城市軌道交通綜合監(jiān)控系統(tǒng)和FAS信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)定級與方案研究

高強(qiáng)

關(guān)鍵詞 綜合監(jiān)控系統(tǒng) 信息安全技術(shù)網(wǎng)絡(luò)安全 等級保護(hù)

工業(yè)現(xiàn)場控制系統(tǒng)是石油、軌道交通、電力等國家工業(yè)基礎(chǔ)設(shè)施的核心。該系統(tǒng)一旦遭受網(wǎng)絡(luò)攻擊，可能造成重特大安全事故，引起人員傷亡、環(huán)境災(zāi)難，危及公共生活及國家安全，因此保障其安全穩(wěn)定運(yùn)行具有重大意義[1～2] 。

針對城市軌道交通領(lǐng)域，通過查閱資料發(fā)現(xiàn)：國內(nèi)學(xué)者主要關(guān)注綜合監(jiān)控系統(tǒng)的安全域的劃分，即依據(jù)國家信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)相關(guān)標(biāo)準(zhǔn)和指南的要求，給出綜合監(jiān)控系統(tǒng)信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)的定級建議以及在定級基礎(chǔ)上提出建設(shè)目標(biāo)和較詳盡的安全防護(hù)方案[3] 。國內(nèi)學(xué)者較少關(guān)注FAS 信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)。

1城市軌道交通信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)定級

1.1綜合監(jiān)控系統(tǒng)

依據(jù)《城市軌道交通綜合監(jiān)控系統(tǒng)工程技術(shù)規(guī)范》（GB/ T 50636—2018），綜合監(jiān)控系統(tǒng)的信息安全應(yīng)符合現(xiàn)行國家標(biāo)準(zhǔn)《工業(yè)控制系統(tǒng)信息安全第1 部分：評估規(guī)范》（GB/ T 30976.1）和《工業(yè)控制系統(tǒng)信息安全第2 部分：驗(yàn)收規(guī)范》（GB/ T 30976.2）的規(guī)定，且應(yīng)按信息系統(tǒng)安全等級保護(hù)標(biāo)準(zhǔn)第三級進(jìn)行設(shè)計、工程實(shí)施和驗(yàn)收。

據(jù)調(diào)研，全國城市軌道交通綜合監(jiān)控系統(tǒng)均按照信息系統(tǒng)安全等級保護(hù)標(biāo)準(zhǔn)第三級進(jìn)行建設(shè)。

1.2FAS

隨著信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)進(jìn)入2.0 時代，城市軌道交通FAS 信息安全技術(shù)網(wǎng)絡(luò)安全漸漸引起了公安部門、測評機(jī)構(gòu)、建設(shè)管理方、設(shè)計院、集成商等各方關(guān)注，成為各方討論的重要課題。

經(jīng)過對大連、青島、西安、南京、合肥、武漢、佛山、長沙、成都、廣州等地絕大多數(shù)在建和已通車地鐵線路調(diào)研得知，信息安全技術(shù)網(wǎng)絡(luò)安全設(shè)備（軟件）廠家和FAS 集成商均反饋FAS 未專門進(jìn)行信息安全技術(shù)網(wǎng)絡(luò)安全建設(shè)。多家第三方信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)測評機(jī)構(gòu)反饋未做過FAS 信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)測評。

2019 年，大連地鐵建設(shè)有限公司聘請第三方測評機(jī)構(gòu)（公司）對大連地鐵1 號線和2 號線FAS 按照信息系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)第二級進(jìn)行等級保護(hù)測評。

2020 年8 月，大連地鐵建設(shè)有限公司組織設(shè)計、監(jiān)理和地鐵生產(chǎn)系統(tǒng)總集單位針對大連地鐵1 號線和2號線FAS 工業(yè)控制信息系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)整改項目進(jìn)行探討，嘗試對FAS 按照信息系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)第二級進(jìn)行配置，最終主要結(jié)論為：（1）未安裝主機(jī)安全防護(hù)軟件;（2）根據(jù)測評單位專家指導(dǎo)建議，針對系統(tǒng)邊界保護(hù)、物理機(jī)房安全、授權(quán)訪問機(jī)制及管理制度的嚴(yán)格實(shí)施，安全風(fēng)險相對可控;（3）經(jīng)過與等級保護(hù)測評公司溝通后確認(rèn)，F(xiàn)AS 為網(wǎng)絡(luò)底層設(shè)備，不具備網(wǎng)絡(luò)數(shù)據(jù)傳輸機(jī)制，安全風(fēng)險相對可控，做好系統(tǒng)的基礎(chǔ)物理安全、授權(quán)訪問即可。

