隨著交通科技設施建設的縱向推進，公安專網(wǎng)建設規(guī)模不斷擴大，視頻專網(wǎng)的安全風險也日益凸顯。一旦出現(xiàn)黑客攻擊、數(shù)據(jù)竊取等事件，極有可能造成敏感信息泄漏、篡改等后果， 甚至導致城市的交通調(diào)度指揮系統(tǒng)陷入混亂、出現(xiàn)交通管制失效等情況，影響廣大人民群眾出行安全。如何部署有效的安全策略，建設視頻專網(wǎng)綜合安全防護體系已成為交通管理部門的重要任務之一。

　　0  引 言

　　加快交通領域的信息化、網(wǎng)絡化、智能化建設是貫徹落實黨的十九大精神，全面推進交通強國、科技強國建設的重要基礎。隨著交通科技設施建設的縱向推進，支撐交通科技設施的視頻專網(wǎng)建設規(guī)模也在不斷擴大， 逐漸成為一張承載海量終端設備、匯集海量數(shù)據(jù)的物聯(lián)網(wǎng)。

　　隨著視頻專網(wǎng)覆蓋面不斷增加，其網(wǎng)絡安全風險也日益凸顯。一旦出現(xiàn)網(wǎng)絡攻擊、滲透， 極有可能造成敏感信息泄漏、竊取、篡改等后果，導致城市的交通調(diào)度指揮系統(tǒng)陷入混亂， 交通管制將會失效，各項交通數(shù)據(jù)可能被竊取、篡改，甚至會影響到廣大人民群眾的出行安全。如何部署有效的安全策略，提升視頻專網(wǎng)的安全防護能力水平已成為交通管理部門的重要任務之一。

　　1   視頻專網(wǎng)面臨的主要安全風險

　　視頻專網(wǎng)主要用于匯接各類政法、公安機關自建的視頻監(jiān)控系統(tǒng)，通過安全邊界向公安網(wǎng)和互聯(lián)網(wǎng)用戶提供信息。交通管理信息系統(tǒng)中的道路視頻監(jiān)控攝像頭、高清卡口、電子警察、信號控制系統(tǒng)、交通流量采集系統(tǒng)等均已廣泛部署在視頻專網(wǎng)中 。綜合考慮當前我國視頻專網(wǎng)的網(wǎng)絡架構和業(yè)務流程的特點，其主要面臨的安全風險有以下四個方面。

　　1.1   網(wǎng)絡非法互聯(lián)現(xiàn)象普遍

　　視頻專網(wǎng)在規(guī)劃設計上已充分考慮與互聯(lián)網(wǎng)及其他網(wǎng)絡物理隔離 [2]，可以通過部署防火墻、邊界接入平臺等安全技術措施，與公安網(wǎng)、互聯(lián)網(wǎng)等不同網(wǎng)絡進行信息交換與共享。但是， 在實際工作中，視頻專網(wǎng)中可以使用多網(wǎng)卡、網(wǎng)絡出口、網(wǎng)絡代理、無線 AP、NAT 邊界等多種技術手段繞過安全設備監(jiān)管，與外部互聯(lián)網(wǎng)連接的風險依然存在。

　　1.2  設備接入缺少安全管控

　　當前，視頻專網(wǎng)缺少對于接入設備的集中物聯(lián)管控能力，存在大量違規(guī)外聯(lián)、違規(guī)內(nèi)聯(lián)、“網(wǎng)中網(wǎng)”等現(xiàn)象，易造成網(wǎng)絡負載過重、網(wǎng)絡癱瘓、數(shù)據(jù)紊亂、敏感數(shù)據(jù)丟失等問題，設備違規(guī)接入的安全隱患不容忽視。

