中老鐵路互聯互通平臺信息與網絡安全運維管理探討

文｜霍星

中老鐵路(昆明—萬象南)作為“一帶一路”標志性工程，北起中國云南省昆明市，終至老撾首都萬象市，北上連接“絲綢之路經濟帶”，南下連接“21世紀海上絲綢之路”，向東遙望長江經濟帶，是融入和服務“一帶一路”建設、推進中國與周邊國家互聯互通的重要基礎設施。2021年12月3日，中老鐵路正式開通運營。

中老鐵路自2021年開通運營后，中老鐵路互聯互通平臺的建立實現了中老鐵路數據共享，但也存在需要進行多節點信息共享和協同、數據安全傳輸等方面的問題。因此為了解決以上跨境運輸數據在安全和技術層面的業務痛點問題，亟需開展對中老鐵路互聯互通平臺信息與網絡安全運維管理的研究，研究成果將對跨境運輸數據安全和網絡安全具有重要的國家戰略意義。

一、中老鐵路互聯互通平臺信息與網絡安全運維問題分析

依托于國鐵集團級國際聯運數據交換平臺實現中老鐵路互聯互通數據交換。對外通過國際聯運數據交換平臺實現出境數據的加工處理，生成相應報文，并通過集成服務平臺（外部協作平臺）實現與老方的信息交換。

中老鐵路互聯互通平臺的網絡環境能夠支撐國際聯運電子數據交換需求，對外實現與外方鐵路信息系統信息交換共享，對內實現與鐵路既有相關信息系統安全的互聯互通，保證國際聯運電子數據交換業務的順利開展。

中老鐵路互聯互通平臺的對外交換網絡采用專線聯網方式，保證電子數據交換的安全性。專線網絡通道包括邊界通道和國內通道。國內通道提供國內長途通道連接口岸站至國鐵集團信息中心網絡。

中老鐵路互聯互通平臺作為支撐中老間數據交換的核心業務系統，加上對外服務應用部署在外服網，容易受到不法分子網絡攻擊，因此加強和鞏固中老鐵路互聯互通平臺的信息和網絡安全工作刻不容緩。基于平臺的應用部署架構復雜性且多樣性的特點及運維團隊在日常運維工作中總結的經驗及心得，梳理出平臺在各個網絡環境及整體運維體系中存在網絡安全及管理機制的問題。

（1）信息交換的安全問題。在實際的網絡運行中，惡意攻擊主要是利用平臺系統中的漏洞，以及數據庫缺陷對中老鐵路互聯互通平臺中的重要數據進行攻擊，增加了網絡入侵與攻擊、機密信息泄露等事件發生的風險。

（2）內服網及安全生產網管理制度問題。應急預案過于形式化，問題場景覆蓋面不全，缺乏應急演練，等保級別不夠準確，安全防護措施存在隱患。

（3）內服網與外部邊界接入的安全問題。系統平臺的業務數據共享與隔離邊界不清，存在數據安全問題。

（4） 應用及數據安全的運維管理問題。中老鐵路互聯互通平臺運維過程復雜，運維管理流程有待完善，缺乏專業運維隊伍，出現故障時，維護人員操作無依據、執行不到位，無法做到迅速響應。

（5）專業運維人才及技術力量儲備問題。缺乏精通技術與業務的復合型系統運維人才，沒有形成關鍵技術崗位互備機制，網絡安全領域專家人才缺乏。

二、中老鐵路互聯互通平臺信息與網絡安全維護關鍵技術

中老鐵路互聯互通平臺信息與網絡安全補強具體實現措施主要從平臺物理安全、應用安全、平臺網絡安全、平臺主機安全、平臺數據安全、平臺邊界安全、平臺系統運行監控、平臺安全管理體系八大方面進行設計。

（一）物理安全

物理安全依托國鐵集團機房和主數據中心機房的安全管理體系進行設計。機房配備專門人員駐場7×24小時值守值班、監控大屏、定期巡視；機房各關鍵地點均有攝像頭進行實時監控。

（二）應用安全

1.身份鑒別

中老鐵路互聯互通數據交換需針對不同的業務應用采用實名制認證，對訪問的業務應用進行身份安全鑒別，實現各業務應用的認證與授權等。

2.訪問控制

中老鐵路互聯互通數據交換需通過權限管理模塊按不同的業務應用劃分權限，只有授權的業務應用才能訪問系統的授權資源。

3.安全審計

中老鐵路互聯互通數據交換需提供完整的審計日志。日志劃分為兩大類：操作日志，由應用軟件和數據庫管理系統產生，內容包括中老交換數據的接收與發送、數據修改等。

4.抗抵賴

中老鐵路互聯互通數據交換需對每次數據操作均做到軌跡留痕，保留數據庫日志，記錄操作人員的IP地址、MAC地址、用戶名、操作時間、操作內容等。

5.軟件容錯

中老鐵路互聯互通數據交換創新提供輸入數據校驗功能，并進行異常錯誤處理機制，只有所有事務處理完成才進行最終數據提交，保證數據狀態的準確性。

（三）網絡安全

網絡設備采購有充足業務處理能力的設備；設置內外網路由控制，建立安全可信的訪問路徑；嚴格按照國鐵集團網絡規劃劃分網段和分配網絡地址；重要網段與其他網段之間采用可靠的硬件和技術隔離手段。

（四）主機安全

中老鐵路互聯互通數據交換應用服務器及數據庫服務器存在由于安全漏洞而被攻擊的風險，需要在身份鑒別、入侵防范和資源控制能方便加強防護。主機用戶進行身份鑒別要實現特權用戶的權限分離。

（五）數據安全

主要是傳輸安全和存儲安全。傳輸安全是指各個重要通道SSL安全加密傳輸，存儲安全是指對數據庫服務器和數據庫進行安全訪問控制。通過簽名、HASH等技術手段，保證中老鐵路互聯互通數據交換的完整性。

（六）邊界安全

明確中老鐵路互聯互通系統邊界，制定邊界應急預案和安全方案；采用可靠的、符合國鐵集團相關規定的軟硬件產品；自行軟件開發環境做到與實際應用系統分開，實現開發和生產環境物理隔離；外包軟件開發應用引入專業的有鐵路信息化開發背景的團隊參與應深度測試，避免惡意代碼和軟件后門隱蔽信道。

（七）平臺運行監控

中老鐵路互聯互通數據交換應用的發布、部署、升級等需進行統一控制和管理，對系統軟、硬件環境進行監控，包含資源監測、采集監測、存儲監測和計算監測等方面。

三、結束語

隨著中老鐵路互聯互通平臺業務的不斷開展，客戶對平臺服務質量要求的不斷提高，系統功能將會繼續不斷完善和豐富，同時國鐵集團對中老鐵路互聯互通平臺的安全性、穩定性、高效性提出了更高的要求。只有將中老鐵路互聯互通平臺的日常生產運維工作做實做細，不斷積累既有系統運維經驗，提高維護人員對應急預案掌握的熟練程度，打造一支有戰斗力的運維團隊，摸索出一整套體系化、高效、專業的運維管理手段，才能真正保障好中老鐵路互聯互通平臺穩定運行。