵和因個(gè)人操作系統(tǒng)、生產(chǎn)應(yīng)用系統(tǒng)存在的大量安全漏洞引起的安全問(wèn)題。

2 當(dāng)今計(jì)算機(jī)網(wǎng)絡(luò)面臨的安全威脅和常見(jiàn)防護(hù)措施的缺陷

2.1 計(jì)算機(jī)病毒

作為一種惡意的程序，能在系統(tǒng)中生存、傳播、自我復(fù)制，給計(jì)算機(jī)系統(tǒng)造成嚴(yán)重?fù)p失。網(wǎng)絡(luò)的互通更給了病毒廣闊的傳播空間，對(duì)它的檢測(cè)難度也更大。病毒可以通過(guò)各種移動(dòng)存儲(chǔ)設(shè)備、電子郵件、網(wǎng)絡(luò)下載、文件傳輸?shù)确绞絺鞑?。單機(jī)上的病毒有時(shí)可通過(guò)刪除帶毒文件、低格硬盤等措施將病毒徹底刪除，而網(wǎng)絡(luò)中只要有一臺(tái)工作站未能殺毒徹底就會(huì)使整個(gè)網(wǎng)絡(luò)重新被感染。蠕蟲(chóng)木馬等更是嚴(yán)重影響網(wǎng)絡(luò)傳輸性能。比如，前幾年的“熊貓燒香”造成exe文件全部無(wú)法正常運(yùn)行，系統(tǒng)運(yùn)行很慢，而且借助于windows系統(tǒng)的默認(rèn)共享在網(wǎng)絡(luò)中大肆傳播，給很多主機(jī)造成了巨大的破壞。像“arp欺騙”病毒，更是典型的網(wǎng)絡(luò)殺手，通過(guò)偽造網(wǎng)關(guān)地址或者是用錯(cuò)誤的mac地址來(lái)欺騙網(wǎng)關(guān)造成局域網(wǎng)內(nèi)主機(jī)無(wú)法正常上網(wǎng)。

2.2 系統(tǒng)漏洞

鐵路信息系統(tǒng)種類眾多，比如unix、linux就有很多版本的應(yīng)用、windows更是個(gè)人辦公平臺(tái)的標(biāo)準(zhǔn)操作系統(tǒng)；數(shù)據(jù)庫(kù)方面 ，oracle、sybase、sqlserver 等主 流軟件都有應(yīng)用于關(guān)鍵生產(chǎn)信息系統(tǒng)；iis、apache、ftp server等也大量應(yīng)用在內(nèi)部網(wǎng)站建設(shè)上。C/C＋＋、Object pascal、java、vb等各類語(yǔ)言編寫的軟件都有應(yīng)用。操作系統(tǒng)自身存在的安全漏洞，無(wú)法及時(shí)地得到安裝補(bǔ)丁服務(wù)，語(yǔ)言的某些設(shè)計(jì)缺陷，站點(diǎn)在配置上沒(méi)有嚴(yán)格限制訪問(wèn)權(quán)限，telnet、ftp服務(wù)的匿名開(kāi)放，口令文件缺乏安全保護(hù)等等都成了網(wǎng)絡(luò)安全的一大威脅。另外，網(wǎng)絡(luò)傳輸協(xié)議、ActiveX插件、設(shè)備硬件驅(qū)動(dòng)等的漏洞也成為了網(wǎng)絡(luò)攻擊的新熱點(diǎn)。

