文｜霍星

中老鐵路(昆明—萬象南)作為“一帶一路”標(biāo)志性工程，北起中國云南省昆明市，終至老撾首都萬象市，北上連接“絲綢之路經(jīng)濟(jì)帶”，南下連接“21世紀(jì)海上絲綢之路”，向東遙望長江經(jīng)濟(jì)帶，是融入和服務(wù)“一帶一路”建設(shè)、推進(jìn)中國與周邊國家互聯(lián)互通的重要基礎(chǔ)設(shè)施。2021年12月3日，中老鐵路正式開通運(yùn)營。

中老鐵路自2021年開通運(yùn)營后，中老鐵路互聯(lián)互通平臺的建立實現(xiàn)了中老鐵路數(shù)據(jù)共享，但也存在需要進(jìn)行多節(jié)點(diǎn)信息共享和協(xié)同、數(shù)據(jù)安全傳輸?shù)确矫娴膯栴}。因此為了解決以上跨境運(yùn)輸數(shù)據(jù)在安全和技術(shù)層面的業(yè)務(wù)痛點(diǎn)問題，亟需開展對中老鐵路互聯(lián)互通平臺信息與網(wǎng)絡(luò)安全運(yùn)維管理的研究，研究成果將對跨境運(yùn)輸數(shù)據(jù)安全和網(wǎng)絡(luò)安全具有重要的國家戰(zhàn)略意義。

一、中老鐵路互聯(lián)互通平臺信息與網(wǎng)絡(luò)安全運(yùn)維問題分析

依托于國鐵集團(tuán)級國際聯(lián)運(yùn)數(shù)據(jù)交換平臺實現(xiàn)中老鐵路互聯(lián)互通數(shù)據(jù)交換。對外通過國際聯(lián)運(yùn)數(shù)據(jù)交換平臺實現(xiàn)出境數(shù)據(jù)的加工處理，生成相應(yīng)報文，并通過集成服務(wù)平臺（外部協(xié)作平臺）實現(xiàn)與老方的信息交換。

中老鐵路互聯(lián)互通平臺的網(wǎng)絡(luò)環(huán)境能夠支撐國際聯(lián)運(yùn)電子數(shù)據(jù)交換需求，對外實現(xiàn)與外方鐵路信息系統(tǒng)信息交換共享，對內(nèi)實現(xiàn)與鐵路既有相關(guān)信息系統(tǒng)安全的互聯(lián)互通，保證國際聯(lián)運(yùn)電子數(shù)據(jù)交換業(yè)務(wù)的順利開展。

中老鐵路互聯(lián)互通平臺的對外交換網(wǎng)絡(luò)采用專線聯(lián)網(wǎng)方式，保證電子數(shù)據(jù)交換的安全性。專線網(wǎng)絡(luò)通道包括邊界通道和國內(nèi)通道。國內(nèi)通道提供國內(nèi)長途通道連接口岸站至國鐵集團(tuán)信息中心網(wǎng)絡(luò)。

中老鐵路互聯(lián)互通平臺作為支撐中老間數(shù)據(jù)交換的核心業(yè)務(wù)系統(tǒng)，加上對外服務(wù)應(yīng)用部署在外服網(wǎng)，容易受到不法分子網(wǎng)絡(luò)攻擊，因此加強(qiáng)和鞏固中老鐵路互聯(lián)互通平臺的信息和網(wǎng)絡(luò)安全工作刻不容緩?；谄脚_的應(yīng)用部署架構(gòu)復(fù)雜性且多樣性的特點(diǎn)及運(yùn)維團(tuán)隊在日常運(yùn)維工作中總結(jié)的經(jīng)驗及心得，梳理出平臺在各個網(wǎng)絡(luò)環(huán)境及整體運(yùn)維體系中存在網(wǎng)絡(luò)安全及管理機(jī)制的問題。

