鐵路網絡安全靶場設計與研究

祝詠升，姚洪磊，崔偉健

（中國鐵道科學研究院集團有限公司 電子計算技術研究所，北京 100081）

隨著信息技術的快速發(fā)展和廣泛應用，網絡空間由單純的互聯(lián)網延伸到泛在網絡，已然成為繼陸、海、空、天之后的第五大主權空間[1]。其對抗形勢愈演愈烈，網絡攻擊從以個人為目標轉向以特定關鍵基礎設施為目標，其攻擊方式也從單一模式朝著復雜的高級持續(xù)性威脅（APT，Advanced Persistant Threat）攻擊發(fā)展[2]。

鐵路作為國家重要的基礎設施，是網絡戰(zhàn)中被攻擊的目標之一。我國高速鐵路發(fā)展迅猛，其信息化、智能化的程度越來越高。各種新技術的應用，以及大量智能終端設備多點接入，使網絡環(huán)境異構化、結構復雜化、邊界模糊化、威脅形態(tài)多樣化，鐵路網絡安全面臨嚴峻挑戰(zhàn)。

網絡安全靶場是針對網絡攻防演練和網絡新技術檢驗的重要基礎設施?；诎袌隹蛇M行與實際環(huán)境無差別的網絡安全技術研究、攻防手段演進、系統(tǒng)安全防護效能評估，以及體系化攻防對抗演練等科研和試驗任務。本文基于鐵路網絡安全工作發(fā)展的現(xiàn)實需要，提出鐵路網絡安全靶場的設計思路，為開展網絡安全體系規(guī)劃論證、技術能力評估驗證、產品安全性檢驗、人才教育培訓等任務，提供一個可信度高、可控性好、可操作性強的試驗環(huán)境[3]。

1 國內外發(fā)展概況

1.1 國外發(fā)展現(xiàn)狀

在網絡安全靶場建設方面，美國、英國等網絡強國除了建成多個小型專業(yè)網絡靶場外，還設計并建立了國家級網絡安全靶場。2008年，美國率先啟動國家網絡靶場（NCR，National Cyber Range）的建設，該靶場由美國國防部高級研究計劃局負責組建[3]，并于2012年10月正式被部署應用。NCR可以提供一個真實的網絡試驗環(huán)境，能夠提升美國在網絡戰(zhàn)中的能力，推動美國網絡戰(zhàn)的技術變革。英國緊跟美國，于2012年建成并啟用聯(lián)邦網絡試驗靶場（FCR，F(xiàn)ederated Cyber Test Range），用于模擬網絡攻擊和防御，以及評估各種系統(tǒng)和網絡的安全性[3]。FCR可與NCR實現(xiàn)聯(lián)網運行，進行協(xié)同訓練、測試、評估及網絡戰(zhàn)推演。日本于2002年啟動星平臺（StarBed）網絡靶場研究計劃，并已發(fā)展到第3代，可支持千余臺計算機集群大規(guī)模網絡仿真，提供超大規(guī)模的復雜的網絡試驗環(huán)境，用于評估真實場景下的新技術。加拿大的CASELab靶場系統(tǒng)在完全可重復試驗的條件下，能夠實現(xiàn)對真實世界中大規(guī)模網絡系統(tǒng)的行為建模，支持對網絡新技術和攻防武器的鑒定和評估[2]。此外，歐盟、北約、俄羅斯、韓國、澳大利亞、以色列等組織和國家也積極開展相關方面的研究與嘗試，相繼建立國家級或商用型網絡靶場。

1.2 國內發(fā)展現(xiàn)狀

我國網絡安全靶場的建設起步較晚，部分科研機構、高校、企業(yè)等建立了特定場景網絡安全靶場，主要用于研究電子信息對抗與仿真技術、行業(yè)產品安全性試驗及檢測等[4]?？傮w來說，我國網絡安全靶場目前的規(guī)模較小，能模擬的場景比較簡單。2018年，我國第一個大數(shù)據安全靶場在貴陽國家經濟開發(fā)區(qū)正式揭牌，以智慧城市為核心，設計了仿真、虛擬、真實多種形式的多級靶標系統(tǒng)。中科院信息工程研究所、國防科技大學、哈爾濱工業(yè)大學等科研機構及高校建設了滿足特定需要的小規(guī)模網絡安全靶場；北京永信至誠科技股份有限公司、湖南合天智匯信息技術有限公司、鵬城實驗室等建設了相關實驗室，先后推出商業(yè)化網絡攻防對抗及培訓平臺等產品[2]。

