1、行业背景

1.1行业背景

我国对于关键信息基础设施安全保护一直非常重视。《关基保护要求》是继《关保条例》后，首个发布的关键信息基础设施安全保护标准，对于我国关键信息基础设施安全保护有着极为重要的指导意义。

《关基保护要求》保护的对象是关键信息基础设施，在公共通信和信息服务、能源、交通、水利金融、公共服务、电子政务、国防科技工业等重要行业和领域，一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。

交通系统网络安全与信息化工作，立足我国交通运输行业现代化建设的新形势，稳定运行集交通基础设施、出行服务、行业监管以及决策指挥等各项功能为一体的“智慧交通”，切实加强网络安全管理，通过信息化建设与网络安全的一体推进，助力现代综合交通运输体系建设，推动高质量发展。

1.2城市轨道

根据中国城市轨道交通协会发布的《智慧城市轨道交通信息技术架构及网络安全规范 第3部分：网络安全》中提出，针对城市轨道交通系统中的网络系统进行保护和防护的一系列措施。城市轨道交通是现代城市重要的交通工具，网络系统的安全问题直接影响到城市交通的正常运行和乘客的安全。

首先，城市轨道网络安全需要加强对网络系统的访问控制。只有授权访问者才能获得网络系统的访问权限，减少非授权访问者对网络系统造成的威胁。可以通过强化密码策略、实施双因素认证等方式，提高网络系统的访问安全性。

然后，城市轨道网络安全需要加强对网络系统隔离防护。网络隔离是保护网络系统免受未经授权访问和攻击的第一道防线，保护网络系统免受外界入侵和攻击。

城市轨道网络安全需加强对网络系统的监控和日志记录，通过实时监控网络系统的运行状态和日志记录，能够快速发现和处置异常行为，提高网络系统的安全性和信任度。

1.3铁路交通

铁路是国民经济大动脉、关键基础设施和重大民生工程，是综合交通运输体系的骨干和主要运输方式之一，在我国经济社会发展中的地位和作用至关重要。加强现代化铁路建设，对扩大铁路运输有效供给，构建现代综合交通运输体系，建设交通强国，实现“两个一百年”奋斗目标和中华民族伟大复兴的中国梦，具有十分重要的意义。对于铁路行业而言，安全保障至关重要。

随着自动化和信息化水平的不断发展，铁路控制系统与网络的联系也愈加紧密，来自系统外部或内部的网络攻击威胁逐渐增大，安全风险也日益加剧。近年来，全球范围铁路行业相继发生多起网络安全事件，铁路行业的网络安全问题已引起社会各界的高度关注。

2、业务需求

交通行业网络安全需求主要体现在以下几个方面‌：

2.1 网络未隔离

用户网络在建设初期主要考虑易用性和快速部署，因此存在数据流向不清晰、隔离措施不完善、隔离强度不达标等问题，容易引发各跨网交换非授权访问风险以及系统间病毒跨网传播风险。

2.2网络安全监管

各工作区内部缺少对网络流量监测审计的手段，无法针对安全系统协议层面存在的恶意攻击、异常流量进行审计，更无法对网络指令攻击和控制参数篡改进行实时监测和告警，极易产生网络入侵事件，最终导致安全生产事故的发生。

2.3终端加密管理

终端设备部署较为分散，操作人员的计算机水平也参差不齐，因此终端设备的安全管理成为对网络管理人员来说最为棘手的安全问题。终端泄密、非授权访问和内部攻击等都对会数据中心安全造成威胁，各类终端和服务器系统管理同样是一个重要问题。

2.4维护不及时

重要网络的运维遇到特殊紧急情况时只能通过现场方式进行，无法进行远程维护，对维护人员权限无法合理使用，降低运维处理效率，提高事件处理成本。

3、建设方案

铁路数据通信系统由区域节点、接入节点、数据通信区域组成。区域节点实现区域网络与骨干网络间数据的快速转发；数据通信区域实现各数据接入点的数据流量高速汇聚。

在铁路数据通信网中依据区域节点和接入节点组成铁路数据通信网络，分别从系统边界、链路安全、集成安全能力等方面进行安全防护建设。

1. 系统边界

区域节点和接入节点中的铁路外部网络汇聚系统接入铁路通信系统网，网络中部署安全隔离与信息交换系统，对视频流量数据、TCP/UDP协议和工控协议的安全隔离和数据同步管理，支持病毒检测和抗攻击能力，实现系统边界的安全保护。

2. 链路安全

铁路数据通信网络中涉及对用户终端、管理终端、前端物联网设备之间数据流通链路的安全问题。在网络中部署加密认证网关，实现终端恶意代码防护、白名单防护。加密认证网关<500行核心硬件代码无CPU架构，避免了系统漏洞、木马病毒等潜在的安全威胁，有效保障铁路数据通信系统网络的链路安全。

3. 安全能力集成

对区域节点网络核心交换设备接入日志审计系统，实现铁路通数据信网的各种网络设备、安全设备、安全系统、主机操作系统、数据库以及用户的应用系统和业务系统全面的日志采集。为了便于对系统中运维人员管理和实现安全运维，网络中部署安全运维审计系统。通过部署资产管理平台系统对铁路数据通信网络进行集中监测、安全策略统一下发、安全事件集中审计和分析。对资产威胁、攻击路径、脆弱性进行分析。包括视频和工控信息安全监管与日志审计与安全分析。用API安全监测和访问控制系统经过核心交换设备的数据流量，对流量中流动的敏感数据资产进行识别和提取，铁路数据通信网络的敏感数据类型进行分级分类。

4、应用价值

1. 安全隔离

实现接入节点和区域节点之间使用隔离网闸的策略限制，通过独立的硬件交换控制逻辑自主完成数据的交换，确保系统数据只传输给可信、被授权的接收方，从而杜绝造成数据信息的泄露。

2. 安全运维

通过集中化运维安全运维，提高系统维护工作效率；提供全面的用户和资源管理，减少维护成本；助力单位制定严格的资源访问策略，并且采用强身份认证手段，全面保障系统资源的安全。

3. 安全防护

实现从设备状态监控、安全策略配置和下发、软件升级和授权、安全事件收集和处置，提供贯穿安全防护、安全监测、分析预测、响应处置整个安全管理全周期闭环体系，实现日常安全监测、安全事件分析、安全响应处置、定期进行安全配置检查和安全风险评估等一站式安全防护能力。

4. 数据安全

通过在系统中采用数据资产安全管理平台、API安全监测与访问控制系统、加密认证网关、日志审计、运维审计系统等多种技术手段，建设覆盖数据采集、传输、使用、存储、共享、销毁等环节的全维度数据安全监管，全面归集数据安全管理各环节信息，对数据安全操作进行有效管控，对安全信息进行感知、研判、预警，应对数据采集阶段的各类数据安全威胁,实现对数据安全各环节的有效管控，建立数据安全防护体系。