網絡安全態(tài)勢感知在高速公路聯(lián)網收費系統(tǒng)中的應用

郭驍煒，樊升印

(1.中國公路工程咨詢集團有限公司，北京 100089； 2.中咨泰克交通工程集團有限公司，北京 100083)

0 引 言

目前，中國已實現(xiàn)29個省(區(qū)、市)ETC聯(lián)網運行，全國ETC車輛在省界主線收費站不停車繳費通行，顯著提高了高速公路的通行效率和服務水平。高速公路聯(lián)網收費一直是以省(區(qū)、市)界收費站物理隔開，實行分省計費和收費。截至2019年2月，全國高速公路收費站約9 400個，ETC專用車道共20 494條，混合車道1 917條，MTC車道62 249條，每天交易量約為3 000萬筆。

2019年，交通運輸部經多次研究，明確表示要把取消全國高速公路省界收費站工作作為交通運輸?shù)闹卮笳稳蝿蘸皖^等攻堅工程來抓。取消高速公路省界收費站及“一張網”建設的步伐加快，對網絡安全提出了更高的要求，迫切需要采用頂層的、宏觀的安全防護技術手段和總體的、全局的管理抓手，從而掌握網絡安全全貌，保障全網安全。

1 網絡安全需求分析

由于各省市收費系統(tǒng)在不同時期開展建設，其建設標準、完善程度、運維狀況差異較大。部分省中心系統(tǒng)在物理安全、網絡安全、主機安全、應用安全、數(shù)據安全等方面存在一定漏洞。各省關鍵業(yè)務系統(tǒng)缺乏有效防護，高危主機和漏洞比例偏高。多數(shù)操作系統(tǒng)和數(shù)據庫補丁未及時更新，病毒、惡意代碼庫升級不及時，缺乏對惡意代碼的防范與管理?；ヂ?lián)網攻擊防范能力差，數(shù)據安全存在較大風險。另外，各省系統(tǒng)運行維護和網絡安全的人員普遍不足，部分省市沒有專職安全人員，沒有固定的專業(yè)安全支持團隊，相關人員未經過專業(yè)培訓，能力和水平不足。

1.1 全網聯(lián)動后安全風險增大

由于各級系統(tǒng)安全管理防護較為分散且水平差別較大，普遍缺乏安全監(jiān)控措施，無法起到有效的安全防護。全國ETC聯(lián)網改變了原有高速公路分省運營模式，系統(tǒng)運營存在著由點及面、一點異常造成全網受影響的風險，對構建系統(tǒng)、數(shù)據和管理的信息安全體系提出了非常高的要求。

1.2 缺少統(tǒng)一的全網安全監(jiān)測預警體系

目前，部省各級收費系統(tǒng)尚未形成全網統(tǒng)一的網絡安全監(jiān)測預警技術體系。在實現(xiàn)全國聯(lián)網收費系統(tǒng)“一張網”運行后，隨著全網業(yè)務的發(fā)展和服務能力的提升，將放大部級中心單點故障對全網業(yè)務及系統(tǒng)安全造成的風險，迫切需要建立全網統(tǒng)一的網絡安全監(jiān)測預警體系。

在加強整體安全防護的同時，應提高網內、網外攻擊的監(jiān)測預警能力，杜絕大范圍、高破壞性的網絡事件發(fā)生，保障全網安全運行處于可控、可管的狀態(tài)。通過搭建服務于取消高速公路省界收費系統(tǒng)的網絡安全態(tài)勢感知平臺，能夠及時感知到系統(tǒng)中存在的網絡安全風險隱患，保障取消高速公路省界收費站后全國聯(lián)網收費的安全穩(wěn)定運行。

