導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 綜合安全論文>>正文

短信平臺安全域改造研究初探

文檔作者：黃斯煒1 李洪2 文檔來源： 1．中國電信股份有限公司湖南分公司網(wǎng)絡(luò)運行維護部 2．中國電信集團公司網(wǎng)絡(luò)運行維護事業(yè)		點擊數(shù)：	更新時間： 2021年07月07日
下載地址：點擊這里	文件大小： 2.15 MB 共7頁	文檔格式： PDF	下載點數(shù)： 1 點（VIP免費）

全屏查看

內(nèi)容預(yù)覽 [文件共7頁]

本文件共7頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?.15 MB 共7頁文件格式：PDF 下載點數(shù)：1 點（VIP會員免費）

下一篇：安全生產(chǎn)監(jiān)控系統(tǒng)技術(shù)改造與應(yīng)用

上一篇：企業(yè)網(wǎng)絡(luò)安全規(guī)劃與改造

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

專題：業(yè)務(wù)平臺安全
短信平臺安全域改造研究初探
黃斯煒1。李洪2
(1．中國電信股份有限公司湖南分公司網(wǎng)絡(luò)運行維護部長沙410011；
2．中國電信集團公司網(wǎng)絡(luò)運行維護事業(yè)部北京100032)
摘要：以對信息安全的保護為關(guān)注目標(biāo)，在信息系統(tǒng)安全保護的技術(shù)層面上。對安全域劃分和邊界整合改造
進行深入分析與探討。選取中國電信某省分公司的短信平臺為典型案例。對其包含的短信中心、互通網(wǎng)關(guān)等系
統(tǒng)進行安全域改造研究分析，研究結(jié)論可以為電信運營商其他業(yè)務(wù)平臺的信息安全保護、業(yè)務(wù)連續(xù)性等方面
提供良好的指導(dǎo)。
關(guān)鍵詞：短信；信息安全；安全域
doi：10．3969／j．issn．1000．0801．2013．08．0lO
Prelinlinary Study on the Security Domain
TlrraannsSfloorrmmaatUi0onn 0oIf SMS Prllaatnfoorrmm
Huang siweil，Li Hon矛
(1．Department of Network 0peration&amp;amp;Maintenance，Hunan Branch of China Tekcom Co．，Ltd．，Ch鋤gsha 410011，China；
2．Network Opera血on＆Maintenance Division，China Telecom Corpora血on，Beijing 100032，China)
Abs缸act：Taking the pmtection of info肌ation securit)r as the focus，tlle technical level in tlle security protection of
i11fb瑚ation system，山e partition of security domain and boundar)r imegration transfo肌ation were analyzed and
discussed．China Telecom SMS pla怕m was selected as a typical case，and me security domain transfomation of
systems as message couters atld gateways were researched aIld aIlalyzed The conclusion coIlld pmvide 900d guid蚰ce for
otIler service pladb珊0f info珊ation security，business continui哆．
1【ey words：short message，i11fb瑚ation security，security domain
1 引言
隨著信息技術(shù)的發(fā)展以及國家政策導(dǎo)向的變化，對信
