CN117294459A - 基于零信任的轨道交通数据平台的安全控制方法 - Google Patents

Abstract

本发明提供了基于零信任的轨道交通数据平台的安全控制方法。所述方法包括：收集访问数据，包括：建立零信任访问IP库，建立零信任域名库、信任访问日志动态关联补齐、建立信任评估属性或条件库；以及使用所收集的访问数据，基于零信任执行安全控制过程，所述安全控制过程包括：建立安全通信网络、设置安全区域边界、设置安全计算环境和设置安全管理中心。本发明通过采用零信任理念，针对超大规模轨道交通信息化安全建设，实现了轨道交通数据平台在实时交互评估、输入输出访问、信任授权控制的安全控制目的。

Description

基于零信任的轨道交通数据平台的安全控制方法

技术领域

本发明涉及轨道交通数据安全领域，特别涉及基于零信任的轨道交通数据平台的安全控制方法。

背景技术

轨道交通业务管理数据化和信息安全智能化的当前与未来，网络可靠与数据安全成为轨道交通全行业的卡脖子问题。我国充分借鉴国际成熟等级保护管理理念，建立信息系统网络安全等级保护制度，依据《信息安全技术——网络安全等级保护基本要求》(GB/T22239-2019)建立符合企业运营特点的自主化轨道交通工控云平台(下称工控云平台)。该工控云平台有着统一设备设施数据接口、标准化数据格式等显著优点，可以引入工业互联网、物联网设备等各种位于车站或区间现场的终端设备(如水泵、风机、冷冻机组和照明等设备设施)至整个工控云平台网络内互联互通。

但面对特权用户数量不断增加、开放接口组件也越来越多、有更高访问权限的系统管理员易被钓鱼攻击等一系列潜在的风险问题，使得现有既有基于物理位置的应用、数据和设备的信用体系不再适用于新的轨道交通智慧应用场景。基于数据的攻击已经成为黑客攻击物联网平台的主流方式，如远程违规操作机电设备、窃取或篡改音视频系统内容、攻击电力供应系统等。由于数据入侵的过程极难被察觉，造成的短效损害与长效损害影响重大。

而同时在轨道交通智慧应用场景中，由于接入工控云平台的设备种类过于多样化，且实际在车站与区间站场的终端设备的产地、品牌、型号众多，其各自装载的操作系统也各不相同，传统的安全加固软件无法一一适配兼容。而且不同设备统一停机更新维护也会耗时极长，如果不同设备的软件均单独适配并且保持整个工控云平台的同步更新，对于整个工控云平台的稳定运行是一个巨大的挑战，稍有差错就会导致整个工控云平台的安全暴露在攻击者面前。攻击者可以比以往更容易侵入工控云平台，攻击能够造成在轨道交通工控系统中所有的车辆、车站、轨道区间等设备执行错误的控制指令。这些故障轻则造成设备或系统瘫痪导致财产损失，重则会外泄系统中的关键数据，甚至造成人民群众生命安全事故，这带来的结果对于整个工控云平台和轨道交通数据系统来说都将是难以承受的。

发明内容

为了解决工控云平台在接入大规模的物联网设备而无法使用传统的加固软件无法一一适配与兼容的问题，本发明创新性的借助零信任的理念，将以往的终端设备验证方式从适配于终端设备的加固软件，更换成位于工控云上的受控轨道交通数据平台，并且由受控轨道交通数据平台统一控制所有其中所有的终端设备的访问权限与输入数据，达到统一安全控制的目的的。

本发明解决其技术问题所采用的技术方案是：

基于零信任的轨道交通数据平台的安全控制方法，包括以下步骤：

S1)收集访问数据，包括：建立零信任访问IP库，建立零信任域名库、信任访问日志动态关联补齐、建立信任评估属性或条件库；

S2)使用所收集的访问数据，基于零信任执行安全控制过程，所述安全控制过程包括：建立安全通信网络、设置安全区域边界、设置安全计算环境和设置安全管理中心。

进一步地，所述第一步中建立零信任访问IP库包括：

建立零信任访问白名单IP库与零信任访问黑名单IP库，将预设IP按照类别离线导入所述零信任访问白名单IP库与所述零信任访问黑名单IP库，对所述预设IP进行按照类别分别显示。

