关于电信网络安全问题的分析

第一篇：关于电信网络安全问题的分析

关于电信网络安全问题分析

-------郑洪伟

随着电信运营商网络的不断扩大、用户量不断增加。网络安全和用户管控问题越来越受大家关注。网络IP化的成熟程度直接决定了互联网和移动宽带的性能和稳定性。

一、目前，网络安全问题主要体现：

1.网络设备受到各种DDOS(分布式拒绝服务攻击)攻击、试图非法登陆等情况。

2.网络设备管理和防止数据外泄及篡改方面。

3.各种僵尸网络、木马成为新的技术威胁手段。

4.无法对用户端不合法的上网行为进行管控。用户端存在“一拖N”情况，无法进行控制，浪费了大量的城域网带宽资源。

5.缺少网络集中的日志存放和分析审计系统。

二、全省城域网安全问题可以分几个层面做安全防护:

1、是网络本身，我们可以通过安全域的划分使网络的结构趋于合理，安全域趋于合理；

2、设备本身，（1）核心交换设备对安全性能的要求包括：

① 采用无阻塞交换设备；

② 采用逐包转发、分布处理、Wred(拥塞控制)等QoS(服务质量)技术，避免流Cache（缓冲存储器）模型造成系统崩溃；

③ 节点关键设备冗余备份，系统出现软硬件故障时，可迅速切换到备用模块；

④ 网络设备采用多极安全密码体系，限制非法设备和用户登录；

⑤ 实现路由认证，保证路由协议安全；

⑥ 支持SNMP V3(简单网络协议)，安全网管；

⑦ 流量监控。

（2）城域网汇聚层设备安全

汇聚层负责汇集分散的接入点进行数据交换，提供流量控制和用户管理（用户识别、授权、认证、计费）功能，作为城域网的业务提供层面，是可运营、可管理城域网最重要的组成部分。汇聚层设备是用户管理的基本设备，也是保证城域网承载网和业务安全的基本屏障，更是保障城域网安全性能的关键。

汇聚层设备的安全特性主要体现在以下几点：

① 用户接入网络的安全控制，包括加强口令、密码、智能卡等访问控制手段；

② 保证接入侧用户相互隔离，保证接入的安全性，防止IP地址被盗用或仿冒，防止用户间的相互攻击；

③ IP地址与MAC地址、卡号绑定，能够准确定位用户，包括端口或MAC地址，并可提供追查恶意用户的手段；

④ 支持限制用户端口最大接入IP地址数、PPP(点对点通讯协定)会话数、TCP(传输控制协议)/UDP(用户数据报协议)连接数，有效防止DDOS类的攻击；

⑤ 支持访问控制列表（ACL），包括在虚拟路由器中创建ACL列表、采用多种过滤规则提供多层次对目标网络的保护，以及禁止部分用户访问或有选择地屏蔽网络服务；

⑥ 可实现对用户带宽的控制CAR（承诺访问速率）；

⑦ 安全日志管理。

从长远看，BRAS（宽带远程接入服务器）产品也必须考虑用户的安全防护措施。如何提供病毒防治、集中安全管理和升级等手段，将成为提高通信网络安全的关键。

（3）城域网接入层设备安全

通过各种接入技术和线路资源实现用户覆盖，提供多业务用户的接入，并配合完成用户流量的控制功能，包括xDSL、LAN（局域网）和WLAN（无线局域网）等接入方式。

设备采用的安全手段包括：

① 用户隔离；

② 控制用户流量带宽。

城域网非信任域设备的安全保障措施是从城域网分层模型出发，实现层层防御，增强网络抗攻击性的能力。

三、是网络安全体系的建设，通过防火墙、IDS(入侵检测系统)、IPS(入侵防御系统)、异常流量分析和响应系统等建立安全体系提供基础防护手段；

四、需要建立统一的网络安全故障管理平台，对实时性网络安全事件、网络基础故障（如光缆、设备、数据等）进行通告。不但，有利于对在故障处理期间的用户通知解释工作。而且对整个事件、故障处理过程的进行全程的了解。并能对事件或故障进行总结学习。

网络安全是一项非常艰巨和持久的任务。对网络安全问题必须通盘考虑，进行体系化的整体安全设计和实施。既要充分考虑网络的安全性能，考虑设备防攻击的健壮性，有效实施设备相关安全特性，又要结合专用的安全产品，采取分域、多层安全保护措施。既要考虑设备安全和技术的因素，又要重视网络安全人员在网络安全方面所起决定性的作用。

