龐彬彬

(北京神州綠盟科技有限公司，北京 100089)

0 引言

民航機(jī)場是公共基礎(chǔ)設(shè)施，是指為航空運(yùn)輸服務(wù)和航空客貨出行及航空貨物流動(dòng)提供公共服務(wù)的工程設(shè)施，是航空運(yùn)輸經(jīng)濟(jì)賴以生存發(fā)展的基本物質(zhì)條件，是服務(wù)于國家或地區(qū)社會(huì)經(jīng)濟(jì)活動(dòng)的公共服務(wù)系統(tǒng)[1]。機(jī)場系統(tǒng)龐大而復(fù)雜，其中信息集成系統(tǒng)、離港控制系統(tǒng)等多套重要信息系統(tǒng)被確定為國家關(guān)鍵信息基礎(chǔ)設(shè)施[2]。民航局多次在全國民航工作報(bào)告中提出，需完善民航網(wǎng)絡(luò)安全治理和綜合防控，加強(qiáng)行業(yè)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)[3]。

“三法一條例”的頒布實(shí)施，對民航機(jī)場信息安全工作提出了更高的要求。民航局后續(xù)出臺(tái)的《“十四五”民用航空發(fā)展規(guī)劃》《中國民航四型機(jī)場建設(shè)行動(dòng)綱要(2020-2035年)》《四型機(jī)場建設(shè)導(dǎo)則》《智慧民航建設(shè)路線圖》等行業(yè)相關(guān)規(guī)劃及標(biāo)準(zhǔn)中，網(wǎng)絡(luò)安全要求也都是必不可少的一部分內(nèi)容。民航機(jī)場做好信息和網(wǎng)絡(luò)安全建設(shè)工作，建立健全信息和網(wǎng)絡(luò)安全保障體系，一方面對維護(hù)社會(huì)安定，確保民航服務(wù)安全具有重大意義[4]；另一方面也是大力推動(dòng)民航數(shù)字化轉(zhuǎn)型升級(jí)、全面推進(jìn)智慧機(jī)場建設(shè)的基礎(chǔ)保證，也是重要抓手。

在以上背景下，民航機(jī)場需要結(jié)合機(jī)場網(wǎng)絡(luò)安全現(xiàn)狀存在的突出問題，采取動(dòng)態(tài)防護(hù)、主動(dòng)防護(hù)、縱深防護(hù)、精準(zhǔn)防護(hù)等措施，統(tǒng)籌安全綜合防御，建立機(jī)場安全綜合保障體系，強(qiáng)化關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全監(jiān)測預(yù)警和主動(dòng)防御能力，有效應(yīng)對機(jī)場信息化高速發(fā)展態(tài)勢下的各類網(wǎng)絡(luò)、數(shù)據(jù)、供應(yīng)鏈等安全風(fēng)險(xiǎn)，落實(shí)國家相關(guān)法律法規(guī)和關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)要求，實(shí)現(xiàn)機(jī)場安全總體發(fā)展目標(biāo)，推動(dòng)機(jī)場數(shù)字化變革與發(fā)展。

1 面臨突出的網(wǎng)絡(luò)安全問題

在當(dāng)前嚴(yán)峻復(fù)雜的信息和網(wǎng)絡(luò)安全形式下，民航機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施面臨的突出安全問題聚焦在以下幾個(gè)方面[5]：

近年來，許多地區(qū)已經(jīng)對古樹名木進(jìn)行了摸底調(diào)查，但調(diào)查指標(biāo)設(shè)置不合理，數(shù)據(jù)較為粗放，不能準(zhǔn)確反映當(dāng)前古樹名木的生存現(xiàn)狀。筆者以濟(jì)源市王屋鎮(zhèn)為例，通過設(shè)置一些完善的調(diào)查指標(biāo)，對古樹名木的樹種構(gòu)成、生長狀況、存在問題等進(jìn)行調(diào)查分析，并針對性地提出一系列保護(hù)措施，以期為古樹名木調(diào)查指標(biāo)的合理化、標(biāo)準(zhǔn)化提供參考，也為古樹名木的精準(zhǔn)保護(hù)提供支持。

(1)幕后“黑手”愈發(fā)強(qiáng)大

民航機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施涉及國家經(jīng)濟(jì)命脈，地位十分重要。威脅機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施安全的幕后“黑手”早已不局限于單打獨(dú)斗的網(wǎng)絡(luò)黑客、小團(tuán)體，還包括裝備精良、資源充足、戰(zhàn)術(shù)復(fù)雜的黑客組織、間諜情報(bào)機(jī)關(guān)等。

(2)供應(yīng)鏈攻擊威脅局勢嚴(yán)峻

隨著機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施功能日益豐富，其涉及的相關(guān)信息系統(tǒng)和軟件產(chǎn)品也越來越復(fù)雜，軟件供應(yīng)商多、供應(yīng)鏈長，暴露給攻擊者的攻擊面也越來越多。針對機(jī)場的供應(yīng)鏈攻擊通常也會(huì)和APT攻擊、勒索攻擊結(jié)合在一起，攻擊者加密機(jī)場關(guān)鍵基礎(chǔ)設(shè)施設(shè)備、系統(tǒng)或數(shù)據(jù)，以此勒索機(jī)場牟取暴利。

(3)攻擊手段越發(fā)隱秘高超

在20世紀(jì)80年代初期，奧林匹克運(yùn)動(dòng)遭受來自國際社會(huì)各種政治力量的持續(xù)攻擊，奧林匹克組織內(nèi)部由于缺乏團(tuán)結(jié)、共同的行為準(zhǔn)則，再加上任何財(cái)政資源讓它能夠保持足夠的獨(dú)立性來抵抗政治勢力的干擾，幾乎成為全球緊張局勢的人質(zhì)。到了20世紀(jì)90年代，奧林匹克運(yùn)動(dòng)包括主辦城市、電視轉(zhuǎn)播機(jī)構(gòu)、贊助商以及其他一些組織等各個(gè)利益共享者在組織內(nèi)部達(dá)成廣泛一致，奧林匹克運(yùn)動(dòng)在組織的協(xié)同一致中發(fā)展迅速。