2.3 數(shù)據(jù)泄漏

數(shù)據(jù)泄漏已逐漸成為企業(yè)最關(guān)心的問(wèn)題之一，隨著新介質(zhì)、電郵、社區(qū)等新型信息傳播工具的應(yīng)用，數(shù)據(jù)泄漏攻擊出現(xiàn)新的特征：通過(guò)U盤、移動(dòng)硬盤、藍(lán)牙、手機(jī)等傳輸模式攜帶或者外傳重要敏感信息；通過(guò)植入木馬盜取主機(jī)介質(zhì)或者外設(shè)上的重要信息數(shù)據(jù)；通過(guò)截獲互聯(lián)網(wǎng)傳播的e-mail信息或無(wú)線傳播的數(shù)據(jù)，獲取敏感信息。由于信息已經(jīng)成為經(jīng)濟(jì)社會(huì)中重要的競(jìng)爭(zhēng)力，對(duì)保密信息的竊取早已成為信息網(wǎng)絡(luò)安全的防范重點(diǎn)，像“擺渡木馬”的出現(xiàn)更應(yīng)敲響我們的警鐘。這種專門針對(duì)內(nèi)外網(wǎng)隔離的木馬正是利用了windows系列操作系統(tǒng)宏自動(dòng)執(zhí)行功能等方式將木馬植入計(jì)算機(jī)，借助于U盤等移動(dòng)介質(zhì)來(lái)盜取機(jī)密數(shù)據(jù)。當(dāng)某臺(tái)接入互聯(lián)網(wǎng)的機(jī)器被植入擺渡木馬后成為病毒源，有移動(dòng)存儲(chǔ)介質(zhì)接入該機(jī)器就會(huì)被感染，然后借助于移動(dòng)存儲(chǔ)介質(zhì)來(lái)擴(kuò)散感染面，每一個(gè)移動(dòng)存儲(chǔ)介質(zhì)將內(nèi)部網(wǎng)絡(luò)機(jī)器中的機(jī)密信息收集隱藏于自身后，當(dāng)它接入互聯(lián)網(wǎng)，會(huì)自動(dòng)將機(jī)密信息傳送出去，給企業(yè)造成巨大的損失。

2.4 內(nèi)部威脅

企業(yè)員工由于對(duì)網(wǎng)絡(luò)安全認(rèn)識(shí)不足，漠視安全規(guī)定，所采取的安全防范措施不當(dāng)?shù)?，?dǎo)致了網(wǎng)絡(luò)安全事故逐年上升。諸如一機(jī)接兩網(wǎng)，通過(guò)modem撥號(hào)、無(wú)線寬帶等繞過(guò)企業(yè)統(tǒng)一的網(wǎng)絡(luò)管理瀏覽不安全的網(wǎng)站造成病毒的傳入，使用U盤、數(shù)碼相機(jī)等移動(dòng)存儲(chǔ)設(shè)備造成信息被動(dòng)泄密，越權(quán)訪問(wèn)保密信息，甚至有意泄漏保密信息，都給企業(yè)造成了不小的損失。而這些都是防火墻、殺毒軟件等無(wú)法防范的。

2.5 防火墻的局限性

傳統(tǒng)防火墻，作為工作在可信網(wǎng)絡(luò)和不可信網(wǎng)絡(luò)之間的安全防護(hù)設(shè)備，包括包過(guò)濾、狀態(tài)檢測(cè)、應(yīng)用代理等多種類型。可實(shí)現(xiàn)基于網(wǎng)絡(luò)層的IP包頭和TCP包頭的策略控制，還可以跟蹤TCP會(huì)話狀態(tài)等，限制對(duì)某些特殊服務(wù)的訪問(wèn)，但對(duì)于網(wǎng)絡(luò)內(nèi)部的攻擊和信息泄露，對(duì)來(lái)自于外部應(yīng)用層合法但惡意的攻擊依然束手無(wú)策，因?yàn)闉榱舜_保通訊，防火墻內(nèi)的端口都必須處于開(kāi)放狀態(tài)。

3 加強(qiáng)鐵路網(wǎng)絡(luò)安全的對(duì)策建議

3.1 防火墻和入侵檢測(cè)（IDS）的聯(lián)動(dòng)

