某地铁信号系统网络宁静方案
1. 行业痛点
目前地铁信号系统大多接纳CBTC技术实现列车和地面设备的双向通信，利用通信技术实现“车地通信”并实时地通报“列车定位”信息 。通过车载设备、轨旁通信设备实现列车与车站或控制中心之间的信息交换，完成速度控制 。但随着计算机和网络技术的生长，特别是信息化与信号系统深度融合，CBTC系统产物越来越多地接纳通用协议、通用硬件和通用软件，接纳以太网与综合监控、PIS网络、语音广播等其他业务系统互联，造成病毒、木马等威胁向CBTC系统扩散 。一旦CBTC系统受到网络攻击，将对都市轨道交通的稳定运行和旅客的人身宁静带来重大威胁 。
凭据前期对该项目的需求调研和风险评估，总结该项目网络宁静建设的痛点如下：
? 信号系统与其他业务系统如综合监控系统、AFC系统、PIS系统等之间存在互联接口，接纳尺度Modbus协议进行通讯，数据接纳明文传输 。但未接纳任何访问控制或技术隔离手段进行区域隔离，无法对进出网络的信息内容进行过滤，不能实现对应用层协议命令级的控制；
? 信号系统受网络结构及运营模式影响，投入使用后设备、系统补丁、漏洞库、病毒库无法接纳自动模式进行自动更新，设备易泛起重大缺陷受到网络攻击；
? 地铁信号系统网络内缺乏对非授权设备私自联到内部网络的行为进行检查、定位和阻断的能力；缺乏检测网络攻击行为及恶意代码的手段，无法对攻击源IP、攻击类型等信息进行记录、并回溯；
? 没有独立的信息宁静部门或者信息宁静岗位，宁静计谋和宁静管理制度不完善 。
2. 解决方案
1）界限防护
接纳工业级防火墙实现区域界限访问控制 。在信号系统和其它系统（如PIS系统和综合监控系统）互联的界限（A，B网）各部署一台防火墙，通过界限部署防火墙设置访问控制计谋，实现对信号系统和其它系统间的通信进行访问控制，仅允许特定的数据传输，禁止所有非须要的网络通信 。访问控制计谋可基于传统五元组、协议、资产、时间等多元组；同时对信号系统与其他业务系统通讯接纳的modbus协议实现指令级访问控制 。
2）入侵检测
釆用入侵检测系统对网络中的流量进行监测 。
在主干环网交换机上旁路部署入侵检测系统，检测可能发生的入侵行为并报警 。入侵检测通过对系统中的应用层协议进行深度解析，并与规则计谋对比，实现对应用系统的入侵检测和业务操作异常分析 。
3）业务审计
通过部署数据库审计系统，运维审计系统，日志审计系统（包罗在宁静管理平台中），对信号系统进行宁静审计 。
数据库审计系统，对中心数据库进行网络审计，审计内容包罗数据库用户的登录和对数据库的增、删、改、查等操作 。
运维审计系统对维护事情站的维护操作进行审计，审计内容包罗维护事情站对网络设备，ATS服务器，ATC维护机的远程操作，可进行操作回放 。
4）终端宁静管理
在信号系统各事情站上宁静主机宁静防护软件，对事情站进行宁静防护，防护内容包罗宁静基线管理，网络ACL控制，外设控制，U盘管控，非法外联阻断，病毒查杀等 。对全线事情站进行集中统一管理，集中配置宁静计谋，集中展示全线事情站的宁静状态 。
5）集中宁静管理
宁静管理平台可对网络中所有的事情站主机，服务器主机，网络设备，宁静设备进行状态、资源监控，自动生成资产列表、实现资产管理，动态生成网络拓扑，实现全网设备性能监控，日志管理等 。
3. 方案结果与价值
保障信号系统的最低时延要求，接纳旁路宁静监测为主，以宁静系统自响应为原则来构建防护系统；例如：IDS与FW的联动；建立信号系统种种控制设备，实现信号系统整体的宁静管控 。保证信号网络的高宁静性 。通过威胁检测、宁静预警、宁静加固、宁静审计、应急响应等，建立宁静事件事前、事中、事后的宁静维护管理，确保信号系统的连续宁静，满足连续性按需防御的宁静需求 。?
