鐵路領(lǐng)域重要信息系統(tǒng)安全保障的創(chuàng)新與實踐

施衛(wèi)忠

（中國國家鐵路集團有限公司 信息技術(shù)中心，北京 100844）

當前，網(wǎng)絡(luò)信息安全已提升到網(wǎng)絡(luò)空間主權(quán)和國家安全的高度，陸、海、空、天（網(wǎng)絡(luò)）已引領(lǐng)國際社會新變革，創(chuàng)造人類生活新空間。網(wǎng)絡(luò)安全和信息化已成為網(wǎng)絡(luò)強國的一體之兩翼、驅(qū)動之雙輪。隨著鐵路信息化應用面向互聯(lián)網(wǎng)開放，來自境內(nèi)外黑客的滲透、攻擊，以及日益猖獗的網(wǎng)絡(luò)違法犯罪活動，給鐵路領(lǐng)域帶來了日趨嚴峻的網(wǎng)絡(luò)安全挑戰(zhàn)。面對復雜的網(wǎng)絡(luò)安全形勢，加強鐵路網(wǎng)絡(luò)安全管理、強化鐵路網(wǎng)絡(luò)安全保障，對鐵路領(lǐng)域重要信息系統(tǒng)安全保障建設(shè)進行探索，具有重要意義。

闡述鐵路領(lǐng)域重要信息系統(tǒng)安全保障建設(shè)的主要內(nèi)容、關(guān)鍵技術(shù)和創(chuàng)新，并對我國鐵路領(lǐng)域網(wǎng)絡(luò)安全管理進行展望。

1 主要建設(shè)內(nèi)容

1.1 網(wǎng)絡(luò)安全技術(shù)架構(gòu)

鐵路領(lǐng)域重要信息系統(tǒng)安全保障建設(shè)范圍包括5網(wǎng)3 級。5 網(wǎng)為鐵路綜合信息網(wǎng)、列車調(diào)度指揮專網(wǎng)、客票專網(wǎng)、旅服網(wǎng)和資金專網(wǎng)；3級為國鐵集團級、鐵路局級、站段級，共涉及中國國家鐵路集團有限公司（簡稱國鐵集團）、18 個鐵路局集團公司、專業(yè)運輸公司等全路各單位，共5000多個基層站段［1］。

以鐵路網(wǎng)絡(luò)安全總體架構(gòu)為基礎(chǔ)，在現(xiàn)有鐵路網(wǎng)絡(luò)安全建設(shè)基礎(chǔ)上，以建設(shè)網(wǎng)絡(luò)安全態(tài)勢感知平臺為核心，優(yōu)化完善和補齊現(xiàn)有的安全防護技術(shù)手段，強化網(wǎng)絡(luò)安全管理、應急處置等機制，逐步形成綜合防御體系。具體包含5 個安全支撐平臺、5 個技術(shù)保障系統(tǒng)、1個管理保障體系［2］（見圖1）。

圖1 網(wǎng)絡(luò)安全技術(shù)架構(gòu)

1.2 安全支撐平臺建設(shè)

1.2.1 整合形成完善的電子認證服務平臺

整合鐵路領(lǐng)域在信息化發(fā)展過程中，各個屬地隨業(yè)務應用系統(tǒng)分散建設(shè)，覆蓋不全面的電子認證CA 系統(tǒng)；統(tǒng)一貨運、客運業(yè)務單獨部署的CA 系統(tǒng)，徹底改變無序紛亂的鐵路電子認證服務，統(tǒng)一規(guī)劃、有機整合，將獨立、零散的各地電子認證服務單元整合形成統(tǒng)一的認證體系，規(guī)范統(tǒng)一的認證標準。

1.2.2 建立多方位海量數(shù)據(jù)下的集中安全管理平臺

為應對傳統(tǒng)網(wǎng)絡(luò)和海量數(shù)據(jù)帶來的多源異構(gòu)數(shù)據(jù)采集、海量數(shù)據(jù)存儲與分析、安全指標集中展現(xiàn)等多種挑戰(zhàn)，以資產(chǎn)為核心、情報為驅(qū)動，打造一個集數(shù)據(jù)采集、情報預警、集中運維為一體的集中安全管理平臺，對IT 資產(chǎn)情況進行監(jiān)控和警告，協(xié)助用戶進行網(wǎng)絡(luò)安全威脅的統(tǒng)一管理。

