崔偉健，馬小寧，李 琪

（中國鐵道科學(xué)研究院集團(tuán)有限公司 電子計(jì)算技術(shù)研究所，北京 100081）

當(dāng)前，鐵路網(wǎng)絡(luò)安全防護(hù)以事后處置為主，缺乏事前監(jiān)測和預(yù)警手段，網(wǎng)絡(luò)安全防護(hù)評(píng)估尚處于理論探討，缺乏模擬驗(yàn)證環(huán)境的支持，難以開展有效驗(yàn)證。

隨著國際形勢不斷變化及鐵路信息化迅速發(fā)展，鐵路網(wǎng)絡(luò)安全面臨的威脅越來越嚴(yán)峻，有組織、大規(guī)模的網(wǎng)絡(luò)攻擊日益猖獗，傳統(tǒng)被動(dòng)式防御措施的局限性越來越凸顯[1]。物理隔離雖然是最有效的防御措施，但僅適用于局部防護(hù)，斷網(wǎng)、斷電等傳統(tǒng)防護(hù)措施也僅適用于應(yīng)急防護(hù)，無法保證鐵路網(wǎng)絡(luò)安全防護(hù)的長期穩(wěn)定[2]。鑒于鐵路多數(shù)信息系統(tǒng)已成為運(yùn)輸生產(chǎn)不可或缺的關(guān)鍵支撐，在生產(chǎn)過程中對(duì)這些系統(tǒng)進(jìn)行安全防護(hù)處置可能影響系統(tǒng)穩(wěn)定運(yùn)行，往往明知系統(tǒng)中存在漏洞，也不宜輕易進(jìn)行系統(tǒng)升級(jí)或補(bǔ)丁修復(fù)，由此造成系統(tǒng)普遍帶病運(yùn)行的窘境。

因此，在既有鐵路網(wǎng)絡(luò)安全防護(hù)體系基礎(chǔ)上，建設(shè)鐵路網(wǎng)絡(luò)攻防靶場平臺(tái)（簡稱：平臺(tái)），以模擬實(shí)際生產(chǎn)環(huán)境，開展業(yè)務(wù)流量仿真、網(wǎng)絡(luò)攻防對(duì)抗、安全加固補(bǔ)強(qiáng)、人員培訓(xùn)教育等工作，強(qiáng)化鐵路網(wǎng)絡(luò)安全人防、技防能力，促進(jìn)鐵路網(wǎng)絡(luò)安全防護(hù)水平的提升。

1 鐵路網(wǎng)絡(luò)攻防靶場平臺(tái)方案

1.1 總體架構(gòu)

鐵路網(wǎng)絡(luò)攻防靶場平臺(tái)是按照中國國家鐵路集團(tuán)有限公司（簡稱：國鐵集團(tuán)）網(wǎng)絡(luò)安全的頂層設(shè)計(jì)要求，結(jié)合鐵路綜合信息網(wǎng)建設(shè)，面向國鐵集團(tuán)、鐵路局集團(tuán)公司和站段3 級(jí)提供服務(wù)[3]。平臺(tái)統(tǒng)一部署在鐵科院集團(tuán)公司，具有模式配置和自主配置2種模式，在鐵路綜合信息網(wǎng)和互聯(lián)網(wǎng)端分別設(shè)置1個(gè)訪問出口，綜合信息網(wǎng)端出口滿足業(yè)務(wù)仿真、攻防仿真、知識(shí)答題、培訓(xùn)教育等應(yīng)用需求，互聯(lián)網(wǎng)端出口則為互聯(lián)網(wǎng)側(cè)攻擊滲透提供接口。

平臺(tái)總體架構(gòu)如圖1 所示，主要通過預(yù)先設(shè)置的各類虛擬設(shè)備庫、版本庫、漏洞補(bǔ)丁庫、中間件庫、網(wǎng)絡(luò)庫等，以不同組合形式模擬多種業(yè)務(wù)架構(gòu)，再結(jié)合業(yè)務(wù)流量模擬技術(shù)，仿真業(yè)務(wù)實(shí)際應(yīng)用場景[4]。

圖1 鐵路網(wǎng)絡(luò)攻防靶場平臺(tái)總體架構(gòu)

