鐵路網絡安全攻防仿真實驗平臺方案設計

祝詠升

（中國鐵道科學研究院集團有限公司 電子計算技術研究所， 北京 100081）

我國高速鐵路進入智能鐵路時代，智慧服務元素與云計算、物聯網、大數據、移動互聯等新技術深度融合。鐵路信息系統在高度信息化和智能化的同時[1]，也面臨著更多樣化的網絡安全風險和潛在威脅，鐵路關鍵信息基礎設施及網絡是攻擊和滲透的主要目標。鐵路網絡安全已然成為鐵路安全的重要組成部分。目前，鐵路信息系統在網絡安全防護、主動態勢感知、及時有效預警等方面缺乏有效措施，難以抵御國家級、有組織、高強度的網絡攻擊。

考慮到鐵路現有生產系統對實時性和可靠性要求較高，且網絡結構和業務流程復雜，難以在生產環境上進行網絡攻防演練和技術研究。利用鐵路網絡安全攻防仿真實驗平臺（簡稱：實驗平臺），能夠規避對生產系統及網絡的破壞，實現對業務系統全作業流程的場景模擬，為網絡安全攻防、測評技術研究、事件取證分析和安全防御能力驗證，以及鐵路網絡安全人才培養提供基礎環境支撐。

本文通過深入分析實驗平臺建設需求，提出實驗平臺總體方案設計和功能區域設計，研究關鍵技術，為建設鐵路行業網絡安全攻防仿真實驗室提供理論基礎。

1 實驗平臺總體架構設計

實驗平臺采用開放性網絡體系，以先進性技術植入、針對性環境搭建、設備靈活擴展、部署靈活、過程可復現[2]、高內聚、低耦合為原則進行設計[3-4]。實驗平臺總體架構設計如圖1所示。

1.1 基礎資源層

基礎資源層主要提供平臺基礎組件資源，包括專用虛擬化服務器、網絡設備、安全設備、存儲設備、前端展示設備資源，以及用于模擬業務系統所必要的數據庫、中間件、操作系統等基礎組件資源，為上層業務系統提供計算、存儲等的資源池和訪問資源，實現平臺資源自動部署和仿真環境快速生成[5-6]。

圖1 實驗平臺總體架構設計圖

1.2 平臺層

平臺層采集基礎資源層的仿真實驗環境數據，如平臺數據、組件運行數據、用戶行為數據等，建立各類虛擬設備、物理設備資產指紋庫，通過實時漏洞掃描和威脅分析，形成資產漏洞庫和補丁庫，并借助攻防技戰庫和工具庫，為核心業務系統提供監控、分析、可視化的數據來源。

1.3 核心業務層

核心業務層主要功能是實現實驗平臺系統仿真及網絡靶場等核心業務，包含應用仿真、攻擊測試、安全防護、演練導調評估、安全培訓、可視化展示6個子系統。

（1）應用仿真子系統

采用柔性虛實互聯技術與軟件定義網絡（SDN，Software Defined Network）技術，將物理主機、網絡與存儲設備進行主機與網絡虛擬化，構建可定制化的虛擬場景、虛實結合場景、實體場景等多種模式的演練基礎環境[7]，以支撐基于業務安全的威脅分析、測試、安全措施驗證、網絡攻防演練、攻防技術研究等工作。

（2）攻擊測試子系統

提供網絡攻擊常用的攻擊工具及技戰法知識庫，同時對網絡滲透攻擊過程進行管理，對目標系統發起有組織和規?；墓?，對目標系統防御能力進行安全測試、評估與防御措施驗證，挖掘系統存在的安全隱患，檢驗目標系統安全防御策略的有效性，為系統安全加固方案設計提供依據。

（3）安全防護子系統

通過部署各類型網絡安全防護設備，以及網絡攻擊溯源反制系統和安全防御技戰法知識庫，構建仿真目標系統安全防御體系，為網絡安全事件監測預警、態勢感知、應急決策、溯源分析提供支撐，為鐵路系統開展網絡攻防演練、加固措施驗證、安全防御能力檢驗等工作提供技術手段。

（4）演練導調評估子系統

該子系統負責攻防演練的總體規劃協調、演練任務計劃制定、攻防效果監測評估、復盤推演、效能評估等任務調度及管理。構建與控制網絡攻防對抗行動，依據網絡對抗計劃及導調方案推進攻防對抗演練，針對不同的網絡攻擊演練設想，制定攻防模擬環境配置、評估評測等導調方案，生成多類型網絡攻防策略，構建多樣化、復雜化網絡攻防對抗環境[8]。

（5）安全培訓子系統

系統主要包括課程管理、場景管理、題庫配置、在線練習、考試管理、分析評價等功能場景。實驗平臺利用成熟的虛擬化技術，配合具有典型意義的對抗場景模板或課件，構建實訓環境。系統可設置不同的角色和學習資源權限，結合應用仿真系統和基礎資源庫，生成適用于不同崗位實訓人員的課程體系和演練場景。

（6）可視化展示子系統

該子系統將基于實驗平臺各業務系統采集的數據，配合大屏展示系統，針對不同的用戶視角，用直觀的數據及圖表進行可視化展現。包括培訓可視化、演練可視化、資源可視化、運維可視化等核心功能。

1.4 應用層

應用層滿足仿真實驗平臺管理和功能業務需要，通過平臺部署的核心業務系統為安全技術研究、安全風險評估、系統滲透測試、安全加固措施驗證、攻防對抗演練、人才培訓等業務應用場景提供支撐。同時，不同應用場景的實踐，也為核心業務系統資源再配置、策略再優化、功能再升級提供數據支撐。

