文/張立東、張菁博，上海申通地鐵集團(tuán)有限公司技術(shù)中心

一、背景情況

網(wǎng)絡(luò)安全等級(jí)保護(hù)制度是我國(guó)網(wǎng)絡(luò)安全保障工作的偉大創(chuàng)舉。為了安全、高效地運(yùn)營(yíng)與維護(hù)城市軌道交通，我們利用自動(dòng)化、信息化技術(shù)建設(shè)了各類(lèi)工業(yè)控制和信息化系統(tǒng)。隨著智慧地鐵建設(shè)的不斷深化，數(shù)據(jù)互聯(lián)互通要求的不斷增強(qiáng)，網(wǎng)絡(luò)邊界日趨模糊，信息安全保障需求日益見(jiàn)長(zhǎng)，網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)的范圍和頻率逐步擴(kuò)大。

而測(cè)評(píng)工作卻面臨著測(cè)評(píng)工具集成化、自動(dòng)化程度低、兼容性差，對(duì)工控系統(tǒng)檢測(cè)支持度不夠，無(wú)法以單一工具匹配軌交眾多專(zhuān)業(yè)系統(tǒng)的復(fù)雜業(yè)務(wù)需求與接口等諸多問(wèn)題，測(cè)評(píng)工作對(duì)人員技能要求高，并且單次檢測(cè)結(jié)果合規(guī)不等于永久安全，頻繁的測(cè)評(píng)保障工作已經(jīng)給運(yùn)營(yíng)單位帶來(lái)了巨大的壓力。

二、解決方案

（一）整體描述

為滿(mǎn)足網(wǎng)絡(luò)安全保障需求，上海地鐵針對(duì)軌交行業(yè)系統(tǒng)種類(lèi)繁多、結(jié)構(gòu)復(fù)雜等特點(diǎn)研制了軌交行業(yè)首個(gè)、具備自主產(chǎn)權(quán)的軌道交通信息安全風(fēng)險(xiǎn)評(píng)估平臺(tái)。用于等級(jí)保護(hù)標(biāo)準(zhǔn)核查、網(wǎng)絡(luò)安全掃描測(cè)試、資產(chǎn)風(fēng)險(xiǎn)自動(dòng)評(píng)估等工作。

作為軟硬件結(jié)合的總成式網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估平臺(tái)，系統(tǒng)硬件采用定制化便攜式方案，支持各類(lèi)檢測(cè)入口，適配性與延展性強(qiáng)。應(yīng)用層級(jí)集成了多種測(cè)試掃描工具并能提供廣泛的測(cè)試應(yīng)用范圍，使用模塊化、平臺(tái)化設(shè)計(jì)，架構(gòu)層級(jí)的擴(kuò)展型和兼容性高。在可持續(xù)更新的軌交行業(yè)知識(shí)庫(kù)基礎(chǔ)上，提供滲透測(cè)試、主機(jī)安全、控制器安全、網(wǎng)絡(luò)安全、漏洞掃描、通訊協(xié)議安全等6大安全檢測(cè)能力。具備安全評(píng)估普及化、滲透測(cè)試易用化、使用操作可視化、自動(dòng)化報(bào)告生成等四大優(yōu)勢(shì)。

圖1: 軌道交通信息安全檢測(cè)工具平臺(tái)

（二）方案設(shè)計(jì)

結(jié)合軌道交通領(lǐng)域面臨的問(wèn)題，軌道交通信息安全檢測(cè)工具平臺(tái)主要設(shè)計(jì)了安全測(cè)試、標(biāo)準(zhǔn)核查、風(fēng)險(xiǎn)評(píng)估、知識(shí)庫(kù)等模塊。

1.安全測(cè)試

具備全面的安全測(cè)試能力，集成滲透測(cè)試工具、網(wǎng)絡(luò)安全檢測(cè)工具、主機(jī)安全檢測(cè)工具，漏洞掃描工具、通訊協(xié)議安全檢測(cè)工具等，檢測(cè)類(lèi)型覆蓋網(wǎng)絡(luò)檢測(cè)、主機(jī)檢測(cè)、核查問(wèn)卷、系統(tǒng)漏洞掃描、軟件漏洞掃描、滲透測(cè)試、通訊協(xié)議安全檢測(cè)。風(fēng)險(xiǎn)評(píng)估平臺(tái)將原本零散的滲透測(cè)試檢測(cè)工具進(jìn)行集成，并通過(guò)統(tǒng)一的數(shù)據(jù)收集和輸出接口，完成軌道交通生產(chǎn)系統(tǒng)一體化、標(biāo)準(zhǔn)化、體系化的系統(tǒng)檢測(cè)。

涵蓋的測(cè)試項(xiàng)目如下：

2.標(biāo)準(zhǔn)核查

平臺(tái)可支持定制化的軌交工控系統(tǒng)風(fēng)險(xiǎn)評(píng)估檢測(cè)標(biāo)準(zhǔn)，支持等保2.0等安全標(biāo)準(zhǔn)核查和標(biāo)準(zhǔn)對(duì)標(biāo)。通過(guò)標(biāo)準(zhǔn)體系提供核查問(wèn)卷，進(jìn)行系統(tǒng)脆弱性分析和安全評(píng)估測(cè)試，完成問(wèn)卷后平臺(tái)對(duì)系統(tǒng)威脅自動(dòng)分析并形成評(píng)估記錄，提出針對(duì)性分析改進(jìn)建議，操作簡(jiǎn)潔便利，實(shí)現(xiàn)自評(píng)工作全流程管理。核查流程如下：

