摘要：隨著客車檢修信息化的發(fā)展，客車檢修過程對檢修系統(tǒng)軟件及生產(chǎn)辦公網(wǎng)絡(luò)的依賴越來越強。本文首先對車輛段現(xiàn)存網(wǎng)絡(luò)在安全方面存在的問題進行了分析，針對這些問題介紹了客車檢修系統(tǒng)安全性設(shè)計，較詳細的論述了軟件服務(wù)安全性、系統(tǒng)數(shù)據(jù)安全性和系統(tǒng)網(wǎng)絡(luò)安全性設(shè)計。

關(guān)鍵詞：客車檢修系統(tǒng)安全設(shè)計

0 引言

近年來，隨著我國鐵路客運事業(yè)的發(fā)展，車輛段不僅在檢修客車的數(shù)量上有了很大的增加，同時對檢修效率和質(zhì)量也提出了更高的要求。目前，隨著客車檢修管理系統(tǒng)、客車調(diào)度系統(tǒng)、生產(chǎn)辦公等系統(tǒng)在客車檢修及調(diào)度過程中的應(yīng)用，大大提高了檢修效率和質(zhì)量，客車檢修過程對系統(tǒng)軟件及生產(chǎn)辦公網(wǎng)絡(luò)的依賴越來越強，檢修中心現(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu)及設(shè)備已不能滿足系統(tǒng)需要，特別是在客車檢修的高峰期和重要階段，檢修系統(tǒng)及網(wǎng)絡(luò)即使發(fā)生很短時間的癱瘓也會給企業(yè)造成很大的損失。

為保證客車檢修系統(tǒng)的正常運行，系統(tǒng)安全設(shè)計必須能夠保證系統(tǒng)核心的軟件服務(wù)、檢修數(shù)據(jù)、硬件設(shè)備、企業(yè)網(wǎng)絡(luò)不會因為偶然的或人為的破外造成系統(tǒng)癱瘓或數(shù)據(jù)丟失；同時由于企業(yè)網(wǎng)絡(luò)規(guī)模十分龐大，設(shè)計必須能夠?qū)崿F(xiàn)對核心網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)運行狀況及網(wǎng)絡(luò)安全實現(xiàn)自動監(jiān)控和分析，確保網(wǎng)絡(luò)的可控性和可管理性。

1 系統(tǒng)軟件服務(wù)安全性設(shè)計

檢修系統(tǒng)的WEB、數(shù)據(jù)庫等服務(wù)都是在服務(wù)器上運行，為了避免因服務(wù)器硬件及系統(tǒng)軟件的損壞而造成的檢修系統(tǒng)癱瘓，設(shè)計中采用了集群熱備技術(shù)。在集群中同時有多臺服務(wù)器在運行，但只有一臺服務(wù)器為系統(tǒng)提供WEB及數(shù)據(jù)庫等服務(wù)，其他服務(wù)器通過集群軟件每隔一定的時間進行狀態(tài)信息交換，當(dāng)集群軟件偵測到當(dāng)前提供服務(wù)的服務(wù)器發(fā)生故障時便會自動將服務(wù)切換到系統(tǒng)中其他正常運行服務(wù)器上運行，由于切換的時間較短，用戶在客戶端不會感覺到系統(tǒng)故障的發(fā)生。

2 系統(tǒng)數(shù)據(jù)安全性設(shè)計

檢修系統(tǒng)每天的數(shù)據(jù)量非常大且數(shù)據(jù)非常重要，任何因系統(tǒng)軟件或存儲數(shù)據(jù)設(shè)備損壞而造成的數(shù)據(jù)丟失或損壞會給檢修工作造成很大影響。設(shè)計中首先在檢修軟件中實現(xiàn)每天定時對檢修系統(tǒng)數(shù)據(jù)庫數(shù)據(jù)的自動備份，由于系統(tǒng)在執(zhí)行數(shù)據(jù)備份時占用的系統(tǒng)資源較大，因此可以將系統(tǒng)數(shù)據(jù)自動備份的時間設(shè)置為晚上，這時系統(tǒng)使用率較低，避免了因為系統(tǒng)備份而影響系統(tǒng)的運行速度。同時設(shè)計中還使用了IBM磁盤陣列柜及5塊熱插拔SCSI磁盤并將其設(shè)置為RAID5，即使有硬盤發(fā)生故障，可以在不關(guān)機或停止服務(wù)的情況下對硬盤進行更換和數(shù)據(jù)恢復(fù)。

