本发明涉及轨道交通领域，更具体地涉及一种信息安全网络拓扑和用于实现信息安全的方法。
背景技术：
随着网络安全形势的日益严峻，网络与信息安全已被提升为国家战略。为了适应城市发展的需求，比亚迪开发了一种新型的胶轮有轨电车——比亚迪“云巴”系列。比亚迪“云巴”线路相关业务系统是线路运营安全的重要基础设施，加强“云巴”线路的网络安全风险防范能力极其重要。
技术实现要素：
为了解决上述问题而提出了本发明。根据本发明的一方面，提供了一种用于轨道交通的信息安全网络拓扑，所述信息安全网络拓扑包括：多个车站、信号网业务生产区、通信网业务生产区、外部服务网和安全管理区，其中，每个所述车站均连接有第一入侵检测探针，所述第一入侵检测探针用于探测所述车站处的第一非工控信号，并将所述第一非工控信号镜像到所述安全管理区进行安全检测；所述外部服务网通过安全隔离网闸与所述通信网业务生产区相连接以进行信息交互，所述通信网业务生产区与所述信号网业务生产区通过工业防火墙相连接以进行信息交互。
进一步地，所述车站包括集中站，所述集中站连接有工业入侵检测探针，所述工业入侵检测探针用于对所述集中站处的工控信号进行安全检测。
在一个实施例中，所述第一非工控信号包括第一信号和通信信号，所述集中站包括第一信号汇聚节点和通信信号汇聚节点，所述第一信号汇聚节点用于汇聚所述第一信号，所述通信信号汇聚节点用于汇聚所述通信信号。
在一个实施例中，所述信号网业务生产区包括第一信号网业务生产区，所述第一信号网业务生产区包括第一核心交换机，其中所述第一核心交换机连接至所述第一信号汇聚节点，所述第一信号汇聚节点汇聚的所述第一信号传送至所述第一核心交换机。
在一个实施例中，所述通信网业务生产区包括第三核心交换机，其中所述第三核心交换机连接至所述通信信号汇聚节点，所述通信信号汇聚节点汇聚的所述通信信号传送至所述第三核心交换机。
在一个实施例中，所述第一核心交换机和所述第三核心交换机均连接至所述安全管理区，以对所述第一信号网业务生产区和所述通信网业务生产区的信号进行安全检测。
在一个实施例中，所述第三核心交换机通过所述工业防火墙与所述第一核心交换机相连接以进行信息交互。
在一个实施例中，所述第三核心交换机还连接有第三防火墙。
在一个实施例中，所述外部服务网包括第四核心交换机，所述第四核心交换机与所述第三核心交换机通过所述安全隔离网闸相连接以进行信息交互。
在一个实施例中，所述第四核心交换机连接有第二入侵检测探针，所述第二入侵检测探针用于探测所述第四核心交换机处的第二非工控信号，并将其镜像至所述安全管理区以进行安全检测。
在一个实施例中，所述外部服务网还包括负载均衡装置，所述负载均衡装置用于均衡来自外部网络的网络流量，且所述负载均衡装置通过第一防火墙与所述第四核心交换机相连接。
在一个实施例中，所述外部服务网还包括第三方接入区，所述第三方接入区用于进行第三方接入服务，且所述第三方接入区通过第二防火墙与所述第四核心交换机相连接。
在一个实施例中，所述安全管理区包括安全态势感知系统，所述第一非工控信号和所述第二非工控信号镜像至所述安全态势感知系统以进行安全检测。
在一个实施例中，所述安全管理区还包括工业入侵检测系统、数据库审计、运维审计和终端安全管理。
在一个实施例中，所述第一非工控信号还包括第二信号，所述第二信号在所述第一信号不可用时自动启用。
在一个实施例中，所述集中站还包括第二信号汇聚节点，所述第二信号汇聚节点用于汇聚所述第二信号。
在一个实施例中，所述信号网业务生产区还包括第二信号网业务生产区，所述第二信号网业务生产区包括第二核心交换机，其中所述第二核心交换机连接至所述第二信号汇聚节点，所述第二信号汇聚节点汇聚的所述第二信号传送至所述第二核心交换机。
在一个实施例中，所述第二核心交换机连接至所述安全管理区以对所述第二信号网业务生产区的信号进行安全检测。
