客車檢修系統安全性設計

摘要：隨著客車檢修信息化的發展，客車檢修過程對檢修系統軟件及生產辦公網絡的依賴越來越強。本文首先對車輛段現存網絡在安全方面存在的問題進行了分析，針對這些問題介紹了客車檢修系統安全性設計，較詳細的論述了軟件服務安全性、系統數據安全性和系統網絡安全性設計。

關鍵詞：客車檢修系統安全設計

0 引言

近年來，隨著我國鐵路客運事業的發展，車輛段不僅在檢修客車的數量上有了很大的增加，同時對檢修效率和質量也提出了更高的要求。目前，隨著客車檢修管理系統、客車調度系統、生產辦公等系統在客車檢修及調度過程中的應用，大大提高了檢修效率和質量，客車檢修過程對系統軟件及生產辦公網絡的依賴越來越強，檢修中心現有的網絡結構及設備已不能滿足系統需要，特別是在客車檢修的高峰期和重要階段，檢修系統及網絡即使發生很短時間的癱瘓也會給企業造成很大的損失。

為保證客車檢修系統的正常運行，系統安全設計必須能夠保證系統核心的軟件服務、檢修數據、硬件設備、企業網絡不會因為偶然的或人為的破外造成系統癱瘓或數據丟失；同時由于企業網絡規模十分龐大，設計必須能夠實現對核心網絡設備、網絡運行狀況及網絡安全實現自動監控和分析，確保網絡的可控性和可管理性。

1 系統軟件服務安全性設計

檢修系統的WEB、數據庫等服務都是在服務器上運行，為了避免因服務器硬件及系統軟件的損壞而造成的檢修系統癱瘓，設計中采用了集群熱備技術。在集群中同時有多臺服務器在運行，但只有一臺服務器為系統提供WEB及數據庫等服務，其他服務器通過集群軟件每隔一定的時間進行狀態信息交換，當集群軟件偵測到當前提供服務的服務器發生故障時便會自動將服務切換到系統中其他正常運行服務器上運行，由于切換的時間較短，用戶在客戶端不會感覺到系統故障的發生。

2 系統數據安全性設計

檢修系統每天的數據量非常大且數據非常重要，任何因系統軟件或存儲數據設備損壞而造成的數據丟失或損壞會給檢修工作造成很大影響。設計中首先在檢修軟件中實現每天定時對檢修系統數據庫數據的自動備份，由于系統在執行數據備份時占用的系統資源較大，因此可以將系統數據自動備份的時間設置為晚上，這時系統使用率較低，避免了因為系統備份而影響系統的運行速度。同時設計中還使用了IBM磁盤陣列柜及5塊熱插拔SCSI磁盤并將其設置為RAID5，即使有硬盤發生故障，可以在不關機或停止服務的情況下對硬盤進行更換和數據恢復。

檢修用戶登錄檢修系統后可以對自己擁有修改權限的檢修數據進行修改和刪除，為防止惡意用戶盜用其他用戶登錄密碼對檢修數據進行破壞，在檢修軟件設計中用戶密碼在存入數據庫前進行了加密，即使使用管理員身份登錄數據庫也不能獲取正確的用戶密碼，同時在系統中對每個用戶登錄和離開檢修系統的時間，登陸后用戶對數據進行的操作進行了記錄，進一步確保了檢修數據的安全性。

