鐵路網(wǎng)絡(luò)安全等級保護管理系統(tǒng)研究

馮凱亮，張德棟，陳 勛，王紅偉

（中國鐵道科學(xué)研究院集團有限公司 電子計算技術(shù)研究所，北京 100081）

隨著國內(nèi)外網(wǎng)絡(luò)安全形勢日益嚴(yán)峻，我國陸續(xù)出臺了《網(wǎng)絡(luò)安全法》、網(wǎng)絡(luò)安全等級保護（簡稱：等級保護）2.0標(biāo)準(zhǔn)，促使網(wǎng)絡(luò)安全工作清晰化、規(guī)范化，對業(yè)務(wù)系統(tǒng)風(fēng)險管控、網(wǎng)絡(luò)安全防護能力的要求提升到新的高度[1]。近年來，鐵路作為國家重要的關(guān)鍵基礎(chǔ)設(shè)施，其信息化水平高速發(fā)展，信息系統(tǒng)與信息網(wǎng)絡(luò)在鐵路建設(shè)中發(fā)揮著越來越重要的作用。因而，正常、穩(wěn)定的鐵路信息系統(tǒng)和信息網(wǎng)絡(luò)，對鐵路安全運輸起到重要的安全保障作用。鐵路安全與國家安全、社會秩序和人民財產(chǎn)安全緊密相連，因此，加強和鞏固鐵路網(wǎng)絡(luò)安全、做好鐵路信息系統(tǒng)等級保護管理工作刻不容緩。

當(dāng)前，鐵路等級保護工作處于常態(tài)化，各鐵路局集團有限公司（簡稱：鐵路局）相關(guān)單位已陸續(xù)開展等級保護測評工作。由于等級保護測評數(shù)據(jù)無法統(tǒng)一匯總和集中存儲，且鐵路信息系統(tǒng)部署及管理較復(fù)雜，導(dǎo)致管理人員工作量日益繁重，因此在鐵路網(wǎng)絡(luò)安全方面，急需統(tǒng)一的安全管理手段[2]。為更好地推動鐵路行業(yè)信息系統(tǒng)等級保護測評工作[3]，把控信息臺賬，全觀安全狀況，規(guī)范等級保護工作中定級備案[4]、等級保護測評、差距分析、整改建設(shè)和監(jiān)督檢查等各個環(huán)節(jié)的流程[5]，健全等級保護工作管理體系[6]，使鐵路行業(yè)的等級保護工作滿足上級部門的監(jiān)管要求和政策法規(guī)的合規(guī)需求,研究鐵路網(wǎng)絡(luò)安全等級保護管理系統(tǒng)已成為開展等級保護工作的重中之重。

1 需求分析

本文按照中國國家鐵路集團有限公司（簡稱：國鐵集團）、鐵路局、站段的三級網(wǎng)絡(luò)安全管理模式，將鐵路等級保護工作細化為可量化的技術(shù)和管理指標(biāo)，梳理鐵路網(wǎng)絡(luò)安全辦公管理流程，完成線上定級、備案、整改、測評、監(jiān)督等主要工作，實現(xiàn)等級保護工作任務(wù)的下發(fā)、執(zhí)行、監(jiān)控和督辦等功能，使鐵路各級單位的日常網(wǎng)絡(luò)安全管理工作與等級保護相結(jié)合。

1.1 評測工作方面

系統(tǒng)應(yīng)參照國家法律法規(guī)和等級保護政策標(biāo)準(zhǔn)，結(jié)合鐵路行業(yè)實際運行場景，實現(xiàn)統(tǒng)一評測標(biāo)準(zhǔn)及規(guī)范要求，進而減少不同單位及人員在測評工作中結(jié)論不一致的現(xiàn)象。

1.2 流程管理方面

系統(tǒng)應(yīng)提供人員角色、工作流程等功能，方便等級保護工作開展過程中分工協(xié)作、各司其職，實現(xiàn)可視化的等級保護工作管理，有效改善工作不透明、流程不完善等問題。

1.3 數(shù)據(jù)存儲方面

系統(tǒng)應(yīng)將系統(tǒng)臺賬數(shù)據(jù)、等級保護測評數(shù)據(jù)進行集中存儲和統(tǒng)一管理，不僅可保證數(shù)據(jù)的完整性和一致性，還可為后續(xù)鐵路等級保護工作開展提供依據(jù)。

1.4 數(shù)據(jù)分析方面

系統(tǒng)應(yīng)為國鐵集團領(lǐng)導(dǎo)、鐵路局領(lǐng)導(dǎo)提供鐵路網(wǎng)絡(luò)安全整體狀況分析，為推動網(wǎng)絡(luò)安全工作開展和決策網(wǎng)絡(luò)安全規(guī)劃提供數(shù)據(jù)支持。

