案例精选 | 牢筑地铁关基设施安全，助力某地铁集团PSCADA系统安全改造试点示范先行

• 
  

  一、项目背景

  
  

• 在主备控制中心与车站网络之间、车站变电所PSCADA系统与综合监控系统之间冗余部署工业防火墙，进行边界隔离和访问控制。工业防火墙对PSCADA系统DNP 3.0协议深度解析，建立访问控制白名单和PSCADA系统DNP 3.0协议白名单，构筑安全“白环境”边界隔离和控制防护体系。工业防火墙所有电口均支持Bypass，从硬件设计上保证对业务系统“零”影响。

• 在主备控制中心核心网络旁路部署高级威胁检测系统，接收核心网络交换机镜像流量，采用情报检测、入侵检测、行为检测、人工智能检测、病毒检测、基因检测和沙箱检测等技术，对已知和未知威胁流量进行深度包检测和分析，及时发现潜在的高风险威胁；

图 3.高级威胁检测系统威胁情报检测展示

图 4.高级威胁检测系统人工智能检测展示

• 在主备控制中心核心网络旁路部署工控安全监测与审计系统，基于对PSCADA系统DNP 3.0协议的深度解析，实时监测网络内是否存在网络攻击、用户违规操作、非法设备接入等，结合“白名单+智能学习”机制实现PSCADA系统指令级审计，构筑安全“白环境”通信网络防护体系 。

• 在PSCADA系统所有工作站部署工控主机卫士，设置程序白名单、网络白名单、外设管控、漏洞安全防护、强制访问控制等功能，锁定、切断恶意代码传播，强化主机层面网络和文件访问控制策略等，构建可信任的工作站级终端安全防护“白环境”。

• 在业务系统主备控制中心冗余的前提下，构建支持热备冗余安全管理中心，保证信息安全系统高可用性。通过主备控制中心旁路部署的统一安全管理平台，对PSCADA系统中部署的工业防火墙、高级威胁检测系统、工控安全监测与审计系统、工控主机卫士等进行集中管理；同时统一安全管理平台具备基于资产的风险分析功能，有效帮助业主提高PSCADA系统全面的安全态势感知能力。

图 7.统一安全管理平台系统授权管理展示

• 在主备控制中心旁路部署日志审计与分析系统，通过采集系统中主机设备、网络设备、安全设备、操作系统、数据库、业务系统的日志信息，对采集到的不同类型的信息进行标准化处理和实时关联分析，协助安全管理人员从海量日志中迅速准确地识别安全事故，提高全面的安全管理、风险管理能力，同时也满足网络安全法对于安全日志留存6个月以上的要求。

图 8.日志审计与分析系统采集相关设备日志展示

• 在主备控制中心旁路部署安全运维管理系统，统一对PSCADA系统下的所有资源设备运营和维护操作进行授权和管理，有效管控地铁运维人员、施工单位、设备厂商和第三方运维人员的操作行为。提供身份鉴别与认证机制，对不同身份用户操作进行严格的审计，从而提高PSCADA系统持续的安全运维能力。

图 9安全运维管理系统用户管理展示

• 在主备控制中心旁路部署数据库审计系统，通过对地铁运维人员、施工单位、设备厂商和第三方运维人员和系统的网络行为进行解析、分析、记录、汇报，实现事前规划预防、事中实时监视、违规行为响应、事后合规报告、事故追踪溯源的目的，从而达成加强内外部网络行为监管、促进核心数据库相关业务的正常运营目标。

图 10.数据库审计系统用户行为轨迹展示

• 最后再提供漏洞扫描服务，定期对PSCADA系统安全防护措施的有效性进行全面扫描，并对识别出的漏洞给出修复建议，提升业主网络安全风险把控能力。

图 11.建设完成后的部分效果图展示

• 图 12本项目改造关键注意事项点展示客户价值

1. 
   

2. 
   

   六、客户价值

   
   

1. 
   

   结语