遠程服務安全保障技術研究

季宏志，王 昆

（中國鐵路信息科技集團有限公司，北京 100844）

隨著互聯網技術的發展，通過有線網絡和無線網絡，實現了數據遠程傳輸及信息夸地域共享。IPv4到IPv6的升級使得網絡能夠容納更多終端，與5G等最新通信技術提供更加廣泛的信號覆蓋范圍[1-3]。從常規的數據包傳輸完成信息共享到內容更加豐富、形式更加多樣化的用戶服務的改進，使得應用需求得到極大釋放。與此同時，信息技術的應用也在不斷取得新突破，以工業產業信息化革命為主要特征的工業互聯網平臺正在進入傳統行業，針對數據來源多樣化、數據屬性復雜化及數據傳輸實時化的特點，傳統通信的單一數據傳輸模式已不能滿足要求，以語音、圖像及實時視頻為代表的遠程操控模式逐步受到相關企業平臺的青睞[4-6]。

安全防護是一個重要的問題，網絡安全已經成為網絡服務中不可忽略的問題之一。安全領域的研究中，關于網絡安全的研究已經從傳統的互聯網安全延伸到指定的網絡領域[7-10]。在遠程服務上，安全防護經歷了單一的數據加密、防火墻隔離、第二信道密碼發送到主動發現威脅并進行實時處理的階段。遠程服務作為當前網絡的主要應用方式之一在各方面均有應用，本文將針對遠程服務的現狀進行研究，分析其中的特點，并結合當前最新研究技術和鐵路遠程服務要求，探索相應的遠程服務安全保障方式。

1 遠程服務現狀

1.1 基于VPN模式的遠程服務安全保障

虛擬專用網（VPN，Virtual Private Network）是指采用隧道技術及加密、身份認證等方法通過公用網絡建立一條臨時、安全的隧道連接。VPN 具有2個含義：

（1）虛擬是指不使用長途專線建立私有數據網絡，而是將其建立在分布廣泛的公用網絡，尤其是互聯網上；

（2）它又是一個專網，能夠使每個VPN 用戶都可以基于公用網絡搭建一條屬于自己的、獨立有效的傳輸環境。

正是由于VPN技術自身具有的相關安全特性，使得基于互聯網場景的遠程服務通常采用VPN技術實現其中的接入部分。

目前， VPN 技術主要有IPSecVPN和SSLVPN。因為SSLVPN的如下特點，所以在互聯網場景的遠程服務安全保障中使用更為廣泛。

（1）使用簡便：采用SSLVPN在互聯網上進行數據傳輸時，無需安裝客戶端也無需手工配置，直接使用瀏覽器即可實現簡捷操作。

（2）安全性高：SSLVPN不僅采用隧道加密技術保證傳輸數據的安全及保密性，采用數據認證識別技術保證數據信息的完整性和合法性，采用用戶身份驗證技術保證連接用戶的可靠性，能夠提供端到端、用戶到資源的安全性。

（3）控制粒度細：SSLVPN的加密是在傳輸層之上，由于與應用層協議獨立，所以更容易提供細粒度訪問控制，可以對用戶的權限、資源、服務、文件進行更加細致的控制。

（4）系統整合簡捷：SSLVPN與第三方認證系統（如：Radius、AD、LDAP等）結合更加簡易，結合數字證書、日志管理系統的使用及與堡壘機、防火墻等安全設備聯動，能夠形成一個較好的遠程服務安全保障環境。

（5）網內控制：SSLVPN既可以允許用戶接入虛擬專網后繼續訪問互聯網服務，也能夠控制用戶與互聯網隔離。通過完全控制自身專有虛擬網絡的安全策略及網絡管理設置，能夠實現遠程服務安全保障所需的網絡要求。

通過以上說明可以看出，基于VPN模式的遠程服務安全保障技術在數據傳輸加密、用戶認證授權、業務訪問控制、堡壘機聯動防控方面都有較好的能力，但同時也看到該模式下對于終端安全防控、業務數據防護及堡壘機以外的操作記錄都管控有限。

1.2 基于云桌面模式的遠程服務安全保障

云桌面又稱桌面虛擬化，是一種替代傳統個人PC的新模式。它以云計算為基礎，通過采用虛擬化和加密技術實現各類型終端與云桌面進行連接。云桌面模式可以將用戶的桌面環境與用戶的終端設備有效解耦分開，使用戶無論身在何處，都能夠利用身邊合規的終端設備訪問桌面環境。在內部管理人員根據需求，對終端進行靈活的統一管理、統一認證，對云端資源進行統一安全的保護，對云桌面所需運維環境進行統一快捷的部署管控。

基于云桌面模式的遠程服務安全保障，由于該情況下前端顯示與后端服務相分離，所以顯示出如下的特點。

（1）數據高安全保護：由于云端數據不落地，終端只是接收和顯示相應的圖像，所以當運維有外部人員協作參與時，能夠有效杜絕內部數據被非法下載和竊取的風險。

（2）操作行為可審計：外部人員在運維過程中的所有查詢、訪問、配置、搜索等操作均可在云桌面中進行記錄，形成審計日志數據。

（3）云端終端統一管控：能夠實現對桌面的統一管控，如軟件更新、補丁升級、基線部署和防毒殺毒等，通過對外部人員統一提供運維桌面，避免了其自帶終端的網絡接入，有效地防范了第三方設備入網引起的安全隱患。