在一个实施例中，所述第二核心交换机通过所述工业防火墙与所述第三核心交换机相连接以进行信息交互。
根据本发明的另一方面，提供了一种用于实现轨道交通的信息安全的方法，所述方法用于信息安全网络拓扑，所述信息安全网络拓扑包括：多个车站、信号网业务生产区、通信网业务生产区、外部服务网和安全管理区，所述方法包括：由第一入侵检测探针探测每个所述车站处的第一非工控信号，并将所述第一非工控信号镜像到所述安全管理区进行安全检测；在所述外部服务网与所述通信网业务生产区之间设置安全隔离网闸，将来自所述外部服务网的信号通过所述安全隔离网闸传送至所述通信网业务生产区，其中所述信号中的安全威胁被阻隔而无法到达所述通信网业务生产区；在所述通信网业务生产区与所述信号网业务生产区之间设置工业防火墙，使得所述通信网业务生产区与所述信号网业务生产区能够通过所述工业防火墙传递信号，并实现二者的安全域间的安全隔离和访问控制。
进一步地，其中所述车站包括集中站，所述方法还包括：由工业入侵检测探针采集所述集中站处的工控信号并直接进行安全检测。
在一个实施例中，其中所述外部服务网包括第四核心交换机，所述方法还包括：由第二入侵检测探针探测所述第四核心交换机处的第二非工控信号，并将所述第二非工控信号镜像到所述安全管理区进行安全检测。
在一个实施例中，所述方法还包括：在所述第四核心交换机处设置第一防火墙，将来自外部网络的信号通过所述第一防火墙传送至所述第四核心交换机。
在一个实施例中，所述方法还包括：在所述第四核心交换机处设置第二防火墙，将来自第三方接入区的信号通过所述第二防火墙传送至所述第四核心交换机。
在一个实施例中，其中所述通信网业务生产区包括第三核心交换机，所述方法还包括：在所述第三核心交换机处设置第三防火墙，将到来的信号通过所述第三防火墙传送至所述第三核心交换机。
根据本发明的信息安全网络拓扑，各网络区域的信号都进行了安全检测和防护，从外部服务网向内部的信号传递也进行多层安全检测和防护，信号网业务生产区和通信网业务生成区能够进行信息交互，并且进行了信息安全防护，能够很好地满足国家等级保护的要求，有效地保证了线路运营安全。
附图说明
通过结合附图对本发明实施例进行更详细的描述，本发明的上述以及其它目的、特征和优势将变得更加明显。附图用来提供对本发明实施例的进一步理解，并且构成说明书的一部分，与本发明实施例一起用于解释本发明，并不构成对本发明的限制。在附图中，相同的参考标号通常代表相同部件或步骤。
图1示出了根据本发明的一个实施例的信息安全网络拓扑的结构示意图；
图2示出了根据本发明的另一实施例的用于实现轨道交通的信息安全的方法的流程图。
具体实施方式
为了使得本发明的目的、技术方案和优点更为明显，下面将参照附图详细描述根据本发明的示例实施例。显然，所描述的实施例仅仅是本发明的一部分实施例，而不是本发明的全部实施例，应理解，本发明不受这里描述的示例实施例的限制。基于本发明中描述的本发明实施例，本领域技术人员在没有付出创造性劳动的情况下所得到的所有其它实施例都应落入本发明的保护范围之内。
出于上面的原因，本发明设计了一种用于轨道交通的信息安全网络拓扑，该信息安全网络拓扑包括：多个车站、信号网业务生产区、通信网业务生产区、外部服务网和安全管理区，其中，
每个所述车站均连接有第一入侵检测探针，所述第一入侵检测探针用于探测所述车站处的第一非工控信号，并将所述第一非工控信号镜像到所述安全管理区进行安全检测；
所述外部服务网通过安全隔离网闸与所述通信网业务生产区相连接以进行信息交互，所述通信网业务生产区与所述信号网业务生产区通过工业防火墙相连接以进行信息交互。
根据本发明的信息安全网络拓扑，各网络区域的信号都进行了安全检测和防护，从外部服务网向内部的信号传递也进行多层安全检测和防护，信号网业务生产区和通信网业务生成区能够进行信息交互，并且进行了信息安全防护，能够很好地满足国家等级保护的要求，有效地保证了线路运营安全。
