電信運營商財務系統的安全設計與研究

張 杰

（華信郵電咨詢設計研究院 浙江 310014）

0 前言

電信運營商近年來逐漸提升自身財務系統的信息化程度，逐漸將財務、資金、物資、銀行支付與對賬等需求進行了信息化改造，作為企業內部的財務系統。由于運營商的財務系統涉及金額巨大，因此系統的安全設計顯得尤為重要。

在通常的財務系統設計時，容易出現的安全從主機、網絡、應用系統、維護監控等方面的問題大致如下：

（1）網絡架構設計不合理，沒有劃分安全域；

（2）未設置嚴格的網絡訪問控制措施；

（3）重要鏈路和設備無冗余；

（4）缺乏安全防護設備；

（5）生產服務器缺乏統一標準的安全技術配置基線；

（6）設備或系統缺乏必要的安全檢查及加固配置；

（7）惡意代碼防護機制不健全；

（8）IT終端準入控制措施不足；

（9）缺乏網絡監控措施；

（10）缺乏常態化的安全技術評估機制；

（11）缺乏有效的安全審計措施；

（12）應用系統防護措施不足，存在sql注入、跨站腳本等問題；

（13）等等。

針對這些安全風險進行系統安全設計的時候，應注意一下幾個原則：

（14）管理與技術并重：采用管理和技術相結合的方式，建立有效識別和預防IT安全風險機制，合理選擇安全控制方式，有效降低IT安全風險。

（15）分級防護：依據國家相關規定和信息安全管理最佳實踐，根據信息資產的重要性等級，對重要信息資產和系統劃分不同的防護等級，執行差異化的安全防護措施。

（16）集中管控：建立層次化安全管理組織和集中的安全管控措施，統一進行系統信息系統安全的規劃、建設及管控。

（17）循序漸進：建立全面覆蓋系統安全各個領域的、可度量、可管理的安全保障體系，并在此基礎上進行持續改進，不斷自我完善，為業務的平穩運行提供可信的系統支撐環境。

根據運營商的財務系統特點，IT安全的技術體系建議設計如下：

圖1 體系設計圖

通過整體安全規劃，系統應從六大安全層面防護，并具備三項防護能力：

1 安全防護能力

1.1 安全識別與監控能力

該能力是系統IT安全防護能力的基礎，主要能夠針對系統用戶登錄身份進行認證鑒別，評估和發現系統及相關資源的安全漏洞，對于網絡入侵和攻擊行為進行實時的監控和預警。

1.2 安全防護能力

該能力是提升安全防護能力的主要手段，根據安全防護需求，選擇采取合適有效的安全防護措施，實現對系統的安全弱點和威脅進行有效防護和控制。

13 安全審計與恢復類措施

該能力是安全的審核和糾正性控制措施，能夠實現針對安全運行情況進行審核，對發生的安全事件進行恢復。

2 六大安全層面防護

2.1 物理安全

物理環境是承載系統的各種基礎設施以及相關的保障設施所處的物理位置及周邊環境。物理安全主要從部署門禁系統，加強人員進入以及設備接入的訪問控制與事件審計；實現電力、數據、消防等方面的冗余備份。辦公區應部署門禁系統，對人員進入進行訪問控制和審計，實現電力、消防等方面的安全措施。

2.2 網絡安全

網絡是系統的最重要的基礎設施之一，是系統實現對內、對外通信的主要承載體，網絡安全是從網絡架構自身的安全和對網絡所承載信息安全兩大部分提出相應的防護要求，主要從訪問控制、安全審計、邊界完整性和入侵防護等幾個方面提出相應的安全防護要求。

2.3 系統安全

系統軟件是各類應用系統運行的基礎軟件平臺，主要包括操作系統、數據庫系統及中間件。為了能夠給系統提供一個安全穩定的運行環境，系統安全至關重要，系統安全從身份鑒別、訪問控制、安全審計、入侵防范、惡意代碼防范等幾個方面提出相應的安全防護要求。

