铁路网络安全攻防仿真实验平台方案设计

祝咏升

（中国铁道科学研究院集团有限公司 电子计算技术研究所， 北京 100081）

我国高速铁路进入智能铁路时代，智慧服务元素与云计算、物联网、大数据、移动互联等新技术深度融合。铁路信息系统在高度信息化和智能化的同时[1]，也面临着更多样化的网络安全风险和潜在威胁，铁路关键信息基础设施及网络是攻击和渗透的主要目标。铁路网络安全已然成为铁路安全的重要组成部分。目前，铁路信息系统在网络安全防护、主动态势感知、及时有效预警等方面缺乏有效措施，难以抵御国家级、有组织、高强度的网络攻击。

考虑到铁路现有生产系统对实时性和可靠性要求较高，且网络结构和业务流程复杂，难以在生产环境上进行网络攻防演练和技术研究。利用铁路网络安全攻防仿真实验平台（简称：实验平台），能够规避对生产系统及网络的破坏，实现对业务系统全作业流程的场景模拟，为网络安全攻防、测评技术研究、事件取证分析和安全防御能力验证，以及铁路网络安全人才培养提供基础环境支撑。

本文通过深入分析实验平台建设需求，提出实验平台总体方案设计和功能区域设计，研究关键技术，为建设铁路行业网络安全攻防仿真实验室提供理论基础。

1 实验平台总体架构设计

实验平台采用开放性网络体系，以先进性技术植入、针对性环境搭建、设备灵活扩展、部署灵活、过程可复现[2]、高内聚、低耦合为原则进行设计[3-4]。实验平台总体架构设计如图1所示。

1.1 基础资源层

基础资源层主要提供平台基础组件资源，包括专用虚拟化服务器、网络设备、安全设备、存储设备、前端展示设备资源，以及用于模拟业务系统所必要的数据库、中间件、操作系统等基础组件资源，为上层业务系统提供计算、存储等的资源池和访问资源，实现平台资源自动部署和仿真环境快速生成[5-6]。

图1 实验平台总体架构设计图

1.2 平台层

平台层采集基础资源层的仿真实验环境数据，如平台数据、组件运行数据、用户行为数据等，建立各类虚拟设备、物理设备资产指纹库，通过实时漏洞扫描和威胁分析，形成资产漏洞库和补丁库，并借助攻防技战库和工具库，为核心业务系统提供监控、分析、可视化的数据来源。

1.3 核心业务层

核心业务层主要功能是实现实验平台系统仿真及网络靶场等核心业务，包含应用仿真、攻击测试、安全防护、演练导调评估、安全培训、可视化展示6个子系统。

（1）应用仿真子系统

采用柔性虚实互联技术与软件定义网络（SDN，Software Defined Network）技术，将物理主机、网络与存储设备进行主机与网络虚拟化，构建可定制化的虚拟场景、虚实结合场景、实体场景等多种模式的演练基础环境[7]，以支撑基于业务安全的威胁分析、测试、安全措施验证、网络攻防演练、攻防技术研究等工作。

（2）攻击测试子系统

提供网络攻击常用的攻击工具及技战法知识库，同时对网络渗透攻击过程进行管理，对目标系统发起有组织和规模化的攻击，对目标系统防御能力进行安全测试、评估与防御措施验证，挖掘系统存在的安全隐患，检验目标系统安全防御策略的有效性，为系统安全加固方案设计提供依据。

（3）安全防护子系统

通过部署各类型网络安全防护设备，以及网络攻击溯源反制系统和安全防御技战法知识库，构建仿真目标系统安全防御体系，为网络安全事件监测预警、态势感知、应急决策、溯源分析提供支撑，为铁路系统开展网络攻防演练、加固措施验证、安全防御能力检验等工作提供技术手段。

（4）演练导调评估子系统

该子系统负责攻防演练的总体规划协调、演练任务计划制定、攻防效果监测评估、复盘推演、效能评估等任务调度及管理。构建与控制网络攻防对抗行动，依据网络对抗计划及导调方案推进攻防对抗演练，针对不同的网络攻击演练设想，制定攻防模拟环境配置、评估评测等导调方案，生成多类型网络攻防策略，构建多样化、复杂化网络攻防对抗环境[8]。

（5）安全培训子系统

系统主要包括课程管理、场景管理、题库配置、在线练习、考试管理、分析评价等功能场景。实验平台利用成熟的虚拟化技术，配合具有典型意义的对抗场景模板或课件，构建实训环境。系统可设置不同的角色和学习资源权限，结合应用仿真系统和基础资源库，生成适用于不同岗位实训人员的课程体系和演练场景。

（6）可视化展示子系统

该子系统将基于实验平台各业务系统采集的数据，配合大屏展示系统，针对不同的用户视角，用直观的数据及图表进行可视化展现。包括培训可视化、演练可视化、资源可视化、运维可视化等核心功能。

1.4 应用层

应用层满足仿真实验平台管理和功能业务需要，通过平台部署的核心业务系统为安全技术研究、安全风险评估、系统渗透测试、安全加固措施验证、攻防对抗演练、人才培训等业务应用场景提供支撑。同时，不同应用场景的实践，也为核心业务系统资源再配置、策略再优化、功能再升级提供数据支撑。

