Система защиты информации системы управления движением электропоездов в автоматическом режиме Российский патент 2023 года по МПК B61L27/00 G06F21/00 

Изобретение относится к области информационной безопасности и может быть использовано для защиты информации системы управления движением электропоездов в автоматическом режиме.

Известна система передачи ответственной информации по защищенным каналам радиосвязи, содержащая вычислительное устройство, которое подключено к персональному компьютеру автоматизированного рабочего места оператора и состоит из двух соединенных между собой серверов, которые по сети передачи данных соединены с управляемыми блоками хранения данных, в которых записаны графики движения поездов и информация о временных ограничениях скорости поезда, а на локомотиве установлены система автоведения поезда и локомотивное устройство безопасности, а так же включает терминал, состоящий из вычислительного модуля с подключенными к нему модулем криптографической защиты, который соединен с WiFi маршрутизатором, и модуль управления сетью передачи данных, соединенный с сетью передачи данных, к которой подключен персональный компьютер автоматизированного рабочего места контроля работы терминала, криптографический шлюз с подключенными к нему сетью передачи данных, модулем контроля абонентов и узлом межсетевого взаимодействия, соединенного с первым сервером вычислительного устройства, а на локомотиве установлен и подключен к CAN шине, с которой соединены система автоведения поезда и локомотивное устройство безопасности, бортовой блок связи, соединенный по сети радиосвязи GSM с модулем контроля абонентов, а по каналу WiFi связи - с WiFi маршрутизатором (RU 2695971 C1, B61L 27/00, B61L 3/12, 29.07.2019).

Известно устройство безопасного обмена ответственной информацией по каналу связи локомотивными и стационарными устройствами безопасности на железнодорожном транспорте, содержащее стационарное устройство, канал которого состоит из центрального процессора, соединенного портами с блоком ввода/вывода, блоком памяти, первый вход центрального процессора соединен с выходом блока ввода информации, а второй вход соединен с выходом блока принятия решения, вход которого соединен с выходом блока анализа, подключенного к первому выходу центрального процессора, второй выход которого соединен с входом блока отображения, и бортовое устройство, канал которого состоит из микроконтроллера, соединенного портами с блоком памяти и гальванической развязкой, и разъема, соединенного через CAN шину с локомотивным устройством безопасности, стационарное устройство выполнено двухканальным, в каждом канале подключены к центральному процессору блок шифрации и блок связи, при этом блок связи каждого канала соединен с криптографическим шлюзом, бортовое устройство выполнено двухканальным, в каждом канале блок дешифрации и трансивер, который подключен к разъему, а через блок гальванической развязки соединен с микроконтроллером, к которому подключен блок дешифрации, блок памяти выполнен в виде двух независимых модулей, а микроконтроллеры каналов соединены между собой через блок межканальной гальванической развязки, с CAN шиной соединена система автоведения, один из микроконтроллеров бортового устройства и один из центральных процессоров стационарного устройства соединены между собой каналом связи через соответствующие модули радиоканала, отличающееся тем, что в стационарное устройство связи введен модуль криптографической защиты, вход которого подключен к центральному процессору второго канала связи, а выход соединен с модулем радиоканала, в бортовое устройство связи введен модуль криптографической защиты, вход которого подключен к модулю радиоканала, а выход соединен с микроконтроллером первого канала, при этом программное обеспечение модулей криптографической защиты выполнено с возможностью контроля ими передачи информации с идентификацией передатчика и приемника и контролем целостности передаваемой и принимаемой информации (RU 2683704 C1, B61L 25/00, 01.04.2019).

Известные технические решения обеспечивают защиту общей целостности передаваемой информации только по радиоканалу за счет контроля качества и достоверности передачи информации, обеспечения однозначности идентификации отправителя и получателя информации.

Однако они не позволяют обеспечить защиту информации системы управления движением поездов, имеющей многоуровневую структуру, сегменты которой соединены с использованием различных выделенных сетей передачи данных.

Система управления движением электропоездов в автоматическом режиме является автоматизированной территориально-распределенной клиент-серверной системой управления и контроля, имеющей многоуровневую структуру, сегменты которой соединены с использованием выделенных сетей передачи данных. Основными компонентами системы управления движением электропоездов в автоматическом режиме являются центр дистанционного контроля и управления (ЦДКУ), стационарные комплексы обнаружения препятствий в зонах ограниченной видимости на объектах железнодорожной инфраструктуры (СКОП), многоконтурные системы автоматического управления электропоездом (МСАУ) и системы контроля посадки-высадки пассажиров (СКПВП).

Задача, решаемая изобретением, заключается в обеспечении информационной безопасности системы управления движением электропоездов в автоматическом режиме, имеющей многоуровневую структуру, сегменты которой соединены с использованием проводных и беспроводных сетей передачи данных.

Технический результат изобретения заключается в повышении эффективности защиты информации системы управления движением электропоездов в автоматическом режиме за счет использования средств идентификации и аутентификации, управления доступом, антивирусной защиты, предотвращения компьютерных атак, контроля целостности, регистрации и учета, резервного копирования и восстановления, анализа защищенности, межсетевого экранирования, криптографической защиты информации, а также средств доверенной загрузки и контроля съемных машинных носителей информации.

