吳 翔

（南昌鐵路公安局 網(wǎng)絡(luò)安全保衛(wèi)處，南昌 330002）

2016 年，原中國鐵路總公司按照國家有關(guān)部門認(rèn)定要求，確定了鐵路關(guān)鍵信息基礎(chǔ)設(shè)施范圍，鐵路客票發(fā)售和預(yù)定等鐵路信息系統(tǒng)被列入鐵路關(guān)鍵信息基礎(chǔ)設(shè)施目錄，成為國家網(wǎng)絡(luò)安全工作的重要保護(hù)目標(biāo)。2021 年9 月1 日，國務(wù)院頒布的《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》（簡稱：《條例》）正式實施以來，鐵路公安機(jī)關(guān)網(wǎng)絡(luò)安全管理部門依據(jù)《條例》和《信息安全技術(shù) 關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)要求》（GB/T 39204-2022）技術(shù)標(biāo)準(zhǔn)[1]，在鐵路網(wǎng)絡(luò)安全主管部門的配合下，對鐵路關(guān)鍵信息基礎(chǔ)設(shè)施開展了多次調(diào)研和技術(shù)研究，在網(wǎng)絡(luò)安全、數(shù)據(jù)安全、供應(yīng)鏈安全等方面均發(fā)現(xiàn)了一些安全漏洞。為加強(qiáng)鐵路關(guān)鍵信息基礎(chǔ)設(shè)施安全管理，本文對鐵路關(guān)鍵信息基礎(chǔ)設(shè)施存在的風(fēng)險隱患進(jìn)行了梳理匯總，并結(jié)合鐵路企業(yè)網(wǎng)絡(luò)安全保護(hù)工作現(xiàn)狀與實際，提出了5 個維度的網(wǎng)絡(luò)安全保護(hù)措施。

1 鐵路關(guān)鍵信息基礎(chǔ)設(shè)施面臨的風(fēng)險分析

近年來，隨著國際形勢的演變，我國關(guān)鍵信息基礎(chǔ)設(shè)施面臨的風(fēng)險也日益嚴(yán)峻：有政府背景的攻擊組織以我國關(guān)鍵信息基礎(chǔ)設(shè)施為主要攻擊目標(biāo)，使用武器級病毒大肆攻擊破壞；網(wǎng)絡(luò)犯罪的對象逐漸向關(guān)鍵信息基礎(chǔ)設(shè)施、政府組織延伸[2]。雖然鐵路關(guān)鍵信息基礎(chǔ)設(shè)施絕大多數(shù)部署在鐵路內(nèi)部服務(wù)網(wǎng)，但從中國國家鐵路集團(tuán)有限公司（簡稱：國鐵集團(tuán)）歷次“護(hù)網(wǎng)”演習(xí)及公安部網(wǎng)絡(luò)安全專項行動的結(jié)果來看，安全形勢依然不容樂觀，其風(fēng)險主要有以下方面。

1.1 網(wǎng)絡(luò)攻擊風(fēng)險

網(wǎng)絡(luò)攻擊風(fēng)險是指網(wǎng)絡(luò)系統(tǒng)或網(wǎng)絡(luò)設(shè)備面臨可能被攻擊、破壞、入侵或阻斷服務(wù)的風(fēng)險。由于鐵路關(guān)鍵信息基礎(chǔ)設(shè)施具有多業(yè)務(wù)系統(tǒng)協(xié)同性、大區(qū)域聯(lián)動性等特點，一旦鐵路關(guān)鍵信息基礎(chǔ)設(shè)施遭受網(wǎng)絡(luò)攻擊，不僅會對信息系統(tǒng)造成嚴(yán)重影響，甚至有可能引發(fā)連鎖反應(yīng)，造成大面積調(diào)度指揮癱瘓、行車中斷等重大事故。網(wǎng)絡(luò)攻擊主要包括以下幾類。