3.1.2 供應(yīng)商安全評估檢查

(4)安全運(yùn)營建設(shè)挑戰(zhàn)重重

當(dāng)前機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施安全運(yùn)營面臨安全數(shù)據(jù)分散管理、整體態(tài)勢難掌握、安全產(chǎn)品報(bào)警日志龐大、人工審計(jì)工作量大、物理資產(chǎn)數(shù)量多、安全問題定位難、安全產(chǎn)品獨(dú)立防控、缺乏事件關(guān)聯(lián)性分析等諸多問題，機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施安全運(yùn)營建設(shè)挑戰(zhàn)重重。

總的來說，當(dāng)攻擊組織越強(qiáng)大，攻擊路徑越多，攻擊目標(biāo)越精準(zhǔn)，攻擊手段越隱秘，關(guān)乎國家經(jīng)濟(jì)、人民生命安全的機(jī)場關(guān)鍵基礎(chǔ)設(shè)施遭遇攻擊所帶來的危害性、破壞性就越發(fā)難以估量和防范。因此，加強(qiáng)機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保障工作不容忽視、不容懈怠，而且更是勢在必行、刻不容緩。

2 安全保障框架體系構(gòu)建

基于多年在民航機(jī)場信息和網(wǎng)絡(luò)安全方向的研究及實(shí)踐，本文認(rèn)為機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全建設(shè)宜以安全方針策略作為安全工作的指導(dǎo)與依據(jù)，構(gòu)建一套安全保障框架體系，如圖1所示。具體需要：以建立供應(yīng)鏈安全保障體系為底座，將供應(yīng)鏈的“命門”掌握在自己手里，筑牢基礎(chǔ)安全屏障；以貫徹落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度和關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)制度為抓手，在滿足合規(guī)基線基礎(chǔ)上，適當(dāng)針對性加強(qiáng)；以保護(hù)機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施、重要網(wǎng)絡(luò)和數(shù)據(jù)安全為重點(diǎn)，切實(shí)加強(qiáng)保衛(wèi)、保護(hù)和保障；以建設(shè)安全態(tài)勢感知平臺(tái)為核心驅(qū)動(dòng)力，以其他信息共享系統(tǒng)、安全運(yùn)營服務(wù)、安全工具等配套服務(wù)工具作為輔助，全面加強(qiáng)機(jī)場網(wǎng)絡(luò)安全防范管理、監(jiān)測預(yù)警、應(yīng)急處置等各項(xiàng)措施，及時(shí)監(jiān)測、處置網(wǎng)絡(luò)安全風(fēng)險(xiǎn)和威脅(尤其是定向性的APT攻擊、0day漏洞、未知惡意軟件等)；以機(jī)場網(wǎng)絡(luò)安全現(xiàn)狀和業(yè)務(wù)發(fā)展需求為導(dǎo)向，定期組織評估機(jī)場在關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)方面存在的風(fēng)險(xiǎn)，為機(jī)場運(yùn)營者提供有針對性的安全解決方案，更好地為其信息化發(fā)展保駕護(hù)航。

式中，p k為相應(yīng)于作用的標(biāo)準(zhǔn)組合時(shí)，基礎(chǔ)底面處的平均壓力值，kPa；f a為修正后復(fù)合地基承載力特征值，kPa，只進(jìn)行深度修正且修正系數(shù)為1；f spk為復(fù)合地基承載力特征值，kPa；γm為基礎(chǔ)底面以上土的加權(quán)平均重度，kN/m3；d為基礎(chǔ)埋置深度，m。

圖1 民航機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施安全保障框架體系

3 安全保障體系建設(shè)要點(diǎn)

本文將對民航機(jī)場供應(yīng)鏈安全管理體系建設(shè)、安全態(tài)勢感知平臺(tái)建設(shè)、關(guān)基保護(hù)配套服務(wù)工具以及關(guān)基設(shè)施安全檢測評估等要點(diǎn)進(jìn)行重點(diǎn)闡述，而其網(wǎng)絡(luò)安全等級(jí)保護(hù)、關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)合規(guī)建設(shè)情況本文不做詳細(xì)介紹。

3.1 供應(yīng)鏈安全管理體系建設(shè)

機(jī)場安全態(tài)勢感知平臺(tái)主要實(shí)現(xiàn)民航機(jī)場安全態(tài)勢感知平臺(tái)技術(shù)支撐體系的內(nèi)容。從框架上，基于威脅建模能力支撐，實(shí)現(xiàn)從態(tài)勢感知到?jīng)Q策響應(yīng)到聯(lián)動(dòng)處置的閉環(huán)?？傮w技術(shù)架構(gòu)圖如圖4所示。

本文針對國家法律法規(guī)、交通監(jiān)管以及行業(yè)最佳實(shí)踐，將民航機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施供應(yīng)鏈安全建設(shè)分成四個(gè)方面：機(jī)場自身的供應(yīng)鏈安全體系建設(shè)、對供應(yīng)商的安全評估及檢查、產(chǎn)品技術(shù)能力建設(shè)以及漏洞應(yīng)急能力建設(shè)，并設(shè)計(jì)專項(xiàng)的解決方案[7]。解決方案框架如圖2所示。

圖2 民航機(jī)場供應(yīng)鏈安全管理解決方案框架

3.1.1 機(jī)場自身供應(yīng)鏈安全保護(hù)

(1)供應(yīng)鏈安全管理及咨詢服務(wù)

