收費設(shè)施網(wǎng)絡(luò)安全系統(tǒng)

1、收費設(shè)施網(wǎng)絡(luò)安全系統(tǒng)設(shè)計內(nèi)容根據(jù)國家網(wǎng)絡(luò)安全政策法規(guī)和技術(shù)標(biāo)準(zhǔn)體系的有關(guān)要求，落實網(wǎng)絡(luò)安全等級 保護制度，圍繞聯(lián)網(wǎng)收費三類系統(tǒng)的安全保護需求，針對聯(lián)網(wǎng)收費系統(tǒng)重要數(shù)據(jù) 和業(yè)務(wù)系統(tǒng)進行分級分類管理，從安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、 安全計算環(huán)境及安全管理中心等五個方面提出通用安全要求以及云計算、大數(shù)據(jù) 及物聯(lián)網(wǎng)三個方面提出擴展安全要求，以建立聯(lián)網(wǎng)收費系統(tǒng)網(wǎng)絡(luò)安全技術(shù)防護體 系，構(gòu)建綜合防御能力。聯(lián)網(wǎng)收費系統(tǒng)整體網(wǎng)絡(luò)安全嚴(yán)格落實等級保護要求，省聯(lián)網(wǎng)中心（不在本次 設(shè)計范圍）一律按照等級保護第三級進行定級、備案、建設(shè)、測評、保護；收費 分中心、收費站、ETC門架系統(tǒng)等參照等級保護第三級相

2、關(guān)技術(shù)要求進行保護。系統(tǒng)功能本系統(tǒng)應(yīng)確保聯(lián)網(wǎng)收費系統(tǒng)在整體上的專網(wǎng)屬性，一是嚴(yán)格控制外部網(wǎng)絡(luò)接 入，明確聯(lián)網(wǎng)收費系統(tǒng)與銀行、公安等外部單位的邊界保護規(guī)則，在統(tǒng)一安全策 略下由全國中心或省中心統(tǒng)一提出出口，并在內(nèi)部建立獨立的計入?yún)^(qū)域，設(shè)置嚴(yán) 格的邏輯隔離和安全審計措施。收費專網(wǎng)內(nèi)部合理劃分網(wǎng)絡(luò)安全區(qū)域，并通過有效技術(shù)措施對安全區(qū)域進行 隔離，確保安全控制策略有效、安全風(fēng)險影響最小，綜合互補的安全措施，構(gòu)建 從內(nèi)到外的網(wǎng)絡(luò)安全縱深防御體系。在統(tǒng)一安全策略下，確保并網(wǎng)接入的省聯(lián)網(wǎng) 中心、區(qū)域中心/路段中心、ETC門架系統(tǒng)、收費站通過有效安全認(rèn)證和訪問控 制，保證收費專網(wǎng)安全接入和隔離屬性，實現(xiàn)安全可

3、靠通信傳輸和數(shù)據(jù)交換共享， 及時監(jiān)測預(yù)警網(wǎng)內(nèi)網(wǎng)外攻擊行為，具備數(shù)據(jù)級備份恢復(fù)能力，能夠有效抵御較為 嚴(yán)重的自然災(zāi)害、較大規(guī)模的惡意攻擊，在系統(tǒng)遭到損害后，能夠較快恢復(fù)絕大 部分功能，保障收費公路聯(lián)網(wǎng)收費系統(tǒng)整體能夠安全、穩(wěn)定運行。設(shè)計方案3.1.區(qū)域中心潞段中心安全系統(tǒng)方案區(qū)域中心/路段中心系統(tǒng)參照網(wǎng)絡(luò)安全等級保護中安全通信網(wǎng)絡(luò)、安全區(qū)域 邊界及安全計算環(huán)境方面的三級安全保護要求開展安全保護。區(qū)域中心/路段中心系統(tǒng)包含：ETC門架系統(tǒng)的運行監(jiān)測與預(yù)警系統(tǒng)、收費 稽查管理系統(tǒng)等業(yè)務(wù)輔助類系統(tǒng)及有關(guān)網(wǎng)絡(luò)基礎(chǔ)運行環(huán)境，同時包含與省聯(lián)網(wǎng)中 心與收費站的通信網(wǎng)絡(luò)傳輸系統(tǒng)。區(qū)域中心/路段中心系統(tǒng)一般不承擔(dān)