Технический результат достигается тем, что система защиты информации системы управления движением электропоездов в автоматическом режиме содержит подсистемы защиты информации компонентов системы управления движением электропоездов в автоматическом режиме - центра дистанционного контроля и управления, многоконтурных систем автоматического управления движением электропоездов, стационарных комплексов обнаружения препятствий в зонах ограниченной видимости на объектах железнодорожной инфраструктуры, систем контроля посадки и высадки пассажиров, а также подсистему защиты информации центрального уровня, включающую два коммутатора, сервера виртуализации, средства защиты информации среды виртуализации, установленные на серверах виртуализации, аппаратно-программные устройства автоматизированных рабочих мест системного администратора и администратора информационной безопасности, средства идентификации и аутентификации, управления доступом, доверенной загрузки, контроля съемных машинных носителей информации, антивирусной защиты, контроля целостности, регистрации и учета, выполненные программными средствами и установленные на аппаратно-программных устройствах автоматизированных рабочих мест системного администратора и администратора информационной безопасности, входы/выходы которых подключены к входам/выходам коммутаторов, вход и выход каждого из которых соединен с выходом и входом соответствующего средства криптографической защиты информации, а другие входы/выходы соединены с выходами/входами аппаратно-программных устройств аппаратно-программного комплекса центра дистанционного контроля и управления, серверов виртуализации, средства предотвращения компьютерных атак и соответствующего средства межсетевого экранирования, подключенного через соответствующий коммутатор уровня ядра к сети передачи данных оперативно-технологического назначения, соединенной через подсистему информационной безопасности узлов межсетевого взаимодействия с внешними системами к сети передачи данных общетехнологического назначения, подсистема защиты информации многоконтурный системы управления движением каждого электропоезда включает средства криптографической защиты информации, входы/выходы каждого из которых подключены через сеть радиосвязи к сети передачи данных оперативно-технологического назначения, а через соответствующее средство межсетевого экранирования - к линиям связи многоконтурной системы управления движением электропоезда, в программное обеспечение программно-аппаратных средств которой встроены функции идентификации и аутентификации, управления доступом и регистрации и учета, а в программное обеспечение средств межсетевого экранирования включена функция предотвращения компьютерных атак, подсистема защиты информации каждого стационарного комплекса обнаружения препятствий включает средства криптографической защиты информации, выходы/входы каждой из которых подключены к сети передачи данных оперативно-технологического назначения и к серверному оборудованию стационарного комплекса обнаружения препятствий, на котором дополнительно установлены средства идентификации и аутентификации, управления доступом, регистрации и учета, антивирусной защиты и контроля целостности, выполненные в виде программных средств, подсистема защиты информации каждой системы контроля посадки высадки пассажиров содержит средства криптографической защиты информации, вход и выход каждого из которых соединены с выходом и входом соответствующего средства межсетевого экранирования, входы/выходы которого подключены к сети передачи данных оперативно-технологического назначения и к выходам/входам серверного оборудования системы контроля посадки высадки пассажиров, на котором дополнительно установлены средства идентификации и аутентификации, управления доступом, антивирусной защиты, контроля целостности и регистрации и учета, выполненные в виде программных средств, а в программное обеспечение средств межсетевого экранирования включена функция предотвращения компьютерных атак, подсистема защиты информации центра дистанционного контроля и управления включает средства идентификации и аутентификации, управления доступом, регистрации и учета, антивирусной защиты и контроля целостности, выполненные в виде программных средств и установленные на аппаратно-программные устройства аппаратно-программного комплекса центра дистанционного контроля и управления, причем подсистемы защиты информации каждого компонента системы управления движением электропоездов в автоматическом режиме включают выполненные в виде программных средств средства анализа защищенности и средства резервного копирования и восстановления, первые из которых установлены на аппаратно-программном устройстве автоматизированного рабочего места администратора информационной безопасности, а вторые - на серверах виртуализации.

Сущность изобретения поясняется чертежом, на котором представлена структурная схема предлагаемой системы защиты информации системы управления движением электропоездов в автоматическом режиме.

Система защиты информации системы управления движением электропоездов в автоматическом режиме содержит подсистемы 1-5 защиты информации компонентов системы управления движением электропоездов в автоматическом режиме - центра дистанционного контроля и управления (ПЗИ 1 ЦДКУ), многоконтурных систем управления движением электропоездов (ПЗИ 2 МСАУ), стационарных комплексов обнаружения препятствий в зонах ограниченной видимости на объектах железнодорожной инфраструктуры (ПЗИ 3 СКОП), систем контроля посадки и высадки пассажиров (ПЗИ 4 СКПВП), а также подсистему защиты информации центрального уровня (ПЗИ 5 ЦУ).

ПЗИ 5 ЦУ включает два коммутатора 6, сервера 7 виртуализации, средства защиты информации среды виртуализации, установленные на серверах 7 виртуализации (на чертеже не показаны), аппаратно-программные устройства автоматизированных рабочих мест 8 и 9 системного администратора и администратора информационной безопасности (АРМ 8 СА и АРМ 9 АИБ), средства идентификации и аутентификации, управления доступом, доверенной загрузки, контроля съемных машинных носителей информации, регистрации и учета, антивирусной защиты и контроля целостности, выполненные программными средствами и установленные на АРМ 8 СА и АРМ 9 АИБ, входы/выходы которых подключены к входам/выходам коммутаторов 6, вход и выход каждого из которых соединен с выходом и входом соответствующего средства 10 криптографической защиты информации (СКЗИ 10), а другие входы/выходы соединены с выходами/входами аппаратно-программных устройств аппаратно-программного комплекса 11 центра дистанционного контроля и управления (АПК 11 ЦДКУ), серверов 7 виртуализации, средства 12 предотвращения компьютерных атак (СОВ 12) и соответствующего средства 13 межсетевого экранирования (МЭ 13), подключенного через соответствующий коммутатор 14 уровня ядра к сети 15 передачи данных оперативно-технологического назначения (СПД 15 ОТН), соединенной через подсистему 16 информационной безопасности узлов межсетевого взаимодействия, выполненную в виде программно-аппаратного комплекса (ПАК ПИБ 16 УМВ), с внешними системами в сети 17 передачи данных общетехнологического назначения (СПД 17 ОбТН).

ПЗИ 2 МСАУ каждого электропоезда включает средства 18 криптографической защиты информации (СКЗИ 18), входы/выходы каждого из которых подключены через сеть 19 радиосвязи к СПД 14 ОТН, а через соответствующее средство 20 межсетевого экранирования (МЭ 20) - к линиям связи многоконтурной системы 21 управления движением электропоезда (МСАУ 21), в программное обеспечение программно-аппаратных средств которой встроены функции идентификации и аутентификации, управления доступом и регистрации и учета, а в программное обеспечение МЭ 20 включена функция предотвращения компьютерных атак.