　　1.3  安全防護措施仍有不足

　　由于交通管理部門的視頻專網(wǎng)具有網(wǎng)絡傳輸上的特殊性和前端設備安裝環(huán)境的復雜性 ， 在當前專網(wǎng)建設快速擴展的大環(huán)境下，視頻專網(wǎng)的安全保障明顯滯后于建設，安全防護整體考慮有所不足。此外，視頻專網(wǎng)的前端設備、計算機、服務器等存在弱口令、操作系統(tǒng)漏洞、木馬軟件、病毒威脅等問題，進一步增加了視頻專網(wǎng)被非法控制、盜取數(shù)據(jù)等情況發(fā)生的可能性。

　　1.4 安全運維能力有待提升

　　當前，視頻專網(wǎng)在網(wǎng)絡安全運維層面仍然面臨較大的挑戰(zhàn)。一是通用設備高危漏洞層出不窮，漏洞修復進度遲緩，進一步降低了攻擊者的攻擊難度。二是缺乏審計日志等安全審計管理，對使用者操作記錄難以進行回查，易造成越權操作、修改、刪除等情況的發(fā)生。

　　2  國內(nèi)外視頻專網(wǎng)安全現(xiàn)狀

　　視頻專網(wǎng)的網(wǎng)絡安全主要是指識別基于《公共安全視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)信息傳輸、交換、控 制 技 術 要 求》、Onvif（Open Network Video Interface Forum，開放型網(wǎng)絡視頻接口論壇）、《公共安全視頻監(jiān)控聯(lián)網(wǎng)信息安全技術要求》以及《公安視頻圖像信息應用系統(tǒng)》等標準的視頻業(yè)務，對整體視頻前端 IP 設備和傳輸?shù)牧髁窟M行精確管控。視頻專網(wǎng)安全防護的核心是通過多種安全機制和技術管理手段，保障前端設備采集數(shù)據(jù)、網(wǎng)絡傳輸數(shù)據(jù)、監(jiān)控中心存儲數(shù)據(jù)及終端應用數(shù)據(jù)的安全，并能夠實現(xiàn)快速識別與定位風險的視頻監(jiān)控網(wǎng)絡。

　　2.1  國外視頻專網(wǎng)安全現(xiàn)狀

　　當前， 全球物聯(lián)設備數(shù)量高速增長， 據(jù)GSMA（全球移動通信系統(tǒng)協(xié)會）預測，2025 年， 全球物聯(lián)網(wǎng)設備聯(lián)網(wǎng)數(shù)量將達到 252 億 。隨著 LoRa、NB-IoT 和 5G 等通信技術的廣泛應用和快速發(fā)展，萬物互聯(lián)已成為大勢所趨。視頻監(jiān)控設備作為物聯(lián)網(wǎng)中最典型應用的前端感知層設備，已被廣泛應用于智慧城市、智慧交通、智能生產(chǎn)和智能家居等眾多領域。

　　由于視頻監(jiān)控設備等物聯(lián)網(wǎng)感知層設備在設計之初缺乏安全性的考慮，近年來安全漏洞頻現(xiàn)，已成為黑客攻擊的最佳突破口。2016 年底， 數(shù)十萬攝像頭組成的僵尸網(wǎng)絡Mirai，以620G（當時最大）的 DDoS 流量，攻擊美國域名服務商迪恩（Dyn），導致美國多家知名網(wǎng)站無法訪問， 發(fā)生大規(guī)模斷網(wǎng)事件。自此，Mirai 僵尸網(wǎng)絡成為全球物聯(lián)網(wǎng)安全標志性事件。2018 年，物聯(lián)網(wǎng)攝像頭再次成為攻擊“跳板”，兩家網(wǎng)絡服務提供商迪恩與亞馬遜遭受網(wǎng)絡攻擊，導致美國多家網(wǎng)站無法訪問。

