新形势下铁路网络安全工作探索与发展展望

张伯驹

（中国国家铁路集团有限公司 科技和信息化部，北京 100844）

近年来，为了有效应对日趋复杂严峻的网络安全形势，我国持续健全网络安全法律法规体系，协调推进技术攻关和技术保障体系建设，适时开展监督检查、专项治理行动，网络安全防护的整体能力得到全面提升。铁路系统面对铁路网络安全新形势与新挑战，深入贯彻落实网络强国重要思想，不断强化网络安全观念，全方位打造纵深防御技术保障体系，加快提升铁路网络主动防御能力。

1 我国网络安全制度标准建设情况和有关举措分析

我国在2019年相继起草和出台不同层面的网络安全管理制度，明确网络安全工作要求。国家先后发布了网络安全等级保护2.0标准、《中华人民共和国密码法》《互联网个人信息安全保护指南》《网络安全审查办法（征求意见稿）》《数据安全管理办法（征求意见稿）》《网络安全漏洞管理规定（征求意见稿）》《网络安全威胁信息发布管理办法（征求意见稿）》等多项网络安全相关政策法规。

全国信息安全标准化技术委员会正式发布了27项网络安全国家标准，涉及网络安全等级保护、物联网、病毒防治、网络攻击、数字签名、公民网络电子身份标识等多个细分领域。网络空间安全顶层文件的陆续出台，为我国网络空间安全发展指明了方向和道路[1]，体现了国家加强网络安全保障工作的决心和趋势。

国家计算机网络应急技术处理协调中心（CNCERT）2020年4月发布的《2019年我国互联网网络安全态势综述》[2]，将我国互联网网络安全面临的主要问题总结为DDos（Distributed Denial of service）攻击更高发频发、APT（Advanced Persistent Threat）攻击渗透更猖獗、漏洞威胁更严峻、数据泄露更频繁、移动互联恶意程序更多样、网络黑灰产业更激烈、工业控制系统更严峻等7个方面。针对这些问题，2020年，国家重点行业将加速推进基础设施保护、数据安全管理、网络安全治理等基础工作，并融合云计算、大数据、区块链等新兴技术在网络安全领域的转化与应用，增强网络空间安全防护能力。

2 铁路网络安全管理现状分析

铁路网络安全工作坚持以习近平新时代中国特色社会主义思想为指导，认真贯彻习近平总书记关于网络安全与信息化工作的系列重要论述，积极落实党中央、国务院网信工作部署任务，聚焦铁路网络安全突出问题，结合铁路专网公网并用、网络分布点多面广的特点，坚持安全可控和开放创新，建立铁路网络安全防御体系，减少网络安全暴露点，强化网信基础设施建设和基础管理，深化数据综合治理，加强信息系统运维保障，构建全方位的网络安全防护体系，加快推进以铁路业务网络安全一体化保障工程为核心的网络安全防护相关信息系统建设，充分发挥网络安全与信息化工作在铁路改革发展中的支撑保障作用[3]。

2.1 构建纵深防御体系

与一般的企业信息网络类似，铁路信息网络也可分为互联网区域、内网区域。在互联网、内网之间构建了3道防线，即互联网边界、内外网边界和安全域边界。在互联网边界通过部署网站群安全平台、移动应用安全接入平台实现互联网边界的安全防护。在内外网之间、安全域边界之间，依托安全平台提供数据安全共享和交换，采用以身份为核心的安全控制体系，实现铁路内外部服务网之间信息安全跨域流动，达到适度安全、实用适用的防护效果。计算环境方面，以终端防护系统、主机防护系统、数据库防护系统为主要手段，强化操作系统底层安全，保障基础环境运行安全。

2.2 收敛网络暴露面

互联网暴露面越宽，安全风险便越大，更容易遭到网络攻击。近年来，铁路网络安全保障工作重点加强了互联网出口管控。持续开展互联网收口工作，在全国范围对所属单位互联网出口实现统一管控。规范互联网应用系统的安全防护措施，启动互联网系统的安全评估与加固、安全监控与应急响应机制。建立信息系统全生命周期的管理机制，将网络安全管理控制措施覆盖铁路信息系统的规划、设计、建设开发、测试、上线投产和下线废弃等阶段，确保信息化和网络安全工作同步规划、同步建设、同步运行。

2.3 加强网络安全监管

攻击者往往以疏于管理的薄弱环节或者老旧资产作为攻击突破口，将它们变为开展迂回攻击的跳板。国铁企业信息化设备数量多、规模庞大，网络安全监管难度较高。对标国家网络安全等级保护要求，国铁企业推动落实网络安全责任制、规章制度建设、等级保护、基础设施防护等重点工作，指导并监督所属单位定期开展网络安全检查。根据安全防护的重点和影响安全态势的重要程度，从资产感知、漏洞感知、威胁感知、风险感知、攻击感知、运行感知、业务风险感知等方面，构建具有整体视角的网络安全态势感知平台。

