智慧城市网络安全管理的探究

智慧城市信息安全建设和管理探究

姓名，单位

（宁夏吴忠市公安局宁夏吴忠751100）

摘要：智慧城市是指综合利用各类信息技术和产品，以“数字化、网络化、智能化、互动化、协同化”为主要特征，通过对城市内人与物及其行为的全面感知和互联互通，大幅优化并提升城市运行的效率和效益，实现生活更加便捷、环境更加友好、资源更加节约的可持续发展的城市.但是，智慧城市也面临着各种亟待解决的问题，其中信息安全问题仍然是核心焦点。云计算中的信息所有权和管理权的分离，信息资产的非授权访问成为云计算中的关键问题。因此，各管理部门应加强云安全的管理研究，搭建一个平安健康的智慧城市。

关键字：智慧城市；大数据；信息安全；云；物联网

1引言

当前，物联网、云计算与大数据处理正成为世界信息科技发展的重大前沿标志，也是世界及我国诸多城市在未来智慧城市建设中所期望应用的核心技术手段之一。智慧城市正成为继云计算、大数据后又一热点，目前全国很多城市正在如火如荼地开展智慧城市建设。智慧城市将信息技术与先进的城市经营服务理念进行有效融合，通过对城市的地理、资源、环境、经济等进行数字网络化管理，为城市提供更便捷、高效、灵活的公共管理的创新服务模式。建设智慧城市，实现以“智慧”引领城市发展模式变革，将进一步促进信息技术在公共行政、社会管理、经济发展等领域的广泛应用和聚合发展，推动形成更为先进的区域发展理念和城市管理模式。

不可否认，智慧城市是实现城市可持续发展的重要途径，也将彻底改变政府服务模式、经济发展方式及居民生活方式，从更高层次提升城市管理、服务能力，让人们的生活变得更智能、更便捷，从而提高人们的生活质量。但是，智慧城市也面临着各种亟待解决的问题，其中信息安全问题仍然是核心焦点。我们应该清醒地认识到在物联网、云计算与大数据处理等信息前沿科技运用中所蕴含的现实危机与问题，这将有助于在智慧城市建设的设计与布局实施层面更加理性地应对这些危机与问题。

城市智能运行与管理是建立在智能平台和信息基础上的，并在此基础上形成

融合市民数字生活、企业网络运营、政府整合服务的智能应用体系。智慧城市建设以物联网、云计算等大数据技术体系为支撑，数据信息巨大，并涉及到政务、商业、生活等方方面面，一旦出现泄密等安全问题，后果将不堪设想。因此，智_________________________________

作者简介：XX，XXXXX

慧城市的信息安全问题不容忽视。

2“智慧城市”面临的网络安全问题

云时期安全问题显现，据电信部门估算，当前的安全问题中有接近1/3是云服务带来的新的安全问题，这些新问题主要集中在虚拟机层面上。许多传统安全问题在云计算时代也有了新的表现形式，危害程度更深，影响范围更大。

云计算已逐步进入规模化发展阶段，信息安全重心已从边界防护转向数据保护。云计算的出现使得传统的网络边界不复存在，信息的所有权和管理权分离，信息资产的非授权访问成为云计算系统的关键安全问题。云计算多租户环境、虚拟技术、动态性、数据迁移等综合因素导致数据安全和隐私保护面临更大挑战。

就目前来看，引入云计算面临的风险包括两方面，一方面信息安全的威胁。越来越多的组织和个人将信息存入云端，规模化和集中化的云中海量信息在传输存储过程中面临着破坏和丢失的安全风险。第二方面云服务安全威胁，云服务汇集了大量计算机和网络设备，一旦发动攻击进给公共互联网安全带来巨大威胁。同时移动应用程序能够远程访问云服务，这也为网络攻击带来了更多的渠道。

结合现实状况与可预见的未来分析，智慧城市建设中所面临的信息技术安全危机将主要体现在：

(1)数据泄露与丢失：网络威胁复杂性日增

世界着名的安全认证机构CAS近期发布报告，对云计算领域中的威胁进行了分析，指出2013年前三大威胁是数据泄露、数据丢失和账户劫持。自互联网时代以来，数据泄露就成为一个老生常谈的问题，而云计算和物联网则加剧了这一威胁。尤其是当云服务数据库受到攻击的时候，与该服务相关的其他账户也自然牵涉其中。对智慧城市而言，其所具备的公众服务基础，便是云服务的设施、平台和应用的高度共享。这种高度共享所带来的一个附加因素则是云端数据资源的分享，其往往不限于使用者提供数据的初衷;这使得一些恶意软件能够通过资源寻求，破解加密信息而窃取数据。