　　進入 2019 年，基于視頻監(jiān)控設備等物聯(lián)網(wǎng)終端的攻擊事件頻發(fā)，僵尸網(wǎng)絡和勒索軟件等大規(guī)模攻擊事件時有發(fā)生。據(jù)綠盟科技的數(shù)據(jù)顯示，2019 年，全球爆發(fā)超過 300 起物聯(lián)網(wǎng)安全相關事件 , 與 DDoS、勒索軟件攻擊等相關的攻擊事件達到了69 起，占總數(shù)的21.3%。

　　同時， D-link 終端停止更新的問題也表明大批量已經(jīng)不再更新維護的終端設備如果不經(jīng)過有效治理， 將長期存在脆弱性和風險。嚴峻的物聯(lián)網(wǎng)安全形勢也引起了各國政府的高度重視，2019 年， 美國和日本分別頒布了法令和政策措施對物聯(lián)網(wǎng)終端展開安全治理，提高對物聯(lián)網(wǎng)安全威脅的綜合防范。

　　2.2  國內(nèi)視頻專網(wǎng)安全現(xiàn)狀

　　視頻監(jiān)控網(wǎng)絡依據(jù)覆蓋范圍、用途、規(guī)模可以分為個人、小型、中型和大型四種不同復雜度級別的應用場景類型。當前，我國市場占有率最高的視頻監(jiān)控網(wǎng)絡應用場景類型是用于城市級綜合管控和公共安全的大型視頻監(jiān)控網(wǎng)絡。其中，最典型的應用則是以“全域覆蓋、全網(wǎng)共享、全時可用、全程可控”為最終建設目標的“雪亮工程”。

　　為全面提升城市安全防控能力，推進平安鄉(xiāng)村建設，2018 年 1 月《中共中央國務院關于實施鄉(xiāng)村振興戰(zhàn)略的意見》 首次提出了“雪亮工程”的概念。實際上，“雪亮工程”建設既是實現(xiàn)數(shù)據(jù)交互和信息共享、增強設備互聯(lián)互通的重要基礎，也是加快系統(tǒng)聯(lián)網(wǎng)、促進網(wǎng)絡互聯(lián)、平臺互通，實現(xiàn)公共區(qū)域視頻圖像資源聯(lián)網(wǎng)共享的有力依托。隨著越來越多“平安城市”“雪亮工程”等新建城市綜合管控系統(tǒng)項目，以視頻專網(wǎng)為代表的物聯(lián)網(wǎng)應用不斷延展， 視頻專網(wǎng)的建設已從中心城市、大城市向二、三級城市及農(nóng)村地區(qū)邁進，由沿海地區(qū)向中西部地區(qū)深入。

　　然而，視頻專網(wǎng)建設的快速開展也暴露了專網(wǎng)安全防護能力不足、安全管理措施不到位等諸多安全問題。據(jù)統(tǒng)計，我國暴露在互聯(lián)網(wǎng)上的視頻監(jiān)控設備 IP 數(shù)量高達 260 萬個，位居全球榜首。隨著視頻專網(wǎng)前端感知層、網(wǎng)絡傳輸層和應用層的風險日益攀升，如不加以防護， 一旦發(fā)生網(wǎng)絡攻擊，可導致設備被控、數(shù)據(jù)竊取和隱私泄露等安全風險，對個人、社會、國家的網(wǎng)絡安全造成巨大影響。

　　3  視頻專網(wǎng)安全綜合防護體系

　　綜合考慮視頻專網(wǎng)的安全監(jiān)管需求以及安全防護的重點和難點，視頻專網(wǎng)安全綜合防護體系主要由設備接入安全、網(wǎng)絡安全、應用安全和安全運維管理四個層面共同組成，如圖 1 所示。

　　圖 1 視頻專網(wǎng)安全綜合防護體系

　　3.1  設備接入安全

　　視頻專網(wǎng)的感知層需接入大量攝像頭等前端設備，數(shù)量眾多且地點分布廣泛。因此，設備安全主要考慮從前端感知節(jié)點到網(wǎng)關節(jié)點之間的安全問題，應從前端、終端和主機三個方面采取安全措施。

