1. 信息安全建设要求

根据《信息安全等级保护管理办法》（公通字[2007]43号）、《中华人民共和国计算机信息系统安全保护条例》（国务院令第147号）、《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）、工信部《工业控制系统信息安全防护指南》及结合中城协《T/CAMET 11001.1—2019智慧城市轨道交通信息技术架构及网络安全规范》第1部分：总体要求对信号系统的系统安全要求的相关技术要求，成都轨道交通8号线二期工程信号系统应按照第三级等保要求进行建设，并具备等级保护安全解决方案。

2. 网络安全系统构成

按照“边界隔离、区域划分、纵深防护、业务分离”指导思想，并根据信号系统的业务功能、特点及各业务系统的安全需求，将信号系统按访问对象的不同等方面划分为四大类安全区域，包括控制中心、设备集中站、设备非集中站、停车场。

2.1. 控制中心

控制中心已于一期工程中完成安全建设，二期建设对工控集中监管与审计系统进行软件升级，升级后的工控集中监管与审计系统通过控制中心BDMS维护工作站登录系统界面，可全面监控与之相关的设备的运行状态，采集其安全事件与网络行为构成的威胁信息并作出告警，对安全事故进行智能分析并进行流程化的应急响应管理，并将MDIAS系统纳入信号系统三级等保范围内。

在控制中心的网络边界部署2台工控系统安全防护网关，将信号系统与外部系统（无线、PA、ISCS、COCC、PIS、时钟系统等）进行安全隔离。工控系统安全防护网关提供信号系统与各外部系统网络边界处端口级的访问控制功能，检查外部用户的非法联接内部网络及内部网络用户私自外联，并能定位及有效阻止内、外部用户非法联接。

在控制中心ATS网、维护网交换机及MDIAS系统交换机镜像口旁路部署入侵防御系统，对网络数据进行入侵防御。等保测评对ATC网络无要求，避免ATC网接入IPS设备检测后出现网络波动，故不对ATC网络进行流量检测。

在控制中心ATS交换机、维护网交换机、MDIAS系统交换机旁路部署工控集中监管与审计系统，进行安全设备、主机设备的日志收集与设备监控，并实时展示系统内告警日志信息。

2.2. 设备集中站

设备集中站使用的安全防护设备主要有入侵防御系统和白名单主机安全卫士。

1）入侵防御

为满足等级保护建设对网络安全的安全审计、入侵防范等基本安全要求，在设备集中站ATS交换机、维护网交换机镜像口旁路部署入侵防御系统。入侵防御系统抓取核心交换机、维护网交换机等的数据包，检测病毒、蠕虫、木马、间谍软件、可疑代码、扫描等网络威胁攻击，一旦发现攻击及时上报至安全管理中心。

等保测评对ATC网络无要求，避免ATC网接入IPS设备检测后出现网络波动，故不对ATC网络进行流量检测。

2）主机防护

为满足等级保护建设对主机的恶意代码防范、入侵防范等基本安全要求，在设备集中站的本地操作工作站和维护工作站上部署白名单主机安全卫士，防止木马、病毒等未授权软件的运行。

2.3. 设备非集中站

设备非集中站的安全防护主要是对终端主机防护。利用终端操作系统自带的用户管理、存储管理及安全管理功能，对操作系统进行一定的安全加固，主要包括：

1）系统安装白名单主机安全卫士。

2）限制默认账户的访问权限，重命名系统默认账户，修改这些账户的默认口令。

3）停用Guest账号，删除多余的、过期的账户，避免共享账户的存在。

4）制定账户锁定策略，登录失败次数超过锁定阈值后将对账户进行锁定。锁定阀值设为30次，锁定时间设为15分钟，确保能避免暴力破解，也不影响运营及维护。

5）修改弱口令；设定合适长度和复杂性的密码。

6）关闭不必要的服务。

7）关闭默认共享。

8）系统工作站屏蔽外部存储设备（如U盘）的数据操作功能。

2.4. 停车场

1) 信号/MDIAS系统

龙潭寺停车场信号系统使用的安全防护设备与MDIAS系统共用，主要有工控防火墙、入侵防御系统和白名单主机安全卫士。

①　工控防火墙

在停车场的网络边界部署2台工控防火墙，将停车场信号/MDIAS系统与外部系统进行安全隔离。防火墙提供停车场信号/MDIAS系统与外部系统网络边界处端口级的访问控制功能，检查外部用户的非法联接内部网络及内部网络用户私自外联，并能定位及有效阻止内、外部用户非法联接。

②　入侵防御

为满足等级保护建设对网络安全的安全审计、入侵防范等基本安全要求，在停车场ATS交换机、维护网交换机镜像口旁路部署入侵防御系统。入侵防御系统抓取核心交换机、维护网交换机等的数据包，检测病毒、蠕虫、木马、间谍软件、可疑代码、扫描等网络威胁攻击，一旦发现攻击及时上报至安全管理中心。

③　主机防护

为满足等级保护建设对主机的恶意代码防范、入侵防范等基本安全要求，在停车场的本地操作工作站和维护工作站上及MDIAS系统的场段调度工作站、信号楼工作站、乘务派班工作站、维护工作站等设备上部署白名单主机安全卫士，防止木马、病毒等未授权软件的运行。

2) MDIAS接入信号系统安全方案

MDIAS系统接入信号系统，与信号系统共同按等保三级建设。控制中心内，信号系统已有综合运维安全审计系统、集中监管与审计系统、漏洞扫描管理系统，每个设备预留两个接口，MDIAS通过通信专用通道接入控制中心综合运维安全审计系统、集中监管与审计系统、漏洞扫描管理系统。

龙潭寺停车场内，信号系统在二期新增部署两台网关及一台入侵防御设备，并与MDIAS系统共用，接口满足使用。

一期元华车辆段内，已设有一台网关、两台防火墙及一台入侵防御设备。在MDIAS通信前置机处，二期新增部署一台网关，做主备冗余；考虑到兼容性问题，将一期的两台防火墙及入侵防御设备替换为二期网关及入侵防御设备。由于控制中心的集中监管与审计系统为一期设备，需要监管这三台新增设备并收集日志，考虑到兼容性原因这三台设备无法提供日志及snmp接口协议，因此为MDIAS新增部署一台数据库审计系统，用于车辆段数据库服务器操作行为审计。

在龙潭寺停车场及元华车辆段MDIAS系统所有windows工作站及正线派班工作站安装白名单主机安全卫士，防止木马、病毒等未授权软件的运行。

3. 结束语

本文介绍了成都轨道交通8号线二期工程信号系统的等保方案，作为一条延伸线工程，需要同时兼容一期及二期的等保设备，又要将独有的MDIAS系统纳入信号系统统一考虑。这样的设计方案也为未来信号系统及其他系统一体化提供了更多的可能。

参考文献

[1] 张凤霞. 地铁信号系统信息安全防御技术研究[J]. 都市快轨交通，2023，36(1)：168-173.

[2] 谢桥.城市轨道交通信号系统信息安全等级保护策略研究与实现[J]. 网络安全技术与应用,2020(6):127-128.

[3] 王锋.CBTC信号系统信息安全问题分析[J].铁路通信信号工程技术,2023(1):95-98,109.

[4] 陈燕.城市轨道交通信号系统信息安全方案研究[J].计算机与信息技术,2021(7):62-63,66.

[5] 林祁.信息安全技术在沈阳地铁10号线信号系统中的应用研究[J].铁 道 通 信 信 号,2020(56):75-78.

[6] 成都交控轨道科技有限公司. 信息安全技术规格书[Z].2023.