地铁云平台网络宁静方案
1. 行业痛点
地铁业务系统作为国家要害信息基础设施，一直以来其网络都是相对独立和关闭的，地铁内部的各个业务系统之间的网络都是独立建设 。近年来为了推动地域的轨道交通的生长，提升行业的服务质量，部门地域的地铁建设方通过引进云计算技术来改变传统的地铁业务建设模式，将各大专业（业务系统），诸如：AFC系统、ISCS系统、SIG系统等等都集中在一个云数据中心，将车站级的数据要求降低甚至取消，提高全局的资源利用率，减少业务建设过程中过多的对车站的投入，同时通过集中的管理中心对全局的各系统个资产进行管理，提高管理效率 。
地铁云平台面临的宁静问题主要有：
? 云平台自身的宁静问题
云平台的底层架构是通过虚拟化技术实现资源共享调用，但是共享需要保证用户资源间的隔离，目前大多数云平台存在VENOM(毒液)漏洞，通过该漏洞能让攻击者越过虚拟化技术的限制，访问并监视控制宿主机，并通过宿主机的权限来访问控制其他虚拟主机 。因此需要提供面向虚拟机、存储等虚拟工具的宁静�；ぜ颇� 。
? 差异专业的宁静控制与管理
虽然将各专业的计算都集中到了云中心，但是部门专业的现场级的数据收罗组件都是部署在车站的，在目前的技术配景下，无法实现现场级设备的虚拟化，且接纳TCP/IP协议作为数据传输协议，且各业务系统如ISCS与AFC、SIG等专业都是接纳的工业控制协议：TCP/MODBUS，应用层协议依靠传统的网络分析技术是无法进行分析的 。
? 云端数据的宁静传输与交换
地铁云平台将所有数据都集中到云端加工、存储，站段数据向云端传输需要云平台向各业务系统开放相应的接口，这种中心级的数据交换需要保障各业务系统的数据宁静传输与交换 。
2. 解决方案
1）云平台网络宁静界限防护体系
建立外部服务网、内部管理网、宁静生产网三个宁静域间防护体系；各宁静域内部业务系统宁静界限；带外管理网区域界限；车站/车辆段节点宁静域界限；区域界限实现以下几方面的防护措施：界限隔离及访问控制、宁静审计、抗DDoS攻击、入侵检测及防御、未知威胁检测、通信链路加密、负载均衡、Web宁静防护 。
2）云平台网络宁静防护支撑体系
云平台网络宁静防护支撑体系旨在建立云平台宁静管理中心，云平台宁静管理中心定位于云宁静体系中的上层管理平台系统，可以整合云中种种宁静监控资源、收罗环境中全量的宁静监测信息，形成面向云计算集中宁静监测、综合宁静分析和统一运维支撑的宁静运维管理，负担云上态势感知的功效 。
3. 方案结果与价值
该方案以宁静生产网、内部管理网以及外部服务网为基础，实现区域化的宁静治理 。集合云技术资源动态调治的优势，将宁静能力以资源池的形态进行交付，各专网、系统按需提出需求，由云宁静管理中心进行分配；最终实现跨专业、跨网络的统一宁静管理，解决了资源利用不足，宁静部署繁琐、倒霉于统一管理的问题 。
某市地铁自动售检票系统网络宁静方案
1. 行业痛点
AFC系统是轨道交通业务系统的重要组成部门之一，AFC系统在都市轨道交通中饰演自动化票务管理的角色，它的宁静性、可靠性及保密性极高 。AFC系统结构条理目前通�；治�5个条理，分别为票卡、车站终端设备、车站控制中心、线路控制中心（或多线路控制中心）以及清分清算中心 。随着AFC互联网售票等新业务架构的兴起，传统的AFC系统面临了新的宁静风险，如何保障AFC系统运行的数据宁静和业务稳定性是在AFC系统建设过程中必须考虑的问题 。
凭据抖圈为赌而生对现场的需求调研和风险评估，总结痛点如下：
? 未进行宁静域划分，区域间未设置访问控制措施；
? 缺少网络监控手段，不能及时发现网络宁静问题；
? 缺少网络审计手段，泛起问题后靠人员经验排查；
? 系统运行后，操作站和服务器很少打补丁，存在系统漏洞，系统宁静配置较单薄，防病毒软件安装不全面；
? 缺少身份认证和接入控制，且权限很大；
? 存在使用移动存储介质不规范问题，易引入病毒以及黑客攻击法式；
? 第三方人员运维生产系统无审计措施；
? 上线前未进行网络宁静测试；
? 缺少对网络宁静的全局监控，头疼医头，脚疼医脚 。
2. 解决方案
? 界限防护隔离
在控制中心、车站与各系统互联界限部署防火墙，实现冗余 。通过防火墙实现AFC系统与地铁运营非直接相关系统的访问控制，对数据包进行过滤，同时制止系统受到病毒入侵、非法入侵及未授权人员的非法访问，严格执行基于业务的访问控制机制 。
? 终端宁静管理
在控制中心、车站、车辆段部署杀毒软件、终端管理对终端设备进行病毒防护、进程白名单、移动存储介质管理 。
? 内部监测审计
在控制中心核心交换处旁路部署入侵检查、网络宁静监测审计、运维审计，对网络操作行为进行细粒度审计的合规性管理 。通过对被授权人员和系统的网络行为进行解析、分析、记录、汇报，以资助用户事前规划预防、事中实时监视、违规行为响应、事后合规陈诉、事故追踪溯源，加强内外部网络行为监管、促进核心资产的正常运营 。
? 应用宁静网关
在线路中心界限部署应用宁静网关对数据进行2-7层的全面检查和分析，深度识别、管控和审计近千种常见应用 。应用宁静网关支持详细、清晰、易用的日志特性，可以全面记录审计网络行为、使用流量、访问业务、所用终端系统及设备类型平台等信息 。
3. 方案价值
抖圈为赌而生自动售检票等保宁静解决方案，乐成的解决了自动售检票系统宁静问题 。方案对轨道交通自动售检票系统进行实时在线的监测、预警、防护、评估和控制，构建轨道交通信息宁静一体化平台，切合国家《网络宁静法》条例规定，切合等保2.0的宁静建设指导建议，为轨道交通工业控制系统正常运行提供全面稳固的宁静保障 。?
