电信网络安全问题与常用技术分析

１ 网 络 安 全 的 概 念 与 主 要 技 术 手 段 ．
概 述
网络 安全 是指通 过 各种 计算机 、 网 络 、密码 技术 和信 息安全 技 术、 网络控 制技 术 ，保护 网络 中传 输 、交换 、处 理 和存 储 的信 息的机 密性 、完 整性 、可 用 性 、真 实性 、抗否 认性 和可 控性 。从 网 络 的 组 成 结 构 来 看 ， 网 络 安 全 的 概 念 涵 盖 了 网络 组成 硬件 的 安全 、网络 运行 的 安全 以及 网络 数据 的安 全三 个层 次 。网 络 安全运 行 的基本 目标包 括 以下 三个 方 面 ：①信 息 的保密 性 ，即实 现用户 信 息 不被 非法 用户 获得 和利 用 ， 以及 不被 合 法用 户 非法使 用 ；②信 息 的完整 性 ，信 息 的完整 是指 信 息的存 储和 修改 等操 作 都必 须在 授权 的前 提下 进行 ，避 免 出现 存储 信 息的破 坏或 丢 失；③ 信息 的可 用 性 ，信息 的可 用性 是指 在需 要 向用户 提 供 网 络 信 息 时 ， 能 够 及 时 的将 对 应 权 限 内的信 息完 整的提 供给 用户 。为 了实现 以上 网络 安全 的基 本 目标 ，就必 须依 赖 于 一 定 的 技 术 手 段 ， 目前 在 保 证 网 络 安 全 运 行 方 面 技 术 手 段 主 要 有 以下 ６ 类 ： 大 数 据 加 密 技 术 、 数 字 签 名 技 术 、 消 息 认 证技 术 、身份 鉴别 技术 、访 问控 制技 术 以及Ｐ ｔ Ｋ 技术 。这几类技术 手段从不 同的 角 度 来 实 现 对 网 络 安 全 运 行 。 由 于 这 几 类技 术 的技术 难度 和应 用需 求各 异 ，因 此 在 适 用 范 围 上 会有 所 差 异 。 ２ 电信 宽带城 域 网的 网络安 全 问题 ．
…
…
…
…
…
wenku.baidu.com
…
…
…
…
…
一
终 地．＿ ｌ （ （
电信 网络安 全 问题 与常 用技 术分析
中国联 通 西安 分 公 司 梅 雪
【 摘要 】本文探讨 了网络安全 的概念和常用的主要技术手段，并分析 了当前电信 网络 中的安全 问题 ，针对这些 问题从保障网络安全运行的角度进行 ７ 相应 的技术分析。 【 关键 词】电信 网络；网络安全 ；技术分析
分 析
对于 网络 运行 商来 说 ，网络 安全基 本 的、也 是重 要 的 目标就 是保 障各 级 网 络 的 正 常 运 行 ， 对 蠕 虫 病 毒 和 Ｄ Ｏ 攻 击 ＤＳ 等 常 见 攻 击 形 式 应 当 具 有 一 定 的抵 御 能 力 。为 了保 障网络 安全 ， 已经普遍 采用 防火 墙技 术 、数据加 密等 技术 手段 ，提 高 了 面 临 网 络 攻 击 时 的应 对 速 度 。 但 这 些 技 术 手 段 都 还 需 要 不 断 的维 护 和 升 级 才 能适 应 网 络 的发 展 步 伐 。 为 便 于 讨 论 ， 本 文 仅 限 于 对 电 信 宽 带 的城域 网 网络安全 问题 的探 讨 。笔者 认为 当前 电信 城域 网 网络 的安全 问题主 要表 现在 以下 几个 方面 ：①在 网络 规模 越 来 越大 的情 况下 ，并没 有形 成一 套 能 够 有 效 的城域 网安全 管理 体系 ，现 有技 术 对 网络 安全 的保 障力度 不够 ；② 缺乏 网络 在运 行 中的实 时诊 断 、监 控技 术 ， 在面 临 网络攻 击 时缺 乏有 效 的应对 技术 手 段 ：③ 对 不 同服 务 级 别 的 安 全 承 诺 Ｓ Ｓ 缺 乏有 效 的服 务 模 式 。 ＬＡ
