文雄軍廖暑光

智能公交系統(tǒng)網(wǎng)絡(luò)安全研究

文雄軍1廖暑光2

1．湖南涉外經(jīng)濟學院計算機學部，湖南長沙 410205；2．湖南長沙凌發(fā)有限公司，湖南長沙 410004

引言

智能公交系統(tǒng)主要通過網(wǎng)絡(luò)聯(lián)接，此網(wǎng)絡(luò)可以從網(wǎng)絡(luò)層、應(yīng)用層、業(yè)務(wù)層及各級的安全管理方面著手，網(wǎng)絡(luò)中如果有一個層次出現(xiàn)了安全隱患，導(dǎo)致整個網(wǎng)絡(luò)都是不安全的。以下只是就系統(tǒng)安全中的網(wǎng)絡(luò)級作分析設(shè)計。交通網(wǎng)可能處于一個較為開放的網(wǎng)絡(luò)環(huán)境中，其中間業(yè)務(wù)委托方的網(wǎng)絡(luò)有可能與Internet網(wǎng)連接，因此中間業(yè)務(wù)網(wǎng)絡(luò)環(huán)境的外接復(fù)雜性成為中間網(wǎng)絡(luò)系統(tǒng)隱患威脅的極大來源。一般公司內(nèi)部員工也有上網(wǎng)的需求，但現(xiàn)有的網(wǎng)絡(luò)安全防范措施還很薄弱，因此要作安全防范與措施。

1 網(wǎng)絡(luò)級的安全分析

網(wǎng)絡(luò)級設(shè)備主要包括廣域網(wǎng)和局域網(wǎng)各節(jié)點上的交換機、路由器及防火墻。網(wǎng)絡(luò)層不僅為本系統(tǒng)上網(wǎng)提供連接通路和網(wǎng)絡(luò)數(shù)據(jù)交換的連接，而且是網(wǎng)絡(luò)入侵者攻擊公交系統(tǒng)的渠道和通路。大型網(wǎng)絡(luò)系統(tǒng)內(nèi)運行的TCP/IP協(xié)議并非專為安全通訊而設(shè)計，因此網(wǎng)絡(luò)系統(tǒng)存在 一些安全隱患和威脅，整個網(wǎng)絡(luò)就會受到來自網(wǎng)絡(luò)內(nèi)部和外部的雙重威脅。

1.1 網(wǎng)絡(luò)傳送安全

重要業(yè)務(wù)數(shù)據(jù)泄漏和重要數(shù)據(jù)被破壞。需要對信息中敏感的數(shù)據(jù)單元采取特殊的加密措施，如采用DES算法進行數(shù)據(jù)加密等。

1.2 網(wǎng)絡(luò)服務(wù)安全

現(xiàn)有的網(wǎng)絡(luò)安全防范措施來看，網(wǎng)絡(luò)安全不僅來自外部網(wǎng)絡(luò)，同樣存在于內(nèi)部網(wǎng)存在的安全風險主要有：

常見攻擊手法如下：黑客入侵：發(fā)送大量PING包；網(wǎng)絡(luò)監(jiān)聽；嗅探程序來探測掃描安全漏洞；另外有IP欺騙、拒絕服務(wù)攻擊（SYN FLOOD，PING FLOOD等）、分布式拒絕服務(wù)攻擊、篡改、堆棧溢出等。

網(wǎng)絡(luò)設(shè)備，如路由器、交換機等。例如，路由設(shè)備存在路由信息泄漏、交換機和路由器設(shè)備配置風險等。

而在智能公交系統(tǒng)的網(wǎng)絡(luò)內(nèi)部，如果在安全措施上存在隱患，或者在已有的服務(wù)器與內(nèi)部客戶端中存在著后門程序（如木馬）話，攻擊者就較為容易地取得網(wǎng)絡(luò)管理員權(quán)限，從而進一步控制計算機系統(tǒng)，網(wǎng)絡(luò)中大量的重要數(shù)據(jù)就會被竊取和破壞。在網(wǎng)絡(luò)上設(shè)立網(wǎng)關(guān)防火墻入侵檢測系統(tǒng)將會有效的將上面提到的各種攻擊與入侵阻斷在外。

