淺談中鼎物流園智能化系統安全風險及應對措施

竇強

（中國鐵路太原局集團有限公司太原地區工程建設指揮部，太原030031）

1 引言

中鼎物流園作為太原鐵路局現代物流轉型發展的重點項目，是一個集物流、倉儲、中轉、展覽展示于一體的物流園，園區致力于構建一體化、可靠安全、高效便捷的綜合物流服務及商貿交易平臺。園區智能化系統將計算機技術、通信技術、信息技術、智能建筑技術有機結合，通過對設備的自動監控、對信息資源的管理、對用戶的信息服務，創造一個高效、全方位、多層次的智慧物流園。為了確保中鼎物流園智能化系統能夠有效支撐園區的業務運行和安全管理，就需要定期分析研判系統的安全風險。通過本次對智能化系統網絡安全的分析，可以全面、完整地了解掌握園區智能化系統網絡的安全狀況。依據相關管理條例及辦法，對系統所面臨的各種風險以及存在的安全問題，提出相應的改進建議，達到確保系統安全的目的。

2 園區智能化系統概況

2.1 園區智能化系統的組成

園區智能化系統由三級平臺構成。一級平臺為物流園智能化信息總平臺；二級平臺由安全防范系統管理、智能化集成管理、建筑設備管理、智能視頻分析應用、物流管理應用五大平臺構成；三級平臺由各智能化子系統組成，包括公共廣播、自動抄表、能源管理、智能視頻監控、入侵報警、電子巡查、停車場、智能照明、展示系統等。

2.2 園區智能化系統的網絡結構

園區網采用核心層、匯聚層、接入層三級網絡架構。

核心層設備采用兩臺核心交換機，采用橫向虛擬化技術，將兩臺設備邏輯成一臺設備，實現網絡高可靠性和網絡大數據量轉發，同時簡化網絡管理。

匯聚層目前包括匯聚1 和匯聚3 兩個匯聚節點。分別采用兩臺匯聚層交換機，采用橫向虛擬化技術，將兩臺設備邏輯成一臺設備。

匯聚層交換機與接入層交換機采用縱向虛擬化技術，將匯聚層與接入層設備虛擬成一臺設備，由匯聚層設備統一管理和配置接入層設備，從而達到簡化管理與配置的目的。匯聚層至核心層采用星型加環形方式連接，形成多結構保護，使網絡具備冗余性及抗災能力。全網通過傳統VLAN 技術，實現不同業務間的二層網絡隔離。

3 園區智能化系統的物理安全

物理安全又稱實體安全，它是指包含環境、設備和記錄介質在內的一切支持信息系統運行的硬件設備的安全。信息網絡與物理設備是緊密聯系的，前者運用一定的方式運行在后者之上，物理設備的安全就成為信息網絡安全的第一層保障。因此，園區智能化系統安全的基礎是物理安全。

3.1 設備安全分析

①機房設置有火災自動消防系統，經檢測運行正常。

②機房建筑已設置避雷裝置，機房設置防雷設備及電源防雷箱，接地可靠。

③機房設有門禁系統、紅外聲光報警系統防止人員非法侵入，破壞設備。

④機房配備UPS 穩壓電源，兩路市電冗余供電，蓄電池后備供電。

3.2 環境安全分析

①園區現有的核心數據機房、智能化機房、匯聚一號機房、匯聚三號機房設置在防風、防雨、防震的建筑內，與用水設備及管路分離，滿足安全需求。

②機房內設有環境監控系統、恒溫恒濕空調，滿足機房內溫濕度及防水防潮的要求。

③機房內采用防靜電地板及防電磁措施，接地電阻符合標準。

3.3 智能化系統物理安全結論

通過對園區智能化系統設備安全的分析及測試，安全性較好，能夠滿足系統安全運行需要。

4 園區智能化系統網絡安全

中鼎物流園利用物聯網、云計算等先進技術，為物流園提供管理、物流等各方面的高效管理以及系統集成，同時也為物流園中參與的其他個體提供多方面信息化服務，從而讓園內資源得到科學合理運用，進一步完善園區，提升其吸引力，將其運營者、環境和人三者合一，融合成有機整體，促進物流園走向可持續發展的道路。與此同時，園區的安全風險系數也在提高，因此，園區的信息網絡安全也必將成為關注的重點。網絡安全，顧名思義就是網絡上的信息安全，它是對信息的保密性、完整性、可用性的保護，其中包括網絡系統安全、數據信息安全等。威脅網絡安全的主要類型有木馬病毒、黑客攻擊、信息泄露等。

