近况

神华集团的铁路运输系统是神华发展的瓶颈之一，铁路安全运行是神华整体效益实现和铁路运力不断提升的保障。依据神华铁路运行特点，特别是朔黄铁路信息化的实际情况，以及铁路信息系统安全对铁路安全运行产生的巨大影响，特提出本项目立项。

朔黄铁路西起山西省神池县神池南站，与神朔铁路相联，东至河北省黄骅市黄骅港口货场。正线总长近600公里，设计为国家I级干线、双线电气化铁路，重载路基，设计年运输能力为近期6800万吨，远期1亿吨。1997年11月25日正式开工，2002年11月1日全线建成，总投资150亿元，是我国目前投资与建设规模最大的一条合资铁路，也是我国西煤东运第二大通道和神华集团矿、路、港、电、航、油一体化工程的重要组成部分，在全国路网中占有重要地位。

根据铁道部制定的铁路第十个五年计划所提出“铁路发展必须依靠信息化，以信息化带动现代化。”的要求。针对国内铁路信息化水平的发展现状，结合考虑当前高速发展的计算机网络技术，对各信息系统之间或同一信息系统不同层次之间旧有的沟通方式进行改造，代之以安全高效的互联互通网络迫在眉睫。为此，国家高技术研究发展计划(简称863计划)提出的“基于国产Linux的铁路行业信息化安全平台研究”的研究课题，结合了当前发达的计算机网络技术和成熟开放的Linux操作系统平台完成了国内铁路信息化各个信息系统（TMIS、DMIS等）之间信息共享和交换，并保证信息共享和交换的安全性、可靠性、公平性和高效率。北京交通大学计算机学院网络管理研究中心承担了这项课题。课题组重点探讨了铁路行业内部各个信息系统的层次关系、信息交互格式等并在此基础上研究开发出了相应的安全平台—NetOne多功能安全服务器。

目前，国内外信息安全产品主要以防火墙、入侵检测系统、防病毒网关、VPN、物理隔离卡等产品为主，其中以防火墙、入侵检测系统、VPN应用得最为广泛。国外主要安全产品厂商有：

NetScreen公司，是一家专业的互联网安全系统的公司，其基于ASIC的安全防卫技术使得数据包的处理过程更加快捷，有效地抑制了其它老式安全产品导致的流量瓶颈，充分利用了全部带宽的潜力。NetScreen的产品包括一系列高性能防火墙、VPN和流量管理，从为互联网数据中心和服务提供商准备的高端千兆级安全系统到为家庭办公者量身定造的低端解决方案都有提供。

思科系统公司，是全球领先的互联网设备供应商。从1986年生产第一台路由器以来，思科公司在其进入的每一个领域都占有第一或第二的市场份额，成为市场的领导者。它的主要安全产品是集成硬件／软件Cisco Secure PIX系列防火墙。

国内主要安全产品厂商有：

北京天融信网络安全技术有限公司，是中国网络安全的行业的领先企业，是专业从事网络安全技术研究、产品开发和安全服务的高科技企业。天融信公司于1996年推出了填补国内空白的中国第一套自主版权的防火墙产品，随后几年,天融信公司相继推出了五个适合不同客户需求的技术领先的防火墙产品。同时，天融信公司推出了和国际同步的VPN解决方案,先进的审计类产品，安全管理类等产品。保障客户网络从边界到桌面、从局域网到广域网高安全性。

东软集团有限公司，是以为社会和企业信息化提供全面解决方案为核心业务，集基础软件技术研究、产品开发、软件风险企业投资、顾问咨询和服务为一体的高科技企业集团。东软目前已经是国内领先的网络安全产品（NetEye系列安全产品）供应商，在网络安全领域做出了突出的贡献。东软集团不断围绕客户价值来构架自己的产品与服务体系有着直接的关系，到现在已推出了一系列的网络安全产品：NetEye防火墙、SJW20网络密码机、NetEye入侵检测系统、NetEye个人安全平台。这些产品凭借先进的核心技术和稳定可靠的品质赢得了用户的普遍认可。不但为用户的安全网络提供了更高的可靠性，而且使企业在安全管理方面的效率得到了有效的提升。特别是其首创的以透明的应用层防御为特征的“流过滤”技术正在成为防火墙产品发展的新的趋势。

