遠(yuǎn)程服務(wù)安全保障技術(shù)研究

季宏志，王 昆

（中國(guó)鐵路信息科技集團(tuán)有限公司，北京 100844）

隨著互聯(lián)網(wǎng)技術(shù)的發(fā)展，通過有線網(wǎng)絡(luò)和無線網(wǎng)絡(luò)，實(shí)現(xiàn)了數(shù)據(jù)遠(yuǎn)程傳輸及信息夸地域共享。IPv4到IPv6的升級(jí)使得網(wǎng)絡(luò)能夠容納更多終端，與5G等最新通信技術(shù)提供更加廣泛的信號(hào)覆蓋范圍[1-3]。從常規(guī)的數(shù)據(jù)包傳輸完成信息共享到內(nèi)容更加豐富、形式更加多樣化的用戶服務(wù)的改進(jìn)，使得應(yīng)用需求得到極大釋放。與此同時(shí)，信息技術(shù)的應(yīng)用也在不斷取得新突破，以工業(yè)產(chǎn)業(yè)信息化革命為主要特征的工業(yè)互聯(lián)網(wǎng)平臺(tái)正在進(jìn)入傳統(tǒng)行業(yè)，針對(duì)數(shù)據(jù)來源多樣化、數(shù)據(jù)屬性復(fù)雜化及數(shù)據(jù)傳輸實(shí)時(shí)化的特點(diǎn)，傳統(tǒng)通信的單一數(shù)據(jù)傳輸模式已不能滿足要求，以語音、圖像及實(shí)時(shí)視頻為代表的遠(yuǎn)程操控模式逐步受到相關(guān)企業(yè)平臺(tái)的青睞[4-6]。

安全防護(hù)是一個(gè)重要的問題，網(wǎng)絡(luò)安全已經(jīng)成為網(wǎng)絡(luò)服務(wù)中不可忽略的問題之一。安全領(lǐng)域的研究中，關(guān)于網(wǎng)絡(luò)安全的研究已經(jīng)從傳統(tǒng)的互聯(lián)網(wǎng)安全延伸到指定的網(wǎng)絡(luò)領(lǐng)域[7-10]。在遠(yuǎn)程服務(wù)上，安全防護(hù)經(jīng)歷了單一的數(shù)據(jù)加密、防火墻隔離、第二信道密碼發(fā)送到主動(dòng)發(fā)現(xiàn)威脅并進(jìn)行實(shí)時(shí)處理的階段。遠(yuǎn)程服務(wù)作為當(dāng)前網(wǎng)絡(luò)的主要應(yīng)用方式之一在各方面均有應(yīng)用，本文將針對(duì)遠(yuǎn)程服務(wù)的現(xiàn)狀進(jìn)行研究，分析其中的特點(diǎn)，并結(jié)合當(dāng)前最新研究技術(shù)和鐵路遠(yuǎn)程服務(wù)要求，探索相應(yīng)的遠(yuǎn)程服務(wù)安全保障方式。

1 遠(yuǎn)程服務(wù)現(xiàn)狀

1.1 基于VPN模式的遠(yuǎn)程服務(wù)安全保障

虛擬專用網(wǎng)（VPN，Virtual Private Network）是指采用隧道技術(shù)及加密、身份認(rèn)證等方法通過公用網(wǎng)絡(luò)建立一條臨時(shí)、安全的隧道連接。VPN 具有2個(gè)含義：

（1）虛擬是指不使用長(zhǎng)途專線建立私有數(shù)據(jù)網(wǎng)絡(luò)，而是將其建立在分布廣泛的公用網(wǎng)絡(luò)，尤其是互聯(lián)網(wǎng)上；

（2）它又是一個(gè)專網(wǎng)，能夠使每個(gè)VPN 用戶都可以基于公用網(wǎng)絡(luò)搭建一條屬于自己的、獨(dú)立有效的傳輸環(huán)境。

正是由于VPN技術(shù)自身具有的相關(guān)安全特性，使得基于互聯(lián)網(wǎng)場(chǎng)景的遠(yuǎn)程服務(wù)通常采用VPN技術(shù)實(shí)現(xiàn)其中的接入部分。

目前， VPN 技術(shù)主要有IPSecVPN和SSLVPN。因?yàn)镾SLVPN的如下特點(diǎn)，所以在互聯(lián)網(wǎng)場(chǎng)景的遠(yuǎn)程服務(wù)安全保障中使用更為廣泛。

（1）使用簡(jiǎn)便：采用SSLVPN在互聯(lián)網(wǎng)上進(jìn)行數(shù)據(jù)傳輸時(shí)，無需安裝客戶端也無需手工配置，直接使用瀏覽器即可實(shí)現(xiàn)簡(jiǎn)捷操作。

