论文部分内容阅读
摘 要：高速公路监控系统的网络安全，关系着公路交通的安全和通畅以及高效，能直接影响到社会的公共秩序和人民的公共利益，需要实行重点保护。同时，可以进一步普及、推动、完善系统的标准化、规范化工作，达到信息系统等级保护的要求，对我国的高速公路发展具有深刻的意义。鉴于此，本文主要分析高速公路监控系统网络信息安全体系建设探讨。
关键词：高速公路;监控系统;网络信息;安全体系
路段公司监控系统已经向集中化、智能化、移动化发展，对于监控系统的访问途径和方式方法越来越多，业务系统的安全性和数据的保密性也就面临越来越多的不可控性，庞大的监控系统网络，复杂的网元及系统，一旦出现问题，没有办法快速定位，快速解決。且随着节点增多，各应用级的安全防护只是简单的累加，缺乏从全局层面对网络安全做全方位的防护和动态监测，逐渐使网络信息的安全受到潜在威胁，与之相关的安全事故屡发，主要表现在边界安全漏洞、非授权访问、冒充合法用户、干扰系统正常运行、恶意攻击网络、利用网络传播病毒、木马入侵等方面，一旦监控系统被互联网侵入或者内部人员通过非法途径发布信息，将会带来巨大负面影响。
1 高速公路监控系统网络安全体系建设的意义
传统的监控网络安全系统建设一般跟随业务系统进行建设设计，防护架构和安全策略相对静态，无法对整个监控系统进行动态、实时的漏洞扫描、威胁感知、策略调整与安全应急响应。基于数据驱动的高速公路网络信息安全防御体系将建立安全风险探知中心，收集安全运行流数据，测试记录、日志数据、网络数据、攻击数据，进行安全大数据的梳理分析;对操作系统、网络端口、基础软件环境（数据库、中间件等）、业务应用系统和服务接口等进行漏洞、配置弱点扫描，形成脆弱性探测报告，指出安全防护的薄弱环节，提出整改加固方案，完善交通运输行业网络与信息安全监测管理平台;落实信息安全等级保护制度，完善信息数据的交互、共享等安全管理措施;深化网络安全防护、态势感知、信息通报、预警预防及应急处置能力建设。
2 高速公路监控系统的网络拓扑现状
目前就广东省高速公路有限公司所属各路段公司监控网络的构成来看，主要由集团监控中心、路段监控中心、站级监控组成三级网络结构。各路段公司的网络采用的是分级管理的方式，监控网络基本上是独立于其他网络，开放部分对外接口供数据传输使用（如交警视频录像调度、移动端视频查看、路政车视频上传及病毒库升级等业务）。
目前监控网络存在的问题主要有：
（1）路段与集团网络出入口无防火墙，在网络边界缺乏有效的网络防护措施。
（2）路段监控网与办公网网络出入口无防火墙，在网络边界缺乏有效的网络防护措施。
（3）没有运维审计、日志审计、网络准入、漏洞扫描系统、应急备份及网络管理等系统，无法做到对监控系统的安全运维、安全统一的管理、日志收集和分析、高危操作的告警审计和追溯，亦无法对接入网络的设备进行专用的准入控制和权限管理，当重要系统设备出现故障时无法使用应急设备进行应急切换处理。
（4）情报板信息发布显示屏没有专门划分区域，一旦信息发布系统被非法侵入或者内部人员通过非法途径发布信息，将会带来巨大负面影响。
3 高速公路监控系统网络信息安全体系建设
3.1 建设要求
高速公路监控系统的信息安全，关系着公路交通的安全和通畅，能直接影响到社会的公共秩序，建议按照信息安全等级保护二级标准，并从技术和管理层面对监控系统进行保障体系建设。建设目标覆盖以下内容：
完善基础安全防护整体架构，开展并完成信息系统等保工作。
加强信息安全管理工作，制订科学合理的信息安全工作方针、政策，进一步完善信息安全管理制度体系，实现管理制度的标准化、规范化和流程化。
建立科学、完备的信息安全运维管理体系，实现信息安全事件的全程全周期管理，切实保障信息系统安全、稳定运行。
3.2 目标
根据等级保护的要求，结合系统的目前现状，将安全理论转化为具体安全需求，包括网络安全、主机安全、应用安全、数据安全以及管理制度等各个层面的安全需求，再依据现有比较成熟的安全技术及产品，将安全需求转化为可以实现的技术和管理安全防护手段，为应用全面性、及时性、准确性、完整性、保密性、可追溯性等业务要求提供安全保障。
3.3 网络区域间隔离控制与安全防护
3.3.1 监控系统边界安全
