李向陽，王 冰，馬曉雅

（1. 中國鐵路信息科技集團有限公司，北京 100844；2. 中鐵信弘遠（北京）軟件科技有限責(zé)任公司，北京 100038）

近年來，我國推進網(wǎng)絡(luò)強國建設(shè)，加快交通傳統(tǒng)基礎(chǔ)設(shè)施的數(shù)字化改造。鐵路作為國民經(jīng)濟大動脈，在經(jīng)濟社會發(fā)展中的地位和作用至關(guān)重要[1]。目前，鐵路網(wǎng)絡(luò)受到的外部攻擊顯著增多，網(wǎng)絡(luò)安全形勢日趨嚴(yán)峻，甚至直接影響運輸安全。因此，筑強鐵路網(wǎng)絡(luò)安全基石，筑牢網(wǎng)絡(luò)安全防線，推進網(wǎng)絡(luò)安全持續(xù)健康發(fā)展極其重要[2]。

本文結(jié)合國家及鐵路行業(yè)關(guān)于網(wǎng)絡(luò)安全的工作要求，從鐵路網(wǎng)絡(luò)安全防護總體要求入手，提出建立鐵路全方位網(wǎng)絡(luò)安全防護策略。

1 鐵路網(wǎng)絡(luò)安全防護總體要求

1.1 嚴(yán)格履行法定責(zé)任義務(wù)

1.1.1 提高網(wǎng)絡(luò)安全責(zé)任意識

鐵路網(wǎng)絡(luò)安全工作堅持“積極利用、科學(xué)發(fā)展、依法管理、確保安全”和“誰主管誰負(fù)責(zé)，誰運營誰負(fù)責(zé)，管業(yè)務(wù)必須管網(wǎng)絡(luò)安全”的原則。在全國鐵路廣泛宣傳國家網(wǎng)絡(luò)安全相關(guān)法律法規(guī)，包括網(wǎng)絡(luò)安全等級保護2.0系列標(biāo)準(zhǔn)（簡稱：等級保護2.0）、《網(wǎng)絡(luò)安全事件調(diào)查處理和定責(zé)考核管理辦法》《關(guān)于進一步規(guī)范鐵路信息化建設(shè)管理工作》等。根據(jù)崗位責(zé)任的不同提供與之對應(yīng)的網(wǎng)絡(luò)安全培訓(xùn)，做到網(wǎng)絡(luò)安全觀念熟稔于心，不斷提升全員網(wǎng)絡(luò)安全意識。

1.1.2 落實等級保護 2.0

等級保護2.0是新時期國家網(wǎng)絡(luò)安全的基本制度和基本國策[3]。鐵路企業(yè)應(yīng)根據(jù)相關(guān)要求，落實《網(wǎng)絡(luò)安全法》[4]要求的“三同步”原則，即同步規(guī)劃、同步建設(shè)、同步使用，有效地落實網(wǎng)絡(luò)安全保護“實戰(zhàn)化、體系化、常態(tài)化”和“動態(tài)防御、主動防御、縱深防御、精準(zhǔn)防護、整體防控、聯(lián)防聯(lián)控”的“三化六防”措施。扎實完成信息系統(tǒng)的定級、備案、安全建設(shè)整改、等級測評和監(jiān)督管理等有關(guān)工作。

1.1.3 強化網(wǎng)絡(luò)安全信息通報工作

以“統(tǒng)一指導(dǎo)、歸口負(fù)責(zé)、分級管理、信息共享、反應(yīng)及時”為原則，建立由上至下、逐級負(fù)責(zé)、聯(lián)動高效的鐵路網(wǎng)絡(luò)安全通報機制，主要架構(gòu)為中國國家鐵路集團有限公司（簡稱：國鐵集團）、鐵路局集團公司、站段三級[5]，實現(xiàn)鐵路系統(tǒng)各單位網(wǎng)絡(luò)與信息安全信息共享。

1.2 全面提升網(wǎng)絡(luò)安全能力

1.2.1 提升監(jiān)測發(fā)現(xiàn)能力

利用安全態(tài)勢感知平臺、入侵防御系統(tǒng)、流量分析系統(tǒng)和新一代防火墻等工具，形成有效的網(wǎng)絡(luò)安全預(yù)警監(jiān)測能力。定期進行網(wǎng)絡(luò)安全風(fēng)險評估、等級測評和安全測試。

