溫寧睿

摘 要：從國家的等級保障制度的要求出發(fā)，分析空管網(wǎng)絡(luò)安全的現(xiàn)狀。;按照“一個中心，三重防護”。充分考慮空管網(wǎng)絡(luò)的特點以及等級保護的要求。設(shè)計適用于空管網(wǎng)絡(luò)的安全域建設(shè)技術(shù)方案，指定相關(guān)的網(wǎng)絡(luò)安全保護措施。

關(guān)鍵詞：空管;網(wǎng)絡(luò)安全;等保;安全域

1空管網(wǎng)絡(luò)現(xiàn)狀

對于現(xiàn)代空管來說，空中交通管制除了傳統(tǒng)的地空甚高頻通信外，還需要很多數(shù)據(jù)協(xié)助空中交通管制員進行指揮。這些數(shù)據(jù)涉及氣象、情報、導(dǎo)航、監(jiān)視、通信等各個專業(yè)領(lǐng)域。隨著時代的發(fā)展，管制方式逐步過渡到大中心、集中管制的形式。所需的數(shù)據(jù)從原來的模擬信號逐步變?yōu)閿?shù)字信號，傳輸網(wǎng)絡(luò)也逐漸由原來的ATM、幀中繼網(wǎng)絡(luò)變?yōu)橹髁鞯腡CP/IP網(wǎng)絡(luò)。

一個管制員要正常的指揮飛機離不開管制桌上的自動化系統(tǒng)、內(nèi)話系統(tǒng)、管制綜合信息系統(tǒng)、綜合信息顯示系統(tǒng)。離不開里面的語音數(shù)據(jù)、雷達數(shù)據(jù)、氣象數(shù)據(jù)、情報數(shù)據(jù)、流控信息等等。這些信息均由專門的網(wǎng)絡(luò)進行接入，由空管局自建或租用的運營商鏈路進行傳輸。這些網(wǎng)絡(luò)最早由空管局內(nèi)不同的業(yè)務(wù)部門建立，按照系統(tǒng)進行劃分。每個系統(tǒng)形成一張獨立的網(wǎng)絡(luò)。如氣象系統(tǒng)組成氣象網(wǎng)、自動化系統(tǒng)組成自動化網(wǎng)絡(luò)、內(nèi)話系統(tǒng)組成內(nèi)話網(wǎng)絡(luò)。這些網(wǎng)絡(luò)以信息孤島的形式存在，除了給管制員使用，基本不予其它網(wǎng)絡(luò)進行數(shù)據(jù)交換。數(shù)據(jù)流的去向單一、可控，對于外部網(wǎng)絡(luò)的訪問需求以及帶來的相關(guān)安全問題沒有著重考慮。

隨著網(wǎng)絡(luò)應(yīng)用的普及，管制技術(shù)也隨之升級?，F(xiàn)在管制員通過綜合雷達航跡、放行時刻、航路氣象、各地機場流控數(shù)據(jù)來得到最優(yōu)的管制策略這一切都由計算機網(wǎng)絡(luò)完成。原本分散部署的系統(tǒng)越來越趨于融合，不同系統(tǒng)之間的數(shù)據(jù)互引需求日漸增多。原本方向單一的數(shù)據(jù)流變得復(fù)雜和不可控。

面對數(shù)據(jù)互引和數(shù)據(jù)融合匯總的需求，各系統(tǒng)開始在系統(tǒng)網(wǎng)絡(luò)的邊界處部署簡易防火墻，但忽略了系統(tǒng)內(nèi)部的防護需求。且在進行數(shù)據(jù)互引時，需求零散缺乏統(tǒng)籌考慮，數(shù)據(jù)出口并不統(tǒng)一?；谏鲜龇N種情況，目前空管網(wǎng)絡(luò)呈現(xiàn)網(wǎng)絡(luò)數(shù)量多、地理位置分散、網(wǎng)絡(luò)間邊界模糊、網(wǎng)絡(luò)內(nèi)部防護能力弱、對外防護能力不足、缺乏網(wǎng)絡(luò)安全監(jiān)控手段等問題。但是這些系統(tǒng)大多為影響飛行安全的重要系統(tǒng)，系統(tǒng)內(nèi)部網(wǎng)絡(luò)復(fù)雜，各服務(wù)器、終端對操作系統(tǒng)各項服務(wù)的依賴性強，整改工作必須慎重，確保萬無一失。

2等保2.0

等級保護在網(wǎng)絡(luò)安全保障、網(wǎng)絡(luò)強國建設(shè)方面起著至關(guān)重要的作用。隨著信息技術(shù)的不斷發(fā)展，特別是云計算、互聯(lián)網(wǎng)等新技術(shù)的不斷涌現(xiàn)和應(yīng)用，開展等級保護工作面臨著越來越多的新情況、新問題。為了適應(yīng)新技術(shù)的發(fā)展，從2014年3月開始，由公安部牽頭組織開展了信息技術(shù)新領(lǐng)域等級保護重點標(biāo)準(zhǔn)申報國家標(biāo)準(zhǔn)的工作，等級保護進入了2.0時代。[1]