1.1.1 高級長期威脅滲透攻擊

高 級 長 期 威 脅（APT，Adavanced Persistent Threat）是指針對明確目標(biāo)進(jìn)行持續(xù)、復(fù)雜的網(wǎng)絡(luò)攻擊，是近年來境外機(jī)構(gòu)和黑客組織常用的網(wǎng)絡(luò)攻擊手段。攻擊目標(biāo)多為我國重要敏感單位的網(wǎng)絡(luò)資產(chǎn)，包括服務(wù)器、網(wǎng)絡(luò)設(shè)備、移動智能終端、工業(yè)控制系統(tǒng)、物聯(lián)網(wǎng)設(shè)備及電子郵箱等[3]。其攻擊方法為復(fù)合式，集合了SSH（Secure Shell）暴力破解、釣魚郵件、結(jié)構(gòu)化查詢語言（SQL，Structured Query Language）注入、超文本預(yù)處理器（PHP，Hypertext Preprocessor）代碼執(zhí)行漏洞等多種手段，危害性極大。鐵路信息系統(tǒng)同樣面臨著APT 攻擊的威脅。

1.1.2 惡意軟件攻擊

惡意軟件攻擊，以互聯(lián)網(wǎng)郵箱、U 盤、移動硬盤、操作系統(tǒng)鏡像為載體，通過傳播病毒、植入木馬、入侵惡意軟件等方式對鐵路信息系統(tǒng)實施破壞。由于此類攻擊采用的是間接方式，很容易繞過鐵路外部服務(wù)網(wǎng)防火墻和監(jiān)測系統(tǒng)，對鐵路關(guān)鍵信息基礎(chǔ)設(shè)施進(jìn)行攻擊[4]。

1.1.3 邊界穿透攻擊

邊界穿透攻擊，以鐵路企業(yè)部署在外部服務(wù)網(wǎng)的服務(wù)器、網(wǎng)絡(luò)防火墻、物聯(lián)網(wǎng)終端、電腦終端為目標(biāo)，通過網(wǎng)絡(luò)安全設(shè)備“零日漏洞”或是聯(lián)網(wǎng)設(shè)備一機(jī)兩網(wǎng)，使惡意程序突破邊界進(jìn)入鐵路內(nèi)部服務(wù)網(wǎng)，一旦進(jìn)入，將對鐵路關(guān)鍵信息基礎(chǔ)設(shè)施造成巨大威脅。

1.1.4 DDoS 攻擊

分布式拒絕服務(wù)（DDoS，Distributed Denial of Service）攻擊，是以異常流量搶占鐵路服務(wù)資源，阻斷正常訪問。主要攻擊目標(biāo)為鐵路部署在外部服務(wù)網(wǎng)的關(guān)鍵信息基礎(chǔ)設(shè)施，如鐵路12306 互聯(lián)網(wǎng)售票系統(tǒng)、電子支付平臺等。

1.2 數(shù)據(jù)安全風(fēng)險

對于鐵路關(guān)鍵信息基礎(chǔ)設(shè)施生成和存儲的敏感數(shù)據(jù)，如果未經(jīng)保護(hù)，很可能會被黑客盜取或被內(nèi)部人員泄露，從而對鐵路安全和旅客個人隱私造成損害，其風(fēng)險隱患主要有以下幾方面。

1.2.1 鐵路業(yè)務(wù)數(shù)據(jù)泄露風(fēng)險

鐵路業(yè)務(wù)數(shù)據(jù)一直是境外機(jī)構(gòu)、黑客組織重點關(guān)注的目標(biāo)，其泄露途徑主要包括網(wǎng)絡(luò)竊取、數(shù)據(jù)偵聽、木馬植入、收買內(nèi)部人員或者與鐵路合作的公司等。此外，鐵路職工通過即時通信工具傳輸鐵路內(nèi)部文件、數(shù)據(jù)資料，也對鐵路數(shù)據(jù)安全造成了較大安全風(fēng)險。