（2）安全性高：SSLVPN不僅采用隧道加密技術(shù)保證傳輸數(shù)據(jù)的安全及保密性，采用數(shù)據(jù)認(rèn)證識(shí)別技術(shù)保證數(shù)據(jù)信息的完整性和合法性，采用用戶身份驗(yàn)證技術(shù)保證連接用戶的可靠性，能夠提供端到端、用戶到資源的安全性。

（3）控制粒度細(xì)：SSLVPN的加密是在傳輸層之上，由于與應(yīng)用層協(xié)議獨(dú)立，所以更容易提供細(xì)粒度訪問控制，可以對(duì)用戶的權(quán)限、資源、服務(wù)、文件進(jìn)行更加細(xì)致的控制。

（4）系統(tǒng)整合簡(jiǎn)捷：SSLVPN與第三方認(rèn)證系統(tǒng)（如：Radius、AD、LDAP等）結(jié)合更加簡(jiǎn)易，結(jié)合數(shù)字證書、日志管理系統(tǒng)的使用及與堡壘機(jī)、防火墻等安全設(shè)備聯(lián)動(dòng)，能夠形成一個(gè)較好的遠(yuǎn)程服務(wù)安全保障環(huán)境。

（5）網(wǎng)內(nèi)控制：SSLVPN既可以允許用戶接入虛擬專網(wǎng)后繼續(xù)訪問互聯(lián)網(wǎng)服務(wù)，也能夠控制用戶與互聯(lián)網(wǎng)隔離。通過完全控制自身專有虛擬網(wǎng)絡(luò)的安全策略及網(wǎng)絡(luò)管理設(shè)置，能夠?qū)崿F(xiàn)遠(yuǎn)程服務(wù)安全保障所需的網(wǎng)絡(luò)要求。

通過以上說明可以看出，基于VPN模式的遠(yuǎn)程服務(wù)安全保障技術(shù)在數(shù)據(jù)傳輸加密、用戶認(rèn)證授權(quán)、業(yè)務(wù)訪問控制、堡壘機(jī)聯(lián)動(dòng)防控方面都有較好的能力，但同時(shí)也看到該模式下對(duì)于終端安全防控、業(yè)務(wù)數(shù)據(jù)防護(hù)及堡壘機(jī)以外的操作記錄都管控有限。

1.2 基于云桌面模式的遠(yuǎn)程服務(wù)安全保障

云桌面又稱桌面虛擬化，是一種替代傳統(tǒng)個(gè)人PC的新模式。它以云計(jì)算為基礎(chǔ)，通過采用虛擬化和加密技術(shù)實(shí)現(xiàn)各類型終端與云桌面進(jìn)行連接。云桌面模式可以將用戶的桌面環(huán)境與用戶的終端設(shè)備有效解耦分開，使用戶無論身在何處，都能夠利用身邊合規(guī)的終端設(shè)備訪問桌面環(huán)境。在內(nèi)部管理人員根據(jù)需求，對(duì)終端進(jìn)行靈活的統(tǒng)一管理、統(tǒng)一認(rèn)證，對(duì)云端資源進(jìn)行統(tǒng)一安全的保護(hù)，對(duì)云桌面所需運(yùn)維環(huán)境進(jìn)行統(tǒng)一快捷的部署管控。

基于云桌面模式的遠(yuǎn)程服務(wù)安全保障，由于該情況下前端顯示與后端服務(wù)相分離，所以顯示出如下的特點(diǎn)。

（1）數(shù)據(jù)高安全保護(hù)：由于云端數(shù)據(jù)不落地，終端只是接收和顯示相應(yīng)的圖像，所以當(dāng)運(yùn)維有外部人員協(xié)作參與時(shí)，能夠有效杜絕內(nèi)部數(shù)據(jù)被非法下載和竊取的風(fēng)險(xiǎn)。

（2）操作行為可審計(jì)：外部人員在運(yùn)維過程中的所有查詢、訪問、配置、搜索等操作均可在云桌面中進(jìn)行記錄，形成審計(jì)日志數(shù)據(jù)。

（3）云端終端統(tǒng)一管控：能夠?qū)崿F(xiàn)對(duì)桌面的統(tǒng)一管控，如軟件更新、補(bǔ)丁升級(jí)、基線部署和防毒殺毒等，通過對(duì)外部人員統(tǒng)一提供運(yùn)維桌面，避免了其自帶終端的網(wǎng)絡(luò)接入，有效地防范了第三方設(shè)備入網(wǎng)引起的安全隱患。

通過以上介紹可以看出，基于云桌面模式的遠(yuǎn)程服務(wù)安全保障技術(shù)在內(nèi)部數(shù)據(jù)保護(hù)、操作行為審計(jì)、終端環(huán)境管控、用戶認(rèn)證授權(quán)方面都有較好的能力，同時(shí)可與VPN模式結(jié)合，發(fā)揮更好的效果。