宽带城域网的建设和运营必须全面建立全面的安全防护体系，才能向用户提供一个安全、高速、易用、智能化的网络，保证电信网络的正常运营。

第二篇：浅谈电信网络安全

一、选题的依据及意义：

老师在课堂也也时刻点明这我们这个是随着互联网的兴起的时代,而我们这些IT人又面临着更新一步的IT技术。面对TCP/IP协议簇的采用,各种应用层出不穷,传统的固定网、移动网与互联网的联系越来越紧密。有线、无线等各种接入方式不断推出,企业网、ISP、ICP、个人电脑等都以不同的方式与互联网等网络相联。这样,虽然用户使用方便了,但网络安全问题的威胁也增加了,往往一个点或一个地方的问题会影响到其他地方、其他网络,甚至多个网络。

同时，我在外面所报名的华三H3C的NE课程中也认识到网络安全问题的重要性：当前,威胁网络安全的主要有木马程序病毒、蠕虫病毒、电子邮件攻击、Web攻击、软件漏洞、系统漏洞、拒绝服务(DoS)攻击、IP地址欺骗、即时通信攻击、端到端攻击、缓冲溢出等。

从上述威胁网络的种种可以看出,黑客与病毒的目的不外呼是破坏系统和窃取信息。面对这一形势,目前电信网络如何增强其安全性呢?

二、本课题研究内容：

首先我们就先来看互联网和电信网的特点：

电信网络的特点

传统的电信网络(PSTN)是基于电路交换的方式,面向连接,网络QoS有保证。其网络的安全性体现在网络的可靠性和可用性,网络的可靠性涵盖了传输系统和相应的设备,可靠性的指标很高,设备间的连接电路也有相同的可靠性要求,并且还设计了冗余备份和保护倒换等技术来进一步保证系统的可靠性。

PSTN对用户的信息是透明的,网络保证不对用户信息进行任何的修改和破坏。用户信息也不会对网络节点设备构成任何冲击和危害。

PSTN的网络安全还包含运营网络不得随意使用加密技术,而对于个人用户的私人保密是以不危及国家安全为限的。在传统的电信网中,用户数据加密是有规定的,普通用户数据是不准加密的,商密用户,普密用户,绝密用户可以使用密码技术加密,但必需经过相关部门批准。

互联网的特点

互联网是基于分组交换的方式,面向无连接,网络QoS保证较差。互联网又可称为IP网,传统的PSTN网由于是面向连接,一条链路要么接通,要么不通,问题容易发现也容易解决。而IP网是无连接的,其网络的路由和流量分配都是随机的,不同的流量分配带来的网络效率也不一样。IP网络攻击源无处不在,难以追踪和查找,使IP网络维护的复杂性大大增加。

近年来,由于互联网的迅猛发展,新业务及传统业务的迅速IP化,终端设备的智能化,网络规模越来越大,网络的安全问题也越来越突出,加上互联网的不可管理,不可控制,网络只保证通达,而把安全问题交给了用户的一些网络设计中,这样就进一步恶化。上面所谈的一些威胁安全的种类都是由于互联网及其业务的发展所引起的。而当今互联网已把PSTN和移动网紧密地联系起来了,如VoIP业务的迅猛发展更是和每个网络有关系。这样上述的网络安全的种种自然也带给了电信网络。

从客观来讲二者之间的差异一目了然，可二者的技术关联是密不可分的。互联网和电信网的普遍性、加密性、覆盖面广决定了我们所依赖此类网络的前提。下面我们谈谈其防范：

网络安全的防范

网络安全的防范是一个体系和系统,必需协调法律,技术和管理三个方面。要集成防护,监测,响应,恢复等多种技术。

网络安全的防范是通过各种计算机,网络,密码和信息安全技术,保护在网络中传输,交换和存储信息的机密性,完整性和真实性,并对信息的传播及内容进行控制。

网络按全的防范从技术层次上看,主要有防火墙技术,入侵监测(IDS/IPS,IPS可以做到一手检测,一手阻击)技术,数据加密技术和数据恢复技术,此外还有安全协议,安全审计,身份认证,数字签名,拒绝服务等多种技术手段。这里特别需要指出的是防火墙,防病毒和安全协议的技术。防火墙守住网络门户,防病毒是网络的第一把保护伞,安全协议提供了身份鉴别,密钥分配,数据加密,防信息重传,以及通信双方的不可否认性等重要功能。

三、研究目标、主要特色及工作进度：这里的电信网包括电信,移动等运营商的固定网和移动网,以及专门供运营商使用的专用网,如DCN(数据通信网)等。电信网络的安全保障可从以下几方面考虑:

1.在电信网络各节点处构筑防御(如防火墙),防止外网影响内网。这里说的节点就是与其他各种网络连接的地方,除固定网与移动网外,还有ISP,ICP,企业网,个人电脑等许多终端设备。

