浅析铁路信号微机监测系统的安全防护

1浅析铁路信号微机监测系统网络的安全防护摘要：本文对铁路信号微机监测系统的网络安全防护现状和改进方向做了简要的分析和探讨。关键词：微机监测网络安全改进方向Abstract:ThispapergivesbriefanalysisanddiscussionsecurityprotectionstatusandimprovingdirectiontorailwaysignalmicrocomputermonitoringsystemnetworkKeywords:microcomputermonitoringnetworksafetyimprovementdirection铁路信号微机监测系统是电务部门安全的“黑匣子”，是电务部门实现状态修的重要手段，铁路信号微机监测系统网络的构建，使对各种信号设备状态及性能的全天候监视成为可能，其能够方便记录有关设备的动作次数，故障次数及使用和操作过程，有利于分清故障责任，缩短故障延时，同时实现维修管理信息的共享。近年来，微机监测系统不断发展完善，功能进一步拓展。但随着互联网技术的深入发展，网络安全问题已成为微机监测系统不得不面对的新问题。由于微机监测系统在保证运输安全中无可替代的作用，必须采取有效手段防止计算机病毒的侵害，保证网络的安全可靠。1微机监测系统网络安全防护现状目前的微机监测系统一般都是三层次的网络结构，既由车站、领工区（车间）、电务段三级构成的计算机网络，电务段和领工区的管理人员可以通过微机监测网直接看到所辖各站信号设备和战场运作状况。该系统一般采用33．6kbps的音频通道构成的专用广域网或接入TMIS生产网2Mb光通道来传输数据，信息传输按TCP／IP协议进行，站机、终端机和服务器采用Windows2000／XP／2003操作系统，应用程序基于此平台进行开发。目前网络遭受病毒侵袭的主要途径有[1]：（1）维护人员日常使用移动存储设备进行维护，而移动存储设备感染病毒的几率高，在调试时计算机病毒易由此进入网络;（2）连接生产网，网络上有任何一点感染了病毒；（3）一机多用，如某台终端机既用于调看，又兼作办公机；（4）遭受恶意攻击等其他非正常选径。现阶段微机监测系统采取的网络安全防护措施有：（1）微机检测的服务器，站机、终端机，安装有MCAFEE网络版防毒软件或瑞星单机版杀毒软件，但没有建立专用的防病毒服务器，病毒库的更新不及时，单机版的软件只有维护人员到站上才能更新。2（2）要求把站机、终端机上的I／0接口，如光驱．欤驱、USB插口等用易碎标签加封，并在主板BIOS里修改相应项屏蔽设备端口，杜绝在站机、终端机上进行与业务无关的作业内容。（3）清理非法接入局域网的计算机，查清有无一机多用甚至多网的可能，并对非法接人的计算机进行屏蔽。2现有系统存在的安全问题及改进的主要参考原则随着计算机网络的日益普及和广泛使用，各种安全威胁和计算机病毒也随之而来。从现有安全设施来看，现有的微机监测网络安全系统已经不能满足需要。安全威胁主要有三个方面。一是操作系统的安全威胁：微机监测服务器，站机，终端机都采用Windows操作系统。网络上针对Windows系统产生的攻击相对较多，受到破坏的可能性就大。二是应用软件的安全威胁：设备提供商提供的应用授权版本不可能做到尽善尽美，于是出现各种各样的后门、漏洞、BUG等。三是直接或间接来自于生产网的安全威胁，这类威胁以病毒和网络攻击的方式直接作用于内部网络。现有的系统设计时仅仅考虑如何连接网络，没有考虑到网络安全的问题，只是在使用中发现问题时增加了一些安全措施。随着网络安全攻、防技术的不断发展，计算机网络都必然存在着被有意或无意攻击和破坏的风险。现有的网络安全防护系统，已经不能完全适应新技术与新应用带来的实际需求。我们在设计新的网络安全防护系统时，必须要确保数据的机密性、完整性、可用性、可控性与可审查性，可以参考并遵循以下原则。（1）体系化设计原则通过分析网络系统的层次关系．提出科学的安全体系和安全构架，从中分析出存在的各种安全风险，充分利用现有投资，并合理运用当今主流的安全防护技术和手段，最大限度地解决网络中可能存在的安全问题。（2）全局性、均衡性、综合性设计原则从网络整体建设角度出发，提供一个具有相当高度，可扩展性强的安全防护解决方案•从微机监测网络系统的实际情况看，单纯依靠一两种安全措施，并不能解决全部的安全问题。所以，应均衡考虑各种安全措施的效果，提供具有最优性价比的网络安全防护解决方案。（3）可行性、可靠性、可审查性原则可行性是设计网络安全防护方案的根本，它将直接影响到网络通信平台的畅通，可靠性是安全系统和网络通信平台正常运行的保证，可审查性是对出现的安全问题提供依据与手段。