城市軌道交通綜合監(jiān)控系統(tǒng)和FAS信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)與方案研究

高強(qiáng)

關(guān)鍵詞 綜合監(jiān)控系統(tǒng) 信息安全技術(shù)網(wǎng)絡(luò)安全 等級(jí)保護(hù)

工業(yè)現(xiàn)場(chǎng)控制系統(tǒng)是石油、軌道交通、電力等國(guó)家工業(yè)基礎(chǔ)設(shè)施的核心。該系統(tǒng)一旦遭受網(wǎng)絡(luò)攻擊，可能造成重特大安全事故，引起人員傷亡、環(huán)境災(zāi)難，危及公共生活及國(guó)家安全，因此保障其安全穩(wěn)定運(yùn)行具有重大意義[1～2] 。

針對(duì)城市軌道交通領(lǐng)域，通過(guò)查閱資料發(fā)現(xiàn)：國(guó)內(nèi)學(xué)者主要關(guān)注綜合監(jiān)控系統(tǒng)的安全域的劃分，即依據(jù)國(guó)家信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)相關(guān)標(biāo)準(zhǔn)和指南的要求，給出綜合監(jiān)控系統(tǒng)信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)的定級(jí)建議以及在定級(jí)基礎(chǔ)上提出建設(shè)目標(biāo)和較詳盡的安全防護(hù)方案[3] 。國(guó)內(nèi)學(xué)者較少關(guān)注FAS 信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)。

1城市軌道交通信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)

1.1綜合監(jiān)控系統(tǒng)

依據(jù)《城市軌道交通綜合監(jiān)控系統(tǒng)工程技術(shù)規(guī)范》（GB/ T 50636—2018），綜合監(jiān)控系統(tǒng)的信息安全應(yīng)符合現(xiàn)行國(guó)家標(biāo)準(zhǔn)《工業(yè)控制系統(tǒng)信息安全第1 部分：評(píng)估規(guī)范》（GB/ T 30976.1）和《工業(yè)控制系統(tǒng)信息安全第2 部分：驗(yàn)收規(guī)范》（GB/ T 30976.2）的規(guī)定，且應(yīng)按信息系統(tǒng)安全等級(jí)保護(hù)標(biāo)準(zhǔn)第三級(jí)進(jìn)行設(shè)計(jì)、工程實(shí)施和驗(yàn)收。

據(jù)調(diào)研，全國(guó)城市軌道交通綜合監(jiān)控系統(tǒng)均按照信息系統(tǒng)安全等級(jí)保護(hù)標(biāo)準(zhǔn)第三級(jí)進(jìn)行建設(shè)。

1.2FAS

隨著信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)進(jìn)入2.0 時(shí)代，城市軌道交通FAS 信息安全技術(shù)網(wǎng)絡(luò)安全漸漸引起了公安部門(mén)、測(cè)評(píng)機(jī)構(gòu)、建設(shè)管理方、設(shè)計(jì)院、集成商等各方關(guān)注，成為各方討論的重要課題。

經(jīng)過(guò)對(duì)大連、青島、西安、南京、合肥、武漢、佛山、長(zhǎng)沙、成都、廣州等地絕大多數(shù)在建和已通車(chē)地鐵線路調(diào)研得知，信息安全技術(shù)網(wǎng)絡(luò)安全設(shè)備（軟件）廠家和FAS 集成商均反饋FAS 未專(zhuān)門(mén)進(jìn)行信息安全技術(shù)網(wǎng)絡(luò)安全建設(shè)。多家第三方信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)反饋未做過(guò)FAS 信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)。

2019 年，大連地鐵建設(shè)有限公司聘請(qǐng)第三方測(cè)評(píng)機(jī)構(gòu)（公司）對(duì)大連地鐵1 號(hào)線和2 號(hào)線FAS 按照信息系統(tǒng)網(wǎng)絡(luò)安全等級(jí)保護(hù)第二級(jí)進(jìn)行等級(jí)保護(hù)測(cè)評(píng)。

2020 年8 月，大連地鐵建設(shè)有限公司組織設(shè)計(jì)、監(jiān)理和地鐵生產(chǎn)系統(tǒng)總集單位針對(duì)大連地鐵1 號(hào)線和2號(hào)線FAS 工業(yè)控制信息系統(tǒng)網(wǎng)絡(luò)安全等級(jí)保護(hù)整改項(xiàng)目進(jìn)行探討，嘗試對(duì)FAS 按照信息系統(tǒng)網(wǎng)絡(luò)安全等級(jí)保護(hù)第二級(jí)進(jìn)行配置，最終主要結(jié)論為：（1）未安裝主機(jī)安全防護(hù)軟件;（2）根據(jù)測(cè)評(píng)單位專(zhuān)家指導(dǎo)建議，針對(duì)系統(tǒng)邊界保護(hù)、物理機(jī)房安全、授權(quán)訪問(wèn)機(jī)制及管理制度的嚴(yán)格實(shí)施，安全風(fēng)險(xiǎn)相對(duì)可控;（3）經(jīng)過(guò)與等級(jí)保護(hù)測(cè)評(píng)公司溝通后確認(rèn)，F(xiàn)AS 為網(wǎng)絡(luò)底層設(shè)備，不具備網(wǎng)絡(luò)數(shù)據(jù)傳輸機(jī)制，安全風(fēng)險(xiǎn)相對(duì)可控，做好系統(tǒng)的基礎(chǔ)物理安全、授權(quán)訪問(wèn)即可。