（1）網絡安全技術研究

構建虛實結合的仿真實驗環境及各種攻擊、防御工具，對仿真系統的通信網絡安全、主機安全、應用安全和數據安全等領域進行研究，對漏洞利用、后門攻擊、木馬植入、協議破解、監測預警、溯源反制等攻防技戰術進行研究，并支撐基于業務安全的威脅分析、測試、安全措施驗證等工作。

（2）系統安全風險評估

利用實驗平臺對模擬搭建的鐵路關鍵信息基礎設施或核心業務系統開展風險評估。通過安全風險評估，及時查找癥結，進行安全加固整改，確保系統符合國家及鐵路主管部門相關法律法規、設計標準或安全基線等要求。

（3）系統滲透測試

實驗平臺提供一個授權的滲透測試接口，并利用裝備的攻擊工具對模擬仿真系統或在線運行生產系統進行滲透測試和模擬攻擊，為挖掘系統安全漏洞及威脅，研究網絡安全攻防、檢測技術，反驗滲透測試思路提供支撐。

（4）安全加固措施驗證

利用實驗平臺對仿真系統的漏洞補丁修復、安全配置及策略更新等安全加固措施的可行性和安全防護的有效性進行測試論證，判定安全加固措施是否影響系統業務的安全穩定運行，進而設計出符合系統生產實際的網絡安全加固方案。

（5）網絡安全漏洞驗證

利用實驗平臺提供一個可信、可控、可操作性強的驗證評估環境，進行安全漏洞補丁修復、安全配置更改、安全策略更新等安全加固措施的測試論證。對安全措施的可行性和安全防護的有效性進行測試論證。對模擬靶標系統存在的安全漏洞進行驗證和利用，還原經典漏洞案例，加深對漏洞原理的理解。

（6）網絡攻防對抗演練

利用實驗平臺設計單兵作戰、團隊紅藍對抗、綜合網絡靶場3種攻防對抗演習模式。攻擊方利用一切可以利用的工具、手段對目標系統進行攻擊。防御方利用監測和防護系統，動態調整仿真系統安全配置策略和防護體系，防御攻擊方進攻。網絡安全攻防對抗演習是評估安全防御和安全攻擊能力的有效方法，并能夠對系統的安全性進行有效驗證。

（7）網絡安全人才培訓

實驗平臺提供一套集理論授課、技能訓練、仿真演練深度融合的教學實踐系統，為不同類型、不同水平實訓人員提供定制化、逐步進階的課程體系，采用研究型、對抗型、實戰型多元化攻防對抗演練場景，使學員能夠深度掌握網絡安全基礎知識、技術技能、攻防技戰法，提高網絡安全人才培養效能。

2 實驗平臺功能區域

2.1 功能區域設計

實驗平臺功能區域設計分為科研實驗區、攻防演練區、靶場實戰區、教學培訓區、系統管理區、系統展示區6大功能區域，如表1所示。

表1 實驗平臺功能區域設計列表

2.2 功能區域網絡拓撲設計

實驗平臺網絡拓撲示意圖如圖2所示。

系統接入區用于部署實驗平臺涉及的相關核心業務系統，包括應用仿真、攻擊測試、安全防護、演練導調評估、安全培訓、可視化展示等子系統。生產系統接入區實現鐵路生產網絡與網絡安全攻防實驗平臺的互聯互通，以方便利用實驗平臺相關系統對鐵路實際生產網絡承載的業務系統進行安全測試、風險評估、防御能力驗證。

圖2 實驗平臺網絡拓撲示意圖

3 關鍵技術

3.1 柔性虛實互聯

實驗平臺通過并行任務分派方式，采用虛擬網絡及區域劃分技術，設計柔性互聯裝置，屏蔽底層物理資源的異構性，實現虛實節點柔性互聯和部署，構建與鐵路實際生產系統高仿真實驗環境，實現基礎組件資源高效共融、有效隔離，以及實驗平臺的全過程、多用戶、多場景并發管理與控制。滿足虛擬資源的靈活分配、動態回收和個性化配置需要，可快速生成自動化網絡拓撲、網絡設備與安全設備的模擬環境。

3.2 異構數據融合

實驗平臺涉及基礎配置、網絡流量、模擬樣本、用戶行為、系統日志等多種異構數據源，需要按照統一數據交換格式和接口標準對各類異構數據進行過濾、篩選、規約分析，整合形成規范數據格式，實現數據到安全知識的轉化，為實驗平臺各業務應用的攻防效能評估、復盤、態勢展示提供數據支撐。

3.3 攻擊檢測

通過對網絡安全事件的各要素進行識別，提取網絡攻擊者的行為特征，構造攻擊行為特征向量，與實驗平臺部署攻擊技戰法知識庫進行比對，模擬所有用戶行為，進行場景建模推演，結合威脅知識庫和上下文關聯關系，實現對已知攻擊行為的有效識別和對未知攻擊行為的預判。

3.4 攻擊溯源

該技術通過在系統網絡邊界部署監測探針，實時記錄與目標系統相關的訪問流量和訪問痕跡，對網絡攻擊全過程進行取證。同時，通過流量劫持替換、漏洞利用等技術手段，對攻擊地址進行定位和溯源畫像，并利用安全防護系統的攻擊溯源反制功能進行攻擊反制，掌握攻擊者采用的攻擊手段、攻擊方法，有針對性強化系統的安全防護措施。

4 結束語

鐵路網絡安全攻防仿真實驗平臺通過模擬真實的網絡攻擊場景，提供可控、可管、可信的系統網絡安全驗證環境，開展網絡攻防演練和靶場實戰對抗，可滿足網絡安全攻防、檢測評估、取證分析等技術研究需要，能有效解決系統現有安全防御能力難以評估的問題，為實際生產系統網絡安全升級改造提供數據支撐，該實驗平臺對完善鐵路網絡安全保障體系具有重要意義。