電信級網絡安全問題剖析

摘要：本文從討論網絡結構、用戶行為以及日常安全管理的可操作性等方面入手，結合實際的互聯網運維經驗，對運營商所關心的網絡與信息安全的問題進行了分析，提出了解決問題的思路并對安全工作的發展進行了合理的展望。

關鍵詞：運營商；網絡安全；風險分析；用戶行為；安全增值

中圖分類號：TN915.08 文獻標識碼：A 文章編號：1674-7712 (2012) 10-0107-01

隨著互聯網技術的飛速發展，互聯網的建設和應用正日趨成熟，使得國內外同行業間的競爭加劇，因此，向全社會提供一個安全、高速、易用的互聯網環境，成為了每個運營商都面臨著的挑戰。

本文簡要分析了運營商普遍存在的安全問題，提出了一些有針對性的想法。從分析運營商所面臨的安全風險入手，對運營商提高網絡與信息安全的水平進行初步的探討。

一、網絡運營的安全現狀和面臨的主要安全風險

考慮互聯網的安全，從技術層面上來說，應當首先明確網絡結構的安全特性；從管理層面上說，應當首先明確技術人員的能力與規章制度的執行效率等情況。

為方便說明問題以一省的互聯網為例，從網絡、用戶行為和管理等幾個方面進行簡要分析。

（一）網絡層面

骨干網的安全風險主要有（依照破壞強度大小排列，下同）：

1.急速消耗帶寬類的拒絕服務攻擊，例如，穿越省網出口的網絡蠕蟲引發的安全風險和穿越省骨干網核心節點間的網絡蠕蟲引發的安全風險；

2.路由器自身遭受攻擊，例如IOS或路由協議可能出現的安全漏洞引發的安全風險；

3.路由器配置錯誤和不當引發的安全風險；

4.緩速消耗帶寬類的拒絕服務攻擊，例如各種人為的以緩慢消耗帶寬為目的的破壞。

（二）用戶行為

用戶行為的安全風險主要有：

1.病毒的傳播更加便捷高效、破壞力更強。雖然用戶可能使用了各種形式的殺毒軟件，但是如果出現病毒借助點對點共享方式進行傳播的情況，由于病毒檢測機構很難快速獲得病毒樣本，所以被延長了的殺毒周期加劇了病毒的破壞力，帶來的安全風險極大；

2.信息安全受到極大的挑戰，數據的機密性和完整性受到嚴重威脅；

3.帶寬消耗非常大，符合緩速消耗帶寬類拒絕服務攻擊的特征。

由此看出，雖然用戶行為引發的安全風險主要集中在用戶自身，影響其信息資產的安全，同時也對運營商的網絡產生影響。但是用戶不會如此客觀的看待這個問題。他們很可能會遷怒于運營商網絡的不穩定、不安全。如此下去，若被競爭對手加以利用，則會更加不利于市場競爭。

（三）管理層面

安全工作需要管理層面和技術層面緊密結合才能取得實質的效果，在行業內普遍認同“三分技術、七分管理”的理念。

1.目前，各運營商都普遍成立了專門的安全組織，但在實際工作中，各級安全機構間的溝通一直都比較少，還沒有形成定期溝通的機制。由此會引發的安全風險主要表現在由于指揮調度、信息傳遞、考核監督等受到影響而不能及時處理安全事件、消除安全隱患等方面。

2.在安全工作的流程上，主要有兩個工作關系還沒有得到優化：一是安全管理員與設備、網管維護人員的工作關系，二是上級安全管理員與下級安全管理員間的工作關系。由于流程沒有優化，加之相關的規章制度也沒有健全，所以會帶來安全管理上的風險。

3.運營商的整個安全工作缺乏一支專業技術隊伍作為支撐，缺乏較高水平的核心技術人員，很多工作無法落到實處。缺乏核心技術人員，以及技術人員整體水平偏低，都是安全工作的嚴重隱患，能引發極大的安全風險。

二、網絡運營安全問題的解決思路

總結上述對運營商互聯網安全風險的分析，可以看到，當前的安全風險已經分布在涉及技術和管理兩大范疇在內的方方面面。為了有效的消除安全風險，可以采取“三步走”戰略。

（一）采取基本措施，具備安全風險控制的基本能力

1.部署分布式漏洞掃描器（IS）， 主動發現安全漏洞。使用漏洞掃描器可以主動的發現安全隱患，從而能夠及時采取必要措施進行補救以避免遭受網絡攻擊和破壞。漏洞掃描器主要采用模擬入侵的方式驗證目標系統的安全性，用來對全省互聯網設備和業務主機進行漏洞掃描和發現。

2.部署分布式網絡入侵檢測系統（IDS），完善安全監視手段。網絡入侵檢測（預防）系統主要是用來識別網絡攻擊和安全事故，監視網絡安全狀況；可以為發現、截獲、追蹤和事后分析網絡攻擊行為提供必要的原始數據。入侵檢測系統不同于異常流量分析設備，前者是基于安全事件的檢測，智能化程度較高；后者基于流量采樣統計，對大流量環境下的檢測能力較強。

3.部署綜合安全風險分析系統。綜合安全風險分析系統可以改善當前網絡安全工作中完全依靠手工運算進行安全風險分析、預測的局面，全面提高網絡安全風險控制的能力。綜合安全風險分析系統還可以在運行維護的輔助決策、安全預警和流程控制等方面發揮作用。

4.部署防范拒絕服務攻擊（Anti-DDoS）系統。防范拒絕服務攻擊系統具備綜合安全風險分析系統的關聯分析資料，防范拒絕服務模塊可以與之進行聯動，在綜合安全風險分析系統的支持下，可以有效的調度網絡資源對抗（或削弱）拒絕服務攻擊，還可以進行溯源。

5.考慮請一家或數家安全技術力量雄厚的公司來為運營網絡提供高級安全顧問服務，并在出現緊急情況時，為運營商提供專業的安全應急服務。

6.技術隊伍建設。采用參加專業培訓與實際工作相結合的方式進行技術隊伍建設，尤其應當注意培養核心技術人員。

（二）制訂、實施安全工作的中長期規劃

中長期規劃主要用來加強互聯網網絡本身和各種依托互聯網的業務系統的生存能力，也就是考慮實施業務持續性計劃，或稱作BCP（Business Continuity Planning）。

BCP是一套完整的解決方案，用來消滅或降低突發事件對業務產生的影響，是在量化的業務沖擊分析（BIA）及風險分析（RA）基礎上，制定各種相應的應急及恢復計劃、方法和流程，減輕災難事件造成的不利影響。

（三）安全增值服務計劃

安全增值服務的核心的思想就是將運營商成熟的安全管理方法、技術手段以客戶能接受的方式提供給客戶；用雙贏的方式，即加強安全又產生效益。

總之，網絡安全工作任重而道遠。網絡安全工作是一項復雜的系統工程，同時也是一個循序漸進的工作過程，無法一次完成所有的安全工作。網絡安全需要合理的網絡設計、嚴密的管理制度、高水平的安全技術隊伍和先進的安全工具來保障。