标准编号:	JT/T 1418-2022
中文名称:	交通运输网络安全监测预警系统技术规范
英文名称:	Technical specification for cybersecurity monitoring and warning system of transportation
行业分类:	JT    交通行业标准
发布机构:	中华人民共和国交通运输部
发布日期:	2022-06-09
实施日期:	2022-9-9
标准状态:	valid
翻译语言:	英文
文件格式:	PDF
中文字符数:	18000 字
翻译价格(元):	1260.0
交付时间:	付款后 1 个工作日

Codeofchina.com is in charge of this English translation. In case of any doubt about the English translation, the Chinese original shall be considered authoritative. This document is developed in accordance with the rules given in GB/T 1.1-2020 Directives for standardization - Part 1: Rules for the structure and drafting of standardizing documents. Attention is drawn to the possibility that some of the elements of this document may be the subject of patent rights. The issuing body of this standard shall not be held responsible for identifying any or all such patent rights. This standard was proposed by and is under the jurisdiction of National Technical Committee on Transportation Information Communication and Navigation of Standardization Administration of China. Technical specification for cybersecurity monitoring and warning system of transportation 1 Scope This document specifies the system architecture, general requirements, functional requirements, performance requirements, display requirements, interface requirements, security requirements and operation management of the cybersecurity monitoring and warning system of transportation. This document is applicable to the construction, testing, operation, maintenance and management of cybersecurity monitoring and warning systems in the transportation industry. 2 Normative references The following normative documents contain provisions which, through reference in this text, constitute provisions of this standard. For dated references, only the edition cited applies. For undated references, the latest edition (including any amendments) applies. GB/Z 20986-2007 Information security technology - Guidelines for the category and classification of information security incidents GB/T 22239-2019 Information security technology - Baseline for classified protection of cybersecurity GB/T 24363-2009 Information security technology - Specifications of emergency response plan for information security GB/T 25069 Information security techniques - Terminology GB/T 28517-2012 Network incident object description and exchange format GB/T 29246 Information technology - Security techniques - Information security management systems - Overview and vocabulary GB/T 33561-2017 Information security technology - Vulnerabilities classification GB/T 36643-2018 Information security technology - Cyber security threat information format GB/T 37027-2018 Information security technology - Specifications of definition and description for network attack   3 Terms and definitions For the purposes of this document, the terms and definitions specified in GB/T 25069 and GB/T 29246 and the following apply. 3.1 threat potential causes of undesired incidents that may cause harm to the system or organization [Source: GB/T 29246-2017, 2.83] 3.2 asset information or resources of value to the organization, which are the objects the security policies protect [Source: GB/T 20984-2007, 3.1] 3.3 cybersecurity incident incident that causes harm to the network or information system, or negatively affects the society, due to natural or man-made reasons as well as defects or failures of the software and hardware itself [Source: GB/T 32924-2016, 3.4] 3.4 cybersecurity monitoring by collecting and analyzing cybersecurity incidents and logs and traffic data of assets such as safety equipment, hosts/servers, databases, middleware and application systems, cybersecurity risks are identified, threats are discovered, early warning notifications are made, and visual display are realized [Source: GB/T 36635-2018, 3.1, modified] 3.5 cybersecurity warning security warnings issued in advance or in time for upcoming or ongoing cybersecurity incidents or threats [Source: GB/T 32924-2016, 3.5, modified]   3.6 threat intelligence knowledge related to an existing or potential threat and used to inform decisions about response or handling of the threat or hazard Note: Threat intelligence includes context, mechanism, indication, meaning and actionable recommendations. 3.7 device fingerprint verifiable and comparable set of data used to uniquely identify device characteristics or unique device attributes 4 Abbreviations For the purposes of this document, the following abbreviations apply. CPU: Central Processing Unit FTP: File Transfer Protocol HTTP: Hyper Text Transport Protocol IP: Internet Protocol JSON: JavaScript Object Notation POP3: Post Office Protocol-Version 3 SMTP: Simple Mail Transfer Protocol SNMP: Simple Network Management Protocol VPN: Virtual Private Network XML: Extensible Markup Language   5 System architecture and general requirements 5.1 System architecture The cybersecurity monitoring and warning system of transportation (referred to as "monitoring and warning system") is an information system used for centralized monitoring and warning of cybersecurity of government websites, e-government mailboxes, important information systems, important network nodes and operating networks in the transportation industry. The monitoring and warning system includes ministerial-level cybersecurity monitoring and warning system of transportation (referred to as "ministerial-level system"), provincial-level cybersecurity monitoring and warning system of transportation (referred to as "provincial-level system") and cybersecurity monitoring and warning system of transportation of units directly under the ministry of maritime affairs and salvage (referred to as "subordinate system"). The ministerial-level system shall exchange data and share information with the platforms of national cybersecurity supervision departments; the provincial-level system and subordinate system shall dock with the ministerial-level system and form a warning and communication mechanism for cybersecurity incidents, and shall share knowledge base and threat intelligence database data with them; the provincial-level system shall exchange data and share information with the platforms of provincial cybersecurity supervision departments. The docking relationship between the monitoring and warning system and the internal and external systems and platforms is shown in Figure 1. The monitoring and warning system is mainly composed of platform layer, basic layer, analysis layer, application layer and display layer, which, together with security requirements and operation management, constitute the system architecture of the monitoring and warning system, as shown in Figure 2.

