浅议铁路企业宽带网络安全

第ｚ４卷第２期２００８年１月甘肃科技

ＧａｎｓｕＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙ

Ｖ以．Ｚ４Ｎｏ．２Ｊａｎ．２００８

浅议铁路企业宽带网络安全武昭宇（青藏铁路公司机务部机务检测所，青海西宁８１０００６）

摘要：随着计算机网络技术的飞速发展，企业宽带网络数据业务在当今经济生活中占有越来越重要地位，铁路企业在日常办公和数据交流中越来越多地通过宽带网络进行，大量的保密性文件和重要数据在网络中散布，网络的安全性就越来越重要。本文从两络互连七层协议、铁路企业网络的分层和网络安全管理体系三个方面来阐述铁路企业网的安全性。关键词：网络安全；网络安全管理体系；企业网络中图分类号：ＴＰ３０９

１引言当前对计算机的最大威胁主要来自计算机病毒与黑客攻击，病毒与木马的结合，使病毒与木马的功能更强大，早期单一的病毒防御保护措施及以防火墙技术为主的被动式防御技术已不能很好地完成计算机安全防护工作，入侵检测系统（ＩＤＳ）以主动防御的方法，日渐成为安全技术的重要组成部分。随着计算机网络的发展，其开放性，共享性使得互连程度不断提高，网络的重要性和对社会的影响也越来越大，网络的安全性直接影响到社会的经济效益。例如，２００３年１月份的ＳＱＬ杀手蠕虫事件，中国有两万多台数据库服务器受到影响，使国内众多企业网络全部处于瘫痪或半瘫痪状态；２００３年８月份的冲击波蠕虫，使成千上万的用户计算机变慢，被感染的计算机反复重启，有的还导致了系统崩溃，受到“冲击波”病毒感染的计算机反过来又会影响到网络的正常运行。宽带网作为铁路企业主要的数据业务承载网络，特别是电子商务（Ｅ—Ｃｏｍｍｅｒｃｅ）、铁路企业数据专线、网络互联、Ｉｎｔｅｒｎｅｔ接人服务等应用在企业办公、生产的地位日益凸现。随着网络安全问题与日俱增，如何设计一个稳定、可靠、安全和经济的铁路企业网，应对日益增多的网络攻击、病毒破坏和黑客入侵等问题已成为铁路企业网络建设和运营所关注的重点。本文从网络互连七层协议、铁路企业网分层和网络安全管理体系三个方面来叙述宽带网络的安全性。２网络开放系统互连参考层次模型国际标准化组织ＩＳＯ在标准中定义了七个层次的网络开放系统互连参考模型，它们分别是物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。不同的网络层次有不同的功能，例如链路层负责建立点到点通信，网络层负责路由，传输层负责建立端到端的进程通信信道。相应地，在各层需要提供不同的安全机制和安全服务。在物理层要保证通信线路的可靠，不易被窃听。在链路层可以采用加密技术，保证通信的安全。在Ｉｎｔｅｒｎｅｔ、Ｉｎｔｒａｎｅｔ环境中，地域分布很广，物理层的安全难以保证，链路层的加密技术也不完全适用。在网络层，可以采用传统的防火墙技术，如在ＴＣＰ／ＩＰ网络中，采用ＩＰ过滤功能的路由器，以控制信息在内外网边界流动。还可使用ＩＰ加密传输信道技术ＩＰＳＥＣ，在两个网络结点间建立透明的安全加密信道。这种技术对应用透明，提供主机对主机的安全服务。适用于在公共通信设施上建立虚拟的专用网。这种方法需要建立标准密钥管理，目前在产品的兼容性和性能上存在问题。在传输层可以实现进程到进程的安全通信，如现在流行的安全套接字层ＳＳＬ技术，是在两个通信结点间建立安全的ＴＣＰ连接。这种技术实现了基于进程对进程的安全服务和加密传输信道，采用公钥体系做身份认证；有高的安全强度。但这种技术对应用层不透明，需要证书授权中心，它本身不提供访问控制。针对专门的应用，在应用层实施安全机制，对特定的应用是有效的，如用于Ｗｅｂ的安全增强型超文本传输协议Ｓ—ＨＴＴＰ提供了文件级的安全服务机制。由于它是针对特定应用的，缺乏通用性，需要修改应用程序。

