DCN（Data Communication Network：综合数据通信网）的安全问题讨论(ZZ)

njupt_yww

<p>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DCN（Data Communication Network：综合数据通信网）是中国电信各专业网管系统专用数据通信网络，其主要作用是为各专业的网管系统提供通用的业务传送平台，为电信管理网的运行提供支撑和保障。随着企业信息化程度的不断提高，采用IP技术构建覆盖全国的、技术先进、功能齐全、面向企业内部应用提供服务的综合数据通信网（DCN网），逐步成为企业应用趋势。 <br/><br/>　　目前，省内DCN网络的应用主要包括长途网管系统、七号信令系统、电路调度系统、传输综合网管、本地网管系统、168系统、九七系统、智能网记费、资源管理系统、客服系统、联机计费采集系统、IP综合网管系统、交换接入网综合网管系统、新九七系统等。而随着信息化系统整合，Internet和合作伙伴等也会接入到网络中，随着DCN网络信息资产价值的提高，其重要性和安全问题日益显现出来。整体而言，DCN网络正面临着恶意App攻击、内部员工误用、黑客入侵破坏等安全威胁，要建立安全的DCN网，必须满足一些前提条件。 <br/><br/>　　<b>安全需求具有明显特点 </b><br/><br/>　　DCN网络分为两层结构:省干核心层和地市汇聚层。全省共设置了1个省中心节点、若干个地市中心节点。 <br/><br/>　　DCN网络存在的安全问题主要集中在以下几个方面：组网方式随意性很强；网络区域之间边界不清晰，互通控制管理难度大、效果差，攻击容易扩散；安全防护手段部署原则不明确，已有设备也没有很好地发挥作用；网络资源比较分散，关键数据分散管理，部分通信资源无法共享；扩展性差，网络层次不清晰，会导致扩展性问题；非均匀的网络分布。 <br/><br/>　　作为内部支撑业务的“数据通信网”，DCN网络与其他网络的安全需求相比存在着明显的特点。 <br/><br/>　　可用性，可控性需求。作为内部承载网络，DCN网络的可用性需求是最重要的安全需求，由于DCN网络的特点，公共网络那种以扩大资源（带宽、设备处理能力）为主的处理方式很明显不适合DCN网络的具体情况。例如，病毒泛滥，蠕虫传播的情况，由于端接入点不可控，采取很具体的控制手段往往是通过增加资源首先保证可用的方式来解决。但对于DCN网络，由于全网所有节点都在可控范围内，可以方便地采用技术手段和管理手段实现更精细，更有效的可用性管理。 <br/><br/>　　可操作性需求。DCN网络覆盖面广，承载业务系统繁多，情况千差万别，要搞好这个系统的安全建设工作，可操作性是目前需要考虑的一个重要问题，没有可操作性，任何建设方案，建设思路都将流于形式。 <br/><br/>　　<b>面临三大安全威胁 </b><br/><br/>　　DCN网络中的主要威胁除了物理攻击破坏外，主要包括恶意App攻击、内部员工误用、黑客入侵破坏等三大类，具体描述如下。 <br/><br/>　　1．物理攻击和破坏 <br/><br/>　　物理攻击和破坏主要针对DCN的基础平台而言，对基础平台内重要的网络设备、通信链路进行的攻击和破坏，威胁的形式表现为物理临近攻击。威胁的主体包括DCN内部和外部的破坏者，破坏网络设备使之无法正常提供服务；侵占网络链路资源，使DCN网络有限的带宽资源被无目的地浪费等。 <br/><br/>　　2．病毒、蠕虫和恶意代码 <br/><br/>　　这种威胁主要针对DCN的应用。随着计算机技术的发展和网络互联范围的扩大，计算机病毒制造技术也在不断地翻新和发展，传播方式也有了很大的变化。病毒的发作具有高发性、变异性、破坏力强等特点，在短短的时间内可以迅速传播、蔓延，导致计算机网络瘫痪，造成DCN网重要数据的丢失。 <br/><br/>　　与此同时，还出现了许多具有攻击性的黑客程序和其他破坏程序。