數(shù)據(jù)安全防護(hù)體系在業(yè)務(wù)支撐中心的實(shí)踐

郭林江

（中國移動(dòng)通信集團(tuán)河北有限公司，石家莊 050000）

數(shù)據(jù)安全防護(hù)體系在業(yè)務(wù)支撐中心的實(shí)踐

郭林江

（中國移動(dòng)通信集團(tuán)河北有限公司，石家莊 050000）

當(dāng)前電信運(yùn)營商業(yè)務(wù)支撐系統(tǒng)一般具備基礎(chǔ)的安全防護(hù)措施，例如防火墻、入侵檢測、流量清洗等專用安全設(shè)備，但是隨著電信業(yè)務(wù)運(yùn)營的多樣性發(fā)展，敏感數(shù)據(jù)越發(fā)為安全防護(hù)的重點(diǎn)，本文從典型的電信運(yùn)營商網(wǎng)絡(luò)架構(gòu)開始分析，闡述了電信行業(yè)數(shù)據(jù)安全的防護(hù)重點(diǎn)，又結(jié)合中國移動(dòng)河北公司業(yè)務(wù)支撐系統(tǒng)實(shí)際案例，重點(diǎn)介紹了數(shù)據(jù)安全防護(hù)的實(shí)踐和經(jīng)驗(yàn)，可以為電信運(yùn)營商敏感數(shù)據(jù)防護(hù)提供經(jīng)驗(yàn)借鑒。

業(yè)務(wù)支撐系統(tǒng)；數(shù)據(jù)安全防護(hù)體系；敏感數(shù)據(jù)

目前電信運(yùn)營商在從基礎(chǔ)網(wǎng)絡(luò)提供商向綜合信息提供商的戰(zhàn)略轉(zhuǎn)型中，業(yè)務(wù)形態(tài)呈現(xiàn)智能化、IP化和移動(dòng)化，新業(yè)務(wù)形式重點(diǎn)實(shí)現(xiàn)以網(wǎng)絡(luò)為載體的數(shù)據(jù)信息交換。在此過程中，信息安全以支持業(yè)務(wù)運(yùn)營為驅(qū)動(dòng)，尤其是敏感數(shù)據(jù)安全已經(jīng)成為運(yùn)營商進(jìn)行業(yè)務(wù)拓展和創(chuàng)新的基礎(chǔ)保障。通過建立敏感數(shù)據(jù)安全防護(hù)體系，使敏感信息處于可管、可控、可追溯的防護(hù)環(huán)境，確保各項(xiàng)業(yè)務(wù)的正常運(yùn)營。

1 業(yè)務(wù)數(shù)據(jù)是運(yùn)營商重要資產(chǎn)

電信運(yùn)營商的全業(yè)務(wù)運(yùn)營依賴于通信基礎(chǔ)網(wǎng)絡(luò)和信息支撐系統(tǒng)，業(yè)務(wù)數(shù)據(jù)分布廣泛。面向公眾提供服務(wù)及業(yè)務(wù)運(yùn)營管理涉及業(yè)務(wù)數(shù)據(jù)的產(chǎn)生、使用、流轉(zhuǎn)、交換和銷毀過程。電信運(yùn)營商業(yè)務(wù)數(shù)據(jù)至少包括客戶信息、卡號(hào)資源信息、訂購關(guān)系、位置信息、通話記錄、上網(wǎng)記錄、經(jīng)營分析報(bào)表、財(cái)務(wù)報(bào)表、企業(yè)發(fā)展戰(zhàn)略等。在電信運(yùn)營商著力打造信息專家的過程中，業(yè)務(wù)數(shù)據(jù)和傳統(tǒng)的設(shè)備、號(hào)卡資產(chǎn)一樣，已經(jīng)成為企業(yè)的重要資產(chǎn)，關(guān)乎企業(yè)社會(huì)形象與核心競爭力，因此，保障業(yè)務(wù)敏感數(shù)據(jù)的安全性、有效性、完整性、可用性具有戰(zhàn)略性地位。

圖1為省級(jí)電信典型運(yùn)營商業(yè)務(wù)架構(gòu)，敏感數(shù)據(jù)廣泛分布在專業(yè)網(wǎng)絡(luò)和業(yè)務(wù)系統(tǒng)之中，專業(yè)網(wǎng)絡(luò)通信設(shè)備獨(dú)立于數(shù)據(jù)通信網(wǎng)絡(luò)，基本不具備接入并獲取敏感數(shù)據(jù)的途徑，相比較而言支撐系統(tǒng)集中保存有大量業(yè)務(wù)敏感數(shù)據(jù)，是敏感數(shù)據(jù)安全防護(hù)重點(diǎn)，以下重點(diǎn)介紹業(yè)務(wù)支撐系統(tǒng)的敏感數(shù)據(jù)防護(hù)措施。

