四. 移动网络安全建设思路探讨
4.1 基于业务的安全评估
全面、系统地分析业务系统面临的风险，能很好的为设计符合业务特点的安全方案打下良好基础。调研是安全评估的基础，那么如何基于业务需求来开展调研呢?
首先准确、全面的把握评估的目标业务是什么，这需要站在企业组织的业务使命、业务战略的高度，了解业务，了解达成或实现业务战略的一系列的业务流程，以及与业务流程正常实现、运作的相关IT系统，并了解组织的未来发展、规划情况，以全面、有效地把握业务现状、业务发展情况。
其次，从管理角度对企业组织结构、部门及岗位职责、人员配置情况进行了解，再根据部门职责，了解其管理制度、流程，并分析贯穿管理体系及具体管理流程的管控措施设计及落实情况，并与既定规范标准、规范相比较，分析存在的差距与不足。
再次，从技术角度充分、准确的把握IT系统对业务流程的支持、承载情况，了解系统承担的业务使命和业务功能(和管理控制功能)，了解系统结构、网络结构、应用结构，明确人员及访问方式，根据业务功能梳理和刻画IT流程，了解、分析贯穿IT流程数据处理活动，并对数据处理活动进行分析归纳信息安全威胁、安全风险和安全需求，分析现有安全措施对安全需求匹配程度，评价保证等级和能力。
最后，对管理和IT系统调研结果进行汇总、分析，形成基于业务的安全评估报告，使整体安全建设能基于业务需求为出发点，为后续的安全建设提供指导依据。
4.2 业务系统安全承载
移动网络的业务系统利用IP承载网进行承载，在IP承载网上为每个业务系统分配单独的VPN通道，对各个业务系统进行了隔离承载，避免业务系统之间互相干扰。业务系统安全承载面临的最大风险是大流量冲击和大规模的DDoS攻击。对于DDoS攻击的防护可以通过在承载网部署流量分析系统和异常流量清洗系统对大规模攻击行为进行监控。对于大流量冲击可以利用深度包检测系统对业务流进行识别和控制。
4.3 安全域划分和边界整合
业务网、核心网、互联网、支撑系统、第三方接入系统等系统之间具有网络互联和数据交换，如何保障系统之间的安全隔离，降低安全风险影响的范围，可以通过划分安全域及边界整合的方式进行控制。针对运营商网络的特性可以将业务系统划分以下为四类主要的安全域：核心数据域、内部互联接口域、互联网接口域和网络交换域等。
核心数据域：本区域仅和该业务系统其它安全子域直接互联，不与任何外部网络直接互联，该业务系统中资产价值最高的设备如数据库及存储位于本区域，外部不能通过互联网直接访问该区域内设备。
内部互联接口域：本区域放置的设备和公司内部网络互联，如与支撑系统、其它业务系统或第三方互联的设备。
互联网接口域：本区域和互联网直接连接，主要放置互联网直接访问的设备。该区域的设备具备实现互联网与内部核心生产区数据的转接作用。
网络交换域：负责连接核心数据区、内部互联接口区和外部互联接口区等安全域。
安全域划分完成以后，我们会发现业务系统有很多互联接口，这通常是由于大多数业务系统都是分期单独建设，为了达到业务系统之间的互联互通而造成的。为了降低业务系统之间的边界接口，增加接口的安全可控性，需要通过边界整合将不同系统的相同类型安全域整合形成大的安全域，比如统一办公系统的互联网边界、统一数据业务系统的互联网边界、统一计费系统与网管系统的边界，以便于安全管理和维护。
4.4 网元自身的安全建设
通过安全域的划分与边界整合后，实现了不同类系统之间的隔离，控制了安全风险的影响范围，下一步就是提高系统中的网元自身的安全。网元自身的安全主要包括两个方面：
安全配置：通常是由于配置不当或人为的疏忽造成，主要包括了账号、口令、授权、日志、IP通信等方面内容，反映了系统有关人引起的安全脆弱性。
安全漏洞：通常是属于系统自身的问题引起的安全风险，一般包括了登录漏洞、缓冲区溢出、信息泄漏、蠕虫后门、意外情况处置错误等，反映了系统自身的安全脆弱性。
安全配置类威胁产生的主要原因在于移动网络建设过程中缺乏一套完善的系统安全配置指导规范，各系统承建厂商按照各自标准和经验进行建设，从而造成同样的网络设备、主机系统、数据库等系统配置参差不齐，往往带来许多安全隐患。为了解决这一问题，我们首先可以制订标准化一系列的系统安全规范，包括网络设备、主机系统、应用系统、数据库系统等设备、系统的安全配置和漏洞修补规范。接着对业务网、承载网、支撑网依据安全规范进行安全整改，对于新建的系统在割接上线之前进行安全测试，如果不符合安全配置规范则进行相应的整改后方可上线运行。
4.5 安全技术防护手段
在安全评估的基础上，基于安全域划分和边界整合后，体系化的进行安全技术体系的建设是提高整体安全性的必要手段。安全管理虽然强调“七分管理，三分技术”，但技术防护手段不可或缺。在多业务环境中，要统筹考虑不同系统的安全保护，需要独立配置的就独立配置，如防病毒 系统的客户端、关键网段的入侵检测;需要集中建设的要集中建设，如防火墙、IDS、防病毒的控制端以及账号口令管理(AAAA)系统、域管理系统等，避免分系统进行安全建设带来的投资浪费、管理困难、效益低下的问题。同时，在信息安全领域，目前的攻击手法已经融合了多种技术，比如蠕虫融合了缓冲区溢出、网络扫描和病毒感染技术，如果依赖于安全产品的孤军作战，就无法有效地查杀病毒、无法阻止病毒的传播。
安全技术控制措施多种多样，并且在不断的演化与发展，使得企业时常会感到困扰，很难清晰了解适合自身安全需求的模块有哪些，其实只需将这些技术模块进行合理的归类，并与企业的不同保护阶段的要求相对应，就能够清晰了解并进行合理的规划选择。
安全技术及控制措施
.
分页: [1] [2] [3]
TAG: 网络安全 运营商 思路 探讨 建设