进一步地，所述第一步中建立零信任域名库包括：

建立零信任白名单域名库与零信任黑名单域名库，将预设域名库按照类别离线导入所述零信任白名单域名库与所述零信任黑名单域名库，对所述预设域名库进行按照类别分别显示。

进一步地，所述第一步中信任访问日志动态关联补齐包括：

创建信任访问日志的动态关联表，在所述信任访问日志被提取、转换和加载的过程中，检测所述信任访问日志记录的访问所述轨道交通数据平台的用户信息数据是否缺失部分字段，并对检测到的所述用户信息数据的缺失字段，在所述动态关联表中进行查找和匹配以补齐所述用户信息数据的缺失信息，使所述信任访问日志记录完整。

进一步地，所述第一步中建立信任评估属性或条件库包括：

建立信任评估属性库和信任评估条件库，将预设恶意信息导入所述信任评估属性库和信任评估条件库，所述预设恶意信息包括恶意IP地址和恶意URL，所述信任评估属性库和信任评估条件库用于充当整个轨道交通数据平台的策略决策点，所述信任评估属性库和信任评估条件库支持将所述预设恶意信息在线与离线导入。

进一步地，所述第二步中建立安全通信网络包括：

部署网络架构，使用所述策略决策点和策略执行点按细粒度划分所述轨道交通数据平台的不同应用区域边界，且各个所述应用区域边界使用应用网关隔离，所述轨道交通数据平台采用云平台和私有化部署；

控制通信传输，使用TLS算法对轨道交通数据平台内需要传输的数据进行双向加密，数据经过加固盾识别并通过加固盾加密传输，传输完毕使用TLS算法对数据进行双向解密。

进一步地，所述第二步中设置安全区域边界包括：

边界防护，通过在所述应用区域边界设置受控接口，使用户仅通过所述受控接口访问轨道交通数据平台和数据通信，且所述受控接口设置有控制器，所述控制器对用户信息数据进行身份验证和设备验证；

访问控制，默认对所有访问所述轨道交通数据平台的设备均不信任，每当所述设备访问时，验证用户设备信息，并给予对应最小化访问权限；

入侵防范，所述控制器通过受控接口实时监控所有资源的日志和异常行为，对所述异常行为进行监测、分析和记录，检测、防止和限制内部和外部网络攻击行为，所述异常行为包括ModbusTCP异常指令、内部网络非法访问和外部网络非法访问；

安全审计，审计日志记录轨道交通数据平台内的日期、时间、用户和事件详情，且所述审计日志会审计所有的用户访问日志，所述审计日志包括系统用户的操作日志、运营中心的用户异常登录日志、ModbusTCP指令审计日志和网络流量审计日志。

进一步地，所述第二步中设置安全计算环境包括：

身份鉴别，访问轨道交通数据平台的用户进行身份标识，所述策略决策点多因素认证该用户信息数据，所述策略执行点与所述控制器交互信息并支持多因素认证；

访问控制，所述策略决策点和所述策略执行点对所有的用户访问连接都会通过所述控制器进行授权和校验；

安全审计，所述安全审计记录每个用户、重要用户行为和重要安全事件，且所述应用区域边界记录审计日志；

入侵防范，所述应用区域边界默认关闭所有端口，拒绝一切连接；

数据完整性，所述加固盾之间的数据传输加密与加密高保真；

数据安全性，采用双向TLS加密传输通过所述受控接口的所有数据，双向TLS加解密所述数据。

进一步地，所述第二步中设置安全管理中心包括：

在所述轨道交通数据平台内划分单独的区域设置安全管理中心，所述安全管理中心用于集中管理与控制所有的核心数据、网关和应用区域边界客户端。所述核心数据包括用于数据传输加密与解密的加固盾、非安全物理操作的日志记录、加固盾的硬件和流量检测、运营中心的硬件和流量检测、设备监控场景下的历史和实时数据。

