English日本語
项目配景需求
本项目是某市地铁综合监控系统凭据品级� ；と兑蠼薪ㄉ�，主要在中心级对车站和中心的网络通讯做入侵检测，综合监控和其他系统之间做访问控制，辅助以漏洞检查和宁静配置基线检查的检查手段，最终将设备的日志和宁静报警以工控宁静管理系统统一泛起和管理。
综合监控系统信息宁静风险如下：
（1）地铁自动化系统未进行宁静域划分，区域间和系统间未设置访问控制措施。
（2）缺少信息宁静风险监控技术，不能及时了解发现入侵行为、病毒、网络访问异常、网络拥塞等问题，泛起问题后靠人员经验排查。
（3）系统运行后，操作站和服务器很少打补丁，存在系统漏洞，系统宁静配置较单薄，防病毒软件安装不全面。
（4）防病毒软件的安装不全面，即使安装后也不及时更新防恶意代码软件版本和恶意代码库。
（5）工程师站缺少身份认证和接入控制，且权限很大。工程师站登陆过程缺少身份认证，且工程师站对操作站、PLC等进行组态时均缺乏身份认证，存在任意工程师站可以对操作站、现场设备直接组态的可能性。
（6）在地铁自动化系统运维和使用过程中，存在随意使用U盘、光盘、移动硬盘等移动存储介质现象，有可能熏染病毒、木马等威胁进生产系统。
（7）第三方人员运维生产系统无审计措施。
（8）上线前进行信息宁静测试的需求。
防护方案及涉及宁静产物
在中央控制中心设置宁静管理区域，划分独立VLAN，部署工控宁静管理平台、工控漏洞扫描和宁静配置核查，在综合监控系统与AFC\PIS\CLK\PA等其他系统的接口出部署工业防火墙，在中心的核心交换机上部署工控异常监测系统， 部署如下图所示：
（1）工业控制信息宁静管理平台
工控信息宁静管理系统对所有宁静信息进行统一管理，统一泛起� ；诹鞣⑾忠斐：头梦使叵�，关联日志发现潜在威胁，同时检测PSCADA、BAS的业务异常——在具体业务中，系统发出控制命令是特定的、有限的，将正确的数据包作为尺度，就可以快速发现异常数据包。
（2）工业防火墙
工业防火墙可以控制外部系统（如信号，AFC等）对综合监控系统，以及综合监控系统内部差异区域之间（如中央到车站）的访问控制，对数据包进行过滤，严格执行白名单机制，实现� ；�。工业防火墙还可以对工业控制协议进行深度解析，通过预设，自学习等要领识别非法或违规的工业控制指令及控制参数，并进行阻断，制止工业控制设备受到网络攻击。
工业防火墙对于网络中的工控协议MODBUS的宁静防护如下：
（3）工控异常检测系统
工控异常检测通过对系统中的应用层协议进行深度解析检验协议格式，并与规则计谋对比验证内容合规性，可实现对应用系统的入侵检测和分析业务操作异常。能自动发现工业网络中的活动设备，设备开放的端口以及设备的网络连接，并通过预设，自学习等要领制定白名单计谋，自动监视异常的违规业务� ？啥酝缰辛鞔牟《尽⒛韭硪约岸韵低骋阎┒吹墓セ餍形屑觳�。
在集成商仿真环境中工控异常检测系统有效检测出网络中的基于Modbus协议的模拟攻击行为，实现告警。
（4）漏洞扫描系统
漏洞扫描系统能够快速发现网络资产，准确识别资产属性，全面扫描宁静漏洞，清晰定性宁静风险，给出修复建议和预防措施，并对风险控制计谋进行有效审核，从而资助宁静人员在弱点全面评估的基础上实现宁静自主掌控。
（5）配置核查
宁静基线配置核查系统是检查宁静配置的自动化工具，可对主机设备、网络设备、宁静设备、数据库、中间件等系统配置进行宁静检查。检查内容应包罗操作系统和网络设备、数据库和中间件等的账号、口令、授权、日志宁静要求、不须要的服务、启动项、注册表、会话设置等和宁静相关配置。资助宁静人员对操作站主机进行定期检查和宁静加固。配置检查结果如下：
本项目中防护方案中涉及宁静产物如下表：
产物名称 | 数量 |
工业防火墙 | 4台 |
工控异常监测系统 | 1台 |
工控信息宁静管理平台 | 1套 |
工控漏洞扫描系统 | 1套 |
工控宁静基线检查系统 | 1台 |
项目效果
该项目是综合监控系统凭据品级� ；と督ㄉ�，我司已在集成商的仿真环境进行集成测试，17年上半年上线运行。
综合监控系统是地铁四大系统之一，90%的地铁控制系统均有此系统，可以跟业主、集成商、设计院相同此项目偏向。
Copyright ? 东森平台 版权所有 京ICP备05032414号 
京公网安备11010802024551号