參考《網(wǎng)絡(luò)安全審查辦法》《網(wǎng)絡(luò)安全法》等相關(guān)法律法規(guī)以及民航業(yè)最佳實(shí)踐，通過對機(jī)場單位的供應(yīng)鏈管理組織架構(gòu)、供應(yīng)鏈管理體系、供應(yīng)商管理制度以及開發(fā)管理體系進(jìn)行安全評估。幫助機(jī)場單位了解其可能存在的外部供應(yīng)商管理問題，第三方組件風(fēng)險(xiǎn)及自身管理體系缺陷問題，并提出相應(yīng)的整改建議。實(shí)現(xiàn)加強(qiáng)供應(yīng)鏈安全管理，防范供應(yīng)鏈風(fēng)險(xiǎn)的目標(biāo)。

(2)安全開發(fā)咨詢服務(wù)

通過開發(fā)業(yè)務(wù)場景分析識(shí)別安全需求、制定相應(yīng)的安全設(shè)計(jì)方案、協(xié)助編寫安全編碼規(guī)范等技術(shù)咨詢服務(wù)。完善安全開發(fā)技術(shù)體系，全面提升軟件開發(fā)供應(yīng)鏈安全能力。

展覽位于圖書館5樓，目前已接待20余批校內(nèi)外團(tuán)體參觀，參觀者紛紛留言表示收獲頗多：在藝術(shù)的氛圍中了解了外科醫(yī)學(xué)發(fā)展史，同時(shí)感受了醫(yī)學(xué)和藝術(shù)的神秘與崇高，醫(yī)者眼中的憐惜與思考等。

(3)開源或免費(fèi)軟件安全技術(shù)檢測服務(wù)

對開源或免費(fèi)軟件等第三方組件進(jìn)行漏洞評估、安全基線評估、病毒檢測、沙箱檢測以及代碼審計(jì)，并對發(fā)現(xiàn)存在的安全隱患提供整改建議。

當(dāng)前境外間諜情報(bào)機(jī)關(guān)針對我國航空行業(yè)精心謀劃、秘密實(shí)施的針對性竊密攻擊仍在持續(xù)性進(jìn)行，攻擊過程使用針對性系統(tǒng)漏洞，并且都異常注重隱蔽性，構(gòu)建的C2回傳網(wǎng)絡(luò)復(fù)雜多變，與傳統(tǒng)的魚叉、水坑攻擊不在同一維度。

(1)供應(yīng)商安全風(fēng)險(xiǎn)評估服務(wù)

根據(jù)機(jī)場單位外包項(xiàng)目建設(shè)需求以及監(jiān)管時(shí)間節(jié)點(diǎn)要求，制定每個(gè)供應(yīng)商現(xiàn)場核實(shí)的詳細(xì)計(jì)劃并開展實(shí)施，根據(jù)計(jì)劃對供應(yīng)商進(jìn)行現(xiàn)場檢查并做風(fēng)險(xiǎn)評估，總結(jié)問題提出改進(jìn)建議并上報(bào)機(jī)場安全管理部門。

(2)商業(yè)產(chǎn)品第三方安全評估服務(wù)

例2：在課堂活動(dòng)視頻中，給教室全景畫面添加“視頻搖動(dòng)和縮放”濾鏡，打開自定義屬性窗口，根據(jù)情節(jié)需要，設(shè)置結(jié)束幀的中心點(diǎn)“+”在“答問”的主體學(xué)生上，縮放率設(shè)置大于100%，模擬一個(gè)推鏡頭的效果，逐漸將畫面推向答問主體，其他學(xué)生不斷移出畫面外，所要表現(xiàn)的主體學(xué)生逐漸放大并充滿整個(gè)畫面，引導(dǎo)觀眾視線從教室全景逐漸集中到被關(guān)注的主體學(xué)生上，突出了主體學(xué)生和重點(diǎn)形象。

在獲得供應(yīng)商許可的前提下對商業(yè)產(chǎn)品進(jìn)行滲透測試、開源組件漏洞分析以及代碼審計(jì)。

(3)軟件動(dòng)態(tài)安全檢測

防治科學(xué)越軌行為，不僅要在相關(guān)的科研機(jī)構(gòu)以及高校中樹立嚴(yán)謹(jǐn)?shù)膶W(xué)術(shù)之風(fēng)，在社會(huì)的各行各業(yè)都應(yīng)當(dāng)樹立對待工作嚴(yán)謹(jǐn)求真之風(fēng)，社會(huì)生活中更要杜絕越軌造假行為，在社會(huì)求真之風(fēng)大環(huán)境的影響下，人民群眾對于學(xué)術(shù)越軌行為不沒能容忍，會(huì)直接減少學(xué)術(shù)越軌行為。同時(shí)要建立完善完備的法律體制，對于科學(xué)越軌行為作出相應(yīng)的法律制裁，使科學(xué)越軌行為需要付出嚴(yán)重的代價(jià)。

(1)安全漏洞掃描

利用系統(tǒng)漏洞掃描工具，為機(jī)場用戶提供包括操作系統(tǒng)、數(shù)據(jù)庫、常見應(yīng)用服務(wù)器及Web應(yīng)用等范圍的漏洞掃描以及覆蓋設(shè)備的賬號(hào)管理、口令管理、認(rèn)證授權(quán)、日志配置、進(jìn)程服務(wù)、外部端口等多方面的安全配置檢查能力。

(2)網(wǎng)站安全測試

算法要求:在前期有較高的全局搜索能力以得到合適的位置,找到合適的位置后,a值能迅速減小進(jìn)入局部搜索以加快收斂速度,在后期要求有較高的局部開發(fā)能力,以提高算法收斂精度。本文提出一種基于對數(shù)遞減策略的非線性動(dòng)態(tài)變化收斂因子更新公式:

