诸叶刚

(中国铁路上海局集团有限公司电务部，上海 200071)

1 概述

2017 年《铁路综合视频监控系统技术规范》颁布实施，铁路综合视频监控系统克服了体系规范不统一、集成化程度低、智能化程度低、共享性差等发展中存在的问题，日益成为铁路安全运行的重要保障系统，但铁路综合视频监控系统一直以来都是按照专网模式建设发展，网络安全问题未得到充分的重视，已成为铁路综合视频监控系统日益引起重视的研究课题。典型的铁路综合视频监控系统组网，如图1 所示。

2 铁路综合视频监控系统存在的安全问题分析

视频监控系统在其他行业应用过程中所发生的安全事故，包括病毒入侵网络、摄像机被控制、通过摄像机攻击网络、越权访问等，在铁路行业应用过程中也时有发生。分析这些安全问题的成因，可以归结为视频数据源、前端摄像机、网络传输、存储和终端管理等5 大类安全风险问题。

图1 铁路综合视频监控系统组网图Fig.1 Railway integrated video monitoring system network diagram

1）视频数据的安全风险包含视频文件备份不及时、被错误删除或者更改、视频文件被盗取等。

2）前端摄像机是网络被入侵的重要风险点，包括存在弱口令导致易被其他人登陆控制、摄像机的系统组件存在系统漏洞容易被侵入控制、开放了不必要的远程服务导致上线后容易被入侵、摄像机被拆除替换为其他终端设备成为入侵网络的入口。

3）网络方面则由于安全域划分不清晰造成网络安全区域之间缺少安全隔离，在安全事件发生时，受波及范围会迅速扩大且难以控制。空闲的网络端口可能会被接入非法终端，网络和系统存在的安全漏洞容易被不法人员进行攻击。

4）各类视频相关服务器作为最重要的系统核心单元，也是网络入侵者的主要攻击目标，存储方面的安全风险主要包括视频服务器安装的操作系统和软件，本身存在安全漏洞，可能被病毒或黑客入侵。视频服务器的外设接口可能成为外界安全侵入的入口，内部人员可能通过视频服务器的外设接口，如USB 口引入病毒等有害程序。管理人员在服务器上进行管理操作，可能因为失误等原因错误删除或者更改文件、配置等。

5）视频终端也是网络被入侵的一个关键风险点，其主要安全风险包括视频终端的身份可靠性不能保证。综合视频监控网络是一张覆盖全路的大型网络，全网没有部署可靠的身份认证系统，不能保证视频终端的操作都是被授权和可信任的。视频终端安装的操作系统和软件，本身存在安全漏洞，可能被病毒或黑客入侵。视频终端的外设接口可能成为外界安全侵入的入口，内部人员可能通过视频终端的外设接口，如USB 口引入病毒等有害程序。相关人员通过视频终端进行操作时，可能错误删除或者更改视频文件。

3 铁路综合视频监控系统网络安全防护体系构建分析

随着铁路综合视频监控系统定级为等保3 级系统，要求系统所采取的网络安全防护措施应满足《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019），确保系统网络安全符合网络安全战略规划目标的总体要求，如图2 所示。因此，综合视频监控系统网络安全防护体系构建整体思路应符合安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心以及物联网安全扩展的体系框架要求和安全要素覆盖，实现技术规范所规定的网络与通信安全、网络边界安全、用户访问安全及应用和数据安全的总体安全防护效果。

构建铁路综合视频监控系统网络安全防御体系应保障系统具备与三级等保要求相适应的安全保护能力，同时还应满足构建纵深的防御体系、采取互补的安全措施、保证一致的安全强度、建立统一的支撑平台、进行集中的安全管理的总体性要求，以保证铁路综合视频监控系统的整体安全保护能力。

4 铁路综合视频监控系统网络安全防护体系构建方案

铁路综合视频监控系统的网络安全体系构建的网络结构应围绕安全管理中心建设，结合节点保护，实现前端接入安全、网络边界安全、用户访问安全、应用数据安全以及系统日志安全，如图3 所示。该安全体系保证实现的整体安全效果可以实现前端摄像机接入安全，有效防护网络边界安全、用户访问安全、应用数据安全以及系统日志安全。

4.1 安全管理中心建设方案

图2 等级保护安全框架Fig.2 Classified security protection framework

图3 铁路综合视频监控系统安全体系框架Fig.3 Security protection system framework of railway integrated video monitoring system

在网络管理中心部署安全日志分析平台、堡垒机、入侵检测防御设备、终端准入身份认证系统、行为设计设备、漏洞扫描、防火墙等。日志审计分析平台对全网安全设备的日志进行收集和统一管理分析，把整网安全构成一个体系，分析发现网络安全风险，进行安全态势分析预测，把握整网系统的安全状态；入侵检测防御设备部署在中心交换机，进行网络管理中心的入侵发现和告警；堡垒机部署在网络管理区域，作为服务器和网络安全设备的统一运维管理入口，对网络管理人员进行设备操作时，做身份验证、操作过程录像、操作日志记录，保障运维安全；终端准入身份认证系统部署在网络管理区域，作为摄像机、视频终端的入网身份验证，防止非法设备接入；行为审计设备部署在中心交换机，记录网络用户对视频服务器的会话行为日志；漏洞扫描系统可以部署在网络管理中心，对整个网络进行安全漏洞的扫描分析，形成结果报告，作为网络安全加固的依据；病毒动态防御部署在网络管理区域，监控和预警网络病毒攻击；防火墙串接部署在中心交换机接入链路的安全边界，进行边界安全防护。

