中国移动网管系统安全域划分技术要求.doc
《中国移动网管系统安全域划分技术要求.doc》由会员分享,可在线阅读,更多相关《中国移动网管系统安全域划分技术要求.doc(32页珍藏版)》请在三一办公上搜索。
1、2007-XX-实施2007-07-发布中国移动通信有限公司 发布中 国 移 动 通 信 企 业 标 准QB-W-001-2007中国移动网管系统安全域划分技术要求Technical Specification of Secure Domain for Networks Management Systems版本号:1.0.0 目 次前 言11适用范围22引用标准与依据23相关术语与缩略语24综述34.1背景44.2本要求的范围和主要内容45支撑系统的现状55.1网管系统现状55.1.1网管系统组网总体架构55.1.2集团网管系统的网络架构65.1.3集团网管系统系统与Internet互联的业务
2、需求75.1.4省级网管系统的网络架构75.1.5省级网管系统与Internet互联的业务需求75.2现状总结与终端问题76安全域划分的必要性和原则86.1安全域划分的必要性86.2各安全域的威胁等级分析96.3支撑系统的保护等级分析106.3.1资产价值赋值116.3.2安全需求赋值116.3.3支撑系统的赋值126.4安全域划分的原则126.4.1安全域划分的根本原则126.4.2安全域划分方法136.5网络调整146.5.1广域网146.5.2局域网156.5.3终端176.6网管系统的安全域划分187边界整合的原则197.1网管系统对外的边界整合207.1.1与互联网的边界整合207.
3、1.2与第三方的边界整合207.2网管系统与其他支撑系统之间的边界整合207.3网管系统的边界整合208安全域保护的原则218.1安全域边界的保护原则218.1.1安全域互访的风险分析228.1.2安全域互访的原则228.1.3安全域边界的保护方式238.1.4安全域边界的安全部署248.1.5安全域边界的安全管理248.2网管系统安全域内部的保护258.3对相关安全设备的部署要求269分阶段实施的建议269.1安全域划分的深入269.2组网方式的演进269.3保护方式的演进2710编制历史28前 言本要求主要是针对中国移动通信有限公司所建设的网管系统,根据建设网管监控平台系统建设的需求,当前
4、系统面临的风险、以及保护等级,分析网管系统安全域划分的必要性并提出划分原则,并结合支撑网络的现状对网络结构进行调整,结合威胁等级和保护等级,确定了各安全域保护的原则。安全域划分包括物理环境、人员组织、管理、技术各个层面,本要求重点针对安全域划分的技术层面。本要求作为省公司网管系统为接入总部统建的监控平台进行的网络改造的依据,同时可以作为后续网管系统安全建设的依据。本要求由中国移动通信有限公司网络部提出并归口管理。本要求解释单位:中国移动通信有限公司网络部。1 适用范围本要求对网管系统的安全域划分进行了规范,适用于中国移动各省公司在总部网管监控平台实施前进行的网管系统的改造工作。2 引用标准与依
5、据(1) 关于近期网络与信息安全工作安排的通知,中国移动通信集团公司网络部,移网通【2004】68号。(2) 关于加强信息安全保障工作的意见,国家信息化领导小组,中办发200327号。(3) 公安部、保密局、机要局、国务院信息办联合下发的关于信息安全等级保护工作的实施意见(公通字【2004】66号文)。(4) 国务院信息办信息安全风险评估课题组编制的信息安全风险评估研究报告。(5) 美国国家标准和技术研究所(NIST,National Institute of Standards and Technology)制订的SP 800系列文档:IT系统安全自评估指南、IT系统风险管理指南、联邦IT系
6、统安全认证和认可指南、信息系统安全规划指南等。http:/csrc.ncsl.nist.gov/publications/nistpubs/。(6) 美国国家安全局,信息保障技术框架IATF(Information Assurance Technical Framework),V3.1版。网址:。(7) 公安部GA/T 387-391-2002系列标准,计算机信息系统安全等级保护操作系统技术要求、管理要求、通用技术要求、网络技术要求、数据库管理系统技术要求(8) 中国移动通信有限公司提供的相关资料。(9) 全国31个省的调查资料,以及北京、广东、四川、陕西4省现场调研的相关资料。(10) 国家