（1）信息交換的安全問題。在實際的網(wǎng)絡(luò)運(yùn)行中，惡意攻擊主要是利用平臺系統(tǒng)中的漏洞，以及數(shù)據(jù)庫缺陷對中老鐵路互聯(lián)互通平臺中的重要數(shù)據(jù)進(jìn)行攻擊，增加了網(wǎng)絡(luò)入侵與攻擊、機(jī)密信息泄露等事件發(fā)生的風(fēng)險。

（2）內(nèi)服網(wǎng)及安全生產(chǎn)網(wǎng)管理制度問題。應(yīng)急預(yù)案過于形式化，問題場景覆蓋面不全，缺乏應(yīng)急演練，等保級別不夠準(zhǔn)確，安全防護(hù)措施存在隱患。

（3）內(nèi)服網(wǎng)與外部邊界接入的安全問題。系統(tǒng)平臺的業(yè)務(wù)數(shù)據(jù)共享與隔離邊界不清，存在數(shù)據(jù)安全問題。

（4） 應(yīng)用及數(shù)據(jù)安全的運(yùn)維管理問題。中老鐵路互聯(lián)互通平臺運(yùn)維過程復(fù)雜，運(yùn)維管理流程有待完善，缺乏專業(yè)運(yùn)維隊伍，出現(xiàn)故障時，維護(hù)人員操作無依據(jù)、執(zhí)行不到位，無法做到迅速響應(yīng)。

（5）專業(yè)運(yùn)維人才及技術(shù)力量儲備問題。缺乏精通技術(shù)與業(yè)務(wù)的復(fù)合型系統(tǒng)運(yùn)維人才，沒有形成關(guān)鍵技術(shù)崗位互備機(jī)制，網(wǎng)絡(luò)安全領(lǐng)域?qū)＜胰瞬湃狈Α?/p>

二、中老鐵路互聯(lián)互通平臺信息與網(wǎng)絡(luò)安全維護(hù)關(guān)鍵技術(shù)

中老鐵路互聯(lián)互通平臺信息與網(wǎng)絡(luò)安全補(bǔ)強(qiáng)具體實現(xiàn)措施主要從平臺物理安全、應(yīng)用安全、平臺網(wǎng)絡(luò)安全、平臺主機(jī)安全、平臺數(shù)據(jù)安全、平臺邊界安全、平臺系統(tǒng)運(yùn)行監(jiān)控、平臺安全管理體系八大方面進(jìn)行設(shè)計。

（一）物理安全

物理安全依托國鐵集團(tuán)機(jī)房和主數(shù)據(jù)中心機(jī)房的安全管理體系進(jìn)行設(shè)計。機(jī)房配備專門人員駐場7×24小時值守值班、監(jiān)控大屏、定期巡視；機(jī)房各關(guān)鍵地點(diǎn)均有攝像頭進(jìn)行實時監(jiān)控。

（二）應(yīng)用安全

1.身份鑒別

中老鐵路互聯(lián)互通數(shù)據(jù)交換需針對不同的業(yè)務(wù)應(yīng)用采用實名制認(rèn)證，對訪問的業(yè)務(wù)應(yīng)用進(jìn)行身份安全鑒別，實現(xiàn)各業(yè)務(wù)應(yīng)用的認(rèn)證與授權(quán)等。

2.訪問控制

中老鐵路互聯(lián)互通數(shù)據(jù)交換需通過權(quán)限管理模塊按不同的業(yè)務(wù)應(yīng)用劃分權(quán)限，只有授權(quán)的業(yè)務(wù)應(yīng)用才能訪問系統(tǒng)的授權(quán)資源。

3.安全審計

中老鐵路互聯(lián)互通數(shù)據(jù)交換需提供完整的審計日志。日志劃分為兩大類：操作日志，由應(yīng)用軟件和數(shù)據(jù)庫管理系統(tǒng)產(chǎn)生，內(nèi)容包括中老交換數(shù)據(jù)的接收與發(fā)送、數(shù)據(jù)修改等。

4.抗抵賴

中老鐵路互聯(lián)互通數(shù)據(jù)交換需對每次數(shù)據(jù)操作均做到軌跡留痕，保留數(shù)據(jù)庫日志，記錄操作人員的IP地址、MAC地址、用戶名、操作時間、操作內(nèi)容等。