入侵檢測(cè)系統(tǒng)就像一個(gè)傾聽(tīng)者藏在防火墻的身后，不去對(duì)網(wǎng)絡(luò)訪問(wèn)做控制，不去限制信道流量，它從中發(fā)現(xiàn)違反安全策略的行為和攻擊跡象，網(wǎng)絡(luò)管理人員可以根據(jù)入侵檢測(cè)的結(jié)果來(lái)修正防火墻的過(guò)濾規(guī)則，彌補(bǔ)了防火墻內(nèi)容檢查和協(xié)議解析的不足，但是損失可能已經(jīng)造成。所以，實(shí)現(xiàn)入侵檢測(cè)和防火墻的聯(lián)動(dòng)可以提高防范攻擊的功效。其主要方式有：系統(tǒng)嵌入方式，把入侵檢測(cè)嵌入防火墻中，入侵檢測(cè)的數(shù)據(jù)都是流經(jīng)防火墻的數(shù)據(jù)流，所有通過(guò)的包都要接受防火墻的驗(yàn)證；端口映像方式，防火墻將一部分流量鏡像到入侵檢測(cè)系統(tǒng)，IDS再將處理后的結(jié)果告知防火墻，要求其修改相應(yīng)的策略；專用響應(yīng)方式，入侵檢測(cè)系統(tǒng)發(fā)現(xiàn)網(wǎng)絡(luò)中存在攻擊企圖時(shí)，通過(guò)一個(gè)開(kāi)放接口與防火墻通信，雙方按固定協(xié)議進(jìn)行安全事件傳輸，更改防火墻策略封堵攻擊源。通過(guò)這種聯(lián)動(dòng)，對(duì)外網(wǎng)的攻擊起到了一個(gè)有效的阻隔作用，對(duì)內(nèi)部合法用戶的濫用行為也能識(shí)別，提升了企業(yè)內(nèi)部網(wǎng)絡(luò)的安全系數(shù)。

3.2 應(yīng)用內(nèi)外網(wǎng)安全隔離網(wǎng)閘

隨著鐵路逐步實(shí)現(xiàn)現(xiàn)代化、高效率的經(jīng)營(yíng)模式，原有局限于企業(yè)內(nèi)部網(wǎng)絡(luò)的經(jīng)濟(jì)活動(dòng)必然會(huì)被更大范圍的電子商務(wù)體系所涵蓋，這時(shí)在內(nèi)外網(wǎng)絡(luò)之間進(jìn)行安全可靠的數(shù)據(jù)交換，確保數(shù)據(jù)服務(wù)準(zhǔn)確正常至關(guān)重要，某些系統(tǒng)、應(yīng)用服務(wù)就必須要實(shí)現(xiàn)內(nèi)部網(wǎng)絡(luò)和互聯(lián)網(wǎng)的交互，但是直接借助于tcp/ip協(xié)議來(lái)完成數(shù)據(jù)交換必然存在巨大的安全隱患，破壞了鐵路信息網(wǎng)絡(luò)的獨(dú)立性，極易遭受攻擊。

網(wǎng)閘是一種使用帶有多種控制功能的固態(tài)開(kāi)關(guān)讀寫介質(zhì)，連接兩個(gè)或多個(gè)獨(dú)立主機(jī)系統(tǒng)的信息安全設(shè)備。不存在通信的物理和邏輯連接、傳輸協(xié)議，不存在信息數(shù)據(jù)包轉(zhuǎn)發(fā)，只有文件等靜態(tài)數(shù)據(jù)流的“擺渡”。擺渡之前還要進(jìn)行代碼掃描等安全審查，只有通過(guò)嚴(yán)格身份認(rèn)證的用戶才可以獲取所需數(shù)據(jù)。網(wǎng)閘對(duì)數(shù)據(jù)包的分析主要是防止黑客惡意偽造非法數(shù)據(jù)來(lái)入侵內(nèi)網(wǎng)和破壞核心數(shù)據(jù)庫(kù)，它主要借助于硬件模塊來(lái)高效完成。另一方面，對(duì)數(shù)據(jù)的同步、確保完整、有效，還有配合數(shù)據(jù)庫(kù)的軟件機(jī)制來(lái)保證。這樣，就可以實(shí)現(xiàn)不同網(wǎng)絡(luò)間信息的實(shí)時(shí)可靠同步。