7、质量技术监督局发布的计算机信息系统安全保护等级划分准则(GB 17859号文)。(11) 中国移动支撑系统安全域划分与边界整合技术要求(发布稿)2005年5月3 相关术语与缩略语AAAAAccount、Authentication、Authorizatin and Audit账号管理、认证、授权与审计ACLAccess Control List访问控制列表CMNetChina Mobile Net中国移动互联网DMZDeMilitarized Zone非军事化区EOMSElectronic Operation and Maintainence System电子运行维护系统IATFInforma
8、tion Assurance Technical Framework信息保障技术框架IDSIntrusion Detection System入侵检测系统IPSecInternet Protocol Security互联网协议安全IPInternet Protocol互联网协议ITInformation Technology信息技术MISManagement Information System管理信息系统MPLSMulti-Protocol Label Switching多协议标记交换NISTNational Institute of Standards and Technology国家标准
9、和技术研究所OMCOperation management center操作维护中心RADIUSRemote Authentication Dial-In User Service接入用户远程认证服务VPNVirtual Private Network虚拟专用网VLANVirtual Local Area Network虚拟局域网4 综述为了建立中国移动IT系统的网络及信息安全机制与进行网管监控平台系统的建设,首先需要定义相关系统安全域的边界并且对现有网管系统实施安全域划分。所谓安全域(Security Zone),是指网络中具有相同的安全保护需求、并相互信任的区域或网络实体的集合。一个安全域
10、内可进一步被划分为安全子域,安全子域也可继续依次细化为次级安全域、三级安全域等。安全域的划分,就是将系统从安全角度划分成不同的区域,以便实行分门别类的处理。从我国IT系统的发展轨迹来看,大多数企业都是在连接到Internet之后,才开始正式考虑网络安全域的。如今的商业模式要求企业与Internet之间、企业与业务合作伙伴、信息提供商及客户组成的网络之间实现连接,而企业内部的企业信息化系统、业务支撑系统、网管系统等系统之间也存在着复杂的连接关系。由于网络中不同边界的应用方向不同,所以对安全有着不同应用需求,例如与业务合作伙伴的相连和一般外联网的连接对安全性的要求就不相同。明确安全域划分的原则,结
11、合等级保护的要求,确定各安全域的保护等级,并部署相应的安全手段,安全域的边界隔离与防护是关注的重点。中国移动整体支撑网目前确实存在边界不清、连接混乱的实际问题,对边界进行整合,从企业的视角有效地整合系统对外的接口数量,提高企业网络和信息的安全性,也是做好安全工作的基础。对于信息保密性,请参见其他相关技术规范。本技术要求的研究主要有为:制定网管系统安全域划分的原则;通过以上的分析和研究,确定相关的原则,以便将来在网管监控平台的推广实施阶段,各省可以按要求进行接入。4.1 背景2007年下半年,总部网络部集中建设的网管监控平台(试点阶段)工作进入具体实施阶段,作为接入监控平台的先决条件,目前监控平
12、台试点阶段的总部,甘肃以及北京三地的网管网络改造暨安全域划分已经完成实施,其目的是将现有存在风险的网络改造为结构合理,监控平台代理软件可以顺利安装使用的架构。同时参考2003年年底,国家信息化领导小组下发了“关于加强信息安全保障工作的意见” (中办发200327号) ,文件把网络与信息安全工作提高为国家安全的重要组成部分,明确了加强信息安全保障工作的总体要求,即:“坚持积极防御、综合防范的方针,全面提高信息安全防护能力,重点保障基础信息网络和重要信息系统安全,创建安全健康的网络环境,保障和促进信息化发展,保护公众利益,维护国家安全”。文件要求正确处理安全与发展的关系,统筹规划,突出重点,强化基