圖2: 標(biāo)準(zhǔn)核查流程

3.風(fēng)險(xiǎn)評(píng)估

風(fēng)險(xiǎn)評(píng)估模塊檢查數(shù)據(jù)多維度統(tǒng)計(jì)分析功能，包括資產(chǎn)分析，漏洞狀況分析，安全威脅分析，脆弱性分析，系統(tǒng)風(fēng)險(xiǎn)評(píng)估，并能自動(dòng)化產(chǎn)生系統(tǒng)檢測(cè)報(bào)表。對(duì)軌交各子系統(tǒng)進(jìn)行系統(tǒng)安全項(xiàng)配置核查、安全域劃分、系統(tǒng)漏洞及存在的安全威脅等問(wèn)題深入跟蹤和分析，對(duì)安全風(fēng)險(xiǎn)進(jìn)行安全評(píng)估，同時(shí)形成系統(tǒng)合理性解決方案。最大程度的保證軌交各業(yè)務(wù)支撐系統(tǒng)信息安全，提升安全管理水平和安全防范能力。系統(tǒng)檢測(cè)報(bào)表提供了可視化界面，簡(jiǎn)化了界面操作，報(bào)表部分分析圖表如下：

圖3: 標(biāo)準(zhǔn)核查報(bào)表

4.知識(shí)庫(kù)

完善涵蓋軌道交通領(lǐng)域“漏洞知識(shí)庫(kù)”和“標(biāo)準(zhǔn)規(guī)范庫(kù)”的行業(yè)安全信息庫(kù)，提升軌交行業(yè)定制化的安全信息共享服務(wù)能力。漏洞知識(shí)庫(kù)包含常規(guī)系統(tǒng)威脅信息、系統(tǒng)事件信息，提供漏洞檢測(cè)設(shè)備廠商、漏洞ID、漏洞名稱(chēng)、CVEID、入侵檢測(cè)設(shè)備廠商、攻擊特征ID、攻擊特征名稱(chēng)等信息。

標(biāo)準(zhǔn)規(guī)范庫(kù)依托國(guó)內(nèi)標(biāo)準(zhǔn)要求，結(jié)合軌道交通信息系統(tǒng)進(jìn)行等級(jí)保護(hù)核查、檢測(cè)、分析，提供信息安全等級(jí)保護(hù)規(guī)劃方案，提出保護(hù)整改建議。

提供標(biāo)準(zhǔn)規(guī)范如下：

?《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》（GB/T 22239-2019）

?《信息安全技術(shù)工業(yè)控制系統(tǒng)信息安全分級(jí)規(guī)范》（GB/T 36324-2018）

?《信息安全技術(shù)工業(yè)控制系統(tǒng)安全管理基本要求》（GB/T 36323-2018）

?《信息安全技術(shù) 工業(yè)控制系統(tǒng)信息安全防護(hù)能力評(píng)價(jià)方法》

?《信息安全技術(shù)工業(yè)控制系統(tǒng)安全控制應(yīng)用指南》 (GB/T 32919-2016)

（三）技術(shù)特色

1．軟件漏洞檢測(cè)技術(shù)

利用智能漏洞分析引擎來(lái)掃描組件中所含的漏洞與許可證風(fēng)險(xiǎn)，該引擎利用了第三方數(shù)據(jù)庫(kù)與開(kāi)源組件獨(dú)有的特性和漏洞特性來(lái)提升掃描結(jié)果的準(zhǔn)確率，可滿(mǎn)足系統(tǒng)上線(xiàn)前軟件源碼審計(jì)的需求。

2．工業(yè)控制協(xié)議模糊檢測(cè)工具

工業(yè)控制協(xié)議模糊測(cè)試工具用于測(cè)試工業(yè)控制網(wǎng)絡(luò)協(xié)議的健壯性，它采用構(gòu)造畸形數(shù)據(jù)包，并將畸形數(shù)據(jù)包發(fā)送給被測(cè)工控目標(biāo)，來(lái)檢測(cè)工業(yè)控制網(wǎng)絡(luò)協(xié)議的安全性。

3．檢測(cè)統(tǒng)計(jì)報(bào)表自動(dòng)化生成

根據(jù)自身滲透測(cè)試經(jīng)驗(yàn)以及相關(guān)安全標(biāo)準(zhǔn)設(shè)計(jì)測(cè)試用例，并根據(jù)測(cè)試結(jié)果，自動(dòng)給出檢測(cè)報(bào)告，提供報(bào)告分析，有針對(duì)性的對(duì)被測(cè)對(duì)象提出結(jié)果分析和修改建議，可以更直接的幫助用戶(hù)發(fā)現(xiàn)被測(cè)對(duì)象問(wèn)題，幫助尋求完善方式。

三、方案價(jià)值

平臺(tái)主要應(yīng)用于軌道交通列車(chē)運(yùn)行控制系統(tǒng)、綜合監(jiān)控系統(tǒng)、乘客信息系統(tǒng)等生產(chǎn)系統(tǒng)的安全檢測(cè)，同時(shí)也能兼顧管理系統(tǒng)的風(fēng)險(xiǎn)評(píng)估，可用于運(yùn)營(yíng)單位的等保安全自測(cè)和重大活動(dòng)網(wǎng)絡(luò)安全保障前的技術(shù)檢測(cè)。平臺(tái)提供高度集成的一站式等級(jí)保護(hù)檢測(cè)安全評(píng)估服務(wù)，實(shí)現(xiàn)高度自動(dòng)化自評(píng)工作全流程管理，可協(xié)助運(yùn)營(yíng)單位切實(shí)提升測(cè)評(píng)工作效率，大幅節(jié)省測(cè)評(píng)工作成本，有效降低測(cè)評(píng)工作專(zhuān)業(yè)門(mén)檻，為保障城市軌道交通的安全運(yùn)行提供重要支撐。