2信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)的基本要求

2.1綜合監(jiān)控系統(tǒng)

2019 年12 月1 日起實(shí)施的《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》（GB/ T 22239—2019）指出，等級(jí)保護(hù)工作進(jìn)入2.0 時(shí)代，信息安全技術(shù)網(wǎng)絡(luò)安全強(qiáng)制執(zhí)行力度加大，工作內(nèi)容擴(kuò)展，等級(jí)保護(hù)監(jiān)管范圍擴(kuò)大，新興場(chǎng)景重點(diǎn)防護(hù)的技術(shù)要求有所增強(qiáng)。

較等級(jí)保護(hù)1.0，等級(jí)保護(hù)2.0 發(fā)生了一些變化，主要體現(xiàn)在：（1）名稱(chēng)變化，即等級(jí)保護(hù)1.0 為《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》，等級(jí)保護(hù)2.0 為《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》;（2）內(nèi)容變化，等級(jí)保護(hù)2.0 新增云計(jì)算安全擴(kuò)展要求、移動(dòng)互聯(lián)安全擴(kuò)展要求、物聯(lián)網(wǎng)安全擴(kuò)展要求和工業(yè)控制系統(tǒng)安全擴(kuò)展要求;（3）控制措施變化，等級(jí)保護(hù)2.0 強(qiáng)調(diào)“一個(gè)中心三重防護(hù)”，即安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計(jì)算環(huán)境和安全管理中心;（4）測(cè)評(píng)標(biāo)準(zhǔn)變化，即等級(jí)保護(hù)1.0 的最低通過(guò)標(biāo)準(zhǔn)為60 分， 等級(jí)保護(hù)2.0 的最低通過(guò)標(biāo)準(zhǔn)為70 分以上，且無(wú)高風(fēng)險(xiǎn)項(xiàng)。

2.2FAS

2.2.1FAS 不建議安裝主機(jī)防護(hù)軟件

等級(jí)保護(hù)廠家不建議對(duì)系統(tǒng)進(jìn)行補(bǔ)丁加固和修改，不建議安裝主機(jī)防護(hù)軟件。主要原因有：（1）FAS較獨(dú)立、封閉，通信協(xié)議大多為私有協(xié)議，而等級(jí)保護(hù)防護(hù)軟件一般僅支持標(biāo)準(zhǔn)協(xié)議，可能導(dǎo)致防護(hù)軟件不能識(shí)別FAS 通信協(xié)議數(shù)據(jù)包，將會(huì)默認(rèn)數(shù)據(jù)包丟失，從而造成FAS 通信中斷，系統(tǒng)信息安全保護(hù)會(huì)報(bào)故障或者通信連接失敗;（2）由于FAS 工作站的操作系統(tǒng)和應(yīng)用都屬于FAS 廠商定制的版本，對(duì)系統(tǒng)進(jìn)行補(bǔ)丁加固和修改存在軟件無(wú)法兼容、破壞系統(tǒng)完整性、干擾火災(zāi)報(bào)警信號(hào)傳輸?shù)蕊L(fēng)險(xiǎn)，不滿足相關(guān)規(guī)范要求“在不影響系統(tǒng)安全穩(wěn)定運(yùn)行的情況下對(duì)控制設(shè)備進(jìn)行補(bǔ)丁更新、固件更新”條款。由于目前國(guó)內(nèi)沒(méi)有在建或已建地鐵線FAS 單獨(dú)專(zhuān)門(mén)配置系統(tǒng)信息安全防護(hù)設(shè)備（軟件），此風(fēng)險(xiǎn)又不被大家所熟知和評(píng)估，故等級(jí)保護(hù)廠家一般不建議對(duì)系統(tǒng)進(jìn)行補(bǔ)丁加固和修改，不建議安裝主機(jī)防護(hù)軟件;（3）根據(jù)網(wǎng)絡(luò)版主機(jī)防護(hù)軟件使用機(jī)制要求，該FAS 終端PC 設(shè)備所有網(wǎng)絡(luò)配置為同一IP 地址，不具備安裝網(wǎng)絡(luò)版主機(jī)防護(hù)的條件。同時(shí)，F(xiàn)AS 為網(wǎng)絡(luò)底層設(shè)備，不連接互聯(lián)網(wǎng)，也不具備網(wǎng)絡(luò)數(shù)據(jù)傳輸機(jī)制，安全風(fēng)險(xiǎn)相對(duì)可控，無(wú)須設(shè)置網(wǎng)絡(luò)版防護(hù)軟件。