　　前端方面，由于攝像頭等前端設備功能單一、計算能力弱、缺乏安全防護能力，當前端設備出現(xiàn)異常時管理員往往無法做出及時有效的處理，會面臨數(shù)據(jù)泄露風險，惡意軟件感染等。因此，前端安全應建立接入數(shù)據(jù)協(xié)議白名單準入機制、前端設備接入認證機制，采取主動掃描、手工設置和實時檢測等有效手段，及時發(fā)現(xiàn)非法接入的未知、仿冒、違規(guī)設備，并基于協(xié)議白名單，對非法接入數(shù)據(jù)進行識別和過濾， 從而實現(xiàn)對非法惡意行為的識別、告警和實時阻斷 。

　　終端方面，為強化對系統(tǒng)運行狀況的監(jiān)控， 減少不必要的系統(tǒng)服務，增強系統(tǒng)自身對各類攻擊、病毒的抵御能力，提高終端系統(tǒng)整體安全性，可采取系統(tǒng)安全加固、安裝殺毒軟件、使用上網(wǎng)行為管理、部署準入控制設備等措施， 降低系統(tǒng)自身的安全風險。同時，由于管理員是終端的主要使用者，應通過制定使用規(guī)范等安全管理制度，加強對終端使用人員的安全管理。

　　主機方面，視頻專網(wǎng)的主機主要是指視頻監(jiān)控平臺中各視頻管理系統(tǒng)，其安全防護的目標是保障各視頻管理系統(tǒng)在數(shù)據(jù)存儲和處理過程中的保密性、完整性和可用性 [9]。由于這些主機系統(tǒng)存在安全漏洞、缺乏攻擊抵御能力、缺少漏洞修復能力以及人為誤操作等安全風險， 因此，主機安全防護不僅要考慮硬件、固件、系統(tǒng)軟件的自身安全，還需要考慮采取適當?shù)陌踩夹g和安全管理措施。

　　3.2  網(wǎng)絡安全

　　視頻專網(wǎng)的網(wǎng)絡安全主要聚焦于網(wǎng)絡邊界安全和網(wǎng)絡傳輸安全，具體可以從邊界訪問控制、互聯(lián)網(wǎng)接入安全、鏈路安全和數(shù)據(jù)安全等方面采取安全措施。

　　邊界訪問控制主要是通過部署下一代防火墻、安全網(wǎng)關等設備，實現(xiàn)網(wǎng)絡縱深防護，是實現(xiàn)可信網(wǎng)絡的首要前提。此外，應從源 IP 地址、源端口、目的 IP 地址、目的端口和協(xié)議的邊界安全防護五元組策略的角度進行有效建設， 限制對網(wǎng)絡的非法訪問，并對目標網(wǎng)絡系統(tǒng)漏洞、協(xié)議弱點、惡意攻擊、異常流量、病毒蠕蟲、間諜軟件等網(wǎng)絡威脅進行一體化深度防御 。

　　由于互聯(lián)網(wǎng)中存在大量的攻擊、病毒等網(wǎng)絡安全威脅，視頻專網(wǎng)在接入互聯(lián)網(wǎng)時需要在視頻專網(wǎng)邊界加強安全防護措施。為防止越權訪問和非法攻擊，應部署防火墻等邊界防護產(chǎn)品并按照嚴格的安全策略和安全規(guī)則進行檢測過濾；同時針對互聯(lián)網(wǎng)中各種攻擊行為，部署入侵防御設備和抗 DDoS 攻擊設備，重點監(jiān)控和檢測網(wǎng)絡的攻擊行為及防御網(wǎng)絡應用攻擊。

　　保障鏈路安全是確保專網(wǎng)網(wǎng)絡安全傳輸?shù)闹匾A。數(shù)據(jù)傳輸過程中若發(fā)生網(wǎng)絡設備或者鏈路故障，極易造成視頻傳輸中斷，無法滿足視頻實時監(jiān)控的要求。因此，應采用硬件冗余方式對數(shù)據(jù)鏈路和網(wǎng)絡設備進行備份冗余， 在發(fā)生物理故障時確保視頻數(shù)據(jù)傳輸不中斷。

