時(shí)間：2023-07-02 09:54:04
序論：好文章的創(chuàng)作是一個(gè)不斷探索和完善的過程，我們?yōu)槟扑]十篇井下安全防護(hù)范例，希望它們能助您一臂之力，提升您的閱讀品質(zhì)，帶來更深刻的閱讀感受。
我國每年的經(jīng)濟(jì)增長態(tài)勢(shì)呈直線上升的趨勢(shì)，“三駕馬車”帶動(dòng)中國的經(jīng)濟(jì)快速發(fā)展，其中出口、投資、消費(fèi)都有賴于能源的后勤保障和供應(yīng)。對(duì)于煤炭的依賴程度已經(jīng)到了必不可少的地步。這些因素也直接帶動(dòng)了煤炭業(yè)的快速發(fā)展，其中也顯現(xiàn)出了一個(gè)問題--煤礦井下人員的安全保障。這幾年來，我國在煤炭開挖時(shí)，出現(xiàn)了很多起重大安全事故，死傷人數(shù)逐年呈遞增的趨勢(shì)，如何有效的解決這類事件的發(fā)生也引起了國家有關(guān)部門的高度重視。這里我們就引進(jìn)了基于公共服務(wù)網(wǎng)絡(luò)的煤炭安全防護(hù)信息系統(tǒng)，通過這個(gè)系統(tǒng)可以在很大的程度上降低井下發(fā)生危險(xiǎn)的概率和提高炭難營救的成功率。
一 基于網(wǎng)絡(luò)環(huán)境下煤炭信息系統(tǒng)
現(xiàn)有的煤炭信息系統(tǒng)是一種在網(wǎng)絡(luò)的模式下實(shí)現(xiàn)安全信息的全面化的系統(tǒng)，它在煤炭生產(chǎn)中很多方面都起到了作用。在很多起煤炭坍塌和爆炸事故中，救援在很多的方面遇到了相當(dāng)大的阻力，這就存在兩方面的原因。一是救援時(shí)不能明確下井的具體人數(shù)，二是對(duì)井下的結(jié)構(gòu)構(gòu)造不了解。這都給救援帶來了巨大的壓力。在煤炭的開采的中間環(huán)境，必須在整套工作的流程中確定安全的保障手段，確保采煤的過程始終在安全的環(huán)境中進(jìn)行，此外，對(duì)于井下的人員必須合理的掌握操作流程，井上工作人員的任務(wù)就是時(shí)刻保持與井下工作人員的配合。使用計(jì)算機(jī)網(wǎng)絡(luò)可以對(duì)井下的情況做出具體的評(píng)估，而基于公共服務(wù)網(wǎng)絡(luò)的井下人員檢測(cè)系統(tǒng)可以在安全受到影響時(shí)及時(shí)做出安全提示，以保證采煤過程中有相應(yīng)及時(shí)的安全的應(yīng)急措施，因此我們?cè)谶@個(gè)基礎(chǔ)上使用了公共服務(wù)網(wǎng)絡(luò)的煤炭安全防護(hù)信息系統(tǒng)。
在網(wǎng)絡(luò)環(huán)境的平臺(tái)下，對(duì)于網(wǎng)絡(luò)的要求在于數(shù)據(jù)的安全保證，對(duì)于網(wǎng)絡(luò)的交換設(shè)備的服務(wù)穩(wěn)定和安全，以及數(shù)據(jù)庫主要的數(shù)據(jù)資料必須在安全的情況下進(jìn)行完善，監(jiān)督部門可以隨時(shí)對(duì)于煤炭生產(chǎn)的現(xiàn)狀進(jìn)行了解，對(duì)于煤炭開挖井下施工的具體情況做出詳細(xì)的監(jiān)督。并且該系統(tǒng)的防護(hù)系統(tǒng)還對(duì)于智能化的施工起到了關(guān)鍵的作用。對(duì)于一些網(wǎng)絡(luò)的入侵和網(wǎng)絡(luò)的防止病毒攻擊有著一定的作用。此外，在企業(yè)利用這套系統(tǒng)可以實(shí)現(xiàn)內(nèi)部的資源系統(tǒng)共享，保障人身和網(wǎng)絡(luò)安全的同時(shí)，服務(wù)了煤炭企業(yè)的發(fā)展。
二 網(wǎng)絡(luò)安全信息防護(hù)系統(tǒng)特點(diǎn)
基于現(xiàn)有的網(wǎng)絡(luò)的煤炭安全防護(hù)信息系統(tǒng)主要的作用是起到安全防護(hù)的作用。在井上安裝計(jì)算機(jī)的終端系統(tǒng)，用數(shù)據(jù)線連接井下的數(shù)據(jù)初口。初口連接的是兩個(gè)識(shí)別卡系統(tǒng)。這里所說的識(shí)別卡都是在末端安裝了高靈敏度的傳感器，當(dāng)井下的溫度和空氣含量一旦發(fā)生變化，識(shí)別卡就會(huì)在第一時(shí)間將數(shù)據(jù)傳輸?shù)接?jì)算機(jī)信息終端，技術(shù)人員就可以根據(jù)數(shù)據(jù)的變化，即時(shí)的分析出此刻井下的相關(guān)情況，作出應(yīng)急方案。在這里，系統(tǒng)兩端的讀卡器會(huì)一起將數(shù)據(jù)傳輸出去，不會(huì)引起任何的干擾。
在開挖的過程中，一旦存在安全隱患預(yù)警系統(tǒng)就會(huì)及時(shí)作出報(bào)警響應(yīng)。其中包括氣體壓力的測(cè)試和機(jī)械磨損檢測(cè)。系統(tǒng)中采用的是并聯(lián)電路，蓄電池是24小時(shí)循環(huán)放電，讓整個(gè)系統(tǒng)處于運(yùn)轉(zhuǎn)狀態(tài)，我們利用傳感器在壓力感知方面靈敏度高、動(dòng)態(tài)數(shù)據(jù)采集快、適應(yīng)能力強(qiáng)的特點(diǎn)，在傳感器末端安裝了電容測(cè)變器。日常的工作狀態(tài)下，這套系統(tǒng)的任務(wù)是時(shí)刻檢測(cè)，在危機(jī)發(fā)生時(shí)，系統(tǒng)就會(huì)發(fā)出警報(bào)，好讓井下的人員盡快撤離，也可以讓井上的技術(shù)人員作出及時(shí)的決策。
井上的控制中心的計(jì)算機(jī)會(huì)根據(jù)這些動(dòng)態(tài)分布掌握每個(gè)人員的實(shí)際所在位置，對(duì)于調(diào)度方面起到了幫助作用。系統(tǒng)也可以單個(gè)或者多個(gè)對(duì)井下的人員進(jìn)行單方面的呼叫，掌握他們的工作時(shí)間和離井時(shí)間，把開挖的指令傳達(dá)給每個(gè)人。系統(tǒng)也可以根據(jù)分布情況對(duì)井下的巡查人員進(jìn)行監(jiān)督。如對(duì)瓦斯?jié)舛葯z測(cè)人員、實(shí)時(shí)溫度檢測(cè)人員。在很長的一段時(shí)間內(nèi)，計(jì)算機(jī)系統(tǒng)可以根據(jù)以上監(jiān)控作出相關(guān)的分析，得出技術(shù)員所需要的相關(guān)參數(shù)指標(biāo)。了解每個(gè)施工人員的出勤率、總出勤時(shí)間、遲到和早退的記錄和未到工作崗位的次數(shù)等等。如果在煤炭發(fā)生的突發(fā)時(shí)間，技術(shù)人員可以根據(jù)這套人員定位系統(tǒng)及時(shí)抽調(diào)出當(dāng)時(shí)的工作動(dòng)態(tài)情況，根據(jù)電腦中顯示的人員分布情況，作出救援安排和部署。
在基于網(wǎng)絡(luò)環(huán)境下的煤炭安全信息防護(hù)系統(tǒng)的使用中，先是打開電路，系統(tǒng)會(huì)自動(dòng)更新，將上次的數(shù)據(jù)自動(dòng)保存在硬盤中，然后自身啟動(dòng)重啟格式化的功能。這時(shí)系統(tǒng)會(huì)提示是否將井下的及時(shí)情況監(jiān)控與計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)聯(lián)接。一旦系統(tǒng)聯(lián)接了就會(huì)跳轉(zhuǎn)到ARP模式中，選擇HCP和HTTP處理。
三 煤炭企業(yè)信息化管理安全模式
對(duì)于網(wǎng)絡(luò)環(huán)境下的煤炭信息網(wǎng)絡(luò)系統(tǒng)，必須在保證網(wǎng)絡(luò)安全的基礎(chǔ)上實(shí)現(xiàn)管理的策略性發(fā)展，將具體的安全網(wǎng)絡(luò)信息化管理和維護(hù)落實(shí)到企業(yè)管理的實(shí)處。
（1）使用目前世界先進(jìn)的安全技術(shù)和產(chǎn)品（包括使用防火墻、入侵檢測(cè)、防病毒和容災(zāi)備份等）。
1.云計(jì)算技術(shù)目前的發(fā)展
云計(jì)算的概念自2006年被Google提出之后，就在ICT產(chǎn)業(yè)界產(chǎn)生了巨大反響，Google，微軟，IBM，英特爾等ICT巨頭公司積極跟進(jìn)云計(jì)算的研究以及云計(jì)算業(yè)務(wù)和應(yīng)用的部署。關(guān)于云計(jì)算的理解，定義目前就有幾十種，其中得到業(yè)界最廣泛接受的，是由美國國家標(biāo)準(zhǔn)和技術(shù)研究院（NIST）提出的：云計(jì)算是一種通過網(wǎng)絡(luò)以便捷、按需的形式從共享的可配置的計(jì)算資源池（這些資源包括網(wǎng)絡(luò)、服務(wù)器、存儲(chǔ)、應(yīng)用和服務(wù)）中獲取服務(wù)的業(yè)務(wù)模式。云計(jì)算業(yè)務(wù)資源應(yīng)該支持通過簡潔的管理或交互過程快速的部署和釋放。
NIST對(duì)于云計(jì)算的定義，從根本上規(guī)范了其業(yè)務(wù)模式和特征。NIST給出的定義中還包含云計(jì)算的基本特征：按需自助服務(wù)，構(gòu)建資源池，廣泛的寬帶網(wǎng)絡(luò)接入，供可測(cè)量，快速彈性的，按使用量計(jì)費(fèi)的服務(wù)等。根據(jù)云的使用范圍及運(yùn)營模式的不同，描述了云的4種部署模式：公有云、私有云、社區(qū)云、混合云。
就我國而言，云計(jì)算更合乎中國經(jīng)濟(jì)向服務(wù)型、高科技型轉(zhuǎn)變的趨勢(shì)，政府和醫(yī)療信息化、三網(wǎng)融合，大量迅速成長的電子商務(wù)應(yīng)用，使我國云計(jì)算具有強(qiáng)大的市場前景，云計(jì)算的時(shí)代已經(jīng)到來。
2.云計(jì)算環(huán)境下面臨的信息安全問題
云計(jì)算迅速發(fā)展的同時(shí)，也面臨著信息安全的巨大挑戰(zhàn)。目前安全問題已成為困擾云計(jì)算更大發(fā)展的一個(gè)最重要因素。某種程度上，關(guān)于云計(jì)算安全問題的解決與否及如何解決，將會(huì)直接決定云計(jì)算在未來的發(fā)展走勢(shì)。
隨著云計(jì)算在各領(lǐng)域內(nèi)的快速發(fā)展，安全事件也頻繁發(fā)生：亞馬遜云計(jì)算平臺(tái)出現(xiàn)了大范圍的故障；微軟Azure云計(jì)算平臺(tái)徹底崩潰，大量用戶數(shù)據(jù)丟失；谷歌公司泄露了客戶私人信息等等。根據(jù)云計(jì)算的定義和相關(guān)概念的理解，云計(jì)算的操作模式是將用戶數(shù)據(jù)和相應(yīng)的計(jì)算任務(wù)交給全球運(yùn)行的服務(wù)器網(wǎng)絡(luò)和數(shù)據(jù)庫系統(tǒng)，用戶數(shù)據(jù)的存儲(chǔ)，以及用戶數(shù)據(jù)的處理和保護(hù)等操作，都是在“云”中完成的。這樣，就不可避免地使用戶的數(shù)據(jù)處于一種可能被破壞和竊取的不安全狀態(tài)，并且也有更多更詳細(xì)的個(gè)人隱私信息曝露在網(wǎng)絡(luò)上，存在非常大的泄露風(fēng)險(xiǎn)。