星雨回想起他們進(jìn)到萬花谷半年來的點(diǎn)點(diǎn)滴滴，進(jìn)而想起冷雨飛雪里尋找到萬花因通道的不易，覺得又傷感又甜蜜，一邊將自己的苦惱和盤托出來，希望得到兩位伙伴的開解。李離入谷以來，已經(jīng)變成了內(nèi)功機(jī)關(guān)派，古籍整理派，平日向袁安討論內(nèi)功既多，得空就去工部，請教僧一行師父，又跟司徒一一先生的幾個(gè)入門弟子牛星羅、冉間選等來往密切。星雨與萬花諸圣學(xué)種花栽草，琴棋書畫，他雖然也不無興趣，總覺得太慢、太迂、太文藝，不如內(nèi)功修習(xí)循序漸進(jìn)，機(jī)甲機(jī)關(guān)切實(shí)痛快。

利用Web應(yīng)用漏洞掃描工具對機(jī)場外部研發(fā)或托管外包的網(wǎng)站，作為人工滲透測試的輔助工具，自動(dòng)獲取網(wǎng)站包含的所有資源，并全面模擬網(wǎng)站訪問的各種行為，比如按鈕點(diǎn)擊、鼠標(biāo)移動(dòng)、表單復(fù)雜填充等，通過內(nèi)建的“安全模型”，協(xié)助滲透測試人員發(fā)現(xiàn)Web應(yīng)用系統(tǒng)潛在的各種漏洞，通過權(quán)威CVSS漏洞評級(jí)模型對漏洞定級(jí)，為用戶構(gòu)建了從急到緩的修補(bǔ)流程，以及易讀易懂、權(quán)威有效的分析報(bào)告。

3.1.3 供應(yīng)鏈安全產(chǎn)品能力

利用威脅分析工具檢測通過外部采購的商業(yè)產(chǎn)品及其他供應(yīng)商提供服務(wù)過程中通過網(wǎng)頁、電子郵件或其他的在線文件共享方式進(jìn)入網(wǎng)絡(luò)的已知和未知的惡意軟件，通過病毒掃描以及虛擬執(zhí)行方式發(fā)現(xiàn)利用0day漏洞的APT攻擊行為，保護(hù)客戶網(wǎng)絡(luò)免遭0day等攻擊造成的各種風(fēng)險(xiǎn)，如敏感信息泄露、基礎(chǔ)設(shè)施破壞等。

(4)第三方組件漏洞發(fā)現(xiàn)

利用代碼安全審計(jì)工具(SDA)對機(jī)場基礎(chǔ)設(shè)施的第三方開源組件資產(chǎn)識(shí)別、開源組件漏洞管理、源代碼缺陷審計(jì)。在不改變機(jī)場單位內(nèi)部及供應(yīng)商側(cè)現(xiàn)有開發(fā)測試流程的前提下，將代碼審計(jì)以工具的形式嵌入到已有的開發(fā)、運(yùn)維流程中。在不增加項(xiàng)目開發(fā)人員的工作量的情況下，與軟件版本管理、缺陷追蹤等系統(tǒng)進(jìn)行集成，實(shí)現(xiàn)多個(gè)功能，包括：代碼安全目標(biāo)的統(tǒng)一管理、漏洞修復(fù)指引、自動(dòng)化檢測、Bug修復(fù)追蹤等。同時(shí)SDA提供與WAF聯(lián)動(dòng)的方案，保證系統(tǒng)在安全的環(huán)境中正常上線，即可以降低由開源組件帶來的安全風(fēng)險(xiǎn)。

3.1.4 供應(yīng)鏈漏洞應(yīng)急能力

(1)威脅情報(bào)中心

通過威脅情報(bào)中心，為機(jī)場用戶提供及時(shí)準(zhǔn)確的威脅情報(bào)數(shù)據(jù)。用戶可及時(shí)洞悉公網(wǎng)資產(chǎn)面臨的安全威脅進(jìn)行準(zhǔn)確預(yù)警，了解最新的威脅動(dòng)態(tài)，實(shí)施積極主動(dòng)的威脅防御和快速響應(yīng)策略，結(jié)合安全數(shù)據(jù)的深度分析全面掌握安全威脅態(tài)勢，并準(zhǔn)確地進(jìn)行威脅追蹤和攻擊溯源。

(2)供應(yīng)鏈產(chǎn)品安全風(fēng)險(xiǎn)持續(xù)監(jiān)測

威脅情報(bào)中心利用已知的威脅，可通過關(guān)聯(lián)分析，對未知威脅進(jìn)行預(yù)測，可幫助機(jī)場用戶預(yù)測安全事件的走向；威脅情報(bào)中心具備IT資產(chǎn)管理能力，提供機(jī)場用戶環(huán)境內(nèi)的資產(chǎn)發(fā)現(xiàn)功能，可以有效地管理動(dòng)態(tài)的機(jī)場環(huán)境防止內(nèi)部安全問題影響到軟件供應(yīng)鏈安全；威脅情報(bào)中心可以從互聯(lián)網(wǎng)空間每天發(fā)生的海量安全事件提煉最受關(guān)注的熱門威脅事件，如與機(jī)場運(yùn)行相關(guān)的漏洞、惡意樣本、數(shù)據(jù)泄露事件等，并提供深度分析，幫助機(jī)場用戶跟蹤熱點(diǎn)，了解最新威脅和及時(shí)采取防御措施。

(1)配套系統(tǒng)

安全態(tài)勢感知平臺(tái)提供有效的安全分析模型和管理工具，準(zhǔn)確、高效地感知整個(gè)網(wǎng)絡(luò)的安全狀態(tài)以及發(fā)展趨勢，對網(wǎng)絡(luò)的資源做出合理的安全加固，對外部的攻擊與危害行為可以及時(shí)地發(fā)現(xiàn)并進(jìn)行應(yīng)急響應(yīng)，有效地實(shí)現(xiàn)防外及安內(nèi)，保障信息系統(tǒng)安全。

