1 通信網(wǎng)絡(luò)" title="網(wǎng)絡(luò)">網(wǎng)絡(luò)面臨的安全形勢

隨著手機游戲,、彩鈴,、彩信、位置服務(wù),、移動商城等各種數(shù)據(jù)業(yè)務(wù)的快速發(fā)展,，用戶數(shù)量呈現(xiàn)高速增長，截至2010年6月底,，據(jù)CNNIC發(fā)布的報告顯示,，中國的手機用戶數(shù)量超過8億戶，中國網(wǎng)民數(shù)達4.2億,，手機上網(wǎng)用戶2.77億,。在互聯(lián)網(wǎng)" title="互聯(lián)網(wǎng)">互聯(lián)網(wǎng)快速發(fā)展的同時，安全事件也層出不窮,，黑色產(chǎn)業(yè)鏈日益成熟,，攻擊行為組織化、攻擊手段自動化,、攻擊目標多樣化,、攻擊目的趨利化等特點明顯。

近兩年來針對運營商" title="運營商">運營商的網(wǎng)絡(luò)和業(yè)務(wù)系統(tǒng)的安全事件總體有所上升,，例如“5·19”,，“6·25”互聯(lián)網(wǎng)DNS安全事件。除互聯(lián)網(wǎng)常見的安全事件外,，以惡意獲取非法收入事件為主的事件明顯上升,，例如通過惡意復制SIM卡、WAP惡意訂購,、非法定位,、泄露客戶信息等謀取經(jīng)濟利益等。目前,，通信網(wǎng)絡(luò)的安全現(xiàn)狀呈現(xiàn)出以下的一些趨勢：

（1）網(wǎng)絡(luò)IP" title="IP">IP化,、設(shè)備IT化、應(yīng)用Web化使電信業(yè)務(wù)系統(tǒng)日益開放,，業(yè)務(wù)安全漏洞更加易于利用,。針對業(yè)務(wù)攻擊日益突出，電信業(yè)務(wù)系統(tǒng)的攻擊越來越趨向追求經(jīng)濟利益,。

（2）手機終端智能化帶來了惡意代碼傳播,、客戶信息安全及對網(wǎng)絡(luò)的沖擊等安全問題。

（3）三網(wǎng)融合" title="三網(wǎng)融合">三網(wǎng)融合,、云計算,、物聯(lián)網(wǎng)帶來的網(wǎng)絡(luò)開放性、終端復雜性使網(wǎng)絡(luò)面臨更多安全攻擊和威脅,；系統(tǒng)可靠性以及數(shù)據(jù)保護將面臨更大的風險,；網(wǎng)絡(luò)安全" title="網(wǎng)絡(luò)安全">網(wǎng)絡(luò)安全問題從互聯(lián)網(wǎng)的虛擬空間拓展到物理空間,，網(wǎng)絡(luò)安全和危機處置將面臨更大的挑戰(zhàn)。

（4）電信運營企業(yè)保存的客戶信息（包括訂購關(guān)系）日益增多,，客戶信息的流轉(zhuǎn)環(huán)節(jié)不斷增加,，也存在SP等合作伙伴訪問客戶信息的需要,，泄露,、篡改、偽造客戶信息的問題日益突出,。

（5）電信運營企業(yè)內(nèi)部人員,、第三方支持人員、SP等利用擁有的權(quán)限以及業(yè)務(wù)流程漏洞,，實施以追求經(jīng)濟利益為目的的犯罪,。

這些形勢都使互聯(lián)網(wǎng)安全、客戶信息的安全保護,、業(yè)務(wù)安全成為各運營商在通信網(wǎng)絡(luò)安全防護著重考慮的問題,，對這些安全風險的控制也成為運營中的重要環(huán)節(jié)。

2 通信網(wǎng)絡(luò)的安全防護措施

2.1 互聯(lián)網(wǎng)安全防護

互聯(lián)網(wǎng)（CMNet）是完全開放的IP網(wǎng)絡(luò),。面臨的主要安全風險來自用戶,、互聯(lián)伙伴的帶有拒絕服務(wù)攻擊性質(zhì)的安全事件，包括利用路由器漏洞的安全攻擊,，分布式大流量攻擊,，蠕蟲病毒、虛假路由,、釣魚攻擊,、P2P濫用等。

互聯(lián)網(wǎng)上的安全事件會影響直接或間接連接互聯(lián)網(wǎng)的業(yè)務(wù)系統(tǒng),。因此,，針對互聯(lián)網(wǎng)，應(yīng)重點做好以下幾方面安全措施：