2.4 打造网络安全专业团队

铁路系统落实交通强国、铁路先行新形势下对铁路网络安全工作的新要求，积极开展铁路网络安全人才队伍建设，储备网络安全事件应急响应、风险防控、安全检测等关键技术，统一调配铁路企业各方力量，协同开展态势监控和响应，形成上下一体、协同联动的运营体系，为既有信息系统和基础设施稳定运行提供人才保障。

3 铁路网络安全发展趋势及突出问题分析

铁路网络安全保障工作在构建防御体系、收敛网络暴露面、加强监管、打造专业团队方面取得了一定成果，但由于网络安全工作的复杂性与长期性，在网络安全防护、主动态势感知、及时有效预警等方面差距仍然明显[4]，一旦发生重大故障或遭到破坏而导致应用中断、网络瘫痪、数据丢失，将直接影响铁路运输生产和经营活动，情况严重时甚至会波及铁路运输安全。

3.1 新风险隐患

建设智能铁路伴随着新风险隐患[5]。当前，铁路系统紧跟新科技发展趋势，积极推进新技术、新材料、新能源与铁路业务融合。中国铁路正在向智能铁路方向迈进，积极推进智能建造、智能装备、智能运营，促进铁路业务向精细化、集约化、智能化转变。在铁路业务应用与新型信息技术有机融合的同时，云计算应用模糊了传统系统边界的限定，大数据应用潜在的数据安全泄露风险与日剧增，物联网设备、5G设备的接入安全、授权认证等问题直接关系到铁路相关信息系统的安全，对建设智能铁路带来新的挑战。

3.2 信息网络过于复杂

铁路信息网络本身过于复杂。铁路搭建了覆盖全国的特殊专用内网、覆盖铁路沿线的移动通信网，未来还将搭建铁路5G专网，具有网络覆盖地域广、网络结构复杂度高、异构网络互联互通要求高、网络暴露面宽等特征。铁路运输生产和经营办公用信息设备数量众多、种类繁杂、分布广泛；老旧设备和非国产化系统软件占比较多，受原厂商停止服务的影响较高。这些因素导致铁路网络安全防护方案异常复杂，碎片化防御手段难以应对复杂化、多样化的网络攻击，安全防护的系统性、结构性不强，间接增高了网络攻击风险系数。

3.3 压力集中

数据中心将安全防护压力集中在一点。随着铁路数据中心的建成投产，集中化的数据中心将成为铁路信息系统生产运行中心，担负着铁路信息资源服务、关键业务计算、数据存储备份的重要任务，承担着确保铁路业务安全稳定运行的重要使命，其基础网络、内部资产、敏感数据等均为铁路网络安全保障工作的重点对象。此外，云计算、大数据、物联网、移动应用等新兴技术的叠加与应用融合，可能诱发的系统运行安全、边界安全、数据安全等问题将随之而来，对于潜在的安全风险与隐患威胁，如何保障铁路重要基础设施的稳定运行成为网络安全工作面临的新挑战。

4 铁路网络安全管理策略分析

遵循系统工程方法论，以管理体系、技术体系、运维体系为支撑，从安全能力建设、安全运行角度，研究提出一套基础结构安全、网络纵深防御、主动防御、联防联治的递进型网络安全防御体系，有针对性地破解铁路网络安全管理重点难点问题。

4.1 加强顶层设计和组织领导

加强顶层设计和组织领导，全面落实安全责任制。对标国家网络安全的顶层设计、法律法规，分析铁路网络安全顶层设计的薄弱点，建立覆盖完整、体系清晰、便于实施的规划方案。从管理、技术、业务各方面多措并举，将网络安全工作贯穿在网络和系统的规划、设计、建设及运营整个生命周期，确保各项安全制度、策略、措施落地落实。自上而下开展铁路网络安全建设，坚持统一规划、统一建设、统一标准[6-7]，坚持网络安全与信息系统同步规划、同步建设、同步运维，坚持管业务必须管网络安全。加强集中统一领导，坚持党委和行政负同等责任，主要领导担负第一责任人，坚持分级担负责任、精细分解责任、层层压实责任，全面落实网络安全责任制要求。

