移動通信對信息網(wǎng)絡(luò)的依賴程度之高可以想象，僅其業(yè)務(wù)運營支撐（BOSS）系統(tǒng)就運行著計費、結(jié)算、營業(yè)帳務(wù)和客戶服務(wù)等多項核心業(yè)務(wù)，這些業(yè)務(wù)都要求有一個高度穩(wěn)定、運行順暢、安全可靠的網(wǎng)絡(luò)。近年來，中國移動新疆公司迫切需要將原有的網(wǎng)絡(luò)改造，建立一個高性能、高安全性、高可用性、高可擴充性的骨干網(wǎng)絡(luò)平臺，使得它一方面可以承載未來兩年（至2003年底）可預(yù)見的包括300萬用戶的多項業(yè)務(wù)應(yīng)用，另一方面順應(yīng)“大集中”的趨勢，實現(xiàn)對全區(qū)各州縣業(yè)務(wù)的集中統(tǒng)一管理。

一、系統(tǒng)改造中的安全系統(tǒng)建設(shè)

新疆移動通信公司業(yè)務(wù)支撐系統(tǒng)(BOSS)由計費系統(tǒng)、結(jié)算系統(tǒng)、營業(yè)帳務(wù)系統(tǒng)、客戶服務(wù)系統(tǒng)組成，安全是部署所有系統(tǒng)應(yīng)用和實施優(yōu)質(zhì)服務(wù)的前提和保障，因而BOSS系統(tǒng)必須有很高的安全性！分析整個BOSS系統(tǒng)，所涉及的安全控制將主要有網(wǎng)絡(luò)安全性、處理機安全性和用戶安全性三種，其中每臺處理機的安全性可以通過UNIX的登錄過程實施控制，用戶級的安全性可以通過文件的所有者和文件訪問權(quán)限機構(gòu)來控制，而網(wǎng)絡(luò)的安全性將是最大的挑戰(zhàn)。

一方面網(wǎng)絡(luò)中大量存儲和傳輸?shù)臄?shù)據(jù)有可能被盜用、暴露或者篡改，另一方面，BOSS系統(tǒng)本身與Internet連接，與其它單位系統(tǒng)（如銀行、郵儲、公安等）的接口及撥號連接等網(wǎng)絡(luò)接口也都是易受黑客攻擊的地方。

新疆移動業(yè)務(wù)運營支撐系統(tǒng)網(wǎng)絡(luò)分布廣、處理業(yè)務(wù)多且皆為計費、客服等核心業(yè)務(wù)，另外還要注意區(qū)中心和各地州不同的安全級別，要保障這樣一個復(fù)雜的分布式網(wǎng)絡(luò)環(huán)境的整體安全，必須首先要對網(wǎng)絡(luò)系統(tǒng)有一個全面深刻的了解，并且對網(wǎng)絡(luò)的各個環(huán)節(jié)可能存在的潛在威脅有一個清晰的認識，然后制定出相應(yīng)的安全策略。

新疆移動新BOSS系統(tǒng)的設(shè)計采用思科系統(tǒng)集中分層方案，此方案不僅適合BOSS系統(tǒng)架構(gòu)集中式分布特點及多級安全性需求，而且思科還掌握著世界領(lǐng)先的整體安全解決方案，基于BOSS系統(tǒng)的需求，思科在綜合考慮安全性、易用性和成本之后，提出了集中分級的安全解決方案。

首先，集中式安全管理采用專門用于保證安全性的服務(wù)器對整個系統(tǒng)進行監(jiān)測和管理。有了這樣的服務(wù)器以后，連接在這個網(wǎng)絡(luò)的所有用戶，不管它需要以什么樣的方式訪問網(wǎng)絡(luò)設(shè)備，都必須通過服務(wù)器的安全性監(jiān)測。由于服務(wù)器上可以運行功能很強的安全性軟件，可以完全滿足BOSS系統(tǒng)的安全需求。在路由器、撥號訪問服務(wù)器和安全服務(wù)器之間傳送的可以是經(jīng)過加密的有關(guān)網(wǎng)絡(luò)安全協(xié)議的數(shù)據(jù)流。通過這種集中式的安全控制機制，我們可以實現(xiàn)鑒別、授權(quán)和記帳的所謂“AAA”安全功能。

為了進一步提高安全數(shù)據(jù)庫的可靠性，我們還可以在網(wǎng)絡(luò)上設(shè)置不止一臺的安全數(shù)據(jù)庫，即使所有的安全數(shù)據(jù)庫都發(fā)生故障，還可以設(shè)置成利用路由器中的數(shù)據(jù)庫實現(xiàn)分散的安全控制方式。

其次，分級安全控制。新疆移動BOSS系統(tǒng)位于區(qū)中心和各地州的網(wǎng)絡(luò)重要性是不一樣的，需要保護的對象也不同，因此安全實施的力度也不同，一個好的安全體系是有主次之分的。思科在本次方案中根據(jù)用戶系統(tǒng)的特點構(gòu)筑了一個分層次，采用不同廠商安全產(chǎn)品的異構(gòu)安全體系。這就是在系統(tǒng)與外單位的接口處構(gòu)建一級安全防護，針對計費中心核心主機、核心數(shù)據(jù)庫的安全構(gòu)建第二層安全防護體系，并且采用不同廠商安全產(chǎn)品進一步提高攻擊的難度。這種分層異構(gòu)安全體系，其實就是思科面向網(wǎng)絡(luò)安全端到端的SAFE（Security Architecture for E-Business）解決方案中深度防御理念的具體應(yīng)用。