2.2.2FAS 設(shè)備（數(shù)據(jù)）日志

FAS 較獨(dú)立、封閉，通信協(xié)議大多為私有協(xié)議，可能導(dǎo)致FAS 設(shè)備日志不能被系統(tǒng)信息安全保護(hù)采集，系統(tǒng)信息安全保護(hù)無(wú)法進(jìn)行日志審計(jì)。此外，F(xiàn)AS 未使用網(wǎng)絡(luò)層應(yīng)用，其主機(jī)安全服務(wù)器無(wú)法通過(guò)網(wǎng)絡(luò)上傳及下發(fā)相關(guān)數(shù)據(jù)日志。

3信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)解決方案

3.1綜合監(jiān)控系統(tǒng)

3.1.1方案爭(zhēng)議

綜合監(jiān)控系統(tǒng)FEP（前端處理器）用于管理ISCS系統(tǒng)與集成和互聯(lián)系統(tǒng)（電力監(jiān)控、環(huán)境與設(shè)備監(jiān)控、站臺(tái)門(mén)系統(tǒng)、列車(chē)自動(dòng)監(jiān)控、FAS、廣播、視頻監(jiān)控、乘客信息、自動(dòng)售檢票、門(mén)禁、通信系統(tǒng)集中告警、線網(wǎng)管理平臺(tái)等）的接口，具有轉(zhuǎn)換各種硬件接口、軟件協(xié)議的能力，同時(shí)能有效地把ISCS 系統(tǒng)與各集成和互聯(lián)系統(tǒng)的數(shù)據(jù)進(jìn)行隔離。ISCS 系統(tǒng)既可通過(guò)FEP 獲得集成和互聯(lián)系統(tǒng)的數(shù)據(jù)，也能通過(guò)FEP 完成發(fā)往被集成和互聯(lián)系統(tǒng)的數(shù)據(jù)和命令。gzslib202204021809

作為綜合監(jiān)控系統(tǒng)中核心部件，在進(jìn)行信息安全技術(shù)網(wǎng)絡(luò)安全建設(shè)時(shí)，防火墻應(yīng)將FEP 納入防護(hù)范圍，如圖1 所示。不過(guò)，這會(huì)增加接口數(shù)量，因此國(guó)內(nèi)部分軌道交通建設(shè)者建議可以將FEP 置于防火墻防護(hù)之外，將防火墻設(shè)置在FEP 上端口。

3.1.2建議配置清單

信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)依據(jù)為《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》（GB/ T22239—2019），主要從安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計(jì)算環(huán)境、安全管理中心、安全管理制度、安全管理機(jī)構(gòu)、安全管理人員、安全建設(shè)管理、安全運(yùn)維管理等方面進(jìn)行打分，70 分為合格線。涉及運(yùn)營(yíng)、管理、硬件設(shè)施、軟件設(shè)施等軌道交通建設(shè)方應(yīng)結(jié)合當(dāng)?shù)毓玻y(cè)評(píng)機(jī)構(gòu)）部門(mén)要求、建設(shè)線路運(yùn)營(yíng)管理特點(diǎn)、集成商（廠家）實(shí)際情況等條件，酌情進(jìn)行信息安全技術(shù)網(wǎng)絡(luò)安全硬件、軟件系統(tǒng)配置，保證通過(guò)相應(yīng)測(cè)評(píng)（安全等級(jí)認(rèn)證）。

3.2FAS

單獨(dú)組網(wǎng)型FAS 做好如下幾點(diǎn)一般可滿足第一級(jí)系統(tǒng)信息安全保護(hù)要求：（1） 車(chē)控室（消防控制室）應(yīng)做到物理訪問(wèn)控制。車(chē)控室（消防控制室）出入口應(yīng)安排專(zhuān)人值守或配置電子門(mén)禁系統(tǒng)，控制、鑒別和記錄進(jìn)入的人員;（2）車(chē)控室（消防控制室）需具備安全的物理環(huán)境。車(chē)控室（消防控制室） 需防盜、防破壞、防雷擊、防火、防水、防潮，保證溫濕度適宜，設(shè)備正常運(yùn)行運(yùn)轉(zhuǎn)，機(jī)房、電源供應(yīng)穩(wěn)定等。同時(shí)，遠(yuǎn)離強(qiáng)電磁干擾、強(qiáng)熱源等環(huán)境，并定期對(duì)供配電、空調(diào)、溫濕度控制、消防等設(shè)施進(jìn)行維護(hù)和管理;（3）系統(tǒng)授權(quán)訪問(wèn)限制。應(yīng)指定專(zhuān)門(mén)的部門(mén)或人員進(jìn)行賬戶管理，控制設(shè)備應(yīng)滿足身份鑒別、訪問(wèn)控制等安全要求。

4結(jié)論

綜合監(jiān)控系統(tǒng)信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)按照第三級(jí)進(jìn)行設(shè)計(jì)、工程實(shí)施和驗(yàn)收，主要從安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計(jì)算環(huán)境、安全管理中心、安全管理制度、安全管理機(jī)構(gòu)、安全管理人員、安全建設(shè)管理、安全運(yùn)維管理等方面進(jìn)行打分，測(cè)評(píng)成績(jī)70 分為合格線，涉及運(yùn)營(yíng)、管理、硬件設(shè)施、軟件設(shè)施等。