■ 左需

0 引言

目前，許多城市面臨嚴(yán)重的交通擁堵問題，比亞迪汽車工業(yè)有限公司（簡稱比亞迪公司）創(chuàng)新研發(fā)了獨(dú)具特色的軌道交通工具——比亞迪云軌。云軌作為一種新型的中運(yùn)量軌道交通工具，具有噪聲低、乘坐舒適、景觀性好、占地面積小、建造費(fèi)用低等優(yōu)點(diǎn)，能夠很好地解決城市擁堵問題。

信息技術(shù)正在全球各領(lǐng)域快速發(fā)展，人們在享受網(wǎng)絡(luò)信息發(fā)展成果的同時，也遭受了很多由網(wǎng)絡(luò)安全問題引起的不良后果。當(dāng)前城市軌道交通行業(yè)的網(wǎng)絡(luò)安全不容樂觀，需要提高防護(hù)意識。云軌作為一種新型的軌道交通工具，它的安全可靠性關(guān)系到廣大乘客的人身安全，因此比亞迪公司對云軌的網(wǎng)絡(luò)信息安全十分重視。相關(guān)部門對云軌網(wǎng)絡(luò)信息系統(tǒng)進(jìn)行了詳細(xì)評估，發(fā)現(xiàn)云軌網(wǎng)絡(luò)信息安全面臨著一些挑戰(zhàn)，例如內(nèi)網(wǎng)攻擊工具泛濫、網(wǎng)絡(luò)邊界眾多、管理復(fù)雜、互聯(lián)網(wǎng)業(yè)務(wù)帶來新的風(fēng)險等。在云軌建設(shè)中，針對這些問題提出解決方案，以保證達(dá)到國家要求的標(biāo)準(zhǔn)水平，實現(xiàn)對網(wǎng)絡(luò)攻擊的全面防護(hù)。

比亞迪云軌線路涉及4大子系統(tǒng)，包括車地?zé)o線、信號、通信和乘客服務(wù)系統(tǒng)。隨著信息通信領(lǐng)域新技術(shù)、新業(yè)務(wù)的不斷發(fā)展，網(wǎng)絡(luò)攻擊手段更加復(fù)雜和隱蔽，網(wǎng)絡(luò)信息安全形勢日趨嚴(yán)峻。云軌作為一種重要的基礎(chǔ)設(shè)施，全面提升其網(wǎng)絡(luò)設(shè)備安全以及網(wǎng)管系統(tǒng)的網(wǎng)絡(luò)安全風(fēng)險防范能力，具有極其重要的意義。

2017年《中華人民共和國網(wǎng)絡(luò)安全法》正式實施，表明網(wǎng)絡(luò)信息安全已經(jīng)提升到一個前所未有的高度[1-2]。該標(biāo)準(zhǔn)文件明確指出國家對公共通信、信息服務(wù)、能源、水利等各行業(yè)網(wǎng)絡(luò)安全的高度重視，必須確保國家網(wǎng)絡(luò)處于絕對安全的地位。在這一背景下，比亞迪云軌線路信息安全設(shè)計方案的目的是：保證云軌線路的系統(tǒng)在各種安全威脅下各項業(yè)務(wù)能夠正常運(yùn)行，保障乘客服務(wù)系統(tǒng)業(yè)務(wù)服務(wù)區(qū)的安全，以及乘客服務(wù)、信號通信系統(tǒng)之間的安全訪問控制。

1 信息安全設(shè)計概述

1.1 網(wǎng)絡(luò)信息系統(tǒng)的定級

比亞迪云軌的網(wǎng)絡(luò)安全建設(shè)嚴(yán)格依據(jù)GB/T 22239—2008《信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)基本要求》[3]。2018年步入信息系統(tǒng)安全等級保護(hù)（簡稱等保）2．0時代，等?；疽笠灿辛讼鄳?yīng)變化，一是從技術(shù)要求方面進(jìn)行規(guī)范，包括物理和環(huán)境安全、網(wǎng)絡(luò)和通信安全、設(shè)備和計算安全、應(yīng)用和數(shù)據(jù)安全等方面；二是從管理要求方面進(jìn)行規(guī)范，包括安全策略和管理制度、安全管理機(jī)構(gòu)和人員、安全建設(shè)管理、安全運(yùn)維管理[2]等方面。信息系統(tǒng)安全等級保護(hù)基本框架見圖1。

依照GB/T 22240—2008《信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)定級指南》[4]規(guī)定，定級要素與安全保護(hù)等級的關(guān)系見表1。

