船岸网络信息安全管理

孙辉

【摘 要】 为保障航运企业船岸网络信息安全，维护航运企业利益，分析船岸网络安全现状，总结常见的网络攻击形式和安全漏洞，归纳处理网络攻击事件的基本步骤，提出船岸网络安全管理目标和安全团队成员岗位职责，并结合具体案例分析船岸网络信息安全管理的应用，为航运企业做好船岸网络信息安全工作提出建议。

【关键词】 船岸网络;信息安全;航运企业

0 引 言

一些航運企业已开始实施“数字化+互联网”战略，船舶运营参数及管理量化指标被转移至信息更加透明的互联网平台，船舶所有人可以通过互联网平台随时随地查看船舶动态。航运企业将船舶全权委托给第三方船舶管理公司管理，并通过互联网平台监控船舶动态。这种管理模式带来一个全新的课题：船岸网络信息化程度越高，信息系统遭受攻击导致数据泄露的风险越大。近年来已发生多起船员个人信息泄露导致的诈骗案件。这些个人信息泄露的源头是船舶管理公司的信息系统。信息泄露会给个人造成损失，而信息系统遭受病毒攻击则会给航运企业造成巨大损失。因此，信息安全对航运企业而言极为重要。

1 船岸网络管理现状

船岸网络技术的发展非常迅速，特别是海上卫星通信服务商提供的海上高速网络在资费下降后极大地提高了船舶与管理方、服务供应商、租船人和船舶所有人/经营人之间的信息交换频率。海上高速网络的普及给信息安全带来更大的隐患。网络没有物理界限，任何具有网络攻防知识并熟悉船舶扁平化网络架构的人或组织都可以通过Shodan搜索引擎获得相关信息，对船岸网络实施远程攻击。通过对卫星通信服务商IP地址段批量扫描发现：众多安装VSAT、FBB设备的船舶未加安全措施就向公网开放了21/80/445/3389等弱口令TCP、UDP端口;供应商为节约成本、方便远程维护管理，将Cobham、KVH CommBox、Inmarsat、Marlink等产品内建的管理后台映射到外网;绝大部分船舶没有配置专业的硬件防火墙，岸基管理人员缺乏专业技能，最终导致船舶网络安全得不到保障。

要做好船岸网络安全工作，首先要了解船岸网络设备运行机制和原理。船舶内网GPS、ECDIS、主机监控系统服务器等多网卡设备既通过串口总线和CANBUS、MODBUS等协议控制舵机、智能电站及压载水调平系统等设备，又通过网卡和SNMP、NMEA等协议进行网络通信，从而形成了一个可以网络远程控制的船舶物联网。由于某些船用通信协议存在设计缺陷，例如NMEA 0183协议通过明文传输，缺乏加密、身份认证和校验机制，为实施网络攻击制造了机会――攻击者只需远程更改一两个字符就可以命令船舶转向。

2 常见的网络攻击方式

广义上对船岸网络的攻击主要有两类：（1）无目标的攻击。岸基或船舶内网操作系统和第三方软件漏洞是潜在受攻击目标之一，攻击者利用0day漏洞进行广撒网式的无差别化攻击，近几年马士基航运集团和中远海运集运北美公司遭遇的网络攻击属于此类。（2）有针对性的攻击。攻击者将某船岸信息系统设定为渗透目标，利用专门开发的绕过技术和工具躲避网络防御机制（如震网病毒事件），实施多步骤攻击，其破坏程度较无目标的攻击更大。

有针对性攻击又分为以下6种类型：

（1）主动攻击。攻击者主动攻击网络安全防线。主动攻击的方式为修改或创建错误的数据流，主要攻击形式有假冒、重放、篡改消息和使网络拒绝服务等。

（2）被动攻击。攻击者监视相关信息流以获得某些信息。被动攻击基于网络跟踪通信链路或系统，用秘密抓取数据的木马程序代替系统部件。

（3）物理攻击。未被授权者在物理上接入网络、系统或设备，以达到修改、收集信息或使网络拒绝访问的目的。

（4）内部攻击。被授权修改信息安全处理系统，或具有直接访问信息安全处理系统权力的内部人员，主动传播非法获取的信息。

（5）边界攻击。网络边界由路由器、防火墙、入侵检测系统（IDS）、虚拟专用网（VPN、DMZ）和被屏蔽的子网等硬件和软件组成。硬件的操作系统与其他软件一样存在安全漏洞，攻击者可利用操作系统漏洞，绕过已知安全协议达到攻击的目的。

（6）持续性威胁。商业间谍组织可能会通过“钓鱼手法”进行攻击。如以“某某船公司2020中期战略企划书”为关键词投放电子诱饵，通过文档追踪工具进行精准定位，诱骗受害人打开附件或点击邮件链接从而入侵或破坏其信息系统。

3 船岸网络中易受攻击的系统

船岸网络中易受攻击的系统有综合船桥和电子海图系统、配载仪和船舶维修保养系统、主机遥控和能效系统、保安限制区域闭路电视监控系统和各重点舱室门禁系统、乘员服务和管理系统、面向船员娱乐的公共网络系统、船岸网络通信系统、计算机操作系统及常用软件等。