2 敏感數(shù)據(jù)的防護(hù)是安全建設(shè)的重點(diǎn)

中國移動(dòng)對(duì)于業(yè)務(wù)數(shù)據(jù)安全重點(diǎn)是業(yè)務(wù)運(yùn)營、系統(tǒng)維護(hù)中的敏感數(shù)據(jù)防護(hù)，即針對(duì)含有敏感信息的業(yè)務(wù)數(shù)據(jù)的訪問、使用、傳輸、轉(zhuǎn)換、運(yùn)維過程中對(duì)操作行為動(dòng)機(jī)、身份、權(quán)限、渠道的管控。之所以將此作為重點(diǎn)建設(shè)內(nèi)容，一方面源于傳統(tǒng)的網(wǎng)絡(luò)運(yùn)營向信息運(yùn)營的業(yè)務(wù)轉(zhuǎn)型，一方面源于安全防護(hù)工作精細(xì)化、可信化的管理轉(zhuǎn)型。為了加強(qiáng)敏感業(yè)務(wù)數(shù)據(jù)的安全防護(hù)，中國移動(dòng)通信集團(tuán)公司已經(jīng)發(fā)布了一系列針對(duì)數(shù)據(jù)安全的專項(xiàng)防護(hù)措施。

圖1 電信業(yè)務(wù)架構(gòu)圖

中國移動(dòng)業(yè)務(wù)支撐信息安全體系建設(shè)以安全管理平臺(tái)和4A平臺(tái)為技術(shù)核心，分解為應(yīng)用安全、數(shù)據(jù)安全、接入安全、網(wǎng)絡(luò)安全、人員安全、流程安全、基線安全和物理安全，其中數(shù)據(jù)安全作為信息安全的重要組成部分，除了考慮數(shù)據(jù)庫敏感數(shù)據(jù)安全之外，還要考慮主機(jī)類數(shù)據(jù)安全（如主機(jī)話單文件等）和應(yīng)用類數(shù)據(jù)安全。

3 業(yè)務(wù)支撐系統(tǒng)敏感數(shù)據(jù)的防護(hù)

根據(jù)集團(tuán)的要求和自身安全建設(shè)的需求，中國移動(dòng)河北公司啟動(dòng)了業(yè)務(wù)數(shù)據(jù)安全防護(hù)體系的研究工作，針對(duì)業(yè)務(wù)數(shù)據(jù)安全防護(hù)在行業(yè)內(nèi)率先開展了實(shí)踐。

業(yè)務(wù)支撐系統(tǒng)敏感業(yè)務(wù)數(shù)據(jù)防護(hù)的建設(shè)思路如圖2所示，共分為5個(gè)部分組成，分別是應(yīng)用數(shù)據(jù)安全防護(hù)、數(shù)據(jù)庫安全防護(hù)、主機(jī)數(shù)據(jù)安全防護(hù)、文檔安全管理與數(shù)據(jù)安全審計(jì)，前3類安全防護(hù)是針對(duì)特定目標(biāo)制定防護(hù)策略，執(zhí)行不同的安全防護(hù)手段，文檔安全是針對(duì)數(shù)據(jù)文件導(dǎo)出生命周期的管理，保證導(dǎo)出數(shù)據(jù)文件的安全性，安全審計(jì)是針對(duì)數(shù)據(jù)操作的統(tǒng)一審計(jì)管理，河北公司建立了云審計(jì)中心，統(tǒng)一存儲(chǔ)各類審計(jì)應(yīng)用和后臺(tái)操作日志信息，為數(shù)據(jù)安全提供可追溯可審計(jì)的防護(hù)手段。

圖2 業(yè)務(wù)支撐系統(tǒng)數(shù)據(jù)防護(hù)結(jié)構(gòu)圖

3.1 前臺(tái)應(yīng)用數(shù)據(jù)安全

業(yè)務(wù)支撐系統(tǒng)用戶量最大的是前臺(tái)應(yīng)用人員，包括營業(yè)客服、電子渠道代理商用戶，還包括公司內(nèi)部經(jīng)營分析用戶，應(yīng)用系統(tǒng)中包含有大量客戶敏感客戶信息、公司經(jīng)營的核心數(shù)據(jù)，此部分涉及用戶群比較復(fù)雜，是敏感數(shù)據(jù)管控的重點(diǎn)區(qū)域。