2信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)的基本要求

2.1綜合監(jiān)控系統(tǒng)

2019 年12 月1 日起實(shí)施的《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》（GB/ T 22239—2019）指出，等級保護(hù)工作進(jìn)入2.0 時代，信息安全技術(shù)網(wǎng)絡(luò)安全強(qiáng)制執(zhí)行力度加大，工作內(nèi)容擴(kuò)展，等級保護(hù)監(jiān)管范圍擴(kuò)大，新興場景重點(diǎn)防護(hù)的技術(shù)要求有所增強(qiáng)。

較等級保護(hù)1.0，等級保護(hù)2.0 發(fā)生了一些變化，主要體現(xiàn)在：（1）名稱變化，即等級保護(hù)1.0 為《信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)基本要求》，等級保護(hù)2.0 為《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》;（2）內(nèi)容變化，等級保護(hù)2.0 新增云計算安全擴(kuò)展要求、移動互聯(lián)安全擴(kuò)展要求、物聯(lián)網(wǎng)安全擴(kuò)展要求和工業(yè)控制系統(tǒng)安全擴(kuò)展要求;（3）控制措施變化，等級保護(hù)2.0 強(qiáng)調(diào)“一個中心三重防護(hù)”，即安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計算環(huán)境和安全管理中心;（4）測評標(biāo)準(zhǔn)變化，即等級保護(hù)1.0 的最低通過標(biāo)準(zhǔn)為60 分， 等級保護(hù)2.0 的最低通過標(biāo)準(zhǔn)為70 分以上，且無高風(fēng)險項。

2.2FAS

2.2.1FAS 不建議安裝主機(jī)防護(hù)軟件

等級保護(hù)廠家不建議對系統(tǒng)進(jìn)行補(bǔ)丁加固和修改，不建議安裝主機(jī)防護(hù)軟件。主要原因有：（1）FAS較獨(dú)立、封閉，通信協(xié)議大多為私有協(xié)議，而等級保護(hù)防護(hù)軟件一般僅支持標(biāo)準(zhǔn)協(xié)議，可能導(dǎo)致防護(hù)軟件不能識別FAS 通信協(xié)議數(shù)據(jù)包，將會默認(rèn)數(shù)據(jù)包丟失，從而造成FAS 通信中斷，系統(tǒng)信息安全保護(hù)會報故障或者通信連接失敗;（2）由于FAS 工作站的操作系統(tǒng)和應(yīng)用都屬于FAS 廠商定制的版本，對系統(tǒng)進(jìn)行補(bǔ)丁加固和修改存在軟件無法兼容、破壞系統(tǒng)完整性、干擾火災(zāi)報警信號傳輸?shù)蕊L(fēng)險，不滿足相關(guān)規(guī)范要求“在不影響系統(tǒng)安全穩(wěn)定運(yùn)行的情況下對控制設(shè)備進(jìn)行補(bǔ)丁更新、固件更新”條款。由于目前國內(nèi)沒有在建或已建地鐵線FAS 單獨(dú)專門配置系統(tǒng)信息安全防護(hù)設(shè)備（軟件），此風(fēng)險又不被大家所熟知和評估，故等級保護(hù)廠家一般不建議對系統(tǒng)進(jìn)行補(bǔ)丁加固和修改，不建議安裝主機(jī)防護(hù)軟件;（3）根據(jù)網(wǎng)絡(luò)版主機(jī)防護(hù)軟件使用機(jī)制要求，該FAS 終端PC 設(shè)備所有網(wǎng)絡(luò)配置為同一IP 地址，不具備安裝網(wǎng)絡(luò)版主機(jī)防護(hù)的條件。同時，F(xiàn)AS 為網(wǎng)絡(luò)底層設(shè)備，不連接互聯(lián)網(wǎng)，也不具備網(wǎng)絡(luò)數(shù)據(jù)傳輸機(jī)制，安全風(fēng)險相對可控，無須設(shè)置網(wǎng)絡(luò)版防護(hù)軟件。

2.2.2FAS 設(shè)備（數(shù)據(jù)）日志

FAS 較獨(dú)立、封閉，通信協(xié)議大多為私有協(xié)議，可能導(dǎo)致FAS 設(shè)備日志不能被系統(tǒng)信息安全保護(hù)采集，系統(tǒng)信息安全保護(hù)無法進(jìn)行日志審計。此外，F(xiàn)AS 未使用網(wǎng)絡(luò)層應(yīng)用，其主機(jī)安全服務(wù)器無法通過網(wǎng)絡(luò)上傳及下發(fā)相關(guān)數(shù)據(jù)日志。

