智慧交通平台系统网络安全设计（纯方案5页）

1、1.网络安全设计1.1.骨干网安全设计骨干网主要负责连接一级监控中心一一二级监控中心一一客户端的三级网络，主要是租用XX的专用线路，它主要工作在网络层。从安全保障技术触发，该安全域存在的安全风险主要集中在网络层安全方面，主要有网络层的数据窃听攻击和非法窜改攻击。针对网络层存在的安全分先，能够从两个方案解决：1、釆用安全的物理链路本次网络主要釆用XXXX专用线路，链路相对独立，安全性高。2、釆用VPN、加密服务器等安全设备来保护传输数据的完整性和机密性骨干网传输的数据主要有两种：视频数据和控制指令。能够针对控制指令和重要的视频数据釆用加密方式传输，普通视频数据明文传输。这样，既能够保证重要数据的

2、机密性和完整性，又能够减轻加解密设备的负荷，提高网络的吞吐量。局域网安全设计XX县平安城市系统管理平台作为数据交互中心，有大量的数据流进出管理平台，这些数据流中可能存在潜在的端口扫描、系统漏洞攻击等非法数据流，如果不能及时发现这些潜在攻击行为，管理平台内各种服务器的漏洞将暴露在攻击者的面前，对这些服务器的任何一个攻击，都有可能造成管理平台瘫痪，服务中断。针对以上存在的安全风险，可用通过部署防火墙+IDS/IPS进行解决。防火墙和IDS/IPS是解决内网安全比较主流的技术。防火墙作为网络边界防护设备，实现各网络安全域之间的安全逻辑隔离，并且能在路由式、桥式以及混杂式工作方式下自由切换，集安全访问

3、控制、安全审计于一身，具有状态数据包过滤，MAC地址过滤，网络地址转换，自定义路由，USB-KEY访问控制等多项功能，归纳起来主要有以下几个主要功能：（1）网络安全的屏障（2）对网络存取和访问进行监控审计（3）防止内部信息的外泄（4）规范应用系统的安全访问IDS/IPS：即入侵检测和入侵防御系统。两者的工作原理都是依照一定的安全策略，对网络与系统的运行状况进行实时监测，尽可能早发现、早报告、早记录各种攻击企图、攻击行为或者攻击结果。两者区别是：入侵防御针对攻击企图，及时切断此链路，而入侵检测则是将攻击企图生成报警信息，由管理员作进一步处理。两者的目的都是及时发现入侵事件，在第一时间控制网络安全

4、风险。IDS、IPS两者在部署时，选择依据在于：当漏报大于误报的损失时，建议釆用IPS,反之釆用IDSo此次项目建设基于专网，业务应用为主，攻击风险可控，故建议釆用防火墙+IDS方案部署于主要安全防护节点。根据网络结构，在管理平台与骨干网的链接处部署防火墙，在防火墙镜像端口部署入侵检测监控系统，一旦检测到可疑攻击包，立即进行报警，提示安全管理员进行相对应的防范措施。1.2.3G无线接入安全设计本次项目中移动作战系统需要通过3G网络传输视音频图像，3G链路主要依靠运营商提供。3G链路的安全问题可归结为移动信息空中传输的安全问题和移动信息落地后由运营商路由器转到视频专网的安全问题。1、移动信息空中

5、传输安全问题移动信息在空中传输时主要存在的安全隐患为：用户身份信息、口令等容易被暴露，传输的数据信息容易被窃听，数据的机密性和完整性容易遭到破坏。解决以上安全隐患主要是通过保障终端安全接入、传输链路加密等安全措施实现。终端安全接入主要是指终端的合法性验证和终端用户信息的保护。针对终端的合法性，能够在视频专网边界网关上对用户身份的合法性进行验证，同时为了防止假冒网关攻击，还需要釆取两个安全措施，其一，要求3G运营商针对公安无线终端设置白名单，符合白名单条件的无线终端才能被运营商路由器接入信息路由到公安边界网关；其二，无线终端对视频专网边界网关进行合法性验证，防止假冒网关攻击。针对终端用户信息的保