进一步地，所述轨道交通数据平台包括安全管理中心、加固盾、零信任IP库、零信任域名库、审计日志、信任访问日志、信任评估属性库和信任评估条件库，且均设置有应用区域边界。

本发明具有如下有益效果：

本发明针对超大规模轨道交通信息化安全建设，匹配云计算超大规模、虚拟化、高可靠性、通用性、高可伸缩性、按需服务的轨道交通信息平台组织与管理，创新性地提出安全零信任评估在访问名单、访问域名库、日志动态关联补齐及其形成的系统性零信任安全控制方法，并通过外挂安全网关的方式终端设备的安全加固实现安全网关的身份认证和安全加固应具备设备身份认证、访问控制、设备行为分析和设备信用评分等相关功能。实现了轨道交通数据平台在实时交互评估、输入输出访问、信任授权控制的防护目的，在网关利用多种条件判断访问轨道交通数据平台的控制权限与数据读取许可，实现在网关处统一安全管理控制轨道交通系统数据平台与平台下所有终端设备。

附图说明

为了更清楚地说明本发明实施例或现有技术的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中地附图仅仅是本发明地一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动地前提下，还可以根据这些附图获得其他的附图。

图1阐述了本发明零信任的轨道交通数据平台的安全控制方法的步骤的流程图。

图2阐述了本发明收集访问数据步骤和安全控制过程步骤的流程图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为了保障整个工控云平台网络的可靠运行与轨道交通数据的安全访问，结合本发明采用了零信任这一新兴理念的技术方案。零信任是一种对于任何区域与请求均保持不信任的状态，需要对其进行身份合理授权以及持续的信任评估的理念。根据美国国家标准与技术研究院(National Institute of Standards and Technology,NIST)提出的标准零信任模型，零信任的访问控制分为策略决策点(Policy Decision Points,PDP)和相应的策略执行点(Policy Enforcement Points,PEP)。而零信任架构则是基于数据的安全，从各方面采集多种数据，包括网络数据、安全数据、终端数据、身份数据等，利用这些数据做信任的计算和决策，真正动态的判断全网安全态势，最终做好决策后再交给部署在整个数字架构中各种各样的决策执行点，来决定是否允许此次访问以及能够访问到何种程度。当用户或计算机在访问企业资源时，需要通过策略决策点和策略执行点授予访问权限。在零信任架构下，资源访问控制策略是针对访问者身份的确认，并通过以数据资源为核心的安全策略得到正确和连续性的认证。基于轨道交通数据安全的零信任加固评估，建立在软件定义边界、微隔离、身份识别与访问管理等整体确认与授权的基础上，构建更高等级的安全防护方法。

为了解决工控云平台在接入大规模的物联网设备而无法使用传统的加固软件无法一一适配与兼容的问题，本发明提出了一种零信任的轨道交通数据平台的安全控制方法。

图1阐述了本发明一实施例的基于零信任的轨道交通数据平台的安全控制方法的步骤的流程图，如图1所示，本发明提出的基于零信任的轨道交通数据平台的安全控制方法，包括以下步骤：

S1)收集访问数据，包括：建立零信任访问IP库，建立零信任域名库、信任访问日志动态关联补齐、建立信任评估属性或条件库；

S2)使用所收集的访问数据，基于零信任执行安全控制过程，所述安全控制过程包括：建立安全通信网络、设置安全区域边界、设置安全计算环境和设置安全管理中心。

图2阐述了本发明一实施例的数据准备收集与使用所收集的访问数据基于零信任执行安全控制过程的步骤的流程图，如图2所示。下面结合图2进一步说明本发明提出的基于零信任的轨道交通数据平台的安全控制方法的具体步骤。

