智慧交通ETC門(mén)架系統(tǒng)網(wǎng)絡(luò)安全建設(shè)方案

楊祥明

（福建省龍巖高速公路有限公司，福建龍巖 366300）

1 ETC門(mén)架系統(tǒng)運(yùn)行原理及設(shè)備組成

ETC門(mén)架系統(tǒng)可在車(chē)輛不停車(chē)的情況下，快速讀取車(chē)輛通行卡信息，且可將交易費(fèi)用輸入卡內(nèi)，形成CPC卡通行記錄，以便用戶(hù)根據(jù)通行卡記錄進(jìn)行繳費(fèi)。根據(jù)設(shè)置的位置、數(shù)量、方向的不同，ETC門(mén)架可分為單排、雙排、多排、上行與下行門(mén)架等多種形式。網(wǎng)絡(luò)設(shè)備、車(chē)道控制器、防雷接地裝置、RSU、補(bǔ)光燈、牌識(shí)設(shè)備、高清攝像機(jī)等是ETC門(mén)架系統(tǒng)的主要組成設(shè)備。

2 部聯(lián)網(wǎng)中心安全要求

嚴(yán)格按照國(guó)家信息基礎(chǔ)設(shè)施對(duì)部級(jí)聯(lián)網(wǎng)中心進(jìn)行保護(hù)，仔細(xì)落實(shí)關(guān)于等級(jí)保護(hù)的第三級(jí)保護(hù)要求，可根據(jù)實(shí)際情況，增強(qiáng)防護(hù)等級(jí)要求。

3 省聯(lián)中心安全要求

（1）安全物理環(huán)境。

應(yīng)通過(guò)配備電子門(mén)禁系統(tǒng)、機(jī)房防盜報(bào)警系統(tǒng)或視頻監(jiān)控系統(tǒng)、防雷保安器或過(guò)壓保護(hù)裝置、火災(zāi)自動(dòng)消防系統(tǒng)、機(jī)房環(huán)境監(jiān)測(cè)系統(tǒng)、防靜電地板、靜電消除器或防靜電手環(huán)、機(jī)房精密空調(diào)、不間斷電源系統(tǒng)、雙路市電或備用發(fā)電機(jī)、金屬線(xiàn)槽對(duì)電源線(xiàn)、通信線(xiàn)纜隔離鋪設(shè)等措施，提高省聯(lián)網(wǎng)中心機(jī)房物理訪問(wèn)控制水平的同時(shí)，防止盜竊、人為破壞、火、潮等情況的發(fā)生，滿(mǎn)足電磁防護(hù)等物理環(huán)境安全要求。

（2）安全通信網(wǎng)絡(luò)。

①保證核心交換機(jī)、核心路由器、出口防火墻等關(guān)鍵網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，以滿(mǎn)足通信網(wǎng)絡(luò)繼續(xù)運(yùn)轉(zhuǎn)的空間需求。工作人員應(yīng)保證下級(jí)接入線(xiàn)路的帶寬可滿(mǎn)足業(yè)務(wù)高峰需求。

②網(wǎng)絡(luò)區(qū)域劃分應(yīng)為收費(fèi)業(yè)務(wù)應(yīng)用、其他業(yè)務(wù)應(yīng)用、數(shù)據(jù)服務(wù)、傳輸接入、運(yùn)維管理等區(qū)域，測(cè)試區(qū)域應(yīng)獨(dú)立。與部聯(lián)網(wǎng)中心通信應(yīng)采用白名單固定IP方式。

③利用VLAN、防火墻區(qū)域設(shè)置等技術(shù)手段，實(shí)現(xiàn)區(qū)域間隔離，通過(guò)配備三層交換機(jī)、防火墻、網(wǎng)閘、負(fù)載均衡、SSL網(wǎng)關(guān)或其他具有相同功能的設(shè)備，構(gòu)建安全網(wǎng)絡(luò)架構(gòu)，提高通信傳輸安全等級(jí)水平。

（3）安全區(qū)域邊界。

通過(guò)配置防火墻、網(wǎng)閘等邊界防護(hù)設(shè)備策略，配備終端管控系統(tǒng)、網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)、入侵檢測(cè)及防御、監(jiān)測(cè)預(yù)警、防火墻（防病毒網(wǎng)關(guān)或防毒墻）、網(wǎng)絡(luò)審計(jì)系統(tǒng)、日志審計(jì)系統(tǒng)等措施，實(shí)現(xiàn)邊界防護(hù)、訪問(wèn)控制、入侵防范、惡意代碼防范和安全審計(jì)等區(qū)域邊界安全要求。省聯(lián)網(wǎng)中心區(qū)域收費(fèi)專(zhuān)網(wǎng)應(yīng)嚴(yán)格禁止無(wú)線(xiàn)局域網(wǎng)絡(luò)的使用。

