运营商it系统网络架构的安全域划分

《运营商it系统网络架构的安全域划分》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、运营商IT系统网络架构的安全域划分　　众所周知，网络安全框架一般可以分为安全管理框架和安全技术框架两大部分。安全管理框架的核心是制定安全策略，它是安全工作的标准和依据;安全技术框架的核心是积极防御，安全体系中的认证与授权、加密与完整性保护以及抗击与响应都应该围绕积极防御这一核心来组织的。对拥有众多IT系统的电信运营商而言，以积极防御为核心的安全技术框架不仅仅是针对一个具体的安全工程提出的解决方案或者是安全设备的部署，更应该是一个全面、立体、构架化的安全体系。安全体系的健康与否，关系到认证与授权是否能够做到对访问的主动控制，关系

2、到加密与完整性保护是否能够主动避免主客体间信息交换被破坏或者遗失，关系到抗击与响应是否能够主动抵御主体对客体安全性的侵犯等一系列问题。　　IT系统安全体系具体是由解决方案和安全设备部署构成的，二者都与运营商自身内部的IT系统局域网架构有关:安全解决方案需要根据IT系统局域网架构来具体定制;安全设备则需要部署在IT系统局域网上由其来承载。进一步而言，按照网络安全框架的要求，IT系统安全体系的基础工作就是搭建一个结构清晰、可靠实用、扩展灵活的内部局域网环境。只有基础的内部网络架构是科学合理的，才能够最终保证所部署的安全设备充分发挥

3、作用，才能够保证安全技术框架的顺利实施，进而保证安全策略的有效贯彻。　　一、传统IT系统局域网架构的不足和安全威胁　　传统IT系统整体网络建设方案中往往很少从宏观的角度关注IT安全体系的建立，经常采用如物理隔离的方式来达到安全的目的，甚至建设两套网络，即所谓的内网、外网。这种以物理隔离为主的消极防御手段使得某一IT系统只能做到针对自身的操作应用，而无法实现与其他相关系统之间、与Internet之间的信息交互和共享，不但禁止了有用数据交换，造成信息化工作无法开展，还进一步增加了投资，这与积极防御的理念是背道而驰的。另外，物理隔离

4、的消极影响还在于可能会导致内部网络用户出现通过电话线外连、移动计算设备一机多用、用移动存储介质在网络间交换未知数据等潜在威胁。其次，由于IT系统所在的内部网络的建设方案缺乏宏观的安全规划，同时常规的安全系统经常是分别随着各自网络或者应用系统进行建设的，虽然在一定程度上能够起到安全防护作用，但是由于各套IT系统的安全建设自成体系、分散单一，缺乏统筹考虑和宏观把握，造成系统中安全防御的主动权没有办法集中起来。因而带来IT系统的安全防护能力、隐患发现能力、应急反应能力、信息对抗能力的整体效能下降等一系列问题。同时也带来运营商制订的统

5、一安全策略难以贯彻、重复建设，安全设备不能充分发挥作用等问题。另外，由于IT系统局域网结构和层次不清晰，不同IT系统所分配私有IP地址很有可能相同。虽然IT系统之间暂时没有发生联系，但是随着运营商维护管理水平的进一步提高，IT系统的管理平台建设也是迫在眉睫，而IT系统内部网络整体结构的天生不足会给今后的管理带来非常大的不便。从管理层面来看，很多运营商由于长期以来把安全项目作为承载网或者其他业务系统、IT等支持系统的附加工程或者从属项目，加之一些网络安全厂商或者电信运营部门的技术人员，往往认为采用先进的网络技术、名牌产品即可实现

6、网络系统、业务系统和IT系统的安全，没有考虑安全产品并未形成体系，容易造成许多薄弱环节没有覆盖到，安全隐患也随之增加。　　一般说来，电信运营商IT系统由以下一些系统组成。　　1.网络支撑系统，主要有各种网管系统，包括承载网网管、支撑系统网管、业务网管等;　　2.业务支撑系统，主要有BOSS、经营分析系统、大客户关系管理系统等;　　3.企业管理信息系统，办公自动化系统、电子工单系统、资产管理系统等。　　上述IT系统在今天很少是孤立存在的，也就是说，它们必须与其他系统实现网络互通和信息共享与交互。在这种应用需求下，使得不同的外部网

7、络、不同身份和目的的人都有机会连接到运营商内部网络中，从而对IT系统的安全带来了威胁。从电信运营商IT网络环境的层面而言，IT系统的安全威胁主要来自以下几个方面。　　1.来自内部误用和滥用的安全威胁，包括:各种调查都显示来自于内部的误用(操作)和滥用对企业网络和业务的影响都是最为致命的。而这类误用和滥用，与运营商内部不同IT系统或者与其他相关系统的互联互通、运营商之间的互联互通、与客户或者厂商的互联互通所采取的安全措施不利是有非常大关系的;　　2.来自互联网的安全威胁:目前有些运营商的IT系统是与互联网相连的，例如很多办公自动

8、化系统都与互联网相连，如果安全措施不力就很有可能被黑客利用，带来网络安全问题;　　3.来自缺省配置的安全威胁:电信行业在建设IT系统时，大量的UNIX/WINDOWS/NOTES等系统很多都采用缺省配置，造成开放不必要的端口等安全隐患，如果运营商对其IT局域网架构缺乏安全边界