基于等保2.0的空管網(wǎng)絡(luò)安全域的設(shè)計(jì)

溫寧睿

摘 要：從國(guó)家的等級(jí)保障制度的要求出發(fā)，分析空管網(wǎng)絡(luò)安全的現(xiàn)狀。;按照“一個(gè)中心，三重防護(hù)”。充分考慮空管網(wǎng)絡(luò)的特點(diǎn)以及等級(jí)保護(hù)的要求。設(shè)計(jì)適用于空管網(wǎng)絡(luò)的安全域建設(shè)技術(shù)方案，指定相關(guān)的網(wǎng)絡(luò)安全保護(hù)措施。

關(guān)鍵詞：空管;網(wǎng)絡(luò)安全;等保;安全域

1空管網(wǎng)絡(luò)現(xiàn)狀

對(duì)于現(xiàn)代空管來說，空中交通管制除了傳統(tǒng)的地空甚高頻通信外，還需要很多數(shù)據(jù)協(xié)助空中交通管制員進(jìn)行指揮。這些數(shù)據(jù)涉及氣象、情報(bào)、導(dǎo)航、監(jiān)視、通信等各個(gè)專業(yè)領(lǐng)域。隨著時(shí)代的發(fā)展，管制方式逐步過渡到大中心、集中管制的形式。所需的數(shù)據(jù)從原來的模擬信號(hào)逐步變?yōu)閿?shù)字信號(hào)，傳輸網(wǎng)絡(luò)也逐漸由原來的ATM、幀中繼網(wǎng)絡(luò)變?yōu)橹髁鞯腡CP/IP網(wǎng)絡(luò)。

一個(gè)管制員要正常的指揮飛機(jī)離不開管制桌上的自動(dòng)化系統(tǒng)、內(nèi)話系統(tǒng)、管制綜合信息系統(tǒng)、綜合信息顯示系統(tǒng)。離不開里面的語音數(shù)據(jù)、雷達(dá)數(shù)據(jù)、氣象數(shù)據(jù)、情報(bào)數(shù)據(jù)、流控信息等等。這些信息均由專門的網(wǎng)絡(luò)進(jìn)行接入，由空管局自建或租用的運(yùn)營(yíng)商鏈路進(jìn)行傳輸。這些網(wǎng)絡(luò)最早由空管局內(nèi)不同的業(yè)務(wù)部門建立，按照系統(tǒng)進(jìn)行劃分。每個(gè)系統(tǒng)形成一張獨(dú)立的網(wǎng)絡(luò)。如氣象系統(tǒng)組成氣象網(wǎng)、自動(dòng)化系統(tǒng)組成自動(dòng)化網(wǎng)絡(luò)、內(nèi)話系統(tǒng)組成內(nèi)話網(wǎng)絡(luò)。這些網(wǎng)絡(luò)以信息孤島的形式存在，除了給管制員使用，基本不予其它網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)交換。數(shù)據(jù)流的去向單一、可控，對(duì)于外部網(wǎng)絡(luò)的訪問需求以及帶來的相關(guān)安全問題沒有著重考慮。

隨著網(wǎng)絡(luò)應(yīng)用的普及，管制技術(shù)也隨之升級(jí)。現(xiàn)在管制員通過綜合雷達(dá)航跡、放行時(shí)刻、航路氣象、各地機(jī)場(chǎng)流控?cái)?shù)據(jù)來得到最優(yōu)的管制策略這一切都由計(jì)算機(jī)網(wǎng)絡(luò)完成。原本分散部署的系統(tǒng)越來越趨于融合，不同系統(tǒng)之間的數(shù)據(jù)互引需求日漸增多。原本方向單一的數(shù)據(jù)流變得復(fù)雜和不可控。

面對(duì)數(shù)據(jù)互引和數(shù)據(jù)融合匯總的需求，各系統(tǒng)開始在系統(tǒng)網(wǎng)絡(luò)的邊界處部署簡(jiǎn)易防火墻，但忽略了系統(tǒng)內(nèi)部的防護(hù)需求。且在進(jìn)行數(shù)據(jù)互引時(shí)，需求零散缺乏統(tǒng)籌考慮，數(shù)據(jù)出口并不統(tǒng)一?；谏鲜龇N種情況，目前空管網(wǎng)絡(luò)呈現(xiàn)網(wǎng)絡(luò)數(shù)量多、地理位置分散、網(wǎng)絡(luò)間邊界模糊、網(wǎng)絡(luò)內(nèi)部防護(hù)能力弱、對(duì)外防護(hù)能力不足、缺乏網(wǎng)絡(luò)安全監(jiān)控手段等問題。但是這些系統(tǒng)大多為影響飛行安全的重要系統(tǒng)，系統(tǒng)內(nèi)部網(wǎng)絡(luò)復(fù)雜，各服務(wù)器、終端對(duì)操作系統(tǒng)各項(xiàng)服務(wù)的依賴性強(qiáng)，整改工作必須慎重，確保萬無一失。