某市地铁综合监控系统网络宁静方案
1. 行业配景
近年来，国内地铁综合监控系统的信息化建设泛起快速稳步的生长，随着信息化与轨道交通自动化的深度融合，轨道交通自动化与控制网络也向着漫衍式、智能化的偏向迅速生长，越来越多基于TCP/IP的通信协议和接口被接纳，从而实现了自管理信息层延伸至现场设备的一致性识别、通讯和控制 。实现了各子系统的互联互通，资源共享和自动化水平 。随着地铁综合监控系统的集成化、智能化水平越来越高，运行线路包罗的信息点越来越多，与之而来的网络管理和宁静面临的挑战也变得更大 。
凭据抖圈为赌而生对现场的需求调研和风险评估，总结痛点如下：
? 综合监控系统的集成化越来越高，与各系统互联接口仅在应用层面进行访问控制，系统底层没有访问控制措施，很容易绕过应用层的控制措施，直接对变电站/所的供电系统进操作，对环控系统的PLC控制器进行操作 。而与互联系统间通过通信处置机FEP进行接口通信，仅考虑功效实现，未对通信处置机上的通用操作系统进行宁静加固，导致通信处置机容易成为攻击靶标并沦陷为网络攻击的跳板 。
? 综合监控系统事情站一般接纳Windows系统，上线后基本不会对操作系统进行升级，系统上线前没有关闭掉多余的系统服务，以及系统的密码计谋等进行宁静加固等问题，系统宁静配置单薄，容易遭受攻击 。
? 地铁建设和运营公司未设置网络宁静管理部门，未明确建设运营相关部门的宁静职责和技能要求 。同时普遍缺乏网络宁静人才 。
因此如何应对地铁综合监控系统面临的宁静风险，是我们在新形势下迫切需要解决的现实问题 。
2. 解决方案
抖圈为赌而生公司通过对轨道交通多年的研究，已经为北京、上海、深圳、成都、广州等都市地铁建设提供了网络宁静服务，目前与80%以上已开通地铁都市建立了合作关系，通过100多个宁静项目形成了独占的行业认识与经验，结合等保2.0的要求提出“界限防护隔离、内部监测审计、终端宁静管理、集中管控预警” 的建设思路，建立“预测、防御、检测、响应”立体式的宁静防护体系，实现宁静威胁快速检测与有效防御 。
? 界限防护隔离
在控制中心、车站、车辆段与各系统互联界限部署防火墙，实现冗余 。通过防火墙实现综合监控系统与地铁运营非直接相关系统的访问控制，对数据包进行过滤，同时制止系统受到病毒入侵、非法入侵及未授权人员的非法访问，严格执行基于业务的访问控制机制 。
? 内部监测审计
在控制中心、车站、车辆段部署核心交换处旁路部署入侵检查、网络审计，对网络操作行为进行细粒度审计的合规性管理 。通过对被授权人员和系统的网络行为进行解析、分析、记录、汇报，以资助用户事前规划预防、事中实时监视、违规行为响应、事后合规陈诉、事故追踪溯源，加强内外部网络行为监管、促进核心资产的正常运营 。
? 终端宁静管理
在控制中心、车站、车辆段部署杀毒软件、终端管理、网络准入系统对终端设备进行病毒防护、进程白名单、移动存储介质、客户端接入进行管理 。
? 集中管控预警
在控制中心部署态势感知系统、漏洞扫描和配置核查系统，对漫衍在控制中心、车辆段、停车场和各车站的防火墙、入侵检测系统、网络审计系统和主机防护软件进行集中管控 。统一设置宁静计谋、补丁升级和病毒库更新等宁静事项 。对综合监控系统的网络链路、网络设备、宁静设备、服务器、事情站进行集中监测 。收集、存储和分析全线的宁静日志，对有潜在威胁的宁静事件进行识别和报警，定期生成宁静报表 。
在控制中心部署运维宁静网关对综合监控系统的网管子系统和维护子系统的远程运维操作进行认证、授权、监控和审计，实现对网管和运维人员的双因素认证 。
3. 方案价值
抖圈为赌而生综合监控解决方案，是目前针对综合监控系统宁静比力全面的解决方案，方案对综合监控系统进行实时在线的监测、预警、防护、评估和控制，构建轨道交通信息宁静一体化平台，同时也满足执法规则要求，为轨道交通工业控制系统正常运行提供全面的网络空间信息宁静保障 。
京公网安备11010802024551号