当前位置：文档之家 › 基于MPLS的空管数据网安全隔离技术研究

基于MPLS的空管数据网安全隔离技术研究

  • 格式：pdf
  • 大小：1.54 MB
  • 文档页数：2

2017年第8期 信息通信 2017(总第 176 期） INFORMATION & COMMUNICATIONS (Sum. No 176)

基于MPLS的空管数据网安全隔离技术研究黄晔辉(民航中南空管局通信网络中心，广东广州5104〇5)

摘要：通过对空管现有及未来广域IP传输业务的特性分析，结合MPLS在接入管理、安全隔离方面的技术手段分析，根 据详细实验测试数据的对比和分析，总结出合适于空管业务的MPLS接入管理和安全隔离架构。关键词:MPLS; VPN;安全隔离；防火墙图分类号:TN918.91 文献标识码:A 文章编号= 1673-1131(2017)08-0162-02

1民航空管广域IP业务特性分析民航空管的广域IP业务发展较快，现承载着诸多与安全 生产相关的管制指挥辅助系统地区级管制综合信息联网、区 域统一放行系统、民航清算系统、流量管理系统、飞行计划集 中处理系统、机场协同决策系统，以及航行情报异地备份系统、 民航无线电监测系统等业务，区域视频会议系统，同时更为重 要的ADS-B雷达传输业务也即将上线使用。随着业务数量 的不断增加,为保障在同一传输平台进行上的业务安全，必须 做好相应的接入管理及业务隔离。本章节主要分析空管广域 现有及规划IP业务的特性以及其在接入安全方面的需求。根据业务对网络传输效率的关键指标要求，我们从业务 的业务实时性和业务隔离性两方面，将空管广域IP传输业务 分为以下三类:1.网络延时需求较高、隔离性要求较高,主要包 括:ADS-B雷达传输业务,起带宽需求为6M以上，实时性要 求整个传输的延迟低于100毫秒，路由中转次数少于3次，完 全与其他系统隔离。2.网络延时要求较高，隔离性要求不高, 主要包括:机场协同决策系统、飞行计划集中处理系统、民航 无线电监测系统，地区级管制综合信息系统联网、民航清算系 统、流量管理系统等。3.网络延时需求不高，隔离性要求不高， 主要包括:航行情报异地备份系统，区域视频会议系统等。2 MPLS-VPN安全隐患分析及解决

2.1 MPLS VPN的安全威胁

MPLS VPN技术采用了严格的路由信息隔离措施，同时

采用TCP的方式在运营商边界（PE)设备之间建立标记交换 隧道来传送用户信息，在一定程度上保证了用户信息传送的 安全性。但作为一种以IP协议为基础的技术,其安全性是相 对于普通的IP数据业务而言的，MPLS VPN仍然有可能遭受 网络攻击，其主要潜在威胁有如下几点：(1) 伪造路由破坏:例如，攻击者伪装成某个PE设备与SP

的PE设备建立会话连接并交换路由信息，造成VPN内部路 由的泄漏;攻击者还可以通过伪造或篡改路由信息，使用户的 数据流传往错误的方向，以便窃听和分析用户的内部信息，从 而进行下一步的攻击。(2) DOS攻击:MPLS VPN中的CE路由器到PE路由器 的VRF路由注入会引起DOS,从而导致PE路由器的失败。(3) 通过管理接口攻击SP的设备：攻击者以远程接入方 式经网络接入网管系统，通过口令猜测等手段非法获得网管 接口的访问控制权，非法访问SP基础设施的管理系统，对设 备中的配置管理信息进行查看，非法提取信息（例如统计、拓 扑信息等)甚至对设备配置进行改动，通过种植病毒、木马、开 后门等恶意手段实施攻击。⑷外部网络访问:MPLS VPN作为可承载多业务的广域网 络体系，并且业务之间通过使用不同的VPN通道进行隔离，不存 在IP地址重用的问题。但由于不同业务之间存在互相访问需 求，可能使得业务内部网络之间比较容易受到来自对方的攻击，