3.3 終端安全管理

當(dāng)下的單個(gè)計(jì)算設(shè)備已經(jīng)成為危害網(wǎng)絡(luò)安全的關(guān)鍵點(diǎn)之一。僅僅依靠防病毒網(wǎng)絡(luò)軟件和操作系統(tǒng)本身的用戶登錄認(rèn)證和文件讀寫授權(quán)已不能滿足安全需求。我們需要的是針對(duì)所有網(wǎng)絡(luò)終端的接入安全管理系統(tǒng)：涉及到終端的網(wǎng)絡(luò)接入許可、系統(tǒng)軟件補(bǔ)丁分發(fā)、防病毒軟件安裝及病毒庫(kù)更新、移動(dòng)存儲(chǔ)介質(zhì)管理、ip地址分配、實(shí)名認(rèn)證等多個(gè)方面。我們可以在路局級(jí)設(shè)立安全管理服務(wù)器、認(rèn)證和修復(fù)服務(wù)器等，局管內(nèi)所有終端安裝客戶端，通過(guò)實(shí)名注冊(cè)，匹配員工信息庫(kù)信息后，檢測(cè)終端的安全防護(hù)策略，若符合要求，允許其以預(yù)設(shè)靜態(tài)IP地址接入網(wǎng)絡(luò)，若不符合安全策略，則要將其連接到修復(fù)服務(wù)器，實(shí)現(xiàn)對(duì)終端的安全監(jiān)控和管理。圖1即為終端用戶的工作流程。

圖1 終端用戶的工作流程

終端在達(dá)到網(wǎng)絡(luò)的安全認(rèn)證級(jí)別后，才可接入網(wǎng)絡(luò)。安全管理系統(tǒng)的另一主要功能就是對(duì)存儲(chǔ)介質(zhì)進(jìn)行統(tǒng)一認(rèn)證，使用加密存儲(chǔ)、訪問(wèn)控制等手段，有效防止未經(jīng)認(rèn)證的移動(dòng)設(shè)備聯(lián)網(wǎng)，同時(shí)還將操作涉及的信息及過(guò)程生成日志，以便事后審計(jì)。

3.4 提升Web應(yīng)用安全

Web網(wǎng)站在鐵路內(nèi)部網(wǎng)絡(luò)上廣泛地應(yīng)用，是辦公自動(dòng)化、電子公文、電郵系統(tǒng)、各類安全生產(chǎn)管理、數(shù)據(jù)采集、軟件升級(jí)分發(fā)等的平臺(tái)，自然也是安全防范的重點(diǎn)。雖然路內(nèi)網(wǎng)站很少出現(xiàn)主頁(yè)被篡改、掛馬、釣魚等獲取用戶密碼、因DDos攻擊無(wú)法服務(wù)等情況，但我們?nèi)砸扇”匾募夹g(shù)手段來(lái)防范，比如Web應(yīng)用防火墻。它作為客戶端和服務(wù)器端的“中間人”，避免web服務(wù)器直接暴露在網(wǎng)絡(luò)上，提供了以下功能：(1)網(wǎng)頁(yè)篡改在線防護(hù)，實(shí)時(shí)過(guò)濾諸如sql注入、跨站腳本攻擊等；(2)網(wǎng)頁(yè)掛馬在線防護(hù)，自動(dòng)過(guò)濾惡意代碼；(3)網(wǎng)站隱身，比如網(wǎng)頁(yè)主目錄的絕對(duì)路徑、出錯(cuò)的sql語(yǔ)句及參數(shù)、系統(tǒng)配置信息等；(4)敏感信息泄露防護(hù)，實(shí)現(xiàn)指定敏感關(guān)鍵字的自動(dòng)過(guò)濾。這樣可以有效減少網(wǎng)站的安全隱患。

3.5 加強(qiáng)非技術(shù)領(lǐng)域管理

要加強(qiáng)保密法規(guī)和計(jì)算機(jī)信息安全制度的學(xué)習(xí)，提高員工的防范意識(shí)和技能。加強(qiáng)對(duì)終端、涉密單機(jī)和移動(dòng)存儲(chǔ)介質(zhì)的安全管理，不僅要借助技術(shù)手段，更要強(qiáng)化人的安全保密意識(shí)。

4 結(jié)束語(yǔ)

構(gòu)建穩(wěn)固的鐵路信息系統(tǒng)安全防線,對(duì)于實(shí)現(xiàn)鐵路的現(xiàn)代化、信息化至關(guān)重要?？偟膩?lái)說(shuō)，網(wǎng)絡(luò)安全不僅僅是技術(shù)問(wèn)題，同時(shí)也是一個(gè)安全管理問(wèn)題。我們必須綜合考慮各方面安全因素，制定合理可行的目標(biāo)、技術(shù)方案和相關(guān)配套的管理規(guī)定，才能構(gòu)筑相對(duì)完善的安全屏障。