陈丹晖 刘清涛 张卫军（中国铁路北京局集团有限公司北京铁路通信技术中心，北京 100038）

摘要：通过分析铁路GSM-R SIM卡管理系统运用现状及业务拓展应用需求，参考现有信息系统安全等级保护要求，并结合铁路通信网自身网络安全防护现状和应用特点，研究铁路GSM-R SIM卡管理系统接入铁路数据通信网的网络安全防护技术要点，探索在铁路数据通信网上承载SIM卡管理等关键业务的网络安全。

关键词：GSM-R；SIM卡管理；数据网；网络安全

中图分类号：U285.4+1

文献标识码：A

文章编号：1673-4440(2018)03-0034-06

DOI 10.3969/j.issn.1673-4440.2018.03.007

Study on Network Safety Protection Scheme of GSM-R SIM Cards Management System

Chen Danhui Liu Qingtao Zhang Weijun

(Beijing Railway Communications Technology Center, China Railway Beijing Group Co.,Ltd., Beijing 100038）

Abstract: Through the analysis of the application status and business developing demands of GSM-R SIM cards management systems, the paper studies key points of network safety protection techniques as accessing GSM-R SIM cards management system into railway data communication network from reference to the safety levels protection requirements of existing information systems and its own safety protection status and application features of the railway data communication network, and discusses the network safety for bearing key businesses like SIM cards management over railway data communication networks.

Keywords:GSM-R; SIM card management; data network; network safety

1 概述

铁路GSM-R SIM卡管理系统（以下简称SIM卡管理系统）作为铁路通信数据管理的重要一环，为进一步推进铁路GSM-R数据管理信息化工作，实施SIM卡管理系统网络迁改接入铁路数据通信网（以下简称数据网）不仅可以有效的提升SIM卡管理系统的网络承载带宽、拓展终端访问范围，还可以为后期铁路通信的数据融合打下坚实基础。但由于数据网承载着铁路众多业务系统，业务接入遍布全路，SIM卡管理系统在接入数据网的同时也增加了网络安全风险。所以SIM卡管理系统接入数据网前，须加强网络安全防护建设，做到可信、可控和可追溯。

2 SIM卡管理系统运用现状

2.1 SIM卡管理系统运用介绍

SIM卡管理系统实现全路GSM-R SIM卡数据、终端数据等业务管理，并形成全路GSM-R终端用户数据及SIM卡的统一数据库，由总公司级SIM卡管理系统（以下简称一级系统）和铁路局SIM卡管理系统（以下简称二级系统）两级构成，在两级架构中。一级系统具有管理、实体和枢纽功能，为总公司统一业务管理提供支撑和保障，实现全路的数据管理和交换；二级系统具有管理和实体功能，为铁路局进行局内数据业务管理提供支撑和保障。两级系统共同支撑铁路通信数据业务管理、数据查询及统计分析等工作。 

2.1.1 系统构成

一级系统由应用服务器、数据库服务器、数据存储设备、接口网关、SIM卡管理终端、SIM卡维护终端、SIM卡读卡机以及系统接入路由设备、防火墙设备组成；二级系统由应用服务器、数据库服务器、SIM卡管理终端、SIM卡读卡机、SIM卡维护终端、系统接入路由设备、防火墙设备组成。

2.1.2 组网结构

SIM卡管理系统采用TCP/IP技术，通过2 M专线实现两级系统互联。总公司一级系统与北京局二级系统共用接入路由器，采用划分不同VLAN方式接入；其他各局二级系统采用2 M专线接入位于北京核心网的接入交换机，实现与一级系统互联，网络边界采用防火墙进行安全防护。

网络结构示意如图1所示。

2.2 拓展运用需求

随着铁路数据管理信息化工作的推进，GSM-R网络数据管理系统、数据通信网IP地址管理系统、GIS数据应用平台等已陆续通过SIM卡管理系统专用网络进行业务承载，由于SIM卡专用网络只覆盖到各铁路局少数专用业务终端，所以不能更大范围的对外提供数据查询服务以及与外部系统进行数据共享。随着铁路大数据的发展，各专业业务系统间的数据互通与共享成为业务发展的基础要求， 数据网作为铁路通信基础承载网，实现全网IP化承载各业务系统应用已是主流趋势。

3 SIM卡管理系统及数据网安全现状

3.1 SIM卡管理系统安全现状

目前，鉴于SIM卡管理系统采用专网组网方式，SIM卡一、二级系统仅通过防火墙一种安全防护设备进行系统间互联，且不具备病毒防护、入侵防御等功能，网络安全防护能力较为薄弱，不能有效防御接入数据网后带来的安全风险。

3.2 数据网安全现状

2015年底，铁路骨干数据通信网正式建成并投入运行，各铁路局已实现区域网络和骨干网络互联，目前数据网承载GSM-R/GPRS、综合视频监控、旅客信息服务、会议电视、应急通信、电报、信号微机监测、办公、TMIS等业务，各业务之间采用多协议标签交换/虚拟专网（MPLS/VPN）技术进行业务隔离，业务可靠性、QoS等运营质量性能较高，但病毒防护、入侵防御等网络安全防护能力较为薄弱。

