电信运营商信息安全建设规划

ｔ
山东大学硕士学位论文
的问题和解决办法。在管理方面，鉴于电信运营商网络中存在大量的系统及安全设 备，存在维护工作量大、难于有效的管理及应急事件反映效率不高的特点，本文通
过描 全 述安 管理中 Ｓｃ ｔ ｒｉ Ｃｎｒ简 Ｏ ） 结 职能 功能 心（ｅ ｒ Ｏｅｔｎ ｔ， 称Ｓ Ｃ 的 构、 和 等， ｕｙ ｐ ａ ｅｅ ｉ ｏ
提出了建设安全管理中心以改善并提高电信运营商的安全性，同时提供了其建设思 路，即分步骤分阶段实施建设，并总结了建设过程中应注意出现的问题，以避免选 用系统和工程实施时走弯路。
关键词 Ｂ ７９ Ｉ Ｓ７９ Ｓ ＭＳ风险评估 Ｃ Ｓ Ｖ Ｓ安全域 Ｓ Ｃ Ｏ
山东大学硕士学位论文
ＡＢＳ ＲＡＣＴ Ｔ
Ｍ ｒａｄ ｒ ｔ ｏ ａｉ ｔｎ ａｄ ｐ ａｏ ａ ｓ ｇ ｒ ｔ ａｄ ｈ ｏ ｕｉ， ｎ ａｏｓ ｃｒ ｒｉ ｓ ｕｉ ｉｅ ｅｔｈｎｌｔ ｏ ｍ ｅ ｎｓ ｒ ｚ ｉ ｎ ｏ ｏ ｔｎ ｒ ｎ ｎ ｎ ｏ ｅ ｅｎ ｇ ｅ ｔ ｅ ｏｉ ｗ ｒ， ａｅ ｅｔ ｕｉ ｓ ｃｍ ｕｉｔｎ ｃｏｅ ｔｎＩｉｍ ｒａｄ ｒ ｆｃ ｏ ｍ ｎｇｍ ｎ ｂｓ ｅ ， ｍ ｎ ａｏ ａｄ ｐｒｉ ． ｏ ｎ ｍ ｅ ｆｅ ｋ ａ ， ｎ ｓ ｏ ｃ ｉ ｎ ｏ ａｏ ｔ ｅ ｏ ｓ
本文描述了电 信运营商信息安全建设的现状及特点，通过对电信运营商信息安 全建设的分析指出，目 信运营信息安全建设往往由安全事件引出，缺乏主动性 前电
及定 系统分析，同时安全建设、 量的 评估、 和管理工作未采用Ｂ ７９， Ｔ Ｅ Ｓ７９ Ｏ Ａ ， Ｃ Ｖ
ＳＥＣ Ｍ， ／ 信息安全风险评估指南等方法系统地开展。 Ｓ －Ｍ Ｇ Ｚ Ｂ 通过对 Ｂ ７９ 提出的 Ｓ７９
信息安 理体 （ｆｍｔｎ ｒ ｍｎ ｅｅ ｓ ｔ ， 称Ｉ Ｓ 设思 全管 系 ｉｏ ａ ｓ ｕｔ ａ ｍｎ ｙｅ 简 Ｓ ） ｎ ｒ ｉ ｅ ｉ ａ ｇ ｔ ｍ ｏ ｃｙ ｓ Ｍ 建 路
的阐述并结合电信运营商现状， 提出了电信运营商信息安全的建设基本思路，即采 用ＰＣ Ｄ Ａ模型循环滚动建设． 在ＩＭＳ Ｓ 设计阶段， 鉴于目 前电信运营商弱点评估的现状特点， 即弱点评估工作