1.2.3 建立風險可視化的網(wǎng)絡(luò)安全態(tài)勢感知平臺

針對鐵路領(lǐng)域綜合信息網(wǎng)、鐵路客票專網(wǎng)、列車調(diào)度指揮專網(wǎng)中承載的關(guān)鍵公眾服務平臺、列車調(diào)度指揮、客票發(fā)售、安全運輸生產(chǎn)等業(yè)務系統(tǒng)，結(jié)合安全威脅分析，利用云計算、大數(shù)據(jù)技術(shù)建設(shè)網(wǎng)絡(luò)安全態(tài)勢感知平臺［3］，從原有以防護為核心的模型，轉(zhuǎn)向以檢測為核心的模型，建立識別、預防、發(fā)現(xiàn)、響應等機制，提升變被動為主動的安全防御能力。

1.2.4 建設(shè)企業(yè)級互聯(lián)網(wǎng)網(wǎng)站群安全部署平臺

按照屬地化管理原則，建設(shè)統(tǒng)一標準、安全規(guī)范的鐵路局集團公司互聯(lián)網(wǎng)網(wǎng)站群安全部署平臺。將原有分散部署的中小規(guī)?；ヂ?lián)網(wǎng)網(wǎng)站（應用）遷移至新建網(wǎng)站群安全部署平臺。

1.2.5 構(gòu)建完善移動應用安全接入平臺

為了應對移動應用數(shù)量不斷增多、移動安全技術(shù)手段功能單一、移動應用安全重復建設(shè)、管理難度大的問題，建設(shè)移動應用安全接入平臺，作為公共基礎(chǔ)設(shè)施，滿足應用系統(tǒng)及業(yè)務人員需要，以保證移動智能終端接入的安全性為目標，保障企業(yè)的網(wǎng)絡(luò)安全、數(shù)據(jù)安全和終端安全。

1.3 技術(shù)保障系統(tǒng)建設(shè)

1.3.1 構(gòu)建立體化終端安全防護體系

以國家信息安全相關(guān)標準、規(guī)范為依據(jù)，以實現(xiàn)計算機環(huán)境安全防護平臺中的終端安全管理為基礎(chǔ)，以制定計算機終端安全配置策略為核心，以安全易用為導向，兼顧終端防護系統(tǒng)高可用性，建立涵蓋鐵路綜合信息網(wǎng)、列車調(diào)度指揮專網(wǎng)中的計算機終端安全防護系統(tǒng)，實現(xiàn)終端網(wǎng)絡(luò)安全準入控制、安全狀態(tài)監(jiān)控、安全審計等功能，最終形成多層次、立體化的終端安全防護體系。

1.3.2 構(gòu)建含互聯(lián)網(wǎng)、內(nèi)外網(wǎng)、不同安全域邊界間安全防護體系

通過構(gòu)建縱深邊界防護體系、網(wǎng)站群安全防護及移動接入安全體系實現(xiàn)互聯(lián)網(wǎng)邊界安全防護；構(gòu)建數(shù)據(jù)安全交換平臺，結(jié)合安全隔離體系、安全防御體系、業(yè)務數(shù)據(jù)安全交換體系，實現(xiàn)數(shù)據(jù)綜合網(wǎng)、客票網(wǎng)、TDCS/CTC 網(wǎng)、旅服網(wǎng)、資金專網(wǎng)等安全域邊界安全防護及其之間的數(shù)據(jù)可控交換和風險隔離。

1.3.3 研究基于大數(shù)據(jù)的鐵路客運售票業(yè)務風險防控系統(tǒng)

通過對鐵路客運售票系統(tǒng)各類源數(shù)據(jù)的采集、存儲、匯總建模及快速檢索，在形成通用型數(shù)據(jù)分析系統(tǒng)的基礎(chǔ)上，對采集的海量數(shù)據(jù)進行關(guān)聯(lián)分析，實現(xiàn)海量數(shù)據(jù)的快速分類、查詢檢索、統(tǒng)計呈現(xiàn)、異常行為預警，為人工排查應用訪問行為異常提供有效手段，并通過與態(tài)勢感知系統(tǒng)形成聯(lián)動，提供安全狀態(tài)的統(tǒng)一展現(xiàn)及分析。

1.3.4 研究通信網(wǎng)絡(luò)安全防護系統(tǒng)

