浅论民航山东空管分局网络安全规划方案

摘要：民航山东空管分局管理信息网主要担负山东空管分局办公自动化OA、分局新闻、BBS，软件下载，航务技保各部电子日志及能过ATM与华东空管局信息互通等工作。

关键词：计算机；网络；安全；风险；规划；双网物理隔离

中图分类号：TP393 文献标识码：A文章编号：1007-9599 (2013) 05-0000-02

作者主要负责管理信息网的日常维护和保障工作。在长期的运行维护期间，从信息网的重要性出发，在安全策略方面分别对信息网的安全威胁、加强访问安全、数据安全、网络防木马病毒的部署等进行了论述和分析，指出在网络安全上，只有合理应用现有网络安全设施，引进新的安全技术，全方位系统化的解决问题，才能系统的安全性、保密性和可靠性。

1民航山东空管分局管理信息网描述

目前民航山东空管分局管理信息网主要组网设备是神州数码系列交换机，及浪潮系列服务器。由各设备公司负责安装、调试，网络的升级、参数的配置由上海负责标准制定，山东分局技术保障部技术室负责设备的日常巡视、维护和设备故障的处理，以及中继线路的维护工作，并做好上报、配合、协作工作。目前民航山东空管分局为该网的业务主管部门。民航山东空管分局管理信息网主要担负山东空管分局办公自动化OA、分局新闻、BBS，软件下载，航务技保各部电子日志及能过ATM与华东空管局信息互通等工作。具体网络拓扑为机房中使用DCRS5950－28T三层千兆交换机替换现用的DCS－2026二层百兆交换机，作为新网络的核心交换机（一级网络）。自核心交换机连接三台DCS3600－26C千兆交换机（二级网络），分别连接分局领导、处室领导、办公室用户群（三级网络），均使用六类千兆网线及六类RJ45口。办公楼至新楼，使用千兆单模光纤，双通道捆绑方式，送至新楼一楼配线间，联至新设备DCRS－5512GC千兆交换机（二级网络），自此交换机接出三台DCS3600－26C千兆交换机（每层一台），分别连接1楼2楼用户群、3楼用户群、4楼5楼用户群（三级网络），自4楼机房光纤（光纤收发器）至南雷达头，连接一台DCS3600－26C（四级网络）。办公楼至老楼，使用新穿的新楼至办公楼24芯单模光纤，至新楼4楼后跳接至老楼，在老楼内使用雷神12芯单模光缆剩余纤接至一台DCS3600－26C千兆交换机，以连接老楼用户群（三级网络）。自此交换机光纤（光纤收发器）至雷达头，接一台DCS3600－26C（四级网络）。

2管理信息网安全威胁状况分析

计算机网络安全是指网络系统的硬、软件及系统中的数据受到保护，不受偶然或恶意的原因而遭到破坏、更改、泄露，系统连续、可靠、正常地运行，网络服务不中断。计算机和网络技术具有的复杂性和多样性，使得计算机和网络安全成为一个需要持续更新和提高的领域。目前黑客的攻击方法已超过了计算机病毒的种类，而且许多攻击都是致命的。蠕虫、后门(Back-doors)、Rootkits、DOS(DenialofServices)和Sniffer(网路监听)是大家熟悉的几种黑客攻击手段。

在网络安全未规划之前，分局管理信息网（内网）与互联网（外网）是合并一起的。这样的网络规划是极其不安全的，具体在于：

（1）信息泄露：信息泄露破坏了系统的保密性，他是指信息被透漏给非授权的实体。常见的，能够导致信息泄露的威胁有：网络监听、业务流分析、电磁、射频截获、人员的有意或无意、媒体清理、漏洞利用、授权侵犯、物理侵入、病毒、木马后门、流氓软件、网络钓鱼。（2）完整性破坏：可以通过漏洞利用、物理侵犯、授权侵犯等方式实现。（3）拒绝服务攻击：对信息或资源可以合法的访问却被非法的拒绝或者推迟与时间密切相关的操作。（4）网络滥用：合法的用户滥用网络，引入不必要的安全威胁，包括非法外联、非法内联、移动风险、设备滥用、业务滥用。（5）可能对分局管理信息网构成威胁的威胁源：1）外部原因（例如施工）造成传输链路中断，导致数据传输出错或中断；2）人为原因造成操作失误，导致数据传输出错或中断；3）不可抗力造成设备损毁，导致数据传输出错或中断；4）遭受网络攻击，导致系统配置参数改变，数据传输出错或中断；5）网络设备或节点故障，导致网络中断或广播风暴。其中，遭受网络攻击及设备故障导致传输中断，将严重影响数据传输保障。

