張洪韜（寧夏交通信息監(jiān)控中心,750001）

寧夏高速公路聯(lián)網系統(tǒng)網絡安全現(xiàn)狀分析與建設思路探討

張洪韜
（寧夏交通信息監(jiān)控中心,750001）

目前寧夏已建成了覆蓋自治區(qū)內現(xiàn)有高速公路的聯(lián)網系統(tǒng)，為了保障高速公路信息系統(tǒng)安全，需要逐步建立起網絡安全保障體系，滿足信息化高速發(fā)展需求。本文對寧夏高速公路聯(lián)網系統(tǒng)的網絡安全現(xiàn)狀和建設思路進行探討。

高速公路 聯(lián)網 網絡安全

1 概況

隨著對信息技術和網絡的依賴程度不斷提高，網絡與信息系統(tǒng)的基礎性、全局性作用日益增強，信息安全逐步成為寧夏高速公路聯(lián)網系統(tǒng)信息化建設的重要組成部分。

網絡安全保障是寧夏高速公路聯(lián)網系統(tǒng)信息化發(fā)展中需要長期堅持的重要工作。為了保障高速公路信息系統(tǒng)安全，立足于高速公路聯(lián)網系統(tǒng)的現(xiàn)狀和具體特點，結合網絡安全保障建設的自身規(guī)律和特點，抓住組織、管理、技術三個要素，逐步建立起積極的網絡安全保障體系，促進和滿足信息化高速發(fā)展的要求。

2 系統(tǒng)網絡安全防護現(xiàn)狀

寧夏高速公路聯(lián)網系統(tǒng)網絡安全建設伴隨著寧夏高速公路的建設同期進行，目前已建成了覆蓋寧夏區(qū)內現(xiàn)有高速公路的聯(lián)網系統(tǒng)。系統(tǒng)在網絡結構上屬于專網形式，通過安全隔離設備向互聯(lián)網提供信息發(fā)布服務。整個系統(tǒng)采用三級樹狀結構，“寧夏監(jiān)控總中心——分中心——收費站”。

2.1 寧夏監(jiān)控總中心網絡安全防護現(xiàn)狀

2.1.1 服務器區(qū)域。該區(qū)域主要包括寧夏高速公路聯(lián)網系統(tǒng)的收費系統(tǒng)、IC卡管理子系統(tǒng)、ETC子系統(tǒng)的數據庫服務器、各種應用服務器及監(jiān)控系統(tǒng)服務器。區(qū)域防護重點是防病毒攻擊、防內部人員/黑客入侵、防誤操作導致數據丟失/篡改/損壞，防DDOS 攻擊。目前區(qū)域內部署了入侵檢測系統(tǒng)和防病毒網關。

2.1.2 網站信息發(fā)布區(qū)域。該區(qū)域實現(xiàn)與互聯(lián)網網站系統(tǒng)的信息傳輸，防護重點是保證數據傳輸過程的保密性、完整性以及限制非授權的連接。目前區(qū)域內部署了防火墻和安全隔離網閘設備，實現(xiàn)訪問控制、傳輸加密、信息交換等功能。

2.1.3 終端、工作站區(qū)域。該區(qū)域主要包括日常工作使用和運維管理的終端計算機，該區(qū)域防護重點是病毒防護、非法外聯(lián)、越權使用等，目前區(qū)域內沒有采取安全防范措施。

2.1.4 外聯(lián)系統(tǒng)接入區(qū)域。該區(qū)域根據業(yè)務需求是與銀行、氣象、國土、公安等多個單位的系統(tǒng)互聯(lián)，實現(xiàn)資源共享。在此區(qū)域接入邊界部署了防火墻和密碼機等設備，能夠為外聯(lián)系統(tǒng)和單位的數據訪問和傳輸提供身份認證、訪問控制、傳輸加密等安全保障。

2.2 分中心網絡安全防護現(xiàn)狀

2.2.1 服務器區(qū)域。包括分中心的收費系統(tǒng)服務器、監(jiān)控系統(tǒng)服務器及流媒體設備等，該區(qū)域防護重點是防DDOS 攻擊、防病毒攻擊、防內部人員/黑客入侵、核心數據保護等，目前區(qū)域內采取有限安全防范措施。

2.2.2 分中心管理終端區(qū)域。包括分中心的管理工作站，該區(qū)域的防護重點是病毒防護、越權使用等，目前這些工作站只采用登陸密碼及身份認證IC卡進行權限控制。

2.3 收費站網絡安全防護現(xiàn)狀

2.3.1 服務器區(qū)域。包括收費站的收費數據服務器、NVR及監(jiān)控系統(tǒng)服務器，防護重點是DDOS 攻擊、病毒攻擊、內部人員/黑客入侵、核心數據保護等，目前該區(qū)域采取有限安全防范措施。