4、聯(lián)網(wǎng)收費業(yè)務(wù)生產(chǎn)控制、業(yè)務(wù)數(shù)據(jù)處理 等核心業(yè)務(wù)，但其存在與省聯(lián)網(wǎng)收費系統(tǒng)和收費站間的網(wǎng)絡(luò)連接和數(shù)據(jù)交換。（1）安全物理環(huán)境應(yīng)通過配備電子門禁系統(tǒng)、機房防盜報警系統(tǒng)或視頻監(jiān)控系統(tǒng)、交流電源地 線、防雷保安器或過壓保護裝置、火災(zāi)自動消防系統(tǒng)、機房環(huán)境監(jiān)測系統(tǒng)、防靜 電地板、靜電消除器或防靜電手環(huán)、機房空調(diào)、不間斷電源系統(tǒng)、雙路市電或備 用發(fā)電機、電源線和通信線纜隔離鋪設(shè)等措施，實現(xiàn)收費站機房物理訪問控制、 防盜和防破壞、防雷擊、防火、防水和防潮、溫濕度控制、電力供應(yīng)、電磁防護 等物理環(huán)境安全要求。（2）安全通信網(wǎng)絡(luò)主要包括網(wǎng)絡(luò)架構(gòu)安全、通信傳輸安全兩方面。通過劃分VLAN、配置防火墻等方式，實現(xiàn)區(qū)

5、域間隔離。至少劃分收費業(yè)務(wù)、 運維管理、收費站接入等不同的網(wǎng)絡(luò)區(qū)域，按照便捷管理和集約管控的原則為各 網(wǎng)絡(luò)區(qū)域分配地址，通過有效措施對各網(wǎng)絡(luò)區(qū)域進行技術(shù)隔離。通過網(wǎng)絡(luò)出口處設(shè)置防火墻（具備IPSEC VPN網(wǎng)關(guān)模塊），實現(xiàn)數(shù)據(jù)加密傳 輸。（3）安全區(qū)域邊界主要包括邊界防護、訪問控制、入侵防范、惡意代碼防范、安全審計五方面。通過配置防火墻策略實現(xiàn)邊界防護、訪問控制功能。通過設(shè)置入侵檢測系統(tǒng)實現(xiàn)入侵防范功能，檢測從外部/內(nèi)部發(fā)起的網(wǎng)絡(luò)攻 擊行為；同時應(yīng)定期查看分析防火墻日志。通過設(shè)置防火墻（具備網(wǎng)絡(luò)防病毒模塊）實現(xiàn)惡意代碼防范功能，同時定期 升級和更新維護惡意代碼防范機制。通過設(shè)置日志審計系統(tǒng)實現(xiàn)

6、網(wǎng)絡(luò)邊界、重要網(wǎng)絡(luò)節(jié)點的安全審計功能。收費專網(wǎng)一般應(yīng)禁止無線局域網(wǎng)絡(luò)的使用。（4）安全計算環(huán)境主要包括身份鑒別、訪問控制、安全審計、入侵防范、惡意代碼防范、數(shù)據(jù) 完整性、數(shù)據(jù)保密性、數(shù)據(jù)備份恢復(fù)、剩余信息保護等方面。通過設(shè)置接入防護系統(tǒng)，對登錄網(wǎng)絡(luò)、服務(wù)器、中間件、數(shù)據(jù)庫、終端及應(yīng) 用等計算環(huán)境的用戶進行身份標(biāo)識和鑒別，實現(xiàn)IP/MAC地址等屬性信息注冊管 理，保證只有授權(quán)的設(shè)備可以接入，實現(xiàn)與部、省聯(lián)網(wǎng)中心之間基于國產(chǎn)密碼算 法數(shù)字證書的可信身份鑒別和訪問控制。通過開啟網(wǎng)絡(luò)、服務(wù)器、中間件、數(shù)據(jù)庫、終端及應(yīng)用系統(tǒng)審計功能，設(shè)置 獨立審計員賬戶，限制其他用戶對審計進程操作；通過設(shè)置日志審計系統(tǒng)

