這一站，我們一起出發
發布時間 2020-07-21地鐵對于一個城市來說是必不可少的交通工具。穿梭于城市的每一個角落，改變了城市速度，拉近了城市距離，承載著人們最初的夢想……
隨著智能化、網絡化技術發展，地鐵實現了各專業的綜合監控。而一旦出現網絡攻擊，地鐵運營將失去監控的眼睛，無法實時監控各專業的運行狀態。因此，各專業實現綜合監控的同時，網絡安全更需要綜合管控，提高對網絡安全事件的反應能力和處理速度，提升軌道交通的服務質量和綜合運營效率。
綜合監控系統的風險
1、網絡邊界數量多
綜合監控系統互聯的子系統較多（如SIG、AFC、PIS等），各互聯子系統的安全級別不一樣，綜合監控系統缺乏與互聯子系統的網絡隔離措施，各系統之間存在互相訪問的可能性。
2、業務流量復雜
綜合監控系統網絡包含集成子系統和互聯子系統的流量通信、數據共享和業務操作，缺少對網絡流量的監測與協議分析能力，無法識別針對綜合監控系統網絡內部的入侵滲透、惡意代碼傳播等網絡攻擊行為；缺乏對業務流量進行安全審計的能力，發生安全事件后無法快速追蹤和溯源；缺乏對綜合監控系統網絡的威脅評估和風險識別能力。
3、終端設備種類多
綜合監控系統的設備包括工作站、服務器和相關控制設備、物聯網設備等多個廠家不同類型的終端設備，這些設備的部署、網絡接入和管理若不可控，將產生很大的安全風險與隱患。
4、運維管理難度大
綜合監控系統的管理與運維主要依賴第三方集成商人員運維，缺少專業的信息安全崗位和人員；員工安全意識淡薄、安全培訓不到位，普遍存在賬號共享、弱口令、粘貼密碼等問題；地鐵線路較長，且缺少統一的管理運維工具，僅依賴人工無法做到全線路安全管理和監測。
啟明星辰綜合管控安全建設方案
● 邊界隔離防護
結合綜合監控系統的業務特點，在控制中心與現網中心、外部OA等系統邊界、控制中心、停車場、車輛段互聯子系統邊界等部署工業防火墻產品，形成牢靠的邊界安全防護體系，保障邊界安全防護系統設計的廣度和深度。
● 流量入侵檢測
在控制中心核心交換機部署入侵檢測設備，接收鏡像的網絡流量，并分析通信系統各網絡內是否存在異常流量、入侵等行為。同時，基于網絡流量、協議和應用進行全方位的事件記錄，以便發生安全事件后能夠快速對事件進行分析溯源。
● 流量安全審計
在關鍵業務節點旁路部署網絡審計（包含數據庫審計）產品，接收鏡像的網絡流量、業務環境下的網絡操作行為，進行細粒度審計。幫助用戶事前規劃預防，事中實時監視、違規行為響應，事后合規報告、事故追蹤溯源，同時加強內外部網絡行為監管、促進核心資產（數據庫、服務器、網絡設備等）的正常運營。
● 主機安全防護
在中央級、車站、車輛段、停車場等所有綜合監控系統的工作站分別安裝啟明星辰天珣內網安全風險管理與審計系統軟件（簡稱“終端安全軟件”），對外設、進程和軟件的進行精細化管控，從根本上扼制惡意代碼的運行。
● 安全運維管控
在控制中心核心交換機部署安全運維網關產品（簡稱“堡壘機”），針對業務環境下的用戶運維操作進行控制和審計的合規性管理，實現對運維人員的統一認證管理、精細化的權限劃分，以及對運維操作的安全審計和事件溯源，保障業務系統運維的安全性。
● 統一安全管控
在控制中心核心交換機部署安全管理平臺，其他網絡安全設備（如防火墻、漏洞掃描、入侵檢測）的管理口需通過安全VLAN接入到安管平臺。通過收集所有安全防護設備、網絡設備等重要IT資產的日志信息，監測網絡中的異常流量與安全事件，對網絡內的安全威脅進行分析，消除安全孤島，從整體視角進行安全事件分析、安全攻擊溯源等，重點解決安全防護設備各自運行而導致的信息不暢和事件處置效率低下等問題，提高全面的安全態勢感知能力。
● 定期漏洞掃描
通過部署漏洞掃描產品，在線路停運期間對綜合監控系統進行定期的漏洞掃描和評估，快速發現網絡資產，準確識別資產屬性、全面掃描安全漏洞，清晰定性安全風險，給出修復建議和預防措施，并對風險控制策略進行有效審核，從而幫助用戶在弱點全面評估的基礎上實現安全自主掌控。
作為信息安全行業領軍企業，啟明星辰以專業的技術優勢贏得了業主、設計院、集成商的一致認可，并在眾多信號系統、通信系統、綜合監控系統、AFC系統以及信息化系統建立了示范項目，保障網絡安全與城市軌道交通信號系統同步規劃、同步建設、同步使用，促進中國軌道交通行業網絡安全快速發展。
小貼士：
軌道交通綜合監控系統（ISCS）是由中央綜合監控系統、車站綜合監控系統（包括車輛段綜合監控系統）以及將它們連接的綜合監控主干網組成，以現代計算機、網絡、自動化和信息技術為基礎的大型計算機集成系統。
系統集成了多個地鐵自動化專業子系統，并在統一的集成平臺支持下對地鐵各專業進行監視、控制和管理，實現各專業系統的信息共享及系統之間的聯動控制功能。
京公網安備11010802024551號