張 威，司鑫悅

（1. 溫州市鐵路與軌道交通投資集團有限公司運營分公司，浙江溫州 325600；2. 鐵科院（北京）工程咨詢有限公司，北京 100081）

隨著國內(nèi)數(shù)字化轉(zhuǎn)型的推進，我國新型基礎(chǔ)設(shè)施建設(shè)項目不斷開展上線，應(yīng)用系統(tǒng)規(guī)模不斷擴大，傳統(tǒng)數(shù)據(jù)中心資源利用率低、能源消耗大、業(yè)務(wù)上線慢、管理智能化程度低等弊端日益突出[1]。云計算以其高效、低能耗、彈性擴展的特點，符合未來的發(fā)展趨勢，在各領(lǐng)域中被實踐應(yīng)用。城軌云作為新型技術(shù)手段，是智慧城軌建設(shè)的基礎(chǔ)，城軌云對于大數(shù)據(jù)平臺和大數(shù)據(jù)分析應(yīng)用、打破信息孤島、優(yōu)化現(xiàn)有3級系統(tǒng)架構(gòu)、承載智慧地鐵業(yè)務(wù)等方面帶來顛覆性變革[2]。隨著城軌云的發(fā)展，容器、微服務(wù)等技術(shù)開始走上城軌云舞臺，各業(yè)務(wù)數(shù)據(jù)的融合程度也越來越高，云數(shù)融合已成為未來發(fā)展的必然趨勢，如何保證信息安全，減少網(wǎng)絡(luò)攻擊、信息泄漏、木馬病毒事件的發(fā)生，也已成為當下熱點問題。文章通過對網(wǎng)絡(luò)架構(gòu)、安全運營體系、安全管理體系3 方面進行強化和深入研究，搭建城市軌道交通云網(wǎng)絡(luò)安全體系。

1 城市軌道交通網(wǎng)絡(luò)架構(gòu)

本文通過對網(wǎng)絡(luò)建設(shè)規(guī)范性、網(wǎng)絡(luò)可靠性、網(wǎng)絡(luò)邊界安全、網(wǎng)絡(luò)協(xié)議、網(wǎng)絡(luò)流量等進行分析，對網(wǎng)絡(luò)通信安全、設(shè)備自身安全、網(wǎng)絡(luò)安全進行管理等，搭建城市軌道交通網(wǎng)絡(luò)架構(gòu)。

1.1 總體架構(gòu)

參照中國城市軌道交通協(xié)會云計算網(wǎng)絡(luò)架構(gòu)標準，結(jié)合業(yè)內(nèi)專家團隊分析評估內(nèi)容，將城市軌道交通網(wǎng)絡(luò)架構(gòu)建設(shè)分為3張網(wǎng)進行規(guī)劃，即安全生產(chǎn)網(wǎng)、內(nèi)部管理網(wǎng)及外部服務(wù)網(wǎng)[3]。數(shù)據(jù)中心網(wǎng)絡(luò)采用具備高擴展性的扁平化組網(wǎng)，同時為滿足城市軌道交通網(wǎng)絡(luò)安全一體化及后續(xù)新型業(yè)務(wù)對于低延時的需求，城市軌道交通網(wǎng)絡(luò)架構(gòu)規(guī)劃如圖1所示。

1.2 網(wǎng)絡(luò)拓樸規(guī)劃

以生產(chǎn)網(wǎng)為例，整體網(wǎng)絡(luò)建設(shè)采用分區(qū)分模塊原則，大致分為網(wǎng)絡(luò)核心交換區(qū)、云桌面資源區(qū)、計算資源區(qū)、測試區(qū)、大數(shù)據(jù)資源區(qū)、人工智能（AI）及智慧類業(yè)務(wù)區(qū)、云安全資源區(qū)、桌面接入?yún)^(qū)以及存儲資源區(qū)等，同時通過核心區(qū)實現(xiàn)與線路云業(yè)務(wù)接入?yún)^(qū)、非云業(yè)務(wù)接入?yún)^(qū)、外部系統(tǒng)接入?yún)^(qū)的互聯(lián)互通，并且構(gòu)建單獨的運維管理網(wǎng)，實現(xiàn)對全網(wǎng)資源的統(tǒng)一管理及運維。