1.3 基于企業(yè)移動(dòng)管理模式的遠(yuǎn)程服務(wù)安全保障

企業(yè)移動(dòng)管理（EMM，Enterprise Mobility Management）是指通過移動(dòng)信息化管理技術(shù)和手段，針對(duì)企業(yè)移動(dòng)信息化建設(shè)過程涉及到的內(nèi)部移動(dòng)設(shè)備、應(yīng)用和信息等內(nèi)容提供信息化管理及安全保障的解決能力。用戶通過對(duì)智能終端進(jìn)行注冊(cè)、配置EMM管理網(wǎng)關(guān)等相應(yīng)操作，最終達(dá)到移動(dòng)設(shè)備、用戶、應(yīng)用以及內(nèi)容的管理功能，實(shí)現(xiàn)對(duì)用戶從人員、設(shè)備到應(yīng)用、內(nèi)容的全面管控。

基于EMM模式的遠(yuǎn)程服務(wù)安全保障，由于面對(duì)移動(dòng)無線場(chǎng)景的管理，所以體顯出如下的特點(diǎn)。

（1）移動(dòng)設(shè)備管理：能夠?qū)σ苿?dòng)設(shè)備進(jìn)行統(tǒng)一管理。實(shí)現(xiàn)對(duì)移動(dòng)設(shè)備操作、啟用、運(yùn)維、鎖屏、位置分析等功能?？梢赃h(yuǎn)程查看移動(dòng)設(shè)備的程序安裝列表、硬件配置、使用情況等狀態(tài)。

（2）移動(dòng)應(yīng)用管理：針對(duì)單位內(nèi)部App能夠?qū)崿F(xiàn)內(nèi)審渠道發(fā)布，提供必要的安全保障，結(jié)合應(yīng)用策略，能夠?qū)h(yuǎn)端移動(dòng)設(shè)備的應(yīng)用進(jìn)行應(yīng)用身份驗(yàn)證、應(yīng)用功能限制、黑白名單、遠(yuǎn)程強(qiáng)制安裝、應(yīng)用卸載與關(guān)閉等管理。

（3）移動(dòng)內(nèi)容管理：能夠保障企業(yè)移動(dòng)數(shù)據(jù)的安全，防止企業(yè)敏感信息泄露。如發(fā)生設(shè)備丟失、被盜等情況，還可以通過管理后臺(tái)對(duì)設(shè)備進(jìn)行遠(yuǎn)程擦除操作。

（4）用戶行為管理：能夠追溯用戶操作行為，對(duì)行為進(jìn)行記錄實(shí)現(xiàn)審計(jì)。

通過以上介紹可以看出，基于EMM模式的遠(yuǎn)程服務(wù)安全保障技術(shù)，針對(duì)移動(dòng)場(chǎng)景，在設(shè)備管理、人員管理、應(yīng)用管理和內(nèi)容管理等方面都有較好的防控思路，適合移動(dòng)環(huán)境下的遠(yuǎn)程服務(wù)支持。

1.4 遠(yuǎn)程服務(wù)安全保障對(duì)比

遠(yuǎn)程服務(wù)模式對(duì)比，如表1所示。

表1 遠(yuǎn)程服務(wù)模式對(duì)比

2 鐵路行業(yè)遠(yuǎn)程服務(wù)安全保障研究

2.1 鐵路行業(yè)遠(yuǎn)程服務(wù)安全需求分析

作為國(guó)家運(yùn)輸動(dòng)脈的鐵路行業(yè)，在業(yè)務(wù)上具有路線覆蓋范圍廣、控制系統(tǒng)分散、協(xié)同性要求高等特點(diǎn)。針對(duì)這些特點(diǎn)，在鐵路系統(tǒng)遠(yuǎn)程服務(wù)過程中，需要滿足用戶身份安全、系統(tǒng)性能正常、數(shù)據(jù)傳輸保密、行為可審計(jì)等要求。此外，由于設(shè)備的不斷升級(jí)換代，在不同場(chǎng)所、不同設(shè)備接口標(biāo)準(zhǔn)下需要進(jìn)行數(shù)據(jù)共享以及功能聯(lián)調(diào)，在移動(dòng)管理以及安全粒度控制上需要靈活設(shè)置。結(jié)合鐵路行業(yè)遠(yuǎn)程服務(wù)的安全需求及當(dāng)前遠(yuǎn)程服務(wù)模式，在面對(duì)鐵路信息化基礎(chǔ)環(huán)境及平臺(tái)的遠(yuǎn)程服務(wù)安全保障時(shí)，對(duì)不同的場(chǎng)景應(yīng)根據(jù)實(shí)際需求和條件，分別考慮3種模式或?qū)?種模式進(jìn)行組合考慮，VPN模式和云桌面模式可以相互結(jié)合優(yōu)勢(shì)互補(bǔ)，使1+1組合后的整體能力能夠更加有效地提供遠(yuǎn)程服務(wù)安全保障。