（1）流量控制系統(tǒng)：在互聯(lián)網(wǎng)的國際出入口,、網(wǎng)間接口,、骨干網(wǎng)接口的合適位置部署流量控制系統(tǒng)，具備對各種業(yè)務(wù)流量帶寬進行控制的能力,，防止P2P等業(yè)務(wù)濫用,。

（2）流量清洗系統(tǒng)：在互聯(lián)網(wǎng)骨干網(wǎng)、網(wǎng)間等接口部署異常流量清洗系統(tǒng),，用于發(fā)現(xiàn)對特定端口,、特定協(xié)議等的攻擊行為并進行阻斷，防止或減緩拒絕服務(wù)攻擊發(fā)生的可能性,。

（3）惡意代碼監(jiān)測" title="監(jiān)測">監(jiān)測系統(tǒng)：在骨干網(wǎng)接口,、網(wǎng)間接口,、IDC和重要系統(tǒng)的前端部署惡意代碼監(jiān)測系統(tǒng)，具備對蠕蟲,、木馬和僵尸網(wǎng)絡(luò)的監(jiān)測能力,。

（4）路由安全監(jiān)測：對互聯(lián)網(wǎng)關(guān)鍵基礎(chǔ)設(shè)施重要組成的BGP路由系統(tǒng)進行監(jiān)測，防止惡意的路由宣告,、攔截或篡改BGP路由的事件發(fā)生,。

（5）重點完善DNS安全監(jiān)控和防護手段，針對異常流量以及DNS欺騙攻擊的特點,，對DNS服務(wù)器健康情況,、DNS負載均衡設(shè)備、DNS系統(tǒng)解析情況等進行監(jiān)控,，及時發(fā)現(xiàn)并解決安全問題,。

2.2 移動互聯(lián)網(wǎng)安全防護

移動互聯(lián)網(wǎng)把移動通信" title="移動通信">移動通信網(wǎng)作為接入網(wǎng)絡(luò)，包括移動通信網(wǎng)絡(luò)接入,、公眾互聯(lián)網(wǎng)服務(wù),、移動互聯(lián)網(wǎng)終端。移動互聯(lián)網(wǎng)面臨的安全威脅主要來自終端,、網(wǎng)絡(luò)和業(yè)務(wù),。終端的智能化帶來的威脅主要是手機病毒和惡意代碼引起的破壞終端功能、竊取用戶信息,、濫用網(wǎng)絡(luò)資源,、非法惡意訂購等。網(wǎng)絡(luò)的安全威脅主要包括非法接入網(wǎng)絡(luò),、進行拒絕服務(wù)攻擊,、跟蹤竊聽空口傳輸?shù)男畔ⅰE用網(wǎng)絡(luò)服務(wù)等,。業(yè)務(wù)層面的安全威脅包括非法訪問業(yè)務(wù),、非法訪問數(shù)據(jù)、拒絕服務(wù)攻擊,、垃圾信息的泛濫,、不良信息的傳播、個人隱私和敏感信息的泄露等,。

針對以上安全威脅,，應(yīng)在終端側(cè)和網(wǎng)絡(luò)側(cè)進行安全防護。

（1）在終端側(cè),，主要增強終端自身的安全功能,，終端應(yīng)具有身份認證、業(yè)務(wù)應(yīng)用的訪問控制能力，同時要安裝手機防病毒軟件,。

（2）在網(wǎng)絡(luò)側(cè),，針對協(xié)議漏洞或網(wǎng)絡(luò)設(shè)備自身漏洞，首先要對網(wǎng)絡(luò)設(shè)備進行安全評估和加固,，確保系統(tǒng)自身安全,。其次，針對網(wǎng)絡(luò)攻擊和業(yè)務(wù)層面的攻擊,，應(yīng)在移動互聯(lián)網(wǎng)的互聯(lián)邊界和核心節(jié)點部署流量分析,、流量清洗設(shè)備，識別出正常業(yè)務(wù)流量,、異常攻擊流量等內(nèi)容,，實現(xiàn)對DDoS攻擊的防護。針對手機惡意代碼導致的濫發(fā)彩信,、非法聯(lián)網(wǎng)、惡意下載,、惡意訂購等行為,，應(yīng)在網(wǎng)絡(luò)側(cè)部署惡意代碼監(jiān)測系統(tǒng)。在GGSN上的Gn和Gp口通過分光把數(shù)據(jù)包采集到手機惡意代碼監(jiān)測系統(tǒng)進行掃描分析,，同時可以從彩信中心獲取數(shù)據(jù),，對彩信及附件進行掃描分析，從而實現(xiàn)對惡意代碼的監(jiān)測和攔截（見圖1）,。