Каждая ПЗИ 3 СКОП включает средства 22 криптографической защиты информации (СКЗИ 22), выходы/входы каждой из которых подключены к СПД 14 ОТН и к серверному оборудованию стационарного комплекса 23 обнаружения препятствий (СКОП 23), на котором дополнительно установлены средства идентификации и аутентификации, управления доступом, регистрации и учета, антивирусной защиты и контроля целостности, выполненные в виде программных средств (на чертеже не показаны).

Каждая ПЗИ 4 СКПВП содержит средства 24 криптографической защиты информации (СКЗИ 24), вход и выход каждого из которых соединены с выходом и входом соответствующего средства 25 межсетевого экранирования (МЭ 25), входы/выходы которого подключены к СПД 14 ОТН и к выходам/входам серверного оборудования системы 26 контроля посадки высадки пассажиров (СКПВП 26), на котором дополнительно установлены средства идентификации и аутентификации, управления доступом, регистрации и учета, антивирусной защиты и контроля целостности, выполненные в виде программных средств (на чертеже не показаны), а в программное обеспечение МЭ 25 включена функция предотвращения компьютерных атак.

ПЗИ 1 ЦДКУ включает средства идентификации и аутентификации, управления доступом, регистрации и учета, антивирусной защиты и контроля целостности, выполненные в виде программных средств и установленные на аппаратно-программные устройства АПК 11 ЦДКУ.

При этом ПЗИ 1 ЦДКУ, ПЗИ 2 МСАУ, ПЗИ 3 СКОП, ПЗИ 4 СКПВП и ПЗИ 5 ЦУ включают выполненные в виде программных средств средства анализа защищенности и средства резервного копирования и восстановления, первые из которых установлены на АРМ 9 АИБ, а вторые - на серверах 7 виртуализации.

Система защиты информации системы управления движением электропоездов в автоматическом режиме функционирует следующим образом.

ПЗИ 5 ЦУ в режиме реального времени осуществляет контроль функционирования ПЗИ 1 ЦДКУ, ПЗИ 2 МСАУ, ПЗИ 3 СКОП, ПЗИ 4 СКПВП, мониторинг событий информационной безопасности, а также обеспечивает предупреждение и обнаружение компьютерных атак, защиту информационной инфраструктуры системы управления движением электропоездов в автоматическом режиме от несанкционированного доступа к информации.

В ПЗИ 5 ЦУ размещаются основные административные средства защиты информации, с помощью которых осуществляется управление и мониторинг всех средств защиты информации, входящих в состав ПЗИ 1 ЦДКУ, ПЗИ 2 МСАУ, ПЗИ 3 СКОП, ПЗИ 4 СКПВП.

Защиту от несанкционированного доступа к компонентам системы управления движением электропоездов в автоматическом режиме в ПЗИ 5 ЦУ обеспечивают установленные на аппаратно-программных устройствах АРМ 8 СА и АРМ 9 АИБ средства идентификации и аутентификации, управления доступом, доверенной загрузки, контроля съемных машинных носителей информации и контроля целостности.

Средства идентификации и аутентификации на АРМ 8 СА и АРМ 9 АИБ, обеспечивают присвоение субъектам и объектам доступа уникального признака - идентификатора, сравнение предъявляемого субъектом (объектом) доступа идентификатора с перечнем присвоенных идентификаторов, а также проверку принадлежности субъекту (объекту) доступа предъявленного им идентификатора (подтверждение подлинности).

Средства управления доступом, на АРМ 8 СА и АРМ 9 АИБ, обеспечивают управление правами и привилегиями субъектов доступа, разграничение доступа субъектов доступа к объектам доступа на основе совокупности установленных в информационной системе правил разграничения доступа, а также обеспечивают контроль соблюдения этих правил.

Средства доверенной загрузки на АРМ 8 СА и АРМ 9 АИБ, обеспечивают блокирование попыток несанкционированной загрузки нештатной операционной системы (среды) или недоступность информационных ресурсов средства вычислительной техники для чтения или модификации в случае загрузки нештатной операционной системы; контроль доступа субъектов доступа к процессу загрузки операционной системы; контроль целостности программного обеспечения и аппаратных компонентов средств вычислительной техники.

Средства контроля целостности на АРМ 8 СА и АРМ 9 АИБ, обеспечивают контроль целостности программного обеспечения, в том числе программное обеспечение средств защиты информации, включая их обновления, по наличию имен (идентификаторов) и (или) по контрольным суммам компонентов средств защиты информации в процессе загрузки и (или) динамически в процессе их работы; обнаружение фактов несанкционированного нарушения целостности информации.

Установленные на АРМ 8 СА и АРМ 9 АИБ средства регистрации и учета предназначены для регистрации, учета и обработки событий безопасности, осуществляют сбор, запись и хранение информации о событиях безопасности в информационной системе, позволяют просматривать записи регистрации для событий безопасности, подлежащих регистрации.

Средства антивирусной защиты на АРМ 8 СА и АРМ 9 АИБ, обеспечивают обнаружение компьютерных программ либо иной компьютерной информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты информации; проверку в масштабе времени, близком к реальному, объектов (файлов) из внешних источников (съемных машинных носителей информации, сетевых подключений, и других внешних источников) при загрузке, открытии или исполнении таких файлов; оповещение администраторов безопасности в масштабе времени, близком к реальному, об обнаружении вредоносных компьютерных программ (вирусов); выполнение действий по реагированию на обнаружение в информационной системе объектов, подвергшихся заражению вредоносными компьютерными программами (вирусами).

Установленные на АРМ 9 АИБ средства анализа защищенности ПЗИ 1 ЦДКУ, ПЗИ 2 МСАУ, ПЗИ 3 СКОП, ПЗИ 4 СКПВП и ПЗИ 5 ЦУ осуществляют контроль целостности программного обеспечения и аппаратных компонентов средств вычислительной техники; контроль уровня защищенности информации, содержащейся в информационной системе, путем проведения анализа защищенности информационной системы и тестирования ее системы защиты информации; выявление уязвимостей, связанных с ошибками кода в программном обеспечении (системном, прикладном), а также программном обеспечении средств защиты информации; контроль установки обновлений системного, прикладного программного обеспечения, а также программного обеспечения средств защиты информации; инвентаризацию технических средств, программного обеспечения и средств защиты информации в информационной системе; решение задач мониторинга состояния и событий безопасности.