2 網絡安全態(tài)勢感知平臺的構建

根據業(yè)務問題分析和根源分析，網絡安全態(tài)勢感知平臺應滿足安全數(shù)據采集、海量數(shù)據分析、安全監(jiān)測預警、安全政務管理、基礎信息管理、安全展示和信息安全需求等功能[1]。以“服務導向”為出發(fā)點，以實現(xiàn)全網態(tài)勢感知及聯(lián)動為工作目標，解決聯(lián)網運營中出現(xiàn)的監(jiān)測效率低下、事件感應遲緩的問題，保障運行效率和服務水平，共同確保全國聯(lián)網收費公正、透明、安全、高效，最終達到部級防護、全網感知、橫向交互、縱向協(xié)同的目標。

建設部級安全態(tài)勢感知平臺，主要完成部聯(lián)網中心安全態(tài)勢感知平臺的建設及各省中心、站點的安全數(shù)據接入，實現(xiàn)數(shù)據采集、分析和安全業(yè)務的在線管理，提高部級聯(lián)網收費系統(tǒng)的安全防護能力?？傮w布局示意圖和總體網絡拓撲規(guī)劃示意圖分別如圖1、2所示。

圖1 總體布局

新建安全管理服務域，主要用于對省、站和外部業(yè)務數(shù)據對接，以及運行安全態(tài)勢感知平臺及其相關子系統(tǒng)。新建采集域，用于實現(xiàn)對原有安全告警、運行日志、業(yè)務系統(tǒng)運行狀態(tài)等信息的采集?；诂F(xiàn)有網絡，實現(xiàn)對省級聯(lián)網中心態(tài)勢感知平臺和站點的安全數(shù)據收集。

安全態(tài)勢感知平臺邏輯架構按照功能劃分為展示層、業(yè)務邏輯層、數(shù)據分析層、數(shù)據采集層。展示層實現(xiàn)對綜合態(tài)勢和安全政務相關數(shù)據的展示；業(yè)務邏輯層實現(xiàn)安全監(jiān)測預警、安全政務管理和基礎信息管理；數(shù)據分析層主要實現(xiàn)對威脅情報、敏感數(shù)據、網絡攻擊等的關聯(lián)分析；數(shù)據采集層實現(xiàn)對部級、省級、站級以及其他數(shù)據源的采集[2]。總體邏輯架構如圖3所示。

圖2 總體網絡拓撲規(guī)劃

圖3 部聯(lián)網中心系統(tǒng)邏輯架構

3 網絡安全態(tài)勢感知平臺建設方案

網絡安全態(tài)勢感知系統(tǒng)是通過對全量安全數(shù)據的采集、分析、預警和展示來實現(xiàn)安全業(yè)務的全過程管理。安全態(tài)勢感知系統(tǒng)的建設具體包括數(shù)據采集系統(tǒng)、安全數(shù)據分析系統(tǒng)、安全監(jiān)測預警系統(tǒng)、安全政務管理系統(tǒng)、基礎信息管理系統(tǒng)和安全展示系統(tǒng)。

3.1 數(shù)據采集系統(tǒng)

部省級數(shù)據采集主要內容包括：狀態(tài)信息、漏洞信息、流量信息、風控數(shù)據、運行日志、安全日志、告警信息、事件信息和威脅情報等[3-4]。

站級數(shù)據采集主要采集遍布全國的站點安全數(shù)據，如站點的安全事件、日志流量。采集到站點的病毒信息、日志信息、狀態(tài)信息后上傳至部級平臺，部級平臺基于采集的各類信息進行站點級別和全網級別的安全事件分析、預警和展示。其他數(shù)據采集可包括威脅情報(如國家級的威脅情報庫、第三方廠商的威脅情報庫等)的采集和資產(如網絡設備、安全設備、主機系統(tǒng)等)安全信息的采集。

3.2 安全數(shù)據分析系統(tǒng)

通過大數(shù)據分析技術構建安全數(shù)據分析平臺，形成分層架構技術、分布式數(shù)據處理能力，建立大容量的數(shù)據存儲、分析查詢和實時流式數(shù)據處理分析能力。安全大數(shù)據智能檢索能力包括三部分：原始數(shù)據索引、索引數(shù)據查詢和索引數(shù)據展示。從外部滲透、建立通道、內部擴散到外發(fā)數(shù)據的完整攻擊鏈和攻擊上下文信息進行攻擊路徑分析。安全數(shù)據分析系統(tǒng)具體實現(xiàn)以下功能：威脅情報分析、敏感數(shù)據分析、實時監(jiān)控分析、日志信息分析、安全政務管理數(shù)據分析以及網絡攻擊分析。

