没有网络安全就没有国家安全。国家《网络安全法》于2017年6月1日正式施行，所有网络运营者和关键信息基础设施运营者均有义务按照网络安全等级保护制度的要求对系统进行安全保护。随着2019年5月13日《GB/T22239-2019 信息安全技术 网络安全等级保护基本要求》标准的正式发布，国家网络安全等级保护工作正式进入2.0时代。从1.0到2.0，我国等级保护制度走过了十几年，等级保护2.0是网络安全的一次重大升级，等级保护对象范围在传统系统的基础上扩大了云计算、移动互联、物联网、大数据等，对等级保护制度提出了新的要求。

城市轨道交通作为大容量公共交通工具，其安全性直接关系到广大乘客的生命安全。其中城市轨道交通信号系统，越来越多地采用通用协议、通用硬件和通用软件，以各种方式与综合监控系统网络、乘客信息系统网络、语音广播等网络连接，给信号系统带来一定的安全隐患，信号系统安全问题日益突出。

因此城市轨道交通信号系统的信息安全问题，越来越受到国家的重视，成为城市轨道交通行业迫切需要解决的问题。为此，中国城市轨道交通协会相关部门明确提出要求：信号系统应符合国家安全部门对信息系统等级保护要求，轨道交通信号系统的安全等级保护建设作为信号系统集成项目强制性的实施内容。

01信号系统安全现状与隐患分析

一是信号系统在重要网段和其他网段之间缺乏可靠的技术隔离手段，缺乏有效的区域隔离，在各个安全域的网络边界没有部署访问控制设备，因此缺乏安全域之间的访问控制功能，缺乏对进出网络的信息内容进行过滤功能，不能实现对应用层协议命令级的控制；

二是网络中存在的非法接入和安全威胁缺乏检查、定位和阻断的能力，对系统中存在的风险攻击没有采取及时有限的管控措施，存在风险隐患；

三是系统运维人员对信号系统的内部设备运维随意接入等不严格的管理措施，容易造成网络风暴、ARP攻击、拒绝式服务攻击等。另外现有的安全策略（只有用户名和弱口令）也不能管控人员的登陆；

四是不合规的外部设备所携带的病毒容易造成信号系统中的终端设备被攻击，使得信号系统中的控制设备所下达的某些指令发生改变，容易导致列车发生严重的安全事故；

五是城市轨道交通系统中的一些核心系统虽然已国产化，但是核心控制模块或核心硬件芯片仍从国外引进，有可能存在漏洞，甚至留有后门。

02信号系统总体安全防护设计

⑴构建分域的控制体系

信号系统信息安全防护，在总体架构上将按照划分安全区域进行保护思路进行，将信号系统从结构上划分为不同的安全区域，以安全区域为单位进行安全防御技术措施的建设，各个安全区域内部还根据安全需求进行防护和安全审计措施，从而构成了分域的安全控制体系。

⑵构建纵深的防御体系

城市轨道交通信号系统安全防护技术应分别从网络安全、主机安全、应用安全、数据安全等方面采取安全措施，实现信号系统业务应用的可用性、完整性和保密性保护，并在此基础上充分考虑各种技术的组合和功能的互补性，提升了多重安全措施的综合防护能力，从外到内形成一个纵深的安全防御体系，保障信息系统整体的安全保护能力。

⑶安全技术体系框架

安全技术体系是根据等级保护三级的基本要求，通过对保护对象形成三重防护，即指以信息系统的安全计算节点为中心构成安全计算环境、安全区域边界及安全通信网络为一体的立体防护体系。信息安全技术体系模型见下图：

03信号系统安全防护措施

网络通信安全是通过边界防护来保证网络安全，信号系统采用专网传输，通信网络的安全程度比较高，通过网络边界的安全控制，可以对进入和流出应用环境的信息流进行安全检查，既可以保证应用系统中的敏感信息不会泄漏出去，也可以防止应用系统遭受外界的恶意攻击和破坏；

