铁路领域重要信息系统安全保障的创新与实践

铁路领域重要信息系统安全保障的
创新与实践
施卫忠
（中国国家铁路集团有限公司信息技术中心，北京100844）
摘要：铁路领域重要信息系统安全保障工程是铁路领域有史以来最大的网络安全建设工程，建设范围包括铁路综合信息网、列车调度指挥专网、客票专网、旅服网和资金专网等5个网络系统，涵盖中国国家铁路集团有限公司（简称国铁集团）、铁路局集团公司（简称铁路局）、站段3个层级企业，涉及铁路行业所有单位和部门。

首次搭建铁路网络安全态势感知平台，构建铁路集中安全管理平台，形成与国家网络安全平台对接、对铁路行业内部网络安全事件一体化的管理平台。

对国家相关行业网络安全工程建设，实现数据安全和数据自保等具有示范作用。

关键词：重要信息系统；网络安全；态势感知；集中安全管理；网站群
中图分类号：U298；TP391文献标识码：A文章编号：1001-683X（2020）04-0002-05 DOI：10.19549/j.issn.1001-683x.2020.04.002
当前，网络信息安全已提升到网络空间主权和国家安全的高度，陆、海、空、天（网络）已引领国际社会新变革，创造人类生活新空间。

网络安全和信息化已成为网络强国的一体之两翼、驱动之双轮。

随着铁路信息化应用面向互联网开放，来自境内外黑客的渗透、攻击，以及日益猖獗的网络违法犯罪活动，给铁路领域带来了日趋严峻的网络安全挑战。

面对复杂的网络安全形势，加强铁路网络安全管理、强化铁路网络安全保障，对铁路领域重要信息系统安全保障建设进行探索，具有重要意义。

阐述铁路领域重要信息系统安全保障建设的主要内容、关键技术和创新，并对我国铁路领域网络安全管理进行展望。

1主要建设内容
1.1网络安全技术架构
铁路领域重要信息系统安全保障建设范围包括5网3级。

5网为铁路综合信息网、列车调度指挥专网、客票专网、旅服网和资金专网；3级为国铁集团级、铁路局级、站段级，共涉及中国国家铁路集团有限公司（简称国铁集团）、18个铁路局集团公司、专业运输公司等全路各单位，共5000多个基层站段［1］。

以铁路网络安全总体架构为基础，在现有铁路网络安全建设基础上，以建设网络安全态势感知平台为核心，优化完善和补齐现有的安全防护技术手段，强化网络安全管理、应急处置等机制，逐步形成综合防御体系。

具体包含5个安全支撑平台、5个技术保障系统、1个管理保障体系［2］（见图1）。

作者简介：施卫忠（1963—），男，正高级工程师。

E-mail：
整合铁路领域在信息化发展过程中，各个属地随业务应用系统分散建设，覆盖不全面的电子认证CA系统；统一货运、客运业务单独部署的CA系统，彻底改变无序纷乱的铁路电子认证服务，统一规划、有机整合，将独立、零散的各地电子认证服务单元整合形成统一的认证体系，规范统一的认证标准。

1.2.2建立多方位海量数据下的集中安全管理平台
为应对传统网络和海量数据带来的多源异构数据采集、海量数据存储与分析、安全指标集中展现等多种挑战，以资产为核心、情报为驱动，打造一个集数据采集、情报预警、集中运维为一体的集中安全管理平台，对IT资产情况进行监控和警告，协助用户进行网络安全威胁的统一管理。

1.2.3建立风险可视化的网络安全态势感知平台
针对铁路领域综合信息网、铁路客票专网、列车调度指挥专网中承载的关键公众服务平台、列车调度指挥、客票发售、安全运输生产等业务系统，结合安全威胁分析，利用云计算、大数据技术建设网络安全态势感知平台［3］，从原有以防护为核心的模型，转向1.2.4建设企业级互联网网站群安全部署平台
按照属地化管理原则，建设统一标准、安全规范的铁路局集团公司互联网网站群安全部署平台。

将原有分散部署的中小规模互联网网站（应用）迁移至新建网站群安全部署平台。

1.2.5构建完善移动应用安全接入平台
为了应对移动应用数量不断增多、移动安全技术手段功能单一、移动应用安全重复建设、管理难度大的问题，建设移动应用安全接入平台，作为公共基础设施，满足应用系统及业务人员需要，以保证移动智能终端接入的安全性为目标，保障企业的网络安全、数据安全和终端安全。