1.3 局域網(wǎng)服務(wù)器安全

交委網(wǎng)絡(luò)內(nèi)部部署了眾多的網(wǎng)絡(luò)設(shè)備、服務(wù)器，保護這些設(shè)備的正常運行，維護主要業(yè)務(wù)系統(tǒng)的安全，是網(wǎng)絡(luò)的基本安全需求，此系統(tǒng)與普通網(wǎng)絡(luò)應(yīng)用不同的是，業(yè)務(wù)系統(tǒng)服務(wù)器是網(wǎng)絡(luò)應(yīng)用的核心。對于業(yè)務(wù)系統(tǒng)服務(wù)器應(yīng)該具有最高的網(wǎng)絡(luò)安全措施。業(yè)務(wù)系統(tǒng)服務(wù)器面臨以下安全問題：非法登陸和非法訪問業(yè)務(wù)服務(wù)器，非法操作系統(tǒng)內(nèi)部電腦，惡意破壞重要數(shù)據(jù)者等等。

2 網(wǎng)絡(luò)級安全方案概述

通常的網(wǎng)絡(luò)優(yōu)化和配置主要表現(xiàn)在兩個方面。其一，路由策略的優(yōu)化。對IP地址進行有效合理規(guī)劃，盡可能的進行連續(xù)規(guī)劃和分配，采用CIDR技術(shù)進行動態(tài)會聚。路由協(xié)議的選擇上無論是域內(nèi)路由協(xié)議還是域間路由協(xié)議需要針對全網(wǎng)的業(yè)務(wù)平臺的分布狀態(tài)進行優(yōu)化，即保證業(yè)務(wù)的連續(xù)可靠，又保證路由的精簡和高效。其二，主機系統(tǒng)的優(yōu)化。在業(yè)務(wù)的承載系統(tǒng)平臺上，無論是交換空間上，還是具體服務(wù)的配置上往往存在很大的可變更性。針對業(yè)務(wù)的容量，業(yè)務(wù)的特點需要專業(yè)的配置和優(yōu)化，即保證在硬件設(shè)備相對固定的情況下，是系統(tǒng)的配置最優(yōu)。

3 網(wǎng)絡(luò)級安全方案

概述安全方案主要分為三方面：與Internet接入的安全;部門之間的安全以及以前區(qū)域網(wǎng)的安全。

3.1 Internet接入的安全

在網(wǎng)絡(luò)邊緣設(shè)置防火墻，通過監(jiān)測、限制、更改跨越防火墻的數(shù)據(jù)流，盡可能地對外部屏蔽網(wǎng)絡(luò)內(nèi)部的信息、結(jié)構(gòu)和運行狀況，以此來實現(xiàn)網(wǎng)絡(luò)的安全保護。設(shè)置網(wǎng)絡(luò)入侵系統(tǒng)，在某個關(guān)鍵網(wǎng)段上，檢測和監(jiān)控數(shù)據(jù)流，即使發(fā)現(xiàn)網(wǎng)絡(luò)攻擊的苗頭，并予以杜絕。本方案采用了的設(shè)備具有以下幾種技術(shù)特性：

3.1.1 VPN特性

VPN的安全性包含以下特征：隧道與加密、數(shù)據(jù)驗證、用戶驗證、防火墻與攻擊檢測。防火墻用于過濾數(shù)據(jù)包，防止非法訪問，而攻擊檢測則更進一步分析數(shù)據(jù)包的內(nèi)容，確定其合法性，并可實時應(yīng)用安全策略，斷開包含非法訪問內(nèi)容的會話鏈接，并產(chǎn)生非法訪問記錄。

3.1.2 AAA Authentication，Authorization，Accounting

AAA提供了對用戶的驗證授權(quán)及記帳功能。

驗證：用戶（包括Login用戶、PPP接入用戶等）在被允許訪問網(wǎng)絡(luò)資源之前需要先經(jīng)過驗證，驗證時可以選擇是采用路由器本身維護的用戶數(shù)據(jù)庫，還是采用RADIUS服務(wù)器所維護的用戶數(shù)據(jù)庫對用戶進行驗證。

授權(quán)：通過定義一組屬性來描述用戶的權(quán)限信息，用以決定用戶的實際訪問權(quán)限。這些信息存儲在RADIUS所維護的數(shù)據(jù)庫中。對于接入用戶，還可以由用戶的“filterID”屬性來確定采用哪類規(guī)則對用戶的報文進行過濾。