S1)收集访问数据，包括：建立零信任访问IP库，建立零信任域名库、信任访问日志动态关联补齐、建立信任评估属性或条件库。

所述建立零信任访问IP库包括建立零信任访问白名单IP库与零信任访问黑名单IP库，将预设IP按照类别离线导入所述零信任访问白名单IP库与所述零信任访问黑名单IP库，对所述预设IP进行按照类别分别显示。

在一实施例中，建立零信任IP库包含了零信任白名单IP库以及零信任黑名单IP库，所述IP既指狭义上的IPV4地址，也同样可以代指IPV6地址。分别在对应IP库内导入预设的IP，例如：内网设备的IP归类进白名单，而常发垃圾信息、恶意骚扰和黑客恶意攻击的肉鸡计算机。所述黑名单IP库进行查询、导入、下载模板、新增、删除、清楚等操作，也支持对查询结果的展示，包括恶意IP地址、严重级别、威胁类型、情报来源、国家、发现时间、操作等。支持查看当前恶意IP地址信息的总量，支持从多个条件进行恶意IP地址相关信息的查询操作。由于核心网的单向传输限制，仅支持将对应IP离线导入进IP库。

并且基于零信任理念，在访问控制方面被分为策略决策点(PDP)和策略执行点(PEP)来控制整个轨道交通数据平台的访问、授权和校验。PDP和PEP会对所有用户的访问连接进行授权校验。每当一个终端设备进行访问轨道交通数据平台，轨道交通数据平台便会根据终端的IP地址去匹配IP库内的IP名单。若IP地址已存在于黑名单中，则此终端设备会被拒绝访问轨道交通数据平台，且该IP地址的访问记录被记录在黑名单IP库和信任访问日志中；若IP地址已存在于白名单中，则默认该终端设备为内网设备，如站台内的灯光控制设备、站厅的闸机、水泵、风机和冷冻机组等，则此时默认允许该终端设备访问轨道交通数据平台；若IP地址不存在于所述IP库内的任一IP名单中，如乘客的手机或者是其他设备，则会根据PDP和PEP决定是否允许该终端设备访问轨道交通信息平台，并根据最小化访问的原则，授予该终端设备予以对应的权限。当登录用户访问轨道交通数据平台的时候，需要进行身份标识与鉴别，基于多个因素进行身份认证。为保证登录用户的身份不被冒用，在登录用户注册设置密码的复杂度有强制要求，支持PDP和PEP多因素认证，且PEP能与多种认证系统交互信息。

所述建立零信任域名库包括建立零信任白名单域名库与零信任黑名单域名库，将预设域名库按照类别离线导入所述零信任白名单域名库与所述零信任黑名单域名库，对所述预设域名库进行按照类别分别显示。

在一实施例中，建立零信任访问域名库的操作与零信任访问IP库一致，所述零信任域名库包含了零信任白名单域名库以及零信任黑名单域名库。轨道交通数据平台能够对零信任黑名单域名库的恶意域名信息进行新增、删除、下载模版、导出、导入、清除等操作，也支持对查询结果进行展示，包括恶意域名、严重级别、威胁类型、情报来源、发现时间、操作等。支持显示恶意域名总量、自定义数量、默认数量、更新时间等，支持从多个条件查询恶意域名信息。由于核心网的单向传输限制，仅支持将对应域名离线导入域名库。

所述信任访问日志动态关联补齐包括创建信任访问日志的动态关联表，在所述信任访问日志被提取、转换和加载的过程中，检测所述信任访问日志记录的访问所述轨道交通数据平台的用户信息数据是否缺失部分字段，并对检测到的所述用户信息数据的缺失字段，在所述动态关联表中进行查找和匹配以补齐所述用户信息数据的缺失信息，使所述信任访问日志记录完整。