為使比亞迪云軌工程在嚴(yán)峻的網(wǎng)絡(luò)安全形勢下能夠高效運(yùn)作，比亞迪公司從云軌網(wǎng)絡(luò)信息安全系統(tǒng)的受侵害客體和對客體的侵害程度2方面考慮，對云軌的網(wǎng)絡(luò)安全進(jìn)行了全面而具體的安全防護(hù)。根據(jù)相關(guān)法律法規(guī)，比亞迪公司的網(wǎng)絡(luò)信息安全能夠達(dá)到國家要求的三級等級保護(hù)要求，從而可確保云軌網(wǎng)絡(luò)信息系統(tǒng)在研發(fā)、制造、應(yīng)用實施以及之后的運(yùn)營都能達(dá)到相應(yīng)的技術(shù)要求和管理要求。在對信息系統(tǒng)進(jìn)行定級認(rèn)證后，嚴(yán)格按照網(wǎng)絡(luò)安全定級指南制成備案，并保存到相關(guān)部門安全存檔。

1.2 信息安全設(shè)計原則

根據(jù)比亞迪云軌對線路網(wǎng)絡(luò)信息安全的需求，安全方案設(shè)計必須滿足以下原則（見圖2）：

（1）先進(jìn)性原則：網(wǎng)絡(luò)信息傳輸?shù)脑O(shè)備需要專用的硬件平臺和安全的軟件平臺，所采用的設(shè)備必須是順應(yīng)業(yè)界技術(shù)發(fā)展趨勢，屬于行業(yè)知名且具有領(lǐng)先性和成熟性的技術(shù)和產(chǎn)品。例如，面對一些具有潛伏時間長、攻擊程度深、檢測技術(shù)難等特點(diǎn)的高級持續(xù)性威脅（Advanced Persistent Threat，APT）時，能夠做到有效防護(hù)，并具有前瞻性。

（2）方案成熟性原則：網(wǎng)絡(luò)安全信息系統(tǒng)是線路運(yùn)營的重要基礎(chǔ)設(shè)施，必須要提高網(wǎng)絡(luò)設(shè)備及內(nèi)網(wǎng)業(yè)務(wù)區(qū)的網(wǎng)絡(luò)安全風(fēng)險防范能力。安全設(shè)備由于部署在關(guān)鍵節(jié)點(diǎn)，設(shè)計時必須考慮高可靠性因素。

（3）可擴(kuò)展性原則：隨著信息化的不斷發(fā)展，內(nèi)網(wǎng)設(shè)備增加或者更新，帶寬的需求也會相應(yīng)增長，所以應(yīng)充分保證網(wǎng)絡(luò)各部分帶寬滿足流量高峰期的需要。而且相應(yīng)的擴(kuò)展能力要適合軌道交通行業(yè)的發(fā)展，不能造成資源的浪費(fèi)。

（4）開放兼容性原則：能夠達(dá)到相應(yīng)產(chǎn)品的設(shè)計規(guī)范，并且符合國際標(biāo)準(zhǔn)，兼容其他廠家產(chǎn)品，能夠與其他系統(tǒng)做到合理的互聯(lián)，并本著有效性原則以保護(hù)投資。

2 信息安全設(shè)計方案

2.1 設(shè)計要點(diǎn)

通過分析比亞迪云軌交通系統(tǒng)的安全述求，提出層次立體、防護(hù)全面、安全可靠的解決方案。解決方案主體目的是在安全準(zhǔn)入機(jī)制的基礎(chǔ)上對未知威脅實現(xiàn)攻擊防護(hù)和入侵檢測。應(yīng)用智能的安全運(yùn)行平臺實現(xiàn)位置威脅防護(hù)和高業(yè)務(wù)連續(xù)型設(shè)計，該安全方案可為比亞迪云軌交通系統(tǒng)打造立體的安全防護(hù)體系。整個方案涵蓋4個維度：邊界防護(hù)、攻擊防護(hù)、安全管控與審計、未知威脅防護(hù)，每個維度分別包括多個子安全解決方案[5]。以下對其中3方面進(jìn)行詳細(xì)闡述。

（1）邊界防護(hù)：研究表明很大一部分網(wǎng)絡(luò)安全問題來自企業(yè)內(nèi)網(wǎng)管理松懈。比亞迪公司通過對內(nèi)網(wǎng)進(jìn)行合理的區(qū)域劃分和在網(wǎng)絡(luò)邊界進(jìn)行有效的訪問和隔離，做到內(nèi)部的嚴(yán)格管理，保證網(wǎng)絡(luò)安全；通過網(wǎng)絡(luò)防病毒網(wǎng)關(guān)對網(wǎng)絡(luò)中傳輸?shù)牧髁窟M(jìn)行病毒檢測和防護(hù)，避免病毒在內(nèi)網(wǎng)中傳播。

