铁路网络安全靶场设计与研究

祝咏升，姚洪磊，崔伟健

（中国铁道科学研究院集团有限公司 电子计算技术研究所，北京 100081）

随着信息技术的快速发展和广泛应用，网络空间由单纯的互联网延伸到泛在网络，已然成为继陆、海、空、天之后的第五大主权空间[1]。其对抗形势愈演愈烈，网络攻击从以个人为目标转向以特定关键基础设施为目标，其攻击方式也从单一模式朝着复杂的高级持续性威胁（APT，Advanced Persistant Threat）攻击发展[2]。

铁路作为国家重要的基础设施，是网络战中被攻击的目标之一。我国高速铁路发展迅猛，其信息化、智能化的程度越来越高。各种新技术的应用，以及大量智能终端设备多点接入，使网络环境异构化、结构复杂化、边界模糊化、威胁形态多样化，铁路网络安全面临严峻挑战。

网络安全靶场是针对网络攻防演练和网络新技术检验的重要基础设施。基于靶场可进行与实际环境无差别的网络安全技术研究、攻防手段演进、系统安全防护效能评估，以及体系化攻防对抗演练等科研和试验任务。本文基于铁路网络安全工作发展的现实需要，提出铁路网络安全靶场的设计思路，为开展网络安全体系规划论证、技术能力评估验证、产品安全性检验、人才教育培训等任务，提供一个可信度高、可控性好、可操作性强的试验环境[3]。

1 国内外发展概况

1.1 国外发展现状

在网络安全靶场建设方面，美国、英国等网络强国除了建成多个小型专业网络靶场外，还设计并建立了国家级网络安全靶场。2008年，美国率先启动国家网络靶场（NCR，National Cyber Range）的建设，该靶场由美国国防部高级研究计划局负责组建[3]，并于2012年10月正式被部署应用。NCR可以提供一个真实的网络试验环境，能够提升美国在网络战中的能力，推动美国网络战的技术变革。英国紧跟美国，于2012年建成并启用联邦网络试验靶场（FCR，Federated Cyber Test Range），用于模拟网络攻击和防御，以及评估各种系统和网络的安全性[3]。FCR可与NCR实现联网运行，进行协同训练、测试、评估及网络战推演。日本于2002年启动星平台（StarBed）网络靶场研究计划，并已发展到第3代，可支持千余台计算机集群大规模网络仿真，提供超大规模的复杂的网络试验环境，用于评估真实场景下的新技术。加拿大的CASELab靶场系统在完全可重复试验的条件下，能够实现对真实世界中大规模网络系统的行为建模，支持对网络新技术和攻防武器的鉴定和评估[2]。此外，欧盟、北约、俄罗斯、韩国、澳大利亚、以色列等组织和国家也积极开展相关方面的研究与尝试，相继建立国家级或商用型网络靶场。

1.2 国内发展现状

我国网络安全靶场的建设起步较晚，部分科研机构、高校、企业等建立了特定场景网络安全靶场，主要用于研究电子信息对抗与仿真技术、行业产品安全性试验及检测等[4]。总体来说，我国网络安全靶场目前的规模较小，能模拟的场景比较简单。2018年，我国第一个大数据安全靶场在贵阳国家经济开发区正式揭牌，以智慧城市为核心，设计了仿真、虚拟、真实多种形式的多级靶标系统。中科院信息工程研究所、国防科技大学、哈尔滨工业大学等科研机构及高校建设了满足特定需要的小规模网络安全靶场；北京永信至诚科技股份有限公司、湖南合天智汇信息技术有限公司、鹏城实验室等建设了相关实验室，先后推出商业化网络攻防对抗及培训平台等产品[2]。

在行业应用方面，电力、交通领域已初步建成满足行业特定需要的网络安全靶场；铁路领域已于2018年建成铁路网络安全攻防仿真试验平台，提供铁路网络安全（CTF，Capture the Flag）竞赛及定制化培训服务。铁路网络安全攻防仿真试验平台仅支持开展模块化网络攻防演练[5]，尚未实现对业务系统全作业流程这类复杂场景的模拟，难以支撑大规模、体系化、高仿真的攻击对抗、技术验证、安全评估、应急演练等业务[5]。

2 方案设计

铁路网络安全靶场的设计应借鉴国内外先进经验与做法，结合铁路基础网络环境及架构、系统组成及部署方式、信息关系及应用模式等特点，面向整个行业现有及未来业务的发展需要，从试验环境、功能需求等方面进行综合考虑，采用与实际环境无差别的组网技术，设计为一个管理灵活、组网便捷、可动态扩展的监、管、控一体化网络安全靶场[6]。铁路网络安全靶场将为全路各单位提供一个开放共享的网络安全实训和创新平台[3]，打造一个集科研试验、产品性能验证、技术创新、人才培养于一体的行业基地，提供网络安全攻防技术研究及验证环境，有针对性地快速提升铁路企业的网络安全防护能力，以及从业人员的技战水平。

