筑牢铁路关键信息基础设施安全保障体系

2021年7月30日，国务院令第745号公布《关键信息基础设施安全保护条例》（以下简称《条例》），自2021年9月1日起施行，2021年8月17日正式对外颁布。该条例的颁布标志着我国网络安全法律法规建设和安全保障工作进入一个新的阶段。《条例》颁布一年以来，各相关部门和有关机构积极推进关键信息基础设施安全保护工作，并取得显著成效。在此，我联盟特邀请行业内数位专家对我国关键信息基础设施安全保护工作发表专家观点并进行系列报道，敬请关注。

专家名片

张伯驹，国家一级项目管理师，现任中国铁路信息科技集团有限公司总经理、国铁集团信息技术中心分管日常工作的副主任。有近三十年的铁路网信技术与管理工作经历，主持编制了铁路网信总体规划，组织建设了铁路主数据中心，积极推进国铁集团信息化顶层设计、规章制度建设、重点项目建设、网络安全管理等工作，推动铁路网信工作取得突出成绩

铁路属于我国重要的交通运输基础设施，在国民经济中承担着重要支撑和保障作用。铁路关键信息基础设施对保障铁路运输安全甚至国家安全都具有重要意义。国铁集团认真贯彻习近平总书记对铁路工作的重要指示批示精神，全面落实中央关于网络安全和信息化工作的重大决策部署，坚守安全底线，树牢安全屏障，坚持“党组领导、分工负责；依法保护、强化基础；问题导向、聚焦合规；实战引领、锤炼精兵”工作原则，统筹推进铁路关键信息基础设施安全保护各项任务，筑牢铁路关键信息基础设施安全保障体系。

《关键信息基础设施安全保护条例》颁布以来，国铁集团聚焦铁路关键信息基础设施安全保护工作，开展网络安全等级保护，取得大量基础合规防护技术研究和应用实践成果，建立了铁路关键信息基础设施纵深防御体系。但铁路关键信息基础设施安全保护面临的网络安全态势不容乐观。一方面，IT供应链攻击、APT攻击和数据泄露事件层出不穷，铁路关键信息基础设施的安全威胁不断演化，安全挑战日益严峻复杂。另一方面，随着云计算、人工智能、物联网、北斗卫星、5G等新技术应用不断深入，铁路信息化呈现出数字化、网络化、智能化态势，网络安全防护对象扩展、边界外延、攻击面扩大，主动防御难度加大。因此，必需全方位落实铁路关键信息基础设施网络攻防、数据安全、风险评估、供应链安全、国密应用安全、国产化的强化保护要求，强化信息共享和指挥协同，突出风险管控，全面建立铁路关键信息基础设施安全保障体系。

铁路关键信息基础设施防护需求
传统的铁路网络安全防御体系难以应对新型武器攻击、平台化武器库攻击和快速有效渗透等多元化强力攻击方式。

提升主动感知主动防御能力
铁路既有安全措施对新出现的多样化安全威胁防范不足，特别是针对移动互联网、大数据、云计算等新技术应用，缺乏针对性的安全防护措施。铁路关键信息基础设施主要基于专网运行，运行状态监控手段缺乏，网络感知能力薄弱。除信息系统网络流量和日志监测覆盖全路外，监控范围未覆盖工业控制系统，未形成全路性网络安全态势感知能力、全景可视化能力和安全事件处理能力。

补齐防范新型攻击和未知威胁能力
铁路缺乏对新型APT攻击、供应链攻击有效的技术防护措施。需要开展拟态防御技术、零信任技术、可信计算技术等研究，持续建立铁路“内生化”全新安全体系是一个重大变革方向，增强自身对未知攻击、未知漏洞、未知木马的免疫能力。

增强网络安全防护自主可控水平
铁路关键信息基础设施的国产化率，特别是专用传感器、工控设备等关键设施的自主可控水平低。需要在典型系统信创产品适配、测试、验证、国密算法改造方面开展应用研究。

强化威胁溯源与风险评估能力
铁路关键信息基础设施威胁攻击溯源及全生命周期风险管控分析不完善，安全关联分析能力存在短板。需要建立铁路威胁情报库、风险库，研究资产识别、威胁识别、脆弱性识等威胁情报分析技术，建立完善风险评估算法模型。

建立全面实时准确的资产台账
攻击路径排查中发现僵尸资产、无责权资产，说明铁路关键信息基础设施存在资产底数不明、台账不清问题。必需加强数字资产流动监控、资产分类分级及资产图谱画像、供应链安全管控，为开展资产梳理排查提供基础支撑。

铁路关键信息基础设施保障体系架构设计
铁路关键信息基础设施保障体系采用“基础—强化—协同”三层保障体系架构，深入贯彻“三化六防”理念，保护铁路关键信息基础设施安全。

图1 铁路关键信息基础设施保障体系架构设计图

基础保护层侧重“刚需+合规”保护。落实网络安全等级保护合规要求，健全“一个中心，三重防护”技术体系。“一个中心”为安全管理中心。“三重防护”为安全通信、安全边界和安全计算环境技术安全防护措施。建立铁路网络安全基础库是依托主数据中心、网络安全监控指挥中心和综合信息网一体化保障工程，建设铁路网络安全资产库、风险库和能力库。

强化保护层是在基础保护层之上，强化对铁路关键信息基础设施的重点保护。建设仿真环境、攻防对抗环境，推进国产密码应用、信创、国产化替代等工程，加强数据安全评估、风险评估、供应链图谱分析，采取访问控制、加密备份、行为审计等技术手段，严格保护推动实战化、常态化、体系化发展。

