智能公交系统网络安全研究

文雄军廖暑光

智能公交系统网络安全研究

文雄军1廖暑光2

1．湖南涉外经济学院计算机学部，湖南长沙 410205；2．湖南长沙凌发有限公司，湖南长沙 410004

引言

智能公交系统主要通过网络联接，此网络可以从网络层、应用层、业务层及各级的安全管理方面着手，网络中如果有一个层次出现了安全隐患，导致整个网络都是不安全的。以下只是就系统安全中的网络级作分析设计。交通网可能处于一个较为开放的网络环境中，其中间业务委托方的网络有可能与Internet网连接，因此中间业务网络环境的外接复杂性成为中间网络系统隐患威胁的极大来源。一般公司内部员工也有上网的需求，但现有的网络安全防范措施还很薄弱，因此要作安全防范与措施。

1 网络级的安全分析

网络级设备主要包括广域网和局域网各节点上的交换机、路由器及防火墙。网络层不仅为本系统上网提供连接通路和网络数据交换的连接，而且是网络入侵者攻击公交系统的渠道和通路。大型网络系统内运行的TCP/IP协议并非专为安全通讯而设计，因此网络系统存在 一些安全隐患和威胁，整个网络就会受到来自网络内部和外部的双重威胁。

1.1 网络传送安全

重要业务数据泄漏和重要数据被破坏。需要对信息中敏感的数据单元采取特殊的加密措施，如采用DES算法进行数据加密等。

1.2 网络服务安全

现有的网络安全防范措施来看，网络安全不仅来自外部网络，同样存在于内部网存在的安全风险主要有：

常见攻击手法如下：黑客入侵：发送大量PING包；网络监听；嗅探程序来探测扫描安全漏洞；另外有IP欺骗、拒绝服务攻击（SYN FLOOD，PING FLOOD等）、分布式拒绝服务攻击、篡改、堆栈溢出等。

网络设备，如路由器、交换机等。例如，路由设备存在路由信息泄漏、交换机和路由器设备配置风险等。

而在智能公交系统的网络内部，如果在安全措施上存在隐患，或者在已有的服务器与内部客户端中存在着后门程序（如木马）话，攻击者就较为容易地取得网络管理员权限，从而进一步控制计算机系统，网络中大量的重要数据就会被窃取和破坏。在网络上设立网关防火墙入侵检测系统将会有效的将上面提到的各种攻击与入侵阻断在外。

1.3 局域网服务器安全

交委网络内部部署了众多的网络设备、服务器，保护这些设备的正常运行，维护主要业务系统的安全，是网络的基本安全需求，此系统与普通网络应用不同的是，业务系统服务器是网络应用的核心。对于业务系统服务器应该具有最高的网络安全措施。业务系统服务器面临以下安全问题：非法登陆和非法访问业务服务器，非法操作系统内部电脑，恶意破坏重要数据者等等。

2 网络级安全方案概述

通常的网络优化和配置主要表现在两个方面。其一，路由策略的优化。对IP地址进行有效合理规划，尽可能的进行连续规划和分配，采用CIDR技术进行动态会聚。路由协议的选择上无论是域内路由协议还是域间路由协议需要针对全网的业务平台的分布状态进行优化，即保证业务的连续可靠，又保证路由的精简和高效。其二，主机系统的优化。在业务的承载系统平台上，无论是交换空间上，还是具体服务的配置上往往存在很大的可变更性。针对业务的容量，业务的特点需要专业的配置和优化，即保证在硬件设备相对固定的情况下，是系统的配置最优。

3 网络级安全方案

概述安全方案主要分为三方面：与Internet接入的安全;部门之间的安全以及以前区域网的安全。

3.1 Internet接入的安全

在网络边缘设置防火墙，通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况，以此来实现网络的安全保护。设置网络入侵系统，在某个关键网段上，检测和监控数据流，即使发现网络攻击的苗头，并予以杜绝。本方案采用了的设备具有以下几种技术特性：

3.1.1 VPN特性

VPN的安全性包含以下特征：隧道与加密、数据验证、用户验证、防火墙与攻击检测。防火墙用于过滤数据包，防止非法访问，而攻击检测则更进一步分析数据包的内容，确定其合法性，并可实时应用安全策略，断开包含非法访问内容的会话链接，并产生非法访问记录。

3.1.2 AAA Authentication，Authorization，Accounting

AAA提供了对用户的验证授权及记帐功能。

验证：用户（包括Login用户、PPP接入用户等）在被允许访问网络资源之前需要先经过验证，验证时可以选择是采用路由器本身维护的用户数据库，还是采用RADIUS服务器所维护的用户数据库对用户进行验证。

授权：通过定义一组属性来描述用户的权限信息，用以决定用户的实际访问权限。这些信息存储在RADIUS所维护的数据库中。对于接入用户，还可以由用户的“filterID”属性来确定采用哪类规则对用户的报文进行过滤。

记帐：AAA的计费功能允许对用户的访问网络资源等情况进行跟踪审计。当AAA的计费功能打开后，网络接入服务器按照一定的计费格式向RADIUS服务器发送用户的活动信息，这些信息被储存在服务器上，可以用来进行网络运行情况的分析、用户帐单的生成等。

AAA网络安全服务提供了一个实现身份认证以及访问控制的主框架。AAA使用RADIUS、TACACS+、Kerberos等协议来实现对网络的访问控制。安全路由器实现时采用了使用最广泛的RADIUS协议。