5.軟件容錯

中老鐵路互聯(lián)互通數(shù)據(jù)交換創(chuàng)新提供輸入數(shù)據(jù)校驗功能，并進(jìn)行異常錯誤處理機(jī)制，只有所有事務(wù)處理完成才進(jìn)行最終數(shù)據(jù)提交，保證數(shù)據(jù)狀態(tài)的準(zhǔn)確性。

（三）網(wǎng)絡(luò)安全

網(wǎng)絡(luò)設(shè)備采購有充足業(yè)務(wù)處理能力的設(shè)備；設(shè)置內(nèi)外網(wǎng)路由控制，建立安全可信的訪問路徑；嚴(yán)格按照國鐵集團(tuán)網(wǎng)絡(luò)規(guī)劃劃分網(wǎng)段和分配網(wǎng)絡(luò)地址；重要網(wǎng)段與其他網(wǎng)段之間采用可靠的硬件和技術(shù)隔離手段。

（四）主機(jī)安全

中老鐵路互聯(lián)互通數(shù)據(jù)交換應(yīng)用服務(wù)器及數(shù)據(jù)庫服務(wù)器存在由于安全漏洞而被攻擊的風(fēng)險，需要在身份鑒別、入侵防范和資源控制能方便加強(qiáng)防護(hù)。主機(jī)用戶進(jìn)行身份鑒別要實現(xiàn)特權(quán)用戶的權(quán)限分離。

（五）數(shù)據(jù)安全

主要是傳輸安全和存儲安全。傳輸安全是指各個重要通道SSL安全加密傳輸，存儲安全是指對數(shù)據(jù)庫服務(wù)器和數(shù)據(jù)庫進(jìn)行安全訪問控制。通過簽名、HASH等技術(shù)手段，保證中老鐵路互聯(lián)互通數(shù)據(jù)交換的完整性。

（六）邊界安全

明確中老鐵路互聯(lián)互通系統(tǒng)邊界，制定邊界應(yīng)急預(yù)案和安全方案；采用可靠的、符合國鐵集團(tuán)相關(guān)規(guī)定的軟硬件產(chǎn)品；自行軟件開發(fā)環(huán)境做到與實際應(yīng)用系統(tǒng)分開，實現(xiàn)開發(fā)和生產(chǎn)環(huán)境物理隔離；外包軟件開發(fā)應(yīng)用引入專業(yè)的有鐵路信息化開發(fā)背景的團(tuán)隊參與應(yīng)深度測試，避免惡意代碼和軟件后門隱蔽信道。

（七）平臺運(yùn)行監(jiān)控

中老鐵路互聯(lián)互通數(shù)據(jù)交換應(yīng)用的發(fā)布、部署、升級等需進(jìn)行統(tǒng)一控制和管理，對系統(tǒng)軟、硬件環(huán)境進(jìn)行監(jiān)控，包含資源監(jiān)測、采集監(jiān)測、存儲監(jiān)測和計算監(jiān)測等方面。

三、結(jié)束語

隨著中老鐵路互聯(lián)互通平臺業(yè)務(wù)的不斷開展，客戶對平臺服務(wù)質(zhì)量要求的不斷提高，系統(tǒng)功能將會繼續(xù)不斷完善和豐富，同時國鐵集團(tuán)對中老鐵路互聯(lián)互通平臺的安全性、穩(wěn)定性、高效性提出了更高的要求。只有將中老鐵路互聯(lián)互通平臺的日常生產(chǎn)運(yùn)維工作做實做細(xì)，不斷積累既有系統(tǒng)運(yùn)維經(jīng)驗，提高維護(hù)人員對應(yīng)急預(yù)案掌握的熟練程度，打造一支有戰(zhàn)斗力的運(yùn)維團(tuán)隊，摸索出一整套體系化、高效、專業(yè)的運(yùn)維管理手段，才能真正保障好中老鐵路互聯(lián)互通平臺穩(wěn)定運(yùn)行。