最后，在具體的訪問控制中充分利用BOSS系統(tǒng)的集中模式。

（1）使用被廣泛使用的“防火墻”，即把防火墻看作是一個數(shù)據(jù)流的過濾器，只有用戶所期望的數(shù)據(jù)流才能夠通過這個過濾器，而其它所有的數(shù)據(jù)流都不能通過，這一控制是雙向的。如在區(qū)中心與Internet的連接就設(shè)置了PIX防火墻，將內(nèi)網(wǎng)與外網(wǎng)隔斷，而作為用戶Web查詢用的服務(wù)器則置于DMZ（Demilitarized Zoon）中，用戶訪問時，不會直接進入內(nèi)網(wǎng)，而只和查詢服務(wù)器發(fā)生關(guān)聯(lián)，只能由查詢服務(wù)器進入內(nèi)網(wǎng)尋找到用戶所需的數(shù)據(jù)。這樣就可以基本上保證系統(tǒng)的安全性。

另外，BOSS系統(tǒng)與其它系統(tǒng)的網(wǎng)絡(luò)接口（如話費代收及銀行、郵儲、公安之類的接口）都是在區(qū)中心采用防火墻等安全機制來集中保證網(wǎng)絡(luò)的互相獨立性。BOSS系統(tǒng)與銀行系統(tǒng)的網(wǎng)絡(luò)連接以銀行為例加以說明。每家銀行都有一套覆蓋全區(qū)的網(wǎng)絡(luò)，而新疆移動采用的是計費、營業(yè)及綜合帳務(wù)系統(tǒng)的集中模式，所以只要在區(qū)內(nèi)中國移動與各家銀行的區(qū)中心作網(wǎng)絡(luò)連接就可以實現(xiàn)聯(lián)網(wǎng)了。這種方法接口單一，連接方法簡單，易于管理，安全隱患小，節(jié)約投資。

（2）在撥號連接安全問題上，除了采用回拔技術(shù)以外，也主要使用了集中的訪問控制。BOSS系統(tǒng)的拔號用戶主要是營業(yè)廳和代理點兩類，對營業(yè)廳，它完成的業(yè)務(wù)多一些，因此也應(yīng)具有較高的權(quán)限；對代理點，不應(yīng)讓其訪問過多的數(shù)據(jù)。這可以通過給予不同的用戶名和口令，再對這些用戶名和口令作不同訪問限制的方法來實現(xiàn)，也可以通過對地址的訪問控制實現(xiàn)，具體選用哪一種可依實際情況而定。為了實現(xiàn)這些功能，使用集中的訪問控制是必要的，它不但可以保證網(wǎng)絡(luò)不受侵犯，也可以記錄下對于網(wǎng)絡(luò)的操作以及監(jiān)測各種用戶的訪問。

二、安全系統(tǒng)增強了網(wǎng)絡(luò)的運營能力

新疆移動BOSS系統(tǒng)通過實施新的安全方案后，整個網(wǎng)絡(luò)的運行將可在一種可控方式下并保證其安全性，新系統(tǒng)不但可以通過集中控制的機制對分布在全區(qū)15個地州的網(wǎng)絡(luò)進行安全管理，防止非授權(quán)的人員進入網(wǎng)絡(luò)之中，還可根據(jù)具體用戶的級別確定他們的訪問權(quán)限，以實現(xiàn)分層次的安全控制機制。另外，思科通過將自身高性能的安全產(chǎn)品（如PIX防火墻和VPN等）以及第三方安全產(chǎn)品和技術(shù)部署到網(wǎng)絡(luò)相應(yīng)的位置，大大增強了網(wǎng)絡(luò)的抗攻擊能力。

改造后的系統(tǒng)幫助客戶解決了原來因地緣分布廣造成的管理難度大、成本高、不能及時解決客戶的問題等，使得新疆移動的策略制定、實施，對客戶問題的診斷、解決都可以在中心區(qū)完成。另外，由于實現(xiàn)了業(yè)務(wù)管理和安全管理的大集中，整個BOSS系統(tǒng)的管理都變得更簡單、可控，從而不僅保障了整個系統(tǒng)安全、持續(xù)、高效地運行，還大幅地提高了人員工作效率，節(jié)約了管理成本。

此系統(tǒng)設(shè)計及實施過程中，有3點是保證系統(tǒng)成功的關(guān)鍵。

第一，如何在新疆移動的“生產(chǎn)”網(wǎng)絡(luò)中運用SAFE藍圖的模塊化分析方法。思科的“SAFE”藍圖倡導(dǎo)將企業(yè)復(fù)雜的網(wǎng)絡(luò)環(huán)境模塊化，正是這種模塊化的分析方法，使得新疆移動化繁為簡地分析其網(wǎng)絡(luò)各個模塊內(nèi)部以及相互連接處的薄弱環(huán)節(jié)和關(guān)鍵部分。這樣，一方面可以幫助新疆移動有針對性的采取防御策略和手段，使網(wǎng)絡(luò)系統(tǒng)得到經(jīng)濟、立體、全面的保護，另一方面使得網(wǎng)絡(luò)結(jié)構(gòu)及安全部署都能夠隨著業(yè)務(wù)的發(fā)展而被便捷的推廣，保證了網(wǎng)絡(luò)結(jié)構(gòu)的高可擴展性。第二，要將國際領(lǐng)先的理念、解決方案本土化、客戶化。第三，在設(shè)計、實施的過程中不斷溝通，本著提供一系列有效服務(wù)來展開工作。

《電信企業(yè)網(wǎng)》