# 交通网络安全与关基保护深度框架

> 本文档系统阐述交通行业的网络安全与CII保护深度框架。涵盖NIST CSF 2.0映射、关基认定标准、等保2.0要求、ISO 21434车联网安全、纵深防御架构、应急响应、产品选型、国家标准密码应用、供应链安全、渗透测试、合规清单和成本估算。数据截至2025年中。

---

## 目录

1. [NIST CSF 2.0交通系统映射](#一nist-csf-20交通系统映射)
2. [关基认定与保护体系](#二关基认定与保护体系)
3. [等保2.0交通行业详解](#三等保20交通行业详解)
4. [ISO 21434车联网安全TARA](#四iso-21434车联网安全tara)
5. [纵深防御安全架构](#五纵深防御安全架构)
6. [应急响应与事件管理](#六应急响应与事件管理)
7. [安全产品选型指南](#七安全产品选型指南)
8. [国家标准密码SM系列密码应用](#八国家标准密码sm系列密码应用)
9. [供应链安全与SBOM](#九供应链安全与sbom)
10. [渗透测试方法论](#十渗透测试方法论)
11. [合规检查清单](#十一合规检查清单)
12. [安全建设成本估算](#十二安全建设成本估算)

---

## 一、NIST CSF 2.0交通系统映射

### 1.1 NIST CSF 2.0六大功能与交通系统全面映射

NIST网络安全框架2.0（2024年2月发布）将传统5大功能扩展为6大功能（新增GOVERN），以下逐功能映射到交通系统：

#### **GOVERN（治理）**
| CSF子类别 | 交通系统映射 | 关键控制 | 责任方 |
|----------|-----------|---------|-------|
| GV.OC-01 组织网络安全策略 | 交通网络安全管理制度 | 制定+发布网络安全管理办法 | CIIO安全管理机构 |
| GV.RM-01 风险管理目标 | 交通系统风险登记册 | 每半年更新风险登记册+风险矩阵 | 网络安全负责人 |
| GV.SC-03 供应链风险管理 | 供应商安全评估 | 供应商安全评级+SBOM要求 | 采购+安全团队 |
| GV.RR-01 角色与职责 | 网络安全组织架构 | 明确CISO/CIIO职责+安全人员撰写 | 单位负责人 |
| GV.OC-02 沟通运行框架 | 安全事件报告制度 | 24小时内向归口部门报告重大事件 | CIIO |

#### **IDENTIFY（识别）**
| CSF子类别 | 交通系统映射 | 关键控制 | 工具/方法 |
|----------|-----------|---------|---------|
| ID.AM-01 资产清单 | 交通IT/OT资产台账 | 包括信号机/RSU/摄像头/PLC/SCADA等OT资产 | CMDB+资产管理平台 |
| ID.AM-02 软件清单 | 应用程序+固件+第三方组件 | 关键系统软件版本+补丁状态+EOL日期 | SBOM+软件资产管理 |
| ID.RA-01 风险评估 | 年度网络安全风险评估 | 威胁建模(TARA/STRIDE)+漏洞扫描 | 专业评估工具+外聘安全公司 |
| ID.RA-02 影响分析 | 业务影响分析(BIA) | 识别关键系统RTO/RPO+恢复优先级 | BIA模板 |
| ID.IM-01 数据流映射 | 交通数据流向图 | 梳理数据从采集→传输→处理→存储→共享的全链路 | 数据流图工具 |

#### **PROTECT（保护）**
| CSF子类别 | 交通系统映射 | 具体措施 | 技术实现 |
|----------|-----------|---------|---------|
| PR.AA-01 身份与访问管理 | 双因子认证+最小权限 | 运维堡垒机+弱口令检测+定期权限审查 | AD/LDAP+IAM+堡垒机 |
| PR.AA-02 网络分段 | 生产网/测试网/办公网/互联网分离 | OT网络物理/逻辑隔离+防火墙策略 | VLAN+ACL+工业防火墙 |
| PR.DS-01 数据加密 | 国家标准密码SM4传输加密+SM2数字签名 | 关基系统强制加密+密钥管理 | HSM硬件加密机+KMS |
| PR.DS-02 数据分类分级 | 核心/重要/一般三级 | 不同级别采用不同的存储/传输/访问控制 | DLP数据防泄漏 |
| PR.PS-01 安全配置基线 | 操作系统/数据库/网络设备基线 | CIS Benchmark+等保要求+国家标准密码配置 | 自动化合规检查工具 |
| PR.IR-01 安全培训 | 全员安全意识培训+专业人员技能培训 | 年度培训不低于12学时+钓鱼测试 | LMS+攻击模拟 |