协同保护层是建立信息共享和指挥协同机制。围绕铁路关键信息基础设施保护对象，构建网络安全运营平台，实现基础安全管理、应用安全平台、边界防御平台及网络环境平台。实现上下级联动防御。

铁路关键信息基础设施保障体系实践

铁路主数据中心及国铁云建设
2018年底，铁路主数据中心建成并投产运行，总建筑面积5万多平米，可容纳3000多个IT机柜，达到国标A级数据中心标准，可提供符合等保三级标准的资源池服务能力，为铁路关键信息基础设施提供了安全可靠的基础环境。

着力建设科学先进、绿色节能、功能完备的云数据中心。全面开展系统统型、整合、上移，把多个版本、功能相似、僵尸系统进行融合重构，实现路局、站段业务应用系统上移工作。除控制类和检测监测类系统外，逐步向国铁集团云数据中心汇聚。按照云边协同能力建设要求，加快建成模块化、标准化边缘节点。研究基于国产服务器、国产处理器、国产操作系统、国铁云相关软件的超融合服务器。

图2 国铁云平台建设框架

铁网护栏工程建设
采用态势感知、威胁情报分析、边界防护、风险评估、终端安全接入等技术，构建“五网三级”终端安全防护体系和纵深防御体系。以建设五个安全支撑平台为核心，建立铁路网络安全保护技术保障体系，对保护对象提供基础防护和扩展防护功能。建设大数据支撑平台，提供统一的数据服务，包括数据的传输采集、存储、分析和展现，为上层数据应用平台提供基础支撑。建设业务风控系统，对业务风险进行综合分析。建设集中安全管理平台，对防护和保护对象进行集中管理、集中运维。建设态势感知平台，动态掌控防护状态。建设电子认证服务平台，实现统一身份认证、集中安全管理、态势感知、移动终端接入、终端安全、边界安全、违规外联和计算环境安全。

铁路网络安全监控指挥中心建设
依托网络安全监控指挥信息平台、客户服务平台，构建平战结合、预防为主的铁路网络安全监控指挥中心，促进信息系统网络安全能力、服务支持能力和安全运营三大能力全面提升，支撑铁路业务快速发展。提供信息机房、铁路关键信息基础设施、重要系统运行状态，以及信息资产、网络安全风险等方面的统一监控、工单闭环管理功能，实现网络安全态势集中监控、客户服务需求集中受理、运行维护资源统一调度、事件响应处置统一指挥。

图3铁路网络安全监控指挥中心框架图

铁路网络安全靶场实验室建设
铁路网络安全靶场作为支撑铁路网络安全攻防体系建设的重要基础设施，可应用于网络安全仿真测试、攻防训练、技术验证等场景。采用虚实结合仿真技术、复杂异构网络快速复现及重构技术、靶场资源自动配置与快速释放技术、APT攻击识别技术等，支撑靶场相关功能。铁路网络安全靶场日常可用于验证安全测试、渗透测试、安全加固措施、补丁更新、安全策略变更等业务，以减少对铁路运输生产业务的影响。铁路网络安全靶场可作为特殊应用场景的试验环境，比如攻防对抗演习、技能提升、漏洞挖掘、实操培训，甚至工业控制系统的安全风险分析等。

铁路信创实验室规划建设

建立铁路信创适配实验室和适配中心，搭建信创适配仿真基础环境。构建以铁路自主创新产品体系为主体的生态环境，布局覆盖铁路国产化技术全体系应用适配。提供产品适配测试、应用适配迁移、系统仿真验证、运维服务保障、技术培训等功能，攻克国产化技术在铁路行业推广应用中的技术难题，研究解决国产化产品适配过程中的问题，为大规模推广国产化应用以及自主创新产品的探索性应用提供实验田。

铁路关键信息基础设施后续发展思路

完善人防物防技防“三位一体”综合防御体系
依托重点工程项目，持续补强适用于网络实战攻防的安全相关设备设施，包括监测预警、聚合分析、联动阻断、应急处置、溯源反制等。加快推进网络安全运营平台建设，进一步健全应对网络实战攻防的网络安全技术保障体系。通过实践优化策略，最大限度发挥既有平台效能。积极研究新一代网络空间安全防御技术。

积极推进智能铁路的新技术应用
围绕智能建造、智能装备、智能运营三个领域开展智能铁路的技术创新工作。在铁路基础设施监测、应急通信等专业扩大北斗导航系统的应用范围。开展铁路5G网络等新型基础设施技术攻关，推动5G+北斗融合应用。深化物联网、移动互联网等信息技术应用与人工智能技术的融合应用，促进铁路移动装备高速化智能化、运输经营管理智能化无人化、运输服务便利化人性化。

稳步开展基础软硬件国产化替代工作
围绕加快推进信息技术应用创新整体战略布局，结合国家信创产业发展和铁路业务实际情况，开展铁路领域信息系统安全可靠替代关键技术研究，专题做好顶层设计。开展数据库、云平台等基础软件自主研发替代试点示范应用，搭建信息技术应用创新产品验证测试环境，推进铁路信息技术应用创新工作落地实施。大力推进控制系统及关键设备自主化和国产化替代。持续深化动车组和列控系统国产芯片替代攻关，形成基于国产器件的控制器设计能力。

提升铁路检测监测和应急处置水平
强化安全检测监测数据融合分析和智能化处理，充分运用大数据、人工智能等技术，切实提升铁路事故、故障、网络安全事件风险监测预警、分析研判和应急处置水平。以网络安全等级保护、风险评估、数据安全评估、密码评估、源代码安全检测为抓手，完善关键信息基础设施安全检测评估体系。深入推进关键信息基础设施风险评估工作，对每一项资产，识别可能被威胁利用的弱点，系统分析其存在的脆弱性。

来源：关键信息基础设施安全保护联盟筹