2.建立一个统一,完善的安全防护体系,该体系不仅包括防火墙,网关,防病毒及杀毒软件等产品,还有对运营商安全保障的各种综合性服务措施,通过对网络的管理和监控,可以在第一时间发现问题,解决问题,防患于未然。

3.在互联网日益广泛应用的今天,为保障电信网络的安全,必需树立全程安全的观念。全程安全就是在安全的每个过程中,如物理层,网络层,接入终端,服务层面,人员管理等每个和安全有关的过程都要添加相应的安全措施,并且还要考虑安全随时间变化的因素,也就是说,无论用户在任何特定的时间,用户的安全性都能得到保障。

4.需要建立安全管理机制。例如,口令管理;各种密钥的生成,分发与管理;全网统一的管理员身份鉴别与授权;建立全系统的安全评估体系;建立安全审计制度;建立系统及数据的备份制度;建立安全事件/安全报警反应机制和处理预案;建立专门的安全问题小组和快速响应体系的运作等。为了增强系统的防灾救灾能力,应制定灾难性事故的应急计划,如紧急行动方案,资源(硬件,软件,数据等)备份及操作计划,系统恢复和检测方法等。

5.建立专门的数据容灾系统。其内容主要是数据容灾和应用容灾。数据容灾是指建立一个异地的数据系统,该系统是本地关键应用的一个实时复制,当本地数

据及整个应用系统发生灾难时,系统至少在异地保存一份可用的关键业务的数据。应用容灾是在数据容灾的基础上在异地建立一套完整的,与本地相当的备份应用系统(可以互为备用),在遇到灾难时,远程系统迅速接管业务运行。

2、主要特色：网络管理是电信网络运营商的重要手段之一。它监控网络话务量及路由繁忙的情况,以及设备及链路的可靠运行。网络管理在网络内部安全方面具有先天的优势,它可以通过对网络流量发生异常的分析及深度检测,对IP数据进行截获,发现已知及未知的新型侵入者。通过网络管理中增加的安全手段还可对多数安全设备顾及不到的4-7 层的内容安全与网络行为的法律取证等采取有效措施。因此,网络管理与网络安全管理相结合将使电信运营商能更有效地保障电信网络的安全。

第三篇：电信网络安全及防护

电信网络安全及防护

摘 要：电信网络的安全问题不容忽视。分析了电信网络安全现状，指出了影响电信网络安全的主要因素，并从技术角度提出了防护措施。

关键词：电信；网络安全；技术防护

从20世纪90年代至今，我国电信行业取得了跨越式发展，电信固定网和移动网的规模均居世界第一，网络的技术水平也居世界前列。电信已经深入到人类生活的方方面面，和日常生活的结合越来越紧密。电信网的安全状况直接影响这些基础设施的正常运行。加强电信网络的安全防护工作，是一项重要的工作。笔者结合工作实际，就电信网络安全及防护工作做了一些思考。电信网络安全及其现状

狭义的电信网络安全是指电信网络本身的安全性，按照网络对象的不同包括了PSTN网络的安全、IP/Internet网络安全、传输网络安全、电信运营商内部网络安全等几个方面；广义的网络安全是包括了网络本身安全这个基本层面，在这个基础上还有信息安全和业务安全的层面，几个层面结合在一起才能够为用户提供一个整体的安全体验。

电信运营商都比较重视网络安全的建设，针对网络特点、业务特点建立了系统的网络安全保障体系。我国电信的网络安全保障体系建设起步较早。2000年，原中国电信意识到网络安全的重要性，并专门成立了相关的网络安全管理部门，着力建立中国电信自己的网络安全保障体系。安全保障体系分为管理体系和技术体系。在管理体系中，包括组织体系、策略体系和保障的机制，依据组织保障策略引导、保障机制支撑的原则。随着网络规模的不断扩大和业务的突飞猛进，单靠纯粹的管理和应急相应很难完成有关网络安全方面的工作。为此，建立了网络安全基础支撑的平台，也就是SOC平台，形成了手段保障、技术保障和完备的技术管理体系，以完成中国电信互联网的安全保障工作。这个系统通过几个模块协同工作，来完成对网络安全事件的监控，完成对网络安全工作处理过程中的支撑，还包括垃圾邮件独立处理的支持系统。