4.1 園區網絡安全風險來源

信息網絡的安全問題來源有很多，通過將網絡系統的特征與智能化系統網絡的實際運用相結合，對其潛在威脅與安全隱患進行研究和分析，具體情況如下。

4.1.1 網絡系統安全風險

當前普遍使用的操作系統、數據庫等軟件，存在許多安全漏洞，這些必將被黑客與計算機病毒所利用。網絡設備存在漏洞，對整個網絡系統來說，網絡中每個點的安全情況都會對整個系統造成威脅，安全管理人員不但要關注單個區域的安全情況，還需要關注整個系統的安全漏洞風險情況。這就要求有相應的漏洞管理平臺對整個網絡中的系統漏洞進行集中管理，收集信息，匯總分析，讓安全管理人員掌握整體的網絡安全狀況。

4.1.2 來自黑客的攻擊

網絡在運行時內外部的數據會進行交換，在這一環節中必須要加強保護，否則會給侵略者留下空隙，他們會通過某種方式取得系統的訪問權，侵入系統，對系統產生威脅，使系統出現安全隱患。

4.1.3 網絡病毒入侵

計算機病毒與木馬程序已成為當前網絡最大的安全隱患，換而言之就是非法入侵代碼。計算機病毒與木馬程序的入侵方式不同，前者的方式是更改代碼，再利用網絡傳播來實現入侵。當然，它還可以利用基礎傳播實現入侵，如U 盤病毒等。計算機病毒一旦入侵成功，電腦文件就會被毀壞，系統受到侵害無法正常運行，嚴重者會直接崩潰。而后者的入侵方式比較隱蔽，對電腦不會造成影響，系統也不會損壞，這就導致用戶很難發現它的入侵，但是它會在用戶毫無察覺的情況下控制電腦系統。

4.1.4 物聯網的安全風險

對于現有的園區網絡的終端設備，都基于物聯網要求，進行統一管控，通過對不同業務和應用的使用，進行有效管理，但是隨著網絡的不斷發展，從原來的模擬信號，逐漸轉向數字信號，再到現在的IP 控制，網絡的復雜程度越來越精細化，通過IP 的方式，能夠實現設備的互聯互通，從而形成現在的物聯網。在物聯網不斷發展和壯大的同時，物聯網安全也被人們重視起來，黑客可以通過終端的物聯網接入交換機，進行掃描和滲透，從而發現智能化網絡的漏洞，并對漏洞進行攻擊，會導致大量的數據和視頻遭到劫持，最為明顯的就是通過此種方式獲取視頻權限，從而竊取物聯網上的大量視頻，用于非法行為，其次，其還能夠通過這種方式，破壞園區網絡的數據業務，導致門禁失控、IC 卡失效、停車場不能正常運行等嚴重后果。

4.1.5 無線網的安全風險

園區內使用WLAN 網絡帶來方便的同時，WLAN 的安全問題給管理員帶來了很多困擾。傳統安全方案，無法阻止流氓AP(例如員工私自接入有線網絡的AP)，而一旦接入不符合安全策略的AP，內網數據的安全將無法得到保障。使用傳統防火墻防護無線網絡，只能在有線網絡出口阻止非法無線客戶端，無法阻止無線客戶端通過射頻信號接入AP，而一旦非法無線客戶端接入AP，相當于進入企業內網，信息泄露的大門已經打開。無法有效對無線接入客戶進行認證，普通無線AP接入認證手段比較簡單很容易被仿冒和破解。

4.1.6 數據庫安全風險

數據庫安全事件頻繁發生，與數據庫管理面臨的安全挑戰密切相關。概括起來數據庫面臨的安全挑戰可以分為三大類，如下：一是管理方面，其主要體現在人員職責分配模糊、流程不夠健全，需要進一步完善，內部員工的日常操作缺乏規范性，維護人員的日常操作缺乏監控等，這些缺失直接導致數據庫安全事件發生時，不能追責到人；二是技術層面，數據庫內部操作混亂，導致傳統的外部安全工具無法起到保護作用，內部用戶的惡意操作和資源濫用等違規行為頻繁出現；三是審計層面，當前的審計方式過于依賴數據庫日志文件，導致多種弊病的出現，例如，數據庫審計功能的啟動對其性能會產生一定的影響，其日志文件很容易被篡改，使人們對審計信息的真實性產生懷疑。