圖1 信息系統(tǒng)安全等級保護(hù)基本框架

表1 定級要素與安全保護(hù)等級的關(guān)系

圖2 網(wǎng)絡(luò)安全設(shè)計原則

（2）攻擊防護(hù)：具有全面的流量檢測能力，提供獨(dú)立的流量還原能力，可以識別主流網(wǎng)絡(luò)協(xié)議，從而確保所通過的網(wǎng)絡(luò)傳輸文件安全可靠。支持信譽(yù)體系、基于特征的惡意檢測方式、啟發(fā)式檢測引擎及虛擬執(zhí)行，從而提高對以APT為代表的下一代威脅的應(yīng)對能力，并提供下一代威脅的所有危險操作清單，讓用戶對威脅的攻擊過程、攻擊目標(biāo)一目了然。具有優(yōu)秀的業(yè)務(wù)分析能力，同時支持水平擴(kuò)容組成分析集群。提供接近實時的處理能力，有效地實現(xiàn)對下一代威脅的檢測響應(yīng)降到秒級，并與下一代防火墻配合實現(xiàn)在線防御能力。提供一流的針對APT的反躲避手段，也能夠提供基于虛擬機(jī)的檢測技術(shù)。

（3）安全管控與審計：進(jìn)行統(tǒng)一的安全管控，對網(wǎng)絡(luò)中日志事件、告警事件進(jìn)行收集，分析問題之間的關(guān)系，得出問題產(chǎn)生的原因，最后以精確的安全報警信息傳達(dá)給運(yùn)維人員，輸出合規(guī)性報告。運(yùn)用安全審計手段，按照相關(guān)標(biāo)準(zhǔn)實現(xiàn)精確報警、事后追溯、實時監(jiān)控的功能。

2.2 詳細(xì)方案

信號與通信融合組成一張大的環(huán)形組網(wǎng)，環(huán)網(wǎng)采用3層互聯(lián)，防火墻掛在融合控制中心路由器上，將信號和通信系統(tǒng)劃分成不同的安全領(lǐng)域，信號與通信系統(tǒng)之間通過防火墻上安全策略實現(xiàn)安全互訪。通信系統(tǒng)之中每個系統(tǒng)用不同的虛擬私人網(wǎng)絡(luò)（Vitual Private Network）實例進(jìn)行系統(tǒng)區(qū)分以及業(yè)務(wù)的安全隔離。

乘客服務(wù)系統(tǒng)按照等級保護(hù)安全三級的原則，在互聯(lián)網(wǎng)接入?yún)^(qū)部署分布式拒絕服務(wù)攻擊（Distributed Denial of Service，DDoS）設(shè)備、防火墻、入侵防御系統(tǒng)（Intrusion Prevention System，IPS）以及防病毒網(wǎng)關(guān)設(shè)

備以保障流量的安全接入；通過在核心交換機(jī)旁掛IPS、網(wǎng)站應(yīng)用級入侵防御系統(tǒng)（Web Application Firewall）以及沙箱設(shè)備進(jìn)行入侵檢測；網(wǎng)管區(qū)內(nèi)部署統(tǒng)一運(yùn)維審計（Unified Maintenance Audit）堡壘機(jī)，實現(xiàn)設(shè)備運(yùn)維安全審計；部署準(zhǔn)入控制服務(wù)器，實現(xiàn)用戶的安全接入和接入終端的安全檢查。真正實現(xiàn)從網(wǎng)絡(luò)、主機(jī)、應(yīng)用、數(shù)據(jù)和管理各個層面防御各種安全威脅。云軌各系統(tǒng)網(wǎng)絡(luò)防護(hù)組織架構(gòu)見圖3。

2.3 安全防護(hù)設(shè)備的具體作用

（1）防火墻部署：基于高可靠性考慮，出口防火墻建議部署分布式、雙主控、高性能的設(shè)備，功能包括網(wǎng)絡(luò)地址轉(zhuǎn)換（Network Address Translation）、應(yīng)用協(xié)議識別、流量控制等安全功能，進(jìn)行出口安全防護(hù)。