#### **DETECT（检测）**
| CSF子类别 | 交通系统映射 | 关键能力 | 工具选型 |
|----------|-----------|---------|---------|
| DE.CM-01 安全监控 | 7×24 SOC安全运营中心 | 日志汇聚+关联分析+告警 | SIEM+SOAR |
| DE.CM-02 物理安全监控 | 机房/外场设备物理安全 | 门禁+视频+环境监控+入侵告警 | 动环监控+视频AI |
| DE.CM-03 OT异常检测 | 工业控制系统异常 | 协议异常+工程变更检测+异常操作 | OT IDS/Nozomi/Claroty |
| DE.AE-01 安全事件关联分析 | UEBA用户行为分析 | 异常登录/越权操作/数据异常导出 | SIEM+UEBA |
| DE.AE-02 威胁情报 | 交通行业威胁情报 | 漏洞预警+攻击IP/域名封禁 | TIP威胁信息平台 |

#### **RESPOND（响应）**
| CSF子类别 | 交通系统映射 | 标准操作流程 | 时间要求 |
|----------|-----------|------------|:------:|
| RS.MA-01 事件响应计划 | 交通网络安全事件应急预案 | 事件分级(1-4级)+响应流程+责任分工 | 发布后每半年演练一次 |
| RS.AN-01 事件调查 | 根因分析+证据保全 | 日志保全+磁盘镜像+内存dump | 事发1小时内启动 |
| RS.MI-01 遏制措施 | 隔离受感染系统+阻断攻击IP | 网络隔离+账户禁用+服务暂停 | 确认后15分钟内 |
| RS.CO-01 内部通报 | 逐级上报制度 | 安全负责人→CIIO负责人→归口部门 | 重大事件24小时内 |
| RS.CO-02 外部通报 | 监管报告+公众沟通 | 向行业监管机构/行业主管报告 | 按法规时限 |

#### **RECOVER（恢复）**
| CSF子类别 | 交通系统映射 | 恢复要求 | RTO/RPO |
|----------|-----------|---------|:------:|
| RC.RP-01 恢复计划 | 灾备恢复预案 | 分场景恢复SOP(数据损坏/勒索/设备故障/自然灾害) | 预案每半年更新 |
| RC.CO-01 备份管理 | 3-2-1备份策略 | 3份备份+2种介质+1份异地/离线 | — |
| RC.CO-03 恢复验证 | 定期恢复演练 | 每半年至少进行一次恢复演练并记录结果 | 演练后评估 |
| RC.IM-01 事件复盘 | 事后改进 | 根因分析+改进措施+制度修订+知识库更新 | 事件结束后30天内 |

### 1.2 交通NIST CSF成熟度自评表

| 功能 | L1(初始) | L2(发展中) | L3(已建立) | L4(优化) |
|------|---------|----------|---------|---------|
| GOVERN | 无正式安全策略 | 有策略但未执行 | 制度化执行+定期审查 | 量化管理+持续改进 |
| IDENTIFY | 无资产清单 | 部分资产清单 | 完整资产+数据流图 | 自动化资产管理 |
| PROTECT | 基础防火墙 | 有安全策略+部分措施 | 纵深防御+全面保护 | 自适应安全架构 |
| DETECT | 人工发现 | 部分日志收集 | SOC+SIEM运营 | AI+SOAR自动化 |
| RESPOND | 无预案 | 有预案未演练 | 预案+定期演练 | 自动化响应编排 |
| RECOVER | 无备份 | 基础备份 | 灾备+恢复演练 | 持续可用+故障自愈 |

---

## 二、关基认定与保护体系

### 2.1 交通行业关基认定标准

**行业规范依据**：《CII安全保护条例》(2021年9月1日实施)

**认定条件（满足之一即可能被认定为CII）**：
1. 一旦遭到破坏、丧失功能或者数据泄露，一旦遭到破坏可能造成重大运行安全风险及公共利益损失的网络设施、信息系统
2. 属于电信/广电/能源/金融/交通/水利/应急/卫健/社保/等关键行业的重要网络设施

**逐模态关基认定明细**：

| 交通模态 | 关基系统名称 | 认定机关 | 认定依据 | CIIO确定 |
|---------|-----------|---------|---------|:------:|
| 铁路 | CTC/TDCS调度集中、CTCS列控、TRS客票(12306) | 国铁集团→行业管理部门 | 影响全国铁路运营 | 各路局 |
| 铁路 | GSM-R/5G-R铁路专用通信系统 | 国铁集团 | 调度通信生命线 | 各路局 |
| 公路 | ETC全国联网收费系统 | 行业管理部门→路网中心 | 影响全国高速通行 | 各省高速集团 |
| 公路 | 长大隧道（>3km）监控系统 | 省交通厅 | 隧道安全攸关 | 路公司 |
| 公路 | 跨省高速公路综合监控系统 | 省交通厅 | 区域性交通管控 | 路公司 |
| 城市交通 | 城市轨道交通信号系统(CBTC/TACS) | 市交通委→行业管理部门 | 影响城市公共交通 | 地铁公司 |
| 城市交通 | 大型城市(>200万人口)交通信号控制系统 | 市交通管理局→交管部门 | 影响城市交通秩序 | 交通管理部门 |
| 城市交通 | 公共交通调度及支付系统 | 市交通委 | 影响公众出行 | 公交集团 |
| 水路 | 船舶交通管理系统(VTS) | 行业管理部门海事局 | 影响船舶安全 | 海事局 |
| 水路 | 船舶自动识别系统(AIS) | 行业管理部门海事局 | 全国水上通信 | 海事局 |
| 水路 | 大型港口（年吞吐量>亿t）TOS | 省交通厅→行业管理部门 | 影响港口生产 | 港口集团 |
| 民航 | 空管系统(ATC/ATFM) | 民航局 | 影响飞行安全 | 民航局空管局 |
| 民航 | 航班运行控制系统 | 民航局 | 影响航班运营 | 航空公司 |
| 民航 | 千万级以上机场离港/安检系统 | 民航局 | 影响机场运行 | 机场集团 |