（4）安全計(jì)算環(huán)境。

配備統(tǒng)一身份認(rèn)證系統(tǒng)、USBkey交通行業(yè)證書(shū)、堡壘機(jī)、日志審計(jì)系統(tǒng)、漏洞掃描系統(tǒng)、入侵檢測(cè)系統(tǒng)、惡意代碼防范軟件、服務(wù)器密碼機(jī)、數(shù)據(jù)備份服務(wù)器，應(yīng)用軟件開(kāi)發(fā)實(shí)現(xiàn)，開(kāi)啟設(shè)備及應(yīng)用系統(tǒng)審計(jì)功能，建立異地?cái)?shù)據(jù)備份系統(tǒng)及通信網(wǎng)絡(luò)等措施，實(shí)現(xiàn)包含身份鑒別、入侵防范、數(shù)據(jù)保密性、剩余信息保護(hù)等在內(nèi)的環(huán)境安全保護(hù)要求。

（5）安全管理中心。

應(yīng)通過(guò)配置堡壘機(jī)策略、建立省級(jí)聯(lián)網(wǎng)收費(fèi)系統(tǒng)網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警平臺(tái)，配置終端管理系統(tǒng)等措施，實(shí)現(xiàn)權(quán)限管理、集中管控等安全管理中心要求。

（6）云安全擴(kuò)展。

省聯(lián)網(wǎng)中心如有部分系統(tǒng)部署在私有云平臺(tái)（虛擬化資源池）或公有云平臺(tái)（專(zhuān)屬云平臺(tái)），應(yīng)滿(mǎn)足云擴(kuò)展安全等保三級(jí)要求。使用公有云平臺(tái)，應(yīng)確保其云計(jì)算基礎(chǔ)設(shè)施位于我國(guó)境內(nèi)，并提供等級(jí)保護(hù)第三級(jí)備案證明。

（7）大數(shù)據(jù)安全擴(kuò)展。

省聯(lián)網(wǎng)中心如有采用大數(shù)據(jù)技術(shù)的應(yīng)用系統(tǒng)，其大數(shù)據(jù)平臺(tái)應(yīng)滿(mǎn)足大數(shù)據(jù)安全等保三級(jí)要求。

4 區(qū)域、路段中心安全要求

（1）安全物理環(huán)境。

通過(guò)對(duì)外來(lái)人員身份管理、設(shè)置必要的防火防潮設(shè)備、部署機(jī)房視頻監(jiān)控系統(tǒng)、過(guò)壓保護(hù)系統(tǒng)，配備不間斷電源系統(tǒng)等措施，滿(mǎn)足區(qū)域/路段中心機(jī)房物理訪問(wèn)控制、防火、電力供應(yīng)、電磁防護(hù)等物理環(huán)境安全要求。

（2）安全通信網(wǎng)絡(luò)。

①提高關(guān)鍵網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力，確保處于業(yè)務(wù)高峰段時(shí)，可滿(mǎn)足冗余要求，保證區(qū)域、路段中心、省聯(lián)網(wǎng)中心收費(fèi)站之間傳輸線(xiàn)路網(wǎng)絡(luò)帶寬，滿(mǎn)足高峰業(yè)務(wù)時(shí)期帶寬需求。

②網(wǎng)絡(luò)區(qū)域應(yīng)劃分為收費(fèi)業(yè)務(wù)、收費(fèi)站接入和運(yùn)維管理等區(qū)域。

③應(yīng)利用VLAN、防火墻區(qū)域設(shè)置等技術(shù)手段，配備SSL網(wǎng)關(guān)或其他具有相同功能的設(shè)備等措施，提升網(wǎng)絡(luò)架構(gòu)安全水平的同時(shí)，提高通信傳輸?shù)陌踩健?/p>

（3）安全區(qū)域邊界。

①應(yīng)通過(guò)配置防火墻策略，定期查看分析防火墻日志，配備具備惡意代碼防范功能的設(shè)備和日志審計(jì)系統(tǒng)等措施，滿(mǎn)足訪問(wèn)控制、安全審計(jì)、邊界防護(hù)、惡意代碼防范等安全要求。