4 安全风险分析

参考国家信息系统等级保护网络安全防护技术要求，结合SIM卡管理系统既有网络现状及未来大数据应用需求，各通信业务信息化系统统一纳入铁路通信运维支撑平台管理，并承载于铁路数据通信网，基于以上网络运用模式分析，SIM卡系统的应用存在以下几方面网络安全风险。

4.1 SIM卡管理系统自身安全风险

参照信息系统安全等级保护基本要求和信息安全技术信息安全风险评估规范，对SIM卡管理系统进行了漏洞扫描及渗透测试。通过检测发现系统存在较多远程信息泄露、远程拒绝服务及其他高风险安全漏洞。部分检测结果如图2所示。

根据系统风险评估和扫描测试结果看，SIM卡管理系统自身主要存在以下风险。

1）安全审计风险。SIM 卡管理系统未建立审计机制，无法对进出边界的各类网络行为进行记录与审计分析，发生安全事件后，无法进行追踪溯源。

2）恶意代码风险。目前计算机病毒的传播途径与过去相比发生了很大的变化，更多的以网络形态进行传播，SIM卡管理系统未部署相关防病毒网关对网络层面的病毒予以查杀，系统所面临的安全风险较大。

3）网络设备风险。系统内网络设备和安全设备（如交换机、防火墙、入侵检测设备等）自身安全性直接关系到网络应用的正常运行。网络设备遭受攻击甚至设备设置被篡改，将会造成无法想象的后果。

4）主机安全风险。目前SIM卡管理系统服务器、业务终端未进行任何安全防护、认证，系统存在遭受非法入侵、控制、数据泄漏、系统损坏等安全风险。

4.2 SIM卡管理系统接入数据网的边界安全风险

SIM卡管理系统接入数据网改变了既有系统的运用方式，扩大了系统的网络接入范围，若考虑到后期接入其他铁路GSM-R运维支撑系统或相关系统，SIM卡管理系统将实现系统间跨VPN、跨网络互访，网络安全风险大大增加。通过分析，存在以下网络安全风险。

1）边界访问风险。SIM卡管理系统与数据网或相关系统互联产生了边界访问风险，若未对进出边界的进行有效的访问控制，越权访问将对网络及系统造成安全威胁。

2）边界完整性风险。SIM卡管理系统终端用户若未经许可私自联到外部网络，边界的完整性则受到破坏，网络控制规则将失去效力。

3）网络入侵风险。各类网络攻击行为存在于网络内、外部。特别是针对信息系统的各种攻击，如病毒、木马、间谍软件、可疑代码、端口扫描、DDoS等，若未对网络层进行有效的安全防护，核心信息资产将存在遭受攻击风险。

4.3 数据网安全风险

依据信息系统安全等级保护基本要求和IP承载网安全防护要求，结合铁路通信网特点，对铁路骨干数据通信网、总公司本地数据网、通信网管网进行了网络安全测评，发现铁路数据通信网主要存在如下网络安全风险：缺少入侵防范、防病毒、恶意代码防范、网管用户集中登录与审计及终端管控等安全措施，抵御安全攻击能力较为薄弱。因此，若SIM卡管理系统未经安全加固接入数据网，一旦SIM卡管理系统遭遇病毒或其他恶意攻击，连带效应，势必对数据网造成安全威胁。

5 SIM卡管理系统网络安全防护实施建议

5.1 网络安全防护需求

通过风险梳理，主要从网络访问控制、网络安全审计、边界完整性检查、网络入侵防范、恶意代码防范、网络设备防护、终端安全防护等7个方面进行安全防护。

1）网络访问控制：通过制定访问策略，在网络边界进行网络访问控制，通常由防火墙进行网络访问控制。

2）网络安全审计：从网络设备运行状况、网络流量、用户行为等方面进行网络安全审计，体现为设备管理和运行日志审计、网络流量审计、用户行为审计等。

3）边界完整性检查：防止接入侧用户非法外联，在各业务系统网络部署。可通过管理和网络手段共同实现，防止非法节点或非法路由的存在。

4）网络入侵防范：主要防护黑客和病毒的入侵和非法访问，可以通过部署入侵防御设备来进行实时检测和阻断。

5）恶意代码防范：主要防护针对应用层的攻击，尤其是针对B/S架构服务的Web服务攻击，可以通过部署Web应用防护设备来进行防护。

6）网络设备防护：主要针对登录网络设备的访问进行安全防护，可以通过部署堡垒机来实现，堡垒机可实现单点登录、登录用户的身份认证和记录访问日志。

7）主机安全防护：通过部署终端安全管控系统实现对主机的授权准入、文档管理、文档授权、文档加密、安全加固等防护功能。

5.2 网络安全防护设备的部署方案  

根据SIM卡管理系统既有安全防护现状，为防范SIM卡管理系统与网络、相关系统对接引起的网络安全风险，基于网络接入安全防护需求的角度对SIM卡管理系统安全防护方案进行了研究，通过区域划分部署相关网络安全系统。为了实现SIM卡管理系统的整体网络安全防护，在核心区和运维管理区进行安全防护设备部署。总体技术方案如图3所示。