7、，實現(xiàn) 安全審計功能。審計日志留存6個月以上。通過設(shè)置入侵檢測系統(tǒng)實現(xiàn)入侵防范功能，檢測從外部/內(nèi)部發(fā)起的網(wǎng)絡(luò)攻 擊行為；同時應(yīng)定期查看分析防火墻日志。通過在終端計算機、服務(wù)器上部署防病毒軟件，實現(xiàn)惡意代碼防范功能。通過收費軟件升級支持國密算法，實現(xiàn)數(shù)據(jù)完整性和數(shù)據(jù)保密性功能。通過配置雙機高可靠服務(wù)器集群實現(xiàn)數(shù)據(jù)備份恢復(fù)功能。通過在防火墻中配置網(wǎng)絡(luò)探針功能，為四川省聯(lián)網(wǎng)中心聯(lián)網(wǎng)收費網(wǎng)絡(luò)監(jiān)測預(yù) 警平臺提供數(shù)據(jù)支撐。（5）安全管理中心可通過配備統(tǒng)一安全管理平臺等方式實現(xiàn)對本路段收費網(wǎng)絡(luò)內(nèi)安全軟硬件 設(shè)備統(tǒng)一管理，實現(xiàn)全網(wǎng)安全狀態(tài)集中監(jiān)控；同時接入四川省聯(lián)網(wǎng)收費系統(tǒng)網(wǎng)絡(luò) 安全監(jiān)測預(yù)警平臺。路段分中心

8、安全部署方案：部署1套下一代防火墻，集成防火墻訪問控制、入侵防御、網(wǎng)絡(luò)防病毒、上 網(wǎng)行為管理和流量控制等功能，可有效減少串行設(shè)備故障點，降低維護成本。部署1套日志審計系統(tǒng)，集中采集信息系統(tǒng)中的系統(tǒng)安全事件、用戶訪問記 錄、系統(tǒng)運行日志、系統(tǒng)運行狀態(tài)等各類信息，統(tǒng)一集中存儲和管理，實現(xiàn)對系 統(tǒng)日志的全面審計。部署1套接入防護設(shè)備，對接入到內(nèi)部網(wǎng)絡(luò)中的終端/用戶進行安全檢查， 使其必須滿足一定安全基線要求、經(jīng)過認(rèn)證授權(quán)的情況下方能使用網(wǎng)絡(luò)系統(tǒng)。部署1套統(tǒng)一安全管理平臺，對網(wǎng)絡(luò)安全軟硬件統(tǒng)一配置、集中管理、全面 監(jiān)控及實時告警，降低運維成本，提升事件響應(yīng)效率。終端計算機、服務(wù)器部署省內(nèi)統(tǒng)一要求_璜畔

9、堧4_嫩的供應(yīng)、電磁防護等物理 環(huán)境安全要求。收費站網(wǎng)絡(luò)安全系統(tǒng)方案收費站系統(tǒng)參照網(wǎng)絡(luò)安全等級保護中在安全通信網(wǎng)絡(luò)、安全區(qū)域邊界及安全 計算環(huán)境等方面的三級安全保護要求，同時充分考慮外場設(shè)備的物聯(lián)網(wǎng)屬性，開 展安全保護。收費站系統(tǒng)主要包括：ETC車道系統(tǒng)、ETC/MTC混合車道系統(tǒng)、站級管 理系統(tǒng)及有關(guān)網(wǎng)絡(luò)基礎(chǔ)運行環(huán)境。安全物理環(huán)境應(yīng)通過配備電子門禁系統(tǒng)、機房防盜報警系統(tǒng)或視頻監(jiān)控系統(tǒng)、交流電源地 線、防雷保安器或過壓保護裝置、火災(zāi)自動消防系統(tǒng)、機房環(huán)境監(jiān)測系統(tǒng)、防靜 電地板、靜電消除器或防靜電手環(huán)、機房空調(diào)、不間斷電源系統(tǒng)、雙路市電或備 用發(fā)電機、電源線和通信線纜隔離鋪設(shè)等措施，實現(xiàn)收費站機

10、房物理訪問控制、 防盜和防破壞、防雷擊、防火、防水和防潮、溫濕度控制、電力供應(yīng)、電磁防護 等物理環(huán)境安全要求。安全通信網(wǎng)絡(luò)主要包括網(wǎng)絡(luò)架構(gòu)安全、通信傳輸安全兩方面。通過劃分VLAN、配置防火墻等方式，實現(xiàn)區(qū)域間隔離。至少劃分收費業(yè)務(wù)、 運維管理、設(shè)備接入等不同的網(wǎng)絡(luò)區(qū)域，并為ETC門架系統(tǒng)接入單獨設(shè)置網(wǎng)絡(luò) 區(qū)域，按照便捷管理和集約管控的原則為各網(wǎng)絡(luò)區(qū)域分配地址，通過有效措施對 各網(wǎng)絡(luò)區(qū)域進行技術(shù)隔離。通過網(wǎng)絡(luò)出口處設(shè)置防火墻(具備IPSEC VPN網(wǎng)關(guān)模塊)，實現(xiàn)數(shù)據(jù)加密傳 輸。安全區(qū)域邊界主要包括邊界防護、訪問控制、入侵防范、惡意代碼防范四方面。通過配置防火墻策略實現(xiàn)邊界防護、訪問控制功能。