　万方数据第２期武昭宇：浅议铁路企业宽带网络安全５５

３铁路企业宽带网的层次安全模型铁路企业宽带网的安全风险主要在于设备遭受攻击或病毒引发的网络流量突然增大，造成对设备性能的冲击，与业务相关的数据库服务器受到病毒的攻击，影响业务的正常运行，安全建设应更多地采用技术来保证网络和设备安全，并以用户管理作为辅助手段。安全模型将铁路企业宽带网分成三个区：信任区、非信任区和隔离区（非军事区）。信任区是铁路企业内部的基础网络，通常采用防火墙等设备与铁路企业业务网隔离，包括铁路企业内部的各个不同的域；隔离区是信任域和非信任域之间进行数据交互的平台，包括铁路企业对外提供的各种业务平台，如Ｗｅｂ服务平台、ＦＴＰ服务器、用户查询平台、Ｍａｉｌ服务器等；非信任域是指铁路企业之外的广泛的互联网络。４铁路企业宽带网的层次安全分析４．１信任域的安全信任域由运输指挥系统、网管系统、财务系统等组成，是铁路企业网安全运营的核心所在，因此必须采取最严密的安全措施。在一般情况下，信任域可能面临的威胁包括网络攻击、网络入侵、病毒等攻击。为了避免这些威胁，保证信任域的安全，可采取以下手段：（１）部署防火墙，制定严格的安全访问策略，严格限制对此区域的访问；（２）认真配置好系统软件和应用软件，跟踪操作系统和应用系统的漏洞及补丁进展情况，严格限定系统和应用所服务对象的范围；（３）部署网络入侵监测系统（ＩＤＳ），对核心服务实施监控，对网络攻击和病毒及时报警；（４）建立网管系统和日志系统；（５）对重要的主机系统应采用双机热备份方式，对重要的应用系统和数据做好完善的备份工作，根据具体情况和需要设置灾难恢复系统。４．２隔离域的安全隔离域是铁路企业网对外开放的平台，包括ＷＷＷ服务、ＤＮＳ服务、ＦＴＰ服务、Ｍａｉｌ服务、用户查询系统等，所有业务必须对外开放，因而安全威胁最大，也是最容易受到攻击的区域。为保证安全，可采取以下手段：（１）部署防火墙，制定安全访问策略，特别是拒绝服务攻击（ＤＤＯＳ）；（２）及时修补服务器的安全漏洞，关闭不必要的网络服务等；（３）系统备份和日志系统等等。４．３安全审计建立安全审计是对每个用户在计算机系统上的操作做一个完整的记录，以备用户违反安全规则的事件发生后，有效地追查责任。安全审计工作是保障计算机安全的重要手段。凡是用户在计算机系统上的活动，与计算机信息系统内敏感的数据、资源、文本等安全有关的事件，可随时记录在日志文件中，便于发现、调查、分析及事后追查责任，还可以为加强管理措施提供依据。４．３．１了解系统技术审计人员通过查阅各种文件如程序表、控制流程等来审计。４．３．２验证处理技术保证事务能正确执行，控制能在该系统中起作用。该技术一般分为实际测试和性能测试，实现方法主要有：事务选择。审计人员根据制订的审计标准，可以选择事务的样板来仔细分析。样板可以是随机的，选择软件可以扫描一批输入事务，也可以由操作系统的事务管理部件引用。测试数据。这种技术是程序测试的扩展，审计人员通过系统动作准备处理的事务。通过某些独立的方法，可以预见正确的结果，并与实际结果相比较。用此方法，审计人员必须通过程序检验被处理的测试数据。另外，还有综合测试、事务标志、跟踪和映射等方法。并行仿真。审计人员要通过一应用程序来仿真操作系统的主要功能。当给出实际的和仿真的系统相同数据后，来比较它们的结果。仿真代价较高，借助特定的高级语音可使仿真类似于实际的应用。４．４非信任域的安全非信任域是网络业务的传输网络，主要由电信营运商负责其安全。铁路企业网需要重点考虑的是隔离域的安全问题，加强设备自身的安全和日常维护流程，从技术和流程两方面来保证。４．５入侵检测系统（ＩＤＳ）的建设当今入侵技术无论是从规模上还是方法上都发生了变化，入侵的手段与技术也有了“进步与发展”，这种“进步与发展”直接加速了（下转第８６页）

