加快高速公路機(jī)電系統(tǒng)三網(wǎng)融合建設(shè)的網(wǎng)絡(luò)與信息安全設(shè)計(jì)方案

陳靜 楊積冰 馬高琳

摘要：廣西高速公路機(jī)電系統(tǒng)三網(wǎng)（收費(fèi)網(wǎng)、監(jiān)控網(wǎng)、辦公網(wǎng)）融合的目標(biāo)提出已久，運(yùn)營(yíng)公司、管理部門(mén)推進(jìn)意愿低，根本原因是管理人員對(duì)信息化、自動(dòng)化、智能化技術(shù)對(duì)基礎(chǔ)設(shè)施建設(shè)和運(yùn)營(yíng)場(chǎng)景的顛覆性改變?nèi)狈φJ(rèn)識(shí)，技術(shù)人員對(duì)網(wǎng)絡(luò)與信息安全在一個(gè)完整系統(tǒng)內(nèi)的實(shí)現(xiàn)缺少理論框架和實(shí)踐經(jīng)驗(yàn)。文章考察了廣西某個(gè)高速公路運(yùn)營(yíng)中心的運(yùn)行狀況，提出一種可行的網(wǎng)絡(luò)和信息安全設(shè)計(jì)方案，以期在廣西全區(qū)范圍內(nèi)推廣。

關(guān)鍵詞：高速公路;機(jī)電系統(tǒng);三網(wǎng)融合;網(wǎng)絡(luò)與信息安全

中圖分類號(hào)：U412.36 6 文獻(xiàn)標(biāo)識(shí)碼：A DOl：10.13282/j.cnki wccst.2019.07.046

文章編號(hào)：1673-4874（2019）07-0154-04

0引言

高速公路機(jī)電系統(tǒng)分為三個(gè)部分：收費(fèi)系統(tǒng)、監(jiān)控系統(tǒng)、辦公應(yīng)用系統(tǒng)。由于機(jī)電系統(tǒng)長(zhǎng)期以來(lái)建設(shè)投入較低，而且投資方和建設(shè)方對(duì)IT系統(tǒng)服務(wù)業(yè)務(wù)乃至驅(qū)動(dòng)業(yè)務(wù)的能力和關(guān)鍵性認(rèn)識(shí)不夠，這三大系統(tǒng)的設(shè)計(jì)和施工一直沿用傳統(tǒng)的分開(kāi)建設(shè)的方法。這種做法就造成了事實(shí)上的三網(wǎng)隔離（收費(fèi)網(wǎng)、監(jiān)控網(wǎng)、OA網(wǎng)）。如今隨著IT應(yīng)用的發(fā)展、高速公路智能化建設(shè)的加速，這套老的系統(tǒng)架構(gòu)越來(lái)越不適應(yīng)實(shí)際需求。為了解除投資方和建設(shè)方對(duì)改變系統(tǒng)架構(gòu)后可能引起的安全問(wèn)題的擔(dān)憂，本文基于廣西高速公路機(jī)電系統(tǒng)現(xiàn)狀提出一種可行的網(wǎng)絡(luò)與信息安全設(shè)計(jì)方案。本文以一個(gè)高速公路運(yùn)營(yíng)中心的運(yùn)行狀況為例展開(kāi)考察，是因?yàn)閺V西高速公路機(jī)電系統(tǒng)具有相當(dāng)高程度的一致性，而且系統(tǒng)的指揮中樞集中在區(qū)域性的運(yùn)營(yíng)中心，在這個(gè)運(yùn)營(yíng)中心內(nèi)，運(yùn)營(yíng)者的權(quán)力大，網(wǎng)絡(luò)、服務(wù)器設(shè)備高度集中。

1廣西某高速公路運(yùn)營(yíng)中心網(wǎng)絡(luò)拓?fù)?/p>

將該運(yùn)營(yíng)中心的網(wǎng)絡(luò)拓?fù)渲茍D見(jiàn)圖1。

2系統(tǒng)分析

收費(fèi)網(wǎng)、監(jiān)控網(wǎng)和OA網(wǎng)目前是相互獨(dú)立、物理隔離的狀態(tài)，主要基于三個(gè)方面考慮：（1）減少維護(hù)工作量，在三網(wǎng)隔離的情況下，網(wǎng)絡(luò)邊界更加清晰，便于迅速定位和解決網(wǎng)絡(luò)故障;（2）方便集團(tuán)信息中心的統(tǒng)一管理，通過(guò)取消三個(gè)網(wǎng)絡(luò)在路段運(yùn)營(yíng)公司層面的互通，將網(wǎng)絡(luò)管理的責(zé)權(quán)收回信息中心，對(duì)網(wǎng)絡(luò)資源進(jìn)行統(tǒng)一分配和調(diào)度;（3）某些收費(fèi)數(shù)據(jù)安全性的需要，對(duì)此采取相對(duì)保守的處理方式，將三網(wǎng)隔開(kāi)。

