城市轨道交通综合监控系统信息安全建设方案

谢永俊

摘 要：随着社会的发展和进步，我国城市轨道交通也快速不断向前发展，在城市交通快速发展背景下，随之而来的是各种安全问题的不断出现，由于城市轨道交通综合监控系统要对大量外部接口数据进行处理，因此，在这个过程中面临的风险问题也越来越突出。文章首先对基于三级等保信息安全管理体系进行了简单的介绍，然后在此基础上对综合监控系统信息安全建设提出了一些目标和要求，最后结合管理和技术方案两个方面，对城市轨道交通综合监控系统安全防护提出了一些建设方案。

关键词：城市轨道交通;安全防护;综合监控系统;信息安全

1 三级等保信息安全管理体系介绍

信息安全管理体系分为技术和管理两个模块（如图1所示），是由多个子策略构成的三层结构体系，其使用的是自顶向下树型结构，其顶部主要是对原则方向宏观层面来进行把握，然后再逐渐向下过渡到具体措施微观层面[1]。在这个安全管理树型结构中，其中树顶表示的是体系中的最高纲领，同时也是对安全管理宏观策略、基本原则等的阐述，通过使用简练的语言，将信息安全管理及技术内容描述了出来。其树干则表示的是技术规范和管理规定，是对最高纲领的深入阐述和分解，注重要求实现的途径和方法。同时也对技术与管理之间存在的共性进行总结，从而对安全工作进行有效的指导。而树枝表示的是操作层面，在树干与树顶有关策略要求下，使应用环境、实际网络与树根层面进行良好的结合，并将动态作为管理的基本原则，制定详细具体的相关流程和一些细节部分，保障制定的方案具有良好的可操作性。

2 综合监控安全防护方案设计

2.1 总体思路

为了能够进一步满足综合监控系统安全防护建设中的需求，通过利用工业防火墙、数据库审计系统、仿真测试平台、入侵防御系统等一些系统，结合其需求有效部署安全防护措施，从而将安全隐患及时地解决掉[2]。

按照安全建设需求的背景以及等保防护思想，利用技术手段有效实现安全防护，主要包括下面几个方面：（1）安全区域边界，对网络设备和安全设备的安全区域进行科学合理的划分，进而对攻击和控制网络安全部分要求进行实施访问。（2）安全通信网络，利用智能分析技术和旁路监听技术，正确审计系统采集与控制请求，记忆系统运维等一些关键性行为，当攻击的时候做到及时的预警，有效满足等保中先关安全审计要求。（3）安全计算环境，利用与工业特色相符合的终端安全防护软件，有效保护好综合监控系统所应用的计算终端，避免应用过程中出现中病毒的现象，然后与自身系统安全设计相配合，有效满足等级保护中相关数据安全需求。（4）安全管理中心，利用综合安全管理平台，使安全产品日志实现统一采集，防护设备等实现统一运维，进而形成安全运营中心，在对安全事件进行应急处理、发现攻击行为过程中，统一化的信息安全防護为其提供了一定的技术支撑。

2.2 安全区域边界

（1）对控制中心边界防护进行控制。控制中心端，应将其划分成为仿真测试系统区域、自动化系统互联区域、培训系统区域等区域。然后结合隔离区域防护需求和流量特点，办公自动化区域在隔离的时候，应该利用具有访问控制功能入侵系统隔离，而其它的一些区域需要利用工业防火墙隔离。

（2）车站边界防护在车站端，其应该划分系统互联区域、综合监控系统内部区域，然后在结合隔离区域防护有关需求及流量特征，利用工业防火墙来对区域间实施隔离。

（3）车辆段边界防护应该在车辆段，其划分区域主要为系统互联区域、设备维护系统安全区域等，结合隔离区域间防护需求及流量特点，利用工业防火墙来对区域间进行隔离。

2.3 安全通信网络

（1）控制中心网络风险控制分析在控制中心中，其安全通信网络保障，是利用数据审计、工业审计两个系统的部署而实现的，其中工业审计在部署的时候，是利用旁路模式来部署的，其数据源的获取，是利用交换机镜像流量方式获取分析的，然后在按照业务相关的需求，在软件测试平台内部、网络管理系统内部等分别部署了工业审计系统。

在中心骨干网络中所部署的工业审计，通过双机部署保障，从而不断的识别风险，而软件测试平台区域以及网络管理系统，其工业审计部署的时候，是通过单机来部署的。另外，在网络管理系统安全区域内，部署着数据审计系统，其部署的时候是通过旁路部署方式部署的，然后通过全方位评估该系统数据库中的风险，再利用审计功能，审计数据库中全部操作，为事后提供了追查机制。

（2）车站网络风险分析。车站安全通信网络能够实现良好的保障，主要是在工业审计系统部署下而实现的，利用旁路模式来对其进行部署，同时利用镜像流量分析，在对其风险识别的时候，通过双机保障来进行不间断识别。

（3）车辆段网络风险分析。车辆段安全通信网络保障，也是在工业审计系统部署下而实现的，其利用旁路模式来进行部署，其数据获取和分析是通过交换机镜像流量来进行的，结合业务实际需求，在设备维护系统内部、车辆段主交换机以及培训系统内部等分别部署了工业审计系统，而车辆主干网络工业审计部署的过程中，是通过双机部署来不间断识别风险的，培训系统及设备维护系统则是通过单机来进行部署的。

2.4 安全计算环境

控制中心、车站、车辆段对工业终端及其所承载的额核心数据、应用业务防护，都是通过终端部署工业卫士软件来实现的，而且其工业卫士的部署需要在车站、车辆段、控制中心中的服务器、值班站以及工作站来进行部署。而工业卫士通过轻量级软件“白名单”机制，只需运行受信任的PE文件，就可以对相应的加固策略进行完善，进而进一步提高安全级别，防止木马、病毒等一些恶意软件的侵入，进而使工控主机从启动开始，一直到运行整个全生命周期的安全得到良好保障。另外，通过全面管控接口和USB接口，这样一些没有经过授权的设备则无法接入到计算机终端，进一步防范了通过USB接口发起的高级攻击。在综合监控系统中，将信息安全管理中心有效的设置在控制中心网络管理系统机房中，则可以实现对信息安全设备进行整体的管控。

2.5 安全管理中心

安全管理中心，是在网络管理系统中进行部署的，由统一运维管理平台、工业监管平台等系统组成。工业监管平台负责对日志的采集分析，对资产、风险的管理，并负责软件和安全设备的统一运维，及分析安全事件的处置。而统一运维管理平台则主要是管理和审计运维系统的操作。

3 结语

文章基于三级等保信息安全管理体系，然后在此基础上对城市轨道交通综合监控系统信息安全建设提出了一些目标和要求，最后结合管理和技术方案两个方面，对城市轨道交通综合监控系统安全防护提出了一些建设方案。希望可以为城市轨道交通综合监控安全防护提供一些参考。

参考文献：

[1]汤石男.高实时性地铁综合监控系统的安全防护方案研究[J].信息安全研究，2019，5（8）：691-695.

[2]李寅，李佑文，褚红健.基于并行对象管理服务的城市轨道交通综合监控系统容错机制设计[J].江苏科技信息，2020，37（1）：61-63.