在一实施例中，信任访问日志会始终记录所有终端设备的数据，如遇到访问轨道交通数据平台的终端设备信息变更部分项，会借助动态关联表内已有的数据进行查询和关联，例如，DHCP分配的IP地址，可能随着时间的变化，IP地址对应的终端及终端登录用户名称都会发生变化，因此为了后续的安全事件调查，系统通过动态补全功能，实时维护相关属性的动态关联表，并在日志ETL(Extraction-Transformation-Loading)时，通过和动态关联表对应，对一些特殊属性实现智能动态补全。

所述建立信任评估属性或条件库包括：建立信任评估属性库和信任评估条件库，将预设恶意信息导入所述信任评估属性库和信任评估条件库，所述预设恶意信息包括恶意IP地址和恶意URL，所述信任评估属性库和信任评估条件库用于充当整个轨道交通数据平台的策略决策点，所述信任评估属性库和信任评估条件库支持将所述预设恶意信息在线与离线导入。

在一实施例中，信任评估属性库和信任评估条件库中会导入各种威胁情报，如恶意IP地址、恶意URL、恶意样本信息、恶意域名、垃圾邮件。信任评估属性库和信任评估条件库会成为策略决策点(PDP)和策略执行点(PEP)的一部分。信任评估属性库和信任评估条件库支持以对各类威胁情报进行新增、删除、查询及导入导出、下载模板等操作，且支持在线和离线导入的方式。

S2)使用所收集的访问数据，基于零信任执行安全控制过程，所述安全控制过程包括：建立安全通信网络、设置安全区域边界、设置安全计算环境和设置安全管理中心。

所述建立安全通信网络包括部署网络架构，使用所述策略决策点和策略执行点按细粒度划分所述轨道交通数据平台的不同应用区域边界，且各个所述应用区域边界使用应用网关隔离，所述轨道交通数据平台采用云平台和私有化部署。

在一实施例中，通过PDP和PEP细粒度划分应用区域。划分时不将重要网络区域部署在应用区域边界，且边界防护需要始终验证终端设备的ID合法性、以及通过白名单的IP访问轨道交通数据平台的也会登记至白名单日志；而对于恶意的非法访问则会进行有效拦截，如短时间内的大规模DDOS，受控接口的控制器会拒绝该IP和该域名的一切访问。而对于一切所有的内部非法访问和外部非法访问，均会有对应日志予以记录，后期供轨道交通数据平台管理员查验。

控制通信传输，使用TLS算法对轨道交通数据平台内需要传输的数据进行双向加密，数据经过加固盾识别并通过加固盾加密传输，传输完毕使用TLS算法对数据进行双向解密。

在一实施例中，为了满足整个通信过程的安全性与完整性，本安全控制方法使用了国密算法，并利用了TLS算法进行双向加解密，具体通信传输过程如下：先使用TLS算法对经过受控接口的数据包进行双向加密；所有数据包须经过加固盾识别，识别完成后由加固盾加密传输；传输完毕，TLS算法对数据包进行双向解密。在数据的完整性方面，加固盾之间的数据传输和加解密均需满足高保真的要求；且加密数据流量需保持连续性不能出现丢包的情况；如遇到安全异常事件，如ID、时间、流量等异常，对安全异常事件予以进行记录并由平台弹出警告提示；而针对EMCS场景，则需要考虑网络层的访问数据的环境适配性。在数据的安全性方面，除了使用TLS算法为整个通信传输过程进行双向加解密以外，数据库的查询、访问和本身都具有保密机制；安全管理中心服务器和加固盾服务器文件的访问与修改也会被记录。

所述设置安全区域边界包括边界防护，通过在所述应用区域边界设置受控接口，使用户仅通过所述受控接口访问轨道交通数据平台和数据通信，且所述受控接口设置有控制器，所述控制器对用户信息数据进行身份验证和设备验证；访问控制，默认对所有访问所述轨道交通数据平台的设备均不信任，每当所述设备访问时，验证用户设备信息，并给予对应最小化访问权限；