首先應(yīng)用系統(tǒng)通過接入4A平臺(tái)，實(shí)現(xiàn)對(duì)訪問用戶身份強(qiáng)認(rèn)證，通過系統(tǒng)權(quán)限最小化原則對(duì)用戶進(jìn)行權(quán)限管理。針對(duì)用戶敏感信息實(shí)現(xiàn)了數(shù)據(jù)脫敏操作，普通操作權(quán)限用戶無法直接獲取用戶有價(jià)值信息，如姓名、身份證信息等，保證最大范圍的普通用戶無法直接獲取用戶的敏感信息；前臺(tái)應(yīng)用系統(tǒng)記錄用戶的操作行為形成統(tǒng)一接觸審計(jì)數(shù)據(jù)，如果涉及用戶信息泄露可以通過接觸日志進(jìn)行審計(jì)和追溯。

根據(jù)中國移動(dòng)通信集團(tuán)公司的《金庫管理辦法》，應(yīng)用系統(tǒng)對(duì)于涉及批量操作客戶資料、公司經(jīng)營數(shù)據(jù)的21個(gè)應(yīng)用場景進(jìn)行了約定，通過金庫（雙人協(xié)作授權(quán)）模式實(shí)現(xiàn)操作，減少單人操作的風(fēng)險(xiǎn)，21個(gè)應(yīng)用場景包含了應(yīng)用系統(tǒng)對(duì)敏感數(shù)據(jù)的高風(fēng)險(xiǎn)批量操作，如表1所示。

頁面審計(jì)是通過網(wǎng)絡(luò)設(shè)備鏡像獲取網(wǎng)絡(luò)層數(shù)據(jù)，還原應(yīng)用操作頁面信息的審計(jì)技術(shù)。頁面審計(jì)需要采購部署單獨(dú)的設(shè)備與軟件產(chǎn)品，根據(jù)《業(yè)務(wù)支撐網(wǎng)數(shù)據(jù)安全管理辦法》定義應(yīng)用的敏感數(shù)據(jù)頁面，目前河北公司業(yè)務(wù)支撐系統(tǒng)定義302個(gè)敏感數(shù)據(jù)頁面，定義審計(jì)策略36條，每月產(chǎn)生告警工單8 000條左右，每天產(chǎn)生的告警工單通過分級(jí)審計(jì)系統(tǒng)分流到審計(jì)相關(guān)責(zé)任人進(jìn)行審計(jì)，告警策略的設(shè)定需要根據(jù)各省實(shí)際情況不斷摸索和設(shè)定，適合的告警策略可以有效出發(fā)告警工單，海量和極少的告警信息都會(huì)對(duì)審計(jì)效果產(chǎn)生影響。頁面審計(jì)是從旁路獲取審計(jì)證據(jù)，不依賴于應(yīng)用系統(tǒng)記錄的日志數(shù)據(jù)，頁面還原審計(jì)證據(jù)直觀有效，配合業(yè)務(wù)系統(tǒng)自身日志可以達(dá)到更好的審計(jì)效果，圖3給出頁面審計(jì)（河北公司安全審計(jì)平臺(tái)）常規(guī)部署架構(gòu)示意圖。

針對(duì)應(yīng)用前臺(tái)的敏感數(shù)據(jù)管控，通過以上管控手機(jī)基本保證了應(yīng)用級(jí)別的數(shù)據(jù)安全，可以達(dá)到應(yīng)用敏感數(shù)據(jù)可控、可告警、可追溯、可審計(jì)的安全效果。

3.2 數(shù)據(jù)庫和主機(jī)敏感數(shù)據(jù)安全

數(shù)據(jù)庫是電信運(yùn)營商存放核心數(shù)據(jù)的位置，必須使用多重管控和審計(jì)手段，共同起到敏感數(shù)據(jù)防護(hù)作用。

表1 金庫管控場景表

圖3 頁面審計(jì)架構(gòu)圖

數(shù)據(jù)庫防護(hù)重點(diǎn)人群是后臺(tái)維護(hù)的數(shù)據(jù)庫管理人員，首先把防護(hù)的數(shù)據(jù)庫資源接入4A平臺(tái)，只有對(duì)用戶身份做合法強(qiáng)身份認(rèn)證以后才會(huì)允許訪問，非法用戶會(huì)直接阻斷。其次是記錄用戶訪問數(shù)據(jù)庫的所有交互數(shù)據(jù)，河北公司通過部署邏輯串行圖形堡壘機(jī)實(shí)現(xiàn)數(shù)據(jù)庫審計(jì)功能。