11、通過設(shè)置入侵檢測系統(tǒng)實現(xiàn)入侵防范功能，同時應(yīng)定期查看分析防火墻日 志。通過設(shè)置防火墻（具備網(wǎng)絡(luò)防病毒模塊）實現(xiàn)惡意代碼防范功能。收費專網(wǎng)一般應(yīng)禁止無線局域網(wǎng)絡(luò)的使用。（4）安全計算環(huán)境主要包括身份鑒別、訪問控制、安全審計、入侵防范、惡意代碼防范、數(shù)據(jù) 完整性、數(shù)據(jù)保密性、數(shù)據(jù)備份恢復(fù)等方面。通過設(shè)置接入防護系統(tǒng)，對登錄網(wǎng)絡(luò)、服務(wù)器、中間件、數(shù)據(jù)庫、終端及應(yīng) 用等計算環(huán)境的用戶進行身份標(biāo)識和鑒別，實現(xiàn)IP/MAC地址等屬性信息注冊管 理，保證只有授權(quán)的設(shè)備可以接入，實現(xiàn)與部、省聯(lián)網(wǎng)中心之間基于國產(chǎn)密碼算 法數(shù)字證書的可信身份鑒別和訪問控制。通過開啟網(wǎng)絡(luò)、服務(wù)器、中間件、數(shù)據(jù)庫、終端及應(yīng)用系統(tǒng)審計

12、功能，設(shè)置 獨立審計員賬戶，限制其他用戶對審計進程操作；通過設(shè)置在路段中心的日志審 計系統(tǒng)，實現(xiàn)安全審計功能。審計日志留存6個月以上。通過在終端計算機、服務(wù)器上部署防病毒軟件，實現(xiàn)惡意代碼防范功能。通過收費軟件升級支持國密算法，實現(xiàn)數(shù)據(jù)完整性和數(shù)據(jù)保密性功能。通過在收費站配置雙機高可靠服務(wù)器集群實現(xiàn)數(shù)據(jù)備份恢復(fù)功能。（5）物聯(lián)網(wǎng)安全擴展主要包括物理環(huán)境、接入控制、入侵防范、設(shè)備安全等方面。通過對收費車道設(shè)備技術(shù)指標(biāo)做要求，具備防水、防潮、防塵設(shè)計，防護等 級不低于IP55,實現(xiàn)物理環(huán)境要求。通過部署接入防護設(shè)備，實現(xiàn)IP/MAC地址等屬性信息注冊管理，實現(xiàn)與部、 省聯(lián)網(wǎng)中心之間基于國產(chǎn)密碼算法

13、數(shù)字證書的可信身份認(rèn)證。通過收費站設(shè)置的入侵檢測系統(tǒng)實現(xiàn)入侵防范功能，同時應(yīng)定期查看分析防 火墻日志。通過在路段中心設(shè)置的統(tǒng)一安全管理平臺等方式實現(xiàn)對本路段收費網(wǎng)絡(luò)內(nèi) 安全軟硬件設(shè)備統(tǒng)一管理，實現(xiàn)全網(wǎng)安全狀態(tài)集中監(jiān)控。站級網(wǎng)絡(luò)安全部署方案：部署1套下一代防火墻，集成防火墻訪問控制、入侵防御、網(wǎng)絡(luò)防病毒、上 網(wǎng)行為管理和流量控制等功能，可有效減少串行設(shè)備故障點，降低維護成本。部署1套入侵檢測系統(tǒng)，采用透明接入方式，它能夠及時識別網(wǎng)絡(luò)中發(fā)生的 入侵行為并實時報警并且進行有效攔截防護。終端計算機、服務(wù)器部署省內(nèi)統(tǒng)一要求的防病毒軟件，支持策略的統(tǒng)一配置 和管理。ET（n架網(wǎng)絡(luò)安全系統(tǒng)方案ETC門架系統(tǒng)

