導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 綜合安全論文>>正文

短信平臺(tái)安全域改造研究初探

文檔作者：黃斯煒1 李洪2 文檔來源： 1．中國(guó)電信股份有限公司湖南分公司網(wǎng)絡(luò)運(yùn)行維護(hù)部 2．中國(guó)電信集團(tuán)公司網(wǎng)絡(luò)運(yùn)行維護(hù)事業(yè)		點(diǎn) 擊數(shù)：	更新時(shí)間： 2021年07月07日
下載地址：點(diǎn)擊這里	文件大小： 2.15 MB 共7頁(yè)	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共7頁(yè)]

本文件共7頁(yè)，如需編輯使用，請(qǐng)下載。

注：預(yù)覽效果可能會(huì)出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大小：2.15 MB 共7頁(yè) 文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會(huì)員免費(fèi)）

下一篇：安全生產(chǎn)監(jiān)控系統(tǒng)技術(shù)改造與應(yīng)用

上一篇：企業(yè)網(wǎng)絡(luò)安全規(guī)劃與改造

文本預(yù)覽

僅提取頁(yè)面文字內(nèi)容，供快速閱讀使用。

專題：業(yè)務(wù)平臺(tái)安全
短信平臺(tái)安全域改造研究初探
黃斯煒1。李洪2
(1．中國(guó)電信股份有限公司湖南分公司網(wǎng)絡(luò)運(yùn)行維護(hù)部長(zhǎng)沙410011；
2．中國(guó)電信集團(tuán)公司網(wǎng)絡(luò)運(yùn)行維護(hù)事業(yè)部北京100032)
摘要：以對(duì)信息安全的保護(hù)為關(guān)注目標(biāo)，在信息系統(tǒng)安全保護(hù)的技術(shù)層面上。對(duì)安全域劃分和邊界整合改造
進(jìn)行深入分析與探討。選取中國(guó)電信某省分公司的短信平臺(tái)為典型案例。對(duì)其包含的短信中心、互通網(wǎng)關(guān)等系
統(tǒng)進(jìn)行安全域改造研究分析，研究結(jié)論可以為電信運(yùn)營(yíng)商其他業(yè)務(wù)平臺(tái)的信息安全保護(hù)、業(yè)務(wù)連續(xù)性等方面
提供良好的指導(dǎo)。
關(guān)鍵詞：短信；信息安全；安全域
doi：10．3969／j．issn．1000．0801．2013．08．0lO
Prelinlinary Study on the Security Domain
TlrraannsSfloorrmmaatUi0onn 0oIf SMS Prllaatnfoorrmm
Huang siweil，Li Hon矛
(1．Department of Network 0peration&amp;amp;Maintenance，Hunan Branch of China Tekcom Co．，Ltd．，Ch鋤gsha 410011，China；
2．Network Opera血on＆Maintenance Division，China Telecom Corpora血on，Beijing 100032，China)
Abs缸act：Taking the pmtection of info肌ation securit)r as the focus，tlle technical level in tlle security protection of
i11fb瑚ation system，山e partition of security domain and boundar)r imegration transfo肌ation were analyzed and
discussed．China Telecom SMS pla怕m was selected as a typical case，and me security domain transfomation of
systems as message couters atld gateways were researched aIld aIlalyzed The conclusion coIlld pmvide 900d guid蚰ce for
otIler service pladb珊0f info珊ation security，business continui哆．
1【ey words：short message，i11fb瑚ation security，security domain
1 引言
隨著信息技術(shù)的發(fā)展以及國(guó)家政策導(dǎo)向的變化，對(duì)信
息安全越來越重視，特別是國(guó)家4部委聯(lián)合頒發(fā)了《信息
安全等級(jí)保護(hù)管理辦法》以及一系列具體等級(jí)保護(hù)基本要