3 系統網絡安全設計

3.1 車輛段已有網絡存在問題 由于車輛段已有網絡沒有一個整體的網絡安全策略，存在的問題主要有：①網絡設備沒有正確配置。由于企業網絡中不同部門的機器都設置在同一IP網段，用戶間可以隨意相互訪問網段中各部門的共享數據，給一些須在部門間保密的數據的保護帶來了不必要的麻煩；同時在關鍵網絡設備中采用設備的默認設置，未對控制訪問網絡的訪問控制列表等一些必要的安全選項進行設置，這也給企業的網絡安全帶來了很大的隱患。②用戶安全意識不強。如對自己的帳號管理不嚴或不設置密碼，經常從網上下載或從其他計算機上拷貝未經病毒檢測的數據文件，雖然客戶端主機都裝有防病毒軟件，但一些新病毒和病毒變種也很容易造成主機感染病毒，如當用戶主機感染網絡蠕蟲病毒后，病毒它可以在很短的時間內蔓延到整個網絡，對局域網內主機和設備系統漏洞進行攻擊造成網絡癱瘓。③客戶端操作系統漏洞補丁及服務器端運行的軟件服務補丁升級不及時。如服務器端運行的為辦公網絡提供服務的IIS及數據庫軟件，而這些軟件的漏洞和缺陷正是一些別有用心的人的攻擊首選目標，同時未對數據庫軟件的一些默認配置進行修改，很容易使數據庫被侵入造成數據的破壞。

3.2 網絡安全性設計根據車輛段的網絡結構、應用特點、行業特點，結合前面所描述的已有網絡中所存在的安全薄弱環節，利用現有的網絡安全防御技術，在盡可能不改變原有網絡結構、帶寬及性能的情況下，按照不同的安全級別要求和業務應用情況，針對不同的網絡用戶和網絡結構，采用不同的網絡安全技術，建立一套統一的網絡安全管理平臺，對整個網絡進行統一的管理。

訪問控制是網絡安全防范和保護的主要策略，它的主要任務是保證網絡資源不被非法使用和訪問。它是保證網絡安全最重要的核心策略之一。訪問控制涉及的技術也比較廣，包括入網訪問控制、網絡權限控制、目錄級控制以及屬性控制等多種技術。

3.2.1 使用網管軟件。由于已有辦公網絡設備繁多，且各個檢修及管理部門相距較遠，如果使用人工方法對網絡及重要網絡設備進行檢查和控制，不僅使企業的信息部門不堪重負，同時工作效率也不是很高。設計中使用網管軟件對整個網絡系統及重要的網絡設備進行遠程監控，網管軟件支持網絡設備的自動發現及網絡拓撲圖的自動繪制，使管理員可以及時發現網絡中的更新變化；網管軟件還可以通過SNMP（簡單網絡管理協議）對網絡設備狀態及網絡流量進行監控和根據管理員設置的門限值進行自動報警。

3.2.2 對防火墻進行安全配置。防火墻可以過濾進出網絡的數據包，對檢修網絡有很好的保護作用。企業原來網絡中雖然使用了硬件防火墻和軟件防火墻，但大都采用防火墻的默認配置，沒有很好的發揮防火墻的作用，應對其進行正確的安全策略配置，最大的發揮其對網絡的保護作用。

3.2.3 增加路由器的訪問控制列表配置。路由器的訪問控制列表是網絡安全保障的第一道關卡。訪問控制列表提供了一種機制，它可以控制和過濾通過路由器接口的數據包。路由器一般都支持兩種類型的訪問控制列表：基本訪問表和擴展訪問表。基本訪問表控制基于網絡地址的信息流，且只允許過濾源地址。擴展訪問表通過網絡地址和傳輸中的數據類型進行信息流控制，允許過濾源地址、目的地址、協議類型、源端口、目的端口、建立連接的IP優先級和上層應用數據等信息。例如，某個組織可以允許或拒絕外網中的主機對網絡內部主機的訪問，或者允許內部網絡中一個或多個主機能夠將數據包發送到廣域網。

3.2.4 使用VLAN劃分。VLAN（Virtual Local Area Network）即虛擬局域網，可以將物理上互連的網絡在邏輯上劃分為多個互不相干的網絡，這些網絡之間是無法通訊的，就好像互相之間沒有連接一樣。VLAN的劃分有很多種：按照IP地址劃分、按照交換機端口劃分、按照MAC地址劃分或者按照協議來劃分，設計中使用了基于端口來劃分部門VLAN，不同的部門位于不同的VLAN，同時也實現了主機MAC地址與IP地址的綁定，防止了用戶IP地址的盜用。使用VLAN可以合理的分配網絡資源，均衡網絡負載，有效的降低網絡中的廣播信息，在增強系統網絡安全性的同時也方便了管理員對用戶的分組管理。