在行業(yè)應用方面，電力、交通領域已初步建成滿足行業(yè)特定需要的網絡安全靶場；鐵路領域已于2018年建成鐵路網絡安全攻防仿真試驗平臺，提供鐵路網絡安全（CTF，Capture the Flag）競賽及定制化培訓服務。鐵路網絡安全攻防仿真試驗平臺僅支持開展模塊化網絡攻防演練[5]，尚未實現(xiàn)對業(yè)務系統(tǒng)全作業(yè)流程這類復雜場景的模擬，難以支撐大規(guī)模、體系化、高仿真的攻擊對抗、技術驗證、安全評估、應急演練等業(yè)務[5]。

2 方案設計

鐵路網絡安全靶場的設計應借鑒國內外先進經驗與做法，結合鐵路基礎網絡環(huán)境及架構、系統(tǒng)組成及部署方式、信息關系及應用模式等特點，面向整個行業(yè)現(xiàn)有及未來業(yè)務的發(fā)展需要，從試驗環(huán)境、功能需求等方面進行綜合考慮，采用與實際環(huán)境無差別的組網技術，設計為一個管理靈活、組網便捷、可動態(tài)擴展的監(jiān)、管、控一體化網絡安全靶場[6]。鐵路網絡安全靶場將為全路各單位提供一個開放共享的網絡安全實訓和創(chuàng)新平臺[3]，打造一個集科研試驗、產品性能驗證、技術創(chuàng)新、人才培養(yǎng)于一體的行業(yè)基地，提供網絡安全攻防技術研究及驗證環(huán)境，有針對性地快速提升鐵路企業(yè)的網絡安全防護能力，以及從業(yè)人員的技戰(zhàn)水平。

2.1 設計目標

鐵路網絡安全靶場設計要能真實地再現(xiàn)實際生產中所需要的網絡環(huán)境及業(yè)務場景，構建涵蓋攻防演練組織、安全技能培訓、可視化展示等功能的綜合性網絡靶場，具備按需、可度量地對計算、網絡、存儲等資源進行快速彈性管理和動態(tài)分配的能力[7]。鐵路網絡安全靶場為鐵路各專業(yè)各組織機構提供跨地域的網絡化組織管理和一體化控制模式，為網絡攻防技術研究及驗證、網絡攻防對抗演練、網絡安全人才培養(yǎng)、網絡防御體系規(guī)劃等提供基礎支撐[8]。

2.2 架構設計

鐵路網絡安全靶場的架構可以設計為“兩庫五域”[9]。“兩庫”為一個基礎資源庫，一個靶場數(shù)據資源庫；“五域”為五大核心功能域，即模擬仿真域、攻防演練域、科研試驗域、教學實訓域、綜合管控域。鐵路網絡安全靶場的架構如圖1所示。

圖1 鐵路網絡安全靶場架構

（1）基礎資源庫

基礎資源庫是鐵路網絡安全靶場運行的基礎，支撐靶場各功能域的運行，滿足不同任務場景和功能所需資源的即插即用、動態(tài)共享、重用和互操作。基礎資源包括物理資源、虛擬化資源和基礎組件資源?；A資源庫通過資源管理平臺對服務器、交換機、安全設備、前端設備等物理資源，計算、存儲、網絡等虛擬化資源，以及數(shù)據庫、中間件、操作系統(tǒng)等基礎組件資源進行統(tǒng)一調度和管理，實現(xiàn)鐵路網絡安全靶場基礎資源的自動部署和仿真環(huán)境的快速生成，同時，支持動態(tài)調整和擴展實體網絡在虛擬網絡的接入[7]。

（2）數(shù)據資源庫

自1999年以來，全國已有多所農林院校開設了旅游管理專業(yè)。但目前旅游管理專業(yè)的實踐教學仍普遍采用傳統(tǒng)模式：從教學理念來看，實踐教學的地位遠低于理論教學，對實踐教學的定位較其作用遠遠不如；從實踐教學活動的內容安排來看，各實踐內容往往出現(xiàn)斷層，簡單的重復驗證學科理論，缺少設計型、探索型、綜合型、應用型訓練；從實踐教學的活動過程來看，實踐教學目標的構建、實踐教學內容的設計、實踐教學條件的配置、實踐教學過程的監(jiān)控和實踐教學考核的實施之間缺少相互的配合，難以發(fā)揮實踐教學作為獨立整體的合力優(yōu)勢。

數(shù)據資源庫是鐵路網絡安全靶場的核心資源，是靶場運行和試驗操作的工具、數(shù)據和知識保障，為核心業(yè)務系統(tǒng)提供監(jiān)控、分析、可視化的數(shù)據支撐[4]。數(shù)據資源庫包括工具資源、試驗資源和服務資源，其中，工具資源包括測評工具庫、攻防工具庫、漏洞庫、補丁庫和指紋庫；試驗資源包括模型庫、鏡像庫、試驗數(shù)據庫；服務資源包括應急預案庫和情報庫。