1.2.2 數(shù)據(jù)庫安全風(fēng)險

根據(jù)開放式Web 應(yīng)用程序安全項目（OWASP，Open Web Application Security Project）公布的安全漏洞公告，數(shù)據(jù)庫存在的安全漏洞主要包括：SQL 注入、未按照三權(quán)分立原則進(jìn)行權(quán)限分離、權(quán)限提升、數(shù)據(jù)庫軟件漏洞、審計記錄缺失、未采用可信驗證技術(shù)、開放高危端口等[5]。雖然鐵路關(guān)鍵信息基礎(chǔ)設(shè)施大多已在物理層、網(wǎng)絡(luò)層、應(yīng)用層設(shè)置了多重安全防護(hù)，但由于使用了許多國外研發(fā)的數(shù)據(jù)庫產(chǎn)品，如Oracle、Sybase 等，可能存在系統(tǒng)級后門風(fēng)險，在特殊時期易被控制或破壞。

1.3 供應(yīng)鏈風(fēng)險隱患

鐵路關(guān)鍵信息基礎(chǔ)設(shè)施的供應(yīng)鏈主要包括服務(wù)器、安全產(chǎn)品、網(wǎng)絡(luò)設(shè)備、終端計算機(jī)等硬件，及應(yīng)用軟件、操作系統(tǒng)、數(shù)據(jù)庫和中間件等軟件。其風(fēng)險隱患主要有以下方面。

1.3.1 軟、硬件故障風(fēng)險

由于鐵路關(guān)鍵信息基礎(chǔ)設(shè)施具有結(jié)構(gòu)復(fù)雜、規(guī)模龐大等的特點，分布于全國鐵路的大量硬件與軟件組合在一起，易因兼容性、穩(wěn)定性等問題出現(xiàn)故障，導(dǎo)致鐵路關(guān)鍵信息基礎(chǔ)設(shè)施受到影響。

1.3.2 供應(yīng)商風(fēng)險

鐵路關(guān)鍵信息基礎(chǔ)設(shè)施的供應(yīng)商數(shù)量眾多，尤其是硬件設(shè)備、操作系統(tǒng)和數(shù)據(jù)庫，大多來自全球范圍內(nèi)的供應(yīng)商和制造商。如果不能對境外供應(yīng)商提供的產(chǎn)品實施安全保障措施，不符合安全審計程序，將會對鐵路關(guān)鍵信息基礎(chǔ)設(shè)施造成嚴(yán)重影響。

2 多維度的網(wǎng)絡(luò)安全保護(hù)措施

面對日益嚴(yán)峻的網(wǎng)絡(luò)安全形勢，以及復(fù)雜多樣的新型網(wǎng)絡(luò)安全威脅，鐵路企業(yè)必須開拓創(chuàng)新、與時俱進(jìn)，與公安機(jī)關(guān)、網(wǎng)信、網(wǎng)絡(luò)安全公司積極合作，積極運用新政策、新標(biāo)準(zhǔn)、新技術(shù)，建立適應(yīng)新的網(wǎng)絡(luò)環(huán)境的體系架構(gòu)[6]。在管理制度、安全意識、技術(shù)防御、等級保護(hù)及風(fēng)險評估、警企合作等5 個維度，推動鐵路關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全水平整體提升。

2.1 管理制度

管理制度是建立鐵路關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護(hù)體系的核心，完善鐵路關(guān)鍵信息基礎(chǔ)設(shè)施管理制度其意義就是為了規(guī)范管理、提高效率、保障安全、降低風(fēng)險，確保鐵路關(guān)鍵信息基礎(chǔ)設(shè)施的正常運行和有效管理。