1）网络核心区的部署

防火墙：部署在SIM卡管理系统的核心区，实现网络访问控制。

入侵防御设备：部署在SIM卡管理系统的核心区，实现网络入侵防御。

Web应用防护：Web应用防火墙，部署在SIM卡管理系统的核心区，实现恶意代码防范，保护B/S架构的应用系统。

2）运维管理区的部署

运维管理区部署日志分析平台、终端安全管控系统、统一安全运维审计系统（堡垒机）、补丁/病毒更新服务器等系统，提升信息安全保障能力。

日志分析平台：通过其实现日志收集、日志分析、安全风险定位、合规自查、报表输出、实现安全数据的分析、定位、预警，实现系统的整体安全防护。

终端安全管控系统：构建SIM卡管理系统认证及终端数据管控体系架构，实现对主机的授权准入、文档管理、文档授权、文档加密。

统一安全运维审计系统（堡垒机）：实现对网络设备、安全设备、主机等IT资源单点登陆、运维统一入口、运维安全审计功能。满足网络设备防护的安全需要。

部署补丁/病毒更新服务器：实现对服务器、终端的操作系统及相关部件进行补丁、病毒库的更新，完善安全漏洞，提高对恶意代码、DDos攻击等的抗攻击能力，有效的降低解决主机安全风险。

5.3 模拟攻击测试验证

1）为有效验证SIM卡管理系统网络安全防护技术方案的可靠性，保障系统抵御外来攻击、入侵，已通过搭建SIM卡管理系统及相应防护设备实验环境，开展模拟攻击试验，模拟试验截图如图4所示。

过程描述：通过在防火墙开启DDoS功能，使用xcap发包工具进行DDoS攻击，模拟攻击行为，通过安全日志可发现防火墙已有效完成对DDoS攻击的识别及防护。

2）Web应用防火墙检测SQL注入攻击、溢出攻击，如图5所示。

过程描述：通过在Web防火墙开启安全策略，模拟进行攻击行为，攻击SIM卡管理系统HTTP网页，由于攻击终端访问服务器的流量须经过Web防火墙，通过日志可发现Web应用防火墙已有效完成SQL注入攻击、溢出攻击的识别及防护。

6 结束语

SIM卡管理系统承载着众多铁路通信的重要运营数据，为保证SIM卡管理系统的稳定运行，增强各业务系统之间的综合协作，在确保网络安全的前提下接入数据网是我们现有的工作需求。通过梳理既有系统的安全现状和业务特点，参考信息系统安全等级保护测评要求、信息安全完全参考手册等安全资料，研究SIM卡管理系统接入数据网的网络安全防护技术要点，探索在数据网上承载SIM卡管理等关键业务的网络安全。SIM卡管理系统作为铁路通信重要信息化系统之一，在铁路通信网信息化系统中有着很强的代表性，该系统的运用模式及网络

安全防护方案可为其他通信信息化系统提供网络安全防护参考。

参考文献

[1]慈林林，杨明华，田成平等.可信网络连接与可信云计算[M].北京：科学出版社，2015.

[2]中华人民共和国国家质量监督检验检疫总局，中国国家标准化管理委员会.GB/T 28448-2012 信息安全技术 信息系统安全等级保护测评要求[S].

[3]蔡皖东.网络安全信息技术[M].北京：清华大学出版社，2015.

[4] Conver S.网络安全体系架构[M] .田果，刘丹宁，译. 北京：人民邮电出版社，2013.

[5] Qusley M R.信息安全完全参考手册[M].李洋，段洋，叶天斌，译.北京：清华大学出版社，2014.

[6]吴密. 通信网络新技术与规范实务全书[M].北京：当代中国音像出版社，2013.

[7]陈晓桦，武传坤. 网络安全技术 网络空间健康发展的保障[M]. 北京：人民邮电出版社，2017.

[8]乔桢.铁路电报通信系统的研究[J].铁路通信信号工程技术，2017，14（2）：46-49.

[9]鲁智勇.网络安全防护理论与技术[M].北京：国防工业出版社，2017.

[10]贾铁军，陶卫东.网络安全技术及应用[M].北京：机械工业出版社，2017.

[11]兰巨龙，程东年，刘文芬，等.信息网络安全与防护技术[M].北京：人民邮电出版社，2014.

[12]程工，孙小宁，张丽，等.美国国家网络安全战略研究[M].北京：电子工业出版社，2015.

声明：本文来自铁路通信信号工程技术，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。