路段监控与集团监控之间的边界安全：路段监控与集团监控间部署带有入侵防护功能、病毒防护功能的防火墙进行隔离控制与威胁防护，防止病毒威胁外延到集团监控中心或其它路段公司，通过防火墙的黑白名单策略允许指定监控系统进行数据通信，同时结合防病毒引擎对已知未知病毒进行过滤防护，杜绝病毒自动传播。
路段监控与站级监控之间的安全：路段监控中心与站级监控之间部署安全访问策略进行隔离控制，通过最小权限访问控制策略和安全防护模块实现网络层攻击防护，将攻击行为控制在指定的区域防止外延。
路段监控与办公区域之间的安全：在路段监控中心与办公网之间部署带有入侵防护功能、病毒防护功能的防火墙进行隔离控制，防止办公网安全威胁影响到监控网络系统正常运行。
信息发布显示屏DMZ区：中心及站级管理交换机设置专用VLAN，将可变情报板、信息显示屏及发布管理端纳入DMZ专用区加强管理，结合网络准入系统有效防护。
3.3.2 主要设备功能如下
边界防火墙：支持访问控制，应用识别，防病毒网关、资产识别、云管理、入侵防护、高级威胁防护、僵尸网络发现、流量监控、应用管理等安全功能。
堡垒机--安全运维审计系统：堡垒机产品通过逻辑上将人与目标设备分离，建立“人->主账号（堡垒机用户账号）->授权->从账号（目标设备账号）->目标设备”的管理模式，实现集中精细化运维操作管控与审计。 日志审计系统：可基于主流协议实时采集不同厂商的安全设备、网络设备、主机、操作系统以及各种应用系统产生的日志信息，实现对各类设备日志的统一采集、统一存储、统一审计等各类日志管理工作。
网络准入系统：通过统一认证的方式规范路段监控中心以及站级监控中心终端接入。避免非授权用户或电脑访问关键业务系统，增强监控系统保密性同时避免非授权用户对监控系统的恶意破坏。强制入网合规检查策略，全面隔离“危险”终端，并支持安全检查不合规隔离后的自动修复及引导修复管理流程。对接入监控系统的设备终端及哑终端进行安全归类，控制移动介质使用和管理。
漏洞扫描系统：根据需要定期挂接到网络中，对安全设备、服务器、硬盘录像机、网络设备及终端进行扫描，即可发现安全漏洞，并采取补救措施或者完成整改。
容灾备份一体机：具有备份（包括定时及实时）、容灾（本地和异地）、统一存储、虚拟化平台、虚拟磁带库、数据重删、系统应急接管等多功能。
网络管理系统：提供存储管理模块、摄像头管理模块、资产自动发现、服务端口管理、业务系统图形展示等功能，对监控网络进行实时在线状态监测与预警，监测IT设备、通信链路、应用系统是否在线正常，根据不同类别的信息节点进行特征化检查，在资源（如CPU、内存、磁盘），状态（如设备状态、接口流量、丢包率）等多个维度对监控网相关系统的状态进行综合分析。同时根据实际情况建立监控系统可用性及安全性模型，对监控系统的支撑环境进行重点关联检测，使整个信息业务链可视化，为下一步信息化建设与运维提供决策依据。
3.4 物理安全
物理安全体系的建设在技术层面，应采取电子门禁、环境监控、电力冗余等技术措施，在管理层面，应在专业安全厂商的指导下，制定监控机房维护管理、出入登记申报等制度。
3.5 管理制度
根据系统的实际情况，在信息安全领导小组的负责下，制定和发布信息安全工作的总体方针、政策、目标、范围、原则和责任，并定期进行评审和修订。管理制度方面包括：
（1）制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等。
（2）建立管理人员或操作人员执行的日常管理操作规程，注重发布信息显示屏的发布审核机制。
（3）形成由安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系。
（4）每年由信息安全领导小组负责对安全管理制度体系的合理性和适用性进行审定。
（5）定期或不定期对安全管理制度进行修订。
4 结语
总之，随着各省高速公路监控系统的不断发展壮大，网络安全问题日趋突出，对监控系统网络安全的要求也越来越高。高速公路监控系统管理存在技术和管理上的不足，会造成监控系统合法用户被冒充、非授权访问、系统正常运行被干扰、完整数据被破坏、网络被恶意攻击、利用网络傳播病毒、发布恶意信息等给监控系统带来危害的现象。为保证监控系统的安全性，各省市高速公路应加强监控系统安全保障体系的建设。
参考文献：
[1]朱鹏飞，孙兴焕，曹小峰，等.省域高速公路网络信息安全动态防御体系研究[J].中国交通信息化，2018（1）：82-85.
