电信网络安全应对策略解析

网络安全是一个涉及面广泛的问题。随着人们对网络依赖性的增强，电信网的安全性、可靠性与容灾能力越来越受到重视。虽然一开始，网络设计者就采用SDH恢复、双归属等技术来进行网络的冗余与备份，以提高电信业务的抗灾能力，但是由于灾难的不可预测性，如何做到未雨绸缪以及在紧急情况下迅速提供电信业务一直是人们关注的焦点。此外，随着WLAN、互联网和3G的广泛应用，下一代网络的安全性问题也日益受到重视。

一、网络安全涉及的内容

网络安全涉及的层面非常广，从网络到信息，从物理网络的保护到对各种病毒和网络攻击的预防，涉及ＩＴ行业的方方面面。一般来讲，网络安全可以简单分为以下几个层次。

１．电信网络的安全可靠性

电信网络的可靠性问题由来已久。传统上，电信网的可靠性一般分为两个方面，即预防网络故障的发生以及电信网络发生故障后的保护和恢复。目前随着通信协议在网络中的应用越来越广泛，通信协议的安全性也越来越重要，特别是在互联网的开放环境中，对通信协议的安全性要求更高。

预防网络故障的发生一般在网络规划和建设时就已经考虑，但仍然需要根据构成设备的可靠性来分析建成后系统的整体可靠性。

故障发生时的网络保护和恢复能力也是电信网络建设所考虑的重点，特别是随着传输设备的交叉连接能力的增强，为传输网络的故障恢复能力提供了重要保证。目前，ＩＰ网络的相关故障恢复主要发生在以下三个层次：光传输层、ＡＴＭ层和ＩＰ层。其中，越是底层的网络，要求保护和恢复的时间越快、代价越高，也越不灵活。

2．互联网的安全可靠性

由于互联网是一种全球性、开放性、透明性的网络，是无边界的，任何团体或个人都可以在互联网上方便地传送或获取各种各样的信息。然而目前网络自身的安全保护能力有限，许多应用系统处于不设防或很少设防的状态，存在很多漏洞，而将来对网络的攻击不仅仅是已经出现的蠕虫、病毒和黑客攻击，还会有针对互联网基本机理的攻击，使关键的交换机、路由器和传输设备瘫痪。随着上网单位和网上信息的日益增多，网络与信息安全面临的挑战越来越大。

互联网协议构件的安全性问题也越来越严重，一方面与互联网协议本身有关，另一方面也与互联网的商业化进程密切相关，如目前由于互联网运营模式的变化，可能受到的攻击手段也在增加，特别是随着ＶｏＩＰ业务使得互联网和传统电信网互连，对传统电信网的信令系统也造成很大的威胁。因此对于互联网架构的安全性问题，一方面可以通过协议的安全性改进、实现的一致性、安全性问题标准化等措施来加强，另一方面则应尽量减少协议受攻击或者威胁的可能。

３．信息安全

网络安全与信息安全是休戚相关的，网络不安全，就谈不上信息安全；然而网络再安全，也不可能万无一失，所以还要加强信息自身的安全性。现在，基本上在网络硬件、网络操作系统、网络中的应用程序、数据安全和用户安全等五个层面上开展研究工作。除了常用的防火墙、代理服务器、安全过滤、用户证书、授权、访问控制、数据加密、安全审计和故障恢复等安全技术外，还要采取更多的措施来加强网络的安全，例如，针对现有路由器、交换机、边界网关协议（ＢＧＰ）、域名系统（ＤＮＳ）所存在的安全漏洞提出解决办法；迅速采用增强安全性的网络协议（特别是ＩＰｖ６）；对关键的网元、网站、数据中心设置真正的冗余、分集和保护；实时全面地观察和了解整个互联网的情况，对传送的信息内容负责，不盲目传递病毒或进行攻击；严格控制新技术和新系统，在找到和克服安全漏洞或者另加安全性之前不允许把它们匆忙推向市场。

目前就信息的安全性要求来说，一般强调五个要求，即信息的可用性、保密性、完整性、真实性和不可抵赖性。

二、电信行业在网络安全方面的经验

电信网络一般指有线、无线、卫星网络以及互联网等，电信网络所受到的威胁主要是恐怖袭击、自然灾难或类似情况。电信行业在安全方面的工作重点主要包括业务、网络和企业的安全可靠性。

对于电信行业来讲，安全隐患一般分为以下两种：

• 脆弱性（ｖｕｌｎｅｒａｂｉｌｉｔｙ）：指通信网络设施的某些方面容易损坏或受到安全威胁的特性；
• 威胁：可能损害或危及网络安全的任何潜在因素。

１．通信设施主要安全问题及对策

通信设施的安全问题主要来自以下几个方面，运营商应该在问题发生之前采取预防措施，或在问题发生之后采取积极的补救措施。

（１）环境

包括建筑物、电缆沟槽、卫星轨道的空间、海缆沿途等环境。没有绝对安全的环境，要整体考虑环境安全计划，需要定期对环境进行评估和再评估，特殊环境需要特殊考虑。

（２）供电

包括电池、地线、电缆、保险丝、备用应急发电机和燃料。内部电力设施常常被忽略，需要持续检验电力系统是否有效，业务提供商和网络运营商要保证对重要的设备不间断供电，在发生自然灾难（如台风、地震）时，能够提供发电机的燃料供应和后备电源的使用。

