上海軌道交通信息安全風(fēng)險評估平臺

文/張立東、張菁博，上海申通地鐵集團有限公司技術(shù)中心

一、背景情況

網(wǎng)絡(luò)安全等級保護制度是我國網(wǎng)絡(luò)安全保障工作的偉大創(chuàng)舉。為了安全、高效地運營與維護城市軌道交通，我們利用自動化、信息化技術(shù)建設(shè)了各類工業(yè)控制和信息化系統(tǒng)。隨著智慧地鐵建設(shè)的不斷深化，數(shù)據(jù)互聯(lián)互通要求的不斷增強，網(wǎng)絡(luò)邊界日趨模糊，信息安全保障需求日益見長，網(wǎng)絡(luò)安全等級保護測評的范圍和頻率逐步擴大。

而測評工作卻面臨著測評工具集成化、自動化程度低、兼容性差，對工控系統(tǒng)檢測支持度不夠，無法以單一工具匹配軌交眾多專業(yè)系統(tǒng)的復(fù)雜業(yè)務(wù)需求與接口等諸多問題，測評工作對人員技能要求高，并且單次檢測結(jié)果合規(guī)不等于永久安全，頻繁的測評保障工作已經(jīng)給運營單位帶來了巨大的壓力。

二、解決方案

（一）整體描述

為滿足網(wǎng)絡(luò)安全保障需求，上海地鐵針對軌交行業(yè)系統(tǒng)種類繁多、結(jié)構(gòu)復(fù)雜等特點研制了軌交行業(yè)首個、具備自主產(chǎn)權(quán)的軌道交通信息安全風(fēng)險評估平臺。用于等級保護標(biāo)準(zhǔn)核查、網(wǎng)絡(luò)安全掃描測試、資產(chǎn)風(fēng)險自動評估等工作。

作為軟硬件結(jié)合的總成式網(wǎng)絡(luò)安全風(fēng)險評估平臺，系統(tǒng)硬件采用定制化便攜式方案，支持各類檢測入口，適配性與延展性強。應(yīng)用層級集成了多種測試掃描工具并能提供廣泛的測試應(yīng)用范圍，使用模塊化、平臺化設(shè)計，架構(gòu)層級的擴展型和兼容性高。在可持續(xù)更新的軌交行業(yè)知識庫基礎(chǔ)上，提供滲透測試、主機安全、控制器安全、網(wǎng)絡(luò)安全、漏洞掃描、通訊協(xié)議安全等6大安全檢測能力。具備安全評估普及化、滲透測試易用化、使用操作可視化、自動化報告生成等四大優(yōu)勢。

圖1: 軌道交通信息安全檢測工具平臺

（二）方案設(shè)計

結(jié)合軌道交通領(lǐng)域面臨的問題，軌道交通信息安全檢測工具平臺主要設(shè)計了安全測試、標(biāo)準(zhǔn)核查、風(fēng)險評估、知識庫等模塊。

1.安全測試

具備全面的安全測試能力，集成滲透測試工具、網(wǎng)絡(luò)安全檢測工具、主機安全檢測工具，漏洞掃描工具、通訊協(xié)議安全檢測工具等，檢測類型覆蓋網(wǎng)絡(luò)檢測、主機檢測、核查問卷、系統(tǒng)漏洞掃描、軟件漏洞掃描、滲透測試、通訊協(xié)議安全檢測。風(fēng)險評估平臺將原本零散的滲透測試檢測工具進行集成，并通過統(tǒng)一的數(shù)據(jù)收集和輸出接口，完成軌道交通生產(chǎn)系統(tǒng)一體化、標(biāo)準(zhǔn)化、體系化的系統(tǒng)檢測。

涵蓋的測試項目如下：

2.標(biāo)準(zhǔn)核查

平臺可支持定制化的軌交工控系統(tǒng)風(fēng)險評估檢測標(biāo)準(zhǔn)，支持等保2.0等安全標(biāo)準(zhǔn)核查和標(biāo)準(zhǔn)對標(biāo)。通過標(biāo)準(zhǔn)體系提供核查問卷，進行系統(tǒng)脆弱性分析和安全評估測試，完成問卷后平臺對系統(tǒng)威脅自動分析并形成評估記錄，提出針對性分析改進建議，操作簡潔便利，實現(xiàn)自評工作全流程管理。核查流程如下：

