基于等級保護(hù)2.0的鐵路網(wǎng)絡(luò)安全技術(shù)防護(hù)體系研究

劉 剛，楊軼杰

（1. 中國國家鐵路集團(tuán)有限公司 科技和信息化部，北京 100844；2. 中國鐵道科學(xué)研究院集團(tuán)有限公司 電子計算技術(shù)研究所，北京 100081）

網(wǎng)絡(luò)安全等級保護(hù)2.0系列標(biāo)準(zhǔn)（簡稱：等級保護(hù)2.0）于2019年正式發(fā)布實施[1-3]，標(biāo)志著我國網(wǎng)絡(luò)安全等級保護(hù)邁入2.0時代。同年，我國發(fā)布多項等級保護(hù)標(biāo)準(zhǔn)，將工業(yè)控制系統(tǒng)、移動互聯(lián)網(wǎng)、云計算等新技術(shù)納入等級保護(hù)標(biāo)準(zhǔn)體系。在該標(biāo)準(zhǔn)指導(dǎo)下，國內(nèi)專家重新思考網(wǎng)絡(luò)安全工作，并出版培訓(xùn)教材[4]。

當(dāng)前，我國網(wǎng)絡(luò)安全形勢越來越嚴(yán)峻，國內(nèi)多家研究機(jī)構(gòu)根據(jù)等級保護(hù)2.0的要求開展網(wǎng)絡(luò)安全技術(shù)體系以及具體實施路線的研究[5-10]。在鐵路網(wǎng)絡(luò)安全領(lǐng)域，針對新形勢下系統(tǒng)安全與風(fēng)險管理也進(jìn)行了前期研究[11]。自2017年以來，中國國家鐵路集團(tuán)有限公司（簡稱：國鐵集團(tuán)）相繼出臺多項網(wǎng)絡(luò)安全規(guī)章制度，針對網(wǎng)絡(luò)安全責(zé)任落實、重要信息系統(tǒng)保護(hù)、互聯(lián)網(wǎng)專項保護(hù)等進(jìn)行部署，在產(chǎn)品研發(fā)上積極推進(jìn)“鐵網(wǎng)護(hù)欄”工程，在一定程度上保障了鐵路網(wǎng)絡(luò)安全。隨著鐵路信息化建設(shè)進(jìn)度不斷加快，重要信息系統(tǒng)的安全防護(hù)壓力依然嚴(yán)峻，呈現(xiàn)出攻擊手段組織化、攻擊目標(biāo)數(shù)據(jù)化、攻防手段實戰(zhàn)化以及基礎(chǔ)數(shù)據(jù)云端化等特點，要求從全新角度建立鐵路網(wǎng)絡(luò)安全技術(shù)體系[12-14]。

本文依據(jù)等級保護(hù)2.0的安全防護(hù)要求，結(jié)合新形勢下鐵路信息系統(tǒng)面臨的安全挑戰(zhàn)，提出基于等級保護(hù)2.0的鐵路網(wǎng)絡(luò)安全技術(shù)防護(hù)體系。

1 鐵路網(wǎng)絡(luò)安全防護(hù)面臨的挑戰(zhàn)

在等級保護(hù)2.0時代，根據(jù)鐵路網(wǎng)絡(luò)安全的現(xiàn)狀，鐵路網(wǎng)絡(luò)安全面臨的風(fēng)險和挑戰(zhàn)可歸納為以下幾個方面：

（1）防護(hù)對象復(fù)雜分散

鐵路跨域系統(tǒng)按照國鐵集團(tuán)、鐵路局集團(tuán)有限公司（簡稱：鐵路局）、站段三級架構(gòu)構(gòu)建，并按不同的服務(wù)對象橫向隔離，網(wǎng)絡(luò)安全防護(hù)對象復(fù)雜而分散，各類安全設(shè)備和系統(tǒng)防護(hù)策略執(zhí)行不統(tǒng)一，各自為戰(zhàn)，呈現(xiàn)“碎片化”現(xiàn)象，站段級安全防護(hù)問題尤為突出。在集中管控部署模式下，網(wǎng)絡(luò)安全發(fā)展需要全局洞察和預(yù)警能力，將安全防護(hù)要素貫穿全過程，以進(jìn)一步加強(qiáng)主動防御能力。

