WAFS数据引接系统架构分析.PDF

WAFS 数据引接系统架构分析 石磊 民航局空管局航空气象中心 北京市 100122 摘要：本文分别从网络安全、系统架构和数据引接三个方面对 WAFS 数据引接系统所涉及的 信息安全、高可用性服务以及数据获取及处理流程进行全面介绍，其中着重对四类 WAFS 数 据（OPMET、BUFR、PNG、GRIB）的获取、传输和解码处理过程进行深入解析。 关键词：WAFS 高可用性服务 共享存储 信息安全 数据解码 1. 引言 随着世界区域预报系统（WAFS）数据下发方式由卫星广播转为 Internet 方式，为能够 安全、稳定、高效的引接 WAFS 系统航空气象数据及产品，设计并实现了这一系统。在充分 满足业务需求的前提下，即兼顾总成本又达到一定高可用性的同时，并且对整个系统采取了 多种安全防护措施，最终达到信息安全相关要求，同时对获取的各类数据进行加工处理，使 之能够被民航气象数据库系统识别和使用。 作者简介 石磊（1980/09/21），男，河北，工程师，主要从事民航气象信息系统日常管理和运行维护工作。 2. 网络安全架构 2.1.网络拓扑  图 1 系统网络结构主要分为三个区域：外网区、资料接收区、资料交换区。其中配备的网络 安全设备主要有：防 DDoS 攻击设备、IPS（入侵防御系统）、单向传输设备、防火墙。整个 系统应用纵深防御策略，从网络、操作系统、应用和数据等方面，分层多处部署防护措施。 以系统承载的气象数据为核心，注重从局部计算环境防止内部的威胁，从各种不同类型的边 界区域，联合采用多种安全技术整体防御外部威胁。采取减轻风险的技术途径，尽可能减少 2 / 9 安全漏洞、尽可能阻止安全威胁、尽可能减小安全事件造成的损失，尽可能加强安全防范手 段，通过保护、检测、响应和强化安全管理等行为把安全风险减轻到最低程度。 基于以上设计原则，构建系统时选用了以下信息安全设备。 2.2.抗拒绝服务系统（ADS）  DDoS（分布式拒绝服务）通常是指黑客通过控制大量互联网上的机器（通常称为僵尸机 器），在瞬间向一个攻击目标发动潮水般的攻击。大量的攻击报文导致被攻击系统的链路被 阻塞、应用服务器或网络防火墙等网络基础设施资源被耗尽，无法为用户提供正常业务访问 [1]。而ADS 能够及时发现背景流量中各种类型的攻击流量，针对攻击类型迅速对攻击流量进 行拦截，保证正常流量的通过。 DDoS 攻击与DoS 攻击的区别： DDoS 的攻击策略侧重于通过很多“僵尸主机”（被攻击者入侵过或可间接利用的主机） 向受害主机发送大量看似合法的网络包，从而造成网络阻塞或服务器资源耗尽而导致拒绝服 务，分布式拒绝服务攻击一旦被实施，攻击网络包就会犹如洪水般涌向受害主机，从而把合 法用户的网络包淹没，导致合法用户无法正常访问服务器的网络资源。而 DoS 则侧重于利用 主机特定漏洞进行攻击导致系统网络栈失效及崩溃、主机死机等，进而无法提供正常的网络 服务功能，从而造成拒绝服务。就这两种拒绝服务攻击而言，危害较大的主要是 DDoS 攻击， 原因是很难防范，至于 DoS 攻击， 通过给主机服务器打补丁或安装防火墙软件就可以很好 地防范。 2.3.入侵防御系统（IPS）  IPS 是英文“Intrusion Prevention System”的缩写，中文意思是入侵防御系统。随 着网络攻击技术的不断提高和网络安全漏洞的不断发现，传统防火墙和 IDS 技术已经无法应 对一些安全威胁。在这种情况下，IPS 技术应运而生。对于部署在数据转发路径上的 IPS， 可以根据预先设定的安全策略，对流经的每个报文进行深度检测(协议分析跟踪、特征匹配、 流量统计分析、事件关联分析等)，如果一旦发现隐藏于其中网络攻击，可以根据该攻击的 威胁级别立即采取抵御措施，这些措施包括(按照处理力度)：向管理中心告警；丢弃该报文； 切断此次应用会话；切断此次 TCP连接。 IPS 与IDS 的区别： IDS 是英文“Intrusion Detection Systems”的缩写，中文意思是“入侵检测系统”。 就