Серверы 7 виртуализации с помощью средств резервного копирования и восстановления ПЗИ 1 ЦДКУ, ПЗИ 2 МСАУ, ПЗИ 3 СКОП, ПЗИ 4 СКПВП и ПЗИ 5 ЦУ для каждой из них осуществляют резервное копирование общесистемного, специального и прикладного программного обеспечения, а также программного обеспечения средств защиты информации, необходимых для обеспечения требуемых условий непрерывности функционирования информационной системы и доступности информации, кроме того обеспечивают восстановление информации из резервных копий.

Режим работы резервного копирования данных каждой ПЗИ 1-5 в автоматическом режиме с заданной периодичностью задает администратор информационной безопасности на АРМ 9 АИБ. В случае нехватки свободного дискового пространства для сохранения файла архива механизмами резервного копирования общесистемного программного обеспечения осуществляется автоматическая перезапись наиболее старого архивного файла. При этом администратор информационной безопасности осуществляет ежедневное автоматизированное резервирование электронных журналов регистрации событий безопасности.

Администратор информационной безопасности посредством АРМ 9 АИБ периодически осуществляет также проверку работоспособности механизмов резервного копирования общесистемного программного обеспечения, средств хранения резервных копий и механизмов восстановления данных из резервных копий общесистемного программного обеспечения.

Восстановление информации с резервных машинных носителей информации (резервных копий) предусматривает определение времени, в течение которого должно быть обеспечено восстановление информации, и обеспечивающего требуемые условия непрерывности функционирования и доступности информации; восстановление информации с резервных машинных носителей информации (резервных копий) в течение установленного временного интервала; регистрацию событий, связанных с восстановлением информации с резервных машинных носителей информации.

С помощью средств контроля съемных машинных носителей информации на АРМ 8 СА и АРМ 9 АИБ ведется учет разрешенных к использованию типов съемных машинных носителей информации и/или конкретных съемных машинных носителей информации; управление доступом к машинным носителям информации; контроль использования интерфейсов ввода (вывода) информации на машинные носители информации.

Средства защиты среды виртуализации на серверах 7 виртуализации ПЗИ 5 ЦУ используются для исключения несанкционированного доступа к информации, обрабатываемой в виртуальной инфраструктуре, и к компонентам виртуальной инфраструктуры. Кроме того, они используются для управления виртуальной инфраструктурой, осуществляют мониторинг виртуальных машин, обеспечивают хранение данных, включая хранение образов виртуальной инфраструктуры, сети передачи данных через элементы виртуальной или физической инфраструктуры, гостевых операционных систем, виртуальных машин (контейнеров), систем и сетей репликации, терминальных и виртуальных устройств, а также систем резервного копирования и создаваемых ею копий.

Средства 12 предотвращения компьютерных атак (СОВ 12) предназначены для предотвращения вторжений путем обнаружения действий, направленных на преднамеренный несанкционированный доступ к информации, и специальных воздействий в целях добывания, уничтожения и искажения информации, блокирования доступа к ней, а также для анализа сетевого трафика и выявления атак на периметре и внутри сети, в том числе для обеспечения нейтрализации сетевых атак типа «отказ в обслуживании», целью которых является нарушение доступности.

Средства 13 межсетевого экранирования (МЭ 13) предназначены для обеспечения межсетевого экранирования, управления информационными потоками между устройствами, сетевыми сегментами и смежными информационными системами. МЭ 13 осуществляет фильтрацию входящих и исходящих сетевых пакетов; фильтрацию на сетевом уровне независимо для каждого сетевого пакета; фильтрацию пакетов служебных протоколов, служащих для диагностики и управления работой сетевых устройств; фильтрацию на транспортном уровне запросов на установление виртуальных соединений с учетом транспортных адресов отправителя и получателя; фильтрацию на прикладном уровне запросов к прикладным сервисам с учетом прикладных адресов отправителя и получателя; регистрацию и учет запросов на установление виртуальных соединений; локальную сигнализацию попыток нарушения правил фильтрации; идентификацию и аутентификацию администратора средства межсетевого экранирования; регистрацию действий администратора средства межсетевого экранирования по изменению правил фильтрации.

СКЗИ 10 предназначены для обеспечения защиты информации при ее передаче по каналам связи, выходящим за пределы контролируемой зоны, путем ее криптографического преобразования; обеспечивают подписание электронных документов электронной подписью и ее проверку; генерацию и распределение ключевой информации; управление ключевой информацией; криптографическую защиту информации при передаче информации по каналам связи; исключение возможности отрицания пользователем факта отправки информации другому пользователю/получения информации от другого пользователя (с использованием средств электронной подписи); целостность информации при ее передаче по каналам связи.

ПЗИ 1 ЦДКУ предназначена для защиты информации ЦДКУ.

ЦДКУ является распределенной многопользовательской системой с разграничением прав доступа и выполнен в виде аппаратно-программного комплекса (АПК 11 ЦДКУ).

АПК 11 ЦДКУ предназначен для осуществления управления движением электропоездов в автоматическом режиме, контроля эксплуатации электропоездов на полигоне обращения в автоматическом режиме и их технического состояния, технического состояния составных частей системы контроля и управления, а также для реализации дистанционного управления электропоездами в случае возникновения нештатных ситуаций.

ПЗИ 1 ЦДКУ осуществляет защиту от несанкционированного доступа (НСД); регистрацию, учет и обработку событий безопасности; антивирусную защиту; межсетевое экранирование; предотвращение вторжений; криптографическую защиту; анализ защищенности; контроль конфигураций; резервное копирование; управление информационной безопасностью.