在一实施例中，其中基于用户身份与授权精细化、颗粒度访问控制所有控制还包括了信任判识下以及非信任访问或被拦截的设备IP获取。IP属性数据会被记录至日志，应用端口的开关也会被记录，同时安全控制予以报警提示。任一所述终端设备均会通过在轨道交通数据平台的应用区域边界上的受控接口进行设备的访问和数据通信，并且除所述受控接口外的应用区域边界关闭一切端口且拒绝一切访问。而所述受控接口上的控制器始终默认不信任所有所述终端设备，每一次访问轨道交通数据平台均需进行终端设备的身份认证和设备认证。且无论控制器是否授权终端设备允许访问轨道交通数据平台，其访问记录，如该设备的终端ID、该设备的IP地址、IP地址所述国家、访问平台时间以及处理结果均会记录在信任访问日志中。

入侵防范，所述控制器通过受控接口实时监控所有资源的日志和异常行为，对所述异常行为进行监测、分析和记录，检测、防止和限制内部和外部网络攻击行为，所述异常行为包括ModbusTCP异常指令、内部网络非法访问和外部网络非法访问。

在一实施例中，应用区域边界的受控接口的控制器会主动检测、防止和限制内外部的网络攻击行为，并且能够通过控制器监控所有资源的访问日志以及异常行为，这其中包括认证加固盾的安全证书认证是否过期，还有ModbusTCP发出异常指令以及其识别记录；并将所述ModbusTCP异常指令与指令库进行对比弹出对应的报警提示；同时对于内部非法访问和外部非法访问也进行报警提示。

安全审计，审计日志记录轨道交通数据平台内的日期、时间、用户和事件详情，且所述审计日志会审计所有的用户访问日志，所述审计日志包括系统用户的操作日志、运营中心的用户异常登录日志、ModbusTCP指令审计日志和网络流量审计日志。

在一实施例中，应用区域边界会详细记录审计日志，审计日志会记录每一个用户、重要用户行为和重要安全事件，且审计日志默认记录所有用户的访问日志，所述用户访问日志包括日期、时间、用户和事件详情信息。除了所述用户访问日志，还会记录系统用户的操作日志、运营中心用户异常登录日志、ModbusTCP指令审计日志、网络流量审计日志。

所述设置安全计算环境包括身份鉴别，访问轨道交通数据平台的用户进行身份标识，所述策略决策点多因素认证该用户信息数据，所述策略执行点与所述控制器交互信息并支持多因素认证；访问控制，所述策略决策点和所述策略执行点对所有的用户访问连接都会通过所述控制器进行授权和校验；安全审计，所述安全审计记录每个用户、重要用户行为和重要安全事件，且所述应用区域边界记录审计日志；入侵防范，所述应用区域边界默认关闭所有端口，拒绝一切连接；数据完整性，所述加固盾之间的数据传输加密与加密高保真；以及数据安全性，采用双向TLS加密传输通过所述受控接口的所有数据，双向TLS加解密所述数据。

所述设置安全管理中心包括在所述轨道交通数据平台内划分单独的区域设置安全管理中心，所述安全管理中心用于集中管理与控制所有的核心数据、网关和应用区域边界客户端。所述核心数据包括用于数据传输加密与解密的加固盾、非安全物理操作的日志记录、加固盾的硬件以及流量检测、运营中心的硬件以及流量检测、设备监控场景下的历史和实时数据。

所述轨道交通数据平台包括安全管理中心、加固盾、零信任IP库、零信任域名库、审计日志、信任访问日志、信任评估属性库和信任评估条件库，且均设置有应用区域边界。

综上所述，在收集准备数据这一步，实现了对于零信任IP库、零信任域名库、信任访问属性库和信任访问条件库的搭建，完成了归类用户设备是否授信的步骤；在安全控制过程中，则是从多个维度实现了整个轨道交通数据平台的安全控制，从所有设备访问平台都需要经验证并确认身份，以及平台默认对所有设备都不予以信任，贯彻了零信任永不相信，持续验证这一理念；而对于所有的用户访问，包括平台内部的操作都会被记录在审计日志上，便于平台后期管理员实时查询；而通信传输加密则是保证了访问轨道交通数据平台的信息完整性和安全性，并且经由专属的加固盾来加密传输；设立安全管理中心则是对所有敏感信息统一实现闭环控制闭环管理，保证隐私权限不外泄露。