（3）模擬仿真域

模擬仿真域是鐵路網絡安全靶場的基本功能，能夠靈活地構建各種不同的仿真場景和行為模擬。在進行靶場試驗任務之前，模擬仿真域通過對虛擬機的靈活部署和動態(tài)遷移，快速構建接近真實的網絡環(huán)境及業(yè)務場景[10]。在試驗過程中，模擬仿真域將各種操作行為限定在虛擬資源中，降低物理資源因攻擊而出現(xiàn)故障或損壞風險。當試驗結束時，模擬仿真域可以動態(tài)掛起或快速釋放試驗資源，由鐵路網絡安全靶場完整地保存至鏡像庫，以便快速復現(xiàn)和調用。

（4）攻防演練域

攻防演練域是鐵路網絡安全靶場的攻防技戰(zhàn)平臺，提供攻守雙方多元化、多維度、多場景的攻防演練場景，為攻擊方開展安全測試、風險評估、攻擊任務執(zhí)行、戰(zhàn)術研究，防御方開展安全測試、應急處置、防護措施研究等提供支撐。攻防演練域通過對網絡攻擊和防御的手段與策略進行反復演練和復盤驗證，以發(fā)現(xiàn)安全漏洞和風險，找到安全防護短板，改進防御工具，優(yōu)化防御策略，提高相關人員的網絡安全防御意識和能力[10]。

（5）科研試驗域

科研試驗域是鐵路網絡安全靶場的技術驗證平臺。該域結合攻防演練域多元化多場景的特點，為網絡安全攻防技術、測評技術、取證分析技術等研究提供科研試驗環(huán)境，為靶場特定設備或系統(tǒng)開展安全體系規(guī)劃論證、新技術驗證、安全效能評估、產品研發(fā)試驗、產品安全性測試等提供支撐，實現(xiàn)靶場設備級、系統(tǒng)級、體系級的安全性技術評估驗證[4]。

教學實訓域是鐵路網絡安全靶場的教學實戰(zhàn)平臺。該域以攻擊與防護理論為指導，以高逼真的網絡攻防環(huán)境為支撐，以豐富全面的數(shù)據資源庫為保障[9]，為不同類型、不同水平的實訓人員提供定制化、逐步進階的課程體系，結合研究型、對抗型、實戰(zhàn)型多元化攻防對抗演練場景教學，使學員能夠深度掌握網絡安全的基礎知識、技術技能、攻防技戰(zhàn)法，從而提高網絡安全人才的培養(yǎng)效能。

（7）綜合管控域

綜合管控域是鐵路網絡安全靶場的大腦中樞，通過資源管理平臺實現(xiàn)對基礎資源和數(shù)據資源的實時監(jiān)視和動態(tài)調度，從而進行快速彈性管理和分配。綜合管控域通過導調指揮平臺實現(xiàn)攻防演練場景總體規(guī)劃協(xié)調、演練計劃制訂、復盤推演等任務的調度與管理；通過教學培訓管理平臺實現(xiàn)教學實訓課程的體系化、定制化管理；通過運營管理平臺實現(xiàn)鐵路網絡安全靶場的配置管理、監(jiān)控管理、運維管理、可視化管理等任務；通過用戶管理平臺對不同用戶的執(zhí)行任務和操作行為進行集中權限管理和資源域管理。

3 關鍵技術

3.1 大規(guī)模網絡仿真與復現(xiàn)技術

鐵路網絡安全靶場的建設面臨實體網絡和虛擬網絡資源不足的問題，針對鐵路綜合信息網三級部署模式，充分考慮外部服務網、內部服務網和安全生產網之間的信息交互與訪問控制方式，研究采用虛擬化和數(shù)字仿真融合技術，構建大規(guī)模虛實互聯(lián)網絡資源環(huán)境，滿足虛實網絡仿真的透明性、網絡仿真環(huán)境的靈活接入、虛實網絡場景的可擴展性等需要，解決靶場試驗任務對逼真度、復現(xiàn)速度及試驗資源的最優(yōu)化配置問題。

3.2 網絡流量行為模擬技術

鐵路網絡安全靶場需要開展各項試驗任務，模擬多形式、多類別網絡流量和用戶行為，因此，要充分考慮網絡用戶行為的時間特性和分布特性，以解決網絡靶場流量模擬的真實性和可靠性問題。鐵路網絡安全靶場采用多層級融合網絡流量和行為模擬技術，將網絡戰(zhàn)中藍方流量、紅方流量與真實用戶行為綁定，進行流量疊加和拼接，生成混合背景流量，從而產生與真實的用戶行為高度相似的網絡流量行為，實現(xiàn)逼真的模擬效果。

