劉 霄，王 平

（陸軍工程大學(xué) 國(guó)防工程學(xué)院，江蘇 南京 210007）

信息化戰(zhàn)爭(zhēng)是未來(lái)世界戰(zhàn)爭(zhēng)的發(fā)展趨勢(shì)，國(guó)防工程作為國(guó)防建設(shè)的重要方面，面臨著信息化戰(zhàn)爭(zhēng)帶來(lái)的挑戰(zhàn)和機(jī)遇，因此對(duì)國(guó)防工程建設(shè)提出了新的挑戰(zhàn)和更高的要求[1]。當(dāng)前，國(guó)防工程在朝著信息化智能化的方向邁進(jìn)，為了應(yīng)對(duì)當(dāng)前國(guó)防工程更加完善的控制功能以及趨于復(fù)雜的業(yè)務(wù)、應(yīng)用需求，工程內(nèi)部的高速無(wú)線局域網(wǎng)絡(luò)越來(lái)越成為解決工程問(wèn)題的重要環(huán)節(jié)。此前傳統(tǒng)工程中，工程保障態(tài)勢(shì)和設(shè)備運(yùn)行狀態(tài)只能在控制室的監(jiān)控主機(jī)上進(jìn)行，對(duì)于軸線較長(zhǎng)的國(guó)防工程環(huán)境造成諸多不便，嚴(yán)重影響維護(hù)管理和作戰(zhàn)保障的效能?；趦?nèi)嵌無(wú)線網(wǎng)絡(luò)和多種傳感器的智能終端，國(guó)防工程這一特殊工況不僅可實(shí)現(xiàn)對(duì)工程整體及設(shè)備的實(shí)時(shí)監(jiān)控、管理，還可實(shí)現(xiàn)移動(dòng)終端巡檢[2]、人員定位管控等功能。

雖然無(wú)線網(wǎng)絡(luò)的部署極大改善了國(guó)防工程的運(yùn)行效率，但由于國(guó)防工程具有結(jié)構(gòu)復(fù)雜和軍事意義重大等特殊性，其信息安全需求也較為嚴(yán)苛。因此，本文從當(dāng)前國(guó)防工程現(xiàn)有安全機(jī)制出發(fā)，總結(jié)了管理層面和技術(shù)層面對(duì)信息安全的防護(hù)策略。

1 國(guó)防工程無(wú)線網(wǎng)絡(luò)信息安全防護(hù)需求

為實(shí)現(xiàn)國(guó)防工程內(nèi)部設(shè)備實(shí)時(shí)管控，基于無(wú)線網(wǎng)絡(luò)對(duì)工程內(nèi)部部署移動(dòng)終端及其他無(wú)線設(shè)備。無(wú)線網(wǎng)絡(luò)不但提供了高速數(shù)據(jù)傳輸、語(yǔ)音通道、作戰(zhàn)保障、管理保障，基于智能終端還可開(kāi)發(fā)移動(dòng)保障指揮終端等功能。

國(guó)防工程具有較完備的安防措施，但在信息安全領(lǐng)域的防范仍需加強(qiáng)。信息安全是多重因素共同作用的結(jié)果。國(guó)防工程無(wú)線網(wǎng)絡(luò)信息安全防護(hù)需求主要有：

1.1 無(wú)線網(wǎng)絡(luò)設(shè)施設(shè)備管控

國(guó)防工程中每個(gè)網(wǎng)絡(luò)設(shè)施設(shè)備都有可能成為惡意攻擊者的入侵對(duì)象，首先要保證無(wú)線網(wǎng)絡(luò)節(jié)點(diǎn)設(shè)備不能遭受物理攻擊。在傳統(tǒng)信息安全問(wèn)題中，攻擊者往往通過(guò)篡改設(shè)備參數(shù)、往設(shè)備中植入非法物理硬件等手段打開(kāi)缺口，并進(jìn)一步開(kāi)展網(wǎng)絡(luò)攻擊行為。因此，需從攻擊起點(diǎn)進(jìn)行針對(duì)防護(hù)。