在数量激增的恶意软件作用下，数据安全在云环境中变得更为麻烦。识别恶意软件的全球响应智能防御系统(GRID)于2011年辨识出的恶意软件样本有1350万个，到2012年有1600万个，即每天约4.4个恶意软件样本被发现。比如，恶意软件中具有代表性的Exploit Kits(攻击软件套装)中的恶意程序能够快速识别网络漏洞，然后对其进行攻击并传播恶意软件。这些攻击包括数据丢失、IP 和身份窃取、金融欺诈和盗窃等。2013年，Exploit Kits的攻击将针对被广泛应用于通信、商务系统的Windows 8、MAC OS X 和移动设备(尤其是基于安卓系统的移动设备)。同样，在智慧城市建设中广泛应用的云服务基础架构中，“分布式拒绝服务攻击(DDoS)”也将变得更加活跃，这种攻击具有快速摧毁整个云基

础架构的潜力。2011年，DDoS显示有159.7万例;到2012 年，DDoS增长到1.2亿例，增长了约75倍。

尽管一些云服务供应商强调事前加密、定制产品和安全监控手段对云服务具有相应的安全保障性，但由于信息交互过程中的各种复杂因素，安全问题并未减少，反而变得更为严峻。

(2)移动终端：网络安全威胁的新集散地

在现代人的生活中，手机等移动终端已成为人与外部社会关联中不可或缺的一部分。一些新型软件的开发和嵌入，正在使手机成为一种指向性工具。一些新型应用程序给手机等移动终端的未来创造了无限的可能，但同时也将更大的安全问题推上台面。

即便在安全控制级别较高的系统中，国外的实验结果显示其也存在安全问题，如利用SIMON技术和安卓应用软件Plane Sploit 可以向飞机上的飞行管理系统发送信息，从而能够用一台安卓设备就可以成功地遥控劫持一架飞机。尽管实验是在虚拟环境下进行的，但这也说明了飞行管理系统中存在严重的信息安全问题。

移动终端的另一个问题是其本身系统带来的信息安全巨大隐患。事实上，手机中各种系统的信息安全问题，尤其是信息泄密问题已成为一个严重的社会问题。2013年的央视3.15晚会曝光了58%以上的安卓软件都存在用户隐私泄密的问题；而数据调查公司Appthority最新的调查显示，应用IOS获得的个人数据更多。比如其前50款免费应用软件中有60%会追踪用户位置，有54%会访问用户联系人列表，有60%会与广告或分析公司分享数据。系统应用的各种安全问题，使黑客有机可乘。通过恶意软件植入等形式，实现监听、窃取用户信息。

移动终端是未来智慧城市中重要的基础设施，是接入物联网、云存储、LBS 定位等服务的生活应用终端。在不久的未来，移动终端将具备更为丰富的功能，但由于信息分享的特性，其面临的安全威胁也更加严峻，且在较长的一段时间内尚难有妥善的解决方案。

(3)网络黑手对智慧城市建设中民生领域侵害加剧

黑客入侵商业网络进行非法操作和牟利在互联网时代已经是一个普遍的问题。随着社会民生管理对网络平台依赖性的增加，不少非法分子正在借助新媒体信息技术的漏洞，通过篡改数据记录等，在更为广泛的民生领域中谋取利益。

在网络黑手入侵防御方面，商业领域已采取了一定的保护措施，由百度、人人、腾讯、新浪、微软、阿里巴巴集团及支付宝、网易7家企业共同发起的互联网企业安全工作组，于2013年4月制定并公布了《互联网企业安全漏洞披露与处理公约》，其旨在“帮助用户提高安全意识、交流技术，共享信息，充分发挥整体效应，通过行业协同，共同提高软件及服务安全性;共同保护广大互联网用户，防御网络安全威胁;共同推动业界合作，提升互联网安全”。而在更为广泛的民生和社会管理领域，网络安全防患体系尚未建立。