云計(jì)算安全事件頻發(fā)，其穩(wěn)定性、安全性、完整性等都是亟待解決的問題；加上公共平臺(tái)的開放和不可控性，急需一套針對(duì)云計(jì)算的信息安全防護(hù)方案。云計(jì)算環(huán)境下的信息安全防護(hù)體系的建立，必將使云計(jì)算得以更加健康、有序的發(fā)展。
3.云技術(shù)環(huán)境信息安全防護(hù)方案探索
3.1 體系結(jié)構(gòu)的總體防護(hù)
云計(jì)算安全體系結(jié)構(gòu)可以劃分為數(shù)據(jù)安全、虛擬化服務(wù)安全、基礎(chǔ)網(wǎng)絡(luò)安全三部分。數(shù)據(jù)安全即保障云計(jì)算海量數(shù)據(jù)存儲(chǔ)、傳輸并實(shí)現(xiàn)數(shù)據(jù)安全隔離的支撐平臺(tái)的安全；虛擬化服務(wù)安全即保障整合、處理各種虛擬化資源，提供“按需服務(wù)”的承載平臺(tái)的安全；基礎(chǔ)網(wǎng)絡(luò)安全即保障各類計(jì)算資源基于統(tǒng)一基礎(chǔ)架構(gòu)的網(wǎng)絡(luò)接入和運(yùn)行平臺(tái)的安全。
（1）數(shù)據(jù)安全
數(shù)據(jù)傳輸安全：云環(huán)境下用戶的數(shù)據(jù)信息從終端到云計(jì)算環(huán)境的傳輸中，數(shù)據(jù)信息容易被截獲，可采用在云端部署SSL VPN網(wǎng)關(guān)的接入方案，以保證用戶端到云端數(shù)據(jù)的安全訪問和接入。云端部署SSL VPN網(wǎng)關(guān)示意圖如圖1所示。
圖1 云端部署SSL VPN網(wǎng)關(guān)示意圖
利用SSL VPN技術(shù)，可以隨時(shí)隨地的在客戶端與資源中心之間建立一個(gè)私密通道，保證不同客戶信息私密性，可采用的防護(hù)技術(shù)包括：不同客戶訪問相應(yīng)云計(jì)算資源的身份認(rèn)證與鑒權(quán)；客戶端和云端數(shù)據(jù)流加密；終端用戶的準(zhǔn)入管理（補(bǔ)丁管理、殺毒軟件升級(jí)等）；防數(shù)據(jù)泄漏；自主訪問控制；標(biāo)記和強(qiáng)制訪問控制；系統(tǒng)安全審計(jì)；用戶數(shù)據(jù)完整性保護(hù)；用戶數(shù)據(jù)保密性保護(hù)；客體安全重用以及程序可信執(zhí)行保護(hù)。
用戶身份鑒別應(yīng)支持用戶標(biāo)識(shí)和用戶鑒別。在每一個(gè)用戶注冊(cè)到系統(tǒng)時(shí)，應(yīng)采用用戶名和用戶標(biāo)識(shí)符標(biāo)識(shí)用戶身份，并確保在系統(tǒng)整個(gè)生存周期中用戶標(biāo)識(shí)的唯一性；在每次用戶登錄系統(tǒng)時(shí)，應(yīng)采用受安全管理中心控制的令牌、口令、基于生物特征、數(shù)字證書以及其他具有相應(yīng)安全強(qiáng)度的兩種或兩種以上的組合機(jī)制進(jìn)行用戶身份的鑒別，并對(duì)鑒別數(shù)據(jù)進(jìn)行保密性和完整性保護(hù)。
數(shù)據(jù)完整性保護(hù)：應(yīng)采用密碼等技術(shù)支持的完整性校驗(yàn)機(jī)制，檢驗(yàn)存儲(chǔ)和處理的用戶數(shù)據(jù)的完整性，以發(fā)現(xiàn)其完整性是否被破壞，且在其受到破壞時(shí)能對(duì)重要數(shù)據(jù)進(jìn)行恢復(fù)。
數(shù)據(jù)保密性保護(hù)：應(yīng)采用密碼等技術(shù)支持的保密性保護(hù)機(jī)制，對(duì)在安全計(jì)算環(huán)境中存儲(chǔ)和處理的用戶數(shù)據(jù)進(jìn)行保密性保護(hù)。
（2）虛擬化服務(wù)安全
“按需服務(wù)”是云計(jì)算平臺(tái)的終極目標(biāo)，只有借助虛擬化技術(shù)，才可能根據(jù)需求，提供個(gè)性化的應(yīng)用服務(wù)和合理的資源分配。無論是基礎(chǔ)的網(wǎng)絡(luò)架構(gòu)，還是存儲(chǔ)和服務(wù)器資源，都必須要支持虛擬化，才能提供給用戶端到端的云計(jì)算服務(wù)。因此，在云計(jì)算數(shù)據(jù)中心內(nèi)部，應(yīng)采用VLAN和分布式虛擬交換機(jī)等技術(shù)，通過虛擬化實(shí)例間的邏輯劃分，實(shí)現(xiàn)不同用戶系統(tǒng)、網(wǎng)絡(luò)和數(shù)據(jù)的安全隔離。
在多租戶情況下，云聯(lián)數(shù)據(jù)中心的所有安全設(shè)備應(yīng)支持1：N的虛擬化，形成端到端的虛擬通道。每個(gè)安全設(shè)備經(jīng)過虛擬化后，都可實(shí)現(xiàn)關(guān)鍵特性的多實(shí)例配置，比如防火墻的多實(shí)例、支持獨(dú)立的安全域劃分及策略配置。
實(shí)現(xiàn)跨設(shè)備鏈路聚合，簡化網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，便于管理維護(hù)和配置，消除“網(wǎng)絡(luò)環(huán)路”，增強(qiáng)網(wǎng)絡(luò)的可靠性，提高鏈路的利用率，可采取橫向網(wǎng)絡(luò)虛擬整合，即N：1網(wǎng)絡(luò)虛擬化。
每個(gè)虛擬設(shè)備都應(yīng)具備獨(dú)立的管理員權(quán)限，實(shí)現(xiàn)用戶的分級(jí)管理，如圖2所示，可以隨時(shí)監(jiān)控、調(diào)整策略的配置實(shí)現(xiàn)情況?？梢詫⒐芾韱T劃分為多級(jí)進(jìn)行管理，不同的級(jí)別具有不同的管理權(quán)限和訪問權(quán)限。通過靈活的用戶訪問控制，對(duì)虛擬機(jī)的配置和遠(yuǎn)程訪問權(quán)限進(jìn)行保護(hù)。
采用虛擬防火墻和虛擬設(shè)備管理軟件為虛擬機(jī)環(huán)境部署安全防護(hù)策略，且采用防惡意軟件，建立補(bǔ)丁管理和版本管理機(jī)制，及時(shí)防范因虛擬化帶來的潛在安全隱患。
圖2 用戶分級(jí)示意圖
（3）基礎(chǔ)網(wǎng)絡(luò)安全
基礎(chǔ)網(wǎng)絡(luò)是指地理位置不同的的是數(shù)據(jù)中心和用戶終端的互聯(lián)。應(yīng)采用可信網(wǎng)絡(luò)連接機(jī)制，通過對(duì)連接到通信網(wǎng)絡(luò)的設(shè)備進(jìn)行可信檢驗(yàn)，以確保接入通信網(wǎng)絡(luò)的設(shè)備真實(shí)可信，防止設(shè)備的非法接入?；A(chǔ)網(wǎng)強(qiáng)調(diào)的是無收斂和精細(xì)化，相應(yīng)對(duì)安全設(shè)備也提出相應(yīng)的要求，在園區(qū)網(wǎng)，安全設(shè)備性能要滿足與網(wǎng)絡(luò)相匹配的性能的需求，且應(yīng)可以實(shí)現(xiàn)隨著業(yè)務(wù)發(fā)展需要，靈活的擴(kuò)減防火墻、入侵防御、流量監(jiān)管、負(fù)載均衡等安全功能，解決在安全設(shè)備端口不足和自身處理性能不足情況下靈活擴(kuò)展問題，實(shí)現(xiàn)安全和網(wǎng)絡(luò)設(shè)備高度融合。
3.2 應(yīng)用層面的安全防護(hù)
由于云環(huán)境的靈活性、開放性、公眾可用性等特性，給應(yīng)用安全帶來了很多挑戰(zhàn)。
對(duì)于企業(yè)終端用戶而言，企業(yè)應(yīng)做風(fēng)險(xiǎn)評(píng)估，比較數(shù)據(jù)存在云中和存儲(chǔ)在自己內(nèi)部數(shù)據(jù)中心的潛在風(fēng)險(xiǎn)，比較各家云服務(wù)供應(yīng)商，把選擇縮減到幾家，并取得優(yōu)選者的服務(wù)水平保證。云服務(wù)供應(yīng)商在云主機(jī)上部署的Web應(yīng)用程序應(yīng)當(dāng)充分考慮來自互聯(lián)網(wǎng)的威脅。企業(yè)終端用戶應(yīng)該清楚指定哪些服務(wù)和任務(wù)由公司內(nèi)部的IT人員負(fù)責(zé)、哪些服務(wù)和任務(wù)交由云服務(wù)供應(yīng)商負(fù)責(zé)。隨著虛擬化技術(shù)的廣泛應(yīng)用，許多用戶喜歡在桌面或筆記本電腦上使用虛擬機(jī)來區(qū)分工作。通常這些虛擬機(jī)甚至都沒有達(dá)到補(bǔ)丁級(jí)別，這些系統(tǒng)被暴露在網(wǎng)絡(luò)上更容易被黑客利用成為流氓虛擬機(jī)。對(duì)于企業(yè)客戶，應(yīng)該從制度上規(guī)定連接云計(jì)算應(yīng)用的PC機(jī)禁止安裝虛擬機(jī)，并且對(duì)PC機(jī)進(jìn)行定期檢查。
對(duì)于使用云服務(wù)的終端用戶而言，應(yīng)該保證自己計(jì)算機(jī)的安全。在用戶的終端上部署安全軟件，包括反惡意軟件、防病毒、個(gè)人防火墻及IPS類型的軟件。目前，互聯(lián)網(wǎng)瀏覽器已經(jīng)普遍成為云服務(wù)應(yīng)用的客戶端，但不幸的是所有的互聯(lián)網(wǎng)瀏覽器毫無例外地存在軟件漏洞，這些軟件漏洞加大了終端用戶被攻擊的風(fēng)險(xiǎn)，從而影響云計(jì)算環(huán)境應(yīng)用的安全。因此云用戶應(yīng)該采取必要措施保護(hù)瀏覽器免受攻擊，在云環(huán)境中實(shí)現(xiàn)端到端的安全。云用戶應(yīng)使用自動(dòng)更新功能，定期完成瀏覽器打補(bǔ)丁和更新及殺毒工作。
云用戶還應(yīng)使用過濾器，目的在于監(jiān)視哪些數(shù)據(jù)離開了用戶的網(wǎng)絡(luò)，從而自動(dòng)阻止敏感數(shù)據(jù)外泄。這些數(shù)據(jù)涉及到用戶的個(gè)人隱私，用戶可以對(duì)過濾器系統(tǒng)進(jìn)行安全配置，以防止數(shù)據(jù)在用戶不知情的狀態(tài)下被泄露，防止由此造成的用戶自身數(shù)據(jù)的安全性降低。
4.結(jié)束語
安全問題已經(jīng)成為困擾云計(jì)算更大發(fā)展的一個(gè)最重要因素。在某種程度上，關(guān)于云計(jì)算安全問題的解決與否以及如何解決等，將會(huì)直接決定著云計(jì)算在未來的發(fā)展走勢(shì)。關(guān)于云計(jì)算安全問題的解決，需要考慮到云計(jì)算安全的成因，多管齊下，從技術(shù)、標(biāo)準(zhǔn)、法律以及業(yè)務(wù)監(jiān)管等多個(gè)方面來進(jìn)行綜合考慮；還需要云平臺(tái)提供商，系統(tǒng)集成商，云服務(wù)提供商，殺毒軟件廠商等的共同努力。隨著整個(gè)云計(jì)算產(chǎn)業(yè)鏈的不懈努力，云計(jì)算環(huán)境應(yīng)用及服務(wù)必將朝著可信、可靠、可持續(xù)的方向健康發(fā)展。
參考文獻(xiàn)：
[1]NIST..