2.1.1 落實主體安全責(zé)任

鐵路關(guān)鍵信息基礎(chǔ)設(shè)施責(zé)任單位應(yīng)按照網(wǎng)絡(luò)安全管理“誰主管誰負(fù)責(zé)、誰運行誰負(fù)責(zé)”的原則，遵守《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國數(shù)據(jù)安全法》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》及信息系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)（簡稱：等級保護(hù)）相關(guān)規(guī)定，依法履行相關(guān)責(zé)任和義務(wù)，明確各級安全責(zé)任人，制訂網(wǎng)絡(luò)安全和數(shù)據(jù)安全制度，落實考核獎懲，切實擔(dān)負(fù)起管理責(zé)任[7]。

2.1.2 嚴(yán)格執(zhí)行制度要求

管理制度的作用是建立規(guī)范的工作流程，明確各個部門和崗位的職責(zé)和權(quán)限，優(yōu)化組織運行的效率和協(xié)調(diào)性，幫助識別和化解各類風(fēng)險。這就要求各部門、各崗位要履職、履責(zé)，嚴(yán)格執(zhí)行制度要求、工作規(guī)范、操作流程，重點是解決災(zāi)備環(huán)境未落實、常態(tài)化應(yīng)急演練機(jī)制流于形式、重點崗位人員審查及風(fēng)險管控不到位、系統(tǒng)運營維護(hù)（簡稱：運維）人員未按規(guī)范操作等常見病問題[7]。

2.2 安全意識

網(wǎng)絡(luò)安全在很大程度上取決于對人員的管理，鐵路關(guān)鍵信息基礎(chǔ)設(shè)施的管理者、運維者、使用者的安全意識是影響鐵路關(guān)鍵信息基礎(chǔ)設(shè)施的安全重要因素，因此要在以下方面加強(qiáng)。

2.2.1 安全意識培養(yǎng)

公安機(jī)關(guān)網(wǎng)絡(luò)安全管理部門要與鐵路各級網(wǎng)絡(luò)安全主管部門加強(qiáng)合作，組織形勢多樣的網(wǎng)絡(luò)安全宣傳活動，如網(wǎng)絡(luò)安全講座、座談會、微信公眾號宣傳、網(wǎng)絡(luò)安全宣傳周活動、知識競賽、紅藍(lán)對抗等。提高鐵路職工對網(wǎng)絡(luò)安全的重視，增強(qiáng)對安全威脅的警覺性，做到“企業(yè)領(lǐng)導(dǎo)重安全，專業(yè)部門管安全，基層職工懂安全”，推動整體安全意識提升。

2.2.2 關(guān)鍵崗位人員安全教育培訓(xùn)

關(guān)鍵崗位人員的安全教育培訓(xùn)是網(wǎng)絡(luò)安全管理的重要環(huán)節(jié)，重點是培訓(xùn)保密意識、管理能力和應(yīng)急能力。培訓(xùn)內(nèi)容應(yīng)包括法律法規(guī)知識、保密教育、應(yīng)急處置能力（應(yīng)急處置技術(shù)、逃生自救技能等）、安全管理知識（安全管理制度、安全檢查與隱患排查、信息事件調(diào)查與分析等）。

2.3 技術(shù)防御

2.3.1 加強(qiáng)鐵路關(guān)鍵信息基礎(chǔ)設(shè)施安全監(jiān)測

鐵路關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)的技術(shù)防御關(guān)鍵，是在各種網(wǎng)絡(luò)安全威脅引發(fā)前對其進(jìn)行識別和清除。由于移動互聯(lián)網(wǎng)、云計算、人工智能、物聯(lián)網(wǎng)等新技術(shù)在鐵路企業(yè)的應(yīng)用不斷深入，以防火墻、入侵檢測、殺毒軟件為主體的被動式網(wǎng)絡(luò)安全防御體系已難以應(yīng)對新型的APT 網(wǎng)絡(luò)攻擊和新型惡意木馬病毒的攻擊。因此，必須構(gòu)建具有主動感知、主動防御、智能學(xué)習(xí)能力的新型網(wǎng)絡(luò)安全態(tài)勢感知系統(tǒng)，對網(wǎng)絡(luò)中的流量進(jìn)行動態(tài)檢測，及時感知網(wǎng)絡(luò)中發(fā)生的攻擊、違規(guī)和可疑行為，形成鐵路網(wǎng)絡(luò)安全態(tài)勢感知能力、信息系統(tǒng)運行監(jiān)測能力和安全事件預(yù)警處理能力[8]，在感知威脅的基礎(chǔ)上對高風(fēng)險網(wǎng)絡(luò)威脅進(jìn)行主動溯源，并建立威脅情報庫、特征庫，利用人工智能技術(shù)進(jìn)行綜合分析和關(guān)聯(lián)性分析[9]，如圖1 所示。

