轨道交通行业工控安全解决方案

一、存在的风险

    1.系统网络未进行安全域划分,区域之间未设置访问控制措施。

大部分城市轨道交通系统是按地域划分区域,一般分为中心和车站级,但是各区域间没有访问控制。并且区域间安全监测和入侵防范措施也很缺失。

    2.缺少信息安全风险监控技术,不能及时发现信息安全问题,出现问题后

靠人员经验排查。

    普遍缺少信息安全监控机制,不能及时了解发现入侵行为、病毒、网络访问异常、网络拥塞等问题。一旦发生问题基本靠人工经验排查,不能及时确定问题所在,及时排查到故障点,排查过程耗费大量人力成本、时间成本。

    3.系统运行后,操作站和服务器很少打补丁,存在系统漏洞,系统安全配

置较薄弱。

    城市轨道交通系统操作站一般采用 Windows XPWinows 7等,服务器一般采用SolarisWindows server 2003等,上线后基本不会对操作系统进行升级,而操作系统在使用期间不断曝出漏洞,导致操作站和服务器暴露在风险中。

    4.工程师站缺少身份认证和接入控制,且权限很大。

    工程师站登陆过程缺少身份认证,且工程师站对操作站、 PLC 等进行组态时均缺乏身份认证,存在任意工程师站可以对操作站、现场设备直接组态的可能性。

    5.存在使用移动存储介质不规范及数据防护手段薄弱问题。

    存在随意使用 U 盘、光盘、移动硬盘等移动存储介质现象,有可能传染病毒、木马等威胁进生产系统。同时,缺乏对重要数据的有效保护措施,重要的数据存在被木马病毒攻击的威胁,易导致数据丢失。

    6.运维生产系统无有效的审计措施。

    当第三方运维人员运维 SCADA 软件和 PLC 时,城市轨道交通运营人员不能及时了解第三方运维人员是否存在误操作和恶意操作。一旦发生事故,需要大量时间确定问题,不能够及时有效的解决问题,也没有手段追溯。

    7.上线前未进行信息安全测试。

    大部分城市轨道交通自动化系统在上线前未进行安全性测试,系统在上线后

    存在大量安全风险漏洞,安全配置薄弱,甚至有的系统带毒工作。

    8. 缺乏有效的整体管理手段。

缺乏多维度的网络安全态势统计手段无法有效对工业网络中的安全设备进行统一的配置和管理,并对其日志信息进行统一收集、管理和分析。

二、部署方案

轨道交通通信系统网络安全部署为例:
 


三、部署效果

(1)通过主机防护系统对主机环境、应用、文件、网络通信等,进行安全检查及安全过滤;对用户操作、主机活动进行记录和审计。

(2)通过主机防护系统,有效保障轨道交通通信系统中的USB、光驱、无线、串口等进行管控,采用专用外设,有效防止私人外设的接入。

(3)通过工控网络防火墙,有效防护轨道交通控制网络与互联网连接,控制网络安全区域之间进行逻辑隔离安全防护。

(4)在重要工业控制设备前端部署工控网络防火墙,对工业协议进行深度包检测,限制违法操作。

(5)通过工控网络安全监测审计系统,可有效收集系统的相关访问日志,并对操作过程进行安全审计。及时发现、报告并处理网络攻击或异常行为。

(6)通过数据安全中心,对轨道交通信息系统静态存储和动态传输过程中的重要工业数据进行保护,防止因人为恶意操作及网络病毒攻击造成数据破坏及丢失。

(7)通过工控网络入侵检测系统,可有效收集系统的相关访问日志,并对操作过程进行安全审计。及时发现、报告并处理网络攻击或异常行为。

(8)通过网络安全监测感知平台,识别轨道交通控制系统资产,方便资产管理及维护。此外,平台对数据进行了多维度的统计分析,包括扫描范围、设备在线情况、漏洞分类、区域分布、趋势等,为用户提供可视化的威胁态势报告方便管理人员进行网络全局安全运维和管理

(9)保障系统合规性及安全防护要求,满足等级保护建设及行业安全建设要求。