三網(wǎng)隔離的網(wǎng)絡(luò)架構(gòu)存在方便管理、維護(hù)及保障數(shù)據(jù)安全的優(yōu)點(diǎn)，但對(duì)于增長(zhǎng)業(yè)務(wù)的需求，現(xiàn)有架構(gòu)沒(méi)有辦法很好地應(yīng)對(duì)，簡(jiǎn)單的說(shuō)，就是缺乏可用性和擴(kuò)展性。主要體現(xiàn)在以下兩點(diǎn)：（1）未來(lái)的業(yè)務(wù)需要監(jiān)控?cái)?shù)據(jù)、收費(fèi)數(shù)據(jù)、外網(wǎng)數(shù)據(jù)之間的交互。在大數(shù)據(jù)、云計(jì)算逐漸成熟的背景下，基于增值業(yè)務(wù)的各種應(yīng)用蓬勃發(fā)展，這些應(yīng)用都有著跨系統(tǒng)融合、將數(shù)據(jù)綜合分析、集中展示的特點(diǎn)。（2）現(xiàn)行數(shù)據(jù)的帶寬壓力集中在集團(tuán)數(shù)據(jù)中心機(jī)房，存在潛在的性能瓶頸，有可能給運(yùn)維工作帶來(lái)較大的負(fù)擔(dān)。在運(yùn)營(yíng)公司三網(wǎng)隔離的情況下，跨網(wǎng)絡(luò)的數(shù)據(jù)交換將全部經(jīng)由集團(tuán)中心機(jī)房處理，不僅對(duì)各路段到集團(tuán)的物理通信鏈路的穩(wěn)定性和速度有極高的要求，也給集團(tuán)的核心交換機(jī)帶來(lái)很大的帶寬壓力。

在此基礎(chǔ)上進(jìn)行三網(wǎng)融合，勢(shì)必會(huì)在網(wǎng)絡(luò)層面的某個(gè)節(jié)點(diǎn)出現(xiàn)互聯(lián)互通的情況，如不進(jìn)行處理，安全風(fēng)險(xiǎn)將會(huì)增加，主要危險(xiǎn)有數(shù)據(jù)泄露、惡意攻擊增加等。

3網(wǎng)絡(luò)和信息安全設(shè)計(jì)方案

3.1設(shè)計(jì)原則

從近兩年信息安全事件來(lái)看，絕大多數(shù)安全威脅主要來(lái)自于內(nèi)部，內(nèi)部的威脅遠(yuǎn)大于外部安全威脅，傳統(tǒng)的著重于邊界安全的技術(shù)已經(jīng)不能適應(yīng)當(dāng)前嚴(yán)峻的安全形勢(shì)。

信息安全防護(hù)建設(shè)必須是全方位、多層次地從技術(shù)、管理、運(yùn)維等方面進(jìn)行全面的設(shè)計(jì)和建設(shè)，從而有效保證和提高信息系統(tǒng)抵御不斷出現(xiàn)的安全威脅與風(fēng)險(xiǎn)的能力，保證系統(tǒng)安全穩(wěn)定地運(yùn)行。

3.2設(shè)計(jì)拓?fù)?/p>

本設(shè)計(jì)根據(jù)實(shí)際情況，從網(wǎng)絡(luò)架構(gòu)安全、主機(jī)安全、超融合平臺(tái)安全、運(yùn)維安全、數(shù)據(jù)安全、接入安全的角度，堅(jiān)持易用性、先進(jìn)性、實(shí)用性、高安全性和可拓展性設(shè)計(jì)原則，針對(duì)不同級(jí)別系統(tǒng)劃分安全域，設(shè)計(jì)出在保障安全可靠的前提下，具有更豐富的靈活性和擴(kuò)展性的安全架構(gòu)，拓?fù)淇傮w設(shè)計(jì)如下頁(yè)圖2所示。

