论文部分内容阅读
摘 要：随着空管信息化建设的不断深入，运维人员维护的设备也随之增加，在以往的项目建设中，网络安全方面的设计仅针对于防护外部攻击，对内部网络安全并无涉及。国家网络安全相关部门发布的报告显示，超过70%的网络安全威胁源于内部。公安部在《信息系统安全等级保护基本要求》中明确要求，对于重要信息系统网络安全、主机安全、应用安全均要求具备安全审计功能。今年，民航系统对其下属单位的网络安全问题也尤为重视，就在前不久，由民航局空管局网信办、民航大学等多家部门就对我局核心信息系统进行了网络安全评估工作，在提出的整改意见中，其中一条就是对设备维护行为采取行之有效的安全审计。基于以上情况，本文探讨了运用堡垒主机提高空管系统网络安全的理念。
关键词：堡垒主机;空中交通管制;网络安全
中图分类号：TP309 文献标识码：A 文章编号：2096-4706（2019）08-0149-03
Abstract：With the deepening of the construction of air traffic control informatization，the equipment maintained by operation and maintenance personnel has also increased. In the past project construction，the design of network security only aims at protecting external attacks，but does not involve the internal network security. The report issued by the relevant departments of national network security shows that more than 70% of network security threats originate from inside. In the Basic Requirements of Information System Security Grade Protection，the Ministry of Public Security clearly requires that the security auditing function be provided for the network security，host security and application security of important information systems. This year，the Civil Aviation System attaches great importance to the network security of its subordinate units. Just recently，many departments，such as the Network Communications Office of the Air Administration of Civil Aviation Administration and the Civil Aviation University，have carried out network security assessment on the core information system of the Civil Aviation Bureau. Among the suggestions for improvement，one of them is to take effective safety audits on equipment maintenance behavior. Based on the above situation，this paper discusses the idea of using the bastion host to improve the network security of air traffic control system.
Keywords：bastion host;air traffic control;network security
0 引 言
随着国民经济的持续增长，民航市场的需求不断扩大，航班流量始终保持高速增长，管制业务自动化控制需求也在不断增加。为了保障管制业务的安全、高效运行，空管系统不断推进信息化建设工作，大量新建业务系统投入生产。这些系统的增加，不仅给技术保障部门带来维护压力，也使得信息网络安全问题越来越突出。
目前，在空管系统项目建设时，在网络安全方面安装了大量的网络防护设备，形成了一套较为完善的信息安全防护体系，但网络安全故障仍时有发生。令人惊奇的是，造成这些不合规行为的操作很多来源于内部用户。防火墙及入侵检测设备虽可解决一部分安全问题，但对于内部人员违规操作致使数据被删除、破坏等影响飞行安全的行为，却无能为力。