ｉｐｒｎｆ ｔ ｃ ｆｅｔｌ ， ｇｔ ａａａｉ ｄ ｉ ｃｍ ｕｉｔｎ ｔ ｍ ｏａ ｏ ｈ ｏ ｉ ｎａｔ ｉｅｒ ， ｌ ｌ ａ ｏｌｅ ｍ ｎ ａｏ ｏ ｈ ｔｔ ｅ ｄ ｉｉ ｎ ｉ ｖｉｂｉ ｎ ｎｎ ｏ ｒ ｎ ｙ ｔ ｙ ｙ ｔ ｃｉ ｆ ｅ
ｓ ｓｉ ｉｏ ｔｎＡ ｙｎ ｗ ｏ ａｅａ ｏ ｎｅｓ ｅｃｔｖ ｕ ａｄ ｋｒ ｅ ｉ ｅ ｒ ｉ ． ｏｅ ｍ ｎｇｓ ｔ ｒ ｅｄ ｔｒ ｔ ｉ ｓ ｈｃｅ ． ｎｔ ｎ ｍａｏ ｎ ｖ ｆ ｈ ａ ｎ ｗ ｋ ｏ ｏ ｎ ａ ｓ ｅ ａ ｒ
ｒ ｕｅｅｔ ｔ ｃｒ ｒｉ ｉｅ ｂｔ ｔ ｏｌａｏ ｏ ｍ ｉａ ｉ ｎｔｎｌ ｅ ｉｍ ｎ ｏ ｈ ｏ ｏ ｔｎ ｌ ｕ ａｏ ｂｇ ｉ ｆ ｎ ｉｎ ａｏａ ｑｒ ｆ ｐ ａｏ ｔ ｆ ｌ ｈ ｉ ｔｎ ａ ｔｎ ｇ ｉ ｅ ｓ ｓ ｅ
ｓ ｕｔ ｅ ｒｙ ｃ ｉ．
Ｔｉｐｐｒ ｃｂ ｔ ｔｕ ｎ ｃａ ｃ ｒｔｓ ｈ ｎ ｒ ｔｎ ｒｙ ｄｓｉ ｓ ｓｔ ａｄ ｒ ｔｉｉ ｏ ｔ ｉｏ ａｏ ｓ ｕｔ ｏ ｈ ａｅ ｅ ｒ ｅ ｈ ａ ｓ ｈ ａ ｅｓｃ ｆ ｆｍ ｉ ｅ ｉ ｆ ｓ ｅ ｅ ｃ ｔｅ ｍ ｔｏ ｏｅ ｔ ｓａａ ｚｓ ｓ ｕｔ ｔ ｌｈ ｅｔ ｐｉｓ ｔ ｔ ｅｃ ｎ ｗ ｒ ｐｒｏ ， ｌ ｅ ｔ ｅ ｒ ｅａ ｉ ｍ ｎ ａｄ ｎ ｏｔ ｔ ｌｏ ｅ ｋ ａ ｒ ｎ ｙ ｈ ｃ ｉ ｓｂｓ ｅ ｙ ｎ ｏｔ ｕ ｈ ｈ ａ ｅ
ｏＢ ７９ ｐ ｓ ｓｔ ｄｓｉｉ ｏｔｅ ｍ ｅ ｔ， ｏｉ ｓ ｅ ｓｃ比 ｕｈ ｏ ｆ ７９ ｔ ｔｕ ｅ ｒｔｎ ｅｃ ｏ ｒｏ ｉ ｒ ｄ ｔ ｂ ｉ ｏｇｔ Ｓ ｌ ｈ ａ ｓ ｐｏ ｆ ｏ ｐ ａ ｒｔ ｅ ｈ ａ ｕ ｅ ｃ ｌ ｐｖ ｆ
ｎｔｏ ｅ ａｌｈ ｅｔ ｉｏ ａｏ ｓ ｕｔ ｏ ｔｅ ｍ ｅ ｔ， ｉ ｉ ｃｒｕａ ｅ ｒ ｓｂｓ ｎ ｏ ｎ ｒ ｔｎ ｒｙ ｅ ｃ ｏ ｒｏ ｗ ｃ ｓ ｃ ｌｒ ｗ ｋ ｉｍ ｔ ｆ ｍ ｉ ｅ ｉ ｆ ｏ ｐ ａ ｒ ｈ ｈ ｉ ｆ ｃ ｌ
均由厂家承担，而且评估结果多为定性分析，缺少定量分析，这样系统是否安全， 弱点改善时的顺序如何，基本均由评估厂家甚至是厂家的产品决定，带有一定的主
观性， 提出了 风险 估中引 Ｖ Ｓ ｍ ｏＶｌｒ ｉ Ｓ ｒｇ ｅ ， 在 评 入Ｃ Ｓ （ｏｍｎ ｅｂｉ ｉ Ｓｓｍ 通用 Ｃ ｕ ａｌ ｃ ｎ ｙ ｎ ｔ ｏ ｙ ｔ
