思科认证:移动网络的安全建设(2)
四. 移动网络安全建设思路探讨
4.1 基于业务的安全评估
全面、系统地分析业务系统面临的风险，能很好的为设计符合业务特点的安全方案打下良好基础。调研是安全评估的基础，那么如何基于业务需求来开展调研呢?
首先准确、全面的把握评估的目标业务是什么，这需要站在企业组织的业务使命、业务战略的高度，了解业务，了解达成或实现业务战略的一系列的业务流程，以及与业务流程正常实现、运作的相关IT系统，并了解组织的未来发展、规划情况，以全面、有效地把握业务现状、业务发展情况。
其次，从管理角度对企业组织结构、部门及岗位职责、人员配置情况进行了解，再根据部门职责，了解其管理制度、流程，并分析贯穿管理体系及具体管理流程的管控措施设计及落实情况，并与既定规范标准、规范相比较，分析存在的差距与不足。
再次，从技术角度充分、准确的把握IT系统对业务流程的支持、承载情况，了解系统承担的业务使命和业务功能(和管理控制功能)，了解系统结构、网络结构、应用结构，明确人员及访问方式，根据业务功能梳理和刻画IT流程，了解、分析贯穿IT流程数据处理活动，并对数据处理活动进行分析归纳信息安全威胁、安全风险和安全需求，分析现有安全措施对安全需求匹配程度，评价保证等级和能力。
最后，对管理和IT系统调研结果进行汇总、分析，形成基于业务的安全评估报告，使整体安全建设能基于业务需求为出发点，为后续的安全建设提供指导依据。
4.2 业务系统安全承载
移动网络的业务系统利用IP承载网进行承载，在IP承载网上为每个业务系统分配单独的VPN通道，对各个业务系统进行了隔离承载，避免业务系统之间互相干扰。业务系统安全承载面临的最大风险是大流量冲击和大规模的DDoS攻击。对于DDoS攻击的防护可以通过在承载网部署流量分析系统和异常流量清洗系统对大规模攻击行为进行监控。对于大流量冲击可以利用深度包检测系统对业务流进行识别和控制。
4.3 安全域划分和边界整合
业务网、核心网、互联网、支撑系统、第三方接入系统等系统之间具有网络互联和数据交换，如何保障系统之间的安全隔离，降低安全风险影响的范围，可以通过划分安全域及边界整合的方式进行控制。针对运营商网络的特性可以将业务系统划分以下为四类主要的安全域：核心数据域、内部互联接口域、互联网接口域和网络交换域等。
核心数据域：本区域仅和该业务系统其它安全子域直接互联，不与任何外部网络直接互联，该业务系统中资产价值最高的设备如数据库及存储位于本区域，外部不能通过互联网直接访问该区域内设备。
内部互联接口域：本区域放置的设备和公司内部网络互联，如与支撑系统、其它业务系统或第三方互联的设备。
互联网接口域：本区域和互联网直接连接，主要放置互联网直接访问的设备。该区域的设备具备实现互联网与内部核心生产区数据的转接作用。
网络交换域：负责连接核心数据区、内部互联接口区和外部互联接口区等安全域。
安全域划分完成以后，我们会发现业务系统有很多互联接口，这通常是由于大多数业务系统都是分期单独建设，为了达到业务系统之间的互联互通而造成的。为了降低业务系统之间的边界接口，增加接口的安全可控性，需要通过边界整合将不同系统的相同类型安全域整合形成大的安全域，比如统一办公系统的互联网边界、统一数据业务系统的互联网边界、统一计费系统与网管系统的边界，以便于安全管理和维护。
4.4 网元自身的安全建设
通过安全域的划分与边界整合后，实现了不同类系统之间的隔离，控制了安全风险的影响范围，下一步就是提高系统中的网元自身的安全。网元自身的安全主要包括两个方面：
安全配置：通常是由于配置不当或人为的疏忽造成，主要包括了账号、口令、授权、日志、IP通信等方面内容，反映了系统有关人引起的安全脆弱性。
安全漏洞：通常是属于系统自身的问题引起的安全风险，一般包括了登录漏洞、缓冲区溢出、信息泄漏、蠕虫后门、意外情况处置错误等，反映了系统自身的安全脆弱性。