　　數(shù)據(jù)安全性主要強調(diào)視頻數(shù)據(jù)本身的安全性保障。從數(shù)據(jù)機密性、數(shù)據(jù)完整性和數(shù)據(jù)可用性的安全目標出發(fā)，應采取適當?shù)陌踩夹g措施以確保數(shù)據(jù)傳輸和數(shù)據(jù)存儲的安全性。其中，為更好地應對數(shù)據(jù)傳輸過程中可能涉及的數(shù)據(jù)監(jiān)聽竊取等安全風險，應采取基于 Https 的Web 管理平臺訪問和基于加 / 解密機的加密傳輸?shù)燃用芗夹g應用交互過程、數(shù)據(jù)傳輸過程對數(shù)據(jù)進行加密；數(shù)據(jù)存儲方面則需要對數(shù)據(jù)相關設備操作的管理員實施訪問控制，并通過硬件冗余方式實現(xiàn)數(shù)據(jù)存儲安全。

　　3.3  應用安全

　　視頻專網(wǎng)的應用系統(tǒng)主要是指各視頻監(jiān)控平臺，其安全性主要體現(xiàn)為降低應用系統(tǒng)在管理維護過程中的安全風險以及自身安全漏洞造成的風險，保障應用系統(tǒng)數(shù)據(jù)交互過程的安全。視頻專網(wǎng)的應用安全需要從應用系統(tǒng)賬戶管理、運維審計系統(tǒng)和應用系統(tǒng)攻擊防護等幾個方面考慮，部署相應安全措施來實現(xiàn)。

　　應用系統(tǒng)賬戶分配到管理員后，賬戶安全管理完全依賴于管理員個人的安全意識。因此，對于各應用系統(tǒng)賬戶應采取由管理員集中生成、集中管理、授予操作權限、賬戶不共用以及多種認證技術結合等措施加強賬戶安全性。同時， 對賬戶操作記錄進行審計，并對因賬戶密碼泄露導致的安全問題進行追責，從而提高個人賬戶安全管理意識。

　　運維審計系統(tǒng)，也被稱為堡壘機，聚焦于核心系統(tǒng)運維和安全審計管控功能 。從技術實現(xiàn)上講，通過切斷終端對網(wǎng)絡和服務器資源的直接訪問，采用協(xié)議代理的方式 ，實現(xiàn)了運維工作中的賬戶管理、身份認證、資源授權、訪問控制和操作審計等功能。同時，通過設置有效的安全管控策略，降低人員誤操作等風險， 避免安全損失，保障視頻專網(wǎng)運維安全。

　　視頻專網(wǎng)應用系統(tǒng)面臨的安全挑戰(zhàn)主要包括用戶身份仿冒、未授權訪問、WEB 攻擊等。由于應用系統(tǒng)的復雜性、多樣性和動態(tài)變化等特點，應用系統(tǒng)安全防護也需要針對不同的應用來設計安全策略并部署相應的安全措施，主要可以通過部署入侵防御系統(tǒng)和 Web 應用防火墻等專業(yè)的安全設備進行應用層安全防護。

　　3.4  安全運維管控

　　在確保設備安全、網(wǎng)絡安全和應用安全的基礎上，視頻專網(wǎng)還應通過建設統(tǒng)一安全管控平臺，實現(xiàn)對終端、網(wǎng)絡、安全、業(yè)務等資源的高效整合，定期對專網(wǎng)進行安全檢測、網(wǎng)絡風險評估以及網(wǎng)絡安全運維保障，并通過態(tài)勢感知等技術手段實現(xiàn)視頻專網(wǎng)安全管控的可視化呈現(xiàn)。