1.5 網(wǎng)絡(luò)安全知識庫方面

系統(tǒng)應(yīng)將國家網(wǎng)絡(luò)安全法律法規(guī)和等級保護技術(shù)標(biāo)準(zhǔn)的規(guī)范要求、成功案例、分析方法、整改措施等統(tǒng)一管理，為鐵路行業(yè)網(wǎng)絡(luò)安全技術(shù)人員提供技術(shù)分享功能。

2 系統(tǒng)架構(gòu)

2.1 總體架構(gòu)

系統(tǒng)的總體架構(gòu)由數(shù)據(jù)基礎(chǔ)層、應(yīng)用支撐層、展示層、用戶層4個層次組成，如圖1所示。

圖1 鐵路網(wǎng)絡(luò)安全等級保護管理系統(tǒng)總體架構(gòu)

（1）數(shù)據(jù)基礎(chǔ)層：平臺基礎(chǔ)數(shù)據(jù)的來源包括鐵路局、站段等單位的人員、資產(chǎn)、系統(tǒng)相關(guān)基礎(chǔ)信息，各種法律法規(guī)、標(biāo)準(zhǔn)規(guī)范的要求，及合規(guī)檢查結(jié)果。該層用于實現(xiàn)基礎(chǔ)數(shù)據(jù)登記和安全狀況匯總。

（2）應(yīng)用支撐層：該層負責(zé)建立流程模型，包括定級模型、備案模型、測評模型、整改規(guī)劃模型等；應(yīng)用大數(shù)據(jù)分析技術(shù)批量處理測評數(shù)據(jù)，為管理層的安全決策提供支撐；同時，系統(tǒng)還提供API服務(wù)，為第三方系統(tǒng)提供數(shù)據(jù)輸入、輸出功能。

（3）展示層：系統(tǒng)提供工作分工界面，包括工作臺、臺賬管理、定級備案、測評管理、整改規(guī)劃、統(tǒng)計分析、知識庫等，按照依據(jù)用戶職責(zé)分工和權(quán)限最小化原則，實現(xiàn)各類角色的專有功能界面；系統(tǒng)通過自定義流程引擎[7]，結(jié)合等級保護管理相關(guān)規(guī)范及鐵路辦公習(xí)慣，實現(xiàn)鐵路網(wǎng)絡(luò)安全特有的業(yè)務(wù)流程。

（4）用戶層：鐵路等級保護管理工作的相關(guān)用戶包括國鐵集團領(lǐng)導(dǎo)用戶、信息化管理人員、業(yè)務(wù)管理人員、鐵路公安備案人員、測評機構(gòu)人員。

2.2 網(wǎng)絡(luò)架構(gòu)

系統(tǒng)采用國鐵集團集中部署模式，通過權(quán)限最小化原則，將國鐵集團用戶、鐵路局公安備案用戶、測評機構(gòu)用戶訪問的資源進行有效分離。通過接入鐵路統(tǒng)一身份認證平臺[8]實現(xiàn)各用戶登陸的可信性，通過使用Https協(xié)議進行數(shù)據(jù)傳輸，保護交換數(shù)據(jù)的私密性與完整性，網(wǎng)絡(luò)架構(gòu)如圖2所示。

圖2 網(wǎng)絡(luò)架構(gòu)

3 系統(tǒng)設(shè)計

系統(tǒng)基于B/S架構(gòu)，采用jQuery+LayUI框架進行布局渲染，使用開源的EChart技術(shù)對數(shù)據(jù)報表進行展示，采用接口服務(wù)+業(yè)務(wù)邏輯的形式進行構(gòu)建，對外提供接口業(yè)務(wù)[9]。系統(tǒng)涉及大量文檔的讀寫，通過采用NPOI技術(shù)對Word和Excel進行操作，減少對Office組件的依賴。系統(tǒng)提供整個項目的數(shù)據(jù)訪問與持久化功能，考慮整體的易用性及可擴展性，對查詢服務(wù)、事務(wù)管理、并發(fā)處理、延時加載等進行設(shè)計。

3.1 業(yè)務(wù)用戶設(shè)計

本文結(jié)合鐵路網(wǎng)絡(luò)安全整體管理結(jié)構(gòu)進行規(guī)劃，采用等級保護要求的方式方法，對系統(tǒng)相關(guān)業(yè)務(wù)用戶進行角色設(shè)計，包括國鐵集團領(lǐng)導(dǎo)、信息化管理人員、業(yè)務(wù)管理人員、鐵路公安備案人員、測評機構(gòu)人員，如圖3所示。