下面参照附图详细描述根据本发明的用于轨道交通的信息安全网络拓扑。
首先，参照图1，图1示出了根据本发明的一个实施例的信息安全网络拓扑10的结构示意图。
如图1所示，信息安全网络拓扑10可以包括多个车站100、信号网业务生产区200、通信网业务生产区300、外部服务网400和安全管理区500。其中，信息安全网络拓扑10可以用于胶轮有轨电车运营系统，例如比亚迪的云巴线路。其中，多个车站100可以与车辆进行交互，并收集与车辆的交互的各种信号和/或信息，其中各种信号和/或信息可以由车辆上的各种设备和系统产生，例如车载控制器(vobc)、信号系统、闭路电视系统(cctv)等；信号网业务生产区200用于从车站收集上述各种信号和/或信息并进行处理，并生成反馈信号和/或信息，反馈信号和/或信息通过车站传送至车辆；通信网业务生产区300用于承载各种业务生产系统，例如时钟系统、广播系统、自动售检票系统等；外部服务网400用于承载内部管理系统(例如，办公系统(oa)、企业资产管理系统(eam)等)和门户网站，同时作为与互联网、第三方服务(例如，银联、微信、支付宝等)的接入点；安全管理区500用于对各个区域的信号进行安全相关的检测和审计。
在一个实施例中，外部服务网400可以通过安全隔离网闸gap与通信网业务生产区300相连接，安全隔离网闸gap使得外部服务网400与通信网业务生产区300之间进行了物理隔离，能够阻隔来自外部服务网400的安全威胁到达通信网业务生产区300，且外部服务网400与通信网业务生产区300能够进行信息交互。
在一个实施例中，通信网业务生产区300与信号网业务生产区200之间通过工业防火墙teg相连接，工业防火墙teg能够提供二者的安全域间的安全隔离和访问控制，实现对工业控制协议的安全管控与合规检查，保护二者的安全，并满足公安机关对工业控制系统安全防护补充技术要求的要求，还使得通信网业务生产区300与信号网业务生产区200能够进行信息交互。在一个实施例中，工业防火墙teg可以包括本领域公知的任何合适类型的工业防火墙，例如边界型工业防火墙、区域型工业防火墙等，本发明对此不进行限制。
其中，多个车站100沿着车辆的运营线路设置，车辆可以通过无线网络经由例如轨旁基站bs与每个车站进行通信。其中，每个车站均可以包括用于各种服务的装置和设备，例如闸机、售票机、电话、视频监控、广播、工作站等，本发明对此不进行限制。在一个实施例中，无线网络可以包括本领域公知的任何合适的无线信号，例如卫星通信、蜂窝通信、无线保真(wifi)和全球微波接入互操作性(wimax)等。
其中，车辆与各个车站100交互的信号在此称为第一非工控信号。其中第一非工控信号可以包括第一信号sg1和通信信号csg，第一信号sg1和通信信号csg所用的频段不同。示例性地，第一信号sg1使用5.15-5.35ghz频段，通信信号csg使用5.725-5.85ghz频段，本发明对此不进行限定。
在一个实施例中，信息安全网络拓扑10还可以包括信号a网和通信网，其中第一信号sg1采用信号a网在各个车站100之间传输，通信信号csg采用通信网在各个车站100之间传输。示例性地，信号a网和通信网均为连接各个车站的环形有线网络。
在一个实施例中，车辆与各个车站100交互的第一非工控信号还可以包括第二信号sg2，第二信号sg2为第一信号sg1的备用信号，其在第一信号sg1不可用时自动启用。例如，当接收不到第一信号sg1或者第一信号sg1的信号强度降低到预先设置的阈值以下时，可判断第一信号sg1不可用。其中，阈值可根据用户需要进行设置。应理解，本领域技术人员还可以采用其他方法来判断第一信号sg1不可用，本发明对此不作限定。设置第二信号作为备用信号，可以为信号系统提供信号冗余，能够有效保证信号系统的正常运行。
