今日頭條
官方微信
官方抖音
資訊頻道1 項目背景介紹
隨著信息化的發展，某地鐵線路的業務開展也越來越依托于網絡平臺，但縱觀當前的安全形勢，各種安全事件層出不窮，而在某地鐵線路信號系統的網絡中，安全設備較少，前期購買的安全設備也漸漸不能滿足其目前的網絡安全需求，嚴重影響了系統的安全性和可靠性。通過對該項目信息化現狀調研、分析，結合等級保護在在安全物理環境、安全通信網絡、安全區域邊界、安全計算環境、安全管理中心、安全管理制度、安全管理機構、在安全管理人員、安全建設管理、安全運維管理等方面的要求，逐步完善信息安全組織、落實安全責任制，開展管理制度建設、技術措施建設，落實等級保護制度的各項要求，使得單位信息系統安全管理水平明顯提高，安全保護能力明顯增強，有效保障信息化健康發展。
· 2017年6月1日正式生效的《中華人民共和國網絡安全法》中明確規定 “國家實行網絡安全等級保護制度” ，并明確 “國家對公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務等重要行業和領域，以及其他一旦遭到破壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益的關鍵信息基礎設施，在網絡安全等級保護制度的基礎上，實行重點保護。”
· 新發布的《信息安全技術 網絡安全等級保護基本要求》標準（即等保2.0）中也明確定義了針對工業控制系統的安全要求，要求安全的工業控制系統解決方案需要具備相應的安全審計功能。
· “中國制造2025”及工信部的《工業控制系統信息安全行動計劃（2018-2020年）》均對工控信息安全提出了新的要求，工控系統的安全運營離不開堅實的工控安全保障。
2 項目目標與原則
本項目根據國家《信息安全等級保護管理辦法》（公通字[2007]43號）、《中華人民共和國計算機信息系統安全保護條例》（國務院令第147號）和《GB/T 25058-2019 信息安全技術 網絡安全等級保護實施指南》的要求，依據信息安全等級保護制度的基本原則，通過確定信號系統的網絡邊界及在本系統的規劃設計中，遵循信息系統安全等級保護相關標準規范，從技術和管理兩個維度進行安全保障方案的設計，以確保本系統的安全保護能力符合相應等級的安全要求。
3 項目實施與應用情況詳細介紹
1) 信號系統的邊界隔離防護
該地鐵運營控制中心的前端處理器 C-FEP連接MCS的以太網邊界屬于外部系統，需要進行邊界防護，采用NGFW下一代防火墻，進行安全域隔離、網絡防病毒和入侵防護功能。保證數據傳輸的安全性和實現網絡的訪問控制。系統采用冗余架構的方式部署，保證網絡通訊的健壯性、穩定性和高可用性。
2) 西門子工控安全態勢感知系統
在控制中心部署西門子工控安全態勢感知系統，用于日志采集和集中的日志審計。通過主動、被動手段，實時不間斷地采集用戶網絡中不同廠商的安全設備、網絡設備、主機、操作系統、以及各種應用系統產生的海量日志信息，并將這些信息進行集中化存儲、備份、查詢、審計等，實現全生命周期的日志管理。
西門子工控安全態勢感知系統總體的系統架構如下圖：
系統架構圖
3) 基于主機防病毒 + 網絡防火墻的惡意軟件檢測及預防
在windows終端上部署主機防病毒，提供基于黑名單和白名單的主機安全防護。它能夠防護計算機和網絡病毒、惡意軟件、間諜軟件、基于Web的威脅，甚至是混合型的攻擊。同時在網絡邊界上部署下一代防火墻，使得惡意代碼在通過網絡進行傳播時進一步得到限制。通過主機+網絡兩層防護使得信息安全能夠產生聯動效應，進一步降低惡意軟件帶來的威脅。
4) 等保體系認證與咨詢
2019年5月13日，網絡安全等級保護制度2.0標準正式發布，等保2.0標準在1.0標準的基礎上，注重在全方位主動防、安全可信、動態感知和全面審計，實現了對傳統信息系統、基礎信息網絡、云計算、大數據、物聯網、移動互聯和工業控制信息系統等保護對象的全覆蓋。
等保2.0結構示意圖
5) 信號系統集成測試
地鐵信號系統是整個地鐵安全準點運行的核心控制系統，該地鐵線路屬于當地特別繁忙的地鐵線路之一，對于整體系統的穩定度有非常高的要求，系統需要356天全年無故障運行，在等保項目實施期間，需要配合信號系統的超高可靠性要求，配合客戶進行相關系統測試穩定度測試。確保系統運行正常。
4 效益分析
· 項目執行不對正常系統運行造成干擾
· 實現對全種類惡意代碼的安全防護
· 安全方案實時不對現有系統造成變更
· 全國地鐵客流量最大的安全項目（2022）
· 為地鐵信號系統開發一套安全解決方案，其中包括防火墻、防病毒系統、補丁管理、用戶管理，以及系統加固措施，工控安全態勢感知系統
· 在地鐵正常運營期間完成安全方案部署
· 為地鐵信號系統提供持續安全防護
· 降低安全風險的同時保證了生產可用性
· 零信息安全事故/病毒感染
北京市公安局海淀分局備案號：11010802023656號