13、础性工作,通过实行信息安全等级保护实现这一目的。因此,国家将建立信息安全等级保护制度,制定信息安全等级保护的管理办法和技术指南。在这样的背景下,作为接入网管监控平台的前提工作,提出中国移动网管系统的安全域划分原则就显得十分重要。明确安全域划分的基本原则,界定网管系统的重要性和安全风险等级,然后根据不同的保护等级,从网络、主机、应用系统不同层面相应的逐步建设由网络与信息安全基础设施(如防火墙、防病毒、账号管理以及相应的控制端等)、安全集中管理系统或者它们的一部分构成的多层立体防护体系,提高对网络攻击、病毒入侵、网络失窃密的防范能力,防止有害信息传播,保证网管系统的安全运行。4.2 本要求的范围和
14、主要内容本要求主要针对中国移动网管系统安全域划分的技术要求,具体主要指省公司网管系统和OMC,及其地市部分。主要内容包括:(1) 网管系统的现状:包括内网和公网的论述。(2) 安全域划分的必要性和原则:本章节包含了安全域划分的必要性,以及各系统的威胁等级、保护等级,制定了安全域划分的原则,结合网管网络的实际情况,对网络结构进行调整,网管系统的安全区域的划分进行细化。(3) 边界整合的原则:首先对网管系统对外的边界进行整合(包括与CMNet、和第三方的边界整合原则),然后针对各支撑系统的各种边界进行整合。(4) 安全域保护的原则:包括安全域边界部分的防护和安全域内部的防护两方面。(5) 分阶段安
15、全防护的建议:分别从网络调整方式、安全域划分的细化、以及保护方式的演进等方面,体现逐步实现的过程。5 支撑系统的现状中国移动网管系统在网络的纵向连接上均是三级结构:集团公司省公司地市分公司。根据前期总部安全处对各省的调研情况,网管系统在三级结构的承载层面上都考虑了相互隔离,比如网管系统共同承载在IP承载网上,分别采用了VPN技术、路由策略等相关技术对其进行隔离等。5.1 网管系统现状中国移动网管系统包括话务网网管、汇接网网管、信令网管、智能网管、同步网管、IP专网网管、数据网管、信令检测、传输网管等。各网管系统(除数据网管外)通过核心交换机与被管网元以及省网管相连。数据网管只与CMNet互连,
16、实现数据业务的综合网管。5.1.1 网管系统组网总体架构集团公司网管系统包括十多套专业网管系统,除数据网管系统之外的所有系统和省网管系统采用IP承载网承载,集团与省之间有防火墙,采用私有地址,由集团公司统一分配。数据网管系统通过防火墙与CMNet骨干网连接,实现对CMNet全网的网络管理。网管系统组网结构见下图:图5.3、网管系统总体架构示意图5.1.2 集团网管系统的网络架构集团公司的网管系统拓扑结构如下:图5.4、集团网管系统结构示意图(1)与省公司的连接 通过IP承载网与省公司网管系统实现互连 通过带内传输方式与各被管网元互连。(2)与企业信息化/计费等系统的连接为实现从企业信息化系统访
17、问话务网管系统、局数据管理系统和EOMS系统的需求,集团网管系统与企业信息化系统相连接,中间有防火墙进行隔离。(3)与CMNET的连接数据网管系统与CMNET之间有防火墙进行隔离。电子运行维护系统(EOMS)系统连接一个短信转发服务器,该服务器设置在数据网管系统与CMNET之间防火墙的DMZ区中,EOMS系统通过短信转发服务器经由CMNET连接到北京的短信网关,实现工单的短信通知。5.1.3 集团网管系统系统与Internet互联的业务需求网管系统与Internet互联的业务需求主要有两类:(1)为实现对CMNET网络的管理,集团和省公司网管系统中的数据网管系统需要与CMNet实现互联,采集C
