一、行业背景

随着城市轨道交通业务系统向信息化、智能化方向深度发展，传统单点式网络安全防护模式已难以适配行业发展需求，核心痛点集中凸显：一是在毫秒级时延约束下，实时防护与运营效率的矛盾难以平衡；二是跨部门、跨系统协同过程中，存在信任缺失、操作无迹可寻的问题，责任追溯难度大；三是异构系统实现互联互通后，攻击面持续扩大，隐蔽性攻击难以被精准识别。同时，《城市轨道交通运营安全评估管理办法》明确要求，轨道交通生产系统的网络安全防护需贯穿初期运营、正式运营全流程，合规达标已成为线路投运、持续运营的必备前提。

二、防护范围

防护对象：城市轨道交通的信号系统、综合监控系统、通信系统、自动售检票系统、清分系统、线网中心、生产云平台等业务系统。

定级说明：综合监控系统、信号系统、线网中心、生产云平台、清分系统等通常需满足等保三级要求，通信系统下的乘客信息系统、视频监控系统等可按照等保二级要求开展建设。

三、需求分析

边界安全防护需求

城市轨道交通包含4大主要业务系统，共30余个子系统，各系统协同运行，完成不同网络协议间报文的识别与通信。但由于缺乏有效的访问控制与入侵防范机制，各子系统均面临来自外部和内部的网络入侵风险。

流量安全监测需求

现有各系统网络无法检查非授权设备私自接入内部网络的行为，也不能有效检测网络攻击行为并记录攻击源IP、攻击类型等信息，缺乏完善的安全监测审计功能。

安全计算环境需求

大量主机和服务器采用Windows或Linux操作系统，运行于局域网模式下，无法及时更新修补漏洞补丁，且设备外设接口存在滥用情况，增大了病毒感染风险，会影响业务连续性。

系统安全运维需求

设备厂商众多，仅依靠运营团队无法解决全部技术问题，因此需要对第三方运维人员进行权限划分、运维过程监控以及运维审计；同时，核心资产运维缺少双因子认证手段。

运行状态监测需求

控制中心、车站、停车场、车辆段等站点的设备分布分散，无法实时监测设备运行状态，故障发生后人工定位难度大、周期长，且设备之间难以开展有效关联分析。

设备集中管理需求

轨道站点众多，各线路的安全设备及系统无法实现统一管理，安全策略也无法统一配置下发，且各安全设备产生的安全事件信息无法统一收集、汇总、分析，难以对整体安全状态进行可视化监测。

四、解决方案

珞安科技作为国内工控安全领域技术先进、实力深厚的优秀企业，依照国家网络安全等级保护制度相关要求，以城市轨道交通各业务系统网络情况为基础，结合当前主流工控信息安全技术，制定出符合网络安全等级保护要求的解决方案，为轨道交通筑牢网络安全防线。

01、边界安全防护建设

针对车载、地面系统等不同业务环境的网络边界处部署工业防火墙，实现网络隔离与访问控制；同时具备工控协议指令级控制能力，并内置入侵检测库，可避免入侵攻击造成损失。

02、行为审计安全建设

针对车载、地面系统等关键网络节点旁路部署工控安全审计设备，可实现网络流量监测与工控协议深度解析，并对异常流量、异常链路、异常事件进行实时告警。

03、主机安全防护建设

在业务系统的工作站、服务器上部署基于“白名单”机制的终端防护软件，从操作系统底层动态监控终端运行的安全状态；同时针对移动介质使用场景配备不同形态的USB安全管控产品，全面提升终端安全防护能力。

04、安全运维体系构建

除通过传统堡垒机实现账号集中管理与细粒度访问授权控制外，针对第三方运维团队配置了便携式运维安全审计设备，既可以完成运维授权与监管，也能够对临时开辟的运维链路进行防护。

05、日志安全防护构建

控制中心部署日志审计系统，通过收集、处理网络设备、安全设备、操作系统等各类信息化组件生成的日志信息，辅助用户掌握全网整体安全运行态势。

06、安全管理体系构建

控制中心设置工控集中安全管理平台，对各子系统内部署的各类安全设备实现统一设备管理、安全策略下发与安全日志收集，打破信息孤岛，实现动态高效的安全运营。

五、结 语

当前，我国轨道交通数智化正处于信息化向智能化跨越的关键过渡期，运营效率的提升与网络安全风险呈同步增长态势。随着封闭工控系统与开放数字网络的深度融合，工控入侵、系统瘫痪、海量运行数据与乘客隐私也面临泄露、篡改等新型安全问题日益凸显。面对这一挑战，亟需构建“技术+管理”双重防线，建立纵深防御体系，筑牢轨交产业安全发展根基。

珞安科技作为专注工业网络空间安全的国家专精特新“小巨人”企业，将秉持“为国家关键信息基础设施保驾护航”的使命，充分发挥技术创新与产品研发优势，通过网络分区纵深防御、核心设备国产化替代、数据全生命周期安全管控等举措，以自主可控技术夯实产业底座，全面筑牢轨道交通数智化转型的安全屏障，以高水平安全服务轨道交通高质量发展。