城市轨道交通云平台网络安全体系研究

张 威，司鑫悦

（1. 温州市铁路与轨道交通投资集团有限公司运营分公司，浙江温州 325600；2. 铁科院（北京）工程咨询有限公司，北京 100081）

随着国内数字化转型的推进，我国新型基础设施建设项目不断开展上线，应用系统规模不断扩大，传统数据中心资源利用率低、能源消耗大、业务上线慢、管理智能化程度低等弊端日益突出[1]。云计算以其高效、低能耗、弹性扩展的特点，符合未来的发展趋势，在各领域中被实践应用。城轨云作为新型技术手段，是智慧城轨建设的基础，城轨云对于大数据平台和大数据分析应用、打破信息孤岛、优化现有3级系统架构、承载智慧地铁业务等方面带来颠覆性变革[2]。随着城轨云的发展，容器、微服务等技术开始走上城轨云舞台，各业务数据的融合程度也越来越高，云数融合已成为未来发展的必然趋势，如何保证信息安全，减少网络攻击、信息泄漏、木马病毒事件的发生，也已成为当下热点问题。文章通过对网络架构、安全运营体系、安全管理体系3 方面进行强化和深入研究，搭建城市轨道交通云网络安全体系。

1 城市轨道交通网络架构

本文通过对网络建设规范性、网络可靠性、网络边界安全、网络协议、网络流量等进行分析，对网络通信安全、设备自身安全、网络安全进行管理等，搭建城市轨道交通网络架构。

1.1 总体架构

参照中国城市轨道交通协会云计算网络架构标准，结合业内专家团队分析评估内容，将城市轨道交通网络架构建设分为3张网进行规划，即安全生产网、内部管理网及外部服务网[3]。数据中心网络采用具备高扩展性的扁平化组网，同时为满足城市轨道交通网络安全一体化及后续新型业务对于低延时的需求，城市轨道交通网络架构规划如图1所示。

1.2 网络拓朴规划

以生产网为例，整体网络建设采用分区分模块原则，大致分为网络核心交换区、云桌面资源区、计算资源区、测试区、大数据资源区、人工智能（AI）及智慧类业务区、云安全资源区、桌面接入区以及存储资源区等，同时通过核心区实现与线路云业务接入区、非云业务接入区、外部系统接入区的互联互通，并且构建单独的运维管理网，实现对全网资源的统一管理及运维。

网络架构中，通过自防御网络（SDN）控制器实现网络安全资源的调度与编排，包括安全防护策略与安全路径的定义，真正实现网络安全一体化，同时对于AI及智慧类业务，采用远程直接内存访问（RDMA）技术，满足业务的高效访问需求。

通过图2所示网络拓扑规划图可以看出整网分为4张网，分别为：外部服务网、内部管理网、运维管理网、安全生产网。外部服务网主要用于内网用户访问互联网和外网用户访问内网业务；内部管理网主要由云计算区和智能化接入区组成；运维管理网主要由各管理平台和运维平台组成，拥有最高权限，对全网进行统一运维和管理；安全生产网主要由车辆运行调度所需的各个系统搭建完成，各系统独立组网[4]。

2 全链路安全运营体系

针对云平台的网络架构与特点，通过覆盖“云、网络、终端、数据、应用”等5个方面的技术监管建设，补短板强弱项，构建安全工作业务化、安全管理常态化、安全处置精准化的全链路安全运营体系[5]。加强网络安全数据共享共用，强化各部门主体责任，深化工作体制融合支撑，全面提升城市轨道交通网络安全的监测响应处置管理能力。通过构建城市轨道交通全链路网络安全运营平台，梳理安全数据清单，清晰安全管理业务流程，实现城市轨道交通网络安全问题发现、通报、整改的及时性、有效性，进一步压实各部门的主体管理职责。

从全链路安全运营的角度来看，整体体系应从网络安全架构、数据安全体系、应用安全态势、云端安全能力、终端安全感知这5个方面进行探索与建设[6]。

2.1 网络安全架构研究

城轨云网络架构为线网中心云平台+车站2级架构，通过数据中心网络、骨干传输网络等进行数据互通的方式进行部署。数据中心采用标准的云计算扁平组网架构，并且划分为业务网、存储网、管理网等多张独立网络，且整体网络架构设计要求具备一定的冗余能力和可扩展性，可以更好地进行弹性调度与伸缩扩展[7]。

2.2 数据安全体系建设

目前数据安全体系建设包括数据分类分级系统、数据脱敏系统、数据透明加密系统、数据防泄漏系统、应用程序接口（API）网关和数据库安全网关系统，并通过数据安全管控平台进行数据安全的统筹管理。

2.3 应用安全态势建设

应用安全态势建设包括资产管理、监测预警、威胁情报、态势分析、安全通报[8]。

资产管理实现对城轨云网络资产底数的全面探测与管控，能够解决以往资产管控存在的大量短板，并能提供完善的资产管理方案。

监测预警可全方位监测发现业务系统的安全风险、安全事件与失陷资产，并提供对数据的分析、验证、审核等服务，保障监测数据的准确有效性。

威胁情报通过多种威胁数据采集手段，实现全天候的威胁情报采集和收录能力，通过机器学习、大数据处理、云沙箱等多种手段生产、萃取高质量与更丰富的情报数据。

态势分析的作用是将城轨云重要信息系统的资产、威胁风险、网络攻击、安全事件、预警处置总体分布情况，通过柱形图、饼图、趋势曲线图以及不断变化的趋势数值进行全区安全态势综合展现[9]。并提供最新相关网络安全新闻、资讯，把握行业最新动向，为城轨云提供国内外安全态势，做好相应分析。

