应对供应链攻击的铁路企业网络SDP部署方案研究

在铁路企业信息系统日益开放、拓展互联的过程中,供应链攻击成为当前铁路企业网络安全面临的主要挑战之一。而云计算、移动互联的快速发展导致铁路企业网络的传统内外网边界模糊,传统网络安全防护模式越来越难以应对各种复杂多变的攻击手段。文章基于零信任理念,结合铁路企业网络攻防演练实践,探讨将软件定义边界（SDP,Software Defined Perimeter）模型应用于防范供应链攻击;SDP控制器部署在铁路网络安全管理中心区域,主要由流量检测模块、规则控制模块、流量时间特性分析模块构成;SDP控制器通过这3个模块协同工作,辅助统一日志管理平台完成对铁路信息系统与外部系统的细粒度动态访问控制,以有效应对供应链攻击,构建更加安全的铁路企业网络安全防护体系。     

基于传染病和网络流模型分析APT攻击对列车控制系统的影响

高级可持续威胁(APT)是目前工业控制系统面临的主要威胁之一。APT攻击利用计算机设备漏洞入侵列车控制网络,感染并且扩散到网络中的其他设备,影响系统正常运行,因此评价APT攻击对列车控制系统的影响非常必要。提出一种基于传染病模型和网络流理论结合的APT攻击影响分析方法。首先,分析在APT攻击的不同阶段设备节点状态之间的转化规则,结合传染病理论建立APT攻击传播模型,研究攻击过程中的节点状态变化趋势;其次,把设备节点的状态变化融入网络流模型中,研究APT攻击过程中设备节点状态变化对列车控制网络中列车移动授权信息流的影响;最后,结合列车控制系统的信息物理耦合关系,分析APT攻击对列控系统整体性能的影响。仿真实验展现了APT攻击过程中节点状态变化的趋势,验证该方法在分析APT病毒软件在列车控制网络中的传播过程对列车控制系统整体性能影响的有效性,为管理者制定防御方案提供依据,提升列车控制系统信息安全水平。     

有限域上Chebyshev映射的周期性分析

基于有限域上Chebyshev映射的公钥密码系统的安全性直接取决于Chebyshev映射的周期性。利用矩阵变换讨论有限域ZN上Chebyshev映射的周期性问题,并给出一种快速的寻找周期的方法,从而使得对有限域上Cheyshev公钥加密方案的攻击成为可能。     

基于分离机制互联网络的移动性管理研究

基于分离机制提出一种新的互联网结构.该结构明确分离主机身份和其位置信息,分离传输层和网络层的地址功能,直接支持移动性.该结构明确分离互联网接入网和核心网,接入网和核心网内的IPv6路由伸缩性增强.本文重点给出基于分离机制的互联网移动性管理协议,支持基于主机和基于网络的移动性管理.给出移动性管理费用和切换延迟的解析模型,分析移动性和系统参数对移动性管理费用和切换延迟的影响.分析结果表明基于分离机制的互联网移动性管理协议由于位置管理相关消息经历网络处理节点较多,切换延迟较大,同时基于网络的移动性管理在减小切换延迟方面有较大优势.     

基于攻击策略的城市轨道交通网络脆弱性研究

城市轨道交通网络脆弱性评估是当前网络研究中新的热点和难点。识别并量化网络脆弱性是应对城市轨道交通系统危机状况的关键性课题。根据北京地铁网络结构,结合城市轨道交通实际运营特点,构建了网络换乘模型。从线路与换乘通道重要度两个视角,采用不同攻击策略研究并量化了网络脆弱性。研究结果表明:采用网络有效性与网络连通度作为网络脆弱性的衡量指标,并把攻击前后的重要节点(边)网络特征值下降程度作为网络脆弱性衡量标准的评估方法简便易行,具有一定的理论与应用价值。     

基于身份与位置分离体系结构的列车通信方案研究

在传统的互联网体系结构中,IP地址既作为节点的位置标志又作为节点的身份标志,难以适应列车通信。针对这一问题,提出身份与位置分离体系结构,并设计一种列车通信方案。在基于身份与位置分离体系结构的列车通信方案中,IP地址只作为节点的位置标志,引入端点标志符作为节点的身份标志,使得节点移动时也不会中断连接。列车中的节点通过移动网关接入互联网,对于MANET节点发送给互联网节点的数据报文,移动网关在转发之前需要对该数据报文重新封装;当节点移动时,利用路由更新选项和路由确认选项进行路由更新,并且这些选项都封装在IPv6逐跳选项报头中,不需要额外的信令开销。性能仿真及分析表明,与基于MIPv6的通信方式相比,该方案具有更高的报文递交率以及更低的报文开销。     

云计算环境中的一种入侵检测模型分析

本文提出了一种云计算环境中的入侵检测模型,该模型中的每个云服务器都有自身的入侵检测系统,每一组集群服务器配备一台专用的入侵检测管理服务器进行管理,并负责报警信息的相互传递.采用了容忍入侵技术,减少漏报现象为整个系统的稳定性带来的影响.该模型可以有效的抵抗拒绝服务攻击,还能通过服务器之间的相互协作防止系统遭受单个失效节点的攻击,最大程度的保证云计算服务的安全性和流畅性,以提升用户体验.     

中国标准动车组以太网控车重联模式研究

中国标准动车组列车通信网络是列车上信息交互的关键设施,与传统通信方式相比,以太网总线技术是相对较新的列车通信网络,它具有带宽大、组件灵活及成本低等优点.以中国标准动车组以太网控车为研究对象,描述了以太网控车的重联方式、位置映射,以及重联信号的判定,通过拓扑协议实现了列车的结构拓扑和信息共享,使得以太网控车技术更加快速、...     

