高鐵網絡與信息安全的思考

黑龍江 宋軍

1 網絡與信息安全存在的問題

高鐵計算機網絡利用先進的網絡設備實現了計算機網絡安全縱深防御體系，采用多層防護以防范計算機網絡攻擊的威脅，其核心思想是使攻擊行為無法破壞整個信息基礎設施和應用系統?？v深防御要求通過制定綜合保護策略，全方位地防御任何可能存在的攻擊。縱深防御并不要求在網絡體系結構的每個層面實現信息保障機制，可以在適當的時候采用低級保障解決方案以便降低信息保障的代價，同時也可以在關鍵位置明智地使用高級保障解決方案?？梢哉f，我們的縱深防御體系已經極大地解決了我們網絡中的安全問題，但是由于目前網絡安全不僅僅來自于外部，內部的網絡安全也尤為突出。主要表現在以下幾個方面：

1.1 人員方面的威脅

任何技術和設備都離不開操作和使用人員，信息化也不例外。有人的地方就會存在人員方面的安全隱患。高鐵信息化也出現了很多由于人為誤操作引起的各類系統問題。這里主要是人員的技術水平還跟不上鐵路的信息化發展要求，其次也有人員素質及責任心存在問題。

1.2 操作系統存在漏洞引發安全問題

現在很多操作系統都是Unix或者windows操作系統，由于這些系統本身存在一些安全隱患和系統漏洞，這些都是黑客等實施入侵的重要目標。

1.3 網絡安全存在威脅

網絡系統由于采用TCP/IP作為主要的網絡通訊協議，由于TCP/IP是以開放性著稱的，所以現在存在很多針對它進行的網絡攻擊以及一些安全漏洞，對于病毒、黑客來說，網絡協議的開放性使信息安全威脅的風險大為增加。

1.4 數據安全的問題

高鐵信息化的數據安全十分重要，主要是與行車有關的數據。這些數據對鐵路乃至國家都非常重要。目前，還沒有對于項目范圍內的重要信息數據（比如，技術文檔、源程序、企業運行數據、電子郵件、管理文檔、商業文檔）的安全保護框架，以及承載這些數據的系統的安全保護框架進行全面的設計、評估。

2 針對信息化安全管理的解決辦法

高鐵信息安全從主動防護與被動監控、全面防護與重點防護相結合的角度出發，全面采用防火墻、防病毒、入侵檢測、主機防護在內的信息安全產品，優化網絡結構，克服平面網絡結構先天的抵御攻擊能力差、控制乏力的弱點，并采用先進的技術，加強基礎設施，形成保證網絡和信息安全的縱深防御體系。

2.1 加強人員教育和培養

針對目前從事信息專業的技術人員，鐵路局應該從人員定編、人員教育和人才培養方面加大力度。以崗定員，確保重要崗位能夠實現AB角色制度，防止“一家之言”。重要操作要有輔助人員看護。真正從人員管理方面確保操作安全。

2.2 加強技術手段，確保信息安全

2.2.1 在縱深防御體系網絡架構的基礎上加強內部網絡安全控制

根據我們目前網絡的實際情況、發展趨勢以及各系統應用的現狀，我們應該在發展中不斷完善和健全鐵路網絡安全，動態長效實施網絡安全建設，切實解決網絡安全中存在的問題，在打造世界一流鐵路的同時，打造一張可以為鐵路運輸生產服務的覆蓋全國的高效安全的鐵路計算機綜合網。我們要在現有縱深防御體系的基礎上不斷加強內部安全控制，主要解決目前網絡存在的急需解決的問題，可以從以下幾方面入手：

（1）針對計算機準入的問題，我們可以在全網絡內部署計算機安全準入系統，通過對接入計算機的系統補丁安裝情況、防病毒軟件安裝情況，是否存在安全隱患等問題進行判別，實施準入控制，對不符合規定要求的計算機實行自動隔離到指定網絡，自動升級補丁、自動清理cookie等工作，切實保障必須是完全符合要求的計算機才可以聯網鐵路網。目前主流計算機安全廠商都可以為企業量身定制準入安全控制產品。

