交通管理视频专网安全防护体系建设研究

0

引言加快交通领域的信息化、网络化、智能化建设是贯彻落实党的十九大精神，全面推进交通强国、科技强国建设的重要基础。随着交通科技设施建设的纵向推进，支撑交通科技设施的视频专网建设规模也在不断扩大，逐渐成为一张承载海量终端设备、汇集海量数据的物联网。随着视频专网覆盖面不断增加，其网络安全风险也日益凸显。一旦出现网络攻击、渗透，极有可能造成敏感信息泄漏、窃取、篡改等后果，导致城市的交通调度指挥系统陷入混乱，交通管制将会失效，各项交通数据可能被窃取、篡改，甚至会影响到广大人民群众的出行安全。如何部署有效的安全策略，提升视频专网的安全防护能力水平已成为交通管理部门的重要任务之一。1

视频专网面临的主要安全风险视频专网主要用于汇接各类政法、公安机关自建的视频监控系统，通过安全边界向公安网和互联网用户提供信息。交通管理信息系统中的道路视频监控摄像头、高清卡口、电子警察、信号控制系统、交通流量采集系统等均已广泛部署在视频专网中。综合考虑当前我国视频专网的网络架构和业务流程的特点，其主要面临的安全风险有以下四个方面。1.1

网络非法互联现象普遍视频专网在规划设计上已充分考虑与互联网及其他网络物理隔离[2]，可以通过部署防火墙、边界接入平台等安全技术措施，与公安网、互联网等不同网络进行信息交换与共享。但是，在实际工作中，视频专网中可以使用多网卡、网络出口、网络代理、无线AP、NAT边界等多种技术手段绕过安全设备监管，与外部互联网连接的风险依然存在。1.2

设备接入缺少安全管控当前，视频专网缺少对于接入设备的集中物联管控能力，存在大量违规外联、违规内联、“网中网”等现象，易造成网络负载过重、网络瘫痪、数据紊乱、敏感数据丢失等问题，设备违规接入的安全隐患不容忽视。1.3

安全防护措施仍有不足由于交通管理部门的视频专网具有网络传输上的特殊性和前端设备安装环境的复杂性，在当前专网建设快速扩展的大环境下，视频专网的安全保障明显滞后于建设，安全防护整体考虑有所不足。此外，视频专网的前端设备、计算机、服务器等存在弱口令、操作系统漏洞、木马软件、病毒威胁等问题，进一步增加了视频专网被非法控制、盗取数据等情况发生的可能性。1.4

安全运维能力有待提升当前，视频专网在网络安全运维层面仍然面临较大的挑战。一是通用设备高危漏洞层出不穷，漏洞修复进度迟缓，进一步降低了攻击者的攻击难度。二是缺乏审计日志等安全审计管理，对使用者操作记录难以进行回查，易造成越权操作、修改、删除等情况的发生。2

国内外视频专网安全现状视频专网的网络安全主要是指识别基于《公共安全视频监控联网系统信息传输、交换、控制技术要求》、Onvif（OpenNetworkVideoInterfaceForum，开放型网络视频接口论坛）、《公共安全视频监控联网信息安全技术要求》以及《公安视频图像信息应用系统》等标准的视频业务，对整体视频前端IP设备和传输的流量进行精确管控。视频专网安全防护的核心是通过多种安全机制和技术管理手段，保障前端设备采集数据、网络传输数据、监控中心存储数据及终端应用数据的安全，并能够实现快速识别与定位风险的视频监控网络。2.1

国外视频专网安全现状当前，全球物联设备数量高速增长，据GSMA（全球移动通信系统协会）预测，2025年，全球物联网设备联网数量将达到252亿。随着LoRa、NB-IoT和5G等通信技术的广泛应用和快速发展，万物互联已成为大势所趋。视频监控设备作为物联网中最典型应用的前端感知层设备，已被广泛应用于智慧城市、智慧交通、智能生产和智能家居等众多领域。由于视频监控设备等物联网感知层设备在设计之初缺乏安全性的考虑，近年来安全漏洞频现，已成为黑客攻击的最佳突破口。2016年底，数十万摄像头组成的僵尸网络Mirai，以620G（当时最大）的DDoS流量，攻击美国域名服务商迪恩（Dyn），导致美国多家知名网站无法访问，发生大规模断网事件。自此，Mirai僵尸网络成为全球物联网安全标志性事件。2018年，物联网摄像头再次成为攻击“跳板”，两家网络服务提供商迪恩与亚马逊遭受网络攻击，导致美国多家网站无法访问。进入2019年，基于视频监控设备等物联网终端的攻击事件频发，僵尸网络和勒索软件等大规模攻击事件时有发生。据绿盟科技的数据显示，2019年，全球爆发超过300

