铁路领域重要信息系统安全保障的创新与实践

施卫忠

（中国国家铁路集团有限公司 信息技术中心，北京 100844）

当前，网络信息安全已提升到网络空间主权和国家安全的高度，陆、海、空、天（网络）已引领国际社会新变革，创造人类生活新空间。网络安全和信息化已成为网络强国的一体之两翼、驱动之双轮。随着铁路信息化应用面向互联网开放，来自境内外黑客的渗透、攻击，以及日益猖獗的网络违法犯罪活动，给铁路领域带来了日趋严峻的网络安全挑战。面对复杂的网络安全形势，加强铁路网络安全管理、强化铁路网络安全保障，对铁路领域重要信息系统安全保障建设进行探索，具有重要意义。

阐述铁路领域重要信息系统安全保障建设的主要内容、关键技术和创新，并对我国铁路领域网络安全管理进行展望。

1 主要建设内容

1.1 网络安全技术架构

铁路领域重要信息系统安全保障建设范围包括5网3 级。5 网为铁路综合信息网、列车调度指挥专网、客票专网、旅服网和资金专网；3级为国铁集团级、铁路局级、站段级，共涉及中国国家铁路集团有限公司（简称国铁集团）、18 个铁路局集团公司、专业运输公司等全路各单位，共5000多个基层站段［1］。

以铁路网络安全总体架构为基础，在现有铁路网络安全建设基础上，以建设网络安全态势感知平台为核心，优化完善和补齐现有的安全防护技术手段，强化网络安全管理、应急处置等机制，逐步形成综合防御体系。具体包含5 个安全支撑平台、5 个技术保障系统、1个管理保障体系［2］（见图1）。

图1 网络安全技术架构

1.2 安全支撑平台建设

1.2.1 整合形成完善的电子认证服务平台

整合铁路领域在信息化发展过程中，各个属地随业务应用系统分散建设，覆盖不全面的电子认证CA 系统；统一货运、客运业务单独部署的CA 系统，彻底改变无序纷乱的铁路电子认证服务，统一规划、有机整合，将独立、零散的各地电子认证服务单元整合形成统一的认证体系，规范统一的认证标准。

1.2.2 建立多方位海量数据下的集中安全管理平台

为应对传统网络和海量数据带来的多源异构数据采集、海量数据存储与分析、安全指标集中展现等多种挑战，以资产为核心、情报为驱动，打造一个集数据采集、情报预警、集中运维为一体的集中安全管理平台，对IT 资产情况进行监控和警告，协助用户进行网络安全威胁的统一管理。

1.2.3 建立风险可视化的网络安全态势感知平台

针对铁路领域综合信息网、铁路客票专网、列车调度指挥专网中承载的关键公众服务平台、列车调度指挥、客票发售、安全运输生产等业务系统，结合安全威胁分析，利用云计算、大数据技术建设网络安全态势感知平台［3］，从原有以防护为核心的模型，转向以检测为核心的模型，建立识别、预防、发现、响应等机制，提升变被动为主动的安全防御能力。

1.2.4 建设企业级互联网网站群安全部署平台

按照属地化管理原则，建设统一标准、安全规范的铁路局集团公司互联网网站群安全部署平台。将原有分散部署的中小规模互联网网站（应用）迁移至新建网站群安全部署平台。

1.2.5 构建完善移动应用安全接入平台

为了应对移动应用数量不断增多、移动安全技术手段功能单一、移动应用安全重复建设、管理难度大的问题，建设移动应用安全接入平台，作为公共基础设施，满足应用系统及业务人员需要，以保证移动智能终端接入的安全性为目标，保障企业的网络安全、数据安全和终端安全。

1.3 技术保障系统建设

1.3.1 构建立体化终端安全防护体系

以国家信息安全相关标准、规范为依据，以实现计算机环境安全防护平台中的终端安全管理为基础，以制定计算机终端安全配置策略为核心，以安全易用为导向，兼顾终端防护系统高可用性，建立涵盖铁路综合信息网、列车调度指挥专网中的计算机终端安全防护系统，实现终端网络安全准入控制、安全状态监控、安全审计等功能，最终形成多层次、立体化的终端安全防护体系。

1.3.2 构建含互联网、内外网、不同安全域边界间安全防护体系

通过构建纵深边界防护体系、网站群安全防护及移动接入安全体系实现互联网边界安全防护；构建数据安全交换平台，结合安全隔离体系、安全防御体系、业务数据安全交换体系，实现数据综合网、客票网、TDCS/CTC 网、旅服网、资金专网等安全域边界安全防护及其之间的数据可控交换和风险隔离。

