智慧交通平臺系統(tǒng)網絡安全設計（純方案5頁）

1、1.網絡安全設計1.1.骨干網安全設計骨干網主要負責連接一級監(jiān)控中心一一二級監(jiān)控中心一一客戶端的三級網絡，主要是租用XX的專用線路，它主要工作在網絡層。從安全保障技術觸發(fā)，該安全域存在的安全風險主要集中在網絡層安全方面，主要有網絡層的數(shù)據竊聽攻擊和非法竄改攻擊。針對網絡層存在的安全分先，能夠從兩個方案解決：1、釆用安全的物理鏈路本次網絡主要釆用XXXX專用線路，鏈路相對獨立，安全性高。2、釆用VPN、加密服務器等安全設備來保護傳輸數(shù)據的完整性和機密性骨干網傳輸?shù)臄?shù)據主要有兩種：視頻數(shù)據和控制指令。能夠針對控制指令和重要的視頻數(shù)據釆用加密方式傳輸，普通視頻數(shù)據明文傳輸。這樣，既能夠保證重要數(shù)據的

2、機密性和完整性，又能夠減輕加解密設備的負荷，提高網絡的吞吐量。局域網安全設計XX縣平安城市系統(tǒng)管理平臺作為數(shù)據交互中心，有大量的數(shù)據流進出管理平臺，這些數(shù)據流中可能存在潛在的端口掃描、系統(tǒng)漏洞攻擊等非法數(shù)據流，如果不能及時發(fā)現(xiàn)這些潛在攻擊行為，管理平臺內各種服務器的漏洞將暴露在攻擊者的面前，對這些服務器的任何一個攻擊，都有可能造成管理平臺癱瘓，服務中斷。針對以上存在的安全風險，可用通過部署防火墻+IDS/IPS進行解決。防火墻和IDS/IPS是解決內網安全比較主流的技術。防火墻作為網絡邊界防護設備，實現(xiàn)各網絡安全域之間的安全邏輯隔離，并且能在路由式、橋式以及混雜式工作方式下自由切換，集安全訪問

3、控制、安全審計于一身，具有狀態(tài)數(shù)據包過濾，MAC地址過濾，網絡地址轉換，自定義路由，USB-KEY訪問控制等多項功能，歸納起來主要有以下幾個主要功能：（1）網絡安全的屏障（2）對網絡存取和訪問進行監(jiān)控審計（3）防止內部信息的外泄（4）規(guī)范應用系統(tǒng)的安全訪問IDS/IPS：即入侵檢測和入侵防御系統(tǒng)。兩者的工作原理都是依照一定的安全策略，對網絡與系統(tǒng)的運行狀況進行實時監(jiān)測，盡可能早發(fā)現(xiàn)、早報告、早記錄各種攻擊企圖、攻擊行為或者攻擊結果。兩者區(qū)別是：入侵防御針對攻擊企圖，及時切斷此鏈路，而入侵檢測則是將攻擊企圖生成報警信息，由管理員作進一步處理。兩者的目的都是及時發(fā)現(xiàn)入侵事件，在第一時間控制網絡安全

4、風險。IDS、IPS兩者在部署時，選擇依據在于：當漏報大于誤報的損失時，建議釆用IPS,反之釆用IDSo此次項目建設基于專網，業(yè)務應用為主，攻擊風險可控，故建議釆用防火墻+IDS方案部署于主要安全防護節(jié)點。根據網絡結構，在管理平臺與骨干網的鏈接處部署防火墻，在防火墻鏡像端口部署入侵檢測監(jiān)控系統(tǒng)，一旦檢測到可疑攻擊包，立即進行報警，提示安全管理員進行相對應的防范措施。1.2.3G無線接入安全設計本次項目中移動作戰(zhàn)系統(tǒng)需要通過3G網絡傳輸視音頻圖像，3G鏈路主要依靠運營商提供。3G鏈路的安全問題可歸結為移動信息空中傳輸?shù)陌踩珕栴}和移動信息落地后由運營商路由器轉到視頻專網的安全問題。1、移動信息空中

5、傳輸安全問題移動信息在空中傳輸時主要存在的安全隱患為：用戶身份信息、口令等容易被暴露，傳輸?shù)臄?shù)據信息容易被竊聽，數(shù)據的機密性和完整性容易遭到破壞。解決以上安全隱患主要是通過保障終端安全接入、傳輸鏈路加密等安全措施實現(xiàn)。終端安全接入主要是指終端的合法性驗證和終端用戶信息的保護。針對終端的合法性，能夠在視頻專網邊界網關上對用戶身份的合法性進行驗證，同時為了防止假冒網關攻擊，還需要釆取兩個安全措施，其一，要求3G運營商針對公安無線終端設置白名單，符合白名單條件的無線終端才能被運營商路由器接入信息路由到公安邊界網關；其二，無線終端對視頻專網邊界網關進行合法性驗證，防止假冒網關攻擊。針對終端用戶信息的保