息安全越來越重視，特別是國家4部委聯(lián)合頒發(fā)了《信息
安全等級保護管理辦法》以及一系列具體等級保護基本要
求，對我國信息系統(tǒng)的安全提出了基本要求。根據(jù)等級保
護管理辦法的要求．工業(yè)和信息化部也發(fā)布了一系列信息
安全文件，要求基礎(chǔ)電信運營商對網(wǎng)絡(luò)和系統(tǒng)進行安全保
障。中國電信根據(jù)工業(yè)和信息化部的政策要求，下發(fā)《關(guān)于
構(gòu)建中國電信互聯(lián)網(wǎng)及相關(guān)網(wǎng)絡(luò)安全策略體系及推進相
關(guān)工作的通知》、《安全域劃分與邊界整合技術(shù)規(guī)范》等文
件明確網(wǎng)絡(luò)安全防護邊界，進行出口統(tǒng)一防護。根據(jù)上述
一系列規(guī)定，對中國電信某省分公司的短信平臺安全域改
造和劃分進行相關(guān)研究。
2安全域改造分析研究
2．1 整體思路
將大型復(fù)雜系統(tǒng)的安全問題，變化為小區(qū)域簡單系統(tǒng)
簍麓黼
萬方數(shù)據(jù)
■塑燮燮
的安全保護問題，并在保證所有系統(tǒng)與網(wǎng)絡(luò)對各種互
聯(lián)需求有效提供的前提下，對安全域的邊界進行合理
有效的整合，對區(qū)域內(nèi)的系統(tǒng)與網(wǎng)絡(luò)接口進行合理有
效的整理和合并．縮減接口數(shù)量，提高區(qū)域內(nèi)系統(tǒng)與網(wǎng)
絡(luò)接口的規(guī)范性．有效實現(xiàn)大規(guī)模復(fù)雜系統(tǒng)的安全等
級保護。
2．2研究內(nèi)容
(1)安全域劃分
安全域劃分以“同構(gòu)性簡化”為原則，對復(fù)雜的大型網(wǎng)
絡(luò)進行簡化后設(shè)計保護體系，實現(xiàn)有效的安全管理，具體
有以下3個原則。
·業(yè)務(wù)保障原則：保障網(wǎng)絡(luò)承載業(yè)務(wù)的正常、高效
運行。
·結(jié)構(gòu)簡化原則：簡單的網(wǎng)絡(luò)結(jié)構(gòu)便于設(shè)計防護
體系。
·立體協(xié)防原則：訪問控制、鏈路冗余、身份鑒別、內(nèi)容
檢測、檢測審計等各種安全功能實現(xiàn)安全域防護。
(2)安全域內(nèi)加固
在進行安全域劃分與邊界整合之后，對所有安全域內(nèi)
的重要設(shè)備進行安全加固，因為各安全域內(nèi)使用的設(shè)備具
有不同的互聯(lián)需求，其所面臨的威脅也不盡相同，因此其
安全需求也存在很大差異。安全域內(nèi)加固主要考慮生產(chǎn)服
務(wù)器、維護終端、第三方維護控制、合作伙伴連接防護、互
聯(lián)網(wǎng)安全防護。
(3)邊界安全和區(qū)域安全
區(qū)域邊界安全：安全域的保護，其區(qū)域邊界安全是最
基礎(chǔ)的保護措施，通過對區(qū)域邊界的控制能夠保護安全域
不會受到來自其他區(qū)域的安全威脅。
重點區(qū)域安全：通過在安全域內(nèi)部進行審計、清理、監(jiān)
視、測量等技術(shù)手段，完成安全域內(nèi)安全事件的應(yīng)急響應(yīng)
和清除。安全域的區(qū)域安全以安全狀況的監(jiān)控為主要手
段，通過監(jiān)控本安全域內(nèi)部的安全事件并進行及時的應(yīng)急
響應(yīng)和清除。是安全域的關(guān)鍵安全處置手段。
2．3研究的重點與難點
2．3．1安全域改造難點
進行安全域改造過程，需要大量的調(diào)查研究工作，需
要針對每個系統(tǒng)進行相應(yīng)的難點分析，主要從以下幾個
難點：
·對業(yè)務(wù)平臺的防護目標(biāo)進行分析．分析各種服務(wù)及
數(shù)據(jù)流和活動，識別其各要素，分析在網(wǎng)絡(luò)、系統(tǒng)、
應(yīng)用、數(shù)據(jù)層的承載情況以及存在的重點等；
·業(yè)務(wù)平臺防護目標(biāo)的安全風(fēng)險分析，主要識別數(shù)
據(jù)、應(yīng)用、系統(tǒng)、網(wǎng)絡(luò)等層次的安全威脅、脆弱性情
