CN116232613A - 一种轨道交通网络零信任的保护方法 - Google Patents

Abstract

本发明提供了一种轨道交通网络零信任的保护方法，包括识别资产，在路网控制中心部署通采器，对轨道交通网络信息的网络安全态势和运行情况做归一与约束；梳理数据流转路径，确定零信任保护策略判定点；收集数据，构建零信任保护流量数据库；数据评估，确定数据评估候选任务流程的顺序；逐步建立零信任安全防护与通信机制。通过搜集各自网内资产的安全信息，对安全事件进行深层的分析、统计、和关联，及时感知被管理资产的安全情况，定位安全风险，对各类风险资产迅速发现和定位，并及时提供处置方法和建议，协助安全管理员进行事件分析、风险分析、预警管理和应急响应处理。

Description

一种轨道交通网络零信任的保护方法

技术领域

本发明涉及网络安全技术领域，尤其涉及一种轨道交通网络的零信任保护方法。

背景技术

从传统工控系统架构转变到全零信任架构是一个非常缓慢的过程，应该逐步实现零信任原则、流程变更和保护其数据资产和业务功能的技术解决方案。若轨道交通工控云系统被入侵，不仅影响单个设备或系统本身，而且攻击者会利用云平台和网络进一步攻击系统中的其它设备或系统，造成无法挽回的损失。例如，远程违规操作机电设备、窃取或篡改音视频系统内容、攻击电力供应系统等具体案例。由于入侵的是‘物’或者“数据”，入侵过程极难察觉，而事后造成的设备无法运转和持续的信息泄露与信息被篡改，都是轨道交通运营所无法承受的。

发明内容

如图1，结合轨道交通的应用场景，典型的终端设备安全问题有如下几类：

(1)没有安全保护机制的工控协议

现在绝大多数的轨道交通工控系统对于工控协议在最初设计时，主要考虑了功能的实现，响应效率，设备可靠性等几个方面，安全性的问题考虑比较欠缺。

以Modbus TCP协议为例，尽管已经成为了国际上通用的工业标准，但还是有缺乏设备的认证，授权和加密等安全的防护机制和功能码滥用的问题，导致关键的数据以明文的方式进行传输，敏感的信息外泄。

(2)不可信的终端设备

终端设备的安全能力普遍较低，容易成为攻击者的突破口，攻击者可以利用安全漏洞入侵并控制终端设备，让设备成为不可信任的设备，并从这些设备发起攻击，窃取和篡改数据，污染数据源并向服务器发送伪造的数据信息。

(3)终端设备自身的应用安全风险

若终端设备自身的应用程序存在逻辑缺陷或者编码的漏洞等问题，攻击者可以利用应用的漏洞或缺陷，通过植入病毒等方式入侵和控制终端，并导致应用服务无法工作和失效。

(4)边缘计算所带来的安全挑战

边缘计算网络体系中涉及的智能终端设备等功能实体，因为终端设备分布在不同的地方，具有可移动性，多种方式接入网络等特点。当大量的设备接入时，传统行业的集中式安全认证方式，面临着相当大的性能的压力，尤其是现在采用5G和NB-IoT的物联网设备直接接入工控云端，可能存在攻击者利用终端设备的脆弱节点，从内部攻击云服务平台的风险。通过用户身份相关联的信息存储在不完全可信的智能终端设备，非常容易引发用户的身份信息，地理位置信息等隐私泄露。

2.边缘计算服务器的安全风险

保护边缘计算服务器的最佳方式是阻止其连接到外部网络，将其限制在封闭专用网络中。但是在云边端的体系架构中这种方式是不可能实现的，许多的边云协同和边云数据传输因为建设和成本的要求要依靠公有网络实现连接。除此以外很多情况下，本来安全的网络和节点还必须与已有旧网络进行互操作，而这种老式网络本身的安全性可能要差很多。

