上海軌道交通信息安全風險評估平臺

文/張立東、張菁博，上海申通地鐵集團有限公司技術中心

一、背景情況

網絡安全等級保護制度是我國網絡安全保障工作的偉大創舉。為了安全、高效地運營與維護城市軌道交通，我們利用自動化、信息化技術建設了各類工業控制和信息化系統。隨著智慧地鐵建設的不斷深化，數據互聯互通要求的不斷增強，網絡邊界日趨模糊，信息安全保障需求日益見長，網絡安全等級保護測評的范圍和頻率逐步擴大。

而測評工作卻面臨著測評工具集成化、自動化程度低、兼容性差，對工控系統檢測支持度不夠，無法以單一工具匹配軌交眾多專業系統的復雜業務需求與接口等諸多問題，測評工作對人員技能要求高，并且單次檢測結果合規不等于永久安全，頻繁的測評保障工作已經給運營單位帶來了巨大的壓力。

二、解決方案

（一）整體描述

為滿足網絡安全保障需求，上海地鐵針對軌交行業系統種類繁多、結構復雜等特點研制了軌交行業首個、具備自主產權的軌道交通信息安全風險評估平臺。用于等級保護標準核查、網絡安全掃描測試、資產風險自動評估等工作。

作為軟硬件結合的總成式網絡安全風險評估平臺，系統硬件采用定制化便攜式方案，支持各類檢測入口，適配性與延展性強。應用層級集成了多種測試掃描工具并能提供廣泛的測試應用范圍，使用模塊化、平臺化設計，架構層級的擴展型和兼容性高。在可持續更新的軌交行業知識庫基礎上，提供滲透測試、主機安全、控制器安全、網絡安全、漏洞掃描、通訊協議安全等6大安全檢測能力。具備安全評估普及化、滲透測試易用化、使用操作可視化、自動化報告生成等四大優勢。

圖1: 軌道交通信息安全檢測工具平臺

（二）方案設計

結合軌道交通領域面臨的問題，軌道交通信息安全檢測工具平臺主要設計了安全測試、標準核查、風險評估、知識庫等模塊。

1.安全測試

具備全面的安全測試能力，集成滲透測試工具、網絡安全檢測工具、主機安全檢測工具，漏洞掃描工具、通訊協議安全檢測工具等，檢測類型覆蓋網絡檢測、主機檢測、核查問卷、系統漏洞掃描、軟件漏洞掃描、滲透測試、通訊協議安全檢測。風險評估平臺將原本零散的滲透測試檢測工具進行集成，并通過統一的數據收集和輸出接口，完成軌道交通生產系統一體化、標準化、體系化的系統檢測。

涵蓋的測試項目如下：

2.標準核查

平臺可支持定制化的軌交工控系統風險評估檢測標準，支持等保2.0等安全標準核查和標準對標。通過標準體系提供核查問卷，進行系統脆弱性分析和安全評估測試，完成問卷后平臺對系統威脅自動分析并形成評估記錄，提出針對性分析改進建議，操作簡潔便利，實現自評工作全流程管理。核查流程如下：

圖2: 標準核查流程

3.風險評估

風險評估模塊檢查數據多維度統計分析功能，包括資產分析，漏洞狀況分析，安全威脅分析，脆弱性分析，系統風險評估，并能自動化產生系統檢測報表。對軌交各子系統進行系統安全項配置核查、安全域劃分、系統漏洞及存在的安全威脅等問題深入跟蹤和分析，對安全風險進行安全評估，同時形成系統合理性解決方案。最大程度的保證軌交各業務支撐系統信息安全，提升安全管理水平和安全防范能力。系統檢測報表提供了可視化界面，簡化了界面操作，報表部分分析圖表如下：

圖3: 標準核查報表

4.知識庫

完善涵蓋軌道交通領域“漏洞知識庫”和“標準規范庫”的行業安全信息庫，提升軌交行業定制化的安全信息共享服務能力。漏洞知識庫包含常規系統威脅信息、系統事件信息，提供漏洞檢測設備廠商、漏洞ID、漏洞名稱、CVEID、入侵檢測設備廠商、攻擊特征ID、攻擊特征名稱等信息。

標準規范庫依托國內標準要求，結合軌道交通信息系統進行等級保護核查、檢測、分析，提供信息安全等級保護規劃方案，提出保護整改建議。

提供標準規范如下：

?《信息安全技術網絡安全等級保護基本要求》（GB/T 22239-2019）

?《信息安全技術工業控制系統信息安全分級規范》（GB/T 36324-2018）

?《信息安全技術工業控制系統安全管理基本要求》（GB/T 36323-2018）

?《信息安全技術 工業控制系統信息安全防護能力評價方法》

?《信息安全技術工業控制系統安全控制應用指南》 (GB/T 32919-2016)

（三）技術特色

1．軟件漏洞檢測技術

利用智能漏洞分析引擎來掃描組件中所含的漏洞與許可證風險，該引擎利用了第三方數據庫與開源組件獨有的特性和漏洞特性來提升掃描結果的準確率，可滿足系統上線前軟件源碼審計的需求。

2．工業控制協議模糊檢測工具

工業控制協議模糊測試工具用于測試工業控制網絡協議的健壯性，它采用構造畸形數據包，并將畸形數據包發送給被測工控目標，來檢測工業控制網絡協議的安全性。

3．檢測統計報表自動化生成

根據自身滲透測試經驗以及相關安全標準設計測試用例，并根據測試結果，自動給出檢測報告，提供報告分析，有針對性的對被測對象提出結果分析和修改建議，可以更直接的幫助用戶發現被測對象問題，幫助尋求完善方式。

三、方案價值

平臺主要應用于軌道交通列車運行控制系統、綜合監控系統、乘客信息系統等生產系統的安全檢測，同時也能兼顧管理系統的風險評估，可用于運營單位的等保安全自測和重大活動網絡安全保障前的技術檢測。平臺提供高度集成的一站式等級保護檢測安全評估服務，實現高度自動化自評工作全流程管理，可協助運營單位切實提升測評工作效率，大幅節省測評工作成本，有效降低測評工作專業門檻，為保障城市軌道交通的安全運行提供重要支撐。