2等保2.0

等級(jí)保護(hù)在網(wǎng)絡(luò)安全保障、網(wǎng)絡(luò)強(qiáng)國(guó)建設(shè)方面起著至關(guān)重要的作用。隨著信息技術(shù)的不斷發(fā)展，特別是云計(jì)算、互聯(lián)網(wǎng)等新技術(shù)的不斷涌現(xiàn)和應(yīng)用，開展等級(jí)保護(hù)工作面臨著越來越多的新情況、新問題。為了適應(yīng)新技術(shù)的發(fā)展，從2014年3月開始，由公安部牽頭組織開展了信息技術(shù)新領(lǐng)域等級(jí)保護(hù)重點(diǎn)標(biāo)準(zhǔn)申報(bào)國(guó)家標(biāo)準(zhǔn)的工作，等級(jí)保護(hù)進(jìn)入了2.0時(shí)代。[1]

相比于等保1.0，2017年6月1日通過的《中華人民共和國(guó)網(wǎng)絡(luò)安全法》將等級(jí)保護(hù)制度法制化，使得等保2.0上升為國(guó)家的法律。等保2.0涵蓋了云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)等新技術(shù)，具體對(duì)象包括大型互聯(lián)網(wǎng)企業(yè)、基礎(chǔ)網(wǎng)絡(luò)、重要信息系統(tǒng)、網(wǎng)站、大數(shù)據(jù)中心等等。每個(gè)系統(tǒng)的風(fēng)險(xiǎn)評(píng)估、安全監(jiān)測(cè)、通報(bào)預(yù)警、數(shù)據(jù)防護(hù)、災(zāi)難備份、應(yīng)急處置等方方面面都納入到等級(jí)保護(hù)制度。

根據(jù)《民用航空網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南》[2]，空管系統(tǒng)的建議分級(jí)集中在一、二、三級(jí)。根據(jù)《信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)基本要求》，以等保三級(jí)為例，相關(guān)要求如下。[3]

2.1對(duì)機(jī)房的要求，包括機(jī)房物理位置、機(jī)房?jī)?nèi)設(shè)備位置、走線。機(jī)房外門禁、人員值守等。

2.2對(duì)環(huán)境的要求，包括防雷、防靜電、溫濕度、電池防護(hù)等等、

2.3對(duì)網(wǎng)絡(luò)安全的要求，包括結(jié)構(gòu)安全、訪問控制、安全審計(jì)、邊界、入侵防范、惡意代碼防范、網(wǎng)絡(luò)設(shè)備防護(hù)、。

2.4對(duì)主機(jī)安全的要求，包括身份鑒別，訪問控制、安全審計(jì)、剩余信息保護(hù)、入侵防范、惡意代碼防范、資源控制。

2.5對(duì)應(yīng)用安全的要求，包括身份鑒別、訪問控制、安全審計(jì)、剩余信息保護(hù)、通信完整性、通信保密性、抗抵賴、軟件容錯(cuò)、資源控制。

2.6數(shù)據(jù)安全及備份恢復(fù)，包括數(shù)據(jù)完整性、數(shù)據(jù)保密性、備份和恢復(fù)。

2.7管理要求，包括安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理。

以上要求又細(xì)分很多子項(xiàng)每一項(xiàng)都由具體的要求，在就不一一贅述。對(duì)于空管網(wǎng)絡(luò)而言空管生產(chǎn)管理重要業(yè)務(wù)如自動(dòng)轉(zhuǎn)報(bào)系統(tǒng)被定位三級(jí)、空管生產(chǎn)控制、指揮調(diào)度系統(tǒng)如空中交通管制自動(dòng)化系統(tǒng)被定為三級(jí)。其余被定為一級(jí)和二級(jí)。因此空管網(wǎng)絡(luò)安全將圍繞等保一到三級(jí)的要求展開。

