技术论坛：城市轨道交通网络安全分析及安全建设方案

当前，我国轨道交通正处于黄金发展期。据最新统计，截至2017年12月31日，中国内地累计有34个城市建成投运线路5021.7公里。

如果说高铁的提速改变了人们对中国火车速度的认识，那么城市轨道交通高密度的运行也改变了人们对出行时间的估算，城市轨道交通像一只高精准的机械手表，指引着城市的基本运转。然而再精密的系统也需要安全保障。而各行业层出不穷的安全资讯也在不断麻木着我们的神经，相关企业在承受、并努力挽回着攻击造成的损失。

以北京为例，城市轨道交通系统每天承载上千万人的出行，一旦出现网络安全事故将直接影响人民的正常生活，造成的损失也是无法挽回。日前，国务院办公厅印发了《关于保障城市轨道交通安全运行的意见》更是从中看出国家对于轨道交通安全的重视。

下面三中科技就从网络安全的视角分析下城市轨道交通面临的主要安全风险：

        a、防护手段不足

缺乏灵活有效的隔离手段是轨道交通各业务系统存在的通病，目前主要的隔离手段还是依靠FEP进行隔离，系统缺乏整体的网络安全设计，安全设备使用不规范。

        b、内部威胁防不胜防

利用U盘拷贝从物理上绕过了内部安全防护机制，使病毒直达内网，因此内部监管、防护十分重要，避免再次出现类震网病毒事件。

        c、主机安全防护手段的落后

众多实践证明，以杀毒软件为首的黑名单主机防护机制不适用于封闭式网络，但在实际安全建设中，为了降低成本，仍然采用杀毒软件。而实际运营中不升级病毒库的行为也使的网络内主机/服务器对于病毒（已知、未知）的防范能力依旧薄弱。

 d、安全管理漏洞

管理，这也是三中科技在安全领域经常谈及的，所谓三分技术七分管理，在城市轨道交通系统中，系统运维管理、设备策略管理、运维人员操作管理、人员的安全意识管理等等均有较大提升空间。

e、攻击者门槛降低

随着城市轨道交通技术的不断创新，云平台、全自动无人驾驶、车车通信等使得系统的融合已成为必然，甚至可能存在与互联网的通道连接，而在安全技术发展的今天，攻击者只需花费少量的费用，就可以从互联网侧发起各种攻击的手段。

除了上述的5点，实际上在我们城市轨道交通系统中还有很多安全问题，三中科技就不一一列举，总之随着安全攻防技术的不断进度，安全风险、安全漏洞会不断升级。所以打造以不变应万变，无招胜有招的安全体系，才是解决城市轨道交通网络安全之根本。

        城市轨道交通安全建设思路

城市轨道交通业务特点明显，所以传统安全解决思路是无法适用于城市轨道交通系统。因此三中科技根据《中华人民共和国网络安全法》要求，将国家网络安全等级保护制度和行业自身特点进行融合，形成"事前、事中、事后"+"可信、可管、可控"的安全防护保障体系。整体安全体系设计立足于"一个中心，三重防护"的安全思想，将以"白名单"为核心功能的安全产品贯穿始终，形成"轨道交通网络安全白环境"的安全体系结构。

        第一层防护：安全区域边界

安全区域边界主要解决城市轨道交通中不同系统间的边界问题，安全区域边界的核心内容，一是基于安全策略控制和已知威胁的防护，二是基于行为模式判断的未知威胁防护。

第二层防护：通信网络安全

通信边界安全防护旨在保证不同节点间无异常流量通信的安全设计，通过在网络内各个交换节点部署流量安全监测审计设备，保证网络内无任何异常流量。

        第三层防护：计算环境安全　

计算环境安全主要是系统内网络、主机、服务器等节点自身的安全设计，主要利用包括登录用户身份鉴别、访问控制、数据完整性、程序可信执行保护、系统安全审计等技术来保障最后一道屏障的安全。

        安全管理中心

首先在三层防护设计下，划分单独的安全域作为统一的安全管理中心，承载全网系统管理、安全管理、审计管理。

在安全管理中心内部署运维管理系统（堡垒机）对核心业务系统、工作站、服务器、数据库、网络设备等各种资源进行统一的身份认证、授权和审计，同时对所有第三方运维过程进行记录，确保运维可见可控可查。

其次在安全管理中心中部署一套漏洞扫描系统，定期对网络中资产、系统的漏洞进行核查，从而保证整套网络系统全生命周期内的安全性。

        城市轨道交通安全建设关键技术

三中科技白名单技术在多年的工控安全建设实践中总结出来的最适合、最符合工业控制系统特点的安全技术。

采用基于规则匹配技术实现的安全功能，要么就是黑名单方式，要么以白名单方式。黑名单方式，主要规则匹配的内容认为是恶意的，对其它内容不做处理，如入侵检测系统、杀毒软件主要采用此方式；白名单方式，主要是规则匹配的内容认为是无害或能够允许的，而其它内容均认为是异常或不可信。 

下面三中科技结合其自主研发的监测审计平台给大家详细阐述白名单技术，监测审计平台也是在城市轨道交通安全建设中使用数量最多的一款硬件安全产品。

监测审计平台内置网络通信安全模型自动学习功能通过学习在通信流量中的IP、MAC，服务端口等信息，生成类似防火墙包过滤策略的五元组规则，源IP、源端口，目的IP、目的端口、传输层协议类型的通信模型。通过与该安全通信模型比对，若监测到系统中出现了通信模型之外的源IP或MAC地址，说明有非法设备接入，可能就是潜在的攻击探测；同时若监测到存在非正常业务内的调度台、工作站等主机与联锁计算机、轨旁控制器进行通信，无论其应用层协议是否合规，都有可能是直接的协议攻击。

一旦形成稳定、可靠的网络通信安全模型，则出现的任何不符合安全模型的通信流量都被列为异常流量，简而言之面对万变的风险，只有以不变的安全模型来解决能真正做到"以不变应万变"。

        城市轨道交通安全建设效果

在"一个中心，三重防护"的建设思想下，结合白名单技术，最终实现只有可信的设备才允许接入，只有可信任的消息才允许传输，只有可信任的软件才允许执行的"轨道交通网络白环境"从而实现城市轨道交通系统的专机专用，专网专用，彻底解决轨道交通网络安全问题。

三中科技深耕轨道交通行业安全建设，在信号系统、综合监控系统、AFC系统等系统中大量的城市轨道交通网络安全防护案例中证明，三中科技对于轨道交通业务系统、业务场景、工业控制系统安全建设有着深入的理解，能够提供完整的安全解决方案，并依靠着成熟的技术服务团队提供良好的技术支撑，为城市轨道交通安全建设提供坚实的后盾。