地下金屬管線數據中心安全研究

賀成梅，楊志剛

（1.山東明嘉勘察測繪有限公司，山東 淄博 255000；2.天津市地下空間規劃管理信息中心，天津 300191）

地下金屬管線是保障城市運行的重要基礎設施和“生命線”[1]。隨著各個城市地下管線普查工作的逐步展開，大量的地下管線數據被收集整理入庫。根據住房城鄉建設部和國家保密局聯合下發的相關文件的要求，地下管線各專業工程的現狀圖、規劃圖及管線綜合圖文資料屬于秘密級信息。如何保障管線數據在各部門間流轉使用，同時符合數據安全保密要求，是擺在地下管線數據管理者面前的一個新課題。

利用互聯網或者城域網等網絡技術實現相關數據在各部門間的流轉是目前流行的方式，但是網絡安全問題一直是擺在秘密數據前的一大重要障礙。外部網絡攻擊的快速演進，如APT，利用0Day漏洞的勒索病毒攻擊等；新技術的采用，如云、物聯網等對安全格局帶來根本性的變革[2]。

鑒于目前的網絡安全情況以及國家對地下金屬管線管理的要求，管線信息的管理潛在的威脅著實令所有地下管線管理者憂慮。這些都對地下管線數據的保護提出了更高的要求，隨著新的中國國家信息安全法及信息系統安全等保2.0的實施，建立地下管線的統一安全防護體系是目前當務之急。

1 地下金屬管線信息安全運營中心目標

地下管線信息安全運營中心（GSOC）是一個安全綜合管理平臺，通過監控、分析、偵查等手段，在一個安全基準（企業安全基線定義）之上對安全事件做出及時準確的響應，應對各種突發性安全事件。GSOC的核心是檢測和響應功能，分析整個系統的安全狀態和安全趨勢。GSOC的首要目標是增強安全、降低風險的同時保證安全符合規定要求，防止拒絕服務或欺詐等對組織產生負面影響。不同于傳統的網絡運營中心，GSOC更側重對安全事件的主動檢測和響應，及時阻斷和反擊，提供更全面的攻擊防護和安全評估管理。

如何建立一個高效、具備解決問題能力的安全運維隊伍？如何建立適合核心業務需求的安全事件處理機制、流程？是擺在地下管理系統安全的首要問題。而采用GSOC（安全運營中心）理念將現有安全系統納入統一的管理平臺，實現安全形勢全局分析和動態監控是地下管線數據各級系統維護部門的最佳選擇。

一個完整的GSOC有三個部分組成：管理人員、管理制度及技術手段。

圖1 安全運營中心組成

（1）人員-職業化、經驗豐富的安全和風險專家，或者是地信領域的安全架構師等。

（2）技術-直觀、易用的信息安全管理工具，用于展現整體安全視圖。

（3）管理制度-約定好的職責和流程，位于運營中心的指揮中樞必須能夠緩解一線和二線安全突發事件，并知道何時升級到三線突發事件。

2 地下金屬管線統一安全運維平臺架構體系

（1）地下管線的業務流程。管線數據詳細描述了地下管線生命周期[3]中各階段的特性和參數。地下管線信息系統依托于管線數據提供綜合的查詢、檢索、分析、規劃、建議等服務。其業務邏輯由底向上分別為管線生命周期層、數據層及管線服務系統層。地下管線信息化發展的一個顯著特點是：資源平臺化、數據集中化、信息渠道多樣化。對于數據安全系統也在安全隔離的基本原則上，輔助建立了很多安全控制點，比如終端準入系統，文件加密審計系統及防火墻等。但隨著安全要求的不斷加強，這種點線式的防御設計已漸漸力不從心，無法應對新式的安全攻擊。

地下管線信息安全保障系統作為信息系統的重要組成部分，其中地下管線安全運維平臺，即GSOC，是完成信息情報搜集，安全水平提升的核心平臺，是整合地下管線的信息安全體系，全流程覆蓋，確保管線數據全生命周期的安全提升[4]。