檢修用戶登錄檢修系統(tǒng)后可以對自己擁有修改權(quán)限的檢修數(shù)據(jù)進行修改和刪除，為防止惡意用戶盜用其他用戶登錄密碼對檢修數(shù)據(jù)進行破壞，在檢修軟件設(shè)計中用戶密碼在存入數(shù)據(jù)庫前進行了加密，即使使用管理員身份登錄數(shù)據(jù)庫也不能獲取正確的用戶密碼，同時在系統(tǒng)中對每個用戶登錄和離開檢修系統(tǒng)的時間，登陸后用戶對數(shù)據(jù)進行的操作進行了記錄，進一步確保了檢修數(shù)據(jù)的安全性。

3 系統(tǒng)網(wǎng)絡(luò)安全設(shè)計

3.1 車輛段已有網(wǎng)絡(luò)存在問題 由于車輛段已有網(wǎng)絡(luò)沒有一個整體的網(wǎng)絡(luò)安全策略，存在的問題主要有：①網(wǎng)絡(luò)設(shè)備沒有正確配置。由于企業(yè)網(wǎng)絡(luò)中不同部門的機器都設(shè)置在同一IP網(wǎng)段，用戶間可以隨意相互訪問網(wǎng)段中各部門的共享數(shù)據(jù)，給一些須在部門間保密的數(shù)據(jù)的保護帶來了不必要的麻煩；同時在關(guān)鍵網(wǎng)絡(luò)設(shè)備中采用設(shè)備的默認(rèn)設(shè)置，未對控制訪問網(wǎng)絡(luò)的訪問控制列表等一些必要的安全選項進行設(shè)置，這也給企業(yè)的網(wǎng)絡(luò)安全帶來了很大的隱患。②用戶安全意識不強。如對自己的帳號管理不嚴(yán)或不設(shè)置密碼，經(jīng)常從網(wǎng)上下載或從其他計算機上拷貝未經(jīng)病毒檢測的數(shù)據(jù)文件，雖然客戶端主機都裝有防病毒軟件，但一些新病毒和病毒變種也很容易造成主機感染病毒，如當(dāng)用戶主機感染網(wǎng)絡(luò)蠕蟲病毒后，病毒它可以在很短的時間內(nèi)蔓延到整個網(wǎng)絡(luò)，對局域網(wǎng)內(nèi)主機和設(shè)備系統(tǒng)漏洞進行攻擊造成網(wǎng)絡(luò)癱瘓。③客戶端操作系統(tǒng)漏洞補丁及服務(wù)器端運行的軟件服務(wù)補丁升級不及時。如服務(wù)器端運行的為辦公網(wǎng)絡(luò)提供服務(wù)的IIS及數(shù)據(jù)庫軟件，而這些軟件的漏洞和缺陷正是一些別有用心的人的攻擊首選目標(biāo)，同時未對數(shù)據(jù)庫軟件的一些默認(rèn)配置進行修改，很容易使數(shù)據(jù)庫被侵入造成數(shù)據(jù)的破壞。

3.2 網(wǎng)絡(luò)安全性設(shè)計根據(jù)車輛段的網(wǎng)絡(luò)結(jié)構(gòu)、應(yīng)用特點、行業(yè)特點，結(jié)合前面所描述的已有網(wǎng)絡(luò)中所存在的安全薄弱環(huán)節(jié)，利用現(xiàn)有的網(wǎng)絡(luò)安全防御技術(shù)，在盡可能不改變原有網(wǎng)絡(luò)結(jié)構(gòu)、帶寬及性能的情況下，按照不同的安全級別要求和業(yè)務(wù)應(yīng)用情況，針對不同的網(wǎng)絡(luò)用戶和網(wǎng)絡(luò)結(jié)構(gòu)，采用不同的網(wǎng)絡(luò)安全技術(shù)，建立一套統(tǒng)一的網(wǎng)絡(luò)安全管理平臺，對整個網(wǎng)絡(luò)進行統(tǒng)一的管理。

訪問控制是網(wǎng)絡(luò)安全防范和保護的主要策略，它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和訪問。它是保證網(wǎng)絡(luò)安全最重要的核心策略之一。訪問控制涉及的技術(shù)也比較廣，包括入網(wǎng)訪問控制、網(wǎng)絡(luò)權(quán)限控制、目錄級控制以及屬性控制等多種技術(shù)。