大部分网络安全威胁源于内部，由于这些内部人员采用不恰当的网络访问行为，最终造成数据破坏、泄露的现象发生，其带来的损失远远超过外部攻击。在空管行业中，技术保障部门的运维人员通常具有较高的系统权限，有时部分技术难度较高的问题还需要厂家进行协助解决，在这种情况下，对运维人员的操作行为进行审计变得更加重要。
1 空管运维现状带来的网络风险
1.1 密码单一，易于破解
在空管系统的各级文件中均有对密码管理的相關要求，按照制度要求，不同使用者要根据各自的需求和权限设置不同的安全密码，设置密码时要尽量避开有规律、易破解的弱口令密码，区分系统级密码及用户级密码。但是在实际生产中，每个技术保障部门通常要维护多套系统，各个系统中又包含数量不等的服务器、数据库及交换机等网络设备，若按照制度要求分别设置不同设备、不同权限的强口令密码，则密码维护便成为了很大负担。目前，大多数维护部门对所辖设备设置的密码都比较简单，一旦受到攻击，则比较容易被攻破。 1.2 账号共享，责任难溯
空管技术保障部门采用7*24小时的值班制度，这就意味着一个班组乃至一个科室的技术人员均维护相同的系统设备，当他们进行日常维护或系统检查时，通常习惯使用同一个管理员账号进行登录，一旦出现操作失误对系统造成影响，则很难进行责任认定。除此之外，大部分技术保障部门还与第三方厂家签订了维保协议，厂家进行设备操作时也会使用管理员的账号进行登陆，若我方陪同人员疏于监管，厂家工程师在使用时“有心”做出破坏系统正常运行的操作，则造成的损失将不可估量。
1.3 缺失审计，无法满足等保要求
已投入生产的大部分系统在设计之初并没有考虑到对运维人員操作的审计功能，在系统上线以后，虽然许多维护部门为了便于定位故障开启了操作系统及应用软件自带的日志功能，但由于这些功能较为简单，只能记录部分重要操作，难以实现针对运维人员全部操作的完整、全面、规范的审计。
2 堡垒主机在空管网络安全中的应用
运维审计是系统安全审计中的一部分，主要是对运维人员在信息系统内的维护行为进行全面监控，通过完整的记录运维人员的操作命令以及系统资源的各项状态，来识别系统安全威胁事件，从而做到事前对运维人员恶意操作的震慑作用，以及为事后追究安全责任提供可寻依据，堡垒主机就是这样一种运维审计系统。
2.1 堡垒主机概述
堡垒主机可以通过账户管理、授权管理和综合审计等功能，完成集中认证和运维审计的目的。对于运维人员来说，堡垒主机就是一台到达目标设备的代理服务器，通过堡垒主机的代理，运维人员无需知道目标设备的密码即可对其进行维护，它不仅使运维人员对设备资源的访问更加细化，减少了因过度访问而带来的操作风险，而且也为设备资源运维人员的管理和审计操作行为提供了监测和审计的依据，并对非法行为实行报警、阻断。通过堡垒主机可以有效地提高维护人员完成维护操作的效率，提高操作安全性，还可以做到对不同角色的维护人员和可用资源的集中管理。
2.2 堡垒主机的部署方式及工作原理
堡垒主机可在不改变原有网络结构的情况下进行旁路部署，它只需一个能够到达目标网络的IP地址，即可实现服务代理功能。运维人员日常工作时使用的Telent、SSH等协议均可通过堡垒主机进行转发，而正常的应用软件对服务器、数据库的请求则不通过堡垒主机。因此，使用堡垒主机并不会影响正常的业务访问速度。有人将堡垒主机形象的比喻为进出核心系统的“大门”和“翻译”，只有经过堡垒主机认定的人员、角色及操作，才可作用于最终的目标资源上。堡垒主机部署示意图如图1所示。
首先，运维人员在维护终端上连接到堡垒主机，然后向堡垒主机发送操作请求，堡垒主机完成该名运维人员的角色及权限认定后，其应用代理模块代替运维人员连接到目标设备完成相应操作，最终将执行结果展示给维护人员。堡垒主机工作原理示意图如图2所示。
通过这种方式，建立了运维人员到堡垒主机再到目标设备的管理模式，从而将运维人员与目标设备有效隔离开来，在解决了操作权限控制和行为审计问题的同时，也解决了加密协议和图形协议等无法还原进行审计的问题。
2.3 堡垒主机的功能及解决的问题
2.3.1 构建操作管理统一平台
依托堡垒主机划分不同维护人员角色，详细区分局内技术保障人员、第三方厂商人员以及审计人员的维护范围及操作权限。每名维护人员均可从堡垒主机中获得维护账户，该账户不是实际生产系统的管理账户，而是与生产系统相关联。这样，维护人员就不必知道生产系统的实际账户了，便可根据分配的权限进行系统维护。
为了实现对权限管理更深入的控制，最大限度地提高业务系统资源的安全性，堡垒主机可以分别对角色、用户、行为和相关资源进行授权。如可进行角色与资源对应关系的粗粒度授权，也可限制角色行为在应用层面的细粒度授权。
以往运维人员要维护多套生产系统设备时，需要记忆并依次登录输入维护设备的IP地址及密码，重复性操作较多，还有可能出现记忆不清的时候。堡垒主机的单点集中维护功能便解决了维护人员这个难题，它提供了统一的访问途经。当维护人员通过堡垒主机的认证之后，便可对权限范围内的所有资源进行维护。这使得运维人员不再需要频繁登录各项系统，提高了运维人员维护效率。
堡垒主机的操作审计功能，可以通过录屏和记录字符型操作日志等形式，记录运维人员维护全过程，它不仅可以帮助管理人员及时发现权限滥用、违规操作行为，还能为最终的责任认定提供依据。