（2）規(guī)模性大、有組織的網(wǎng)絡(luò)攻擊風(fēng)險增大

近年來，規(guī)模性大、破壞性強(qiáng)的網(wǎng)絡(luò)攻擊事件急劇上升，鐵路信息系統(tǒng)面臨著愈加嚴(yán)峻的有組織、有目的的網(wǎng)絡(luò)攻擊，國鐵企業(yè)建立體系化的協(xié)同防護(hù)將成為網(wǎng)絡(luò)安全保障新趨勢。通過共同應(yīng)對和協(xié)同防護(hù)，確保逐步建立鐵路關(guān)鍵信息基礎(chǔ)設(shè)施的安全評估、監(jiān)測與防護(hù)，加強(qiáng)數(shù)據(jù)情報互通，共同應(yīng)對新型高級網(wǎng)絡(luò)攻擊威脅。

（3）用戶數(shù)據(jù)安全保護(hù)能力亟待提升

數(shù)據(jù)安全領(lǐng)域，鐵路互聯(lián)網(wǎng)售票系統(tǒng)積累的公民個人信息多達(dá)上億條，鐵路貨運(yùn)電子商務(wù)系統(tǒng)積累的客戶貨主信息多達(dá)幾十萬，針對鐵路業(yè)務(wù)系統(tǒng)內(nèi)部個人隱私數(shù)據(jù)的安全防護(hù)與風(fēng)險預(yù)警能力有待加強(qiáng)。尤其云計算與大數(shù)據(jù)廣泛應(yīng)用后，使得應(yīng)用系統(tǒng)和數(shù)據(jù)高度集中，數(shù)據(jù)安全防護(hù)意識更需進(jìn)一步提升，防范大規(guī)模數(shù)據(jù)泄露事件能力需要有效加強(qiáng)。

（4）既有安全防護(hù)手段能力不足

等級保護(hù)2.0增加了對云計算、大數(shù)據(jù)、移動互聯(lián)網(wǎng)等擴(kuò)展安全防護(hù)要求，對業(yè)務(wù)規(guī)模大、應(yīng)用系統(tǒng)復(fù)雜程度高的鐵路系統(tǒng)而言，網(wǎng)絡(luò)安全復(fù)雜度和工作量將成倍增長，而傳統(tǒng)防護(hù)手段在適應(yīng)新技術(shù)應(yīng)用的能力尚為不足。

2 鐵路網(wǎng)絡(luò)安全技術(shù)防護(hù)體系

按照等級保護(hù)2.0要求，以安全管理中心為核心，以安全通信網(wǎng)絡(luò)、安全區(qū)域邊界和安全計算環(huán)境為框架，構(gòu)建鐵路網(wǎng)絡(luò)安全技術(shù)防護(hù)體系。

2.1 安全管理中心

安全管理中心是實現(xiàn)數(shù)據(jù)安全保障、安全事件快速處置的中心環(huán)節(jié)。如圖1所示，按照不同的服務(wù)對象，鐵路網(wǎng)絡(luò)劃分為外部服務(wù)網(wǎng)和內(nèi)部服務(wù)網(wǎng)，分別設(shè)置相應(yīng)的安全管理中心。

圖1 鐵路安全管理中心的部署示意

安全管理中心利用大數(shù)據(jù)技術(shù)，通過廣域網(wǎng)對鐵路企業(yè)實施網(wǎng)上資產(chǎn)匯總，實現(xiàn)資產(chǎn)統(tǒng)一管理。同時，安全管理中心對各系統(tǒng)及平臺運(yùn)行狀態(tài)進(jìn)行監(jiān)控管理、安全事件匯總和響應(yīng)，通過網(wǎng)絡(luò)數(shù)據(jù)傳輸手段實現(xiàn)安全事件的實時報告與潛在威脅的預(yù)警，支持頂層事件分析與安全問題的閉環(huán)管理。

2.2 安全通信網(wǎng)絡(luò)

