長慶油田軟交換系統(tǒng)安全防護技術(shù)應(yīng)用

金改莉+張斌+王煒

[摘 要]長慶油田語音通信已全面邁入IP時代，隨著SIP手機電話的推廣，終端已經(jīng)開始呈現(xiàn)出移動化，在為油田語音通信帶來便利的同時，軟交換系統(tǒng)的安全也面臨著考驗，本文立足長慶油田軟交換系統(tǒng)現(xiàn)狀，針對各個層面的要素，分別進行安全評估分析，尋找潛在的安全隱患，并針對性地尋找解決方案，修補安全漏洞，確保長慶油田軟交換系統(tǒng)安全運行。

[關(guān)鍵詞]軟交換系統(tǒng)；安全風險；長慶油田

doi：10.3969/j.issn.1673 - 0194.2017.12.025

[中圖分類號]TN915.08 [文獻標識碼]A [文章編號]1673-0194（2017）12-00-02

長慶油田軟交換系統(tǒng)承擔著油田辦公、生產(chǎn)指揮及生活服務(wù)語音通信的重要使命。目前，長慶油田軟交換系統(tǒng)結(jié)構(gòu)：控制層在西安、銀川分別部署1套軟交換核心設(shè)備SOFTX3000、在西安部署1套智能平臺系統(tǒng)；在IP網(wǎng)絡(luò)層面建設(shè)1套軟交換獨立承載網(wǎng)系統(tǒng)，與其他網(wǎng)絡(luò)完全隔離；在接入層面上部署UMG8900中繼網(wǎng)關(guān)5套、UA5000接入網(wǎng)關(guān)45套，以及IAD、PON、SIP接入終端千余套。隨著業(yè)務(wù)的擴大，軟交換系統(tǒng)安全問題越來越重要。

1 簡述軟交換系統(tǒng)安全風險

在軟交換組網(wǎng)中，邊緣接入層的設(shè)備和各種網(wǎng)關(guān)設(shè)備的容量可以非常大，一旦中斷，其影響成幾何級數(shù)放大；核心交換層是基于IP的網(wǎng)絡(luò)，在承載網(wǎng)故障或者不穩(wěn)定的情況下，會出現(xiàn)心跳機制混亂、業(yè)務(wù)運行故障、核心節(jié)點運行不穩(wěn)定或者脫網(wǎng)、鏈路和路由狀態(tài)異常等狀況；在業(yè)務(wù)應(yīng)用層，軟交換系統(tǒng)用戶終端的智能化以及接入方式的復(fù)雜化，對軟交換協(xié)議處理的容錯性提出了更高的要求，接入?yún)^(qū)域公共化等使軟交換網(wǎng)絡(luò)處于更開放的網(wǎng)絡(luò)環(huán)境中，更易遭受攻擊。軟交換系統(tǒng)通過開放的業(yè)務(wù)接口提供豐富的業(yè)務(wù)和應(yīng)用，但開放的業(yè)務(wù)接口使其面臨被攻擊的危險。

2 軟交換系統(tǒng)的安全風險

2.1 控制層的安全風險

控制層主要完成數(shù)據(jù)配置管理、業(yè)務(wù)發(fā)放、業(yè)務(wù)觸發(fā)、業(yè)務(wù)實現(xiàn)、話單產(chǎn)生等關(guān)鍵動作。隨著語音業(yè)務(wù)IP化，SIP協(xié)議由于其開放性，在VOIP中受到了廣泛應(yīng)用，但同時也帶來了比較大的安全問題。目前，互聯(lián)網(wǎng)上有許多惡意軟件，不停掃描各種SIP端口，進行注冊與攻擊。造成的結(jié)果是盜打電話，尤其是國際長途電話，甚至是攻擊SIP端口造成整個企業(yè)的IP電話系統(tǒng)癱瘓。因此，SIP的應(yīng)用越廣泛，安全性問題越突出。

SIP電話盜打過程是指盜用SIP電話號碼注冊到長慶油田軟交換上實現(xiàn)電話呼叫，常見的盜打是撥打境外國際長途高結(jié)算國家的聲訊電話，以惡意套取國際長話費，獲得高額結(jié)算。通過分析軟交換業(yè)務(wù)實現(xiàn)過程和信令觀察，發(fā)現(xiàn)在控制層出現(xiàn)的安全威脅主要是，通過“套撥本地權(quán)限接入碼+電信IP字冠+國際長途字冠、通過電信IP字冠+國際長途字冠”實現(xiàn)長途盜打。軟交換在分析智能接入碼后不再判斷接續(xù)號碼所需要的呼出權(quán)限，容易導(dǎo)致套撥后繞開權(quán)限判斷而實現(xiàn)長途越權(quán)盜打；其次是SIP用戶賬戶和密碼泄露引起的非法注冊和盜打，SIP用戶未配置密碼或僅配置弱密碼，一旦賬戶和密碼泄露或被破譯，很容易被非法注冊后發(fā)起盜打。另外，電信“17909”“11808”等IP電話存在安全漏洞，用戶權(quán)限為國內(nèi)或者本地便可通過“17909”“11808”等撥打國際電話。

