某地铁信号系统网络安全规划
1. 行业痛点
目前地铁信号系统大多选取CBTC技术实现列车和地面设备的双向通讯，利用通讯技术实现“车地通讯”并实时地传递“列车定位”信息 。通过车载设备、轨旁通讯设备实现列车与车站或节造中心之间的信息互换，实现速度节造 。但随着推算机和网络技术的发展，出格是信息化与信号系统深度融合，CBTC系统产品越来越多地选取通用和谈、通用硬件和通用软件，选取以太网与综合监控、PIS网络、语音广播等其他业务系统互联，造成病毒、木马等威胁向CBTC系统扩散 。一旦CBTC系统受到网络攻击，将对城市轨路交通的不变运行和搭客的人身安全带来沉大威胁 。
凭据前期对该项主张需要调研微风险评估，总结该项目网络安全建设的痛点如下：
? 信号系统与其他业务系统如综合监控系统、AFC系统、PIS系统等之间存在互联接口，选取尺度Modbus和谈进行通讯，数据选取明文传输 。但未采取任何接见节造或技术隔离伎俩进行区域隔离，无法对进出网络的信息内容进行过滤，不能实现对利用层和谈号令级的节造；
? 信号系统受网络结构及运营模式影响，投入使用后设备、系统补丁、缝隙库、病毒库无法选取自动模式进行自动更新，设备易出现沉大缺点受到网络攻击；
? 地铁信号系统网络内不足对非授权设备私下联到内部网络的行为进行查抄、定位和阻断的能力；不足检测网络攻击行为及恶意代码的伎俩，无法对攻击源IP、攻击类型等信息进行纪录、并回溯；
? 没有独立的信息安全数门或者信息安全岗位，安全战术和安全治理造度不美满 。
2. 解决规划
1）天堑防护
选取工业级防火墙实现区域天堑接见节造 。在信号系统和其它系统（如PIS系统和综合监控系统）互联的天堑（A，B网）各部署一台防火墙，通过天堑部署防火墙设置接见节造战术，实现对信号系统和其它系统间的通讯进行接见节造，仅允许特定的数据传输，不容所有非必要的网络通讯 。接见节造战术可基于传统五元组、和谈、资产、功夫等多元组；同时对信号系统与其他业务系统通讯选取的modbus和谈实现指令级接见节造 。
2）入侵检测
釆用入侵检测系统对网络中的流量进行监测 。
在骨干环网互换机上旁路部署入侵检测系统，检测可能产生的入侵行为并报警 。入侵检测通过对系统中的利用层和谈进行深度解析，并与规定战术对比，实现对利用系统的入侵检测和业务操作异常分析 。
3）业务审计
通过部署数据库审计系统，运维审计系统，日志审计系统（蕴含在安全治理平台中），对信号系统进行安全审计 。
数据库审计系统，对中心数据库进行网络审计，审计内容蕴含数据库用户的登录和对数据库的增、删、改、查等操作 。
运维审计系统对守护工作站的守护操作进行审计，审计内容蕴含守护工作站对网络设备，ATS服务器，ATC守护机的远程操作，可进行操作回放 。
4）终端安全治理
在信号系统各工作站上安全主机安全防护软件，对工作站进行安全防护，防护内容蕴含安全基线治理，网络ACL节造，表设节造，U盘管控，犯法表联阻断，病毒查杀等 。对全线工作站进行集中统一治理，集中配置安全战术，集中展示全线工作站的安全状态 。
5）集中安全治理
安全治理平台可对网络中所有的工作站主机，服务器主机，网络设备，安全设备进行状态、资源监控，自动天生资产列表、实现资产治理，动态天生网络拓扑，实现全网设备机能监控，日志治理等 。
3. 规划成就与价值
保险信号系统的最低时延要求，选取旁路安全监测为主，以安整系统自响应为准则来构建防护系统；例如：IDS与FW的联动；成立信号系统各类节造设备，实现信号系统整体的安全管控 。保障信号网络的高安全性 。通过威胁检测、安全预警、安全加固、安全审计、应急响应等，成立安全事务事前、事钟注过后的安全守护治理，确保信号系统的持续安全，满足持续性按需防御的安全需要 。?