### 2.2 CIIO（关基运营者）法律责任与义务

**五项核心义务**：

1. **设立专门安全管理机构**（"第五级"要求）
   - 配备专职网络安全负责人（中国公民）
   - 安全管理机构负责人参与单位有关网络安全决策
   - 每年向归口部门报告安全情况

2. **安全保护措施**
   - 每年至少一次安全检测和风险评估
   - 对关键岗位人员进行背景审查（必须中国公民）
   - 建立网络安全监测预警和信息通报制度

3. **产品和服务采购安全**
   - 采购可能影响关键系统安全的网络产品和服务，应通过安全审查
   - 优先采购安全可信的网络产品和服务（实质上要求关键环节自主技术可控）
   - 签署安全保密协议，明确安全义务

4. **应急管理**
   - 制定应急预案，每半年至少一次应急演练
   - 发生重大网络安全事件时，按规定向归口部门报告

5. **安全评估**
   - 自行或委托机构每年至少一次安全检测评估
   - 发现的问题须及时整改并报告

**处罚标准（《关基条例》第39-43条）**：
- 不履行安全保护义务：对单位罚款10万-100万元，对直接负责人罚款1万-10万元
- 使用未经安全审查的产品/服务：对单位罚款采购金额1-10倍，对负责人罚款1万-10万
- 造成严重后果的：依法追究刑事责任（最高7年有期徒刑）

---

## 三、等保2.0交通行业详解

### 3.1 等保2.0五个级别

| 级别 | 名称 | 适用场景 | 安全要求 | 测评周期 |
|:---:|------|---------|---------|:------:|
| 第一级 | 自主保护级 | 不重要的信息系统 | 基础防护 | 无强制 |
| 第二级 | 指导保护级 | 一般业务系统 | 安全评估审查+访问控制+通信保密 | 每两年一次 |
| 第三级 | 监督保护级 | 重要业务系统/关基 | 全面安全管控+强制访问控制+敏感标记 | 每年一次 |
| 第四级 | 强制保护级 | 极高安全需求（铁路列控/民航ATC） | 结构化保护+形式化安全策略 | 每半年一次 |
| 第五级 | 高级保护级 | （/情报） | 最高等级保护 | 特殊要求 |

### 3.2 等保2.0十大安全要求域

| 要求域 | 第二级 | 第三级 | 第四级 |
|-------|-------|-------|-------|
| 物理安全 | 基础门禁+防火防盗 | +精密空调+视频监控+7×24值守 | +电磁屏蔽+防爆 |
| 网络安全 | 基础防火墙 | +入侵检测+网络评估审查+恶意代码防范 | +可信验证+动态策略 |
| 主机安全 | 身份鉴别+访问控制 | +安全基线+入侵防范+补丁管理 | +强制访问控制 |
| 应用安全 | 身份认证+权限管理 | +通信完整性+抗抵赖+资源控制 | +软件容错+可信路径 |
| 数据安全 | 基础备份 | +加密+完整性校验+数据脱敏 | +数据溯源+全生命周期 |
| 安全管理制度 | 管理制度 | +体系化制度 | +量化考核 |
| 安全管理机构 | 岗位设置 | +专职人员+授权审批 | +独立评估审查 |
| 人员安全管理 | 入职培训 | +背景审查+离职管理 | +定期心理评估 |
| 系统建设管理 | 基础设计方案 | +安全方案评审+软件开发安全 | +安全工程管理 |
| 系统运维管理 | 基础运维 | +变更管理+应急预案+安全事件处置 | +持续监控+自动化 |

### 3.3 交通关键系统等保定级建议

| 系统 | 建议级别 | 理由 | 安全建设重点 |
|------|:-----:|------|------------|
| 轨交列控(CBTC/TACS) | 第四级 | 安全攸关，SIL4 | 安全冗余+三取二+形式化验证+物理隔离 |
| 民航ATC空管 | 第四级 | 安全攸关 | 多冗余+应急备份+专用通信 |
| 全国ETC收费 | 第三级 | 关基+数据集中 | 国家标准密码加密+灾备+异常交易AI检测 |
| 城市信号控制系统 | 第三级 | 影响城市交通 | 操作评估审查+冗余控制+双因子认证 |
| 综合交通运行协调中心/智能交通管理平台 | 第三级 | 汇聚敏感数据 | 数据分类分级+脱敏+访问控制 |
| 轨交综合监控(ISCS) | 第三级 | 与信号关联 | OT/IT隔离+工业协议安全 |
| 公交调度系统 | 第二级/三级 | 根据规模 | 调度冗余+支付安全+乘客隐私 |
| 视频监控平台 | 第二级/三级 | 根据规模和数据 | 视频加密+访问权限+隐私脱敏 |
| 停车管理平台 | 第二级 | 影响较小 | 支付安全+数据加密 |
| 交通信息发布系统 | 第二级 | 防篡改 | 内容审核+发布签名+防篡改 |