2.2 零信任網(wǎng)絡(luò)

零信任網(wǎng)絡(luò)是安全防控新策略，其防控思路于2010年初次提出。主要是面向網(wǎng)絡(luò)安全防控中由于防控界限模糊而導(dǎo)致的部分安全功能削弱提出的解決方案[11-13]。當(dāng)前遠(yuǎn)程服務(wù)正在企業(yè)中不斷推進(jìn)，對(duì)于企業(yè)云端與終端之間的安全鏈接、用戶終端位置頻繁發(fā)生變化的情況，以邊界安全防護(hù)為主的策略已經(jīng)不能適應(yīng)安全防控要求。零信任網(wǎng)絡(luò)是基于外部信息不能自動(dòng)信任的思想而組建的網(wǎng)絡(luò)，對(duì)于網(wǎng)絡(luò)中終端、設(shè)備、網(wǎng)關(guān)等參與網(wǎng)絡(luò)傳輸行為的基本單元，其行為或介入目標(biāo)沒有清楚之前，均認(rèn)為是可疑對(duì)象，需要進(jìn)行訪問權(quán)限檢測(cè)與確認(rèn)。從結(jié)構(gòu)上劃分，零信任網(wǎng)絡(luò)可以分為不可信任區(qū)、零信任檢測(cè)區(qū)和數(shù)據(jù)服務(wù)資源區(qū)，如圖1所示。圖中，不可信任區(qū)主要包括外來請(qǐng)求接入的用戶或?qū)傩晕粗脑O(shè)備；零信任檢測(cè)區(qū)是安全檢測(cè)與安全授權(quán)的關(guān)鍵部分，包含特定的算法與策略；數(shù)據(jù)服務(wù)資源區(qū)是目標(biāo)訪問區(qū)域，包括云端、系統(tǒng)服務(wù)等。

圖1 零信任網(wǎng)絡(luò)結(jié)構(gòu)

2.3 零信任策略下遠(yuǎn)程服務(wù)安全保障策略

本文通過分析當(dāng)前遠(yuǎn)程服務(wù)模式與鐵路遠(yuǎn)程服務(wù)的安全需求，鑒于零信任策略防護(hù)思路，提出考慮零信任策略的鐵路行業(yè)遠(yuǎn)程服務(wù)安全保障策略。在實(shí)施遠(yuǎn)程服務(wù)中，由于鐵路行業(yè)設(shè)備接入數(shù)量多、分布廣、隨機(jī)性較大的特點(diǎn)，移動(dòng)性強(qiáng)、系統(tǒng)版本多樣化的設(shè)備和終端在進(jìn)行遠(yuǎn)程服務(wù)中需要進(jìn)行零信任檢查。本文提出的策略從遠(yuǎn)程服務(wù)提出開始，經(jīng)歷了零信任檢查與遠(yuǎn)程服務(wù)模式推薦等過程，如圖2所示。

圖2 零信任策略下鐵路遠(yuǎn)程服務(wù)安全保障流程

圖2中，零信任檢查遠(yuǎn)程服務(wù)請(qǐng)求的屬性，分析其身份、進(jìn)行驗(yàn)證并授予最小權(quán)限，同時(shí)，結(jié)合當(dāng)前遠(yuǎn)程服務(wù)需要重點(diǎn)防護(hù)的環(huán)節(jié)和特點(diǎn)等，根據(jù)鐵路行業(yè)網(wǎng)絡(luò)分布分為內(nèi)網(wǎng)請(qǐng)求、外網(wǎng)請(qǐng)求、專網(wǎng)請(qǐng)求和其他請(qǐng)求的情況，選擇相應(yīng)的遠(yuǎn)程服務(wù)模式或多個(gè)模式的組合。

3 結(jié)束語

遠(yuǎn)程服務(wù)是當(dāng)前網(wǎng)絡(luò)服務(wù)的重要環(huán)節(jié)之一，安全保障是遠(yuǎn)程服務(wù)的基礎(chǔ)。本文根據(jù)鐵路網(wǎng)絡(luò)遠(yuǎn)程服務(wù)的特點(diǎn)及要求，結(jié)合當(dāng)前遠(yuǎn)程服務(wù)模式及安全防護(hù)最新進(jìn)展，研究了零信任網(wǎng)絡(luò)下鐵路行業(yè)遠(yuǎn)程服務(wù)安全保障技術(shù)，可為今后鐵路相關(guān)服務(wù)的安全保障提供有益的參考。