在一个实施例中，第二信号sg2与第一信号sg1的频率相同。在另一实施例中，第二信号sg2与第一信号sg1完全相同。
在一个实施例中，信息安全网络拓扑10还可以包括信号b网，第二信号sg2采用信号b网在各个车站100之间传输。示例性地，信号b网为连接各个车站的环形有线网络。
在一个实施例中，每个车站100均可以连接有第一入侵检测探针ids1，用于探测车站100处的第一非工控信号，并将其镜像到安全管理区500进行安全检测，以检测该第一非工控信号中存在的安全问题，例如，恶意攻击、非法篡改、各种病毒、网络入侵、未知设备接入、违规ip地址通信以及其他违反安全策略的问题。其中，检测结果可以通过安全管理vlan报送至控制中心，在安全管理工作站的屏幕上进行展示。入侵检测探针和安全管理区的设置能够实现对各个入侵检测探针进行集中管理，统一配置安全策略，集中收集安全告警，集中升级检测特征库，从而能够有效保护各业务系统和云平台计算环境的安全。
在一个实施例中，车站100中可以包括集中站100c，该集中站100c连接有工业入侵检测探针iids，用于对集中站100c处的工控信号进行安全检测，以检测该工控信号中存在的安全问题，例如，恶意攻击、非法篡改、各种病毒以及其他违反安全策略的问题。在一个实施例中，车站100中可以包括一个或更多个集中站100c，其可根据需要进行设置，例如每若干个(例如3个)车站设置一个集中站。工业入侵检测探针的应用能够直接对集中站处的设备间的工控信号进行安全检测，从而能够有效保证集中站处各设备和各工作平台的安全。
在一个实施例中，集中站100c可以包括第一信号汇聚节点nd1、第二信号汇聚节点nd2和通信信号汇聚节点nd3，分别用于汇聚第一信号sg1、第二信号sg2和通信信号csg。其中，第一信号汇聚节点nd1可以连接控制中心的信号a网，第二信号汇聚节点nd2可以连接控制中心的信号b网，通信信号汇聚节点nd3可以连接控制中心的通信网。设置信号汇聚节点对信号进行汇聚，能够实现对信号的集中管理和处理。
在一个实施例中，信号网业务生产区200可以包括第一信号网业务生产区200a和第二信号网业务生产区200b，其中第一信号网业务生产区200a可以包括第一核心交换机210，第二信号网业务生产区200b可以包括第二核心交换机220。其中，第一核心交换机210可以连接至集中站100c的第一信号汇聚节点nd1，第二核心交换机220可以连接至集中站100c的第二信号汇聚节点nd2，使得第一信号汇聚节点nd1汇聚的第一信号sg1可以传送至第一核心交换机210以进行信号处理，第二信号汇聚节点nd2汇聚的第二信号sg2可以传送至第二核心交换机220以进行信号处理。
在一个实施例中，第一核心交换机210与第一信号汇聚节点nd1之间以及第二核心交换机220与第二信号汇聚节点nd2之间还可以设置信号下联区dcz，在信号下联区dcz中可以设置一个或更多个信号汇聚节点nd以汇聚信号。
在一个实施例中，第一信号网业务生产区200a还可以包括第一接口服务器211、第一ats交换机212、第一控制单元服务器213、第一应用服务器214等，以对第一信号sg1进行各种处理。具体地，第一ats交换机212可以连接第一接口服务器211、第一应用服务器214和第一控制单元服务器213，第一控制单元服务器213可以连接至第一核心交换机210。在一个实施例中，第二信号网业务生产区200b还可以包括第二接口服务器221、第二ats交换机222、第二控制单元服务器223、第二应用服务器224等，以对第二信号sg2进行各种处理。具体地，第二ats交换机222可以连接第二接口服务器221、第二应用服务器224和第二控制单元服务器223，第二控制单元服务器223可以连接至第二核心交换机220。其中，第一核心交换机210可以与第二核心交换机220相连接。