---

## 四、ISO 21434车联网安全TARA

### 4.1 ISO 21434简介

ISO 21434:2021《道路车辆-网络安全工程》是车联网安全的国际标准。适用于道路车辆的电气/电子(E/E)系统从概念阶段到退役的全生命周期。

**核心流程**：

```
项目定义 → 威胁分析与风险评估(TARA) → 风险处理方案 → 验证与确认 → 生产运行监控
```

### 4.2 TARA方法论（交通行业版）

**TARA = Threat Analysis and Risk Assessment**

**步骤1：资产识别**
| 资产类别 | 示例 | 安全属性(CIA) |
|---------|------|------------|
| 通信数据 | V2X消息(BSM/RSM/MAP/SPAT) | 完整性+真实性+可用性 |
| 车辆控制 | 远程指令(制动/转向/加速) | 完整性+真实性+可用性 |
| 个人信息 | 驾驶员身份/位置/行为数据 | 机密性+隐私 |
| 路侧设备 | RSU/信号机/摄像头固件和配置 | 完整性+可用性 |
| 密钥材料 | PKI证书/私钥/对称密钥 | 机密性+完整性 |

**步骤2：威胁场景识别（STRIDE模型）**
| 威胁类型 | 交通示例 |
|---------|---------|
| Spoofing（假冒） | 假冒RSU发送虚假路况信息 |
| Tampering（篡改） | 篡改信号控制指令 |
| Repudiation（否认） | 否认发送过危险预警消息 |
| Information Disclosure（信息泄露） | 泄露车辆轨迹和位置信息 |
| Denial of Service（拒绝服务） | DDoS攻击信号控制系统 |
| Elevation of Privilege（权限提升） | 从视频监控网络横向移动到信号网络 |

**步骤3：影响评估（Safety相关性）**
| 安全等级 | ISO 26262 ASIL | 示例场景 |
|:------:|:------------:|---------|
| Severe（严重） | ASIL D | 信号被篡改导致交叉冲突→碰撞→死亡 |
| Major（重大） | ASIL C | V2X预警被屏蔽→高速追尾→严重受伤 |
| Moderate（中等） | ASIL B | 诱导屏被篡改→误导至拥堵路段→延误 |
| Negligible（可忽略） | QM | 停车诱导信息错误→找不到车位 |

**步骤4：攻击可行性评估**
| 攻击向量 | 所需技能 | 时间窗口 | 设备要求 | 机会窗口 | 综合可行性 |
|---------|:------:|:------:|:------:|:------:|:--------:|
| 空中接口攻击(PC5) | 专家 | 持续 | 专业设备(SDR) | 近距离 | 中 |
| CAN总线注入 | 熟练 | <5分钟 | 物理接触+工具 | 维修期间 | 高 |
| 远程OTA劫持 | 专家 | 持续 | 高级 | 远程 | 低 |
| 社会工程钓鱼 | 基础 | 数周 | 基础 | 持续 | 中高 |

**步骤5：风险等级确定**

风险 = 影响严重度 × 攻击可行性

| 风险等级 | 处理要求 | 时间要求 |
|:-----:|---------|:------:|
| 极高 | 必须消除或降低（方案必选） | 概念阶段 |
| 高 | 必须降低至少1级 | SOP前 |
| 中 | 应根据成本效益决定 | SOP后持续 |
| 低 | 可接受 | 无需行动 |

---

## 五、纵深防御安全架构

### 5.1 交通系统纵深防御五层模型

```
┌──────────────────────────────────────────────────────────────┐
│ L5 应用安全层 — WAF|RASP|API安全|代码评估审查|软件供应链安全       │
├──────────────────────────────────────────────────────────────┤
│ L4 数据安全层 — 加密|脱敏|DLP|数据水印|评估审查|备份|分类分级      │
├──────────────────────────────────────────────────────────────┤
│ L3 主机/端点安全层 — HIDS|EDR|杀毒|补丁|基线|可信计算         │
├──────────────────────────────────────────────────────────────┤
│ L2 网络安全层 — FW|IPS|IDS|WAF|VPN|NAC|网络分段|流量分析      │
├──────────────────────────────────────────────────────────────┤
│ L1 物理安全层 — 门禁|视频|环境监控|消防|UPS|机柜锁|线缆防盗    │
└──────────────────────────────────────────────────────────────┘
```