4.2 视频接入节点建设方案

在视频接入节点部署防火墙、入侵防御设备、视频监控安全网关、行为审计设备等。其中防火墙部署在节点交换机接入铁路数据网的安全边界，进行边界安全防护；入侵检测防御设备部署在节点交换机，对该接入点的视频服务器进行入侵防护；视频安全网关部署在节点交换机与存储业务区之间，进行摄像机的安全防护；行为审计设备部署在节点交换机，记录网络用户对该节点视频服务器的会话行为日志。

4.3 网络边界建设方案

按不同的网络区域和边界，部署相应的安全设备，达到边界安全防护。在监控中心和接入节点，部署防火墙、视频监控安全网关、入侵防御、行为审计设备，保证跨越边界的访问和数据流通过边界防护设备提供的受控端口进行通信。全新下一代防火墙提供到应用层安全防护，支持深度状态检测、外部攻击防范、应用层过滤等功能，能够有效的保证网络的安全；入侵检测防御系统通过对网络中深层攻击行为进行准确的分析判断，主动有效的保护网络安全。 配合实时更新的入侵攻击特征库，可检测防护3 500 种以上的网络攻击行为，包含DoS/DDoS、病毒、蠕虫、僵尸网络、木马、可疑代码、探测与扫描等各种网络威胁。

4.4 用户访问建设方案

在监控中心部署认证系统，对所有的入网终端进行身份认证，可支持IEEE802.1x、Portal、MAC 地址白名单等多种认证方式。在用户首次登陆认证时，可强制要求修改密码，保证网络访问安全；在网络管理区，部署堡垒机作为全网运维的统一入口 ，对管理员账号身份进行安全管理。网络管理人员进行设备操作时做身份验证、操作过程录像、操作日志记录，保障设备维护安全。

4.5 应用数据建设方案

在监控中心、接入节点部署视频监控安全网关，对视频监控网络的音视频数据进行7 层安全防护，识别及管控摄像头等设备，并结合漏洞发现、病毒检杀、攻击检测等技术提供全面安全防护。同时具备全面、准确、细致的攻击、非法终端接入、摄像头仿冒等安全事件记录，形成多种多样的数据报表，将网络情况清晰、详细的呈现。

4.6 系统日志建设方案

系统部署安全日志管理平台，日志系统兼容大多数主流品牌的安全设备、网络设备、服务器、主机系统、中间件等，将异构的安全日志信息进行综合分析，过滤无效数据，呈现网络安全态势。安全日志系统将各设备的异构日志信息统一收集上来，结合日志模型库执行标准化编译，经过处理分析，组件过滤掉无效的数据和日志，最终筛选出真正有效的信息安全告警，帮助用户快速定位网络安全问题，帮助管理者在网络安全方面决策运维。

4.7 前端接入建设方案

通过部署视频安全网关设备，对摄像机进行如下安全防护：能够自动发现和识别摄像机、能够发现摄像机的安全漏洞，能够识别视频流和数据流，能够对流量进行病毒、攻击、恶意代码的过滤，能够记录摄像机的会话日志等。

4.8 系统主动安全防御建设方案

在全网业务与安全日志大数据分析的基础上，系统还应具备未知攻击的防范能力，变被动安全为主动安全防御，要求系统除具备传统基于特征库的防病毒防攻击进化为动态防御、主动防御，识别判断病毒攻击的网络行为特征，利用蜜罐等技术构建动态防御系统，通过构建一个虚拟的、动态的、随机变幻的局域网环境来提升局域网安全等级。动态改变网络拓扑，给攻击者呈现一个不断变幻的“网络迷宫”。攻击者只要走错一步就会被系统发现，失去进一步攻击的基础。结合软件定义网络（SDN）、云计算、大数据等技术，深入分析和识别网络攻击行为，能够全面有效地抵御、识别和定位，包括APT 攻击在内的网络攻击行为。

5 结论

铁路业务正常高效运营必须有安全体系防护的支撑保障，在安全防护体系的保护下，铁路综合视频监控系统将在铁路运营中发挥更大的作用。同时，该安全防护体系还应兼顾运维管理方面的需要，实现交换机空闲端口管理、网络拓扑自动发现、网元设备自动巡检、前端终端设备有效管控、第三方应用的网络级监控、网络运行状态实时监控和预警等功能。在保障网络安全、实现业务系统正常运营的前提下，还应充分落实安全运维和业务运维的有效结合，在保证安全防护基础上尽可能降低对运维人员安全运维能力的要求，通过日志大数据、全网网元综合网管等技术实现安全趋势感知及闭环管理，实现安全运维和业务运维的有机融合。