1.2 工程內(nèi)部人員管控

人員是國(guó)防工程維護(hù)和作戰(zhàn)保障活動(dòng)中最活躍、最核心的要素實(shí)體。在國(guó)防工程運(yùn)維和保障中，動(dòng)態(tài)掌握各類(lèi)人員在工程內(nèi)部空間的位置分布是高效協(xié)同保障的前提，也是工程安全和信息安全的前提。

1.3 網(wǎng)絡(luò)節(jié)點(diǎn)管控

對(duì)無(wú)線網(wǎng)絡(luò)進(jìn)行監(jiān)控，首先要對(duì)無(wú)線網(wǎng)絡(luò)節(jié)點(diǎn)進(jìn)行管控。主要體現(xiàn)在：（1）通過(guò)接入權(quán)限控制，實(shí)現(xiàn)對(duì)接入國(guó)防工程無(wú)線網(wǎng)絡(luò)的設(shè)備管理；（2）對(duì)網(wǎng)絡(luò)節(jié)點(diǎn)中流量吞吐量進(jìn)行監(jiān)控，對(duì)異常情況進(jìn)行管控報(bào)警。

1.4 攻擊行為檢測(cè)

管理者通過(guò)技術(shù)手段，對(duì)已實(shí)施入侵的攻擊行為進(jìn)行檢測(cè)，目標(biāo)系統(tǒng)需能夠檢測(cè)出常見(jiàn)攻擊事件，并判別攻擊類(lèi)型，以實(shí)現(xiàn)對(duì)無(wú)線網(wǎng)絡(luò)進(jìn)行入侵防護(hù)，進(jìn)而抵制入侵行為發(fā)生。

1.5 防止外部竊聽(tīng)

針對(duì)被動(dòng)型網(wǎng)絡(luò)威脅進(jìn)行防護(hù)，主要目標(biāo)為防止竊聽(tīng)、嗅探、信號(hào)干擾行為的實(shí)施。

1.6 網(wǎng)絡(luò)聯(lián)動(dòng)報(bào)警

通過(guò)配設(shè)報(bào)警終端、報(bào)警軟件等，對(duì)各類(lèi)風(fēng)險(xiǎn)行為發(fā)送報(bào)警信號(hào)進(jìn)行報(bào)警，觸發(fā)報(bào)警規(guī)則時(shí)生成報(bào)警記錄。

2 國(guó)防工程防護(hù)機(jī)制分析

為有效保障安防管理和信息安全需求，國(guó)防工程內(nèi)部配設(shè)了監(jiān)控系統(tǒng)、網(wǎng)絡(luò)節(jié)點(diǎn)管理系統(tǒng)、Wi-Fi 定位系統(tǒng)、電磁屏蔽等防護(hù)手段。

2.1 國(guó)防工程智能化監(jiān)控系統(tǒng)

監(jiān)控系統(tǒng)主要功能為對(duì)工程內(nèi)部設(shè)備及環(huán)境進(jìn)行實(shí)時(shí)監(jiān)測(cè)[3]。本文將監(jiān)控系統(tǒng)分為設(shè)施設(shè)備智能化控制系統(tǒng)與環(huán)境監(jiān)控系統(tǒng)。設(shè)施設(shè)備智能化監(jiān)控系統(tǒng)基于物聯(lián)網(wǎng)技術(shù)實(shí)現(xiàn)[4]，能夠?qū)崿F(xiàn)通風(fēng)空調(diào)、給排水、發(fā)供電、內(nèi)部環(huán)境和工程防護(hù)等各類(lèi)設(shè)施設(shè)備的智能聯(lián)網(wǎng)、實(shí)時(shí)監(jiān)測(cè)和控制，基于此，各類(lèi)設(shè)施設(shè)備異常情況可實(shí)時(shí)反饋，能夠有效防護(hù)部分通過(guò)修改設(shè)備參數(shù)的工業(yè)控制系統(tǒng)攻擊。環(huán)境監(jiān)控會(huì)在國(guó)防工程通道、重要部位、死角、周界進(jìn)行設(shè)置，對(duì)整個(gè)工程進(jìn)行實(shí)時(shí)監(jiān)控記錄，可以對(duì)工程內(nèi)部出現(xiàn)的人員行為、環(huán)境狀況動(dòng)態(tài)掌控。環(huán)境監(jiān)控系統(tǒng)可以有效預(yù)防物理攻擊和通過(guò)社會(huì)工程學(xué)進(jìn)行的信息安全問(wèn)題。整個(gè)監(jiān)控系統(tǒng)不僅可保障硬件安全不被人為破壞，并且從管理角度第一時(shí)間反饋設(shè)備運(yùn)行狀況，也對(duì)無(wú)線網(wǎng)絡(luò)信息安全起到防護(hù)作用。