在一个实施例中，第一核心交换机210与第二核心交换机220均可以连接其他子系统或装置，例如区域控制器(zc)、核心网(ac)、计算机联锁(ci)子系统等。
在一个实施例中，通信网业务生产区300可以包括第三核心交换机310。其中，第三核心交换机310可以连接至通信信号汇聚节点nd3，其中通信信号汇聚节点nd3汇聚的通信信号sg3传送至以进行信号处理。
在一个实施例中，第三核心交换机310还可以连接有第三防火墙fw3，以实现通信网业务生产区300的不同业务之间的安全隔离，并可通过阻断的方式实现安全事件的遏制。在一个实施例中，第三防火墙fw3可以为下一代防火墙。在一个实施例中，下一代防火墙可以为全硬件形式。在另一个实施例中，下一代防火墙可以为硬件和软件相结合的形式。第三防火墙能够对进入第三核心交换机的信号进行过滤，以过滤掉该信号中存在的部分安全威胁，能够有利地保证第三核心交换机中信号的安全。
在一个实施例中，第三核心交换机310还可以通过信号网业务生产区200与通信网业务生产区300之间的工业防火墙teg分别连接至第一核心交换机210、第二核心交换机220、第一接口服务器211和第二接口服务器221，以进行信息交互。工业防火墙teg能够提供信号网业务生产区200与通信网业务生产区300的安全域间的安全隔离和访问控制，实现对工业控制协议的安全管控与合规检查，保护二者的安全，并满足公安机关对工业控制系统安全防护补充技术要求的要求，还使得二者能够进行信息交互。
在一个实施例中，通信网业务生产区300还可以包括城市轨道交通综合监控系统(iscs)320、通信业务系统330和运维管理系统340，其均可以连接至第三核心交换机310。其中，iscs综合监控系统320用于在集成平台的支持下对各专业进行统一监控，实现各专业系统的信息共享及系统之间的联动控制功能，其可以包括多个子系统，例如电力监控系统(pscada)、环境与设备监控系统(bas)、火灾报警系统(fas)、屏蔽门系统(psd)等；通信业务系统330用于指挥车辆运行、公务联络和传递各种信息，其也可以包括多个子系统，例如传输系统、公务电话系统、专用电话系统、信号系统(sig)、闭路电视系统(cctv)、乘客导乘信息系统(pis)、广播系统(pa)、时钟系统(clk)、自动售检票系统(afc)、门禁系统(acs)等；运维管理系统340用于与iscs综合监控系统对接，从而实现监控设备的实时状态，并对设备状态进行综合统计分析，其可以包括云平台管理节点、数据库服务器、web应用服务器、工作站、移动终端等。
在一个实施例中，第三核心交换机310与通信信号汇聚节点nd3之间还可以设置信号下联区dcz，在信号下联区dcz中可以设置一个或更多个信号汇聚节点nd以汇聚信号。
在一个实施例中，外部服务网400可以包括第四核心交换机410。其中，第四核心交换机410通过该安全隔离网闸gap与第三核心交换机310连接。安全隔离网闸gap使得外部服务网400与通信网业务生产区300之间进行了物理隔离，能够阻隔来自外部服务网400的安全威胁到达第三核心交换机310，且二者能够进行信息交互。
在一个实施例中，第四核心交换机410可以连接有第二入侵检测探针ids2，以探测第四核心交换机410处的信号，并将其镜像到安全管理区500进行安全检测，以检测该信号中存在的安全问题，例如，恶意攻击、非法篡改、各种病毒以及其他违反安全策略的问题，从而能够有效保护第四核心交换机的安全。
