长扬科技轨交信号系统解决方案

行业背景

随着计算机和网络技术的发展，特别是信息化与信号系统深度融合，CBTC系统产品越来越多地采用通用协议、通用硬件和通用软件，以各种方式与PIS网络、语音广播等其他子系统互联，甚至与公共网络连接，造成病毒、木马等威胁向CBTC系统扩散。一旦CBTC系统的信息安全出现漏洞，将对城市轨道交通的稳定运行和旅客的人身安全造成重大影响。如某地轨道交通运营公司在《轨道交通信息安全技术架构》中提出信息安全建设的总体目标为：全面防护、保护重点、专区专用、强化边界，旨在提升信息安全的预警能力、保障能力、检测能力、应急能力和恢复能力。要求以GB/T 22239为基础，“安全分区、网络专用、三网隔离、分级防护”为原则，在技术层面要求各系统统一技术架构和标准，按等级要求建设、实施。

解决方案

长扬科技在轨交信号系统中做到如下安全防护：

网络边界安全

在控制中心ATS网络与互联系统间（PIS、ISCS、PA等）接口的网络边界位置，部署工业网闸。针对外部系统边界采用专用的安全通道进行内外网信息交换，业务数据通过物理隔离、协议隔离、内容隔离等措施使外部系统网络数据及有害数据信息无法进入ATS网络。

在控制中心ATS与各区域边界位置部署工业防火墙。实现隔离与访问控制，根据数据包的源地址、目的地址、传输层协议、应用层协议、端口（对应请求的服务类型）、时间、用户名等信息执行访问控制规则识别工控网络中已知的安全威胁。

主机安全防护

在控制中心、车站、车辆段、停车场等处的工作站和服务器部署工控主机卫士终端安全防护产品，开启主机白名单安全防护，能使工控网络中的上位机、服务器等抵御木马、工控病毒等恶意程序的攻击。

网络流量安全

在控制中心、车辆段、停车场和设备集中站的维护网接入交换机处部署网络工业网络监测审计平台。对全网数据流量进行协议级审计，实时监控控制网络安全，发现异常行为及病毒木马。

统一安全管理

部署统一安全管理平台，统一管控所有工控网络安全设备与安全防护手段，将系统的工控网络安全现状实时、全面地进行监控。

长扬科技轨交行业信号系统网络安全部署示意图如下所示：

轨交信号系统网络安全部署示意图