2.2 Wi-Fi 定位系統(tǒng)

Wi-Fi 定位系統(tǒng)可以管控可移動(dòng)設(shè)備、人員的實(shí)時(shí)狀態(tài)[5]，與監(jiān)控系統(tǒng)結(jié)合合理監(jiān)督并管控人員情況及內(nèi)部環(huán)境狀況。此外，Wi-Fi 定位系統(tǒng)，還可與地磁傳感器、慣性傳感器等進(jìn)行融合定位。通過(guò)精確人員和移動(dòng)設(shè)備的定位，也能有效預(yù)防通過(guò)社會(huì)工程學(xué)進(jìn)行的網(wǎng)絡(luò)攻擊。

2.3 網(wǎng)絡(luò)節(jié)點(diǎn)管理系統(tǒng)

網(wǎng)絡(luò)節(jié)點(diǎn)管理系統(tǒng)可以及時(shí)偵別陌生/可疑設(shè)備接入網(wǎng)絡(luò)，另外可以及時(shí)檢測(cè)到極大/極小的流量吞吐[6]。一方面，可疑網(wǎng)絡(luò)信源一旦嘗試接入網(wǎng)絡(luò)，網(wǎng)絡(luò)節(jié)點(diǎn)管理系統(tǒng)便可觸發(fā)安全機(jī)制；另一方面，節(jié)點(diǎn)吞吐量異常時(shí)，應(yīng)判斷是否為DOS 攻擊，進(jìn)而觸發(fā)報(bào)警機(jī)制。因此，網(wǎng)絡(luò)節(jié)點(diǎn)管理系統(tǒng)可以防止網(wǎng)絡(luò)設(shè)備接入，還可以有效預(yù)防通過(guò)消耗網(wǎng)絡(luò)帶寬或系統(tǒng)資源進(jìn)行的攻擊類(lèi)別。

2.4 電磁屏蔽及在線監(jiān)測(cè)系統(tǒng)

國(guó)防工程通過(guò)電磁屏蔽手段防止工程外部的電磁波干擾。此外，電磁屏蔽手段可以有效杜絕外部設(shè)備的竊聽(tīng)以及流量泄露。電磁屏蔽效能在線監(jiān)測(cè)系統(tǒng)可實(shí)時(shí)檢測(cè)屏蔽效能，防止屏蔽裝置因施工不當(dāng)或管理不到位而失去屏蔽效能。通過(guò)電磁屏蔽及在線監(jiān)測(cè)，工程外部難以捕捉、截獲工程內(nèi)部無(wú)線網(wǎng)絡(luò)流量信息，有效預(yù)防攻擊者的監(jiān)聽(tīng)及嗅探。

2.5 入侵檢測(cè)系統(tǒng)

入侵檢測(cè)系統(tǒng)是針對(duì)無(wú)線網(wǎng)絡(luò)安全防護(hù)的最主要技術(shù)手段之一，也是安全防護(hù)的最后一道防線。入侵檢測(cè)系統(tǒng)針對(duì)已經(jīng)發(fā)生攻擊行為的情景進(jìn)行安全防護(hù)，基于機(jī)器學(xué)習(xí)算法，通過(guò)識(shí)別流量中的異常行為模式可以發(fā)現(xiàn)攻擊行為并對(duì)其攻擊類(lèi)別加以判定[7]，從而增強(qiáng)國(guó)防工程的信息安全防護(hù)能力。