18、MNet网络设备、数据业务系统关键服务器的网管数据。(2)EOMS需要与短信网关互联,实现告警信息、工单的及时通知。5.1.4 省级网管系统的网络架构省级网管系统的网络连接如下:(1)与集团公司的连接通过IP承载网与集团公司实现互连,部分省公司在省侧设置了防火墙。(2)与地市的连接 与地市连接的需求主要是被管网元的采集和地市维护人员的访问。主要包括专线或DCN网络连接两种方式。(3)与企业信息化/计费等系统的连接为实现从企业信息化系统访问话务网管系统、局数据管理系统和EOMS系统的需求,省级网管系统与企业信息化系统相连接,中间有防火墙进行隔离。(4)EOMS系统EOMS系统与省级话务网管系统通
19、过防火墙连接,地市访问此系统有两种方式: 通过网管系统网上省级话务网管系统,统一出口访问EOMS 通过企业信息化系统访问EOMS。大部分省是通过第二种方式。(5)与CMNET的连接 数据网管系统与CMNET之间有防火墙进行隔离。 EOMS系统通过防火墙连接到短信网关,实现工单的短信通知。5.1.5 省级网管系统与Internet互联的业务需求网管系统与Internet互联的业务需求主要有两类:(1)为实现对CMNET网络的管理,省公司网管系统中的IP网网管系统需要与CMNet实现互联,采集CMNet网络设备、数据业务系统关键服务器的网管数据。(2)电子运行维护系统(EOMS)需要与短信网关互联
20、,实现告警信息、工单的及时通知。5.2 现状总结与终端问题目前中国移动的网管系统广域网承载层面主要包括集团公司和省公司、省公司和地市的连接,其中在集团公司与省公司的连接方式相对简单,网管系统采用IP承载网网络连接。而在省公司与地市的连接比较多样化,存在DCN,IP承载网以及其他连接方式。目前终端的使用存在以下问题:企业内部的终端:目前生产终端的使用缺乏严格统一的管理要求,同时县市公司存在支撑系统间的不规范连接,而且由于终端投资的问题,一部分生产终端是通过配置双网卡或者拔网线的方式,既可以访问企业信息化系统,也可以访问网管网。即使各支撑网实现了隔离,在部分办公终端访问生产系统时,也存在一定的威胁
21、和风险。第三方或合作伙伴终端:主要是指集成商、设备商等第三方的终端,由于缺乏对该部分终端的有效管理和控制,比如,厂家人员的笔记本电脑存在安全漏洞或扩散性很强的病毒,因此该部分终端对网管系统存在一定的潜在威胁。6 安全域划分的必要性和原则我国在商用IT系统信息安全方面的研究和积累不足,目前还缺乏规范化的、成熟的标准可遵循,本要求借鉴了IATF区域划分理论,以及业界对安全域划分的实践经验,并结合中国移动的实际情况,对支撑系统和互联系统带来的威胁等级、以及各支撑系统的保护等级进行了分析研究,然后根据这些分析研究确定了安全域划分的原则。安全域是一个逻辑范围或区域,同一安全域中的信息资产具有相同或相近的
22、安全属性,如安全级别、安全威胁、安全弱点、风险等,同一安全域内的系统相互信任,如在业务层面存在密切的逻辑关系。通过在网络和系统层面安全域的划分,将业务系统、安全技术有机结合,形成完整的防护体系,这样既可以对同一安全域内的系统进行统一规范的保护,又可以限制系统风险在网内的任意扩散,从而有效控制安全事件和安全风险的传播。6.1 安全域划分的必要性网络的建设是由业务系统的驱动建设而成的,初始的网络建设大多没有统一规划,有些系统是独立的网络,有些系统又是共用一个网络。而这些系统的业务特性、安全需求和等级、使用的对象、面对的威胁和风险各不相同。当前中国移动的网络系统是一个庞大复杂的系统,在支持业务不断发
23、展的前提下,如何保证系统的安全性是一个巨大的挑战,对系统进行区域划分,进行层次化、有重点的保护是保证系统和信息安全的有效手段。目前中国移动未实施安全域划分的网管系统还存在以下问题: (1)随着中国移动的网络规模和各相关应用系统的不断扩大,网管系统也随之不断发展,但各个系统的部署没有明确的指导原则,导致网络结构复杂、层次不清、系统管理维护困难,网络的有效性、稳定性较低。(2)根据系统的现状,目前网管系统的网络仍然存在边界不清的问题,主要是网管系统之间以及网管系统和信息化等其他支撑系统的连接比较混乱,随之带来安全防护困难,投资较大,而且容易产生疏漏,单个系统中的安全问题极易扩散到其它系统。只有通过
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 中国移动 网管 系统 全域 划分 技术 要求

链接地址:https://www.31ppt.com/p-4140465.html