电信安全发展分析new

《电信安全发展分析new》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、万方数据电信技求陕西电信oo0毫安全发展思路分析李健陕西省电信有限公司西安7100751DCN安全需求分析DcN定位于承载统一的企业信息化系统，整合各业务系统网管平台，提供统一的网管数据传输通道，降低网络投资，提高嘲络资源利用率，通过集中的网络管理与维护降低运营成本。DCN安全处于企业信息化战略目标中的安全架构层面。目前DcN安全有以下需求：注重管理、制度建设和审计；安全保护的重点包括内部员工的误操作，访问控制注重精细的权限划分，并配合完善的安全日志和审计；在实现业务隔离的同时，关注业务问的交互；较高的连续性要求，采用适度安全的原则在安全性和现有系

2、统的改变之I’日J求得平衡。DcN安全目前面临的主要矛盾有以下3点。·终端高风险及终端接入网络无控制的矛盾。终端是支撑网安全风险的主要来源，但在接入刚络时没有得到有效的安全控制，从而使网络直接面临终端的安全风险，如何控制终端的安全风险是支撑网安全的关键。·业务隔离与互通的矛盾。从安全角度出发，各业务系统之I’日J应该是良好地隔离，避免相互影响；从业务角度出发，各系统之间存在必要的相互通信，如何既保证安全隔离又保证业务互通是支撑网安全建设中必须解决的问题。·服务器高安全要求与漏洞的矛盾。服务器上承载的业务系统信息价值高，但都承载在Windows、UN

3、IX等通用操作平台上，安全漏洞较多，而目前利用漏洞攻击的手段开发时间越来越短，如何保证服务器系统的安全非常重要。2DCN安全模型为确定DcN的安全模型，首先要对DcN的典型业务流程进行分析。不考虑各业务系统之间的差异，整6"-DCN的业务系统可以5-)-为最基本的35"-角色：业务系统，包括MSS／BSS／OSS各类业务系统及服务器；网络基础设施，提供网络拓扑和连接设备；终端，所有需要使用业务系统的终端，包括办公终端、维护终端等。依照安全域划分的理论和上述的典型业务分析，DcN可划分为计算域、网络域、用户域、服务域(公共安全服务区)，网络域还包含提

4、供计算域内部各计算子域(不同业务系统之问)互通的跨子域数据交换区以及与外部系统互联的公共外部接口区。·计算域：承载企业的核心信息资产，包括业务系统、服务器、数据库。·用户域：包括各类使用信息资产的终端和用户。·服务域：也称为公共安全服务区，www．ttm，COm，cn47EE卿譬囝万方数据为DcN的各个业务提供安全的服务。·网络域：支撑安全域的网络设备和网络拓扑，通常包括DCN核心骨干网、省中心网、地市到县局广域网、地市中心网、公共接口区、业务系统交换区、DMZ区等。DCN安全设计如图l所示，企业的重要信息资产，也就是需要重点保护的对象主要是在计算

5、域，根据80／20原则，这些在设备数量上只占20％，甚至更少，而其信息资产价值占到企业信息资产的80％以上。这些资产的风险主要来源是用户域(包括内部用户和外部用户)，因此DCN安全域设计首先要把用户域和计算域隔离开，确保用户域对汁算域的风险降到最低。3目前的DCN安全体系虽然目前陕西电信部署了诸多网络安全设备，但DCN离真正安全的网络还有很大的差距。首先，DCN设备本身功能不完善。例如汇接局的DCN设备缺乏对MPLSVPN技术的支持，这对全网各业务系统实现基于MPLSVPN技术的业务隔离是一个严重的阻碍；某些DCN局域网中还存在大量的Hub设备，对

6、实现以太网安全认证带来不小的困难。其次，网络／应用系统中采用了防火墙等安全产品和硬件冗余等安全措施，但安全产品之间无法实现联动，安全信息无法挖掘，防护效果低，投资重复，存在安全孤岛现象。另外，安全产品部署不均衡，各个系统部署了多个安全产品，但在系统边界存在安全空白，没有形成纵深安全防护，缺乏统一的网管系统。第三，网络安全管理体系不完善，需要通过实施策略对流程进行细化，其他体系也需要按照网络安全管理体系和流程的要求不断完善内容。网络安全管理组织不完整，现阶段网络／应用系统的安全工作基本上由各维护单位承担，安全责任相对较分散，存在安全责任无法落实到具体

7、人的现象。第四，普及性安全教育和培训不足，人员信息安全意识水平不统一。例如，在物理与环境安全、系统和网络安全管理、系统接入控制方面仍然存在一定差距；在安全策略、安全组织、人员图1DCN安全设计48TELE∞MMUNICATIoNSTECHNoL-oGY，2008·3管理、资产分类控制、安全审计方面存在明显不足。第五，没有应急响应流程和业务持续性计划，发生安全事件后的处理和恢复流程不足，对可能出现的业务中断没有应急预案。4DCN安全分域设计4．1用户域与计算域安全隔离设计用户域和计算域隔离的设汁，首先要确保用户域在接入计算域之前有相应的权限，其次还要

8、保}正即使是授权的终端也不应对计算域和其他终端造成威胁，确保终端在接入网络之前必须要满足相应的安全策略(如安装最新的补丁等