利用堡垒主机提供的平台，实现了不同角色维护设备时的统一认证、统一授权、统一审计功能。
2.3.2 实现管理流程规范化愿景
堡垒主机从人的管理、操作的管理、设备的管理三个维度，实现了空管运维管理流程规范化的愿景。在人的管理方面，它可通过角色划分、账号管理、密码管理、权限管理以及访问控制这五大方面限制维护人员的操作范围。对操作过程的全程监控、过程审计，使得维护人员更加小心自己的维护行为。自动定期修改设备密码功能，不仅增强了设备的安全等级，还轻松实现了密码管理的相关要求。
3 结 论
堡垒主机有效地规范了内外部信息管理维护人员的维护行为，弥补了对服务器等重要设施的维护行为的控制，填补了审计的空白，强化了信息安全保护体系，有利于信息系统更好地运行，有利于保证企业运行的连续性和安全性，极大地减少了对信息化设施的误操作和恶意操作的概率，使基础设施维护行为的审计能力从无到有，节省了大量人力物力，缩短了故障和安全事件的定位时间，大大地提高了信息系统运行维护能力和效率。
参考文献：
[1] 张笑笑，邹春明，顾健.堡垒机在信息系统中的应用 [A].第二届全国信息安全等级保护技术大会.第二届全国信息安全等级保护技术大会会议论文集 [C].中国安徽合肥：公安部第三研究所，2013：207-209.
[2] 王栋，来风刚，李静.数据中心IT运维审计体系研究 [J].电力信息化，2012，10（1）：20-23.
[3] 戴莹.浅谈如何运用堡垒机系统解决单位信息管理内控风险 [J].网络安全技术与应用，2015（8）：53-54.
作者简介：廉文超（1986.12-），女，汉族，天津人，工程师，本科，主要研究方向：民航平面通信。
关键词：堡垒主机;空中交通管制;网络安全
中图分类号：TP309 文献标识码：A 文章编号：2096-4706（2019）08-0149-03
Abstract：With the deepening of the construction of air traffic control informatization，the equipment maintained by operation and maintenance personnel has also increased. In the past project construction，the design of network security only aims at protecting external attacks，but does not involve the internal network security. The report issued by the relevant departments of national network security shows that more than 70% of network security threats originate from inside. In the Basic Requirements of Information System Security Grade Protection，the Ministry of Public Security clearly requires that the security auditing function be provided for the network security，host security and application security of important information systems. This year，the Civil Aviation System attaches great importance to the network security of its subordinate units. Just recently，many departments，such as the Network Communications Office of the Air Administration of Civil Aviation Administration and the Civil Aviation University，have carried out network security assessment on the core information system of the Civil Aviation Bureau. Among the suggestions for improvement，one of them is to take effective safety audits on equipment maintenance behavior. Based on the above situation，this paper discusses the idea of using the bastion host to improve the network security of air traffic control system.
