摘　要：

摘　要：隨著IT系統(tǒng)的集中建設(shè)、維護(hù)集約化的提高，DCN承載網(wǎng)絡(luò)面臨的安全威脅不斷增加。本文以湖北電信DCN網(wǎng)為例，對(duì)DCN網(wǎng)絡(luò)遠(yuǎn)程訪問的現(xiàn)狀和隱患進(jìn)行了評(píng)估，并給出了解決方案。

關(guān)鍵詞：

關(guān)鍵詞：DCN　安全評(píng)估　遠(yuǎn)程訪問

     湖北電信DCN網(wǎng)絡(luò)是一個(gè)專用數(shù)據(jù)通信網(wǎng)，它承載的系統(tǒng)包含了三大核心業(yè)務(wù)系統(tǒng)MBOSS以及增值業(yè)務(wù)平臺(tái)等IT平臺(tái)。伴隨湖北電信IT建設(shè)的不斷成熟，企業(yè)運(yùn)營(yíng)越來(lái)越依賴IT平臺(tái)，作為內(nèi)部IT系統(tǒng)和核心網(wǎng)元的基礎(chǔ)承載網(wǎng)絡(luò)，DCN網(wǎng)的正常運(yùn)行轉(zhuǎn)是支撐湖北電信正常運(yùn)營(yíng)的必要條件。

1　遠(yuǎn)程訪問DCN的現(xiàn)狀

    隨著湖北電信IT集中建設(shè)的推進(jìn)、維護(hù)集中化水平不斷提高以及快速處理故障的需要，湖北電信在省公司本部、直屬單位以及地市分公司都存在遠(yuǎn)程訪問DCN的需求，主要包括：OA用戶移動(dòng)訪問省公司辦公網(wǎng)、電信維護(hù)人員遠(yuǎn)程登陸處理故障、第三方維護(hù)人員遠(yuǎn)程登陸協(xié)助處理重大障礙。

     目前，各單位遠(yuǎn)程訪問DCN不規(guī)范，各地市都存在私設(shè)互聯(lián)網(wǎng)接口，利用Internet遠(yuǎn)程接入DCN的情況。這種遠(yuǎn)程接入方式為辦公和運(yùn)維工作帶來(lái)了便利，但卻存在非常大的安全隱患。

2　遠(yuǎn)程訪問DCN的安全隱患

　　隨著移動(dòng)業(yè)務(wù)、互聯(lián)網(wǎng)業(yè)務(wù)、數(shù)據(jù)增值業(yè)務(wù)等的發(fā)展，湖北DCN網(wǎng)絡(luò)所承載的MBOSS系統(tǒng)、增值業(yè)務(wù)平臺(tái)、核心網(wǎng)元越來(lái)越多，其安全威脅在不斷增加。DCN網(wǎng)絡(luò)作為基礎(chǔ)承載網(wǎng)絡(luò)，它負(fù)責(zé)提供所有承載的各類MBOSS系統(tǒng)的網(wǎng)絡(luò)互通，DCN骨干網(wǎng)絡(luò)上未做訪問控制，各類系統(tǒng)的網(wǎng)絡(luò)安全、訪問控制、防病毒等功能由該系統(tǒng)接入DCN時(shí)自身實(shí)現(xiàn)。由于缺乏有效的控制手段，經(jīng) Internet網(wǎng)絡(luò)遠(yuǎn)程訪問DCN，在提高工作效率的同時(shí)，也引入較大的安全風(fēng)險(xiǎn)，相應(yīng)的安全事件時(shí)有發(fā)生。

2.1　遠(yuǎn)程訪問不可控制

　　由于目前湖北電信DCN沒有統(tǒng)一的遠(yuǎn)程接入接口，各單位都存在私設(shè)遠(yuǎn)程接入DCN的接口，，通過Internet遠(yuǎn)程接入DCN網(wǎng)絡(luò)，就能訪問DCN網(wǎng)內(nèi)資源和使用相應(yīng)的應(yīng)用系統(tǒng)，沒有統(tǒng)一的系統(tǒng)做遠(yuǎn)程訪問DCN的控制策略。

　　2.2　遠(yuǎn)程登錄的安全問題

　　目前的遠(yuǎn)程接入多為賬號(hào)/口令認(rèn)證方式，安全性非常薄弱。遠(yuǎn)程維護(hù)通道沒有加密功能，通過INTERNET進(jìn)行遠(yuǎn)程維護(hù)時(shí)，一旦遭受中間人攻擊，攻擊者可以獲取所有通訊數(shù)據(jù)，DCN所承載的IT系統(tǒng)的敏感信息的保密性得不到保障。

2.3　遠(yuǎn)程訪問終端的安全接入

　　由于各單位都有DCN和Inetenet的接口，各單位的接入方式也不相同。如果互聯(lián)接口上未部署防火墻和IDS，遠(yuǎn)程訪問的終端不可避免的會(huì)攜帶病毒、木馬等直接攻擊DCN骨干承載網(wǎng)，甚至成為黑客攻擊DCN承載網(wǎng)以及各IT系統(tǒng)的跳板。