3.2.1 使用網(wǎng)管軟件。由于已有辦公網(wǎng)絡(luò)設(shè)備繁多，且各個檢修及管理部門相距較遠，如果使用人工方法對網(wǎng)絡(luò)及重要網(wǎng)絡(luò)設(shè)備進行檢查和控制，不僅使企業(yè)的信息部門不堪重負(fù)，同時工作效率也不是很高。設(shè)計中使用網(wǎng)管軟件對整個網(wǎng)絡(luò)系統(tǒng)及重要的網(wǎng)絡(luò)設(shè)備進行遠程監(jiān)控，網(wǎng)管軟件支持網(wǎng)絡(luò)設(shè)備的自動發(fā)現(xiàn)及網(wǎng)絡(luò)拓?fù)鋱D的自動繪制，使管理員可以及時發(fā)現(xiàn)網(wǎng)絡(luò)中的更新變化；網(wǎng)管軟件還可以通過SNMP（簡單網(wǎng)絡(luò)管理協(xié)議）對網(wǎng)絡(luò)設(shè)備狀態(tài)及網(wǎng)絡(luò)流量進行監(jiān)控和根據(jù)管理員設(shè)置的門限值進行自動報警。

3.2.2 對防火墻進行安全配置。防火墻可以過濾進出網(wǎng)絡(luò)的數(shù)據(jù)包，對檢修網(wǎng)絡(luò)有很好的保護作用。企業(yè)原來網(wǎng)絡(luò)中雖然使用了硬件防火墻和軟件防火墻，但大都采用防火墻的默認(rèn)配置，沒有很好的發(fā)揮防火墻的作用，應(yīng)對其進行正確的安全策略配置，最大的發(fā)揮其對網(wǎng)絡(luò)的保護作用。

3.2.3 增加路由器的訪問控制列表配置。路由器的訪問控制列表是網(wǎng)絡(luò)安全保障的第一道關(guān)卡。訪問控制列表提供了一種機制，它可以控制和過濾通過路由器接口的數(shù)據(jù)包。路由器一般都支持兩種類型的訪問控制列表：基本訪問表和擴展訪問表。基本訪問表控制基于網(wǎng)絡(luò)地址的信息流，且只允許過濾源地址。擴展訪問表通過網(wǎng)絡(luò)地址和傳輸中的數(shù)據(jù)類型進行信息流控制，允許過濾源地址、目的地址、協(xié)議類型、源端口、目的端口、建立連接的IP優(yōu)先級和上層應(yīng)用數(shù)據(jù)等信息。例如，某個組織可以允許或拒絕外網(wǎng)中的主機對網(wǎng)絡(luò)內(nèi)部主機的訪問，或者允許內(nèi)部網(wǎng)絡(luò)中一個或多個主機能夠?qū)?shù)據(jù)包發(fā)送到廣域網(wǎng)。

3.2.4 使用VLAN劃分。VLAN（Virtual Local Area Network）即虛擬局域網(wǎng)，可以將物理上互連的網(wǎng)絡(luò)在邏輯上劃分為多個互不相干的網(wǎng)絡(luò)，這些網(wǎng)絡(luò)之間是無法通訊的，就好像互相之間沒有連接一樣。VLAN的劃分有很多種：按照IP地址劃分、按照交換機端口劃分、按照MAC地址劃分或者按照協(xié)議來劃分，設(shè)計中使用了基于端口來劃分部門VLAN，不同的部門位于不同的VLAN，同時也實現(xiàn)了主機MAC地址與IP地址的綁定，防止了用戶IP地址的盜用。使用VLAN可以合理的分配網(wǎng)絡(luò)資源，均衡網(wǎng)絡(luò)負(fù)載，有效的降低網(wǎng)絡(luò)中的廣播信息，在增強系統(tǒng)網(wǎng)絡(luò)安全性的同時也方便了管理員對用戶的分組管理。

3.2.5 增強服務(wù)器安全性。保證服務(wù)器的安全首先要及時對服務(wù)器操作系統(tǒng)和應(yīng)用軟件安裝漏洞補丁，對防病毒軟件的病毒庫也要及時升級，刪除系統(tǒng)不使用的組件和停止系統(tǒng)不使用的服務(wù)，關(guān)閉系統(tǒng)不使用的端口。對于使用IIS的WEB服務(wù)器，要對IIS的一些默認(rèn)設(shè)置進行修改，如刪除INETPUB目錄下的SCRIPTS目錄，并進行一些必要的安全設(shè)置。檢修系統(tǒng)服務(wù)器端使用的是win2000服務(wù)器操作系統(tǒng)，其默認(rèn)是不使用任何系統(tǒng)安全審核的，應(yīng)在審核策略中打開相應(yīng)的審核，如登錄事件、賬戶管理、目錄服務(wù)訪問、系統(tǒng)時間等審核。當(dāng)系統(tǒng)被非法用戶入侵或發(fā)生問題時，可以在系統(tǒng)安全日志中查看相應(yīng)的系統(tǒng)日志記錄來確定發(fā)生問題的原因。修改系統(tǒng)默認(rèn)的系統(tǒng)管理員賬戶的名稱，系統(tǒng)管理員同時必須對服務(wù)器訪問用戶按照用戶權(quán)限進行分組，同一個用戶組中的用戶擁有相同的系統(tǒng)權(quán)限，對于普通的用戶組，要禁止其對系統(tǒng)進行操作和修改的權(quán)限：如修改系統(tǒng)注冊表和系統(tǒng)文件，新的用戶賬號只有系統(tǒng)管理員才能建立。