況，分析其可能性及受到侵害的影響等；
·業(yè)務(wù)平臺邊界整合的業(yè)務(wù)關(guān)聯(lián)分析：
·業(yè)務(wù)平臺結(jié)構(gòu)變更的業(yè)務(wù)關(guān)聯(lián)分析：
·確定防護目標(biāo)的安全需求分析，以其承載業(yè)務(wù)為出
發(fā)點．分析各業(yè)務(wù)的安全防護要求，如服務(wù)域(關(guān)注
可用性)、維護域、計算域等各域的安全要求；從其
自身的安全威脅、脆弱性情況及安全發(fā)展趨勢走向
進行分析、總結(jié)，并提出改進需求；
·業(yè)務(wù)平臺的合規(guī)性分析：
·業(yè)務(wù)平臺的綜合分析，根據(jù)以上內(nèi)容綜合分析出全
面的信息安全風(fēng)險。
2．3．2安全域改造的重點
對于安全域的改造，將以下幾個方面的分析內(nèi)容作為
改造過程中的重點：
·安全域改造實施的原則分析：
·安全域改造實施內(nèi)容的流程、順序分析：
·安全域改造實施技術(shù)的標(biāo)準(zhǔn)化、規(guī)范化、流程化等
內(nèi)容分析：
·安全域改造實施的業(yè)務(wù)保障原則：
·安全域改造實施業(yè)務(wù)平臺的信息安全性保障分析；
·安全域改造實施人員保障分析；
·安全域?qū)嵤└脑旌蟮臉I(yè)務(wù)服務(wù)狀態(tài)、安全性、連續(xù)
性、維護、審計等測試。
3安全域改造實施方案研究
3．1 研究現(xiàn)狀
中國電信某省分公司CDMA網(wǎng)的短信中心分為3套，
均獨立成網(wǎng)；各平臺交換機與短信平臺匯聚交換機互聯(lián)，
上行設(shè)備分別與DCN、互聯(lián)網(wǎng)以及其他運營商互連互通，
滿足業(yè)務(wù)的需求，網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如圖1所示。
短信平臺涵蓋網(wǎng)元較多，除傳統(tǒng)的短信中心、短信網(wǎng)
關(guān)外。還包括MSP、短信綜合應(yīng)用平臺，外連彩信、WAP網(wǎng)
關(guān)、ISMP、ISAG，整個拓?fù)浣Y(jié)構(gòu)較為復(fù)雜。
3．2風(fēng)險分析
短信平臺系統(tǒng)在設(shè)計建設(shè)之初已經(jīng)考慮了系統(tǒng)相關(guān)
安全需求，建立了比較完善的安全機制，但通過對短信平
臺系統(tǒng)的實地調(diào)研與分析．目前存在以下安全隱患：
萬方數(shù)據(jù)
短信中心MsP
圖1 短信平臺整體網(wǎng)絡(luò)結(jié)構(gòu)
·短信平臺各功能模塊沒有明顯的安全域劃分，沒有
有效的安全保護措施：
-短信平臺整個平臺外界的相連出口眾多，邊界沒有
統(tǒng)一出口，整個網(wǎng)絡(luò)顯得比較復(fù)雜與無序；
·短信平臺各設(shè)備沒有進行安全配置，各設(shè)備僅根據(jù)
實際情況進行相應(yīng)的配置等操作，未根據(jù)中國電信
集團的安全配置規(guī)范進行配置：
·各業(yè)務(wù)系統(tǒng)間的互聯(lián)互通缺乏統(tǒng)一的控制規(guī)范．安
全問題容易擴散：
·平臺缺乏有效的安全防護機制，針對攻擊流量平臺
無監(jiān)測功能。不具備有效的防御措施：維護區(qū)域具
有審計功能的安全接入網(wǎng)關(guān)跳板設(shè)備；網(wǎng)絡(luò)、系統(tǒng)
等之問缺少有效的訪問控制等措施；對入侵防范等
措施有一定的缺失：整個短信平臺系統(tǒng)的防病毒防
范機制缺失：
·內(nèi)網(wǎng)缺少專用補丁服務(wù)器，各服務(wù)器無法及時更新
補丁，針對所有設(shè)備操作無專用的日志服務(wù)器進行
記錄和審核。
3．3短信平臺安全域改造目標(biāo)
安全域的劃分就是做好各區(qū)域的安全邊界。通過資源
位置進行劃分的目標(biāo)是將相同網(wǎng)絡(luò)安全等級的資源，依照
對企業(yè)的重要性、其面臨的外來攻擊風(fēng)險、自身內(nèi)在的運
行風(fēng)險的不同，合理地劃分成多個網(wǎng)絡(luò)安全區(qū)域。劃分的