3.2.5 增強服務器安全性。保證服務器的安全首先要及時對服務器操作系統和應用軟件安裝漏洞補丁，對防病毒軟件的病毒庫也要及時升級，刪除系統不使用的組件和停止系統不使用的服務，關閉系統不使用的端口。對于使用IIS的WEB服務器，要對IIS的一些默認設置進行修改，如刪除INETPUB目錄下的SCRIPTS目錄，并進行一些必要的安全設置。檢修系統服務器端使用的是win2000服務器操作系統，其默認是不使用任何系統安全審核的，應在審核策略中打開相應的審核，如登錄事件、賬戶管理、目錄服務訪問、系統時間等審核。當系統被非法用戶入侵或發生問題時，可以在系統安全日志中查看相應的系統日志記錄來確定發生問題的原因。修改系統默認的系統管理員賬戶的名稱，系統管理員同時必須對服務器訪問用戶按照用戶權限進行分組，同一個用戶組中的用戶擁有相同的系統權限，對于普通的用戶組，要禁止其對系統進行操作和修改的權限：如修改系統注冊表和系統文件，新的用戶賬號只有系統管理員才能建立。

3.2.6 入侵檢測系統的使用(Intrusion Detection System)。防火墻的使用雖然可依增加網絡的安全性，但防火墻無法防止數據驅動型攻擊和企業內部的攻擊。IDS檢測的是所有針對特定服務器的操作和網絡中傳輸的數據包，因此它可以識別來自本網段、其他網段以及外部網絡的全部攻擊行為，這樣就有效的解決了防火墻在網絡安全方面的不足，同時IDS通過與防火墻的聯動，可以更有效的阻止非法入侵和破壞。

在系統網絡中由于檢修服務器的重要性，設計中使用了HIDS對檢修服務器進行檢測和保護；同時使用NIDS對網絡進行檢測和保護。HIDS主要是對特定主機進行檢測保護，HIDS運行于被檢測的主機上，其有一個完整的攻擊信息庫，其中存放著各種黑客攻擊行為的特征數據。每當用戶對服務器上的數據進行操作時，HIDS就將用戶的操作與信息庫中的數據進行匹配，一旦發現吻合，就認為此操作為黑客攻擊行為。同時信息庫的內容會不斷升級，可以保證新的黑客攻擊方法也能被及時發現。HIDS檢測的主要有系統數據包、文件、進程、系統日志等內容。NIDS主要是對網絡進行檢測，其不但能夠檢測惡意攻擊和破壞，也能夠檢測未成功的網絡攻擊企圖。

3.2.7 加強安全管理措施，保證操作系統和應用軟件能夠及時更新和安裝安全補丁；同時要加強用戶安全知識的培訓，提高用戶的安全意識，如不要輕易訪問陌生的網站，防止包含惡意代碼的網頁傳播蠕蟲病毒；提高IE瀏覽器安全級別；禁止在瀏覽器中運行ActiveX插件和JAVA腳本等代碼；不隨意查看陌生郵件，尤其是帶有附件的郵件，防治病毒利用IE和Outlook本身漏洞自動傳播和攻擊；不隨便打開未經病毒檢測的文件。

4 結束語

每個單位都有自己的業務運行模式及網絡體系結構，企業管理系統的安全設計是不能照搬的，在部署系統的安全解決方案時，一定要對企業網絡體系結構進行詳細分析，確保方案的可靠性、全面性和可擴展性。

參考文獻：

[1]王迎春，謝琳.網絡安全體系結構[M]，北京：人民郵電出版社 2005.

[2]王嘉禎.網絡安全實踐[M]，北京：機械工業出版社.2004.

[3]邱亮，孫亞剛.網絡安全工具及案例分析[M]，北京：電子工業出版社.2004.

[4]王群.Windows網絡安全配置、管理和應用實例[M]，北京：清華大學出版社.2004

[5]張兆信.計算機網絡安全與應用[M]，北京：機械工業出版社 2004

[6]李健.計算機網絡安全與加密技術[M]，北京：科學出版社2003.