起物联网安全相关事件,与DDoS、勒索软件攻击等相关的攻击事件达到了69起，占总数的21.3%。同时，D-link终端停止更新的问题也表明大批量已经不再更新维护的终端设备如果不经过有效治理，将长期存在脆弱性和风险。严峻的物联网安全形势也引起了各国政府的高度重视，2019年，美国和日本分别颁布了法令和政策措施对物联网终端展开安全治理，提高对物联网安全威胁的综合防范。2.2

国内视频专网安全现状视频监控网络依据覆盖范围、用途、规模可以分为个人、小型、中型和大型四种不同复杂度级别的应用场景类型。当前，我国市场占有率最高的视频监控网络应用场景类型是用于城市级综合管控和公共安全的大型视频监控网络。其中，最典型的应用则是以“全域覆盖、全网共享、全时可用、全程可控”为最终建设目标的“雪亮工程”。为全面提升城市安全防控能力，推进平安乡村建设，2018年1月《中共中央国务院关于实施乡村振兴战略的意见》

首次提出了“雪亮工程”的概念。实际上，“雪亮工程”建设既是实现数据交互和信息共享、增强设备互联互通的重要基础，也是加快系统联网、促进网络互联、平台互通，实现公共区域视频图像资源联网共享的有力依托。随着越来越多“平安城市”“雪亮工程”等新建城市综合管控系统项目，以视频专网为代表的物联网应用不断延展，视频专网的建设已从中心城市、大城市向二、三级城市及农村地区迈进，由沿海地区向中西部地区深入。然而，视频专网建设的快速开展也暴露了专网安全防护能力不足、安全管理措施不到位等诸多安全问题。据统计，我国暴露在互联网上的视频监控设备IP数量高达260万个，位居全球榜首。随着视频专网前端感知层、网络传输层和应用层的风险日益攀升，如不加以防护，一旦发生网络攻击，可导致设备被控、数据窃取和隐私泄露等安全风险，对个人、社会、国家的网络安全造成巨大影响。3

视频专网安全综合防护体系综合考虑视频专网的安全监管需求以及安全防护的重点和难点，视频专网安全综合防护体系主要由设备接入安全、网络安全、应用安全和安全运维管理四个层面共同组成，如图1所示。图1视频专网安全综合防护体系3.1

设备接入安全视频专网的感知层需接入大量摄像头等前端设备，数量众多且地点分布广泛。因此，设备安全主要考虑从前端感知节点到网关节点之间的安全问题，应从前端、终端和主机三个方面采取安全措施。前端方面，由于摄像头等前端设备功能单一、计算能力弱、缺乏安全防护能力，当前端设备出现异常时管理员往往无法做出及时有效的处理，会面临数据泄露风险，恶意软件感染等。因此，前端安全应建立接入数据协议白名单准入机制、前端设备接入认证机制，采取主动扫描、手工设置和实时检测等有效手段，及时发现非法接入的未知、仿冒、违规设备，并基于协议白名单，对非法接入数据进行识别和过滤，从而实现对非法恶意行为的识别、告警和实时阻断。终端方面，为强化对系统运行状况的监控，减少不必要的系统服务，增强系统自身对各类攻击、病毒的抵御能力，提高终端系统整体安全性，可采取系统安全加固、安装杀毒软件、使用上网行为管理、部署准入控制设备等措施，

降低系统自身的安全风险。同时，由于管理员是终端的主要使用者，应通过制定使用规范等安全管理制度，加强对终端使用人员的安全管理。主机方面，视频专网的主机主要是指视频监控平台中各视频管理系统，其安全防护的目标是保障各视频管理系统在数据存储和处理过程中的保密性、完整性和可用性[9]。由于这些主机系统存在安全漏洞、缺乏攻击抵御能力、缺少漏洞修复能力以及人为误操作等安全风险，因此，主机安全防护不仅要考虑硬件、固件、系统软件的自身安全，还需要考虑采取适当的安全技术和安全管理措施。3.2

