摘要：
呼和浩特铁路局通过部署华为下一代防火墙，有效防范网络中的各种攻击，为呼铁局货票系统安全稳定运行奠定基础，满足铁总对路局的要求，全面开启货票电子化时代。
呼铁局货票电子化背景
为惯切落实“强基达标，提质增效”工作主题，加快推进铁路运输信息化建设，经总公司党组决策部署，作为2017年重点工作，决定于2017年11月15日前完成货运票据新系统测试，12月1日启用新版运单票据，2018年1月1日起货运票据新系统上线试运行，2018年春运结束后全面实现铁路货运票据电子化。
货票系统建设挑战严峻：
铁路货票是铁路运营的主要票据之一，是铁路部门运输统计、财务管理、货流货物分析的原始信息，也是运输高度指挥作业不可缺少的基础依据。在车站货票具有货物运输合同运单副本的性质，是处理货运事故向收货人支付运到逾期违约金和补退运杂费的依据；在运输过程中货票又是货物运输凭证。它跟随货物一直到达目的站。铁路货票从运输业务上分为普通、联运、军运等不同形式。铁路货票从货物运载形式上分为整体、零担、集装箱三种。铁路货票票面是所记载的内容基本上包括了关于货物的运输、流向、货物名称、数量、包装、重量、计费等信息。 呼铁局货票系统设计多个子系统，货票录入系统、货票审核系统、货票计费系统等。网络环境复杂，有些偏远车站还未接入骨干数据网，有些车站只有低端交换机，几乎是在网络上裸跑。因此，网络中也时常面临不同程度的网络攻击，缺乏有效的安全管控。网络边界变得模糊，信息安全问题日益复杂。通过IP和端口进行访问控制的传统的防护墙无法应对层出不穷的应用层威胁。 华为下一代防火墙解决方案： 针对呼铁局客户现网情况，充分考虑货票系统设计的安全性要求，增强网络安全防护能力。同时，考虑到本次货票电子化改造预算有限，华为提出采用下一代防火墙一机多用的方案，有效降低客户建设成本。华为USG6000系列下一代防火墙面通过对应用、用户、内容、威胁、时间、位置6个维度的全面感知，提供精细的业务访问控制和加速。入侵防御和防病毒等应用层深度防御与应用识别相结合，有效提高了威胁防御的效率和准确性。降低了下一代防火墙的整体运营成本，持续、简单、高效地提供下一代网络安全。 精准的访问控制 鉴于呼铁局车站的分布情况，同时考虑到货票业务各子系统的逻辑架构和访问控制安全考虑，USG6000下一代墙在控制的维度和精细程度上都有很大的提高，防火墙的核心功能还是访问控制，主要体现如下： • 一体化防护：从应用、用户、内容、时间、威胁、位置6个维度进行一体化的管控和防御。内容层的防御与应用识别深度结合，一体化处理。 • 基于应用：运用多种技术手段，准确识别包括移动应用及Web应用内的6000+应用协议及应用的不同功能，继而进行访问控制和业务加速。 • 基于位置：与全球位置信息结合，识别流量发起的位置信息；掌控应用和攻击发起的位置，第一时间发现网络异常情况。根据位置信息可以实现对不同区域访问流量的差异化控制。支持根据IP自定义位置。 全面的防护范围 网络的边界越来越模糊，各种业务系统的逻辑访问越来越紧密，针对货运系统不同的业务数据，USG6000提供全面的防护功能： • 一机多能：集传统防火墙、VPN、入侵防御、防病毒、数据防泄漏、带宽管理等功能于一身，简化部署，提高管理效率。 • 入侵防护（IPS）：超过5000种漏洞特征的攻击检测和防御。 • 数据防泄漏：对传输的文件和内容进行识别过滤。可识别120+种常见文件类型，防止通过修改后缀名的病毒攻击。能对Word、Excel、PPT、PDF、RAR等30+文件进行还原和内容过滤，防止企业关键信息通过文件泄露。 简单的安全管理 针对呼铁局货票系统前端车站缺乏运维人员或运维人员技术水平有限的情况，下一代防火墙除了在防护范围和控制精度比传统防火墙大大增加外，还降低了对运维人员技能的要求。同时，考虑到项目施工周期短，涉及站点多，对于项目交付是一个重大的挑战，提供如下策略助力快速完成交付和货票业务运行维护： •快速部署策略：内置场景策略模板，不依赖使用者的经验也能快速地部署常用防护策略。 •智能优化策略：根据内置应用风险库和网络实际流量对已部署的安全策略进行评估和优化，使其符合最小授权原则。 •智能精简策略：自动发现重复的和长期没有使用的策略，精简策略规模，简化管理。 总结 华为一直致力于助力铁路行业信息技术发展，利用华为在信息化领域的优势，为铁路业务的建设和发展保驾护航。结合呼和浩特铁路局网络建设情况，从数据网、呼张客户专线、调度楼等呼铁局信息化建设到本次货票电子化系统建设，为呼铁局网络和业务系统提供稳定、可靠、安全的网络环境。
