基于等級保護2.0的鐵路客票系統安全管理中心研究

趙英明， 張德棟 ，陳 勛 ，李聚寶

（1.中國鐵道科學研究院 研究生部，北京 100081；2.中國鐵道科學研究院集團有限公司 電子計算技術研究所，北京 100081）

中國鐵路客票發售和預訂系統（簡稱：鐵路客票系統）自1996年上線應用以來，已從最初獨立運行的車站系統，發展成為覆蓋全國的大型實時交易系統[1]。

鐵路客票系統中網絡設備和服務器數量龐大，應用子系統眾多，若各應用子系統單獨部署安全管控系統，不僅成本高昂，且相互之間缺乏安全管理信息交互和共享，難以有效地監控系統網絡的整體運行狀況[2]。

為此，依據網絡安全等級保護2.0標準（簡稱：等級保護2.0），研究面向鐵路客票系統的安全管理中心設計方案，以實現系統網絡安全的集中管控，利于優化系統運維流程，降低管理成本，滿足系統網絡安全的合規性要求。

1 網絡安全等級保護2.0標準

我國網絡安全等級保護1.0標準（簡稱：等級保護1.0）從2007年開始正式實施，至今已有10多年的歷史，作為我國各行業開展網絡安全建設的重要標準，具有十分重要的指導意義[3]。

受時代與技術的限制，等級保護1.0主要針對網絡、物理主機、硬件等方面，而非整個網絡；且風險評估、安全測評等相關內容和規范也不夠完善；此外，對于近幾年發展迅速的新技術，如云計算、大數據等，其針對性也不足，防護措施日顯薄弱。

2019年5月，我國正式發布了網絡安全等級保護2.0，針對新時期的網絡安全新形勢、新變化以及新技術、新應用的發展提出更高的要求。

隨著等級保護2.0的發布與實施，鐵路客票系統的網絡安全防護技術也需與時俱進，根據自身業務需求和等級保護2.0的合規性要求進行改進和完善。

2 安全管理中心

等級保護2.0的核心思想是“一個中心、三重防護”，即建立以計算環境安全為基礎，以區域邊界安全、通信網絡安全為保障，以安全管理中心為核心的信息安全整體保障體系[4]。

安全管理中心是該標準技術部分的核心，主要包括系統管理、審計管理、安全管理和集中管控4個方面的功能要求[5]。

一個系統往往會部署針對不同防護部位的多種安全措施，如通信網絡、區域邊界等。安全管理中心提供了對系統網絡安全防護手段進行集中管控的平臺。通過安全管理中心，安全設備間可以實現數據互通和協同防護，同時滿足對系統整體安全態勢進行綜合分析的需要[6]。建設安全管理中心需要進行安全運營組織架構、流程、指標、報告的設計，以實現主動防御和感知機制。

3 面向鐵路客票系統的安全管理中心概要設計

3.1 架構設計

近年來鐵路客票系統發展十分迅速，系統日趨龐大，網絡規模不斷擴張，針對其各應用子系統的安全管理工作需要進一步的發展完善。鐵路客票系統是鐵路企業核心業務系統，必須保證應用服務的連續性，需要及時有效地監視和管理網絡和系統設備運行狀態，把握整體的安全態勢，及時發現和處理系統故障。

鐵路客票系統的業務特點決定了其安全管理中心的設計應考慮到能夠實現將分散在各個中心、鐵路局集團有限公司（簡稱：鐵路局）的不同位置、不同安全系統中的安全事件信息進行匯總，支持綜合分析與決策，實現對客票系統所有設備的集中管控、日志的統一收集與審計分析，以綜合全網情況制定安全策略。

面向鐵路客票系統的安全管理中心的架構設計如圖1所示。

圖1 面向鐵路客票系統的安全管理中心架構示意

安全管理中心需采集來自于網絡設備、安全設備、主機、數據庫、中間件等的相關數據信息，通過對大量數據的分析和整合，實現系統整體安全態勢的把握。為此，通過鏡像流量技術，采集流量數據、系統日志、性能參數等數據，將采集的數據傳遞并存儲至安全管理中心。

由于采集到的數據種類眾多、體量龐大，且按照等級保護2.0的要求，安全管理中心應留存6個月的系統日志，需要針對海量數據做好數據庫規劃。可根據數據內容和用途的不同，將數據庫劃分為資產庫、業務庫、日志庫、策略庫和規則庫等，以便于信息分析。

