DB35／T 2056-2022标准规范下载简介
DB35／T 2056-2022 城市轨道交通综合监控系统网络安全实施要求.pdfICS35.030 CCS A 90
DB35/T 20562022
城市轨道交通综合监控系统网络安全实施
GB／T 25085.4-2020标准下载Implementationguideforthecybersecurityinurbanrailtransitintegratedsupervision and control system
福建省市场监督管理局 发布
省市场监督管理局 发布
DB35/T20562022
范围 规范性引用文件 术语和定义 缩略语， 总体要求 安全防护实施流程 安全防护措施 附录A（资料性） 综合监控系统架构. 参考文献….
DB35/T20562022
本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由中共福建省委网络安全和信息化委员会办公室提出。 本文件由福建省信息化标准化技术委员会（SAFJ/TC11）归口。 本文件起草单位：福州地铁集团有限公司、福建省网络与信息安全测评中心、深圳融安网络科技有 限公司、深圳达实智能股份有限公司、上海宝信软件股份有限公司、西南交通大学。 本文件主要起草人：高松涛、许哲君、庄焰、康璐、刘凡、黄健强、唐志华、史伟康、汪敦全， 张肖蓉、吴平、陈桂耀、吴艳春、肖存峰、李俊、吴思、宋晶。
本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由中共福建省委网络安全和信息化委员会办公室提出。 本文件由福建省信息化标准化技术委员会（SAFJ/TC11）归口。 本文件起草单位：福州地铁集团有限公司、福建省网络与信息安全测评中心、深圳融安网络科技有 限公司、深圳达实智能股份有限公司、上海宝信软件股份有限公司、西南交通大学。 本文件主要起草人：高松涛、许哲君、庄焰、康璐、刘凡、黄健强、唐志华、史伟康、汪敦全 张肖蓉、吴平、陈桂耀、吴艳春、肖存峰、李俊、吴思、宋晶。
DB35/T20562022
道交通综合监控系统网络安全实
本文件规定了城市轨道交通综合监控系统（以下简称“综合监控系统”）网络安全实施的总体要 全防护实施流程、安全防护措施。 本文件适用于综合监控系统网络安全防护的建设和运营。
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T22239一2019信息安全技术网络安全等级保护基本要求
下列术语和定义适用于本文件。 3.1 城市轨道交通综合监控系统urbanraiitransitintegrated supervisionandcontrolsysten 对城市轨道交通线路中机电设备进行监控的分层分布式计算机集成系统， [来源：GB/T50636—2018，2.0.1] 3.2 安全管理中心 security management center 对综合监控系统的安全策略及安全计算环境、安全区域边界和安全通信网络的安全机制实施统 管理的平台或区域。 ［来源：GB/T36958—2018，3.3,有修改］ 3.3 互联系统interconnectedsystem 具有自身完整的系统结构，并保持系统独立运行，与综合监控系统通过外部接口进行信息交互，实 现信息互通、共享和联动控制功能的自动化系统。 [来源：GB/T50636—2018,2.0.3]
下列术语和定义适用于本文件。 3.1 城市轨道交通综合监控系统urbanrailtransitintegratedsupervisionandcontrolsystem 对城市轨道交通线路中机电设备进行监控的分层分布式计算机集成系统。 [来源：GB/T50636—2018，2.0.1] 3.2 安全管理中心 security management center 对综合监控系统的安全策略及安全计算环境、安全区域边界和安全通信网络的安全机制实施统 管理的平台或区域。 [来源：GB/T36958—2018，3.3,有修改] 3.3 互联系统interconnectedsystem 具有自身完整的系统结构，并保持系统独立运行，与综合监控系统通过外部接口进行信息交互，实 现信息互通、共享和联动控制功能的自动化系统。 来源：GB/T506362018.2.0.3
DB35/T 20562022
MAC：物理地址（MediaAccessControl)
5.1网络安全防护范围
综合监控系统的网络安全防护范围应包括中央级综合监控系统、车站级综合监控系统、网 统、维护管理系统
5.2网络安全等级要求
合监控系统的网络安全等级应达到网络安全等纫
应结合城市轨道交通的实际，分析系统的机房、 软硬件等资产的脆弱性，确定安全需求，规划安全 技术体系和安全管理体系架构。综合监控系统网络架构图见附录A中的图A.1
按照综合监控系统安全规划，从物理环境、网络通信、区域边界、计算环境、安全管理中心、安全 管理制度等方面设计安全措施，编制综合监控系统网络安全相关设计方案。综合监控系统网络安全架构 图见附录A中的图A.2。
应完成综合监控系统网络安全等级保护的定级和备案，按照已评审通过的综合监控系统网络安全 相关设计方案组织实施。
3.4网络安全等级测评