地铁云平台网络安全规划
1. 行业痛点
地铁业务系统作为国度关键信息基础设施，一向以来其网络都是相对独立和封关的，地铁内部的各个业务系统之间的网络都是独立建设 。近年来为了推动地域的轨路交通的发展，提升行业的服务质量，部门地域的地铁建设方通过引进云推算技术来扭转传统的地铁业务建设模式，将各大专业（业务系统），诸如：AFC系统、ISCS系统、SIG系统等等都集中在一个云数据中心，将车站级的数据要求降低甚至取缔，提高全局的资源利用率，削减业务建设过程中过多的对车站的投入，同时通过集中的治理中心对全局的各系统个资产进行治理，提高治理效能 。
地铁云平台面对的安全问题重要有：
? 云平台自身的安全问题
云平台的底层架构是通过虚构化技术实现资源共享挪用，但是共享必要保障用户资源间的隔离，目前大无数云平台存在VENOM(毒液)缝隙，通过该缝隙能让攻击者越过虚构化技术的限度，接见并监督节造宿主机，并通过宿主机的权限来接见节造其他虚构主机 。因而必要提供面向虚构机、存储等虚构对象的安全�；ふ绞� 。
? 分歧专业的安全节造与治理
固然将各专业的推算都集中到了云中心，但是部门专业的现场级的数据采集组件都是部署在车站的，在目前的技术布景下，无法实现现场级设备的虚构化，且选取TCP/IP和谈作为数据传输和谈，且各业务系统如ISCS与AFC、SIG等专业都是选取的工业节造和谈：TCP/MODBUS，利用层和谈依附传统的网络分析技术是无法进行分析的 。
? 云端数据的安全传输与互换
地铁云平台将所罕见据都集中到云端加工、存储，站段数据向云端传输必要云平台向各业务系统盛开相应的接口，这种中心级的数据互换必要保险各业务系统的数据安全传输与互换 。
2. 解决规划
1）云平台网络安全天堑防护系统
成立表部服务网、内部治理网、安全出产网三个安全域间防护系统；各安全域内部业务系统安全天堑；带表治理网区域天堑；车站/车辆段节点安全域天堑；区域天堑实现以下几方面的防护措施：天堑隔离及接见节造、安全审计、抗DDoS攻击、入侵检测及防御、未知威胁检测、通讯链路加密、负载平衡、Web安全防护 。
2）云平台网络安全防护支持系统
云平台网络安全防护支持系统旨在成立云平台安全治理中心，云平台安全治理中心定位于云安整个系中的上层治理平台系统，能够整合云中各类安全监控资源、采集环境中全量的安全监测信息，形成面向云推算集中安全监测、综合安全分析和统一运维支持的安全运维治理，承担云上态势感知的职能 。
3. 规划成就与价值
该规划以安全出产网、内部治理网以及表部服务网为基础，实现区域化的安全治理 。集中云技术资源动态调度的优势，将安全能力以资源池的状态进行交付，各专网、系统按需提出需要，由云安全治理中心进行分配；最终实现跨专业、跨网络的统一安全治理，解决了资源利用不及，安全数署繁琐、不利于统一治理的问题 。
某市地铁自动售检票系统网络安全规划
1. 行业痛点
AFC系统是轨路交通业务系统的沉要组成部门之一，AFC系统在城市轨路交通中表演自动化票务治理的角色，它的安全性、靠得住性及保密性极高 。AFC系统结构档次目前通�；治�5个档次，别离为票卡、车站终端设备、车站节造中心、线路节造中心（或多线路节造中心）以及清分算帐中心 。随着AFC互联网售票等新业务架构的鼓起，传统的AFC系统面对了新的安全风险，若何保险AFC系统运行的数据安全和业务不变性是在AFC系统建设过程中必须思考的问题 。
凭据宝运莱官方网站对现场的需要调研微风险评估，总结痛点如下：
? 未进行安全域划分，区域间未设置接见节造措施；
? 短缺网络监控伎俩，不能实时发现网络安全问题；
? 短缺网络审计伎俩，出现问题后靠人员经验排查；
? 系统运行后，操作站和服务器很少打补丁，存在系统缝隙，系统安全配置较幽微，防病毒软件装置不全面；
? 短缺身份认证和接入节造，且权限很大；
? 存在使用移动存储介质不规范问题，易引入病毒以及黑客攻击法式；
? 第三方人员运维出产系统无审计措施；
? 上线前未进行网络安全测试；
? 短缺对网络安全的全局监控，头疼医头，脚疼医脚 。
2. 解决规划
? 天堑防护隔离
在节造中心、车站与各系统互联天堑部署防火墙，实现冗余 。通过防火墙实现AFC系统与地铁运营非直接有关系统的接见节造，对数据包进行过滤，同时预防系统受到病毒入侵、犯法入侵及未授权人员的犯法接见，严格执行基于业务的接见节造机造 。
? 终端安全治理
在节造中心、车站、车辆段部署杀毒软件、终端治理对终端设备进行病毒防护、过程白名单、移动存储介质治理 。
? 内部监测审计
在节造中心主题互换处旁路部署入侵查抄、网络安全监测审计、运维审计，对网络操作行为进行细粒度审计的合规性治理 。通过对被授权人员和系统的网络行为进行解析、分析、纪录、汇报，以援手用户事前规划预防、事中实时监督、违规行为响应、过后合规汇报、变乱追踪溯源，加强内表部网络行为监管、推进主题资产的正常运营 。
? 利用安全网关
在线路中心天堑部署利用安全网关对数据进行2-7层的全面查抄和分析，深度鉴别、管控和审计近千种常见利用 。利用安全网关支持具体、清澈、易用的日志个性，能够全面纪录审计网络行为、使用流量、接见业务、所用终端系统及设备类型平台等信息 。
3. 规划价值
宝运莱官方网站自动售检票等保安全解决规划，成功的解决了自动售检票系统安全问题 。规划对轨路交通自动售检票系统进行实时在线的监测、预警、防护、评估和节造，构建轨路交通讯息安全一体化平台，切合国度《网络安全法》条例划定，切合等保2.0的安全建设领导建议，为轨路交通工业节造系统正常运行提供全面不变的安全保险 。?