（2）沙箱設(shè)備部署：沙箱設(shè)備部署在防火墻的一側(cè)，防火墻通過網(wǎng)絡(luò)接口向沙箱設(shè)備提交待檢測文件，等沙箱完成檢測后，防火墻通過結(jié)果查詢接口查詢檢測結(jié)果，同時沙箱也可以通過自身網(wǎng)絡(luò)產(chǎn)品界面設(shè)計（Website User Interface）展示檢測結(jié)果。沙箱設(shè)備采用獨(dú)特的3層防御體系，通過靜態(tài)檢測、啟發(fā)式檢測和虛擬執(zhí)行3層防御體系實現(xiàn)對APT高級威脅的高性能、高準(zhǔn)確率防御。

（3）DDoS部署：經(jīng)過分析研究，采用Anti-DDoS系統(tǒng)進(jìn)行網(wǎng)絡(luò)流量分析，深入分析流量，精心打造“7層凈化”構(gòu)架，可有效識別現(xiàn)代網(wǎng)絡(luò)流量型和應(yīng)用型等多種類型的攻擊，從而保證客戶接受流量信息的正確與安全。

（4）IDS部署：專業(yè)檢測相關(guān)服務(wù)器的各種攻擊，檢測Web應(yīng)用相關(guān)攻擊，檢測蠕蟲、木馬、間諜軟件、廣告軟件、僵尸網(wǎng)絡(luò)等惡意軟件，提供具體、有效的技術(shù)指導(dǎo)措施，最終實現(xiàn)從防護(hù)、檢測到響應(yīng)的整體性解決方案。

圖3 云軌各系統(tǒng)網(wǎng)絡(luò)防護(hù)組織架構(gòu)

（5）安全審計部署：安全審計員對安全審計機(jī)制進(jìn)行集中管理，負(fù)責(zé)日志監(jiān)視、日志管理、審計分析等方面的工作。

（6）堡壘機(jī)部署：堡壘機(jī)可以集中管理和控制一些信息技術(shù)資源，從而實現(xiàn)認(rèn)證、授權(quán)和審計等功能。用戶的遠(yuǎn)程操作可以在堡壘機(jī)上集中體現(xiàn)，通過二次跳轉(zhuǎn)技術(shù)直接將用戶和相應(yīng)的服務(wù)器進(jìn)行連接，使用戶對服務(wù)器資源互通實現(xiàn)集中管理，做到對資源操作的認(rèn)證、控制和審計。

（7）IPS部署：防御蠕蟲活動、針對瀏覽器和插件漏洞的攻擊，使企業(yè)辦公網(wǎng)絡(luò)健康運(yùn)行。攔截基于漏洞攻擊傳播的木馬或間諜程序活動，保護(hù)辦公電腦的隱私、身份等關(guān)鍵數(shù)據(jù)信息。利用標(biāo)準(zhǔn)的IPS功能、應(yīng)用感知、應(yīng)用層威脅防御、環(huán)境感知、未知威脅檢測等技術(shù)進(jìn)行全面防護(hù)。

（8）Web應(yīng)用防御：防止系統(tǒng)開發(fā)人員由于缺乏安全意識，造成Web業(yè)務(wù)系統(tǒng)存在代碼層面的漏洞，使黑客能夠利用這些漏洞對網(wǎng)站發(fā)起攻擊行為。

（9）防病毒網(wǎng)關(guān)：能夠快速準(zhǔn)確地對網(wǎng)絡(luò)層和應(yīng)用層的病毒進(jìn)行掃描和查殺，在基本不影響原網(wǎng)絡(luò)的情況下最大程度地提高所保護(hù)網(wǎng)絡(luò)對病毒的防御能力?；谠频腁vamar虛擬化（Avamar Virtual Edition）部署靈活，既可以工作在2層業(yè)務(wù)接口，也能工作在3層業(yè)務(wù)接口，支持多種接口卡，以多種方式為用戶網(wǎng)絡(luò)提供最大程度的投資保護(hù)。

3 信息管理

3.1 信息管理設(shè)計要點(diǎn)

比亞迪公司嚴(yán)格按照信息系統(tǒng)等級保護(hù)基本要求的新規(guī)定，即“等保2．0”來設(shè)計信息管理，采取科學(xué)、合理的設(shè)計理念，全力打造健康、安全的信息管理平臺。

（1）安全策略和管理制度：信息安全策略是在特定的安全環(huán)境中，提供一種能夠保證一定安全級別的規(guī)則。實現(xiàn)網(wǎng)絡(luò)信息安全不僅依靠專門的安全策略，也需要嚴(yán)格的安全管理制度，這樣才能讓企業(yè)網(wǎng)絡(luò)安全處于一個相對穩(wěn)定的運(yùn)作環(huán)境。

（2）安全管理機(jī)構(gòu)和人員：設(shè)置合適的崗位分工制度，各級別相關(guān)人員應(yīng)具有符合自己崗位的管理權(quán)限來約束信息安全監(jiān)管權(quán)力。既能夠保證信息系統(tǒng)的安全運(yùn)作，還能讓管理人員工作高效。