圖2: 標(biāo)準(zhǔn)核查流程

3.風(fēng)險評估

風(fēng)險評估模塊檢查數(shù)據(jù)多維度統(tǒng)計分析功能，包括資產(chǎn)分析，漏洞狀況分析，安全威脅分析，脆弱性分析，系統(tǒng)風(fēng)險評估，并能自動化產(chǎn)生系統(tǒng)檢測報表。對軌交各子系統(tǒng)進行系統(tǒng)安全項配置核查、安全域劃分、系統(tǒng)漏洞及存在的安全威脅等問題深入跟蹤和分析，對安全風(fēng)險進行安全評估，同時形成系統(tǒng)合理性解決方案。最大程度的保證軌交各業(yè)務(wù)支撐系統(tǒng)信息安全，提升安全管理水平和安全防范能力。系統(tǒng)檢測報表提供了可視化界面，簡化了界面操作，報表部分分析圖表如下：

圖3: 標(biāo)準(zhǔn)核查報表

4.知識庫

完善涵蓋軌道交通領(lǐng)域“漏洞知識庫”和“標(biāo)準(zhǔn)規(guī)范庫”的行業(yè)安全信息庫，提升軌交行業(yè)定制化的安全信息共享服務(wù)能力。漏洞知識庫包含常規(guī)系統(tǒng)威脅信息、系統(tǒng)事件信息，提供漏洞檢測設(shè)備廠商、漏洞ID、漏洞名稱、CVEID、入侵檢測設(shè)備廠商、攻擊特征ID、攻擊特征名稱等信息。

標(biāo)準(zhǔn)規(guī)范庫依托國內(nèi)標(biāo)準(zhǔn)要求，結(jié)合軌道交通信息系統(tǒng)進行等級保護核查、檢測、分析，提供信息安全等級保護規(guī)劃方案，提出保護整改建議。

提供標(biāo)準(zhǔn)規(guī)范如下：

?《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護基本要求》（GB/T 22239-2019）

?《信息安全技術(shù)工業(yè)控制系統(tǒng)信息安全分級規(guī)范》（GB/T 36324-2018）

?《信息安全技術(shù)工業(yè)控制系統(tǒng)安全管理基本要求》（GB/T 36323-2018）

?《信息安全技術(shù) 工業(yè)控制系統(tǒng)信息安全防護能力評價方法》

?《信息安全技術(shù)工業(yè)控制系統(tǒng)安全控制應(yīng)用指南》 (GB/T 32919-2016)

（三）技術(shù)特色

1．軟件漏洞檢測技術(shù)

利用智能漏洞分析引擎來掃描組件中所含的漏洞與許可證風(fēng)險，該引擎利用了第三方數(shù)據(jù)庫與開源組件獨有的特性和漏洞特性來提升掃描結(jié)果的準(zhǔn)確率，可滿足系統(tǒng)上線前軟件源碼審計的需求。

2．工業(yè)控制協(xié)議模糊檢測工具

工業(yè)控制協(xié)議模糊測試工具用于測試工業(yè)控制網(wǎng)絡(luò)協(xié)議的健壯性，它采用構(gòu)造畸形數(shù)據(jù)包，并將畸形數(shù)據(jù)包發(fā)送給被測工控目標(biāo)，來檢測工業(yè)控制網(wǎng)絡(luò)協(xié)議的安全性。

3．檢測統(tǒng)計報表自動化生成

根據(jù)自身滲透測試經(jīng)驗以及相關(guān)安全標(biāo)準(zhǔn)設(shè)計測試用例，并根據(jù)測試結(jié)果，自動給出檢測報告，提供報告分析，有針對性的對被測對象提出結(jié)果分析和修改建議，可以更直接的幫助用戶發(fā)現(xiàn)被測對象問題，幫助尋求完善方式。

三、方案價值

平臺主要應(yīng)用于軌道交通列車運行控制系統(tǒng)、綜合監(jiān)控系統(tǒng)、乘客信息系統(tǒng)等生產(chǎn)系統(tǒng)的安全檢測，同時也能兼顧管理系統(tǒng)的風(fēng)險評估，可用于運營單位的等保安全自測和重大活動網(wǎng)絡(luò)安全保障前的技術(shù)檢測。平臺提供高度集成的一站式等級保護檢測安全評估服務(wù)，實現(xiàn)高度自動化自評工作全流程管理，可協(xié)助運營單位切實提升測評工作效率，大幅節(jié)省測評工作成本，有效降低測評工作專業(yè)門檻，為保障城市軌道交通的安全運行提供重要支撐。