然而，网络安全是相对的。网络开放互联、设备引进、新技术引入、自然灾害和突发事件的存在等，造成了网络的脆弱性。当电信网络由封闭的、基于电路交换的系统向基于开放、IP数据业务转型中，安全问题更加暴露。从狭义的网络安全层面看，随着攻击技术的发展，网络攻击工具的获得越来越容易，对网络发起攻击变得容易；而运营商网络分布越来越广泛，这种分布式的网络从管理上也容易产生漏洞，容易被攻击。从广义的网络安全层面看，业务欺诈、垃圾邮件、违法违规的SP行为等，也是威胁网络安全的因素。电信网络安全面临的形势及问题

2.1 互联网与电信网的融合，给电信网带来新的安全威胁

传统电信网的业务网和支撑网是分离的。用户信息仅在业务网中传送，信令网、网管网等支撑网与业务网隔离，完全由运营商控制，电信用户无法进入。这种机制有效地避免了电信用户非法进入网络控制系统，保障了网络安全。IP电话引入后，需要与传统电信网互联互通，电信网的信令网不再独立于业务网。IP电话的实现建立在TCP/IP协议基础上，TCP/IP协议面临的所有安全问题都有可能引入传统电信网。IP电话的主叫用户号码不在IP包中传送，一旦出现不法行为，无论是运营商还是执法机关，确认这些用户的身份需要费一番周折，加大了打击难度。

2.2 新技术、新业务的引入，给电信网的安全保障带来不确定因素

NGN的引入，彻底打破了电信网根据不同业务网分别建设、分别管理的传统思路。NGN的引入给运营商带来的好处是显而易见的，但从网络安全方面看，如果采取的措施不当，NGN的引入可能会增加网络的复杂性和不可控性。此外，3G、WMiAX、IPTV等新技术、新业务的引入，都有可能给电信网的安全带来不确定因素。特别是随着宽带接入的普及，用户向网络侧发送信息的能力大大增强，每一个用户都有能力对网络发起威力较大的拒绝服务等攻击。如果这些宽带被非法控制，组成僵尸网络群，其拒绝服务攻击的破坏力将可能十分巨大。2.3 运营商之间网络规划、建设缺乏协调配合，网络出现重大事故时难以迅速恢复

目前，我国电信领域基本形成了有效的竞争格局。但由于改革的配套措施还不尽完备，电信市场多运营商条件下的监管措施还不配套，给电信网络安全带来了新的威胁。如在网络规划建设方面，原来由行业主管部门对电信网络进行统一规划、统一建设，现在由各运营企业承担各自网络的规划、建设，行业主管部门在这方面的监管力度明显弱化。一旦出现大面积的网络瘫痪问题，不同运营商之间的网络能否互相支援配合就存在问题。

2.4 相关法规尚不完善，落实保障措施缺乏力度

当前我国《电信法》还没有出台，《信息安全法》还处于研究过程中，与网络安全相关的法律法规还不完备，且缺乏操作性。在规范电信运营企业安全保障建设方面，也缺乏法律依据。运营企业为了在竞争中占据有利地位，更多地关注网络建设、业务开发、市场份额和投资回报，把经济效益放在首位，网络安全相关的建设、运行维护管理等相对滞后。电信网络安全防护的对策思考

强化电信网络安全，应做到主动防护与被动监控、全面防护与重点防护相结合，着重考虑以下几方面。

3.1 发散性的技术方案设计思路

在采用电信行业安全解决方案时，首先需要对关键资源进行定位，然后以关键资源为基点，按照发散性的思路进行安全分析和保护，并将方案的目的确定为电信网络系统建立一个统一规范的安全系统，使其具有统一的业务处理和管理流程、统一的接口、统一的协议以及统一的数据格式的规范。

3.2 网络层安全解决方案

网络层安全要基于以下几点考虑：控制不同的访问者对网络和设备的访问；划分并隔离不同安全域；防止内部访问者对无权访问区域的访问和误操作。可以按照网络区域安全级别把网络划分成两大安全区域，即关键服务器区域和外部接入网络区域，在这两大区域之间需要进行安全隔离。同时，应结合网络系统的安全防护和监控需要，与实际应用环境、工作业务流程以及机构组织形式进行密切结合，在系统中建立一个完善的安全体系，包括企业级的网络实时监控、入侵检测和防御，系统访问控制，网络入侵行为取证等，形成综合的和全面的端到端安全管理解决方案，从而大大加强系统的总体可控性。

3.3 网络层方案配置

在电信网络系统核心网段应该利用一台专用的安全工作站安装入侵检测产品，将工作站直接连接到主干交换机的监控端口(SPANPort)，用以监控局域网内各网段间的数据包，并可在关键网段内配置含多个网卡并分别连接到多个子网的入侵检测工作站进行相应的监测。