3空管安全域設(shè)計(jì)

等保2.0的技術(shù)標(biāo)準(zhǔn)《信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》規(guī)定定級(jí)系統(tǒng)安全保護(hù)環(huán)境由安全計(jì)算環(huán)境、安全區(qū)域邊界、安全通信網(wǎng)絡(luò)和安全管理中心[4]。參照“先定級(jí)、再分域，一個(gè)中心、三重防護(hù)”的設(shè)計(jì)思路。安全域主要滿足等保2.0對(duì)網(wǎng)絡(luò)、主機(jī)、應(yīng)用、數(shù)據(jù)安全的要求。

根據(jù)空管網(wǎng)絡(luò)的現(xiàn)狀，安全域主要作用是解決各網(wǎng)絡(luò)數(shù)據(jù)交互的安全問題，明確網(wǎng)絡(luò)邊界，提高對(duì)外的防護(hù)能力，加強(qiáng)網(wǎng)絡(luò)安全監(jiān)控。對(duì)外相當(dāng)于為空管網(wǎng)絡(luò)劃一圈強(qiáng)有力的防護(hù)圈抵御外部的惡意攻擊，同時(shí)提供可信的安全的對(duì)外鏈接通道。對(duì)內(nèi)相當(dāng)于建立了一個(gè)各子網(wǎng)的可靠的、可控的、可信的公共交換區(qū)。各子網(wǎng)復(fù)用相關(guān)的安全設(shè)備，通過安全域進(jìn)行合法的、安全的數(shù)據(jù)交換。為了實(shí)現(xiàn)這一目標(biāo)，空管安全域包含安全核心區(qū)和一級(jí)安全管理中心兩部分。

安全核心區(qū)為所有安全子域（主要涵蓋當(dāng)前局本部所有業(yè)務(wù)員子網(wǎng)）間的數(shù)據(jù)轉(zhuǎn)發(fā)提供安全防護(hù)與訪問控制，主要由分布在空管局三個(gè)主要辦公場(chǎng)所的6臺(tái)主備核心防火墻構(gòu)成。根據(jù)“先定級(jí)、再分域”的思路。核心區(qū)由被劃分為若干安全區(qū)域，如核心生產(chǎn)區(qū)、輔助生產(chǎn)區(qū)、行政管理區(qū)、邊界接入?yún)^(qū)?？展芨骶W(wǎng)絡(luò)、系統(tǒng)會(huì)根據(jù)不同的用途以及等保頂級(jí)劃如相應(yīng)的區(qū)域。各安全域內(nèi)執(zhí)行統(tǒng)一的安全標(biāo)準(zhǔn)。如轉(zhuǎn)報(bào)系統(tǒng)、自動(dòng)化系統(tǒng)將被劃入核心生產(chǎn)區(qū)，OA系統(tǒng)將被劃入行政管理區(qū)。不同系統(tǒng)之間的數(shù)據(jù)交互要求，以不同安全區(qū)域之間的交互規(guī)則為準(zhǔn)進(jìn)行。

核心防火墻上配置防病毒網(wǎng)關(guān)及病毒庫、IPS模塊及攻擊規(guī)則特征庫，支持多種單播、組播網(wǎng)絡(luò)協(xié)議，為各務(wù)系統(tǒng)提供集中的網(wǎng)絡(luò)訪問控制、IPS、防病毒等功能。

4一級(jí)安全管理中心設(shè)計(jì)

安全管理中心作為對(duì)網(wǎng)絡(luò)安全等級(jí)保護(hù)對(duì)象的安全策略及安全計(jì)算環(huán)境、安全區(qū)域邊界和安全通信網(wǎng)絡(luò)的安全機(jī)制實(shí)施統(tǒng)一管理的系統(tǒng)平臺(tái)，實(shí)現(xiàn)統(tǒng)一管理、統(tǒng)一監(jiān)控、統(tǒng)一審計(jì)、綜合分析和協(xié)同防護(hù)。等保2.0規(guī)定第二級(jí)、第三級(jí)以上的定級(jí)系統(tǒng)安全保護(hù)環(huán)境需要設(shè)置安全管理中心。主要負(fù)責(zé)系統(tǒng)的安全運(yùn)行維護(hù)管理，其邊界為安全管理中心自身區(qū)域的網(wǎng)絡(luò)邊界訪問控制設(shè)備。[5]

