地铁综合监控系统工控安全解决方案

地铁综合监控系统简介

      地铁综合监控系统是由通信骨干网连接起来的大型SCADA系统，具有分布式、分层次部署的特性。地铁综合监控的主要功能包括对机电设备的实时集中监控功能和各系统之间协调联动功能两大部分。通过综合监控系统，一方面可实现对电力设备、火灾报警信息及其设备、车站环控设备、区间环控设备、环境参数、屏蔽门设备、防淹门设备、电扶梯设备、照明设备、门禁设备、自动售检票设备、广播和闭路电视设备、乘客信息显示系统的实时集中监视和控制；另一方面还可实现晚间非运营情况下、日间正常运营情况下、紧急突发情况下和重要设备故障情况下各相关系统设备之间的协调互动。

地铁综合监控系统安全需求分析

      近年来，地铁综合监控系统的信息化建设呈现快速稳步的发展， TCP/IP技术的应用进一步促进了网络融合，实现各子系统的互联互通。在综合监控系统集成化、智能化快速发展为系统运营带来便利的同时，网络管理和网络安全面临着更大的挑战，因此如何应对地铁综合监控系统面临的安全风险，是我们迫切需要解决的现实问题。

      地铁综合监控系统采用标准化系统平台和网络协议，其网络和数据层面均存在安全隐患。另外，综合监控系统还面临着诸多技术、管理等方面的安全问题，主要表现在以下几个方面：

      系统未进行安全域划分，区域间未设置访问控制措施；

      系统安全策略配置薄弱，大部分主机未安装杀毒软件；

      综合监控系统与常规的信息系统一样，会感染来自信息网络的恶意代码；

      综合监控系统的各种终端，工作站、服务器具有大量USB口、串口、光驱等输入通道，存在直接感染复制恶意代码到系统中的风险；

      综合监控系统的网络缺少准入控制，在各车站的机房、车控室、变电所很容易接入未非经授权的终端而不被发现；

      综合监控系统内缺少异常检测和恶意行为监测手段，当系统感染了恶意代码后，存在对底层执行系统发送非法指令的风险；

      地铁综合监控系统集成互联了多个子系统，综合监控系统本身的远程维护，以及各子系统的远程维护缺少相应的记录和过程审计。

地铁综合监控系统安全防护思路

      结合当前地铁综合监控系统面临的诸多安全问题，我们建议安全防护体系建设应遵循“网络边界准入控制、互联系统逻辑隔离、审计和告警数据集中管理和统一呈现”的安全建设原则。具体防护思路如下：

      针对工业控制系统内部威胁部署工控安全监测与审计系统，实时监测系统内部异常行为，异常流量告警。

      针对各互联系统间存在的安全威胁，部署工业防火墙，做到系统之间的逻辑隔离，保障各互联系统同综合监控系统数据交换的安全性。

      针对系统边界终端随意接入网络的情况，部署终端准入控制系统，保证只有可信的节点可以接入和访问网络，同时针对终端安全问题，部署终端安全卫士严格监管终端异常行为及非法数据外传等操作。

      针对综合监控系统工业资产及异常数据监控方面，通过部署工控安全监测与审计管理平台，基于数据流分析的网络拓扑绘制，实现对工业资产的实时统计并对整套控制系统的安全态势做到实时展现。

      同时，在综合监控系统工控安全管理方面，加强安全管理制度、组织机构安全、系统安全管理等方面建设。

地铁综合监控系统工控安全防护措施

      地铁综合监控系统由控制中心系统、车站级控制系统、车辆段控制系统、培训管理系统、设备维护及网络管理系统等组成，各系统通过冗余环网连接。综合监控系统安全防护体系建设，应重点考虑控制中心和车站级控制系统。

      典型车站及控制中心工控安全防护设备部署示意图如下图所示：

      在控制中心部署准入控制系统、工控安全监测与审计系统、工业防火墙、运维堡垒机、终端安全管理系统等安全设备，以满足控制中心安全防护和管理要求。

      通过部署准入控制系统，准确识别入网终端身份，非授权设备接入后无法使用综合监控系统网络，全面实现对工业控制网络终端设备的接入控制。

      通过部署监测与审计系统，对各车站监测引擎进行统一管理，统一展现告警、审计数据，同时基于现场工控设备通信数据流，自动绘制现场网络通信拓扑图，快速发现工控现场异常数据。

      通过部署工业防火墙，对本线路同其他线网、办公自动化系统以及互联系统进行逻辑隔离，应用基于白名单的安全策略，对数据包进行基于应用层的过滤，实现对网络边界流量的访问控制。

      通过部署运维堡垒机，针对第三方运维人员对控制中心及各车站设备的远程运维做到集中账号管理、集中登录认证、集中用户授权和集中操作审计。

      通过部署终端安全管理系统，对控制中心各操作员站、工程师站等主机设备进行进程白名单管理，对流量、移动存储介质使用进行管理，有效抵御未知病毒、木马、恶意程序、非法入侵等针对终端的攻击。

      在各车站部署工控安全监测与审计系统的监测引擎、工业防火墙、终端安全管理系统客户端等安全设备，以满足车站综合监控系统安全防护和管理要求，各设备功能同控制中心安全设备。

解决方案特色

      合规性；满足《网络安全法》框架下关键信息基础设施保护制度要求、网络安全等级保护制度要求、网络与信息安全信息通报制度要求。

      可视化；实现工控网络资产的可视化管理，动态识别非法接入设备，直观展示工控网络安全威胁。

      全面防护；从网络、终端、通信、数据、运维、管理等多个层面提供完整的安全防护与管理手段，实现工控网络全面的安全保护。

      最小干扰；所有安全组件均采用非侵入式安全监测与防护工作方式，可确保将安全设备对工