淺談電信網絡的安全
http://www.dcyhziu.cn 2007/6/5 源自:中華職工學習網 【字體：
】
】
隨著互聯網的興起,TCP/IP協議簇的采用,各種應用層出不窮,傳統的固定網、移動網與互聯網的聯系越來越緊密。有線、無線等各種接入方式不斷推出,企業網、ISP、ICP、個人電腦等都以不同的方式與互聯網等網絡相聯。這樣,雖然用戶使用方便了,但網絡安全問題的威脅也增加了,往往一個點或一個地方的問題會影響到其他地方、其他網絡,甚至多個網絡。
當前,威脅網絡安全的主要有木馬程序病毒、蠕蟲病毒、電子郵件攻擊、Web攻擊、軟件漏洞、系統漏洞、拒絕服務(DoS)攻擊、IP地址欺騙、即時通信攻擊、端到端攻擊、緩沖溢出等。
從上述威脅網絡的種種可以看出,黑客與病毒的目的不外呼是破壞系統和竊取信息。面對這一形勢,目前電信網絡如何增強其安全性呢?
電信網絡的特點
傳統的電信網絡(PSTN)是基于電路交換的方式,面向連接,網絡QoS有保證。其網絡的安全性體現在網絡的可靠性和可用性,網絡的可靠性涵蓋了傳輸系統和相應的設備,可靠性的指標很高,設備間的連接電路也有相同的可靠性要求,并且還設計了冗余備份和保護倒換等技術來進一步保證系統的可靠性。
PSTN對用戶的信息是透明的,網絡保證不對用戶信息進行任何的修改和破壞。用戶信息也不會對網絡節點設備構成任何沖擊和危害。
PSTN的網絡安全還包含運營網絡不得隨意使用加密技術,而對于個人用戶的私人保密是以不危及國家安全為限的。在傳統的電信網中,用戶數據加密是有規定的,普通用戶數據是不準加密的,商密用戶,普密用戶,絕密用戶可以使用密碼技術加密,但必需經過相關部門批準。
互聯網的特點
互聯網是基于分組交換的方式,面向無連接,網絡QoS保證較差�；ヂ摼W又可稱為IP網,傳統的PSTN網由于是面向連接,一條鏈路要么接通,要么不通,問題容易發現也容易解決。而IP網是無連接的,其網絡的路由和流量分配都是隨機的,不同的流量分配帶來的網絡效率也不一樣。IP網絡攻擊源無處不在,難以追蹤和查找,使IP網絡維護的復雜性大大增加。
近年來,由于互聯網的迅猛發展,新業務及傳統業務的迅速IP化,終端設備的智能化,網絡規模越來越大,網絡的安全問題也越來越突出,加上互聯網的不可管理,不可控制,網絡只保證通達,而把安全問題交給了用戶的一些網絡設計中,這樣就進一步惡化。上面所談的一些威脅安全的種類都是由于互聯網及其業務的發展所引起的。而當今互聯網已把PSTN和移動網緊密地聯系起來了,如VoIP業務的迅猛發展更是和每個網絡有關系。這樣上述的網絡安全的種種自然也帶給了電信網絡。
網絡安全的防范
1.網絡安全防范的要求
網絡安全從用戶的要求,主要是涉及個人隱私或商業利益的信息要受到機密性,完整性和真實性的保護,避免其他人竊聽,冒充,修改和非法訪問等。
網絡安全從運營商的要求,主要是對本地網絡的信息訪問,讀寫等操作受到保護和控制,避免出現病毒,非法存取,拒絕服務和網絡資源被非法占用和非法控制等威脅,制止和防御網絡“黑客”的攻擊。
網絡安全從政府主管的要求,主要是對非法的,有害或涉及國家機密的信息進行過濾和防堵,避免這類信息從網絡上泄漏。此外,對不健康的內容和對社會穩定有影響的信息也必需加以控制。
2.網絡安全的防范
網絡安全的防范是一個體系和系統,必需協調法律,技術和管理三個方面。要集成防護,監測,響應,恢復等多種技術。
網絡安全的防范是通過各種計算機,網絡,密碼和信息安全技術,保護在網絡中傳輸,交換和存儲信息的機密性,完整性和真實性,并對信息的傳播及內容進行控制。
網絡按全的防范從技術層次上看,主要有防火墻技術,入侵監測(IDS/IPS,IPS可以做到一手檢測,一手阻擊)技術,數據加密技術和數據恢復技術,此外還有安全協議,安全審計,身份認證,數字簽名,拒絕服務等多種技術手段。
這里特別需要指出的是防火墻,防病毒和安全協議的技術。防火墻守住網絡門戶,防病毒是網絡的第一把保護傘,安全協議提供了身份鑒別,密鑰分配,數據加密,防信息重傳,以及通信雙方的不可否認性等重要功能。
關于上述各種安全防范技術和措施的產品與解決方案在這里就不詳細介紹了。
電信網絡的安全