4.2 建立健全通报预警机制

落实网络安全等级保护制度，建立健全通报预警机制。全面落实网络安全等级保护制度，深入开展基础摸排和分析评估，摸清铁路信息系统资产，对铁路网络、信息设备、应用系统、基础设施等重点目标全部纳入等级保护管理，积极开展定级、备案、测评整改工作。充分发挥网络与信息安全信息通报机制作用，健全铁路内部通报预警机制，依托网络安全态势感知平台，实现动态监测，防患于未然。建立以安全事件为牵引的监控指挥体系，落实保障措施，全天候、常态化监测处置网络安全事件，有效提升应对网络安全事件的响应能力。

4.3 加强攻击面管理

收敛网络暴露面，加强攻击面管理。缩减、集中各互联网应用出入口。在互联网出口设计时采取向上或就近归集管理，减少互联网出口数量，在互联网出口部署安全防护设备与系统。压缩网站数量，加强域名管理。清理互联网网站，排查历史域名，及时清除废弃域名，做到在线业务系统全部可管、可控。加强终端控制。部署终端统一管控措施，及时修补漏洞，强化用户管理，集中管控用户操作行为日志。清理老旧资产。建立动态资产台账，掌握资产分布与归属情况，关停老旧、废弃系统，下线过期资产，清理无用账户。

4.4 开展重点防护

梳理网络资产，加强重要数据安全保护。全面梳理掌握中国国家铁路集团有限公司（简称：国铁集团）、各铁路局集团有限公司（简称：铁路局）重要数据和安全保护状况，采取访问控制、加密备份、行为审计等措施，切实保护铁路重要数据在采集、存储、传输、应用、销毁等环节的安全，切实保护数据全生命周期的安全[8]。对数据进行分级分类，防止敏感信息的扩散，杜绝数据滥用的风险。强化邮件系统安全认证，梳理与邮件系统相关联的系统，严格控制访问策略，禁止通过邮箱传输敏感数据，定期清理邮件信息。及时进行漏洞修补，实时跟进漏洞预警，加强各类漏洞的检测发现、巡查修补。

4.5 完善纵深防御体系

合理分区分域，完善纵深防御体系[9]。构建横向到边、纵向到底，覆盖国铁集团、铁路局、基层站段全范围，条块融合、联防联动，贯穿安全管理、技术防护、运维保障全过程，搭建技术先进、安全可控、攻防兼备的铁路网络安全综合防御体系，保障铁路基础设施和核心业务应用安全稳定运行。

4.6 建立健全网络安全态势感知体系

建立健全铁路行业网络安全事件报告和应急处置机制，开展网络安全实时监测、通报预警、应急处置等工作。依托大数据分析技术[10-11]，实现安全数据、业务数据、情报数据的关联分析，精准发现设备、系统、威胁情报间的内在线索，挖掘潜在安全事件，定位攻击源，溯源事件过程和攻击路径。

4.7 开展攻防对抗演练

开展攻防对抗演练，防范化解重大网络安全风险。建立铁路网络安全试验靶场，构建多层次、体系化、常态化的演习机制，丰富攻防演练的内容和方式。组建铁路内部专业网络安全红蓝对抗团队，定期开展网络攻防演练活动。专注攻击技术研究，在加强防护的基础上，开展渗透测试，收集研究攻击者常用工具方法。将靶场演习经验应用于铁路网络安全防护实践工作，促进对铁路信息化基础设施的日常监测、通报预警，优化完善铁路网络安全防护工作[12]。

4.8 强化供应链安全管理

重视信息技术产品和服务等供应链安全，优先采购安全可信的网络产品和服务[13]。对铁路系统中核心网络设备、高性能计算机和服务器、大容量存储设备、大型数据库和应用软件、云计算服务，以及采购数量大、对铁路信息化基础设施有重要影响的产品和服务，加强网络安全管理。与供应商签订安全保密协议，并对其责任义务履行情况进行监督。

4.9 加强专业人才培养

加强专业人才培养，打造实战化队伍。通过组织铁路内部网络攻防演习、举办网络安全大赛，建立人才发现、选拔、使用机制，提升关键安全岗位人员实战化能力[14-15]。深入开展网络安全知识技能宣传普及，提高全路人员网络安全意识和防护技能。

5 结束语

铁路行业近几年不断加强网络安全防控体系建设，已经具备了一定的网络安全防护水平。但网络安全防护工程建设绝非一朝一夕之事，不是一劳永逸，更不是一个工程建设能够完成的，而是持续性、系统性的庞大复杂的工程。要树立正确的网络安全观念，紧跟网络安全形势及发展趋势，增强网络安全风险意识和底线思维，认真排查、分析突出问题和安全隐患，总结和把握网络安全防护规律，从技术、标准、管理等方面多措并举，强化各项措施落地实施，全面提升铁路网络安全保障能力。