求，對(duì)我國(guó)信息系統(tǒng)的安全提出了基本要求。根據(jù)等級(jí)保
護(hù)管理辦法的要求．工業(yè)和信息化部也發(fā)布了一系列信息
安全文件，要求基礎(chǔ)電信運(yùn)營(yíng)商對(duì)網(wǎng)絡(luò)和系統(tǒng)進(jìn)行安全保
障。中國(guó)電信根據(jù)工業(yè)和信息化部的政策要求，下發(fā)《關(guān)于
構(gòu)建中國(guó)電信互聯(lián)網(wǎng)及相關(guān)網(wǎng)絡(luò)安全策略體系及推進(jìn)相
關(guān)工作的通知》、《安全域劃分與邊界整合技術(shù)規(guī)范》等文
件明確網(wǎng)絡(luò)安全防護(hù)邊界，進(jìn)行出口統(tǒng)一防護(hù)。根據(jù)上述
一系列規(guī)定，對(duì)中國(guó)電信某省分公司的短信平臺(tái)安全域改
造和劃分進(jìn)行相關(guān)研究。
2安全域改造分析研究
2．1 整體思路
將大型復(fù)雜系統(tǒng)的安全問題，變化為小區(qū)域簡(jiǎn)單系統(tǒng)
簍麓黼
萬(wàn)方數(shù)據(jù)
■塑燮燮
的安全保護(hù)問題，并在保證所有系統(tǒng)與網(wǎng)絡(luò)對(duì)各種互
聯(lián)需求有效提供的前提下，對(duì)安全域的邊界進(jìn)行合理
有效的整合，對(duì)區(qū)域內(nèi)的系統(tǒng)與網(wǎng)絡(luò)接口進(jìn)行合理有
效的整理和合并．縮減接口數(shù)量，提高區(qū)域內(nèi)系統(tǒng)與網(wǎng)
絡(luò)接口的規(guī)范性．有效實(shí)現(xiàn)大規(guī)模復(fù)雜系統(tǒng)的安全等
級(jí)保護(hù)。
2．2研究?jī)?nèi)容
(1)安全域劃分
安全域劃分以“同構(gòu)性簡(jiǎn)化”為原則，對(duì)復(fù)雜的大型網(wǎng)
絡(luò)進(jìn)行簡(jiǎn)化后設(shè)計(jì)保護(hù)體系，實(shí)現(xiàn)有效的安全管理，具體
有以下3個(gè)原則。
·業(yè)務(wù)保障原則：保障網(wǎng)絡(luò)承載業(yè)務(wù)的正常、高效
運(yùn)行。
·結(jié)構(gòu)簡(jiǎn)化原則：簡(jiǎn)單的網(wǎng)絡(luò)結(jié)構(gòu)便于設(shè)計(jì)防護(hù)
體系。
·立體協(xié)防原則：訪問控制、鏈路冗余、身份鑒別、內(nèi)容
檢測(cè)、檢測(cè)審計(jì)等各種安全功能實(shí)現(xiàn)安全域防護(hù)。
(2)安全域內(nèi)加固
在進(jìn)行安全域劃分與邊界整合之后，對(duì)所有安全域內(nèi)
的重要設(shè)備進(jìn)行安全加固，因?yàn)楦靼踩騼?nèi)使用的設(shè)備具
有不同的互聯(lián)需求，其所面臨的威脅也不盡相同，因此其
安全需求也存在很大差異。安全域內(nèi)加固主要考慮生產(chǎn)服
務(wù)器、維護(hù)終端、第三方維護(hù)控制、合作伙伴連接防護(hù)、互
聯(lián)網(wǎng)安全防護(hù)。
(3)邊界安全和區(qū)域安全
區(qū)域邊界安全：安全域的保護(hù)，其區(qū)域邊界安全是最
基礎(chǔ)的保護(hù)措施，通過對(duì)區(qū)域邊界的控制能夠保護(hù)安全域
不會(huì)受到來自其他區(qū)域的安全威脅。
重點(diǎn)區(qū)域安全：通過在安全域內(nèi)部進(jìn)行審計(jì)、清理、監(jiān)
視、測(cè)量等技術(shù)手段，完成安全域內(nèi)安全事件的應(yīng)急響應(yīng)
和清除。安全域的區(qū)域安全以安全狀況的監(jiān)控為主要手
段，通過監(jiān)控本安全域內(nèi)部的安全事件并進(jìn)行及時(shí)的應(yīng)急
響應(yīng)和清除。是安全域的關(guān)鍵安全處置手段。
2．3研究的重點(diǎn)與難點(diǎn)
2．3．1安全域改造難點(diǎn)
進(jìn)行安全域改造過程，需要大量的調(diào)查研究工作，需
要針對(duì)每個(gè)系統(tǒng)進(jìn)行相應(yīng)的難點(diǎn)分析，主要從以下幾個(gè)
難點(diǎn)：
·對(duì)業(yè)務(wù)平臺(tái)的防護(hù)目標(biāo)進(jìn)行分析．分析各種服務(wù)及
數(shù)據(jù)流和活動(dòng)，識(shí)別其各要素，分析在網(wǎng)絡(luò)、系統(tǒng)、
應(yīng)用、數(shù)據(jù)層的承載情況以及存在的重點(diǎn)等；
·業(yè)務(wù)平臺(tái)防護(hù)目標(biāo)的安全風(fēng)險(xiǎn)分析，主要識(shí)別數(shù)
據(jù)、應(yīng)用、系統(tǒng)、網(wǎng)絡(luò)等層次的安全威脅、脆弱性情