[2]吴丽娟.高速公路机电项目中计算机系统的网络信息安全管理[J].产业与科技论坛，2016（16）：248-249.
[3]于雷，韩科.高速公路机电系统网络信息安全探讨[J].中国交通信息产业，2007（3）：44-45.
关键词：高速公路;监控系统;网络信息;安全体系
路段公司监控系统已经向集中化、智能化、移动化发展，对于监控系统的访问途径和方式方法越来越多，业务系统的安全性和数据的保密性也就面临越来越多的不可控性，庞大的监控系统网络，复杂的网元及系统，一旦出现问题，没有办法快速定位，快速解決。且随着节点增多，各应用级的安全防护只是简单的累加，缺乏从全局层面对网络安全做全方位的防护和动态监测，逐渐使网络信息的安全受到潜在威胁，与之相关的安全事故屡发，主要表现在边界安全漏洞、非授权访问、冒充合法用户、干扰系统正常运行、恶意攻击网络、利用网络传播病毒、木马入侵等方面，一旦监控系统被互联网侵入或者内部人员通过非法途径发布信息，将会带来巨大负面影响。
1 高速公路监控系统网络安全体系建设的意义
传统的监控网络安全系统建设一般跟随业务系统进行建设设计，防护架构和安全策略相对静态，无法对整个监控系统进行动态、实时的漏洞扫描、威胁感知、策略调整与安全应急响应。基于数据驱动的高速公路网络信息安全防御体系将建立安全风险探知中心，收集安全运行流数据，测试记录、日志数据、网络数据、攻击数据，进行安全大数据的梳理分析;对操作系统、网络端口、基础软件环境（数据库、中间件等）、业务应用系统和服务接口等进行漏洞、配置弱点扫描，形成脆弱性探测报告，指出安全防护的薄弱环节，提出整改加固方案，完善交通运输行业网络与信息安全监测管理平台;落实信息安全等级保护制度，完善信息数据的交互、共享等安全管理措施;深化网络安全防护、态势感知、信息通报、预警预防及应急处置能力建设。
2 高速公路监控系统的网络拓扑现状
目前就广东省高速公路有限公司所属各路段公司监控网络的构成来看，主要由集团监控中心、路段监控中心、站级监控组成三级网络结构。各路段公司的网络采用的是分级管理的方式，监控网络基本上是独立于其他网络，开放部分对外接口供数据传输使用（如交警视频录像调度、移动端视频查看、路政车视频上传及病毒库升级等业务）。
目前监控网络存在的问题主要有：
（1）路段与集团网络出入口无防火墙，在网络边界缺乏有效的网络防护措施。
（2）路段监控网与办公网网络出入口无防火墙，在网络边界缺乏有效的网络防护措施。
（3）没有运维审计、日志审计、网络准入、漏洞扫描系统、应急备份及网络管理等系统，无法做到对监控系统的安全运维、安全统一的管理、日志收集和分析、高危操作的告警审计和追溯，亦无法对接入网络的设备进行专用的准入控制和权限管理，当重要系统设备出现故障时无法使用应急设备进行应急切换处理。
（4）情报板信息发布显示屏没有专门划分区域，一旦信息发布系统被非法侵入或者内部人员通过非法途径发布信息，将会带来巨大负面影响。
3 高速公路监控系统网络信息安全体系建设
3.1 建设要求
高速公路监控系统的信息安全，关系着公路交通的安全和通畅，能直接影响到社会的公共秩序，建议按照信息安全等级保护二级标准，并从技术和管理层面对监控系统进行保障体系建设。建设目标覆盖以下内容：
完善基础安全防护整体架构，开展并完成信息系统等保工作。
加强信息安全管理工作，制订科学合理的信息安全工作方针、政策，进一步完善信息安全管理制度体系，实现管理制度的标准化、规范化和流程化。
建立科学、完备的信息安全运维管理体系，实现信息安全事件的全程全周期管理，切实保障信息系统安全、稳定运行。
3.2 目标
根据等级保护的要求，结合系统的目前现状，将安全理论转化为具体安全需求，包括网络安全、主机安全、应用安全、数据安全以及管理制度等各个层面的安全需求，再依据现有比较成熟的安全技术及产品，将安全需求转化为可以实现的技术和管理安全防护手段，为应用全面性、及时性、准确性、完整性、保密性、可追溯性等业务要求提供安全保障。
3.3 网络区域间隔离控制与安全防护
3.3.1 监控系统边界安全
路段监控与集团监控之间的边界安全：路段监控与集团监控间部署带有入侵防护功能、病毒防护功能的防火墙进行隔离控制与威胁防护，防止病毒威胁外延到集团监控中心或其它路段公司，通过防火墙的黑白名单策略允许指定监控系统进行数据通信，同时结合防病毒引擎对已知未知病毒进行过滤防护，杜绝病毒自动传播。