2.1 设计目标

铁路网络安全靶场设计要能真实地再现实际生产中所需要的网络环境及业务场景，构建涵盖攻防演练组织、安全技能培训、可视化展示等功能的综合性网络靶场，具备按需、可度量地对计算、网络、存储等资源进行快速弹性管理和动态分配的能力[7]。铁路网络安全靶场为铁路各专业各组织机构提供跨地域的网络化组织管理和一体化控制模式，为网络攻防技术研究及验证、网络攻防对抗演练、网络安全人才培养、网络防御体系规划等提供基础支撑[8]。

2.2 架构设计

铁路网络安全靶场的架构可以设计为“两库五域”[9]。“两库”为一个基础资源库，一个靶场数据资源库；“五域”为五大核心功能域，即模拟仿真域、攻防演练域、科研试验域、教学实训域、综合管控域。铁路网络安全靶场的架构如图1所示。

图1 铁路网络安全靶场架构

（1）基础资源库

基础资源库是铁路网络安全靶场运行的基础，支撑靶场各功能域的运行，满足不同任务场景和功能所需资源的即插即用、动态共享、重用和互操作。基础资源包括物理资源、虚拟化资源和基础组件资源。基础资源库通过资源管理平台对服务器、交换机、安全设备、前端设备等物理资源，计算、存储、网络等虚拟化资源，以及数据库、中间件、操作系统等基础组件资源进行统一调度和管理，实现铁路网络安全靶场基础资源的自动部署和仿真环境的快速生成，同时，支持动态调整和扩展实体网络在虚拟网络的接入[7]。

（2）数据资源库

自1999年以来，全国已有多所农林院校开设了旅游管理专业。但目前旅游管理专业的实践教学仍普遍采用传统模式：从教学理念来看，实践教学的地位远低于理论教学，对实践教学的定位较其作用远远不如；从实践教学活动的内容安排来看，各实践内容往往出现断层，简单的重复验证学科理论，缺少设计型、探索型、综合型、应用型训练；从实践教学的活动过程来看，实践教学目标的构建、实践教学内容的设计、实践教学条件的配置、实践教学过程的监控和实践教学考核的实施之间缺少相互的配合，难以发挥实践教学作为独立整体的合力优势。

数据资源库是铁路网络安全靶场的核心资源，是靶场运行和试验操作的工具、数据和知识保障，为核心业务系统提供监控、分析、可视化的数据支撑[4]。数据资源库包括工具资源、试验资源和服务资源，其中，工具资源包括测评工具库、攻防工具库、漏洞库、补丁库和指纹库；试验资源包括模型库、镜像库、试验数据库；服务资源包括应急预案库和情报库。

（3）模拟仿真域

模拟仿真域是铁路网络安全靶场的基本功能，能够灵活地构建各种不同的仿真场景和行为模拟。在进行靶场试验任务之前，模拟仿真域通过对虚拟机的灵活部署和动态迁移，快速构建接近真实的网络环境及业务场景[10]。在试验过程中，模拟仿真域将各种操作行为限定在虚拟资源中，降低物理资源因攻击而出现故障或损坏风险。当试验结束时，模拟仿真域可以动态挂起或快速释放试验资源，由铁路网络安全靶场完整地保存至镜像库，以便快速复现和调用。

（4）攻防演练域

攻防演练域是铁路网络安全靶场的攻防技战平台，提供攻守双方多元化、多维度、多场景的攻防演练场景，为攻击方开展安全测试、风险评估、攻击任务执行、战术研究，防御方开展安全测试、应急处置、防护措施研究等提供支撑。攻防演练域通过对网络攻击和防御的手段与策略进行反复演练和复盘验证，以发现安全漏洞和风险，找到安全防护短板，改进防御工具，优化防御策略，提高相关人员的网络安全防御意识和能力[10]。

（5）科研试验域

科研试验域是铁路网络安全靶场的技术验证平台。该域结合攻防演练域多元化多场景的特点，为网络安全攻防技术、测评技术、取证分析技术等研究提供科研试验环境，为靶场特定设备或系统开展安全体系规划论证、新技术验证、安全效能评估、产品研发试验、产品安全性测试等提供支撑，实现靶场设备级、系统级、体系级的安全性技术评估验证[4]。

教学实训域是铁路网络安全靶场的教学实战平台。该域以攻击与防护理论为指导，以高逼真的网络攻防环境为支撑，以丰富全面的数据资源库为保障[9]，为不同类型、不同水平的实训人员提供定制化、逐步进阶的课程体系，结合研究型、对抗型、实战型多元化攻防对抗演练场景教学，使学员能够深度掌握网络安全的基础知识、技术技能、攻防技战法，从而提高网络安全人才的培养效能。

（7）综合管控域

综合管控域是铁路网络安全靶场的大脑中枢，通过资源管理平台实现对基础资源和数据资源的实时监视和动态调度，从而进行快速弹性管理和分配。综合管控域通过导调指挥平台实现攻防演练场景总体规划协调、演练计划制订、复盘推演等任务的调度与管理；通过教学培训管理平台实现教学实训课程的体系化、定制化管理；通过运营管理平台实现铁路网络安全靶场的配置管理、监控管理、运维管理、可视化管理等任务；通过用户管理平台对不同用户的执行任务和操作行为进行集中权限管理和资源域管理。