依據(jù)是將相同網(wǎng)絡(luò)安全層次內(nèi)客戶端之間的連接控制在
同一安全域內(nèi)．盡量消除不同安全層次之間的聯(lián)系，實施
邏輯隔離或物理隔離。
完成劃分網(wǎng)絡(luò)安全域，是做好系統(tǒng)安全保護基礎(chǔ)的第
一步。因為通過安全域劃分可以確定網(wǎng)絡(luò)邊界，形成簡潔、
清晰、穩(wěn)定的組網(wǎng)架構(gòu)，實現(xiàn)各系統(tǒng)之間嚴(yán)格的訪問控制
安全互聯(lián)，可解決系統(tǒng)的安全問題。有效地實現(xiàn)各網(wǎng)絡(luò)之
間和支撐系統(tǒng)之間的安全隔離和訪問控制．達到“化復(fù)雜
為簡單、盡在掌控”的目的。安全域的劃分加強了網(wǎng)絡(luò)的可
控性，可以有效地防止?jié)B透攻擊。針對業(yè)務(wù)，劃分成以下幾
個區(qū)域，網(wǎng)絡(luò)目標(biāo)如圖2所示。
(1)交互網(wǎng)絡(luò)域
由連接具有相同安全等級的維護域、計算域和服務(wù)域
的網(wǎng)絡(luò)設(shè)備以及網(wǎng)絡(luò)拓?fù)浣M成。作為安全子域以及承載網(wǎng)
的統(tǒng)一接口區(qū)域，一般分為專線接人區(qū)、互聯(lián)網(wǎng)接入?yún)^(qū)和
內(nèi)網(wǎng)接入?yún)^(qū)。網(wǎng)絡(luò)域通常包括交換機、路由器、入侵防護、
防火墻、入侵檢測等設(shè)備，是安全域的承載子域。
·專線接入?yún)^(qū)主要指VPN或者專線網(wǎng)絡(luò)接人IP承載
網(wǎng)的邏輯接入分區(qū)；
-互聯(lián)網(wǎng)接入?yún)^(qū)主要指上聯(lián)互聯(lián)網(wǎng)的邏輯接人分區(qū)：
·內(nèi)網(wǎng)接入?yún)^(qū)主要指直連到公司內(nèi)部網(wǎng)絡(luò)(如DCN等)
的邏輯接人分區(qū)。
(2)計算域
計算域是指在安全域范圍內(nèi)進行存儲、傳輸、處理業(yè)
務(wù)數(shù)據(jù)的計算機或集群組成的區(qū)域，如磁盤陣列、數(shù)據(jù)庫
服務(wù)器等。
(3)服務(wù)域
服務(wù)域由支撐業(yè)務(wù)運營的基礎(chǔ)組件和提供安全服務(wù)
管理控制組件組成，包括對內(nèi)服務(wù)區(qū)和對外服務(wù)區(qū)。
(4)維護管理域
維護管理域由能訪問同類數(shù)據(jù)或進行業(yè)務(wù)處理、業(yè)務(wù)
維護的維護終端組成。維護域可根據(jù)用戶維護終端所在的
不同地理位置，分為遠(yuǎn)程維護區(qū)和本地維護區(qū)：可根據(jù)不
同的維護用戶主體，分為第三方維護區(qū)和局方維護區(qū)。
而維護域的安全需求．建議以限制權(quán)限、加強認(rèn)證和
審計以及嚴(yán)格遵守安全配置標(biāo)準(zhǔn)的技術(shù)手段為主，同時使
用安全防護工具，如口令管理等保護措施、部署防病毒系
統(tǒng)。此外，還需要加強對終端的安全管理，逐步實現(xiàn)終端配
置標(biāo)準(zhǔn)化，從軟件、硬件平臺、用戶ID、管理工具、服務(wù)水
平及系統(tǒng)的建立和使用等方面實現(xiàn)終端防護的統(tǒng)一管理
和安全監(jiān)控。
3．4改造實施思路
短信平臺改造從步驟上分為以下幾步。
(1)增加匯聚交換機、路由器、防火墻、IPS等安全防護
萬方數(shù)據(jù)
一塑鱉燮全
交互網(wǎng)絡(luò)
r鬣拳ja避d!掣
1日‘ 《≯■^
I■I．：q，、，’
’3VV^^
l邕嚳一一j一一i必。．．．一一．一一．一一
；服務(wù)域；服務(wù)域I塑j墮矍．．ii!÷登望妻矍一i璺旦矍妻翌一一；一鍪孥巖望妻曼一!璺舅望塑矍．．!鍪塑壹塑．一；
I．竺竺要!董土?竺竺．i??壁型??j??一璧量氅??j??．黧姜竺??』
圖2短信平臺目標(biāo)網(wǎng)絡(luò)
產(chǎn)品，通過設(shè)備將安全域的邊界統(tǒng)一：將增加的匯聚交換
機分別與DCN、Intemet、CN2設(shè)備互聯(lián)，與中國移動某省分