（３）硬件

包括硬件架构、电子电路模块和电路板、金属件以及光缆、电缆、半导体芯片。关键网元的设备供应商应该对电子硬件进行测试，以确保兼容性、抗震性、耐压性、温度适应性等。

（４）软件

包括软件版本的物理储藏、开发与测试、版本控制与管理等。提供商应提供安全的软件传送方式。

（５）网络

包括节点的配置、多种网络与技术、同步、冗余、物理与逻辑的分集。业务提供商和网络运营商应该开发一套严密的程序，以评估和管理各种危险（如迂回路由、紧急状态快速反应）。

（６）负载

包括跨越网络设施传送的信息、业务量模型与统计、信息拦截侦听。网络运营商在设计网络时应该使潜在的信息拦截降到最小。

（７）人员

包括有意和无意的行为、限制、教育与培训、道德规范等。业务提供商与网络运营商应该考虑建立员工安全意识培训计划。

２．运营商对互联网采取的安全措施

互联网是未来的发展方向，也是安全隐患最大的地方。目前，互联网最常见的安全问题是病毒、蠕虫、拒绝服务攻击，网络受到的攻击越来越多。据美国计算机紧急响应小组协调中心（ＣＥＲＴＣＣ）统计，１９９９～２００２年间，每年网络受攻击数分别为９８５９、２１７５６、５２ ６５８、８６ ０００次，网络攻击愈演愈烈之势由此可见一斑。因此，运营商都在积极努力，以保证网络的正常运行。ＡＴ＆Ｔ已经有七层安全协议来应对外部攻击，并且在其网络中枢构建了基于网络的主动式安全系统，可以进行细致深入的分析并能预见到各种攻击。

３．保护七号信令网

七号信令网络是电信网重要的控制系统，目前七号信令及其安全性越来越受到关注。ＦＣＣ在调查造成网络瘫痪的因素时，专门对因七号信令而造成的事故进行了调查与研究。其２００２年底的一份调查显示，由于七号信令而造成的网络故障有上升的趋势。几年前美国参议院司法委员会就提议运营商重视七号信令的安全，ＦＢＩ国家基础设施保护中心（ＮＩＰＣ）也把此列为工作重点。

七号信令攻击具有以下一些共同的特点：

• 消息中带有非相邻信令节点的地址；
• 特定消息类型的量增加或异常；
• 特定消息类型的出现频次增加或异常；
• 消息集中在某链路或链路集上。

高质量的防卫将是一个多元的安全政策，最好的防卫是早期检测。运营商必须安装能够监控整个网络的设备，该设备必须能够实时地检测所有的信令消息并向中心地点报告这些情况，而且要能够对消息进行分析。

运营商应该认识到，对七号信令网络真正的攻击可能不只是简单的攻击，很可能是一个充分组织的复杂攻击，因此更要积极防范。

三、网络安全是NGN的重要内容

ＮＧＮ指移动与固定运营商未来将拥有的能够提供一系列先进新业务的网络设施。在ＮＧＮ中，网络安全是最重要的内容，也是亟待解决的问题。随着新技术特别是ＷＬＡＮ、ＩＰ分组网络、３Ｇ等的发展与应用，网络中的薄弱环节也越来越多。

１．ＷＬＡＮ

如今，ＷＬＡＮ的安全性成为一个突出的问题。随着ＷＬＡＮ的普遍实施，其安全性应该引起业界足够的重视。设备厂商在试图通过加密与认证等方式来减少一些安全隐患。

针对ＷＬＡＮ存在的安全问题，目前有四项主要的技术措施：８０２．１ｘ认证协议、专门针对ＷＬＡＮ的安全体系标准８０２．１１／８０２．１１ｉ、ＶＰＮ和实现ＷＬＡＮ中用户隔离的虚拟局域网（ＶＬＡＮ）。这４项技术有的正在开发之中，有的又过于复杂，因此ＷＬＡＮ的安全问题在最近一段时间内难以得到彻底的解决。

２．基于ＩＰ的分组交换网

在过去的电信网络中，网络所受到的安全威胁比较典型，如毁坏ＰＢＸ、恶意拨号等。而基于ＩＰ的分组交换网的安全问题将更加突出，并且与以往的安全问题相比有很大的不同。

人们使用ＶｏＩＰ或者ＭＰＬＳ来构筑ＶＰＮ时，安全隐患将变大。因为人们在使用ＩＰ地址时会把自己“暴露”在大庭广众之中，这样就会面临电路交换网甚至ＡＴＭ或者帧中继中从未有过的安全问题。你可以从公共域“看到”别人，别人也可以采用标准的攻击形式轻而易举地破坏路由表。例如，攻击一个交换机并非易事，但是攻击一个实施了ＭＰＬＳ的交换设备却方便得多，因为可以从内部网看到它所拥有的ＩＰ地址。如果有人进到内部网，就可以接入到交换机，从而带来更大的安全隐患。

３．３Ｇ

３Ｇ电话更易受到攻击。在２．５Ｇ网络中，ＩＰ地址是在基站，黑客必须先攻击基站才能攻击到电话，而基站一般都有保护措施。然而在３Ｇ网络中，ＩＰ地址实际上是在电话中，黑客可以直接攻击电话。因此，３Ｇ在安全性方面与２．５Ｇ或者ｉ－ｍｏｄｅ相比有很大的弱点。

四、结语

随着技术的发展，电信网络涵盖的范围越来越广，以前单一、封闭的网络正在向开放多样的网络演进，因此电信行业面临的安全问题更加复杂、多样，保障电信网络和业务的安全面临着更加严峻的形势。由于电信网络是人们向信息社会迈进的基石，与人们的工作、生活息息相关，因此无论政府、运营商还是用户，都应该更多地关心电信网络的安全问题。

来源：泰尔网