（4）分步实施原则：分级管理，分步实施33系统改进可采取的的主要措施维护管理方面我们可以做好以下几点改进：（1）微机监测增设防病毒服务器，定期升级网络中机器的病毒库，减少病毒造成系统瘫痪的可能性。（2）微机监删应增设网络安全服务器，安装防火墙，对连接在网络中的任何一台合法机器，实行统一管理，以确保网络的安全。（3）科学处理补丁和病毒的矛盾。有些补丁可能与正在运行的操作发生冲突．影响系统的稳定工作．因此每次安装补丁都需经过慎重的论征测试，应先在开发系统上测试。（4）在TMIS生产网上组建VPN，创建一个安全的私有连接。同时必须制定出缜密的安全管理政策，避免人为因素构成的安全威胁，具体工作包括：（1）根据工作的重要程度确定该系统的安全等级。（2）根据安全等级确定该系统的安全管理范围。（3）制定相应的机房出入管理制度。实行分区控制，限制工作人员出入与己无关的区域。出入管理可采用证件识别或安装自动识别登记系统，采用磁卡，身份证等手段对工作人员进行识别、登记、管理。（4）制定严格的操作规程。操作规程要根据职责分离和多人负责的原则，各负其责，不能超越自己的管辖范围。（5）制定应急措施，对工作调动或离职人员要及时调整相应授权。4可采用的网络安全新技术建立完善的微机监测系统网络安全防护系统，需要现有网络安全防护系统的基础上，充分考虑防火墙、入侵检测／防护、漏洞扫描、防病毒系统等安全机制。由于网络技术的不断飞速发展，传统的防护技术已经不能适应复杂多变的新型网络环境，必须采用安全有效的网络安全新技术才能防患于未然，提高整个微机监测网络的安全性。可采用的新型网络安全技术包括[2]：（1）链路负载均衡技术：链路负载均衡技术是建立在多链路网络结构上的一种网络流量管理技术。它针对不同链路的网络流量，通信质量以及访问路径的长短等诸多因素，对访问产生的径路流量所使用的链路进行调度和选择。可最大限度的扩展和利用链路的带宽，当某一链路发生故障中断时，可以自动将其访问流量分配给其它尚在工作的链路，避免IPS链路上的单点故障。(2)IPS入侵防御系统：网络入侵防御系统作为一种在线部署的产品，提供主动的，实时的防护，其设计目的旨在准确检测网络异常流量，自动对各类攻击性的流量，尤其是对应用层的威胁进行实时阻断，而不是简单地监测到恶意流量4的同时或之后才发出警告。IPS接到外部数据流量时，如果检测到攻击企图，就会自动将攻击包丢掉或采取措施将攻击源阻断，而不将攻击流量放进内部网络。(3)上网行为管理系统:上网行为管理系统能够提供全面的互联网控制管理，并能实现基于用户和各种网络协议的带宽控制管理。实时监控整个网络使用情况。(4)网络带宽管理系统：对整个网络状况进行细致管理，提高网络使用效率，实现对关键人员使用网络的保障，对关键应用性能的保护，对非关键应用性能的控制。可根据业务需求和应用自身需求进行带宽分配。(5)防毒墙：传统的计算机病毒防范是在需要保护的计算机内部建立反病毒系统，随着网络病毒的日益严重和各种网络威胁的侵害，需要将病毒在通过服务器后企业内部网关之前予以过滤，防毒墙就满足了这一需求。防毒墙是集成了强大的网络杀毒机制，网络层状态包过滤，敏感信息的加密传输，和详尽灵活的日志审计等多种安全技术于一身的硬件平台。在毁灭性病毒和蠕虫病毒进入网络前进行全面扫描，适用于各种复杂的网络拓扑环境。统一威胁管理设备（UTM）：是由硬件、软件和网络技术组成的具有专门用途的设备，主要提供一项或多项安全功能，其具备的基本功能包括网络防火墙、网络入侵检测、防御和网关防毒功能。UTM设备将防病毒和入侵检测功能融于防火墙之中，成为防御混合型攻击的利器。UTM设备提供综合的功能和安全性能，降低了复杂度，同时也降低了成本。确保网络安全需注意其他事项:（1）硬件保修期限：计算机设备的使用周期在铁路信号的维修规程中为故障修，因此，选择优良的国际品牌、便捷优良的售后服务是关键。（2）隔离措施：强电、雷电等冲击很容易造成硬件的损坏，除做好系统防雷外，硬件本身的每个I／O应具备光隔措施，以确保整个系统的安全。（3）系统安全：对Windows系统要及时升级，下载补丁屏蔽安全漏洞。（4）存储安全：系统维护用的移动存储器只能是专用，需要外用的存储设备只能出不能进。5结束语铁路信号微机监测系统网络的安全可靠直接关系着铁路运输的安全，关系着铁路电务部门故障检测、诊断的准确性。随着网络安全技术的不断发展完善，微机监测系统网络必将克服现有的种种缺陷和不足，最终走向成熟和完善。参考文献[1]王亚东.关于微机监测系统网络防护的探讨[J].科技咨询，2007（26）:191-192.[2]张千里，陈光英.网络安全新技术[M].北京人民邮电出版社,2003.