3.2.6 入侵檢測系統(tǒng)的使用(Intrusion Detection System)。防火墻的使用雖然可依增加網(wǎng)絡(luò)的安全性，但防火墻無法防止數(shù)據(jù)驅(qū)動型攻擊和企業(yè)內(nèi)部的攻擊。IDS檢測的是所有針對特定服務(wù)器的操作和網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)包，因此它可以識別來自本網(wǎng)段、其他網(wǎng)段以及外部網(wǎng)絡(luò)的全部攻擊行為，這樣就有效的解決了防火墻在網(wǎng)絡(luò)安全方面的不足，同時IDS通過與防火墻的聯(lián)動，可以更有效的阻止非法入侵和破壞。

在系統(tǒng)網(wǎng)絡(luò)中由于檢修服務(wù)器的重要性，設(shè)計中使用了HIDS對檢修服務(wù)器進行檢測和保護；同時使用NIDS對網(wǎng)絡(luò)進行檢測和保護。HIDS主要是對特定主機進行檢測保護，HIDS運行于被檢測的主機上，其有一個完整的攻擊信息庫，其中存放著各種黑客攻擊行為的特征數(shù)據(jù)。每當(dāng)用戶對服務(wù)器上的數(shù)據(jù)進行操作時，HIDS就將用戶的操作與信息庫中的數(shù)據(jù)進行匹配，一旦發(fā)現(xiàn)吻合，就認(rèn)為此操作為黑客攻擊行為。同時信息庫的內(nèi)容會不斷升級，可以保證新的黑客攻擊方法也能被及時發(fā)現(xiàn)。HIDS檢測的主要有系統(tǒng)數(shù)據(jù)包、文件、進程、系統(tǒng)日志等內(nèi)容。NIDS主要是對網(wǎng)絡(luò)進行檢測，其不但能夠檢測惡意攻擊和破壞，也能夠檢測未成功的網(wǎng)絡(luò)攻擊企圖。

3.2.7 加強安全管理措施，保證操作系統(tǒng)和應(yīng)用軟件能夠及時更新和安裝安全補丁；同時要加強用戶安全知識的培訓(xùn)，提高用戶的安全意識，如不要輕易訪問陌生的網(wǎng)站，防止包含惡意代碼的網(wǎng)頁傳播蠕蟲病毒；提高IE瀏覽器安全級別；禁止在瀏覽器中運行ActiveX插件和JAVA腳本等代碼；不隨意查看陌生郵件，尤其是帶有附件的郵件，防治病毒利用IE和Outlook本身漏洞自動傳播和攻擊；不隨便打開未經(jīng)病毒檢測的文件。

4 結(jié)束語

每個單位都有自己的業(yè)務(wù)運行模式及網(wǎng)絡(luò)體系結(jié)構(gòu)，企業(yè)管理系統(tǒng)的安全設(shè)計是不能照搬的，在部署系統(tǒng)的安全解決方案時，一定要對企業(yè)網(wǎng)絡(luò)體系結(jié)構(gòu)進行詳細分析，確保方案的可靠性、全面性和可擴展性。

參考文獻：

[1]王迎春，謝琳.網(wǎng)絡(luò)安全體系結(jié)構(gòu)[M]，北京：人民郵電出版社 2005.

[2]王嘉禎.網(wǎng)絡(luò)安全實踐[M]，北京：機械工業(yè)出版社.2004.

[3]邱亮，孫亞剛.網(wǎng)絡(luò)安全工具及案例分析[M]，北京：電子工業(yè)出版社.2004.

[4]王群.Windows網(wǎng)絡(luò)安全配置、管理和應(yīng)用實例[M]，北京：清華大學(xué)出版社.2004

[5]張兆信.計算機網(wǎng)絡(luò)安全與應(yīng)用[M]，北京：機械工業(yè)出版社 2004

[6]李健.計算機網(wǎng)絡(luò)安全與加密技術(shù)[M]，北京：科學(xué)出版社2003.