通過對通信信息進行加密處理、用戶身份認證、設(shè)置權(quán)限等方法來預防和制止網(wǎng)絡(luò)通信的安全問題。通信網(wǎng)絡(luò)安全由密碼支撐系統(tǒng)、通信網(wǎng)絡(luò)安全服務平臺和加密設(shè)備構(gòu)成［4］，目的是為網(wǎng)絡(luò)使用人員提供經(jīng)過加密的傳輸通道，使用戶可以安全地在網(wǎng)絡(luò)上進行信息共享。

1.3.5 研究面向云計算環(huán)境的應用安全保障系統(tǒng)

隨著鐵路行業(yè)網(wǎng)絡(luò)規(guī)模的持續(xù)增長，移動互聯(lián)網(wǎng)、云計算、大數(shù)據(jù)等新技術(shù)對網(wǎng)絡(luò)安全提出新挑戰(zhàn)［5］。通過網(wǎng)絡(luò)功能虛擬化、流量調(diào)度等技術(shù)，研發(fā)虛擬網(wǎng)絡(luò)安全防護系統(tǒng)，包括虛擬環(huán)境內(nèi)部的入侵檢測、訪問控制、Web安全防護等；通過安全資源池化管理、安全策略一致性、標準化平臺接口、虛擬安全設(shè)備智能部署等安全資源統(tǒng)一管理技術(shù)，部署基于安全資源池的云虛擬環(huán)境管理平臺，實現(xiàn)安全策略、虛擬安全資源的統(tǒng)一管理。

1.4 完善網(wǎng)絡(luò)安全管理保障系統(tǒng)

網(wǎng)絡(luò)安全管理保障系統(tǒng)從制度規(guī)范、組織保障、人才培養(yǎng)3個維度［6］，對既有管理文件進行必要的取舍和增補，在部分建設(shè)和試點基礎(chǔ)上，結(jié)合發(fā)現(xiàn)的網(wǎng)絡(luò)安全管理保障體系應用范圍不全面等問題，對鐵路網(wǎng)絡(luò)安全防護能力進行完善，擴展安全管理、技術(shù)保護、安全審查、責任認定、應急處置和隱私保護等安全措施，逐步將鐵路領(lǐng)域現(xiàn)有“無序、零散、被動”的風險補救式網(wǎng)絡(luò)安全管理模式，轉(zhuǎn)變?yōu)椤跋到y(tǒng)、連貫、主動”的網(wǎng)絡(luò)安全管理模式，進一步健全體系，保障鐵路信息網(wǎng)絡(luò)及業(yè)務應用系統(tǒng)的安全、穩(wěn)定、可靠運行［7］。

2 關(guān)鍵技術(shù)

作為鐵路領(lǐng)域有史以來最大的網(wǎng)絡(luò)安全建設(shè)工程，涉及鐵路領(lǐng)域所有單位和部門，涵蓋了所有工種和崗位，對全路55 萬臺（套）終端進行管控，對全路所有互聯(lián)網(wǎng)出口進行監(jiān)控，對鐵路內(nèi)網(wǎng)的重要節(jié)點進行數(shù)據(jù)采集、匯總、分析，第1次建立了全路上下聯(lián)動、協(xié)同處理的集中安全管理平臺和對鐵路網(wǎng)絡(luò)安全狀態(tài)進行研判的態(tài)勢感知平臺，形成和國家網(wǎng)絡(luò)安全平臺對接，對鐵路內(nèi)部網(wǎng)絡(luò)安全事件一體化管理的網(wǎng)絡(luò)安全管理平臺。

2.1 新技術(shù)應用

通過對新技術(shù)新產(chǎn)品防護手段的研究和部署，將大力推進云計算［8］、大數(shù)據(jù)和移動設(shè)備［9］在鐵路行業(yè)的應用，改變鐵路應用的部署模式，提高計算資源的支持和運用能力。

2.2 適應等保2.0要求

網(wǎng)絡(luò)安全技術(shù)架構(gòu)設(shè)計中，充分考慮了等級保護2.0［10］的要求，結(jié)合大數(shù)據(jù)、云計算、移動平臺等擴展要求，完善補強了鐵路網(wǎng)絡(luò)安全架構(gòu)短板，提升了鐵路網(wǎng)絡(luò)安全架構(gòu)的完整性。

2.3 搭建鐵路首個態(tài)勢感知平臺

首次提出了在鐵路領(lǐng)域搭建網(wǎng)絡(luò)安全態(tài)勢感知平臺，將傳統(tǒng)的被動式防御變?yōu)橹鲃邮椒烙?，實現(xiàn)鐵路領(lǐng)域全網(wǎng)態(tài)勢的展現(xiàn)。