公司、中國聯(lián)通某省分公司、中國電信某省分公司通過
2 Mbi譏鏈路與原Cisco 3845路由器互聯(lián)，IPs則根據(jù)業(yè)務(wù)
需求進行部署；通過防火墻與交換機的整合．形成各安全
域邊界的統(tǒng)一，網(wǎng)絡(luò)拓?fù)淙鐖D3所示。
圖3短信平臺目標(biāo)網(wǎng)絡(luò)部署一
(2)部署防火墻并將業(yè)務(wù)系統(tǒng)割接至匯聚交換機，劃
分以下安全域，具體網(wǎng)絡(luò)變更如圖4所示。
(3)調(diào)整各安全域的服務(wù)器與網(wǎng)絡(luò)設(shè)備，部署相應(yīng)的
安全策略與防護手段，達到安全域要求。
4安全域改造實施內(nèi)容
根據(jù)安全域劃分的結(jié)果，按照多層、深度防護的原則，
安全域策略的實現(xiàn)從邊界防護策略和內(nèi)部防護策略兩個
方面人手，采用防火墻安全策略、路由器(或其他網(wǎng)絡(luò)互聯(lián)
設(shè)備)的ACL(訪問控制列表)策略，實現(xiàn)安全域的邊界、安
全域內(nèi)部的訪問、通信控制。
4．1 交互網(wǎng)絡(luò)域防護策略
4．1．1互聯(lián)網(wǎng)接入?yún)^(qū)防護策略
(1)邊界防護策略
對于安全域改造，其安全策略的實施是一個重要的內(nèi)
容，針對邊界的防護策略有以下內(nèi)容：部署并優(yōu)化防火墻策
略，優(yōu)化出口防火墻的訪問控制策略，只允許特定的業(yè)務(wù)數(shù)
據(jù)流通過防火墻．通信流控制要細(xì)化到通信的IP地址和服
務(wù)端口，并且除允許的業(yè)務(wù)通信外，嚴(yán)格禁止其他通信。
(2)內(nèi)部防護策略
網(wǎng)絡(luò)域劃分過后，其網(wǎng)絡(luò)域的安全策略是一個重要的
警澄|一＼未麟州烈垴 趲黟＼懣瓜侈，蜃 {l靂甜 什黼熬
萬方數(shù)據(jù)
州Ⅲ撕女。i“i#
電信科學(xué)；；；|2翁孽鬟鬻鏊鬻瀵i
服務(wù)域服務(wù)域i應(yīng)用服務(wù)器數(shù)據(jù)庫服務(wù)器i應(yīng)用服務(wù)器數(shù)據(jù)庫服務(wù)器i應(yīng)用服務(wù)器數(shù)據(jù)庫服務(wù)器；
璺堡些簍豎??要要嬰茭?j???．撂j董晉魚!??．j???璺焦羔魚!??．j???一堡焦曼魚j??j
圖4短信平臺目標(biāo)網(wǎng)絡(luò)部署二
實施內(nèi)容。針對區(qū)域的安全防護，除了邊界保護策略外，也
要考慮內(nèi)部防護策略，內(nèi)部保護的重點與邊界有所不同，
其內(nèi)部防護策略主要有以下3方面。
部署日志審計系統(tǒng)：對所有核心路由器、交換設(shè)備、
業(yè)務(wù)系統(tǒng)、數(shù)據(jù)庫系統(tǒng)等的日志進行統(tǒng)一集中審計分
析．審計記錄應(yīng)包含網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備流量、運行
狀況等．而事件審計記錄應(yīng)包括事件發(fā)生的日期和時
間、事件類型、用戶、事件成功情況以及其他與審計相關(guān)
的情況。
部署行為審計系統(tǒng)：對所有核心路由器、交換設(shè)備、業(yè)
務(wù)系統(tǒng)、數(shù)據(jù)庫系統(tǒng)等的管理員用戶的管理操作行為進行
記錄。
對路由器、防火墻等網(wǎng)絡(luò)設(shè)備進行安全加固服務(wù)，包
括配置合理的訪問策略，嚴(yán)格控制對設(shè)備的訪問；對管理
員登錄地址進行限制．包括在待登錄的目標(biāo)網(wǎng)絡(luò)設(shè)備中對
用戶的源IP地址進行設(shè)置，僅允許合法的IP地址登錄、在
用戶端與目標(biāo)設(shè)備通信之間的網(wǎng)絡(luò)設(shè)備上設(shè)置相應(yīng)的訪
問控制：啟用網(wǎng)絡(luò)登錄鏈接超時功能，用戶登錄一段時間
后未進行操作，將自動中斷此用戶的連接；啟用登錄次數(shù)
限制，通常設(shè)為3。5次，在嘗試給定次數(shù)登錄都未成功的