3.4 主机、操作系统、数据库配置方案

由于电信行业的网络系统基于Intranet体系结构，兼呈局域网和广域网的特性，是一个充分利用了Intranet技术、范围覆盖广的分布式计算机网络，它面临的安全性威胁来自于方方面面。每一个需要保护的关键服务器上都应部署核心防护产品进行防范，并在中央安全管理平台上部署中央管理控制台，对全部的核心防护产品进行中央管理。

3.5 系统、数据库漏洞扫描

系统和数据库的漏洞扫描对电信行业这样的大型网络而言，具有重要的意义。充分利用已有的扫描工具完成这方面的工作，可免去专门购买其他的系统/数据库漏洞扫描工具。

第四篇：电信企业计算机网络安全构建策略分析

电信企业计算机网络安全构建策略分析

摘要 随着互联网的应用，我国的电信网络安全面临着越来越多的挑战。本文对我国电信计算机网络的现状进行了分析，从技术层面和管理层面出发提出了改进计算机网络安全的建议。

关键词 电信网络；计算机网络；安全

0引言

随着计算机技术和通信技术的融合，电信企业建立起了以计算机网络作为基础的电信支撑系统。这提高了电信企业的运营水平，但是同时也带来了很多新的问题。因此，加强电信企业计算机网络的安全管理，让安全的网络为畅通的电信系统保驾护航至关重要。本文拟对电信计算机网络中存在的安全问题进行分析，并对提高电信计算机网络安全建设策略提出了建设思路。电信计算机网络的安全现状

1.1 源自网络层面的相关问题

这其中最主要的问题是由于网络的开放性和交互性的增强，计算机病毒横行，而电信网络规模大，无法避免在某个时段和环节与因特网相连，因此感染计算机病毒，常见和棘手，有些病毒诸如网络蠕虫病毒，可以消耗带宽，造成拒绝服务攻击。其次，虽然电信计算机网络上也有防火墙系统，但是防火墙系统主要阻止的是来自网络外部的，非法的访问，对于各专业子系统间的不安全访问无法发挥多大作用。再次，尽管部分路由器配置了ACL，但是访问控制表不能实现复杂繁复的安全控制策略。由于所有的系统都有可能存在漏洞，所以，增加了因为IOS协议漏洞造成路由器遭受攻击的可能性。另外，由于用户的增加，网络结构的不合理也渐渐暴露，因特网的骨干网一般都是网状结构，容易出现网络拥堵。在电信企业内部，由于计算机网络都是管理存在保留IP地址的做法，因此IP地址的合理分配是网络安全的重要保证，曾经就发生过由于IP地址混乱造成电信计算机网无络法使用的现象[1]。

1.2 人为因素带来的安全问题

工作人员在日常工作中安全意识薄弱，可能由于各种原因丢失了主机口令，或者不能及时对主机口令等更新，这使得保护系统设备和网络的口令容易被黑客破解，黑客获取了权限，就会严重危害电信计算机网络系统。在公司内部的安全管理上，各个安全机构间信息交流少，不能协调配合处理安全事件。比如电信网络的交换机，不同的应用系统常划分了不同的VLAN，VLAN间互相联通，但是，在管理上却是由不同的部门管理的，这就给协调的配合的处理安全事件成了障碍。

1.3 对电信计算机网络安全的认识误区

首先很多人认为电信计算机网络是很安全的，唯一要提起注意的就是计算机病毒，所以计算机网络安全就是及时杀毒。这是不全面的看法，网络安全还受到外部黑客攻击，内部员工的管理等等的影响。其次，网络安全问题的产生不仅仅都来自网络外部。在实际运行过程中，很多公司出现网络安全问题，都是来自公司内部。比如浙江省电信系统某市的计费系统破坏事件，就是由于公司内部员工把机密数据打包带走。另外，不能认为有CA认证系统就夜宴

安全了，CA认证确实在一定时间内代表了一定程度的网络安全等级，但是不是绝对的安全。2 电信计算机网络安全措施

2.1 提高网络安全的技术保证

2.1.1 采用防火墙机制和Anti-DDOS系统

防火墙是一组或者一个网络设备，比如计算机系统或者路由器，目的是加强多个网络间的访问控制，保护网络不受到来自其他网络的攻击。为了加强电信网络的安全，要在每台交换机的操作系统和终端安装防火墙，防止来自外网的攻击。

2.1.2 采用访问控制策略

访问控制策略是电信计算机网络安全的主要保护策略。通过访问控制，可以保证电信网络资源不被非法访问和使用。目前访问控制策略的实现有多种途径，比如可以使用的入网访问控制，网络权限控制，网络服务器安全控制，网络监测和锁定控制，网络端口和节点的安全控制等等措施。这样的措施实施后，如果遇到无权用户或者权限受限用户，系统就会自动的终止访问或者屏蔽一部分访问的地址。对于需要保护的服务器也可以使用主机访问控制软件，鉴别请求人的合法身份以及请求的合法性[2]。