Защита от НСД обеспечивается за счет использования наложенных средств защиты информации и настройки штатных механизмов безопасности общесистемного и прикладного программного обеспечения на аппаратно-программные устройства АПК 11 ЦДКУ (АРМы, серверы) и АРМ 9 АИБ ПЗИ 5 ЦУ.

В качестве средств защиты информации используются средства идентификации и аутентификации, управления доступом, регистрации и учета, антивирусной защиты и контроля целостности, выполненные в виде программных средств и установленные на аппаратно-программные устройства АПК 11 ЦДКУ и АРМ 9 АИБ.

Антивирусная защита в ПЗИ 1 ЦДКУ обеспечивается за счет использования соответствующих средств антивирусной защиты, установленных на аппаратно-программные устройства АПК 11 ЦДКУ.

Для обеспечения интеграции ПЗИ 1 ЦДКУ с системой антивирусной зашиты инфраструктуры железнодорожного транспорта используется сервер администрирования, развернутый в виртуальной среде. На АРМ и серверах АПК 11 ЦДКУ, АРМ 9 АИБ и серверах 7 виртуализации ПЗИ 5 ЦУ установлены средства антивирусной защиты с агентами администрирования, которые управляются сервером администрирования из состава ПЗИ 5 ЦУ.

Межсетевое экранирование предназначено для обеспечения управления информационными потоками между АПК 11 ЦДКУ и МСАУ 21, СКОП 23 и СКПВП 26, между АПК 1 ЦДКУ и СПД 15 ОТН и СПД 16 ОбТН, а также для ограничения сетевого взаимодействия с сетью 19 радиосвязи.

Межсетевое экранирование ПЗИ 1 ЦДКУ обеспечивают средства 13 межсетевого экранирования (МЭ 13), входящие в состав ПЗИ 5 ЦУ, и подсистема информационной безопасности узлов межсетевого взаимодействия с внешними системами, выполненная в виде программно-аппаратного комплекса (ПАК ПИБ 16 УМВ).

Предотвращение вторжений предназначено для обеспечения обнаружения действий, направленных на преднамеренный несанкционированный доступ к информации, и специальных воздействий в целях добывания, уничтожения и искажения информации, а также блокирования доступа к ней.

Предотвращение вторжений ПЗИ 1 ЦДКУ обеспечивает СОВ 12, входящее в состав ПЗИ 5 ЦУ, которое анализирует копию сетевого трафика, обрабатываемого в АПК 11 ЦДКУ. Информация о зарегистрированных событиях информационной безопасности (ИБ) и сетевом трафике, отнесенному к зарегистрированному событию ИБ, автоматически сохраняется и хранится в собственной базе данных СОВ 12, а также пересылается через коммутаторы 6, МЭ 13, коммутаторы 14 уровня ядра, СПД 15 ОТН и ПАК ПИБ 16 УМВ внешним системам информационной безопасности инфраструктуры железнодорожного транспорта, подключенным к СПД 17 ОбТН.

Криптографическая защита информации обеспечивает защиту информации при ее передаче по каналам связи, выходящим за пределы контролируемой зоны, путем ее криптографического преобразования и обеспечивается АРМ 9 АИБ, СКЗИ 10 и ПАК ПИБ 16 УМВ.

В целях обеспечения отказоустойчипости и создания двух независимых каналов связи с АПК 11 ЦДКУ в ПЗИ 5 ЦУ используют два СКЗИ 10 с разными криптографическими ядрами. При этом для передачи криптографической информации при взаимодействии АПК 11 ЦДКУ с МСАУ 21, СКОП 23 и СКПВП 26 используют соответственно два СКЗИ 18 МСАУ 21, два СКЗИ 22 СКОП 23 и два СКЗИ 25 СКПВП 26 также с разными криптографическими ядрами, совместимыми с используемыми криптографическими ядрами СКЗИ 10.

Контроль требуемого класса/уровня защищенности компонентов АПК 11 ЦДКУ осуществляет АРМ 9 АИБ, на котором установлены средств анализа защищенности, путем проведения систематических мероприятий по выявлению и анализу уязвимостей, контролю установки обновлений программного обеспечения (ПО), состава ПО и технических средств и правильности функционирования средств защиты информации.

Контроль конфигураций обеспечивает автоматизацию управления изменениями конфигурации. Контроль конфигураций обеспечивают средства анализа защищенности и настройки штатных механизмов безопасности общесистемного и прикладного программного обеспечения на аппаратно-программных устройствах АПК 11 ЦДКУ (на АРМ, серверах, сетевом оборудовании) и АРМ 9 АИБ.

Резервное копирование обеспечивает автоматическое создание резервных копий, а также их восстановление в случае возникновения нештатных ситуаций.

АРМ 9 АИБ и серверы 7 виртуализации за счет средств резервного копирования осуществляют резервное копирование серверов и автоматизированных рабочих мест АПК 11 ЦДКУ, а также их восстановление в случае возникновения нештатных ситуаций.

Управление информационной безопасностью для централизованного управления компонентами информационной безопасности реализуется средствами защиты информации, установленными на АРМ 9 АИБ и серверах 7 виртуализации, и путем взаимодействия с системами информационной безопасности инфраструктуры железнодорожного транспорта.

МСАУ 21 является системой управления, обеспечения безопасности и диагностики для электропоезда с четвертым уровнем автоматизации GOA4 (по МЭК 62290-1), осуществляет эксплуатацию электропоезда без присутствия машиниста на борту и реализует 3 режима управления:

- автоматический, при котором управление электропоездом осуществляется без машиниста с применением дополнительных мер по обеспечению безопасности пассажиров, устанавливаемых на электропоезде и на инфраструктуре;

- дистанционный при удаленном управлении из ЦДКУ машинистом-оператором, при котором обеспечивается управление основными системами, руководствуясь командами, получаемыми от ЦДКУ, а также сигналами датчиков, предусмотренных схемой электропоезда;

- ручной с пульта управления кабины машиниста, при котором обеспечивается управление основными системами, руководствуясь командами, получаемыми с пульта машиниста.