Foreword i 1 Scope 2 Normative references 3 Terms and definitions 4 Abbreviations 5 System architecture and general requirements 5.1 System architecture 5.2 General requirements 6 Functional requirements 6.1 Data collection 6.2 Data processing 6.3 Data storage 6.4 Security analysis 6.5 Threat intelligence management 6.6 Risk identification 6.7 Cybersecurity warning and judgment 6.8 Information communication 6.9 Response and disposal 7 Performance requirements 8 Display requirements 8.1 Contents to be displayed 8.2 Display mode 9 Interface requirements 9.1 System cascade interface 9.2 Data sharing interface 10 Security requirements 11 Operation management Bibliography

交通运输网络安全监测预警系统技术规范 1 范围 本文件规定了交通运输网络安全监测预警系统的系统架构及总体要求、功能要求、性能要求、展示要求、接口要求、安全要求与运行管理。 本文件适用于交通运输行业网络安全监测预警系统的建设、测试、运维与管理。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。 GB／Z 20986—2007 信息安全技术 信息安全事件分类分级指南 GB／T 22239—2019 信息安全技术 网络安全等级保护基本要求 GB／T 24363—2009 信息安全技术 信息安全应急响应计划规范 GB／T 25069 信息安全技术 术语 GB／T 28517—2012 网络安全事件描述和交换格式 GB／T 29246 信息技术 安全技术 信息安全管理体系 概述和词汇 GB／T 33561—2017 信息安全技术 安全漏洞分类 GB／T 36643—2018 信息安全技术 网络安全威胁信息格式规范 GB／T 37027—2018 信息安全技术 网络攻击定义及描述规范 3 术语和定义 GB／T 25069和GB／T 29246界定的以及下列术语和定义适用于本文件。 3.1 威胁 threat 可能对系统或组织造成危害的不期望事件的潜在缘由。 [来源：GB／T 29246—2017，2.83] 3.2 资产 asset 对组织具有价值的信息或资源，是安全策略保护的对象。 [来源：GB／T 20984—2007，3.1] 3.3 网络安全事件 cybersecurity incident 由于自然或者人为以及软硬件本身缺陷或故障的原因，对网络或信息系统造成危害，或对社会造成负面影响的事件。 [来源：GB／T 32924—2016，3.4] 3.4 网络安全监测 cybersecurity monitoring 通过对网络安全事件和安全设备、主机／服务器、数据库、中间件、应用系统等资产的日志和流量数据进行采集分析，实现网络安全的风险识别、威胁发现、预警通报及可视化展示。 [来源：GB／T 36635—2018，3.1，有修改] 3.5 网络安全预警 cybersecurity warning 针对即将发生或正在发生的网络安全事件或威胁，提前或及时发出的安全警示。 [来源：GB／T 32924—2016，3.5，有修改] 3.6 威胁情报 threat intelligence 一种与已有或潜在的威胁相关，用于对威胁或危害的响应或处理决策提供信息支持的知识。 注：威胁情报包括上下文、机制、标示、含义和能够执行的建议等。 3.7 设备指纹 device fingerprint 用于唯一识别设备特征或者独特设备属性的可验证和可比对的数据集。 4 缩略语 下列缩略语适用于本文件。 CPU：中央处理器(Central Processing Unit) FTP：文件传送协议(File Transfer Protocol) HTTP：超文本传输协议(Hyper Text Transport Protocol) IP：互联网协议(Internet Protocol) JSON：JavaScript 对象简谱(JavaScript Object Notation) POP3：邮局协议版本 3(Post Office Protocol—Version 3) SMTP：简单邮件传输协议(Simple Mail Transfer Protocol) SNMP：简单网络管理协议(Simple Network Management Protocol) VPN：虚拟专用网络(Virtual Private Network) XML：可扩展标记语言(Extensible Markup Language) 5 系统架构及总体要求 5.1 系统架构 交通运输网络安全监测预警系统(简称“监测预警系统”)是对交通运输行业政府网站、电子政务邮箱、重要信息系统、重要网络节点和运行网络进行集中全面的网络安全监测和网络安全预警的信息系统。