路段监控与站级监控之间的安全：路段监控中心与站级监控之间部署安全访问策略进行隔离控制，通过最小权限访问控制策略和安全防护模块实现网络层攻击防护，将攻击行为控制在指定的区域防止外延。
路段监控与办公区域之间的安全：在路段监控中心与办公网之间部署带有入侵防护功能、病毒防护功能的防火墙进行隔离控制，防止办公网安全威胁影响到监控网络系统正常运行。
信息发布显示屏DMZ区：中心及站级管理交换机设置专用VLAN，将可变情报板、信息显示屏及发布管理端纳入DMZ专用区加强管理，结合网络准入系统有效防护。
3.3.2 主要设备功能如下
边界防火墙：支持访问控制，应用识别，防病毒网关、资产识别、云管理、入侵防护、高级威胁防护、僵尸网络发现、流量监控、应用管理等安全功能。
堡垒机--安全运维审计系统：堡垒机产品通过逻辑上将人与目标设备分离，建立“人->主账号（堡垒机用户账号）->授权->从账号（目标设备账号）->目标设备”的管理模式，实现集中精细化运维操作管控与审计。 日志审计系统：可基于主流协议实时采集不同厂商的安全设备、网络设备、主机、操作系统以及各种应用系统产生的日志信息，实现对各类设备日志的统一采集、统一存储、统一审计等各类日志管理工作。
网络准入系统：通过统一认证的方式规范路段监控中心以及站级监控中心终端接入。避免非授权用户或电脑访问关键业务系统，增强监控系统保密性同时避免非授权用户对监控系统的恶意破坏。强制入网合规检查策略，全面隔离“危险”终端，并支持安全检查不合规隔离后的自动修复及引导修复管理流程。对接入监控系统的设备终端及哑终端进行安全归类，控制移动介质使用和管理。
漏洞扫描系统：根据需要定期挂接到网络中，对安全设备、服务器、硬盘录像机、网络设备及终端进行扫描，即可发现安全漏洞，并采取补救措施或者完成整改。
容灾备份一体机：具有备份（包括定时及实时）、容灾（本地和异地）、统一存储、虚拟化平台、虚拟磁带库、数据重删、系统应急接管等多功能。
网络管理系统：提供存储管理模块、摄像头管理模块、资产自动发现、服务端口管理、业务系统图形展示等功能，对监控网络进行实时在线状态监测与预警，监测IT设备、通信链路、应用系统是否在线正常，根据不同类别的信息节点进行特征化检查，在资源（如CPU、内存、磁盘），状态（如设备状态、接口流量、丢包率）等多个维度对监控网相关系统的状态进行综合分析。同时根据实际情况建立监控系统可用性及安全性模型，对监控系统的支撑环境进行重点关联检测，使整个信息业务链可视化，为下一步信息化建设与运维提供决策依据。
3.4 物理安全
物理安全体系的建设在技术层面，应采取电子门禁、环境监控、电力冗余等技术措施，在管理层面，应在专业安全厂商的指导下，制定监控机房维护管理、出入登记申报等制度。
3.5 管理制度
根据系统的实际情况，在信息安全领导小组的负责下，制定和发布信息安全工作的总体方针、政策、目标、范围、原则和责任，并定期进行评审和修订。管理制度方面包括：
（1）制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等。
（2）建立管理人员或操作人员执行的日常管理操作规程，注重发布信息显示屏的发布审核机制。
（3）形成由安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系。
（4）每年由信息安全领导小组负责对安全管理制度体系的合理性和适用性进行审定。
（5）定期或不定期对安全管理制度进行修订。
4 结语
总之，随着各省高速公路监控系统的不断发展壮大，网络安全问题日趋突出，对监控系统网络安全的要求也越来越高。高速公路监控系统管理存在技术和管理上的不足，会造成监控系统合法用户被冒充、非授权访问、系统正常运行被干扰、完整数据被破坏、网络被恶意攻击、利用网络傳播病毒、发布恶意信息等给监控系统带来危害的现象。为保证监控系统的安全性，各省市高速公路应加强监控系统安全保障体系的建设。
参考文献：
[1]朱鹏飞，孙兴焕，曹小峰，等.省域高速公路网络信息安全动态防御体系研究[J].中国交通信息化，2018（1）：82-85.
[2]吴丽娟.高速公路机电项目中计算机系统的网络信息安全管理[J].产业与科技论坛，2016（16）：248-249.
[3]于雷，韩科.高速公路机电系统网络信息安全探讨[J].中国交通信息产业，2007（3）：44-45.