3信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)解決方案

3.1綜合監(jiān)控系統(tǒng)

3.1.1方案爭議

綜合監(jiān)控系統(tǒng)FEP（前端處理器）用于管理ISCS系統(tǒng)與集成和互聯(lián)系統(tǒng)（電力監(jiān)控、環(huán)境與設(shè)備監(jiān)控、站臺門系統(tǒng)、列車自動監(jiān)控、FAS、廣播、視頻監(jiān)控、乘客信息、自動售檢票、門禁、通信系統(tǒng)集中告警、線網(wǎng)管理平臺等）的接口，具有轉(zhuǎn)換各種硬件接口、軟件協(xié)議的能力，同時能有效地把ISCS 系統(tǒng)與各集成和互聯(lián)系統(tǒng)的數(shù)據(jù)進(jìn)行隔離。ISCS 系統(tǒng)既可通過FEP 獲得集成和互聯(lián)系統(tǒng)的數(shù)據(jù)，也能通過FEP 完成發(fā)往被集成和互聯(lián)系統(tǒng)的數(shù)據(jù)和命令。gzslib202204021809

作為綜合監(jiān)控系統(tǒng)中核心部件，在進(jìn)行信息安全技術(shù)網(wǎng)絡(luò)安全建設(shè)時，防火墻應(yīng)將FEP 納入防護(hù)范圍，如圖1 所示。不過，這會增加接口數(shù)量，因此國內(nèi)部分軌道交通建設(shè)者建議可以將FEP 置于防火墻防護(hù)之外，將防火墻設(shè)置在FEP 上端口。

3.1.2建議配置清單

信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)測評依據(jù)為《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》（GB/ T22239—2019），主要從安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計算環(huán)境、安全管理中心、安全管理制度、安全管理機(jī)構(gòu)、安全管理人員、安全建設(shè)管理、安全運(yùn)維管理等方面進(jìn)行打分，70 分為合格線。涉及運(yùn)營、管理、硬件設(shè)施、軟件設(shè)施等軌道交通建設(shè)方應(yīng)結(jié)合當(dāng)?shù)毓玻y評機(jī)構(gòu)）部門要求、建設(shè)線路運(yùn)營管理特點(diǎn)、集成商（廠家）實(shí)際情況等條件，酌情進(jìn)行信息安全技術(shù)網(wǎng)絡(luò)安全硬件、軟件系統(tǒng)配置，保證通過相應(yīng)測評（安全等級認(rèn)證）。

3.2FAS

單獨(dú)組網(wǎng)型FAS 做好如下幾點(diǎn)一般可滿足第一級系統(tǒng)信息安全保護(hù)要求：（1） 車控室（消防控制室）應(yīng)做到物理訪問控制。車控室（消防控制室）出入口應(yīng)安排專人值守或配置電子門禁系統(tǒng)，控制、鑒別和記錄進(jìn)入的人員;（2）車控室（消防控制室）需具備安全的物理環(huán)境。車控室（消防控制室） 需防盜、防破壞、防雷擊、防火、防水、防潮，保證溫濕度適宜，設(shè)備正常運(yùn)行運(yùn)轉(zhuǎn)，機(jī)房、電源供應(yīng)穩(wěn)定等。同時，遠(yuǎn)離強(qiáng)電磁干擾、強(qiáng)熱源等環(huán)境，并定期對供配電、空調(diào)、溫濕度控制、消防等設(shè)施進(jìn)行維護(hù)和管理;（3）系統(tǒng)授權(quán)訪問限制。應(yīng)指定專門的部門或人員進(jìn)行賬戶管理，控制設(shè)備應(yīng)滿足身份鑒別、訪問控制等安全要求。

4結(jié)論

綜合監(jiān)控系統(tǒng)信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)按照第三級進(jìn)行設(shè)計、工程實(shí)施和驗(yàn)收，主要從安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計算環(huán)境、安全管理中心、安全管理制度、安全管理機(jī)構(gòu)、安全管理人員、安全建設(shè)管理、安全運(yùn)維管理等方面進(jìn)行打分，測評成績70 分為合格線，涉及運(yùn)營、管理、硬件設(shè)施、軟件設(shè)施等。