2.1.3 采用入侵检测机制和漏洞检测机制

分布式漏洞扫描器IS主要是通过模拟入侵，找出网络的漏洞，验证系统的安全，从而让工作人员能够及时发现安全隐患，采取相对的措施，比如打补丁和优化系统，进行补救。分布式网络入侵检测系统IDS，和异常流量分析设备不同，异常流量分析的原理是流量采样统计，在大流量的环境下有较强的检测能力，分布式网络入侵检测系统则主要是用来发现网络攻击，并且可以为截获和追踪，分析网络攻击行为提供原始数据，帮助监督和管理计算机网络安全。

2.2 增强电信网络的安全管理

2.2.1 建立有效的电信网络安全管理制度

尽管目前我们已经不断提高计算机网络安全技术，但是也不能忽略人员的管理工作。建立有效的管理制度很重要。笔者认为可以成立安全管理团队，系统的负责的管理和监督电信网路安全。管理小组可以通过分析日志，检查漏洞等方法定期对网络的安全进行检验，建立网络安全的专人负责，对于口令也要每月修改至少一次。这样可以充分调动人员的积极性。

2.2.2 增强电信工作人员的安全意识

电信工作人员的安全和保密意识非常重要。对员工定期进行培训，让员工意识到从最基础的物理层到接入终端，人员管理等等和安全有关的所有过程，都可能出现安全问题。在提升他们的专业能力时，也要提高他们的保密和安全意识，对相关的法律知识进行宣传。另外，2.2.3 增强电信网络的应急能力

为了增加应对突发情况，应当做一个备份系统与其他地方的管理系统相连。这样当遇到重大问题时，这个系统可以及时启动，接管发生问题的系统。另外，应当制定应急预案，并且定期演习，增加网络的应急能力。结论

电信计算机网络和公众的通信息息相关，其安全运行关系到了社会的稳定和经济活动的顺利进行。随着电信网络不断扩大规模，面临着安全问题也更加严峻，所以必须加强电信计算机网络的安全，提高电信网络的安全水平。

夜宴

第五篇：论电信网络安全管理

论电信网络安全管理

摘 要：电信网络的安全状况直接影响着金融、交通、能源等基础设施的正常运行。尽管目前国内电信运营商都比较重视网络安全，但安全问题仍不容忽视，因为影响电信网络安全的因素是多方面的。电信企业应做到主动防护与被动监控、全面防护与重点防护相结合，搭建深层防御安全体系。

关键词：电信网络；电信网络安全；电信运营商

电信已经深入到人类生活的方方面面，和日常生活的结合越来越紧密。世界各国也将电信业的发展上升到国家战略的角度，通过发展电信业和信息行业来推动国家发展。在这个大背景下，电信网络安全已经上升到国家安全的层面。

狭义的电信网络安全是指电信网络本身的安全性，按照网络对象的不同包括了PSTN网络的安全、IP／Internet网络安全、传输网络安全、电信运营商内部网络安全等几个方面；广义的网络安全是包括了网络本身安全这个基本层面，在这个基础上还有信息安全和业务安全的层面，几个层面结合在一起才能够为用户提供一个整体的安全体验。

从20世纪90年代至今，我国电信行业取得了跨越式发展。经过十几年的建设，目前我国电信固定网和移动网的规模均居世界第一，网络的技术水平也居世界前列。电信服务几乎已经渗透到我国所有地区、所有行业、所有不同阶层的 群体，而且已经融入到了老百姓的日常生活中。同时，随着信息技术在我国的广泛运用，信息系统已经成为金融、交通、能源等基础设施的神经中枢。电信网的安全状况直接影响这些基础设施的正常运行。正是由于存在这种依赖性，电信网一旦出现重大事故，将可能严重影响国民经济发展和社会稳定。可以这么说，电信网已经和电力设施一样，成为所有基础设施的基础之一。随着信息化的进一步推进，社会对电 信网的依赖性还会越来越强。因此，我们应该关注电信 网的安全问题，研究应对措施，做到未雨绸缪。