如图2，综上所述在轨道交通的数据传输体系中，边缘侧网关要承受来自三个方面的安全攻击：

(1)边缘计算服务器因其暴露于外网或更广域的专网，被攻击者攻击；

(2)攻击者通过云端控制边缘网关，同时也会包含部分误操作引起的“攻击行为”；

(3)来自被攻击的终端设备对边缘计算服务器的攻击。

本发明的目的在于克服以上所述的缺点，提供了一种轨道交通网络零信任的保护方法。

本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。

根据本发明提供的一种轨道交通网络零信任的保护方法，包括：

S10，识别资产，在路网控制中心部署通采器，对轨道交通网络信息的网络安全态势和运行情况做归一与约束；

S20，梳理数据流转路径，确定零信任保护策略判定点；

S30，收集数据，构建零信任保护流量数据库；

S40，数据评估，确定数据评估候选任务流程的顺序；

S50，逐步建立零信任安全防护与通信机制。

在其中一个可选实施方式中，所述识别资产包括根据资产信息对资产以下至少之一进行划分：所属业务、网络区域。

在其中一个可选实施方式中，所述识别资产还包括并根据资产以下至少之一进行管理：基础属性、管理属性、第三方属性，并可根据不同维度进行所述资产信息展示。

在其中一个可选实施方式中，根据轨道交通参与者身份初步判定给予不同的访问权限。

在其中一个可选实施方式中，还包括，根据轨道交通参与者身份设置不同的访问权限。

在其中一个可选实施方式中，还包括，工控设备在首次接入边缘服务器后，需要进行身份注册，需由网关负责将设备身份信息发送至身份公钥密码服务请求注册服务，生成设备私钥。

在其中一个可选实施方式中，还包括，终端设备根据接入请求或授权访问的信任评分判断是否执行。

在其中一个可选实施方式中，还包括，用机器学习算法和预定义规则持续判断超出授权范围行为，并采取以下至少之一：异常报警，数据加密，删除权限，人工处理。

在其中一个可选实施方式中，所述通采器以旁路的方式接入。

本发明方法不依赖轨道交通网络信息中的IP地址或网络的安全性进行身份认证与安全通信，而是对轨道交通中系统中的所有设备、用户、网络流量均不信任，采取动态且持续的验证，依据工作需求开放必要的数据访问活动。通过系统搜集各自网内资产的安全信息，对安全事件进行深层的分析、统计、和关联，及时感知被管理资产的安全情况，定位安全风险，对各类风险资产迅速发现和定位，并及时提供处置方法和建议，协助安全管理员进行事件分析、风险分析、预警管理和应急响应处理。特别适合于轨道交通中所有设备、人员、数据及其流程等的全数据资源进行入侵零信任和安全防护全覆盖的技术部署。

本发明方法在合理部署轨道交通云边端全数据资源和规避信息入侵操作风险后，对于安全风险聚集的终端设备、数据和网络环境进行零信任安全防护，达到全域动态防控效果。对网络访问业务活动进行持续监控，并据此不断更新网络访问实体的信任评分，并根据信任评分高低，赋予实体最小访问权限，采用可变信任评估技术对网络代理提供的多维度实时属性信息，进行实时信任评估和分析，通过持续量化评估网络活动风险等级，为访问授权提供判断依据。能够有效解决云计算因目标集中导致的攻击频率激增的安全威胁。实时收集和分析设备的通信流量、资源使用情况、所处位置、环境信息等综合数据，结合设备操作指令，为设备威胁感知概念模型，以区别正常使用模式和攻击模式，并对攻击行为进行标记和阻止，能实时检测并对抗正在进行中的威胁。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

构成本申请的一部分附图用来提供对本发明的进一步理解，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。

在附图中：

图1为本说明书实施例的轨道交通终端侧设备的安全风险示意图。

图2为本说明书实施例的轨道交通边缘计算服务器的安全风险示意图。

图3为本说明书实施例的数据流转示意图。

图4为本说明书实施例的系统部署设计图。

具体实施方式

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本发明。

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚，完整地描述，显然，所描述的实施例仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”，“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程，方法，系统，产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程，方法，产品或设备固有的其它步骤或单元。

为了使本技术领域的人员更好地理解本说明书中的技术方案，下面将结合本说明书实施例中的附图，对本说明书实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本说明书一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都应当属于本说明书保护的范围。

针对目前的技术状况，结合轨道交通行业云、边、端的系统结构分成终端设备、边缘计算服务器和云平台三个层级。终端设备往往位于车站或区间现场，如水泵、风机、冷冻机组、照明等设备设施。一般而言，每个车站或区间会放置一套或多套边缘计算服务器实现终端设备的运行数据采集，设备控制，系统联动等功能，并将处理后的数据上传到云平台。系统所有的数据和应用均存储和部署在云平台，用户可以通过浏览器或各种客户端访问云平台获取数据和应用服务。零信任的安全保护方法对轨道交通中的所有设备、用户、网络流量均不信任，彻底需要动态、持续的验证，并且仅开放必要的数据访问活动。

