鑽石舞台

傳統的鐵路網絡安全防禦體系難以應對新型武器攻擊、平台化武器庫攻擊和快速有效滲透等多元化強力攻擊方式。

鐵路關鍵信息基礎設施保障體系採用「基礎—強化—協同」三層保障體系架構，深入貫徹「三化六防」理念，保護鐵路關鍵信息基礎設施安全。

圖1鐵路關鍵信息基礎設施保障體系架構設計圖

基礎保護層側重「剛需+合規」保護。落實網絡安全等級保護合規要求，健全「一個中心，三重防護」技術體系。「一個中心」為安全管理中心。「三重防護」為安全通信、安全邊界和安全計算環境技術安全防護措施。建立鐵路網絡安全基礎庫是依託主數據中心、網絡安全監控指揮中心和綜合信息網一體化保障工程，建設鐵路網絡安全資產庫、風險庫和能力庫。

強化保護層是在基礎保護層之上，強化對鐵路關鍵信息基礎設施的重點保護。建設仿真環境、攻防對抗環境，推進國產密碼應用、信創、國產化替代等工程，加強數據安全評估、風險評估、供應鏈圖譜分析，採取訪問控制、加密備份、行為審計等技術手段，嚴格保護推動實戰化、常態化、體系化發展。

協同保護層是建立信息共享和指揮協同機制。圍繞鐵路關鍵信息基礎設施保護對象，構建網絡安全運營平台，實現基礎安全管理、應用安全平台、邊界防禦平台及網絡環境平台。實現上下級聯動防禦。

2018年底，鐵路主數據中心建成並投產運行，總建築面積5萬多平米，可容納3000多個IT機櫃，達到國標A級數據中心標準，可提供符合等保三級標準的資源池服務能力，為鐵路關鍵信息基礎設施提供了安全可靠的基礎環境。

着力建設科學先進、綠色節能、功能完備的雲數據中心。全面開展系統統型、整合、上移，把多個版本、功能相似、殭屍系統進行融合重構，實現路局、站段業務應用系統上移工作。除控制類和檢測監測類系統外，逐步向國鐵集團雲數據中心匯聚。按照雲邊協同能力建設要求，加快建成模塊化、標準化邊緣節點。研究基於國產服務器、國產處理器、國產操作系統、國鐵雲相關軟件的超融合服務器。

圖2國鐵雲平台建設框架

採用態勢感知、威脅情報分析、邊界防護、風險評估、終端安全接入等技術，構建「五網三級」終端安全防護體系和縱深防禦體系。以建設五個安全支撐平台為核心，建立鐵路網絡安全保護技術保障體系，對保護對象提供基礎防護和擴展防護功能。建設大數據支撐平台，提供統一的數據服務，包括數據的傳輸採集、存儲、分析和展現，為上層數據應用平台提供基礎支撐。建設業務風控系統，對業務風險進行綜合分析。建設集中安全管理平台，對防護和保護對象進行集中管理、集中運維。建設態勢感知平台，動態掌控防護狀態。建設電子認證服務平台，實現統一身份認證、集中安全管理、態勢感知、移動終端接入、終端安全、邊界安全、違規外聯和計算環境安全。

依託網絡安全監控指揮信息平台、客戶服務平台，構建平戰結合、預防為主的鐵路網絡安全監控指揮中心，促進信息系統網絡安全能力、服務支持能力和安全運營三大能力全面提升，支撐鐵路業務快速發展。提供信息機房、鐵路關鍵信息基礎設施、重要系統運行狀態，以及信息資產、網絡安全風險等方面的統一監控、工單閉環管理功能，實現網絡安全態勢集中監控、客戶服務需求集中受理、運行維護資源統一調度、事件響應處置統一指揮。

圖3鐵路網絡安全監控指揮中心框架圖

鐵路網絡安全靶場作為支撐鐵路網絡安全攻防體系建設的重要基礎設施，可應用於網絡安全仿真測試、攻防訓練、技術驗證等場景。採用虛實結合仿真技術、複雜異構網絡快速復現及重構技術、靶場資源自動配置與快速釋放技術、APT攻擊識別技術等，支撐靶場相關功能。鐵路網絡安全靶場日常可用於驗證安全測試、滲透測試、安全加固措施、補丁更新、安全策略變更等業務，以減少對鐵路運輸生產業務的影響。鐵路網絡安全靶場可作為特殊應用場景的試驗環境，比如攻防對抗演習、技能提升、漏洞挖掘、實操培訓，甚至工業控制系統的安全風險分析等。

建立鐵路信創適配實驗室和適配中心，搭建信創適配仿真基礎環境。構建以鐵路自主創新產品體系為主體的生態環境，布局覆蓋鐵路國產化技術全體系應用適配。提供產品適配測試、應用適配遷移、系統仿真驗證、運維服務保障、技術培訓等功能，攻克國產化技術在鐵路行業推廣應用中的技術難題，研究解決國產化產品適配過程中的問題，為大規模推廣國產化應用以及自主創新產品的探索性應用提供實驗田。