在一个实施例中，外部服务网400还可以包括负载均衡设备420，负载均衡设备420可以通过第一防火墙fw1连接至第四核心交换机410，用于提供对互联网接入链路的负载均衡，优化对不同运营商线路的流量分配，提高用户体验。其中，第一防火墙fw1用于对来自外部网络的信号进行过滤，以拦截其中存在的安全威胁。在一个实施例中，第一防火墙fw1可以为下一代防火墙。在一个实施例中，下一代防火墙可以为全硬件形式。在另一个实施例中，下一代防火墙可以为硬件和软件相结合的形式。第四核心交换机通过防火墙连接网络信号，能够对进入第四核心交换机的网络信号进行过滤，以过滤掉网络信号中存在的部分安全威胁，能够有利地保证进入第四核心交换机的信号的安全性。
在一个实施例中，外部服务网400还可以包括抗ddos服务系统430，用于抵抗大流量的冲击和多种类ddos攻击。
在一个实施例中，外部服务网400还可以包括第三方接入区440，包括第三方接入节点tnd。第三方接入区440可以通过第二防火墙fw2连接至第四核心交换机410，用于为第三方提供接入服务。其中，第三方可以包括银行、微信、支付宝等。其中，第二防火墙fw2用于对来自第三方接入区440的接入信号进行过滤，以拦截其中存在的安全威胁。在一个实施例中，第二防火墙fw2可以为下一代防火墙。在一个实施例中，下一代防火墙可以为全硬件形式。在另一个实施例中，下一代防火墙可以为硬件和软件相结合的形式。第二防火墙能够对进入第四核心交换机的第三方信号进行过滤，以过滤掉第三方信号中存在的部分安全威胁，能够有利地保证第四核心交换机中信号的安全。
在一个实施例中，外部服务网400还可以包括上网行为管理系统450，其可以连接在终端工作站的接入交换机与第四核心交换机410之间，用于进行上网流量控制和上网行为审计，提高终端上网体验，且满足公安监管的规定。
在一个实施例中，外部服务网400还可以包括办公区of、外网服务器区ons等区域和系统。
在一个实施例中，安全管理区500可以包括工业入侵检测系统510、安全态势感知系统520、数据库审计系统530、日志审计系统540、运维审计系统550和终端安全管理系统560等。
其中，工业入侵检测系统510用于对各业务历史服务器数据库进行安全审计，记录对数据库进行增、删、改、查操作，对cctv系统视频服务器进行审计，记录对视频图像的搜索、查看、下载等。在一个实施例中，第一核心交换机210、第二核心交换机220和第三核心交换机310均连接至工业入侵检测系统510，以将第一信号网业务生产区200a、第二信号网业务生产区200b和通信网业务生产区300的信号传送至工业入侵检测系统510，以进行工业入侵检测。
其中，安全态势感知系统520用于对云巴全线的网络安全态势进行统一分析和展示，其能够收集漏洞扫描的结果，配置核查的结果，为云巴全线建立整体的网络安全模型，通过从防火墙、工业入侵检测系统、上网行为管理网关、终端检测响应(edr)平台中收集安全日志，进行集中分析判断，将分布在车站、车辆段、控制中心的网络安全事件进行集中处理，并通过安全管理工作站的屏幕进行展现。在一个实施例中，每个车站100处的入侵检测探针ids以及第四核心交换机410处的入侵检测探针ids探测到的信号被镜像到安全态势感知系统520，以进行安全检测。
其中，数据库审计系统530用于实时记录网络上的数据库活动，对数据库操作进行细粒度审计，对数据库遭受到的风险行为进行告警，对攻击行为进行阻断；日志审计系统540用于对整个信息安全网络拓扑的工作日志进行收集、分析、存储和信息展示，帮助用户获悉信息系统的安全运行状态，识别针对信息系统的攻击和入侵，以及来自内部的违规和信息泄露，能够为事后的问题分析和调查取证提供必要的信息；运维审计系统550用于提供运维人员的单点登录认证、授权和审计、访问控制等功能，全部操作过程被完整记录，事后可根据需要在安全管理工作站上进行回放展示；终端安全管理系统560用于对中心级和车站级的工作站级服务器提供桌面级的安全管理及风险管控。在一个实施例中，第一核心交换机210、第二核心交换机220和第三核心交换机310还连接至数据库审计系统530、日志审计系统540、运维审计系统550和终端安全管理系统560，以将第一信号网业务生产区200a、第二信号网业务生产区200b和通信网业务生产区300的信号传送至数据库审计系统530、日志审计系统540、运维审计系统550和终端安全管理系统560，以进行各种审计工作和安全管理。