如本申请和权利要求书中所示，除非上下文明确提示例外情形，“一”、“一个”、“一种”和/或“该”等词并非特指单数，也可包括复数。一般说来，术语“包括”与“包含”仅提示包括已明确标识的步骤和元素，而这些步骤和元素不构成一个排它性的罗列，方法或者设备也可能包含其他的步骤或元素。

在一个或多个示例性实施例中，所描述的功能可在硬件、软件、固件或其任何组合中实现。如果在软件中实现为计算机程序产品，则各功能可以作为一条或更多条指令或代码存储在计算机可读介质上或藉其进行传送。计算机可读介质包括计算机存储介质和通信介质两者，其包括促成计算机程序从一地向另一地转移的任何介质。存储介质可以是能被计算机访问的任何可用介质。作为示例而非限定，这样的计算机可读介质可包括RAM、ROM、EEPROM、CD-ROM或其它光盘存储、磁盘存储或其它磁存储设备、或能被用来携带或存储指令或数据结构形式的合意程序代码且能被计算机访问的任何其它介质。任何连接也被正当地称为计算机可读介质。例如，如果软件是使用同轴电缆、光纤电缆、双绞线、数字订户线(DSL)、或诸如红外、无线电、以及微波之类的无线技术从web网站、服务器、或其它远程源传送而来，则该同轴电缆、光纤电缆、双绞线、DSL、或诸如红外、无线电、以及微波之类的无线技术就被包括在介质的定义之中。如本文中所使用的盘(disk)和碟(disc)包括压缩碟(CD)、激光碟、光碟、数字多用碟(DVD)、软盘和蓝光碟，其中盘(disk)往往以磁的方式再现数据，而碟(disc)用激光以光学方式再现数据。上述的组合也应被包括在计算机可读介质的范围内。

最后说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本技术方案的宗旨和范围，其均应涵盖在本发明的权利要求范围当中。本领域技术人员能根据需求，采用各种已有的软件工具来对策略决策点(PDP)和策略执行点(PEP)进行开发并加以实现。

Claims (10)

1.基于零信任的轨道交通数据平台的安全控制方法，所述方法包括：

S1)收集访问数据，包括：建立零信任访问IP库，建立零信任域名库、信任访问日志动态关联补齐、建立信任评估属性或条件库；

S2)使用所收集的访问数据，基于零信任执行安全控制过程，所述安全控制过程包括：建立安全通信网络、设置安全区域边界、设置安全计算环境和设置安全管理中心。

2.如权利要求1所述的基于零信任的轨道交通数据平台的安全控制方法，其特征在于，建立零信任访问IP库进一步包括：建立零信任访问白名单IP库与零信任访问黑名单IP库，将预设IP按照类别离线导入所述零信任访问白名单IP库与所述零信任访问黑名单IP库，对所述预设IP进行按照类别分别显示。

3.如权利要求2所述的基于零信任的轨道交通数据平台的安全控制方法，其特征在于，建立零信任域名库进一步包括：建立零信任白名单域名库与零信任黑名单域名库，将预设域名库按照类别离线导入所述零信任白名单域名库与所述零信任黑名单域名库，对所述预设域名库进行按照类别分别显示。

4.如权利要求3所述的基于零信任的轨道交通数据平台的安全控制方法，其特征在于，信任访问日志动态关联补齐进一步包括：创建信任访问日志的动态关联表，在所述信任访问日志被提取、转换和加载的过程中，检测所述信任访问日志记录的访问所述轨道交通数据平台的用户信息数据是否缺失部分字段，并对检测到的所述用户信息数据的缺失字段，在所述动态关联表中进行查找和匹配以补齐所述用户信息数据的缺失信息，使所述信任访问日志记录完整。