（1）网络安全技术研究

构建虚实结合的仿真实验环境及各种攻击、防御工具，对仿真系统的通信网络安全、主机安全、应用安全和数据安全等领域进行研究，对漏洞利用、后门攻击、木马植入、协议破解、监测预警、溯源反制等攻防技战术进行研究，并支撑基于业务安全的威胁分析、测试、安全措施验证等工作。

（2）系统安全风险评估

利用实验平台对模拟搭建的铁路关键信息基础设施或核心业务系统开展风险评估。通过安全风险评估，及时查找症结，进行安全加固整改，确保系统符合国家及铁路主管部门相关法律法规、设计标准或安全基线等要求。

（3）系统渗透测试

实验平台提供一个授权的渗透测试接口，并利用装备的攻击工具对模拟仿真系统或在线运行生产系统进行渗透测试和模拟攻击，为挖掘系统安全漏洞及威胁，研究网络安全攻防、检测技术，反验渗透测试思路提供支撑。

（4）安全加固措施验证

利用实验平台对仿真系统的漏洞补丁修复、安全配置及策略更新等安全加固措施的可行性和安全防护的有效性进行测试论证，判定安全加固措施是否影响系统业务的安全稳定运行，进而设计出符合系统生产实际的网络安全加固方案。

（5）网络安全漏洞验证

利用实验平台提供一个可信、可控、可操作性强的验证评估环境，进行安全漏洞补丁修复、安全配置更改、安全策略更新等安全加固措施的测试论证。对安全措施的可行性和安全防护的有效性进行测试论证。对模拟靶标系统存在的安全漏洞进行验证和利用，还原经典漏洞案例，加深对漏洞原理的理解。

（6）网络攻防对抗演练

利用实验平台设计单兵作战、团队红蓝对抗、综合网络靶场3种攻防对抗演习模式。攻击方利用一切可以利用的工具、手段对目标系统进行攻击。防御方利用监测和防护系统，动态调整仿真系统安全配置策略和防护体系，防御攻击方进攻。网络安全攻防对抗演习是评估安全防御和安全攻击能力的有效方法，并能够对系统的安全性进行有效验证。

（7）网络安全人才培训

实验平台提供一套集理论授课、技能训练、仿真演练深度融合的教学实践系统，为不同类型、不同水平实训人员提供定制化、逐步进阶的课程体系，采用研究型、对抗型、实战型多元化攻防对抗演练场景，使学员能够深度掌握网络安全基础知识、技术技能、攻防技战法，提高网络安全人才培养效能。

2 实验平台功能区域

2.1 功能区域设计

实验平台功能区域设计分为科研实验区、攻防演练区、靶场实战区、教学培训区、系统管理区、系统展示区6大功能区域，如表1所示。

表1 实验平台功能区域设计列表

2.2 功能区域网络拓扑设计

实验平台网络拓扑示意图如图2所示。

系统接入区用于部署实验平台涉及的相关核心业务系统，包括应用仿真、攻击测试、安全防护、演练导调评估、安全培训、可视化展示等子系统。生产系统接入区实现铁路生产网络与网络安全攻防实验平台的互联互通，以方便利用实验平台相关系统对铁路实际生产网络承载的业务系统进行安全测试、风险评估、防御能力验证。

图2 实验平台网络拓扑示意图

3 关键技术

3.1 柔性虚实互联

实验平台通过并行任务分派方式，采用虚拟网络及区域划分技术，设计柔性互联装置，屏蔽底层物理资源的异构性，实现虚实节点柔性互联和部署，构建与铁路实际生产系统高仿真实验环境，实现基础组件资源高效共融、有效隔离，以及实验平台的全过程、多用户、多场景并发管理与控制。满足虚拟资源的灵活分配、动态回收和个性化配置需要，可快速生成自动化网络拓扑、网络设备与安全设备的模拟环境。

3.2 异构数据融合

实验平台涉及基础配置、网络流量、模拟样本、用户行为、系统日志等多种异构数据源，需要按照统一数据交换格式和接口标准对各类异构数据进行过滤、筛选、规约分析，整合形成规范数据格式，实现数据到安全知识的转化，为实验平台各业务应用的攻防效能评估、复盘、态势展示提供数据支撑。

3.3 攻击检测

通过对网络安全事件的各要素进行识别，提取网络攻击者的行为特征，构造攻击行为特征向量，与实验平台部署攻击技战法知识库进行比对，模拟所有用户行为，进行场景建模推演，结合威胁知识库和上下文关联关系，实现对已知攻击行为的有效识别和对未知攻击行为的预判。

3.4 攻击溯源

该技术通过在系统网络边界部署监测探针，实时记录与目标系统相关的访问流量和访问痕迹，对网络攻击全过程进行取证。同时，通过流量劫持替换、漏洞利用等技术手段，对攻击地址进行定位和溯源画像，并利用安全防护系统的攻击溯源反制功能进行攻击反制，掌握攻击者采用的攻击手段、攻击方法，有针对性强化系统的安全防护措施。

4 结束语

铁路网络安全攻防仿真实验平台通过模拟真实的网络攻击场景，提供可控、可管、可信的系统网络安全验证环境，开展网络攻防演练和靶场实战对抗，可满足网络安全攻防、检测评估、取证分析等技术研究需要，能有效解决系统现有安全防御能力难以评估的问题，为实际生产系统网络安全升级改造提供数据支撑，该实验平台对完善铁路网络安全保障体系具有重要意义。