В качестве основного канала дистанционного управления, мониторинга и контроля используют канал радиосвязи.

ПЗИ 2 МСАУ обеспечивает нейтрализацию угроз безопасности информации МСАУ 21 и требуемый уровень защищенности информации ограниченного доступа за счет реализации защиты от несанкционированного доступа; регистрации, учета и обработки событий безопасности; антивирусной защиты; межсетевого экранирования; предотвращения вторжений; криптографической защиты; контроля конфигураций; резервного копирования.

ПЗИ 2 МСАУ функционирует в круглосуточном режиме работы с перерывами на регламентные работы.

Защита от несанкционированного доступа предназначена для предотвращения несанкционированного доступа к компонентам МСАУ 21 путем идентификации и аутентификации субъектов доступа; управления правами и привилегиями доступа администраторов и пользователей к информационным ресурсам МСАУ; обеспечения доступности; защиты технических средств и систем; защиты машинных носителей информации.

Защита от несанкционированного доступа реализуется на электропоезде программным обеспечением программно-аппаратных средств МСАУ 21 с встроенными функциями идентификации и аутентификации, управления доступом и регистрации и учета; на АРМ 8 СА и АРМ 9 АИБ программными средствами защиты информации; на АРМ машинистов-операторов в составе АПК 11 ЦДКУ в рамках ПЗИ 1 ЦДКУ.

Регистрация, учет и обработка событий безопасности предназначена для сбора событий безопасности, поступающих от различных источников, и реагирования на компьютерные инциденты.

Для регистрации, учета и обработки событий безопасности в ПЗИ 2 МСАУ используются на электропоезде программно-аппаратные средства МСАУ 21 с встроенными функциями регистрации и учета, МЭ 13 и СКЗИ 18; на АРМ 8 СА и АРМ 9 АИБ установленные на них программные средства защиты информации.

Межсетевое экранирование в ПЗИ 2 МСАУ осуществляет МЭ 20 с функцией предотвращения компьютерных атак, обеспечивающий межсетевое экранирование, управление информационными потоками между устройствами МСАУ 21, сетевыми сегментами и смежными информационными системами.

МЭ 20 осуществляет сегментирование сети электропоезда и доступ машинистов-операторов к элементам управления электропоездом в дистанционном режиме.

Предотвращение вторжений предназначено для обеспечения обнаружения действий, направленных на преднамеренный несанкционированный доступ к информации, и специальных воздействий в целях добывания, уничтожения и искажения информации, а также блокирования доступа к ней.

Предотвращение вторжений в ПЗИ 2 МСАУ реализует СОВ 12 ПЗИ 5 ЦУ, а также МЭ 20 с функцией предотвращения компьютерных атак ПЗИ 2 МСАУ.

Для осуществления криптографической защиты информации в ПЗИ 2 МСАУ используется два СКЗИ 18, один из которых предназначен для контроля взаимодействий с электропоездом при включении/выключении питания электропоездом, а другой - для контроля взаимодействий с электропоездом по сети 19 радиосвязи.

Контроль конфигураций обеспечивает автоматизацию управления изменениями конфигурации и осуществляется путем использования программного средства анализа защищенности, установленного на АРМ 9 АИБ, входящего в состав ПЗИ 1 ЦУ.

Резервное копирование обеспечивает автоматическое создание резервных копий, а также их восстановление в случае возникновения нештатных ситуаций.

Для реализации резервного копирования в ПЗИ 2 МСАУ используют средства резервного копирования и восстановления, которые установлены на серверах 7 виртуализации, АРМ 8 СА и АРМ 9 АИБ.

События ИБ, получаемые в результате функционирования ПЗИ 2 МСАУ, СКЗИ 18 передает через сеть 19 радиосвязи в СПД 15 ОТН, далее через коммутаторы 14 уровня ядра, МЭ 3 и коммутаторы 6 в СОВ 12 ПЗИ 5 ЦУ для регистрации, которое в свою очередь через коммутаторы 6, МЭ 3, коммутаторы 14 уровня ядра, СПД 15 ОТН, ПАК ПИБ 16 УМВ и СПД 17 ОбТН передает события ИБ для анализа в систему управления информационной безопасности инфраструктуры железнодорожного транспорта, где на основании правил корреляции в автоматическом или автоматизированном режиме регистрируются инциденты ИБ. Для выявления инцидентов, специфичных для МСАУ 21, выделяются зоны соответствующих IP-адресов и формируются правила автоматической регистрации инцидентов, специфичных для МСАУ 21.

ПЗИ 2 СКОП предназначена для блокирования (нейтрализации) актуальных угроз безопасности информации в СКОП 23, а также обеспечение требуемого уровня защищенности информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну.

СКОП 23 представляет собой программно-аппаратный комплекс, устанавливаемый вблизи железнодорожного пути в зонах ограниченной видимости (ЗОВ). СКОП 23 содержит блоки видеофиксации и оповещения (БВО) и блок обработки и связи (БСО).

БВО предназначен для сбора информации об объектах (препятствиях), находящихся в ЗОВ и речевого оповещения о приближении электропоезда.

БСО предназначен для приема и обработки информации, поступающей от БВО, организации информационного обмена с ЦДКУ и управления вспомогательным оборудованием.

СКОП взаимодействует с ЦДКУ, а с МСАУ опосредованно, через ЦДКУ.

Информационное взаимодействие с ЦДКУ с целью передачи данных в смежные системы информации от СКОП обеспечивается через СПД 15 ОТН.

ПЗИ 3 СКОП осуществляет защиту от несанкционированного доступа; регистрацию, учет и обработку событий безопасности; антивирусную защиту; криптографическую защиту; анализ защищенности; контроль конфигураций; резервное копирование; управление информационной безопасностью.

Защита от НСД обеспечивается за счет использования наложенных средств защиты информации и настройки штатных механизмов безопасности общесистемного и прикладного программного обеспечения на серверном оборудовании СКОП 23 и АРМ 9 АИБ ПЗИ 5 ЦУ.

