TDCS/CTC系統網絡安全防護體系優化研究探討

郝雪峰

【摘要】本論文針對等級保護測評安全技術相關措施中安全通信網絡、安全區域邊界、安全計算環境、安全管理中心不符合項進行研究思考探討。既有的TDCS/CTC系統網絡安全2.0系統涵蓋了等級保護四級技術相關要求的大部分功能，且在近年的勒索病毒防御、護網演習過程中發揮了重要作用，但仍不滿足《信息安全技術網絡安全等級保護基本要求》（GB/T 22239-2019）文件的建設要求，本次研究主要從滿足測評角度進行分析研究，以最終達到符合四級等保的要求。

【關鍵詞】等級保護測評、TDCS/CTC系統、網絡安全防護

一、概述

2020年，中國鐵道科學研究院集團有限公司信息系統與網絡安全評測中心對呼和浩特鐵路局列車調度指揮系統/調度集中系統（TDCS/CTC系統）開展了等保測評工作。本論文本著以成本最小化的思路，整體以軟件升級為主，本著成本最小化進行實施，補強現有TDCS/CTC系統網絡安全缺項，進一步滿足《信息安全技術網絡安全等級保護基本要求》（GB/T 22239-2019）的建設要求，提升TDCS/CTC系統網絡安全質量。

二、研究內容

根據2020年的《呼和浩特鐵路局TDCS/CTC系統網絡安全等級保護四級測評報告》（以下稱《測評報告》）技術部分測評結論，對安全通信網絡、安全區域邊界、安全計算環境、安全管理中心存在的不符合項進行分析，整體歸為以下7大類功能問題：

1.主機文件加密

TDCS/CTC系統的訪問控制機制以及透明加解密機制將對服務器和終端存儲的敏感數據保密性實施有效保護，訪問控制機制能夠防止非授權用戶讀取敏感信息，透明加解密機制對硬盤存儲的敏感數據實施加密存儲保護，即使非法人員竊取硬盤設備，在沒有用戶合法密鑰的前提下也無法解密敏感信息。

文件加密功能將在現有安全加固軟件客戶端上進行升級實現。通過在加固軟件上開啟終端加密模塊，可以對主機業務數據進行加密，也可以對主機的指定文件夾、文件進行加密。主機加密的規則策略在安全管理中心統一設置和管控。

2.通信傳輸加密

為防止數據在網絡傳輸過程中被竊聽、被篡改，造成信息泄露，通信加密模塊對網絡中傳輸的數據進行加密，保證通信的保密性。通信加密可以通過兩種方案來實現，即分布式傳輸加密和集中式傳輸加密。

1）分布式通信傳輸加密

分布式通信傳輸加密是在通信兩端的主機安全加固軟件客戶端啟用通信加解密功能，實現端對端的通信加密。通信加密的規則策略在安全管理中心統一設置和管控。該方案具有影響小、加密距離長、部署靈活等優勢。

2）集中式通信傳輸加密

集中式通信傳輸加密模式是在安全邊界上升級啟用傳輸加密功能，在網關位置的安全邊界之間建立通信傳輸加密通道，對所有的傳輸信息進行加密。

3.雙因子身份認證

安全管理中心建立統一的身份認證管理體系，現僅有靜態以用戶密碼，雙因子方式可增加動態口令，或是UKEY，或是動態口令牌。根據TDCS/CTC系統的車務終端現有設備特點，更易于部署實施，選擇動態口令牌的方式更適用于現狀。雙因子認證系統保證了系統的安全性，防止由傳統系統口令泄露和破解帶來的安全風險。

4.網絡設備日志審計

網絡設備日志審計服務可以將路由器和交換機等網絡設備的日志記錄到安全管理中心，并在需要時調取進行審計分析。在安全管理中心增加網絡設備日志審計模塊，通過遠程信息收集的方式收集來自網絡中路由器、交換機等不同網絡設備的日志審計信息，同時將收集到的信息根據統一的信息格式進行標準化處理。本功能通過升級安全管理中心軟件即可實現。

5.漏洞掃描

在安全管理中心部署漏洞掃描系統，可定期進行漏洞掃描，并且出具報告。

漏洞掃描組件主要在安全事件發生前，對TDCS/CTC網絡的安全漏洞及其他薄弱環節，通過模擬黑客攻擊的方法，對系統進行安全評估和漏洞掃描，了解網絡的安全配置和運行的應用服務，提交風險評估報告。漏洞掃描組件可以掃描基于TCP/IP的主機、網絡設備，對操作系統漏洞、數據庫漏洞、FTP服務、共享服務等進行掃描，對TDCS/CTC網絡系統中的主機和網絡設備進行安全脆弱性檢測和分析，發現可能被入侵者利用的漏洞。漏洞掃描功能可以通過升級安全管理中心軟件實現。

6.入侵檢測

入侵檢測系統部署在TDCS/CTC中心網絡內，通過核心交換機的端口鏡像獲取數據流進行分析。入侵檢測系統采用的黑名單機制，利用內置的入侵檢測威脅庫，從TDCS/CTC網絡中收集各類數據信息，檢測網絡數據報文，對報文進行協議分析和模式匹配，實時發現網絡中是否有違規操作行為和網絡被攻擊的跡象，一旦發現攻擊，能夠發出報警并記錄攻擊過程中的源IP、目的IP、攻擊的類型、攻擊的時間等，為追查攻擊的來源提供依據。

7.統一安全運維功能

研究統一安全運維功能，針對網內的網絡設備和具備專用操作系統系統的設備，通過統一安全運維功能進行管理，通過該功能的管理，可以彌補這些特殊設備在權限劃分、雙因子認證、安全審計等方面的缺失，對此類設備的所有運維管理操作都將被記錄和審計，通過限制訪問僅能通過統一安全運維平臺管控此類設備。研究統一安全運維功能的部署與既有的設備深度兼容，配置訪問限制策略，不能影響既有的運維管理。

三、結論

此次研究目的是實現7大類功能，即主機文件存儲加密、數據傳輸加密、雙因子身份認證、網絡設備日志審計、漏洞掃描、入侵檢測、統一安全運維平臺。進一步完善和優化TDCS/CTC系統網絡安全防護能力，新的7項功能都是在既有安全管理中心系統進行軟件升級實現，不涉及到新增軟件系統，新增的功能可以和既有調度軟件深度兼容，確保即穩定又安全，既按照《信息安全技術網絡安全等級保護基本要求》（GB/T 22239-2019）的建設要求，又避免了重資金的投入。目前已在TDCS/CTC系統查詢區域做試點部署實施，根據最新一次等級保護測評報告，該方案達到了預期的設計目標和防護要求。

參考文獻：

[1]中華人民共和國.GB/T 22239-2019.信息安全技術網絡安全等級保護基本要求[S].北京：中國標準出版社，2019.

[2]中華人民共和國.GB/T 22240-2020.信息安全技術網絡安全等級保護定級指南[S].北京：中國標準出版社，2020.