城市軌道交通信息網絡安全設計

喬杰

通號工程局集團天津交通信息技術有限公司

城市軌道交通信息網絡安全設計

喬杰

通號工程局集團天津交通信息技術有限公司

近年來我國城市軌道交通信息化建設越來越快，城市軌道交通信息網絡存在著嚴重的安全問題。本文主要分析了目前城市軌道交通信息網絡中的安全問題，并從安全設計原則、安全設計和入侵防范措施三個方面論述了城市軌道交通信息網絡安全設計。

我國在城市軌道交通建設中通常都很重視土建，忽視了對信息化網絡的建設。隨著城市化軌道交通的建設與發展，其中存在著諸多急需解決的問題。比如信息化網絡難以與業務需求、增長相符，來自內外部因素對信息網絡的威脅等。因此，要重視城市軌道交通信息化網絡建設，尤其是安全設計，從而有效保障信息網絡的安全、高效運行。

1　問題城市軌道交通信息網絡安全

安全攻擊手段多樣化

在信息技術日新月異的同時，攻擊技術也更加先進，安全攻擊手段發展得更加多樣化，和以往相比也更加復雜。其中較為典型的攻擊手段有：外部入侵、網絡嗅探、IP欺騙、木馬攻擊、信息垃圾以及拒絕服務（DoS）/分布式拒絕服務（DDoS）攻擊等。除此之外，主要攻擊手段從單一攻擊方式逐步轉變為多種攻擊相結合的方式，攻擊手段發展的更具綜合性。

交通信息網內部因素

為實現信息處理效率與速度的提升，城市軌道交通已經不再使用紙制文檔，而是更多的運用電子文檔，將很多企業密級信息通過電子文檔的方式在內網中儲存。另外，運用了協同、HR、OA、EAM和ERP等電子信息管理系統。在運用這些先進管理系統后，在提高企業生產效率的同時，也讓企業信息安全管理面臨著更嚴峻的挑戰。通常情況下，70%以上安全事故存在于局域網內部，一般由內部濫用或誤用導致。因為城市軌道交通網絡有著用戶眾多、規模較大的特點，加強對內部濫用或誤用的監管，能夠促進城市軌道交通網絡順利運行。

來自病毒泛濫的影響

城市軌道交通中的很多用戶都使用城市軌道交通信息網，對互聯網進行訪問，并且在互聯網很多資源中都攜帶有病毒，比如FTP病毒、QQ病毒、網頁病毒以及郵件病毒等。病毒在侵入城市軌道交通信息網絡后，能夠自動對有價值信息進行收集，比如網絡中傳輸明文口令、郵件地址列表等。并且還會對網絡中計算機存在的漏洞進行探測，并根據這些漏洞傳播到網內計算機中。當病毒在網絡中進行大量復制或者大規模傳播時，會嚴重消耗網絡資源，甚至還會因此導致網絡出現堵塞，嚴重時造成網絡癱瘓，對城市軌道交通信息網絡威脅很大。

2　設計城市軌道交通信息網絡安全

安全設計原則

第一，性價比平衡原則。只有提高資金投入力度，才能有效保證網絡的安全，并提高網絡安全級別。在城市軌道交通信息網絡設計過程中，需要對其性價比進行優先考慮，同時還要對城市交通軌道信息網絡存在的風險與安全隱患進行定量或者定性分析，制定出有效的安全措施，對相應的保護措施、安全策略加以確定，最大限度實現性價比平衡。

第二，整體規劃，分步實施原則。從以往建設經驗可知，本線是各線工程信息網絡建設的主要范圍，不能在整體上對網信息網絡進行規范，特別是對于新建城市軌道交通來說，缺乏建設經驗，未能統一規劃線網，資源共享意識不強，很容易發生在某些工程中，其應用系統的設置、信息網絡建設等單獨對線路網絡結構加以考慮，配置十分冗余，無法將安全措施落實到位。不能立足于線網的高度進行通盤考慮，會導致資源出現嚴重浪費，難以取得較好安全效果。所以，要在城市軌道交通信息網絡安全設計過程中，從整體上做好規劃，以分布實施為原則，根據系統工程的觀點，并充分結合到線網各線路建設時序，做好線網的安全布局，確保配置更加安全，真正實現安全資源共享，從而有效減少建設投資，降低運營成本，對后續線路信息網絡安全建設提供指導。