根据图3和图4内容，用于解释本发明：

第一步，识别资产，在路网控制中心部署通采器，对轨道交通网络信息的当前网络安全态势和运行情况做归一与约束。

在路网控制中心部署通采器，数据入库将平台不同采集节点和采集端口采集到的数据进行负载均衡后指向数据解析器，将原始数据转译后导入到平台内部。

数据处理层包含数据字段的处理分析，将设施层的多源异构数据进行归一化转换。清点和编目现有的轨道交通资产、参与者、数据报表和业务流程，建立清晰的目录。包括清点和编目现有的轨道交通资产、参与者、数据报表和业务流程，得到主机资产表、数据库资产表、中间件资产表、网络设备资产表、安全设备资产表，资产端口表、资产标准系统表、资产业务系统表、资产状态表、DLP数据表、Http流量数据存储表、人员管理表、业务管理表等。尤其在业务流程和确定参与此流程的参与者、系统之前，全网络信息扫描与漏洞捕获，确保归一与约束数据的完整，将整理后的结果储存在工控数据库、恶意库、原始库、知识库、分析库中，包括病毒库、IP库、域名库、安全事件库、隐患漏洞库等。

根据资产信息对资产所属业务、物理区域、网络区域进行划分，并能够从资产的基础属性、管理属性、第三方属性对资产进行管理，并可根据不同维度进行资产信息展示。支持从日志的源IP、目的IP，主动和被动的收集方式进行资产的识别，并结合漏洞、威胁情报、安全事件与公司资产进行关联。

对各类数据访问请求和安全分析需要用到的数据进行迅速发现和定位，并及时提供处置方法和建议，杜绝由于拒绝访问请求而使得技术流程构建的失败。

第二步部署在负载均衡器、代理服务器，或防火墙器中的策略执行组件和策略引擎进行交互，确定零信任保护策略的判定点。根据轨道交通参与者身份初步判定给予不同的访问权限，例如普通乘车用户仅能根据需要单次登录的需要访问车次信息与购票系统，监控室值班人员仅能够通过安防系统浏览实时的站内监控；对于系统的开发运维人员应该适当放宽权限，但每一次的访问行为都要有审核再给予授权。

登录系统时，使用用户名和强密码认证，双因子认证至少支持短信验证码。工控设备在首次接入边缘服务器后，需要进行身份注册，需由网关负责将设备身份信息发送至身份公钥密码服务请求注册服务，生成设备私钥。为防止终端设备存在的克隆攻击等安全隐患，设备私钥应存储在安全性等级更高的网关。

出于对工业互联网部分终端设备功能设定和云服务器存储压力的考虑，部分终端设备并不一直与云端保持长连接传输数据(例如烟雾报警器，当烟雾的浓度超过阈值时，才会连接网关上传异常数据)，还有些设备为了节能会频繁进入休眠状态。当设备每次重新连接网关时，都需要进行身份认证。

系统支持多个管理员对其进行管理操作，不同的管理员可以设置不同的操作权限。系统内置三权分立管理模式，对应三种管理员：系统管理员、安全管理员和审计员。在三权分立的管理模式下，预置系统管理员具有基础网络配置、系统配置、用户管理等其他非安全策略的管理权限；预置安全管理员具有配置安全策略的权限；预置审计员则具有设置和查看所有管理员的行为日志以及系统业务日志，并提供报警提示的权限。三类管理员管理权限相互独立，相互制约。

终端设备的接入请求，授权访问是否能被执行，其依据在于其每次请求的信任评分。终端设备不允许直接访问资源，所有的访问授权均由访问代理实现。访问代理根据用户信息、用户所属组、设备信息、设备证书以及信任接口综合不同数据源动态推导出的信任评分，做出是否授权本次访问请求的最终决定。降低终端设备对外暴露而带来的安全问题。

第三步在访问申请、授权、进行的过程中，通采器不断捕获和分析轨道交通系统设备之间的网络通信数据包流量，构建零信任保护通信流量数据库。在第一步的基础上进一步完善资产数据、日志数据、流量数据、情报数据、事件数据等海量数据的存储，便于对安全数据进行集中管理和分析。零信任保护通信流量数据库是策略引擎和信任引擎的权威数据源，对于轨道交通网络信息动态授权系统的授权判定和决策过程起到预测与辨析作用。

管理重要数据流的路径，如图3

①子系统与采集器

子系统收集各类安全设备日志的方式主要通过Syslog进行接收规则匹配类型探针的日志，对于流量会话日志等数据量偏大的日志则采用Kafka消息队列直接进行对接。

②子系统与集团数据中心

子系统将事件处置结果、告警信息和资产信息、情报信息等存储至数据中心，为平台统一展示提供数据支撑。

第四步是零信任数据评估。系统管理员根据日志数据研究那些执行建议策略后被拒绝的网络流量，确定基于准则的算法或基于信任分数权重的算法，对整个轨道交通网络信息系统的网络层次、管理环节、受影响的用户范围和涉及的资源状态进行评估，确定数据评估候选任务流程的顺序。