某市地铁综合监控系统网络安全规划
1. 行业布景
近年来，国内地铁综合监控系统的信息化建设出现急剧稳步的发展，随着信息化与轨路交通自动化的深度融合，轨路交通自动化与节造网络也向着散布式、智能化的方向迅速发展，越来越多基于TCP/IP的通讯和谈和接口被选取，从而实现了自治理信息层延长至现场设备的一致性鉴别、通讯和节造 。实现了各子系统的互联互通，资源共享和自动化水平 。随着地铁综合监控系统的集成化、智能化水平越来越高，运行线路蕴含的信息点越来越多，与之而来的网络治理和安全面对的挑战也变得更大 。
凭据宝运莱官方网站对现场的需要调研微风险评估，总结痛点如下：
? 综合监控系统的集成化越来越高，与各系统互联接口仅在利用层面进行接见节造，系统底层没有接见节造措施，很容易绕过利用层的节造措施，直接对变电站/所的供电系统进操作，对环控系统的PLC节造器进行操作 。而与互联系统间通过通讯处置机FEP进行接口通讯，仅思考职能实现，未对通讯处置机上的通用操作系统进行安全加固，导致通讯处置机容易成为攻击靶标并沦陷为网络攻击的跳板 。
? 综合监控系统工作站通常选取Windows系统，上线后根基不会对操作系统进行升级，系统上线前没有关关掉有余的系统服务，以及系统的密码战术等进行安全加固等问题，系统安全配置幽微，容易遭逢攻击 。
? 地铁建设和运营公司未设置网络安全治理部门，未明确建设运营有关部门的安全职责和技术要求 。同时普遍不足网络安全人才 。
因而若何应对地铁综合监控系统面对的安全风险，是我们在新局势下火急必要解决的现实问题 。
2. 解决规划
宝运莱官方网站公司通过对轨路交通多年的钻研，已经为北京、上海、丽江、成都、昭通等城市地铁建设提供了网络安全服务，目前与80%以上已开明地铁城市成立了合作关系，通过100多个安全项目形成了独有的行业意识与经验，结合等保2.0的要求提出“天堑防护隔离、内部监测审计、终端安全治理、集中管控预警” 的建设思路，成立“预测、防御、检测、响应”立体式的安全防护系统，实现安全威胁急剧检测与有效防御 。
? 天堑防护隔离
在节造中心、车站、车辆段与各系统互联天堑部署防火墙，实现冗余 。通过防火墙实现综合监控系统与地铁运营非直接有关系统的接见节造，对数据包进行过滤，同时预防系统受到病毒入侵、犯法入侵及未授权人员的犯法接见，严格执行基于业务的接见节造机造 。
? 内部监测审计
在节造中心、车站、车辆段部署主题互换处旁路部署入侵查抄、网络审计，对网络操作行为进行细粒度审计的合规性治理 。通过对被授权人员和系统的网络行为进行解析、分析、纪录、汇报，以援手用户事前规划预防、事中实时监督、违规行为响应、过后合规汇报、变乱追踪溯源，加强内表部网络行为监管、推进主题资产的正常运营 。
? 终端安全治理
在节造中心、车站、车辆段部署杀毒软件、终端治理、网络准入系统对终端设备进行病毒防护、过程白名单、移动存储介质、客户端接入进行治理 。
? 集中管控预警
在节造中心部署态势感知系统、缝隙扫描和配置核查系统，对散布在节造中心、车辆段、停车场和各车站的防火墙、入侵检测系统、网络审计系统和主机防护软件进行集中管控 。统一设置安全战术、补丁升级和病毒库更新等安全事项 。对综合监控系统的网络链路、网络设备、安全设备、服务器、工作站进行集中监测 。网络、存储和分析全线的安全日志，对有潜在威胁的安全事务进行鉴别和报警，定期天生安全报表 。
在节造中心部署运维安全网关对综合监控系统的网管子系统和守护子系统的远程运维操作进行认证、授权、监控和审计，实现对网管和运维人员的双成分认证 。
3. 规划价值
宝运莱官方网站综合监控解决规划，是目前针对综合监控系统安全比力全面的解决规划，规划对综合监控系统进行实时在线的监测、预警、防护、评估和节造，构建轨路交通讯息安全一体化平台，同时也满足司法律规要求，为轨路交通工业节造系统正常运行提供全面的网络空间信息安全保险 。
京公网安备11010802024551号