3 关键技术

3.1 大规模网络仿真与复现技术

铁路网络安全靶场的建设面临实体网络和虚拟网络资源不足的问题，针对铁路综合信息网三级部署模式，充分考虑外部服务网、内部服务网和安全生产网之间的信息交互与访问控制方式，研究采用虚拟化和数字仿真融合技术，构建大规模虚实互联网络资源环境，满足虚实网络仿真的透明性、网络仿真环境的灵活接入、虚实网络场景的可扩展性等需要，解决靶场试验任务对逼真度、复现速度及试验资源的最优化配置问题。

3.2 网络流量行为模拟技术

铁路网络安全靶场需要开展各项试验任务，模拟多形式、多类别网络流量和用户行为，因此，要充分考虑网络用户行为的时间特性和分布特性，以解决网络靶场流量模拟的真实性和可靠性问题。铁路网络安全靶场采用多层级融合网络流量和行为模拟技术，将网络战中蓝方流量、红方流量与真实用户行为绑定，进行流量叠加和拼接，生成混合背景流量，从而产生与真实的用户行为高度相似的网络流量行为，实现逼真的模拟效果。

3.3 试验数据采集与分析技术

铁路网络安全靶场各项试验任务会产生大量运行数据和网络攻防数据，这些数据是对铁路网络安全靶场运行过程和效能进行全面评估的依据，是改进靶场、优化试验平台及系统的关键要素[11]。为了提高数据的采集性能，降低用户配置的复杂度，本文采用虚拟蜜罐和自省数据采集相结合的技术，并通过带外数据采集方式，实现铁路网络安全靶场试验数据的低损、实时、准确采集和多维度融合分析[2]。

3.4 安全隔离与控制技术

铁路网络安全靶场试验支持多任务并发运行，这需要虚拟资源与实体资源同时接入，不同网络域和平台协同工作。因此，铁路网络安全靶场采用基于任务的虚实资源多域分级安全隔离技术，实现了不同虚实互联场景下动态、高效的安全隔离，解决了不同网络之间、业务场景之间、平台之间的安全隔离运行和数据交换问题。这为铁路网络安全靶场各试验任务跨网络域、跨平台的交互提供了安全可靠保障。

4 效果预期

铁路网络安全靶场建成之后，可以通过灵活可配置的基础网络环境将资源、服务和靶标系统进行互连和集成。针对不同用户和不同任务，铁路网络安全靶场可以按需调度基础资源和数据资源，高效构建不同的场景。当任务需求发生变化时，铁路网络安全靶场可以动态调整、灵活重组、快速重构。铁路网络安全靶场可以实现以下预期效果。

（1）一体化试验和演练平台。构建虚实结合的铁路关键信息基础设施网络环境及靶标系统运行场景，靶场资源和靶标系统信息的互联、互通、互操作[10]，打造基于铁路内网与外网深度融合的一体化、机动化试验和演练平台，满足多样化科研试验及可视化演练任务的需要。

（2）行业网络安全实训与考核平台。可以结合网络安全知识的综合性、应用性和工程性特点，面向全路各单位提供网络安全基础课程、实战课程、实训课程，以及定制化课程培训服务；也可组织并承担行业的大型攻防竞赛和能力考核，建立完善的铁路网络安全人才培养体系。

（3）行业网络安全工具库和标准库。结合开展的科研试验和攻防演练任务，通过不断地积累和更新知识，以及技术的迭代升级，逐步建立行业网络安全工具库及标准库。工具库包括测评工具库、攻防工具库、漏洞库、补丁库、案例库、用例库等，方便执行不同靶场任务的调用及参考。标准库包括设计标准、实施标准、测评标准、运维标准等，为系统优化再造提供规范化、标准化指导。

（4）规范化和体系化的评估验证能力。具备成体系的、规范的测试评估验证能力。在靶场环境中，既可以对各业务系统进行独立的测试与评估，也可以在各业务系统之间进行一体化的联合测评，从系统软硬件的安全性、信息传输及控制的安全性、保障工具与手段的有效性等方面进行定性及定量的评估和验证，为系统的优化改进、安全性和抗攻击性的提升提供支撑。

5 结束语

铁路行业缺乏可信、可控且可操纵的集成化“练兵场”，这是当前及未来铁路网络安全面临的关键问题，对铁路关键信息基础设施攻击模拟仿真、评估验证、攻防对抗等核心能力建设产生影响。本文提出“两库五域”的设计方案，不仅能够满足传统的网络安全攻防对抗、安全测评、技术创新、人才培养等需要，还能为铁路网络安全体系的科学规划提供重要的决策依据，对下一步开展铁路网络安全靶场体系架构和功能的设计与研究具有参考价值。