情況下，將直接中止連接。
4．1．2內(nèi)網(wǎng)接入?yún)^(qū)防護策略
(1)邊界防護策略
針對內(nèi)網(wǎng)接入?yún)^(qū)的邊界保護策略與互聯(lián)網(wǎng)接人區(qū)的
防護策略基本類似．性質(zhì)上都是邊界防護，其防護策略有
以下舉措。
·邊界調(diào)整：將各業(yè)務(wù)系統(tǒng)邊界調(diào)整為統(tǒng)一出口，并
進行集中防護。
·邊界路由器策略優(yōu)化：在邊界路由器上啟用ACL功
能．對病毒蠕蟲常用端口進行過濾。
·防火墻策略優(yōu)化：優(yōu)化出口防火墻的訪問控制策
略，只允許特定的管理維護數(shù)據(jù)流通過防火墻，通
信流控制要細(xì)化到通信的IP地址和服務(wù)端口，并
且除允許的業(yè)務(wù)通信外，嚴(yán)格禁止其他通信。
(2)內(nèi)部防護策略
內(nèi)網(wǎng)接入?yún)^(qū)的防護策略與互聯(lián)網(wǎng)接人區(qū)的內(nèi)部防護
策略基本一致，安全防護手段相似，因為雖然區(qū)域不同，但
在安全要求上基本一致，具體包括如下3個方面。
萬方數(shù)據(jù)
■塑燮鱉
部署日志審計系統(tǒng)：對所有核心路由器、交換設(shè)備、業(yè)
務(wù)系統(tǒng)、數(shù)據(jù)庫系統(tǒng)等的日志進行統(tǒng)一集中審計分析，審
計記錄應(yīng)包含網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備流量、運行狀況等，
其事件審計記錄應(yīng)該包括事件發(fā)生的日期和時間、事件類
型、用戶、事件成功情況以及其他與審計相關(guān)的情況。
部署行為審計系統(tǒng)：對所有核心路由器、交換設(shè)備、業(yè)
務(wù)系統(tǒng)、數(shù)據(jù)庫系統(tǒng)等管理員用戶的管理操作行為進行
記錄。
對路由器、防火墻等網(wǎng)絡(luò)設(shè)備進行安全加固服務(wù)，包
括：應(yīng)及時安裝各種網(wǎng)絡(luò)設(shè)備的補丁或升級程序；配置合
理的訪問策略，嚴(yán)格控制對設(shè)備的訪問；對管理員登錄地
址進行限制，包括在待登錄的目標(biāo)網(wǎng)絡(luò)設(shè)備中對用戶的源
IP地址進行設(shè)置．僅允許合法的IP地址登錄、在用戶端與
目標(biāo)設(shè)備通信之間的網(wǎng)絡(luò)設(shè)備上設(shè)置相應(yīng)的訪問控制；啟
用網(wǎng)絡(luò)登錄連接超時功能，用戶登錄一段時間后未進行操
作，將自動中斷此用戶的連接；在網(wǎng)絡(luò)設(shè)備中設(shè)置登錄失
敗處理機制，具體包括結(jié)束會話、停用賬號、記錄日志等；
啟用登錄次數(shù)限制，通常設(shè)為3。5次，在嘗試給定次數(shù)登
錄都未成功的情況下。將直接中止連接。
4．2業(yè)務(wù)域防護策略
4．2．1邊界防護策略
業(yè)務(wù)域是保護的一個重點，因為提供的業(yè)務(wù)功能是在
業(yè)務(wù)域的服務(wù)器上承載．如何保護業(yè)務(wù)域是本次研究的重
點。根據(jù)業(yè)務(wù)域的特性，如何保護業(yè)務(wù)域的各種業(yè)務(wù)服務(wù)
是策略保護的導(dǎo)向。具體策略如下：
·合理劃分VLAN，對計算域、服務(wù)域、維護域通過
VLAN進行隔離，只允許合法數(shù)據(jù)流通過；
·IP地址、MAC地址、交換機端口綁定；
·對業(yè)務(wù)域的維護通過統(tǒng)一的邊界跳板機(堡壘機)
進行統(tǒng)一訪問，并記錄其操作等信息。
4．2．2內(nèi)部防護策略
由于業(yè)務(wù)域的重要性，其內(nèi)部防護策略要重點考慮，
重點是審計、系統(tǒng)防護策略、防病毒、認(rèn)證、授權(quán)等一系列
策略，具體如下。
部署日志審計系統(tǒng)：對所有核心路由器、交換設(shè)備、業(yè)
務(wù)系統(tǒng)、數(shù)據(jù)庫系統(tǒng)等的系統(tǒng)日志進行統(tǒng)一集中審計分