### 5.2 零信任架构在交通系统的应用

**零信任三大原则**：
- 永不信任，始终验证（Never Trust, Always Verify）
- 最小权限（Least Privilege）
- 假设已被入侵（Assume Breach）

**交通系统的零信任实施路径**：

| 阶段 | 行动 | 周期 |
|------|------|:--:|
| 阶段1：身份与访问 | 统一身份认证+双因子+单点登录(SSO)+特权账号管理(PAM) | 3-6月 |
| 阶段2：设备可信 | 设备健康检测+合规准入(NAC)+证书管理 | 3-6月 |
| 阶段3：网络微隔离 | 应用级网络分段+动态防火墙策略+零信任网关 | 6-12月 |
| 阶段4：数据分级管控 | 基于标签的数据访问控制+数据不落地+DLP | 6-12月 |
| 阶段5：持续监控 | UEBA+SOAR+自动化威胁响应 | 持续 |

### 5.3 OT/IT网络隔离原则

交通系统中OT（运营技术：信号/收费/传感/控制）与IT（信息技术：办公/邮件/管理）必须严格隔离：

| 隔离措施 | 要求 | 例外情况 |
|---------|------|---------|
| 物理/逻辑隔离 | OT与IT不同交换机/VLAN | 必需的数据交换经隔离网关(单向) |
| 防火墙策略 | 默认拒绝，白名单放行 | 仅开放必需的IP+端口 |
| 安全域划分 | 最小5个域：外网/内网/管理/OT生产/OT安全 | — |
| 运维通道 | 专用运维网络+跳板机+评估审查 | 不得直接通过互联网远程OT |
| 数据交换 | 单向网闸或专用数据交换服务器 | 不得直接在OT-IT间复制文件 |

---

## 六、应急响应与事件管理

### 6.1 交通安全事件分级

| 级别 | 定义 | 示例 | 响应要求 |
|:---:|------|------|---------|
| I级（特别重大） | 影响跨省/全国交通，或造成人员伤亡 | ETC全国收费瘫痪/CBTC列控被入侵 | 1小时内启动+报部级 |
| II级（重大） | 影响全省/全城交通运行 | 城市信号控制大面积瘫痪 | 2小时内启动+报省级 |
| III级（较大） | 影响局部区域/单条线路 | 一条高速的监控系统中断 | 4小时内启动+报市级 |
| IV级（一般） | 影响个别设备/系统 | 单个路口的信号机故障 | 8小时内响应 |

### 6.2 交通特定应急场景Playbook

**场景1：信号控制系统被勒索攻击**

```
T+0min    确认攻击(勒索信息/RDP无法登录/文件被加密)
T+5min    启动应急响应团队+信息安全管理层
T+15min   隔离感染区域(断开核心信号网与其他网段的连接)
T+30min   评估影响范围(哪些路口受影响)
T+1h      启动降级模式(现场交警手动指挥/固定配时/黄闪)
T+2h      通告上级归口部门(交通管理/交通)+启动备份系统
T+4h      从离线备份恢复数据(注意:备份不应也被加密)
T+24-72h  逐步恢复系统(先从低风险区域开始)+部署安全补丁
T+1-2w    事后复盘+加固措施+报告归口部门
```

**场景2：ETC收费系统数据泄露**

```
T+0min    发现异常数据导出/外部通报/暗网发现
T+15min   阻断异常访问通道+暂停可疑账号权限
T+1h      启动取证(保留日志/流量/数据库访问记录)
T+2h      评估泄露范围(哪些数据/多少用户/多长时间)
T+4h      通告归口部门(行业监管机构/行业主管/交通运输管理部门路网中心)
T+24h     通告受影响用户(按PIPL要求)
T+3d      完成事件调查报告+发布公告
T+1-4w    完成安全加固+制度修订+责任追究
```

**场景3：V2X通信被消息注入攻击**

```
T+0min    RSU安全监控发现异常V2X消息(未验证签名/消息频率异常)
T+2min    自动隔离可疑RSU+切换至降级模式
T+15min   安全工程师确认攻击类型+范围
T+1h      撤销被攻击RSU的数字证书+下发证书吊销列表(CRL)
T+4h      通告车厂/自动驾驶企业(受影响V2X消息范围)
T+24h     部署安全补丁(PKI加固/消息频率限制)
```

### 6.3 应急演练要求

| 演练类型 | 频率 | 参与范围 | 重点内容 |
|---------|:--:|---------|---------|
| 桌面推演 | 每季度 | 安全管理层+技术骨干 | 流程演练+决策推演 |
| 功能演练 | 每半年 | 安全团队+运维团队 | 特定系统恢复+备份验证 |
| 全面演练 | 每年 | 全单位+上级+供应商 | 全场景+跨部门+媒体应对 |