（2）針對目前應用系統過多，開發廠商水平不同的問題，可以制定開發入網準入許可制度，軟件及系統開發廠商必須通過鐵路軟件開發準入許可，才可以為鐵路企業和單位開發相關計算機軟件產品，開發出的軟件產品要在鐵路實驗環境中進行測試，對網絡占用情況要有明確說明。只有這樣才能解決目前軟件水平高低不同對網絡影響很大的問題。同時通過“高門檻”也可以杜絕低水平軟件進入鐵路系統。

（3）繼續加強內部訪問控制系統，加強系統安全。主要考慮的問題有兩個：一是病毒對于網絡的威脅；二是對于對系統造成的破壞和侵入。病毒威脅主要解決病毒產生和病毒傳播的問題，主要是傳播問題。傳播途徑已由過去的軟盤、光盤等存儲介質變成了網絡，多數病毒不僅能夠直接感染網絡上的計算機，也能夠將自身在網絡上進行復制。同時，電子郵件、文件傳輸（FTP）以及網絡頁面中的惡意Java小程序和ActiveX控件，甚至文檔文件都能夠攜帶對網絡和系統有破壞作用的病毒。這些病毒在網絡上進行傳播和破壞的多種途徑和手段，使得網絡環境中的防病毒工作變得更加復雜，網絡防病毒工具必須能夠針對網絡中各個可能的病毒入口來進行防護。對于對系統造成的破壞和侵入而言，他們的主要目的在于竊取數據和非法修改系統，其手段之一是竊取合法用戶的口令，在合法身份的掩護下進行非法操作；其手段之二便是利用網絡操作系統的某些合法但不為系統管理員和合法用戶所熟知的操作指令。要彌補這些漏洞，我們就需要使用專門的系統風險評估工具，來幫助系統管理員找出哪些指令是不應該安裝的，哪些指令是應該縮小其用戶使用權限的。在完成了這些工作之后，操作系統自身的安全性問題將在一定程度上得到保障。

2.2.2 完善縱深防御體系網絡架構中內外網訪問控制

對于目前網絡的內外網訪問機制，由于某種原因我們沒有正式使用，但是說明我們已經認識到網絡的問題在與疏導而不是堵塞，我們只是沒有更好的手段去解決存在的問題。我們要盡快完善縱深防御體系中的內外網絡訪問控制，爭取早日解決內外網絡訪問。我們可以完善我們的“動態物理隔離系統”，加強認證機制和病毒過濾。

（1）我們可以從技術配合管理兩個方面進行解決。我們可以采用有效控制手段，通過技術手段對入網計算機進行控制，發現有外聯現象，立即聯動阻斷其網絡訪問，同時配合管理手段進行行政干預，保障第一時間杜絕“一機兩網”。對多次違反規定擅自外聯的要重點教育。

（2）內外網物理隔離也是存在“一機兩網”的深層次原因。由于現在的Internet網絡資源相對豐富，對Internet網絡的需求也十分強烈，完全的物理隔離也是暫時的方式，只能說明我們的技術手段和安全措施還不成熟，需要進一步加強。對于內外網互聯，我們應該疏導而不僅僅是堵住。只有徹底解決內外網互聯的問題，諸多問題才會迎刃而解。

3 結論

網絡與信息安全的管理和保障是一個永恒的話題，我們需要時間也需要技術，更需要管理，我們只有不斷加大投入、不斷完善和加強管理，才能動態跟隨網絡與信息安全發展趨勢，才能提升高鐵網絡與信息安全管理和保障能力，才能切實為鐵路運輸生產服務。

【1】胡華平,黃尊國,龐立會,張怡,陳海濤.網絡安全深度防御與保障體系研究[J].計算機工程與科學，Vol.24(6),2002:38-41.

【2】孫銳.信息安全原理與應用[M].北京:清華大學出版社,2003.