[2]胡志昂，范紅.信息系統(tǒng)等級(jí)保護(hù)安全建設(shè)技術(shù)方案設(shè)計(jì)實(shí)現(xiàn)與應(yīng)用[M].電子工業(yè)出版社，2010.
中圖分類號(hào)：TP393.08
1 研究背景
隨著虛擬化技術(shù)不斷成熟及普及，各行業(yè)掀起了數(shù)據(jù)中心虛擬化改造的熱潮。虛擬化技術(shù)給數(shù)據(jù)中心的運(yùn)營帶來了很大的改變，IT部門無需再因?yàn)樾聵I(yè)務(wù)的上線而考慮購置新的設(shè)備、計(jì)算電力及冷卻系統(tǒng)是否能夠承載新業(yè)務(wù)的上線，僅僅只需要從虛擬計(jì)算池中劃出適合的計(jì)算資源構(gòu)建虛擬服務(wù)器即可將新業(yè)務(wù)上線，提高數(shù)據(jù)中心計(jì)算資源的使用率。虛擬服務(wù)器通過與虛擬計(jì)算平臺(tái)中的虛擬交換網(wǎng)絡(luò)進(jìn)行連接從而達(dá)到他們之間的數(shù)據(jù)交換的目的，由于數(shù)據(jù)始終在虛擬計(jì)算平臺(tái)中交互使得數(shù)據(jù)中心的區(qū)域邊界變得越發(fā)模糊，同時(shí)外部物理安全設(shè)備無法對(duì)數(shù)據(jù)進(jìn)行檢測(cè)分析，導(dǎo)致無法對(duì)數(shù)據(jù)的流向以及內(nèi)容進(jìn)行有效的控制，由此帶來了數(shù)據(jù)的不可視、不可控等問題，另外虛擬服務(wù)器的故障遷移的隨機(jī)性使得物理安全設(shè)備的策略調(diào)整帶來非常大的挑戰(zhàn)。因此，對(duì)于解決虛擬計(jì)算環(huán)境的邊界安全問題，傳統(tǒng)網(wǎng)關(guān)技術(shù)早已束手無策，而此時(shí)更需要依靠下一代網(wǎng)關(guān)相關(guān)技術(shù)來提供一套體系化的邊界安全解決方案。
2 數(shù)據(jù)中心虛擬化安全需求
在利用現(xiàn)有成熟安全防護(hù)技術(shù)解決好當(dāng)前信息安全存在的普遍性安全威脅后，現(xiàn)階段虛擬化環(huán)境下的安全防護(hù)重點(diǎn)主要考慮虛擬機(jī)與虛擬機(jī)和虛擬機(jī)與客戶端之間交互流量安全問題。分析虛擬環(huán)境下流量的流向，對(duì)于虛擬化環(huán)境下流量的可視化和管控有重要意義，目前對(duì)于虛擬機(jī)的數(shù)據(jù)流向可以分為2類：縱向流量和橫向流量。
3 虛擬化環(huán)境下縱向流量分析
目前多數(shù)數(shù)據(jù)中心的虛擬化建設(shè)都處于單中心虛擬環(huán)境階段，通過引入虛擬化技術(shù)建立虛擬計(jì)算池，逐步將應(yīng)用系統(tǒng)遷移至虛擬化平臺(tái)上，這個(gè)階段初期典型特征就是實(shí)體服務(wù)器及虛擬服務(wù)器共存，先將非重要業(yè)務(wù)遷移到虛擬平臺(tái)上，重要業(yè)務(wù)系統(tǒng)仍部署于實(shí)體服務(wù)器上，如下圖所示：
圖1
初期階段虛擬化平臺(tái)搭建主要是客戶端去訪問虛擬環(huán)境下的虛擬機(jī)。這個(gè)階段虛擬化環(huán)境下網(wǎng)絡(luò)的流量以縱向?yàn)橹?，縱向流量主要是外部客戶端到虛擬機(jī)的訪問請(qǐng)求，以及在同一臺(tái)宿主機(jī)上的不同虛擬機(jī)通過物理接入交換機(jī)和客戶端進(jìn)行的數(shù)據(jù)交互。業(yè)務(wù)服務(wù)器通過物理交換機(jī)到達(dá)安全設(shè)備進(jìn)行過濾，針對(duì)虛擬服務(wù)器的訪問大多需要通過接入層交換機(jī)及安全設(shè)備，這種模式下的安全防護(hù)仍以傳統(tǒng)的安全防護(hù)方式為主，與傳統(tǒng)的數(shù)據(jù)中心的安全防護(hù)相比沒有本質(zhì)區(qū)別，可以在業(yè)務(wù)服務(wù)器區(qū)域邊界部署邊界網(wǎng)關(guān)類安全產(chǎn)品，同時(shí)在數(shù)據(jù)交互的物理交換機(jī)部署網(wǎng)絡(luò)審計(jì)系統(tǒng)或入侵檢測(cè)系統(tǒng)，對(duì)虛擬化環(huán)境下的虛擬機(jī)做安全防護(hù)和審計(jì)及病毒檢測(cè)。
4 虛擬化環(huán)境下橫向流量分析
完成基礎(chǔ)虛擬化平臺(tái)搭建后，企業(yè)大部分業(yè)務(wù)都遷移到虛擬平臺(tái)上，由于業(yè)務(wù)種類的不同，需要在虛擬平臺(tái)內(nèi)劃分安全域，如下圖所示：
圖2
虛擬平臺(tái)承載業(yè)務(wù)的增加以及安全域劃分后，同一層次上不同安全域和同一安全域的虛擬機(jī)之間的互訪增多，這時(shí)網(wǎng)絡(luò)的流量以橫向?yàn)橹?。橫向流量安全問題是指在虛擬環(huán)境下，虛擬機(jī)之間互訪流量不可視、不可控所產(chǎn)生的特定問題。在同一臺(tái)宿主機(jī)上的不同虛擬機(jī)之間交互，所產(chǎn)生的網(wǎng)絡(luò)流量，不通過物理接入交換機(jī)，導(dǎo)致傳統(tǒng)網(wǎng)絡(luò)安全設(shè)備無法對(duì)同宿主機(jī)上的不同虛擬機(jī)之間交互流量進(jìn)行監(jiān)控，同時(shí)無法對(duì)虛擬機(jī)與虛擬機(jī)之間做安全隔離。一旦同宿主機(jī)上的一臺(tái)虛擬機(jī)被黑客入侵取得控制權(quán)限，就可以對(duì)同宿主機(jī)上的其他虛擬機(jī)發(fā)起攻擊，由于同宿主機(jī)上的不同虛擬機(jī)沒有任何安全防護(hù)措施，且無法對(duì)流量進(jìn)行監(jiān)控，黑客很容易在用戶不知情情況下獲得整個(gè)服務(wù)器群的控制權(quán)。從安全防護(hù)角度看需要能夠識(shí)別橫向流量，判斷是否符合相關(guān)安全策略，且應(yīng)該能夠判斷出數(shù)據(jù)流是否具有攻擊特征。
5 虛擬化環(huán)境安全防護(hù)
虛擬環(huán)境下將各種應(yīng)用均遷移到虛擬計(jì)算環(huán)境中，出于各種安全需求虛擬計(jì)算環(huán)境中仍需按照原有架構(gòu)進(jìn)行安全域的劃分，按照相關(guān)安全標(biāo)準(zhǔn)域內(nèi)及域間的網(wǎng)絡(luò)流量需要做到可控、可視及可記錄，從技術(shù)思路與網(wǎng)絡(luò)防護(hù)上主要有以下兩種方式：
一種方式是將物理安全網(wǎng)關(guān)移植到虛擬平臺(tái)上，以虛擬安全網(wǎng)關(guān)形式接入虛擬計(jì)算平臺(tái)的vSwitch上，接著通過在虛擬平臺(tái)引入安全接入引擎將所有虛擬系統(tǒng)數(shù)據(jù)導(dǎo)入虛擬安全網(wǎng)關(guān)上進(jìn)行控制及過濾后再發(fā)往相應(yīng)的目的虛擬系統(tǒng)，主要是配合IEEE 802.1Qbg和802.1BR等標(biāo)準(zhǔn)協(xié)議，首先將數(shù)據(jù)轉(zhuǎn)發(fā)到外部網(wǎng)絡(luò)接口上去，如果服務(wù)器內(nèi)部同一vlan內(nèi)的VM間通信，數(shù)據(jù)也需要先轉(zhuǎn)發(fā)出去，再從網(wǎng)絡(luò)轉(zhuǎn)發(fā)回服務(wù)器內(nèi)尋找對(duì)應(yīng)的目的VM，從而達(dá)到虛擬系統(tǒng)間數(shù)據(jù)交互的可視、可控及可審計(jì)的目的。此方案對(duì)數(shù)據(jù)中心網(wǎng)絡(luò)的改動(dòng)較小，能夠很好的滿足數(shù)據(jù)中心改造的需求，但其虛擬安全網(wǎng)關(guān)也存在需要占用物理服務(wù)器計(jì)算資源的問題，所以對(duì)物理服務(wù)器的性能有很高的要求。
另外一種方式是將虛擬系統(tǒng)的數(shù)據(jù)交換仍然交由物理網(wǎng)絡(luò)設(shè)備執(zhí)行，安全控制及過濾則由物理安全設(shè)備負(fù)責(zé)，所以這種方式就需要在數(shù)據(jù)中心中加入一臺(tái)物理交換機(jī)，這臺(tái)交換機(jī)需要給每個(gè)虛擬系統(tǒng)流量打個(gè)全局唯一的標(biāo)簽，虛擬平臺(tái)外部物理設(shè)備應(yīng)能夠識(shí)別這種標(biāo)簽，并能夠以虛擬系統(tǒng)為單位執(zhí)行安全過濾及交互。虛擬機(jī)之間的流量都牽引到物理接入交換機(jī)上，但由于物理服務(wù)器內(nèi)部交互流量兩次通過物理網(wǎng)卡與物理接入交換機(jī)之間的鏈路，部署時(shí)需要保證擁有足夠的網(wǎng)絡(luò)帶寬余量，所以要求加入數(shù)據(jù)中心的這臺(tái)物理交換機(jī)要有足夠的轉(zhuǎn)發(fā)性能，這種方案要求網(wǎng)絡(luò)基礎(chǔ)設(shè)備及安全設(shè)備需要支持和識(shí)別這類標(biāo)簽，因這種方案需要對(duì)物理設(shè)備進(jìn)行升級(jí)改造，故而這種方案并不適用于已在用數(shù)據(jù)中心的改造。
6 展望
未來云平臺(tái)虛擬化的技術(shù)將向多中心虛擬環(huán)境和數(shù)據(jù)中心云平臺(tái)為用戶提供按需服務(wù)（IaaS、PaaS、SaaS）發(fā)展，在云平臺(tái)發(fā)展的三個(gè)階段虛擬平臺(tái)內(nèi)部的數(shù)據(jù)交互有著不同的需要，對(duì)安全系統(tǒng)的建設(shè)也有不同的要求，本文通過對(duì)云平臺(tái)上現(xiàn)階段虛擬環(huán)境下存在橫向流量和縱向流量進(jìn)行了分析，提出了安全防護(hù)需求和安全防護(hù)建設(shè)的建議，確保傳統(tǒng)IT基礎(chǔ)架構(gòu)向虛擬化、云計(jì)算架構(gòu)的平滑遷移。
參考文獻(xiàn)：
[1]云計(jì)算關(guān)鍵領(lǐng)域安全指南[Z].Cloud Security Alliance，2009.