圖3 業(yè)務(wù)用戶角色設(shè)計

3.2 流程設(shè)計

本文結(jié)合鐵路管理要求和等級保護相關(guān)標(biāo)準(zhǔn)規(guī)范進行功能梳理、流程提取。系統(tǒng)流程包括定級備案流程、規(guī)劃整改流程、測評任務(wù)流程等，以滿足鐵路網(wǎng)絡(luò)安全日常工作的要求。

3.2.1 定級備案流程

業(yè)務(wù)系統(tǒng)運營單位和使用單位基于系統(tǒng)內(nèi)置定級備案模型，確定定級對象和保護等級，并將相關(guān)材料提交鐵路局網(wǎng)絡(luò)安全主管單位進行審核。定級為二級及以上的信息系統(tǒng)需組織專家評審。最終定級為二級及以上的信息系統(tǒng)需將定級備案材料提交鐵路公安單位進行備案，設(shè)計流程如圖4所示。

圖4 定級備案流程

3.2.2 規(guī)劃整改流程

測評機構(gòu)依據(jù)系統(tǒng)內(nèi)置的測評模型完成業(yè)務(wù)系統(tǒng)差距分析并將安全問題納入問題庫。鐵路局網(wǎng)絡(luò)安全主管單位采用整改規(guī)劃模型對安全問題進行分析規(guī)劃，運營、使用單位負責(zé)整改建設(shè)，鐵路公安單位、國鐵集團領(lǐng)導(dǎo)負責(zé)監(jiān)督檢查，設(shè)計流程如圖5所示。

圖5 安全問題規(guī)劃整改流程

3.2.3 測評任務(wù)流程

鐵路網(wǎng)絡(luò)安全總體規(guī)劃要求，鐵路統(tǒng)一建設(shè)系統(tǒng)由國鐵集團統(tǒng)一定級、整體規(guī)劃網(wǎng)絡(luò)安全測評工作，鐵路局配合進行網(wǎng)絡(luò)安全測評。各鐵路局及單位自建系統(tǒng)可自行定級，同時負責(zé)管理信息系統(tǒng)網(wǎng)絡(luò)安全工作，設(shè)計流程如圖6所示。

圖6 測評任務(wù)流程

3.3 功能設(shè)計

本文采用敏捷開發(fā)方法對系統(tǒng)功能進行總體設(shè)計，功能包括工作臺、臺賬管理、定級備案、測評管理、整改規(guī)劃、監(jiān)督檢查、知識庫、統(tǒng)計分析 ，功能結(jié)構(gòu)如圖7所示。

圖7 系統(tǒng)功能結(jié)構(gòu)

（1）工作臺

為方便用戶日常辦公，用戶登入系統(tǒng)后能在工作臺功能界面直觀看到急需處理的工作任務(wù)，并快速開展相關(guān)工作。系統(tǒng)通過角色職權(quán)的區(qū)別，展現(xiàn)不同風(fēng)格的工作界面。同時，該功能涵蓋等級保護相關(guān)工作的全流程設(shè)計，實現(xiàn)等級保護工作信息化、流程化、規(guī)范化管理。

（2）臺賬管理

該功能采用標(biāo)準(zhǔn)化模板，實現(xiàn)信息系統(tǒng)統(tǒng)一管理、信息資產(chǎn)統(tǒng)一收集，為定級備案工作奠定了堅實的數(shù)據(jù)基礎(chǔ)。同時，管理層可直觀了解信息系統(tǒng)測評狀況以及網(wǎng)絡(luò)安全工作進展情況。

（3）定級備案

該功能提出并實現(xiàn)了可量化定級指標(biāo)，使系統(tǒng)定級更客觀，用戶使用更直觀。公安機關(guān)線上審核信息定級備案材料，可根據(jù)材料的完整度確認是否可發(fā)放電子備案證明。系統(tǒng)通過備案編號自調(diào)整和電子備案證明發(fā)放功能，減少了線下審核大量備案材料的情況，提高了備案專員的辦公效率。

（4）測評管理

系統(tǒng)通過研究和設(shè)計指導(dǎo)知識庫模型、測評模型、風(fēng)險分析模型[10]，實現(xiàn)調(diào)研評估、差距分析、整改建議等測評相關(guān)工作，同時增加了離線測評功能，使測評不受環(huán)境限制。