1.3技术保障系统建设
1.3.1构建立体化终端安全防护体系
以国家信息安全相关标准、规范为依据，以实现计算机环境安全防护平台中的终端安全管理为基础，以制定计算机终端安全配置策略为核心，以安全易用为导向，兼顾终端防护系统高可用性，建立涵盖铁路综合信息网、列车调度指挥专网中的计算机终端安全防护系统，实现
管理保障体系技术保障系统
安全支撑平台
移动应用安全接入平台
网站群安全部署平台
安全态势感知平台
集中安全管理平台
电子认证服务平台
通信网络
安全防护
系统
区域边界
安全防护
系统
计算环境
安全防护
平台
基于大数据的铁路
客运售票业务风险
防控系统
面向云计算环
境的应用安全
保障系统
健全安全
管理保障体系
铁路领域重要信息系统安全保障的创新与实践施卫忠
终端网络安全准入控制、安全状态监控、安全审计等功
能，最终形成多层次、立体化的终端安全防护体系。

1.3.2构建含互联网、内外网、不同安全域边界间安全
防护体系
通过构建纵深边界防护体系、网站群安全防护及
移动接入安全体系实现互联网边界安全防护；构建数
据安全交换平台，结合安全隔离体系、安全防御体系、
业务数据安全交换体系，实现数据综合网、客票网、TDCS/CTC网、旅服网、资金专网等安全域边界安全防护及其之间的数据可控交换和风险隔离。

1.3.3研究基于大数据的铁路客运售票业务风险防控
系统
通过对铁路客运售票系统各类源数据的采集、存储、
汇总建模及快速检索，在形成通用型数据分析系统的基
础上，对采集的海量数据进行关联分析，实现海量数据
的快速分类、查询检索、统计呈现、异常行为预警，为
人工排查应用访问行为异常提供有效手段，并通过与态
势感知系统形成联动，提供安全状态的统一展现及分析。

1.3.4研究通信网络安全防护系统
通过对通信信息进行加密处理、用户身份认证、设
置权限等方法来预防和制止网络通信的安全问题。

通信
网络安全由密码支撑系统、通信网络安全服务平台和加
密设备构成［4］，目的是为网络使用人员提供经过加密的
传输通道，使用户可以安全地在网络上进行信息共享。

1.3.5研究面向云计算环境的应用安全保障系统
随着铁路行业网络规模的持续增长，移动互联网、
云计算、大数据等新技术对网络安全提出新挑战［5］。

通
过网络功能虚拟化、流量调度等技术，研发虚拟网络安
全防护系统，包括虚拟环境内部的入侵检测、访问控制、Web安全防护等；通过安全资源池化管理、安全策略一致性、标准化平台接口、虚拟安全设备智能部署等安全资源统一管理技术，部署基于安全资源池的云虚拟环境管理平台，实现安全策略、虚拟安全资源的统一管理。

1.4完善网络安全管理保障系统
网络安全管理保障系统从制度规范、组织保障、人
才培养3个维度［6］，对既有管理文件进行必要的取舍和
增补，在部分建设和试点基础上，结合发现的网络安全
管理保障体系应用范围不全面等问题，对铁路网络安全防护能力进行完善，扩展安全管理、技术保护、安全审查、责任认定、应急处置和隐私保护等安全措施，逐步将铁路领域现有“无序、零散、被动”的风险补救式网络安全管理模式，转变为“系统、连贯、主动”的网络安全管理模式，进一步健全体系，保障铁路信息网络及业务应用系统的安全、稳定、可靠运行［7］。

2关键技术
作为铁路领域有史以来最大的网络安全建设工程，涉及铁路领域所有单位和部门，涵盖了所有工种和岗位，对全路55万台（套）终端进行管控，对全路所有互联网出口进行监控，对铁路内网的重要节点进行数据采集、汇总、分析，第1次建立了全路上下联动、协同处理的集中安全管理平台和对铁路网络安全状态进行研判的态势感知平台，形成和国家网络安全平台对接，对铁路内部网络安全事件一体化管理的网络安全管理平台。