监测预警系统体系包括部级交通运输网络安全监测预警系统(简称“部级系统”)、省级交通运输网络安全监测预警系统(简称“省级系统”)和海事、救捞的部直属单位交通运输网络安全监测预警系统(简称“直属系统”)。部级系统应实现与国家网络安全监管部门平台之间进行数据交换和信息共享；省级系统和直属系统与部级系统进行对接，形成网络安全事件预警通报机制，共享知识库及威胁情报库数据；省级系统应实现与省级网络安全监管部门平台之间进行数据交换和信息共享。监测预警系统内外部之间的接口关系如图1所示。 监测预警系统主要由平台层、基础层、分析层、应用层、展示层组成，同时结合安全要求和运行管理共同构成监测预警系统的系统架构，如图2所示。 国家网络安全监管部门平台 省级网络安全监管部门平台 部级交通运输网络安全监测预警系统 海事、救捞的部直属单位交通运输网络安全监测预警系统 省级交通运输网络安全监测预警系统 其他应用系统 第三方平台 图1 监测预警系统内外部接口关系示意图 运行管理 展示层 综合信息 应用层 网络安全预警研判 信息通报 响应处置 分析层 威胁情报管理 安全分析 风险识别 基础层 数据采集 数据处理 数据存储 平台层 操作系统 操数据库 中间件 安全要求 采集对象1 采集对象2 采集对象n 图2 监测预警系统架构 监测预警系统各层功能如下： ——平台层：负责为监测预警系统运行提供支撑，由操作系统、数据库和中间件组成； ——基础层：负责为分析层提供基础数据，至少具备数据采集、数据处理、数据存储功能； ——分析层：负责为应用层提供分析结果，至少具备安全分析、威胁情报管理、风险识别功能； ——应用层：负责为展示层提供交互信息，至少具备网络安全预警研判、信息通报、响应处置功能； ——展示层：负责将各层数据进行综合汇总，以文字、图形、图表等形式进行集中和直观呈现。 5.2 总体要求 监测预警系统应至少满足以下总体要求： ——以交通运输行业关键信息基础设施为监测预警重点，监测交通运输行业政府网站、电子政务邮箱、重要信息系统、重要网络节点和运行网络的安全状态； ——支持多级架构部署，满足交通运输行业不同管理层级的网络安全监测需求，如图1所示； ——支持在原有系统基础上进行功能扩展，功能模块能独立维护； ——支持基于监测策略对网络状况进行安全监测，对监测时产生的告警进行分类标识，包括但不限于策略违反告警、事件告警、异常行为告警，并提供多种告警和响应方式，包括但不限于语音告警、声光告警、短消息告警、邮件告警。 6 功能要求 6.1 数据采集 6.1.1 采集对象 采集对象应包括： a) 主机设备，如计算机、服务器等； b) 基础软件，如操作系统、数据库、中间件等； c) 网络设备，如交换机、路由器、VPN等； d) 安全设备或系统，如防火墙、入侵检测(防护)设备、Web攻击审计系统、网络异常行为审计系统、脆弱性探测系统等； e) 交通运输外场设备、摄像头、感知设备、政务终端等； f) 交通运输基础设施管理系统、指挥系统、业务系统、监测平台、云管平台、虚拟化管理平台等； g) 交通运输行业政府网站、电子政务邮箱等。 6.1.2 采集要求 数据的采集应满足如下要求： a) 采用被动及主动等方式进行采集，人工和自动化相结合； b) 采集节点以单级、分布式多级等多种形式部署； c) 数据采集任务根据类型可定制化，任务类型至少包括单次型和周期型； d) 数据采集过程中，不影响采集对象的正常运行。 6.1.3 采集内容 6.1.3.1 采集内容应包括资产基础数据、运行状态数据、网络流量数据、业务系统数据和网络安全数据。 6.1.3.2 资产基础数据应包括： a) 采集对象基本信息，包括设备名称、设备型号、制造商名称及品牌等； b) 采集对象操作系统或固件信息，包括操作系统或固件名称、版本标识等； c) 采集对象物理接口信息，包括物理接口数量，各物理接口的名称、类型和相关的配置参数等数据； d) 采集对象的设备指纹。 6.1.3.3 运行状态数据应包括： a) 采集对象的运行状态数据，如CPU利用率、CPU温度等CPU运行状态数据、内存使用率等内存运行状态数据，磁盘空间使用率等磁盘运行状态数据； b) 采集对象运行的系统日志、告警数据等； c) 采集对象的物理接口的链路状态，包括物理地址、在线状态、离线状态等； d) 采集对象的网络配置数据，包括名称、IP地址、子网掩码等； e) 采集对象的会话数等。 6.1.3.4 网络流量数据应包括但不限于： a) 源IP、目的IP、源端口、目的端口、应用协议名称、应用协议特征、数据包大小； b) HTTP、FTP、Telnet、POP3、SMTP、SNMP等常见应用协议的深度包解析。 6.1.3.5 业务系统数据应包括： a) 应用配置数据，如应用名称、应用版本标识、服务名称、服务端口、服务所采用的通信协议等； b) 应用日志数据和告警数据。 6.1.3.6 网络安全数据应包括防火墙、入侵检测、漏洞扫描、网络审计等网络安全设备提供的网络安全告警数据。 6.2 数据处理 6.2.1 格式转换 格式转换功能应支持对采集的同一类型、不同格式的原始数据转换为统一的数据格式，且转换时不应造成关键数据项的丢失和损坏。 6.2.2 数据清洗 数据清洗功能应支持基于安全策略对采集的数据进行筛选、去重与合并。 6.2.3 数据补全 数据补全功能应支持： a) 对采集的资产基础数据提供标记补全功能，补全其相关联的属性； b) 基于威胁情报对资产、告警等进行补全。 6.2.4 数据标识 数据标识功能应支持基于威胁情报、业务类型、设备类型、时间、位置等对采集的原始数据进行标识。