交通大數據平臺中安全系統建設

張 震，李慶杰，肖瑞潔

(1.鄭州大學 電氣工程學院，河南 鄭州 450001； 2.鄭州大學 信息工程學院，河南 鄭州 450001)

0 引 言

自智慧交通提出以來，經過多年來的信息化建設和積累，交通運輸行業積累了大量的數據資源，交通信息資源總量呈指數級增長，現代信息技術的發展為處理交通產生的數據提供了契機。在大數據技術的支持下能夠為各類交通安全問題的分析和解決提供重要的數據參考支持，從而提升智慧交通發展的有序性和協調性。但是從當前發展實際情況來看，智慧交通中大數據的應用在數據信息收集、數據信息存儲、數據信息應用等方面仍然存在一些安全等方面的問題[1]。

在國外，智慧交通的概念提出較早，歐美等國的城市交通基礎設施建設在當地被高度看重，并已經基本完備，在此基礎上，發達國家開展了一系列的智能交通信息系統搭建，用以實現交通數據的采信、整理、共享、應用，以推動交通有序運營，促進社會民生的全面發展[2]。然而，在大量的交通數據應用中，往往容易忽視對數據的預處理研究[3]，導致數據冗雜，因此，大數據帶來的安全問題也層數不窮，但是國內外對安全系統的建設還不夠完備，需要專門建設面向交通大數據的安全系統。

文中對交通大數據平臺中的安全系統建設進行了深入探究，綜合交通服務大數據平臺部署于政務專有云平臺，物理層、網絡層、主機層復用云平臺提供的安全防護策略即可。安全系統主要從應用和數據方面加強安全防護，為部署于綜合交通服務大數據平臺(政務專有云機房、通信中心機房)各類業務應用提供基礎的安全運行保障環境。交通通信中心是全交通運輸行業交通專網匯聚節點，其網絡安全對政務專有云平臺至關重要，遵循國家等級保護相關政策、標準，文中對通信中心網絡匯聚節點環境參照三級等保相關要求進行建設，構建從網絡邊界到內部網絡分區的縱深防御體系。

1 安全隱患及設計目標

1.1 安全隱患

交通大數據平臺在進行網絡接入時存在遭受DDoS攻擊的風險，無法控制試圖非法登錄訪問數據的用戶；移動網絡忙接入過程中，大數據平臺的數據可能遭到非法登錄用戶的訪問，目前手持、移動設備需要接入較多，試圖非法登錄訪問數據的用戶無法控制。另外，虛擬化技術的應用使傳統物理安全邊界缺失。

交通大數據涵蓋了大量的信息，其中不乏一些敏感信息，這些信息在集中存儲的過程中容易出現泄露問題，泄露的數據信息一旦被非法使用則會對用戶的信息安全帶來威脅。另外，在龐大的數據量影響下，對敏感數據信息的界定也沒有統一的標準，信息安全性得不到保障[4]。

各專業系統(如車輛、信號、通信、線路、BAS等)均通過自身的管理軟件進行業務監控。并未形成多專業聯動監控。而且目前的信息技術及平臺只能通過定時抽取、推送等方式實現信息貫通，造成業務信息滯后，風險監控不及時，引發業務安全風險和監管隱患[5]。大數據技術可以對內容進行翔實的分析，從而可以判斷內容的真實性。但需要注意的是，城市交通信息涉及多個層面的隱私，具有保密性強的特點。居民個人、企業數據的安全和隱私存在泄漏的風險[6]。

1.2 設計目標

貫徹落實《國務院關于大力推進信息化發展和切實保障信息安全的若干意見》(國發〔2012〕23 號)，建立和完善交通運輸行業網絡與信息安全信息管理機制，保障行業網絡和信息系統安全運行及業務正常開展。大數據平臺應滿足如下要求：

(1)貫徹落實國家有關部門信息安全等級保護工作要求，全面完善交通運輸行業信息安全防護體系，確保等級保護順利實施。

(2)根據部署于大數據平臺的各業務系統各層面的共性和個性化安全保障需求，大數據平臺安全體系參照國家安全等保三級建設共性需求。

(3)基于“策略、防御、檢測、響應”(P2DR)的閉環控制動態網絡安全模型，構建從邊界到內部的縱深防御體系(IATF)。

(4)自云計算被提出以來，云計算技術帶來諸多數據安全風險，考慮到可能出現的信息丟失與泄露、共享技術漏洞、不安全的應用程序接口等問題，設計相應的安全保護措施，明確相應信息安全責任。