鐵路安全通信網(wǎng)絡(luò)的部署主要涉及外部服務(wù)網(wǎng)、內(nèi)部服務(wù)網(wǎng)、安全生產(chǎn)網(wǎng)與專網(wǎng)，互聯(lián)網(wǎng)與5G互聯(lián)網(wǎng)通過外部服務(wù)網(wǎng)安全接入，如圖2所示。

（1）外部服務(wù)網(wǎng)

圖2 鐵路安全通信網(wǎng)絡(luò)架構(gòu)示意

國鐵集團(tuán)、鐵路局兩級局域網(wǎng)中分別搭建外部服務(wù)網(wǎng)，按鐵路業(yè)務(wù)系統(tǒng)資源類型劃分2類安全域：互聯(lián)網(wǎng)網(wǎng)站群安全域和移動互聯(lián)網(wǎng)安全域。其中，互聯(lián)網(wǎng)網(wǎng)站群安全域承載面向社會提供公共服務(wù)的應(yīng)用，移動互聯(lián)網(wǎng)安全域承載通過互聯(lián)網(wǎng)接入鐵路外部服務(wù)網(wǎng)的移動應(yīng)用。

（2）內(nèi)部服務(wù)網(wǎng)

國鐵集團(tuán)、鐵路局、站段三級局域網(wǎng)中搭建內(nèi)部服務(wù)網(wǎng)，按照“二級系統(tǒng)統(tǒng)一成域、三級系統(tǒng)獨立成域”的原則，劃分4類安全域：大數(shù)據(jù)安全域、云計算平臺安全域、二級系統(tǒng)統(tǒng)一安全域、三級系統(tǒng)安全域。

（3）安全生產(chǎn)網(wǎng)

在國鐵集團(tuán)、鐵路局、站段三級搭建安全生產(chǎn)網(wǎng)，部署直接關(guān)系鐵路運(yùn)輸生產(chǎn)的應(yīng)用；按照“二級系統(tǒng)統(tǒng)一成域、三級系統(tǒng)獨立成域”的原則，劃分4類安全域：控制系統(tǒng)安全域、物聯(lián)網(wǎng)安全域、二級系統(tǒng)統(tǒng)一安全域和三級系統(tǒng)安全域；國鐵集團(tuán)所屬其他單位可參照鐵路局局域網(wǎng)架構(gòu)部署其局域網(wǎng)。

（4）專網(wǎng)

鐵路信息網(wǎng)絡(luò)廣域網(wǎng)構(gòu)建在鐵路通信網(wǎng)之上；其中，內(nèi)部服務(wù)網(wǎng)和安全生產(chǎn)網(wǎng)的廣域網(wǎng)由鐵路數(shù)據(jù)通信網(wǎng)承載，外部服務(wù)網(wǎng)的廣域網(wǎng)單獨構(gòu)建。目前，部分鐵路應(yīng)用系統(tǒng)采用專線通道獨立組網(wǎng)，難以與其它鐵路應(yīng)用系統(tǒng)實現(xiàn)互聯(lián)互通，應(yīng)在保障應(yīng)用和網(wǎng)絡(luò)安全前提下，逐步整合既有專網(wǎng)，納入統(tǒng)一的鐵路綜合信息網(wǎng)，提高網(wǎng)絡(luò)資源綜合利用水平。

2.3 安全區(qū)域邊界

如圖3所示，鐵路綜合信息網(wǎng)的邊界防護(hù)主要涉及3類區(qū)域邊界：互聯(lián)網(wǎng)邊界、內(nèi)外網(wǎng)邊界及安全域間邊界。

圖3 鐵路綜合信息網(wǎng)安全區(qū)域邊界構(gòu)成示意

（1）互聯(lián)網(wǎng)邊界：指外部服務(wù)網(wǎng)與互聯(lián)網(wǎng)之間的邊界，通過安全平臺實現(xiàn)區(qū)域邊界安全隔離。

（2）內(nèi)外網(wǎng)邊界：指外部服務(wù)網(wǎng)與內(nèi)部服務(wù)網(wǎng)之間的邊界，內(nèi)外部服務(wù)網(wǎng)通過安全平臺實現(xiàn)安全的數(shù)據(jù)共享和交換，并由其提供區(qū)域邊界邏輯隔離。