3.3設(shè)計(jì)方案

根據(jù)運(yùn)營(yíng)中心當(dāng)前網(wǎng)絡(luò)結(jié)構(gòu)、業(yè)務(wù)應(yīng)用需求，按照技術(shù)體系中網(wǎng)絡(luò)安全規(guī)劃，以零信任網(wǎng)絡(luò)為基準(zhǔn)，縮小安全區(qū)域。新設(shè)計(jì)的網(wǎng)絡(luò)結(jié)構(gòu)劃分了不同的安全區(qū)域，將高等級(jí)安全區(qū)域進(jìn)行物理隔離，比如收費(fèi)系統(tǒng)內(nèi)部，其他系統(tǒng)與收費(fèi)系統(tǒng)之間都需要專用的物理設(shè)備和物理線路進(jìn)行隔離，將中低等級(jí)安全區(qū)域進(jìn)行邏輯隔離。在各區(qū)域邊界部署下一代防火墻等安全設(shè)備，在安全管理區(qū)域部署多種安全管理系統(tǒng)，有效提高了整個(gè)信息網(wǎng)絡(luò)的安全性。

根據(jù)應(yīng)用、數(shù)據(jù)、用戶、特定接入的不同安全需求劃分出安全區(qū)域，依據(jù)安全域劃分原則，同一安全域擁有相同的安全等級(jí)和屬性，域內(nèi)是相互信任的，安全風(fēng)險(xiǎn)主要來(lái)自不同的安全域互訪，需要加強(qiáng)安全域邊界的安全防護(hù)。區(qū)域之間依據(jù)業(yè)務(wù)及安全的需要配置安全策略，有效實(shí)現(xiàn)信息系統(tǒng)合理安全域劃分。

為了保障超融合內(nèi)部之間的安全，需要利用超融合平臺(tái)本身提供的安全機(jī)制結(jié)合第三方安全技術(shù)手段對(duì)超融合內(nèi)虛擬機(jī)之間的流量微隔離，確保流量可視、可管理和可控。同時(shí)，還需考慮運(yùn)維、終端安全準(zhǔn)入、遠(yuǎn)程訪問(wèn)、統(tǒng)一身份認(rèn)證、數(shù)據(jù)脫敏、審計(jì)、日志保留、感知未知行為等安全技術(shù)手段。

3.3.1收費(fèi)系統(tǒng)安全設(shè)計(jì)

收費(fèi)系統(tǒng)是重點(diǎn)保障區(qū)域，屬于重要應(yīng)用業(yè)務(wù)系統(tǒng)。安全設(shè)計(jì)如下：

（1）收費(fèi)系統(tǒng)網(wǎng)出口與高管區(qū)之間部署下一代防火墻，進(jìn)行嚴(yán)格的安全訪問(wèn)控制。

（2）收費(fèi)應(yīng)用系統(tǒng)與數(shù)據(jù)庫(kù)進(jìn)行分離，分別設(shè)置不同的安全域，安全域之間部署下一代防火墻，對(duì)應(yīng)用系統(tǒng)與數(shù)據(jù)庫(kù)之間的流量進(jìn)行嚴(yán)格的訪問(wèn)控制，以確保在應(yīng)用系統(tǒng)被入侵的情況下，不會(huì)波及到數(shù)據(jù)安全。

（3）收費(fèi)應(yīng)用服務(wù)器設(shè)置不同的API接[33，確保內(nèi)部用戶讀寫(xiě)與取數(shù)接口分離，并設(shè)置不同的安全區(qū)域。

（4）數(shù)據(jù)庫(kù)系統(tǒng)設(shè)置主數(shù)據(jù)庫(kù)和從數(shù)據(jù)庫(kù)。主數(shù)據(jù)庫(kù)可以讀寫(xiě)，用于內(nèi)部收費(fèi)用戶訪問(wèn);從數(shù)據(jù)庫(kù)只能進(jìn)行讀操作，用于抽數(shù)接口訪問(wèn)。當(dāng)主數(shù)據(jù)庫(kù)出現(xiàn)故障時(shí)，從數(shù)據(jù)庫(kù)升級(jí)為主數(shù)據(jù)庫(kù)，不影響數(shù)據(jù)正常讀寫(xiě)。

3.3.2監(jiān)控和96333系統(tǒng)安全設(shè)計(jì)

監(jiān)控系統(tǒng)網(wǎng)主要存儲(chǔ)視頻監(jiān)控?cái)?shù)據(jù)，數(shù)據(jù)在本地存有一份，96333系統(tǒng)本地只有應(yīng)用服務(wù)器，數(shù)據(jù)存儲(chǔ)在高管區(qū)，安全設(shè)計(jì)如下：