按照空管網(wǎng)絡(luò)、系統(tǒng)的定級(jí)情況，空管安全管理中心需滿足第三級(jí)安全管理中心要求。考慮到日后安全域?qū)U(kuò)展至各省的空管分局、站網(wǎng)絡(luò)?？展馨踩芾碇行膶⒉捎脤蛹?jí)結(jié)構(gòu)，先行在局本部建立一級(jí)安全管理中心，作為所有分局、站安全管理中心的核心。

第三級(jí)安全管理中心有系統(tǒng)管理、安全管理、審計(jì)管理、第三方插件/代理接口該協(xié)議、接口安全、身份鑒別、訪問控制、安全審計(jì)、剩余信息保護(hù)、資源控制、入侵防范、數(shù)據(jù)安全等方面的要求。

因此安全域的建設(shè)主要包括：集中日志收集與分析系統(tǒng)、網(wǎng)絡(luò)漏洞掃描系統(tǒng)、流量分析系統(tǒng)、運(yùn)維管控系統(tǒng)、VPN系統(tǒng)、態(tài)勢(shì)感知系統(tǒng)。

4.1集中日志收集與分析

全網(wǎng)日志分級(jí)部署，統(tǒng)一管理。在安全管理中心部署一級(jí)日志審計(jì)系統(tǒng)，日志審計(jì)系統(tǒng)同步于安全管理中心的三級(jí)架構(gòu)部署，相關(guān)信息逐級(jí)匯總，各級(jí)日志審計(jì)系統(tǒng)管理各自范圍內(nèi)日志，同時(shí)接受上級(jí)管理。一

4.2網(wǎng)絡(luò)漏洞掃描

在一級(jí)安全管理中心部署漏洞掃描系統(tǒng)，以本地掃描或遠(yuǎn)程掃描的方式，對(duì)重要的網(wǎng)絡(luò)設(shè)備、主機(jī)系統(tǒng)及相應(yīng)的操作系統(tǒng)、應(yīng)用系統(tǒng)等進(jìn)行全面的漏洞掃描和安全評(píng)估。通過從不同角度對(duì)網(wǎng)絡(luò)進(jìn)行掃描，可以發(fā)現(xiàn)網(wǎng)絡(luò)結(jié)構(gòu)和配置方面的漏洞，以及各個(gè)設(shè)備和系統(tǒng)的各種端口分配、提供的服務(wù)、服務(wù)軟件版本等存在的安全弱點(diǎn)。系統(tǒng)提供詳盡的掃描分析報(bào)告和漏洞修補(bǔ)建議，幫助管理員實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)，尤其是其中的重要服務(wù)器主機(jī)系統(tǒng)的安全加固，提升安全等級(jí)。

4.3流量分析

在一級(jí)安全管理中心部署流量分析系統(tǒng)，通過對(duì)各重設(shè)備進(jìn)行流量鏡像分析，實(shí)現(xiàn)對(duì)全網(wǎng)流量的實(shí)時(shí)監(jiān)控，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中存在的攻擊、異常訪問等信息。

4.4運(yùn)維管控

在一級(jí)安全管理中心安全管理中心部署堡壘機(jī)，在系統(tǒng)運(yùn)維人員和信息系統(tǒng)（網(wǎng)絡(luò)、主機(jī)、數(shù)據(jù)庫、應(yīng)用等）之間搭建一個(gè)唯一的入口和統(tǒng)一的交互的界面，針對(duì)信息系統(tǒng)中關(guān)鍵軟硬件設(shè)備運(yùn)維的行為進(jìn)行管控及審計(jì)。通過將各設(shè)備、應(yīng)用系統(tǒng)的管理接口，通過強(qiáng)制策略路由的方式，轉(zhuǎn)發(fā)至堡壘主機(jī)，從而實(shí)現(xiàn)對(duì)管理用戶的身份鑒別。通過“數(shù)字證書”認(rèn)證方式作為“用戶名+口令”驗(yàn)證身份的有效補(bǔ)充和增強(qiáng)，實(shí)現(xiàn)等級(jí)保護(hù)三級(jí)要求的雙因素身份認(rèn)證。