軟件供應(yīng)鏈安全分析及事件響應(yīng)中的多種工作同樣可以依賴威脅情報(bào)來更簡單、高效地進(jìn)行處理。在報(bào)警分流中，通過威脅情報(bào)區(qū)分不同類型的攻擊，從中識(shí)別出可能的APT類型高危級(jí)別攻擊，以保證及時(shí)、有效的應(yīng)對。在攻擊范圍確定、溯源分析中可以利用預(yù)測類型的指標(biāo)，預(yù)測已發(fā)現(xiàn)攻擊線索之前或之后可能的惡意活動(dòng)，來更快速地明確攻擊范圍；同時(shí)可以將前期的工作成果作為威脅情報(bào)，輸入高級(jí)威脅分析系統(tǒng)，進(jìn)行歷史性索引，更全面地得到可能受影響的資產(chǎn)清單或者其他線索。

3.2 安全態(tài)勢感知平臺(tái)建設(shè)

作為設(shè)計(jì)吞吐量過千萬人次/年的大型國際機(jī)場，信息化資產(chǎn)數(shù)量規(guī)模龐大、系統(tǒng)的關(guān)聯(lián)性和復(fù)雜度高，信息安全防護(hù)工作面臨巨大的困難和挑戰(zhàn)。為了更好監(jiān)控和保障機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)行，及時(shí)識(shí)別和防范安全風(fēng)險(xiǎn)，同時(shí)滿足國家和重點(diǎn)行業(yè)監(jiān)管要求，保證民航機(jī)場網(wǎng)絡(luò)安全管理工作的依法合規(guī)，需建立機(jī)場安全態(tài)勢感知平臺(tái)，尤其是等保2.0國家標(biāo)準(zhǔn)的正式發(fā)布，安全管理、安全運(yùn)營等平臺(tái)已成為安全保障體系建設(shè)的“標(biāo)配”。

面向民航機(jī)場行業(yè)的信息化場景，構(gòu)建以安全能力中臺(tái)為核心，具備積極、主動(dòng)、彈性、快速響應(yīng)的安全防御體系，實(shí)現(xiàn)從安全監(jiān)測、全局態(tài)勢、能力調(diào)度到編排響應(yīng)的防護(hù)理念，精準(zhǔn)落實(shí)“三化六防”[8]，打造針對關(guān)鍵基礎(chǔ)設(shè)施由識(shí)別、監(jiān)測、預(yù)警到防御、應(yīng)急、處置和治理恢復(fù)多位一體的安全態(tài)勢感知平臺(tái)，全面提升機(jī)場安全風(fēng)險(xiǎn)防范和應(yīng)急處置水平。

基于威脅情報(bào)數(shù)據(jù)，可以生成深度包檢測采集探針等產(chǎn)品規(guī)則，用于對軟件供應(yīng)鏈攻擊的檢測。如果是簡單的IP、域名、URL等指標(biāo)，除了以上用途，還可以考慮直接使用在線設(shè)備進(jìn)行實(shí)時(shí)阻截防御。在線設(shè)備可以使用威脅情報(bào)數(shù)據(jù)來增強(qiáng)檢測和防御能力。

3.2.1 技術(shù)支撐體系

安全體系的不斷演變，從原來的PD/P2DR/PDRR/PPDRR等以策略為中心的安全模型[9]，向以數(shù)據(jù)為中心、強(qiáng)調(diào)自適應(yīng)性的ASA、CARTA等模型發(fā)展，平臺(tái)的“大腦”作用越來越重要，要求高可擴(kuò)展性、高靈活性的軟件架構(gòu)支撐，相對穩(wěn)定的技術(shù)框架與多變性高速發(fā)展的業(yè)務(wù)分離。

許沁抿了抿嘴，露出一絲譏笑，嘲諷道，我明確告訴你，她早加入了外國國籍。我不知道你所說的法律，對一個(gè)外國人來說，是否具有法律效力。

參考流行安全模型，機(jī)場安全態(tài)勢感知平臺(tái)技術(shù)支撐體系如圖3所示。

圖3 民航機(jī)場安全態(tài)勢感知平臺(tái)技術(shù)支撐體系

通過各類安全設(shè)備或探針，結(jié)合集中管理平臺(tái)，引入專家安全服務(wù)及日常安全應(yīng)急響應(yīng)，形成安全防護(hù)框架、安全運(yùn)維框架、安全驗(yàn)證框架、安全度量框架等。

3.2.2 平臺(tái)架構(gòu)設(shè)計(jì)

黨中央和國務(wù)院高度重視關(guān)鍵信息基礎(chǔ)設(shè)施的供應(yīng)鏈安全，習(xí)近平總書記曾經(jīng)指出“供應(yīng)鏈的‘命門’掌握在別人手里，那就好比在別人的墻基上砌房子，再大再漂亮也可能經(jīng)不起風(fēng)雨，甚至?xí)豢耙粨簟盵6]。IT服務(wù)外包商、承包商、供應(yīng)商自身的安全威脅給機(jī)場單位造成的風(fēng)險(xiǎn)不容忽視。機(jī)場單位應(yīng)當(dāng)加強(qiáng)供應(yīng)鏈安全管理，建立完整的供應(yīng)鏈安全風(fēng)險(xiǎn)管理流程，對供應(yīng)商進(jìn)行安全評估，選擇可信的、具備完善的安全體系的供應(yīng)商；適當(dāng)為供應(yīng)商提供指導(dǎo)，幫助他們增強(qiáng)網(wǎng)絡(luò)安全水平。

圖4 民航機(jī)場安全態(tài)勢感知平臺(tái)架構(gòu)