因此需要一定的安全措施来确保各业务网络之间的安全访问。 2.2安全隐患解决方案针对MPLS VPN在网络攻击方面存在的安全隐患，我们 可以对网络结构及配置进行如下优化：(1) 路由破坏:路由破坏需要通过伪造路由信息来实现欺 骗，因此我们可以与MPLS VPN中通过邻居认证技术,来防止 相邻路由选择的欺骗性更新操作，也可以用于验证来自标签 分发端的更新操作。(2) DOS攻击:过多地从CE路由器到PE路由器的VRF

路由注入会引起PE路由器处理能力饱和引起DOS,导致PE 路由器失败。为防止该类问题的产生，我们可以讲VRF课结 束的最多路由数限定在“最大路由”配置范围内，一旦超过这 个限制,过多的路由将被丢弃，从而保护PE的持续稳定运行。(3) 管理接口攻击：为防止来自网管接口的攻击，我们必 须对网管系统做如下要求:a)网管账号分级分权创建,对网管 的各类操作必须有完备的日志及审计功能。b)网管设备必须 为独立设备,不能接入其他的外部网络。(4) 外部网络访间:各接入业务的隔离及访间控制可以有 两种模式，一种为传统的为每个接入业务提供防火墙,保障其 内部网络安全和独立性；一种为使用统一公共网络防火墙对 各个网络进行访问控制和隔离。采用统一公共安全系统便于 系统的管理及运维,系统建设成本较低;但当公共防火墙发生 故障时，会导致全网故障，同时对系统管理人员技术要求较高。 传统防火墙隔离体系对每个业务均需配置相应的防火墙系统， 成本较高，但系统运维比较简便,各业务的安全设备的故障不 会影响其他业务。

图2统一公共防火墙隔离3网络隔离模型测试为验证防火墙等安全设备的接入对民航各类业务传输的 安全性、实时性及可靠性的影响,我们选取防火墙数量较的图 1网络隔离模型作为网络拓扑进行测试。业务方面我们在A、 B、C类业务中分别选取:ADS-B、飞行计划集中处理系统和视

频会议系统进行详细测试，同时在组网架构方面，我们分别选 取MPLS VPN及ATM进行组网对比测试。相关测试数据如下:

1622017年第8期 信息通信 2017(总第 176 期） INFORMATION & COMMUNICATIONS (Sum. No 176)

企业信息化建设中的数据资源规划浅析秦峰(中国电子科技集团公司第二十九研究所流程与信息化部，四川成都610036)

摘要:随着中国制造2025和大数据国家战略的提出，数据的重要性也被提到了前所未有的高度，在此背景下的制造业企 业信息化建设的重心也由传统的IT信息化系统建设过渡到数据资产管理和应用的角度上，数据资源规划正是顺应这种 时代背景所发生的产物。文章从数据资源规划的意义、内容和实施路径几方面进行了阐述，重点分析了企业实施数据资 源规划的动因、挑战和应对方法。关键词:数据资源规划；数据架构;数据质量;大数据图分类号:TP311.13 文献标识码:A 文章编号：1673-1131(2017)08-0163-03

1概述近年来,制造业领域企业在信息化方面的投入不断加大， 各类业务系统集中建设，企业信息化应用水平不断提高，随之 产生的信息化问题也在不断增多。根据著名的“诺兰模型”， 企业信息化发展可分为“初始期、扩展期、控制期、集成期、数 据管理期和成熟期”六个阶段，大量的制造业企业正逐步从信 息系统集中建设阶段转变到集成或数据管理阶段。随着大数据时代的到来，数据被视为了一种新的生产要 素和创新驱动力，数据的价值越来越被社会各界看重,数据被 提到了企业资产的高度，通过对企业科研、生产和经营所依赖 的数据进行收集、组织管理以及后续的分析应用，最大限度地 发挥企业数据资产的价值已成为企业信息化建设任务的重中 之重。2数据资源规划概论