Регистрация, учет и обработка событий безопасности в ПЗИ 3 СКОП реализуется за счет использования средств защиты информации и настройки штатных механизмов безопасности общесистемного и прикладного программного обеспечения на серверном оборудовании СКОП 23 и АРМ 9 АИБ.

Для реализации антивирусной защиты в ПЗИ 3 СКОП используются средства антивирусной защиты на серверном оборудовании СКОП 23 и АРМ 9 АИБ.

В ПЗИ 3 СКОП криптографическая защита информации реализуется за счет применения СКЗИ 22.

Анализ защищенности в ПЗИ 3 СКОП реализуется за счет использования средства анализа защищенности, установленного на АРМ 9 АИБ, входящего в состав ПЗИ 1 ЦУ, которое в свою очередь осуществляет контроль конфигураций, обеспечивающий автоматизацию управления изменениями конфигурации.

Резервное копирование в ПЗИ 3 СКОП реализуется средствами резервного копирования и восстановления, которые установлены на серверах 7 виртуализации и АРМ 9 АИБ.

Управление информационной безопасностью для централизованного управления компонентами информационной безопасности реализуется средствами защиты информации, установленными на АРМ 9 АИБ и серверах 7 виртуализации, и путем взаимодействия с системами информационной безопасности инфраструктуры железнодорожного транспорта.

Информацию об объектах, находящихся в ЗОВ, СКОП 23 передает в СКЗИ 22, которое осуществляет ее криптографическую защиту. С выхода СКЗИ 22 защищенная информация через СПД 15 ОТН, коммутаторы 14 уровня ядра, МЭ 13 и коммутаторы 6 передается в СОВ 12 ПЗИ 5 ЦУ, которое анализирует копию сетевого трафика, передаваемого из СКОП 23 в АПК 11 ЦДКУ.

Информация о зарегистрированных в СОВ 12 событиях информационной безопасности и сетевом трафике, отнесенному к зарегистрированному событию информационной безопасности, автоматически сохраняется и хранится в собственной базе данных СОВ 12, и пересылается в систему информационной безопасности железнодорожного транспорта.

Для обеспечения интеграции ПЗИ 3 СКОП с системой антивирусной защиты инфраструктуры железнодорожного транспорта используется сервер администрирования, установленный в виртуальной среде серверов 7 виртуализации ПЗИ 5 ЦУ. На серверном оборудовании СКОП 23, аппаратно-программном устройстве АРМ 9 АИБ и серверах 7 виртуализации ПЗИ 5 ЦУ установлены средства антивирусной защиты с агентами администрирования, которые управляются сервером администрирования из состава ПЗИ 5 ЦУ.

Сервер администрирования ПЗИ 5 ЦУ устанавливает соединение с системой антивирусной защиты инфраструктуры железнодорожного транспорта через коммутаторы 6, МЭ 13, коммутаторы 14 уровня ядра, СПД 15 ОТН и ПАК ПИБ 16 УМВ, подключенный к СПД 17 ОбТН.

Для организации движения электропоездов в автоматическом режиме, пассажирские платформы оборудуются системой контроля посадки-высадки пассажиров (СКПВП), предназначенной для обеспечения автоматизации процессов в части посадки-высадки пассажиров.

ПЗИ 4 СКПВП обеспечивает блокирование (нейтрализацию) актуальных угроз безопасности информации в СКПВП, а также требуемый уровень защищенности информации ограниченного доступа за счет реализации защиты от несанкционированного доступа; регистрации, учета и обработки событий безопасности; антивирусной защиты; межсетевого экранирования; предотвращения вторжений; криптографической защиты; анализа защищенности; контроля конфигураций; резервного копирования; управления информационной безопасностью.

ПЗИ 4 СКПВП функционирует в круглосуточном режиме работы с перерывами на регламентные работы.

Защита от несанкционированного доступа предназначена для предотвращение несанкционированного доступа к компонентам СКПВП 26 путем идентификации и аутентификации субъектов доступа; управления правами и привилегиями доступа администраторов и пользователей к информационным ресурсам СКПВП 26; контроля целостности; обеспечения доступности; защиты технических средств и систем; защиты машинных носителей информации.

Защита от несанкционированного доступа реализуется за счет использования наложенных средств защиты информации и настройки штатных механизмов безопасности общесистемного и прикладного программного обеспечения на серверах СКПВП 26 и АРМ 9 АИБ.

Регистрация, учет и обработка событий безопасности предназначена для сбора событий безопасности, поступающих от различных источников, и реагирования на компьютерные инциденты.

Для регистрации, учета и обработки событий безопасности в ПЗИ 4 СКПВП используются средства защиты информации и штатные механизмы безопасности общесистемного и прикладного программного обеспечения на серверах СКПВП 26 и АРМ 9 АИБ.

Антивирусная защита предназначена для обнаружения в СКПВП 26 компьютерных программ либо иной компьютерной информации, предназначенных для реализации несанкционированных действий, направленных на уничтожение, блокирование, модификацию, копирование защищаемой информации или нейтрализацию средств защиты информации, а также для реагирования при обнаружении этих программ или результатов их работы.

Антивирусная защита в ПЗИ 4 СКПВП реализуется за счет использования средств антивирусной защиты на серверах СКПВП 26 и АРМ 9 АИБ.

Межсетевое экранирование в ПЗИ 4 СКПВП осуществляет МЭ 25 с функцией предотвращения компьютерных атак, который в том числе обеспечивает управление информационными потоками между устройствами СКПВП 26, сетевыми сегментами и смежными информационными системами.

Предотвращение вторжений предназначено для обеспечения обнаружения действий, направленных на преднамеренный несанкционированный доступ к информации, и специальных воздействий в целях добывания, уничтожения и искажения информации, а также блокирования доступа к ней.

Предотвращение вторжений в ПЗИ 4 СКПВП реализуется СОВ 12 ПЗИ 5 ЦУ, а также МЭ 25 с функцией предотвращения компьютерных атак.