網(wǎng)絡(luò)架構(gòu)中，通過自防御網(wǎng)絡(luò)（SDN）控制器實現(xiàn)網(wǎng)絡(luò)安全資源的調(diào)度與編排，包括安全防護策略與安全路徑的定義，真正實現(xiàn)網(wǎng)絡(luò)安全一體化，同時對于AI及智慧類業(yè)務(wù)，采用遠程直接內(nèi)存訪問（RDMA）技術(shù)，滿足業(yè)務(wù)的高效訪問需求。

通過圖2所示網(wǎng)絡(luò)拓撲規(guī)劃圖可以看出整網(wǎng)分為4張網(wǎng)，分別為：外部服務(wù)網(wǎng)、內(nèi)部管理網(wǎng)、運維管理網(wǎng)、安全生產(chǎn)網(wǎng)。外部服務(wù)網(wǎng)主要用于內(nèi)網(wǎng)用戶訪問互聯(lián)網(wǎng)和外網(wǎng)用戶訪問內(nèi)網(wǎng)業(yè)務(wù)；內(nèi)部管理網(wǎng)主要由云計算區(qū)和智能化接入?yún)^(qū)組成；運維管理網(wǎng)主要由各管理平臺和運維平臺組成，擁有最高權(quán)限，對全網(wǎng)進行統(tǒng)一運維和管理；安全生產(chǎn)網(wǎng)主要由車輛運行調(diào)度所需的各個系統(tǒng)搭建完成，各系統(tǒng)獨立組網(wǎng)[4]。

2 全鏈路安全運營體系

針對云平臺的網(wǎng)絡(luò)架構(gòu)與特點，通過覆蓋“云、網(wǎng)絡(luò)、終端、數(shù)據(jù)、應(yīng)用”等5個方面的技術(shù)監(jiān)管建設(shè)，補短板強弱項，構(gòu)建安全工作業(yè)務(wù)化、安全管理常態(tài)化、安全處置精準化的全鏈路安全運營體系[5]。加強網(wǎng)絡(luò)安全數(shù)據(jù)共享共用，強化各部門主體責(zé)任，深化工作體制融合支撐，全面提升城市軌道交通網(wǎng)絡(luò)安全的監(jiān)測響應(yīng)處置管理能力。通過構(gòu)建城市軌道交通全鏈路網(wǎng)絡(luò)安全運營平臺，梳理安全數(shù)據(jù)清單，清晰安全管理業(yè)務(wù)流程，實現(xiàn)城市軌道交通網(wǎng)絡(luò)安全問題發(fā)現(xiàn)、通報、整改的及時性、有效性，進一步壓實各部門的主體管理職責(zé)。

從全鏈路安全運營的角度來看，整體體系應(yīng)從網(wǎng)絡(luò)安全架構(gòu)、數(shù)據(jù)安全體系、應(yīng)用安全態(tài)勢、云端安全能力、終端安全感知這5個方面進行探索與建設(shè)[6]。

2.1 網(wǎng)絡(luò)安全架構(gòu)研究

城軌云網(wǎng)絡(luò)架構(gòu)為線網(wǎng)中心云平臺+車站2級架構(gòu)，通過數(shù)據(jù)中心網(wǎng)絡(luò)、骨干傳輸網(wǎng)絡(luò)等進行數(shù)據(jù)互通的方式進行部署。數(shù)據(jù)中心采用標準的云計算扁平組網(wǎng)架構(gòu)，并且劃分為業(yè)務(wù)網(wǎng)、存儲網(wǎng)、管理網(wǎng)等多張獨立網(wǎng)絡(luò)，且整體網(wǎng)絡(luò)架構(gòu)設(shè)計要求具備一定的冗余能力和可擴展性，可以更好地進行彈性調(diào)度與伸縮擴展[7]。