2.1新技术应用
通过对新技术新产品防护手段的研究和部署，将大力推进云计算［8］、大数据和移动设备［9］在铁路行业的应用，改变铁路应用的部署模式，提高计算资源的支持和运用能力。

2.2适应等保2.0要求
网络安全技术架构设计中，充分考虑了等级保护2.0［10］的要求，结合大数据、云计算、移动平台等扩展要求，完善补强了铁路网络安全架构短板，提升了铁路网络安全架构的完整性。

2.3搭建铁路首个态势感知平台
首次提出了在铁路领域搭建网络安全态势感知平台，将传统的被动式防御变为主动式防御，实现铁路领域全网态势的展现。

2.4架构紧密结合客运售票新模式
网络安全技术架构从业务防控角度解决了铁路售票系统的安全，有效实现对售票系统的风控，确保购票过程的公平公正。

2.5多个系统之间的网络安全数据实现整合
工程虽然涉及不同系统，但整体目标一致、方案技术统一，通过安全数据平台将各个系统有效结合，全部
铁路领域重要信息系统安全保障的创新与实践施卫忠
业务形成闭环。

从基础防护手段，到扩展防护策略；从底层安全设施，到上层态势感知；从通用防护功能，到针对具体业务的风险防控，建立铁路领域一体化的网络安全防护架构，为今后铁路网络安全发展奠定基础。

2.6重点系统的数据安全得到有效保护
网络安全的根本是数据安全，即数据安全才是网络安全的重中之重。

数据在，价值在，服务在。

数据安全与数据泄露共存，研究使用核心技术，让数据能够实现自保。

2.7后量子安全密钥管理技术实现天然免疫
网络安全中，对固有数据实现天然免疫、自身免疫，抵御已知和未知的外来恶意攻击，不怕漏洞和后门，防勒索、破坏和泄露，放弃网络系统的纠缠，开创数据保护的先河，以数据为核心，控制所有访问数据的进程。

3难点及创新
铁路领域重要信息系统安全保障分4部分开展建设，分别是：TDCS/CTC网安全、客运售票业务风险防控和终端安全、铁路桌面终端安全、铁路综合信息网安全集成。

每个部分又分为2个建设阶段，即先试点再推广。

在试点过程中，建设团队克服重重困难，解决以下难题。

3.1实现新技术与原系统技术架构结合
有些功能是在原系统基础上进行补充完善，例如TDCS/CTC网安全补强、铁路综合信息网中的部分建设内容，均要遵循原有技术架构，进行网络安全补强，同时也会采用当前渐趋成熟的云计算、大数据等技术。

在试点过程中，需要将新技术与原技术架构进行验证，在满足原技术架构基础上，实现新技术功能提升。

3.2满足系统功能和业务变化之间适配
在工程建设过程中，不可避免地出现业务功能改变，例如客运售票业务风险防控，在系统建设过程中，遇到了2020年的新冠病毒疫情事件。

在此过程中，铁路客运售票过程进行了紧急调整，随之改变的是业务风险防控计算模型。

在试点过程中，建设团队克服困难、积极应对，搭建灵活的模型定义模块，有效应对变化。

3.3扩充终端管理系统实现不同操作系统之间兼容
在工程实施中，首次对铁路55万台（套）终端进行统一平台管控。

由于铁路信息化建设历程长，55万台（套）终端的类型千差万别，有的专用生产终端还是Windows XP系统，设备配置较低，终端管理系统需要对所有终端实现病毒检测、补丁下发、违规外链检测等多项功能。

在试点过程中，建设团队和铁路局集团公司技术队伍相互配合，对各类终端进行现场验证，发现一个典型，即在其他铁路局试点时进行验证，积累丰富的现场经验，奠定全路推广的基础。

3.4建立不同系统之间安全数据统一规则
工程最终目标是要实现各系统安全数据的统一采集、分析、研判、处理。

为了实现这个目标，需要各系统将自身产生的安全数据汇总到统一平台中，并按照平台要求进行规范化，统一平台在接收到相关数据后，进行汇总、综合分析，形成研判结果提供给业务人员进行处理。

