城市轨道交通AFC系统安全
行业背景

电力行业的发展对于控制系统要求也极为严格,光伏新能源作为发电的新一代清洁能源,是发电的有力补充。作为可再生能源,具有充分的清洁性、绝对的安全性、相对的广泛性、确实的长寿命和免维护性、资源的充足性及潜在的经济性等优点,在长期的能源战略中具有重要地位。光伏发电厂普遍采用了高度自动化的生产技术装备和高度信息化的运营管理手段。为了抵御各种攻击对发电生产控制系统的破坏,国家发展和改革委员会颁布第14号令《电力监控系统安全防护规定》和能源局36号文《电力监控系统安全防护总体方案》,确定了电力二次系统安全防护的总体框架。指导全国电力系统信息安全体系化建设。

 

轨道交通AFC系统全称轨道交通自动售检票系统,是基于计算机、通信、网络、自动控制等技术,实现轨道交通售票、检票、计费、收费、统计、清分、管理等全过程的自动化系统。
随着病毒攻击、黑客攻击泛滥、应用软件漏洞层出不穷、木马后门传播更为普遍,这些威胁也直接影响了AFC系统,并有可能进一步窃取AFC系统相关的重要信息和数据,给核心的信息系统的安全运行造成很大危害。
另一方面,AFC系统信息系统的信息安全防护普遍比较薄弱,人员安全防护意识有待加强,信息安全制度还有待完善。

本方案的设计和实施主要依据如下:

● GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》;

● 工信部信软〔2016〕338号 《工业控制系统信息安全防护指南》;

● GB/T 30976.1-2014 《工业控制系统信息安全第1部分:评估规范》;

● GB/T 30976.2-2014 《工业控制系统信息安全第2部分:验收规范》;

● GBT 26333-2010 《工业控制网络安全风险评估规范》;

● CZJS/T 0032-2015《城市轨道交通CBTC信号系统-DCS子系统规范》;

● 中城装备(2015)013号 《城市轨道交通信号系统用户需求书(范本)》;

● 《工业过程测量、控制与自动化、网络与系统信息安全》。

安全需求
网络架构安全问题
 LCC、ACC等系统之间存在互联接口,但缺乏可靠的技术隔离手段进行区域隔离。
流量行为安全问题
缺乏对非授权设备私自联到内部网络的行为进行检查、定位和阻断的能力;无法有效的检测到网络攻击行为,并对攻击源IP、攻击类型等信息进行记录;无法在网络边界处对恶意代码进行检测和告警。
控制设备安全
主机和服务器恶意代码防范、漏洞管理、USB等外设管理能力不足,无法应对安全需求。
管理和运维安全问题
未设立专门的信息安全岗位,信息安全的管理和维护由业务部门代理,同时信息安全制度不完善,缺乏有效的安全防护应急预案和演练工作,无法应对突发事件,系统部署、策略配置对厂商或集成商的依赖性强,且第三方人员管理缺位。
方案内容
珞安科技根据上述系统需求、业务特性结合相关标准,通过现场调研和威胁评估系统对AFC系统进行风险评估,整体上掌握安全状态,并据此制定全面的安全方案。
       整体的安全保障体系包括管理和技术两大部分。
       管理方面:
       依据等级保护制度建立完善的安全管理体系,涉及安全管理制度、安全管理机构、安全管理人员和安全运维管理四个部分。
       技术方面:
       通过在LCC、ACC等系统或区域间部署工业控制防火墙保障网络架构安全;
       在主机和服务器上部署珞安卫士,通过白名单机制营造主机层可信环境,防止恶意代码和漏洞利用攻击的同时在技术层面提供介质管理,有效保障控制设备安全;
       通过部署工控网络安全审计设备,对网络流量和工控协议进行深度分析,及时发现网络攻击行为,并进行审计记录和告警;
       通过部署集中管理平台对珞安主机卫士、工业防火墙、工控网络安全审计进行统筹管理,构建联动防御机制,对网络攻击、非法外联等行为进行阻断,保障系统整体安全。
       具体部署如图所示:
城市轨道交通信号系统工控网络安全
行业背景

