铁路应急平台网络安全解决方案final.doc

1、铁路应急平台网络安全解决方案摘 要：本文首先阐述了当前铁路应急平台网络现状，接着提出铁路应急平台网络的体系结构，在此基础上分析了铁路应急平台网络安全需求和安全目标，最后有针对性的给出了网络解决方案，确保网络信息的安全传输以及系统的稳定运行。关键字：铁路应急平台；网络安全；VPN；安全隔离THE Network Security Solution of Railway Emergency PlatformLiuyangxue, liping,WangfuzhangCHINA ACADEMY OF RAILWAY SCIENCES，BeiJing，100081Abstract: Firstly,

2、this paper described the currently network status of the Railway Emergency Platform (REP), and then the network structure of REP is put forward. On the basis of analyzing the security object of REP, and finally the network solutions are given to ensure that the transmitted information is secure and

3、system runs well.Keywords: Railway Emergency Platform; Network Security; Virture Private Network; Security Isolation引言随着通信网络的快速发展和社会信息化进程的加快，也促使铁路信息化得到很大程度的推进。但由于计算机网络具有连接形式多样性、终端分布不均匀性和网络的开放性、互连性等特征，致使网络易受黑客、恶意软件和其他不轨行为的攻击。铁路应急平台通信网的安全危及到乘客的生命安全以及国家财产的严重损失，因此要求网络具有较高的安全性。应根据应急平台网络和系统的实际情况提出完善解决方案、实

4、施先进的安全技术、构建有效的安全防护系统，这样才能确保网络信息的保密性、完整性和可用性以及应用系统的正常运行。1铁路应急通信网络概况铁路应急平台通信网络是保证事发现场的视频、图像、语音、传真、数据等信息能够实时、准确、安全地上传到铁道部及各铁路局应急指挥中心的基础。铁路应急平台通信网络从层次化结构上分为传输网和接入网两部分。传输网包括以下几部分：（1）铁道部应急平台与各铁路局（公司）应急平台之间的传输通道；（2）铁道部/铁路局应急平台与应急接入系统之间的传输通道；（3）铁道部/铁道局应急平台与铁路相关的业务应用系统之间的传输通道；（4）各铁路局（公司）应急平台与省、市自治区之间的传输通道；（5

5、）铁道部应急平台与国家应急平台之间的传输通道；（6）铁路局与站段之间的传输通道。应急接入网是解决应急现场“最后1km”的通信接入问题。把应急现场采集的各种音频、视频和数据信号，根据现场的不同情况，通过有线或无线的方式将信息传送到邻近车站、区间接入点、铁路局、铁道部。铁路应急平台遵循横向到边，纵向到底的原则。铁道部应急平台横向连接铁道部相关信息系统和国务院应急平台；铁路局应急平台横向连接地方政府应急平台和路局相关信息系统。铁道部应急平台纵向贯通铁道部、铁路局和站段现场三级平台。根据应急平台的部署结构，铁路应急平台网络总体结构如图1-1 所示。图1-1 铁路应急平台网络总体结构2铁路应急通信网络安

6、全分析2.1铁路应急通信网络安全需求分析铁路应急平台网络安全主要从以下三方面考虑：（1）铁路应急通信网络连接铁道部、路局和站段是利用铁路综合业务网，虽然铁路综合业务网是由铁通集团有限公司提供的专线连接而成，但是铁通集团有限公司是一个面向市场的提供社会化电信服务的供应商，所以，不可能不考虑到数据在共用线路上传输时的保密性问题。（2）从铁路应急平台网络总体结构图1-1中可以看出：铁路应急平台和国家应急平台以及地方政府应急平台之间必要时，要进行视频、图像、数据等信息的交互，相互之间通信连接的安全性至关重要。（3）考虑到出现事故地点的随机性，可能并不在站段，现有站段网络并不能覆盖到事故地点，而且对于灾

7、难性事故导致有线网络都不能正常运行，因此大多数情况下需要无线通信方式进行通信。通常采用卫星网络、中国移动无线网络、中国联通无线网络等方式进行数据通信，各网络之间的连接要采取严格的安全措施。2.2铁路应急平台网络安全要求及目标铁路应急平台系统安全建设总体目标是：遵照国家相关标准，尤其是着重加强网络安全和应用系统安全建设，针对可能遇到的各种安全威胁和风险，采取行之有效的安全措施，保证信息在传输中的保密性，以及网络终端和用户终端的安全性。铁路应急平台网络安全的具体目标如下：（1）要求传输通道的保密铁路应急平台中存储、处理和传输大量敏感与涉密信息，一旦出现安全问题，信息泄漏或丢失，将带来不可估量的影响

8、。因此，确保其中信息的保密性、可用性与完整性，是应急指挥中心建设的一项重要组成部分。（2）确保互连接口处的网络访问控制铁路应急平台通信网络与其它系统之间的网络通过防火墙进行网络隔离与网络访问控制。此外，在各系统之间进行信息交换时，还应进行高强度的网络访问控制，严格限制用户的访问资源范围。（3）加强对重要信息数据及其相关重点服务器的保护在物理环境安全、安全运营管理和数据安全保密等方面采取有效的技术手段，保证重要信息的安全。如在关键的服务器上配备主机入侵检测系统、主机脆弱性扫描系统、设置合理的备份和恢复系统、以及完善的机房监控和管理系统等。（4）建立网络安全评估体系采用网络安全分析系统，通过入侵检