具体包括信息系统分类、安全控制选择、安全控制措施评估、安全控制措施评估、信息系统授权和安全控制监视。根据评估结论，将低风险(地铁站内空调系统优先于列车控制系统)与涉及部门较少(采购系统优先于地铁专用电话系统)的流程率先进行零信任安全防护并构建零信任体系架构。当零信任保护状态发生变化时(如某系统管理员试图在咖啡厅而非工作环境登录系统账号)，轨道交通网络信息的数据包流量发生动态变化。轨道交通设备网络系统启动零信任风险，将低风险流程向高风险流程过渡。通过流量数据库的分析与预判，来调整轨道交通参与者和资产、获得访问权限需要。

子系统与安全设备

子系统支持在事件响应的过程中通过API指令接口调用的形式对IPS、防火墙和抗DDOS等具备防护功能的设备下达IP阻断策略。

子系统与工单系统

子系统与工单系统通过API接口进行数据对接，定时与工单系统进行心跳校验，当安全事件或脆弱性事件发生后经由运维人员在平台当中进行研判后，推送事件消息、事件详情和事件处置建议等数据至工单系统。工单系统在接收到事件消息后，自动开启工单流程，并根据事件当中附带的责任人信息自动通知到责任人，由责任人在系统规定时间内进行事件处置。

子系统与OA系统

子系统与OA系统通过API接口进行数据对接，定时与工单系统进行心跳校验，当安全事件、平台内部事件或脆弱性事件发生后经由运维人员在平台当中进行研判后，推送事件消息、事件详情和事件处置建议等数据至OA系统。工单系统在接收到事件消息后，自动开启工单流程，并根据事件当中附带的相关人信息自动通知到相关人，相关人在接收到OA流程通知后，直接或协同参与到事件处置的工作当中。

平台与集团数据中心

平台从数据中心中读取事件处置结果、告警信息、资产信息和情报信息等，为平台统一展示提供数据支撑。

大屏负责统一展示所有区域的安全态势、安全风险、安全事件、处置结果等信息。

访问过程中持续受到监督，系统以部门、个人、资产、资产群等为单位建立多维度动态行为基线，关联用户与资产的行为，用机器学习算法和预定义规则持续找出严重偏离基线的异常行为。对于超出授权范围的行为进行异常报警，数据加密，甚至删除权限，交由人工处理，访问后留下记录。

对终端设备网络访问业务活动进行持续监控，并据此不断更新网络访问实体的信任评分，并根据信任评分高低，赋予实体最小访问权限，采用可变信任评估技术对网络代理提供的多维度实时属性信息，进行实时信任评估和分析，通过持续量化评估网络活动风险等级，为访问授权提供判断依据。能够有效解决云计算因目标集中导致的攻击频率激增的安全威胁。

采用机器学习、人工智能等技术，基于JDL(Joint Directors of Laboratories)和Endsley两种模型，实时收集和分析设备的通信流量、资源使用情况、所处位置、环境信息等综合数据，结合设备操作指令，为设备威胁感知概念模型，以区别正常使用模式和攻击模式，并对攻击行为进行标记和阻止，能实时检测并对抗正在进行中的威胁。

规划数据安全的策略

平台的日志数据、资产及结构数据、文档数据、反映安全状况的分析数据等都是轨道交通最重要且敏感的数据，因此数据安全在平台建设和安全管理中是相当重要的。

①数据采集安全：应具备应用数据接口访问控制能力。

②数据传输安全：应具备数据传输加解密、网络安全控制等能力。

③数据存储安全：应具备数据存储加解密、数据备份恢复、存储访问控制及安全审计等能力。

④数据处理安全：应具备数据操作审计、重要数据加密、接口访问控制等能力。

⑤数据共享安全：应具备用户身份认证、第三方用户的数据访问控制、重要数据加密、数据防泄漏等能力。

⑥数据销毁安全：应具备数据销毁机制、数据销毁操作审计等能力。

第五步是逐步建立零信任安全防护与通信机制。

轨道交通每条网络流量都经过零信任认证和授权，然后通过使用配置管理工具，重新配置网络参数强制执行通信的访问控制技术(例如配置主机之间的加密参数或配置主机防火墙的访问控制规则)，实施在轨道交通网络信息设备之间的通信。在零信任策略判定点决定授权后，将在设备代理和相关的资源网关之间配置通信通道。