信息化的最大效益来自于数据的最广泛共享、最快捷的

表1 MPLS-VPN网络无防火墙业务延迟测试100K1M10M50M

ADS-B1ms4ms14ms32

ms

飞行计划集屮处理 系统1ms3ms13ms28ms

视频会议系统3ms10ms17ms

40

ms

表2 MPLS-VPN网络有防火墙业务延迟测试100K1M10M50M

ADS-B1ms5ms18ms37ms飞行计划集中处理 系统1ms4ms16ms30ms

视频会议系统3ms12ms18ms48ms

表3 ATM网络无防火墙业务延迟测试100K1M10M50M

ADS-B1ms7ms20ms44ms

飞行计划集中处理 系统1ms6ms19ms35ms

视频会议系统1ms8ms14ms37ms

表4 ATM网络有防火墙业务延迟测试100K1M10M50MADS-Blms9ms25ms50ms飞行计划集中处理系 统1ms7ms22ms46ms

视频会议系统lms10ms16ms40ms

通过测试对比，我们可以看到以下几点：①由于ATM组 网方式采用的固定信元格式，使得其在视频及音频信号传输 方面具有较大优势;②MPLS VPN组网在各类IP业务的传输 上具有较大优势，且组网简单，设备比较成熟;③防火墙的引 入对ADS-B之类的数据包数量较多，转发请求较多的业务影 响比飞行计划集中处理系统这类包数量较少的业务影响要大; ④隔离防火墙的引入对各业务的传输的延时性均具有一定的 影响，但影响不大，在可接受范围内。综上所述，对于MPLS在民航数据网接入安全管理，有以 下几点建议：①安全设备的引入对民航空管业务传输具有一 定的影响;②对于ADS-B等A类业务对网络延时要求严格的 业务，建议在业务的传输过程中不增加安全设备，以减少业务 的传输延迟，提高网络的及时性和可靠性。③对于飞行计划 集中处理系统等B类对网络延时性要求没那么严格的业务, 我们建议采用防火墙进行业务间的隔离和安全接入；④对于 区域视频会议等C类业务，安全性和稳定性均相对要求较低, 我们建议使用现有的ATM链路作为主用，同时采用防火墙进 行业务间隔离和安全接入。4结语本文主要归纳了各类空管广域传输业务的特性，同时分析 MPLS VPN在网络安全方面所存在的隐患，并提出了相应的解

决方法。针对空管不同类型业务，我们在实验室搭建模拟环境, 通过对信息安全设备引入对空管业务传输的影响以及MPLS VPN和ATM组网方式的对比，提出了可行的安全接入设计方