機(jī)場安全態(tài)勢感知平臺(tái)采用高可擴(kuò)展性的組件化架構(gòu)，從底層為模塊快速加入調(diào)整提供基礎(chǔ)。組件設(shè)計(jì)遵循高內(nèi)聚、低耦合原則，對外接口盡量穩(wěn)定，減少組件內(nèi)部邏輯調(diào)整引起的聯(lián)動(dòng)修改。架構(gòu)分層上，越底層通用性越強(qiáng)，越上層業(yè)務(wù)性越強(qiáng)。隔離不同層次的變化影響。

在“互聯(lián)網(wǎng)＋”時(shí)代，成人學(xué)生的特點(diǎn)有了新的變化，比如碎片化、不成體系的知識(shí)儲(chǔ)備，思維活躍、偏好問題導(dǎo)向式學(xué)習(xí)，善于表達(dá)，樂于分享與展示，偏好合作學(xué)習(xí)與在線學(xué)習(xí)等。教師應(yīng)在充分了解和分析這些特點(diǎn)的基礎(chǔ)上，結(jié)合課程內(nèi)容和教學(xué)過程，提出相應(yīng)對策，以實(shí)現(xiàn)學(xué)生的知識(shí)、能力在原有基礎(chǔ)上的建構(gòu)與生成，如表1所示。

數(shù)據(jù)采集層：態(tài)勢感知平臺(tái)通過配合流量采集探針、日志采集器、漏洞掃描探針、終端探針、蜜罐、沙箱等，可有效柔性接入各類安全數(shù)據(jù)，如安全告警和各類安全日志數(shù)據(jù)、流量采集數(shù)據(jù)、環(huán)境配置基線、資產(chǎn)采集數(shù)據(jù)和各類情報(bào)數(shù)據(jù)(IP信譽(yù)、樣本規(guī)則、MD5、漏洞情報(bào)等)，解決海量數(shù)據(jù)采集困難以及無法統(tǒng)一的問題，為安全分析人員提供基礎(chǔ)數(shù)據(jù)信息和支撐。

數(shù)據(jù)分析層：為業(yè)務(wù)應(yīng)用提供能力特性支持，包含行為與威脅分析子系統(tǒng)、資產(chǎn)運(yùn)維子系統(tǒng)、脆弱性管理子系統(tǒng)、運(yùn)維處置子系統(tǒng)、安全治理子系統(tǒng)及情報(bào)與知識(shí)庫子系統(tǒng)。其中情報(bào)與知識(shí)庫子系統(tǒng)主要包含情報(bào)組件、威脅建模庫、漏洞庫、資產(chǎn)指紋庫、合規(guī)模板庫、地理庫等，為上層分析提供各種知識(shí)、模型、情報(bào)等數(shù)據(jù)。行為與威脅分析子系統(tǒng)在威脅建模知識(shí)庫基礎(chǔ)上，實(shí)現(xiàn)實(shí)體行為的分析及威脅分析和推理，完成從日志到事件乃至于具體威脅場景或攻擊過程的轉(zhuǎn)化輸出。資產(chǎn)運(yùn)維子系統(tǒng)獲取環(huán)境數(shù)據(jù)，實(shí)現(xiàn)資產(chǎn)發(fā)現(xiàn)以及資產(chǎn)全生命周期管理。脆弱性管理子系統(tǒng)實(shí)現(xiàn)對漏洞及配置信息的管理分析，漏洞全生命周期管理邏輯。運(yùn)維處置子系統(tǒng)實(shí)現(xiàn)基于規(guī)則的自動(dòng)預(yù)判及專家研判，響應(yīng)處置策略編排等邏輯。安全治理子系統(tǒng)實(shí)現(xiàn)安全治理量化評估指標(biāo)體系，把技術(shù)手段與管理流程相結(jié)合，實(shí)現(xiàn)整體業(yè)務(wù)流程可度量，基于不同的指標(biāo)特性，采用定性與定量評估，持續(xù)評估與周期性評估相結(jié)合的方式，完成對風(fēng)險(xiǎn)管理、合規(guī)的績效評定與有效反饋。

業(yè)務(wù)應(yīng)用層：主要包括環(huán)境感知、運(yùn)維響應(yīng)、威脅管理、脆弱性管理、威脅情報(bào)、安全編排、合規(guī)審計(jì)等內(nèi)容。業(yè)務(wù)功能層覆蓋傳統(tǒng)的態(tài)勢感知功能，資產(chǎn)、威脅及脆弱性管理和分析功能，結(jié)合等保2.0安全管理中心的標(biāo)準(zhǔn)，支持合規(guī)審計(jì)特性，實(shí)現(xiàn)環(huán)境感知能力，支持零信任體系建設(shè)，實(shí)現(xiàn)安全運(yùn)維響應(yīng)閉環(huán)，支撐安全運(yùn)營體系建設(shè)。

3.2.3 關(guān)鍵能力建設(shè)

機(jī)場安全態(tài)勢感知平臺(tái)的關(guān)鍵能力主要由平臺(tái)側(cè)的環(huán)境感知、運(yùn)維響應(yīng)、威脅管理、脆弱性管理、威脅情報(bào)、安全編排、合規(guī)審計(jì)、態(tài)勢感知、一鍵封堵處置、分級(jí)管理等應(yīng)用呈現(xiàn)的能力，以及機(jī)場各安全域部署的安全設(shè)備及探針提供的能力組成，主要包括防火墻、入侵檢測/防御、APT攻擊/勒索病毒/挖礦/僵木蠕/0day漏洞檢測、網(wǎng)站安全監(jiān)測、Web防火墻、網(wǎng)絡(luò)流量分析、抗拒絕服務(wù)攻擊、全流量威脅分析、日志審計(jì)、數(shù)據(jù)庫審計(jì)、漏洞掃描、配置核查、終端安全管理等。