3针对分局网络状况，采取了以下的应对措施

3.1双网物理隔离

将分局管理信息网与互联网作物理隔离措施，杜绝内外网串接的现象。网络中内网电脑只能在内网使用，部分员工需要上内部网络和外部网络，通过采购部分新机器予以解决，保证数据的绝对安全。

3.2加强外网管理

（1）加强外网的上网行为和内容安全管理

分局购买了网康NS25000设备工作在路由模式，在路由器上启用NAT（地址转换）。NAT有效地保护内部网络结构，节省了公网IP地址资源；利用时间控制机制，管理内部人员对网络的使用时间；控制对IM、P2P类应用的使用，提高单位上网带宽的利用率。

（2）全面的网络监控

由上级调拨的IPS204、SG100、及神州数码日志系统等配置的审计设备提供网络管理监控功能，可以实时地监控网络中各种数据流，以及用户在对哪些站点进行访问，还可以观察网络是否正在受到黑客的攻击。

4加强内网安全

（1）针对内网，对内网各终端用户采用MAC+IP+端口绑定规定，杜绝非法授权访问；（2）加强内部网络管理人员以及使用人员的安全意识很多计算机系统常用口令来控制对系统资源的访问。网络管理员和终端操作员根据自己的职责权限，选择不同的口令，对应用程序数据进行合法操作，防止用户越权访问数据和使用网络资源；（3）网络病毒往往令人防不胜防，尽管对网络进行网络隔离，但网络资源互防以及人为原因，病毒防治依然不可掉以轻心。因此，在内网中，我们采用适当的措施防治病毒。我在管理信息中部署了上级统一分发、集中管理的SYMANTEC网络病毒软件，并限制共享目录及读写权限的使用；限制网上软件的下载和禁用盗版软件；软盘数据和邮件先查毒后使用等等；（4）在内网中限制U盘移动硬盘等移动存储介质的使用，对于涉密U盘由分局统一编号并记录归档；（5）在技术方面对于重要数据主要采取频繁备份手段，保持每星期每服务器备份，一旦服务器出现故障，将及时恢复服务器备份；（6）对现有的日常巡视制度、值班制度以及安全管理制度等的执行情况进行检查，发现其中的管理漏洞和不足，及时进行改正；（7）提高技术人员的维护能力；（8）对于可能的威胁源，网络风暴、系统参数改变、设备本身故障等，我们采取定期维护设备，严格巡视制度，发现问题及时解决，并向上级汇报的方案。

5结语

总之，在工程完成之后，网络的安全性得到了很大的提升。随着分局业务的扩展，对于互联网的使用需求也越来越多，随之而来的是互联网上的恶意攻击和安全威胁，这无意间增加了内部网络的不安全因素。为了尽可能地利用互联网为分局服务，我们也不得不在系统安全和更大的需求之间进行取舍平衡，但是我们坚持核心的生产网络不能连接互联网，坚持双网物理隔离，确实需要上网的地方，就增加独立的外网电脑，以确保系统的安全运行。

网络信息系统的安全是一项长期的工作，需要我们不断地学习新技术、不断地积累经验，并及时付诸实施，才能确保信息系统的安全。

参考文献：

[1]谢希仁.计算机网络[M].2008.01:285－304.

[2]朱理森,张守连.计算机网络应用技术[M].2001.

[3]李涣洲.网络安全与入侵检测技术[N].2001;24(3):426—428.

推荐访问:山东 网络安全 民航 分局 空管