3.3 安全監(jiān)測預警系統(tǒng)

安全監(jiān)測預警系統(tǒng)是基于采集的全量數(shù)據的分析結果，對全網的安全總體情況進行監(jiān)測，并綜合判斷后進行有效預警。安全監(jiān)測預警系統(tǒng)包括以下8個監(jiān)測預警模塊。

3.3.1 威脅預警

基于數(shù)據源層采集的各類信息，通過威脅情報分析，并綜合關聯(lián)現(xiàn)有資產狀況、報警日志和其他相關信息，識別出安全威脅并予以預警，便于安全人員開展后續(xù)的研判和處置工作。

3.3.2 漏洞管理

通過采集最新漏洞信息，結合主機掃描、基線掃描等漏洞信息對全網漏洞信息，進行統(tǒng)一關聯(lián)分析，便于安全人員有效地跟蹤漏洞發(fā)現(xiàn)、整改和驗證工作，清晰掌握全網的安全弱點并開展管理控制工作。

3.3.3 攻擊識別

對惡意攻擊行為進行識別并預警，尤其是針對大規(guī)模、計劃性的攻擊行為，基于攻擊過程識別、推斷，從而實現(xiàn)對這類攻擊的有效預警和防范。

3.3.4 病毒監(jiān)測

通過采集、匯總病毒信息，全方位多層次地分析病毒爆發(fā)及傳播趨勢，從而獲取病毒傳播源頭與感染情況，便于及時、全面了解病毒事件，有效地采取措施，做到及時發(fā)現(xiàn)、及時處理、及時預防，從而防范病毒的入侵和傳播，減少病毒事件對全網造成的威脅和安全隱患。

3.3.5 狀態(tài)監(jiān)控

對重要資產進行實時、深度監(jiān)控。一旦被監(jiān)控的狀態(tài)指標項突破閾值，將自動進行狀態(tài)變化的預警，并可通過郵件或其他形式通知安全人員進行有效應對。

3.3.6 數(shù)據管控

對業(yè)務數(shù)據在傳輸、處理、分析、共享的過程中進行脫敏處理，從而保證業(yè)務敏感數(shù)據能夠被安全地應用、安全地傳輸，避免業(yè)務敏感數(shù)據泄露及擴散。

3.3.7 安全事件

經過綜合研判，確認發(fā)生安全事件后，結合事件發(fā)生單位、發(fā)生時間、影響范圍、影響程度等進行事件分級和分類，為應急響應提供決策和數(shù)據支撐。

3.3.8 業(yè)務風險

基于對業(yè)務系統(tǒng)的監(jiān)控和關鍵業(yè)務數(shù)據的采集分析，結合風險模型計算，評定業(yè)務風險所在的風險等級和風險數(shù)值，并對監(jiān)控結果進行及時預警，將相關事件同步至部聯(lián)網中心風控系統(tǒng)。

3.4 安全政務管理系統(tǒng)

安全政務管理系統(tǒng)包括等保工作管理系統(tǒng)、信息通報管理系統(tǒng)、并網接入管理系統(tǒng)和安全培訓系統(tǒng)。等保工作管理系統(tǒng)主要包括日常工作、定級備案、等級測評、建設整改和相關支撐知識庫等模塊；信息通報管理系統(tǒng)主要包括信息上報、信息通報、值班管理和信息通報渠道管理等模塊；并網接入管理系統(tǒng)主要具備檢查信息填報、檢查項配置、自查管理、結果統(tǒng)計分析等功能；建設安全培訓系統(tǒng)提供多個方面的試驗、實訓及工程實踐，涵蓋多層次的實驗操作，以真實環(huán)境下的真實案例為操作指南，貼近實際崗位能力要求。