中圖分類號(hào)：TP393文獻(xiàn)標(biāo)識(shí)碼：A文章編號(hào)：1009-3044(2011)28-6874-02
The Introduction about Safeguarding Internet Experiment In Open and Distance
YU Hai-wen
(College ofInformation Engineering Nanchang University ,Nanchang 330000,China)
Abstract：Under the environment about new Experiment management In Open and Distance，we introduce the potential safety hazard of the LAB,and we also investigate 2 kinds of project about the safeguarding of internet.
Key words：the Lab in open and distance; the firwall basede on internet; thefiiewall
網(wǎng)絡(luò)安全，一直是威脅著網(wǎng)上信息安全的重要話題。
所存在的安全隱患可能有：
非超級(jí)用戶在未獲得相應(yīng)權(quán)限情況下非法登陸服務(wù)器或其他設(shè)備，恣意篡改合法用戶的賬號(hào)密碼；恣意篡改網(wǎng)絡(luò)設(shè)備（路由器、交換機(jī)）的參數(shù)，導(dǎo)致無法正常實(shí)驗(yàn)；篡改正常的學(xué)生預(yù)約實(shí)驗(yàn)安排；等等。這些問題的出現(xiàn)，都隱射一個(gè)問題：在給予學(xué)生人性化的實(shí)驗(yàn)環(huán)境的同時(shí)，如何提高遠(yuǎn)程開放式網(wǎng)絡(luò)實(shí)驗(yàn)環(huán)境下的安全防護(hù)能力？
本文擬從2種不同的安全防護(hù)方案入手，探討下這種遠(yuǎn)程實(shí)驗(yàn)環(huán)境的安全防護(hù)措施。
1 軟防火墻――網(wǎng)絡(luò)級(jí)防火墻方案
1.1 網(wǎng)絡(luò)級(jí)防火墻方案原理
目前的網(wǎng)絡(luò)級(jí)防火墻大都基于IP路由器實(shí)現(xiàn)，其基礎(chǔ)是路由器的訪問控制列表（ACL）。ACL提供了一種機(jī)制，可以控制和過濾通過路由器的不同接口去往不同方向的信息流。這種機(jī)制允許用戶使用訪問表來管理信息流，以制定機(jī)構(gòu)內(nèi)部網(wǎng)絡(luò)的安全策略，這些策略可以描述安全功能，并且反映流量的優(yōu)先級(jí)別。
簡而言之，就是通過將兩個(gè)IP子網(wǎng)劃分到不同的VLAN中，利用三層交換技術(shù)實(shí)現(xiàn)兩個(gè)子網(wǎng)的相互通信，然后通過訪問控制列表（ACL）實(shí)現(xiàn)IP地址過濾、限制ICMP、遠(yuǎn)程登錄交換機(jī)、禁止TCP協(xié)議等功能，達(dá)到網(wǎng)絡(luò)防火墻的防護(hù)目的。在本實(shí)驗(yàn)室中，我們實(shí)際是過協(xié)議過濾來限制遠(yuǎn)程登錄的，比如Telnet。
1.2 訪問控制列表
路由器一般都支持兩種類型的訪問表：標(biāo)準(zhǔn)訪問表和擴(kuò)展訪問表。在一個(gè)接口上配置訪問表需要三個(gè)步驟：
1) 定義訪問表;
2) 指定訪問表所應(yīng)用的接口;
3) 定義訪問表作用于接口上的方向。
任務(wù)：
1) 創(chuàng)建和配置VLAN與IP子網(wǎng)；
2) 創(chuàng)建和配置ACL；
這里，訪問控制列表包括2種：
1) 標(biāo)準(zhǔn)訪問表：
標(biāo)準(zhǔn)訪問表控制（表序號(hào)從1到99）基于網(wǎng)絡(luò)地址的信息流，只實(shí)現(xiàn)IP地址過濾。
標(biāo)準(zhǔn)IP訪問表的基本格式：
access-list[list number][permit/deny][host/any][source address][wildcard-mask][log]
2) 擴(kuò)展訪問表
擴(kuò)展訪問表（表號(hào)標(biāo)識(shí)從l00到199）通過網(wǎng)絡(luò)地址和傳輸中的數(shù)據(jù)類型進(jìn)行信息流控制，允許用戶根據(jù)如下內(nèi)容過濾報(bào)文：源和目的地址、協(xié)議、源和目的端口以及在特定報(bào)文字段中允許進(jìn)行特殊位比較等等。
擴(kuò)展IP訪問表的基本格式：
access-list[list-number][ permit/deny][protocol][any/source[source-mask]][any/destination[destination-mask]][port-number]
2 硬防火墻PIX501方案
2.1 網(wǎng)絡(luò)拓?fù)?/p>
圖1為網(wǎng)絡(luò)實(shí)驗(yàn)室組成。
2.2 防火墻PIX501配置
配置Cisco PIX防火墻有如下幾個(gè)基本命令：nameif，interface，ip address，global，natl，route，static，conduit，ACL，fixup，telnet，show，DHCP。這些命令在配置PIX是必須的。
配置的基本步驟：
1) 配置防火墻接口的名字，并指定安全級(jí)別：nameif
2) 配置以太口參數(shù)：interface。配置以太口工作狀態(tài)，常見狀態(tài)有：auto、100full、shutdown。
auto：設(shè)置網(wǎng)卡工作在自適應(yīng)狀態(tài)。
100full：設(shè)置網(wǎng)卡工作在100Mbit/s，全雙工狀態(tài)。
shutdown：設(shè)置網(wǎng)卡接口關(guān)閉，否則為激活。
3) 配置內(nèi)外網(wǎng)卡的IP地址：ip address
4) 指定外部地址范圍：global
5) 指定要進(jìn)行轉(zhuǎn)換的內(nèi)部地址：nat
6) 設(shè)置指向內(nèi)網(wǎng)和外網(wǎng)的靜態(tài)路由：route
7) 配置靜態(tài)IP地址翻譯port redirection with statics：static
8) 管道命令：conduit
由于使用static命令可以在一個(gè)本地ip地址和一個(gè)全局ip地址之間創(chuàng)建一個(gè)靜態(tài)映射，但從外部到內(nèi)部接口的連接仍然會(huì)被pix防火墻的自適應(yīng)安全算法(ASA)阻擋，conduit命令用來允許數(shù)據(jù)流從具有較低安全級(jí)別的接口流向具有較高安全級(jí)別的接口，對(duì)于向內(nèi)部接口的連接，static和conduit命令將一起使用，來指定會(huì)話的建立。
9) 訪問控制列表：ACL
10) 配置協(xié)議 ： fixup
fixup命令的作用是啟用或禁止一個(gè)服務(wù)或協(xié)議，改變一個(gè)服務(wù)或協(xié)議通過pix防火墻，由fixup命令指定的端口是pix防火墻要偵聽的服務(wù)。
11) 配置遠(yuǎn)程訪問)：telnet
用戶必須配置pix來建立一條到另外一臺(tái)pix、路由器或VPN客戶端的ipsec隧道；另外在PIX上配置SSH，然后用SSH client從外部telnet到PIX防火墻，PIX支持SSH1和SSH2。
12) 顯示查看配置情況：show
13) 啟用動(dòng)態(tài)主機(jī)配置服務(wù)：DHCP
在內(nèi)部網(wǎng)絡(luò)，為了維護(hù)的集中管理和充分利用有限IP地址，都會(huì)啟用動(dòng)態(tài)主機(jī)分配IP地址服務(wù)器（dhcp server），cisco firewall pix都具有這種功能。
3 結(jié)束語
從上面2種方案的討論，顯然，后者有著更好的防護(hù)能力，實(shí)際實(shí)現(xiàn)的是軟、硬件的雙重防護(hù)效果。
[中圖分類號(hào)]X913
[文獻(xiàn)標(biāo)識(shí)碼]A
[文章編號(hào)]1672—5158（2013）05—0467—01
引言
云計(jì)算在信息領(lǐng)域是一種新的技術(shù)革新，它通過計(jì)算機(jī)和網(wǎng)絡(luò)為基礎(chǔ)平臺(tái)，使不同區(qū)域地域的用戶可以獲得同樣的計(jì)算資源。成本低，規(guī)模大，計(jì)算能力較強(qiáng)，是未來互聯(lián)網(wǎng)發(fā)展的方向。現(xiàn)如今，互聯(lián)網(wǎng)發(fā)展急速，計(jì)算機(jī)存儲(chǔ)數(shù)據(jù)的數(shù)量越來越多，花費(fèi)的成本變高?；ヂ?lián)網(wǎng)需要一個(gè)新的平臺(tái)來解決原有的網(wǎng)絡(luò)和服務(wù)用戶的各種問題。同時(shí)，對(duì)于一些數(shù)據(jù)資源在新平臺(tái)上進(jìn)行分析，隨后提出了云計(jì)算的概念。
云計(jì)算是一種新型的模型計(jì)算，它的發(fā)展依托于原有的三種運(yùn)算，分布式運(yùn)算，并行運(yùn)算和網(wǎng)格運(yùn)算。這種模型計(jì)算處于一種分布式的環(huán)境狀態(tài)，而且規(guī)模巨大。主要目的是給予加大的數(shù)據(jù)存儲(chǔ)，是一種共享模式，具有強(qiáng)大的發(fā)展勢(shì)頭。
現(xiàn)有的數(shù)據(jù)處理和一些應(yīng)用服務(wù)基本是在當(dāng)?shù)赜?jì)算機(jī)中進(jìn)行，核心是桌面。云計(jì)算和現(xiàn)有的方式不同，它是把這些數(shù)據(jù)和服務(wù)放在“云”端。這樣我們所有用戶都可以進(jìn)行內(nèi)容的共享下載，相互交流，這樣的方式改變了以往的獲取信息的情況。但是這種云計(jì)算，首要考慮的是它的安全問題。用戶會(huì)擔(dān)心這些數(shù)據(jù)的安全性，對(duì)提供數(shù)據(jù)者擔(dān)心如何保證所提供的云中數(shù)據(jù)不被破壞。因此對(duì)安全問題的研究就越發(fā)重要。
1云計(jì)算概述