析，審計記錄包含系統(tǒng)日志等，其事件審計記錄應(yīng)該包括
事件發(fā)生的日期和時間、事件類型、用戶、事件成功情況以
及其他與審計相關(guān)的情況。
部署行為審計系統(tǒng)：對所有核心路由器、交換設(shè)備、業(yè)
務(wù)系統(tǒng)、數(shù)據(jù)庫系統(tǒng)等管理員用戶的管理操作行為進行
記錄。
對主機操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)進行安全加固服務(wù)，包
括：系統(tǒng)補丁修補、賬號口令策略增強、端口服務(wù)最小化、
啟用日志審計功能、啟用非法登錄的次數(shù)限制功能、啟用
登錄連接超時功能。嚴(yán)格進行業(yè)務(wù)域內(nèi)部的訪問控制，顆
粒度達到端口級。通過部署網(wǎng)絡(luò)防病毒產(chǎn)品，對整個短信
平臺系統(tǒng)進行防病毒工作。
4．3系統(tǒng)安全策略部署
針對操作系統(tǒng)．根據(jù)國家、工業(yè)和信息化部以及中國
電信集團的文件要求和業(yè)界安全最佳實踐，對其進行安全
配置加固，介紹如下。
·關(guān)閉多余的系統(tǒng)服務(wù)，啟動操作系統(tǒng)自帶的軟件防
火墻，配置系統(tǒng)的安全策略，配置防止源路由攻擊、
防止源IP地址欺騙式攻擊、SYN f100d保護、禁止重
定向設(shè)置、防止ping of deatIl攻擊、禁止ICMP廣播
回應(yīng)、忽略錯誤ICMP分組；
·限制了遠(yuǎn)程登錄只能使用SSH，并且對SSH服務(wù)進
行加固，修改默認(rèn)的登錄端口和能使用SSH登錄的
用戶．只有特定的用戶才能使用SSH登錄；
·刪除多余的用戶和組，限制有SU權(quán)限的用戶；
．對系統(tǒng)關(guān)鍵文件增加不可修改屬性，防止被誤刪除
或人為破壞；
·保護系統(tǒng)啟動引導(dǎo)配置文件；
·抵御特洛伊木馬病毒的攻擊；
’·記錄遠(yuǎn)程登錄用戶的行為，便于審核用戶進行破壞
操作。
4．4網(wǎng)絡(luò)設(shè)備安全加固
針對網(wǎng)絡(luò)設(shè)備，根據(jù)國家、工業(yè)和信息化部以及中國
電信集團的文件要求和業(yè)界安全最佳實踐，對其進行安全
配置加固：關(guān)閉或限制可能引起安全問題的服務(wù)，如UDP
和TCP服務(wù)器、{in印r、NTP、CDP服務(wù)、pmxy ARP、SNMP服
務(wù)、HTrP服務(wù)；啟用備份和日志服務(wù)器；用10S安全機制
保護關(guān)鍵設(shè)備。
5 結(jié)束語
通過一系列的安全域改造研究后，進行安全域的改造
實施工作，通過一系列安全防護手段，達到提高業(yè)務(wù)平臺
安全性的目的．具體可以達到以下效果，也可以為其他業(yè)
務(wù)平臺改造提供參考依據(jù)。
(下轉(zhuǎn)第113頁)
萬方數(shù)據(jù)
道傳播過程中的路徑損耗不一樣。其傳播距離不一樣的特
性，并結(jié)合載波聚合技術(shù)中不同頻帶內(nèi)非連續(xù)載波聚合技
術(shù)對高低頻率進行聚合。以達到UE對大帶寬的需求．同
時運用“高頻切換、低頻輔助”的協(xié)作切換思想，使得UE
在切換過程中切換中斷時延相對降低，并且減小了切換中
斷概率。通過進一步的仿真得知．UE的切換中斷概率相較
于傳統(tǒng)的m．Advallced系統(tǒng)和姍．Adv徹ced中繼系統(tǒng)有
所降低，并且UE的吞吐量也得到了提升。
參考文獻
1 鄭毅，李中年，王亞峰等．m-A系統(tǒng)中繼技術(shù)的研究．現(xiàn)代電
信科技，2009(6)：45～49
2 ke Y，Zha0 J H，Qu H．A combiIled handover scheme五Dr L1E—
AdvaIlced．Pmceedings of IEEE ICACT，Seoul，Korea，2012：
154一157
3 3GPP 7IS 36．300 V1 1．1．0．Evolved Universal Terrestrial Radio