（1）運(yùn)行支撐層：主要為數(shù)據(jù)庫、服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、可視化組件等硬件設(shè)備及軟件環(huán)境，為平臺(tái)提供運(yùn)行環(huán)境；這些設(shè)備除支持平臺(tái)本身運(yùn)行外，還支持模擬系統(tǒng)的運(yùn)行；平臺(tái)中集成鐵路各種業(yè)務(wù)場景、應(yīng)用場景、設(shè)備型號(hào)及版本、中間件、配置情況等，平臺(tái)運(yùn)維人員統(tǒng)一錄入調(diào)研數(shù)據(jù)，由平臺(tái)自動(dòng)對(duì)錄入數(shù)據(jù)進(jìn)行結(jié)構(gòu)化解析和存儲(chǔ)。

（2）資源保障層：是對(duì)數(shù)據(jù)庫存儲(chǔ)的各類設(shè)備信息、知識(shí)題庫、攻防工具等的映射，以有效避免大量搜索操作對(duì)數(shù)據(jù)庫性能造成影響；收集鐵路各業(yè)務(wù)場景數(shù)據(jù)，采用Hadoop、Spark 等分布式數(shù)據(jù)挖掘技術(shù)，搭建數(shù)據(jù)倉庫，對(duì)所收集的數(shù)據(jù)進(jìn)行整合、分類、存儲(chǔ)[5]，保障數(shù)據(jù)存儲(chǔ)的靈活性、獨(dú)立性，大幅降低數(shù)據(jù)庫負(fù)載。

（3）核心業(yè)務(wù)層：基于平臺(tái)存儲(chǔ)的各類數(shù)據(jù)資源，采用虛擬化技術(shù)，完成業(yè)務(wù)場景搭建、業(yè)務(wù)流量模擬、攻擊流量生成等，結(jié)合既有技戰(zhàn)知識(shí)庫、攻防工具庫，操作人員可對(duì)模擬系統(tǒng)進(jìn)行多種滲透攻擊，以檢測系統(tǒng)網(wǎng)絡(luò)安全防護(hù)能力。

（4）應(yīng)用層：根據(jù)鐵路網(wǎng)絡(luò)安全實(shí)際工作需求，設(shè)置業(yè)務(wù)仿真、場景仿真、攻防仿真、漏洞驗(yàn)證、攻擊滲透、風(fēng)險(xiǎn)評(píng)估、知識(shí)答題、奪旗競賽、培訓(xùn)教育等應(yīng)用模塊，并預(yù)留可擴(kuò)展接口，還可結(jié)合業(yè)務(wù)發(fā)展要求和變化增加相應(yīng)功能，如設(shè)備狀態(tài)監(jiān)測統(tǒng)計(jì)、設(shè)備性能優(yōu)化分析、系統(tǒng)網(wǎng)絡(luò)安全態(tài)勢感知[6]等。

（5）安全保障層：收集存儲(chǔ)鐵路大量系統(tǒng)配置信息，結(jié)合國家網(wǎng)絡(luò)安全等級(jí)保護(hù)標(biāo)準(zhǔn)及國鐵集團(tuán)有關(guān)要求，按照等級(jí)保護(hù)第三級(jí)的相關(guān)要求，開展鐵路網(wǎng)絡(luò)安全防護(hù)建設(shè)，設(shè)置網(wǎng)絡(luò)安全及運(yùn)行維護(hù)專職人員，部署漏洞掃描、安全審計(jì)、入侵防范等安全防護(hù)設(shè)備，切實(shí)保障平臺(tái)運(yùn)行安全。

1.2 業(yè)務(wù)流程

平臺(tái)通過資源收集、整合和應(yīng)用，對(duì)各類業(yè)務(wù)場景開展各類攻擊、檢測和安全防護(hù)方案驗(yàn)證等，業(yè)務(wù)流程示意圖，如圖2 所示。

圖2 鐵路網(wǎng)絡(luò)攻防靶場平臺(tái)業(yè)務(wù)流程

（1）平臺(tái)技術(shù)負(fù)責(zé)人員將收集到的鐵路各業(yè)務(wù)場景資源信息進(jìn)行錄入，由平臺(tái)利用集成的數(shù)據(jù)挖掘技術(shù)和云存儲(chǔ)技術(shù)，對(duì)數(shù)據(jù)進(jìn)行分類存儲(chǔ)。