 圖1　在網(wǎng)絡(luò)側(cè)部署惡意代碼監(jiān)測系統(tǒng)

2.3 核心網(wǎng)安全防護

（1）軟交換網(wǎng)安全防護,。軟交換網(wǎng)需要重點防范來自內(nèi)部的風險，如維護終端,、現(xiàn)場支持,、支撐系統(tǒng)接入帶來的安全問題。重點防護措施可以包括：在軟交換網(wǎng)和網(wǎng)管,、計費網(wǎng)絡(luò)的連接邊界,，設(shè)置安全訪問策略，禁止越權(quán)訪問,。根據(jù)需要,，在網(wǎng)絡(luò)邊界部署防病毒網(wǎng)關(guān)類產(chǎn)品，以避免蠕蟲病毒的蔓延,；維測終端,、反牽終端安裝網(wǎng)絡(luò)版防病毒軟件，并專用于設(shè)備維護,。

（2）GPRS核心網(wǎng)安全防護,。GPRS系統(tǒng)面臨來自GPRS用戶、互聯(lián)伙伴和內(nèi)部的安全風險。GPRS安全防護措施對GPRS網(wǎng)絡(luò)劃分了多個安全域,，例如Gn安全域,、Gi安全域、Gp安全域等,，各安全域之間VLAN或防火墻實現(xiàn)與互聯(lián)網(wǎng)的隔離,；省際Gn域互聯(lián)、Gp域與其它PLMN GRPS網(wǎng)絡(luò)互連,、以及Gn與Gi域互聯(lián)時,，均應(yīng)設(shè)置防火墻，并配置合理的防火墻策略,。

（3）3G核心網(wǎng)安全防護：3G核心網(wǎng)不僅在分組域采用IP技術(shù),，電路域核心網(wǎng)也將采用IP技術(shù)在核心網(wǎng)元間傳輸媒體流及信令信息，因此IP網(wǎng)絡(luò)的風險也逐步引入到3G核心網(wǎng)之中,。由于3G核心網(wǎng)的重要性和復雜性,，可以對其PS域網(wǎng)絡(luò)和CS域網(wǎng)絡(luò)分別劃分安全域并進行相應(yīng)的防護。例如對CS域而言,，可以劃分信令域,、媒體域、維護OM域,、計費域等,；對于PS域可以分為Gn/Gp域，Gi域,，Gom維護域,、計費域等；對劃分的安全域分別進行安全威脅分析并進行針對性的防護,。重要安全域中的網(wǎng)元之間要做到雙向認證,、數(shù)據(jù)一致性檢查，同時對不同安全域要做到隔離,，并在安全域之間進行相應(yīng)的訪問控制,。

2.4  支撐網(wǎng)絡(luò)安全防護

支撐網(wǎng)絡(luò)包括網(wǎng)管支撐系統(tǒng)、業(yè)務(wù)支撐系統(tǒng)和管理支撐系統(tǒng),。支撐網(wǎng)絡(luò)中有大量的IT設(shè)備,、終端，面臨的安全威脅主要包括病毒,、木馬,、非授權(quán)的訪問或越權(quán)使用、信息泄密,、數(shù)據(jù)完整性破壞,、系統(tǒng)可用性被破壞等。

支撐網(wǎng)絡(luò)安全防護的基礎(chǔ)是做好安全域劃分、系統(tǒng)自身安全和增加基礎(chǔ)安全防護手段,。同時,，通過建立4A系統(tǒng)，對內(nèi)部維護人員和廠家人員操作網(wǎng)絡(luò),、業(yè)務(wù)系統(tǒng),、網(wǎng)管系統(tǒng)、業(yè)務(wù)支撐系統(tǒng),、OA系統(tǒng)等的全過程實施管控,。對支撐系統(tǒng)進行區(qū)域劃分，進行層次化,、有重點的保護是保證系統(tǒng)安全的有效手段,。安全域劃分遵循集中化防護和分等級防護原則，整合" title="整合">整合各系統(tǒng)分散的防護邊界,，形成數(shù)個大的安全域,，內(nèi)部分區(qū)控制、外部整合邊界,，并以此為基礎(chǔ)集中部署安全域內(nèi)各系統(tǒng)共享的安全技術(shù)防護手段,，實現(xiàn)重兵把守、縱深防護,。