基于上述防護(hù)手段，國(guó)防工程無(wú)線網(wǎng)絡(luò)信息安全防護(hù)體系部署應(yīng)如圖1 所示。監(jiān)控系統(tǒng)、網(wǎng)絡(luò)節(jié)點(diǎn)管理系統(tǒng)、Wi-Fi 定位系統(tǒng)、電磁防護(hù)系統(tǒng)參與輔助決策，發(fā)現(xiàn)陌生網(wǎng)絡(luò)、可疑接入、流量異常等威脅行為立即觸發(fā)報(bào)警機(jī)制，可有效預(yù)防流量異常、外部接入等攻擊手段。后續(xù)復(fù)雜攻擊類(lèi)型，如流量注入類(lèi)攻擊、仿冒欺詐類(lèi)攻擊以及未知攻擊類(lèi)型等威脅由入侵檢測(cè)系統(tǒng)檢測(cè)識(shí)別。

圖1 國(guó)防工程內(nèi)部信息安全防護(hù)結(jié)構(gòu)

3 無(wú)線網(wǎng)絡(luò)攻擊行為分析

為了實(shí)現(xiàn)網(wǎng)絡(luò)的安全保障，首先要對(duì)存在的攻擊風(fēng)險(xiǎn)進(jìn)行研究[8]。根據(jù)無(wú)線網(wǎng)絡(luò)攻擊的執(zhí)行方法，現(xiàn)有攻擊行為分為以下幾類(lèi)：注入攻擊類(lèi)（Injection attack）、泛洪攻擊類(lèi)（Flooding attack）、欺詐攻擊類(lèi)（Impersonation attack）、被動(dòng)攻擊類(lèi)（Passive attack）[9]。使用此種分類(lèi)方式基于以下幾點(diǎn)考慮：（1）涵蓋當(dāng)前主流無(wú)線網(wǎng)絡(luò)攻擊方式；（2）同類(lèi)別的攻擊在開(kāi)展攻擊時(shí)的途徑手段相近，可分類(lèi)別有針對(duì)性地進(jìn)行防護(hù)；（3）執(zhí)行方式相近的攻擊在數(shù)據(jù)報(bào)文格式上較為類(lèi)似，便于入侵檢測(cè)機(jī)器學(xué)習(xí)模型建立。以下為各攻擊類(lèi)別在國(guó)防工程無(wú)線網(wǎng)絡(luò)中的可實(shí)現(xiàn)性。

3.1 泛洪攻擊類(lèi)

泛洪攻擊類(lèi)別包含較多子類(lèi)型攻擊，一般也稱(chēng)拒絕服務(wù)攻擊（Denial of Service，DoS）。基本原理是通過(guò)針對(duì)特定的客戶(hù)端，或者嘗試向網(wǎng)絡(luò)中的所有客戶(hù)端施加壓力，使得其可用性降低或者失去可用性，從而導(dǎo)致拒絕服務(wù)[10]。泛洪攻擊的實(shí)施主要依賴(lài)拒絕服務(wù)訪問(wèn)的質(zhì)量和數(shù)量，通過(guò)消耗網(wǎng)絡(luò)帶寬或系統(tǒng)資源而導(dǎo)致的[11]。在工程內(nèi)部具有以下特點(diǎn)：

（1）泛洪攻擊的影響不是非永久的，是暫時(shí)性的，一旦占用資源未達(dá)閾值或終端，則攻擊終止；

（2）在攻擊過(guò)程中，攻擊者必須始終存在于網(wǎng)絡(luò)范圍內(nèi)，否則攻擊無(wú)法開(kāi)展；

（3）需要向攻擊目標(biāo)持續(xù)發(fā)送大量請(qǐng)求或其他類(lèi)型數(shù)據(jù)包，如果數(shù)據(jù)流量未達(dá)閾值或者中斷，也無(wú)法成功實(shí)施攻擊。

結(jié)合泛洪攻擊實(shí)施條件和特性，可見(jiàn)雖然泛洪攻擊是當(dāng)前無(wú)線網(wǎng)絡(luò)普遍威脅，但在國(guó)防工程這一環(huán)境中開(kāi)展難度較高，且因?yàn)閲?guó)防工程設(shè)備管控集中極易被偵別。

3.2 注入攻擊類(lèi)