在 上 述 几 类 问题 存 在 的 情 况 下 ， 要 让 电信 网络正 常运行 并 为客户 提供 更好 的 增 值 服 务 ， 首先 是 保 障 网络 的可 用 性 ，这是 网络安 全基 本特 征之 一 。而 就 当前 城域 网 网络 安全 的主 要威 胁来 看 ， 对 网络可 用性威 胁最 大的 因素是 Ｄ Ｏ 攻 ＤＳ 击和 网络 滥用 。 因此这 是首 先需 要着 力 解 决 的 问 题 。 为 达 到 这 一 目标 ， 就 必 须 建 立 各 层 次 网络 的 防 护 系 统 ， 规 范 网 络 边 界 ， 对 各 业 务 系 统 范 围 内 的 网 络 提 供 有 效 保 护 ， 并 提 高 面 临 网 络 攻 击 时 的 应 急处 理能 力 。从 具体 实施 步骤 上 看 ，笔 者 认 为 应 当 完 成 以下 三 类 基 本 的 任 务 ： ①提 高对 网络 中异 常流 量 的监控 力度 ， 加强 对城 域 网出 口层 、汇聚 层 、接入 层 等各 个级 别 的网络 设备 的监控 ；② 加 强 对 网络数 据 的源 地 址合法 性 审查 ；③ 完 善各 级 网络 的安全 管理机 制 ，形 成一 套 集 网 络 监 控 、攻 击 应 对 机 制 、 常 规 安 全 管理为一体的网络 安全管理模式 。 ３技 术体 系分 析 ． ３ １网络边界 的保护措施 ． 电 信 宽 带 城 域 网 的 网 络 层 次 结 构 包 括 出 口层 、 核 心 层 、 汇 聚 层 和 接 入 层 四 个 部 分 。对 上 述 四个 网络 组 成 部 分 的 边 界保 护是 实现 网络安 全 的基础 之 一 。具 体到 各个 层次而 言 ，相 应的 安全 控制 措 施为 ：① 出 口层 ，通 过访 问控 制 列表 来 控制 进入 电信城 域 网流 量 。② 核 心层 ， 对 与 核心 层相连 接 的 网络 端 口进 行数 据 包的Ａ Ｌ Ｃ 控制 ，加 强对核心层 基础 网络 设 备 的保 护 ， 对 核 心 层 管 理 系 统 进 行 安 全 强化 。③汇 聚层 ，汇 聚层 的 安全控 制 是 网 络 安 全 控 制 的 核 心 ， 是 网 络 用 户 数 据 汇 聚 的 层 次 。 为 了加 强 这 一 层 次 的 安 全 管 理 ， 首 先 应 加 强 对 网络 数 据 包 的 监 控 和 管理 ，可 通过 配置ｕ Ｐ 来 防御源 ＩＰ ＲＦ 地 址欺 骗 ，同时开 启Ｔ Ｐ 截 或者Ｃ Ｒ Ｃ拦 Ａ 来 限制 网络流 量 以避免 高频 网络 数据 包攻 击 。 此 外 ， 对 已 知 网 络 病 毒 的 防 御 也 应 在汇聚 层 的设备 接 口处来 完成 ，可通 过 配置访 问列表 的方式 来进 行拦 截 。④接 入 层 ，启 用 ｕ Ｐ 或 配 置 Ａ Ｌ 以加 强 对 Ｉ ＲＦ Ｃ， Ｐ 地 址 的 控 制 和 对 外 访 问 ， 依 据 需 要 还 可 以选择 Ｉ Ｍ 限速等 其他 功能 来配合 接入 ＣＰ 层 的安 全 控 制 。 ３ ２应用系统 的安全防护 ． 应 用 系 统 的 安 全 防 护 是 配 合 当 前 电 信 网络 中部 署 的Ｄ ＳＪ务 器 、 邮件 服 务 Ｎ Ｊ ￣ 器 、数 据库 等 的正常 使用 。应 用 系统 的 安 全 防 护 的 内容 主 要 是 指 主 机 的 安 全 防