云計(jì)算到現(xiàn)在為止，沒有一個(gè)清晰的概念，只是有一個(gè)大致的認(rèn)識(shí)。網(wǎng)絡(luò)只是云計(jì)算的一個(gè)界面，就像一個(gè)通用的交流渠道一樣，提供給不同的用戶容量較大的各種服務(wù)?！霸啤本褪蔷W(wǎng)絡(luò)，這個(gè)網(wǎng)絡(luò)是資源存在的平臺(tái)，用戶通過互聯(lián)網(wǎng)進(jìn)行獲取資源。因此“云”連接著很多臺(tái)計(jì)算機(jī)。對(duì)于每一個(gè)使用“云”者只是看到了統(tǒng)一的接口。云計(jì)算模式是通過以下三種：云客戶，云構(gòu)架和傳統(tǒng)的基礎(chǔ)設(shè)施構(gòu)建的。
云計(jì)算的基本體系構(gòu)架主要可以分為三個(gè)層次，最基礎(chǔ)的是管理層，其次中間部分是應(yīng)用接口，最上面的層次是訪問層次。管理層包括一些集群系統(tǒng)、網(wǎng)格并行運(yùn)算等，是分布式的文件系統(tǒng)。對(duì)于應(yīng)用接口層主要有用戶驗(yàn)證、權(quán)限管理、應(yīng)用軟件和網(wǎng)絡(luò)接入等。訪問層是實(shí)現(xiàn)云計(jì)算的應(yīng)用，比如視頻監(jiān)控，存儲(chǔ)數(shù)據(jù)遠(yuǎn)程共享，網(wǎng)絡(luò)在線存儲(chǔ)等。
云計(jì)算有許多優(yōu)點(diǎn)，比如可靠性高，擴(kuò)展性強(qiáng)，計(jì)算或存儲(chǔ)快，成本也較低，如今發(fā)展迅速。但它也有它的缺點(diǎn)，那就是安全性還被人們懷疑，對(duì)于像政府、銀行等特殊的場合選擇“云”服務(wù)要保持警惕，一些大型的商業(yè)機(jī)構(gòu)之所以不選擇云計(jì)算就是考慮到它的安全性，希望信息保密不被泄露。
2.安全問題
盡管云有較大的優(yōu)勢(shì)，應(yīng)用越來越廣，使用范圍較大，但是人們從一開始就擔(dān)心它的安全問題。當(dāng)這些巨大存量的數(shù)據(jù)和計(jì)算聚集在“云”中，用戶會(huì)感覺難以控制，擔(dān)心云可能破壞我們的隱私，對(duì)我們的權(quán)益產(chǎn)生傷害。一些IT人認(rèn)為云計(jì)算可能會(huì)把一些敏感數(shù)據(jù)泄露，而且大型的企業(yè)采用云計(jì)算可能或損害公司的商業(yè)機(jī)密，風(fēng)險(xiǎn)較大。當(dāng)前用戶較為熟悉的云服務(wù)模型有IaaS（Infrastructure as a Service）、PaaS（Platform as a Service）和SaaS（Software as a Service）三種。這幾中模型都是用戶把計(jì)算和數(shù)據(jù)存儲(chǔ)賦予云端，但是云提供商在我們享受這個(gè)服務(wù)的過程中不能給予足夠的安全防護(hù)，不能渴求他們?yōu)橛脩艚鉀Q所有遇到的問題。
云計(jì)算主要存在以下幾種安全問題：
在技術(shù)方面，如果采用云，我們的硬盤不存儲(chǔ)東西，僅僅借助于云中--數(shù)據(jù)共享，那一旦由于某種原因技術(shù)故障導(dǎo)致服務(wù)中斷，用戶將不能繼續(xù)任務(wù)和工作，只能靜等。
在服務(wù)方面，用戶沒有很多的知情權(quán)，具體的細(xì)節(jié)和運(yùn)轉(zhuǎn)方式都是模糊的，也許只有提供商知道云的采用技術(shù)。
雖然提供商采用加密技術(shù)保護(hù)用戶的各種數(shù)據(jù)，只是對(duì)數(shù)據(jù)的傳輸進(jìn)行加密，對(duì)數(shù)據(jù)的存儲(chǔ)保護(hù)難以解決。即使采用特定的隔離技術(shù)也難以讓用戶完全信任。
3.云計(jì)算中安全問題的應(yīng)對(duì)措施
1）加密已經(jīng)保存的文件和發(fā)送的電子郵件。即使數(shù)據(jù)傳輸?shù)絼e人的數(shù)據(jù)中心，沒有密碼仍然不會(huì)打開，，這對(duì)保存的文件有一點(diǎn)的保護(hù)作用；電子郵件容易被其他人訪問，最好使用一些程序自動(dòng)對(duì)收到的發(fā)送的郵件進(jìn)行加密保護(hù)。
2）使用有良好信譽(yù)的服務(wù)?，F(xiàn)在信譽(yù)是一個(gè)身份的象征，信譽(yù)好，名氣大的服務(wù)才能贏得更多的用戶。所以這樣的數(shù)據(jù)泄密發(fā)生幾率較小，也不會(huì)與其它營銷商共享資源。
3）考慮商業(yè)模式。在選擇存儲(chǔ)環(huán)境時(shí)，—般應(yīng)該先考慮付費(fèi)存儲(chǔ)模式。這樣的商業(yè)模式，通過收取費(fèi)用的網(wǎng)絡(luò)應(yīng)用服務(wù)比廣告資助的服務(wù)更加安全。
4）一定要閱讀隱私聲明。把數(shù)據(jù)存儲(chǔ)云的時(shí)候，一定要閱讀隱私聲明。為了保證我們不被這些隱含的漏洞所蒙蔽，認(rèn)真閱讀聲明，這樣分類保存不同的共享數(shù)據(jù)，有些數(shù)據(jù)不適合保存在云環(huán)境，有些應(yīng)該保存在我們的個(gè)人電腦中。
5）使用過濾器和安全傳輸。使用過濾器可以自動(dòng)阻止敏感數(shù)據(jù)。
結(jié)束語
隨著網(wǎng)絡(luò)的發(fā)展，云計(jì)算越來越受到重視和普及，這就要求它的安全性越來越高。在使用這個(gè)云計(jì)算的過程中，如何讓用戶存儲(chǔ)數(shù)據(jù)在云中并保證安全是對(duì)提供商的要求，對(duì)我們用戶，我們?cè)鯓硬拍芟嘈盘峁┥痰陌踩ＷC也是要解決的。進(jìn)一步的研究工作在以下幾個(gè)方面展開：三防系統(tǒng)的有效運(yùn)用，移動(dòng)網(wǎng)絡(luò)終端安全保證，數(shù)據(jù)的保密和檢索，對(duì)一些虛擬軟件的漏洞進(jìn)行監(jiān)測(cè)保護(hù)以及虛擬化的安全問題等。只有對(duì)信息的安全防護(hù)做到較高要求，滿足用戶，云計(jì)算才能在現(xiàn)在的互聯(lián)網(wǎng)時(shí)揮更強(qiáng)勁的功能。
參考文獻(xiàn)
[1]Edwards John.Cutting through the Fog of Cloud Security[J]，Computer world；2009；45（8）：26 29.
中圖分類號(hào)：TP393 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1009-3044（2016）22-0015-02
Abstract： Nowaday， the internet is growing fast and wifi has change our life. When it comes to information security. The question is how to take measures to protect our security of privacy and property effectively. This article try to answer this question. It contain wireless penetration，wpa2-psk.And how to use kali-linux and offer some safety tips.
Key words： wifi； information security； wireless penetration； kali-linux
1 互聯(lián)網(wǎng)現(xiàn)狀
1.1 背景
在國家的大力支持創(chuàng)新型技術(shù)的背景下，互聯(lián)網(wǎng)逐漸出現(xiàn)在我們的視野下。人們最早的接觸信息的方式還是通過報(bào)紙，電視，看著一幀一幀的畫面在電視里閃動(dòng)已經(jīng)是不可思議了，然而網(wǎng)絡(luò)的出現(xiàn)將這種浪潮瞬間激起。
許多新奇的東西噴涌而現(xiàn)，諸如QQ，網(wǎng)游，百度等等產(chǎn)品充斥著青少年的生活。究其緣由無非就是它帶給我們不一樣的感受，源于對(duì)技術(shù)的癡迷，使得網(wǎng)絡(luò)發(fā)展更加迅速。現(xiàn)如今Virtual Reality已經(jīng)成為了現(xiàn)實(shí)，設(shè)想還有什么不可能的，只是時(shí)間問題。
1.2 信息安全
隨之來臨的就是互聯(lián)網(wǎng)安全問題。就拿網(wǎng)頁傳輸密碼來說，在post方式下，密碼是明文的，這無疑暴露了很大的風(fēng)險(xiǎn)。當(dāng)然這只是以前的情況，現(xiàn)在都會(huì)以加密的形式傳輸，在服務(wù)器端進(jìn)行解密。廠商們可以使用的加密手段有很多種，其中不乏一些安全性高的技術(shù)手段。但是相對(duì)于用戶而言是透明的，即用戶無需關(guān)心其實(shí)現(xiàn)，注重的是體驗(yàn)。
2 Wifi安全
2.1 簡述
WIFI現(xiàn)在已經(jīng)被許多人熟知，其中很重要的一個(gè)因素就是其能減輕人們的流量負(fù)擔(dān)。所以一些FreeWifi受到了大部分人的青睞，這是否意味著一些加密的wifi就可以放心地使用呢？答案是否定的，畢竟沒有最鋒利的矛，也沒有最鋒利的盾。在人們的安全意識(shí)提高以及廠商的重視后，基本上是不用考慮它的安全性的。但是如果被別有用心的人盯上了，也只是相當(dāng)于穿了一件透明的衣服，在外面看來已暴露無遺。
現(xiàn)如今Wifi普遍的加密方式都是wp2-psk，可以說是安全級(jí)別較高的一種方式了。但是接下來筆者將展示如何在不知不覺中將你的信息取走。
3 無線滲透
3.1 基本環(huán)境
注：本節(jié)只是向讀者展示如何滲透及獲取用戶的信息，不代表筆者推崇此種方式。
我們所需要準(zhǔn)備的：虛擬機(jī)（Vbox），kali-linux 4.6.0，usb網(wǎng)卡。經(jīng)如下所示命令即可得到想要的安全信息。由于kali本身集成了許多開發(fā)者用于滲透測(cè)試和研究的工具，免去了不必要的麻煩，也便于筆者進(jìn)行展示。
① 輸入airmon-ng 查看我們當(dāng)前的網(wǎng)卡，此時(shí)是筆者當(dāng)前的usb無線網(wǎng)卡的具體信息。
② 繼續(xù)輸入cd fluxion-master
