TDCS/CTC系統(tǒng)網(wǎng)絡(luò)安全防護(hù)體系優(yōu)化研究探討

郝雪峰

【摘要】本論文針對等級保護(hù)測評安全技術(shù)相關(guān)措施中安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計(jì)算環(huán)境、安全管理中心不符合項(xiàng)進(jìn)行研究思考探討。既有的TDCS/CTC系統(tǒng)網(wǎng)絡(luò)安全2.0系統(tǒng)涵蓋了等級保護(hù)四級技術(shù)相關(guān)要求的大部分功能，且在近年的勒索病毒防御、護(hù)網(wǎng)演習(xí)過程中發(fā)揮了重要作用，但仍不滿足《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》（GB/T 22239-2019）文件的建設(shè)要求，本次研究主要從滿足測評角度進(jìn)行分析研究，以最終達(dá)到符合四級等保的要求。

【關(guān)鍵詞】等級保護(hù)測評、TDCS/CTC系統(tǒng)、網(wǎng)絡(luò)安全防護(hù)

一、概述

2020年，中國鐵道科學(xué)研究院集團(tuán)有限公司信息系統(tǒng)與網(wǎng)絡(luò)安全評測中心對呼和浩特鐵路局列車調(diào)度指揮系統(tǒng)/調(diào)度集中系統(tǒng)（TDCS/CTC系統(tǒng)）開展了等保測評工作。本論文本著以成本最小化的思路，整體以軟件升級為主，本著成本最小化進(jìn)行實(shí)施，補(bǔ)強(qiáng)現(xiàn)有TDCS/CTC系統(tǒng)網(wǎng)絡(luò)安全缺項(xiàng)，進(jìn)一步滿足《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》（GB/T 22239-2019）的建設(shè)要求，提升TDCS/CTC系統(tǒng)網(wǎng)絡(luò)安全質(zhì)量。

二、研究內(nèi)容

根據(jù)2020年的《呼和浩特鐵路局TDCS/CTC系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)四級測評報(bào)告》（以下稱《測評報(bào)告》）技術(shù)部分測評結(jié)論，對安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計(jì)算環(huán)境、安全管理中心存在的不符合項(xiàng)進(jìn)行分析，整體歸為以下7大類功能問題：

1.主機(jī)文件加密

TDCS/CTC系統(tǒng)的訪問控制機(jī)制以及透明加解密機(jī)制將對服務(wù)器和終端存儲的敏感數(shù)據(jù)保密性實(shí)施有效保護(hù)，訪問控制機(jī)制能夠防止非授權(quán)用戶讀取敏感信息，透明加解密機(jī)制對硬盤存儲的敏感數(shù)據(jù)實(shí)施加密存儲保護(hù)，即使非法人員竊取硬盤設(shè)備，在沒有用戶合法密鑰的前提下也無法解密敏感信息。

文件加密功能將在現(xiàn)有安全加固軟件客戶端上進(jìn)行升級實(shí)現(xiàn)。通過在加固軟件上開啟終端加密模塊，可以對主機(jī)業(yè)務(wù)數(shù)據(jù)進(jìn)行加密，也可以對主機(jī)的指定文件夾、文件進(jìn)行加密。主機(jī)加密的規(guī)則策略在安全管理中心統(tǒng)一設(shè)置和管控。

2.通信傳輸加密

為防止數(shù)據(jù)在網(wǎng)絡(luò)傳輸過程中被竊聽、被篡改，造成信息泄露，通信加密模塊對網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)進(jìn)行加密，保證通信的保密性。通信加密可以通過兩種方案來實(shí)現(xiàn)，即分布式傳輸加密和集中式傳輸加密。

1）分布式通信傳輸加密

分布式通信傳輸加密是在通信兩端的主機(jī)安全加固軟件客戶端啟用通信加解密功能，實(shí)現(xiàn)端對端的通信加密。通信加密的規(guī)則策略在安全管理中心統(tǒng)一設(shè)置和管控。該方案具有影響小、加密距離長、部署靈活等優(yōu)勢。

2）集中式通信傳輸加密

集中式通信傳輸加密模式是在安全邊界上升級啟用傳輸加密功能，在網(wǎng)關(guān)位置的安全邊界之間建立通信傳輸加密通道，對所有的傳輸信息進(jìn)行加密。

3.雙因子身份認(rèn)證

安全管理中心建立統(tǒng)一的身份認(rèn)證管理體系，現(xiàn)僅有靜態(tài)以用戶密碼，雙因子方式可增加動態(tài)口令，或是UKEY，或是動態(tài)口令牌。根據(jù)TDCS/CTC系統(tǒng)的車務(wù)終端現(xiàn)有設(shè)備特點(diǎn)，更易于部署實(shí)施，選擇動態(tài)口令牌的方式更適用于現(xiàn)狀。雙因子認(rèn)證系統(tǒng)保證了系統(tǒng)的安全性，防止由傳統(tǒng)系統(tǒng)口令泄露和破解帶來的安全風(fēng)險(xiǎn)。

4.網(wǎng)絡(luò)設(shè)備日志審計(jì)

