《智慧城市軌道交通 信息技術(shù)架構(gòu)及網(wǎng)絡(luò)安全規(guī)范第3部分：網(wǎng)絡(luò)安全》標(biāo)準(zhǔn)解讀

編制背景

面對(duì)復(fù)雜的網(wǎng)絡(luò)攻擊環(huán)境，為了保障國(guó)家網(wǎng)絡(luò)空間的安全，國(guó)家高度重視網(wǎng)絡(luò)安全，習(xí)近平主席提出了“沒有網(wǎng)絡(luò)安全就沒有國(guó)家安全”的重要指示?！吨腥A人民共和國(guó)網(wǎng)絡(luò)安全法》于2017年6月1日正式實(shí)施，讓網(wǎng)絡(luò)安全建設(shè)有法可依。而在今年五月份發(fā)布的《網(wǎng)絡(luò)安全等級(jí)保護(hù)》2.0的相關(guān)要求，則是進(jìn)一步將相關(guān)要求具體到技術(shù)層面。中國(guó)城市軌道交通協(xié)會(huì)下達(dá)了《關(guān)于下達(dá)中國(guó)城市軌道交通協(xié)會(huì)2019年第一批團(tuán)體標(biāo)準(zhǔn)制修訂計(jì)劃的通知》（〔2019〕004號(hào)），由中城協(xié)專家學(xué)術(shù)委承擔(dān)并組織全行業(yè)專家共同編制《智慧城市軌道交通 信息技術(shù)架構(gòu)及網(wǎng)絡(luò)安全規(guī)范》（以下簡(jiǎn)稱：《規(guī)范》）現(xiàn)對(duì)《規(guī)范》的第三部分網(wǎng)絡(luò)安全進(jìn)行如下簡(jiǎn)單解讀。

城軌云通過云計(jì)算、大數(shù)據(jù)等技術(shù)手段，對(duì)城軌各業(yè)務(wù)應(yīng)用系統(tǒng)進(jìn)行合理優(yōu)化，使城軌運(yùn)營(yíng)生產(chǎn)中的各類信息資源得到整合，實(shí)現(xiàn)各業(yè)務(wù)系統(tǒng)軟硬件的集中部署、統(tǒng)建共用、信息共享，各業(yè)務(wù)部門協(xié)同作業(yè)，改變了既有城軌交通各個(gè)信息獨(dú)立成網(wǎng)，數(shù)據(jù)沒有交互的現(xiàn)狀，實(shí)現(xiàn)了城軌運(yùn)營(yíng)生產(chǎn)過程的全程信息化管理和作業(yè)的遠(yuǎn)程集中控制，有效地消除信息孤島與自動(dòng)化孤島。在城軌云的建設(shè)過程中，使用了云計(jì)算、物聯(lián)網(wǎng)、大數(shù)據(jù)等新技術(shù)，為了確保新技術(shù)更好的應(yīng)用，安全問題是需要面對(duì)的首要問題。一方面，攻擊威脅技術(shù)本身在不斷演進(jìn)，由于城軌面向公眾服務(wù)的特性，成網(wǎng)后極易成為攻擊者宣稱實(shí)力的陣地，所以城市軌道交通面臨的網(wǎng)絡(luò)空間安全風(fēng)險(xiǎn)越來越大。另一方面，城軌業(yè)務(wù)系統(tǒng)云化之后，多個(gè)專業(yè)共享同一個(gè)云中心，不同等級(jí)的業(yè)務(wù)和數(shù)據(jù)混合在同一個(gè)物理平臺(tái)上，如何保證使得各專業(yè)的業(yè)務(wù)系統(tǒng)和資源安全運(yùn)營(yíng)，是個(gè)需要統(tǒng)籌考慮的系統(tǒng)性問題。

《規(guī)范》的編制原則與總體思路

本規(guī)范的編制遵循“系統(tǒng)自保，平臺(tái)統(tǒng)保，邊界防護(hù)，等保達(dá)標(biāo)，安全確?！倍只静呗?。在該指導(dǎo)原則下，按照網(wǎng)絡(luò)縱深防御和主動(dòng)防御的思想，在技術(shù)層面提出了以下網(wǎng)絡(luò)安全防護(hù)策略：