況，分析其可能性及受到侵害的影響等；
·業(yè)務(wù)平臺(tái)邊界整合的業(yè)務(wù)關(guān)聯(lián)分析：
·業(yè)務(wù)平臺(tái)結(jié)構(gòu)變更的業(yè)務(wù)關(guān)聯(lián)分析：
·確定防護(hù)目標(biāo)的安全需求分析，以其承載業(yè)務(wù)為出
發(fā)點(diǎn)．分析各業(yè)務(wù)的安全防護(hù)要求，如服務(wù)域(關(guān)注
可用性)、維護(hù)域、計(jì)算域等各域的安全要求；從其
自身的安全威脅、脆弱性情況及安全發(fā)展趨勢(shì)走向
進(jìn)行分析、總結(jié)，并提出改進(jìn)需求；
·業(yè)務(wù)平臺(tái)的合規(guī)性分析：
·業(yè)務(wù)平臺(tái)的綜合分析，根據(jù)以上內(nèi)容綜合分析出全
面的信息安全風(fēng)險(xiǎn)。
2．3．2安全域改造的重點(diǎn)
對(duì)于安全域的改造，將以下幾個(gè)方面的分析內(nèi)容作為
改造過程中的重點(diǎn)：
·安全域改造實(shí)施的原則分析：
·安全域改造實(shí)施內(nèi)容的流程、順序分析：
·安全域改造實(shí)施技術(shù)的標(biāo)準(zhǔn)化、規(guī)范化、流程化等
內(nèi)容分析：
·安全域改造實(shí)施的業(yè)務(wù)保障原則：
·安全域改造實(shí)施業(yè)務(wù)平臺(tái)的信息安全性保障分析；
·安全域改造實(shí)施人員保障分析；
·安全域?qū)嵤└脑旌蟮臉I(yè)務(wù)服務(wù)狀態(tài)、安全性、連續(xù)
性、維護(hù)、審計(jì)等測(cè)試。
3安全域改造實(shí)施方案研究
3．1 研究現(xiàn)狀
中國(guó)電信某省分公司CDMA網(wǎng)的短信中心分為3套，
均獨(dú)立成網(wǎng)；各平臺(tái)交換機(jī)與短信平臺(tái)匯聚交換機(jī)互聯(lián)，
上行設(shè)備分別與DCN、互聯(lián)網(wǎng)以及其他運(yùn)營(yíng)商互連互通，
滿足業(yè)務(wù)的需求，網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如圖1所示。
短信平臺(tái)涵蓋網(wǎng)元較多，除傳統(tǒng)的短信中心、短信網(wǎng)
關(guān)外。還包括MSP、短信綜合應(yīng)用平臺(tái)，外連彩信、WAP網(wǎng)
關(guān)、ISMP、ISAG，整個(gè)拓?fù)浣Y(jié)構(gòu)較為復(fù)雜。
3．2風(fēng)險(xiǎn)分析
短信平臺(tái)系統(tǒng)在設(shè)計(jì)建設(shè)之初已經(jīng)考慮了系統(tǒng)相關(guān)
安全需求，建立了比較完善的安全機(jī)制，但通過對(duì)短信平
臺(tái)系統(tǒng)的實(shí)地調(diào)研與分析．目前存在以下安全隱患：
萬(wàn)方數(shù)據(jù)
短信中心MsP
圖1 短信平臺(tái)整體網(wǎng)絡(luò)結(jié)構(gòu)
·短信平臺(tái)各功能模塊沒有明顯的安全域劃分，沒有
有效的安全保護(hù)措施：
-短信平臺(tái)整個(gè)平臺(tái)外界的相連出口眾多，邊界沒有
統(tǒng)一出口，整個(gè)網(wǎng)絡(luò)顯得比較復(fù)雜與無(wú)序；
·短信平臺(tái)各設(shè)備沒有進(jìn)行安全配置，各設(shè)備僅根據(jù)
實(shí)際情況進(jìn)行相應(yīng)的配置等操作，未根據(jù)中國(guó)電信
集團(tuán)的安全配置規(guī)范進(jìn)行配置：
·各業(yè)務(wù)系統(tǒng)間的互聯(lián)互通缺乏統(tǒng)一的控制規(guī)范．安
全問題容易擴(kuò)散：
·平臺(tái)缺乏有效的安全防護(hù)機(jī)制，針對(duì)攻擊流量平臺(tái)
無(wú)監(jiān)測(cè)功能。不具備有效的防御措施：維護(hù)區(qū)域具
有審計(jì)功能的安全接入網(wǎng)關(guān)跳板設(shè)備；網(wǎng)絡(luò)、系統(tǒng)
等之問缺少有效的訪問控制等措施；對(duì)入侵防范等
措施有一定的缺失：整個(gè)短信平臺(tái)系統(tǒng)的防病毒防
范機(jī)制缺失：
·內(nèi)網(wǎng)缺少專用補(bǔ)丁服務(wù)器，各服務(wù)器無(wú)法及時(shí)更新
補(bǔ)丁，針對(duì)所有設(shè)備操作無(wú)專用的日志服務(wù)器進(jìn)行
記錄和審核。
3．3短信平臺(tái)安全域改造目標(biāo)
安全域的劃分就是做好各區(qū)域的安全邊界。通過資源
位置進(jìn)行劃分的目標(biāo)是將相同網(wǎng)絡(luò)安全等級(jí)的資源，依照