4.5VPN

在一級(jí)安全管理中心部署VPN系統(tǒng)（支持國(guó)密算法），對(duì)移動(dòng)辦公、遠(yuǎn)程運(yùn)維人員通過互聯(lián)網(wǎng)登錄到信息系統(tǒng)進(jìn)行的業(yè)務(wù)交互操作或遠(yuǎn)程管理操作進(jìn)行保護(hù)，保證重要、敏感信息在互聯(lián)網(wǎng)上傳輸過程中的完整性和保密性。

4.6態(tài)勢(shì)感知系統(tǒng)

態(tài)勢(shì)感知系統(tǒng)采取分級(jí)部署、統(tǒng)一管理的模式，在安全管理中心部署一級(jí)和二級(jí)態(tài)勢(shì)感知系統(tǒng)，在重要的業(yè)務(wù)子網(wǎng)可自行建設(shè)部署三級(jí)態(tài)勢(shì)感知系統(tǒng)。

態(tài)勢(shì)感知系統(tǒng)，通過對(duì)全網(wǎng)IT基礎(chǔ)資產(chǎn)信息的安全漏洞、安全隱患和安全事件的關(guān)聯(lián)分析，智能預(yù)測(cè)可能發(fā)生的安全事件，集中提供安全事件預(yù)測(cè)報(bào)警功能，及早發(fā)現(xiàn)可能發(fā)生的高危安全事件，及早預(yù)防安全事件的發(fā)生。

態(tài)勢(shì)感知整個(gè)系統(tǒng)部署三部分包括：

（1）態(tài)勢(shì)感知核心平臺(tái)：主要包括應(yīng)用服務(wù)器、基礎(chǔ)服務(wù)器;

（2）基礎(chǔ)探針：主要包括攻擊檢測(cè)探針（防火墻入侵模塊）、日志審計(jì)探針、系統(tǒng)漏洞掃描探針等;

（3）擴(kuò)展探針：主要包括終端威脅防御審計(jì)探針（終端防病毒系統(tǒng)）、WEB攻擊檢測(cè)探針（WAF）、安全威脅檢測(cè)探針（僵木蠕、APT等）、行為審計(jì)探針（網(wǎng)絡(luò)審計(jì)系統(tǒng)、數(shù)據(jù)庫審計(jì)系統(tǒng)、流量分析系統(tǒng)、日志審計(jì)、數(shù)據(jù)泄露行為審計(jì)等）。

一級(jí)安全管理中心的各系統(tǒng)由邊界防火墻、服務(wù)器資源池、各安全系統(tǒng)組成，為空管網(wǎng)絡(luò)提供管理、監(jiān)控、審計(jì)等服務(wù)。實(shí)現(xiàn)全網(wǎng)網(wǎng)絡(luò)安全信息統(tǒng)一收集、統(tǒng)一展示、實(shí)施監(jiān)控分析。

5結(jié)語

從等保2.0的要求出發(fā)，通過建立安全核心交換區(qū)和一級(jí)安全管理中心。為空管各系統(tǒng)提供符合等保要求的數(shù)據(jù)交互通道，通過安全管理中心監(jiān)控全網(wǎng)的安全信息，為各網(wǎng)絡(luò)系統(tǒng)提供統(tǒng)一的身份鑒別，訪問控制、安全審計(jì)、入侵防范等服務(wù)。各系統(tǒng)通過復(fù)用安全域的設(shè)備可以避免在網(wǎng)絡(luò)安全方面進(jìn)行重復(fù)投資，達(dá)到網(wǎng)絡(luò)安全和系統(tǒng)效益之間的平衡。統(tǒng)一的安全域管理也將改變空管網(wǎng)絡(luò)安全各自為政的局面，安全域由網(wǎng)絡(luò)安全部門統(tǒng)一管理，保證數(shù)據(jù)交互和網(wǎng)絡(luò)接入有申請(qǐng)、有審批，可追蹤。各子網(wǎng)之間邊界清晰，網(wǎng)絡(luò)整體變得更加可控。從而達(dá)到等保2.0的要求。

參考文獻(xiàn)：

[1]夏冰.網(wǎng)絡(luò)安全法和網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0[M].2017，77.

[2] MH/T 0069—2018.民用航空網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南[S].2018，5.

[3]GB/T 22239-2008.信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求[S].2008，15.

[4]GB/T 25070-2010 信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求[S].2010，2.

[5]GB/T 36958-2018 信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)安全管理中心技術(shù)要求[S].2018，2.

（中國(guó)民用航空中南地區(qū)空中交通管理局，廣東 廣州 510406）