（5）整改規(guī)劃

該功能以整改規(guī)劃知識庫的內(nèi)容為參考，對不符合項進行分析，并將需要增加或改進的差距項分解成若干項任務(wù)或項目，明確每個任務(wù)或項目的目標(biāo)和工作內(nèi)容，分析任務(wù)或項目的實施優(yōu)先級，根據(jù)實施優(yōu)先級規(guī)劃這些任務(wù)或項目的實施時間、實施范圍及參與人員，并對這些任務(wù)進行評審以保證任務(wù)的順利完成。

（6）監(jiān)督檢查

國鐵集團領(lǐng)導(dǎo)通過該功能可對各鐵路局、各單位等級保護測評工作的開展情況進行監(jiān)督，有效地推進等級保護工作。鐵路局領(lǐng)導(dǎo)可對各站段及單位問題整改工作進行監(jiān)督檢查，實時把控測評整改進度。

（7）統(tǒng)計分析

該功能以報表和報告的方式對等級保護相關(guān)的重要數(shù)據(jù)進行統(tǒng)計和分析[11]。該功能從不同維度和層次自動生成各類統(tǒng)計結(jié)果，主要包括單位信息系統(tǒng)狀況、資產(chǎn)狀況、安全人員、信息系統(tǒng)定級狀況、測評結(jié)果、整改落實狀況、重要信息系統(tǒng)測評結(jié)果橫向比較等各類型數(shù)據(jù)的統(tǒng)計分析，直觀展示全路網(wǎng)絡(luò)安全狀況。

（8）知識庫

知識庫是等級保護測評的核心和依據(jù)[12]，主要包括政策法規(guī)、標(biāo)準(zhǔn)規(guī)范、等保要求、安全指標(biāo)庫、安全技術(shù)方案庫、安全管理策略知識庫、安全整改知識庫、安全管理制度庫等。根據(jù)等級保護工作的不斷推進，系統(tǒng)逐步完善相關(guān)知識庫，用來指導(dǎo)等級保護測評及管理工作。

3.4 安全設(shè)計

該系統(tǒng)管理和存儲的數(shù)據(jù)包括應(yīng)用系統(tǒng)基本信息、網(wǎng)絡(luò)信息、相關(guān)責(zé)任人員信息等，以及一些網(wǎng)絡(luò)和人員的敏感信息，因而其安全設(shè)計不容忽視。該系統(tǒng)的安全設(shè)計遵守《網(wǎng)絡(luò)安全法》及等級保護2.0標(biāo)準(zhǔn)的相關(guān)要求，從架構(gòu)、訪問、傳輸、存儲等方面進行安全防護設(shè)計，防止外部的非法破壞和內(nèi)部的蓄意攻擊，從而保證信息系統(tǒng)的可用性和數(shù)據(jù)的保密性、完整性。

（1）架構(gòu)安全

在前期設(shè)計階段就開始考慮架構(gòu)安全，從應(yīng)用程序框架、會話管理、驗證管理、配置管理、權(quán)限管理、認證管理、加密管理等方面進行設(shè)計，有效防止DDoS攻擊、XSS攻擊、SQL注入、CSRF攻擊等非法行為。

（2）數(shù)據(jù)安全

數(shù)據(jù)安全應(yīng)從保證業(yè)務(wù)的正常運行，以及數(shù)據(jù)傳輸和數(shù)據(jù)存儲的保密性、完整性方面進行設(shè)計，防止對數(shù)據(jù)的非法竊取和利用。在進行系統(tǒng)設(shè)計時應(yīng)考慮數(shù)據(jù)的備份功能，數(shù)據(jù)訪問時的認證功能，數(shù)據(jù)傳輸、存儲時的加密功能。

4 結(jié)束語

本文設(shè)計的鐵路網(wǎng)絡(luò)安全等級保護管理系統(tǒng)通過線上臺賬管理、定級和備案，可建立鐵路信息系統(tǒng)的統(tǒng)一臺賬，為網(wǎng)絡(luò)安全工作后期的規(guī)劃提供數(shù)據(jù)支撐。通過專業(yè)的流程設(shè)計，實現(xiàn)定級、備案、測評、整改、規(guī)劃等網(wǎng)絡(luò)安全管理事項的流程化、規(guī)范化、智能化，顯著減少網(wǎng)絡(luò)安全工作人員的日常辦公時間。通過大數(shù)據(jù)分析技術(shù)[13]，把全路范圍內(nèi)發(fā)現(xiàn)的信息系統(tǒng)網(wǎng)絡(luò)安全共性和非共性問題進行圖形化、界面化展示，為管理層在網(wǎng)絡(luò)安全規(guī)劃方面提供了數(shù)據(jù)決策。該系統(tǒng)可為鐵路相關(guān)單位在開展網(wǎng)絡(luò)安全管理工作方面提供參考。