對(duì)企業(yè)的重要性、其面臨的外來攻擊風(fēng)險(xiǎn)、自身內(nèi)在的運(yùn)
行風(fēng)險(xiǎn)的不同，合理地劃分成多個(gè)網(wǎng)絡(luò)安全區(qū)域。劃分的
依據(jù)是將相同網(wǎng)絡(luò)安全層次內(nèi)客戶端之間的連接控制在
同一安全域內(nèi)．盡量消除不同安全層次之間的聯(lián)系，實(shí)施
邏輯隔離或物理隔離。
完成劃分網(wǎng)絡(luò)安全域，是做好系統(tǒng)安全保護(hù)基礎(chǔ)的第
一步。因?yàn)橥ㄟ^安全域劃分可以確定網(wǎng)絡(luò)邊界，形成簡(jiǎn)潔、
清晰、穩(wěn)定的組網(wǎng)架構(gòu)，實(shí)現(xiàn)各系統(tǒng)之間嚴(yán)格的訪問控制
安全互聯(lián)，可解決系統(tǒng)的安全問題。有效地實(shí)現(xiàn)各網(wǎng)絡(luò)之
間和支撐系統(tǒng)之間的安全隔離和訪問控制．達(dá)到“化復(fù)雜
為簡(jiǎn)單、盡在掌控”的目的。安全域的劃分加強(qiáng)了網(wǎng)絡(luò)的可
控性，可以有效地防止?jié)B透攻擊。針對(duì)業(yè)務(wù)，劃分成以下幾
個(gè)區(qū)域，網(wǎng)絡(luò)目標(biāo)如圖2所示。
(1)交互網(wǎng)絡(luò)域
由連接具有相同安全等級(jí)的維護(hù)域、計(jì)算域和服務(wù)域
的網(wǎng)絡(luò)設(shè)備以及網(wǎng)絡(luò)拓?fù)浣M成。作為安全子域以及承載網(wǎng)
的統(tǒng)一接口區(qū)域，一般分為專線接人區(qū)、互聯(lián)網(wǎng)接入?yún)^(qū)和
內(nèi)網(wǎng)接入?yún)^(qū)。網(wǎng)絡(luò)域通常包括交換機(jī)、路由器、入侵防護(hù)、
防火墻、入侵檢測(cè)等設(shè)備，是安全域的承載子域。
·專線接入?yún)^(qū)主要指VPN或者專線網(wǎng)絡(luò)接人IP承載
網(wǎng)的邏輯接入分區(qū)；
-互聯(lián)網(wǎng)接入?yún)^(qū)主要指上聯(lián)互聯(lián)網(wǎng)的邏輯接人分區(qū)：
·內(nèi)網(wǎng)接入?yún)^(qū)主要指直連到公司內(nèi)部網(wǎng)絡(luò)(如DCN等)
的邏輯接人分區(qū)。
(2)計(jì)算域
計(jì)算域是指在安全域范圍內(nèi)進(jìn)行存儲(chǔ)、傳輸、處理業(yè)
務(wù)數(shù)據(jù)的計(jì)算機(jī)或集群組成的區(qū)域，如磁盤陣列、數(shù)據(jù)庫(kù)
服務(wù)器等。
(3)服務(wù)域
服務(wù)域由支撐業(yè)務(wù)運(yùn)營(yíng)的基礎(chǔ)組件和提供安全服務(wù)
管理控制組件組成，包括對(duì)內(nèi)服務(wù)區(qū)和對(duì)外服務(wù)區(qū)。
(4)維護(hù)管理域
維護(hù)管理域由能訪問同類數(shù)據(jù)或進(jìn)行業(yè)務(wù)處理、業(yè)務(wù)
維護(hù)的維護(hù)終端組成。維護(hù)域可根據(jù)用戶維護(hù)終端所在的
不同地理位置，分為遠(yuǎn)程維護(hù)區(qū)和本地維護(hù)區(qū)：可根據(jù)不
同的維護(hù)用戶主體，分為第三方維護(hù)區(qū)和局方維護(hù)區(qū)。
而維護(hù)域的安全需求．建議以限制權(quán)限、加強(qiáng)認(rèn)證和
審計(jì)以及嚴(yán)格遵守安全配置標(biāo)準(zhǔn)的技術(shù)手段為主，同時(shí)使
用安全防護(hù)工具，如口令管理等保護(hù)措施、部署防病毒系
統(tǒng)。此外，還需要加強(qiáng)對(duì)終端的安全管理，逐步實(shí)現(xiàn)終端配
置標(biāo)準(zhǔn)化，從軟件、硬件平臺(tái)、用戶ID、管理工具、服務(wù)水
平及系統(tǒng)的建立和使用等方面實(shí)現(xiàn)終端防護(hù)的統(tǒng)一管理
和安全監(jiān)控。
3．4改造實(shí)施思路
短信平臺(tái)改造從步驟上分為以下幾步。
(1)增加匯聚交換機(jī)、路由器、防火墻、IPS等安全防護(hù)
萬(wàn)方數(shù)據(jù)
一塑鱉燮全
交互網(wǎng)絡(luò)
r鬣拳ja避d!掣
1日‘ 《≯■^
I■I．：q，、，’
’3VV^^
l邕嚳一一j一一i必。．．．一一．一一．一一
；服務(wù)域；服務(wù)域I塑j墮矍．．ii!÷登望妻矍一i璺旦矍妻翌一一；一鍪孥巖望妻曼一!璺舅望塑矍．．!鍪塑壹塑．一；
I．竺竺要!董土?竺竺．i??壁型??j??一璧量氅??j??．黧姜竺??』
圖2短信平臺(tái)目標(biāo)網(wǎng)絡(luò)
產(chǎn)品，通過設(shè)備將安全域的邊界統(tǒng)一：將增加的匯聚交換