我国“十二五”规划对智慧城市建设中涉及民生领域的产业发展起到了巨大的推动作用。从智能安防到智能电网，从二维码普及到智慧城市落地，都被寄予厚望。然而，随着智慧城市建设，随着我国政府和民生领域对网络依赖性的增长，这些领域中信息安全所面临的问题也将变得更为复杂。

近年来我国未发生大规模和较严重的云服务安全事件，总体上处于安全问题

初步萌发阶段，但是未来安全形势将变得复杂化。现阶段，我国云服务存在的大部分网络安全问题都属于传统安全问题，但也存在不少新问题或新表现。

我国云服务网络安全面临五大挑战：一是用户和服务商之间未建立起信任关系；二是目前我国云服务规模较小，运行时间短，未经历大规模用户及服务环境的安全考验，未来面临较多不确定性；三是云服务核心技术仍无法摆脱受制于人的境地，不掌握核心技术就是最大的安全隐患；四是我国云安全标准目前还处于空白状态，阻碍我国云服务快速发展；五是尚未专门针对云安全出台监管政策及法律法规，也未对现有政策及法律法规作相应修改。

3网络安全的管理

在云计算时代，安全的文化并不比原来少，而是随着我们应用和资源的聚集，安全的问题可能比原来更多。在这里可能传统的很多安全手段仍然是要

用这里面，这里面要的一个关键，就是我们的云计算数据中心如何来保障它

从接入到应用、到我们所有的操作，一直到最核心的主机，能够保持安全。

从整体来讲整个数据中心的安全就包括以下几个部分，在数据中心外围

的边界可能要依靠传统的手段，进入数据中心之后：

第一是接入安全，接入安全就是保证每一个应用都能够被安全、高效的

访问，保证能访问到的人经过授权的，而且不是非法攻击进来的。

第二所有的访问从接入层进入到后台系统上，我们要求每一个后台的主

机都能够被安全防护，这种安全防护是处于主机自身的，对操作系统进行加固，能够达到三级以上的保护。在虚拟环境下操作系统的控制、内存的保护

等能够用到虚拟化环境里面。主机防护是针对每个机型，在数据库还是需要

人来管理，对人的每一个行为、操作数据库、某个应用都要经过我们集中管

理平台对于它进行控制。

在这里传统的很多安全手段仍然是要用，但关键就是云计算数据中心如何来保障它从接入到应用、到我们所有的操作，一直到最核心的主机，能够保持安全。智慧城市是实现城市可持续发展的一种途径，而信息安全却是建设智慧城市不可或缺的一环，没有安全就没有智慧城市，有了安全才有智慧。

智慧城市应用层、智慧城市数据平台层、智慧城市安全防护层、智慧城市基础设施层共同构成了智慧城市体系。智慧城市基础设施层包括网络资源、计算资源、存储资源等；智慧城市安全防护层包括基于国家漏洞库、木马库、病毒库、可信软件库、可信硬件库及CA构建的国家级信息安全服务平台（NISSP）等；智慧城市数据平台层包括数据存储、共享、交换、检索、分析、访问控制；智慧城市应用层包括位置云、医疗云、政务云、教育云、工业云、美居云等。在智慧城市的技术体系中最基础的是感知层，其上是通讯层、数据中心和数据层，最顶层的是应用层，每一层级都存在信息安全风险，都需要对数据做整体的保护，同时还要进行灾备，防范网络的攻击和数据的丢失以及数据的修改等。智慧城市安全技术防护体系包括数据与应用安全、网络安全、系统安全和物理与环境安全等。

在云计算环境下，安全问题可能比原来的环境会更加地复杂，引入云计算，就把更多的应用、把更多的数据放在后端，把计算资源、存储资源、网络资源作为一种服务共享出来。在这种情况下，传统的很多安全问题，身份安全、网络欺诈、网络攻击并没有减少，在这种情况又出现很多新的安全问题:

