加快高速公路機電系統(tǒng)三網(wǎng)融合建設(shè)的網(wǎng)絡(luò)與信息安全設(shè)計方案

陳靜 楊積冰 馬高琳

摘要：廣西高速公路機電系統(tǒng)三網(wǎng)（收費網(wǎng)、監(jiān)控網(wǎng)、辦公網(wǎng)）融合的目標(biāo)提出已久，運營公司、管理部門推進意愿低，根本原因是管理人員對信息化、自動化、智能化技術(shù)對基礎(chǔ)設(shè)施建設(shè)和運營場景的顛覆性改變?nèi)狈φJ(rèn)識，技術(shù)人員對網(wǎng)絡(luò)與信息安全在一個完整系統(tǒng)內(nèi)的實現(xiàn)缺少理論框架和實踐經(jīng)驗。文章考察了廣西某個高速公路運營中心的運行狀況，提出一種可行的網(wǎng)絡(luò)和信息安全設(shè)計方案，以期在廣西全區(qū)范圍內(nèi)推廣。

關(guān)鍵詞：高速公路;機電系統(tǒng);三網(wǎng)融合;網(wǎng)絡(luò)與信息安全

中圖分類號：U412.36 6 文獻標(biāo)識碼：A DOl：10.13282/j.cnki wccst.2019.07.046

文章編號：1673-4874（2019）07-0154-04

0引言

高速公路機電系統(tǒng)分為三個部分：收費系統(tǒng)、監(jiān)控系統(tǒng)、辦公應(yīng)用系統(tǒng)。由于機電系統(tǒng)長期以來建設(shè)投入較低，而且投資方和建設(shè)方對IT系統(tǒng)服務(wù)業(yè)務(wù)乃至驅(qū)動業(yè)務(wù)的能力和關(guān)鍵性認(rèn)識不夠，這三大系統(tǒng)的設(shè)計和施工一直沿用傳統(tǒng)的分開建設(shè)的方法。這種做法就造成了事實上的三網(wǎng)隔離（收費網(wǎng)、監(jiān)控網(wǎng)、OA網(wǎng)）。如今隨著IT應(yīng)用的發(fā)展、高速公路智能化建設(shè)的加速，這套老的系統(tǒng)架構(gòu)越來越不適應(yīng)實際需求。為了解除投資方和建設(shè)方對改變系統(tǒng)架構(gòu)后可能引起的安全問題的擔(dān)憂，本文基于廣西高速公路機電系統(tǒng)現(xiàn)狀提出一種可行的網(wǎng)絡(luò)與信息安全設(shè)計方案。本文以一個高速公路運營中心的運行狀況為例展開考察，是因為廣西高速公路機電系統(tǒng)具有相當(dāng)高程度的一致性，而且系統(tǒng)的指揮中樞集中在區(qū)域性的運營中心，在這個運營中心內(nèi)，運營者的權(quán)力大，網(wǎng)絡(luò)、服務(wù)器設(shè)備高度集中。

1廣西某高速公路運營中心網(wǎng)絡(luò)拓?fù)?/p>

將該運營中心的網(wǎng)絡(luò)拓?fù)渲茍D見圖1。

2系統(tǒng)分析

收費網(wǎng)、監(jiān)控網(wǎng)和OA網(wǎng)目前是相互獨立、物理隔離的狀態(tài)，主要基于三個方面考慮：（1）減少維護工作量，在三網(wǎng)隔離的情況下，網(wǎng)絡(luò)邊界更加清晰，便于迅速定位和解決網(wǎng)絡(luò)故障;（2）方便集團信息中心的統(tǒng)一管理，通過取消三個網(wǎng)絡(luò)在路段運營公司層面的互通，將網(wǎng)絡(luò)管理的責(zé)權(quán)收回信息中心，對網(wǎng)絡(luò)資源進行統(tǒng)一分配和調(diào)度;（3）某些收費數(shù)據(jù)安全性的需要，對此采取相對保守的處理方式，將三網(wǎng)隔開。