相比于等保1.0，2017年6月1日通過的《中華人民共和國網(wǎng)絡(luò)安全法》將等級保護制度法制化，使得等保2.0上升為國家的法律。等保2.0涵蓋了云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)等新技術(shù)，具體對象包括大型互聯(lián)網(wǎng)企業(yè)、基礎(chǔ)網(wǎng)絡(luò)、重要信息系統(tǒng)、網(wǎng)站、大數(shù)據(jù)中心等等。每個系統(tǒng)的風(fēng)險評估、安全監(jiān)測、通報預(yù)警、數(shù)據(jù)防護、災(zāi)難備份、應(yīng)急處置等方方面面都納入到等級保護制度。

根據(jù)《民用航空網(wǎng)絡(luò)安全等級保護定級指南》[2]，空管系統(tǒng)的建議分級集中在一、二、三級。根據(jù)《信息安全技術(shù) 信息系統(tǒng)安全等級保護基本要求》，以等保三級為例，相關(guān)要求如下。[3]

2.1對機房的要求，包括機房物理位置、機房內(nèi)設(shè)備位置、走線。機房外門禁、人員值守等。

2.2對環(huán)境的要求，包括防雷、防靜電、溫濕度、電池防護等等、

2.3對網(wǎng)絡(luò)安全的要求，包括結(jié)構(gòu)安全、訪問控制、安全審計、邊界、入侵防范、惡意代碼防范、網(wǎng)絡(luò)設(shè)備防護、。

2.4對主機安全的要求，包括身份鑒別，訪問控制、安全審計、剩余信息保護、入侵防范、惡意代碼防范、資源控制。

2.5對應(yīng)用安全的要求，包括身份鑒別、訪問控制、安全審計、剩余信息保護、通信完整性、通信保密性、抗抵賴、軟件容錯、資源控制。

2.6數(shù)據(jù)安全及備份恢復(fù)，包括數(shù)據(jù)完整性、數(shù)據(jù)保密性、備份和恢復(fù)。

2.7管理要求，包括安全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運維管理。

以上要求又細分很多子項每一項都由具體的要求，在就不一一贅述。對于空管網(wǎng)絡(luò)而言空管生產(chǎn)管理重要業(yè)務(wù)如自動轉(zhuǎn)報系統(tǒng)被定位三級、空管生產(chǎn)控制、指揮調(diào)度系統(tǒng)如空中交通管制自動化系統(tǒng)被定為三級。其余被定為一級和二級。因此空管網(wǎng)絡(luò)安全將圍繞等保一到三級的要求展開。

3空管安全域設(shè)計

等保2.0的技術(shù)標(biāo)準(zhǔn)《信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求》規(guī)定定級系統(tǒng)安全保護環(huán)境由安全計算環(huán)境、安全區(qū)域邊界、安全通信網(wǎng)絡(luò)和安全管理中心[4]。參照“先定級、再分域，一個中心、三重防護”的設(shè)計思路。安全域主要滿足等保2.0對網(wǎng)絡(luò)、主機、應(yīng)用、數(shù)據(jù)安全的要求。

根據(jù)空管網(wǎng)絡(luò)的現(xiàn)狀，安全域主要作用是解決各網(wǎng)絡(luò)數(shù)據(jù)交互的安全問題，明確網(wǎng)絡(luò)邊界，提高對外的防護能力，加強網(wǎng)絡(luò)安全監(jiān)控。對外相當(dāng)于為空管網(wǎng)絡(luò)劃一圈強有力的防護圈抵御外部的惡意攻擊，同時提供可信的安全的對外鏈接通道。對內(nèi)相當(dāng)于建立了一個各子網(wǎng)的可靠的、可控的、可信的公共交換區(qū)。各子網(wǎng)復(fù)用相關(guān)的安全設(shè)備，通過安全域進行合法的、安全的數(shù)據(jù)交換。為了實現(xiàn)這一目標(biāo)，空管安全域包含安全核心區(qū)和一級安全管理中心兩部分。