（1）監(jiān)控系統(tǒng)網(wǎng)出口與高管區(qū)之間部署下一代防火墻，進(jìn)行嚴(yán)格的安全訪問(wèn)控制。

（2）監(jiān)控應(yīng)用服務(wù)器與監(jiān)控?cái)?shù)據(jù)服務(wù)器進(jìn)行分離，劃分不同的安全域，中間部署下一代防火墻，嚴(yán)格控制應(yīng)用于數(shù)據(jù)庫(kù)之間的流量。

（3）96333系統(tǒng)網(wǎng)絡(luò)出口與高管區(qū)之間部署下一代防火墻，以便進(jìn)行安全控制，確保邊界安全。

3.3.3數(shù)據(jù)交換區(qū)安全設(shè)計(jì)

數(shù)據(jù)交換區(qū)功能主要用于將收費(fèi)系統(tǒng)數(shù)據(jù)、監(jiān)控系統(tǒng)數(shù)據(jù)和96333系統(tǒng)數(shù)據(jù)進(jìn)行統(tǒng)一抽取存放，該區(qū)域是數(shù)據(jù)三網(wǎng)融合交匯區(qū)域，對(duì)安全性要求很高，安全設(shè)計(jì)如下：

（1）部署下一代防火墻，通過(guò)三條不同的物理線路，接入到收費(fèi)系統(tǒng)網(wǎng)、監(jiān)控系統(tǒng)網(wǎng)和96333系統(tǒng)網(wǎng)抽取數(shù)據(jù)。建議在有條件的情況下，3條線路分別接入到3臺(tái)物理防火墻，也可以將1臺(tái)物理防火墻虛擬成3臺(tái)邏輯防火墻形成隔離。

（2）在取數(shù)區(qū)設(shè)置一個(gè)DMZ區(qū)域，部署一臺(tái)服務(wù)器，用于存放收取的數(shù)據(jù)，并且設(shè)置嚴(yán)格的訪問(wèn)控制策略，也可以選擇在超融合平臺(tái)中虛擬一個(gè)DMZ安全區(qū)域單獨(dú)存放抽取的數(shù)據(jù)。

（3）運(yùn)營(yíng)中心核心網(wǎng)絡(luò)接入到數(shù)據(jù)交換區(qū)防火墻，需要設(shè)置授權(quán)訪問(wèn)數(shù)據(jù)，精確到源、目和端口控制。

3.3.4OA網(wǎng)接入運(yùn)營(yíng)中心公網(wǎng)安全設(shè)計(jì)

OA網(wǎng)用戶主要是高速收費(fèi)站工作人員，分布不集中、安全不可控，安全設(shè)計(jì)如下：

（1）OA用戶通過(guò)運(yùn)營(yíng)中心直接上互聯(lián)網(wǎng)，需要在運(yùn)營(yíng)中心互聯(lián)網(wǎng)出口部署下一代防火墻。OA網(wǎng)用戶和運(yùn)營(yíng)中心網(wǎng)絡(luò)通過(guò)不同的物理鏈路連接到互聯(lián)網(wǎng)，嚴(yán)格控制OA網(wǎng)與運(yùn)營(yíng)中心網(wǎng)數(shù)據(jù)流量互通。

（2）為確保出口帶寬高利用率，需要在OA網(wǎng)接入到互聯(lián)網(wǎng)區(qū)域部署上網(wǎng)行為管理設(shè)備，嚴(yán)格審計(jì)控制OA網(wǎng)用戶上網(wǎng)行為，保障安全上網(wǎng)。

3.3.5超融合系統(tǒng)平臺(tái)安全設(shè)計(jì)

超融合系統(tǒng)在硬件網(wǎng)絡(luò)資源高可用的情況下，需要提高業(yè)務(wù)流量可視性以及虛擬機(jī)之間的微隔離，安全設(shè)計(jì)如下：

（1）利用超融合平臺(tái)安全技術(shù)，虛擬出下一代防火墻，將虛擬機(jī)之間的流量進(jìn)行安全過(guò)濾、微隔離，實(shí)現(xiàn)東西向安全防護(hù)，避免虛擬機(jī)之間交叉感染。

（2）部署安全資源池，并與云平臺(tái)進(jìn)行解耦，將云平臺(tái)內(nèi)ITS系統(tǒng)和其他虛擬機(jī)流量引入到安全資源池進(jìn)行分析、過(guò)濾、審計(jì)，確保云平臺(tái)內(nèi)所有虛擬機(jī)業(yè)務(wù)流量安全可靠。安全資源池還能進(jìn)行彈性擴(kuò)展，可以虛擬出各種安全登保合規(guī)產(chǎn)品，如堡壘機(jī)、SSLVPN、日志審計(jì)、上網(wǎng)行為等。