一、我国电信网络安全的现状

目前，国内电信运营商都比较重视网络安全的建 设，几大运营商都针对自己的网络特点、业务特点建立 了系统的网络安全保障体系。

中国电信的网络安全保障体系建设起步较早。在2000年，原中国电信意识到网络安全的重要性，并专门成立了相关的网络安全管理部门，着力建立中国电信自己的网络安全保障体系。这个安全保障体系分为管理体系和技术体系。在管理体系中，包括组织体系、策略体系和保障的机制，依据组织保障策略引导、保障机制支撑的原则。随着网络规模的不断扩大和业务的突飞猛进，单靠纯粹的管理和应急相应很难完成有关网络安全方面的工作。为此，建立了网络安全基础支撑的平台，也就是SOC平台，形成了手段保障、技术保 障和完备的技术管理体系，以完成中国电信互联网的安全保障工作。目前SOC已经进入系统建设的试点阶段。这个系统通过几个模块协同工作，来完成对网络安全事件的监控，完成对网络安全工作处理过程中的支撑，还包括垃圾邮件独立处理的支持系统。

中国移动的网络与信息安全保障体系NISS，对于涉及公司的所有信息资产，包括通信网、业务支撑系统、网络部、市场部、财务部、研发部、人力等各种重要信息进行保护。这个系统在2005年8月份，狙击波病毒来袭的时候发挥了重要作用。

中国网通的网络安全建设重点在其宽带网络上。其建立的信息安全管理体系(ISMS)，包括组织管理、技术保障、运作保障三个子体系，在网络层面上对总部大网(CHINA169+CNCNET)100多台骨干网设备和核心网管系统进行加固。建设SAN网络，安全事件存储可以利用现有存储系统，实现集中存储，方便扩展，对异常流量系统和垃圾邮件系统的建设在进一步完善，对机房环境、动力电源系统进行规范管理，对全网的路由安全策略进行管理，等等。

然而，网络安全是相对的。网络开放互联、设备引进、新技术引入、自然灾害和突发事件的存在等，造成了网络的脆弱性。当电信网络由封闭的、基于电路交换的系统向基于开放、IP数据业务转型中，安全问题更加暴露。从狭义的网 络安全层面看，随着攻击技术的发展，网络攻击工具的获得越来越容易，对网络发起攻击变得容易；而运营商网络分布越来越广泛，这种分布式的网络从管理上也容易产生漏洞，容易被攻击。从广义的网络安全层面看，业务欺诈、垃圾邮件、违法违规的SP行为等，也是威胁网络安全的因素。

二、影响电信网络安全的因素

进入21世纪以来，电信领域的新技术、新业务、新情况不断出现，电信网与互联网的融合趋势日益明显，电信体制改革不断推进，形成由多运营商组成的竞争格局。这些情况的出现，使原有的电信网络安全保障体系面临新的挑战。

1、互联网与电信网的融合，给电信网带来新的安全威胁

传统电信网的业务网和支撑网是分离的。用户信息仅在业务网中传送，信令网、网管网等支撑网与业务网隔离，完全由运营商控制，电信用户无法进入。此外，每个用户都有一个唯一的号码，用户的身份是明确的。这种机制有效地避免了电信用户非法进人网络控制系统，保障了网络安全。

IP电话的用户信息和控制信息都在IP包中传送。IP电话引人后，需要与传统电信网互联互通，电信用户的信息不再与控制信息隔离，电信网的信令网不再独立于业务网。IP电话的实现建立在TCP／IP协议基础上，因此TCP／IP协议面临的所有安全问题都有可能引入传统电信网，如病毒、黑 客攻击、非法入侵等，由此可能带来电信网络中断甚至瘫痪、拒绝服务攻击、非法存取信息、话费诈欺或窃听等一系列新问题。IP电话的主叫用户号码不在IP包中传送，因此一旦出现不法行为，无论是运营商还是执法机关，确认这些用户的身份需要费一番周折，加大了打击难度。

2、新技术、新业务的引入，给电信网的安全保障带来不确定因素

近年来，电信新技术不断涌现，新业务层出不穷。NGN的引入，彻底打破了电信网根据不同业务网分别建设、分别管理的传统思路。NGN的引入给运营商带来的好处是显而易见的，如提高了网络的利用效率，增加了网络的灵活性，降低了网络的建设和运行维护成本等。但从网络安全方面看，如果采取的措施不当，NGN的引入可能会增加网络的复杂性和不可控性。此外，3G、WiMAX、IPI-V等新技术、新业务的引入，都有可能给电信网的安全带来不确定因素。尤其需要指出的是，随着宽带接人的普及，用户向网络侧发送信息的能力大大增强，导致每一个用户都有能力对网络发起威力较大的拒绝服务等攻击。如果这些宽带被非法控制，组成僵尸网络群，其拒绝服务攻击的破坏力将可能十分巨大。