　万方数据８６甘肃科技第２４卷调速性好；采用ＩＰＭ功率模块，功率消耗小；采用自动换向变频技术，当提升机作重物下放时，电动机变为发电机状态运行，此时能自动将电动机发出的再生能量反馈至供电电网，可明显节省电能，同时，制动力矩增大，保证了提升机下放时的安全性；采用双ＰＬＣ系统，构成“双线制”控制和安全保护。４矿井副井操车系统煤矿副井操车系统摆渡车是矿车入罐笼下井的中间环节，由于摆渡车运行属恒力矩负载，因此行走电机的调速可采用变频调速。由于煤矿副井操挈作业中，负载变化大，如上下空车、矸车、设备或液压支架等，同时，要求行车时速度稳定。这样就需要有效地减少摆渡车停车时惯性的冲击力，故可设计为采用两段速度，即行走时为输出高速，停车前为低速爬行。５装车系统装车系统主要由调车绞车、皮带输送机、刮板输送机等设备组成。目前国内各工矿装车站列车牵引装置——调车绞车（俗称铁牛）仍主要采用双速电机调速，即在装煤时使用低速、回绳时使用高速。由于在装煤时列车前进速度不变，为使煤能均匀装入车厢，并且重量在要求范围内，操作人员不得不频繁启停“铁牛”，使用很不方便，效率也不高，且电机、电气设备频频受启动电流冲击，使用寿命降低，修量增加，电能损耗也很大。使用变频调速后，装车时的操作改变为：由操作人员根据煤流量大小进行调速，如来煤流量稳定，调到一个合适的速度后，就基本不用再调了。当所有车厢都装满后，铁牛脱开列车，选择反转，调到高速，使铁牛快速返回。在调车绞车调速系统中采用变频调速具有以下优点：一是节省电费２０％以上。二是提高了装煤自动化程度和生产效率。三是启动功能，除了能减少电流及机械冲击外，还解决了脱绳、爬绳等危及安全生产的问题。皮带输送机除装车系统使用外，井下及洗煤厂也大量使用，由于诸多原因，使用中相当长时间都处于空载或轻载运行状态，电能浪费严重，如使用变频调速技术，节能效果可观，同时也能解决大功率皮带输送机的启动困难问题。随着科学技术的不断进步，交流电动机变频调速技术已日趋完善，在煤矿企业技术改造和产品更新换代及在节能和实现生产过程自动化方面都取得了明显的效果。因此，必须积极推广先进的交流变频调速技术，用先进的设备武装、改造煤矿等传统产业，促进工业自动化的进一步发展。参考文献：［１］胡崇岳．现代交流调速系统．北京：机械工业出版社，１９９８［２］王占奎．变频调速应用百例．北京：科学出版社．１９９９［３］陈国呈．ＰＷＭ变频调速及软开关电力变换技术．北京：机械工业出版．２００ｌ

（上接第５５页）对ＩＤＳ的研究和发展。改进的检测方法，提高检测准确率，减少漏报和误报。把其他领域的一些概念和方法引入到ＩＤＳ中来，如神经网络、遗传算法、模糊技术、免疫原理、数据挖掘等方法。这些方法主要是为了增强ＩＤＳ的学习能力，使得ＩＤＳ可以比较智能地检测出未知攻击。ＩＤＳ的标准化工作。主要包括：大规模分布式入侵检测系统的体系结构、入侵特征等数据的描述（格式）、入侵检测系统内部的通信协议和数据交换协议、安全部件间的互动协议和接口标准等。５总结宽带铁路企业网的网络安全是一项非常艰巨和持久的任务。对网络安全问题必须通盘考虑，进行体系化的整体安全设计和实施。既要充分考虑网络的安全性能，考虑设备防攻击的健壮性，有效实施设备相关安全特性，又要结合专用的安全产品，采取分域、多层安全保护措施。既要考虑设备安全和技术的因素，又要重视网络安全人员在网络安全方面所起决定性的作用。参考文献：［１］王春海．企业网络配置与管理［Ｍ］．北京：科学出版社，２００５．１０．［２］王群．非常网管·网络安全［Ｍ］．北京：人民邮电出版社．２００７．４．［３］李宪玲，杨风飞．浅论网络安全与防护技术［Ｊ］．电脑知识与技术，２００５。３６：７８—８０．