3.1.3 网络地址转换特性

地址转换主要是因为Internet地址短缺问题而提出的，利用地址转换可以使内部网络的用户访问外部网络（Internet），利用地址转换还可以给内部网络提供一种“隐私”保护，同时也可以按照用户的需要提供给外部网络一定的服务，如：WWW、FTP、TELNET、SMTP、POP3等。

3.2 部门之间的安全

VLAN（Virtual Local Area Network）即虚拟局域网，由于它是逻辑地而不是物理地划分，因此同一个VLAN内的各个工作站无须被放置在同一个物理空间里，即这些工作站不一定属于同一个物理LAN网段。一个VLAN内部的广播和单播流量都不会转发到其他VLAN中，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。

对于公司内部网的安全策略，本方案采用VLAN技术，保护那些有安全要求的部门，通过对交换机的设置，将不同的部门归入不同的VLAN，同时也可根据不同的应用系统来划分VLAN之间的通信。

3.3 区域网的安全

在广域网建成后，对某些重要数据的保护，本方案采用在与广域网链路相连的路由器上设置包过滤功能，利用路由器本身的安全特性来实现对重要数据的保护。

IP报文的IP报头及所承载的上层协议（如TCP）报头的每个域包含了可以由路由器进行处理的信息。包过滤通常用到IP报文的一些属性：

! IP的源目的地址及协议域

! TCP或UDP的源目的端口

! ICMP码ICMP的类型域

! TCP的标志域

! 网络安全技术白皮书

! 表示请求连接的单独的SYN

! 表示连接确认的SYN/ACK

! 表示正在使用的一个会话连接

! 表示连接中断的FIN

可以由这些域的各式各样的组合形成不同的规则。比如要禁止从主机1.1.1.1到主机2.2.2.2的FTP连接，包过滤可以创建这样的规则用于丢弃相应的报文：

IP目的地址＝2.2.2.2

IP源地址＝1.1.1.1

IP的协议域＝6（TCP）

目的端口＝21（FTP）

操作＝丢弃

同样在Novell IPX和Apple AppleTalk协议中也可相应地设置各自的包过滤规则。

本系统路由器和安全网关防火墙提供了基于接口的包过滤，即可以在一个接口的进出两个方向上对报文进行过滤。同时还提供了基于时间段的包过滤，可以规定过滤规则发生作用的时间范围，比如上例中可设置每周一的8:00至20:00允许FTP报文进入以完成必要的服务，而其余时间则禁止FTP连接。在时间段的设置上，可以采用绝对时间段和周期时间段以及连续时间段和离散时间段配合使用，在应用上具有极大的灵活性。并且这样的时间段可以方便地提供给其他的功能模块使用，如地址转换、IPSec等。

4 产品选型

从调查与比较，本文推荐所选用的产品均是国际及国内的知名厂家：

表1 产品配置

在本系统中，设置了1台防火墙Quidway! Eudemon 100，该防火墙具有4个100Base-TX以太网接口。

内网接口为防火墙上的100Base-TX端口，分别连接在一台核心交换机上。

需要接口的外部网络有各公交公司网络，使用了1台交换机3COM 3C16471连接所有的外部网络，然后再通过1口100Base-TX连接到防火墙上。

通信服务器设置在DMZ区内，使用了1口100Base-TX端口。在防火墙上配置访问策略，使外部网络只能访问通信服务器，而不能访问内网。另外系统可以安装相同的KILL防毒客户端。容错软件会自动地提供错误检测和多层现场恢复。

在设计智能公交系统的安全性时除了网络级安全外，还有应用级，系统级安全、数据存储安全层是作为一个整体系统工程的安全搭档。

[1]马俊海，黄明.车辆监控系统中GPS,GIS的应用

[2]姚彦，梅顺良，高葆新.数字微波中继通信工程.人民邮电出版社出版，1993

[3]华睿，李学桥.一种基于Linux的网络入侵检测系统[J].河南:郑州轻工业学院学报(自然科学版),2005.1(1) 44～46.

[4]吴功宜，张建忠.网络安全高级软件编程技术.清华大学出版社，2010

[5]陆锡明.快速公交系统.同济大学出版社，2005

[6](美)特南鲍姆，韦瑟罗尔著；严伟，潘爱民译.计算机网络.清华大学出版社，2012

[7]知网空间. http://cdmd.cnki.com.cn/

Studies on network security of the intelligent transportation system

Wen Xiongjun1Liao Shuguang3
1.Department of Computer, Hunan International Economics University, Changsha 410205, China; 2. LinFa Technology CO.LTO; Changsha 410006, China

网络的安全是智能公交系统服务质量的一重大因素，本文先对网络进行了安全分析，然后从分析中得出安全方案，要从三大方面着手：与Internet接入的安全;部门之间的安全；区域网的安全着手如何设计安全措施，并通过调查选用所用的安全设备，最后保证智能公交系统网络的安全。

服务安全；公交系统；入侵；网络安全

Network security is one key factor to judge the service quality of intelligent public transportation systems. This paper analyzes network safety, and finally proposes a safety scheme. In the scheme, the safety of the connection to the internet, the safety of each department, and the safety of local area network are essential. Our work designed a program to guarantee network security of the intelligent public transportation system.

service security; public transportation system; intrusion; network security

10.3969/j.issn.1001-8972.2012.14.071

湖南省教育厅科研资助项目(08C515)

文雄军，女，讲师，硕士，研究方向人工智能，网络方向；

廖暑光，男，本科，工程师，计算机软件方向。