./fluxion 此是為了進(jìn)入到此次所使用的一個(gè)工具，該工具具有強(qiáng)大的功能，也由于其是開源的項(xiàng)目而被筆者所熟悉，它集成了常用的滲透工具，如airmon， Pyrit等。均能在linux環(huán)境下能發(fā)揮最大化的作用。如圖1。接下來就開始檢索之前插入在虛擬機(jī)上的網(wǎng)卡了，此步驟需要耗費(fèi)一些時(shí)間去掃描當(dāng)前設(shè)備上的終端無線網(wǎng)絡(luò)設(shè)備，需要等待一會(huì)。
中圖分類號(hào)：TP311 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1009-3044（2016）11-0032-02
DHCP為動(dòng)態(tài)主機(jī)分配協(xié)議，在UDP協(xié)議下進(jìn)行使用，為局域網(wǎng)提供網(wǎng)絡(luò)協(xié)議，主要用途是將IP地址自動(dòng)分配給LAN內(nèi)的主機(jī)，是實(shí)驗(yàn)室內(nèi)部主機(jī)管理中管理員采取的主要管理措施，尤其在局域網(wǎng)環(huán)境下得到了廣泛的應(yīng)用。對(duì)試驗(yàn)室復(fù)雜網(wǎng)絡(luò)進(jìn)行管理時(shí)，采用DHCP服務(wù)進(jìn)行管理非常重要，獲取IP地址時(shí)，利用廣播數(shù)據(jù)包，在一個(gè)廣播域內(nèi)實(shí)現(xiàn)DHCP服務(wù)。但是實(shí)際網(wǎng)絡(luò)環(huán)境中，為了對(duì)廣播包進(jìn)行隔離，防止出現(xiàn)網(wǎng)絡(luò)風(fēng)暴，因此Vlan被廣泛應(yīng)用，這種情況下，DHCP服務(wù)的功能顯示出來。而在真實(shí)實(shí)驗(yàn)室網(wǎng)絡(luò)環(huán)境中，通常所用的DHCP服務(wù)都是跨網(wǎng)段進(jìn)行的，因此針對(duì)某一網(wǎng)段的DHCP服務(wù)已經(jīng)非常少。對(duì)于實(shí)驗(yàn)室管理人員來說，對(duì)DHCP服務(wù)配置與安全防護(hù)進(jìn)行掌握，有利于實(shí)現(xiàn)對(duì)復(fù)雜網(wǎng)絡(luò)環(huán)境的管理。本文主要通過H3C S3600三層交換機(jī)為例，分析HDCP服務(wù)器跨網(wǎng)構(gòu)建的方法及相關(guān)防護(hù)措施進(jìn)行研究。
1 DHCP服務(wù)工作原理
DHCP的工作方式為C/S，在獲取IP地址時(shí)，DHCP客戶端計(jì)算機(jī)通常采用三種方法：首次登陸網(wǎng)絡(luò)、再次登陸網(wǎng)絡(luò)及延長IP地址租用有效期。DHCP服務(wù)采用UDP協(xié)議，在獲取TCP/IP協(xié)議時(shí)，DHCP客戶端計(jì)算機(jī)通過四線回話獲?。?/p>
1）發(fā)現(xiàn)階段。通過計(jì)算法將DHCP報(bào)文廣播向網(wǎng)絡(luò)發(fā)送，同時(shí)在網(wǎng)絡(luò)中對(duì)DHCP服務(wù)器進(jìn)行搜索。
2）提供階段。DHCP收到報(bào)文以后，選取一個(gè)未分配的IP地址分配給計(jì)算機(jī)，并將出租IP地址及其他配置報(bào)文發(fā)送到客戶端計(jì)算機(jī)。
3）選擇階段?？蛻舳藢?duì)DHCP網(wǎng)絡(luò)服務(wù)器進(jìn)行IP地質(zhì)選擇，如果網(wǎng)絡(luò)中存在多個(gè)DHCP服務(wù)器，同時(shí)發(fā)送給DHCP客戶端多個(gè)IP地址，由于客戶端計(jì)算機(jī)智能接收一個(gè)報(bào)文，并且只能接收第一個(gè)報(bào)文，然后通過廣播將接收?qǐng)?bào)文的信息發(fā)送到服務(wù)器，所發(fā)送信息包含選擇的IP地址。
4）確認(rèn)階段?？蛻舳朔祷氐膱?bào)文被服務(wù)器收到后，向客戶端發(fā)送IP地址及其他配置的確認(rèn)報(bào)文，客戶端收到報(bào)文后將TCI/IP協(xié)議和網(wǎng)卡綁定在一起。
對(duì)于客戶端計(jì)算機(jī)狀態(tài)而言，根據(jù)不同的功能分為六種狀態(tài)，即初始化、選擇、請(qǐng)求、綁定、更新及重新綁定六種狀態(tài)?？梢詫?duì)客戶端IP地址實(shí)現(xiàn)續(xù)租，如果初始租期達(dá)到一半的時(shí)候，客戶端會(huì)給DHCP服務(wù)器發(fā)出請(qǐng)求續(xù)租的廣播，HDCP服務(wù)器如果沒有對(duì)廣播進(jìn)行回應(yīng)，客戶端系統(tǒng)會(huì)將請(qǐng)求廣播重復(fù)進(jìn)行發(fā)送，直到第三次發(fā)送仍未給予回應(yīng)為止。租期達(dá)到87.5%的時(shí)候，需要重新綁定客戶端計(jì)算機(jī)，此時(shí)客戶機(jī)向網(wǎng)絡(luò)中所有DHCP服務(wù)器發(fā)送REUQEST消息，請(qǐng)求續(xù)租IP地址，HDCP服務(wù)器要是還沒有回應(yīng)，則IP地址停用，根據(jù)四線回話規(guī)則，對(duì)IP地址重新申請(qǐng)獲取。
2 構(gòu)建實(shí)驗(yàn)室三層網(wǎng)絡(luò)環(huán)境下DHCP服務(wù)
2.1 實(shí)驗(yàn)設(shè)備
實(shí)驗(yàn)所需要設(shè)備如表1所示：
2.2 實(shí)驗(yàn)網(wǎng)絡(luò)拓?fù)洌瑘D1
2.3 實(shí)驗(yàn)要求
對(duì)于一個(gè)實(shí)驗(yàn)室來說，其內(nèi)部網(wǎng)絡(luò)往往不是單一，而是同時(shí)存在多個(gè)計(jì)算機(jī)網(wǎng)絡(luò)，本文所介紹實(shí)驗(yàn)室中，包含有四個(gè)網(wǎng)絡(luò)：四個(gè)網(wǎng)絡(luò)之間的通信通過三層交換機(jī)完成，通過Windows 2008 Server對(duì)DHCP服務(wù)及安全防護(hù)進(jìn)行相關(guān)設(shè)置，達(dá)到不同網(wǎng)絡(luò)環(huán)境下，計(jì)算機(jī)在開機(jī)以后，可以獲得HDCP服務(wù)器分配的不同網(wǎng)絡(luò)下的IP地址，各Vlan計(jì)算機(jī)之間也能相互連通。
2.4 實(shí)驗(yàn)步驟
2.4.1 三層交換機(jī)配置
1）準(zhǔn)備工作。先登錄交換機(jī)。首先，建立配置環(huán)境，利用交換機(jī)配置的電纜將終端串口和以太網(wǎng)交換機(jī)接口連接起來，如圖2。其次，在計(jì)算機(jī)上運(yùn)行終端防震程序，設(shè)置和交換機(jī)連接的串口終端通信參數(shù)，這些參數(shù)中，包括8位數(shù)據(jù)位和1位停止位，傳輸速率為9600bit/s，無流控、無校驗(yàn)。第三，將三層交換機(jī)通電啟動(dòng)，終端顯示屏內(nèi)顯示出自檢信息，自檢信息結(jié)束語后，按回車鍵進(jìn)入系統(tǒng)，顯示命令提示符，可輸入命令。第四，鍵入命令，查看交換機(jī)運(yùn)行狀態(tài)及相關(guān)參數(shù)的配置情況。在操作過程中，如果遇到疑問和不會(huì)的操作時(shí)，可以輸入問號(hào)查詢，輸入具體命令時(shí)，可以參考配置手冊(cè)完成輸入。
2）創(chuàng)建DHCP及設(shè)置相關(guān)參數(shù)。首先，對(duì)Vlan在三層交換機(jī)上進(jìn)行設(shè)置。其次，設(shè)置完成以后，將三層交換機(jī)中的DHCP功能開啟。第三，對(duì)Vlan指定相關(guān)DHCP服務(wù)器。第四，默認(rèn)端口正確配置。第五，將靜態(tài)路由在H3C U200-C路由器上正確進(jìn)行配置。
2.4.2 配置動(dòng)態(tài)IP地址作用域
服務(wù)器為微軟最新視窗操作系統(tǒng)，與以前版本對(duì)比該服務(wù)器的其穩(wěn)定性更可靠。通過操作系統(tǒng)的加強(qiáng)可以實(shí)現(xiàn)Windows 2008 Server的保護(hù)網(wǎng)絡(luò)環(huán)境的安全，對(duì)IT系統(tǒng)在加快部署與維護(hù)的時(shí)候，利用現(xiàn)有應(yīng)用程度或虛擬化的服務(wù)器會(huì)使操作變得更加簡單，能夠?qū)⒐芾砉ぞ咧苯咏o出，由此可見，Windows 2008 Server能夠提供能加方便、快捷、靈活的操作方法，方便IT人員操作，也使實(shí)驗(yàn)室計(jì)算機(jī)服務(wù)器建設(shè)與網(wǎng)絡(luò)基礎(chǔ)的構(gòu)建效率更高。對(duì)動(dòng)態(tài)IP地址作用域進(jìn)行配置的時(shí)候，遵循以下步驟：首先，在服務(wù)器系統(tǒng)中打開服務(wù)器管理界面，查找DHCP服務(wù)器內(nèi)的四個(gè)網(wǎng)絡(luò)，建立四個(gè)Vlan的IP地址段的動(dòng)態(tài)地址作用域。其次，為了方便記憶和分類，新建作用域用各自Vlan名稱命名。第三，根據(jù)實(shí)際情況設(shè)定動(dòng)態(tài)IP地址的范圍，同時(shí)也可以對(duì)排除地址范圍進(jìn)行設(shè)置。第四，默認(rèn)IP地址租期為8天。第五，針對(duì)不同的Vlan設(shè)置不同的IP地址。第六，在同一臺(tái)服務(wù)器上安裝DHCP服務(wù)于DNS服務(wù)，因此DNC IP地址設(shè)置為與Vlan接口IP地址相同的父域名。最后，將作用域激活， DHCP服務(wù)功能即可啟動(dòng)。
2.5 實(shí)驗(yàn)結(jié)果
在不同Vlan計(jì)算機(jī)上運(yùn)行IP地址獲取命令，看能否得到IP地址，并運(yùn)行ping命令，查看四個(gè)Vlan計(jì)算機(jī)是否已經(jīng)連通，如果可以連通，則表明實(shí)驗(yàn)成果。啟動(dòng)DHCP服務(wù)，能夠看到四個(gè)Vlan動(dòng)態(tài)IP地址分配作用域均開啟，而連接在Vlan中的多臺(tái)客戶端計(jì)算機(jī)均獲取到對(duì)應(yīng)的IP地址。
3 實(shí)驗(yàn)室網(wǎng)絡(luò)DHCP安全防護(hù)策略
3.1 重復(fù)分配IP地址造成沖突故障