（3）安全域邊界：指外部服務(wù)網(wǎng)、內(nèi)部服務(wù)網(wǎng)、安全生產(chǎn)網(wǎng)內(nèi)部系統(tǒng)間的區(qū)域邊界，根據(jù)安全級別、資源類型和服務(wù)等級協(xié)議（SLA）要求，采用不同強(qiáng)度的區(qū)域邊界隔離策略；其中，二級系統(tǒng)可根據(jù)業(yè)務(wù)類型，進(jìn)行集中統(tǒng)一部署，采取統(tǒng)一區(qū)域邊界防護(hù)策略，而三級系統(tǒng)單獨成域，采取獨立安全策略。

2.4 安全計算環(huán)境

如圖4所示，鐵路綜合信息網(wǎng)安全計算環(huán)境涉及3類計算環(huán)境，包括終端計算環(huán)境、服務(wù)器計算環(huán)境和身份認(rèn)證計算環(huán)境，按三級模式部署，涉及國鐵集團(tuán)網(wǎng)絡(luò)、鐵路局網(wǎng)絡(luò)及站段網(wǎng)絡(luò)。

圖4 鐵路綜合信息網(wǎng)安全計算環(huán)境構(gòu)成示意

其中，終端計算環(huán)境安全管控包括基本安全控制、辦公增強(qiáng)安全控制、生產(chǎn)增強(qiáng)安全控制；服務(wù)器計算環(huán)境安全管控包括基本安全控制和生產(chǎn)增強(qiáng)安全控制；身份認(rèn)證計算環(huán)境安全防護(hù)以鐵路外部服務(wù)網(wǎng)、內(nèi)部服務(wù)網(wǎng)、安全生產(chǎn)網(wǎng)內(nèi)部系統(tǒng)間的區(qū)域邊界為劃分，在國鐵集團(tuán)外部服務(wù)網(wǎng)的認(rèn)證服務(wù)平臺網(wǎng)絡(luò)安全域中部署電子認(rèn)證服務(wù)系統(tǒng)、外網(wǎng)RA系統(tǒng)、運(yùn)營管理系統(tǒng)和相關(guān)應(yīng)用服務(wù)系統(tǒng)；內(nèi)網(wǎng)RA系統(tǒng)和相關(guān)應(yīng)用服務(wù)系統(tǒng)部署在內(nèi)部服務(wù)網(wǎng)和安全生產(chǎn)網(wǎng)中。在鐵路局內(nèi)部服務(wù)網(wǎng)中部署業(yè)務(wù)受理點安全終端，通過鐵路計算機(jī)廣域網(wǎng)訪問內(nèi)網(wǎng)證書注冊管理中心。

3 安全擴(kuò)展體系建設(shè)

當(dāng)前鐵路網(wǎng)絡(luò)的部署結(jié)構(gòu)面臨技術(shù)升級與新的應(yīng)用需求，云計算、大數(shù)據(jù)、移動互聯(lián)、互聯(lián)網(wǎng)等應(yīng)用方興未艾，需要進(jìn)行針對性的安全體系建設(shè)。同時，各關(guān)鍵業(yè)務(wù)系統(tǒng)的數(shù)據(jù)安全也面臨嚴(yán)峻挑戰(zhàn)，要求著重加強(qiáng)數(shù)據(jù)安全防護(hù)技術(shù)。

3.1 云計算安全擴(kuò)展體系建設(shè)

根據(jù)國鐵集團(tuán)云計算和虛擬化技術(shù)的應(yīng)用現(xiàn)狀，參考云計算安全國家標(biāo)準(zhǔn)，結(jié)合等級保護(hù)2.0要求中云計算安全防護(hù)要求，開展虛擬化和云環(huán)境的網(wǎng)絡(luò)安全風(fēng)險評估，規(guī)劃和實施虛擬化和云環(huán)境安全防護(hù)技術(shù)方案，實現(xiàn)惡意軟件防范、邊界防護(hù)、完整性監(jiān)控和安全審計，保障應(yīng)用系統(tǒng)和數(shù)據(jù)安全，其主要建設(shè)內(nèi)容見表1 。