2.3.2 收費站終端區(qū)域。包括工作站和收費終端，該部位的防護重點是病毒防護、越權使用等，目前這些工作站只采用登陸密碼及身份認證IC卡進行權限控制。

2.3.3 收費站與寧夏監(jiān)控總中心無線備份鏈路。為保障數據能夠及時準確地傳輸到寧夏監(jiān)控總中心，各收費站在主網絡出現(xiàn)故障時采用移動無線備份鏈路進行收費數據傳輸，該區(qū)域的防護重點是數據防泄漏、防篡改及安全路由備份等。

3 系統(tǒng)網絡存在的安全風險

3.1 技術方面安全風險

3.1.1 網絡劃分不夠直觀。目前系統(tǒng)網絡VLAN劃分存在安全風險，劃分不夠直觀，沒有按區(qū)域進行劃分，部分區(qū)域有重復VLAN，并且收費系統(tǒng)和監(jiān)控系統(tǒng)沒有徹底分開，如果監(jiān)控系統(tǒng)的組播傳輸模式將帶寬耗盡，將影響收費系統(tǒng)數據傳輸。

3.1.2 安全域劃分不明晰。寧夏監(jiān)控總中心在網絡出口處部署了訪問控制設備，但是沒有分層次分區(qū)域進行詳細的安全域劃分，無法對核心數據進行重點防護，并且對外鏈接子系統(tǒng)沒有建立安全區(qū)域，存在外連攻擊和入侵的隱患。其次，由于整個系統(tǒng)在內部是互連互通的，內部人員或維護單位人員會存在越權訪問相關信息，對數據進行篡改或破壞，并且在安全域之間沒有采取隔離措施的情況下，蠕蟲病毒爆發(fā)時會在本網段內大量復制數據包，迅速波及到其他相連網段，造成系統(tǒng)大面積癱瘓。

3.1.3 補丁分發(fā)不及時。通過對寧夏高速公路聯(lián)網系統(tǒng)漏洞掃描，發(fā)現(xiàn)存在系統(tǒng)漏洞，這些漏洞基本是由于系統(tǒng)補丁更新不及時造成的。無論是網絡設備、操作系統(tǒng)還是應用軟件，由于商業(yè)或人為因素，都會存在一定的漏洞或錯誤代碼，隨著時間的推移和技術的發(fā)展，這些漏洞會被逐步發(fā)現(xiàn)，各安全設備廠商也會及時推出相應更新程序或補丁，用于更正或消除這些漏洞。

3.2 網絡安全防護方面安全風險

3.2.1 缺少整體防病毒系統(tǒng)。病毒的泛濫和擴散已經成為聯(lián)網系統(tǒng)網絡安全的一個重要威脅，由于病毒的隱蔽性、擴散性和破壞性等特點，病毒對于計算機網絡系統(tǒng)的破壞往往是大面積的、同時性的爆發(fā)，這將會對高速公路聯(lián)網系統(tǒng)正常運行造成很大影響。

3.2.2 缺少網絡安全審計系統(tǒng)。堡壘最容易從內部攻破，內部人員比外部人員更加容易進行數據非授權訪問，系統(tǒng)網絡內僅部署訪問控制設備、入侵檢測設備等相關網絡安全設備無法對內部人員實行有效控制和審計。

3.3 數據應用方面安全風險

3.3.1 沒有安全運行一體化、可視化系統(tǒng)。隨著網絡規(guī)模日漸龐大，網絡管理也日趨復雜，迫切需要對全網整體安全運行狀況有一個直觀的了解、清晰的掌控，能夠獲悉當前的安全態(tài)勢、攻擊分布、防護缺陷，掌握安全防護體系建設和安全管理能力建設的水平，目前系統(tǒng)內缺少對全網進行綜合網絡安全分析和管理的手段。

3.3.2 高速公路聯(lián)網系統(tǒng)中數據備份不能滿足數據日益增長的需求。在進行系統(tǒng)網絡安全規(guī)劃和實施時，要考慮到各種可能性因素，包括不可抗拒突發(fā)性行為和黑客攻擊、人為破壞等故意或過失行為。目前高速公路聯(lián)網系統(tǒng)數據備份還主要依靠磁盤進行，相對而言無法滿足未來大量數據的及時備份和介質保存等需求。

3.4 安全管理方面安全風險

寧夏高速公路聯(lián)網系統(tǒng)制定有相關的網絡安全管理制度，但是現(xiàn)有制度內容的完整性與國家重要信息系統(tǒng)等級保護的要求還有差距，同時高速公路聯(lián)網系統(tǒng)安全崗位人員不足，無法保證專人專崗，特別是關鍵崗位，缺乏職責行使分離機制，無法保護關鍵業(yè)務的安全。