14、主要包含ETC門架收費軟件，車道控制器、RSU、車牌圖像 識別等設(shè)施設(shè)備及有關(guān)網(wǎng)絡(luò)基礎(chǔ)運行環(huán)境。ETC門架系統(tǒng)業(yè)務(wù)數(shù)據(jù)通過收費站與省聯(lián)網(wǎng)中心和部聯(lián)網(wǎng)中心建立連接， 收費站內(nèi)為門架系統(tǒng)服務(wù)的設(shè)備，按照收費站安全要求進行保護；多個門架系統(tǒng) 共用收費站部署的一套計算環(huán)境和網(wǎng)絡(luò)環(huán)境，可統(tǒng)籌考慮安全防護。同時，門架 系統(tǒng)可視情況復(fù)用、共用收費站的網(wǎng)絡(luò)安全物理環(huán)境、網(wǎng)絡(luò)環(huán)境和計算環(huán)境。（1）安全物理環(huán)境應(yīng)通過合理的選擇ETC門架布設(shè)位置，門架禁止非授權(quán)人員攀登，室外機 柜具備硬件防盜設(shè)計，電子門鎖、視頻監(jiān)控、設(shè)備狀態(tài)監(jiān)測，防雷接地裝置，電 氣火災(zāi)監(jiān)測、后備電源、機柜防塵放水設(shè)計、機柜動環(huán)監(jiān)測及控制等措施，

15、實現(xiàn) ETC門架系統(tǒng)物理訪問控制、防盜和防破壞、防雷擊、防火、防水和防潮、溫 濕度控制、電力供應(yīng)、電磁防護等物理環(huán)境安全要求。（2）安全通信網(wǎng)絡(luò)主要包括網(wǎng)絡(luò)架構(gòu)安全、通信傳輸安全兩方面。通過劃分VLAN、配置防火墻等方式，實現(xiàn)區(qū)域間隔離。通過網(wǎng)絡(luò)出口處設(shè)置防火墻（具備IPSEC VPN網(wǎng)關(guān)模塊），實現(xiàn)數(shù)據(jù)加密 傳輸。（3）安全區(qū)域邊界主要包括邊界防護、訪問控制、入侵防范三方面。通過配置防火墻策略實現(xiàn)邊界防護、訪問控制功能。通過收費站設(shè)置的入侵檢測系統(tǒng)實現(xiàn)入侵防范功能，同時應(yīng)定期查看分析防 火墻日志。（4）安全計算環(huán)境主要包括身份鑒別、訪問控制、安全審計、入侵防范、惡意代碼防范、數(shù)據(jù) 完整性、數(shù)

16、據(jù)保密性、數(shù)據(jù)備份恢復(fù)等方面。通過設(shè)置在收費站的接入防護系統(tǒng)，對登錄網(wǎng)絡(luò)、服務(wù)器、中間件、數(shù)據(jù)庫、 終端及應(yīng)用等計算環(huán)境的用戶進行身份標(biāo)識和鑒別，實現(xiàn)IP/MAC地址等屬性信 息注冊管理，保證只有授權(quán)的設(shè)備可以接入，實現(xiàn)與部、省聯(lián)網(wǎng)中心之間基于國 產(chǎn)密碼算法數(shù)字證書的可信身份鑒別和訪問控制。通過開啟網(wǎng)絡(luò)、服務(wù)器、中間件、數(shù)據(jù)庫、終端及應(yīng)用系統(tǒng)審計功能，設(shè)置 獨立審計員賬戶，限制其他用戶對審計進程操作；通過設(shè)置在在路段中心的日志 審計系統(tǒng)，實現(xiàn)安全審計功能。審計日志留存6個月以上。通過在終端計算機、服務(wù)器上部署防病毒軟件，實現(xiàn)惡意代碼防范功能。通過收費軟件升級支持國密算法，實現(xiàn)數(shù)據(jù)完整性和數(shù)據(jù)保密性功能。（5）物聯(lián)網(wǎng)安全擴展主要包括物理環(huán)境、接入控制、入侵防范、設(shè)備安全等方面。通過對ETC門架設(shè)備技術(shù)指標(biāo)做要求，具備防水、防潮、防塵設(shè)計，防護 等級不低于IP55,實現(xiàn)物理環(huán)境要求。通過設(shè)置在收費站的接入防護系統(tǒng)，對登錄網(wǎng)絡(luò)、