2.4　遠(yuǎn)程訪問的訪問控制和授權(quán)

　　遠(yuǎn)程訪問DCN網(wǎng)絡(luò)處理緊急故障時(shí)，不僅有電信內(nèi)部維護(hù)人員還有第三方廠家提供遠(yuǎn)程技術(shù)支持，沒有統(tǒng)一的DCN接入平臺(tái)對(duì)于這些遠(yuǎn)程登陸賬戶的訪問控制和授權(quán)，無(wú)法有效地隔離跨業(yè)務(wù)區(qū)域的非授權(quán)訪問。

　　2.5　無(wú)法實(shí)現(xiàn)對(duì)用戶操作的審計(jì)

　　對(duì)于授權(quán)或非授權(quán)訪問沒有審計(jì)能力，對(duì)內(nèi)部人員誤操作或外部人員的非授權(quán)操作沒有任何記錄，出現(xiàn)安全問題無(wú)法對(duì)用戶操作進(jìn)行回溯檢查，事故責(zé)任無(wú)法定位。建議通過部署審計(jì)類安全產(chǎn)品，提升誤操作或非授權(quán)操作的抗抵賴性。

3　遠(yuǎn)程訪問DCN的安全加固

　　DCN網(wǎng)及所承載的MBOSS系統(tǒng)是湖北電信核心網(wǎng)絡(luò)系統(tǒng)，對(duì)核心網(wǎng)絡(luò)系統(tǒng)的遠(yuǎn)程訪問安全管理是湖北電信整個(gè)規(guī)范體系的核心內(nèi)容之一。要遵循集團(tuán)公司CTG-MBOSS安全規(guī)范對(duì)基礎(chǔ)承載網(wǎng)絡(luò)的要求，做好遠(yuǎn)程訪問DCN的管理。因此，就遠(yuǎn)程訪問DCN網(wǎng)的安全問題進(jìn)行了專項(xiàng)分析，提出了解決方案。

　　其一，企業(yè)生產(chǎn)運(yùn)營(yíng)中，通過遠(yuǎn)程方式訪問DCN網(wǎng)絡(luò)上承載的系統(tǒng)的需求是合理的。通過遠(yuǎn)程方式訪問DCN網(wǎng)絡(luò)承載的各類IT系統(tǒng)必須采取安全、加密、可控、可追溯的方式，問題的關(guān)鍵是做好對(duì)這些資源的安全訪問控制，按照目前CTG-MBOSS的系統(tǒng)及安全域劃分原則，我們對(duì)MSS/BSS/OSS三類安全域分別作安全訪問控制。

　　其二，IT部門建設(shè)通過Internet、智能手機(jī)VPN遠(yuǎn)程訪問OA的全省統(tǒng)一的安全訪問入口，將全省遠(yuǎn)程訪問OA的流程統(tǒng)一引導(dǎo)到該安全入口，OA用戶遠(yuǎn)程訪問省公司MSS系統(tǒng)不再通過DCN承載網(wǎng)，增強(qiáng)了遠(yuǎn)程訪問省集中的MSS系統(tǒng)的安全性。

　　其三，IT部在基礎(chǔ)網(wǎng)絡(luò)安全及改造項(xiàng)目中啟動(dòng)BSS系統(tǒng)數(shù)據(jù)庫(kù)安全訪問堡壘主機(jī)的建設(shè)，在BSS核心系統(tǒng)接入DCN邊緣處部署訪問控制列表、在分公司和直屬單位推廣使用終端安全訪問系統(tǒng)，增強(qiáng)了遠(yuǎn)程訪問省集中的BSS系統(tǒng)的安全性。

　　其四，作為全省DCN骨干承載網(wǎng)絡(luò)的管理維護(hù)單位，我們?cè)谑【W(wǎng)監(jiān)中心的DCN網(wǎng)絡(luò)統(tǒng)一互聯(lián)網(wǎng)出口處部署VPN、IPS、SAG設(shè)備，建設(shè)湖北電信OSS類系統(tǒng)遠(yuǎn)程訪問綜合維護(hù)接入平臺(tái)，作為全省OSS系統(tǒng)以及核心網(wǎng)元維護(hù)的統(tǒng)一的安全訪問入口。

　　通過部署全省統(tǒng)一的OSS類系統(tǒng)綜合維護(hù)接入平臺(tái)，我們?cè)贠SS支撐系統(tǒng)和核心網(wǎng)元自身訪問控制功能的基礎(chǔ)上，增加了統(tǒng)一的認(rèn)證、授權(quán)和控制、審計(jì)機(jī)制，實(shí)現(xiàn)遠(yuǎn)程維護(hù)操作的事先授權(quán)、事中監(jiān)控、事后審計(jì)，極大地提高了遠(yuǎn)程訪問DCN網(wǎng)絡(luò)承載OSS類資源的安全性。