安全核心區(qū)為所有安全子域（主要涵蓋當(dāng)前局本部所有業(yè)務(wù)員子網(wǎng)）間的數(shù)據(jù)轉(zhuǎn)發(fā)提供安全防護與訪問控制，主要由分布在空管局三個主要辦公場所的6臺主備核心防火墻構(gòu)成。根據(jù)“先定級、再分域”的思路。核心區(qū)由被劃分為若干安全區(qū)域，如核心生產(chǎn)區(qū)、輔助生產(chǎn)區(qū)、行政管理區(qū)、邊界接入?yún)^(qū)。空管各網(wǎng)絡(luò)、系統(tǒng)會根據(jù)不同的用途以及等保頂級劃如相應(yīng)的區(qū)域。各安全域內(nèi)執(zhí)行統(tǒng)一的安全標(biāo)準(zhǔn)。如轉(zhuǎn)報系統(tǒng)、自動化系統(tǒng)將被劃入核心生產(chǎn)區(qū)，OA系統(tǒng)將被劃入行政管理區(qū)。不同系統(tǒng)之間的數(shù)據(jù)交互要求，以不同安全區(qū)域之間的交互規(guī)則為準(zhǔn)進行。

核心防火墻上配置防病毒網(wǎng)關(guān)及病毒庫、IPS模塊及攻擊規(guī)則特征庫，支持多種單播、組播網(wǎng)絡(luò)協(xié)議，為各務(wù)系統(tǒng)提供集中的網(wǎng)絡(luò)訪問控制、IPS、防病毒等功能。

4一級安全管理中心設(shè)計

安全管理中心作為對網(wǎng)絡(luò)安全等級保護對象的安全策略及安全計算環(huán)境、安全區(qū)域邊界和安全通信網(wǎng)絡(luò)的安全機制實施統(tǒng)一管理的系統(tǒng)平臺，實現(xiàn)統(tǒng)一管理、統(tǒng)一監(jiān)控、統(tǒng)一審計、綜合分析和協(xié)同防護。等保2.0規(guī)定第二級、第三級以上的定級系統(tǒng)安全保護環(huán)境需要設(shè)置安全管理中心。主要負責(zé)系統(tǒng)的安全運行維護管理，其邊界為安全管理中心自身區(qū)域的網(wǎng)絡(luò)邊界訪問控制設(shè)備。[5]

按照空管網(wǎng)絡(luò)、系統(tǒng)的定級情況，空管安全管理中心需滿足第三級安全管理中心要求?？紤]到日后安全域?qū)U展至各省的空管分局、站網(wǎng)絡(luò)?？展馨踩芾碇行膶⒉捎脤蛹壗Y(jié)構(gòu)，先行在局本部建立一級安全管理中心，作為所有分局、站安全管理中心的核心。

第三級安全管理中心有系統(tǒng)管理、安全管理、審計管理、第三方插件/代理接口該協(xié)議、接口安全、身份鑒別、訪問控制、安全審計、剩余信息保護、資源控制、入侵防范、數(shù)據(jù)安全等方面的要求。

因此安全域的建設(shè)主要包括：集中日志收集與分析系統(tǒng)、網(wǎng)絡(luò)漏洞掃描系統(tǒng)、流量分析系統(tǒng)、運維管控系統(tǒng)、VPN系統(tǒng)、態(tài)勢感知系統(tǒng)。

4.1集中日志收集與分析

全網(wǎng)日志分級部署，統(tǒng)一管理。在安全管理中心部署一級日志審計系統(tǒng)，日志審計系統(tǒng)同步于安全管理中心的三級架構(gòu)部署，相關(guān)信息逐級匯總，各級日志審計系統(tǒng)管理各自范圍內(nèi)日志，同時接受上級管理。一

4.2網(wǎng)絡(luò)漏洞掃描

在一級安全管理中心部署漏洞掃描系統(tǒng)，以本地掃描或遠程掃描的方式，對重要的網(wǎng)絡(luò)設(shè)備、主機系統(tǒng)及相應(yīng)的操作系統(tǒng)、應(yīng)用系統(tǒng)等進行全面的漏洞掃描和安全評估。通過從不同角度對網(wǎng)絡(luò)進行掃描，可以發(fā)現(xiàn)網(wǎng)絡(luò)結(jié)構(gòu)和配置方面的漏洞，以及各個設(shè)備和系統(tǒng)的各種端口分配、提供的服務(wù)、服務(wù)軟件版本等存在的安全弱點。系統(tǒng)提供詳盡的掃描分析報告和漏洞修補建議，幫助管理員實現(xiàn)對網(wǎng)絡(luò)，尤其是其中的重要服務(wù)器主機系統(tǒng)的安全加固，提升安全等級。

4.3流量分析

在一級安全管理中心部署流量分析系統(tǒng)，通過對各重設(shè)備進行流量鏡像分析，實現(xiàn)對全網(wǎng)流量的實時監(jiān)控，及時發(fā)現(xiàn)網(wǎng)絡(luò)中存在的攻擊、異常訪問等信息。