·網(wǎng)間分級(jí)隔離：按外部服務(wù)網(wǎng)、內(nèi)部服務(wù)網(wǎng)和安全生產(chǎn)網(wǎng)構(gòu)建安全域，并從外層到內(nèi)層（即云的南北向）形成縱向防護(hù)機(jī)制，以多層安全保護(hù)措施實(shí)現(xiàn)南北向邊界防護(hù)；

·域內(nèi)分類保護(hù)：分別在外部服務(wù)網(wǎng)、內(nèi)部服務(wù)網(wǎng)和安全生產(chǎn)網(wǎng)的安全域內(nèi)（即云的東西向）按應(yīng)用系統(tǒng)安全需求，定制應(yīng)用安全區(qū)，在安全域的應(yīng)用安全區(qū)之間實(shí)現(xiàn)東西向邊界保護(hù)。同時(shí)在域內(nèi)，按照數(shù)據(jù)的安全等級(jí)提供對(duì)應(yīng)的防護(hù)策略，保證數(shù)據(jù)安全；

·邊界強(qiáng)化防護(hù)：在外部服務(wù)網(wǎng)、內(nèi)部服務(wù)網(wǎng)和安全生產(chǎn)網(wǎng)安全域邊界，應(yīng)在物理鏈路層、網(wǎng)絡(luò)層、應(yīng)用層實(shí)行自下向上的防護(hù)策略。

在上述原則與策略的指導(dǎo)下，本規(guī)范的編制過程的主要思路包括以下四點(diǎn)：

·依法合規(guī)：遵照國(guó)家網(wǎng)絡(luò)安全方面的法律和條例，以國(guó)家等級(jí)保護(hù)最新要求為基礎(chǔ)，助力國(guó)家等保制度在城軌行業(yè)的落地。

·面向應(yīng)用：以保證應(yīng)用系統(tǒng)持續(xù)穩(wěn)定運(yùn)行為安全中心目標(biāo)，安全防護(hù)設(shè)施不能影響應(yīng)用系統(tǒng)的可用性。

·注重實(shí)效：適應(yīng)各應(yīng)用特點(diǎn)，為應(yīng)用提供所需的安全保障與服務(wù)，保證其安全。

·協(xié)同防護(hù)：統(tǒng)籌自身安全與平臺(tái)保護(hù)，技術(shù)與管理并舉，安全專用設(shè)施與非安全專用設(shè)施配合。

圖1 城軌云網(wǎng)絡(luò)安全架構(gòu)

《規(guī)范》設(shè)計(jì)的系統(tǒng)安全架構(gòu)與基礎(chǔ)設(shè)施安全

城軌云的網(wǎng)絡(luò)由三張業(yè)務(wù)承載域（習(xí)慣稱為三網(wǎng)，包含外部服務(wù)網(wǎng)、內(nèi)部管理網(wǎng)和安全生產(chǎn)網(wǎng)）和帶外管理域構(gòu)成。每個(gè)網(wǎng)絡(luò)域內(nèi)按照各自的功能需求劃分功能區(qū)，功能區(qū)之間應(yīng)隔離，即域內(nèi)隔離。在運(yùn)維管理網(wǎng)中劃分單獨(dú)的安全管理區(qū)域，用于部署安全設(shè)備，支持安全審計(jì)、安全態(tài)勢(shì)感知等設(shè)備的使用。并設(shè)置專門的文件交換區(qū)，對(duì)于外部傳入的不明文件，通過安全檢測(cè)后才能導(dǎo)入城軌云網(wǎng)絡(luò)中。

總體上，安全生產(chǎn)網(wǎng)應(yīng)按照等保三級(jí)建設(shè)，內(nèi)部管理網(wǎng)應(yīng)按照等保二級(jí)建設(shè)，外部服務(wù)網(wǎng)按各應(yīng)用所需的級(jí)別建設(shè)，并確保達(dá)到相應(yīng)等級(jí)的實(shí)際安全保護(hù)效果。

《規(guī)范》設(shè)計(jì)的邊界安全防護(hù)

圖2 城軌云網(wǎng)絡(luò)邊界防護(hù)