2.2 數(shù)據(jù)安全體系建設(shè)

目前數(shù)據(jù)安全體系建設(shè)包括數(shù)據(jù)分類分級系統(tǒng)、數(shù)據(jù)脫敏系統(tǒng)、數(shù)據(jù)透明加密系統(tǒng)、數(shù)據(jù)防泄漏系統(tǒng)、應(yīng)用程序接口（API）網(wǎng)關(guān)和數(shù)據(jù)庫安全網(wǎng)關(guān)系統(tǒng)，并通過數(shù)據(jù)安全管控平臺進行數(shù)據(jù)安全的統(tǒng)籌管理。

2.3 應(yīng)用安全態(tài)勢建設(shè)

應(yīng)用安全態(tài)勢建設(shè)包括資產(chǎn)管理、監(jiān)測預(yù)警、威脅情報、態(tài)勢分析、安全通報[8]。

資產(chǎn)管理實現(xiàn)對城軌云網(wǎng)絡(luò)資產(chǎn)底數(shù)的全面探測與管控，能夠解決以往資產(chǎn)管控存在的大量短板，并能提供完善的資產(chǎn)管理方案。

監(jiān)測預(yù)警可全方位監(jiān)測發(fā)現(xiàn)業(yè)務(wù)系統(tǒng)的安全風(fēng)險、安全事件與失陷資產(chǎn)，并提供對數(shù)據(jù)的分析、驗證、審核等服務(wù)，保障監(jiān)測數(shù)據(jù)的準確有效性。

威脅情報通過多種威脅數(shù)據(jù)采集手段，實現(xiàn)全天候的威脅情報采集和收錄能力，通過機器學(xué)習(xí)、大數(shù)據(jù)處理、云沙箱等多種手段生產(chǎn)、萃取高質(zhì)量與更豐富的情報數(shù)據(jù)。

態(tài)勢分析的作用是將城軌云重要信息系統(tǒng)的資產(chǎn)、威脅風(fēng)險、網(wǎng)絡(luò)攻擊、安全事件、預(yù)警處置總體分布情況，通過柱形圖、餅圖、趨勢曲線圖以及不斷變化的趨勢數(shù)值進行全區(qū)安全態(tài)勢綜合展現(xiàn)[9]。并提供最新相關(guān)網(wǎng)絡(luò)安全新聞、資訊，把握行業(yè)最新動向，為城軌云提供國內(nèi)外安全態(tài)勢，做好相應(yīng)分析。

安全通報是根據(jù)安全監(jiān)測、態(tài)勢感知等模塊獲取的信息，結(jié)合資產(chǎn)管理的相關(guān)數(shù)據(jù)，利用通報處置模塊對情報進行分析、判斷并做出預(yù)警，從而可以及時處置[10]。

2.4 云端安全能力建設(shè)

從城軌云安全角度出發(fā)，匯聚城軌云端資源信息，實現(xiàn)可視化的云端資源全生命周期信息審查，包括業(yè)務(wù)系統(tǒng)整體數(shù)量、云資源申請數(shù)量、創(chuàng)建信息、部署情況、運維操作、性能監(jiān)控以及銷毀釋放等，通過全鏈路安全運營平臺即可統(tǒng)一查看[11]。此外，支持業(yè)務(wù)風(fēng)險、安全合規(guī)等可視化呈現(xiàn)，讓云端安全運營管理變得更加簡單，充分明晰云端資產(chǎn)安全情況。

2.5 終端安全感知建設(shè)