(5)數據庫作為數據存儲的關鍵技術，對于數據庫中的重要數據要做加密處理，用戶密碼等關鍵信息要加密存儲。

2 安全系統總體架構

2.1 安全運行環境

(1)政務專有云平臺通過安全域的劃分和云盾技術的安全能力，實現防護來自互聯網的DDoS攻擊，發現并阻斷來自互聯網的惡意網絡掃描和攻擊行為；當云服務器向互聯網發送惡意流量，對外發起DDoS攻擊時，網絡入侵防護系統有效識別云服務器的上述異常行為，開啟自我防護功能；提供包括密碼暴力破解、網站后門檢測和處理、異地登錄提醒等反入侵服務；提供Web漏洞檢測、網頁木馬檢測等服務，有效保障云平臺的數據安全。

(2)通信中心配置2臺下一代防火墻(核心)、2臺下一代防火墻(匯聚)、6臺千兆防火墻、1套數據庫審計系統、1套終端安全管理系統(許可數量為500個終端)、1套運維審計系統(堡壘機)、1套安全隔離與信息交換系統。

綜合交通服務大數據平臺安全系統邏輯示意圖如圖1所示。

2.2 管理體系

“三分技術，七分管理”，從技術角度出發的安全方案必須有與之相適應的管理制度同步制定，系統方案的可操作性要從管理等多方面的角度去評估。

管理體系包括1項安全現狀調研與風險評估、1項等級保護管理體系建設、1項等級保護體系宣貫，部署了云安全管理、云資源管理系統等的管理服務器，以實現對網絡、安全、主機存儲、數據等狀態監控和管理，確保系統安全性。

圖1 綜合交通服務大數據平臺安全邏輯框架示意圖

3 技術體系

網絡與信息安全是一項復雜的工程，從結構上來說涉及到物理、網絡、主機、應用、數據等多個層面，采用“綜合防范”的措施，通過多種手段或技術來綜合實現安全防范。基于以上縱深防御體系原理，大數據平臺安全防御體系依據由互聯網進入內部數據處理流程，按照“控制、檢測、防御、管理、審計”等思路，網絡從邊界到內部部署防火墻、IPS、防病毒系統、漏洞掃描系統、安全審計等技術手段，來實現在網絡、主機、應用等層面建立起安全防御體系。

3.1 政務云平臺

政務專有云平臺安全系統采用信息安全等級保護三級建設，主要安全方案包括訪問控制、接入控制、安全組防火墻和VPC隔離。

通過安全域的劃分和云盾技術的安全能力，實現防護來自互聯網的DDoS攻擊，發現并阻斷來自互聯網的惡意網絡掃描和攻擊行為；當云服務器向互聯網發送惡意流量，對外發起DDoS攻擊時，網絡入侵防護系統有效識別云服務器的上述異常行為，自動進行防護[7-8]；有效保障云平臺的數據安全。具體安全系統如表1所示。

表1 云平臺安全系統

3.2 物理安全

按照《信息系統安全等級保護基本要求》，物理安全方面涉及物理位置的選擇、溫濕度控制、防盜和防破壞、物理訪問控制等，屬于信息系統運行所需公共基礎條件，因此，本著就高原則，物理安全方面滿足《信息系統安全等級保護基本要求》中三級要求。

現階段物理安防技術很多種類都已應用到計算機中，它在計算機中所起到的作用是維護網絡鏈路的安全，這樣自然因素或是人為因素對計算機所造成的破壞程度就會相應降低[9]。物理安全防護技術應用在交通大數據平臺安全系統上，對用戶身份以及進入權限進行嚴格的驗證，用戶信息在最大程度上得到了保障。

3.3 網絡安全

按照《信息系統安全等級保護基本要求》網絡安全方面涉及結構安全、訪問控制、安全審計、邊界完整性檢查、入侵防范、惡意代碼防范、網絡設備防護等。根據大數據平臺安全域劃分，結合各分區系統定級，本次工程按照信息系統安全等級保護三級要求進行網絡安全防護。

綜合分析信息系統安全等級保護三級對于網絡安全的防護要求，文中分別從邊界訪問控制、網絡入侵防護、安全審計、日志審計、惡意代碼防范、邊界完整性保護、協議過濾管理、網絡設備安全配置等方面進行防護。

運用自主訪問控制的方式，依據安全策略，嚴格控制主體對客體的訪問。自主訪問控制的覆蓋范圍包括與信息安全直接相關的主體、客體以及它們之間的操作；其粒度達到主體為用戶級，客體為文件、數據庫表級。在該方式下，由授權主體設置對客體訪問和操作的權限，嚴格限制默認用戶的訪問權限。通過計算信任度，確認用戶的信任安全問題，以防不法分子對網絡的惡意攻擊。