4A系統(tǒng)為用戶訪問資源、進行維護操作提供了便捷,、高效,、可靠的途徑，并對操作維護過程進行實時日志審計,，同時也為加強企業(yè)內(nèi)部網(wǎng)絡(luò)與信息安全控制,、滿足相關(guān)法案審計要求提供技術(shù)保證。圖2為維護人員通過登錄4A系統(tǒng)后訪問后臺設(shè)備的示意圖,。

圖2　維護人員通過登錄4A系統(tǒng)后訪問后臺設(shè)備的示意

4A系統(tǒng)作為用戶訪問后臺系統(tǒng)的惟一入口,，可以實現(xiàn)對系統(tǒng)維護人員、用戶的統(tǒng)一接入訪問控制,、授權(quán)和操作行為審計,。對于防止違規(guī)訪問敏感信息系統(tǒng)和在訪問之后進行審計提供非常重要的管控手段。

3  重要系統(tǒng)的安全防護

3.1  Web網(wǎng)站安全防護

隨著網(wǎng)絡(luò)層防護水平的提高,，Web等應(yīng)用層由于其開放性可能會面臨著越來越多的攻擊,，隨著通信業(yè)務(wù)Web化的發(fā)展趨勢，Web系統(tǒng)的安全直接影響到通信業(yè)務(wù)系統(tǒng)的安全,。Web系統(tǒng)防護是一個復雜的問題,，包括應(yīng)對網(wǎng)頁篡改、DDoS攻擊、信息泄漏,、導致系統(tǒng)可用性問題的其它類型黑客攻擊等各種措施,。針對Web系統(tǒng)的許多攻擊方式都是利用了Web系統(tǒng)設(shè)計編碼中存在的漏洞，因此Web網(wǎng)站的安全防護通常要包括Web系統(tǒng)上線的安全編碼階段,、安全檢測及上線之后的監(jiān)控及運行防護階段,。Web系統(tǒng)上線之前的階段側(cè)重于應(yīng)用工具發(fā)現(xiàn)代碼存在的漏洞，而在監(jiān)控及運行防護階段需要針對系統(tǒng)分層進行分別防護,，例如分為內(nèi)容層安全,、應(yīng)用層安全、網(wǎng)絡(luò)層安全,、系統(tǒng)層安全等,。在分層防護時分別部署內(nèi)容檢測系統(tǒng)、Web安全漏洞掃描系統(tǒng),、防火墻,、Web應(yīng)用防火墻、系統(tǒng)漏洞掃描器等措施,。

3.2  DNS系統(tǒng)的安全防護

DNS系統(tǒng)是互聯(lián)網(wǎng)的神經(jīng)系統(tǒng),，因此對DNS系統(tǒng)的安全防護尤為重要。近幾年來,，針對DNS系統(tǒng)的攻擊比較突出的為DoS攻擊,、DNS投毒、域名劫持及重定向等,。DNS系統(tǒng)的安全防護需要部署流量清洗設(shè)備,，在發(fā)生異常DNS Flood攻擊時，能夠?qū)NS流量牽引到流量清洗設(shè)備進行清洗,，保障DNS業(yè)務(wù)系統(tǒng)的正常運行,。同時，DNS系統(tǒng)安全防護需要進行安全配置并同時要運行安全的DNS系統(tǒng)或者啟用安全的協(xié)議,，例如運行源端口隨機化的系統(tǒng)來部分解決DNS投毒問題或者利用DNSSEC協(xié)議來避免DNS投毒,、DNS劫持等。

4  新業(yè)務(wù)網(wǎng)絡(luò)的安全防護

4.1  物聯(lián)網(wǎng)安全

物聯(lián)網(wǎng)由大量的機器構(gòu)成,，很多節(jié)點處于無人值守環(huán)境,，并且資源受限、數(shù)量龐大,，因此物聯(lián)網(wǎng)除了面對移動通信網(wǎng)絡(luò)的傳統(tǒng)網(wǎng)絡(luò)安全問題之外,，還存在著一些特殊安全問題，包括感知網(wǎng)絡(luò)的安全,，以及感知網(wǎng)絡(luò)與通信網(wǎng)絡(luò)之間安全機制的相互協(xié)調(diào),。對于感知網(wǎng)絡(luò)的安全,，主要有以下安全問題：

（1）感知節(jié)點的物理安全問題。很多節(jié)點處于無人值守環(huán)境,，容易失效或受到物理攻擊,，在進行安全設(shè)計時必須考慮失效/被俘節(jié)點的檢測、撤除問題,，同時還要將失效/被俘節(jié)點導致的安全隱患限制在最小范圍內(nèi),。