終端安全感知建設(shè)分為城軌云終端安全能力建設(shè)與互聯(lián)網(wǎng)終端安全能力建設(shè)[12]。終端安全管控能力基于主機安全衛(wèi)士進行建設(shè)，可實現(xiàn)對病毒（如勒索病毒、挖礦病毒等）的查殺、服務(wù)器性能監(jiān)控、服務(wù)器外設(shè)管理、服務(wù)器配置管理、服務(wù)器定期巡檢等功能。

3 網(wǎng)絡(luò)安全運營管理體系

3.1 網(wǎng)絡(luò)安全規(guī)劃咨詢及管理制度

網(wǎng)絡(luò)安全規(guī)劃咨詢及制定管理制度可以通過組建安全規(guī)劃小組，并根據(jù)城市軌道交通集團網(wǎng)絡(luò)安全保障體系建設(shè)、十四五規(guī)劃等提供2021年—2025年5年的網(wǎng)絡(luò)安全規(guī)劃方案，從而設(shè)計合理的項目實施方案和實施流程，協(xié)助進行項目推進及落地。內(nèi)容主要對網(wǎng)絡(luò)安全戰(zhàn)略、技術(shù)、管理體系進行規(guī)劃，并通過規(guī)范落實程度、安全指標、安全威脅等級、安全缺失、信息反饋指標、整改處置結(jié)果等內(nèi)容，確定考核評估的權(quán)重、分值和制定考核評估后的獎懲機制，將網(wǎng)絡(luò)安全工作監(jiān)督管理有效落地，為城市軌道交通集團各級單位網(wǎng)絡(luò)安全保障工作的閉環(huán)持續(xù)有效提供規(guī)范和依據(jù)[13]。

在編制管理制度文件時，按照最新技術(shù)標準要求，定期以集團網(wǎng)絡(luò)安全管理現(xiàn)狀、差距以及風(fēng)險評估等為參照，制定網(wǎng)絡(luò)安全管理體系框架，明確管理體系方針、政策等，并從城市軌道交通實際業(yè)務(wù)流程出發(fā)，按照相應(yīng)管理標準，編寫相應(yīng)管理制度文件，并進行持續(xù)修訂與完善[14]。制定的制度規(guī)范可以從信息化建設(shè)項目管理、信息系統(tǒng)運行維護管理、官方互聯(lián)網(wǎng)平臺管理細則、數(shù)據(jù)共享開放管理、網(wǎng)絡(luò)與信息安全管理、信息化數(shù)據(jù)管理等角度開展。同時，安全規(guī)劃小組可以根據(jù)需求，針對信息化前沿規(guī)劃方面的相關(guān)安全管理制度體系，提供咨詢服務(wù)。

3.2 網(wǎng)絡(luò)安全運營團隊、流程及思路

網(wǎng)絡(luò)安全的根本性對抗者是人[15]。對于組織機構(gòu)來說，專業(yè)安全人員在安全運營管理體系中占據(jù)核心地位。合理地進行專業(yè)人員的配置，能夠保證策略的有效執(zhí)行、平臺的有效使用、產(chǎn)品的合理管理、流程的正常運轉(zhuǎn)。一般來說，針對安全運營團隊的要求有2個方面：團隊的組織架構(gòu)與團隊能力。

安全運營管理體系的建設(shè)不僅要考慮到運營人員的組織分工，還要融合業(yè)務(wù)發(fā)展、適配管理要求，制定和完善統(tǒng)一化、標準化、高效化的運營流程，形成和落實日常安全運營機制，規(guī)范安全運營操作環(huán)節(jié)、步驟、工具和方法，提高安全運營的工作效率，保證運營操作的一致性、服務(wù)交付的統(tǒng)一性和服務(wù)質(zhì)量的穩(wěn)定性。