---

## 七、安全产品选型指南

### 7.1 交通系统安全产品矩阵

| 安全域 | 产品类别 | 中国头部 | 国际头部 | 选型关键点 |
|-------|---------|---------|---------|----------|
| 边界安全 | 下一代防火墙(NGFW) | 深信服/华为/奇安信 | Palo Alto/Fortinet | 国产化适配+OT协议识别 |
| 边界安全 | 入侵检测/防御(IDS/IPS) | 启明星辰/绿盟/天融信 | Cisco/Fortinet | OT协议深度解析+低误报 |
| 边界安全 | Web应用防火墙(WAF) | 长亭/安恒/深信服 | F5/Cloudflare | SQL注入/XSS防护+API安全 |
| 边界安全 | 工业防火墙 | 威努特/六方云/奇安信 | Nozomi/Claroty | OT协议(Modbus/DNP3/OPC)支持 |
| 终端安全 | EDR端点检测 | 奇安信/深信服/亚信 | CrowdStrike/VMware | 低资源占用+离线检测 |
| 终端安全 | 主机杀毒 | 奇安信/安天/360 | Symantec/McAfee | 本地化化OS适配+低误杀 |
| 网络安全 | NAC准入控制 | 奇安信/华为/深信服 | Cisco/Forescout | 哑终端识别(IoT/摄像头) |
| 网络安全 | VPN/零信任 | 深信服/奇安信/华为 | Zscaler/Netskope | 国家标准密码支持+并发容量 |
| 数据安全 | 数据库评估审查/防火墙 | 安恒/奇安信/深信服 | Imperva/Oracle | 本地化数据库适配+加密性能 |
| 数据安全 | DLP数据防泄漏 | 亿赛通/明朝万达/天空卫士 | Symantec/Forcepoint | 交通数据类型识别+策略灵活性 |
| 数据安全 | 数据脱敏 | 安华金和/美创/深信服 | Informatica/Delphix | 动态脱敏+格式保留 |
| 集中管理 | SIEM安全分析 | 奇安信/深信服/启明星辰 | Splunk/IBM QRadar | 日志处理性能+关联规则 |
| 集中管理 | SOAR安全编排 | 奇安信/深信服 | Palo Alto/Swimlane | 本地化平台集成+响应剧本 |
| 集中管理 | 堡垒机 | 齐治/安恒/深信服 | CyberArk/BeyondTrust | 运维评估审查+双因子+录屏 |
| 密码与认证 | HSM硬件加密机 | 三未信安/江南天安/渔翁 | Thales/Utimaco | 国家标准密码SM2/SM3/SM4性能 |
| 密码与认证 | PKI/CA | 天威诚信/数字认证/奇安信 | DigiCert/Entrust | 国家标准密码证书+OCSP/CRL |
| 漏洞管理 | 漏洞扫描器 | 绿盟/安恒/知道创宇 | Tenable/Rapid7 | OT设备扫描+误报控制 |
| OT安全 | OT资产与异常检测 | 威努特/六方云/奇安信 | Nozomi/Claroty/Dragos | 被动识别+OT协议深度解析 |

### 7.2 按组织规模推荐

| 规模 | 安全产品组合 | 年预算（万元） | 安全团队 |
|------|------------|:----------:|:------:|
| 大型（省高速/地铁/港口集团） | NGFW+IPS+WAF+EDR+SIEM+堡垒机+DLP+OT安全+NAC+SOAR | 500-2,000 | 10-20人 |
| 中型（市级交管/交通归口部门） | NGFW+IDS/IPS+EDR+SIEM+堡垒机+漏洞扫描 | 150-500 | 3-8人 |
| 小型（县级/小型企业） | NGFW+终端杀毒+堡垒机+MSS托管 | 30-100 | 1-2人+MSS |

---

## 八、国家标准密码SM系列密码应用

### 8.1 国家标准密码算法在交通系统的应用场景

| 国家标准密码算法 | 对应国际算法 | 交通应用场景 | 算法用途 |
|:------:|:---------:|------------|---------|
| SM2 | RSA/ECDSA | ETC交易签名、V2X PKI证书、身份认证 | 非对称加密+数字签名 |
| SM3 | SHA-256 | 数据完整性校验、消息认证码、证书哈希 | 密码哈希 |
| SM4 | AES | 数据传输加密（数据库/文件/通信）、视频流加密 | 对称加密 |
| SM9 | — | 设备身份认证（适合IoT）、V2X消息签名 | 标识密码 |
| ZUC | SNOW 3G/AES | 4G/5G通信空中接口加密 | 序列密码 |

### 8.2 关基系统的国家标准密码使用要求

**法定要求（《密码法》+《关基条例》）**：
- 关基系统必须使用符合法律要求的密码进行保护
- 采购的密码产品和服务需要通过国家密码管理局认证
- 三级及以上等保系统应通过密码应用安全性评估（密评）

**交通关基系统国家标准密码部署清单**：

| 系统 | 必须国家标准密码场景 | 推荐国家标准密码场景 | 合规期限 |
|------|-----------|-----------|:------:|
| ETC收费系统 | 交易签名(SM2)、密钥分发、PSAM卡 | 数据传输加密(SM4) | 已实施 |
| V2X通信系统 | PKI证书(SM2)、消息签名(SM2/SM9) | 通信加密(SM4) | 2025年底 |
| 轨道交通信号 | 维护终端认证(SM2) | 车地通信加密 | 2026年底 |
| 城市信号控制 | 操作指令签名(SM2) | 与信号机通信加密 | 2026年底 |
| 综合交通运行协调中心/智能交通管理平台 | 数据传输加密(SM4) | 数据存储加密 | 2027年底 |
| 视频监控 | — | 视频流加密(SM4) | 2027年底(推荐) |