北京中联绿盟信息技术有限公司，是国内专业从事网络安全服务的高科技企业，致力于网络安全技术研究、网络安全产品开发，提供由网络系统入侵检测、操作系统安全、网络服务安全、程序安全为重点的整体网络安全方案，并协助建立严密的网络安全制度，提高国内的网络安全水平，为客户提供强有力的安全保障。绿盟科技成立后，其安全技术研究部门对国内外最新的网络系统安全漏洞进行最及时和最紧密的跟踪，对重大安全问题更成立专项研究小组进行技术攻关，迄今为止已完成分布式拒绝服务攻击（DDoS）、SUN RPC远程溢出、缓冲区溢出防护、网络入侵主动监测等安全技术研究，取得了一系列在国内、甚至是国外处于领先水平的优秀成果。安全产品开发部门具有开发网络安全评估系统、入侵监测系统、内容过滤系统等高技术含量网络安全产品的技术实力和经验，已经推出了具有国际领先水平的安全产品系列。

NetOne系列多功能安全服务器与普通安全产品最大优势在于他是专为铁路行业设计，同时又考虑通用性的产品。他可以起到既能隔离不同的信息系统的网络，又能提供安全服务通道，实现信息系统之间信息交互、资源共享的目的。结合朔黄铁路信息化具体情况……，可以看出，生产网和办公网的隔离，光纤在线监测系统中的管理中心站和Intetnet上的远端用户的交互，综合网管系统和Internet远程客户端的交互，生产数据库之间的隔离等都可以应用NetOne系列多功能安全服务器。因此在朔黄铁路信息化过程中的推广应用前景十分广阔。目前已经在朔黄铁路光线在线监测系统中进行应用试点，取得了很好的效果，在此基础之上，准备再进行2-3处试点，并根据实际现场情况对NetOne系列多功能安全服务器改进，使其产品更加成熟、技术更加先进、更适合神华铁路及全国铁路的应用。

本项目主要任务是在863计划课题“基于国产Linux的铁路行业信息化安全平台研究”研究成果的基础上，对研制的安全服务器加以完善和改进，完成产品定型、标准化工作，并着重根据朔黄铁路应用特点发展出专供型号。在已有的研究成果基础上，重点从多数据库平台支持、多种应用配置模式支持、高可用性支持等方面进行改进和完善，通过行业认证测试，扩大产品的应用范围。为神华的铁路系统高效安全生产保驾护航。

研究内容：

1、多种应用配置模式支持的研究

2、多种数据库平台支持的研究

3、高可用性支持的研究

4、标准化研究

5、产品化研究

6、试点和推广应用

与现有安全产品的对比分析：

面对新型网络攻击手段的不断出现和高安全网络的特殊需求，全新安全防护理念——“安全隔离技术”应运而生。它的目标是：在确保把有害攻击隔离在可信网络之外，并保证可信网络内部信息不外泄的前提下，完成网间信息的安全交换。多功能安全服务器定位于网络隔离技术的安全防护产品，具有以下优势：

1、适用性强

安全性要求高的用户一般建设两个网络：内网用于内部高安全性业务；外网用于连接Internet或其他的安全性较低的网络。两者是断开的。既要使用内网数据也要使用外网数据的业务，用户必须人工拷贝传递数据。实际应用中，用户迫切希望这个过程自动化，解决“既要保证网络断开，又要进行信息交换”的难题。当用户的网络需要保证高强度的安全，同时又与其它不信任网络进行信息交换的情况下，如果采用物理隔离卡，信息交换的需求将无法满足；如果采用防火墙，则无法防止内部信息泄漏和外部病毒、黑客程序的渗入，DOS或DDOS攻击，安全性无法保证。在这种情况下，Netone8100多功能安全服务器能够同时满足这两个要求，又避免了物理隔离卡和防火墙的不足之处，是最好的选择。

2、操作系统和内部协议的安全性

Netone8100多功能安全服务器主机采用了基于863计划国产安全内核的红旗安全LINUX操作系统，对以前LINUX系统存在的安全漏洞做了全面的修补，并且不设网络接口避免了直接来自网络的威胁；内嵌网闸采用经安全剪裁的linux系统，只开放提供相关服务的端口；数据流在通过安全服务器时采用私有协议而非TCP/IP协议，从而多重保障了系统的安全性。

3、防木马及主流的网络攻击

通常见到的木马大部分是基于TCP的，木马的客户端和服务器端需要建立连接，而Netone8100从原理实现上就切断所有的TCP连接，包括UDP、ICMP等其他各种协议，使各种木马无法通过安全隔离网闸进行通讯。从而可以防止未知和已知的木马攻击。

4、内部网络针对外部的攻击无需升级

Netone8100多功能安全服务器首先在链路层断开，彻底切断网络连接，并仅允许仅有的若干种指定静态数据进行交换，对外不接受其它请求，因此内部网络针对外部的攻击根本无需升级。