这些有害的程序都是利用计算机网络的技术进行传播和破坏，使传统的病毒防范技术难以防范，大规模蠕虫病毒对网络资源造成很大的侵占，使系统无法正常支撑业务的运作，严重的将导致整个系统的崩溃。 <br/><br/>　　防范的主要目标是：能够掌握DCN网络、数据中心的资产信息和运行状态，每月提供全省病毒攻击相关安全事件统计数据报告；能够对省属DCN网络、信息系统的漏洞和威胁进行评估，明确当前省属DCN网络和信息系统存在的风险和被病毒攻击的可能性，并及时做好加固工作；能够对省属DCN关键节点网络流量进行监控，对病毒等造成的流量异常进行及时响应，快速定位并隔离病毒源头;能够通过对网络设备和安全设备的日志和告警事件的关联分析，在病毒爆发初期快速定位并隔离病毒源头;能够在接收到安全通告12小时内向各地市发布安全通告;在病毒爆发时，能够快速定位接入局域网接入位置，提高安全响应时间。 <br/><br/>　　3．垃圾邮件 <br/><br/>　　电子邮件的兴起，实现了方便的信息交互和沟通，也为各种攻击提供了新的传播手段。典型的基于电子邮件的攻击就是垃圾邮件，这些垃圾邮件利用邮箱内的地址簿，自我进行复制和传播，从而在网络内形成大量的邮件风暴，而阻碍了正常邮件的发送，甚至引起网络阻塞，影响其他正常业务数据的交互。 <br/><br/>　　4．内部员工误用、滥用和误操作 <br/><br/>　　内部员工在使用计算机过程中的一些不当行为，很容易使DCN网遭到外来的攻击和破坏。比如，下载一些带有病毒的文件，造成病毒的传播；对业务系统进行误操作，造成业务系统宕机；被植入木马，从而形成跳板去攻击DCN其他网络资源；对数据滥用，造成重要的信息外泄，使重要机密数据被窃取。 <br/><br/>　　一般地，内部员工误用、滥用资源和对设备的误操作，无论是无意的还是有意的，都将给攻击者可乘之机。这种行为会给DCN网带来一些明显的后果：DCN网机密泄漏和关键数据丢失；误操作导致计算机系统瘫痪、影响业务正常运行；误用和滥用导致业务的不稳定、被攻击的可能性增大。 <br/><br/>　　针对此类行为的关键策略是采取集中认证和访问控制、行为审计等措施进行防范，能够建立省中心网络集中认证授权(AAA)管理系统，统一用户的账号口令管理、统一认证，并能够对关键网络设备的访问和操作进行审计等。 <br/><br/>　　5．蓄意破坏 <br/><br/>　　指一些有组织、有预谋的破坏行为。包括采取物理临近攻击，进入DCN网络而获得商业秘密，使机密数据被窃取；针对DCN网络重要网络设备、重要业务服务器进行暴力攻击，影响关键业务的持续运行；针对DCN网络对外提供服务的设备进行拒绝服务攻击，中断其正常服务的提供，对业务的正常开展造成威胁等。 <br/><br/>　　可以采取的措施主要包括：能够在省属DCN关键链路和关键节点有相应冗余措施；能够对省属关键网络设备的访问和操作进行审计；出现安全事件和故障能够快速定位。 <br/><br/>　　6．黑客攻击和非法入侵 <br/><br/>　　指外部黑客对DCN网络进行的强制攻击行为，攻击者往往利用DCN网络的弱点，获取访问权限，并利用访问权限获得对DCN信息资产的控制，从而进行进一步的攻击行为，破坏系统的机密性、完整性和可用性，造成系统的崩溃。 <br/><br/>　　防范攻击的目标为：掌握DCN网络、数据中心的资产信息和运行状态，提供遭受入侵攻击和安全事件相关统计数据报告；对DCN资产的漏洞和威胁进行评估，明确当前DCN存在的风险和被攻击的可能性，并及时做好加固工作；对省企业与集团总部数据中心接口、Internet 出入口处、合作伙伴接入点进行监控，对内部黑客攻击和非常入侵等造成的流量异常进行及时响应，能够快速定位攻击源，及时切断攻击行为；对网络的攻击行为进行记录和审计；能获得最新的漏洞报告，并能在全网发布。</p><p><strong>满足三大前提条件</strong>