随着计算机和网络技术的发展,特别是信息化与信号系统深度融合,CBTC系统产品越来越多地采用通用协议、通用硬件和通用软件,以各种方式与PIS网络、语音广播等其他子系统互联,甚至与公共网络连接,造成病毒、木马等威胁向CBTC系统扩散。一旦CBTC系统的信息安全出现漏洞,将对城市轨道交通的稳定运行和旅客的人身安全造成重大影响。

本方案的设计和实施主要依据如下:

● GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》;

● 工信部信软〔2016〕338号 《工业控制系统信息安全防护指南》;

● GB/T 30976.1-2014 《工业控制系统信息安全第1部分:评估规范》;

● GB/T 30976.2-2014 《工业控制系统信息安全第2部分:验收规范》;

● GBT 26333-2010 《工业控制网络安全风险评估规范》;

● CZJS/T 0032-2015《城市轨道交通CBTC信号系统-DCS子系统规范》;

● 中城装备(2015)013号 《城市轨道交通信号系统用户需求书(范本)》。

安全需求

 

            珞安科技通过对大量地铁综合监控系统的调研和总结分析,发现地铁系统综合监控系统的安全防护情况如下:

            综合监控系统集成(例如PSCADA、FAS、BAS)和互联(SIG、AFC、PIS)的系统较多,且缺乏有效的网络隔离措施;

            综合监控系统的工作站、服务器和相关控制设备外设接口缺乏统一管理;防病毒软件病毒库更新不及时,且存在误杀现象;漏洞管理、第三方软件安装管理 不到位;

           综合监控系统网络缺少网络流量监测与分析能力;

           综合监控系统管理与运维方面,不同运营公司的管理力度措施参差不齐。

方案内容

        整体的安全保障体系包括管理和技术两大部分。
        管理方面:
        依据等级保护制度和业务特点建立完善的安全管理体系,涉及安全管理制度、安全管理机构、安全管理人员和安全运维管理四个部分。
        技术方面:
        通过在地铁信号系统与其他系统之间部署工业控制防火墙、安全隔离与信息交互系统保障网络架构安全;
        在地铁信号系统主机和服务器及相关控制设备上部署珞安卫士,通过白名单机制营造主机层可信环境,防止恶意代码和漏洞利用攻击的同时在技术层面支撑介质管理,有效保障控制设备安全;
        通过部署工控网络安全审计设备,对网络流量和工控协议进行深度分析,及时发现网络攻击行为,并进行审计记录和告警;
        部署日志审计系统记录存储6个月以上的地铁信号系统中各类日志信息,并通过大数据分析异常行为,为回溯分析提供支撑;
        通过部署集中管理平台对珞安主机卫士、工业防火墙、工控网络安全审计、日志审计系统进行统筹管理,构建联动防御机制,对网络攻击、非法外联等行为进行阻断,保障系统整体安全。
        轨道交通信号系统需要依据等级保护等相关标准的要求进行合规性安全保障体系的设计,具体部署如
图:

城市轨道交通综合监控系统工控网络安全
行业背景

        综合监控系统由中央级综合监控系统、车站级综合监控系统、车辆段综合监控系统和其他辅助功能子系统(例如培训管理系统、集中告警系统、仿真测试平台和网管系统等)等多个部分组成。通过综合监控骨干传输网将以上各部分联接起来,形成一个有机整体,最终达到减员增效的目的。但由于综合监控系统建设时间早,未能及时考虑网络安全因素,无法应对如病毒、木马扩散等安全问题。为确保综合监控系统在规划、设计、实施、上线、生产、运维、废弃各个生命周期的安全,急需建设健全网络安全防护体系。

本方案的设计和实施主要依据如下:

● GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》;

