干货丨基于IPDRR安全框架的智慧机场关键信息基础设施网络安全建设项目

★ 北京天融信网络安全技术有限公司 马霄，董保开，宋锐，白彦茹，田晓扬

近年来，随着民航行业快速发展，旅客吞吐量和货运吞吐量快速增长，我国民航业的机场建设规模逐年扩大，每年均有机场新建、改扩建项目开展建设或投入使用。同时在我国数字化转型战略推进下，我国机场智慧化程度不断升级，各大机场把“智慧机场”的建设作为推动民航信息化和智能化建设的重要举措。然而，智慧机场在大规模应用大数据、人工智能、物联网、云计算等新一代信息技术的同时，不可避免遭受到各类网络安全威胁，恶意软件肆虐、黑客攻击、旅客信息泄露等都严重影响“智慧机场”信息系统的正常运行及业务的顺利开展。

此外，网络安全作为民航安全的重要内容和“智慧机场”建设的基础保障，民航局多次在全国民航工作报告中指出，需完善民航网络安全治理和综合防控，加强行业关键信息基础设施安全保护；另外《“十四五”民用航空发展规划》中也明确提出，要提升网络安全监管能力，强化网络信息系统安全保障能力等。

因此，在行业安全事件及国家法律法规的双轮驱动下，提升“智慧机场”网络安全保障能力，确保民航关键信息基础设施、重要业务信息系统和关键数据资源安全，成为民航行业重点关注的焦点之一。

机场作为一个涉及多方作业人员的庞大复杂基础服务设施，拥有航站楼、空侧、路侧等多方面复杂业务场景。本项目安全设计面向机场航站楼的生产网，其拥有自助值机、自助安检、自助行李托运等多种应用场景，各种自助服务为旅客的值机、行李、安检、登机等环节提供便捷服务。

该项目在安全建设过程中严格遵守《GB/T 22239-2019信息安全技术网络安全等级保护基本要求》《工业控制系统网络安全防护指南》《MH/T 3035-2023民用航空生产运行工业控制系统网络安全防护技术要求》等国家及行业相关政策标准要求，应用边界防护、主机防护、入侵检测、安全审计、安全管理等多种技术手段，实现机场生产网络区域边界安全隔离、工业主机安全管控、外部入侵防范、日志关联分析、安全设备集中化管理及策略联动等多维度安全能力，并以此为基础构建面向“智慧机场”生产网的综合网络安全防御体系，强化生产网网络安全监测及预警能力。

民航行业作为高度国际化、信息化的技术密集型行业，其在生产运行过程中高度依赖网络信息系统。但是，在当前复杂严峻的网络安全形势下，民航行业遭受到的网络攻击处于高发态势，网络病毒、篡改、攻击等事件层出不穷，对民航业务安全运营带来极大风险。通过对该“智慧机场”生产网业务流程进行梳理与摸底，了解到其存在网络边界模糊、外来入侵攻击、漏洞攻击、运维过程不规范、工业主机接口滥用等安全威胁。

针对该“智慧机场”生产网面临的安全风险及安全建设的不足，本项目遵循以“白名单为主，黑名单为辅”的黑白结合方式，并加以深度分析的技术手段，重点从风险识别、安全防御、安全检测、安全响应、安全恢复等方面完善“智慧机场”综合网络安全防御体系，形成全方位、细粒度、多层次、动态闭环的深度防护能力，有效抵御生产网面临的攻击威胁，降低安全事件的发生。基于IPDRR安全框架的“智慧机场”综合网络安全防御体系如图1所示。

图1 基于IPDRR安全框架的“智慧机场”综合网络安全防御体系

“智慧机场”网络布局复杂，业务系统多，网络中心从总体上可以分为终端接入网、骨干传输网及数据中心网。终端接入网主要由离岗网、动力能源网、安防网、生产网、综合业务网及对外服务网等网络组成，这些网络通过各自业务网络核心设备汇接到骨干传输网，形成全网的互联互通。各子网的业务服务器区均统一部署在数据中心网，通过骨干网络连接各自业务子网的交换机。其中机场生产网主要承载的业务有行李信息系统、安检信息系统、自助值机系统、自助行李系统等，各子系统通过交换机设备连接至骨干传输网，通过骨干网与部署在数据中心网的业务服务器实现数据交互。机场业务架构图如图2所示。

图2 机场业务架构图

（1）机场生产网、动力能源网、综合业务网等不同区域边界安全隔离与访问控制

在机场生产网、动力能源网、综合业务网、离港网、工控服务器区、调度中心各区域边界应用技术隔离手段，通过基于工业协议的深度识别，对不同区域之间的网络通信行为进行细粒度管控，限制区域间访问控制，保证对进出各区域的流量进行有效管控，阻止非法流量恶意访问并进行报警。在安防网区域边界部署物联网安全网关，对各终端设备的通信协议制定黑白名单业务规则，对资产、通信协议进行识别和控制。在对外网区域边界应用防火墙，配置访问控制策略，对非法访问进行控制。

（2）机场生产网入侵检测与恶意程序识别能力设计

在骨干网核心交换机处应用入侵检测手段，对网络中的数据流量进行深度检测、实时分析，并对网络中的攻击行为进行监测，动态地发现网络攻击行为，进行报警，同时可与工业防火墙联动进行阻断。

（3）工控主机病毒防范能力设计

在操作员站及服务器上应用基于“白名单”的工业防护产品，通过白名单防护、外设管理、基线加固等措施，提升工业主机安全防护能力。同时支持安全策略统一下发，提升运维管理能力。安全建设部署如图3所示。