5.如权利要求4所述的基于零信任的轨道交通数据平台的安全控制方法，其特征在于，建立信任评估属性或条件库进一步包括：建立信任评估属性库和信任评估条件库，将预设恶意信息导入所述信任评估属性库和信任评估条件库，所述预设恶意信息包括恶意IP地址和恶意URL，所述信任评估属性库和信任评估条件库用于充当整个轨道交通数据平台的策略决策点，所述信任评估属性库和信任评估条件库支持将所述预设恶意信息在线与离线导入。

6.如权利要求5所述的基于零信任的轨道交通数据平台的安全控制方法，其特征在于，建立安全通信网络进一步包括：

部署网络架构，使用策略决策点和策略执行点按细粒度划分所述轨道交通数据平台的不同应用区域边界，且各个所述应用区域边界使用应用网关隔离，所述轨道交通数据平台采用云平台和私有化部署；

控制通信传输，使用TLS算法对轨道交通数据平台内需要传输的数据进行双向加密，数据经过加固盾识别并通过加固盾加密传输，传输完毕使用TLS算法对数据进行双向解密。

7.如权利要求6所述的基于零信任的轨道交通数据平台的安全控制方法，其特征在于，设置安全区域边界进一步包括：

边界防护，通过在所述应用区域边界设置受控接口，使用户仅通过所述受控接口访问轨道交通数据平台和数据通信，且所述受控接口设置有控制器，所述控制器对用户信息数据进行身份验证和设备验证；

访问控制，默认对所有访问所述轨道交通数据平台的设备均不信任，每当所述设备访问时，验证用户设备信息，并给予对应最小化访问权限；

入侵防范，所述控制器通过受控接口实时监控所有所述设备的日志和异常行为，对所述异常行为进行监测、分析和记录，检测、防止和限制内部和外部网络攻击行为，所述异常行为包括ModbusTCP异常指令、内部网络非法访问和外部网络非法访问；

安全审计，审计日志记录轨道交通数据平台内的日期、时间、用户和事件详情，且所述审计日志审计所有的用户访问日志，所述审计日志包括系统用户的操作日志、运营中心的用户异常登录日志、ModbusTCP指令审计日志和网络流量审计日志。

8.如权利要求7所述的基于零信任的轨道交通数据平台的安全控制方法，其特征在于，设置安全计算环境进一步包括：

身份鉴别，访问轨道交通数据平台的用户进行身份标识，所述策略决策点多因素认证该用户信息数据，所述策略执行点与所述控制器交互信息并支持多因素认证；

访问控制，所述策略决策点和所述策略执行点对所有的用户访问连接都会通过所述控制器进行授权和校验；

安全审计，所述安全审计记录每个用户、重要用户行为和重要安全事件，且所述应用区域边界记录审计日志；

入侵防范，所述应用区域边界默认关闭所有端口，拒绝一切连接；

数据完整性，所述加固盾之间的数据传输加密与加密高保真；

数据安全性，采用双向TLS加密传输通过所述受控接口的所有数据，双向TLS加解密所述数据。

9.如权利要求8所述的基于零信任的轨道交通数据平台的安全控制方法，其特征在于，设置安全管理中心进一步包括：在所述轨道交通数据平台内划分单独的区域设置安全管理中心，所述安全管理中心用于集中管理与控制所有的核心数据、网关和应用区域边界客户端，所述核心数据包括用于数据传输加密与解密的加固盾、非安全物理操作的日志记录、加固盾的硬件和流量检测、运营中心的硬件和流量检测、设备监控场景下的历史和实时数据。

10.如权利要求1所述的基于零信任的轨道交通数据平台的安全控制方法，其特征在于：所述轨道交通数据平台包括安全管理中心、加固盾、零信任IP库、零信任域名库、审计日志、信任访问日志、信任评估属性库和信任评估条件库，且均设置有应用区域边界。