安全審計針對來自內部的網絡安全威脅，覆蓋到服務器上的每個操作系統用戶和數據庫用戶，記錄系統內安全的重要相關事件，包括網絡數據采集、協議解析、日志分析等內容。網絡數據采集系統采用分布式結構，將多個采集設備分配到一個中間匯聚服務器上，形成一個小的局域網，設置一個總的中央管理服務器對多個中間匯聚服務器進行匯總分析；日志分析采用基于數據挖掘的分析方法，將聚類分析和關聯規則挖掘應用在日志分析中，從大量日志文件中提取重要信息，以實現對網絡內容的深度解析。通過安全審計，網絡數據采集的內容可以長期保存，有利于對過往的攻擊事件進行追溯、分析以及反向追蹤，為惡意行為的追查和追蹤提供依據。

將入侵檢測技術應用于系統，檢測是否存在非法入侵和濫用網絡等行為。其中，入侵檢測主要運用了簽名分析法檢測計算機網絡系統運行薄弱區域的攻擊行為，從而防止不法分子的網絡攻擊。

惡意代碼防范包括檢測、識別和清除三個步驟。惡意代碼攻擊系統或數據時，啟用數字免疫系統，及時發現并定位惡意代碼，識別出代碼的具體類型，進行屏蔽和清除。

網絡與信息安全是一項復雜的工程，從結構上來說涉及到物理、網絡、主機、應用、數據等多個層面，采用“綜合防范”的措施，通過多種手段或技術來綜合實現安全防范。在已有的安全技術的基礎上，制定系統安全策略、設立安全機制、建立完善的防御體系，以抵御來自各方的網絡攻擊，達到維護網絡安全的目標。

3.4 數據安全

實現數據安全性，要保障數據保密性、可用性和完整性[10]。

通過生產中心磁盤陣列[11-12]，來構建“同城兩中心”的備份架構，滿足安全等保三級數據備份與恢復的要求。大數據平臺建設考慮內、外網均部署有較多的業務系統，同時內外網之間有較頻繁的、實時性強的數據的交互，采用高性能防火墻代替網閘，即采用邏輯隔離方式實現通信中心與政務專有云平臺之間的隔離。

大數據平臺安全防御體系依據由互聯網進入內部數據處理流程，按照“控制、檢測、防御、管理、審計”等思路，網絡從邊界到內部部署防火墻、IPS、防病毒系統、漏洞掃描系統、安全審計等技術手段，來實現在網絡、主機、應用等層面建立起安全防御體系。

通過過濾IP和MAC地址機制，防止非法認證；對于交通大數據平臺中敏感的系統管理數據和敏感的用戶數據采用加密措施實現存儲保密性，AES密鑰加密技術，采取定期更新密鑰機制，為整個數據安全系統提供更加強大的安全防護。

針對大數據平臺收集到的數據，個人要認識到數據安全的重要性，形成正確的信息安全防護意識，提高自我防護能力，從而提升數據保密性能。工作人員要認識到人員操作的重要性，通過約束、規范用戶的操作，提升計算機信息系統的安全防護水平[13]。建立數據甄別、篩選機制，嚴格保護好隱私信息。交通大數據涉及大量信息，通過設置數據訪問權限，防止信息泄露，嚴格建立數據安全機制[14]。

3.5 安全管理中心

按照《信息系統安全等級保護基本要求》及交通運輸部下發的安全事件上報要求，交通專網復用通信中心現有安全管理平臺(SOC)，由其作為綜合安全防護系統，需要對出現的事件進行綜合分析，并把緊急修訂的措施及時下發執行，對不同的安全設備進行安全管理，與日志收集系統有效結合，實現對系統風險、系統脆弱性和系統安全事件的收集分析，集中化的監控、審計、預警、響應、報告。安全管理中心的架構如圖2所示。

圖2 綜合交通服務大數據平臺安全管理中心

安全管理平臺包括：集中賬號管理系統、系統脆弱性管理系統、風險分析管理、內控堡壘主機系統、防病毒及終端管理系統、安全配置信息管理系統、安全事件管理、安全響應管理等功能。

安全管理體系依托大數據平臺構建的安全管理中心，建立基礎信息庫，實現統一的安全集中管理功能與機制，通過安全管理中心定期生成綜合性報表或報告，為總體安全管理決策和安全制度的完善提供科學依據，從而形成安全聯動機制以及動態的綜合安全效能，使得大數據平臺的安保體系的各部分有機聯系在一起，實現安全管理的規范化、流程化、體系化。

安全管理體系同時需要相關的機構、制度、流程等做基礎，因此需要構建交通運輸廳信息安全管理機構、信息安全管理人員、信息安全管理制度、業務系統安全管理、系統運維管理等來保障對業務系統的安全技術手段的實現。

4 結束語

在智慧交通快速發展的背景下，為避免來自互聯網的惡意網絡掃描和攻擊行為，保障交通大數據平臺上各業務的安全運行，最終建成了健壯、自主可控的交通大數據平臺中的安全系統。安全系統通過構建從網絡邊界到內部網絡分區的縱深防御體系，為交通大數據平臺提供了全面的安全服務，對保證交通數據安全具有重要意義。