這里的電信網包括電信,移動等運營商的固定網和移動網,以及專門供運營商使用的專用網,如DCN(數據通信網)等。
電信網絡的安全保障可從以下幾方面考慮:
1. 在電信網絡各節點處構筑防御(如防火墻),防止外網影響內網。這里說的節點就是與其他各種網絡連接的地方,除固定網與移動網外,還有ISP,ICP,企業網,個人電腦等許多終端設備。
2. 建立一個統一,完善的安全防護體系,該體系不僅包括防火墻,網關,防病毒及殺毒軟件等產品,還有對運營商安全保障的各種綜合性服務措施,通過對網絡的管理和監控,可以在第一時間發現問題,解決問題,防患于未然。
3. 在互聯網日益廣泛應用的今天,為保障電信網絡的安全,必需樹立全程安全的觀念。全程安全就是在安全的每個過程中,如物理層,網絡層,接入終端,服務層面,人員管理等每個和安全有關的過程都要添加相應的安全措施,并且還要考慮安全隨時間變化的因素,也就是說,無論用戶在任何特定的時間,用戶的安全性都能得到保障。
4. 需要建立安全管理機制。例如,口令管理;各種密鑰的生成,分發與管理;全網統一的管理員身份鑒別與授權;建立全系統的安全評估體系;建立安全審計制度;建立系統及數據的備份制度;建立安全事件/安全報警反應機制和處理預案;建立專門的安全問題小組和快速響應體系的運作等。為了增強系統的防災救災能力,應制定災難性事故的應急計劃,如緊急行動方案,資源(硬件,軟件,數據等)備份及操作計劃,系統恢復和檢測方法等。
5. 建立專門的數據容災系統。其內容主要是數據容災和應用容災。數據容災是指建立一個異地的數據系統,該系統是本地關鍵應用的一個實時復制,當本地數據及整個應用系統發生災難時,系統至少在異地保存一份可用的關鍵業務的數據。應用容災是在數據容災的基礎上在異地建立一套完整的,與本地相當的備份應用系統(可以互為備用),在遇到災難時,遠程系統迅速接管業務運行。
網絡管理與網絡安全管理相結合
網絡管理是電信網絡運營商的重要手段之一。它監控網絡話務量及路由繁忙的情況,以及設備及鏈路的可靠運行。網絡管理在網絡內部安全方面具有先天的優勢,它可以通過對網絡流量發生異常的分析及深度檢測,對IP數據進行截獲,發現已知及未知的新型侵入者。通過網絡管理中增加的安全手段還可對多數安全設備顧及不到的4-7 層的內容安全與網絡行為的法律取證等采取有效措施。因此,網絡管理與網絡安全管理相結合將使電信運營商能更有效地保障電信網絡的安全。
當前,威脅網絡安全的主要有木馬程序病毒、蠕蟲病毒、電子郵件攻擊、Web攻擊、軟件漏洞、系統漏洞、拒絕服務(DoS)攻擊、IP地址欺騙、即時通信攻擊、端到端攻擊、緩沖溢出等。
從上述威脅網絡的種種可以看出,黑客與病毒的目的不外呼是破壞系統和竊取信息。面對這一形勢,目前電信網絡如何增強其安全性呢?
電信網絡的特點
傳統的電信網絡(PSTN)是基于電路交換的方式,面向連接,網絡QoS有保證。其網絡的安全性體現在網絡的可靠性和可用性,網絡的可靠性涵蓋了傳輸系統和相應的設備,可靠性的指標很高,設備間的連接電路也有相同的可靠性要求,并且還設計了冗余備份和保護倒換等技術來進一步保證系統的可靠性。
PSTN對用戶的信息是透明的,網絡保證不對用戶信息進行任何的修改和破壞。用戶信息也不會對網絡節點設備構成任何沖擊和危害。
PSTN的網絡安全還包含運營網絡不得隨意使用加密技術,而對于個人用戶的私人保密是以不危及國家安全為限的。在傳統的電信網中,用戶數據加密是有規定的,普通用戶數據是不準加密的,商密用戶,普密用戶,絕密用戶可以使用密碼技術加密,但必需經過相關部門批準。
互聯網的特點
互聯網是基于分組交換的方式,面向無連接,網絡QoS保證較差�；ヂ摼W又可稱為IP網,傳統的PSTN網由于是面向連接,一條鏈路要么接通,要么不通,問題容易發現也容易解決。而IP網是無連接的,其網絡的路由和流量分配都是隨機的,不同的流量分配帶來的網絡效率也不一樣。IP網絡攻擊源無處不在,難以追蹤和查找,使IP網絡維護的復雜性大大增加。
近年來,由于互聯網的迅猛發展,新業務及傳統業務的迅速IP化,終端設備的智能化,網絡規模越來越大,網絡的安全問題也越來越突出,加上互聯網的不可管理,不可控制,網絡只保證通達,而把安全問題交給了用戶的一些網絡設計中,這樣就進一步惡化。上面所談的一些威脅安全的種類都是由于互聯網及其業務的發展所引起的。而當今互聯網已把PSTN和移動網緊密地聯系起來了,如VoIP業務的迅猛發展更是和每個網絡有關系。這樣上述的網絡安全的種種自然也帶給了電信網絡。