---

## 九、供应链安全与SBOM

### 9.1 交通软件供应链风险

**典型风险**：
- 开源组件漏洞（如Log4j事件导致大量交通系统受影响）
- 第三方SDK/库后门
- 供应商开发环境被污染
- 固件/BIOS层面的恶意植入
- 依赖组件停止维护(EOL)

### 9.2 SBOM要求

**SBOM = Software Bill of Materials（软件物料清单）**

要求供应商提供包含以下信息的SBOM：
- 组件名称（开源库/第三方SDK/自研模块）
- 版本号
- 许可证类型
- 已知漏洞(CVE编号)
- 依赖关系树
- 组件来源（官方/镜像/自编译）
- 最后更新日期+EOL日期

**SBOM标准格式**：推荐使用SPDX或CycloneDX格式。

### 9.3 供应商安全评估框架

| 评估维度 | 评估项 | 权重 |
|---------|-------|:--:|
| 安全资质 | 等保测评/ISO27001/CMMI/安全服务资质 | 20% |
| 安全开发 | 安全开发生命周期(SDL)/代码评估审查/渗透测试 | 25% |
| 供应链管控 | SBOM/第三方组件管理/开源合规 | 20% |
| 安全能力 | 漏洞响应/安全团队/应急能力 | 20% |
| 历史记录 | 重大安全事件/漏洞披露/CVE | 15% |

---

## 十、渗透测试方法论

### 10.1 交通系统渗透测试框架

**七阶段渗透测试方法论**：

```
1. 信息收集（OSINT+被动扫描）
2. 威胁建模（基于TARA/STRIDE）
3. 漏洞发现（网络扫描+Web测试+无线测试+OT协议测试+物理安全测试）
4. 漏洞利用（渗透+权限提升+横向移动）
5. 后渗透（数据窃取模拟+持久化+痕迹清除）
6. 报告编写（发现+影响+修复建议+风险评分）
7. 复测验证（修复后重新测试）
```

### 10.2 交通系统特定渗透测试重点

| 测试对象 | 重点测试项 | 使用工具/方法 |
|---------|----------|-------------|
| 信号控制系统 | 弱口令、未授权访问、协议注入、固件分析、无线劫持 | Nmap/Wireshark/Custom Script |
| ETC系统 | PSAM卡安全、交易篡改、重放攻击、中间人攻击 | 定制测试工具 |
| V2X通信 | PC5嗅探、消息篡改/重放、证书伪造、拒绝服务 | SDR+OpenC2X |
| OT/SCADA | 工业协议漏洞、PLC固件、HMI弱口令、物理安全绕过 | Metasploit/Modbus工具 |
| 视频监控 | 弱口令、RTSP未授权、ONVIF漏洞、视频流劫持 | Hydra/Nmap/Nessus |
| Web服务 | SQL注入、XSS、越权、文件上传、SSRF、RCE | Burp Suite/SQLmap/AWVS |
| 移动APP | 反编译、数据存储、API安全、证书锁定绕过 | MobSF/Frida/Objection |
| 云平台 | 配置错误、存储桶公开、API密钥泄露、容器逃逸 | ScoutSuite/Prowler/Trivy |

### 10.3 渗透测试频率建议

| 系统类型 | 全面渗透测试 | 专项测试 | 漏洞扫描 |
|---------|:---------:|:-----:|:-----:|
| 关基系统 | 每年至少1次 | 重大更新后 | 每季度 |
| 等保三级 | 每年1次 | 重大变更后 | 每季度 |
| 等保二级 | 每两年1次 | 重大变更后 | 每半年 |
| 对外服务 | 每年1次 | 新功能上线 | 每月 |

---

## 十一、合规检查清单

### 11.1 交通网络安全合规全景检查表

| # | 合规要求 | 依据 | 检查项 | 状态 |
|---|---------|------|-------|:--:|
| 1 | 等保定级备案 | 等保2.0 | 所有系统完成定级+备案 | [ ] |
| 2 | 等保测评 | 等保2.0 | 按周期完成测评+获取证书 | [ ] |
| 3 | 关基认定 | 《关基条例》 | 完成CII认定+专职机构设立 | [ ] |
| 4 | 关基年检 | 《关基条例》 | 每年至少一次安全检测评估 | [ ] |
| 5 | 密码评估 | 《密码法》 | 关基/等保三级通过密评 | [ ] |
| 6 | 数据分类分级 | 数据安全法规 | 完成分类分级+建立保护制度 | [ ] |
| 7 | 个人信息保护 | 个人信息保护法规 | 隐私行业规范+同意运行框架+影响评估 | [ ] |
| 8 | 数据出境评估 | 数据安全法规 | 如有出境→完成安全评估 | [ ] |
| 9 | 网络安全审查 | 《网络安全审查办法》 | 关基采购经国家网安审查 | [ ] |
| 10 | 应预案与演练 | 《关基条例》+等保 | 预案完备+每半年演练1次 | [ ] |
| 11 | 安全负责人制度 | 《关基条例》+等保 | 中国公民+背景审查+专职 | [ ] |
| 12 | 产品国产化合规 | 国产化行业规范 | 关基系统关键环节自主可控 | [ ] |
| 13 | 供应链安全 | 《关基条例》 | 供应商评估+SBOM+安全协议 | [ ] |
| 14 | 日志留存 | 网络安全法规 | 网络日志≥6个月+评估审查记录 | [ ] |
| 15 | 安全教育与培训 | 等保2.0 | 全员年度≥12学时+钓鱼测试 | [ ] |
| 16 | 漏洞管理 | 等保2.0 | 定期扫描+高危漏洞30天内修复 | [ ] |
| 17 | 安全事件报告 | 《网络安全法》《关基条例》 | 重大事件24h内上报 | [ ] |
| 18 | 个人信息出境 | PIPL+DSL | 经安全评估+签署标准合同 | [ ] |
| 19 | 视频监控合规 | PIPL | 公示监控范围+人脸信息保护 | [ ] |
| 20 | 云计算安全 | 等保2.0 | 云平台通过等保+数据本地化 | [ ] |