機(jī)分別與DCN、Intemet、CN2設(shè)備互聯(lián)，與中國(guó)移動(dòng)某省分
公司、中國(guó)聯(lián)通某省分公司、中國(guó)電信某省分公司通過
2 Mbi譏鏈路與原Cisco 3845路由器互聯(lián)，IPs則根據(jù)業(yè)務(wù)
需求進(jìn)行部署；通過防火墻與交換機(jī)的整合．形成各安全
域邊界的統(tǒng)一，網(wǎng)絡(luò)拓?fù)淙鐖D3所示。
圖3短信平臺(tái)目標(biāo)網(wǎng)絡(luò)部署一
(2)部署防火墻并將業(yè)務(wù)系統(tǒng)割接至匯聚交換機(jī)，劃
分以下安全域，具體網(wǎng)絡(luò)變更如圖4所示。
(3)調(diào)整各安全域的服務(wù)器與網(wǎng)絡(luò)設(shè)備，部署相應(yīng)的
安全策略與防護(hù)手段，達(dá)到安全域要求。
4安全域改造實(shí)施內(nèi)容
根據(jù)安全域劃分的結(jié)果，按照多層、深度防護(hù)的原則，
安全域策略的實(shí)現(xiàn)從邊界防護(hù)策略和內(nèi)部防護(hù)策略兩個(gè)
方面人手，采用防火墻安全策略、路由器(或其他網(wǎng)絡(luò)互聯(lián)
設(shè)備)的ACL(訪問控制列表)策略，實(shí)現(xiàn)安全域的邊界、安
全域內(nèi)部的訪問、通信控制。
4．1 交互網(wǎng)絡(luò)域防護(hù)策略
4．1．1互聯(lián)網(wǎng)接入?yún)^(qū)防護(hù)策略
(1)邊界防護(hù)策略
對(duì)于安全域改造，其安全策略的實(shí)施是一個(gè)重要的內(nèi)
容，針對(duì)邊界的防護(hù)策略有以下內(nèi)容：部署并優(yōu)化防火墻策
略，優(yōu)化出口防火墻的訪問控制策略，只允許特定的業(yè)務(wù)數(shù)
據(jù)流通過防火墻．通信流控制要細(xì)化到通信的IP地址和服
務(wù)端口，并且除允許的業(yè)務(wù)通信外，嚴(yán)格禁止其他通信。
(2)內(nèi)部防護(hù)策略
網(wǎng)絡(luò)域劃分過后，其網(wǎng)絡(luò)域的安全策略是一個(gè)重要的
警澄|一＼未麟州烈垴 趲黟＼懣瓜侈，蜃 {l靂甜 什黼熬
萬(wàn)方數(shù)據(jù)
州Ⅲ撕女。i“i#
電信科學(xué)；；；|2翁孽鬟鬻鏊鬻瀵i
服務(wù)域服務(wù)域i應(yīng)用服務(wù)器數(shù)據(jù)庫(kù)服務(wù)器i應(yīng)用服務(wù)器數(shù)據(jù)庫(kù)服務(wù)器i應(yīng)用服務(wù)器數(shù)據(jù)庫(kù)服務(wù)器；
璺堡些簍豎??要要嬰茭?j???．撂j董晉魚!??．j???璺焦羔魚!??．j???一堡焦曼魚j??j
圖4短信平臺(tái)目標(biāo)網(wǎng)絡(luò)部署二
實(shí)施內(nèi)容。針對(duì)區(qū)域的安全防護(hù)，除了邊界保護(hù)策略外，也
要考慮內(nèi)部防護(hù)策略，內(nèi)部保護(hù)的重點(diǎn)與邊界有所不同，
其內(nèi)部防護(hù)策略主要有以下3方面。
部署日志審計(jì)系統(tǒng)：對(duì)所有核心路由器、交換設(shè)備、
業(yè)務(wù)系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)等的日志進(jìn)行統(tǒng)一集中審計(jì)分
析．審計(jì)記錄應(yīng)包含網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備流量、運(yùn)行
狀況等．而事件審計(jì)記錄應(yīng)包括事件發(fā)生的日期和時(shí)
間、事件類型、用戶、事件成功情況以及其他與審計(jì)相關(guān)
的情況。
部署行為審計(jì)系統(tǒng)：對(duì)所有核心路由器、交換設(shè)備、業(yè)
務(wù)系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)等的管理員用戶的管理操作行為進(jìn)行
記錄。
對(duì)路由器、防火墻等網(wǎng)絡(luò)設(shè)備進(jìn)行安全加固服務(wù)，包
括配置合理的訪問策略，嚴(yán)格控制對(duì)設(shè)備的訪問；對(duì)管理
員登錄地址進(jìn)行限制．包括在待登錄的目標(biāo)網(wǎng)絡(luò)設(shè)備中對(duì)
用戶的源IP地址進(jìn)行設(shè)置，僅允許合法的IP地址登錄、在
用戶端與目標(biāo)設(shè)備通信之間的網(wǎng)絡(luò)設(shè)備上設(shè)置相應(yīng)的訪
問控制：?jiǎn)⒂镁W(wǎng)絡(luò)登錄鏈接超時(shí)功能，用戶登錄一段時(shí)間