4 船舶网络安全配置建议

（1）禁用公网IP，使用URA系统远程管理。

（2）修改系统默认密码并使用高强度密码。

（3）将船岸网络操作系统和第三方软件补丁、病毒特征库升级至最新版本。

（4）对工控网络、办公网络、娱乐网络实施网络隔离和访问控制。

（5）通过策略制定公用电脑进程白名单，禁用USB接口。

（6）向船员普及网络安全风险防范知识。

（7）要求设备供应商提供必要的网络安全事件应对措施。

（8）不过度依赖远程网络监控技术，增加现场勘查频率。

5 网络攻击事件的处置步骤

（1）风险识别。定义相关人员的岗位和职责，确保在日常管理中能够及时发现可疑风险。

（2）事件预防。制定风险控制流程和应急计划，降低网络风险，防范网络攻击。

（3）事件发现。检查已确认的网络攻击事件，评估损失并制定后续恢复方案。

（4）事件恢复。制定计划使系统恢复正常运行。

（5）免疫措施。制定措施避免类似网络攻击事件再次发生。

6 网络信息安全团队岗位职责

航运企业应设立信息安全官（CISO）岗位，其职责为：建立船岸网络安全团队并管理成员，牵头制定全面的船舶网络安全应急保护计划（CSP），以持续保障船岸网络安全。团队成员岗位职责如下：

（1）对船舶VSAT/FBB设备端口映射及防火墙规则进行审核、分发、监控，熟悉Infinity、Xchange Box等通信管理系统的后台设置，监控船岸网络的可疑流量。

（2）对船岸内网信息设备和办公电脑软硬件及时更新维护，熟悉GTMailPlus、SkyfileMail、Super- Hub、RYDEX、AmosConnect等软件操作知识。

（3）定期优化单船拓扑结构和更新船岸网络病毒特征库和漏洞补丁库，不断完善船岸网络信息事故应急预案。

（4）收集供应商技术文件并集中存储，向设备和服務供应商提交并跟踪审核通导信息类设备保修工单（如KVH、Marlink、GEE、OneNet等）。

（5）跟踪记录新造船FBB、铱星移动通信系统、VSAT和船载物联网设备安装调试情况，审核通信类费用凭证。

（6）具备防火墙、路由器、入侵检测系统、交换机的丰富知识，MacOS、Windows、Linux等3大操作系统及域控、数据库的基础知识，并能熟练使用SQL、Crystal Reports提取分析数据。

（7）参与船岸网络的设计开发和信息系统的迭代开发，提出必要的安全策略规范要求。

（8）具备妥善监控并处理网络安全事件的能力和独立撰写网络安全事件调查报告的能力，并提出改进措施。

7 船岸网络信息安全管理目标

船岸网络信息安全问题从根本上说是人的问题，如何在制度上让人遵守规则，如何在技术上减少或避免人为恶意攻击，这是船岸网络信息安全组织架构设计的目标。船岸网络信息安全组织架构设计的总体目标可定义为：针对船岸网络和信息安全需要，构建系统的网络安全技术和信息防护策略及措施，通过制度管理和技术防范来规范员工行为，达到网络和信息资产安全可控的目的，最终达到“外人进不来、进来看不到、看到拿不走、拿走用不了、操作可追溯”的目的。首席信息安全总监的基本职责是建立船岸网络和信息安全团队并确保团队成员各司其职。团队成员既包括企业内部的计算机安全专家，也包括企业外部的资深律师、会计师、技术专家等。

8 经验交流

网络信息安全对于大部分人而言比较陌生。在实践中，大部分航运企业由总裁办（行政事务部）或保密部门负责网络信息安全，而网络信息安全职能又隶属话语权不高的IT部门，最终导致企业网络信息安全工作进展迟滞，制度实施缓慢。因此，建议由公司领导牵头，技术保障部门负责具体实施。有条件的航运公司应该定期针对船岸网络信息系统进行安全演习并配置网络信息安全设备，以便当船岸网络信息系统被攻击时，能够迅速作出应急反应，尽快恢复网络系统，尽可能挽回损失。此外，在员工手册、船员上船协议中应该赋予航运公司相关职能部门通过技术手段来防止内部威胁的权力，打击隐蔽性较强的涉及船岸网络的职务犯罪。

以某航运企业为例，2018年初由公司领导牵头与某船级社联合成立了船岸网络信息安全专项课题组，针对公司船岸网络的特殊性制定了一套通用船舶网络安全管理体系，并在超大型集装箱船试行《船舶网络信息安全实施指南（征求意见稿）》和相关配套制度，如《船舶网络信息资产管理办法》《船舶VSAT、局域网及防火墙设置规范》《船舶网络信息安全员岗位职责》《船员网络信息安全应知手册》等。此外，还对试点船舶就域控服务器（解决内网信息审计问题）、KMS激活服务器（解决操作系统、办公软件授权问题）、自建CA授权机构颁发数字证书（解决SHA256数据加密问题）、某开源局域网远程管理软件以及等级保护一体机硬件部署（解决病毒库、补丁库离线升级问题）等项目进行技术验证，为下一步推广应用船岸网络信息安全课题研究成果奠定了良好基础。

9 结 语

没有船岸网络信息安全就没有航运安全。随着数字化航运战略的推进，航运企业越来越依赖网络信息技术，网络信息安全事关航运企业根本利益，加强网络信息安全建设，必须通过加强制度建设和技术防范，从根本上消除信息安全隐患，促进航运企业的发展。