Криптографическая защита информации предназначена для обеспечения защиты информации при ее передаче по каналам связи, выходящим за пределы контролируемой зоны, путем ее криптографического преобразования.

Для осуществления криптографической защиты информации в ПЗИ 4 СКПВП используется СКЗИ 24.

Анализ защищенности предназначен для обеспечения контроля требуемого класса/уровня защищенности компонентов СКПВП путем проведения систематических мероприятий по выявлению и анализу уязвимостей, контролю установки обновлений программного обеспечения, состава программного обеспечения и технических средств и правильности функционирования средств защиты информации.

Анализ защищенности реализуется за счет использования средства анализа защищенности, установленного на АРМ 9 АИБ, входящего в состав ПЗИ 1 ЦУ, которое в свою очередь осуществляет контроль конфигураций, обеспечивающий автоматизацию управления изменениями конфигурации.

Резервное копирование обеспечивает автоматическое создание резервных копий, а также их восстановление в случае возникновения нештатных ситуаций.

Для реализации резервного копирования в ПЗИ 4 СКПВП используются средства резервного копирования и восстановления, которые установлены на серверах 7 виртуализации и АРМ 9 АИБ.

Управление информационной безопасностью для централизованного управления компонентами информационной безопасности реализуется средствами защиты информации, установленными на АРМ 9 АИБ и серверах 7 виртуализации, и путем взаимодействия с системами информационной безопасности инфраструктуры железнодорожного транспорта.

Изобретение относится к средствам информационной безопасности для защиты системы управления движением электропоездов. Система содержит подсистемы защиты информации компонентов системы управления движением электропоездов в автоматическом режиме - центра дистанционного контроля и управления (ПЗИ 1 ЦДКУ), многоконтурных систем управления движением электропоездов (ПЗИ 2 МСАУ), стационарных комплексов обнаружения препятствий в зонах ограниченной видимости на объектах железнодорожной инфраструктуры (ПЗИ 3 СКОП), систем контроля посадки и высадки пассажиров (ПЗИ 4 СКПВП), а также подсистему защиты информации центрального уровня (ПЗИ 5 ЦУ). Достигается повышение надежности защиты информации. 1 ил.

Система защиты информации системы управления движением электропоездов в автоматическом режиме, характеризующаяся тем, что содержит подсистемы защиты информации компонентов системы управления движением электропоездов в автоматическом режиме - центра дистанционного контроля и управления, многоконтурных систем автоматического управления движением электропоездов, стационарных комплексов обнаружения препятствий в зонах ограниченной видимости на объектах железнодорожной инфраструктуры, систем контроля посадки и высадки пассажиров, а также подсистему защиты информации центрального уровня, включающую два коммутатора, сервера виртуализации, средства защиты информации среды виртуализации, установленные на серверах виртуализации, аппаратно-программные устройства автоматизированных рабочих мест системного администратора и администратора информационной безопасности, средства идентификации и аутентификации, управления доступом, доверенной загрузки, контроля съемных машинных носителей информации, антивирусной защиты, контроля целостности, регистрации и учета, выполненные программными средствами и установленные на аппаратно-программных устройствах автоматизированных рабочих мест системного администратора и администратора информационной безопасности, входы/выходы которых подключены к входам/выходам коммутаторов, вход и выход каждого из которых соединен с выходом и входом соответствующего средства криптографической защиты информации, а другие входы/выходы соединены с выходами/входами аппаратно-программных устройств аппаратно-программного комплекса центра дистанционного контроля и управления, серверов виртуализации, средства предотвращения компьютерных атак и соответствующего средства межсетевого экранирования, подключенного через соответствующий коммутатор уровня ядра к сети передачи данных оперативно-технологического назначения, соединенной через подсистему информационной безопасности узлов межсетевого взаимодействия с внешними системами к сети передачи данных общетехнологического назначения, подсистема защиты информации многоконтурный системы управления движением каждого электропоезда включает средства криптографической защиты информации, входы/выходы каждого из которых подключены через сеть радиосвязи к сети передачи данных оперативно-технологического назначения, а через соответствующее средство межсетевого экранирования - к линиям связи многоконтурной системы управления движением электропоезда, в программное обеспечение программно-аппаратных средств которой встроены функции идентификации и аутентификации, управления доступом и регистрации и учета, а в программное обеспечение средств межсетевого экранирования включена функция предотвращения компьютерных атак, подсистема защиты информации каждого стационарного комплекса обнаружения препятствий включает средства криптографической защиты информации, выходы/входы каждой из которых подключены к сети передачи данных оперативно-технологического назначения и к серверному оборудованию стационарного комплекса обнаружения препятствий, на котором дополнительно установлены средства идентификации и аутентификации, управления доступом, регистрации и учета, антивирусной защиты и контроля целостности, выполненные в виде программных средств, подсистема защиты информации каждой системы контроля посадки высадки пассажиров содержит средства криптографической защиты информации, вход и выход каждого из которых соединены с выходом и входом соответствующего средства межсетевого экранирования, входы/выходы которого подключены к сети передачи данных оперативно-технологического назначения и к выходам/входам серверного оборудования системы контроля посадки высадки пассажиров, на котором дополнительно установлены средства идентификации и аутентификации, управления доступом, антивирусной защиты, контроля целостности и регистрации и учета, выполненные в виде программных средств, а в программное обеспечение средств межсетевого экранирования включена функция предотвращения компьютерных атак, подсистема защиты информации центра дистанционного контроля и управления включает средства идентификации и аутентификации, управления доступом, регистрации и учета, антивирусной защиты и контроля целостности, выполненные в виде программных средств и установленные на аппаратно-программные устройства аппаратно-программного комплекса центра дистанционного контроля и управления, причем подсистемы защиты информации каждого компонента системы управления движением электропоездов в автоматическом режиме включают выполненные в виде программных средств средства анализа защищенности и средства резервного копирования и восстановления, первые из которых установлены на аппаратно-программном устройстве автоматизированного рабочего места администратора информационной безопасности, а вторые - на серверах виртуализации.