鐵路供電信息系統安全資源池研究

楊軼杰，許 翔，謝 濤，馬俊杰

（1.中國鐵道科學研究院集團有限公司 電子計算技術研究所，北京 100081；2.中國鐵路烏魯木齊局集團有限公司 工電檢測所，烏魯木齊 830011）

鐵路供電信息系統包括鐵路供電遠動子系統、鐵路供電輔助監控子系統、鐵路供電安全檢測監測信息綜合應用子系統和鐵路供電一級子平臺等，是電氣化鐵路運輸的重要保障。因此，保障鐵路供電信息系統的網絡安全是鐵路重要的安全保障環節。當前，網絡安全形勢日益嚴峻，針對重要信息系統的攻擊時有發生。鐵路供電信息系統作為專網運行的系統，若受到攻擊者入侵，在專網內橫向移動，會引發供電故障，甚至造成行車事故。在已有的研究中，研究人員針對鐵路供電信息系統的安全運行提出過精準判斷和及時恢復的解決方案，但在攻擊方式與攻擊技術日益升級的環境下，精準判斷愈加難以實現[1]；也有研究人員提出對鐵路供電信息系統終端實施特殊安全防護，嚴格準入限制條件，在一定程度上降低了攻擊面，但也對這類系統今后可能需要進行的擴展帶來了限制[2]。

在網絡安全資源日益豐富的背景下，安全資源池可對專網運行的系統提供更加全面的安全防護[3-6]。本文綜合考慮已有網絡安全防護的不足和安全資源池的優點，提出鐵路供電信息系統安全資源池，強化鐵路供電信息系統的安全防護。

1 鐵路供電信息系統現狀

1.1 鐵路供電遠動子系統現狀

鐵路供電信息系統以鐵路供電遠動子系統為主，輔之以鐵路供電輔助監控子系統，共同實現鐵路供電的控制與調配。鐵路供電遠動子系統的主要作用是監視與數據采集。通常情況下，鐵路供電遠動子系統由調度主站、通信通道、被控站等組成[7]，采用中國國家鐵路集團有限公司（簡稱：國鐵集團）、鐵路局集團公司、站段的三級結構部署[8]。

國鐵集團級鐵路供電遠動子系統的防護，在網絡架構上采用網絡鏈路與設備冗余部署的方式，以保障鏈路與設備的正常運行；在實際部署中，通過國鐵集團主數據中心云平臺提供的，客戶系統安全審計服務對數據庫訪問行為進行審計，防止非法入侵，并進行惡意代碼檢測。

1.2 鐵路供電輔助監控子系統現狀

鐵路供電輔助監控子系統是保障鐵路供電遠動子系統運行的重要系統，其主要業務是對鐵路牽引供電遠動系統中的電氣設備進行遠程監視、測量和控制，包括對其相關信息的采集、處理、傳輸、顯示等功能。

鐵路供電輔助監控子系統的網絡設備包括防火墻、網閘、交換機、路由器等，其中，防火墻通過訪問控制策略實現不同功能區間的訪問控制與區域隔離。鐵路供電輔助監控子系統的網絡區域分為采集交換區、接口交換區、數據域和應用域。通過關閉高危端口、數據庫限定主機訪問、部署數據庫審計服務器和堡壘機等方式，實現網絡安全隔離與防護。

1.3 鐵路供電安全檢測監測信息綜合應用子系統現狀

鐵路供電安全檢測監測信息綜合應用子系統針對供電段管轄線路的接觸網C1～C6 裝置的檢測數據，提供檢測數據管理、缺陷數據管理、任務分配、數據統計、數據同步等功能，實現跨平臺數據訪問、數據整合共享和綜合分析。該子系統部署模式為B/S架構，開發語言為Java。在安全技術方面，子系統對網絡設備、安全設備進行遠程管理時，采用SSH和HTTPS 加密協議。

1.4 鐵路供電一級子平臺現狀

鐵路供電一級子平臺的主要業務為供電信息集中展示和聯合分析，預防和處理各供電段接觸網和變/配電等專業發生的各種應急事件。在網絡架構上，鐵路供電一級子平臺采用站段級部署為主、工電檢測所部署為輔的方式，分級分域實現安全防護。在安全防御上，各安全域間的訪問通過防火墻進行邏輯隔離，通過訪問控制策略限制業務間的按需訪問。該子平臺與其他鐵路專網間通過安全隔離設備進行邊界防護和必要的數據交互。

2 安全資源池簡介

安全資源池是安全服務資源的集合[9]，是一個基于軟件集成的安全工具集[10]，即一個資源集成平臺，可集成目標系統的各種安全防護資源，并開放應用接口，提供與云資源類似、按需獲取及彈性使用的安全功能，可從軟件和硬件形態上提供安全能力解決方案[11]。

安全資源池由安全資源池分配管理平臺和安全資源池資源存儲平臺組成，通過集中建設、統一資源調配、彈性擴容、按需分配及動態部署功能，實現安全能力利用效率最大化；另外，通過安全資源池分配管理平臺的資源分配調度，實現安全能力的動態編排[12-13]。