實(shí)驗(yàn)室局域網(wǎng)中經(jīng)常出現(xiàn)的一類故障就是IP地址沖突問題，造成客戶端沒有辦法獲取IP地址。很多時(shí)候，此類故障被認(rèn)為是ARP病毒引起，但實(shí)質(zhì)上DHCP問題也會(huì)造成這類故障出現(xiàn)。為了對(duì)IP地址沖突的問題進(jìn)行預(yù)防，服務(wù)器在分配IP地址以前，對(duì)IP地址要先進(jìn)行探測(cè)，通過ping功能實(shí)現(xiàn)，通過檢測(cè)可以將指定時(shí)間段內(nèi)可能出現(xiàn)沖突的IP地址檢測(cè)出來。DHCP服務(wù)器通過發(fā)送目的地址為需要分配的IP地址回顯請(qǐng)求報(bào)文，如果客戶端收到報(bào)文，則需要重新選擇新的IP地址進(jìn)行再次檢測(cè)，直到指定時(shí)間內(nèi)無法收到回顯報(bào)文，則可確認(rèn)該IP地址時(shí)唯一的。
3.2 DOS攻擊造成IP地址資源耗盡
此類問題可以理解為人為破壞，如果有人惡意通過病毒軟件對(duì)計(jì)算機(jī)的MAC地址不斷進(jìn)行修改，并想DHCP服務(wù)器發(fā)送請(qǐng)求IP地址報(bào)文，那么服務(wù)器中的IP地址很快就會(huì)耗盡，造成其他用戶無法獲取IP地址，無法進(jìn)行網(wǎng)絡(luò)通信，這就是DOS攻擊。為防止DOS攻擊，可通過DHCP SNOOPING綁定表來解決，客戶端發(fā)送報(bào)文時(shí)，綁定表對(duì)其中的各項(xiàng)內(nèi)容會(huì)進(jìn)行檢查，報(bào)文內(nèi)容與綁定表數(shù)據(jù)庫內(nèi)容匹配，則可通過，反之則丟棄，這樣能夠防止人為修改客戶端MAC地址和IP地址，保證IP地址資源不被人為破壞。
4 結(jié)束語
在實(shí)驗(yàn)室局域網(wǎng)中通過DHCP服務(wù)對(duì)IP地址進(jìn)行分配，實(shí)現(xiàn)復(fù)雜網(wǎng)絡(luò)環(huán)境下的DHCP配置及安全問題。本文主要針對(duì)DHCP服務(wù)在復(fù)雜網(wǎng)絡(luò)環(huán)境下的構(gòu)建進(jìn)行分析，并對(duì)DHCP服務(wù)應(yīng)用中存在的安全問題進(jìn)行分析，提出相關(guān)解決措施，保證了實(shí)驗(yàn)室網(wǎng)絡(luò)管理的有效性。
中圖分類號(hào)：TD365.1文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：
井下高壓電網(wǎng)越級(jí)跳閘一般會(huì)造成大面積的停電事故，不僅會(huì)影響正常的井下工作，而且因?yàn)榫嘛L(fēng)井和水泵等都是要通過電力來起作用，因此越級(jí)跳閘導(dǎo)致風(fēng)井、水泵無法正常工作從而引發(fā)井下瓦斯氣體急劇升高，井下排水不力現(xiàn)象，而這也成為造成人員死傷和瓦斯爆炸、井下水滲漏甚至塌方的主要原因。
1、造成井下高壓電網(wǎng)越級(jí)跳閘的原因
1.1線路保護(hù)措施不當(dāng)
煤礦井下作業(yè)受到條件的限制，很難做到輸電線路的安全防護(hù)特別到位，尤其是在煤礦開采作業(yè)區(qū)域， 地下環(huán)境臟亂差的狀況根本無法獲得有效處理最常見的情況是輸電管線要在煤礦礦洞潮濕、雜亂的環(huán)境下通過，而且由于施工作業(yè)的需要，難免要來回拖動(dòng)輸電線路。為了保證井下工作用電需要，輸電線路的電壓強(qiáng)度也普遍達(dá)到6 K V甚至更高。如此高壓輸電線路在來回拖動(dòng)甚至人員、器械踩踏壓折過程中難免會(huì)發(fā)生電纜絕緣層破裂等情況，就很容易造成線 路短路。高壓輸電線路短路造成越級(jí)跳閘是必然情況。
1.2電源開關(guān)設(shè)置不合理
井下操作的用電器械眾多，而且并不固定，照明用電和工程施工用電、設(shè)備用電等，分區(qū)域而且要隨時(shí)跟隨工程進(jìn)展進(jìn)行調(diào)動(dòng)調(diào)整，因此要用到非常多的電源開關(guān)端口節(jié)點(diǎn)進(jìn)行拆裝。而且現(xiàn)在煤礦井下作業(yè)用的電源開關(guān)雖然具有高壓防爆功能，但是很多情況下出于工作的需要會(huì)隨時(shí)調(diào)整和選用，很難做到完 全符合相關(guān)的安全指標(biāo)，這就造成一些專用開關(guān)設(shè)備不合格，造成事故隱患。比如常規(guī)的開關(guān)設(shè)備應(yīng)該有繼電保護(hù)動(dòng)作時(shí)間和高壓防爆開關(guān)的固有動(dòng)作時(shí)間 兩部分構(gòu)成。而有些時(shí)候隨機(jī)采用的開關(guān)設(shè)備，根本達(dá)不到這樣的標(biāo)準(zhǔn)化要求， 在實(shí)際應(yīng)用中更談不上防爆或繼電保護(hù)的作用， 這當(dāng)然根本無法應(yīng)對(duì)高壓輸電 線路的安全保護(hù)需要。造成越級(jí)跳閘也就十分簡單了。
此外，井下作業(yè)的潮濕、臟亂差的環(huán)境也會(huì)對(duì)開關(guān)的靈活性造成不小的影響。最常見的是開關(guān)生澀、反應(yīng)動(dòng)作遲緩、井下和井上開關(guān)動(dòng)作不協(xié)調(diào)，造成井下防爆開關(guān)過緩，井上防爆開關(guān)提前發(fā)生作用，就會(huì)引起跳閘。
1.3 電流短路速斷保護(hù)失效
速斷保護(hù)是根據(jù)供電線路短路的首尾變化值來進(jìn)行動(dòng)作的。一般來講，井下長距離輸電線路的兩端短路電流值有較大的差距，這樣繼電保護(hù)的范圍就更大一些。在發(fā)生短路的時(shí)候也能夠盡快提供上下級(jí)速斷保護(hù)措施，這也是井下電路保護(hù)的理論安全措施。不過在實(shí)際的井下線路鋪設(shè)和操作過程中，很多時(shí)候是采用短距離多分段式線路來構(gòu)成輸電網(wǎng)絡(luò)，這樣的話， 因?yàn)榫€路兩端的短 路電流值差距很小，而繼電保護(hù)在設(shè)置的時(shí)候又會(huì)考慮安全的調(diào)整系數(shù)， 這就 更加窄化了速斷保護(hù)的可靠范圍。換句話說，當(dāng)發(fā)生短路隋況的時(shí)候，線路兩端的速斷保護(hù)因?yàn)榻邮盏降碾娏髦挡町愄。腿菀自斐蓛啥怂贁啾Ｗo(hù)反應(yīng)時(shí)間極短，甚至造成上級(jí)速斷保護(hù)比下級(jí)速斷保護(hù)更先發(fā)揮作用的情況，也就是越級(jí)跳閘。
除了短距離多段輸電網(wǎng)絡(luò)設(shè)計(jì)之外，如果采用長距離輸電的線路橫截面過大，也會(huì)造成短路電流過大，同時(shí)滿足上下級(jí)速斷保護(hù)的標(biāo)準(zhǔn)，這樣也會(huì)造成越級(jí)跳閘。
1.4速斷保護(hù)措施不力
上下級(jí)速斷保護(hù)是根據(jù)時(shí)間差來設(shè)定的，一般是0.5 s 的時(shí)間差。而在煤礦井下輸電線路保護(hù)過程中，為了確保故障快速排除，有些企業(yè)會(huì)直接將上下級(jí)時(shí)限差設(shè)置為0。這樣的話， 速斷防護(hù)能力就會(huì)大幅降低，也會(huì)加大越級(jí)跳閘的幾率。
2、防治井下高壓電網(wǎng)越級(jí)跳閘的措麓
2.1強(qiáng)化線路保護(hù)措施
針對(duì)因?yàn)橥饬δp壓折等情況造成的線路絕緣層破裂或算壞等隋況，可以進(jìn)行一些保護(hù)措施。比如在電纜外涂抹絕緣或防護(hù)層，降低外力摩擦等情況引起的絕緣層損耗。再就是如果有外置保護(hù)措施，比如高壓輸電線路區(qū)域絕緣保護(hù)墊的覆蓋鋪設(shè)，可以在一定程度上降低人員踩踏等對(duì)輸電線路的直接摩擦損耗。
2.2很多煤礦都習(xí)慣于在局部區(qū)域?qū)嵭卸叹嚯x線路多段式電網(wǎng)結(jié)構(gòu)設(shè)定這種設(shè)計(jì)方式給各級(jí)速斷保護(hù)帶來不少的麻煩。建議考慮對(duì)這種電網(wǎng)設(shè)置模式進(jìn)行更新。尤其是在一些井下安全防護(hù)區(qū)域或重要的用電設(shè)備，盡量更換電網(wǎng)結(jié)構(gòu)，避免越級(jí)跳閘造成大面積停電導(dǎo)致井下安全防護(hù)措施無法正常開啟。比如井下風(fēng)井和水泵的供電設(shè)備，如果能夠獨(dú)立供電，或者采用更安全的供電網(wǎng)絡(luò)進(jìn)行設(shè)置，也會(huì)有效的防止越級(jí)跳閘造成大面積大范圍的安全事故。
2.3重點(diǎn)用電區(qū)域獨(dú)立供電或雙回路設(shè)置
考慮到井下用電的安全防護(hù)作用，可以考慮在特定用電區(qū)域進(jìn)行獨(dú)立供電或雙回路供電設(shè)計(jì)。獨(dú)立供電的話，自然就不會(huì)受到短路隋況的影響，至少可以規(guī)避局部區(qū)域的越級(jí)跳閘危害。此外可以設(shè)置雙回路供電，這樣的話，當(dāng)其中一路供電暫停工作，可以有另一路電路擔(dān)負(fù)負(fù)荷，也能夠避免越級(jí)跳閘造成的危害。
2.4選擇智能保護(hù)裝置很重要
考慮到煤礦井下高壓輸電線路的情況復(fù)雜，靠人力來進(jìn)行管理實(shí)在不算很好的風(fēng)險(xiǎn)預(yù)防措施。建議引進(jìn)高端智能保護(hù)設(shè)備，可以進(jìn)行多樣化調(diào)控和功能選擇，可以根據(jù)井下供電實(shí)際需要做出靈活調(diào)整，且各種情況可以獲得精確的監(jiān)控和安全防護(hù)，其應(yīng)急響應(yīng)措施也要比人員操作更精準(zhǔn)有序和快速，比起人力防護(hù)措施更加有效。一般的高端智能保護(hù)設(shè)備可以實(shí)現(xiàn)短路、超負(fù)荷、接地、欠電壓釋放等多種情況的自主保護(hù)，對(duì)井下各種電氣運(yùn)行參數(shù)進(jìn)行實(shí)時(shí)監(jiān)護(hù)，而且具有遠(yuǎn)程操控和監(jiān)護(hù)功能，對(duì)于電力調(diào)度機(jī)構(gòu)開展相關(guān)保護(hù)措施也有很好的輔助作用。