３
山东大学硕士学位论文
Ｃ Ｓ ｉａ ｏｅ ａｄ ｅ ｄｒ ｗ ｉ ｉｄｖｌ ｅ ｂ ＮＡ ａｄ ｉａ ｅ ｂ Ｖ Ｓ ｎ ｎ ｆ ｓｎａ ｈ ｈ ｅｅｐｄ ＩＣ ｍ ｎ ｉ ｄ ｓ ｐ ｎ ｒ ｔ ｄ ｃ ｓ ｏ ｅ ａ ｙ ｎ ａｔｎ ｙ
Ｆ Ｓ ． ａ ａｄ ｒ ａ ｉ ｍ ｔ ｄ ｑａｔ ｔｅ ｌｉｏ Ｖ ｌ ｒ ｉｉ Ｉ Ｔ Ｉｉ ｎｗ ｍ ｅ ｖ ｅ ｏ ｆ ｕｎｔｉ ａａ ｓ ｆ ｎ ａ ｌｅ Ｒ ｔ ｅ ｎ ｏ ｃ ｅ ｈ ｏ ｓ ｔ ｒ ｉ ｖ ｎ ｙ ｓ ｕ ｅ ｂｉ ｓ ａ ｔ ａａ ． ｄｉ ｎｉｓ ｅ ｌｔｊｉ ｗｔｔ ｎｅｓ ｐｒｏ． ｎｌ Ｉａｄｉ ， ｍ ｒｅ ｉ ｏ ｔ ｈ ｅ ｏｏｅｔ 州ｓ ｎ ｔ ｔ ｏ ａ ｙ ｏ ｉ ｅ ｄ ｆ ａ ｒ ｏ ｉ ｓ ｎ ｈ
ｅａ ａｏ． ｎｒ ｉｉ ｉａ ｉｐｒｎ ｆ ｔ ｏ ｎｔｏ ｓ ｕｔ ｉｉ ｏ ｅ ａｄ ｖｌｔｎ Ｖ ｌ ａｌｅ ｓ ｍ ｏａｔ ｏ ｆ ｒ ｅ ｒ ， ｖｌｓ ｕ ｉ ｕ ｅｂｉ ｓ ｎ ｔ ａ ｒ ｅ ｋ ｉ ｔ ｖ ｎ ｔ ｃ ｗ ｃｙ ｎ
ｉ ｕ ｃ ｉｍ ｎ ｓ ｕ ｔ ｄｃ ｓ ｈ ｌ ｋ ｎｉ ， ｓ ｎ ｅｔｎａｔｉ ｓ ｎ ｅ ｅ ｎ ｙ ｒ ｐ ｕｔ ｕ ａ ｅ ｓ ｎ ｇｉｒ ｉ ｄｔ ｉ ， ｖ ｕ ｌ ｆ ｎ ｓ ａ ｅ ｉ ｒ ｓ ｓ ｃ ｎ ｎ ｕｏ ｅｃｏ ｎ ｒ ｃ ｙ ｏ ｃ ａ ａ ｔ ｉ ａｄ ｃ ｍ ｎｇｍ ｎ ｅ ． ｅｅ ｔ ｒ ｉｎ ｕｉ ｅ ｎａ ｉ ｔ ｉ ｕ ｒ Ｔ ｅ ｎ ｐｔ ａａｅ ｅｔ Ｈ ｗ ｖ ， ｅ ｏ ｔ ｓ ｄｒ ｎ ｎ ｓ ． ａｈ ｔ ｏ ｒ ｈ ｓ ｎｉ ｔ ｄ ｈ ｄ ｔ ｈ ｃ ｅ ｖ ａ ｅ ｙ
Ａ ａｉ ｉｅ ｔｌ ａ ｏｔ ｎ ｉ ＇ ａｃ ｂｓ ｅ ， ｅｃｍ ｗｒｏｅ ｔ ｓ ｄ ｃ ｐｂ ｐｒ ｈ ａｏ ｓ ｅａｌｈ ｎ ｔ ｔｅ ｎｔｏ ｐｒｏ ｎ ｓ ｒｉｅ ｆ ｔｎ ｂｓ ｓ ｉ ｍ ｔｈ ｌｏ ｅ ｋ ａ ｒ ｎ ｔ ｅ ｉ ｔ ｅ
