寧夏高速公路聯網系統網絡安全建設研究

張晶

摘 要 本文在分析寧夏收費、監控業務系統、網絡特點的基礎上，對網絡邊界安全、環境安全、主機安全等評估，論述了寧夏高速公路聯網系統的等級保護定級，提出了寧夏高速公路聯網系統的安全建設方案。

關鍵詞 高速公路 聯網系統 網絡安全

中圖分類號：U495 文獻標識碼：A DOI：10.16400/j.cnki.kjdks.2017.12.074

Study on Safety Construction of Ningxia Expressway Network

ZHANG Jing

（Ningxia Traffic Information Monitoring Center， Yinchuan， Ningxia 750000）

Abstract Based on the analysis of Ningxia charge and monitoring business system， network characteristics， network border security， environmental security， host security assessment， discusses the protection rating of Ningxia expressway network system， put forward the Ningxia expressway network system security building scheme.

Keywords expressway； network system； network security

1 等保定級

高速公路主要的業務系統為聯網收費系統，聯網收費系統用于實現通行費的征收和結算，當聯網收費系統受到破壞后會對通行費的計算產生影響，造成結算系統錯誤甚至癱瘓，造成通行費流失；還有可能造成ETC儲值金額數據庫被篡改甚至清零，當百萬、千萬級的ETC用戶儲值金額被篡改或清零時，就會對社會秩序和公共利益造成嚴重損害。寧夏高速公路聯網系統還包括了：監控、視頻會議、辦公等聯網系統，這些系統與聯網收費系統同屬于一個內網，各系統間存在這一定的業務數據交叉，攻擊者有可能會利用這些系統作為跳板對聯網收費系統進行攻擊。依據《信息安全保護管理辦法》規定，信息系統的安全保護等級分為五級，如果信息系統受到破壞后，對社會秩序和公共利益造成損害，信息系統等級保護定為二級，若對社會秩序和公共利益造成嚴重損害，信息系統等級保護定為三級，考慮到收費系統受到破壞后可能遭受的巨大經濟損失、公共利益以及社會秩序影響，建議寧夏高速公路聯網系統安全保護等級定為三級。

2 網絡安全評估

（1）物理安全評估：對高速公路管理中心、管理分中心、收費站的機房從物理位置選擇、物理訪問控制、防盜竊、防破壞、防雷擊、防火、防水、防潮、防靜電、溫濕度控制、電力供應和電磁防護等方面進行評估。

（2）網絡安全評估：按照等級保護三級要求，對寧夏高速公路聯網系統從結構安全、網絡訪問控制、安全審計、邊界完整性檢查、網絡入侵防范、惡意代碼、網絡設備防護等方面進行評估。

（3）主機安全評估：按照等級保護三級要求對寧夏高速公路聯網系統內的主機，從操作系統身份鑒別、訪問控制、安全審計、入侵防范、惡意代碼防范、系統資源控制等方面進行評估。

（4）應用安全評估：按照等級保護三級要求對聯網收費系統、監控系統，分別從身份鑒別、訪問控制、安全審計、通信完整性、通信保密性、軟件容錯、資源控制等方面進行評估。

（5）數據安全評估：按照等級保護三級要求對寧夏高速公路聯網系統的數據安全，從數據保密性、數據完整性和數據備份與恢復等方面進行評估。

3 網絡安全建設

3.1 安全域建設

寧夏高速公路聯網系統按照業務系統定級需求，聯網系統網絡按等保三級進行安全防護建設。按照安全分區、分級、分域及分層防護的原則，高速公路管理中心根據業務發展的需求按雙網隔離方案分信息內網與信息外網。采用管理中心、管理分中心、收費站縱向和業務系統橫向相結合的方式對聯網系統的安全域進行劃分，信息系統安全域分為：

