民航商务数据网网络安全体系建设

《民航商务数据网网络安全体系建设》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、民航商务数据网网络安全体系建设第31卷增刊VoL31SupplementaryIssue计算机工程ComputerEngineering2005年7月July2005?民航信息系统研究与设计?文章编号:l00_-3428(20o5)增刊—_o73文献标识码:A中国分类号:TP309.1民航商务数据网网络安全体系建设张纯星(中国民航信息网络股份有限公司,北京100710)摘要:描述了民航商务数据网网络安全体系建设的架构,着重介绍了民航商务数据网的边界安全部署,分析在边界安全最不容易控制的一个环节——预防,制止Internet上非法用户的攻击,文中提出的方法在民

2、航商务数据网中得到实际应用.该研究对于网络安全体系建设具有一定的指导意义.关键词:网络安全体系;边界安全;拒绝服务NetworkSecurityonCivilAviationDataNetworkZHANGChunxing(TravelskyTechonolyCoLimited,Beijing100710)[Abstract]Thispaperdiscribesthenetworksecurityinfrastructureofcivilaviationdatanetwork,introducessomeusualmethodsusedonthisnetwo

3、rkespeciallyonnetworkborder,andstudieshowtodetectandpreventunauthorizedaccessandattackthroughlntemet[Keywords]Networksecurityinfrastructure;Bordersecurity;DDoS民航信息系统是由大型主机,开放服务器和商务数据网络共同组成的.民航商务数据网是中国大陆地区最早的商务数据网络之一,经过多年建设,民航商务数据网已从面向单一的旅客订座系统,发展为具有支持CRS,ICS,离港,货运及电子商务等多种应用的大型实时数据网

4、络.网络环境复杂,业务规模庞大,管理和操作人员组成多样是整个网络信息系统的特点.早期民航的业务系统局限于大型主机上的集中式应用,使用的协议专用,用户群结构单一,与外界联系较少,能够接触和使用系统的人员也很少,系统安全隐患不明显.现在民航业务逐渐向基于Clientt/Serverr模式和Intemet/Intranet模式发展,使用TCP/IP作为主要网络通信协议,用户,程序和数据分布在世界的各个角落,这就给民航网络信息系统的安全管理提出了更高的要求.1民航商务数据网网络安全安全体系的建设包括安全管理体系的建设,安全技术保证体系的建设.安全管理是个广泛的理念,

5、IT环境中出现的不安全问题并不是全部由单纯的IT设备本身造成的,相反更多的问题是由其它非IT技术因素引起的,只是最终通过计算机的载体实现而已.因此对于民航信息系统的安全管理,不应该仅仅是对IT设备的安全保护,还要对民航内部人员,合作伙伴以及民航下属其他业务单位与民航信息系统进行交互的人员进行安全规范化管理,同时能够跟随民航业务机构调整而进行及时响应及相关变化,这是弥补安全漏洞的一个重要途径.以下介绍民航商务数据网在安全技术保证体系环节中作的一些工作.根据民航商务数据网实际情况,我们围绕着边界安全,安全扫描和防入侵检测,身份认证和防病毒系统搭建民航自己的安全架

6、构.图l是民航网络安全整体规划示意.图1民航网络安全整体规划示意1.1边界安全边界安全使用防火墙的功能,实现在网络的不同区域之间允许或拒绝不同业务的数据流通过,防火墙部署在不同功能区域的边界上.民航商务数据网划分为以下几个主要的功能区域:非生产网,接入网,核心资源网,见图2.图2网络分离示意作者简介:张纯星(1973一),男,学士,工程师,主研方向:网络规划设计,网络安全收稿日期:2005—06—23E-mail:cxzhang(atr(1,elsk_~COlll1.1.1非生产网与其它功能区域分开民航各个部门的桌面系统都视为非生产网办公系统的一部分.生产网

7、和非生产网在物理上是隔离的——分别通过独立的三层交换设备完成各自不同的VLAN问路由选择,东四和三里屯两个非生产办公网之间的互联也不经过生产网,而是分别直接连接到DWDM设备,占用单独的波通道来实现.非生产办公网上Intemet通过独立的防火墙和代理服务器,默认情况下生产网中的生产PC机不能通过该连接访问Intemet.如果办公桌面PC需要访问某些生产系统,可以根据具体需求在连接核心生产网的防火墙上作适当的设置来实现.将非生产办公网络和生产网络从物理上进行隔离不仅有利于生产网络的安全,使网络结构清晰,易于管理,而且这样做还将生产和非生产办公的数据流分开,为生

8、产数据占用必要的带宽提供有力的保障.1.1.2核心资