### 11.2 等保三级测评常见不符合项TOP10

| 排名 | 不符合项 | 占比 | 整改建议 |
|:--:|---------|:--:|---------|
| 1 | 未部署入侵检测/防御(IDS/IPS) | 38% | 部署IDS/IPS，定期更新规则库 |
| 2 | 未进行定期安全评估审查 | 35% | 启用日志评估审查，保存≥6个月 |
| 3 | 未实施双因子认证 | 32% | 关键系统部署双因子(堡垒机+TOTP) |
| 4 | 数据未加密传输 | 28% | 部署SSL VPN/HTTPS/国家标准密码加密 |
| 5 | 无安全管理制度或未执行 | 25% | 建立制度体系+定期检查执行情况 |
| 6 | 未定期进行漏洞扫描 | 24% | 部署漏洞扫描工具，建立修复流程 |
| 7 | 无灾备方案或未验证 | 22% | 制定灾备方案+每半年恢复演练 |
| 8 | 账号权限管理混乱 | 20% | 建立账号全生命周期管理+定期审查 |
| 9 | 无安全培训记录 | 18% | 建立培训计划+考核+记录存档 |
| 10 | 边界防护不完整 | 15% | 部署防火墙+网络分段+ACL策略 |

---

## 十二、安全建设成本估算

### 12.1 按组织类型与规模估算

**大型组织（省高速集团/地铁集团）**：
| 安全建设项目 | 一次性投入（万元） | 年运维/服务（万元） |
|------------|:--------------:|:--------------:|
| 安全产品采购 | 800-2,000 | 200-500（维保+升级） |
| SOC安全运营中心建设 | 300-800 | 150-400 |
| 等保/关基合规 | 100-300 | 50-100（测评+咨询） |
| 渗透测试+红蓝对抗 | 80-200 | 30-80/次 |
| 灾备系统建设 | 500-1,500 | 80-200 |
| 密评+国家标准密码改造 | 150-400 | 50-100 |
| 安全人力（10-20人团队） | — | 300-800/年 |
| **合计** | **1,930-5,200** | **860-2,180/年** |

**中型组织（市级交管/交通归口部门）**：
| 安全建设项目 | 一次性投入（万元） | 年运维/服务（万元） |
|------------|:--------------:|:--------------:|
| 安全产品采购 | 200-500 | 50-150 |
| 等保/关基合规 | 60-150 | 20-50 |
| 渗透测试 | 20-50 | 10-30/次 |
| 灾备系统建设 | 100-300 | 20-50 |
| 安全人力（3-8人） | — | 90-240/年 |
| **合计** | **380-1,000** | **190-520/年** |

**小型组织（县级交通归口部门/小型企业）**：
| 安全建设项目 | 一次性投入（万元） | 年运维/服务（万元） |
|------------|:--------------:|:--------------:|
| 基础安全产品+等保 | 50-150 | 15-40 |
| MSS托管安全服务 | 0 | 30-80 |
| 安全人力（1-2人+MSS） | — | 30-60/年 |
| **合计** | **50-150** | **75-180/年** |

### 12.2 安全投资占IT总投资比例参考

| 组织类型 | 安全投资占比 | 国际对标 |
|---------|:---------:|:------:|
| 关基运营者（地铁/高速/机场） | 8-15% | 美国联邦公共管理机构：10-15% |
| 大型交通企业 | 5-10% | 全球金融行业：7-10% |
| 中型交通单位 | 3-8% | — |
| 小型交通单位 | 2-5% | — |

> **说明**：以上比例为安全建设+运维的总额占IT总支出的比例，含安全人力成本。

---

> **法律声明**：本文档属于《交通数字化AI化高级专家（标准版）》Skill参考文件。网络安全和关基保护相关要求以最新法律法规和归口部门文件为准。本文档内容仅供学习参考，不构成合规性法律意见。各交通单位应委托具备资质的专业机构进行安全评估和合规审查。

> **最后更新**：2025年7月 | **版本**：v1.0