6、護，能夠釆用數(shù)字證書的認證方式或在鏈路加密的前提下，在進行用戶名、口令等用戶身份信息傳遞。2、移動信息經運營商路由器到視頻專網的安全問題針對移動信息落地后由運營商路由器轉到視頻專網的安全問題能夠借鑒前端有線監(jiān)控點的接入方案，向運營商租用專用線路，作為公安移動信息落地后的通信線路。1.3.視頻專網安全設計視頻專網中承載了全市所有視音頻圖像資源，包括社會公共安全監(jiān)控資源、交通管理系統(tǒng)監(jiān)控資源、高清卡口系統(tǒng)監(jiān)控資源、移動單兵作戰(zhàn)系統(tǒng)監(jiān)控資源等,同時又要將社會單位監(jiān)控資源納入到視頻專網中進行統(tǒng)一管理。因為社會單位監(jiān)控資源承載在公共網絡上，為保障視頻專網的安全性，需要在公共網絡與視頻專網邊界部署一套網絡

7、安全隔離設備，社會單位監(jiān)控資源經單向通道進入視頻專網中。移動單兵作戰(zhàn)系統(tǒng)釆用3G網絡進行傳輸，所以在視頻專網中至少部署一套防火墻。1.4.信息安全設計XX縣平安城市系統(tǒng)不但對系統(tǒng)內的視頻、音頻、報警等各種信息資源進行集成和處理，同時還提供與GIS系統(tǒng)、交通管理抓拍系統(tǒng)、治安卡口系統(tǒng)、固定/移動目標報警系統(tǒng)等系統(tǒng)的接口，以實現(xiàn)不同系統(tǒng)間的信息資源共享。由此可見，平安城市系統(tǒng)管理平臺是一個規(guī)模龐大、結構復雜的應用系統(tǒng)。因為涉及到諸多不同的應用系統(tǒng)和不同的軟件供應商，每個應用系統(tǒng)都有獨立的用戶信息管理功能，用戶信息的命名、格式、組織方式也多種多樣，當用戶需要使用多個應用系統(tǒng)時，就會帶來用戶信息同步問

8、題。用戶信息同步會增加系統(tǒng)的復雜性和管理成本；如果不能解決好多個應用系統(tǒng)并存、用戶跨級訪問等實際問題，則會給視頻專網的安全帶來安全風險，造成非法訪問、越權訪問、信息泄露等安全隱患。遵照公安部的城市報警監(jiān)控聯(lián)網系統(tǒng)技術標準一一安全技術要求，XX縣平安城市系統(tǒng)安全理應建立統(tǒng)一身份認證和權限管理系統(tǒng)，實現(xiàn)統(tǒng)一身份認證、統(tǒng)一權限管理和統(tǒng)一訪問控制，在全網內實現(xiàn)“單點登錄、全網漫游”功能。另外還需要部署安全審計系統(tǒng)，對用戶的業(yè)務訪問行為進行審計。1、統(tǒng)一身份認證和權限管理系統(tǒng)功能（1）統(tǒng)一用戶管理以用戶ID為主體進行管理，多個應用系統(tǒng)的用戶管理只有一個管理入口，而一個管理入口背后有一個核心用戶數(shù)據源支持

9、；在理想情況下，所有應用系統(tǒng)的訪問主體皆為統(tǒng)一認證授權管理下的用戶；應用系統(tǒng)不保留任何主體信息，只保留應用數(shù)據。在需要相關信息時，從認證授權平臺獲取。（2）統(tǒng)一認證統(tǒng)一認證是指各應用系統(tǒng)只有一個權威的認證中心來對應用系統(tǒng)訪問主體進行鑒別；在統(tǒng)一用戶管理的基礎上，對用戶身份進行確認。（3）統(tǒng)一授權各應用系統(tǒng)只有一個權威的訪問控制中心來進行權限的分配和鑒別；在統(tǒng)一用戶管理、統(tǒng)一認證的基礎上，對用戶訪問的資源進行控制。統(tǒng)一認證授權平臺以角色為基本單位進行管理，使角色與用戶之間建立關聯(lián)，這樣角色是獨立于系統(tǒng)存在，能夠跨系統(tǒng)實現(xiàn)管理。（4）單點登錄用戶能夠具有多種角色，當用戶登錄系統(tǒng)之后，能夠按照用戶角

10、色所授予的權限訪問相對應的資源和應用系統(tǒng)，在訪問各不相同的資源和應用系統(tǒng)時，不必再重復進行認證、授權。（5）全網漫游用戶對資源訪問與其登陸位置無關，也就是用戶能夠在全網任何一級平臺進行登錄，在其權限范圍內對資源進行訪問。（6）支持多種不同強度的身份認證認證用戶身份認證必須滿足用戶名/口令、PKI/CA數(shù)字證書等不同強度的認證方式，以滿足不同業(yè)務對安全的應用需求。（7）支持較強的兼容性和擴展性業(yè)務系統(tǒng)能夠運行在不同操作系統(tǒng)平臺、不同硬件平臺，業(yè)務系統(tǒng)能夠是B/S架構也能夠是C/S架構；支持業(yè)務系統(tǒng)無縫接入，最小化改動業(yè)務系統(tǒng)現(xiàn)有的應用模式及用戶使用習慣。（8）提供基本的安全防護和安全審計功能。安全防護和審計主要是指能夠精確記錄用戶的