                <br/><br/>　　保证网络安全必须有一定的前提条件，主要包括边界整合和安全域划分、出口规划及控制、业务层面的隔离三个方面。 <br/><br/>　　1．边界整合和安全域划分 <br/><br/>　　DCN网的边界包括外部边界和内部系统之间的边界。外部边界包括与Internet的接口、上下区域之间的接口，内部边界是指各业务系统之间的边界。 <br/><br/>　　在省层面，与外界的接口原则上由省的统一节点管理，并设置严格的安全控制策略。所有对外接口原则上设置在省企业，在地市企业层面，和其他网络没有连接。在CE层实现MPLS VPN控制。在PE层实现Internet的出入口，在业务网的互联区采用边界防火墙进行隔离。 <br/><br/>　　2．DCN网的Internet出口规划及控制 <br/><br/>　　DCN网络根据业务发展的需要应该进行Internet接口的整合，统一DCN网的互联网出口。在确定Internet接入的情况下，在Internet接口处部署防火墙设备。 <br/><br/>　　而在Internet出口处部署防火墙必须能够做到:采用状态检测的机制实现;对常见应用采用代理机制，防止反向连接的木马攻击程序；防火墙本身应能实现HA和Load Balance；在DCN网接入Internet接口处，除了采用防火墙这种通用的、常见的措施外，还应采用IPS（入侵防御）技术/产品和防火墙配合使用。 <br/><br/>　　3．DCN承载业务层面的隔离措施 <br/><br/>　　BSS、OSS和MSS在纵向（集团－省企业－地市企业）、跨DCN骨干网的传输上采用MPLS VPN方式针对不同业务系统进行封包，确保在不同的VPN通道中传输不同业务系统。 <br/><br/>　　如果BSS、OSS和MSS系统在横向上同处一个本地网中，则采用路由控制配合其他安全方式来进行安全防护。 <br/><br/>　　4．VPN实现隔离 <br/><br/>　　各地市节点的路由器用作PE（即SPE），组成一个逻辑PE节点（HoPE）。在DCN网络上形成多个这样的逻辑PE，逻辑PE之间通过MP-BGP协议交换VPN路由信息，省中心两台核心路由器设置VPN路由反射器（VRR）。逻辑PE内部，SPE和UPE之间运行扩展的MP－BGP协议，交换本地VPN路由信息。 <br/><br/>　　5．业务系统互访 <br/><br/>　　实现子系统之间受控互访，可以有两种方式：利用BGP MPLS VPN提供了extranet VPN的方式，可以方便地控制不同VPN之间的互访，而且互访受到严格的控制；利用VPN内部的路由器（或者防火墙）做地址过滤、报文过滤等。 <br/><br/>　　<b>完善安全建设思路 </b><br/><br/>　　针对前面分析的DCN网中主要的三种威胁和三类前提条件，DCN安全建设的主要思路应具体包括以下几个方面。 <br/><br/>　　1．DCN网关键资产保护 <br/><br/>　　DCN网的关键资产就是网络设备（包括交换机、路由器等）和主机系统，为了提供对关键资产的安全保障，目前最有效和安全性最高的就是采用安全加固措施，对重要资产进行安全评估后，进行技术性的加固，才能很好地将数据库安全保障达到最可靠的安全等级。 <br/><br/>　　2．防火墙产品部署 <br/><br/>　　在各个通向其它系统或区域的链路上通过防火墙实现边界保护，控制各个区域间的访问和信息流。防火墙根据实际业务情况依据“一切未明确允许的访问都禁止”的原则详细配置访问策略，只允许授权地址访问，过滤两个区域之间的通信量和堵塞未授权访问。 <br/><br/>　　3．IDS产品部署 <br/><br/>　　采用分级部署方式，在省和地市两级分别部署入侵检测探测器和控制台，实现分级分权的监控和管理。 <br/><br/>　　4．漏洞扫描产品部署 <br/><br/>　　采用分级部署方式，在省企业和地市两级部署无IP地址限制的漏洞扫描设备，实现多级的漏洞扫描，以达到了解整个DCN省网的安全现状。 <br/><br/>　　省网方面，考虑到DCN省网范围需要检测的设备较多，使用一台无IP限制的设备。