4.1.7 分期建設帶來的安全風險

園區智能化系統分期建設，單體建筑智能化系統陸續接入整個系統，使得園區網絡安全的統一性、系統性需要加強。

4.2 園區網絡安全應對措施及建議

因物流園智能化技術高度集中，網絡技術以及協議存在開放性這兩大特征，導致園區網絡有著多種不同類型的安全隱患和潛在危機，這些隱患直接為侵入人員提供可乘之機，他們會以此為契機入侵整個網絡，對園區網絡造成嚴重后果。因此，物流園智能化系統首要目標就是要保障該系統的可用性、保密性等，從而保障整個物流園的網絡系統安全。

①在核心交換區部署專業的遠程安全評估系統，及時發現安全漏洞及配置缺陷，主動對網絡中的資產進行細致深入的漏洞及配置檢測、分析，同時對WEB 業務系統做有效的漏洞掃描，給網絡管理人員提供專業、有效的漏洞防護及配置整改建議，及時修補漏洞、修改配置，讓攻擊者無機可乘。

②在網絡邊界處部署專業的融合有防病毒功能的入侵監測與防護系統，對互聯網邊界傳入的木馬病毒、蠕蟲病毒、宏病毒、腳本病毒等各種病毒進行檢測和查殺，對員工郵件正文/附件、網頁及下載文件中包含的病毒進行檢測與阻斷，實現智能、自動化的安全防御。

③在園區網各辦公終端部署專業的終端安全管理系統，預防非法終端的侵入，降低不安全終端的隱患。禁止合法終端未經同意進行訪問，保護園區內部資源。輔助園區將安全管理制度落到實處，強化行為審計防止惡意終端破壞。

④對數據庫管理要建立獨立的安全審計系統，定義與數據庫安全有關的審計事件，配置具有針對性的安全審計員，設置專門的安全審計庫，并配置專門用于該系統的安全審計設置等工具。

⑤設置無線防火墻，結合射頻信號及802.11 特點，創新的無線防火墻安全策略，將AP 或Station 的安全屬性帶入無線網絡準入規則中，利用射頻信號，阻斷非法用戶的侵入，從而創建射頻安全區，為用戶提供安全與可信度高的無線網絡。

⑥建立多路由網絡結構，主要設備冗余配置，保障其業務處理能力有多余空間，在業務高峰期階段，仍游刃有余。在業務終端與對應服務器中間進行路由控制創建安全的訪問路徑。防止重要網段的外置，在重要網絡與其他網絡之間運用技術隔離。將業務服務按照主次順序排序，并以此來分配優先級別，保障重要主機在發生網絡擁堵時得到優先保護。

⑦對登錄的用戶采用身份鑒別的方式，并對管理員登錄地址進行一定的限制。用戶的標識必須具有唯一性，主要網絡設備可用組合的鑒別技術，即對同一個用戶運用兩種或者兩種以上技術進行鑒別。

⑧在核心交換區部署專業的遠程安全評估系統，及時發現安全漏洞及配置缺陷，主動對網絡中的資產進行細致深入的漏洞及配置檢測、分析，同時對WEB 業務系統做有效的漏洞掃描，給網絡管理人員提供專業、有效的漏洞防護及配置整改建議，及時修補漏洞、修改配置，讓攻擊者無機可乘。

⑨加強對園區智能化系統的建設管理，整體規劃、分步實施，做到標準化、精細化及系統化。

5 結論

網絡系統面臨黑客、系統“后門”和病毒等各種安全威脅。盡管近幾年科技迅速發展，計算機網絡安全技術也獲得了質的飛躍，但是該系統的安全性，仍然比較脆弱，還有待進一步發展。中鼎物流園智能化系統安全是一個復雜問題，只依靠一、兩種網絡安全設備和策略是不能解決問題的。因此，“技防”的同時還需要做好“人防”的工作。建立相應的信息安全管理制度，規范網絡管理及使用人員的操作行為，定期對系統安全進行檢測及評估，對實際中暴露出來的問題深入分析解決，這樣才能將智能化系統安全風險降至最低。