4 系統(tǒng)網絡安全建設行業(yè)依據

交通運輸部辦公廳下發(fā)的《關于進一步開展交通運輸行業(yè)信息安全等級保護工作的通知》（廳科技字[2012]120號）明確指出，加強信息安全，保障信息系統(tǒng)穩(wěn)定運行要有統(tǒng)一的安全管理要求，建立信息系統(tǒng)安全應急處理機制，重特大風險識別、防范和控制機制，重要信息的保密和防護機制，信息系統(tǒng)的災難恢復機制，信息安全崗位職責規(guī)范要按照國家信息安全等級保護要求，完善信息安全運行和場地安全?！督煌ㄟ\輸部辦公廳關于推進交通運輸信息化智能化發(fā)展的指導意見》（廳科技字[2013]257號）指出到2020年，基本形成目標一致、功能協(xié)調、運轉高效、有機銜接的交通運輸信息化智能化發(fā)展總體格局，交通運輸信息化普及程度大幅度提升，重點領域智能化發(fā)展取得突破，交通運輸信息化智能化發(fā)展水平顯著提高，基本建成適應信息化智能化發(fā)展要求的技術支撐體系和可信可控的網絡與網絡安全保障體系。

5 系統(tǒng)網絡安全建設目標

必須從管理與技術層面提升寧夏高速公路聯(lián)網系統(tǒng)信息安全防護水平，防止高速公路聯(lián)網系統(tǒng)網絡癱瘓、應用系統(tǒng)遭受破壞、業(yè)務數據丟失、終端病毒感染、有害信息傳播和惡意滲透攻擊等行為，確保寧夏高速公路聯(lián)網系統(tǒng)安全穩(wěn)定運行，這需要對系統(tǒng)網絡安全有一個長期建設和優(yōu)化的過程。結合寧夏高速公路聯(lián)網系統(tǒng)現(xiàn)狀，應確定網絡安全建設短期和長期目標：

短期目標：通過網絡安全改造對寧夏高速公路聯(lián)網系統(tǒng)的安全狀況進行加固，解決目前急迫和關鍵的安全隱患問題；

長期目標：通過“試點、推廣和提升”三步走實施，實現(xiàn)“管理標準化、業(yè)務協(xié)同化、決策科學化、系統(tǒng)集成化、數據規(guī)范化”五個目標，保障寧夏高速公路聯(lián)網系統(tǒng)網絡能夠長期安全、穩(wěn)定、可靠運行。

6 系統(tǒng)網絡安全總體防護策略

寧夏高速公路聯(lián)網系統(tǒng)信息安全防護要貫徹國家、自治區(qū)和交通運輸部有關信息安全防護的要求和政策，要綜合平衡安全成本和風險，優(yōu)化高速公路聯(lián)網系統(tǒng)資源配置，實行高速公路聯(lián)網系統(tǒng)等級保護，確定重點保護工作。而信息安全策略是高速公路聯(lián)網系統(tǒng)信息安全工作遵循的基本依據，根據寧夏高速公路聯(lián)網系統(tǒng)特點和安全需求，總體安全策略可分成四部分：

6.1 系統(tǒng)分級。根據業(yè)務應用系統(tǒng)的使命、目標及重要程度，對系統(tǒng)進行安全等級劃分。

6.2 防護分域。劃分網絡安全域，將單個或多個業(yè)務系統(tǒng)分成不同網絡防護區(qū)域，根據網絡安全域內的業(yè)務系統(tǒng)定級情況和業(yè)務系統(tǒng)的服務對象，采取不同強度的安全防護措施。

6.3 預防為主。信息安全防護應以預防為主，要把預防信息安全事故作為防護的出發(fā)點和落腳點，從信息安全風險管理的角度、信息系統(tǒng)安全生命周期各階段的特點和業(yè)務系統(tǒng)的安全特性出發(fā)，有組織、有計劃地采取主動、嚴密的預防措施，達到防患于未然的目的。

6.4 積極管控。由于信息安全事件具有動態(tài)變化、突然爆發(fā)、持續(xù)破壞、高度不可預測等特性，為了全面應對信息安全事件，就需要建立積極的管控機制、融合技術和管理手段，實現(xiàn)對信息安全風險的主動跟蹤、及時掌握、有效處理，達到可控、能控、在控的管理效果。

7 結束語

隨著國家對信息安全工作的不斷重視，寧夏高速公路聯(lián)網系統(tǒng)網絡安全保障水平也引起了寧夏交通運輸廳相關部門的關注，要求最大限度地實現(xiàn)信息的保密性、完整性、可用性和有效性，提高寧夏高速公路聯(lián)網系統(tǒng)整體信息安全管理水平和抗風險能力，支撐寧夏高速公路聯(lián)網系統(tǒng)的信息安全。

Analysis and Discussion on the current situation of network security of Ningxia expressway networking system

Zhang Hongtao
（Ningxia traffic information monitoring center,750001）

At present,Ningxia has built a network system covering the existing highway in the autonomous region,in order to ensure the highway information system security,need to gradually establish a network security system,to meet the needs of rapid development of information technology. Network security situation and the construction of Ningxia expressway network the idea of this system is discussed.

expressway;networking; network security