English日本語
项目布景需要
本项目是某市地铁综合监控系统依照等级�；と兑蠼薪ㄉ�，重要在中心级对车站和中心的网络通讯做入侵检测，综合监控和其他系统之间做接见节造，辅助以缝隙查抄和安全配置基线查抄的查抄伎俩，最终将设备的日志和安全报警以工控安全治理系十足一出现和治理 。
综合监控系统信息安全风险如下：
（1）地铁自动化系统未进行安全域划分，区域间和系统间未设置接见节造措施 。
（2）短缺信息安全风险监控技术，不能实时相识发现入侵行为、病毒、网络接见异常、网络拥塞等问题，出现问题后靠人员经验排查 。
（3）系统运行后，操作站和服务器很少打补丁，存在系统缝隙，系统安全配置较幽微，防病毒软件装置不全面 。
（4）防病毒软件的装置不全面，即便装置后也不实时更新防恶意代码软件版本和恶意代码库 。
（5）工程师站短缺身份认证和接入节造，且权限很大 。工程师站登陆过程短缺身份认证，且工程师站对操作站、PLC等进行组态时均不足身份认证，存在肆意工程师站能够对操作站、现场设备直接组态的可能性 。
（6）在地铁自动化系统运维和使用过程中，存在轻易使用U盘、光盘、移动硬盘等移动存储介质景象，有可能传染病毒、木马等威胁进出产系统 。
（7）第三方人员运维出产系统无审计措施 。
（8）上线前进行信息安全测试的需要 。
防护规划及涉及安全产品
在中央节造中心设置安全治理区域，划分独立VLAN，部署工控安全治理平台、工控缝隙扫描和安全配置核查，在综合监控系统与AFC\PIS\CLK\PA等其他系统的接口出部署工业防火墙，在中心的主题互换机上部署工控异常监测系统， 部署如下图所示：
（1）工业节造信息安全治理平台
工控信息安全治理系统对所有安全信息进行统一治理，统一出现 �；诹鞣⑾忠斐：徒蛹叵�，关联日志发现潜在威胁，同时检测PSCADA、BAS的业务异常——在具体业务中，系统发出节造号令是特定的、有限的，将正确的数据包作为尺度，就能够急剧发现异常数据包 。
（2）工业防火墙
工业防火墙能够节造表部系统（如信号，AFC等）对综合监控系统，以及综合监控系统内部门歧区域之间（如中央到车站）的接见节造，对数据包进行过滤，严格执行白名单机造，实现�；� 。工业防火墙还能够对工业节造和谈进行深度解析，通过预设，自进建等步骤鉴别犯法或违规的工业节造指令及节造参数，并进行阻断，预防工业节造设备受到网络攻击 。
工业防火墙对于网络中的工控和谈MODBUS的安全防护如下：
（3）工控异常检测系统
工控异常检测通过对系统中的利用层和谈进行深度解析检验和谈体式，并与规定战术对比验证内容合规性，可实现对利用系统的入侵检测和分析业务操作异常 。能自动发现工业网络中的活动设备，设备盛开的端口以及设备的网络衔接，并通过预设，自进建等步骤造订白名单战术，自动监督异常的违规业务 �？啥酝缰写嫉牟《尽⒛韭硪约岸韵低骋阎煜兜墓セ餍形屑觳� 。
在集成商仿真环境中工控异常检测系统有效检测出网络中的基于Modbus和谈的仿照攻击行为，实现告警 。
（4）缝隙扫描系统
缝隙扫描系统可能急剧发现网络资产，正确鉴别资产属性，全面扫描安全缝隙，清澈定性安全风险，给出建复建议和预防措施，并对风险节造战术进行有效审核，从而援手安全人员在弱点全面评估的基础上实现安全自主掌控 。
（5）配置核查
安全基线配置核查系统是查抄安全配置的自动化工具，可对主机设备、网络设备、安全设备、数据库、中央件等系统配置进行安全查抄 。查抄内容应蕴含操作系统和网络设备、数据库和中央件等的账号、口令、授权、日志安全要求、不用要的服务、启动项、注册表、会话设置等和安全有关配置 。援手安全人员对操作站主机进行定期查抄和安全加固 。配置查抄了局如下：
本项目中防护规划中涉及安全产品如下表：
产品名称 | 数量 |
工业防火墙 | 4台 |
工控异常监测系统 | 1台 |
工控信息安全治理平台 | 1套 |
工控缝隙扫描系统 | 1套 |
工控安全基线查抄系统 | 1台 |
项目成效
该项目是综合监控系统依照等级�；と督ㄉ�，我司已在集成商的仿真环境进行集成测试，17年上半年上线运行 。
综合监控系统是地铁四大系统之一，90%的地铁节造系统均有此系统，能够跟业主、集成商、设计院沟通此项目方向 。
Copyright ? GA黄金甲 版权所有 京ICP备05032414号 
京公网安备11010802024551号