注入攻擊是無(wú)線網(wǎng)絡(luò)中一種常見(jiàn)的攻擊形式，比起泛洪攻擊，該類(lèi)攻擊實(shí)施條件較容易但技術(shù)難度較高。注入攻擊依靠將偽造數(shù)據(jù)包注入目標(biāo)網(wǎng)絡(luò)得以實(shí)施[12]，這些偽造數(shù)據(jù)包既有可能用來(lái)破解網(wǎng)絡(luò)密鑰，也可能破壞原有數(shù)據(jù)結(jié)構(gòu)信息，甚至包含惡意指令。在信息安全防護(hù)中，注入攻擊通常只能使用入侵檢測(cè)系統(tǒng)（IDS）進(jìn)行針對(duì)性防護(hù)，但此類(lèi)攻擊依賴(lài)于在網(wǎng)絡(luò)中注入含惡意的數(shù)據(jù)流量，因此實(shí)現(xiàn)的先決條件之一是與國(guó)防工程內(nèi)部網(wǎng)絡(luò)進(jìn)行信息交互。在國(guó)防工程工況環(huán)境下，任何陌生網(wǎng)絡(luò)都能觸發(fā)報(bào)警機(jī)制，故此類(lèi)攻擊需結(jié)合其他更隱蔽的攻擊手段共同實(shí)施。

3.3 仿冒攻擊類(lèi)

仿冒攻擊一般表現(xiàn)為竊取或假冒身份認(rèn)證憑據(jù)來(lái)實(shí)現(xiàn)非法服務(wù)接入[9]。在實(shí)際網(wǎng)絡(luò)中，實(shí)施方法通常表現(xiàn)為仿冒終端身份接入網(wǎng)絡(luò)或仿冒網(wǎng)絡(luò)誘導(dǎo)終端接入等。另外，仿冒攻擊可作為其他攻擊類(lèi)別的基礎(chǔ)手段，因此需要重點(diǎn)防護(hù)。

3.4 被動(dòng)攻擊類(lèi)

被動(dòng)攻擊是指攻擊者監(jiān)聽(tīng)、嗅探、截獲特定無(wú)線流量信息，然后離線進(jìn)行密鑰破解或信息處理的過(guò)程[11]。該攻擊方式多采用技術(shù)手段輔助非技術(shù)手段開(kāi)展實(shí)施的過(guò)程。被動(dòng)攻擊行為隱蔽，難以被入侵檢測(cè)系統(tǒng)（Intrusion Detection System，IDS）偵測(cè)，且最初不會(huì)造成實(shí)質(zhì)性破壞。防范其實(shí)施的最重要手段是提高加密強(qiáng)度，另外，在國(guó)防工程中還可以通過(guò)信號(hào)屏蔽、信號(hào)干擾手段加以解決。

4 國(guó)防工程無(wú)線網(wǎng)絡(luò)防護(hù)聯(lián)動(dòng)報(bào)警策略

秉承著技術(shù)手段和管理手段相結(jié)合才能實(shí)現(xiàn)全方位安全的目標(biāo)，國(guó)防工程采取多點(diǎn)防護(hù)，多手段共同實(shí)施的策略。結(jié)合國(guó)防工程防護(hù)機(jī)制和無(wú)線網(wǎng)絡(luò)攻擊行為特點(diǎn)，本文提出聯(lián)動(dòng)報(bào)警策略。其中，各種管理手段以及安防設(shè)施提供技術(shù)輔助決策和社會(huì)工程學(xué)類(lèi)的攻擊預(yù)防，技術(shù)手段為信息系統(tǒng)、內(nèi)部數(shù)據(jù)提供最后的防護(hù)屏障。

4.1 基于視頻監(jiān)控與Wi-Fi 定位的人員管控報(bào)警

基于視頻監(jiān)控與Wi-Fi 定位系統(tǒng)可以實(shí)時(shí)掌握國(guó)防工程人員動(dòng)態(tài)，當(dāng)發(fā)現(xiàn)工程內(nèi)部出現(xiàn)可疑人員或工作人員有可疑行為時(shí)，即觸發(fā)報(bào)警機(jī)制。