3.3.6統(tǒng)一身份認(rèn)證

因?yàn)闃I(yè)務(wù)系統(tǒng)對(duì)外開(kāi)放，其受到的威脅相對(duì)更多，本身的靜態(tài)賬號(hào)密碼暴露了更多的脆弱性。為了確保訪問(wèn)業(yè)務(wù)系統(tǒng)的安全可靠性，建議統(tǒng)一部署進(jìn)行授權(quán)和身份認(rèn)證，訪問(wèn)業(yè)務(wù)系統(tǒng)進(jìn)行雙因子認(rèn)證，除了業(yè)務(wù)系統(tǒng)本身的賬號(hào)密碼外，還增加了輸入動(dòng)態(tài)口令、短信驗(yàn)證碼等手段，極大地提高了業(yè)務(wù)系統(tǒng)的訪問(wèn)安全。

3.3.7安全監(jiān)管區(qū)及運(yùn)維安全設(shè)計(jì)

安全監(jiān)管區(qū)為整個(gè)網(wǎng)絡(luò)的各安全區(qū)域提供安全控制、安全審計(jì)和安全運(yùn)維服務(wù)功能，包括安全資源池、身份認(rèn)證網(wǎng)關(guān)、動(dòng)態(tài)感知系統(tǒng)等。安全設(shè)計(jì)建議如下：

（1）部署運(yùn)維堡壘機(jī)。所有針對(duì)業(yè)務(wù)系統(tǒng)的運(yùn)維，必須要求通過(guò)堡壘機(jī)授權(quán)認(rèn)證，細(xì)化權(quán)限。可從安全資源池中虛擬。

（2）部署日志審計(jì)。將所有業(yè)務(wù)系統(tǒng)日志、網(wǎng)絡(luò)系統(tǒng)日志、安全設(shè)備日志統(tǒng)一存儲(chǔ)到日志審計(jì)設(shè)備，并且日志保留不少于6個(gè)月?？蓮陌踩Y源池中虛擬。

（3）部署SSL VPN。所有針對(duì)從互聯(lián)網(wǎng)訪問(wèn)內(nèi)網(wǎng)的業(yè)務(wù)必須經(jīng)過(guò)VPN加密，確保數(shù)據(jù)傳輸過(guò)程的安全?？蓮陌踩Y源池中虛擬。

（4）部署數(shù)據(jù)庫(kù)審計(jì)。對(duì)所有數(shù)據(jù)庫(kù)的操作指令進(jìn)行審計(jì)，發(fā)生異常行為即告警。可從安全資源池中虛擬。

（5）部署身份認(rèn)證系統(tǒng)。對(duì)所有業(yè)務(wù)系統(tǒng)的訪問(wèn)進(jìn)行統(tǒng)一授權(quán)管控。

（6）部署動(dòng)態(tài)感知系統(tǒng)。動(dòng)態(tài)感知系統(tǒng)基于人工智能和大數(shù)據(jù)分析技術(shù)，能對(duì)所有運(yùn)營(yíng)中心的流量進(jìn)行安全審計(jì)，發(fā)現(xiàn)潛在的威脅和異常攻擊行為，并對(duì)其進(jìn)行追根溯源，將安全隱患徹底消滅在事故前。

4結(jié)語(yǔ)

一種有效、可行的信息安全設(shè)計(jì)方案必須是全方位的、多層次的，而且必須從技術(shù)、管理、運(yùn)維等方面進(jìn)行全面的建設(shè)，從而有效保證和提高信息系統(tǒng)抵御不斷出現(xiàn)的安全威脅與風(fēng)險(xiǎn)的能力，保證系統(tǒng)安全穩(wěn)定地運(yùn)行。本文以廣西某個(gè)高速公路運(yùn)營(yíng)中心為例，針對(duì)收費(fèi)系統(tǒng)、監(jiān)控系統(tǒng)、96333系統(tǒng)、數(shù)據(jù)交換區(qū)、OA系統(tǒng)、超融合系統(tǒng)的現(xiàn)行狀況分別提出相應(yīng)的安全建設(shè)方案，從物理層到網(wǎng)絡(luò)層，再到傳輸層，多層次保障機(jī)電系統(tǒng)的網(wǎng)絡(luò)與信息安全，為三網(wǎng)融合的加快建設(shè)提供了有力保障。