5、拥有完全的知识产权

国外的类似产品从硬件到软件都是国外制造，对于国人来讲没有自主版权，即使OEM其秘密仍然掌握在外人手中，很难保证没有后门程序。因此对于安全要求很高的用户，显然选择国人拥有完全知识产权的Netone8100多功能安全服务器能够得到更好的保证。

预期目标：

l        实现朔黄铁路信息系统之间在物理层的隔离。

l        实现朔黄铁路信息系统之间的有效信息交换。

l        实现朔黄铁路实时数据交换和铁路行车等安全信息的交换。

l        为朔黄铁路最终用户提供业务代理服务，实现信息系统之间的信息融合，并将最终的有效信息返回给请求用户。

l        实现对用户访问的权限控制和信息安全管理。提供专用的信息安全通道，只有合法的用户、合法的访问操作，有效的信息格式才能获得响应。否则都会被阻断。

主要技术特点

高安全性

安全服务器作为一种安全隔离产品，其本身的抗攻击能力也是必备功能。从技术实现上，除了和防火墙一样对操作系统进行加固优化或采用安全操作系统外，关键在于要把外网接口和内网接口从一套操作系统中分离出来。即包括两套操作系统组成，一套控制外网接口，另一套控制内网接口，然后在两套主机系统之间通过不可路由的协议进行数据交换，如此，既便黑客攻破了外网系统，仍然无法控制内网系统。

采用网闸软件固化技术将系统核心与安全应用完全固化在系统硬件当中，使得系统的安全性高，运行速度快，防篡改，稳定可靠。控制与管理主机LINUX内核经过优化裁减，定制安全机制，对外只提供受控服务，关闭所有不安全端口和服务，提供系统自身的安全防护能力。同时，管理控制台与安全服务器的通信通过特定的协议进行，故而防止了口令字嗅探和口令字解密等攻击。同时，隔离器实时捕获、分析网络数据流，严格审查外网提交的业务请求。

高便利性

安全服务器完全在透明模式下工作，用户无需更改网络结构即可将安全服务器与现有软硬件系统迅速集成，安全服务器在网络中使用透明工作方式，即在网络上运行时只起到一个代理作用，在为用户安装时不必修改原有的网络结构，也不需要重新设定路由，就可以直接安装和放置到网络中使用。从而大大降低增添、更换设备而带来的风险。同时，管理控制台层次化的权限划分允许用户将各类管理工作交由不同的职责的人员来完成，真正与管理需求相吻合。

关键技术

做为一种安全产品，我们的安全服务器融合了多种安全技术，主要应用的关键性安全技术有：风险隔离、嵌入式智能网闸、代理技术、身份验证、日志审计等。

风险隔离

安全服务器采用专有的安全操作系统，裁减所有不需要的功能，无法被恶意修改，具有极高的安全性。安全服务器采用专用的安全通道进行内外网信息交换，外网数据包无法经过安全服务器路由到内部网络，同时，安全服务器实时捕获、分析网络数据流，严格审查外网提交的业务请求，最大限度隔离外网安全风险。

嵌入式智能网闸

网闸作为一种专有硬件，既对物理网络实施隔断又在逻辑上实现了数据的正常传输，而且提供了多种安全控制功能。

通过采用嵌入式智能网闸，不仅可以实现对网络威胁的屏蔽、对用户身份的认证、对攻击的检测分析，同时还可以实现负载均衡和集群服务，因此采用网闸实现安全服务器的控制服务功能是高可靠的合理性方案。

代理技术

提供内部严格审核、外部充分透明的代理服务，包括安全代理服务器和安全代理客户端两部分。安全代理服务器面向客户端，位于安全代理服务网闸上，主要功能是代理完成客户端的数据库业务请求，用户数据库连接请求监听、会话重定向、保持同客户端的会话、检验身份认证、服务数据配送。在用户角度看，安全代理服务器就是最终的数据库服务器(事实上只是代理)。安全代理客户端面向数据库服务器，位于安全代理客户网闸上，主要功能是代理客户端完成数据库业务。从数据库服务器的角度，安全代理客户端就是真正的客户端(事实上只是代理)。

身份验证

系统用户分系统管理员和日志管理员两种角色，这两种角色分别具有自己的独立的高级管理员。管理员管理用户帐户时，对用户标志（用户名）和密码进行独立的分配，每个帐户都有其特有的特征和密码。在这些帐户需要访问系统时，系统会要求用户提供用户标志和帐户密码，进行身份验证。只有完全符合的用户，并在有效尝试密码次数内，系统才允许其登陆、使用系统。