（2）平臺(tái)使用人員使用業(yè)務(wù)仿真模塊建立業(yè)務(wù)場景框架，確定業(yè)務(wù)系統(tǒng)網(wǎng)絡(luò)架構(gòu)，在網(wǎng)絡(luò)架構(gòu)內(nèi)填充存儲(chǔ)的各類資源，同步對(duì)各類虛擬化設(shè)備進(jìn)行參數(shù)配置，構(gòu)建一套完備的虛擬業(yè)務(wù)系統(tǒng)，使用這套模擬業(yè)務(wù)系統(tǒng)開展攻防演練、業(yè)務(wù)培訓(xùn)等。

2 鐵路網(wǎng)絡(luò)攻防靶場平臺(tái)構(gòu)成

鐵路網(wǎng)絡(luò)攻防靶場平臺(tái)通過整合現(xiàn)有資源實(shí)現(xiàn)仿真，其基礎(chǔ)工作是收集的各類資源，核心則是實(shí)現(xiàn)靶場平臺(tái)仿真的子系統(tǒng)，包括業(yè)務(wù)流量模擬子系統(tǒng)、攻擊流量生成子系統(tǒng)、攻防仿真子系統(tǒng)和培訓(xùn)教育子系統(tǒng)。

2.1 業(yè)務(wù)流量模擬子系統(tǒng)

2.1.1 邏輯架構(gòu)

業(yè)務(wù)場景流量模擬子系統(tǒng)提供安全測試過程所需的模擬流量，包括工業(yè)以太網(wǎng)、廣域網(wǎng)[7]、IPV6、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)、工業(yè)互聯(lián)網(wǎng)等網(wǎng)絡(luò)流量模擬，工業(yè)App、視頻監(jiān)控遠(yuǎn)程控制、5G 邊緣計(jì)算、PLC、RTU、車聯(lián)網(wǎng)、基于IPV6 的電信骨干網(wǎng)等應(yīng)用模擬，以及物聯(lián)網(wǎng)城市消防栓管理、物聯(lián)網(wǎng)智能樓宇控制、物聯(lián)網(wǎng)等業(yè)務(wù)場景模擬；其邏輯架構(gòu)如圖3 所示，自下而上劃分為南向接口層、數(shù)據(jù)處理層、功能邏輯層、北向接口層，通過南向接口層與其它系統(tǒng)進(jìn)行數(shù)據(jù)交互。

圖3 業(yè)務(wù)流量模擬子系統(tǒng)邏輯架構(gòu)

2.1.2 功能描述

（1）南向接口層主要包括流量還原和分析與多源數(shù)據(jù)匯聚關(guān)聯(lián)分析接口、惡意行為檢測接口、流量注入與采集接口，實(shí)現(xiàn)與其它應(yīng)用系統(tǒng)的數(shù)據(jù)交互。

（2）數(shù)據(jù)處理層主要負(fù)責(zé)本系統(tǒng)運(yùn)行過程中所涉及的數(shù)據(jù)的存取、分析及計(jì)算等處理，包括流量生成、流量注入、流量采集和導(dǎo)入、流量重組、協(xié)議指紋匹配、流信息采集、域名采集等主要邏輯處理。

（3）功能邏輯層基于數(shù)據(jù)處理層，為上層提供有效的業(yè)務(wù)邏輯處理支撐，包括流量生成、流量注入、流量采集和導(dǎo)入、流量重組、協(xié)議指紋匹配、流信息采集、域名采集等主要邏輯處理。

（4）北向接口層通過與后端管理應(yīng)用系統(tǒng)對(duì)接，面向終端操作用戶提供一個(gè)可視化的人機(jī)交互界面操作入口，涉及的接口包括軟件配置與管理接口、任務(wù)管理接口、規(guī)則管理接口、資源監(jiān)視接口、數(shù)據(jù)展示接口等。

2.2 攻擊流量生成子系統(tǒng)

2.2.1 邏輯架構(gòu)

攻擊流量生成子系統(tǒng)面向仿真模擬系統(tǒng)，集成高效的安全攻擊流量、預(yù)制檢測用例，構(gòu)建可擴(kuò)展伸縮的安全性自動(dòng)檢測框架，實(shí)現(xiàn)10 余種攻擊流量類型模擬，包括可生成拒絕服務(wù)攻擊流量模擬、漏洞利用、病毒、惡意軟件、ARP 流量、掃描探測等；其邏輯架構(gòu)，如圖4 所示。