Keywords：bastion host;air traffic control;network security
0 引 言
随着国民经济的持续增长，民航市场的需求不断扩大，航班流量始终保持高速增长，管制业务自动化控制需求也在不断增加。为了保障管制业务的安全、高效运行，空管系统不断推进信息化建设工作，大量新建业务系统投入生产。这些系统的增加，不仅给技术保障部门带来维护压力，也使得信息网络安全问题越来越突出。
目前，在空管系统项目建设时，在网络安全方面安装了大量的网络防护设备，形成了一套较为完善的信息安全防护体系，但网络安全故障仍时有发生。令人惊奇的是，造成这些不合规行为的操作很多来源于内部用户。防火墙及入侵检测设备虽可解决一部分安全问题，但对于内部人员违规操作致使数据被删除、破坏等影响飞行安全的行为，却无能为力。
大部分网络安全威胁源于内部，由于这些内部人员采用不恰当的网络访问行为，最终造成数据破坏、泄露的现象发生，其带来的损失远远超过外部攻击。在空管行业中，技术保障部门的运维人员通常具有较高的系统权限，有时部分技术难度较高的问题还需要厂家进行协助解决，在这种情况下，对运维人员的操作行为进行审计变得更加重要。
1 空管运维现状带来的网络风险
1.1 密码单一，易于破解
在空管系统的各级文件中均有对密码管理的相關要求，按照制度要求，不同使用者要根据各自的需求和权限设置不同的安全密码，设置密码时要尽量避开有规律、易破解的弱口令密码，区分系统级密码及用户级密码。但是在实际生产中，每个技术保障部门通常要维护多套系统，各个系统中又包含数量不等的服务器、数据库及交换机等网络设备，若按照制度要求分别设置不同设备、不同权限的强口令密码，则密码维护便成为了很大负担。目前，大多数维护部门对所辖设备设置的密码都比较简单，一旦受到攻击，则比较容易被攻破。 1.2 账号共享，责任难溯
空管技术保障部门采用7*24小时的值班制度，这就意味着一个班组乃至一个科室的技术人员均维护相同的系统设备，当他们进行日常维护或系统检查时，通常习惯使用同一个管理员账号进行登录，一旦出现操作失误对系统造成影响，则很难进行责任认定。除此之外，大部分技术保障部门还与第三方厂家签订了维保协议，厂家进行设备操作时也会使用管理员的账号进行登陆，若我方陪同人员疏于监管，厂家工程师在使用时“有心”做出破坏系统正常运行的操作，则造成的损失将不可估量。
1.3 缺失审计，无法满足等保要求
已投入生产的大部分系统在设计之初并没有考虑到对运维人員操作的审计功能，在系统上线以后，虽然许多维护部门为了便于定位故障开启了操作系统及应用软件自带的日志功能，但由于这些功能较为简单，只能记录部分重要操作，难以实现针对运维人员全部操作的完整、全面、规范的审计。
2 堡垒主机在空管网络安全中的应用
运维审计是系统安全审计中的一部分，主要是对运维人员在信息系统内的维护行为进行全面监控，通过完整的记录运维人员的操作命令以及系统资源的各项状态，来识别系统安全威胁事件，从而做到事前对运维人员恶意操作的震慑作用，以及为事后追究安全责任提供可寻依据，堡垒主机就是这样一种运维审计系统。
2.1 堡垒主机概述
堡垒主机可以通过账户管理、授权管理和综合审计等功能，完成集中认证和运维审计的目的。对于运维人员来说，堡垒主机就是一台到达目标设备的代理服务器，通过堡垒主机的代理，运维人员无需知道目标设备的密码即可对其进行维护，它不仅使运维人员对设备资源的访问更加细化，减少了因过度访问而带来的操作风险，而且也为设备资源运维人员的管理和审计操作行为提供了监测和审计的依据，并对非法行为实行报警、阻断。通过堡垒主机可以有效地提高维护人员完成维护操作的效率，提高操作安全性，还可以做到对不同角色的维护人员和可用资源的集中管理。
2.2 堡垒主机的部署方式及工作原理