1.2.2 提升應(yīng)急處置能力

制定網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案，緊密結(jié)合實際，合理確定內(nèi)容，定期開展應(yīng)急演練，檢驗并完善應(yīng)急預(yù)案，增強應(yīng)急預(yù)案的針對性、實用性和可操作性。與中華人民共和國公安部及國家相關(guān)部門建立網(wǎng)絡(luò)安全突發(fā)事件應(yīng)急處置機制，強化快速響應(yīng)協(xié)調(diào)能力。

2 鐵路網(wǎng)絡(luò)安全防護策略探討

目前，鐵路網(wǎng)絡(luò)安全防護理念由靜態(tài)防護、被動防護轉(zhuǎn)向動態(tài)防御、主動防御，因此構(gòu)建鐵路網(wǎng)絡(luò)安全防護策略對保障鐵路網(wǎng)絡(luò)安全具有重要意義。

2.1 強化互聯(lián)網(wǎng)接入和互聯(lián)網(wǎng)應(yīng)用管理

2.1.1 強化互聯(lián)網(wǎng)出入口管理

鐵路外部服務(wù)網(wǎng)是鐵路系統(tǒng)唯一能夠與互聯(lián)網(wǎng)連接的網(wǎng)絡(luò)。鐵路外部服務(wù)網(wǎng)與互聯(lián)網(wǎng)的出入口僅部署在國鐵集團和鐵路局集團公司本級[6]，即“1+18”模式，除此之外的任何互聯(lián)網(wǎng)出入口均為非法連接，必須嚴(yán)格禁止。

2.1.2 強化互聯(lián)網(wǎng)網(wǎng)站備案和集中防護

按照鐵路互聯(lián)網(wǎng)網(wǎng)站備案流程要求對互聯(lián)網(wǎng)網(wǎng)站進行備案管理，及時更新既有網(wǎng)站備案信息。對“不必要、不規(guī)范、不安全”的網(wǎng)站要及時關(guān)停，并做好后續(xù)數(shù)據(jù)處理工作，實現(xiàn)集中管理、防護和監(jiān)測。

2.1.3 強化終端防護

加強管理措施的落實和深化宣傳教育，嚴(yán)禁終端設(shè)備的“一機兩網(wǎng)”；終端設(shè)備應(yīng)安裝病毒防護軟件，及時更新病毒庫和操作系統(tǒng)補??；部署安全防護系統(tǒng)，做好終端準(zhǔn)入控制工作；嚴(yán)禁隨意設(shè)置無線路由設(shè)備為移動終端提供入網(wǎng)服務(wù)。

2.1.4 強化信息化資產(chǎn)管理

定期梳理信息化資產(chǎn)，落實資產(chǎn)屬性，摸清硬件、軟件、中間件及應(yīng)用系統(tǒng)情況；建立動態(tài)資產(chǎn)臺賬，掌握資產(chǎn)分布與歸屬情況，對下線過期資產(chǎn)、僵尸設(shè)備和賬戶進行清理，防止類似死角被攻擊者利用造成損失。

2.1.5 強化移動應(yīng)用端管理

從版本控制、發(fā)布渠道、代碼安全和進程安全等方面加強移動應(yīng)用端管理。

（1）在客戶端程序上線前對其進行簽名，保證發(fā)布渠道的真實性。

（2）在程序啟動和更新時進行真實性和完整性校驗，防范程序被篡改或替換。

（3）對客戶端程序增加加殼、混淆等措施，加強抗逆向分析、對抗反匯編等防護能力，防范攻擊者對客戶端程序進行調(diào)試、分析和篡改。

（4）使用互聯(lián)網(wǎng)企業(yè)提供服務(wù)且與鐵路信息系統(tǒng)有數(shù)據(jù)交互的移動應(yīng)用，在鐵路移動應(yīng)用接入平臺進行集中管理和統(tǒng)一發(fā)布，嚴(yán)禁將敏感數(shù)據(jù)傳送至移動應(yīng)用端所屬互聯(lián)網(wǎng)企業(yè)。

2.2 強化網(wǎng)絡(luò)安全縱深防御

2.2.1 強化分區(qū)分域管控

目前，鐵路網(wǎng)絡(luò)安全體系初步形成外部服務(wù)網(wǎng)、內(nèi)部服務(wù)網(wǎng)和安全生產(chǎn)網(wǎng)為層次的縱深防御體系，為確保各系統(tǒng)根據(jù)服務(wù)功能，在相應(yīng)的安全區(qū)域內(nèi)合理部署[7]。