（2）感知網(wǎng)絡(luò)的傳輸與信息安全問題。感知網(wǎng)絡(luò)通常采用短距離通信技術(shù),、以自組織方式組網(wǎng),，且感知節(jié)點處理器、存儲器,、電源等資源非常有限,。開放的環(huán)境使傳輸介質(zhì)易受外界環(huán)境影響，節(jié)點附近容易產(chǎn)生信道沖突,，惡意攻擊者也可以方便竊聽重要信息,。資源受限使節(jié)點無法進行快速的高復雜度的計算，這對依賴于加解密算法的安全架構(gòu)提出了挑戰(zhàn),，需要考慮輕量級,、高效的安全實現(xiàn)方案。

目前,，物聯(lián)網(wǎng)通" title="網(wǎng)通">網(wǎng)通信安全防護重點在節(jié)點認證,、加密、密鑰管理,、路由安全和入侵檢測等方面,，業(yè)界也提出了一些針對性的解決方案，如SPINS協(xié)議,，其子協(xié)議SNEP 提供點到點通信認證、數(shù)據(jù)機密性,、完整性和新鮮性等安全服務(wù),，子協(xié)議μTESLA提供對廣播消息的數(shù)據(jù)認證服務(wù)。但目前主要針對某個領(lǐng)域解決特定的安全問題,，遠未形成物聯(lián)網(wǎng)安全防護體系,，更無法與通信網(wǎng)絡(luò)相互配合形成統(tǒng)一的物聯(lián)網(wǎng)安全防護體系。

物聯(lián)網(wǎng)應(yīng)用和行業(yè)緊密相關(guān),，有特殊的安全需求,，作為運營商，應(yīng)提供基礎(chǔ)安全服務(wù),，解決物聯(lián)網(wǎng)中共性的安全問題,，例如構(gòu)建物聯(lián)網(wǎng)安全管理平臺,，為物聯(lián)網(wǎng)應(yīng)用提供安全基礎(chǔ)支撐環(huán)境，重點提供認證,、加密等安全通信服務(wù),，并解決節(jié)點監(jiān)控與管理、網(wǎng)絡(luò)安全狀態(tài)監(jiān)控,、網(wǎng)絡(luò)故障修復,、安全策略分發(fā)等問題。

4.2  云計算安全

云計算的虛擬化,、多租戶和動態(tài)性不僅加重了傳統(tǒng)的安全問題,，同時也引入了一些新的安全問題。云計算系統(tǒng)的安全防護應(yīng)重點考慮如下方面：

（1）數(shù)據(jù)安全和隱私保護,。由于虛擬技術(shù),、數(shù)據(jù)遷移、業(yè)務(wù)遷移等多個因素綜合導致數(shù)據(jù)保護將面臨更大的挑戰(zhàn),，應(yīng)通過管理和技術(shù)手段,，解決用戶隱私數(shù)據(jù)保護和數(shù)據(jù)內(nèi)容安全問題。

（2）虛擬化安全,。重點解決虛擬機隔離,、虛擬機監(jiān)控、虛擬機安全遷移和鏡像文件的安全存儲,。

（3）運行環(huán)境安全,。通過代碼的靜態(tài)分析和運行監(jiān)測，避免惡意程序?qū)?nèi)網(wǎng),、外網(wǎng)和系統(tǒng)中其他用戶發(fā)起的攻擊,。

5  結(jié)束語

隨著通信網(wǎng)絡(luò)IP化、業(yè)務(wù)多樣化的發(fā)展,，通信網(wǎng)絡(luò)安全形勢也會日趨嚴峻,；三網(wǎng)融合、物聯(lián)網(wǎng),、云計算,、移動互聯(lián)網(wǎng)等新業(yè)務(wù)和新技術(shù)的引入也給通信網(wǎng)絡(luò)安全帶來了巨大挑戰(zhàn)，因此通信網(wǎng)絡(luò)安全防護體系也必將隨著技術(shù)的進步和發(fā)展而動態(tài)調(diào)整,。在通信網(wǎng)的安全防護過程中,，需要不斷完善通信網(wǎng)絡(luò)安全防護標準，完善安全防護手段,，提高應(yīng)對各種安全威脅的能力,，使得通信網(wǎng)絡(luò)能更好地服務(wù)于社會，推動業(yè)務(wù)與網(wǎng)絡(luò)系統(tǒng)更好地創(chuàng)造價值,。