當信息采集完成后，將采集的數據導入信息分析模塊，對系統的業務健康性、故障情況、安全狀況、性能等方面進行綜合分析，形成分析結果并展示，同時將系統狀態反映給安全處置模塊。

安全處置模塊接收系統狀態分析結果，依據分析結果采取相應的響應措施，響應措施以視圖形式呈現給安全管理中心的管理員。

3.2 功能設計

通過建立鐵路客票系統安全管理中心，可以對客票系統的設備與應用進行統一管理，對于安全事件統一分析、處理，同時也可以實現針對系統整體態勢的分析和展示。

參考等級保護2.0中的相關要求，面向鐵路客票系統的安全管理中心主要有以下5個方面的功能。

（1）信息采集

主要實現鐵路客票系統的資產信息、性能參數、系統日志、配置信息、弱點信息、威脅情報信息等安全要素信息的采集。

其中，資產信息通過主動的嗅探掃描來獲取，可探測網絡上的主機、開放的端口、硬件特征及版本信息等。

配置信息采集可按照設定的周期，主動地采集不同設備的配置信息，確保配置信息均滿足安全基線的相關要求。信息采集系統可以通過多種協議方式對核查對象的配置信息進行檢查，包括SSH/SSH2、TELNET、JDBC、SMB、核查代理等。

日志與安全事件信息是針對不同廠商的各種設備、以及系統中部署的各種應用所產生的相關日志，通過Syslog、SNMP、SNMP Trap、Shell腳本、VIP、Web Service等協議進行采集并記錄[8]。

（2）信息分析

利用采集到鐵路客票系統的各類安全要素信息，對系統整體的安全性、系統配置、以及系統的薄弱點和風險點進行全面分析。

信息分析結果以態勢感知交互方式呈現，幫助用戶從全局把控客票系統安全狀態、主要應用子系統的健康態勢和攻擊態勢[9]。

健康態勢感知基于各類信息資產和業務系統的性能與可用性信息，計算各應用子系統的相關性能參數以及運行狀態，實現對應用子系統的全方位監控，及時發現其安全薄弱點，進行針對性的改進和完善。

攻擊態勢感知對整個網絡被攻擊情況進行匯總和分析，實現對整個網絡受攻擊情況的全面把握；能夠從攻擊的種類和方法、攻擊的手段和結果等多角度呈現攻擊態勢，幫助用戶直觀地了解系統遭受攻擊的情況，及時進行安全防護。

（3）安全處置

包括安全事件例行處置、例外處置和預警管理[8]。其中，例行處置主要以計劃任務工單的形式體現；例外處置主要通過響應管理和告警工單處理的形式體現；預警管理可根據系統的安全狀況，設置安全標準，當監控參數超過安全閥值時，立即觸發系統告警。

（4）用戶呈現視圖

系統對用戶進行級別和角色的劃分，并針對不同級別與不同角色的用戶建立對應的用戶視圖，最大程度地保護系統的內容安全。

（5）系統支撐

主要是對資產、業務、知識和安全信息的管理和存儲[9]；可以根據系統維護需求，以報表形式提供相關信息，幫助運維人員全面把握系統網絡安全狀況，制定有針對性的系統維護方案。

安全管理中心應具有強大的監控能力，能夠實時掌握網絡鏈路、設備狀態、應用系統運行情況等；利用集中存儲的監控信息，進行對比分析、關聯分析，動態掌握系統整體安全態勢，實現對安全事件的及時預警，做到早發現、早防御，顯著提升系統整體安全[10]。

4 結束語

等級保護2.0的頒布和實施對信息系統的網絡安全工作提供了規范指導和更高要求。安全管理中心作為該標準體系中技術部分的核心，在構建實際業務系統的網絡安全防護體系中起著至關重要作用，解決了不同設備間安全信息無法聯動的問題，可顯著提升系統網絡的整體安全性。

基于鐵路客票系統的現狀和發展要求，依據等級保護2.0的相關要求，初步提出面向鐵路客票系統的安全管理中心的概要設計，為促進鐵路客票系統的安全防護技術的發展和完善進行了有益探索。可以預見，安全管理中心的建設將有助于提升鐵路客票系統的安全防護水平，保證鐵路客票系統長期安全穩定運行。

目前，鐵路客票系統已發展為囊括國家鐵路集團有限公司和鐵科院集團公司雙中心及多個鐵路局的大型復雜網絡信息系統。如何使安全管理中心對鐵路客票系統各個不同層級的子系統具有良好的實用性，后續需要深入開展針對性研究。