3、运营商之间网络规划、建设缺乏协调配合，网络出现重大事故时难以迅速恢复

1998年以来，我国出台了一系列针对电信行业的重大改 革措施，如政企分离、企业拆分等。目前，我国有中国电信、中国移动、中国联通、中国网通以及中国铁通和中国卫通6家基础电信运营企业。应该说，这些改革措施极大加快了我国电信行业的发展，目前我国电信领域基本形成了有效的竞争格局。但由于改革的配套措施还不尽完备，电信市场多运营商条件下的监管措施还不配套，给电信网络安全带来了新的威胁。如在网络规划建设方面，原来由行业主管部门对电信网络进行统一规划、统一建设，现在由各个运营企业承担各自网络的规划、建设，行业主管部门在这方面的监管力度明显弱化。一旦出现大面积的网络瘫痪问题，不同运营商之间的网络能否互相支援配合就存在问题。此外，军队与地方之间的网络衔接配合问题也需要协调落实。

4、相关法规尚不完善，落实保障措施缺乏力度 随着电信网基础性地位的日益显现，应该通过立法来明确其安全保障工作，这样才能保证对攻击、破坏电信网行为有足够的惩罚力度。当前我国《电信法》还没有出台，《信息安全法》还处于研究过程中。现有的与网络安全相关的法律法规还不完备，且缺乏操作性，导致有关部门在具体工作中没有足够的法律依据对破坏网络安全的行为进行制裁。

此外，在规范电信运营企业安全保障建设方面，也缺乏法律依据。运营企业为了在竞争中占据有利地位，更多地关注网络建设、业务开发、市场份额和投资回报，把经济效益 放在首位，网络安全相关的建设、运行维护管理等相对滞后。

三、保障电信网络安全的技术手段

针对特殊信息安全当前的形势，电信企业要做到主动防护与被动监控、全面防护与重点防护相结合，搭建具有主动防御能力的深层防御安全体系。

1、发散性的技术方案设计思路

在采用电信行业安全解决方案时，首先需要对关键资源进行定位，然后以关键资源为基点，按照发散性的思路进行安全分析和保护，并将方案的目的确定为电信网络系统建立一个统一规范的安全系统，使其具有统一的业务处理和管理流程、统一的接口、统一的协议以及统一的数据格式的规范。

2、网络层安全解决方案

网络层安全主要是基于以下几点考虑：控制不同的访问者对网络和设备的访问；划分并隔离不同安全域；防止内部访问者对无权访问区域的访问和误操作。

我们可以按照网络区域安全级别把网络划分成两大安全区域，即关键服务器区域和外部接入网络区域，在这两大区域之间需要进行安全隔离。在关键服务器区域内部，也同样需要按照安全级别的不同进行安全隔离。与此同时，还应结合网络系统的安全防护和监控需要，与实际应用环境、工作业务流程以及机构组织形式进行密切结合，在系统中建立 一个完善的安全体系，包括企业级的网络实时监控、入侵检测和防御，系统访问控制，网络入侵行为取证等，形成综合的和全面的端到端安全管理解决方案，从而大大加强系统的总体可控性。

3、网络层方案配臵

在电信网络系统核心网段应该利用一台专用的安全工作站安装入侵检测(如，冠群金辰公司的干将／莫邪入侵检测系统)产品，将工作站直接连接到主干交换机的监控端口(SPAN Port)，用以监控局域网内各网段间的数据包，并可在关键网段内配臵含多个网卡并分别连接到多个子网的入侵检测工作站进行相应的监测。

4、主机、操作系统、数据库配臵方案

由于电信行业的网络系统基于Intranet体系结构，兼呈局域网和广域网的特性，是一个充分利用了Intra—net技术、范围覆盖广的分布式计算机网络，它面临的安全性威胁来自于方方面面。每一个需要保护的关键服务器上都应部署核心防护产品进行防范，并在中央安全管理平台上部署中央管理控制台，对全部的核心防护产品进行中央管理。

5、系统、数据库漏洞扫描

系统和数据库的漏洞扫描对电信行业这样的大型网络而言，具有重要的意义。充分利用已有的扫描工具完成这方面的工作，可免去专门购买其他的系统／数据库漏洞扫描工 具。

[参考文献] [1]信息产业部电信管理局．电信网络与信息安全管理[M]，北京：

人民邮电出版社．2004：215—228．

[2]诺盛电信咨询，电信网络安全[EB／OL]．(2006—06—21)[2007 一O1一O5]．http：／／www.xiexiebang.com／news／review／story／0，3800057985，39451650，00．htm．

[3]陈纲．保障电信网络安全的五项措施[N／0L]，通信产业报，(2003一O9—28)[2007一Ol—O6]．http：／／industry．ceidnet．corn／

ar 238／20o30928／65782 1．htIrI1．