1.3.3 研究基于大数据的铁路客运售票业务风险防控系统

通过对铁路客运售票系统各类源数据的采集、存储、汇总建模及快速检索，在形成通用型数据分析系统的基础上，对采集的海量数据进行关联分析，实现海量数据的快速分类、查询检索、统计呈现、异常行为预警，为人工排查应用访问行为异常提供有效手段，并通过与态势感知系统形成联动，提供安全状态的统一展现及分析。

1.3.4 研究通信网络安全防护系统

通过对通信信息进行加密处理、用户身份认证、设置权限等方法来预防和制止网络通信的安全问题。通信网络安全由密码支撑系统、通信网络安全服务平台和加密设备构成［4］，目的是为网络使用人员提供经过加密的传输通道，使用户可以安全地在网络上进行信息共享。

1.3.5 研究面向云计算环境的应用安全保障系统

随着铁路行业网络规模的持续增长，移动互联网、云计算、大数据等新技术对网络安全提出新挑战［5］。通过网络功能虚拟化、流量调度等技术，研发虚拟网络安全防护系统，包括虚拟环境内部的入侵检测、访问控制、Web安全防护等；通过安全资源池化管理、安全策略一致性、标准化平台接口、虚拟安全设备智能部署等安全资源统一管理技术，部署基于安全资源池的云虚拟环境管理平台，实现安全策略、虚拟安全资源的统一管理。

1.4 完善网络安全管理保障系统

网络安全管理保障系统从制度规范、组织保障、人才培养3个维度［6］，对既有管理文件进行必要的取舍和增补，在部分建设和试点基础上，结合发现的网络安全管理保障体系应用范围不全面等问题，对铁路网络安全防护能力进行完善，扩展安全管理、技术保护、安全审查、责任认定、应急处置和隐私保护等安全措施，逐步将铁路领域现有“无序、零散、被动”的风险补救式网络安全管理模式，转变为“系统、连贯、主动”的网络安全管理模式，进一步健全体系，保障铁路信息网络及业务应用系统的安全、稳定、可靠运行［7］。

2 关键技术

作为铁路领域有史以来最大的网络安全建设工程，涉及铁路领域所有单位和部门，涵盖了所有工种和岗位，对全路55 万台（套）终端进行管控，对全路所有互联网出口进行监控，对铁路内网的重要节点进行数据采集、汇总、分析，第1次建立了全路上下联动、协同处理的集中安全管理平台和对铁路网络安全状态进行研判的态势感知平台，形成和国家网络安全平台对接，对铁路内部网络安全事件一体化管理的网络安全管理平台。

2.1 新技术应用

通过对新技术新产品防护手段的研究和部署，将大力推进云计算［8］、大数据和移动设备［9］在铁路行业的应用，改变铁路应用的部署模式，提高计算资源的支持和运用能力。

2.2 适应等保2.0要求

网络安全技术架构设计中，充分考虑了等级保护2.0［10］的要求，结合大数据、云计算、移动平台等扩展要求，完善补强了铁路网络安全架构短板，提升了铁路网络安全架构的完整性。

2.3 搭建铁路首个态势感知平台

首次提出了在铁路领域搭建网络安全态势感知平台，将传统的被动式防御变为主动式防御，实现铁路领域全网态势的展现。

2.4 架构紧密结合客运售票新模式

网络安全技术架构从业务防控角度解决了铁路售票系统的安全，有效实现对售票系统的风控，确保购票过程的公平公正。

2.5 多个系统之间的网络安全数据实现整合

工程虽然涉及不同系统，但整体目标一致、方案技术统一，通过安全数据平台将各个系统有效结合，全部业务形成闭环。从基础防护手段，到扩展防护策略；从底层安全设施，到上层态势感知；从通用防护功能，到针对具体业务的风险防控，建立铁路领域一体化的网络安全防护架构，为今后铁路网络安全发展奠定基础。

2.6 重点系统的数据安全得到有效保护

网络安全的根本是数据安全，即数据安全才是网络安全的重中之重。数据在，价值在，服务在。数据安全与数据泄露共存，研究使用核心技术，让数据能够实现自保。

2.7 后量子安全密钥管理技术实现天然免疫

网络安全中，对固有数据实现天然免疫、自身免疫，抵御已知和未知的外来恶意攻击，不怕漏洞和后门，防勒索、破坏和泄露，放弃网络系统的纠缠，开创数据保护的先河，以数据为核心，控制所有访问数据的进程。