3.3 試驗數(shù)據采集與分析技術

鐵路網絡安全靶場各項試驗任務會產生大量運行數(shù)據和網絡攻防數(shù)據，這些數(shù)據是對鐵路網絡安全靶場運行過程和效能進行全面評估的依據，是改進靶場、優(yōu)化試驗平臺及系統(tǒng)的關鍵要素[11]。為了提高數(shù)據的采集性能，降低用戶配置的復雜度，本文采用虛擬蜜罐和自省數(shù)據采集相結合的技術，并通過帶外數(shù)據采集方式，實現(xiàn)鐵路網絡安全靶場試驗數(shù)據的低損、實時、準確采集和多維度融合分析[2]。

3.4 安全隔離與控制技術

鐵路網絡安全靶場試驗支持多任務并發(fā)運行，這需要虛擬資源與實體資源同時接入，不同網絡域和平臺協(xié)同工作。因此，鐵路網絡安全靶場采用基于任務的虛實資源多域分級安全隔離技術，實現(xiàn)了不同虛實互聯(lián)場景下動態(tài)、高效的安全隔離，解決了不同網絡之間、業(yè)務場景之間、平臺之間的安全隔離運行和數(shù)據交換問題。這為鐵路網絡安全靶場各試驗任務跨網絡域、跨平臺的交互提供了安全可靠保障。

4 效果預期

鐵路網絡安全靶場建成之后，可以通過靈活可配置的基礎網絡環(huán)境將資源、服務和靶標系統(tǒng)進行互連和集成。針對不同用戶和不同任務，鐵路網絡安全靶場可以按需調度基礎資源和數(shù)據資源，高效構建不同的場景。當任務需求發(fā)生變化時，鐵路網絡安全靶場可以動態(tài)調整、靈活重組、快速重構。鐵路網絡安全靶場可以實現(xiàn)以下預期效果。

（1）一體化試驗和演練平臺。構建虛實結合的鐵路關鍵信息基礎設施網絡環(huán)境及靶標系統(tǒng)運行場景，靶場資源和靶標系統(tǒng)信息的互聯(lián)、互通、互操作[10]，打造基于鐵路內網與外網深度融合的一體化、機動化試驗和演練平臺，滿足多樣化科研試驗及可視化演練任務的需要。

（2）行業(yè)網絡安全實訓與考核平臺?？梢越Y合網絡安全知識的綜合性、應用性和工程性特點，面向全路各單位提供網絡安全基礎課程、實戰(zhàn)課程、實訓課程，以及定制化課程培訓服務；也可組織并承擔行業(yè)的大型攻防競賽和能力考核，建立完善的鐵路網絡安全人才培養(yǎng)體系。

（3）行業(yè)網絡安全工具庫和標準庫。結合開展的科研試驗和攻防演練任務，通過不斷地積累和更新知識，以及技術的迭代升級，逐步建立行業(yè)網絡安全工具庫及標準庫。工具庫包括測評工具庫、攻防工具庫、漏洞庫、補丁庫、案例庫、用例庫等，方便執(zhí)行不同靶場任務的調用及參考。標準庫包括設計標準、實施標準、測評標準、運維標準等，為系統(tǒng)優(yōu)化再造提供規(guī)范化、標準化指導。

（4）規(guī)范化和體系化的評估驗證能力。具備成體系的、規(guī)范的測試評估驗證能力。在靶場環(huán)境中，既可以對各業(yè)務系統(tǒng)進行獨立的測試與評估，也可以在各業(yè)務系統(tǒng)之間進行一體化的聯(lián)合測評，從系統(tǒng)軟硬件的安全性、信息傳輸及控制的安全性、保障工具與手段的有效性等方面進行定性及定量的評估和驗證，為系統(tǒng)的優(yōu)化改進、安全性和抗攻擊性的提升提供支撐。

5 結束語

鐵路行業(yè)缺乏可信、可控且可操縱的集成化“練兵場”，這是當前及未來鐵路網絡安全面臨的關鍵問題，對鐵路關鍵信息基礎設施攻擊模擬仿真、評估驗證、攻防對抗等核心能力建設產生影響。本文提出“兩庫五域”的設計方案，不僅能夠滿足傳統(tǒng)的網絡安全攻防對抗、安全測評、技術創(chuàng)新、人才培養(yǎng)等需要，還能為鐵路網絡安全體系的科學規(guī)劃提供重要的決策依據，對下一步開展鐵路網絡安全靶場體系架構和功能的設計與研究具有參考價值。