● 工信部信软〔2016〕338号 《工业控制系统信息安全防护指南》;

● GB/T 30976.1-2014 《工业控制系统信息安全第1部分:评估规范》;

● GB/T 30976.2-2014 《工业控制系统信息安全第2部分:验收规范》;

● GBT 26333-2010 《工业控制网络安全风险评估规范》;

● CZJS/T 0032-2015《城市轨道交通CBTC信号系统-DCS子系统规范》;

● 中城装备(2015)013号 《城市轨道交通信号系统用户需求书(范本)》。

安全需求

            珞安通过对大量地铁信号系统的调研和总结分析,发现地铁系统信号系统的安全防护情况如下:
            信号系统与其他系统之间存在互联接口,但缺乏可靠的技术隔离手段进行区域隔离;
            地铁信号系统的主机、服务器和相关工业控制设备防病毒软件无法及时更新病毒库、系统加固、补丁管理缺位;
            缺乏对非授权设备私自联到内部网络的行为进行检查、定位和阻断的能力;
            部分地铁线路的信号系统正在使用或计划采购国外品牌的系统集成,无法做到信息安全的自主可控;
            未设立专门的信息安全岗位,信息安全的管理和维护由业务部门按照自己的理解进行管理和维护。

方案内容

 

        整体的安全保障体系包括管理和技术两大部分。
        管理方面:
        依据等级保护制度和业务特点建立完善的安全管理体系,涉及安全管理制度、安全管理机构、安全管理人员和安全运维管理四个部分。

        技术方面:
        通过在地铁综合管理系统集成系统之间、与其他交互系统之间部署工业控制防火墙保障网络架构安全;
        在地铁综合管理系统主机和服务器及相关控制设备上部署珞安卫士,通过白名单机制营造主机层可信环境,防止恶意代码和漏洞利用攻击的同时在技术层面支撑介质管理,有效保障控制设备安全;
        通过部署工控网络安全审计设备,对网络流量和工控协议进行深度分析,及时发现网络攻击行为,并进行审计记录和告警,为追踪溯源提供技术支撑;
        通过部署集中管理平台对珞安主机卫士、工业防火墙、工控网络安全审计进行统筹管理,构建联动防御机制,对网络攻击、非法外联等行为进行阻断,保障系统整体安全。
        具体拓扑情况如
图:

相关方案
阿里云等保合规安全解决方案 阿里云安全帮助您快速、省心地通过等保合规。在阿里云,您可享受一站式等保测评,包括完备的攻击防护、数据审计、数据备份、加密、安全管理服务。
瀚高软件政府业务系统解决方案 Highgo DB是瀚高公司核心开发团队经过多年的研究和实践,根据政企客户的需求,量身定制数据库核心功能、管理工具、语法兼容包等。不仅扩展了传统社区产品的企业级功能,提高了产品的稳定性、性能和安全性,同时大大增强了产品的易用性。
云盒子内外网文件交换解决方案 内外网文件交换方案由内网文档云、双向网闸以及外网文档云三部分组成。内外网文档云上的文件,须经过预定的安全审核流程后,方可通过双向网闸将数据摆渡(同步)到另一侧,以确保数据的安全。
昂楷科技公检法数据库安全解决方案 昂楷科技提出了面向业务系统和数据库的全面深度安全审计,通过部署昂楷数据库审计系统,实现对数据库和数据库接口服务的全程监控审计,解决已删除数据无法知悉删除内容的问题。
昂楷军工数据库解决方案 昂楷科技针对军工行业的数据安全需求,提出了面向军工业务系统的解决方案,对数据库进行全方位的审计,风险事件实时告警,风险行为准确记录及定位,帮助军工单位进行内审内控,从内部防护数据库的安全。
昂楷云数据库解决方案 昂楷科技基于对数据库安全多年的研究与积累,率先攻克了云平台数据库审计技术,推出全面支持云平台审计的数据安全解决方案。

获取更多相关方案详解,立即咨询吧!