網(wǎng)絡(luò)設(shè)備日志審計(jì)服務(wù)可以將路由器和交換機(jī)等網(wǎng)絡(luò)設(shè)備的日志記錄到安全管理中心，并在需要時(shí)調(diào)取進(jìn)行審計(jì)分析。在安全管理中心增加網(wǎng)絡(luò)設(shè)備日志審計(jì)模塊，通過遠(yuǎn)程信息收集的方式收集來自網(wǎng)絡(luò)中路由器、交換機(jī)等不同網(wǎng)絡(luò)設(shè)備的日志審計(jì)信息，同時(shí)將收集到的信息根據(jù)統(tǒng)一的信息格式進(jìn)行標(biāo)準(zhǔn)化處理。本功能通過升級安全管理中心軟件即可實(shí)現(xiàn)。

5.漏洞掃描

在安全管理中心部署漏洞掃描系統(tǒng)，可定期進(jìn)行漏洞掃描，并且出具報(bào)告。

漏洞掃描組件主要在安全事件發(fā)生前，對TDCS/CTC網(wǎng)絡(luò)的安全漏洞及其他薄弱環(huán)節(jié)，通過模擬黑客攻擊的方法，對系統(tǒng)進(jìn)行安全評估和漏洞掃描，了解網(wǎng)絡(luò)的安全配置和運(yùn)行的應(yīng)用服務(wù)，提交風(fēng)險(xiǎn)評估報(bào)告。漏洞掃描組件可以掃描基于TCP/IP的主機(jī)、網(wǎng)絡(luò)設(shè)備，對操作系統(tǒng)漏洞、數(shù)據(jù)庫漏洞、FTP服務(wù)、共享服務(wù)等進(jìn)行掃描，對TDCS/CTC網(wǎng)絡(luò)系統(tǒng)中的主機(jī)和網(wǎng)絡(luò)設(shè)備進(jìn)行安全脆弱性檢測和分析，發(fā)現(xiàn)可能被入侵者利用的漏洞。漏洞掃描功能可以通過升級安全管理中心軟件實(shí)現(xiàn)。

6.入侵檢測

入侵檢測系統(tǒng)部署在TDCS/CTC中心網(wǎng)絡(luò)內(nèi)，通過核心交換機(jī)的端口鏡像獲取數(shù)據(jù)流進(jìn)行分析。入侵檢測系統(tǒng)采用的黑名單機(jī)制，利用內(nèi)置的入侵檢測威脅庫，從TDCS/CTC網(wǎng)絡(luò)中收集各類數(shù)據(jù)信息，檢測網(wǎng)絡(luò)數(shù)據(jù)報(bào)文，對報(bào)文進(jìn)行協(xié)議分析和模式匹配，實(shí)時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中是否有違規(guī)操作行為和網(wǎng)絡(luò)被攻擊的跡象，一旦發(fā)現(xiàn)攻擊，能夠發(fā)出報(bào)警并記錄攻擊過程中的源IP、目的IP、攻擊的類型、攻擊的時(shí)間等，為追查攻擊的來源提供依據(jù)。

7.統(tǒng)一安全運(yùn)維功能

研究統(tǒng)一安全運(yùn)維功能，針對網(wǎng)內(nèi)的網(wǎng)絡(luò)設(shè)備和具備專用操作系統(tǒng)系統(tǒng)的設(shè)備，通過統(tǒng)一安全運(yùn)維功能進(jìn)行管理，通過該功能的管理，可以彌補(bǔ)這些特殊設(shè)備在權(quán)限劃分、雙因子認(rèn)證、安全審計(jì)等方面的缺失，對此類設(shè)備的所有運(yùn)維管理操作都將被記錄和審計(jì)，通過限制訪問僅能通過統(tǒng)一安全運(yùn)維平臺管控此類設(shè)備。研究統(tǒng)一安全運(yùn)維功能的部署與既有的設(shè)備深度兼容，配置訪問限制策略，不能影響既有的運(yùn)維管理。

三、結(jié)論

此次研究目的是實(shí)現(xiàn)7大類功能，即主機(jī)文件存儲加密、數(shù)據(jù)傳輸加密、雙因子身份認(rèn)證、網(wǎng)絡(luò)設(shè)備日志審計(jì)、漏洞掃描、入侵檢測、統(tǒng)一安全運(yùn)維平臺。進(jìn)一步完善和優(yōu)化TDCS/CTC系統(tǒng)網(wǎng)絡(luò)安全防護(hù)能力，新的7項(xiàng)功能都是在既有安全管理中心系統(tǒng)進(jìn)行軟件升級實(shí)現(xiàn)，不涉及到新增軟件系統(tǒng)，新增的功能可以和既有調(diào)度軟件深度兼容，確保即穩(wěn)定又安全，既按照《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》（GB/T 22239-2019）的建設(shè)要求，又避免了重資金的投入。目前已在TDCS/CTC系統(tǒng)查詢區(qū)域做試點(diǎn)部署實(shí)施，根據(jù)最新一次等級保護(hù)測評報(bào)告，該方案達(dá)到了預(yù)期的設(shè)計(jì)目標(biāo)和防護(hù)要求。

參考文獻(xiàn)：

[1]中華人民共和國.GB/T 22239-2019.信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求[S].北京：中國標(biāo)準(zhǔn)出版社，2019.

[2]中華人民共和國.GB/T 22240-2020.信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)定級指南[S].北京：中國標(biāo)準(zhǔn)出版社，2020.