基于孤立森林算法的铁路通信网潜在攻击检测方法研究

针对当前铁路通信网潜在攻击检测方法在识别异常攻击时忽略了对数据的降维处理,导致检测效率偏低、误报率和漏检率较高等问题,提出基于孤立森林算法的铁路通信网潜在攻击检测方法。将铁路通信网样本集通过数据类型划分为多个子集,通过对主成分进行分析,最大限度地减少不同子集间的降维影响,使各子集降维达到最佳;基于降维处理的数据,构建孤立森林潜在攻击检测器,判断数据异常行为;基于孤立森林算法更新铁路通信网潜在攻击检测器,实现铁路通信网潜在攻击检测。仿真试验结果:测试样本数量增加时,该算法的检测速率保持在90%以上,误报率和漏检率均小于等于0.02%,表明该方法在铁路通信网潜在攻击检测上具有一定的应用价值。     

一个无可信中心(t,n)门限签名方案的安全缺陷及其改进

针对王斌和李建华的无可信中心(t,n)门限签名方案(简称王-李方案),给出两种伪造签名攻击及相应的合谋攻击.指出由于王-李方案的联合秘密共享技术并没有起到实质性作用,且λi,j是通过广播方式分发的,因此存在安全隐患.为克服王-李方案的上述缺陷,提出一个改进方案.改进方案将群成员的固有私钥k,i与分布式生成的秘密份额λ,i共同作为其部分签名私钥,然后利用(k,i,λ,i)的完整信息,在随机因子t,i的作用下,联合生成部分签名和门限群签名,从而克服了王-李方案的签名方程参数退化问题.能够完全抵抗合谋攻击和伪造签名攻击.此外,改进方案还增加了对密钥影子的验证功能.分析表明,改进方案不仅具有更高的安全性,而且具有较高的效率.     

Hibernate技术在综合网管上应用的研究

介绍Hibernate技术的核心理念和在综合网管上(Integrated Network Management,INM)的应用.Hibernate和传统JDBC访问不同,它通过对象关系映射(Object Relation Mapping,ORM),把数据库数据和Java对象进行映射,设计基于Hibernate的综合网管持久层模型.     

基于iGMLC移动定位平台LB接口的研究与实现

针对传统定位方案中通过网络定位的局限性,提出一种通过实现基站控制器与服务移动位置中心的LB接口的方法,使定位系统具有独立性,可与不同网络环境的网元进行交互.基于iGMLC定位系统和3GPP的标准,研究并实现了LB gateway,使得iGMLC与GSM网元相独立.基于LB gateway的实验结果表明本文方法具有较高的适用性.     

网络电话技术及应用

网络电话技术完全不同于传统的通信技术,是新的、纯粹的网络技术的应用,与IP电话也有本质的区别.概述当前的网络电话技术及相关的技术协议、标准,介绍3种网络电话应用软件特点及使用方法,并对网络电话的未来发展进行展望.     

智能光网络技术演进及应用

首先指出了传统光网络的局限,阐述了ASON技术特点、体系结构和标准,分析传统光传送网络向智能光网络演进的优势,探讨了运营商从传统网络向ASON演进的策略、实施原则和措施等.最后给出ASON在铁通北京城域网的应用实例.     

基于贝叶斯攻击图的CBTC系统安全风险评估

先进的无线通信技术、计算机技术在城市轨道交通中的应用,在促使列控系统快速发展的同时,也使得其面临的信息安全风险日益严峻。目前,应用于传统IT和工控领域的信息安全分析方法不能很好地满足基于通信的列车自动控制系统(Communication Based Train Control System, CBTC)对信息安全分析的需求。为了提出对CBTC系统安全进行评估的方法,在分析传统工控系统信息安全标准后,从资产、脆弱性、威胁源三个角度分析CBTC系统的信息安全风险,将贝叶斯攻击图(Bayesian Attack Graph, BAG)应用到CBTC系统风险评估建模中,并以ATS子系统为例,从入侵的攻击路径和对组件脆弱性的利用方式两个方面进行考虑,构建攻击模型,通过扩充BAG模型的节点来更好地描述系统特点。最终得到ATS子系统最易发生的信息安全事件以及在考虑黑客和内部恶意工作人员的入侵时,CBTC系统的风险等级。从构建的模型可以看出,CBTC系统处于安全状态。     

基于IIS成都北站客运网络营销平台的构建与实现

在分析成都北火车站已有网络营销平台的基础上,提出并开发与之配合的成都北站客票自动销售系统,完善成都北火车站的网络营销手段,使之成为既为旅客提供信息服务又提供自动售票服务的完备的网络营销体系。使旅客能够及时、准确地获得所需要的信息与售票服务,减轻旅客购票和铁路相关部门的工作压力。     

网络隔离技术探讨

介绍网络隔离技术产生的背景及其发展过程,分析网络隔离的两种常见的方式:逻辑隔离和物理隔离,在此基础上提出一种基于逻辑与物理相结合的隔离方法,这种方法既能保证数据在网间交换的效率,又能保证从应用层到物理层的传输安全性.     

基于NS-2的网络仿真

网络仿真是进行网络组建设计和网络性能评估时的一项重要工作.分析了对网络拓扑模型进行仿真中的问题、网络仿真的环境和系统,介绍了利用仿真软件NS-2对网络拓扑模型进行仿真的结果.