4.4運維管控

在一級安全管理中心安全管理中心部署堡壘機，在系統(tǒng)運維人員和信息系統(tǒng)（網(wǎng)絡(luò)、主機、數(shù)據(jù)庫、應(yīng)用等）之間搭建一個唯一的入口和統(tǒng)一的交互的界面，針對信息系統(tǒng)中關(guān)鍵軟硬件設(shè)備運維的行為進行管控及審計。通過將各設(shè)備、應(yīng)用系統(tǒng)的管理接口，通過強制策略路由的方式，轉(zhuǎn)發(fā)至堡壘主機，從而實現(xiàn)對管理用戶的身份鑒別。通過“數(shù)字證書”認證方式作為“用戶名+口令”驗證身份的有效補充和增強，實現(xiàn)等級保護三級要求的雙因素身份認證。

4.5VPN

在一級安全管理中心部署VPN系統(tǒng)（支持國密算法），對移動辦公、遠程運維人員通過互聯(lián)網(wǎng)登錄到信息系統(tǒng)進行的業(yè)務(wù)交互操作或遠程管理操作進行保護，保證重要、敏感信息在互聯(lián)網(wǎng)上傳輸過程中的完整性和保密性。

4.6態(tài)勢感知系統(tǒng)

態(tài)勢感知系統(tǒng)采取分級部署、統(tǒng)一管理的模式，在安全管理中心部署一級和二級態(tài)勢感知系統(tǒng)，在重要的業(yè)務(wù)子網(wǎng)可自行建設(shè)部署三級態(tài)勢感知系統(tǒng)。

態(tài)勢感知系統(tǒng)，通過對全網(wǎng)IT基礎(chǔ)資產(chǎn)信息的安全漏洞、安全隱患和安全事件的關(guān)聯(lián)分析，智能預(yù)測可能發(fā)生的安全事件，集中提供安全事件預(yù)測報警功能，及早發(fā)現(xiàn)可能發(fā)生的高危安全事件，及早預(yù)防安全事件的發(fā)生。

態(tài)勢感知整個系統(tǒng)部署三部分包括：

（1）態(tài)勢感知核心平臺：主要包括應(yīng)用服務(wù)器、基礎(chǔ)服務(wù)器;

（2）基礎(chǔ)探針：主要包括攻擊檢測探針（防火墻入侵模塊）、日志審計探針、系統(tǒng)漏洞掃描探針等;

（3）擴展探針：主要包括終端威脅防御審計探針（終端防病毒系統(tǒng)）、WEB攻擊檢測探針（WAF）、安全威脅檢測探針（僵木蠕、APT等）、行為審計探針（網(wǎng)絡(luò)審計系統(tǒng)、數(shù)據(jù)庫審計系統(tǒng)、流量分析系統(tǒng)、日志審計、數(shù)據(jù)泄露行為審計等）。

一級安全管理中心的各系統(tǒng)由邊界防火墻、服務(wù)器資源池、各安全系統(tǒng)組成，為空管網(wǎng)絡(luò)提供管理、監(jiān)控、審計等服務(wù)。實現(xiàn)全網(wǎng)網(wǎng)絡(luò)安全信息統(tǒng)一收集、統(tǒng)一展示、實施監(jiān)控分析。

5結(jié)語

從等保2.0的要求出發(fā)，通過建立安全核心交換區(qū)和一級安全管理中心。為空管各系統(tǒng)提供符合等保要求的數(shù)據(jù)交互通道，通過安全管理中心監(jiān)控全網(wǎng)的安全信息，為各網(wǎng)絡(luò)系統(tǒng)提供統(tǒng)一的身份鑒別，訪問控制、安全審計、入侵防范等服務(wù)。各系統(tǒng)通過復(fù)用安全域的設(shè)備可以避免在網(wǎng)絡(luò)安全方面進行重復(fù)投資，達到網(wǎng)絡(luò)安全和系統(tǒng)效益之間的平衡。統(tǒng)一的安全域管理也將改變空管網(wǎng)絡(luò)安全各自為政的局面，安全域由網(wǎng)絡(luò)安全部門統(tǒng)一管理，保證數(shù)據(jù)交互和網(wǎng)絡(luò)接入有申請、有審批，可追蹤。各子網(wǎng)之間邊界清晰，網(wǎng)絡(luò)整體變得更加可控。從而達到等保2.0的要求。

參考文獻：

[1]夏冰.網(wǎng)絡(luò)安全法和網(wǎng)絡(luò)安全等級保護2.0[M].2017，77.

[2] MH/T 0069—2018.民用航空網(wǎng)絡(luò)安全等級保護定級指南[S].2018，5.

[3]GB/T 22239-2008.信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求[S].2008，15.

[4]GB/T 25070-2010 信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求[S].2010，2.

[5]GB/T 36958-2018 信息安全技術(shù)網(wǎng)絡(luò)安全等級保護安全管理中心技術(shù)要求[S].2018，2.

（中國民用航空中南地區(qū)空中交通管理局，廣東 廣州 510406）