质的第三方测评机构进行等级测评，并根据发现
应符合GB/T22239—2019中8.1的要求。
7.2.1物理与环境安全
应包含如下内容： a）应提供在线式应急电源，后备供电时间不少于1h； b）应对服务器、交换机、FEP、工作站等设备的闲置端口进行封堵或拆除
7.2.2网络通信安全
7.2. 2. 1网络可用性
DB35/T20562022
应包含如下内容： a）应采取专用的网络资源，网络带宽应满足业务高峰期需要； b）交换机、防火墙等设备的处理能力应满足业务高峰期需要； c）网络设备均应热备余，宜分机柜放置
7. 2. 2. 2网络隔离与区域划分
应包含如下内容： a）综合监控系统的网络应与互联网、办公网络物理隔离； 综合监控系统的网络应与互联系统的网络划分为不同安全区域，区域间应采取可靠的技术隔 离手段； c）用于综合监控系统的培训管理系统和软件测试平台的网络，不应与综合监控系统网络连接
7. 2. 2. 3通信传输
7.2.3区域边界安全
7.2.3.1边界防护
综合监控系统与互联系统间的访问和数据通信，应采用具有工控协议控制能力的边界防护设 防护控制。
7.2.3.2访问控制
应包含如下内容： a）不同的安全区域间应采用最小化的访问控制规则； b）区域间访问控制设备应支持数据包、数据流、工控协议、时间策略的访问控制和检查规则。
7. 2. 3. 3入侵检测
应包含如下内容： a）不同的安全区域间应采取网络入侵检测措施，检测来自内部和外部的已知网络攻击行为和未 知新型网络攻击行为（应包括工控攻击行为）； 当检测到攻击行为时，应记录攻击源信息，包括IP、攻击类型、攻击目标、攻击时间等信息 并进行告警。
DB35/T 20562022
7.2.3.4安全审计
应包含如下内容： a）应对综合监控系统跨越网络边界的流量和相关设备采取安全审计措施，保留审计记录 b) 应对远程访问的用户行为进行审计和分析处理； 应对工控协议类型、工控协议操作码和工控危险指令等进行审计和分析处理； d）应对审计记录采取保护措施并定期备份，留存时间应不少于6个月。
7.2.4计算环境安全
7. 2. 4. 1可用性
应包含如下内容： a）综合监控系统的服务器、FEP和工作站应采用硬件穴余配置： b）车站级综合监控系统应能独立于中央级综合监控系统正常运行
7. 2. 4. 2 身份鉴别
应包含如下内容： a）应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且 其中一种鉴别技术至少应使用密码技术来实现： b 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和登录连接超时自动退 出等相关措施： c 登录认证信息应采取加密存储措施； d）应对登录终端采用IP+MAC方式进行访问控制，限制非授权终端的登录访问
7. 2. 4. 3用户访问控制
应包含如下内容： a 应具有用户权限管理功能，用户权限应最小化； b) 使用权限级别应至少包括系统管理级、运营操作级和浏览级； c 上线运营前，应对默认账户重命名，删除多余和过期的账户，不应设置共享账户； d）应由安全管理员配置用户的权限。
7.2.4. 4安全审计
应包含如下内容： a）应对每个用户的登录登出、控制操作、权限变更/取消等操作行为进行审计； b 所有的操作行为均应记录操作用户名和操作地点信息； C 应对审计记录采取保护措施，并定期备份； d）审计记录留存时间应不少于6个月
7. 2. 4. 5入侵防范
包含如下内容： 应遵循最小安装的原则，仅安装需要的组件利
DB35/T20562022
应包含如下内容： a）应采取恶意代码防范措施，对网络中的恶意代码进行有效检测和清除； b）应定期（间隔不超过3个月）对恶意代码库进行升级和更新。
7. 2. 4.7数据安全
应包含如下内容： 业务数据、配置数据、审计数据、身份鉴别数据等，在传输和存储时应采用校验技术或密码技 术； b） 业务数据、配置数据、审计数据、身份鉴别数据等所在的缓存，在被释放或重新分配前应进行 完全清除： 综合监控系统和互联系统交互的数据，在传输和存储时应采用校验技术或密码技术。
.2.4.8控制设备安全
7.2.5安全管理中心
7. 2. 5. 1一般要求
应包含如下内容： a）安全管理中心应至少包括漏洞扫描系统、安全运维审计系统、防病毒软件系统、安全管理系统 等； 6 应部署统一的安全管理中心，对中央级综合监控系统和车站级（含车站、场段）综合监控系统 的服务器、工作站、网络设备、安全设备等进行集中管控和安全态势分析； 应对安全管理中心的系统管理员、审计管理员和安全管理员进行身份认证，采用双因子认证方 式； 安全管理中心应通过堡垒机、带外管理对网络中的安全设备或安全组件进行管理，并进行审计
7. 2. 5. 2 集中管控
郑店某互通与京珠高速连接（含交叉）工程施工组织设计7.2. 6 权限管理
7. 2. 6. 1系统管理
安全设备的配置、控制及管理应由安全管理中心
DB35/T 20562022
7. 2. 6. 2 审计管理
审计记录应由安全管理中心的审计员进行分析，并根据分析结果进行处理
7. 2. 6. 3 安全管理
工业园体育运动中心景观绿化工程施工组织设计方案的安全策略应由安全管理中心的安全管理员进行