轨道交通领域网络安全解决方案
场景需求
——
近年来，随着国家对“新基建”布局的加速，智慧城轨的发展需求日益高涨。在中国城市轨道交通协会印发的《中国城市轨道交通智慧城轨发展纲要》中提出，要推进云计算、大数据、物联网、人工智能、5G、卫星通信、区块链等新兴信息技术和城轨交通业务深度融合，推动城轨交通数字技术应用，推进城轨信息化，发展智能系统，建设智慧城轨。计划到2025年，将完善“城轨云”与大数据平台的体系建设和应用落地，新建城轨交通城市全部采用“城轨云”，实现对城轨业务的全覆盖，数据共享平台与城轨网络安全体系同步建立。
作为关系国计民生的国家关键信息基础设施，城轨云集成了大量业务应用系统，其安全防护具有重要的意义。城轨系统具有网络结构复杂、业务数据等级不同、信息交互要求各异、安全防护需求繁多的特点，同时还要面临云计算环境下的诸多安全问题，如：城轨云平台中各业务系统虚拟机之间的安全隔离、业务内部南北向和东西向的流量防护、统一安全管理和运维等，因此对边界防护的要求非常高。现有的传统安全手段由于存在防护强度不足、运维管理手段复杂等问题，无法满足城轨云环境高标准安全防护的需求。
卓讯多功能安全数据交换系统和安全网关设备，作为以安全标记和安全隔离技术为核心的、基于应用的精细化和智能化融合安全产品，既满足城轨云中不同网络边界的安全防护需求，又能满足城轨云高并发、高速率和低时延的业务需求，在构建城轨云边界防护系统方面具有众多优势，可解决以下实际问题：
1. 虚拟化和资源共享带来的安全问题；
2. 生产网联网所需要的高安全性问题；
3. 海量设备和应用带来的安全问题；
4. 东西向扩散带来的安全问题；
5. 管理复杂度高导致的安全性问题；
6. 攻击多样性带来的传统安全设备失效问题；
7. 跨不同等级数据交换问题。
解决方案
——
城轨云系统由一个平台（云管平台）和三张网络（外部服务网、内部管理网和安全生产网）组成，其中，云管平台对三张网络的计算、存储、网络和安全等资源统一管理，三张网络承载城轨交通的全部业务系统。
如下图所示，多功能安全数据交换系统和安全网关设备以密码技术为基础、以安全标记为核心、以态势感知技术为中枢，在外部服务网、内部管理网、安全生产网三张网及运维管理网之间、云中心和车站、云中心和测试中心之间提供边界防护，构建纵深防御安全体系。系统遵循等保2.0和城轨规范的要求，性能指标达到业界防火墙水平，具备关键基础设施可用性快速恢复能力，可实现的目标如下：
1. 网间分级隔离：在外部服务网、运维管理网边界采用物理隔离技术，其他网边界采用逻辑隔离技术，运维管理网与业务网之间采用带外网络连接方式，并在信号专网等关键网络边界采用单向数据传输技术；
2. 网内分类防护：将同一个域内网络按业务划分安全子域，采用安全标记技术实现最小授权，将异常限制在最小范围内，防止威胁在不同业务间扩散；
3. 高边界防护：提供L2-L7层深度防御，包括：2层ARP、广播、组播攻击防御，3层安全标记、防火墙防御，3-7层DDoS防御、注入攻击防御、WAF防御等；
4. 智能集中管理：集中管理平台对用户、设备、系统进行统一管理，实现身份认证、安全策略管理、安全运维管理、安全监控报警、安全基础设施管理、统计报表生成和全日志审计等功能；
5. 协同联动防护：具备云平台、网络、安全协同联动的能力，集中管控平台收集的日志可上传态势感知平台，通过AI技术智能分析实现预警通告和响应处置。云平台统一纳管网络设备和安全设备，使在虚拟机迁移、业务上下线时，网络变化和安全策略自动协同，实现安全和网络同步部署的端到端防护。
方案价值
——
本方案构建了可信的全网标记强访控制体系，全面覆盖“云-边-端”轨交云平台环境。针对轨交云应用定制精细化的安全管控策略，使得每一条数据访问请求都可管、可控、可审计，杜绝了非法的数据访问和信息泄露。
方案价值如下：
1. 在功能方面，实现物理隔离、访问控制、应用层检测、数据防泄漏、数据结构检查等；
2. 在性能方面，实现数据高效、稳定、可靠传输；
3. 在模式方面，实现设备易于部署、应用方式灵活多样；
4. 在政策方面，符合等保和城轨相关规范要求。