普通用户可以通过数字签名认证或账户口令认证以确保身份安全，然后建立数据传输通路；在数据内容层次上，提供应用级的过滤，只有合法的应用才能通过验证。

审计

安全服务器提供强大的日志和审计功能，支持标准的日志文件格式，完整记录并保存系统设定、通信控制等各类日志。审计模块支持管理员以多种方式进行查询、审计。

实施的具体内容：

深入分析朔黄铁路的实际需求，在光纤在线监测系统的应用基础上继续在生产网和办公网的隔离，办公网和Internet远程客户的交互、综合网管系统和Internet远程客户端的交互等场合应用NetOne 8100安全服务器，并根据实际现场情况对NetOne系列多功能安全服务器改进，使其产品更加成熟、技术更加先进、更适合神华铁路及全国铁路的应用。

完全的自主开发，自主创新。

预计项目一年完成。

2005年11月—2006年2月  制造NetOne 8100多功能安全服务器成品机3台，对安全服务器的性能进一步测试、改进。

2006年3月—2006年7月   到朔黄现场进行安装调试。并针对特定应用对NetOne 8100 多功能安全服务器进行改造升级。

2006年8月—2006年10月   前期文档资料整理，验收材料整理。并对现场人员进行相关培训。

2006年11月  项目验收。

本项目的研究成果具有广阔的应用前景。

铁路系统是一个复杂而庞大的系统，从业务的角度进行划分，可分为车、机、工、电、辆五大系统。从业务和管理的方式的角度看，这些系统的业务基本上遵守至上而下的垂直领导指挥关系，但是各个业务系统之间又存在一些相互之间的业务协调与信息沟通关系。面向铁路的相关业务系统，铁路建立了一信息系统归结起来可分为三大部分：运输组织管理系统、客货应销管理系统和经营管理系统。每部分又包括若干个信息系统，共计30多个信息系统。目前大部分信息系统已投入实际应用或部分投入实际。

从铁路信息系统的信息交换方面考虑，铁道部、铁路局（2005年3月铁道部已取消铁路分局一级管理机构）、站（段）构成了三级垂直管理业务系统。所以，各信息管理系统之间，以及各信息系统各层次之间的信息交换需求都是安全服务器的应用点。

从铁路系统网络结构方面考虑，铁道部、铁路局、站段每一级又划分为生产网、内部服务网和外部服务网。三网之间的信息交换也是安全服务器的应用点。此外，基于内部生产网的信息系统，由于其涉及的运输生产指挥，或牵涉到控制系统等因素又划分为多个区域。如，综合调度指挥系统需要单独组网等，这些网之间的信息交互和安全隔离也是安全服务器最好的应用场所。

安全服务器已获得铁路行业一定程度的认同，已在济南铁路局（青岛铁路分局）等实际生产系统中，以及铁路电务综合检测车系统、高速铁路综合调度仿真系统中投入应用。同时，安全服务器已纳入多条客运专线、青藏线、兰新新等新建铁路的设计方案中。目前兰新新综合告警管理系统正在招标中。青藏线信息系统即将今年年底招标。根据铁道部的统一规划，到2010年前将建成9条客运专线，05年将有多条客运专线开工。总的看来，安全服务期的应用前景非常乐观。

预计全路对安全服务器的需求将在1-2万台. 按10%占有量计算,也需要2000台左右.可见，本课题将产生很好的行业效益和经济效益。

研制的安全服务器已通过公安部测试，获得销售许可证，已在相关报纸公布，产生了一定的社会影响。

多次参加相关展览会，通过发放宣传彩页及现场讲解方式对安全服务器进行了广泛的宣传。先后参加了2004年3月的“中国国际信息安全展览暨论坛”、5月的“北京科技博览会”、6月的“教育部软件展”、10月的“中国国际高新技术交易会”以及2003、2005年两届“中国国际现代化铁路装备展”。在展会中我们重点展示了已经研发成功的安全服务器及信息系统安全解决方案，并通过产品宣传材料的发放、现场讲解对多功能安全服务器进行了广泛宣传。

神华集团铁路系统有神朔铁路、朔黄铁路等多条线路组成。铁路系统信息化程度在全路来说都走在前列，但所使用的信息系统的安全性亟待加强。铁路安全运行是神华整体效益实现和铁路运力不断提升的保障。在朔黄铁路成功推广NetOne多功能安全服务器后，可以为神华铁路系统全面应用提供样板，同时也为在神华集团其他系统如：港口、煤炭、电子商务等系统中的应用推广打下基础。