信息內網：（1）收費系統：包括管理中心收費聯網系統、銀行結算系統、ETC全國聯網系統等服務器及ETC聯網結算中心辦公終端VLAN；管理分中心數據匯聚點收費應用服務器及管理終端VLAN；收費站收費數據庫服務器、站收費終端及車道收費計算機VLAN。（2）監控系統：包括管理中心監控聯網系統、高速公路視頻監控平臺等服務器及路網與監測中心辦公終端VLAN；收費站視頻流媒體服務器及收費站監控系統VLAN。（3）視頻會議系統、協同辦公系統、ETC全國聯網客戶查詢系統（網站）、12328呼叫系統等二級系統域。（4）公共服務系統：包括內網DNS、FTP、企業QQ等公共服務。（5）信息系統開發測試環境（模擬生產環境，由服務器、工作站組成）。（6）內網桌面終端域。

信息外網：（1）公眾出行網（網站）、ETC全國聯網客戶查詢系統（網站）域。（2）高速公路視頻監控平臺及移動應用服務域。（3）信息外網桌面終端域（互聯網業務終端）。

3.2 邊界安全防護建設

邊界安全防護重點是對進出邊界的數據流進行檢測和控制，結合寧夏信息化建設情況，采取有效的檢測控制機制包括：

（1）網絡訪問控制：采用防火墻、三層交換機Vlan隔離、網絡安全隔離與信息交換系統等技術手段實現；（2）入侵防護：采用IDS或IPS進行入侵檢測或監控；（3）遠程接入安全：采用虛擬專用網（VPN）或安全撥號網關對遠程用戶的標識與鑒別/訪問權限控制；（4）綜合安全網關：雙機熱備部署綜合安全網關進行訪問控制、入侵阻斷及病毒過濾等；（5）WEB防火墻：采用WAF設備保證對外發布的Web服務器安全。endprint

3.3 網絡環境防護建設

網絡環境安全防護是防止應用系統受到惡意攻擊，同時防止網絡設備受到攻擊。主要從網絡設備、網絡基礎服務、網絡業務信息流安全方面開展防護建設。

（1）網絡設備安全防護：主要對寧夏高速公路聯網系統中的路由器、交換機以及防火墻、安全網關等設備自身的安全防護。

（2）網絡基礎服務安全防護：基于各服務的特點進行合理配置，如對于 DHCP服務限定可獲取地址的主機范圍及設定IP地址生存期限；對于所提供服務的軟件版本及時更新或應用安全補丁，以防止軟件存在漏洞所引入的威脅，低版本存在可被利用的漏洞，應升級至較新版本。

（3）網絡業務信息流安全防護，寧夏高速公路聯網系統中傳輸的業務數據，可能在傳輸過程中被截獲、篡改和刪除，要有安全措施保證網絡傳輸信息的安全。可以采取適當的加密措施來保證敏感信息在網絡傳輸時不被非法偵聽，采用數字簽名方式保證信息不被刪除或非法篡改。可以采取的措施還有在高速公路監控中心部署入侵檢測系統，對網絡數據流進行監控，將重要的業務服務器流量鏡像至偵聽端口，并根據應用數據定制入侵檢測規則庫，發揮作用的入侵檢測系統能夠記錄入侵的源IP，攻擊類型，發起攻擊的時間等，并將較為敏感的疑似入侵事件及時通知管理員，管理員及時對入侵檢測事件進行分析，判斷事件的性質，對系統和數據造成的影響，再優化入侵檢測報警策略。

3.4 主機安全防護建設

寧夏高速公路收費、監控業務數據在進入、離開或駐留服務器時需要保持可用性和完整性。任何訪問均應在授權的情況下進行，非法訪問應該被識別和控制。有設置主機防火墻，監控入侵檢測等技術手段保障主機系統的安全，系統可以記錄入侵的事件，管理員在安全事件發生后，通過對事件日志的分析進行追蹤，確認事件對主機的影響程度并作后續處理。根據服務的性質不同，主機系統安全防護可以劃分為服務器安全防護和終端安全防護。