4.2 基于網(wǎng)絡(luò)設(shè)備管理系統(tǒng)的設(shè)備及流量管控報(bào)警

網(wǎng)絡(luò)設(shè)備管理系統(tǒng)對(duì)接入該區(qū)域的設(shè)備數(shù)量進(jìn)行管控，防止大量設(shè)備接入該區(qū)域，引發(fā)無(wú)線網(wǎng)絡(luò)的擁擠與阻塞，導(dǎo)致國(guó)防工程內(nèi)部人員不能正常作業(yè)；如果區(qū)域內(nèi)接入網(wǎng)絡(luò)的設(shè)備超過(guò)規(guī)定數(shù)目，系統(tǒng)則發(fā)出預(yù)警，停止設(shè)備的接入。陌生設(shè)備嘗試接入內(nèi)部網(wǎng)絡(luò)時(shí)，采取最高等級(jí)報(bào)警；網(wǎng)絡(luò)設(shè)備管理系統(tǒng)還可通過(guò)傳感器收集無(wú)線網(wǎng)絡(luò)信號(hào)，監(jiān)測(cè)該區(qū)域是否出現(xiàn)陌生網(wǎng)絡(luò)信源，出現(xiàn)陌生信源則進(jìn)行預(yù)警。

4.3 入侵行為報(bào)警

根據(jù)入侵檢測(cè)系統(tǒng)的判別，對(duì)采取偽裝、仿冒設(shè)備的攻擊行為進(jìn)行檢測(cè)報(bào)警。系統(tǒng)通過(guò)入侵檢測(cè)系統(tǒng)對(duì)無(wú)線網(wǎng)絡(luò)流量進(jìn)行檢測(cè)，如果用戶(hù)行為被檢測(cè)出相關(guān)的入侵特征，則觸發(fā)預(yù)警規(guī)則，并進(jìn)行報(bào)警。

聯(lián)動(dòng)報(bào)警利用聲光報(bào)警設(shè)備發(fā)出警報(bào)聲音和警報(bào)光信號(hào)。聯(lián)動(dòng)報(bào)警需要根據(jù)報(bào)警信號(hào)做出相應(yīng)的聯(lián)動(dòng)處理。網(wǎng)絡(luò)管理員可以對(duì)具體的用戶(hù)違規(guī)行為配置相關(guān)的聯(lián)動(dòng)處理預(yù)案，當(dāng)用戶(hù)作出違規(guī)行為時(shí)，即可進(jìn)行相應(yīng)的聯(lián)動(dòng)響應(yīng)，及時(shí)提醒網(wǎng)絡(luò)管理員，及時(shí)排除未發(fā)生的危險(xiǎn)。每次觸發(fā)報(bào)警都會(huì)生成相應(yīng)的報(bào)警記錄，報(bào)警記錄能夠方便網(wǎng)絡(luò)管理員查看歷史報(bào)警信息，再根據(jù)報(bào)警設(shè)備生成的報(bào)警信號(hào)設(shè)置報(bào)警信號(hào)的聯(lián)動(dòng)方案，設(shè)置阻止設(shè)備接入或者阻止網(wǎng)絡(luò)入侵等聯(lián)動(dòng)動(dòng)作。此外，系統(tǒng)還可以根據(jù)網(wǎng)絡(luò)安全評(píng)估分?jǐn)?shù)與等級(jí)進(jìn)行預(yù)警。聯(lián)動(dòng)報(bào)警功能如圖2 所示。

圖2 聯(lián)動(dòng)報(bào)警功能用例圖

5 結(jié)束語(yǔ)

無(wú)線網(wǎng)絡(luò)安全是當(dāng)前社會(huì)面臨的共同問(wèn)題，本文以國(guó)防工程為背景，討論了工程內(nèi)無(wú)線網(wǎng)絡(luò)的防護(hù)機(jī)制，分析了攻擊行為在工程內(nèi)部的影響及防護(hù)機(jī)制，提出了多點(diǎn)防護(hù)、多手段共同防護(hù)的聯(lián)動(dòng)報(bào)警機(jī)制。在國(guó)防工程無(wú)線網(wǎng)絡(luò)中，將已有的安防策略納入到無(wú)線網(wǎng)絡(luò)安全防護(hù)機(jī)制中，進(jìn)行聯(lián)合防護(hù)能夠使得安全防護(hù)更全面，防護(hù)效果更優(yōu)。本文提出方案更具有針對(duì)性，可供相關(guān)研究者參考。