主机安全是应用安全和数据安全的根本，通过在操作系统核心层、系统层设置以强制访问控制为主体的系统安全机制，形成了一个严密牢固的防护层，通过对用户行为的控制，可以有效防止非授权用户访问和授权用户越权访问，确保信息和信息系统的机密性和完整性安全，从而为应用系统的正常运行和免遭恶意破坏提供支撑和保障；

数据安全承载了主机操作系统和上层应用系统的安全，是整个系统安全的支持保障，保证重要数据的正常流动以及防止业务数据非法访问和篡改；

应用安全通过对应用服务的封装，不仅实现了对应用系统访问控制，而且增强了应用系统运行环境的隔离性，使得应用系统不受非授权进程的恶意干扰，保护了信息的保密性和完整性。

城市轨道交通信号系统安全防护措施，以实时高效为前提、安全可靠为目标，主动防御为手段，从边界防护、入侵防御、运维审计、漏洞扫描、白名单主动防御、集中监管几个方面建设安全防护体系，全面保障轨道交通信号系统网络安全、主机安全、应用安全、数据安全等。具体安全防护示意图如下：

⑴可靠的边界防护

工控系统安全防护网关是实现信号系统网络边界隔离的首选，工控系统安全防护网关部署在网络边界，防止非法用户访问信号系统网络上的资源和非法由内向外传递内部信息，防止非法和恶意的网络行为破坏信号系统中心网络。

⑵实时网络攻击行为捕获

针对工控系统网络病毒、蠕虫，黑客攻击行为的增多，入侵防御系统在监测网络流量的基础上，集成对这些信息的控制和实时响应功能，为用户提供安全检测、流量分析、修正分析、和及时准确的告警功能，帮助安全管理员更好地进行风险分析、全球风险信息预警、系统和网络脆弱性分析，构建安全可靠的信息网络。

在城市轨道交通信号系统网络中，入侵防御系统主要旁路部署在信号系统网络核心交换机上，对各场景工控网络内的通信流量做实时入侵攻击的检测和攻击报警。也可以直路部署在信号系统关键业务服务器区域前，对访问信号系统关键业务的通信流量做实时入侵攻击的阻断和攻击报警。

⑶详细的运维审计

从管理角度来看，综合运维安全审计系统是企业内部运维管理制度和规范的技术化落实平台。通过统一运维入口、统一身份认证、统一资源管理、统一权限管理和统一过程审计等一系列手段，将制度落于实处；通过技术手段硬性规范了运维操作的流程，控制人为风险，提高IT系统整体可用性。

综合运维安全审计系统以逻辑网关或旁路部署的方式部署在核心区，所有的运维操作都不能绕过综合运维安全审计系统。所有运维操作都必须在信息中心运维区连接到综合运维安全审计系统进行，且通过网络控制只有在信息中心运维区才能访问综合运维安全审计系统。

⑷网络脆弱点扫描

漏洞扫描管理系统是基于网络的漏洞侦测和安全评估工具，它能够按照所定义的策略扫描网络系统的端口，侦测这些端口所提供的网络服务的漏洞，并向系统管理员提供详细的漏洞评估报告，从而帮助管理员进行漏洞的弥补，提高网络系统整体的安全性。

⑸工控集中监管与审计

工控集中监管与审计系统能够实现对工业控制系统进行统一安全管理，实现信号系统网络及各类设备的可用性与性能监控、安全事件的分析审计预警、安全风险与态势的度量和评估、工控网络信息流行为的合规性分析等。

04总结

网络安全等级保护制度2.0国家标准的发布，是具有里程碑意义的一件大事，标志着国家网络安全等级保护工作步入新时代。在城市轨道交通信号系统信息安全防护的过程中，一方面重点分析面临的安全隐患，从技术方面提升安全防护能力，另一方面，一定要强调信号系统信息安全管理意识，从管理入手去杜绝安全隐患，建立起针对信号系统的工控安全管理体系，全面提升信号系统的安全防护水平。