3.5 基礎信息管理系統(tǒng)

基礎信息管理系統(tǒng)可進行用戶權限管理、系統(tǒng)配置管理、地理信息管理和知識庫管理，分別對登錄使用態(tài)勢感知平臺的用戶進行全生命周期管理，對態(tài)勢感知平臺系統(tǒng)的配置進行管理，對態(tài)勢感知平臺系統(tǒng)的地理信息進行管理，以及維護態(tài)勢感知平臺系統(tǒng)的知識庫。

3.6 安全展示系統(tǒng)

3.6.1 綜合態(tài)勢展示

通過對全網、部級、省級以及各站點的安全威脅、漏洞信息、配置信息等各類安全數(shù)據進行收集，結合關聯(lián)分析模型，實現(xiàn)對全網安全風險情況的總體把握，以實現(xiàn)不同層面的安全風險展示，展示內容包括各層面的業(yè)務系統(tǒng)安全風險指數(shù)、安全事件統(tǒng)計和處置狀態(tài)、外部攻擊統(tǒng)計、被攻擊業(yè)務系統(tǒng)和IP排名、威脅來源國家/地區(qū)排名等內容的展示。

3.6.2 安全業(yè)務管理展示

基于安全業(yè)務管理系統(tǒng)中獲取的各類數(shù)據進行統(tǒng)計分析，并將分析結果直觀展示，便于從全網層面了解各項工作開展的情況。包括等保工作展示、信息通報展示、并網接入展示和安全培訓展示，最終實現(xiàn)對不同省等級保護工作開展情況進行對比分析、趨勢分析等，實現(xiàn)對信息通報工作不同維度的展示，如信息通報預警信息類型、不同漏洞類型、信息通報各省數(shù)量等以及實現(xiàn)對不同省并網接入工作開展情況進行對比分析、趨勢分析等。

4 系統(tǒng)處理能力需求

4.1 核心業(yè)務數(shù)據處理能力

核心業(yè)務數(shù)據由日志報警信息、網絡流量監(jiān)測報警數(shù)據、網絡流量行為分析系統(tǒng)、資產信息、業(yè)務信息、監(jiān)測掃描信息、基礎庫信息等構成。這些核心業(yè)務數(shù)據的存儲通過核心業(yè)務數(shù)據存儲處理服務器進行存儲處理和業(yè)務處理。

4.2 核心存儲處理能力

信息系統(tǒng)存儲包括部中心核心存儲和異地數(shù)據災備中心存儲。根據業(yè)務系統(tǒng)設計，部聯(lián)網中心核心存儲需要保存日志報警信息、網絡流量監(jiān)測報警數(shù)據、網絡流量行為分析系統(tǒng)、資產信息、業(yè)務信息、監(jiān)測掃描信息、基礎庫信息數(shù)據。異地數(shù)據備份存儲保存重要數(shù)據。

根據《網絡安全法》要求：采取監(jiān)測、記錄網絡運行狀態(tài)、網絡安全事件的技術措施，并按照規(guī)定留存相關的網絡日志不少于6個月。結合行業(yè)自身需求，信息保存期限建議為1年。根據業(yè)務流量測算，信息來源主要包括日志信息、網絡流量信息、業(yè)務信息、資產信息、監(jiān)測掃描信息和基礎庫信息。信息量估算如表1，因此，基本存儲總容量應不小于908 TB。

表1 數(shù)據量估算

5 結 語

本文提出了高速公路聯(lián)網收費網絡安全態(tài)勢感知平臺的建設方案，開創(chuàng)性地使用安全態(tài)勢感知技術，極大地提升了高速公路聯(lián)網收費系統(tǒng)的安全監(jiān)測和預警能力，有助于及時發(fā)現(xiàn)各類網絡攻擊行為和安全事件，為應急響應指揮調度和網絡安全工作決策提供數(shù)據支撐，保障收費公路聯(lián)網收費系統(tǒng)整體能夠安全、穩(wěn)定運行，為推動取消全國高速公路省界收費站的順利實施提供堅持的安全保障。