后未進(jìn)行操作，將自動(dòng)中斷此用戶的連接；啟用登錄次數(shù)
限制，通常設(shè)為3。5次，在嘗試給定次數(shù)登錄都未成功的
情況下，將直接中止連接。
4．1．2內(nèi)網(wǎng)接入?yún)^(qū)防護(hù)策略
(1)邊界防護(hù)策略
針對(duì)內(nèi)網(wǎng)接入?yún)^(qū)的邊界保護(hù)策略與互聯(lián)網(wǎng)接人區(qū)的
防護(hù)策略基本類似．性質(zhì)上都是邊界防護(hù)，其防護(hù)策略有
以下舉措。
·邊界調(diào)整：將各業(yè)務(wù)系統(tǒng)邊界調(diào)整為統(tǒng)一出口，并
進(jìn)行集中防護(hù)。
·邊界路由器策略優(yōu)化：在邊界路由器上啟用ACL功
能．對(duì)病毒蠕蟲常用端口進(jìn)行過濾。
·防火墻策略優(yōu)化：優(yōu)化出口防火墻的訪問控制策
略，只允許特定的管理維護(hù)數(shù)據(jù)流通過防火墻，通
信流控制要細(xì)化到通信的IP地址和服務(wù)端口，并
且除允許的業(yè)務(wù)通信外，嚴(yán)格禁止其他通信。
(2)內(nèi)部防護(hù)策略
內(nèi)網(wǎng)接入?yún)^(qū)的防護(hù)策略與互聯(lián)網(wǎng)接人區(qū)的內(nèi)部防護(hù)
策略基本一致，安全防護(hù)手段相似，因?yàn)殡m然區(qū)域不同，但
在安全要求上基本一致，具體包括如下3個(gè)方面。
萬(wàn)方數(shù)據(jù)
■塑燮鱉
部署日志審計(jì)系統(tǒng)：對(duì)所有核心路由器、交換設(shè)備、業(yè)
務(wù)系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)等的日志進(jìn)行統(tǒng)一集中審計(jì)分析，審
計(jì)記錄應(yīng)包含網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備流量、運(yùn)行狀況等，
其事件審計(jì)記錄應(yīng)該包括事件發(fā)生的日期和時(shí)間、事件類
型、用戶、事件成功情況以及其他與審計(jì)相關(guān)的情況。
部署行為審計(jì)系統(tǒng)：對(duì)所有核心路由器、交換設(shè)備、業(yè)
務(wù)系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)等管理員用戶的管理操作行為進(jìn)行
記錄。
對(duì)路由器、防火墻等網(wǎng)絡(luò)設(shè)備進(jìn)行安全加固服務(wù)，包
括：應(yīng)及時(shí)安裝各種網(wǎng)絡(luò)設(shè)備的補(bǔ)丁或升級(jí)程序；配置合
理的訪問策略，嚴(yán)格控制對(duì)設(shè)備的訪問；對(duì)管理員登錄地
址進(jìn)行限制，包括在待登錄的目標(biāo)網(wǎng)絡(luò)設(shè)備中對(duì)用戶的源
IP地址進(jìn)行設(shè)置．僅允許合法的IP地址登錄、在用戶端與
目標(biāo)設(shè)備通信之間的網(wǎng)絡(luò)設(shè)備上設(shè)置相應(yīng)的訪問控制；啟
用網(wǎng)絡(luò)登錄連接超時(shí)功能，用戶登錄一段時(shí)間后未進(jìn)行操
作，將自動(dòng)中斷此用戶的連接；在網(wǎng)絡(luò)設(shè)備中設(shè)置登錄失
敗處理機(jī)制，具體包括結(jié)束會(huì)話、停用賬號(hào)、記錄日志等；
啟用登錄次數(shù)限制，通常設(shè)為3。5次，在嘗試給定次數(shù)登
錄都未成功的情況下。將直接中止連接。
4．2業(yè)務(wù)域防護(hù)策略
4．2．1邊界防護(hù)策略
業(yè)務(wù)域是保護(hù)的一個(gè)重點(diǎn)，因?yàn)樘峁┑臉I(yè)務(wù)功能是在
業(yè)務(wù)域的服務(wù)器上承載．如何保護(hù)業(yè)務(wù)域是本次研究的重
點(diǎn)。根據(jù)業(yè)務(wù)域的特性，如何保護(hù)業(yè)務(wù)域的各種業(yè)務(wù)服務(wù)
是策略保護(hù)的導(dǎo)向。具體策略如下：
·合理劃分VLAN，對(duì)計(jì)算域、服務(wù)域、維護(hù)域通過
VLAN進(jìn)行隔離，只允許合法數(shù)據(jù)流通過；
·IP地址、MAC地址、交換機(jī)端口綁定；
·對(duì)業(yè)務(wù)域的維護(hù)通過統(tǒng)一的邊界跳板機(jī)(堡壘機(jī))
進(jìn)行統(tǒng)一訪問，并記錄其操作等信息。
4．2．2內(nèi)部防護(hù)策略
由于業(yè)務(wù)域的重要性，其內(nèi)部防護(hù)策略要重點(diǎn)考慮，
重點(diǎn)是審計(jì)、系統(tǒng)防護(hù)策略、防病毒、認(rèn)證、授權(quán)等一系列