3.2 大數(shù)據(jù)安全擴(kuò)展體系建設(shè)

參考大數(shù)據(jù)安全相關(guān)國家標(biāo)準(zhǔn)，建設(shè)大數(shù)據(jù)技術(shù)平臺，支持大數(shù)據(jù)采集、處理和分析，采取安全控制措施，保障大數(shù)據(jù)平臺基礎(chǔ)設(shè)施、大數(shù)據(jù)應(yīng)用和大數(shù)據(jù)資產(chǎn)安全，建設(shè)大數(shù)據(jù)安全防護(hù)體系，保障大數(shù)據(jù)資產(chǎn)安全，促進(jìn)大數(shù)據(jù)技術(shù)應(yīng)用發(fā)展，其主要建設(shè)內(nèi)容見表2。

表1 云計算安全擴(kuò)展體系的建設(shè)內(nèi)容

3.3 移動互聯(lián)安全擴(kuò)展體系建設(shè)

建設(shè)國鐵集團(tuán)移動互聯(lián)安全防護(hù)體系，實現(xiàn)對移動互聯(lián)網(wǎng)絡(luò)、移動終端、移動App及其數(shù)據(jù)等的安全防護(hù)，保障移動互聯(lián)應(yīng)用的可信安全接入和業(yè)務(wù)交互，其主要建設(shè)內(nèi)容見表3。

表2 大數(shù)據(jù)安全擴(kuò)展體系的建設(shè)內(nèi)容

表3 移動互聯(lián)安全擴(kuò)展體系的建設(shè)內(nèi)容

3.4 互聯(lián)網(wǎng)應(yīng)用安全防護(hù)

建設(shè)國鐵集團(tuán)互聯(lián)網(wǎng)應(yīng)用安全防護(hù)體系，為國鐵集團(tuán)基于互聯(lián)網(wǎng)的應(yīng)用系統(tǒng)（如網(wǎng)站、電子郵件系統(tǒng)等）提供安全防護(hù)，防范來自互聯(lián)網(wǎng)的SQL注入攻擊、拒絕服務(wù)攻擊、跨站攻擊、網(wǎng)站掛馬、隱蔽鏈接等安全隱患，保障集團(tuán)互聯(lián)網(wǎng)應(yīng)用安全可靠，其主要建設(shè)內(nèi)容見表4。

表4 國鐵集團(tuán)互聯(lián)網(wǎng)應(yīng)用安全防護(hù)體系的主要建設(shè)內(nèi)容

3.5 數(shù)據(jù)安全防護(hù)

根據(jù)國家網(wǎng)絡(luò)安全等級保護(hù)基本要求、國鐵集團(tuán)數(shù)據(jù)安全相關(guān)制度和文件要求，實現(xiàn)國鐵集團(tuán)關(guān)鍵業(yè)務(wù)信息系統(tǒng)數(shù)據(jù)的生命周期安全管理，確保在其生命周期各個階段的保密性、完整性和可用性，其主要建設(shè)內(nèi)容見表5。

表5 國鐵集團(tuán)數(shù)據(jù)安全防護(hù)體系的主要建設(shè)內(nèi)容

4 結(jié)束語

根據(jù)等級保護(hù)2.0時代網(wǎng)絡(luò)安全的要求，結(jié)合鐵路既有網(wǎng)絡(luò)安全現(xiàn)狀，提出以安全管理中心為核心，以安全通信網(wǎng)絡(luò)、安全區(qū)域邊界和安全計算環(huán)境為框架的鐵路網(wǎng)絡(luò)安全技術(shù)防護(hù)體系；并針對未來應(yīng)用需求，提出基于云計算、大數(shù)據(jù)、移動互聯(lián)網(wǎng)技術(shù)的網(wǎng)絡(luò)安全體系的主要建設(shè)內(nèi)容，可為鐵路企業(yè)開展網(wǎng)絡(luò)安全技術(shù)防護(hù)體系建設(shè)提供參考。