由于在城軌云的網(wǎng)絡(luò)中存在很多邊界，需要特別注意網(wǎng)絡(luò)邊界的安全防護(hù)，邊界安全是城軌網(wǎng)絡(luò)安全的關(guān)鍵點(diǎn)之一，故單獨(dú)列出此大類要求。涉及外部服務(wù)網(wǎng)與互聯(lián)網(wǎng)邊界，外部服務(wù)網(wǎng)與內(nèi)部服務(wù)網(wǎng)邊界，內(nèi)部服務(wù)網(wǎng)與安全生產(chǎn)網(wǎng)邊界，安全生產(chǎn)網(wǎng)與信號(hào)系統(tǒng)區(qū)邊界等十四類邊界，給出了各類邊界的具體安全防護(hù)要求。

《規(guī)范》設(shè)計(jì)的網(wǎng)絡(luò)安全

網(wǎng)絡(luò)安全部分主要包括：互聯(lián)網(wǎng)出入口安全、網(wǎng)站應(yīng)用安全防護(hù)、無(wú)線WLAN接入外部服務(wù)網(wǎng)、無(wú)線LTE-M接入生產(chǎn)安全網(wǎng)、安全集中管控、安全審計(jì)與態(tài)勢(shì)感知等內(nèi)容。

網(wǎng)絡(luò)層的安全，除了傳輸自身安全外，還應(yīng)特別重視建立獨(dú)立的安全管理區(qū)，對(duì)網(wǎng)絡(luò)的整體安全情況進(jìn)行集中管控，及時(shí)收集收集全部流量和日志信息，按照最新的等保2.0的要求，采用大數(shù)據(jù)、人工智能等新技術(shù)建設(shè)主動(dòng)防御能力體系，分析發(fā)現(xiàn)發(fā)現(xiàn)異常設(shè)備和異常事件及潛在威脅，及時(shí)預(yù)警，根據(jù)態(tài)勢(shì)感知發(fā)出的告警，向設(shè)備下發(fā)阻斷、降級(jí)或脫網(wǎng)等策略。

《規(guī)范》設(shè)計(jì)的云計(jì)算環(huán)境安全

云計(jì)算環(huán)境是智慧城軌信息系統(tǒng)建設(shè)的基礎(chǔ)。規(guī)范按云的原理模型組織云計(jì)算環(huán)境安全要求：

·IaaS應(yīng)用從平臺(tái)虛擬化安全、網(wǎng)絡(luò)安全、主機(jī)安全、存儲(chǔ)安全、終端安全等幾個(gè)方面規(guī)定了安全防護(hù)措施。

·PaaS應(yīng)用從開放API安全、開發(fā)環(huán)境安全、中間件安全、數(shù)據(jù)庫(kù)安全、大數(shù)據(jù)平臺(tái)安全等幾個(gè)方面規(guī)定了安全防護(hù)措施。

·SaaS應(yīng)用從應(yīng)用軟件開發(fā)安全、應(yīng)用數(shù)據(jù)遷移安全、應(yīng)用系統(tǒng)自身的安全等幾個(gè)方面規(guī)定了安全防護(hù)措施。

·云計(jì)算平臺(tái)管理的安全防護(hù)措施。

《規(guī)范》設(shè)計(jì)的主要應(yīng)用系統(tǒng)安全

圖3 主要應(yīng)用系統(tǒng)部署圖

結(jié)合城軌業(yè)務(wù)應(yīng)用特點(diǎn)、以等保的要求為基線，編制應(yīng)用系統(tǒng)的規(guī)范。將城軌主要業(yè)務(wù)系統(tǒng)根據(jù)業(yè)務(wù)特點(diǎn)及安全原則分散部署在三張網(wǎng)，并根據(jù)各個(gè)應(yīng)用系統(tǒng)各自的業(yè)務(wù)特點(diǎn)，提出了針對(duì)業(yè)務(wù)系統(tǒng)的安全要求。

《規(guī)范》設(shè)計(jì)的網(wǎng)絡(luò)安全管理機(jī)制

安全保障技術(shù)的實(shí)施離不開安全的保障機(jī)制，應(yīng)參照國(guó)家等級(jí)保護(hù)制度，明確安全管理職責(zé)，建立配套的安全管理制度，保證安全技術(shù)措施同步規(guī)劃、同步建設(shè)、同步使用。