安全通报是根据安全监测、态势感知等模块获取的信息，结合资产管理的相关数据，利用通报处置模块对情报进行分析、判断并做出预警，从而可以及时处置[10]。

2.4 云端安全能力建设

从城轨云安全角度出发，汇聚城轨云端资源信息，实现可视化的云端资源全生命周期信息审查，包括业务系统整体数量、云资源申请数量、创建信息、部署情况、运维操作、性能监控以及销毁释放等，通过全链路安全运营平台即可统一查看[11]。此外，支持业务风险、安全合规等可视化呈现，让云端安全运营管理变得更加简单，充分明晰云端资产安全情况。

2.5 终端安全感知建设

终端安全感知建设分为城轨云终端安全能力建设与互联网终端安全能力建设[12]。终端安全管控能力基于主机安全卫士进行建设，可实现对病毒（如勒索病毒、挖矿病毒等）的查杀、服务器性能监控、服务器外设管理、服务器配置管理、服务器定期巡检等功能。

3 网络安全运营管理体系

3.1 网络安全规划咨询及管理制度

网络安全规划咨询及制定管理制度可以通过组建安全规划小组，并根据城市轨道交通集团网络安全保障体系建设、十四五规划等提供2021年—2025年5年的网络安全规划方案，从而设计合理的项目实施方案和实施流程，协助进行项目推进及落地。内容主要对网络安全战略、技术、管理体系进行规划，并通过规范落实程度、安全指标、安全威胁等级、安全缺失、信息反馈指标、整改处置结果等内容，确定考核评估的权重、分值和制定考核评估后的奖惩机制，将网络安全工作监督管理有效落地，为城市轨道交通集团各级单位网络安全保障工作的闭环持续有效提供规范和依据[13]。

在编制管理制度文件时，按照最新技术标准要求，定期以集团网络安全管理现状、差距以及风险评估等为参照，制定网络安全管理体系框架，明确管理体系方针、政策等，并从城市轨道交通实际业务流程出发，按照相应管理标准，编写相应管理制度文件，并进行持续修订与完善[14]。制定的制度规范可以从信息化建设项目管理、信息系统运行维护管理、官方互联网平台管理细则、数据共享开放管理、网络与信息安全管理、信息化数据管理等角度开展。同时，安全规划小组可以根据需求，针对信息化前沿规划方面的相关安全管理制度体系，提供咨询服务。

3.2 网络安全运营团队、流程及思路

网络安全的根本性对抗者是人[15]。对于组织机构来说，专业安全人员在安全运营管理体系中占据核心地位。合理地进行专业人员的配置，能够保证策略的有效执行、平台的有效使用、产品的合理管理、流程的正常运转。一般来说，针对安全运营团队的要求有2个方面：团队的组织架构与团队能力。

安全运营管理体系的建设不仅要考虑到运营人员的组织分工，还要融合业务发展、适配管理要求，制定和完善统一化、标准化、高效化的运营流程，形成和落实日常安全运营机制，规范安全运营操作环节、步骤、工具和方法，提高安全运营的工作效率，保证运营操作的一致性、服务交付的统一性和服务质量的稳定性。

整体安全运营管理体系覆盖了资产风险、边界防御、威胁检测、应急响应、风险评估、监测预警、合规建设等安全管控界面，通过标准化的安全运营流程（SOP）将组织、流程、技术有机结合，充分利用现有基础安全资源，参考网络安全运营模型的五大核心攻防对抗域，对安全运营业务进行重新设计和编排，持续开展常态化、一体化、专业化的安全运营工作。整体安全运营工作是朝着快速提升和迭代优化攻击防御能力、风险检测能力、威胁分析能力、应急响应能力和业务恢复能力的目标前进，期望能够构建主动、积极、纵深、精准、整体的安全运营管理体系，实现全链路安全运营管理体系闭环，最大限度上将风险降低到可接受的范围。

4 研究成效

4.1 建设安全管控统筹管理、分级处置的架构

本文提出的云平台在组织架构及安全规划上均采用自上而下的设计体系，在管理的维度上，方案的安全运营服务体系将为安全制度和今后的安全规划提供专家级的指导方向和建议；在流程的维度上，研究中的安全管理中心能够提供全域的安全事件整合和感知，结合人工处置服务能够提供闭环的安全事件解决流程；在技术的维度上，针对全网的安全防护和全流程的数据安全治理为分级处置提供解决问题的抓手。

4.2 内网、外网、生产网三网分域管控

本研究通过边界访问控制设备，对城轨云平台的三网进行了边界及内部业务的切割，根据三网的不同业务和安全防护需求分别进行了安全规划，针对性地降低各区域的安全风险，为后期的安全设计规划铺平道路。

4.3 明晰安全技术体系建设思路

结合三网分域管理的安全需求，安全技术体系建设分别从网络和数据方面进行设计，并结合安全运营服务建立统一的安全管理中心，统筹安全管理。网络层面结合外部服务网、内部管理网、安全生产网的现状，面向流量、安全日志、资产脆弱性等基础安全颗粒进行安全设计；数据层面主要面向内部管理网，对于敏感数据的流转集中精力进行安全防护，打造集网络、数据、服务于一体的安全能力[16]。

5 结语

城市轨道交通网络安全体系的建设可实现对城市轨道交通“云、网络、终端、数据、应用”5个维度的数据进行有效的安全监测，实现数据、资产的信息化管理，实现网上一键通报、预警、快速处置，可有效减少传统通信、交通、人力、管理等方面的支出，大幅降低各类资源的消耗，节约社会资源。将行政效能监督、被动式监督转变为进行式、主动式全过程监督，可以有效提高信息利用率和时效性。