三網(wǎng)隔離的網(wǎng)絡(luò)架構(gòu)存在方便管理、維護及保障數(shù)據(jù)安全的優(yōu)點，但對于增長業(yè)務(wù)的需求，現(xiàn)有架構(gòu)沒有辦法很好地應(yīng)對，簡單的說，就是缺乏可用性和擴展性。主要體現(xiàn)在以下兩點：（1）未來的業(yè)務(wù)需要監(jiān)控數(shù)據(jù)、收費數(shù)據(jù)、外網(wǎng)數(shù)據(jù)之間的交互。在大數(shù)據(jù)、云計算逐漸成熟的背景下，基于增值業(yè)務(wù)的各種應(yīng)用蓬勃發(fā)展，這些應(yīng)用都有著跨系統(tǒng)融合、將數(shù)據(jù)綜合分析、集中展示的特點。（2）現(xiàn)行數(shù)據(jù)的帶寬壓力集中在集團數(shù)據(jù)中心機房，存在潛在的性能瓶頸，有可能給運維工作帶來較大的負(fù)擔(dān)。在運營公司三網(wǎng)隔離的情況下，跨網(wǎng)絡(luò)的數(shù)據(jù)交換將全部經(jīng)由集團中心機房處理，不僅對各路段到集團的物理通信鏈路的穩(wěn)定性和速度有極高的要求，也給集團的核心交換機帶來很大的帶寬壓力。

在此基礎(chǔ)上進行三網(wǎng)融合，勢必會在網(wǎng)絡(luò)層面的某個節(jié)點出現(xiàn)互聯(lián)互通的情況，如不進行處理，安全風(fēng)險將會增加，主要危險有數(shù)據(jù)泄露、惡意攻擊增加等。

3網(wǎng)絡(luò)和信息安全設(shè)計方案

3.1設(shè)計原則

從近兩年信息安全事件來看，絕大多數(shù)安全威脅主要來自于內(nèi)部，內(nèi)部的威脅遠(yuǎn)大于外部安全威脅，傳統(tǒng)的著重于邊界安全的技術(shù)已經(jīng)不能適應(yīng)當(dāng)前嚴(yán)峻的安全形勢。

信息安全防護建設(shè)必須是全方位、多層次地從技術(shù)、管理、運維等方面進行全面的設(shè)計和建設(shè)，從而有效保證和提高信息系統(tǒng)抵御不斷出現(xiàn)的安全威脅與風(fēng)險的能力，保證系統(tǒng)安全穩(wěn)定地運行。

3.2設(shè)計拓?fù)?/p>

本設(shè)計根據(jù)實際情況，從網(wǎng)絡(luò)架構(gòu)安全、主機安全、超融合平臺安全、運維安全、數(shù)據(jù)安全、接入安全的角度，堅持易用性、先進性、實用性、高安全性和可拓展性設(shè)計原則，針對不同級別系統(tǒng)劃分安全域，設(shè)計出在保障安全可靠的前提下，具有更豐富的靈活性和擴展性的安全架構(gòu)，拓?fù)淇傮w設(shè)計如下頁圖2所示。

3.3設(shè)計方案

根據(jù)運營中心當(dāng)前網(wǎng)絡(luò)結(jié)構(gòu)、業(yè)務(wù)應(yīng)用需求，按照技術(shù)體系中網(wǎng)絡(luò)安全規(guī)劃，以零信任網(wǎng)絡(luò)為基準(zhǔn)，縮小安全區(qū)域。新設(shè)計的網(wǎng)絡(luò)結(jié)構(gòu)劃分了不同的安全區(qū)域，將高等級安全區(qū)域進行物理隔離，比如收費系統(tǒng)內(nèi)部，其他系統(tǒng)與收費系統(tǒng)之間都需要專用的物理設(shè)備和物理線路進行隔離，將中低等級安全區(qū)域進行邏輯隔離。在各區(qū)域邊界部署下一代防火墻等安全設(shè)備，在安全管理區(qū)域部署多種安全管理系統(tǒng)，有效提高了整個信息網(wǎng)絡(luò)的安全性。

根據(jù)應(yīng)用、數(shù)據(jù)、用戶、特定接入的不同安全需求劃分出安全區(qū)域，依據(jù)安全域劃分原則，同一安全域擁有相同的安全等級和屬性，域內(nèi)是相互信任的，安全風(fēng)險主要來自不同的安全域互訪，需要加強安全域邊界的安全防護。區(qū)域之間依據(jù)業(yè)務(wù)及安全的需要配置安全策略，有效實現(xiàn)信息系統(tǒng)合理安全域劃分。

為了保障超融合內(nèi)部之間的安全，需要利用超融合平臺本身提供的安全機制結(jié)合第三方安全技術(shù)手段對超融合內(nèi)虛擬機之間的流量微隔離，確保流量可視、可管理和可控。同時，還需考慮運維、終端安全準(zhǔn)入、遠(yuǎn)程訪問、統(tǒng)一身份認(rèn)證、數(shù)據(jù)脫敏、審計、日志保留、感知未知行為等安全技術(shù)手段。