圖形堡壘機(jī)具有應(yīng)用發(fā)布的功能，數(shù)據(jù)庫訪問工具發(fā)布到圖形堡壘機(jī)上，用戶訪問先登錄4A平臺(tái)驗(yàn)證合法用戶和權(quán)限，然后登錄圖形堡壘機(jī)進(jìn)行數(shù)據(jù)交互操作。

為了保證系統(tǒng)訪問的可用性能要求，河北公司采用了多臺(tái)圖形堡壘機(jī)集群的部署方式，單臺(tái)堡壘機(jī)故障不影響數(shù)據(jù)庫的安全防護(hù)能力，也能保證后臺(tái)數(shù)據(jù)庫維護(hù)工作的性能要求。

針對(duì)關(guān)鍵業(yè)務(wù)系統(tǒng)的數(shù)據(jù)表，我們?cè)O(shè)定了金庫保護(hù)模式，例如對(duì)關(guān)鍵表的DROP操作，需要業(yè)務(wù)審計(jì)人員審批才能進(jìn)行操作，減少了針對(duì)關(guān)鍵數(shù)據(jù)表誤操作和惡意破壞行為發(fā)生的概率。數(shù)據(jù)庫中涉及個(gè)人信息的必要敏感數(shù)據(jù)進(jìn)行加密存儲(chǔ)，防止數(shù)據(jù)庫數(shù)據(jù)被直接讀取泄露關(guān)鍵信息，如系統(tǒng)密碼和用戶的身份信息進(jìn)行加密存儲(chǔ)，應(yīng)用讀取成功解密后進(jìn)行展示。

業(yè)務(wù)支撐系統(tǒng)主機(jī)設(shè)備是承載數(shù)據(jù)庫和應(yīng)用的硬件載體，主機(jī)上涉及話單文件已經(jīng)重要系統(tǒng)配置數(shù)據(jù)，主機(jī)數(shù)據(jù)安全防護(hù)重點(diǎn)是維護(hù)人員中的主機(jī)管理員。主機(jī)安全通過邏輯串行字符堡壘機(jī)實(shí)現(xiàn)，多臺(tái)字符堡壘機(jī)構(gòu)成集群，針對(duì)關(guān)鍵主機(jī)敏感指令采用金庫防護(hù)手段，字符堡壘機(jī)記錄訪問主機(jī)的日志信息，為審計(jì)提供數(shù)據(jù)來源。

3.3 文檔安全管理和云審計(jì)

應(yīng)用使用人員和后臺(tái)維護(hù)人員都有從系統(tǒng)導(dǎo)出數(shù)據(jù)文件的需求，數(shù)據(jù)文件脫離核心服務(wù)器失去正常的管控和審計(jì)，所以河北公司建立了文檔管理系統(tǒng)，對(duì)導(dǎo)出的數(shù)據(jù)文件進(jìn)行全量數(shù)據(jù)備份，根據(jù)定義策略對(duì)數(shù)據(jù)文件進(jìn)行全量掃描審計(jì)，例如文件中保存有用戶身份證信息則出發(fā)告警工單。文檔管理系統(tǒng)定義了數(shù)據(jù)文件導(dǎo)出的保密措施，例如文檔增加水印標(biāo)志，文檔進(jìn)行加密，禁止拷貝，設(shè)定有效期等措施，可以保證數(shù)據(jù)文件具有可控手段，防止數(shù)據(jù)文件隨意傳輸和擴(kuò)散。

河北公司建立了基于Hadoop的云平臺(tái)，充分利用云平臺(tái)的大數(shù)據(jù)存儲(chǔ)及快速檢索優(yōu)勢(shì)建立了審計(jì)中心，云審計(jì)是各類防護(hù)手段的集中審計(jì)，應(yīng)用數(shù)據(jù)審計(jì)、數(shù)據(jù)庫審計(jì)、主機(jī)操作審計(jì)和文檔管理系統(tǒng)都把審計(jì)日志傳送給云審計(jì)中心進(jìn)行統(tǒng)一的存儲(chǔ)和管理，經(jīng)過匹配觸發(fā)告警的審計(jì)策略及時(shí)發(fā)現(xiàn)高風(fēng)險(xiǎn)違規(guī)操作，云審計(jì)與各專項(xiàng)技術(shù)防護(hù)關(guān)系如圖4所示。