3 难点及创新

铁路领域重要信息系统安全保障分4 部分开展建设，分别是：TDCS/CTC 网安全、客运售票业务风险防控和终端安全、铁路桌面终端安全、铁路综合信息网安全集成。每个部分又分为2个建设阶段，即先试点再推广。在试点过程中，建设团队克服重重困难，解决以下难题。

3.1 实现新技术与原系统技术架构结合

有些功能是在原系统基础上进行补充完善，例如TDCS/CTC 网安全补强、铁路综合信息网中的部分建设内容，均要遵循原有技术架构，进行网络安全补强，同时也会采用当前渐趋成熟的云计算、大数据等技术。在试点过程中，需要将新技术与原技术架构进行验证，在满足原技术架构基础上，实现新技术功能提升。

3.2 满足系统功能和业务变化之间适配

在工程建设过程中，不可避免地出现业务功能改变，例如客运售票业务风险防控，在系统建设过程中，遇到了2020年的新冠病毒疫情事件。在此过程中，铁路客运售票过程进行了紧急调整，随之改变的是业务风险防控计算模型。在试点过程中，建设团队克服困难、积极应对，搭建灵活的模型定义模块，有效应对变化。

3.3 扩充终端管理系统实现不同操作系统之间兼容

在工程实施中，首次对铁路55 万台（套）终端进行统一平台管控。由于铁路信息化建设历程长，55 万台（套）终端的类型千差万别，有的专用生产终端还是Windows XP 系统，设备配置较低，终端管理系统需要对所有终端实现病毒检测、补丁下发、违规外链检测等多项功能。在试点过程中，建设团队和铁路局集团公司技术队伍相互配合，对各类终端进行现场验证，发现一个典型，即在其他铁路局试点时进行验证，积累丰富的现场经验，奠定全路推广的基础。

3.4 建立不同系统之间安全数据统一规则

工程最终目标是要实现各系统安全数据的统一采集、分析、研判、处理。为了实现这个目标，需要各系统将自身产生的安全数据汇总到统一平台中，并按照平台要求进行规范化，统一平台在接收到相关数据后，进行汇总、综合分析，形成研判结果提供给业务人员进行处理。在试点过程中，建设团队已经完成主要节点数据集采和汇总功能，随着工程的推进，将汇总更多数据并应用。

3.5 创新高效的组织协调工作机制

工程实施的关键是组织协调。工程涉及面广、内容多，需要铁路行业各个单位共同努力，紧密配合，才能高效推进工程。工程指挥部每周召开工作例会、建立专项交流群组、设立问题库，发现问题及时解决，将工程实施经验进行汇总分享。

截至2020年3月底，4 个部分的试点工作均已完成，实现既定目标，取得了成效。终端安全功能不仅完成了试点，全路终端安全功能安装量已完成了90%，正在验证防护策略。

4 我国铁路领域网络安全展望

铁路网络安全已成为铁路领域安全生产的重要组成部分，为应对目前严峻的安全形势，优化完善铁路领域现有的网络安全防护手段，设立铁路网络安全总监，在铁路领域推进网络安全法实施。网络安全永远是攻与防的关系，尽管铁路领域实施了有史以来最大的网络安全工程，但一个工程不可能解决所有网络安全问题。网络安全是动态、持续改进的。工程实施过程中，为适应业务系统安全需求，完善网络安全架构体系、建设全路网络安全平台、建成全路移动数据传输统一平台（MTUP）、建成移动应用安全接入平台。信息中心所属企业创新研制系列隔离产品，先后研发出我国第一台桌面单向导入设备、第一台网间单向光闸、第一且唯一的双网隔离终端单向摆渡系统、单向运维栅栏系统等系列产品，为解决技术安全、管理安全做了有益尝试。

网络主权意识模糊、铁路领域网络安全管理理念和理论研究不够、法律体系不完善、网络安全缺乏公信力，从而影响网络信息安全；网络安全产品关键设备安全认证和检测不到位、网络管控办法技术落后及人才短缺，制约着铁路领域网络安全事业发展，这些是将来要逐项解决的难题。

通过工程项目实施，带动铁路领域网络安全迈上新台阶是不容置疑的事实。