2.2.1.1 外部服務(wù)網(wǎng)

（1）外部服務(wù)網(wǎng)由互聯(lián)網(wǎng)接入?yún)^(qū)、廣域網(wǎng)接入?yún)^(qū)、應(yīng)用服務(wù)區(qū)、專線接入?yún)^(qū)、終端接入?yún)^(qū)和運維管理區(qū)構(gòu)組成。各區(qū)域訪問控制，如表1所示。

表1 外部服務(wù)網(wǎng)各區(qū)域間訪問控制

（2）互聯(lián)網(wǎng)接入?yún)^(qū)是鐵路外部服務(wù)網(wǎng)與互聯(lián)網(wǎng)物理連接的唯一區(qū)域。在實現(xiàn)互聯(lián)網(wǎng)接入多鏈路負(fù)載均衡時，各鏈路的安全策略要保持一致。辦公類與生產(chǎn)類的互聯(lián)網(wǎng)出口通道要相互分離、相互獨立，并采用相匹配的安全防護手段與互聯(lián)網(wǎng)連接。

（3）應(yīng)用服務(wù)區(qū)獨立設(shè)置開發(fā)測試區(qū)域、前置區(qū)域、數(shù)據(jù)庫區(qū)域、公共服務(wù)區(qū)域和外部用戶區(qū)域等。根據(jù)各區(qū)域的功能特性設(shè)定訪問策略，遵循訪問策略遵循最小化原則。應(yīng)用服務(wù)區(qū)訪問控制，如表2所示。

表2 外部服務(wù)網(wǎng)應(yīng)用服務(wù)區(qū)訪問控制

2.2.1.2 內(nèi)部服務(wù)網(wǎng)、安全生產(chǎn)網(wǎng)

內(nèi)部服務(wù)網(wǎng)、安全生產(chǎn)網(wǎng)由應(yīng)用服務(wù)區(qū)、運維管理區(qū)、廣域網(wǎng)接入?yún)^(qū)、專線接入?yún)^(qū)、終端接入?yún)^(qū)組成。各區(qū)域間訪問控制，如表3所示。

表3 內(nèi)部服務(wù)網(wǎng)、安全生產(chǎn)網(wǎng)各區(qū)域間訪問控制

內(nèi)部服務(wù)網(wǎng)、安全生產(chǎn)網(wǎng)應(yīng)用服務(wù)區(qū)的訪問控制，如表4所示。

表4 內(nèi)部服務(wù)網(wǎng)、安全生產(chǎn)網(wǎng)應(yīng)用服務(wù)區(qū)訪問控制

2.2.2 強化訪問控制策略管理

（1）網(wǎng)絡(luò)區(qū)域的訪問控制主要是在分區(qū)域的基礎(chǔ)上強化邊界防護的策略，如2.2.1節(jié)所述。

（2）操作系統(tǒng)的訪問控制是建立在身份識別基礎(chǔ)上，根據(jù)權(quán)限對系統(tǒng)本身進行的防護。對于服務(wù)器端，對系統(tǒng)用戶進行唯一身份標(biāo)識和鑒別，并授予其所需的最小訪問權(quán)限；對于用戶端，杜絕用戶弱口令和口令長期不更新[8]。

（3）應(yīng)用的訪問控制是在應(yīng)用系統(tǒng)的等級保護定級基礎(chǔ)上，按照等級保護2.0對應(yīng)的要求進行。在應(yīng)用設(shè)計時，根據(jù)等級保護2.0設(shè)計身份鑒別方式和口令復(fù)雜度；在應(yīng)用運維時，做到各類用戶信息及其權(quán)限的全生命周期管理。

2.2.3 強化主機防護

（1）主機防護應(yīng)實現(xiàn)主機內(nèi)核加固、文件保護、登錄防護、防端口掃描、服務(wù)器漏洞修復(fù)、系統(tǒng)資源監(jiān)控、網(wǎng)絡(luò)訪問控制等防護功能。

（2）需進行資產(chǎn)清查、關(guān)停廢舊設(shè)備、分區(qū)域合理部署并進行訪問控制、按照基線標(biāo)準(zhǔn)進行配置管理。

2.2.4 強化數(shù)據(jù)庫防護

數(shù)據(jù)庫防護關(guān)鍵點是確保數(shù)據(jù)不被非法訪問、篡改、盜取和破壞。通過數(shù)據(jù)表、字段、字段值、字段關(guān)系4個維度的分級、分類和不同角色擁有不同數(shù)據(jù)訪問權(quán)限，建立數(shù)據(jù)使用的授權(quán)鑒權(quán)機制。重要數(shù)據(jù)和敏感數(shù)據(jù)需進行加密存儲或脫敏處理[9]，對已知的數(shù)據(jù)庫漏洞及時做補丁升級。