网络安全视频专网的网络安全主要聚焦于网络边界安全和网络传输安全，具体可以从边界访问控制、互联网接入安全、链路安全和数据安全等方面采取安全措施。边界访问控制主要是通过部署下一代防火墙、安全网关等设备，实现网络纵深防护，是实现可信网络的首要前提。此外，应从源IP地址、源端口、目的IP地址、目的端口和协议的边界安全防护五元组策略的角度进行有效建设，限制对网络的非法访问，并对目标网络系统漏洞、协议弱点、恶意攻击、异常流量、病毒蠕虫、间谍软件等网络威胁进行一体化深度防御。由于互联网中存在大量的攻击、病毒等网络安全威胁，视频专网在接入互联网时需要在视频专网边界加强安全防护措施。为防止越权访问和非法攻击，应部署防火墙等边界防护产品并按照严格的安全策略和安全规则进行检测过滤；同时针对互联网中各种攻击行为，部署入侵防御设备和抗DDoS攻击设备，重点监控和检测网络的攻击行为及防御网络应用攻击。保障链路安全是确保专网网络安全传输的重要基础。数据传输过程中若发生网络设备或者链路故障，极易造成视频传输中断，无法满足视频实时监控的要求。因此，应采用硬件冗余方式对数据链路和网络设备进行备份冗余，在发生物理故障时确保视频数据传输不中断。数据安全性主要强调视频数据本身的安全性保障。从数据机密性、数据完整性和数据可用性的安全目标出发，应采取适当的安全技术措施以确保数据传输和数据存储的安全性。其中，为更好地应对数据传输过程中可能涉及的数据监听窃取等安全风险，应采取基于Https的Web管理平台访问和基于加/解密机的加密传输等加密技术应用交互过程、数据传输过程对数据进行加密；数据存储方面则需要对数据相关设备操作的管理员实施访问控制，并通过硬件冗余方式实现数据存储安全。3.3

应用安全视频专网的应用系统主要是指各视频监控平台，其安全性主要体现为降低应用系统在管理维护过程中的安全风险以及自身安全漏洞造成的风险，保障应用系统数据交互过程的安全。视频专网的应用安全需要从应用系统账户管理、运维审计系统和应用系统攻击防护等几个方面考虑，部署相应安全措施来实现。应用系统账户分配到管理员后，账户安全管理完全依赖于管理员个人的安全意识。因此，对于各应用系统账户应采取由管理员集中生成、集中管理、授予操作权限、账户不共用以及多种认证技术结合等措施加强账户安全性。同时，

对账户操作记录进行审计，并对因账户密码泄露导致的安全问题进行追责，从而提高个人账户安全管理意识。运维审计系统，也被称为堡垒机，聚焦于核心系统运维和安全审计管控功能。从技术实现上讲，通过切断终端对网络和服务器资源的直接访问，采用协议代理的方式，实现了运维工作中的账户管理、身份认证、资源授权、访问控制和操作审计等功能。同时，通过设置有效的安全管控策略，降低人员误操作等风险，避免安全损失，保障视频专网运维安全。视频专网应用系统面临的安全挑战主要包括用户身份仿冒、未授权访问、WEB攻击等。由于应用系统的复杂性、多样性和动态变化等特点，应用系统安全防护也需要针对不同的应用来设计安全策略并部署相应的安全措施，主要可以通过部署入侵防御系统和Web应用防火墙等专业的安全设备进行应用层安全防护。3.4

安全运维管控在确保设备安全、网络安全和应用安全的基础上，视频专网还应通过建设统一安全管控平台，实现对终端、网络、安全、业务等资源的高效整合，定期对专网进行安全检测、网络风险评估以及网络安全运维保障，并通过态势感知等技术手段实现视频专网安全管控的可视化呈现。3.4.1

安全运维管理为有效开展交通管理视频专网的安全运行维护工作，应着力将管理流程、管理内容与相关的管理制度有机结合，强化视频专网运行维护的规范化管理。视频专网重点安全防护系统建设任务完成后，依靠已经建设的安全管控系统，应制定日常管理制度，主要包括网络管理制度、系统和应用管理制度、故障管理制度、安全管理制度、人员管理制度和技术支持工具管理制度等

。同时，由于视频专网的安全保障不仅和系统管理员的安全意识有关，还与领导的决策、员工的安全操作等密切相关。因此，应定期对视频专网涉及的各类工作人员（高层管理人员、系统安全管理员、技术部门管理人员和普通工作人员）进行相应的安全培训，针对视频专网中各种可能的安全风险，模拟各种突发状况，定期组织应急演练，提升安全运维能力。安全技术培训还应包括网络安全现状、网络安全技术、网络安全评估、系统渗透测试、基线配置核查、安全应急响应、安全漏洞检测、信息安全意识等内容。3.4.2

综合安全管控为全面提升视频专网的综合安全管控能力，应考虑建设视频专网安全检测平台，对视频专网进行实时安全评估，及时发现专网各环节的安全风险，进行主动性安全防护。基于专网安全检测平台以资产分析为入口，从网络、主机、应用、终端、数据、物理、管理等7个方面，可以对视频专网进行定期全面的风险评估。同时，将专网安全检测平台与基础硬件设备有机结合，从而实现网络安全策略优化以及网络安全运维保障等安全服务内容。此外，结合主动获取和被动接收等多种事件获取方式，视频专网安全管控还应收集所有类型的事件信息，利用模式匹配对事件与日志进行数据解析。基于在旁路部署分析引擎来采集和获取网络中的数据流量，监控和分析网络中的异常行为。视频专网安全管控平台应包含各类在线终端统计、摄像