策略，具體如下。
部署日志審計(jì)系統(tǒng)：對(duì)所有核心路由器、交換設(shè)備、業(yè)
務(wù)系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)等的系統(tǒng)日志進(jìn)行統(tǒng)一集中審計(jì)分
析，審計(jì)記錄包含系統(tǒng)日志等，其事件審計(jì)記錄應(yīng)該包括
事件發(fā)生的日期和時(shí)間、事件類型、用戶、事件成功情況以
及其他與審計(jì)相關(guān)的情況。
部署行為審計(jì)系統(tǒng)：對(duì)所有核心路由器、交換設(shè)備、業(yè)
務(wù)系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)等管理員用戶的管理操作行為進(jìn)行
記錄。
對(duì)主機(jī)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)進(jìn)行安全加固服務(wù)，包
括：系統(tǒng)補(bǔ)丁修補(bǔ)、賬號(hào)口令策略增強(qiáng)、端口服務(wù)最小化、
啟用日志審計(jì)功能、啟用非法登錄的次數(shù)限制功能、啟用
登錄連接超時(shí)功能。嚴(yán)格進(jìn)行業(yè)務(wù)域內(nèi)部的訪問控制，顆
粒度達(dá)到端口級(jí)。通過部署網(wǎng)絡(luò)防病毒產(chǎn)品，對(duì)整個(gè)短信
平臺(tái)系統(tǒng)進(jìn)行防病毒工作。
4．3系統(tǒng)安全策略部署
針對(duì)操作系統(tǒng)．根據(jù)國(guó)家、工業(yè)和信息化部以及中國(guó)
電信集團(tuán)的文件要求和業(yè)界安全最佳實(shí)踐，對(duì)其進(jìn)行安全
配置加固，介紹如下。
·關(guān)閉多余的系統(tǒng)服務(wù)，啟動(dòng)操作系統(tǒng)自帶的軟件防
火墻，配置系統(tǒng)的安全策略，配置防止源路由攻擊、
防止源IP地址欺騙式攻擊、SYN f100d保護(hù)、禁止重
定向設(shè)置、防止ping of deatIl攻擊、禁止ICMP廣播
回應(yīng)、忽略錯(cuò)誤ICMP分組；
·限制了遠(yuǎn)程登錄只能使用SSH，并且對(duì)SSH服務(wù)進(jìn)
行加固，修改默認(rèn)的登錄端口和能使用SSH登錄的
用戶．只有特定的用戶才能使用SSH登錄；
·刪除多余的用戶和組，限制有SU權(quán)限的用戶；
．對(duì)系統(tǒng)關(guān)鍵文件增加不可修改屬性，防止被誤刪除
或人為破壞；
·保護(hù)系統(tǒng)啟動(dòng)引導(dǎo)配置文件；
·抵御特洛伊木馬病毒的攻擊；
’·記錄遠(yuǎn)程登錄用戶的行為，便于審核用戶進(jìn)行破壞
操作。
4．4網(wǎng)絡(luò)設(shè)備安全加固
針對(duì)網(wǎng)絡(luò)設(shè)備，根據(jù)國(guó)家、工業(yè)和信息化部以及中國(guó)
電信集團(tuán)的文件要求和業(yè)界安全最佳實(shí)踐，對(duì)其進(jìn)行安全
配置加固：關(guān)閉或限制可能引起安全問題的服務(wù)，如UDP
和TCP服務(wù)器、{in印r、NTP、CDP服務(wù)、pmxy ARP、SNMP服
務(wù)、HTrP服務(wù)；啟用備份和日志服務(wù)器；用10S安全機(jī)制
保護(hù)關(guān)鍵設(shè)備。
5 結(jié)束語(yǔ)
通過一系列的安全域改造研究后，進(jìn)行安全域的改造
實(shí)施工作，通過一系列安全防護(hù)手段，達(dá)到提高業(yè)務(wù)平臺(tái)
安全性的目的．具體可以達(dá)到以下效果，也可以為其他業(yè)
務(wù)平臺(tái)改造提供參考依據(jù)。
(下轉(zhuǎn)第113頁(yè))
萬(wàn)方數(shù)據(jù)
道傳播過程中的路徑損耗不一樣。其傳播距離不一樣的特
性，并結(jié)合載波聚合技術(shù)中不同頻帶內(nèi)非連續(xù)載波聚合技
術(shù)對(duì)高低頻率進(jìn)行聚合。以達(dá)到UE對(duì)大帶寬的需求．同
時(shí)運(yùn)用“高頻切換、低頻輔助”的協(xié)作切換思想，使得UE
在切換過程中切換中斷時(shí)延相對(duì)降低，并且減小了切換中
斷概率。通過進(jìn)一步的仿真得知．UE的切換中斷概率相較
于傳統(tǒng)的m．Advallced系統(tǒng)和姍．Adv徹ced中繼系統(tǒng)有
所降低，并且UE的吞吐量也得到了提升。
參考文獻(xiàn)
1 鄭毅，李中年，王亞峰等．m-A系統(tǒng)中繼技術(shù)的研究．現(xiàn)代電
信科技，2009(6)：45～49
2 ke Y，Zha0 J H，Qu H．A combiIled handover scheme五Dr L1E—