ｐｏｉ ｓ ｓｅｓ ｌｓ ｖ ｅ ｔ ｅｏｏ ｙ Ｔｕ ｔ ｐ ｔ ｔｎ ｉｓ ｏｌｔ ｒ ｄ ｉ ｉ ｎ ｂ ｅ ｉ ｆ ｈ ｃｎｍ ． ｓ ｒ ｅ ｉ ｆ ｔ ｏ ｎ ｈ ｖ ｅ ｎ ｐ ａ ｅ ｃ ｏ ｅ ｄ ｒ ｒ ｈ ｈ ｏ ｃｏ ｏ ｉｎｔ ｅ ｅ ｒ ｙ
ｏ Ｂ ７９， Ｔ Ｖ ， ＥＣ ｆ ７９ Ｏ Ａ Ｅ Ｓ －ＭＭ ｄ ／ ａ ｎｔ ｐ ｄ ｔ ｅ ａｌｈ ｅｔ Ｓ Ｃ Ｓ ａ Ｇ Ｚ ｅ ａｏｔ ｉ ｈ ｓｂｉｍ ｎ， ｎ Ｂ ｒ ｏ ｄ ｅ ｎ ｔ ｓ ｅ ｅａ ａｏ ａｄ ｎｇｍ ｎ ｗ ｒ． ｏｇ ｔ ｉ ｏｍ ｔｎ ｕｉ ｖｌ ｔｎ ｍ ａｅ ｅｔ ｋＴ ｒｕｈ ｎ ｒ ａｏ ｓ ｒ ｕｉ ｎ ａ ｏ ｈ ｈ ｆ ｉ ｅ ｔ ｅ ｃ ｙ
弱点评价体系） 作为弱点评估定量分析的依据， 弱点 （ｕ ｅ ｂｉ ｓ 是网 ｖｌ ｒ ｉｉ ） 络安全中 ｎ ａ ｌｅ ｔ 的一个重要因素， 在多种安全产品 （ 如漏洞扫描、入侵检测、防病毒、补丁管理等）
中 涉及到 对弱点 及其可能 造成的影响的 评价， 但是目 前业界并没有通用统一的评价
体系标准，而 Ｃ Ｓ 是由ＮＡ ＶＳ ＩＣ开发、Ｆ Ｓ Ｉ Ｔ维护的一个开放并且能够被产品厂商 Ｒ 免费采用的标准， 此种标准的引用为运营商安全评估中弱点的定量分析提供了一种
ｅ ｔｂｉ ｍｅ ｔ Ｐ Ａ ｄ ｌ ｓａ ｌ ｈ ｎ ｏ ＤＣ ｍｏ ｅ． ｓ ｆ
ｈ ｔ ｄｓ ｎ ｇ ｓ ｏ Ｓ ， ｈｒ ｔｉｉ ｆ ｕｒ ｔ ｎ ａ ｌｉ ｉ ｉ ｐａｅ ＩＭＳ ｔ ｃａ ｃ ｒｔ ｏ ｔ ｃｒ ｎ ｖｌ ｒ ｉｔｓ ｈ ｅｇ ｎ ｈ ｅ ｆ ｈ ｅ ａ ｅｓｃ ｈ ｅ ｅ ｕ ｅ ｂｉｅ
ｓ ｔ ａｄ ｗ ｉｐｏｅ ｒ ｂｓａｙ ｅ ｉ ｄ ｔ ｆ ｔ ｉ ａｄ ｎ ｉ ｙ ｅ ｎ ｈ ｔ ｍ ｒｖ ｉａ ａｃｌ ｄｔｍｎ ｂ ｈ ａ ｏｅ ｎ ｅｅ ｔ ｒ ｓｍ ｏ ｏ ｔ ｉ ｌ ｅ ｒ ｅ ｙ ｃ ｒｓ ｖ ｈ ｅ ｅ ｅ ｐｏｕｔ ｗ ｉ ｉｔｓｍ ｅｔ ｔ ｅ ｉｔ Ｔ ｉｐｐｒ ｇｓ ｉｒ ｕｉ Ｃ Ｓ ｉ ｒ ｃ， ｃ ｓ ｏ ｅ ｅ ｓ ｊ ｔｉ． ａｅｓｇｅｓ ｏ ｃ ｇ Ｓ ｄ ｓ ｈ ｈ ｏ ｘ ｎ ｕ ｃｖ ｈ ｂ ｙ ｓ ｕ ｔ ｎ ｄ ｎ Ｖ ｎ ｔ ｔ ｐ ｃｓ ｏ ｒｋ ｌ ｔｎ ｔ ｂｓ ｏ ｑａｔ ｔｅ ｌ ｉ ｏ ｖｌ ｒ ｉ ｉ ｈ ｒ ｅ ｆ ｅａ ａｏ ａ ｈ ａｓ ｕｎｔｉ ａａ ｓ ｆ ｎ ａ ｌｅ ｅ ｓ ｉ ｖ ｕ ｉ ｓ ｏ ｓ ｅ ｉ ｆ ｉ ｖ ｎ ｙ ｓ ｕ ｅｂｉ ｓ ａ ｔ