在省网管中心建立一级远程评估中心，负责DCN省网的脆弱性分析和汇总各个地市的评估数据;地市网方面，则由于各个地市的信息系统规模情况不太一致，在规模较大的地市企业网使用无检测IP限制的设备，与省网形成多级部署。在规模较大地市企业建立二级远程评估中心，负责DCN地市网络的脆弱性评估分析和上报工作 <br/><br/>　　通过IDS产品与漏洞扫描产品的联动操作，可以有效地针对保护资产的脆弱性进行安全防护。 <br/><br/>　　5．防DoS攻击产品部署 <br/><br/>　　在DCN省网骨干和各重要业务系统中采用不同的部署方式，从不同方面进行保护。在骨干网采用旁路流量牵引方式进行部署，主要作用是滤除大部分的攻击流量，减少骨干网络带宽占用，避免网络阻塞，针对于流量型DoS攻击。同时在对外提供服务的重要业务系统出口处串接部署，主要作用是保护内部业务系统完全免受攻击，彻底防御各个层次的DoS，针对于协议缺陷型DoS攻击。 <br/><br/>　　6．流量分析产品部署 <br/><br/>　　通过流量分析产品的部署，能够对整体DCN网络的安全趋势进行预测与跟踪，并针对全网范围内的实时统计数据进行安全方面的数据挖掘，从而有效地对DCN网络的运行情况和安全状况进行监测。在发生网络运行或安全事件时，根据产品内置策略或者管理员指定的方法，第一时间内自动告警，进一步协助管理员分析问题的影响范围。 <br/><br/>　　7．双因素认证、防病毒、补丁管理部署 <br/><br/>　　静态口令存在很多缺陷，容易被人猜测或通过交际工程学等途径获取，输入口令时容易被人窥视和被很多工具破解，通过实施双因素认证，增加第二个物理认证因素，从而使认证的确定性按指数级递增，提升资源保护的安全级别，可防止机密数据、内部应用等重要资源被非法访问。 <br/><br/>　　由于在网络环境下计算机病毒有不可估量的威胁性和破坏力，特别是对于Windows操作系统，比较容易感染病毒，因此病毒的防范也是信息系统安全建设中应该考虑的重要的环节之一。反病毒技术包括预防病毒、检测病毒和杀毒三种技术。 <br/><br/>　　在省中心，可以采用一台或多台服务器，安装相应App后，作为双因素认证服务器、防病毒服务器、补丁管理服务器，实现相应的安全功能，提高DCN网安全性。 <br/><br/>　　<b>建立安全管理中心 </b><br/><br/>　　对于安全建设而言，主要包括安全组织、安全技术、安全运作、安全策略等方面，单从安全技术而言，太少的安全设备和太多的安全设备一样存在着比较大的问题，特别是安全设备布放多的情况下，产生了大量的告警，使网络变得非常复杂，同时也会使管理人员无所适从。具体框架如图所示。从长远来看，SOC中心的建设成为安全建设的主要发展方向，从而使企业的网络管理向网管中心和安全中心的双中心方向发展。<br/><br/>　　 <img src="http://images.enet.com.cn/2007/0116/57/9151345.jpg" border="1" alt=""/></p><p><br/><br/>　　在安全建设过程中，通常采用不同厂商的安全产品和方案，并引入了相当多异构的安全技术。而来源于防火墙、入侵检测、防病毒等安全设备的事件随着网络的发展，在一个中等规模的网络上就可以形成海量安全事件，这些事件中又存在非常多的误报和重复现象，技术人员在维护网络系统时，不能清楚了解网络系统当前的隐患和状态，分别处理了大量信息工作却效果有限。 <br/><br/>　　在DCN网上构筑一个统一的安全网络管理平台，使安全管理以这个平台为依托开展一系列工作，通过集中的安全监控与防护，将技术手段与管理手段进行充分整合，预防和杜绝各种安全事件，重点保护关键网络可用性，减弱网络攻击对DCN网的影响。 <br/><br/>　　总之，DCN网络的安全解决一定是个循序渐进的过程，在技术层面上讲，必须通过对网络安全基础设施的部署，最终实现网络安全中心的整体解决方式，从而打造一张安全的企业网络，并以此为基础实现整体信息化的安全。</p>