赵庆安 戴克平 唐龙

1 安全问题

目前，城轨网络安全环境和需求错综复杂，网络安全防护对象呈现多样性，需要进行信息安全防护的环节比较多，众多的城轨信息化智能设备不可避免的存在信息和数据安全薄弱环节，而且网络信息安全防护手段和措施缺乏整体规划。

近期，对某城轨现有网络进行了一次实地测试。被渗透穿越（攻击失陷）的系统包括集团移动办公网、集团内网、集团邮箱系统、VPN系统、人力资源系统、文件管理后台、数据库服务器、UMC统一管理系统、内网系统等。分析数据发现了各类安全事件，例如，通过未授权访问进入移动办公系统，通过获取VPN登录账户进入信息内网，通过内网扫描及横向渗透获取企业价值信息。其中，信息安全漏洞利用的细节包括弱口令、Structs 2远程代码执行、Weblogic反序列化、SQL注入漏洞、数据库配置信息泄露、PhpInfo泄露、XSS网站脚本、Webshell等。这些威胁和安全缺陷带来的影响和后果令人震惊，比如，可以获取重要部门的通信信息、手机号码、邮箱、个人档案、工资信息等，可以从办公OA系统中获取部分文件及处理意见，可以获取部分数据库的所有数据，获取部分服务器的所有文件。总结各类安全事件，其共性的问题如下。

1）缺乏行业自身标准，以及相关工程建设中网络层面上的信息安全体系结构整体规划；已有的信息系统安全设计无规划指导，实施相互独立，所采用的安全保障技术和措施属于局部性建设，定位于补充完善，作用单一且范围有限。……