②區(qū)域、路段中心區(qū)域收費(fèi)專(zhuān)網(wǎng)，應(yīng)嚴(yán)格禁止無(wú)線(xiàn)局域網(wǎng)絡(luò)的使用。

（4）安全計(jì)算環(huán)境。

通過(guò)配備統(tǒng)一身份認(rèn)證系統(tǒng)、USBkey交通行業(yè)證書(shū)、堡壘機(jī)、安全配置加固，建立日志審計(jì)系統(tǒng)，安裝惡意代碼防范軟件，針對(duì)不同的設(shè)備完善設(shè)備安全防范策略，提高數(shù)據(jù)完整性、保密性，并配備數(shù)據(jù)備份服務(wù)器等措施，實(shí)現(xiàn)訪問(wèn)控制、安全審計(jì)、邊界防護(hù)、惡意代碼防范、數(shù)據(jù)備份恢復(fù)等計(jì)算環(huán)境安全要求。

（5）安全管理中心。

通過(guò)配置堡壘機(jī)策略，接入省級(jí)聯(lián)網(wǎng)收費(fèi)系統(tǒng)網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警平臺(tái)，配備網(wǎng)管軟件等措施，實(shí)現(xiàn)權(quán)限管理、集中管控等安全管理中心要求。

5 ETC門(mén)架系統(tǒng)安全要求

（1）安全物理環(huán)境。

①設(shè)置ETC門(mén)架系統(tǒng)時(shí)，應(yīng)減少布置在室外的設(shè)備的數(shù)量，降低外界環(huán)境因素給設(shè)備運(yùn)行帶來(lái)的影響，提高設(shè)備運(yùn)行穩(wěn)定性水平。將設(shè)備設(shè)置在室內(nèi)，可更好控制室內(nèi)溫濕度，部署ETC門(mén)架系統(tǒng)相關(guān)設(shè)備時(shí)，應(yīng)遠(yuǎn)離強(qiáng)電磁干擾，可使ETC門(mén)架系統(tǒng)設(shè)備處于更安全、穩(wěn)定的工作環(huán)境中。

②門(mén)架設(shè)置RSU、車(chē)牌圖像識(shí)別等設(shè)備時(shí)，應(yīng)設(shè)置明顯的標(biāo)志，禁止非授權(quán)人員攀登。針對(duì)設(shè)置在室外的機(jī)柜設(shè)備，需要采取必要的防護(hù)設(shè)備，避免受到水、火、塵、潮等因素的影響。部署視頻監(jiān)控系統(tǒng)時(shí)，應(yīng)實(shí)時(shí)性對(duì)設(shè)備的狀態(tài)進(jìn)行監(jiān)控和記錄，保證可及時(shí)發(fā)現(xiàn)設(shè)備丟失、損壞等異常狀態(tài)，并采取有效的措施進(jìn)行解決，降低這類(lèi)情況對(duì)ETC門(mén)架系統(tǒng)的影響。

③為了確保ETC門(mén)架系統(tǒng)始終具有持續(xù)的電力供應(yīng)，需要配備可靠的電源系統(tǒng)，根據(jù)實(shí)際情況設(shè)置備用電源系統(tǒng)。

（2）安全通信網(wǎng)絡(luò)。

①通信設(shè)備的業(yè)務(wù)處理能力，應(yīng)具備足夠的冗余空間，在業(yè)務(wù)高峰期間，仍可滿(mǎn)足業(yè)務(wù)需求。

②設(shè)置VLAN、防火墻區(qū)域、安全網(wǎng)關(guān)設(shè)備等技術(shù)，提高網(wǎng)絡(luò)架構(gòu)安全水平的同時(shí)，提高通信傳輸安全水平。

（3）安全區(qū)域邊界。

系統(tǒng)應(yīng)配置具有檢測(cè)預(yù)警、便捷防護(hù)、入侵檢測(cè)等功能的設(shè)備，滿(mǎn)足區(qū)域邊界防護(hù)安全要求。

（4）安全計(jì)算環(huán)境。

完善設(shè)備安全防護(hù)策略、配置交換機(jī)訪問(wèn)控制列表、設(shè)置并應(yīng)用HTTPS或SSH等安全通信協(xié)議，開(kāi)啟邊界防護(hù)設(shè)備日志審計(jì)功能，安裝惡意代碼防范軟件，提高數(shù)據(jù)傳輸過(guò)程中的保密性、完整性。針對(duì)數(shù)據(jù)本地存儲(chǔ)過(guò)程和傳輸過(guò)程，利用身份鑒別、入侵防范、惡意代碼防范、數(shù)據(jù)保密性設(shè)置等，提高計(jì)算機(jī)網(wǎng)絡(luò)安全水平。

