不让地铁停在隧路钟转—某市地铁综合监控系统安全防护案例
颁布功夫 2018-10-15
设想一下
放工了，你坐地铁回家
开开心心的听着歌
忽然
地铁停在了隧路中
灯光瞬间熄灭
火警报警铃声音起
地铁门却打不开
这可不是什么神通
有可能是犯法分子发起的网络攻击
2016年某市地铁综合监控系统建设靠近尾声时，公安机关查抄发显熹未按等级�；ひ蠼ㄉ�，地铁业主十吩祺沉，得知GA黄金甲不仅是网络安全行业的领航企业，并且已在地铁行业有较多成功经验，所以紧脊刭集GA黄金甲技术人员进行规划探求和设计，GA黄金甲技术人员在深刻探求分析后，总结出其系统存在以下安全风险和安全需要 。
（1）综合监控系统未进行安全域划分和域间接见节造，由于综合监控系统集成了诸多子系统，很容易出现因某一子系统的问题引起其它系统故障 。
（2）短缺信息安全风险监控技术，不能实时相识发现入侵行为、病毒、网络接见异常、网络拥塞等问题，出现问题后需依附人员经验排查 。
（3）操作怨鼐均为Windows系统，在运维和使用过程中允许使用U盘，通过U盘，很容易传染病毒、木马等威胁，且操作怨鼐上未装置防病毒软件，很可能产生因病毒导致的系统瘫痪或不能正常运行 。
（4）第三方人员运维系统时无审计措施，出现问题后很难取证 。
GA黄金甲规划部署
2016年中下旬，安全设备与综合监控系统在仿真环境中进行测试联调 。
在中央节造中心设置安全治理区域，划分独立VLAN，部署工控安全治理平台、工控缝隙扫描和安全配置核查，在综合监控系统与AFC\PIS\CLK\PA等其他系统的接口处部署工业防火墙，在中心的主题互换机上部署工控异常监测系统， 部署如下图所示：
1，工业节造信息安全治理平台
工控信息安全治理系统对所有安全信息进行统一治理，统一出现 �；诹鞣⑾忠斐：徒蛹叵�，关联日志发现潜在威胁，同时检测PSCADA、BAS的业务异常——在具体业务中，系统发出节造号令是特定的、有限的，将正确的数据包作为尺度，就能够急剧发现异常数据包 。
2，工业防火墙
工业防火墙能够节造表部系统（如信号、AFC等）对综合监控系统，以及综合监控系统内部门歧区域之间（如中央到车站）的接见节造，对数据包进行过滤，严格执行白名单机造，实现�；� 。工业防火墙还能够对工业节造和谈进行深度解析，通过预设，自进建等步骤鉴别犯法或违规的工业节造指令及节造参数，并进行阻断，预防工业节造设备受到网络攻击 。
工业防火墙对于网络中的工控和谈MODBUS的安全防护如下：
3，工控异常检测系统
工控异常检测通过对系统中的利用层和谈进行深度解析检验和谈体式，并与规定战术对比验证内容合规性，可实现对利用系统的入侵检测和分析业务操作异常 。能自动发现工业网络中的活动设备，设备盛开的端口以及设备的网络衔接，并通过预设、自进建等步骤造订白名单战术，自动监督异常的违规业务 �？啥酝缰写嫉牟《尽⒛韭硪约岸韵低骋阎煜兜墓セ餍形屑觳� 。
在集成商仿真环境中工控异常检测系统有效检测出网络中的基于MODBUS和谈的仿照攻击行为，实现告警 。
4，缝隙扫描系统
缝隙扫描系统可能急剧发现网络资产，正确鉴别资产属性，全面扫描安全缝隙，清澈定性安全风险，给出建复建议和预防措施，并对风险节造战术进行有效审核，从而援手安全人员在弱点全面评估的基础上实现安全自主掌控 。
5，配置核查
安全基线配置核查系统是查抄安全配置的自动化工具，可对主机设备、网络设备、安全设备、数据库、中央件等系统配置进行安全查抄 。查抄内容应蕴含操作系统和网络设备、数据库和中央件等的账号、口令、授权、日志安全要求、不用要的服务、启动项、注册表、会话设置等和安全有关配置，援手安全人员对操作站主机进行定期查抄和安全加固 。配置查抄了局如下：
通过该项主张建设，不仅对综合监控系统进行了安全防护，并且满足等级�；そㄉ枰蟛⑼ü缺２馄�，2017年地铁上半年已上线运行，目前运行不变 。
综合监控系统作为地铁四大系统之一，不仅所有的地铁城市建设此系统，并且目前也从原来只集成PSCADA、BAS等系统会扩大到集成信号系统 。综合监控系统的网络安全问题在地铁系统中是极度凸起的问题，GA黄金甲集团从2014年起头拓展工控安全业务钻研时就针对地铁行业的系统进行安全防护钻研及设计 。截止目前已经为深圳、北京、广州、南京、武汉、西安、沉庆、成都、长沙、厦门、上海、苏州、温州、柳州、南宁、杭州、宁波、郑州、乌鲁木齐、长春等各大城市的地铁系统如信号系统（CBTC）、综合监控系统（ISCS）、自动售检标系统（AFC）、通讯系统、线网中心系统的安全提供防护建设等，持续不休地为人民安全出行保驾护航 。
京公网安备11010802024551号