網絡安全的防范
1.網絡安全防范的要求
網絡安全從用戶的要求,主要是涉及個人隱私或商業利益的信息要受到機密性,完整性和真實性的保護,避免其他人竊聽,冒充,修改和非法訪問等。
網絡安全從運營商的要求,主要是對本地網絡的信息訪問,讀寫等操作受到保護和控制,避免出現病毒,非法存取,拒絕服務和網絡資源被非法占用和非法控制等威脅,制止和防御網絡“黑客”的攻擊。
網絡安全從政府主管的要求,主要是對非法的,有害或涉及國家機密的信息進行過濾和防堵,避免這類信息從網絡上泄漏。此外,對不健康的內容和對社會穩定有影響的信息也必需加以控制。
2.網絡安全的防范
網絡安全的防范是一個體系和系統,必需協調法律,技術和管理三個方面。要集成防護,監測,響應,恢復等多種技術。
網絡安全的防范是通過各種計算機,網絡,密碼和信息安全技術,保護在網絡中傳輸,交換和存儲信息的機密性,完整性和真實性,并對信息的傳播及內容進行控制。
網絡按全的防范從技術層次上看,主要有防火墻技術,入侵監測(IDS/IPS,IPS可以做到一手檢測,一手阻擊)技術,數據加密技術和數據恢復技術,此外還有安全協議,安全審計,身份認證,數字簽名,拒絕服務等多種技術手段。
這里特別需要指出的是防火墻,防病毒和安全協議的技術。防火墻守住網絡門戶,防病毒是網絡的第一把保護傘,安全協議提供了身份鑒別,密鑰分配,數據加密,防信息重傳,以及通信雙方的不可否認性等重要功能。
關于上述各種安全防范技術和措施的產品與解決方案在這里就不詳細介紹了。
電信網絡的安全
這里的電信網包括電信,移動等運營商的固定網和移動網,以及專門供運營商使用的專用網,如DCN(數據通信網)等。
電信網絡的安全保障可從以下幾方面考慮:
1. 在電信網絡各節點處構筑防御(如防火墻),防止外網影響內網。這里說的節點就是與其他各種網絡連接的地方,除固定網與移動網外,還有ISP,ICP,企業網,個人電腦等許多終端設備。
2. 建立一個統一,完善的安全防護體系,該體系不僅包括防火墻,網關,防病毒及殺毒軟件等產品,還有對運營商安全保障的各種綜合性服務措施,通過對網絡的管理和監控,可以在第一時間發現問題,解決問題,防患于未然。
3. 在互聯網日益廣泛應用的今天,為保障電信網絡的安全,必需樹立全程安全的觀念。全程安全就是在安全的每個過程中,如物理層,網絡層,接入終端,服務層面,人員管理等每個和安全有關的過程都要添加相應的安全措施,并且還要考慮安全隨時間變化的因素,也就是說,無論用戶在任何特定的時間,用戶的安全性都能得到保障。
4. 需要建立安全管理機制。例如,口令管理;各種密鑰的生成,分發與管理;全網統一的管理員身份鑒別與授權;建立全系統的安全評估體系;建立安全審計制度;建立系統及數據的備份制度;建立安全事件/安全報警反應機制和處理預案;建立專門的安全問題小組和快速響應體系的運作等。為了增強系統的防災救災能力,應制定災難性事故的應急計劃,如緊急行動方案,資源(硬件,軟件,數據等)備份及操作計劃,系統恢復和檢測方法等。
5. 建立專門的數據容災系統。其內容主要是數據容災和應用容災。數據容災是指建立一個異地的數據系統,該系統是本地關鍵應用的一個實時復制,當本地數據及整個應用系統發生災難時,系統至少在異地保存一份可用的關鍵業務的數據。應用容災是在數據容災的基礎上在異地建立一套完整的,與本地相當的備份應用系統(可以互為備用),在遇到災難時,遠程系統迅速接管業務運行。
網絡管理與網絡安全管理相結合
網絡管理是電信網絡運營商的重要手段之一。它監控網絡話務量及路由繁忙的情況,以及設備及鏈路的可靠運行。網絡管理在網絡內部安全方面具有先天的優勢,它可以通過對網絡流量發生異常的分析及深度檢測,對IP數據進行截獲,發現已知及未知的新型侵入者。通過網絡管理中增加的安全手段還可對多數安全設備顧及不到的4-7 層的內容安全與網絡行為的法律取證等采取有效措施。因此,網絡管理與網絡安全管理相結合將使電信運營商能更有效地保障電信網絡的安全。
|
|
相關鏈接
|
|