6、护，能够釆用数字证书的认证方式或在链路加密的前提下，在进行用户名、口令等用户身份信息传递。2、移动信息经运营商路由器到视频专网的安全问题针对移动信息落地后由运营商路由器转到视频专网的安全问题能够借鉴前端有线监控点的接入方案，向运营商租用专用线路，作为公安移动信息落地后的通信线路。1.3.视频专网安全设计视频专网中承载了全市所有视音频图像资源，包括社会公共安全监控资源、交通管理系统监控资源、高清卡口系统监控资源、移动单兵作战系统监控资源等,同时又要将社会单位监控资源纳入到视频专网中进行统一管理。因为社会单位监控资源承载在公共网络上，为保障视频专网的安全性，需要在公共网络与视频专网边界部署一套网络

7、安全隔离设备，社会单位监控资源经单向通道进入视频专网中。移动单兵作战系统釆用3G网络进行传输，所以在视频专网中至少部署一套防火墙。1.4.信息安全设计XX县平安城市系统不但对系统内的视频、音频、报警等各种信息资源进行集成和处理，同时还提供与GIS系统、交通管理抓拍系统、治安卡口系统、固定/移动目标报警系统等系统的接口，以实现不同系统间的信息资源共享。由此可见，平安城市系统管理平台是一个规模庞大、结构复杂的应用系统。因为涉及到诸多不同的应用系统和不同的软件供应商，每个应用系统都有独立的用户信息管理功能，用户信息的命名、格式、组织方式也多种多样，当用户需要使用多个应用系统时，就会带来用户信息同步问

8、题。用户信息同步会增加系统的复杂性和管理成本；如果不能解决好多个应用系统并存、用户跨级访问等实际问题，则会给视频专网的安全带来安全风险，造成非法访问、越权访问、信息泄露等安全隐患。遵照公安部的城市报警监控联网系统技术标准一一安全技术要求，XX县平安城市系统安全理应建立统一身份认证和权限管理系统，实现统一身份认证、统一权限管理和统一访问控制，在全网内实现“单点登录、全网漫游”功能。另外还需要部署安全审计系统，对用户的业务访问行为进行审计。1、统一身份认证和权限管理系统功能（1）统一用户管理以用户ID为主体进行管理，多个应用系统的用户管理只有一个管理入口，而一个管理入口背后有一个核心用户数据源支持

9、；在理想情况下，所有应用系统的访问主体皆为统一认证授权管理下的用户；应用系统不保留任何主体信息，只保留应用数据。在需要相关信息时，从认证授权平台获取。（2）统一认证统一认证是指各应用系统只有一个权威的认证中心来对应用系统访问主体进行鉴别；在统一用户管理的基础上，对用户身份进行确认。（3）统一授权各应用系统只有一个权威的访问控制中心来进行权限的分配和鉴别；在统一用户管理、统一认证的基础上，对用户访问的资源进行控制。统一认证授权平台以角色为基本单位进行管理，使角色与用户之间建立关联，这样角色是独立于系统存在，能够跨系统实现管理。（4）单点登录用户能够具有多种角色，当用户登录系统之后，能够按照用户角

10、色所授予的权限访问相对应的资源和应用系统，在访问各不相同的资源和应用系统时，不必再重复进行认证、授权。（5）全网漫游用户对资源访问与其登陆位置无关，也就是用户能够在全网任何一级平台进行登录，在其权限范围内对资源进行访问。（6）支持多种不同强度的身份认证认证用户身份认证必须满足用户名/口令、PKI/CA数字证书等不同强度的认证方式，以满足不同业务对安全的应用需求。（7）支持较强的兼容性和扩展性业务系统能够运行在不同操作系统平台、不同硬件平台，业务系统能够是B/S架构也能够是C/S架构；支持业务系统无缝接入，最小化改动业务系统现有的应用模式及用户使用习惯。（8）提供基本的安全防护和安全审计功能。安全防护和审计主要是指能够精确记录用户的