　　3.4.1  安全運維管理

　　為有效開展交通管理視頻專網(wǎng)的安全運行維護工作，應著力將管理流程、管理內(nèi)容與相關的管理制度有機結合，強化視頻專網(wǎng)運行維護的規(guī)范化管理。視頻專網(wǎng)重點安全防護系統(tǒng)建設任務完成后，依靠已經(jīng)建設的安全管控系統(tǒng)，應制定日常管理制度，主要包括網(wǎng)絡管理制度、系統(tǒng)和應用管理制度、故障管理制度、安全管理制度、人員管理制度和技術支持工具管理制度等 。

　　同時，由于視頻專網(wǎng)的安全保障不僅和系統(tǒng)管理員的安全意識有關，還與領導的決策、員工的安全操作等密切相關。因此，應定期對視頻專網(wǎng)涉及的各類工作人員（高層管理人員、系統(tǒng)安全管理員、技術部門管理人員和普通工作人員）進行相應的安全培訓，針對視頻專網(wǎng)中各種可能的安全風險，模擬各種突發(fā)狀況， 定期組織應急演練，提升安全運維能力。安全技術培訓還應包括網(wǎng)絡安全現(xiàn)狀、網(wǎng)絡安全技術、網(wǎng)絡安全評估、系統(tǒng)滲透測試、基線配置核查、安全應急響應、安全漏洞檢測、信息安全意識等內(nèi)容。

　　3.4.2  綜合安全管控

　　為全面提升視頻專網(wǎng)的綜合安全管控能力， 應考慮建設視頻專網(wǎng)安全檢測平臺，對視頻專網(wǎng)進行實時安全評估，及時發(fā)現(xiàn)專網(wǎng)各環(huán)節(jié)的安全風險，進行主動性安全防護?；趯＞W(wǎng)安全檢測平臺以資產(chǎn)分析為入口，從網(wǎng)絡、主機、應用、終端、數(shù)據(jù)、物理、管理等 7 個方面，可以對視頻專網(wǎng)進行定期全面的風險評估。同時， 將專網(wǎng)安全檢測平臺與基礎硬件設備有機結合， 從而實現(xiàn)網(wǎng)絡安全策略優(yōu)化以及網(wǎng)絡安全運維保障等安全服務內(nèi)容。

　　此外，結合主動獲取和被動接收等多種事件獲取方式，視頻專網(wǎng)安全管控還應收集所有類型的事件信息，利用模式匹配對事件與日志進行數(shù)據(jù)解析?；谠谂月凡渴鸱治鲆鎭聿杉瞳@取網(wǎng)絡中的數(shù)據(jù)流量，監(jiān)控和分析網(wǎng)絡中的異常行為。視頻專網(wǎng)安全管控平臺應包含各類在線終端統(tǒng)計、攝像頭在線率情況、各單位資產(chǎn)數(shù)量監(jiān)測、攝像頭廠家分布等，幫助管理員從全局的角度去掌控視頻專網(wǎng)運行狀況； 同時，當視頻專網(wǎng)中發(fā)生新接入設備、非法終端接入、接入設備掉線等情況時，該平臺應進行實時告警，協(xié)助管理員進行及時處理。

　　4  結 語

　　交通管理部門視頻專網(wǎng)具有規(guī)模龐大、網(wǎng)絡分支較多、前端接入設備地理位置分散、人為監(jiān)管困難、數(shù)據(jù)量大且較為敏感等特點，導致視頻專網(wǎng)存在較大的安全隱患。近年來，物聯(lián)網(wǎng)安全事件日益頻發(fā)，視頻專網(wǎng)的安全引發(fā)廣泛關注，針對視頻專網(wǎng)的安全建設需求，提高設備安全、網(wǎng)絡安全、應用安全防護水平， 強化視頻專網(wǎng)的安全運維和綜合管控，對于交通管理部門視頻專網(wǎng)的安全保障具有重大意義。