（5）物聯(lián)網(wǎng)安全擴(kuò)展。

針對(duì)ETC門(mén)架系統(tǒng)關(guān)鍵設(shè)備，須部署接入防護(hù)設(shè)備，信息注冊(cè)管理過(guò)程中，使部、省聯(lián)網(wǎng)中心之間的溝通可通過(guò)交通運(yùn)輸進(jìn)行控制。ETC門(mén)架系統(tǒng)設(shè)備均應(yīng)具備支持遠(yuǎn)程集中管控的能力。

6 收費(fèi)站安全要求

（1）安全物理環(huán)境。

對(duì)于機(jī)房的物理控制，可以通過(guò)鑒別外來(lái)人員身份、固定主要設(shè)備、配備消防管滅火設(shè)備以及采取必要的防水、防潮、防靜電等措施、配置不間斷電源等實(shí)現(xiàn)，另外注意電磁防護(hù)，為機(jī)房設(shè)置一個(gè)安全可靠的物理環(huán)境[1]。

（2）安全通信網(wǎng)絡(luò)。

①針對(duì)收費(fèi)站和部聯(lián)網(wǎng)中心、省聯(lián)網(wǎng)中心等之間的線(xiàn)路，應(yīng)確保線(xiàn)路帶寬滿(mǎn)足業(yè)務(wù)高峰時(shí)段的需求。

②網(wǎng)絡(luò)區(qū)域應(yīng)劃分為收費(fèi)業(yè)務(wù)、運(yùn)維管理等區(qū)域。

③應(yīng)利用VLAN、防火墻區(qū)域設(shè)置等技術(shù)手段，配備SSL網(wǎng)關(guān)或其他具有相同功能的設(shè)備等措施，實(shí)現(xiàn)網(wǎng)絡(luò)架構(gòu)安全、通信傳輸安全等通信網(wǎng)絡(luò)安全要求。

（3）安全區(qū)域邊界。

①通過(guò)配備防火墻或其他具有相同功能的設(shè)備等措施，滿(mǎn)足邊界防護(hù)、訪問(wèn)控制、入侵防范、惡意代碼防范等區(qū)域邊界安全要求。

②收費(fèi)站區(qū)域收費(fèi)專(zhuān)網(wǎng)，應(yīng)禁止使用無(wú)線(xiàn)局域網(wǎng)絡(luò)，若必要使用，應(yīng)采用證書(shū)認(rèn)證技術(shù)確保移動(dòng)設(shè)備的可信接入。

（4）安全計(jì)算環(huán)境。

應(yīng)通過(guò)設(shè)置設(shè)備安全配置、安全配置加固，數(shù)據(jù)備份恢復(fù)、設(shè)備安全審計(jì)功能的開(kāi)啟、數(shù)據(jù)保密性設(shè)置、惡意代碼防范軟件的安裝、安全接入審計(jì)、配備數(shù)據(jù)備份服務(wù)器等措施，提高計(jì)算環(huán)境的安全水平，滿(mǎn)足計(jì)算環(huán)境相關(guān)要求。

（5）物聯(lián)網(wǎng)安全擴(kuò)展。

針對(duì)收費(fèi)站各類(lèi)關(guān)鍵設(shè)備，為了有效管理屬性信息注冊(cè)，可接入防護(hù)設(shè)備，提高物聯(lián)網(wǎng)安全拓展效果。

7 結(jié)語(yǔ)

綜上所述，高速公路為了實(shí)現(xiàn)經(jīng)濟(jì)化、智能化、智慧化發(fā)展，須借助ETC門(mén)架系統(tǒng)的基石作用，并將其作為高速公路收費(fèi)聯(lián)網(wǎng)系統(tǒng)構(gòu)架中最基本的組成單元。ETC門(mén)架系統(tǒng)的建設(shè)運(yùn)營(yíng)水平會(huì)影響高速公路的運(yùn)營(yíng)管理水平，應(yīng)結(jié)合門(mén)架系統(tǒng)各專(zhuān)業(yè)要素，提高網(wǎng)絡(luò)安全的建設(shè)水平，建設(shè)更安全、可靠的收費(fèi)系統(tǒng)，降低高速公路運(yùn)維成本，提高高速公路經(jīng)濟(jì)效益水平。