案，为将来空管数据网的安全稳定运行模式提出建议和意见。

作者简介:黄晔辉（1983-)，男，汉，湖南益阳，工程师,研究方 向：网络与信息安全。

163

合集下载

云计算中的多租户数据隔离与安全保护研究

云计算中的多租户数据隔离与安全保护研究

云计算中的多租户数据隔离与安全保护研究随着云计算的迅速发展，越来越多的企业和个人开始将自己的数据和服务转移到云平台上。

然而，云计算环境中的多租户模式也引发了诸多的数据隔离和安全保护问题。

本文将探讨云计算中的多租户数据隔离与安全保护的研究现状和挑战。

一、引言云计算是一种通过网络提供多种计算资源和服务的新型计算模式。

在云计算环境下，多个用户通过共享的计算资源和服务进行操作。

这种多租户模式给云计算提供了高效和灵活的服务，但同时也带来了数据隔离和安全保护的难题。

二、多租户数据隔离1. 虚拟化技术虚拟化技术是实现云计算多租户数据隔离的关键技术之一。

通过虚拟机的隔离，不同用户的数据和应用可以在同一物理服务器上运行，但彼此之间相互隔离，确保数据的安全性和隐私性。

2. 安全策略和控制制定合理的安全策略和控制措施，对不同租户的数据进行分类和隔离。

例如，可以根据敏感程度将数据划分为公开数据、机密数据和敏感数据，分别采用不同的存储和访问控制策略，确保数据的隔离和安全。

三、多租户数据安全保护1. 加密技术使用加密技术对多租户数据进行保护，确保数据在存储和传输过程中不被窃取和篡改。

同时，合理的密钥管理和访问控制机制也是确保加密数据安全性的关键。

2. 身份认证与访问控制采用有效的身份认证和访问控制机制，对各个租户的用户进行身份验证和权限管理，确保只有授权的用户才能访问和操作数据。

四、挑战与未来方向1. 数据隔离的完整性在多租户环境下，如何确保数据的隔离完整性成为一个重要的挑战。

研究人员需要进一步探索有效的技术手段，防止不同租户之间的数据泄露和干扰。

2. 数据安全与性能数据安全保护措施往往会对系统性能产生一定的影响。

如何在保证数据安全的同时，尽可能减少性能损失，是未来多租户数据安全研究的方向之一。

3. 隐私保护与法律合规随着个人用户数据的增多，如何保护用户的隐私权利，同时遵循法律法规的要求，是云计算多租户数据隔离和安全保护研究中的重要议题。

基于信息处理的空中交通管理安全研究

基于信息处理的空中交通管理安全研究

理 的空 中交通 管理 安全研 究
崔 林
（ 民航 华北空管局终端管制 中心， 北京 １ ０ ０ ６ ２ １ ） 摘 要： 当前社会是一 个航空迅速发展 的新 时代 ， 空中交通的空管安全 问题逐渐被 重视起 来。本文从 一个管制 员工作的 角度 。 对现 目 前空管信 息可能出现的 隐患 因素进行 了分析和总结。并且对一些常见空管信息处理引起 的不安全的事件进行透彻分析 ， 对空管信 息处理
提 出 了一 些 改进 建 议 。
关键词： 空 中交通管理 ； 管制员； 空管信 息处理 ； 安全 近年来的社会发展中 ， 随着 国民经济和社会生产技术的飞速发 同时对于交通信息的传递要求也提出了新 的标准和要求 。 这就要求 展， 越来越 多的空中资源得到 了人们 的关注与重视 ， 也成为现代 化 我们在工作中能够深入实际 ， 根 据工作 中存在 的种种 问题全 面统计 社会发展 中不可缺少的一部分 。就 当前社会 发展 中 ， 以信息处理为 和处理 ， 使得其 中存在的各种 问题都得到有效的完善 和总结 。 主的空 中交通管理安全越来越受 到人们 的关 注 ， 其管理工作要求和 空 管工作人员需要有 几方面 的能力 ， 包括： 管 制员能 承受高强 管理工作 内容也得到了有效 的优化与改进。 度工作负荷的能力 、 听说能力 、 对信息处理的能力 。首先 ， 高强度 的 １空管信息处理 系统简介 工作负荷会导致员工 的工作状态不稳定 ， 管制人员工作所负荷 的强 随着 国民经济的飞速 发展 ， 各种交通运输体系逐渐得到 了繁荣 度不但与空管 任务 的性 质 、 内容 、 以及 飞机 的数 量 、 陆空通话 量 以 与发展 。空运事业作为交 通运输体 系的重要组成部分 ， 在社会经济 外 ， 还与之工作经验 、 深厚 的知识储备 、 全 面的认知水平有着千丝万 飞速发展 的今天得到了人们 的高度重视 。 空管按加权作 为保证和提 缕 的关系 。工作处于正常负荷范 围内的时候 ， 管制员处 于一个相对 高空运事业的关键所在 ， 已成为 目前相关工作人员研究的重点话题 适宜 的工作状态 ， 思维敏捷 、 反应敏捷并且清楚稳定 ， 管制员必须要 之一 ， 更是整个交通事业 中的核心重点 。这主要是 由于在空运体系 能非 常好 的分析当前的空管信息 ， 还需要有一定 的预测能力 ， 这 才 中， 其运输效率高 、 速度快 ， 因此成为人们 的重点话题。 其在研究 中， 能使空管信息处理工作 的效率以及 准确性更高。 管制员对于空 中的航空其进行 了全 面系统的管制 ， 对于指挥手段和 国际的民航 组织（ Ｉ Ｃ Ａ Ｏ） 和我 国的民航 主管部 门为了防止在 空 标准也进行 了深入系统的处理 ， 所 以在工作 中对于空管信息的处理 管信息交流中出现人 为的差错 ， 规定 了空管人员必须使用标准 的陆 十分关键 ， 有 助于我们在工作中保证 空中运输事业安全。 