摘要：指挥自动化系统的发展使网络信息资源高度共享，但融合、网络化的发展使信息安全问题更加突出。针对军事指挥自动化系统中各个应用系统的特点和安全要求，提出了一种新的信息安全防护系统设计方案，并详细阐述了动态网络安全模型的技术防御体系。关键词：指挥自动化系统；信息安全;安全防护 CLC编号：TP393 证件识别码：A 是集情报侦察、预警探测、通信、电子对抗等作战信息保障功能为一体的完整系统，是各种武器控制系统充分发挥战斗力的可靠保障力量。网络由各种服务器、工作站、终端等组成，网络信息具有共享、易传播的特点，在处理、存储、传输和使用方面非常脆弱，系统信息的安全受到严重威胁。这种威胁主要表现在：未经授权的访问、冒充合法用户、破坏数据完整性、干扰系统的正常运行、利用网络传播病毒、窃听等，主要是通过拦截、拦截、和对网络进行解密，从而非法侵入网络，使系统信息的机密性、完整性、可靠性、可控性、可用性等受到损害。这就要求我们对网络安全问题给予足够的重视，采取多种措施提高系统安全、网络安全、物理安全、服务安全和应用安全，有效形成完整的安全保密技术体系。
合理配置实现系统安全系统安全主要包括操作系统本身的安全和操作系统本身的安全配置。操作系统的安全主要通过选择安全机制相对较高的操作系统来保护各种应用服务器和数据库服务器，合理配置操作系统的安全机制。 2.1 系统安全防护体系 系统安全防护体系主要由六部分组成：（1)安全策略。是系统安全的总体规划和具体措施，全技术防护，实时检测、响应和恢复，根据安全策略实施审计跟踪；（2)风险评估和分析。评估、分析和报告系统的安全风险因素，评估系统资源的安全等级, 并分析安全风险因素的来源;(3)技术防护。是根据系统结构和系统中存在的各种安全漏洞和安全威胁采取相应的技术防护措施，包括认证的四种机制，授权、加密和访问控制；(4)实时检测。就是随时监控系统的运行情况，及时发现并阻止对系统的各种攻击；(5)响应和恢复。就是在安全防护机制失效时进行应急处理并做出响应，及时恢复信息，降低攻击的破坏程度，包括数据备份、自动恢复、快速启动等； （6)审计线索。就是对安全审计数据进行记录和分析，以检查系统中的违规行为，判断是否违规。安全防护体系的建设是一个动态的发展过程，也是一个循环的过程一个生命周期。
2.2 操作系统安全配置 操作系统的主要安全功能包括：内存保护、有限存储区域和地址重定位、存储信息的保护；文件保护，保护用户和系统文件，防止未经授权的用户访问；访问控制（用户身份验证），识别请求访问的用户的权限和身份。操作系统安全的基本要求是安全配置、责任和保证。安全配置主要包括自主访问控制、标记、强制访问控制；职责主要包括识别认证、可信路径、审计；保障主要包括操作系统保障和生命周期保障，操作系统内核应防止外部干预或篡改。能力。指挥自动化系统必须选择合适的网络操作系统，构建操作系统的安全模型，可以是单级安全模型、多级安全模型、系统流模型。 2.3 系统安全检查与修复操作系统的安全检查由安装在主机上的Agent发起并执行，具有特权身份，可以遍历操作系统内部，检查配置，发现漏洞，收集信息。漏洞知识库检查安全风险，为系统管理员提供全面、可靠的安全分析报告，并提供修改配置和漏洞修复的方法，提高系统防护能力。关键技术是在主机操作系统中建立一个安全核心，可以实现用户身份认证和操作权限控制等功能。其工作原理是：根据操作系统中的用户、组等基本信息建立一个安全的数据库指挥信息系统概念，管理系统中所有需要保护的资源，如文件、目录等资源或受限操作如文件和目录的读、写和删除操作。并在系统中定义安全配置文件。