3.2.4 平臺(tái)部署效果

民航機(jī)場安全態(tài)勢感知平臺(tái)部署示意圖如圖5所示。

圖5 民航機(jī)場安全態(tài)勢感知平臺(tái)部署示意圖

民航機(jī)場設(shè)置數(shù)據(jù)中心骨干節(jié)點(diǎn)與出口路由節(jié)點(diǎn)，承擔(dān)機(jī)場數(shù)據(jù)中心各安全區(qū)域的流量。通過在數(shù)據(jù)中心骨干節(jié)點(diǎn)部署安全探針，收集分析整個(gè)數(shù)據(jù)中心骨干流量中的惡意文件及入侵行為，將分析結(jié)果匯總到機(jī)場安全態(tài)勢感知平臺(tái)，掌握整個(gè)數(shù)據(jù)中心網(wǎng)的安全態(tài)勢；通過在出口路由節(jié)點(diǎn)部署安全探針，收集分析外聯(lián)專網(wǎng)區(qū)與互聯(lián)網(wǎng)區(qū)流量中的Web應(yīng)用檢測及入侵行為，將分析結(jié)果匯總到機(jī)場安全態(tài)勢感知平臺(tái)，對外部接入流量所帶來的外部風(fēng)險(xiǎn)態(tài)勢進(jìn)行清晰重點(diǎn)展示；通過接收其他安全區(qū)部署的網(wǎng)絡(luò)設(shè)備、安全設(shè)備和安全探針反饋的安全日志信息，機(jī)場安全態(tài)勢感知平臺(tái)經(jīng)過集中分析研判后，客觀展示各區(qū)域內(nèi)部運(yùn)行安全態(tài)勢，并共享威脅情報(bào)、生成防控指令，保障各區(qū)域安全。

在機(jī)場關(guān)基設(shè)施域強(qiáng)化安全保障措施，需部署若干安全設(shè)備及探針，類型包括：多合一硬探針、異常流量檢測探針、APT攻擊檢測探針、系統(tǒng)脆弱性檢測引擎、網(wǎng)絡(luò)安全云監(jiān)測引擎等。

另外，平臺(tái)與關(guān)鍵安全設(shè)備進(jìn)行了聯(lián)動(dòng)配置，實(shí)現(xiàn)了“一鍵處置”功能；平臺(tái)還提供了標(biāo)準(zhǔn)的二次開發(fā)接口，實(shí)現(xiàn)了與上級(jí)單位態(tài)勢感知平臺(tái)、OA辦公平臺(tái)等系統(tǒng)的數(shù)據(jù)對接。

粗粉分離器是鍋爐制粉系統(tǒng)的的主要設(shè)備，其性能直接影響著制粉系統(tǒng)的安全、經(jīng)濟(jì)運(yùn)行。其原理是由磨煤機(jī)出來的氣粉混合物以15～20m/s的速度經(jīng)進(jìn)口短管進(jìn)入分離器后，由于內(nèi)外錐體間環(huán)形截面積增大，氣流速度驟降至4～6m/s，較粗的煤粉在重力的作用下從煤粉氣流中分離落下。氣粉混合物流過分離器上部折向門間隙時(shí)，防線便宜，在分離器外錐體上部形成倒漏斗狀旋轉(zhuǎn)氣流。在離心力的作用下，較大顆粒被壓到分離器外殼壁分離落下，而較粗的煤粉被拋向錐帽落入錐體內(nèi)，經(jīng)回粉管返回至磨煤機(jī)內(nèi)重新磨制，合格的煤粉隨氣流從粗粉分離器短管引出至細(xì)分分離器。

3.3 關(guān)基保護(hù)配套服務(wù)工具

(3)供應(yīng)商安全風(fēng)險(xiǎn)持續(xù)監(jiān)測

機(jī)場關(guān)基設(shè)施保護(hù)配套系統(tǒng)主要包括網(wǎng)管與IT運(yùn)維管理系統(tǒng)、信息共享平臺(tái)等其他信息共享系統(tǒng)。

M2和M3是運(yùn)用分層多元回歸分析的方法關(guān)于H2的檢驗(yàn)結(jié)果。M2中，引入現(xiàn)金冗余FS、股票期權(quán)激勵(lì)OPT和控制變量，發(fā)現(xiàn)FS與RD顯著正相關(guān)（β=0.0014，p＜0.01），與H1保持一致。M3在M2的基礎(chǔ)上引入OPT×FS，發(fā)現(xiàn)交互項(xiàng)與研發(fā)投入顯著正相關(guān)（β=0.0022，p＜0.1），且FS與RD始終保持顯著正相關(guān)關(guān)系，表明實(shí)施股票期權(quán)激勵(lì)會(huì)增強(qiáng)現(xiàn)金冗余與研發(fā)投入的關(guān)系，H2得到支持。通過對高管實(shí)施股票期權(quán)激勵(lì)，將其收益與未來股價(jià)緊密掛鉤，可抑制其操縱現(xiàn)金冗余尋求收益補(bǔ)償?shù)男袨?，增加其研發(fā)動(dòng)力。

(2)安全運(yùn)營

機(jī)場關(guān)基保護(hù)配套安全運(yùn)營服務(wù)包括資產(chǎn)掃描、漏洞掃描、配置核查、滲透測試、事件排查、應(yīng)急防護(hù)等基礎(chǔ)運(yùn)維服務(wù)，也包括安全合規(guī)測評、安全設(shè)備巡檢、安全設(shè)備運(yùn)行監(jiān)控等運(yùn)維保障服務(wù)，還包括資產(chǎn)信息管理、脆弱性管理、威脅監(jiān)控的安全運(yùn)維流程管理，為民航機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施日常運(yùn)維管理、應(yīng)急演練、迎接檢查、紅藍(lán)對抗等場景提供能力支持。