2.4 架構(gòu)緊密結(jié)合客運售票新模式

網(wǎng)絡(luò)安全技術(shù)架構(gòu)從業(yè)務防控角度解決了鐵路售票系統(tǒng)的安全，有效實現(xiàn)對售票系統(tǒng)的風控，確保購票過程的公平公正。

2.5 多個系統(tǒng)之間的網(wǎng)絡(luò)安全數(shù)據(jù)實現(xiàn)整合

工程雖然涉及不同系統(tǒng)，但整體目標一致、方案技術(shù)統(tǒng)一，通過安全數(shù)據(jù)平臺將各個系統(tǒng)有效結(jié)合，全部業(yè)務形成閉環(huán)。從基礎(chǔ)防護手段，到擴展防護策略；從底層安全設(shè)施，到上層態(tài)勢感知；從通用防護功能，到針對具體業(yè)務的風險防控，建立鐵路領(lǐng)域一體化的網(wǎng)絡(luò)安全防護架構(gòu)，為今后鐵路網(wǎng)絡(luò)安全發(fā)展奠定基礎(chǔ)。

2.6 重點系統(tǒng)的數(shù)據(jù)安全得到有效保護

網(wǎng)絡(luò)安全的根本是數(shù)據(jù)安全，即數(shù)據(jù)安全才是網(wǎng)絡(luò)安全的重中之重。數(shù)據(jù)在，價值在，服務在。數(shù)據(jù)安全與數(shù)據(jù)泄露共存，研究使用核心技術(shù)，讓數(shù)據(jù)能夠?qū)崿F(xiàn)自保。

2.7 后量子安全密鑰管理技術(shù)實現(xiàn)天然免疫

網(wǎng)絡(luò)安全中，對固有數(shù)據(jù)實現(xiàn)天然免疫、自身免疫，抵御已知和未知的外來惡意攻擊，不怕漏洞和后門，防勒索、破壞和泄露，放棄網(wǎng)絡(luò)系統(tǒng)的糾纏，開創(chuàng)數(shù)據(jù)保護的先河，以數(shù)據(jù)為核心，控制所有訪問數(shù)據(jù)的進程。

3 難點及創(chuàng)新

鐵路領(lǐng)域重要信息系統(tǒng)安全保障分4 部分開展建設(shè)，分別是：TDCS/CTC 網(wǎng)安全、客運售票業(yè)務風險防控和終端安全、鐵路桌面終端安全、鐵路綜合信息網(wǎng)安全集成。每個部分又分為2個建設(shè)階段，即先試點再推廣。在試點過程中，建設(shè)團隊克服重重困難，解決以下難題。

3.1 實現(xiàn)新技術(shù)與原系統(tǒng)技術(shù)架構(gòu)結(jié)合

有些功能是在原系統(tǒng)基礎(chǔ)上進行補充完善，例如TDCS/CTC 網(wǎng)安全補強、鐵路綜合信息網(wǎng)中的部分建設(shè)內(nèi)容，均要遵循原有技術(shù)架構(gòu)，進行網(wǎng)絡(luò)安全補強，同時也會采用當前漸趨成熟的云計算、大數(shù)據(jù)等技術(shù)。在試點過程中，需要將新技術(shù)與原技術(shù)架構(gòu)進行驗證，在滿足原技術(shù)架構(gòu)基礎(chǔ)上，實現(xiàn)新技術(shù)功能提升。

3.2 滿足系統(tǒng)功能和業(yè)務變化之間適配

在工程建設(shè)過程中，不可避免地出現(xiàn)業(yè)務功能改變，例如客運售票業(yè)務風險防控，在系統(tǒng)建設(shè)過程中，遇到了2020年的新冠病毒疫情事件。在此過程中，鐵路客運售票過程進行了緊急調(diào)整，隨之改變的是業(yè)務風險防控計算模型。在試點過程中，建設(shè)團隊克服困難、積極應對，搭建靈活的模型定義模塊，有效應對變化。

3.3 擴充終端管理系統(tǒng)實現(xiàn)不同操作系統(tǒng)之間兼容

在工程實施中，首次對鐵路55 萬臺（套）終端進行統(tǒng)一平臺管控。由于鐵路信息化建設(shè)歷程長，55 萬臺（套）終端的類型千差萬別，有的專用生產(chǎn)終端還是Windows XP 系統(tǒng)，設(shè)備配置較低，終端管理系統(tǒng)需要對所有終端實現(xiàn)病毒檢測、補丁下發(fā)、違規(guī)外鏈檢測等多項功能。在試點過程中，建設(shè)團隊和鐵路局集團公司技術(shù)隊伍相互配合，對各類終端進行現(xiàn)場驗證，發(fā)現(xiàn)一個典型，即在其他鐵路局試點時進行驗證，積累豐富的現(xiàn)場經(jīng)驗，奠定全路推廣的基礎(chǔ)。