启动安全数据库时，可以完成的功能包括：用户登录密码长度、登录次数、密码有效时限，由配置文件中的信息控制，以及操作系统本身的用户、组和主机文件。等不起作用。在系统中创建安全管理员账号指挥信息系统概念，解决因违反安全策略引起的问题。定义安全策略，是否允许用户访问指定的目录或文件，是否允许部分用户执行SU操作，是否允许用户运行指定的命令或程序。当操作违反时，系统会给出提示。使用隔离设备和手段实现物理安全 物理安全是保护信息网络设备、设施和其他信息载体免受人为事故或犯罪造成的破坏，防范物理介质损坏和信号辐射造成的安全风险。系统安全的前提。采取的主要措施有：3.1 建立专门的保密机房。由于指挥自动化中心拥有大量涉密计算机，且涉密级别较高，只有通过物理隔离才能实现对涉密（含）级别以上核心数据的安全保密，是最安全的方式[1] 因此，需要建立专门的保密机房，同时在机房内搭建屏蔽设备，安装防盗门，配置碎纸机、铁柜等安全设备，设置专门的安全警戒。 3.2 网络分段 目前的局域网基本采用基于广播技术的以太网。因此，黑客只要连接到以太网上的任何一个节点进行监听，就可以捕捉到以太网上的事件。然后将所有数据包拆包进行分析，从而窃取关键信息。
针对这一网络安全隐患，应采用分网段的网络结构，如部门办公室、技术室等用户的子网。子网之间通过路由器相连，该网段上的IP数据包不需要经过路由器转发。因此，使用路由器将网络划分为子网，将非法用户与敏感网络资源隔离，可以增强网络安全，降低网络负载，隔离网络广播，有效防止可能的非法拦截。 3.3 在共享集线器模式下使用交换集线器，当用户与主机通信时，两台机器之间的数据包会被同一集线器上的其他用户监听。每个字符包括用户名和密码等重要信息，CAM（内容寻址存储器）映射表，其中记录了主机MAC地址（网络接口硬件地址）及其关联的端口（交换机端口）。当交换集线器从一个端口接收到一个帧时，它会通过 CAM 映射表检查与该帧的目的 MAC 地址对应的端口，并将该帧复制到该端口。这种交换式集线器增加了带宽并提高了网络安全性。 3.4 采用点对点通信 为了克服以太网的广播问题，将以太网通信改为点对点通信，以防止大多数基于网络监听的非法入侵。使用VLAN（Virtual Local Area Network），即虚拟局域网，禁止某些组成员访问其他组的数据，因为每个VLAN都是一个密封的、逻辑定义的组。
每个VLAN的网络流量只能由该VLAN的成员访问，其他用户不能访问部门的机密数据。该方法将网络用户按功能划分为逻辑网络，跨越了传统的物理边界，使管理更加灵活，增强了网络的安全性。实现网络安全的技术支持 网络安全主要是保证网络结构的安全。网络安全主要包括网络层身份认证、网络资源访问控制、远程访问安全、域名系统安全和入侵检测方法等。 4.1 加密认证 数据加密转换是网络中最基本的安全技术。我军指挥自动化系统要加大数据加密的研究和应用。除了加密算法和密钥的选择，网络中数据加密的两个主要问题是加密网络协议层的实现和密钥的管理和分发。数据加密技术可分为三类，即对称加密、非对称加密和不可逆加密[2]。其中，不可逆加密算法不存在密钥存储和分发的问题，适用于分布式网络系统。计算机系统中的密码使用不可逆的加密算法进行加密。近年来，随着计算机系统性能的不断提高，不可逆加密算法的应用逐渐增多。广泛用于网络系统的 Cisco 路由器有两种密码加密方法：Enable Secret 和 Enable Pass-word。其中，Enable Secret 使用 MD5
暂无评论内容