3.3.1收費系統(tǒng)安全設(shè)計

收費系統(tǒng)是重點保障區(qū)域，屬于重要應(yīng)用業(yè)務(wù)系統(tǒng)。安全設(shè)計如下：

（1）收費系統(tǒng)網(wǎng)出口與高管區(qū)之間部署下一代防火墻，進行嚴(yán)格的安全訪問控制。

（2）收費應(yīng)用系統(tǒng)與數(shù)據(jù)庫進行分離，分別設(shè)置不同的安全域，安全域之間部署下一代防火墻，對應(yīng)用系統(tǒng)與數(shù)據(jù)庫之間的流量進行嚴(yán)格的訪問控制，以確保在應(yīng)用系統(tǒng)被入侵的情況下，不會波及到數(shù)據(jù)安全。

（3）收費應(yīng)用服務(wù)器設(shè)置不同的API接[33，確保內(nèi)部用戶讀寫與取數(shù)接口分離，并設(shè)置不同的安全區(qū)域。

（4）數(shù)據(jù)庫系統(tǒng)設(shè)置主數(shù)據(jù)庫和從數(shù)據(jù)庫。主數(shù)據(jù)庫可以讀寫，用于內(nèi)部收費用戶訪問;從數(shù)據(jù)庫只能進行讀操作，用于抽數(shù)接口訪問。當(dāng)主數(shù)據(jù)庫出現(xiàn)故障時，從數(shù)據(jù)庫升級為主數(shù)據(jù)庫，不影響數(shù)據(jù)正常讀寫。

3.3.2監(jiān)控和96333系統(tǒng)安全設(shè)計

監(jiān)控系統(tǒng)網(wǎng)主要存儲視頻監(jiān)控數(shù)據(jù)，數(shù)據(jù)在本地存有一份，96333系統(tǒng)本地只有應(yīng)用服務(wù)器，數(shù)據(jù)存儲在高管區(qū)，安全設(shè)計如下：

（1）監(jiān)控系統(tǒng)網(wǎng)出口與高管區(qū)之間部署下一代防火墻，進行嚴(yán)格的安全訪問控制。

（2）監(jiān)控應(yīng)用服務(wù)器與監(jiān)控數(shù)據(jù)服務(wù)器進行分離，劃分不同的安全域，中間部署下一代防火墻，嚴(yán)格控制應(yīng)用于數(shù)據(jù)庫之間的流量。

（3）96333系統(tǒng)網(wǎng)絡(luò)出口與高管區(qū)之間部署下一代防火墻，以便進行安全控制，確保邊界安全。

3.3.3數(shù)據(jù)交換區(qū)安全設(shè)計

數(shù)據(jù)交換區(qū)功能主要用于將收費系統(tǒng)數(shù)據(jù)、監(jiān)控系統(tǒng)數(shù)據(jù)和96333系統(tǒng)數(shù)據(jù)進行統(tǒng)一抽取存放，該區(qū)域是數(shù)據(jù)三網(wǎng)融合交匯區(qū)域，對安全性要求很高，安全設(shè)計如下：

（1）部署下一代防火墻，通過三條不同的物理線路，接入到收費系統(tǒng)網(wǎng)、監(jiān)控系統(tǒng)網(wǎng)和96333系統(tǒng)網(wǎng)抽取數(shù)據(jù)。建議在有條件的情況下，3條線路分別接入到3臺物理防火墻，也可以將1臺物理防火墻虛擬成3臺邏輯防火墻形成隔離。

（2）在取數(shù)區(qū)設(shè)置一個DMZ區(qū)域，部署一臺服務(wù)器，用于存放收取的數(shù)據(jù)，并且設(shè)置嚴(yán)格的訪問控制策略，也可以選擇在超融合平臺中虛擬一個DMZ安全區(qū)域單獨存放抽取的數(shù)據(jù)。

（3）運營中心核心網(wǎng)絡(luò)接入到數(shù)據(jù)交換區(qū)防火墻，需要設(shè)置授權(quán)訪問數(shù)據(jù)，精確到源、目和端口控制。

3.3.4OA網(wǎng)接入運營中心公網(wǎng)安全設(shè)計

OA網(wǎng)用戶主要是高速收費站工作人員，分布不集中、安全不可控，安全設(shè)計如下：

（1）OA用戶通過運營中心直接上互聯(lián)網(wǎng)，需要在運營中心互聯(lián)網(wǎng)出口部署下一代防火墻。OA網(wǎng)用戶和運營中心網(wǎng)絡(luò)通過不同的物理鏈路連接到互聯(lián)網(wǎng)，嚴(yán)格控制OA網(wǎng)與運營中心網(wǎng)數(shù)據(jù)流量互通。

（2）為確保出口帶寬高利用率，需要在OA網(wǎng)接入到互聯(lián)網(wǎng)區(qū)域部署上網(wǎng)行為管理設(shè)備，嚴(yán)格審計控制OA網(wǎng)用戶上網(wǎng)行為，保障安全上網(wǎng)。