3.4 建立不同系統(tǒng)之間安全數(shù)據(jù)統(tǒng)一規(guī)則

工程最終目標是要實現(xiàn)各系統(tǒng)安全數(shù)據(jù)的統(tǒng)一采集、分析、研判、處理。為了實現(xiàn)這個目標，需要各系統(tǒng)將自身產(chǎn)生的安全數(shù)據(jù)匯總到統(tǒng)一平臺中，并按照平臺要求進行規(guī)范化，統(tǒng)一平臺在接收到相關(guān)數(shù)據(jù)后，進行匯總、綜合分析，形成研判結(jié)果提供給業(yè)務人員進行處理。在試點過程中，建設(shè)團隊已經(jīng)完成主要節(jié)點數(shù)據(jù)集采和匯總功能，隨著工程的推進，將匯總更多數(shù)據(jù)并應用。

3.5 創(chuàng)新高效的組織協(xié)調(diào)工作機制

工程實施的關(guān)鍵是組織協(xié)調(diào)。工程涉及面廣、內(nèi)容多，需要鐵路行業(yè)各個單位共同努力，緊密配合，才能高效推進工程。工程指揮部每周召開工作例會、建立專項交流群組、設(shè)立問題庫，發(fā)現(xiàn)問題及時解決，將工程實施經(jīng)驗進行匯總分享。

截至2020年3月底，4 個部分的試點工作均已完成，實現(xiàn)既定目標，取得了成效。終端安全功能不僅完成了試點，全路終端安全功能安裝量已完成了90%，正在驗證防護策略。

4 我國鐵路領(lǐng)域網(wǎng)絡(luò)安全展望

鐵路網(wǎng)絡(luò)安全已成為鐵路領(lǐng)域安全生產(chǎn)的重要組成部分，為應對目前嚴峻的安全形勢，優(yōu)化完善鐵路領(lǐng)域現(xiàn)有的網(wǎng)絡(luò)安全防護手段，設(shè)立鐵路網(wǎng)絡(luò)安全總監(jiān)，在鐵路領(lǐng)域推進網(wǎng)絡(luò)安全法實施。網(wǎng)絡(luò)安全永遠是攻與防的關(guān)系，盡管鐵路領(lǐng)域?qū)嵤┝擞惺芬詠碜畲蟮木W(wǎng)絡(luò)安全工程，但一個工程不可能解決所有網(wǎng)絡(luò)安全問題。網(wǎng)絡(luò)安全是動態(tài)、持續(xù)改進的。工程實施過程中，為適應業(yè)務系統(tǒng)安全需求，完善網(wǎng)絡(luò)安全架構(gòu)體系、建設(shè)全路網(wǎng)絡(luò)安全平臺、建成全路移動數(shù)據(jù)傳輸統(tǒng)一平臺（MTUP）、建成移動應用安全接入平臺。信息中心所屬企業(yè)創(chuàng)新研制系列隔離產(chǎn)品，先后研發(fā)出我國第一臺桌面單向?qū)朐O(shè)備、第一臺網(wǎng)間單向光閘、第一且唯一的雙網(wǎng)隔離終端單向擺渡系統(tǒng)、單向運維柵欄系統(tǒng)等系列產(chǎn)品，為解決技術(shù)安全、管理安全做了有益嘗試。

網(wǎng)絡(luò)主權(quán)意識模糊、鐵路領(lǐng)域網(wǎng)絡(luò)安全管理理念和理論研究不夠、法律體系不完善、網(wǎng)絡(luò)安全缺乏公信力，從而影響網(wǎng)絡(luò)信息安全；網(wǎng)絡(luò)安全產(chǎn)品關(guān)鍵設(shè)備安全認證和檢測不到位、網(wǎng)絡(luò)管控辦法技術(shù)落后及人才短缺，制約著鐵路領(lǐng)域網(wǎng)絡(luò)安全事業(yè)發(fā)展，這些是將來要逐項解決的難題。

通過工程項目實施，帶動鐵路領(lǐng)域網(wǎng)絡(luò)安全邁上新臺階是不容置疑的事實。