圖4 云審計(jì)結(jié)構(gòu)圖

4 數(shù)據(jù)安全防護(hù)實(shí)踐總結(jié)

當(dāng)前電信基礎(chǔ)網(wǎng)絡(luò)作為業(yè)務(wù)運(yùn)營與數(shù)據(jù)交流的載體，而業(yè)務(wù)數(shù)據(jù)將成為影響服務(wù)質(zhì)量、業(yè)務(wù)競爭力、可持續(xù)發(fā)展、企業(yè)社會(huì)形象的重要因素。為落實(shí)電信行業(yè)監(jiān)管部門以及集團(tuán)公司提出的數(shù)據(jù)安全管理要求，通信企業(yè)正在確定業(yè)務(wù)數(shù)據(jù)安全的發(fā)展及規(guī)劃，以敏感業(yè)務(wù)信息防護(hù)為重點(diǎn)的數(shù)據(jù)安全越發(fā)成為信息安全建設(shè)的重中之重。

中國移動(dòng)河北公司搭建了“四位一體”的數(shù)據(jù)安全防護(hù)體系，從應(yīng)用、主機(jī)、數(shù)據(jù)庫、文檔安全管理4個(gè)方面分別進(jìn)行數(shù)據(jù)安全管控，而且建設(shè)了統(tǒng)一的云審計(jì)中心，有效提升了公司數(shù)據(jù)資產(chǎn)的防護(hù)水平。數(shù)據(jù)安全是業(yè)務(wù)支撐系統(tǒng)安全體系的組成部分，安全體系各方安全防護(hù)相輔相成，任何方面的漏洞都可能造成數(shù)據(jù)安全事件，所以進(jìn)行全面安全體系規(guī)劃，重點(diǎn)提升數(shù)據(jù)安全防護(hù)手段，可以有效保障業(yè)務(wù)支撐系統(tǒng)的數(shù)據(jù)安全。

Data security protection system in the practice of business support system

GUO Lin-jiang
(China Mobile Group Hebei Co., Ltd., Shijiazhuang 050021, China)

Safety protection measures of the telecom operation support systems generally have the foundation, such as fi rewall, intrusion detection, traff i c safety equipment for cleaning, but with the diversity development of telecom business, more focus on sensitive data security protection, this paper begins with the analysis of typical telecom operators, network architecture, the telecom industry data security key, and combining with China Mobile Hebei business case system support, mainly introduces the practice and experience of data security, for telecom operators to sensitive data protection experience.

business support system; data security protection system; sensitive data

TN918

A

1008-5599（2013）12-0032-05

銳捷網(wǎng)絡(luò)＂牛頓“榮獲最具價(jià)值產(chǎn)品獎(jiǎng)

2013-11-22

News

首屆全球互聯(lián)網(wǎng)技術(shù)大會(huì)（GiTC）于12月5日在國家會(huì)議中心盛大召開，數(shù)十位代表國內(nèi)乃至全球互聯(lián)網(wǎng)最前端技術(shù)的演講嘉賓齊聚一堂，以“技術(shù)造夢(mèng)新世界”為主題，共同分享了互聯(lián)網(wǎng)行業(yè)最前沿的技術(shù)創(chuàng)新成果。經(jīng)評(píng)審團(tuán)討論，組委會(huì)最終將“2013年度互聯(lián)網(wǎng)最具價(jià)值產(chǎn)品獎(jiǎng)”頒給了銳捷網(wǎng)絡(luò)的旗艦產(chǎn)品Newton 18000系列核心交換機(jī)（簡稱牛頓交換機(jī)）。銳捷網(wǎng)絡(luò)總裁劉中東先生受邀參加本次技術(shù)盛宴，在代表銳捷領(lǐng)取該獎(jiǎng)項(xiàng)的同時(shí)，他對(duì)民族企業(yè)“自主創(chuàng)新”之路中的責(zé)任，以及“中國創(chuàng)造”的使命進(jìn)行了精彩解讀。GiTC大會(huì)圍繞“開源”、“大數(shù)據(jù)”、“云”等12個(gè)話題，從技術(shù)的角度透析了我國互聯(lián)網(wǎng)行業(yè)取得的成就，同時(shí)也對(duì)全球互聯(lián)網(wǎng)技術(shù)應(yīng)用動(dòng)態(tài)和未來發(fā)展趨勢(shì)進(jìn)行了深度探討。