2.4 應用安全

應用系統是系統中對外部提供業務服務或對內提供運行支持的軟件系統。應用安全是指通過應用系統自身的安全功能模塊或外界的產品支持，應用安全從身份鑒別、訪問控制、安全審計、剩余信息保護、通信完整性、通信保密性和抗抵賴等方面提出安全防護要求。

2.5 數據安全

數據是運營商內部最重要的資產，重要數據的保密性、完整性和可用性受到破壞后都將會還來不可估量的損失。針對數據安全從保障數據的保密性、完整性和對數據的備份及恢復方面提出相應的防護要求。

2.6 終端安全

信終端包括PC終端設備以及手機等移動終端，終端安全主要從補丁管理、病毒防護、入侵檢測、數據保護、準入控制等方面定義相應的安全防護要求。

根據以上安全技術體系規劃，落地到運營商財務系統具體情況，一般設計如圖2所示：系統硬件平臺從安全域上可劃分為Internet互聯區、內部互聯區、專線互聯區、核心交換區、計算服務區、運維管理區。

圖2 系統圖

Internet互聯區——主要指系統外圍出口部分，包括DMZ區域中的網絡設備、安全設備及放置在DMZ區的服務器設備。其中安全設備主要包括防火墻、IPS入侵檢測設備、防DDoS攻擊設備等。

內部互聯區——主要指系統內部網絡出口部分，包括網絡設備和安全設備。其中安全設備主要包括防火墻等。

專線互聯區——主要指銀行專線部分，包括網絡設備、安全設備及接口前置機設備。其中安全設備主要包括防火墻等。

核心交換區——主要指系統核心網絡交換機部分，此部分主要包括核心網絡交換機及做內部安全域隔離的安全設備（防火墻）。

計算服務區——主要指各提供處理能力的生產組，包括組內各組設備。

運維管理區——主要指運維管理（管理平臺）設備，包括堡壘機、漏洞掃描工具等。

根據以上安全域劃分，各安全域主要安全策略如下表所示：

安全策略表

安全防護策略功能如下：

入侵檢測技術：入侵檢測系統主要是根據探測頭從網絡中實時采集的網絡運行信息以及系統內置的特征模型進行比對和分析，從而發現可疑的網絡活動并提出告警；

DDOS攻擊防護技術：CC攻擊為DDoS拒絕服務攻擊針對主機應用層的常見攻擊方式，由于本期工程需同外網對接，所以針對系統主機的CC攻擊行為將會非常頻繁，需要部署CC攻擊防護系統來阻止DDoS的CC攻擊事件發生；

防火墻技術：防火墻所實現的邊界安全防護主要是通過對經由網絡邊界（通常是內部網和外部網之間的邊界）的應用連接根據安全策略實施代理和過濾；

WAF防火墻：通過WAF提供網頁應用安全防護，對4層以上攻擊行為進行攔截；

網頁防篡改：對用戶站點的文件進行保護，對被新技術侵入篡改的頁面文件，做到第一時間報警和恢復處理；

安全審計：安全審計為用戶提供安全情況的綜合性審計，可以針對用戶的系統運維情況日志、病毒日志、入侵行為日志、防火墻日志、系統日志、性能日志等情況綜合審計，使得用戶可以對所用業務的安全情況一目了然；

數據庫安全防護：數據庫的保護應從數據庫脆弱性、應用審計及安全防護等方面進行技術保護；

備份恢復：保障用戶業務的連續性是業務安全保障的重中之重，特別是針對虛擬化環境中的虛擬主機及相關數據，應提供冗余備份機制，無論用戶所用的虛擬主機系統還是用戶數據，有任何技術故障、物理破壞都可以保障在最短時間進行恢復，從而保障用戶業務的連續性。

[1]程學東，電信網網絡安全評估指標體系研究，現代電信科技[期刊論文],2005(8)

[2]牛立成，電信網中業務網網絡安全評估的模糊綜合評價，計算機安全 [期刊論文] ，2012(6)

[3]郭曙光.劉建華,電信數據網安全域劃分與評估范圍, 網絡安全技術與應用 [期刊論文], 2007(10)