堡垒主机可在不改变原有网络结构的情况下进行旁路部署，它只需一个能够到达目标网络的IP地址，即可实现服务代理功能。运维人员日常工作时使用的Telent、SSH等协议均可通过堡垒主机进行转发，而正常的应用软件对服务器、数据库的请求则不通过堡垒主机。因此，使用堡垒主机并不会影响正常的业务访问速度。有人将堡垒主机形象的比喻为进出核心系统的“大门”和“翻译”，只有经过堡垒主机认定的人员、角色及操作，才可作用于最终的目标资源上。堡垒主机部署示意图如图1所示。
首先，运维人员在维护终端上连接到堡垒主机，然后向堡垒主机发送操作请求，堡垒主机完成该名运维人员的角色及权限认定后，其应用代理模块代替运维人员连接到目标设备完成相应操作，最终将执行结果展示给维护人员。堡垒主机工作原理示意图如图2所示。
通过这种方式，建立了运维人员到堡垒主机再到目标设备的管理模式，从而将运维人员与目标设备有效隔离开来，在解决了操作权限控制和行为审计问题的同时，也解决了加密协议和图形协议等无法还原进行审计的问题。
2.3 堡垒主机的功能及解决的问题
2.3.1 构建操作管理统一平台
依托堡垒主机划分不同维护人员角色，详细区分局内技术保障人员、第三方厂商人员以及审计人员的维护范围及操作权限。每名维护人员均可从堡垒主机中获得维护账户，该账户不是实际生产系统的管理账户，而是与生产系统相关联。这样，维护人员就不必知道生产系统的实际账户了，便可根据分配的权限进行系统维护。
为了实现对权限管理更深入的控制，最大限度地提高业务系统资源的安全性，堡垒主机可以分别对角色、用户、行为和相关资源进行授权。如可进行角色与资源对应关系的粗粒度授权，也可限制角色行为在应用层面的细粒度授权。
以往运维人员要维护多套生产系统设备时，需要记忆并依次登录输入维护设备的IP地址及密码，重复性操作较多，还有可能出现记忆不清的时候。堡垒主机的单点集中维护功能便解决了维护人员这个难题，它提供了统一的访问途经。当维护人员通过堡垒主机的认证之后，便可对权限范围内的所有资源进行维护。这使得运维人员不再需要频繁登录各项系统，提高了运维人员维护效率。
堡垒主机的操作审计功能，可以通过录屏和记录字符型操作日志等形式，记录运维人员维护全过程，它不仅可以帮助管理人员及时发现权限滥用、违规操作行为，还能为最终的责任认定提供依据。
利用堡垒主机提供的平台，实现了不同角色维护设备时的统一认证、统一授权、统一审计功能。
2.3.2 实现管理流程规范化愿景
堡垒主机从人的管理、操作的管理、设备的管理三个维度，实现了空管运维管理流程规范化的愿景。在人的管理方面，它可通过角色划分、账号管理、密码管理、权限管理以及访问控制这五大方面限制维护人员的操作范围。对操作过程的全程监控、过程审计，使得维护人员更加小心自己的维护行为。自动定期修改设备密码功能，不仅增强了设备的安全等级，还轻松实现了密码管理的相关要求。
3 结 论
堡垒主机有效地规范了内外部信息管理维护人员的维护行为，弥补了对服务器等重要设施的维护行为的控制，填补了审计的空白，强化了信息安全保护体系，有利于信息系统更好地运行，有利于保证企业运行的连续性和安全性，极大地减少了对信息化设施的误操作和恶意操作的概率，使基础设施维护行为的审计能力从无到有，节省了大量人力物力，缩短了故障和安全事件的定位时间，大大地提高了信息系统运行维护能力和效率。
参考文献：
[1] 张笑笑，邹春明，顾健.堡垒机在信息系统中的应用 [A].第二届全国信息安全等级保护技术大会.第二届全国信息安全等级保护技术大会会议论文集 [C].中国安徽合肥：公安部第三研究所，2013：207-209.
[2] 王栋，来风刚，李静.数据中心IT运维审计体系研究 [J].电力信息化，2012，10（1）：20-23.
[3] 戴莹.浅谈如何运用堡垒机系统解决单位信息管理内控风险 [J].网络安全技术与应用，2015（8）：53-54.
作者简介：廉文超（1986.12-），女，汉族，天津人，工程师，本科，主要研究方向：民航平面通信。