國內(nèi)有些煤礦采用有采用ZBT-1l型保護(hù)器進(jìn)行煤礦井下供電系統(tǒng)保護(hù)的。這種保護(hù)器可以對(duì)井下各種供電防爆開關(guān)和電路進(jìn)行監(jiān)護(hù)，還能夠和電力監(jiān)測(cè)站進(jìn)行遠(yuǎn)程信息共享與即時(shí)操作協(xié)同，在應(yīng)對(duì)各種供電網(wǎng)絡(luò)故障和越級(jí)跳閘現(xiàn)象的時(shí)候表現(xiàn)出色，其安全系數(shù)要比現(xiàn)有的各種數(shù)碼電腦保護(hù)裝置、模擬保護(hù)裝置好得多。而且可以和BGP系列和PBG系列高壓開關(guān)柜配合使用，功能強(qiáng)大，是比較受到認(rèn)可的智能保護(hù)設(shè)備。
3、總結(jié)
煤礦井下高壓電網(wǎng)越級(jí)跳閘的原因有很多，有線路保護(hù)不到位，有電氣設(shè)備不合理設(shè)置和使用等多種原因- 而要防止越級(jí)跳閘，一方面需要嚴(yán)格相關(guān)的電氣保護(hù)和使用規(guī)范，按照《煤礦安全規(guī)程》等做好相關(guān)的防護(hù)措施；另～方面需要加大智能化保護(hù)設(shè)備的應(yīng)用，比如一些專門為礦井和大型企業(yè)工程配備的電網(wǎng)保護(hù)設(shè)備，在保證電網(wǎng)安全和規(guī)避越級(jí)跳閘的風(fēng)險(xiǎn)等方面更具智能化和可操作性，也是保護(hù)煤礦井下工作正常進(jìn)行的有力措施
0 引言
煤礦井下煤倉處于井下運(yùn)煤系統(tǒng)的中間環(huán)節(jié)，它的上口一般安裝一部或多部膠帶輸送機(jī)，下口安裝給煤機(jī)。在煤倉進(jìn)煤、儲(chǔ)煤和放煤的過程中，往往會(huì)有流水、大石頭和長物料伴隨煤炭進(jìn)入，流水積存多了會(huì)造成水煤潰泄，大石頭和長物料會(huì)造成煤倉堵塞。另外，煤倉上口也是人員作業(yè)或途經(jīng)的場所，稍有不慎，會(huì)導(dǎo)致人員誤入造成傷亡事故。針對(duì)煤倉上口存在的一系列問題，研制安裝煤倉上口安全防護(hù)裝置具有重大意義。
1 方案設(shè)計(jì)及確定
1.1 技術(shù)方案
提出了多種技術(shù)方案，最終選擇了以下三個(gè)方案進(jìn)行比較。
方案一：煤倉上口用工字鋼、鋼篦子和厚木板封堵。四周加圍欄，在膠帶輸送機(jī)放煤口加裝鋼制活動(dòng)門，通過手動(dòng)機(jī)構(gòu)和牽引鋼絲繩來控制活動(dòng)門的開閉。
方案二：按方案一辦法封堵煤倉，在膠帶輸送機(jī)放煤口安設(shè)專用裝置。該裝置由四根可調(diào)高立柱、上平臺(tái)、活動(dòng)調(diào)節(jié)前梁和螺紋絲杠調(diào)節(jié)機(jī)構(gòu)等部件組成。通過調(diào)節(jié)螺紋絲杠可使活動(dòng)前梁前后移動(dòng)，從而改變膠帶輸送機(jī)放煤口的大小直至全部封閉。
方案三：在煤倉上口機(jī)架上安設(shè)活動(dòng)小車，通過操縱機(jī)構(gòu)控制活動(dòng)小車前后移動(dòng)，從而改變放煤口的大小，或使放煤口處于全封閉狀態(tài)。
1.2 方案比較
方案一缺點(diǎn)：無法控制大石頭和長物料進(jìn)入煤倉。方案二缺點(diǎn)：絲杠調(diào)節(jié)速度慢，且容易損傷變形，整體結(jié)構(gòu)笨重，活動(dòng)前梁運(yùn)行阻力大。方案三克服了上述兩個(gè)方案存在的缺點(diǎn)，具有功能齊全，操作方便，機(jī)構(gòu)靈活的特點(diǎn)，通過研究決定采用第三方案。
2 裝置的組成及結(jié)構(gòu)
2.1 裝置的組成
煤倉上口安全防護(hù)裝置主要由防水圈、護(hù)欄及機(jī)架、活動(dòng)小車、控制機(jī)構(gòu)和中間隔離板等部件組成（見附圖）。
2.2 防水圈
防水圈用料石砌成，內(nèi)徑較倉口略大500mm左右，厚約300mm，高約500mm，外表面抹混凝土以防水滲入。對(duì)處于巷道下坡處、頂板有滲水和附近安有水管的煤倉，防水圈一側(cè)還應(yīng)設(shè)置排水溝，以防積水過多流入煤倉。
■
煤倉口防護(hù)裝置示意圖
1-活動(dòng)小車 2-護(hù)欄及機(jī)架 3-下層固定隔板 4-堵物處理門 5-膠帶輸送機(jī)6-控制機(jī)構(gòu) 7-基礎(chǔ)框架 8-煤倉 9-防水圈
2.3 護(hù)欄及機(jī)架護(hù)欄
護(hù)欄高約800~1000毫米，長約1900~3000毫米，護(hù)欄敷設(shè)于框架上，用角鋼和鋼筋網(wǎng)制成，敷設(shè)于機(jī)架四周，機(jī)架由工字鋼和槽鋼制作，與煤倉上口封堵鋼梁連接在一起，機(jī)架上方兩側(cè)架設(shè)鋼軌，作為活動(dòng)小車的運(yùn)行軌道。
2.4 活動(dòng)小車
活動(dòng)小車為鋼制結(jié)構(gòu)件，下設(shè)四個(gè)滾輪，騎于設(shè)在機(jī)架上的軌道上，軌道（跑道）由15~20公斤/米鋼軌制成，活動(dòng)小車后端與控制機(jī)構(gòu)相連，前端正對(duì)膠帶輸送機(jī)放煤口?；顒?dòng)小車的尺寸與護(hù)欄框架大小、膠帶輸送機(jī)的安裝位置和同一煤倉四周布置的膠帶輸送機(jī)數(shù)量有關(guān)，如只有一部SDJ-150型膠帶輸送機(jī)時(shí)，活動(dòng)小車的尺寸一般長約850mm，寬約1700mm。
2.5 控制機(jī)構(gòu)
控制機(jī)構(gòu)主要包括氣缸（電液推桿）、控制閥（按鈕）和附件等，氣缸一端和活動(dòng)小車相連，另一端和機(jī)架連接，控制閥安裝在膠帶輸送機(jī)司機(jī)的控制臺(tái)上。
3 工作原理
在膠帶輸送機(jī)機(jī)運(yùn)轉(zhuǎn)之前，通過控制機(jī)構(gòu)將活動(dòng)小車調(diào)整到適當(dāng)位置，一般離開煤流水平距離100~200毫米，如欲接住混入煤流中的大石頭和長物件，應(yīng)使活動(dòng)小車前端盡量靠近煤流，并將活動(dòng)小車可靠制動(dòng)，這樣，就可以利用大物件所具有的較大慣性和較大尺寸將其接住。當(dāng)膠帶輸送機(jī)停機(jī)、檢修和空載運(yùn)行時(shí)，將活動(dòng)小車推至卸載滾筒下端，活動(dòng)小車與下層固定隔板一起，將煤倉口全部封閉，裝置前端下部膠帶輸送機(jī)電機(jī)側(cè)設(shè)有堵物處理門，當(dāng)煤倉口發(fā)生堵塞時(shí)，可打開此門進(jìn)行疏通。
4 布置形式
當(dāng)在煤倉上口只安裝一部膠帶輸送機(jī)時(shí)，安全防護(hù)裝置的布置形式如附圖所示，這種布置形式最簡單。如果在同一煤倉上口同時(shí)安裝兩部膠帶輸送機(jī)且相向布置時(shí)，活動(dòng)小車應(yīng)設(shè)置兩個(gè)，這時(shí)活動(dòng)小車的安裝位置為：一個(gè)如附圖中的安裝位置，另一個(gè)則設(shè)置在距它約200~250毫米的下方，大體相當(dāng)于附圖中下層固定隔板的位置。兩小車的推移裝置分別安裝在護(hù)欄框架的兩側(cè)面。當(dāng)兩膠帶輸送機(jī)在同一煤倉口呈90度或其它角度錯(cuò)角布置時(shí)，安全防護(hù)裝置的布置形式也和相向布置的情況基本相同，只是將活動(dòng)小車在上下空間位置上沿不同角度錯(cuò)開。
5 應(yīng)用效果
5.1 達(dá)到了設(shè)計(jì)目標(biāo)
鎮(zhèn)城底礦第一套煤倉上口安全防護(hù)裝置于2008年11月下井安裝試運(yùn)行。試用3個(gè)月后，又在全礦井下所有煤倉推廣使用。一年多的使用情況表明，該裝置達(dá)到了設(shè)計(jì)目標(biāo)和要求。
①能夠防止巷道流水進(jìn)入煤倉。
②能夠減少煤流中的大石頭和長物料進(jìn)入煤倉。
③保證了煤倉上口作業(yè)人員和過往人員的安全。
④動(dòng)作靈活，維護(hù)簡單，操作方便。
5.2 安全效益分析
局團(tuán)委：
接《有色地質(zhì)勘查局團(tuán)委關(guān)于開展青工安全防護(hù)技能比賽的通知》（西色地團(tuán)[]5號(hào)）后，為進(jìn)一步推動(dòng)安全生產(chǎn)工作，增強(qiáng)職工安全意識(shí)，提高職工安全技能，按照通知要求，我隊(duì)在全隊(duì)范圍內(nèi)開展了“安全防護(hù)技能比賽”，現(xiàn)將活動(dòng)情況總結(jié)如下：
一、安全知識(shí)學(xué)習(xí)培訓(xùn)及測(cè)試
6月份，在全隊(duì)范圍組織開展“學(xué)安全、懂安全、會(huì)安全”安全知識(shí)自學(xué)活動(dòng)，通過懸掛橫幅、張貼宣傳畫、辦黑板報(bào)、安全知識(shí)競賽、安全猜謎等活動(dòng)，大力宣傳法律法規(guī)和安全知識(shí)，對(duì)礦山主要負(fù)責(zé)人、安全管理人員和班組長下發(fā)學(xué)習(xí)材料267本，對(duì)各單位學(xué)習(xí)人員進(jìn)行了輔導(dǎo)學(xué)習(xí)，并對(duì)學(xué)習(xí)人員進(jìn)行了考核測(cè)試。
二里河礦開展復(fù)工前外聘施工人員安全教育，分批次對(duì)外聘施工隊(duì)返礦人員進(jìn)行安全教育，累計(jì)培訓(xùn)344人次；組織清潔生產(chǎn)培訓(xùn)/！/、安全生產(chǎn)知識(shí)培訓(xùn)、尾礦庫安全生產(chǎn)管理知識(shí)培訓(xùn)及法律法規(guī)知識(shí)培訓(xùn)，共計(jì)培訓(xùn)665人次；聘請(qǐng)寶雞市疾控中心專家對(duì)職工進(jìn)行危險(xiǎn)化學(xué)品、“三品”和職業(yè)衛(wèi)生健康知識(shí)培訓(xùn)，培訓(xùn)216人次，發(fā)放學(xué)習(xí)教材168本。
陜西震奧鼎盛礦業(yè)有限公司開展落實(shí)企業(yè)安全生產(chǎn)責(zé)任知識(shí)培訓(xùn)，共計(jì)培訓(xùn)364人次。
陜西華源礦業(yè)有限責(zé)任公司對(duì)各單位負(fù)責(zé)人、部門負(fù)責(zé)人和管理人員進(jìn)行培訓(xùn)，共計(jì)34人次；對(duì)職工和施工隊(duì)從業(yè)人員進(jìn)行培訓(xùn)，共計(jì)420人次；對(duì)特種作業(yè)人員外送接受市、縣組織的安全技能教育培訓(xùn)，共計(jì)137人次。
馬泉金礦開展復(fù)工培訓(xùn)、崗中培訓(xùn)、視頻培訓(xùn)，共計(jì)培訓(xùn)400人次；組織安全管理人員和特種作業(yè)人員參加隴南市安監(jiān)局組織的培訓(xùn)班，共計(jì)34人次。
二、開展應(yīng)急救援演練
