城市軌道交通信息系統(tǒng)安全解決方案

1313概述城市軌道交通是城市建設史上最大的公益性基礎設施，其運行安全事關人民生命財產安全，因此，需按照國家及行業(yè)相關要求做好軌道交通控制系統(tǒng)的安全防護，特別是信號系統(tǒng)的全面防護。典型安全問題（1）目前，多數(shù)城市軌道交通系統(tǒng)部署防病毒和防火墻這兩類安全設備進行安全防護，防病毒軟件的病毒庫升級遲緩或不升級，甚至部分軌道交通信號系統(tǒng)未部署任何安全措施；（2）缺乏安全隔離保護措施，已有防火墻的策略大部分配置為全通，同時無法識別工業(yè)專有協(xié)議；（3）運維人員缺乏必要的權限管理、監(jiān)控審計措施；（4）信號系統(tǒng)各環(huán)節(jié)各自為戰(zhàn)，缺乏統(tǒng)一的安全管理。解決方案（1）對關鍵主機和服務器進行安全防護和移動存儲介質管理，阻止各類已知或未知惡意軟件的感染、運行和擴散，保障信號系統(tǒng)的運行安全和數(shù)據(jù)安全；（2）對信號系統(tǒng)與對外接口的網絡邊界進行安全隔離防護，阻止任何來自信號系統(tǒng)外的非授權訪問，有效抑制病毒、木馬在信號系統(tǒng)網絡中的傳播和擴散，保障列車運行安全；（3）采取監(jiān)測審計措施，實時發(fā)現(xiàn)并記錄針對信號系統(tǒng)的攻擊和破壞行為，為工業(yè)控制網絡安全事件調查提供依據(jù)；（4）結合信號系統(tǒng)業(yè)務特點，對各級維護人員的操作行為進行管控，保證每個維護人員的身份及操作指令的合法性；（5）對信號系統(tǒng)網絡中的安全設備和主機進行集中安全管理，同時對各類安全日志進行匯總分析。典型部署?冗需同_卜ILg圖7工控網絡安全部署拓撲架構圭T?5*M畋昭■林0xe±*Ei良-XiWMiia?冗需同_卜ILg圖7工控網絡安全部署拓撲架構圭T?5*M畋昭■林0xe±*Ei良-XiWMiiaMahh?：（1）在關鍵主機和服務器上部署工控主機衛(wèi)士和安全u盤采用“白名單”技術阻止未授權程序運行，保障信號系統(tǒng)的運行安全和數(shù)據(jù)安全同時利用安全J盤保證主機間數(shù)據(jù)交換安全；2）在信號系統(tǒng)與對外接口之間部署工業(yè)防火墻，運用“白名單+智能學習”技術建立工控網絡安全通信模型，阻斷一切非法訪問，僅允許可信的流量進出信號系統(tǒng)；（3）在各級交換系統(tǒng)內旁路部署監(jiān)測審計平臺，對各級交換系統(tǒng)間的通信流量進行深度分析，利用流量中的元素（時間、IP、協(xié)議、指令）來判斷各級操作的合法性；（4）在控制中心和車輛段網絡旁路部署工控堡壘機，通過嚴格的權限控制和操作行為審計，加強對信號系統(tǒng)維護人員的行為管理，從而達到消隱患、避風險的目的；在控制中心、車輛段部署統(tǒng)一管理平臺，對工控主機衛(wèi)士、監(jiān)測審計平臺、工業(yè)防火墻進行集中管理，并根據(jù)實際需求輸出不同類型、不同維度的分析告報。小結本解決方案具備如下特點：（1）滿足國家等級保護政策需求、滿足工信部工業(yè)控制系統(tǒng)安全防護指南中的技術需求；通過部署不同維