Access (E—UTRA)and Evolved Universal Terrestrial Radio
Access Network(E-UTRAN)；OveraU Description；Stage 2，2012
4 ke H K'Son H K，Lee S H．SeIIIism h趴dover gain∞alysis
over 0FDM．b躺ed bmadband systems．IEEE 1hlsactions on
Vehicul口TecllIIology，2009，58(3)：1443一1453
5 Ch鋤g J R，“Y J，F(xiàn)eng S L，e￡耐．A fractional soft haIldover
scheme for 3GPP L1E-Adv柵ed system．ProceediⅡgs 0f IEEE
Intemational Con南rence on ICC Workshops 2009，Pisc她1way，
USA．2009
6 Teyeb 0'Ph強V V，R雅f B’酣以．HaIldover fr鋤ework for relay
ellllarced UE networks．Proceedings 0f IEEE Intemational
Conference on lCC Worl【sh叩s 20咀DresdeIl’Ge冊aIl呂2009=1扣18
7 沈嘉，索士強，全海洋等．3GPP長期演進(L1E)技術(shù)原理與系統(tǒng)
設(shè)計．北京：人民郵電出版社。2010
8 封彪．m．AdvaIlced無線中繼網(wǎng)絡(luò)切換算法研究．北京郵電大
學(xué)碩士學(xué)位論文，2012，3
9 3GPP 7I_s 36．826 VO．13．o．Evolved Unive瑪al’rerre矧al Radio
Access正一uTRA)；Relay Radi0 TransIIlissi帆and Recepti咀2012
lO 3GPP’I'S 36．942 V10．3．O．Evolved UniveIsal Terrestrial Radio
Access (E-UTRA)；Radio Freqllency(RF)System scenarios，
2012
[作者簡介】
趙季紅，女，博士，西安郵電大學(xué)教授，主要
從事新一代無線寬帶無線通信技術(shù)的研究
工作。
何煒揚，男，西安郵電大學(xué)碩士研究生，主
要從事寬帶移動通信網(wǎng)的研究工作。
曲樺，男，博士，西安交通大學(xué)教授，主要
從事新一代無線寬帶無線通信技術(shù)的研
究工作。
(收稿日期2013一04—25)
(上接第68頁)
·管理層：區(qū)域之間維護界面清晰．誰主管誰負(fù)責(zé)，易
于分析管理與維護界面。
·數(shù)據(jù)層：增強了數(shù)據(jù)及應(yīng)用的安全性：跨業(yè)務(wù)系統(tǒng)
非授權(quán)互訪易于監(jiān)控和管理：業(yè)務(wù)系統(tǒng)間的應(yīng)用訪
問進行了安全域的隔離，有效控制數(shù)據(jù)流，保護信
息安全。
·系統(tǒng)層：加強了域內(nèi)系統(tǒng)的訪問安全：防范了安全
域之外的威脅來源：加強了安全事件的追根溯源。
·網(wǎng)絡(luò)層：各業(yè)務(wù)域具有清晰、簡潔的網(wǎng)絡(luò)及系統(tǒng)架
構(gòu)；明確安全域網(wǎng)絡(luò)出口；安全問題易控制、處理、
調(diào)查；保證網(wǎng)絡(luò)與系統(tǒng)間的安全互聯(lián)：業(yè)務(wù)系統(tǒng)間
互連互通統(tǒng)一控制規(guī)范：從邊界進行安全防護，從
來源進行安全控制。
·物理層：邊界互聯(lián)清楚。接口統(tǒng)一。
做好業(yè)務(wù)平臺的安全域改造工作，可以更好地保證電
信業(yè)務(wù)平臺的安全性，保證業(yè)務(wù)正常連續(xù)地運行，提高電
信服務(wù)水平。中國電信的其他業(yè)務(wù)平臺．可以參考短信平
臺安全域改造的研究成果進行安全域改造．以提高平臺的
安全性。
(收稿日期：2013—08—01)
萬方數(shù)據(jù)

網(wǎng)友評論 more

綜合安全論文最新內(nèi)容

05-04