部署零信任的产品和设备

如图4，通采器部署在路网控制中心，以旁路的方式接入，不影响网络和业务系统。开通安全管理子系统与各自通采器的网络访问权限。

信号系统与通采器之间使用防火墙(可以部署策略判定逻辑组件)做逻辑隔离，为了尽可能降低被攻击的可能性，只允许信号系统发起访问请求。支持服务器集群技术。支持虚拟化部署的能力，并支持物理机、虚拟机的混合部署环境。

不断提高零信任的效能

为大多数访问授予权限，将目前报告的日志和零信任策略进行对比，逐步贯彻零信任策略的所有原则，由宽松逐步收紧。在选定部分流程完成迁移到零信任架构的过程后，应重复以上过程，确定下一阶段迁移的流程，采用最小授权的策略，直到整个系统都完成迁移。需要注意，在这个过程中，有可能同时进行智能化升级，如果重要用户、资产、流程发生变更，需要重新评估正在运行的零信任架构。运维阶段持续监控网络的流量和异常事件，并对异常事件进行人为或自动化的判断，不断改进，提高零信任的效能。

本发明方法不依赖轨道交通网络信息中的IP地址或网络的安全性进行身份认证与安全通信，而是对轨道交通中系统中的所有设备、用户、网络流量均不信任，采取动态且持续的验证，依据工作需求开放必要的数据访问活动。通过系统搜集各自网内资产的安全信息，对安全事件进行深层的分析、统计、和关联，及时感知被管理资产的安全情况，定位安全风险，对各类风险资产迅速发现和定位，并及时提供处置方法和建议，协助安全管理员进行事件分析、风险分析、预警管理和应急响应处理。特别适合于轨道交通中所有设备、人员、数据及其流程等的全数据资源进行入侵零信任和安全防护全覆盖的技术部署。

本发明方法在合理部署轨道交通云边端全数据资源和规避信息入侵操作风险后，对于安全风险聚集的终端设备、数据和网络环境进行零信任安全防护，达到全域动态防控效果。对网络访问业务活动进行持续监控，并据此不断更新网络访问实体的信任评分，并根据信任评分高低，赋予实体最小访问权限，采用可变信任评估技术对网络代理提供的多维度实时属性信息，进行实时信任评估和分析，通过持续量化评估网络活动风险等级，为访问授权提供判断依据。能够有效解决云计算因目标集中导致的攻击频率激增的安全威胁。实时收集和分析设备的通信流量、资源使用情况、所处位置、环境信息等综合数据，结合设备操作指令，为设备威胁感知概念模型，以区别正常使用模式和攻击模式，并对攻击行为进行标记和阻止，能实时检测并对抗正在进行中的威胁。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (9)

1.一种轨道交通网络零信任的保护方法，其特征在于，

S10，识别资产，在路网控制中心部署通采器，对轨道交通网络信息的网络安全态势和运行情况做归一与约束；

S20，梳理数据流转路径，确定零信任保护策略判定点；

S30，收集数据，构建零信任保护流量数据库；

S40，数据评估，确定数据评估候选任务流程的顺序；

S50，逐步建立零信任安全防护与通信机制。

2.根据权利要求1所述的一种轨道交通网络零信任的保护方法，其特征在于，所述识别资产包括根据资产信息对资产以下至少之一进行划分：所属业务、网络区域。

3.根据权利要求2所述的一种轨道交通网络零信任的保护方法，其特征在于，所述识别资产还包括并根据资产以下至少之一进行管理：基础属性、管理属性、第三方属性，并可根据不同维度进行所述资产信息展示。

4.根据权利要求1所述的一种轨道交通网络零信任的保护方法，其特征在于，还包括，根据轨道交通参与者身份初步判定给予不同的访问权限。

5.根据权利要求1所述的一种轨道交通网络零信任的保护方法，其特征在于，还包括，根据轨道交通参与者身份设置不同的访问权限。

6.根据权利要求1所述的一种轨道交通网络零信任的保护方法，其特征在于，还包括，工控设备在首次接入边缘服务器后，进行身份注册，网关将设备身份信息发送至身份公钥密码服务请求注册服务，生成设备私钥。

7.根据权利要求1所述的一种轨道交通网络零信任的保护方法，其特征在于，还包括，终端设备根据接入请求或授权访问的信任评分判断是否执行。

8.根据权利要求1所述的一种轨道交通网络零信任的保护方法，其特征在于，还包括，用机器学习算法和预定义规则持续判断超出授权范围行为，并采取以下至少之一：异常报警，数据加密，删除权限，人工处理。

9.根据权利要求1所述的一种轨道交通网络零信任的保护方法，其特征在于，所述通采器以旁路的方式接入。

Images