（1）服務器安全防護。服務器的安全從操作系統安全和數據庫安全兩個層面來進行建設。操作系統是承載寧夏高速公路聯網系統業務應用、數據庫應用的基礎載體，一旦操作系統的安全性出現問題，對整體業務數據安全造成嚴重威脅。對其其安全防護主要包括：操作系統基礎防護，身份認證及帳號管理，訪問控制，安全審計，資源控制，系統備份等方面。數據庫是業務系統數據的承載體，保存著收費通行記錄、道路交通參數、特情處理流程等重要的數據。對其安全防護主要包括：制定管理安全策略，對登錄錯誤次數超限的用戶進行鎖定，會話超時情況下退出，授予用戶執行業務操作所需的最小數據訪問權限，檢查數據庫審核記錄等；

（2）終端安全防護。隨著寧夏高速公路路網規模的擴大，聯網系統終端設備越來越多，終端設備沿高速公路沿線分布，有數量大、分散、難于統一管理等特點，采取的常規措施有病毒防護，惡意代碼防護，設置終端級防火墻，設置入侵檢測和常態化的補丁管理。從病毒防護來看，安裝網絡版防病毒系統是必須的，還需要及時更新病毒代碼庫，及時通過網絡下發，定期查殺病毒。在惡意代碼防護方面，需要定期更新軟件特征碼，限制用戶自行下載安裝不明插件，管理員需要關注惡意代碼事件報告，并及時進行處理。在補丁管理方面需要及時更新核心應用安全補丁，把這項工作常態化。

3.5 安全管控平臺建設

需要從監控、審計、風險、運維四個維度對全網的整體安全進行集中化的管理，建立起了一個可視、可查、可度量與可持續的安全管理平臺。借助安全管理平臺，操作和管理人員可以獲得對全網安全的可視化，洞悉業務信息系統的運行狀況與安全狀況；可以對全網的安全事件進行綜合分析與審計，識別和定位外部攻擊、內部違規；可以進行業務系統的安全風險度量、安全態勢度量和安全管理建設水平度量；可以進行持續的安全巡檢、應急響應與知識積累，不斷提升安全管理的能力。

3.6 信息安全管理建設

（1）安全管理機構的建設。依據交通行業主管單位關于寧夏高速公路聯網系統網絡安全建設的任務要求和總體指導，按照等級保護中有關安全管理的要求，結合高速公路運營和維護管理的實際以及聯網系統各業務單位及管理機構的安全管理需求，建設寧夏高速公路聯網系統安全管理機構。安全管理機構組織指導聯網系統內的各級管理機構安全管理建設，安全管理機構根據安全管理職責和技術安全環境的變化，與時俱進，持續改進和完善。

（2）安全管理制度的完善。依據聯網系統信息安全總體方針和安全策略，各級管理機構規劃聯網系統信息安全發展策略，編制和修訂各類信息安全文件和制度。建設信息安全策略、信息安全組織、資產管理、物理與環境安全、訪問控制、信息系統的獲取、開發和維護、信息安全事故管理等方面的管理規范。完善管理中心、管理分中心、收費站機房管理制度。開展專業人員的安全教育和培訓工作，并形成良好的繼續教育機制。

加強人員安全管理、運維安全管理工作，制定完善相關的安全管理制度，依據安全管理建設需求開展建設工作，根據等級保護測評要求落實安全管理制度的執行。

4 結語

網絡安全體系建設具有復雜，周期較長等特點，其建設過程必須要注重頂層設計，統一規劃、統一建設，在建設過程中必須要有專門的部分監督管理，同時等保體系建設和日常運維也建議考慮配置專業技術人員并配套相關費用。寧夏高速公路聯網系統網絡安全建設并非一蹴而就，需要多方協調，不斷完善，逐步建立成符合國家、地方、行業相關標準的信息化網絡安全體系。

參考文獻

[1] GB/T 22240-2008信息系統安全保護等級定級指南.endprint