轨道交通行业工控安全解决方案
行业背景
石油石化-化工
解决方案
轨道交通-高铁
城市轨道交通作为国家重要的基础设施，关系到国家安全和国计民生领域和产业的重要支撑。近年来，城市轨道交通的自动化与信息化建设取得了很大进展，但与此同时，信息安全防护相对滞后，如面临结构复杂、部分子系统与Internet连接、国外厂商提供的系统存在后门、子网间使用的网关是系统的薄弱环节、无线通信采用开放的频段和协议易受攻击等带来了一些安全隐患。维护网络安全，确保城市轨道交通工业控制系统的稳定可靠、防止来自内部或外部攻击，采取高安全性的防护措施都是城市轨道交通控制系统安全不可忽视的组成部分。
城市轨道交通系统的运营安全、运行速度、运送能力和运行效率都与信号系统密切相关，轨道交通信号系统的信息安全也逐渐开始受到业主和相关管理部门的高度重视。
政策法规
方案依据的法律法规及行业标准如：
《中华人民共和国网络安全法》
《工业控制系统信息安全防护指南》（工信软函〔2016〕338号）
《GB/T 22239-2019 网络安全等级保护基本要求》（公安部等保2.0）
《城市轨道交通运营管理规定》（交通运输部令2018年第8号）
典型部署
城市轨道交通信息安全解决方案以等级保护为基础，结合轨道交通控制系统特有的行业特点，从技术+管理二方面着手，建立健全轨交信息安全总体解决方案。
边界隔离、区域防护
在ATS信号系统与PIS、GPS时钟、PA、Radio、ISCS等其他系统边界之间部署工业防火墙进行边界隔离，通过工控协议深度过滤、恶意代码防护，防止一个系统感染木马或者蠕虫后造成其他系统之间交叉感染；在大屏接口工作站与大屏之间部署工业防火墙，防止大屏一些外设引入的安全威胁渗透到ATS内网。
网络流量监测与审计
在ATS控制中心及车辆段、车站篮网（FEP总线网）、黑网（WCN总线网）、绿网（MMS总线）汇聚交换机处旁路部署工控安全监测审计系统（即工控数据库审计系统）进行全域流量监测和审计，并对数据库系统进行操作安全审计，事后可追溯；同时对控制系统下发、上传的数据进行深度协议解析、实时监控，对非法数据及时预警。
主机安全防护
在ATS控制系统控制中心、车辆段/停车场、车站的各类工作站、服务器上部署工控主机加固系统（主机白名单软件），对各个主机终端实现应用程序白名单防护、恶意代码防护、安全审计、连接互联网检测、外设管控等安全防护。
安全运维审计
在ATS网络内部部署工控安全运维审计系统，利用单点登录功能可避免记忆复杂口令，通过给第三方人员分配临时账号，可避免敏感信息外泄，同时可将运维人员的整个操作过程进行全程录像，以备后期审计取证。
设备日志收集
在ATS控制系统各个车辆段、停车场、车站三网旁路部署工控信息安全日志系统，用于收集区域内各个网络安全设备、主机防护软件、网络交换设备的告警或者日志，并把搜集来的日志进行统一推送，便于上层安全监测平台进行集中分析，监测网络安全态势。
集中管理
在ATS控制中心（OCC）旁路部署工控监测分析预警平台，将各个安全子系统的告警情况、日志情况、网络安全状况进行采集和汇总，形成安全体系的综合监管；同时对各个安全子系统进行集中管控，统一策略下发、统一版本升级等，方便后续运维。