第三，保證安全措施的靈活和簡單。目前，威脅信息網絡安全的因素既有外部的，也有內部，并且對信息網絡安全造成的危害也越來越嚴重。對于這些存在的安全威脅，運維工程師能夠根據實際的網絡安全設施，有針對性的選擇各種安全措施，如果所選擇的安全措施較為復雜，對運維工程師有著極高要求，那么就會對信息網絡安全性產生不利影響，所以要盡量選擇靈活、簡單的安全措施。

第四，綜合運用多種安全技術的原則。為不斷提高信息網絡的安全性，讓信息網絡存在的安全風險降到最低，只具備單一安全技術是遠不能滿足這些要求的。這是由于不論何種安全保護措施，其必定存在一定的缺陷，所以在信息系統受到各種安全威脅或者遇到各類防護重點時，其保護系統要綜合運用多種安全技術，這樣能夠保證在某一種安全技術被攻破后，信息安全仍然能夠受到其他安全技術的保護。

安全設計

第一，網絡拓撲結構。網絡設計的基礎就是結構層次化，能夠對網絡結構進行簡化，讓數據流更合理，實現路由交換設備效率的提升，讓網絡更具拓展性，并趨于穩定。根據網絡維護組織結構、建設規模以及服務質量等要求，對基礎承載網中網絡層級劃分為接入層、匯聚層和核心層，也可以選擇匯聚層與核心層結合的扁平結構，在劃分好層級好，匯聚流量，控制風險的影響范圍。為讓網絡更加連通，防止單鏈路和單點出現故障，可在備份、路由冗余、物理鏈路及設備節點下實現。在不同位置設置核心層節點，比如不同車輛段、控制中心等。要將網狀結構與環狀結構應用于核心層節點中，匯聚層與接入層、核心層節點間要選擇環形結構與雙星形結構。

第二，網絡安全策略。為讓核心層網絡更加可靠，要運用快速重路由技術，比如IP FRR、VPN FRR和TE FRR等，于核心節點做好鏈路保護。通過報文過濾異常流量、預防DDoS攻擊、關閉路由設備中多余服務以及加強用戶管理等，減少在主控板出現過載網絡流量，避免CPU資源被浪費等。實行隊列機制，在流量超出閾值后，限制通往主控板的流量，確保在過載流量條件下主控板能夠正常工作。在匯聚層中，冗余配置鏈路不能使用冷備用方式，要運用負載均衡方式。為匯聚層可靠性更強，其通路要運用轉發檢測技術（BFD）對故障進行快速檢測。在各設備接入端對接入IP地址數進行限制，避免受到DoS、DDoS的攻擊。在接入層中，從實際需求入手，運用端口限制用戶惡意行為及網絡攻擊。運用QinQ技術，對VLAN數量加以拓展，避免出現盜用IP與賬號、用戶間的ARP攻擊等情況。運用MAC地址和IP地址綁定，避免接入非授權用戶，防止IP被盜用。

入侵防范措施

第一，IPS。對于網絡威脅，IPS有著實時、主動防御的特點，有效控制信息網絡風險。IPS主要使用HIPS與NIPS，其中而在被保護主機上使用HIPS部署，必須先考慮HIPS部署對主機性能的影響。而NIPS既能夠串行部署，還能夠旁掛，最好選擇具備故障倒換能力、高吞吐能力的NIPS型號。

第二，IDS。IDS也可使用HIPS與NIPS，其中HIPS主要應用于加強主機防御能力方面。而NIPS一般要配合防火墻使用，發揮NIDS安全檢測的作用。另外，為防止NIDS頻繁出現告警，要在防火墻內側安置NIDS。

3　結語

總之，隨著我國城市軌道交通信息化建設速度日益加快，信息網絡在城市軌道交通運營管理中的作用也更加凸顯?，F代城市軌道交通運營管理主要以高效、安全和節約為目標，因此信息網絡的穩定與安全就顯得尤為重要。怎樣為城市軌道交通信息網絡提供更安全的保障，是一項復雜而重要的課題。在網絡技術發展日新月異的今天，還需要在實踐中繼續加強對信息網絡安全設計的研究。

10.3969/j.issn.1001-8972.2015.06.035