空通话用语。 最后 ， 空管人员在对空管信息处理的的能力表现认知 、 空管信 息处理系统一共有五个子 系统 ， 分别 是 ： 信源 、 存储 、 处 记忆 、 决 策、 执行等方 面， 这是对 空管技术处理所需要 的基本 能力及 理、 传输和显示。对信源的操作主要是采集完整、 准确、 及时的空管 处理 的全过程。由于人 的注意有着选择性 、 集 中性 、 有限性的特点 ， 信息 。 目 前管制信息存在一些格式规范 、 存储效率 比较低的缺陷， 这 管制 员在 长时间高强度 的工作状态之下会 出现一些错误 的决策 和 样可能会导致进程单 填写 出现错误 ， 带来其他不 良的影响。现在的 疏忽 。 现 目前 ， 我们 国内的空中流量不断增大 ， 管制员所 承受 的压力 信息加工是一项有相当困难 的空管工作 ， 空管信息的处理标 准化程 和负荷 的工作 也随之加大 ， 长时间下 ， 管制员的记忆力很 可能会 降 度略有不足 ， 自动化水平也并不高。各个地区的空管局使用的信 息 低 ， 从而影响着做 出正确的决策 。上述环节 中的问题和管制员在某 设备并不相同 ， 导致个别空管信息必须要使用人工的方法进 行加 工 些特定情况下会 发生情景意识水平的降低 ， 所 以需要提高 以下几点 和传递 。空管信息是显示管 制员是否能正确“ 感 知“ 信息的关键 所 自身素质 ： 在， 常见 的方式是文字记录 、 电子动态显示 以及雷达识别标志等等 。 （ １ ） 快速反应能力。做为空管人员必须要有着快速 的反应能力 ， 在人工 为主的空管系统 中 ， 信息格式没有一个标 准规范 ， 凭大脑 去 能及 时的处理 收到的信息和指令 ， 并且不能 出错 ， 这是作 为空管人 记忆 的的抽象信息比例较大 ， 容易导致信息被 遗忘 、 缺失 ， 这也是 近 员最基本的要求 。 年来空管事故时常发生的重要原因之一。 （ ２ ） 语 言表达能力 。如果空 中管制员发音不准 ， 语言表达有误 。 ２空管信息处理与空管安全 导致信息的传达不准确 ， 必然对高空 飞行会造成严重的后果 。空管 ２ ． １ 信息处理 中的主要 差错 和原 因 人员 因为所处 的环 节特殊 ， 他们 的情绪容易受到外界 的干扰 ， 影响 在我 国， 民用航空公 司从 ２ ０世纪 的 ８ Ｏ年代 开始 ， 开始采用并 正常的空管工作 ， 稍微一点 的影响都可能对某一个飞行航班造成 巨 参照 国际 民航的组织标准 ， 放弃了以前所 使用的落后 的空管信息处 大 的影响 ， 空管人员 的情绪 必须 要稳定 ， 不 能有 过大的起伏 ， 所以。 理系统 ， 以及苏联 民航 的运行 、 发展模 式 。在现在 的航空法规体 系 空管人员要 有 良好 的情绪 自控能力 。 中、 设备标准 、 运行规章等方面 ， 我们 国家都没有建立 系统性 的标准 ３空管信 息处理改进研究 体系 。这导致了 目前各个地 区单位所施行 的标准没有统一 ， 运行 的 对于空管中人的因素 ， 我们在分析过去发生 的空 管责任事故症 方式没有统一 ， 使用的设备 没有统一 。目前航班班次飞速增长 ， 与之 候时 ， 得到一项结论 ， 空管信息 的处理失误 大多是在专职人员 负责 相密切对应 的航班信息量也在不断的增加 。 一个每天对着几 百次航 且信源可靠 时发生的 。管制员 在得 到飞行动态后没有及时 、 准确更 班提供空中飞行服务 的运行单位 ， 每 天结束后进行 汇总的空管信息 新空管信息 ， 并且 缺少信息处理 自检 、 互检措施 。 量可以达到数十万条之多 。 由于我国 目前 的空管现状无法采用 电子 结 束语 化处理的高效方式 ，容易导致空管员对于空管信息的监管出错 ， 并 在 目前 的交 通事业 中 ， 将空管运行工作置放在研究重 点已成为 且还有增多的趋势 。这是我 国空管信息系统面临的最大问题 ， 急需 目前相关工作人员工作重点 ， 更是对其信息进行加工和处理的主要 要研发 出一套 高性 能 、 电子化的空管系统 ， 以应对 日益增 长的航空 工作模 式 ，在工作的过程 中及 时有效 的了解设备工作模式和要点 ， 班次 ， 预防和杜绝 出现差错 ， 真正 实现科 学化 、 技术化 的管理模式 ， 从而减少由于人为因素出现的错误 ，进而保证空管运行 的安全 、 畅 向先进的国际标志看齐 。 通。除此之外 ， 空管设备与法规条例也对空管运行安全有不可忽视 ２ ． ２空管信息处理 与空管安全的关系 的作用。 在空运事业 中， 空中交通安全是一个综合性 、 复杂的话 题 ， 其在 管理中极容 易受到许许多多的因素制约和影响 ， 这些 问题 的存在进 程会造成我们在工作 中出现干扰与影响 ， 使得我们 的工作 出现 了一 定的影 响要求 。 因此在 目前的工作中就需要我们综合各种影 响因素 进行分 析 ，针对其 中存在的种种问题和缺陷深入的总结和研究 ， 并 且使得其 中的各方面问题都能够得 到我们的认可和关 注。 就 目前的 空中交通安全管理研究中 ，飞机的航班飞行 呈现出高速增 长趋势 ，
基于安全保障的民航空管信息处理系统研究