3 鐵路供電信息系統安全資源池

3.1 鐵路供電信息系統安全資源池架構

鐵路供電信息系統安全資源池架構包括基礎環境層、安全防護功能層和安全防護展示層，如圖1所示。

3.1.1 基礎環境層

主要包括安全資源池運行所需的硬件環境、軟件環境及虛擬化的網絡環境，需要根據用戶需求和安全能力進行規劃部署。硬件環境主要指服務器、交換機、防火墻等硬件設備；軟件環境指在硬件環境的基礎上，為安全資源池運行提供的操作系統、數據庫等基礎環境；虛擬化網絡環境指在已有硬件設備的基礎上，為滿足安全資源池連接所需的虛擬網絡設備、安全設備等。

3.1.2 安全防護功能層

根據用戶安全防護需求，部署相應的安全防護產品，實現上網行為管理、日志審計及APT（Advanced Persistent Threat）防御等功能。上網行為管理和日志審計主要依靠流量安全檢測設備來實現；APT 防御主要通過流量安全檢測設備和靜態掃描設備等的聯合檢測來實現。

3.1.3 安全防護展示層

包括安全能力管理、基礎環境管理及流量編排3 部分。其中，安全能力管理包括策略管理和日志管理，策略管理主要針對安全資源池自身的安全進行策略配置，日志管理是對安全資源池自身運行狀況的日志進行記錄；基礎環境管理包括資源池管理和鏡像管理，對安全資源池的安全防護功能進行動態管理；流量編排包括大網調度和池內調度，是對安全資源池內資源的綜合調度，包括單個安全池內的資源分配及多個安全資源池聯動時的資源調度。

3.2 鐵路供電信息系統安全資源池功能

安全資源池用于鐵路供電信息系統后，在保障鐵路供電信息系統安全運行的同時，還能做到各個系統間的邏輯隔離。結合對鐵路供電信息系統安全資源池架構的研究，鐵路供電信息系統安全資源池功能主要包括以下幾點。

3.2.1 用戶上網行為管理

用戶上網行為管理主要針對鐵路供電信息系統的各子系統的用戶登錄、數據訪問等，并根據用戶屬性進行數據訪問限制和文件傳輸限制等。

3.2.2 日志審計

針對鐵路供電信息系統各子系統進行日志監控、日志分析及日志事件告警。對各子系統的運行狀況進行實時監控，包括監控CPU 及內存等關鍵區域的占用情況。針對日志監控得到的數據，進行日志分類、分組查詢。根據鐵路供電信息系統各子系統運行中遇到的常見安全問題，定制日志查詢規則，利用日志關聯性、字段邏輯關系等屬性針對性地發現可疑日志，并及時進行告警。

3.2.3 攻擊行為防御

針對鐵路供電信息系統各子系統的攻擊進行實時監測，對可疑行為重點監控，針對APT 攻擊實現快速響應和有效溯源。攻擊行為防御還具備推理能力，能夠從用戶行為中發現非正常的訪問行為，例如：出現頻繁登錄、存在撞庫可能等，并排查潛在的攻擊威脅。

4 關鍵技術

鐵路供電信息系統安全資源池關鍵技術包括安全資源一體化管理技術和安全資源流量調度技術。

4.1 安全資源一體化管理技術

安全資源一體化管理技術主要包括安全資源動態存儲技術和安全資源分配技術等。其中，安全資源動態存儲技術指在安全資源池建設與運營過程中對安全資源的存儲位置、存儲時間、所存儲資源的軟件包進行升級與控制，可實現安全資源在存儲方面的高效、統一；安全資源分配技術指在安全資源池運營過程中針對不同用戶的安全服務需求及當前安全資源能夠提供的安全服務情況進行安全資源的分配，實現在滿足服務需求的同時，節約安全資源的目的。

鐵路供電信息系統安全防護需求的安全資源一體化管理技術在安全資源池建設完成后，主要側重于對安全資源的動態存儲資源分配，包括日志審計、數據庫審計、終端準入、漏洞掃描、終端防病毒軟件資源在安全資源池內的存儲及對鐵路供電信息系統中不同子系統的分配等。

4.2 安全資源流量調度技術

安全資源的主要作用是提供安全服務，在提供安全服務的過程中，需要根據安全資源的儲備情況及用戶對安全資源的需求程度進行服務與需求的匹配。在目標防護系統提出安全防護需求后，可通過安全資源池分配管理平臺，給出安全資源分配策略，根據安全需求，通過調用API 事件，自動觸發資源分配流程。

鐵路供電信息系統安全資源池的安全資源流量調度技術指安全資源池中安全資源能夠滿足鐵路供電信息系統安全防護需求的條件下，達到安全資源充分利用的技術，包括綜合分析鐵路供電信息系統的安全防護需求和已有的安全資源池中安全資源的服務能力，達到完全匹配的效果。

5 結束語

本文結合鐵路供電信息系統現狀及安全資源池的應用現狀，研究鐵路供電信息系統安全資源池，給出了鐵路供電信息系統安全資源池的架構、功能及關鍵技術，實現安全資源的動態分配，為鐵路供電系統安全資源的調度決策提供參考。在接下來的研究中，需要針對鐵路供電信息系統的實際部署架構及需要補強的安全防護功能，調整安全資源池的功能，以適用于具體的安全防護需求。