在试点过程中，建设团队已经完成主要节点数据集采和汇总功能，随着工程的推进，将汇总更多数据并应用。

3.5创新高效的组织协调工作机制
工程实施的关键是组织协调。

工程涉及面广、内容多，需要铁路行业各个单位共同努力，紧密配合，才能高效推进工程。

工程指挥部每周召开工作例会、建立专项交流群组、设立问题库，发现问题及时解决，将工程实施经验进行汇总分享。

截至2020年3月底，4个部分的试点工作均已完成，实现既定目标，取得了成效。

终端安全功能不仅完成了试点，全路终端安全功能安装量已完成了90%，正在验证防护策略。

4我国铁路领域网络安全展望
铁路网络安全已成为铁路领域安全生产的重要组成部分，为应对目前严峻的安全形势，优化完善铁路领域现有的网络安全防护手段，设立铁路网络安全总监，在铁路领域推进网络安全法实施。

网络安全永远是攻与防的关系，尽管铁路领域实施了有史以来最大的网络安全工程，但一个工程不可能解决所有网络安全问题。

网络安全是动态、持续改进的。

工程实施过
铁路领域重要信息系统安全保障的创新与实践施卫忠
程中，为适应业务系统安全需求，完善网络安全架构体系、建设全路网络安全平台、建成全路移动数据传输统一平台（MTUP）、建成移动应用安全接入平台。

信息中心所属企业创新研制系列隔离产品，先后研发出我国第一台桌面单向导入设备、第一台网间单向光闸、第一且唯一的双网隔离终端单向摆渡系统、单向运维栅栏系统等系列产品，为解决技术安全、管理安全做了有益尝试。

网络主权意识模糊、铁路领域网络安全管理理念和理论研究不够、法律体系不完善、网络安全缺乏公信力，从而影响网络信息安全；网络安全产品关键设备安全认证和检测不到位、网络管控办法技术落后及人才短缺，制约着铁路领域网络安全事业发展，这些是将来要逐项解决的难题。

通过工程项目实施，带动铁路领域网络安全迈上新台阶是不容置疑的事实。

参考文献
［1］中国铁路总公司.铁路信息化总体规划：铁总信息〔2017〕152号［A］.北京，2017.
［2］高春霞.铁路信息安全保障体系研究［J］.中国铁路，2015（3）：37-41
［3］郭启全.网络安全法与网络安全等级保护培训教
程（2018版）［M］.北京：电子工业出版社，2018.［4］刘建伟，王育民.网络安全——技术与实践［M］.
3版.北京：清华大学出版社，2017.
［5］斯托林斯.网络安全基础：应用与标准［M］.北京：清华大学出版社，2014.
［6］公安部.网络安全等级保护条例（征求意见稿）［EB/OL］.（2018-6-27）［2020-03-02］.http：//www. /webdev/web/HomeWebAction.do？p=getG⁃zjb&id=8a818256641b29b90164409250320021.［7］中国铁路总公司.网络安全管理办法：铁总运〔2015〕340号［A］.北京，2015.
［8］中华人民共和国公安部.信息安全技术网络安全等级保护基本要求：第2部分：云计算安全扩展要
求：GA/T1390.2—2017［S］.北京：中国标准出版
社，2017.
［9］中华人民共和国公安部.信息安全技术网络安全等级保护基本要求：第3部分：移动互联安全扩展要
求：GA/T1390.3—2017［S］.北京：中国标准出版
社，2017.
［10］国家市场监督管理总局.信息安全技术信息系统安全等级保护基本要求：GB/T22239—2008［S］.
北京：中国标准出版社，2008.
责任编辑翟立飒
收稿日期2020-03-18
SHI Weizhong
(Information Technology Center,China State Railway Group Co Ltd,Beijing100844,China) Abstract:The network security guarantee project for key railway information systems is the largest railway network safety project in the railway history,which involves five network systems,including the railway comprehensive information network,dedicates train operation&control network,dedicated ticketing network, dedicated travel service network and dedicated capital network,covering three management levels top down from China State Railway Group Co Ltd,CR local group corporations to stations&depots,i.e.all railway units and departments.The railway network security situation awareness platform and integrated railway security management platform connected with the national network security platform are built for the first time to realize integrated management on railway information network security incidents,which also provide references for other industries for their data safety and network protection work.
Keywords:key railway information system;network security;situation awareness;centralized safety management; websitegroups。