基于安全保障的民航空管信息处理系统研究

作者： 唐琮沅[1] 刘庆龙[1] 吴桂先[2]
作者机构： [1]清华大学公共管理学院,北京100084 [2]桂林民航空管站,广西桂林541106
出版物刊名： 物流技术
页码： 98-101页
主题词： 民航 空管信息处理系统 结构 关键技术

摘要：针对目前我国民航运输业高速发展，而空管信息处碑方式比较落后的现状．以研制民
航空管信息处理系统的实际背景为基础，着重介绍了系统结构和部分关键技术解决办法，

Research on Civil Aviation Air Traffic Information
System Based on Safety Guarantee

企业内部网络隔离与数据隔离技术研究

企业内部网络隔离与数据隔离技术研究

企业内部网络隔离与数据隔离技术研究在现代数字化时代，企业面临着越来越多的网络安全挑战，其中企业内部网络隔离与数据隔离技术成为关键的研究方向。

企业内部网络隔离是指通过技术手段，将企业内部网络划分为不同的安全域，实现各个部门或环境之间的隔离，有效保护重要数据免受恶意攻击和数据泄露。

而数据隔离则是指在企业内部网络中，对重要数据进行分类和加密处理，确保只有授权人员能够访问和操作数据，从而提高数据的安全性和保密性。

企业内部网络隔离技术通常包括网络分段、VLAN、ACL、防火墙等技术手段。

通过网络分段和VLAN技术，可以将企业内部网络划分为多个逻辑区域，每个区域拥有独立的网络地址和通信规则，实现网络流量的隔离和控制。

同时，通过ACL和防火墙技术，可以对不同网络区域之间的通信进行细粒度的控制和监控，防止黑客入侵和内部泄密事件的发生。

数据隔离技术则包括数据分类、数据加密、访问控制等手段。

通过对数据进行分类和标记，可以根据数据的重要性和敏感性确定访问权限和保护级别，确保数据得到合理的访问和使用。

同时，通过数据加密技术，可以对重要数据进行加密处理，保障数据在传输和存储过程中的安全性。

此外，访问控制技术可以限制用户对数据的访问权限，防止未经授权的用户获取敏感数据。

总体而言，企业内部网络隔离与数据隔离技术在当今商业环境中扮演着至关重要的角色，可有效降低企业网络安全风险，保护企业重要信息资产的安全。

通过合理设计和配置网络架构，结合适当的安全设备和技术手段，企业可以构建安全可靠的网络环境，有效防范各类网络威胁和攻击。

同时，企业还需加强员工网络安全意识培训，提升员工对网络安全风险和防范措施的认识，共同维护企业网络安全和数据隐私。

愿通过不断的技术创新和风险管理，实现企业网络隔离与数据隔离的有效保护和管理，确保企业信息安全和业务持续发展。