进一步地，信息安全网络拓扑10还可以包括安全运营区600，其可以包括网络安全管理系统610。其中安全管理区500的各个系统可以连接至安全运营区600的网络安全管理系统610以进行网络安全管理。
本领域技术人员应理解，根据本发明的信息安全网络拓扑10还可以包括其他公知的区域、系统、装置、设备等，在此不再赘述。
现在参考图2，图2示出了根据本发明的另一实施例的用于实现轨道交通的信息安全的方法20的流程图。其中，方法20可用于信息安全网络拓扑。该信息安全网络拓扑可以包括：多个车站、信号网业务生产区、通信网业务生产区、外部服务网和安全管理区等。应理解，这仅仅是示例性的，信息安全网络拓扑还可以包括其他公知的区域、系统、装置、设备等，在此不再赘述。
如图2所示，方法20可以包括如下步骤：
在步骤s21中，由第一入侵检测探针探测每个车站处的第一非工控信号，并将所述第一非工控信号镜像到所述安全管理区进行安全检测，以检测该第一非工控信号中存在的安全问题，例如，恶意攻击、非法篡改、各种病毒、网络入侵、未知设备接入、违规ip地址通信以及其他违反安全策略的问题。其中，检测结果可以通过安全管理vlan报送至控制中心，在安全管理工作站的屏幕上进行展示。
在步骤s22中，在外部服务网与通信网业务生产区之间设置安全隔离网闸，将来自外部服务网的信号通过安全隔离网闸传送至通信网业务生产区，其中该信号中的安全威胁被阻隔而无法到达通信网业务生产区。其中，安全隔离网闸将外部服务网与通信网业务生产区之间进行了物理隔离，能够阻隔来自外部服务网的安全威胁到达通信网业务生产区，且外部服务网与通信网业务生产区能够进行信息交互。
在步骤s23中，在通信网业务生产区与信号网业务生产区之间设置工业防火墙，使得通信网业务生产区与信号网业务生产区能够通过该工业防火墙传递信号。其中，工业防火墙能够提供通信网业务生产区与信号网业务生产区的安全域间的安全隔离和访问控制，实现对工业控制协议的安全管控与合规检查，保护二者的安全，并满足公安机关对工业控制系统安全防护补充技术要求的要求，还使得通信网业务生产区与信号网业务生产区能够进行信息交互。在一个实施例中，工业防火墙teg可以包括本领域公知的任何合适类型的工业防火墙，例如边界型工业防火墙、区域型工业防火墙等，本发明对此不进行限制。
在一个实施例中，车站可以包括集中站，集中站可根据需要进行设置，例如每若干个(例如3个)车站设置一个集中站。方法20还可以包括：由工业入侵检测探针采集集中站处的工控信号并直接进行安全检测。其中，工业入侵检测探针可直接对工控信号进行安全检测，以检测该工控信号中存在的安全问题，例如，恶意攻击、非法篡改、各种病毒以及其他违反安全策略的问题。
在一个实施例中，外部服务网可以包括第四核心交换机，方法20还可以包括：由第二入侵检测探针探测第四核心交换机处的第二非工控信号，并将第二非工控信号镜像到安全管理区进行安全检测，以检测该第二非工控信号中存在的安全问题，例如，恶意攻击、非法篡改、各种病毒、网络入侵、未知设备接入、违规ip地址通信以及其他违反安全策略的问题。其中，检测结果可以通过安全管理vlan报送至控制中心，在安全管理工作站的屏幕上进行展示。
在一个实施例中，方法20还可以包括：在第四核心交换机处设置第一防火墙，将来自外部网络(例如，因特网)的信号通过第一防火墙传送至第四核心交换机。其中，第一防火墙用于对来自外部网络的信号进行过滤，以拦截其中存在的安全威胁。在一个实施例中，第一防火墙可以为下一代防火墙。在一个实施例中，下一代防火墙可以为全硬件形式。在另一个实施例中，下一代防火墙可以为硬件和软件相结合的形式。