安全配置类威胁产生的主要原因在于移动网络建设过程中缺乏一套完善的系统安全配置指导规范，各系统承建厂商按照各自标准和经验进行建设，从而造成同样的网络设备、主机系统、数据库等系统配置参差不齐，往往带来许多安全隐患。为了解决这一问题，我们首先可以制订标准化一系列的系统安全规范，包括网络设备、主机系统、应用系统、数据库系统等设备、系统的安全配置和漏洞修补规范。接着对业务网、承载网、支撑网依据安全规范进行安全整改，对于新建的系统在割接上线之前进行安全测试，如果不符合安全配置规范则进行相应的整改后方可上线运行。
4.5 安全技术防护手段
在安全评估的基础上，基于安全域划分和边界整合后，体系化的进行安全技术体系的建设是提高整体安全性的必要手段。安全管理虽然强调“七分管理，三分技术”，但技术防护手段不可或缺。在多业务环境中，要统筹考虑不同系统的安全保护，需要独立配置的就独立配置，如防病毒系统的客户端、关键网段的入侵检测;需要集中建设的要集中建设，如防火墙、 IDS、防病毒的控制端以及账号口令管理(AAAA)系统、域管理系统等，避免分系统进行安全建设带来的投资浪费、管理困难、效益低下的问题。同时，在信息安全领域，目前的攻击手法已经融合了多种技术，比如蠕虫融合了缓冲区溢出、网络扫描和病毒感染技术，如果依赖于安全产品的孤军作战，就无法有效地查杀病毒、无法阻止病毒的传播。
安全技术控制措施多种多样，并且在不断的演化与发展，使得企业时常会感到困扰，很难清晰了解适合自身安全需求的模块有哪些，其实只需将这些技术模块进行合理的归类，并与企业的不同保护阶段的要求相对应，就能够清晰了解并进行合理的规划选择。
在安全技术体系中，将多种安全技术相结合，首先从技术体系划分上，各类安全技术控制模块可以被分为7个大类：准备、预防、检测、保护、响应、监控、评价等，在整个安全系统运转中，各司其职。进而结合阶段性维度，根据不同业务系统的特点，分解到“基本保护阶段”、“中度保护阶段”、“深度保护阶段”，从而明确划分了技术手段的同时，也针对不同建设的阶段需求，提供有计划的、持续深入的技术保护。
4.6 安全管理建设
安全管理建设包括组织、流程、制度等方面的内容，建立专职的安全队伍，从事具体的安全工作，在集团层面设置安全主管机构，各省级公司设置专职的安全部门和安全专员员。结合电信运营商的运维体系，梳理安全工作流程，将安全工作体现在网络与信息系统生命周期中的规划、设计、开发等各个阶段，保证安全工作的最终落地。
遵循和参考国际国内信息安全管理标准、国家法律法规和行业规范的基础上，阐述安全管理体系建设的目的、适用范围、安全定义、体系结构、安全原则、关键性成功因素和声明等内容，在技术和管理各方面的安全工作具有通用指导性。完善安全管理制度，根据电信运营商的业务正常运行和发展需求，综合各方面的有关要求，提出公司的信息安全策略、方针，对信息安全保障体系建设和完善提供指引。
五. 移动网络安全建设实践
目前运营商移动网络的建设正如火如荼，市场营销部门紧迫的希望将业务尽早推向市场，可是在业务和网络建设过程中也不可忽视安全方面的建设，在系统规划和建设阶段同步考虑安全问题可以很大程度上降低系统上线后的整体安全风险和运维成本。
为了保障业务的平稳安全运营，电信运营商开展了大量的安全建设，下面我们介绍一下某运营商移动网络建设的思路。该运营商在接收移动网络以后展开了大量的业务系统的扩容建设工作，对业务系统的承载网络实现了割接，利用单一IP承载网实现多个业务系统的承载，利用VPN隧道将多个业务系统进行隔离。安全建设工作与网络和业务系统的建设同步开展，安全建设的首要工作是安全评估，通过评估了解网络和业务系统的安全状况，评估主要内容包括：识别关键业务、关键业务流程;通过技术手段、调研访谈等形式识别系统所存在的各种技术、管理以及架构上的脆弱性，从而识别可能被各种威胁源利用的弱点;在脆弱性识别和分析的基础上，对可能面临的威胁进行可能性分析;分析业务和信息资产遭到破坏后所造成的影响。在安全评估的基础上，对业务网和支撑网进行安全域划分和边界整合，并且利用相应的安全技术防护手段进一步增强系统的安全性。