圖4 攻擊流量生成子系統(tǒng)的邏輯架構(gòu)

2.2.2 功能描述

攻擊流量生成子系統(tǒng)提供攻擊數(shù)據(jù)集，以及全球源IP 地址模塊等系列攻擊流量支撐資源；在匹配攻擊流量過程中，由攻擊數(shù)據(jù)集匹配攻擊數(shù)據(jù)類型及數(shù)據(jù)，由攻擊流量回放模塊進(jìn)行攻擊流量的改造和按需組合，再由攻擊流量投放模塊執(zhí)行攻擊流量的投遞。

此外，在大規(guī)模的攻擊流量測試過程中，為了模擬大型的DDoS 攻擊及僵尸網(wǎng)絡(luò)等攻擊，模擬器將通過數(shù)據(jù)源的全球源IP 地址模塊，修改數(shù)據(jù)包中的源地址信息，模擬全球不同區(qū)域的大規(guī)模網(wǎng)絡(luò)攻擊行為。

2.3 攻防對(duì)抗子系統(tǒng)

攻防對(duì)抗子系統(tǒng)基于仿真模擬系統(tǒng)以及豐富的攻防資源，構(gòu)建單兵競技環(huán)境或多方混戰(zhàn)環(huán)境，如圖5 所示。

圖5 攻防對(duì)抗子系統(tǒng)示意圖

（1）單兵競技是指操作人員登陸后，以闖關(guān)的方式進(jìn)行攻擊，每一關(guān)均有一個(gè)靶場，難度逐級(jí)增加，獲取對(duì)應(yīng)關(guān)卡的FLAG 值，提交正確后即可得分，提交失敗不得分。

（2）攻防對(duì)抗內(nèi)容主要包括信息挖掘與搜索、腳本注入、跨站欺騙、漏洞發(fā)現(xiàn)與利用、程序語言破解等。攻防實(shí)戰(zhàn)模擬環(huán)境，通過攻防對(duì)抗子系統(tǒng)，雙方或多方參與團(tuán)隊(duì)互為攻守，利用給定的目標(biāo)靶機(jī)，挖掘網(wǎng)絡(luò)服務(wù)漏洞并攻擊對(duì)手服務(wù)來得分，修補(bǔ)自身服務(wù)漏洞進(jìn)行防御來避免丟分，充分鍛煉團(tuán)隊(duì)協(xié)作意識(shí)和個(gè)人能力水平。

2.4 培訓(xùn)教育子系統(tǒng)

培訓(xùn)教育子系統(tǒng)面向國鐵集團(tuán)、鐵路局、站段3 級(jí)人員，提供網(wǎng)絡(luò)安全培訓(xùn)教育服務(wù)。靶場平臺(tái)運(yùn)營單位利用鐵路網(wǎng)絡(luò)攻防靶場平臺(tái)的優(yōu)勢資源，編制國家法律法規(guī)和標(biāo)準(zhǔn)規(guī)范、鐵路規(guī)章制度、網(wǎng)絡(luò)安全意識(shí)、網(wǎng)絡(luò)安全技術(shù)、網(wǎng)絡(luò)安全攻擊滲透等方面習(xí)題庫，鐵路職工可通過綜合信息網(wǎng)出口訪問靶場平臺(tái)，參與知識(shí)答題活動(dòng)以及單兵作戰(zhàn)活動(dòng)。

3 關(guān)鍵技術(shù)

3.1 基于云存儲(chǔ)的模塊化網(wǎng)絡(luò)虛擬技術(shù)

針對(duì)鐵路復(fù)雜多樣的業(yè)務(wù)場景及系統(tǒng)特點(diǎn)，基于云存儲(chǔ)技術(shù)理念，構(gòu)建鐵路網(wǎng)絡(luò)虛擬云平臺(tái)，采用模塊化存儲(chǔ)技術(shù)，將鐵路現(xiàn)行廣泛采用的終端、版本、補(bǔ)丁、中間件、服務(wù)器、數(shù)據(jù)庫等分別進(jìn)行虛擬化；同時(shí)，對(duì)虛擬資源進(jìn)行靈活定制，預(yù)留擴(kuò)展空間，有效滿足虛擬化資源的靈活配備（分配或配置）、組合、更新、回收等需要，并可有效解決實(shí)際存儲(chǔ)空間局限性問題，一定程度上實(shí)現(xiàn)“有限空間模擬無限場景”。