圖1 網(wǎng)絡(luò)安全態(tài)勢感知系統(tǒng)基本架構(gòu)

（1）知識庫：主要是將常見的網(wǎng)絡(luò)安全威脅特征形成知識庫，如木馬病毒特征庫，網(wǎng)絡(luò)攻擊特征庫，惡意軟件特征庫等，與網(wǎng)絡(luò)流量進(jìn)行比對，從而發(fā)現(xiàn)符合知識庫中的安全威脅。

（2）網(wǎng)絡(luò)威脅專項模型：將特定的網(wǎng)絡(luò)安全威脅行為形成數(shù)據(jù)模型，如SQL 注入、內(nèi)網(wǎng)橫向掃描、代理服務(wù)、用戶越權(quán)訪問等，與用戶的訪問行為進(jìn)行比對，從而發(fā)現(xiàn)異常的網(wǎng)上行為。

2.3.2 加強(qiáng)三重防護(hù)體系建設(shè)

落實中國國家鐵路集團(tuán)有限公司 “一個中心，三重防護(hù)”技術(shù)體系要求，其中，“一個中心”為安全管理中心，“三重防護(hù)”為安全通信、安全邊界和安全計算環(huán)境技術(shù)防護(hù)措施，推動鐵路信息網(wǎng)安全防護(hù)工作，尤其是鐵路關(guān)鍵信息基礎(chǔ)設(shè)施的安全防護(hù)工作，形成互聯(lián)網(wǎng)—鐵路外部服務(wù)網(wǎng)—鐵路內(nèi)部服務(wù)網(wǎng)—鐵路關(guān)鍵信息基礎(chǔ)設(shè)施專網(wǎng)的梯次縱深防御體系[9]。

2.3.3 加強(qiáng)網(wǎng)絡(luò)安全情報搜集

網(wǎng)絡(luò)安全不能僅有“亡羊補(bǔ)牢”的被動思想，更應(yīng)該有“未雨綢繆”的積極態(tài)度。應(yīng)加強(qiáng)對最新安全漏洞、最新病毒木馬、境內(nèi)外黑客動態(tài)的情報搜集，積極與公安機(jī)關(guān)網(wǎng)絡(luò)安全管理部門互通信息，及時開展針對性防范。

2.4 等級保護(hù)及風(fēng)險評估

2.4.1 加強(qiáng)鐵路關(guān)鍵信息基礎(chǔ)設(shè)施等級保護(hù)工作

按照等級保護(hù)要求做到應(yīng)備案盡備案，應(yīng)測評盡測評，對關(guān)鍵信息基礎(chǔ)設(shè)施要嚴(yán)把“等級保護(hù)測評關(guān)”“風(fēng)險隱患整改關(guān)”，防止走過場，及時發(fā)現(xiàn)問題和隱患，真正解決問題，整治、消除隱患。

2.4.2 加強(qiáng)測評復(fù)核工作

對等保測評公司出具的測評報告，公安機(jī)關(guān)網(wǎng)絡(luò)安全管理部門與鐵路各級網(wǎng)絡(luò)安全主管部門要仔細(xì)復(fù)核，尤其是涉及高危風(fēng)險部分的內(nèi)容，必須逐條核實并實地檢查，督促業(yè)務(wù)部門進(jìn)行整改。