記帳：AAA的計費功能允許對用戶的訪問網(wǎng)絡(luò)資源等情況進行跟蹤審計。當AAA的計費功能打開后，網(wǎng)絡(luò)接入服務(wù)器按照一定的計費格式向RADIUS服務(wù)器發(fā)送用戶的活動信息，這些信息被儲存在服務(wù)器上，可以用來進行網(wǎng)絡(luò)運行情況的分析、用戶帳單的生成等。

AAA網(wǎng)絡(luò)安全服務(wù)提供了一個實現(xiàn)身份認證以及訪問控制的主框架。AAA使用RADIUS、TACACS+、Kerberos等協(xié)議來實現(xiàn)對網(wǎng)絡(luò)的訪問控制。安全路由器實現(xiàn)時采用了使用最廣泛的RADIUS協(xié)議。

3.1.3 網(wǎng)絡(luò)地址轉(zhuǎn)換特性

地址轉(zhuǎn)換主要是因為Internet地址短缺問題而提出的，利用地址轉(zhuǎn)換可以使內(nèi)部網(wǎng)絡(luò)的用戶訪問外部網(wǎng)絡(luò)（Internet），利用地址轉(zhuǎn)換還可以給內(nèi)部網(wǎng)絡(luò)提供一種“隱私”保護，同時也可以按照用戶的需要提供給外部網(wǎng)絡(luò)一定的服務(wù)，如：WWW、FTP、TELNET、SMTP、POP3等。

3.2 部門之間的安全

VLAN（Virtual Local Area Network）即虛擬局域網(wǎng)，由于它是邏輯地而不是物理地劃分，因此同一個VLAN內(nèi)的各個工作站無須被放置在同一個物理空間里，即這些工作站不一定屬于同一個物理LAN網(wǎng)段。一個VLAN內(nèi)部的廣播和單播流量都不會轉(zhuǎn)發(fā)到其他VLAN中，從而有助于控制流量、減少設(shè)備投資、簡化網(wǎng)絡(luò)管理、提高網(wǎng)絡(luò)的安全性。

對于公司內(nèi)部網(wǎng)的安全策略，本方案采用VLAN技術(shù)，保護那些有安全要求的部門，通過對交換機的設(shè)置，將不同的部門歸入不同的VLAN，同時也可根據(jù)不同的應(yīng)用系統(tǒng)來劃分VLAN之間的通信。

3.3 區(qū)域網(wǎng)的安全

在廣域網(wǎng)建成后，對某些重要數(shù)據(jù)的保護，本方案采用在與廣域網(wǎng)鏈路相連的路由器上設(shè)置包過濾功能，利用路由器本身的安全特性來實現(xiàn)對重要數(shù)據(jù)的保護。

IP報文的IP報頭及所承載的上層協(xié)議（如TCP）報頭的每個域包含了可以由路由器進行處理的信息。包過濾通常用到IP報文的一些屬性：

! IP的源目的地址及協(xié)議域

! TCP或UDP的源目的端口

! ICMP碼ICMP的類型域

! TCP的標志域

! 網(wǎng)絡(luò)安全技術(shù)白皮書

! 表示請求連接的單獨的SYN

! 表示連接確認的SYN/ACK

! 表示正在使用的一個會話連接

! 表示連接中斷的FIN

可以由這些域的各式各樣的組合形成不同的規(guī)則。比如要禁止從主機1.1.1.1到主機2.2.2.2的FTP連接，包過濾可以創(chuàng)建這樣的規(guī)則用于丟棄相應(yīng)的報文：

IP目的地址＝2.2.2.2

IP源地址＝1.1.1.1

IP的協(xié)議域＝6（TCP）

目的端口＝21（FTP）

操作＝丟棄

同樣在Novell IPX和Apple AppleTalk協(xié)議中也可相應(yīng)地設(shè)置各自的包過濾規(guī)則。

本系統(tǒng)路由器和安全網(wǎng)關(guān)防火墻提供了基于接口的包過濾，即可以在一個接口的進出兩個方向上對報文進行過濾。同時還提供了基于時間段的包過濾，可以規(guī)定過濾規(guī)則發(fā)生作用的時間范圍，比如上例中可設(shè)置每周一的8:00至20:00允許FTP報文進入以完成必要的服務(wù)，而其余時間則禁止FTP連接。在時間段的設(shè)置上，可以采用絕對時間段和周期時間段以及連續(xù)時間段和離散時間段配合使用，在應(yīng)用上具有極大的靈活性。并且這樣的時間段可以方便地提供給其他的功能模塊使用，如地址轉(zhuǎn)換、IPSec等。