（3）安全建設(shè)管理：要確保信息安全，應(yīng)從信息安全的三大性質(zhì)（數(shù)據(jù)保密性、數(shù)據(jù)完整性、數(shù)據(jù)可用性）入手，采取相應(yīng)措施組成階段性的建設(shè)方案，即在安全策略確定、安全風(fēng)險分析、實施方案設(shè)計、后續(xù)組織監(jiān)督4個階段開展對安全的建設(shè)管理。

（4）安全運(yùn)維管理：安全運(yùn)維從日常設(shè)備維修和訪問權(quán)限控制兩大方面進(jìn)行管理[3]。

3.2 信息管理平臺功能

該信息管理方案是用于監(jiān)管綜合安全事件的軟件管理平臺，處理公司網(wǎng)絡(luò)信息安全事件，進(jìn)行數(shù)據(jù)的匯集、統(tǒng)計，還能與網(wǎng)關(guān)系統(tǒng)連接，實現(xiàn)實時監(jiān)控、遠(yuǎn)程報警的功能。僅有軟件監(jiān)控平臺是不夠的，還需要1臺能夠用于處理特殊事件的網(wǎng)絡(luò)安全服務(wù)器，這臺服務(wù)器安裝特定的安全管理客戶端，在平時某些特殊情況下也能實現(xiàn)安全監(jiān)控[4]。上述方案主要具備以下功能：能夠?qū)崿F(xiàn)某些特殊業(yè)務(wù)的資產(chǎn)管理；能夠動態(tài)顯示某些特殊業(yè)務(wù)的風(fēng)險狀態(tài)；對公司各部門的互聯(lián)網(wǎng)協(xié)議地址（Internet Protocol Address）實行流程化管理；對安全產(chǎn)品的生產(chǎn)能夠集中管控；能夠檢測誤報警信號的真實性；能夠分析各種安全事件的本質(zhì)原因；運(yùn)用技術(shù)手段實現(xiàn)安全管理；擁有安全運(yùn)維的考核機(jī)制。信息管理平臺功能體系架構(gòu)見圖4。

3.3 信息管理體系應(yīng)用效果

除了對網(wǎng)絡(luò)安全等級保護(hù)管理體系進(jìn)行建設(shè)，比亞迪公司也建立了系統(tǒng)的安全管理制度和考核體系，整體上提升了安全運(yùn)維能力，能夠從分析結(jié)果中知曉安全風(fēng)險的可控程度。在實際應(yīng)用方面，既能防御外部攻擊，又能防御內(nèi)部攻擊，可以達(dá)到“外防內(nèi)抗”的程度。通過防火墻部署、IPS部署、安全審計、防病毒網(wǎng)關(guān)等一系列技術(shù)手段和安全控制設(shè)備，讓企業(yè)的信息安全防御形成一個縱深體系，從而杜絕了木馬、蠕蟲、惡意軟件等在網(wǎng)絡(luò)中的傳播。另一方面，通過管理手段，彌補(bǔ)了因為技術(shù)限制導(dǎo)致的不能實施很好防御的窘境，從而大大提高了整個信息系統(tǒng)的安全防御能力。

圖4 信息管理平臺功能體系架構(gòu)

4 結(jié)束語

城市軌道交通近年來受到國家的高度重視，在其迅速發(fā)展的關(guān)鍵時期，對數(shù)量與質(zhì)量的要求都會達(dá)到一個新高度。比亞迪云軌作為跨座式單軌中具有鮮明特色的城市軌道交通工具，不僅重視產(chǎn)品自身技術(shù)的質(zhì)量，而且對網(wǎng)絡(luò)安全系統(tǒng)的防護(hù)進(jìn)行全方位建設(shè)。在云軌工程網(wǎng)絡(luò)信息安全建設(shè)過程中，一方面重點(diǎn)分析現(xiàn)在面臨的網(wǎng)絡(luò)安全隱患，從技術(shù)方面提升網(wǎng)絡(luò)安全防護(hù)能力；另一方面強(qiáng)調(diào)信息安全管理體系要科學(xué)合理，具有憂患意識，進(jìn)而實現(xiàn)全面的“技術(shù)+管理”的雙重防護(hù)手段。

比亞迪云軌工程會在未來發(fā)展中不斷對方案進(jìn)行優(yōu)化更新，使該系統(tǒng)工程在統(tǒng)一的安全策略管控下，做到精益求精，安全快速發(fā)展。