2.4.3 加強(qiáng)測評公司管理

由于鐵路工作的重要性和特殊性，對于參加鐵路關(guān)鍵信息基礎(chǔ)設(shè)施等保測評的公司，公安機(jī)關(guān)網(wǎng)絡(luò)安全管理部門應(yīng)做好資質(zhì)審核、技術(shù)人員備案、測評方案審核、簽訂安全承諾書等工作，對于在測評中弄虛作假、有問題不查、有隱患不報的測評機(jī)構(gòu)，應(yīng)及時責(zé)令整改，并通報測評機(jī)構(gòu)管理部門。對于利用等保測評竊取鐵路數(shù)據(jù)的機(jī)構(gòu)或人員，公安機(jī)關(guān)網(wǎng)絡(luò)安全管理部門應(yīng)及時立案調(diào)查[10]。

2.4.4 強(qiáng)化風(fēng)險隱患整改

公安機(jī)關(guān)網(wǎng)絡(luò)安全管理部門、鐵路各級網(wǎng)絡(luò)安全主管部門要督促關(guān)鍵信息基礎(chǔ)設(shè)施責(zé)任單位對問題、隱患進(jìn)行逐項整改，逐條銷號。尤其是對高危問題整改工作進(jìn)展緩慢、整改達(dá)標(biāo)率普遍較低的，相關(guān)部門應(yīng)重點督導(dǎo)，查找問題癥結(jié)。對于老舊改造困難的關(guān)鍵信息基礎(chǔ)設(shè)施，應(yīng)在不影響業(yè)務(wù)運行的基礎(chǔ)下加強(qiáng)邊界防護(hù)、加強(qiáng)異常流量監(jiān)測、加強(qiáng)日志審查，從而減輕網(wǎng)絡(luò)安全威脅。

2.5 警企合作

網(wǎng)絡(luò)安全防御是需要長期堅持的工程，僅靠鐵路企業(yè)自身或是僅靠公安機(jī)關(guān)、網(wǎng)信管理部門督導(dǎo)，難以實現(xiàn)穩(wěn)步發(fā)展，因此，必須積極推動警企合作，共筑網(wǎng)絡(luò)安全屏障，發(fā)揮鐵路企業(yè)主體作用及公安機(jī)關(guān)網(wǎng)絡(luò)安全管理部門在職能和技術(shù)上的優(yōu)勢，形成合力，促進(jìn)網(wǎng)絡(luò)安全工作可持續(xù)發(fā)展。

（1）要建立等級保護(hù)、安全檢查、隱患整改、應(yīng)急響應(yīng)、信息通報等警企合作工作機(jī)制；

（2）警企雙方要定期召開網(wǎng)絡(luò)安全聯(lián)席會議，互相通報安全檢查情況、網(wǎng)絡(luò)安全威脅情報、網(wǎng)絡(luò)監(jiān)測情況；

（3）要組織警企聯(lián)合檢查組，匯聚雙方專業(yè)力量，定期對關(guān)鍵信息基礎(chǔ)設(shè)施及鐵路信息網(wǎng)開展技術(shù)檢測和安全檢查。

3 結(jié)束語

網(wǎng)絡(luò)安全是一個綜合性課題，涉及內(nèi)容涵蓋方方面面，并非僅依靠先進(jìn)的技術(shù)措施或是管理制度就能高枕無憂，因此，在構(gòu)建鐵路關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護(hù)體系時，必須從制度、管理、技術(shù)、人員、外部合作等多個維度開展，時刻樹立“網(wǎng)絡(luò)安全無小事”的思想意識，嚴(yán)格落實各項安全措施，人人參與，齊抓共建，才能形成可持續(xù)發(fā)展、科學(xué)嚴(yán)謹(jǐn)、實用長效的管理機(jī)制。