4 產(chǎn)品選型

從調(diào)查與比較，本文推薦所選用的產(chǎn)品均是國際及國內(nèi)的知名廠家：

表1 產(chǎn)品配置

在本系統(tǒng)中，設(shè)置了1臺防火墻Quidway! Eudemon 100，該防火墻具有4個100Base-TX以太網(wǎng)接口。

內(nèi)網(wǎng)接口為防火墻上的100Base-TX端口，分別連接在一臺核心交換機上。

需要接口的外部網(wǎng)絡(luò)有各公交公司網(wǎng)絡(luò)，使用了1臺交換機3COM 3C16471連接所有的外部網(wǎng)絡(luò)，然后再通過1口100Base-TX連接到防火墻上。

通信服務(wù)器設(shè)置在DMZ區(qū)內(nèi)，使用了1口100Base-TX端口。在防火墻上配置訪問策略，使外部網(wǎng)絡(luò)只能訪問通信服務(wù)器，而不能訪問內(nèi)網(wǎng)。另外系統(tǒng)可以安裝相同的KILL防毒客戶端。容錯軟件會自動地提供錯誤檢測和多層現(xiàn)場恢復(fù)。

在設(shè)計智能公交系統(tǒng)的安全性時除了網(wǎng)絡(luò)級安全外，還有應(yīng)用級，系統(tǒng)級安全、數(shù)據(jù)存儲安全層是作為一個整體系統(tǒng)工程的安全搭檔。

[1]馬俊海，黃明.車輛監(jiān)控系統(tǒng)中GPS,GIS的應(yīng)用

[2]姚彥，梅順良，高葆新.數(shù)字微波中繼通信工程.人民郵電出版社出版，1993

[3]華睿，李學橋.一種基于Linux的網(wǎng)絡(luò)入侵檢測系統(tǒng)[J].河南:鄭州輕工業(yè)學院學報(自然科學版),2005.1(1) 44～46.

[4]吳功宜，張建忠.網(wǎng)絡(luò)安全高級軟件編程技術(shù).清華大學出版社，2010

[5]陸錫明.快速公交系統(tǒng).同濟大學出版社，2005

[6](美)特南鮑姆，韋瑟羅爾著；嚴偉，潘愛民譯.計算機網(wǎng)絡(luò).清華大學出版社，2012

[7]知網(wǎng)空間. http://cdmd.cnki.com.cn/

Studies on network security of the intelligent transportation system

Wen Xiongjun1Liao Shuguang3
1.Department of Computer, Hunan International Economics University, Changsha 410205, China; 2. LinFa Technology CO.LTO; Changsha 410006, China

網(wǎng)絡(luò)的安全是智能公交系統(tǒng)服務(wù)質(zhì)量的一重大因素，本文先對網(wǎng)絡(luò)進行了安全分析，然后從分析中得出安全方案，要從三大方面著手：與Internet接入的安全;部門之間的安全；區(qū)域網(wǎng)的安全著手如何設(shè)計安全措施，并通過調(diào)查選用所用的安全設(shè)備，最后保證智能公交系統(tǒng)網(wǎng)絡(luò)的安全。

服務(wù)安全；公交系統(tǒng)；入侵；網(wǎng)絡(luò)安全

Network security is one key factor to judge the service quality of intelligent public transportation systems. This paper analyzes network safety, and finally proposes a safety scheme. In the scheme, the safety of the connection to the internet, the safety of each department, and the safety of local area network are essential. Our work designed a program to guarantee network security of the intelligent public transportation system.

service security; public transportation system; intrusion; network security

10.3969/j.issn.1001-8972.2012.14.071

湖南省教育廳科研資助項目(08C515)

文雄軍，女，講師，碩士，研究方向人工智能，網(wǎng)絡(luò)方向；

廖暑光，男，本科，工程師，計算機軟件方向。