（2）安全運維中心的架構。依據信息系統生命周期理論，與信息的產生、傳輸、存儲、分析、處理五個環節相對應，GSOC主要包括事件發生器模塊、收集模塊、存儲模塊、分析模塊及響應模塊等基礎模塊。事件發生器負責生成安全事件，可分為基于數據的事件發生器和基于狀態的事件發生器。收集模塊負責從不同傳感器收集信息并轉換為標準格式。存儲模塊可以簡單理解為數據庫。分析模塊負責分析存儲在數據庫中的事件，為響應模塊提供響應的充分依據（告警信息）。分析過程又離不開知識庫（K模塊）的支持，知識庫存儲入侵路徑、系統安全模型、安全策略等知識。分析模塊是GSOC系統最復雜的部分，包括相關性分析、結構化分析、入侵路徑分析、行為分析。響應模塊功能負責對安全事件做出及時有效響應，反擊正在發生安全事件和生成報告。各個模塊協調運作、互相作用形成四個功能中心。

①事件監控中心-監控各個網絡設備、操作系統等日志信息，以便及時發現正在和已經發生的安全事件。②漏洞評估中心-通過它掌握全網各個系統中存在的安全漏洞情況，可以借助弱點評估中心的技術手段和安全考核機制督促各級安全管理機構落實安全工作。③綜合分析決策支持與預警中心-綜合安全運行管理平臺的核心模塊，基于資產和網絡拓撲進行風險評估關聯分析，按照風險優先級針對各個業務區域和具體事件產生預警。④應急管理中心-應急管理中心作為GSOC的重要組成部分之一為應急響應服務實現工具化、程序化、規范化提供了管理平臺。

（3）安全運維中心流程。地下管線安全運維中心采用三級安全事件響應機制，分為三類。

①一線監控人員負責過濾虛假情報，并對于實際威脅事件或不能確定的時間開具工單并指派給二線安全分析師；②二線人員或使用分析工具研究時間并確定威脅程度，嘗試解決，對不能解決的問題上交給三線團隊；③三線團隊可以是自有人員或者是第三方協助團隊。二線，三線團隊或其部分人員組成時間快速響應小組。

依照目前各地地下金屬管線綜合信息管理安全運維成熟度情況，可有序開展流程和制度建設，逐步完善組織架構，并最終形成地下管線安全運營的制度、人員和技術齊備的穩定平臺。通過引入自動化處理，更多的采用自動化的解決方案，通過定制化的流程加速調查，并聯動警告和事件處理系統。通過定期溝通、內部安全通報和建議，不斷展現安全運維的價值。

3 地下管線安全運維中心關鍵技術

在安全事件的一體化處理流程中，GSOC采用一系列新技術，在有效提高應用系統安全性的同時，盡量減輕安全事件相關操作對業務系統性能的影響。

（1）可視化-將原來不可見的轉變為可見。GSOC必須采用可視化手段，將威脅情報展現出來。

（2）情報共享及更新-不斷收集更新內部情報及外部情報。并利用這些信息來改善內部檢測和防御機制。外部網絡情報包括新聞提要、脆弱性警報等，安全人員必須為監視工具不斷注入威脅情報，保持最新的威脅情報信息。

（3）沙箱動態檢測-區別于針對已知威脅的特征碼檢測。包括瀏覽器沙箱、文件沙箱等。

（4）整體協調、預防性相應-通過結合高度嫻熟的安全分析師與安全自動化，提高組織分析能力，更好的防止數據泄露和網絡攻擊。

4 結語

本文對建立地下金屬管線安全運維中心的基本框架進行了研究，通過多種方式可以實現管線安全運營中心的建設從而保證其數據安全。

同時，地下管線安全運維中心是一個需要投入大量資金和時間的社會工程，它要求組織有一定的安全成熟度，體系架構也會依據不同的應用單位有所不同。安全運維中心的項目建設不同于網絡中心，而是需要單獨立項、分階段部署和實施，對安全數據源的引入也需要分階段逐步實施。另外，海量事件和漏洞信息需要有專門安全事件管理工具進行收集過濾、管理和分析；事件和業務資產的結合分析、需要使用信息資產管理工具的支持。

隨著國家對城市地下空間開發利用的重視程度的不斷提升，各政府部門需要使用統一的基礎數據，實現政府部門之間的數據共享是下一步趨勢，建立地下管線信息安全運營中心將會實現政府部門間數據的共享，實現政府規劃、管理和建設部門間在同一平臺上進行城市的綜合運營管理。