第一在云计算数据中心里，业务规模越来越大，因为信息都集中在后台，应用的模式复杂，原来的数据中心可能只有百台机器，但是集中在云计算数据中心之后可能是上万台机器，而且是不同的用户，完全是不可控的用户，用户不知道自己的东西放在那儿，管理员也不了解用户在这里放了一些什么。特别是在中国现在的环境里，我们的数据和应用大部分都是跑在国外的一些硬件、软件，这种情况是非常普遍的，实际上操作系统、数据库都无法保证自主可控，这个安全问题是非常严重的。在此面临的传统挑战，是外部的接入的安全、高效和可靠。在云计算数据中心是一种服务，我们对服务是有要求，这里面有一个很关键的是我们传统讲的可靠性，实际上从广义上来讲，这个服务的可用性和可靠性是每天的一部分，在这里我如何保证云计算数据中心能够持续不断的提供服务，同时这个服务是稳定可靠。

第二，整个系统的运维控制和安全，云计算数据中心会越变越复杂，传

统的系统都有用户自己的认证、自己的管理，对于一般管理员来讲，整个数

据中心可管理性越来越差，如何能够有效的提升系统运维的效率和保证在这

里所有的用户是不是可以统一进行管理，所有的资产是不是可以统一进行管理。我们知道，70%的风险都是来自内部，对于内部的人员和管理控制是非常

重要的。

第三，安全的集中管理，云计算在这种模式下很多传统的安全威胁仍然

存在，在这种情况下很多传统安全设备还是要用的，但是在一个很庞大的云

计算数据中心用户可能要用的东西非常多，还是要有防火墙、身份检测等等

设备，再加上那么多的设备，设备上运行了那么多虚拟机、那么多数据库，

如何在系统出现故障的情况快速定位，或者说这里可能会出现一些安全事件，比如说安全攻击事件，攻击点在哪个地方，从什么地方开始，这种集中管理

也是对整个管理系统一个很大的挑战。

最核心的挑战，就是虚拟机，系统总是要在主机上运行，传统安全解决

方案中，不管是硬件、网络一层，还是在传统的服务器和主机上，实际上防

护还是在物理机层面解决问题，如做防火墙的虚拟化，做各种网络安全工具

的虚拟化，让虚拟机和虚拟机的隔离，还有多个应用在一台物理机上运行，

怎么保证应用和应用之间的真正隔离，这一点也是大家把应用放在云计算数

据中心一个非常大的担心。理论上来讲，这些虚拟机也是共享一台物理机的

内存、一台物理机的硬盘，这个空间是不是真的能够隔离开。

最后整体监控管理，能够快速的定位整个数据中心可能出现的一些安全

问题，快速的找到一些故障点、一些安全点。

4公安机关如何加强对“智慧城市”网络安全管理

智慧城市为人们构建了一幅美好的蓝图，但在建设智慧城市的过程中必

须要高度重视信息安全，只有建立完整的信息安全保障体系，有效保障各类

信息、数据的安全，建设安全可靠的智慧城市，才能真正把智慧城市建设得

更加美好。在智慧城市的建设发展中，突出了不少安全问题，作为公安机关应该加强智慧城市建设的信息安全管理：

首先，信息系统等级保护是我国信息安全管理的基本国策，智慧城市的

建设应该符合信息系统等级保护的基本要求。根据现行信息系统等级保护政

策，应该先对新建的信息系统进行等级保护定级，然后向相应的管理部门进行备案，智慧城市信息系统建设单位需要根据新建信息系统的等级进行信息系统安全保护整体解决方案设计和实现，并要求在智慧城市信息系统上线之前进行等级保护的测评和风险评估，如果有不符的地方还需要进行整改，只有通过了等级保护测评之后，智慧城市信息系统才允许正式上线运行。

其次，应加强智慧城市信息系统安全运行监管，除了按照《信息安全等级保护管理办法》实施定期的安全检查、等级保护测评以处，还需要针对智慧城市信息系统制定智慧城市信息安全防护的策略、标准和安全技术指导框架，加强个人信息保护法律法规的制定和实施，适时开展智慧城市的信息安全评估和审计工作。

第三，国家应该鼓励和扶持智慧城市建设的信息安全技术创新和信息安全产品研发工作，确保智慧城市应用系统的安全防护系统可靠。

第四，建立合理、有效的安全组织架构，配备和设立安全决策、管理、执行以及监管的主要责任人员岗位和机构，明确各级机构的角色与责任。

第五，提高信息安全事件应急处置能力，加快建设信息安全评测中心，扶持发展信息安全产业，建立应急专家咨询和救援队伍。

第六，国家还应该大力扶持核心信息技术的开发工作。逐步突破智慧城市建设中的安全防护难题。