图3 安全建设部署图

（4）机场生产网脆弱性识别与检测能力设计

采用工业漏洞扫描、安全基线核查渗透测试等方式，全方位、高效地检测机场生产网络中的各类脆弱性风险以及配置合规情况，为企业进行网络安全加固建设提供依据。

（5）机场生产网日志信息收集与分析能力设计

采用日志收集与分析系统，对机场生产网网络设备运行状况、网络流量、用户行为等日志信息进行收集汇总并关联性分析，方便机场管理人员了解生产网安全状况。

（6）机场生产网运维人员操作过程监管设计

采用运维审计手段，实现对用户、角色资源和行为的集中授权、账号集中管理、身份认证，以达到对权限的细粒度控制，最大限度保护用户资源安全。

 （7）机场生产网安全设备、安全策略集中管控能力设计

为满足机场管理人员对安全防护设备进行集中管控的要求，在运维管理区部署工业安全集中管理平台，通过管理平台对安全设备配置统一的安全策略，对全网的安全设备状态进行统一监控，对安全日志进行统计分析，实现全网安全状态快速预警。

（8）机场生产网网络安全态势监测与运营设计

应用工业互联网态势感知技术，依据安全基础能力的建设，形成安全策略联动、动态感知的安全分析能力，实现对全网业务态势监测预警及安全事件快速处置，通过事件监测、威胁预警、攻击溯源等多种手段相结合的方式提升“智慧机场”生产网络的安全运营水平。

（1）运营模式

从防御的角度考虑，通过部署覆盖网络、主机、应用等多个层面的安全产品，构建一个涵盖感知、分析、防护的闭环保障机制，通过工业安全集中管理平台进行整体联动与策略下发。

（2）服务模式

本应用案例面向并贯穿于整个机场生产网，为其构建综合安全防护体系，从主机安全、边界安全、网络安全等多维度展开安全能力建设，服务模式包括综合安全防护体系建设服务和安全运维服务。

本项目方案设计贴合实际业务场景，从设备安全、控制安全、网络安全、应用安全等角度出发，构建“智慧机场”关键基础设施的网络安全纵深防御体系。本项目建设完成后，全面提升了“智慧机场”生产网络整体安全性，确保了设备、系统、网络的稳定性、可靠性以及业务的正常运行。

（1）增强威胁发现能力，降低安全事件发生概率

通过本项目建设，可以及时发现网络中存在的威胁并进行报警，可以快速消除安全风险隐患，可以降低网络攻击事件发生的概率，同时可提高“智慧机场”生产网络应对突发安全事件的能力，避免造成更大的经济损失。

（2）动态进行安全防御，提升安全事件响应速度

通过联动网内各类安全设备，可以对发现的安全问题快速定位，并可制定有效的安全防御手段。利用系统的安全策略集中管理能力，可以动态调整设备安全策略、快速封堵安全漏洞、及时处置安全事件，最大程度地降低事件影响范围。

（3）提升安全运维效率，助力企业降本增效

本项目可以帮助机场全面掌握安全运行数据和安全情报、全局洞悉“智慧机场”生产网络安全态势，并结合安全资源，及时发现可能面临的安全威胁和风险，并可对安全事件及时追踪溯源，提升了安全运维效率，减少了安全运维人员工作量，降低了企业人力资源投入。

本项目的落实，保障了“智慧机场”生产网络安全、稳定、优质运行，提升了企业社会效益和经济效益，在“智慧机场”行业形成了良好的示范效应，为“智慧机场”生产网络安全建设提供了指引以及指导，并可借助此项目的建设经验以及安全技术手段，在同行业进行推广复制应用。

（1）符合国家重大发展战略要求

该项目的落地应用，可有效促进“智慧机场”生产网络安全现状提升，为“智慧机场”生产网络安全防护体系建设树立标杆；同时可营造良好的产业发展生态，保障国民经济生产及国家建设，为我国深化“互联网+先进制造业”国家重大发展战略的顺利推进起到积极作用。

（2）为“智慧机场”生产网络安全运维提供全面支持

本项目的建设实施，将安全检测、安全防御、安全恢复等技术在“智慧机场”生产网络安全防护建设中广泛应用，为“智慧机场”生产网络的安全、持续、不间断运行提供了有力的支撑保障，同时可更好地服务于社会公众。

（1）基于数据变化率监测技术

通过对机场生产网络中流量的数据报文进行完整性还原，识别报文中的控制指令，依据业务的通信行为与指令进行关联分析，并建立业务的控制行为基线，通过行为基线构建深度分析体系，同时与态势感知安全信息进行匹配分析，识别异常控制行为。

（2）建立动态安全模型，构建动态、闭环安全防御体系

该项目建设方案创新性地将动态持续性安全防护理念引入其中，以IPDRR动态安全模型为参照，结合机场生产网络分层结构及网络特性，在系统各层级内部及边界构建风险识别、安全防御、安全检测、安全响应及安全恢复的动态、闭环安全防御体系，全面提升安全运营能力。 

（3）通过安全策略联动，实现安全事件快速处置

通过收集并分析机场生产网络的资产、流量、日志、设备运行状态等相关安全数据，建立“智慧机场”生产网络安全态势模型，借助大数据分析技术，进行安全态势全方位分析、监测与预警。同时通过安全策略联动，为安全事件快速处置提供决策支撑。