AdvaIlced．Pmceedings of IEEE ICACT，Seoul，Korea，2012：
154一157
3 3GPP 7IS 36．300 V1 1．1．0．Evolved Universal Terrestrial Radio
Access (E—UTRA)and Evolved Universal Terrestrial Radio
Access Network(E-UTRAN)；OveraU Description；Stage 2，2012
4 ke H K'Son H K，Lee S H．SeIIIism h趴dover gain∞alysis
over 0FDM．b躺ed bmadband systems．IEEE 1hlsactions on
Vehicul口TecllIIology，2009，58(3)：1443一1453
5 Ch鋤g J R，“Y J，F(xiàn)eng S L，e￡耐．A fractional soft haIldover
scheme for 3GPP L1E-Adv柵ed system．ProceediⅡgs 0f IEEE
Intemational Con南rence on ICC Workshops 2009，Pisc她1way，
USA．2009
6 Teyeb 0'Ph強(qiáng)V V，R雅f B’酣以．HaIldover fr鋤ework for relay
ellllarced UE networks．Proceedings 0f IEEE Intemational
Conference on lCC Worl【sh叩s 20咀DresdeIl’Ge冊(cè)aIl呂2009=1扣18
7 沈嘉，索士強(qiáng)，全海洋等．3GPP長(zhǎng)期演進(jìn)(L1E)技術(shù)原理與系統(tǒng)
設(shè)計(jì)．北京：人民郵電出版社。2010
8 封彪．m．AdvaIlced無(wú)線中繼網(wǎng)絡(luò)切換算法研究．北京郵電大
學(xué)碩士學(xué)位論文，2012，3
9 3GPP 7I_s 36．826 VO．13．o．Evolved Unive瑪al’rerre矧al Radio
Access正一uTRA)；Relay Radi0 TransIIlissi帆and Recepti咀2012
lO 3GPP’I'S 36．942 V10．3．O．Evolved UniveIsal Terrestrial Radio
Access (E-UTRA)；Radio Freqllency(RF)System scenarios，
2012
[作者簡(jiǎn)介】
趙季紅，女，博士，西安郵電大學(xué)教授，主要
從事新一代無(wú)線寬帶無(wú)線通信技術(shù)的研究
工作。
何煒揚(yáng)，男，西安郵電大學(xué)碩士研究生，主
要從事寬帶移動(dòng)通信網(wǎng)的研究工作。
曲樺，男，博士，西安交通大學(xué)教授，主要
從事新一代無(wú)線寬帶無(wú)線通信技術(shù)的研
究工作。
(收稿日期2013一04—25)
(上接第68頁(yè))
·管理層：區(qū)域之間維護(hù)界面清晰．誰(shuí)主管誰(shuí)負(fù)責(zé)，易
于分析管理與維護(hù)界面。
·數(shù)據(jù)層：增強(qiáng)了數(shù)據(jù)及應(yīng)用的安全性：跨業(yè)務(wù)系統(tǒng)
非授權(quán)互訪易于監(jiān)控和管理：業(yè)務(wù)系統(tǒng)間的應(yīng)用訪
問進(jìn)行了安全域的隔離，有效控制數(shù)據(jù)流，保護(hù)信
息安全。
·系統(tǒng)層：加強(qiáng)了域內(nèi)系統(tǒng)的訪問安全：防范了安全
域之外的威脅來源：加強(qiáng)了安全事件的追根溯源。
·網(wǎng)絡(luò)層：各業(yè)務(wù)域具有清晰、簡(jiǎn)潔的網(wǎng)絡(luò)及系統(tǒng)架
構(gòu)；明確安全域網(wǎng)絡(luò)出口；安全問題易控制、處理、
調(diào)查；保證網(wǎng)絡(luò)與系統(tǒng)間的安全互聯(lián)：業(yè)務(wù)系統(tǒng)間
互連互通統(tǒng)一控制規(guī)范：從邊界進(jìn)行安全防護(hù)，從
來源進(jìn)行安全控制。
·物理層：邊界互聯(lián)清楚。接口統(tǒng)一。
做好業(yè)務(wù)平臺(tái)的安全域改造工作，可以更好地保證電
信業(yè)務(wù)平臺(tái)的安全性，保證業(yè)務(wù)正常連續(xù)地運(yùn)行，提高電
信服務(wù)水平。中國(guó)電信的其他業(yè)務(wù)平臺(tái)．可以參考短信平
臺(tái)安全域改造的研究成果進(jìn)行安全域改造．以提高平臺(tái)的
安全性。
(收稿日期：2013—08—01)
萬(wàn)方數(shù)據(jù)

網(wǎng)友評(píng)論 more

綜合安全論文最新內(nèi)容

04-10