3.2 大規(guī)模虛擬網(wǎng)絡(luò)快速構(gòu)建技術(shù)

綜合分析鐵路網(wǎng)絡(luò)架構(gòu)和系統(tǒng)架構(gòu)，統(tǒng)籌構(gòu)建數(shù)據(jù)流節(jié)點(diǎn)，結(jié)合云化、模塊化的信息基礎(chǔ)資源虛擬仿真技術(shù)，在每個(gè)節(jié)點(diǎn)處設(shè)置相應(yīng)信息基礎(chǔ)資源，在不同節(jié)點(diǎn)之間搭建數(shù)據(jù)通道，模擬數(shù)據(jù)流向，通過節(jié)點(diǎn)化與虛擬化相結(jié)合技術(shù)，實(shí)現(xiàn)虛擬節(jié)點(diǎn)和數(shù)據(jù)流量無限復(fù)用，可有效迅速構(gòu)建大規(guī)模虛擬網(wǎng)絡(luò)。

3.3 多層級(jí)流量仿真技術(shù)

針對(duì)傳統(tǒng)流量仿真方法單一的問題，構(gòu)建多源異構(gòu)流量生成系統(tǒng)，可模擬個(gè)人用戶訪問、關(guān)聯(lián)設(shè)備訪問、遠(yuǎn)程請(qǐng)求訪問等多源訪問流量，對(duì)于每項(xiàng)流量可配置結(jié)構(gòu)化、非結(jié)構(gòu)化等異構(gòu)數(shù)據(jù)流量。開展流量模擬時(shí)，在流量生成系統(tǒng)中實(shí)時(shí)生成大量元流量，采取元流量頻率控制、流量疊加、流量拼接等技術(shù)，在同一時(shí)刻生成混合流量。通過不斷優(yōu)化調(diào)整元流量控制策略，理論上可實(shí)現(xiàn)實(shí)際數(shù)據(jù)流量的1:1 仿真。

3.4 多維度可量化攻防效果評(píng)估技術(shù)

建立科學(xué)合理的鐵路網(wǎng)絡(luò)安全攻防行為指標(biāo)體系，引入可伸縮的實(shí)時(shí)績效評(píng)估模型，通過對(duì)網(wǎng)絡(luò)攻防雙方行為流量的全時(shí)監(jiān)測和實(shí)時(shí)分析，進(jìn)行毫秒級(jí)運(yùn)算，實(shí)現(xiàn)攻防效果實(shí)時(shí)評(píng)估，同時(shí)結(jié)合靶場平臺(tái)可視化技術(shù)，實(shí)現(xiàn)攻防效果實(shí)時(shí)展示。

4 結(jié)束語

鐵路網(wǎng)絡(luò)安全經(jīng)過多年的不斷發(fā)展，已經(jīng)基本建成“人防、物防、技防”三位一體的網(wǎng)絡(luò)安全保障體系，初步具備網(wǎng)絡(luò)較為完備的安全防護(hù)能力。但鐵路網(wǎng)絡(luò)安全在主動(dòng)防御、人員技術(shù)能力建設(shè)、安全可靠環(huán)境模擬等方面依然存在不足。鐵路網(wǎng)絡(luò)攻防靶場平臺(tái)的研究與設(shè)計(jì)，有助于解決鐵路網(wǎng)絡(luò)安全面臨主動(dòng)防御能力不足的難題，利用其資源整合優(yōu)勢，與云計(jì)算、大數(shù)據(jù)以及5G[8-10]等技術(shù)結(jié)合，以促進(jìn)鐵路網(wǎng)絡(luò)安全防護(hù)技術(shù)的創(chuàng)新發(fā)展，提升鐵路網(wǎng)絡(luò)安全防護(hù)水平。

下一步將重點(diǎn)針對(duì)鐵路網(wǎng)絡(luò)安全精細(xì)化管理，基于鐵路網(wǎng)絡(luò)攻防靶場平臺(tái)，研究構(gòu)建集設(shè)備資產(chǎn)管理、運(yùn)行配置、資源調(diào)配、運(yùn)維保障、安全防護(hù)、漏洞修復(fù)等于一體的全過程管理模式，以加快實(shí)現(xiàn)鐵路網(wǎng)絡(luò)安全精準(zhǔn)管控。