整體安全運營管理體系覆蓋了資產(chǎn)風(fēng)險、邊界防御、威脅檢測、應(yīng)急響應(yīng)、風(fēng)險評估、監(jiān)測預(yù)警、合規(guī)建設(shè)等安全管控界面，通過標準化的安全運營流程（SOP）將組織、流程、技術(shù)有機結(jié)合，充分利用現(xiàn)有基礎(chǔ)安全資源，參考網(wǎng)絡(luò)安全運營模型的五大核心攻防對抗域，對安全運營業(yè)務(wù)進行重新設(shè)計和編排，持續(xù)開展常態(tài)化、一體化、專業(yè)化的安全運營工作。整體安全運營工作是朝著快速提升和迭代優(yōu)化攻擊防御能力、風(fēng)險檢測能力、威脅分析能力、應(yīng)急響應(yīng)能力和業(yè)務(wù)恢復(fù)能力的目標前進，期望能夠構(gòu)建主動、積極、縱深、精準、整體的安全運營管理體系，實現(xiàn)全鏈路安全運營管理體系閉環(huán)，最大限度上將風(fēng)險降低到可接受的范圍。

4 研究成效

4.1 建設(shè)安全管控統(tǒng)籌管理、分級處置的架構(gòu)

本文提出的云平臺在組織架構(gòu)及安全規(guī)劃上均采用自上而下的設(shè)計體系，在管理的維度上，方案的安全運營服務(wù)體系將為安全制度和今后的安全規(guī)劃提供專家級的指導(dǎo)方向和建議；在流程的維度上，研究中的安全管理中心能夠提供全域的安全事件整合和感知，結(jié)合人工處置服務(wù)能夠提供閉環(huán)的安全事件解決流程；在技術(shù)的維度上，針對全網(wǎng)的安全防護和全流程的數(shù)據(jù)安全治理為分級處置提供解決問題的抓手。

4.2 內(nèi)網(wǎng)、外網(wǎng)、生產(chǎn)網(wǎng)三網(wǎng)分域管控

本研究通過邊界訪問控制設(shè)備，對城軌云平臺的三網(wǎng)進行了邊界及內(nèi)部業(yè)務(wù)的切割，根據(jù)三網(wǎng)的不同業(yè)務(wù)和安全防護需求分別進行了安全規(guī)劃，針對性地降低各區(qū)域的安全風(fēng)險，為后期的安全設(shè)計規(guī)劃鋪平道路。

4.3 明晰安全技術(shù)體系建設(shè)思路

結(jié)合三網(wǎng)分域管理的安全需求，安全技術(shù)體系建設(shè)分別從網(wǎng)絡(luò)和數(shù)據(jù)方面進行設(shè)計，并結(jié)合安全運營服務(wù)建立統(tǒng)一的安全管理中心，統(tǒng)籌安全管理。網(wǎng)絡(luò)層面結(jié)合外部服務(wù)網(wǎng)、內(nèi)部管理網(wǎng)、安全生產(chǎn)網(wǎng)的現(xiàn)狀，面向流量、安全日志、資產(chǎn)脆弱性等基礎(chǔ)安全顆粒進行安全設(shè)計；數(shù)據(jù)層面主要面向內(nèi)部管理網(wǎng)，對于敏感數(shù)據(jù)的流轉(zhuǎn)集中精力進行安全防護，打造集網(wǎng)絡(luò)、數(shù)據(jù)、服務(wù)于一體的安全能力[16]。

5 結(jié)語

城市軌道交通網(wǎng)絡(luò)安全體系的建設(shè)可實現(xiàn)對城市軌道交通“云、網(wǎng)絡(luò)、終端、數(shù)據(jù)、應(yīng)用”5個維度的數(shù)據(jù)進行有效的安全監(jiān)測，實現(xiàn)數(shù)據(jù)、資產(chǎn)的信息化管理，實現(xiàn)網(wǎng)上一鍵通報、預(yù)警、快速處置，可有效減少傳統(tǒng)通信、交通、人力、管理等方面的支出，大幅降低各類資源的消耗，節(jié)約社會資源。將行政效能監(jiān)督、被動式監(jiān)督轉(zhuǎn)變?yōu)檫M行式、主動式全過程監(jiān)督，可以有效提高信息利用率和時效性。