9、测系统实时监控网络的非法入侵，并定期评估网络的安全性，以便及时发现网络或系统漏洞进行修补，及时进行优化并制订提高网络安全强度的策略，来降低安全风险。（5）网络防病毒采用网络防病毒系统与单机防病毒软件相结合的方式，构建起一套完整的防病毒体系，确保系统的稳定性和安全性，免受病毒的侵入；同时也保证重要数据的保密性，免遭黑客以及不法人员的窃取。（6）完善安全管理机制建立完善的安全管理机构及安全管理制度，实现安全管理培训制度化，制定有效措施保证系统安全措施的执行，强化安全管理。3铁路应急通信网络安全解决方案3.1广域网安全解决方案针对铁道部、铁路局、站段以及事件现场间的远程数据传送，需要确保数据在网络中

10、的完整性、保密性和可用性。要确保信息的安全，就要保证信息通道的安全。目前比较可靠的方法就是采用VPN（VPN，Virtual Private Network）技术，即利用公共网络来构建的专用网络称为虚拟专用网络，它通过强密码认证和数据加密在公用网络上建立安全的通信通道。图1-2是铁路应急平台广域网安全建设方案示意图。图3-1 铁路应急平台广域网安全建设方案方案中，用IPSec VPN对传输数据进行加密；对于跨越异构网络的通信，需要结合GRE VPN技术对数据进行加密；而对于移动性较强的用户，需要用SSL VPN进行加密，SSL VPN具有针对每个用户细分权限和避免安装客户端的特点。此外，在保证

11、连通性、安全性的前提下，要确保稳定性和易管理性。为了减少设备单点故障率，应该采用集成防火墙、IPSec VPN、GRE VPN、SSL VPN技术为一体的设备。3.2网络互连解决方案在保证了信息在传输过程中的安全后，如何保证内外网互连的安全性，这也关乎到局域网的安全。铁路应急平台通信网络需要和电子政务网、卫星网络、互联网以及移动联通网络有互连的需求，因为要进行视频、图像、数据等信息的交互。本方案将采用安全隔离交换技术保障互连安全。安全隔离信息交换系统（安全隔离网闸）利用双主机形式，从物理上来隔离阻断潜在攻击的连接。其中包括一系列的阻断特征，如没有通信连接，没有命令，没有协议，没有TCP/IP连

12、接，没有应用连接，没有包转发，只有文件“摆渡”，对固态介质只有读和写两个命令。其结果是无法攻击，无法入侵，无法破坏。安全隔离交换系统对数据在应用层细粒度安全过滤后，以专有协议方式在安全隔离网闸内摆渡，彻底切断了不同安全级别网络间的任何连接，实现了高安全的隔离和实时的信息交换。安全隔离网闸将内外网隔离，即使在外网最坏的情况下，内网不会有任何破坏。安全隔离信息交换解决方案示意图如图3-2。图3-2 隔离信息交换解决方案示意图如内外网要进行数据交换的通畅，在外网接入端也要加强防护。根据要求，这里采用防火墙设备和入侵抵御设备（IPS）共同部署完成连接外网的安全保护。防火墙进行24层保护；IPS进行47

13、层深度防御，并且集成了病毒库、协议库和补丁库，在防范漏洞攻击、木马入侵、DDoS攻击的同时，防止蠕虫、病毒等侵袭，确保将各种威胁拒之于门外。3.3局域网安全解决方案广域网的安全传输保证了信息在传输过程中的安全保密，对于局域网的安全也至关重要。局域网的安全就是保证局域网中网络终端的安全。局域网的安全主要是保证应急平台服务器、应用系统以及用户终端的安全。因此，我们必须对内网终端主机进行集中的安全保护、监控、审计和管理，可自动向终端计算机分发系统补丁，禁止重要信息通过外设和端口泄露，防止终端计算机非法外联，防范非法设备接入内网，有效地管理终端。图3-3 应急平台局域网安全方案示意图在图3-3中，首先

14、在安全网关中设置访问控制，拒非法用户于门外。然后对平台数据库以及服务器进行漏洞扫描和安全审计，同时，安全管理服务系统做到及时的对相应服务器和终端进行补丁升级以及病毒库升级。这样从全面角度进行防护，使得应急平台可以稳定的运行。4小结本文根据铁路应急平台通信网络现状以及相应业务的需求，提出了针对广域网传输的安全方案、内外网互连的安全保障方案以及局域网内部安全方案。广域网传输的安全方案中针对多种网络环境，论文中采用VPN技术。VPN主要采用隧道技术、加解密技术、密钥管理技术、身份认证技术四项技术来保证数据通信的高度安全。目前技术成熟，已广泛应用于各行业。内外网互连的安全方案中采用安全隔离交换技术保障

15、互连安全。目前，安全隔离交换技术已经比较成熟，铁道部的外部服务网、内部服务网和生产网就是利用安全隔离交换技术解决三网之间的信息交互问题。局域网内部安全也是非常重要的，因为大部分安全问题都出现在局域网。实施先进成熟的安全技术以及合理安全管理来保证内网安全。同时，要做好系统的备份以及恢复措施以保证系统稳定可靠性。以上三个方案涵盖外网、内网和网络边界的安全解决方案，这样全方位地系统地实施方案才能确保网络信息的保密性以及应急平台的正常运行。参考文献1.谢希仁.计算机网络教程.北京：人民邮电出版社，20022.邓亚平.计算机网络安全.北京：人民邮电出版社，20043.赵小林.网路安全技术教程.北京：国防工业出版社，20064.Merike Kaeo. Designing Network Security.网络安全性设计.北京：人民邮电出版社,20015.楚狂等.网络安全与防火墙技术.北京：人民邮电出版社，2000作者基本情况表姓名刘阳学性别男职称研实员工作单位中国铁道科学研究院电子计算技术研究所职务工程师联系电话13426381580（固定电话请注明本地区号）传真通信地址北京市海淀区大柳树路2号邮编100081EmailLiuyangxue