新方法， 使其在弱点分析时具备一定的主动性， 更容易贴合运营商自 身的安全需求。 在ＩＭＳ Ｓ 实施阶段， 本文结合电信运营商与其它企业的不同点， 即安全域划分的
不同，提出了符合电信运营商自身特点的安全加固实施步骤，即先实施安全域的划
Biblioteka Baidu
分，然后实施边界防护，最后实施安全加固，总结了运营商安全加固过程中应注意
山东大学硕士学位论文
摘 要
越来越多的单位、团体、公司开始依赖因 特网完成办公、管理、商务、 通信和
协作． 与过去相比 现在敏感信息的保密性、 ， 完整性和可用性与在线通信日 臻重要。
对病毒和黑客做出反映是任何网络管理工作的一个重要职责。作为当前经济生活所 不可或缺的通信业务提供商，电信运营商的网络和业务是我们整个国家关键基础设 施的不可分割的一部分。对它的保护是企业自身业务的要求，也是维护国家安全而 应尽的义务。
ｓ ｕｔｅａｌｈ ｅ ｏ ｔｅ ｍ ｅ ｔｎ ｒａｏ ｉａ ａｓ ｖｄ ｓ ｕｔ ｅ ｒ ｂｓ ｎ ｆ ｃ ｏ ｒｉ ｉｏ ｔｎ ｌ ｙ ｄ ｉ ｆｍ ｒｙ ｃ ｉ ｓ ｉｍ ｔ ｅ ｏ ｐ ａｏ ｎ ｍ ｉ ｓ ｙ ｔ ｌ ｆ ｗ ｅｅ ｒ ｅ ｉ ｒ ｏ ｃ
ｅ ｎ， ｉ ｆ ｐｓｖ ａ ｑａ ｉｔｅ ｅ ａ ｌｉＭ ａ ｈｅ ｍｔｄｌ ｙ ｖ ｔｌｋ ｇ ｏｔｅ ｕ ｔ ｉ ｓ ｔ ｎ ｙｓ ｅ ｗｉ ｔ ｅｏ ｏ ｅｓａ ｎ ｏ ｉ ｎ ｎｔ ｖ ｙ ｍ ｓ． ｎ ｌ ｈ ｈ ｏ ｇ ｃ ｒ ｉ ｄ ａ ｓ ａ ｅ
ｅａ ａｏ ｏ ｔｅ ｍ ｅ ｔ ｓ ａｂｃ ｓ ｔ ｗ ｒ ｉｔ ｅ ｏ 妙 ｔ ｆ ｔｉ ， ｖｌ ｔｎ ｅｃ ｏ ｒｏ ｉｔ ｔ ｕｅ ｏ ｓ ｎ ｈ ａ ｏｅ ｔ ｕ ｉ ｆ ｏ ｐ ａ ｒ ｓ ｅ ｌ ｈ ａ ｈ ｅ ｋ ａ ｎ ｋ ｅ ｒｓ ｈ ｃ ｅ
ｒｕｓ ｓｙ ｌ ｔｅ ｌｉｂｔ ｎｔｉ ａａ ｓ， ｔ ｓ ｕｔ ｔ ｅ ｌ ａ ｍ ｔ ｑａｔｉ ａ ｙｓ ｑａ ｉｔｅ ｌｉ ｔ ｓ ｅ ｒ ｏ ｈ ｓｔ ｒ ｏ ｌ ｕ ｉ ｖ ｎ ｓ ｕ ｕ ｔ ｖ ｎ ｙ ｓ ｈ ｈ ｃ ｉ ｆ ｅ ａ ａ ａ ｕ ｅ ｙ ｅ