佀淑媛
山东省菏泽市交通运输综合服务中心 山东 菏泽 274000
摘要：随着城市轨道交通的高速发展，各类安全问题也日益突出，其中城市轨道交通综合监控系统由于需要处理大量外部接口数据，所面临的安全风险尤为突出。
关键词：轨道交通；综合监控；系统信息；安全建设
1导言
随着我国城市化进程的快速发展，城市轨道交通在人们的日常生活中扮演着越来越重要的角色。为保证城市轨道交通电力监控、环境与设备监控等功能的可靠实现，城市轨道交通综合监控系统信息安全问题已备受关注。
2综合监控系统概述
2.1综合监控系统构成
综合监控系统主要由中央级综合监控系统、车站级综合监控系统和传输骨干网组成，并设置网络管理系统（NMS）、培训管理及测试系统（TMS）和设备维修管理系统（DMS）。
2.2综合监控系统集成互联范围
典型的以电调、环调为核心的综合监控系统主要采用集成和互联方式构成，将电力监控（PSCADA）、环境与设备监控（BAS）等系统集成到综合监控系统，互联站台门系统（PSD）、列车自动监控（ATS）、火灾自动报警（FAS）、广播（PA）、视频监控（CCTV）、乘客信息（PIS）、自动售检票（AFC/MLC）、门禁（ACS）、通信系统集中告警（ALM）、线网管理平台（TCC）等，主要通过基于以太网的MODBUSTCP/IP协议与相关接口系统进行数据交互，实现数据共享。
3综合监控安全防护技术方案设计
3.1防护总体思路
为满足综合监控系统信息安全防护建设中的若干需求，采用某品牌的工业防火墙、工业审计系统、入侵防御系统、工业漏扫系统、统一运维管理平台、数据库审计系统、工业监管平台系统等硬件设备及工业卫士软件产品分别在控制中心、车站、车辆段等节点及设备维护系统、仿真测试平台、培训系统等系统按需部署安全防护措施，达到等保合规并解决安全隐患的方案效果。根据需求背景和等保技术防护思想，通过技术手段实现的防护主要包含如下几个层面：
3.1.1安全区域边界：通过安全设备及网络设备合理划分安全域，实施访问控制及攻击防护满足等保中网络安全的部分要求；
3.1.2安全通信网络：通过旁路监听与智能分析技术，对系统的控制、采集请求，数据库存取、系统运维等关键行为进行审计，对攻击及时预警，满足等保中网络安全部分关于安全审计的相关要求；
3.1.3安全计算环境：通过符合工业特色的终端安全防护软件对综合监控系统中使用的计算终端进行保护，防止误中病毒等情况的出现，配合系统自身的安全性有关设计，满足等级保护中关于主机安全、应用安全及数据安全的相关需求；
3.1.4安全管理中心：通过综合的安全管理平台，实现对安全产品日志的统一采集、分析及主要防护设备的统一运维，形成综合监控系统中的安全运营中心，统一维护日常的信息安全防护，对安全事件的应急处置、攻击行为的发现提供技术支撑。
3.2安全区域边界
3.2.1控制中心边界防护
在控制中心端，应划分为办公自动化系统互联区域、线网中心互联区域、培训系统区域、仿真测试系统区域、综合监控系统和子系统互联区域。根据所隔离区域间的流量特征和防护需求，办公自动化系统系统区域应采用具备访问控制功能的入侵防御系统进行隔离，其他区域间采用工业防火墙进行隔离。
具体部署位置为包括：线网中心外部系统与中心综合监控连接处、前置通讯机与中心综合监控系统接口处、网管系统交换机上联处、仿真测试系统交换机上联处，如图1所示。
图1控制中心防护设备部署拓扑图
3.2.2车站边界防护
在车站端，应划分为综合监控系统内部区域和系统互联区域，根据所隔离区域间的流量特征和防护需求，区域间采用工业防火墙进行隔离，具体部署位置为通讯前置机与监控系统内网之间。
3.2.3车辆段边界防护
在车辆段，应划分为培训系统安全域、设备维护系统安全域、综合监控系统内部区域和系统互联区域，根据所隔离区域间的流量特征和防护需求，区域间采用工业防火墙进行隔离，具体部署位置为设备维护系统交换机上联处、培训系统交换机上联处、前置通讯机与监控系统内网之间，如图3所示。
3．3安全通信网络
3.3.1控制中心网络风险分析
控制中心的安全通信网络保障通过工业审计系统和数据库审计系统的部署实现，工业审计通过旁路模式部署，通过交换机镜像流量方式获取数据源进行分析，根据业务需求，工业审计系统分别部署在控制中心主交换机、软件测试平台内部及网络管理系统内部。其中，部署在控制中心骨干网络的工业审计采用双机部署保障对风险的不间断识别；网络管理系统与软件测试平台安全域内部的工业审计采用单机部署。
3.3.2车站网络风险分析
车站的安全通信网络保障通过工业审计系统的部署实现，工业审计采用旁路模式部署，通过镜像流量进行分析，采用双机保障对风险的不间断识别。
3.3.3车辆段网络风险分析
车辆段的安全通信网络保障通过工业审计系统的部署实现，工业审计通过旁路模式部署，通过交换机镜像流量方式获取数据源进行分析，根据业务需求，工业审计系统分别部署在车辆段主交换机、培训系统内部及设备维护系统内部。其中，部署在车辆段主干网络的工业审计采用双机部署保障对风险的不间断识别；设备维护系统与培训系统安全域内部的工业审计采用单级部署。
3.4安全计算环境
在控制中心、车辆段及车站对工业终端及工业终端承载的应用业务、核心数据的防护通过在终端部署工业卫士软件实现，需要在控制中心、车辆段、车站的各类工作站、值班站、服务器上部署工业卫士。工业卫士采用轻量级的软件“白名单”机制，仅允许运行受信任的PE文件，完善相应的加固策略，提升安全级别，有效阻止病毒、木马等恶意软件的执行和被利用，实现工控主机从启动、加载、运行等过程全生命周期的安全保障。同时对USB端口等接口进行全面管控，U盘等未授权设备无法接入终端计算机，有效防范通过USB接口发起的高级攻击。
4结语
进入21世纪后，大型城市在城市空间结构的优化、城市交通拥挤状况的缓解、城市环境保护等诸多方面均面临着不少的挑战和难题，而城市轨道交通的高速发展为解决上述问题提供了一条有益的途径。城市轨道交通综合监控系统的建设，要从系统规划、设计、实施、上线、生产、运维到废弃的整个漫长生命周期的各个阶段考虑网络安全问题，要在综合监控系统建设的同时，同步做好系统的信息安全建设工作。
参考文献
[1]张志学,刘佩,张长开,解凯,李莹.城市轨道交通综合监控人机交互系统技术要点[J].城市轨道交通研究,2019,22(11):108-112.
[2]元进辉,江开雄,王刚.城市轨道交通综合监控系统云的应用探索[J].城市轨道交通研究,2019,22(11):139-142.