(3)安全工具

機(jī)場關(guān)基保護(hù)配套安全工具包括安全監(jiān)測評估探針、安全防護(hù)探針等。

3.4 關(guān)基設(shè)施安全檢測評估

《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》第十九條明確“運(yùn)營者應(yīng)當(dāng)優(yōu)先采購安全可信的網(wǎng)絡(luò)產(chǎn)品和服務(wù)”。國家網(wǎng)信辦牽頭，會(huì)同工信部、國資委以及有關(guān)保護(hù)工作部門持續(xù)開展中央部門和關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者供應(yīng)鏈安全督促檢查工作，了解各單位供應(yīng)鏈安全管理情況，重點(diǎn)檢查運(yùn)營者優(yōu)先采購安全可信的網(wǎng)絡(luò)產(chǎn)品和服務(wù)方面的組織保障、制度建設(shè)和執(zhí)行情況，提高運(yùn)營者對供應(yīng)鏈安全管理的重視程度，促進(jìn)運(yùn)營者加快開展供應(yīng)鏈安全風(fēng)險(xiǎn)評估，嚴(yán)格按照國家有關(guān)要求開展重要網(wǎng)絡(luò)產(chǎn)品和服務(wù)的采購、部署、使用和維護(hù)，降低供應(yīng)鏈安全風(fēng)險(xiǎn)[10]。

本門課程的三個(gè)學(xué)習(xí)角度：第一，從“新疆軟件園常見的Java就業(yè)需求”開始，了解目前新疆IT就業(yè)市場上提供的主要職位及這些職位技術(shù)要求，幫助學(xué)生清晰定位。第二，“JavaSE基礎(chǔ)案例”要求學(xué)生具有一定Java語言基礎(chǔ)，通過案例讓學(xué)生體會(huì)到學(xué)習(xí)Java語言的樂趣，深入掌握面向?qū)ο笏枷?，熟練使用常用的API，鞏固和拓展Java程序設(shè)計(jì)。第三，“前沿技術(shù)介紹”主要實(shí)現(xiàn)“機(jī)器學(xué)習(xí)”的基礎(chǔ)案例，該階段內(nèi)容是IT行業(yè)的前沿技術(shù)，可以開闊學(xué)生的視野，感受編程的魅力。

關(guān)鍵基礎(chǔ)設(shè)施業(yè)務(wù)的復(fù)雜性要求網(wǎng)絡(luò)風(fēng)險(xiǎn)管理在各種因素和載體上持續(xù)且始終如一地積極主動(dòng)。民航機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施安全評估規(guī)劃以機(jī)場網(wǎng)絡(luò)安全現(xiàn)狀和業(yè)務(wù)發(fā)展需求為導(dǎo)向，持續(xù)評估機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)方面存在的風(fēng)險(xiǎn)，為機(jī)場運(yùn)營者提供針對性的安全解決方案，更好地為其信息化發(fā)展保駕護(hù)航。

民航機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施的安全評估框架構(gòu)建主要依據(jù)《信息安全技術(shù) 關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評估指南》(報(bào)批稿)，同時(shí)對關(guān)保相關(guān)標(biāo)準(zhǔn)規(guī)范進(jìn)行細(xì)化，另外還需了解等保及其他安全評估的落實(shí)情況，主動(dòng)評估、優(yōu)先排序和管理威脅，實(shí)現(xiàn)以評促建，如圖6所示。

圖6 民航機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施安全檢測評估框架

民航機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評估工作從資產(chǎn)識(shí)別與梳理、威脅評估、脆弱性評估、合規(guī)性評估以及基于評估結(jié)果的風(fēng)險(xiǎn)分析與處置等維度，從技術(shù)、管理兩方面開展；管理層面主要包括安全管理機(jī)構(gòu)及人員、安全管理制度體系、安全建設(shè)及安全運(yùn)維等內(nèi)容；技術(shù)層面主要包括系統(tǒng)、終端、應(yīng)用、網(wǎng)絡(luò)方面等內(nèi)容。重點(diǎn)評估關(guān)鍵基礎(chǔ)設(shè)施防護(hù)過程中的供應(yīng)鏈安全、安全監(jiān)測預(yù)警、應(yīng)急事件與處置等內(nèi)容。

4 結(jié)論

總的來說，建立民航機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保障體系，為機(jī)場帶來的價(jià)值如下：

(1)機(jī)場整體網(wǎng)絡(luò)安全建設(shè)以滿足等保合規(guī)為基礎(chǔ)，針對機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施、重要網(wǎng)絡(luò)和數(shù)據(jù)做到針對性地監(jiān)控與保護(hù)，具備對常規(guī)攻擊、復(fù)雜攻擊、未知攻擊以及定向攻擊等的偵察及防御能力；

(2)建立機(jī)場供應(yīng)鏈安全管理體系，建立完整的供應(yīng)鏈安全風(fēng)險(xiǎn)管理流程，能夠有效規(guī)避機(jī)場關(guān)鍵信息基礎(chǔ)設(shè)施IT服務(wù)外包商、承包商、供應(yīng)商自身的安全威脅；

(3)機(jī)場具備集態(tài)勢感知、風(fēng)險(xiǎn)預(yù)警、聯(lián)動(dòng)處置和應(yīng)急指揮為一體的網(wǎng)絡(luò)安全運(yùn)營支撐體系，網(wǎng)絡(luò)安全威脅發(fā)現(xiàn)、監(jiān)測預(yù)警、應(yīng)急指揮、攻擊溯源能力得到大大提升，運(yùn)營者不僅能看得見威脅關(guān)鍵信息基礎(chǔ)設(shè)施安全的幕后“黑手”，還能抓得出、防得?。?/p>

(4)機(jī)場具備有效的風(fēng)險(xiǎn)評估體系，能夠掌握平衡好關(guān)鍵信息基礎(chǔ)設(shè)施存在的各種安全風(fēng)險(xiǎn)，為關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)策略、安全管理制度的完善提供有力支撐。