通過以上介紹可以看出，基于云桌面模式的遠程服務安全保障技術在內部數據保護、操作行為審計、終端環境管控、用戶認證授權方面都有較好的能力，同時可與VPN模式結合，發揮更好的效果。

1.3 基于企業移動管理模式的遠程服務安全保障

企業移動管理（EMM，Enterprise Mobility Management）是指通過移動信息化管理技術和手段，針對企業移動信息化建設過程涉及到的內部移動設備、應用和信息等內容提供信息化管理及安全保障的解決能力。用戶通過對智能終端進行注冊、配置EMM管理網關等相應操作，最終達到移動設備、用戶、應用以及內容的管理功能，實現對用戶從人員、設備到應用、內容的全面管控。

基于EMM模式的遠程服務安全保障，由于面對移動無線場景的管理，所以體顯出如下的特點。

（1）移動設備管理：能夠對移動設備進行統一管理。實現對移動設備操作、啟用、運維、鎖屏、位置分析等功能。可以遠程查看移動設備的程序安裝列表、硬件配置、使用情況等狀態。

（2）移動應用管理：針對單位內部App能夠實現內審渠道發布，提供必要的安全保障，結合應用策略，能夠對遠端移動設備的應用進行應用身份驗證、應用功能限制、黑白名單、遠程強制安裝、應用卸載與關閉等管理。

（3）移動內容管理：能夠保障企業移動數據的安全，防止企業敏感信息泄露。如發生設備丟失、被盜等情況，還可以通過管理后臺對設備進行遠程擦除操作。

（4）用戶行為管理：能夠追溯用戶操作行為，對行為進行記錄實現審計。

通過以上介紹可以看出，基于EMM模式的遠程服務安全保障技術，針對移動場景，在設備管理、人員管理、應用管理和內容管理等方面都有較好的防控思路，適合移動環境下的遠程服務支持。

1.4 遠程服務安全保障對比

遠程服務模式對比，如表1所示。

表1 遠程服務模式對比

2 鐵路行業遠程服務安全保障研究

2.1 鐵路行業遠程服務安全需求分析

作為國家運輸動脈的鐵路行業，在業務上具有路線覆蓋范圍廣、控制系統分散、協同性要求高等特點。針對這些特點，在鐵路系統遠程服務過程中，需要滿足用戶身份安全、系統性能正常、數據傳輸保密、行為可審計等要求。此外，由于設備的不斷升級換代，在不同場所、不同設備接口標準下需要進行數據共享以及功能聯調，在移動管理以及安全粒度控制上需要靈活設置。結合鐵路行業遠程服務的安全需求及當前遠程服務模式，在面對鐵路信息化基礎環境及平臺的遠程服務安全保障時，對不同的場景應根據實際需求和條件，分別考慮3種模式或將3種模式進行組合考慮，VPN模式和云桌面模式可以相互結合優勢互補，使1+1組合后的整體能力能夠更加有效地提供遠程服務安全保障。

2.2 零信任網絡

零信任網絡是安全防控新策略，其防控思路于2010年初次提出。主要是面向網絡安全防控中由于防控界限模糊而導致的部分安全功能削弱提出的解決方案[11-13]。當前遠程服務正在企業中不斷推進，對于企業云端與終端之間的安全鏈接、用戶終端位置頻繁發生變化的情況，以邊界安全防護為主的策略已經不能適應安全防控要求。零信任網絡是基于外部信息不能自動信任的思想而組建的網絡，對于網絡中終端、設備、網關等參與網絡傳輸行為的基本單元，其行為或介入目標沒有清楚之前，均認為是可疑對象，需要進行訪問權限檢測與確認。從結構上劃分，零信任網絡可以分為不可信任區、零信任檢測區和數據服務資源區，如圖1所示。圖中，不可信任區主要包括外來請求接入的用戶或屬性未知的設備；零信任檢測區是安全檢測與安全授權的關鍵部分，包含特定的算法與策略；數據服務資源區是目標訪問區域，包括云端、系統服務等。

圖1 零信任網絡結構

2.3 零信任策略下遠程服務安全保障策略

本文通過分析當前遠程服務模式與鐵路遠程服務的安全需求，鑒于零信任策略防護思路，提出考慮零信任策略的鐵路行業遠程服務安全保障策略。在實施遠程服務中，由于鐵路行業設備接入數量多、分布廣、隨機性較大的特點，移動性強、系統版本多樣化的設備和終端在進行遠程服務中需要進行零信任檢查。本文提出的策略從遠程服務提出開始，經歷了零信任檢查與遠程服務模式推薦等過程，如圖2所示。

圖2 零信任策略下鐵路遠程服務安全保障流程

圖2中，零信任檢查遠程服務請求的屬性，分析其身份、進行驗證并授予最小權限，同時，結合當前遠程服務需要重點防護的環節和特點等，根據鐵路行業網絡分布分為內網請求、外網請求、專網請求和其他請求的情況，選擇相應的遠程服務模式或多個模式的組合。

3 結束語

遠程服務是當前網絡服務的重要環節之一，安全保障是遠程服務的基礎。本文根據鐵路網絡遠程服務的特點及要求，結合當前遠程服務模式及安全防護最新進展，研究了零信任網絡下鐵路行業遠程服務安全保障技術，可為今后鐵路相關服務的安全保障提供有益的參考。