在一个实施例中，方法20还可以包括：在第四核心交换机处设置第二防火墙，将来自第三方接入区的信号通过该第二防火墙传送至第四核心交换机。其中，第二防火墙用于对来自第三方接入区(例如，银联、微信、支付宝等)的信号进行过滤，以拦截其中存在的安全威胁。在一个实施例中，第二防火墙可以为下一代防火墙。在一个实施例中，下一代防火墙可以为全硬件形式。在另一个实施例中，下一代防火墙可以为硬件和软件相结合的形式。
在一个实施例中，通信网业务生产区可以包括第三核心交换机，方法20还可以包括：在第三核心交换机处设置第三防火墙，将到来的信号通过该第三防火墙传送至第三核心交换机。其中，第三防火墙用于对到来的信号进行过滤，以拦截其中存在的安全威胁。其中，到来的信号可以包括来自外部服务网的信号和来自信号业务生产区的信号等等，本发明对此不进行限定。在一个实施例中，第三防火墙可以为下一代防火墙。在一个实施例中，下一代防火墙可以为全硬件形式。在另一个实施例中，下一代防火墙可以为硬件和软件相结合的形式。
应理解，虽然按顺序示出了各个步骤，但这并不意图是限制，上述各个步骤可以以任意顺序执行，也可以增加或减少其中一个或更多个步骤，本发明对此不作限定。
本发明的有益效果：
本发明的用于轨道交通的信息安全网络拓扑和用于实现轨道交通的信息安全的方法，各网络区域的信号都进行了安全检测和防护，从外部服务网向内部的信号传递也进行多层安全检测和防护，信号网业务生产区和通信网业务生成区能够进行信息交互，并且进行了信息安全防护，能够很好地满足国家等级保护的要求，有效地保证了线路运营安全。
本发明的用于轨道交通的信息安全网络拓扑和用于实现轨道交通的信息安全的方法，在划分网络区域的基础上，从外部服务网边界向内部按照纵深防御的方法，提供多层保障，并确保了网络通信基础设施底层服务的高度可用性，同时核心网络节点设备和通信线路进行了冗余容错设计，网络设备的业务处理能力设计可以满足业务高峰期的需求。
此外本发明的信息安全网络拓扑和用于实现轨道交通的信息安全的方法，能够使得云巴dcs系统、afc系统、综合监控系统、云平台等四个子系统满足等级保护三级要求，而时钟系统、广播系统、乘客信息系统、视频监控系统、办公自动化系统等子系统满足等级保护二级要求。
尽管这里已经参考附图描述了示例实施例，应理解上述示例实施例仅仅是示例性的，并且不意图将本发明的范围限制于此。本领域普通技术人员可以在其中进行各种改变和修改，而不偏离本发明的范围和精神。所有这些改变和修改意在被包括在所附权利要求所要求的本发明的范围之内。
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
类似地，应当理解，为了精简本发明并帮助理解各个发明方面中的一个或多个，在对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该本发明的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如相应的权利要求书所反映的那样，其发明点在于可以用少于某个公开的单个实施例的所有特征的特征来解决相应的技术问题。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。
本领域的技术人员可以理解，除了特征之间相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。
以上所述，仅为本发明的具体实施方式或对具体实施方式的说明，本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。本发明的保护范围应以权利要求的保护范围为准。