2.2.5 強化 Web 應(yīng)用防護

Web應(yīng)用防護需根據(jù)業(yè)務(wù)類型部署應(yīng)用層安全防護，如Web應(yīng)用防火墻等，通過配置防護策略對SQL 注入、跨站腳本攻擊（XSS，Cross Site Script Attack）跨站、Webshell上傳、后門隔離保護、命令注入、非法HTTP協(xié)議請求、Web服務(wù)器漏洞攻擊、核心文件非授權(quán)訪問、路徑穿越、掃描防護等進行安全防護。

2.2.6 強化郵件服務(wù)器管控

在郵件系統(tǒng)前端增加郵件安全網(wǎng)關(guān)等設(shè)備，及時發(fā)現(xiàn)釣魚郵件、惡意郵件，采用HTTPS協(xié)議確保郵件數(shù)據(jù)傳輸安全，采用數(shù)字證書技術(shù)對重要郵件進行加密和簽名，要求用戶提高郵件登錄口令強度。

2.3 強化網(wǎng)絡(luò)安全主動防御

2.3.1 強化態(tài)勢感知

利用鐵路安全態(tài)勢感知平臺進行全路網(wǎng)絡(luò)安全情況態(tài)勢感知和分析，對安全事件進行通報預(yù)警、追蹤溯源和快速處置，進行應(yīng)用系統(tǒng)的監(jiān)督管理和等級保護管理，收集安全情報信息等，同時也可與國家主管部門進行數(shù)據(jù)交換，更全面地把握全國鐵路網(wǎng)絡(luò)安全情況。

2.3.2 強化聯(lián)動處置

對抗網(wǎng)絡(luò)攻擊需要多點聯(lián)動，深入分析定位攻擊屬性，在發(fā)現(xiàn)持續(xù)、有組織的網(wǎng)絡(luò)攻擊時，及時向國鐵集團匯報，再會同公安機關(guān)聯(lián)動處置。聯(lián)動處置不應(yīng)只解決單點問題，還應(yīng)該阻斷單點攻擊后進行溯源分析，做到處置徹底。涉及內(nèi)網(wǎng)的安全事件處理時，除國鐵集團、鐵路局集團公司上下聯(lián)動外，還應(yīng)加強鐵路局集團公司間橫向聯(lián)動，形成聯(lián)防聯(lián)守格局，為攻擊溯源，徹底處置提供必要條件。

2.3.3 強化漏洞修復(fù)

做好網(wǎng)絡(luò)和信息系統(tǒng)漏洞巡檢和補丁修復(fù)工作[10]，并對修復(fù)情況定時回查，特別是重大安全漏洞，發(fā)現(xiàn)問題及時通報，督促整改。零日漏洞具有出現(xiàn)時間段不定、缺少技術(shù)細節(jié)、難以防范及修復(fù)的特點，可以采用“黑白名單”策略，基于對應(yīng)用系統(tǒng)路徑架構(gòu)的有效管理，對正常服務(wù)的路徑進行加白；基于對攻擊載荷的分析，將攻擊路徑加黑。各單位對漏洞的分析和驗證能力目前還不夠高，所以對已知的漏洞要提高修復(fù)效率，各類設(shè)備不留遺漏，避免造成安全事件。

3 結(jié)束語

經(jīng)過多年經(jīng)驗積累，結(jié)合新技術(shù)與新的網(wǎng)絡(luò)安全形勢，鐵路網(wǎng)絡(luò)安全防護體系進入了全新的升級階段，從被動防護逐漸向主動防御轉(zhuǎn)變，單點防守逐漸向全網(wǎng)聯(lián)動轉(zhuǎn)變。但網(wǎng)絡(luò)防護是一個持續(xù)性的長久過程，也是一項需要統(tǒng)籌策劃、各部門密切協(xié)作配合的系統(tǒng)性、綜合性工程。要樹立正確的網(wǎng)絡(luò)安全觀，緊跟網(wǎng)絡(luò)安全技術(shù)發(fā)展趨勢，落實管理、壓實責(zé)任、加強技術(shù)、聯(lián)防聯(lián)控，全面提升鐵路網(wǎng)絡(luò)安全保障能力。