3.3.5超融合系統(tǒng)平臺安全設(shè)計

超融合系統(tǒng)在硬件網(wǎng)絡(luò)資源高可用的情況下，需要提高業(yè)務(wù)流量可視性以及虛擬機之間的微隔離，安全設(shè)計如下：

（1）利用超融合平臺安全技術(shù)，虛擬出下一代防火墻，將虛擬機之間的流量進行安全過濾、微隔離，實現(xiàn)東西向安全防護，避免虛擬機之間交叉感染。

（2）部署安全資源池，并與云平臺進行解耦，將云平臺內(nèi)ITS系統(tǒng)和其他虛擬機流量引入到安全資源池進行分析、過濾、審計，確保云平臺內(nèi)所有虛擬機業(yè)務(wù)流量安全可靠。安全資源池還能進行彈性擴展，可以虛擬出各種安全登保合規(guī)產(chǎn)品，如堡壘機、SSLVPN、日志審計、上網(wǎng)行為等。

3.3.6統(tǒng)一身份認(rèn)證

因為業(yè)務(wù)系統(tǒng)對外開放，其受到的威脅相對更多，本身的靜態(tài)賬號密碼暴露了更多的脆弱性。為了確保訪問業(yè)務(wù)系統(tǒng)的安全可靠性，建議統(tǒng)一部署進行授權(quán)和身份認(rèn)證，訪問業(yè)務(wù)系統(tǒng)進行雙因子認(rèn)證，除了業(yè)務(wù)系統(tǒng)本身的賬號密碼外，還增加了輸入動態(tài)口令、短信驗證碼等手段，極大地提高了業(yè)務(wù)系統(tǒng)的訪問安全。

3.3.7安全監(jiān)管區(qū)及運維安全設(shè)計

安全監(jiān)管區(qū)為整個網(wǎng)絡(luò)的各安全區(qū)域提供安全控制、安全審計和安全運維服務(wù)功能，包括安全資源池、身份認(rèn)證網(wǎng)關(guān)、動態(tài)感知系統(tǒng)等。安全設(shè)計建議如下：

（1）部署運維堡壘機。所有針對業(yè)務(wù)系統(tǒng)的運維，必須要求通過堡壘機授權(quán)認(rèn)證，細(xì)化權(quán)限。可從安全資源池中虛擬。

（2）部署日志審計。將所有業(yè)務(wù)系統(tǒng)日志、網(wǎng)絡(luò)系統(tǒng)日志、安全設(shè)備日志統(tǒng)一存儲到日志審計設(shè)備，并且日志保留不少于6個月?？蓮陌踩Y源池中虛擬。

（3）部署SSL VPN。所有針對從互聯(lián)網(wǎng)訪問內(nèi)網(wǎng)的業(yè)務(wù)必須經(jīng)過VPN加密，確保數(shù)據(jù)傳輸過程的安全?？蓮陌踩Y源池中虛擬。

（4）部署數(shù)據(jù)庫審計。對所有數(shù)據(jù)庫的操作指令進行審計，發(fā)生異常行為即告警?？蓮陌踩Y源池中虛擬。

（5）部署身份認(rèn)證系統(tǒng)。對所有業(yè)務(wù)系統(tǒng)的訪問進行統(tǒng)一授權(quán)管控。

（6）部署動態(tài)感知系統(tǒng)。動態(tài)感知系統(tǒng)基于人工智能和大數(shù)據(jù)分析技術(shù)，能對所有運營中心的流量進行安全審計，發(fā)現(xiàn)潛在的威脅和異常攻擊行為，并對其進行追根溯源，將安全隱患徹底消滅在事故前。

4結(jié)語

一種有效、可行的信息安全設(shè)計方案必須是全方位的、多層次的，而且必須從技術(shù)、管理、運維等方面進行全面的建設(shè)，從而有效保證和提高信息系統(tǒng)抵御不斷出現(xiàn)的安全威脅與風(fēng)險的能力，保證系統(tǒng)安全穩(wěn)定地運行。本文以廣西某個高速公路運營中心為例，針對收費系統(tǒng)、監(jiān)控系統(tǒng)、96333系統(tǒng)、數(shù)據(jù)交換區(qū)、OA系統(tǒng)、超融合系統(tǒng)的現(xiàn)行狀況分別提出相應(yīng)的安全建設(shè)方案，從物理層到網(wǎng)絡(luò)層，再到傳輸層，多層次保障機電系統(tǒng)的網(wǎng)絡(luò)與信息安全，為三網(wǎng)融合的加快建設(shè)提供了有力保障。