2.2 核心層的安全風險

軟交換系統(tǒng)核心交換層采用的是IP分組網(wǎng)絡(luò)，通信協(xié)議和媒體信息主要以IP數(shù)據(jù)包的形式進行傳送。承載網(wǎng)面臨的安全威脅主要有網(wǎng)絡(luò)風暴、病毒（蠕蟲病毒）泛濫和黑客攻擊。網(wǎng)絡(luò)風暴和病毒，輕則通過大量占用網(wǎng)絡(luò)資源和網(wǎng)絡(luò)帶寬，導(dǎo)致正常業(yè)務(wù)訪問緩慢，甚至無法訪問網(wǎng)絡(luò)資源；重則導(dǎo)致整個網(wǎng)絡(luò)癱瘓，黑客攻擊網(wǎng)絡(luò)中的關(guān)鍵設(shè)備，篡改其路由和用戶等數(shù)據(jù)，導(dǎo)致路由異常、網(wǎng)絡(luò)無法訪問等。

2.3 接入層的安全風險

軟交換網(wǎng)絡(luò)提供了靈活、多樣的網(wǎng)絡(luò)接入手段，任何可以接入IP網(wǎng)絡(luò)的地點均可以接入終端，這種特性在為用戶提供方便的同時也帶來了很多安全隱患。一些用戶利用非法終端或設(shè)備訪問網(wǎng)絡(luò)、占用網(wǎng)絡(luò)資源、非法使用業(yè)務(wù)和服務(wù)以及向網(wǎng)絡(luò)發(fā)起攻擊。另外，接入與地點的無關(guān)性，使安全事件發(fā)生后很難定位發(fā)起安全攻擊的確切地點，無法追查責任人。

2.4 業(yè)務(wù)應(yīng)用層面的安全風險

目前，騷擾電話、垃圾傳真已成為一種社會公害，給人們正常的工作和生活帶了干擾和影響。長慶油田軟交換網(wǎng)中出現(xiàn)大量商業(yè)推銷、宣傳的騷擾電話，更有甚者出現(xiàn)諸如邪教非法宣傳等騷擾電話；網(wǎng)絡(luò)中垃圾傳真也日趨泛濫，一些非法機構(gòu)利用網(wǎng)絡(luò)傳真自動向油網(wǎng)傳真電話發(fā)送傳真。

本文通過對長慶油田軟交換系統(tǒng)出現(xiàn)騷擾電話的跟蹤觀察，發(fā)現(xiàn)現(xiàn)網(wǎng)中一部分的商業(yè)宣傳、推銷的呼入號碼一般均為原始底號。對于長慶油網(wǎng)內(nèi)出現(xiàn)的其他一些騷擾電話和垃圾傳真，其主叫號碼一般都具有“號碼隱藏”和“號碼頻繁變換”的特性；對于“號碼隱藏”的來電，其來電顯示為“私人號碼”“未知號碼”“#”“000”等，通過對被叫的信令分析發(fā)現(xiàn)，主叫號碼屬性中號碼呈現(xiàn)指示為“禁止”，而正常的呼叫為“允許”，這意味著對方在號碼屬性中設(shè)置了“主叫線識別限制”。

3 軟交換系統(tǒng)安全風險的解決方案

3.1 控制層安全措施

控制層負責數(shù)據(jù)配置管理，對局數(shù)據(jù)進一步優(yōu)化配置：針對17909、17908、11808等電信IP字冠，出局號碼字冠分析盡量細化，最少分析到17909010、17909011……，不設(shè)置“1790900”國際長途呼叫字冠的號碼分析。針對“套撥本地權(quán)限智能接入碼（193、195、196、197、198等）+電信IP字冠+國際長途字冠”盜打長途電話，本文通過信令觀察，發(fā)現(xiàn)軟交換分析智能接入碼后不再判斷接續(xù)號碼所需要的呼出權(quán)限，容易導(dǎo)致套撥后繞開權(quán)限判斷而實現(xiàn)長途越權(quán)盜打，在控制層上將智能接入碼193、195、196、197、198業(yè)務(wù)字冠的最小號長和最大號長設(shè)置為不固定，最大號長設(shè)置為15位，使套撥盜打國際長途時，只能撥打到“1931790900XXXXX”長度，無法將際長途號碼輸全，從而限制盜打。

3.2 接入層安全措施

在接入層加強對SIP用戶權(quán)限和接入終端密碼的管理，設(shè)置多媒體終端數(shù)據(jù)時必須進行密碼認證，且對全網(wǎng)SIP用戶弱口令進行修改；對全網(wǎng)SIP用戶進行排查，刪除已停用的SIP用戶數(shù)據(jù)；若在公網(wǎng)上無SIP電話業(yè)務(wù)需求時，封閉公網(wǎng)注冊地址及端口，杜絕外網(wǎng)SIP電話注冊到長慶油田軟交換上。

3.3 核心層安全措施

核心網(wǎng)安全域是軟交換網(wǎng)絡(luò)的安全核心。長慶油田軟交換核心網(wǎng)的承載層采用專用IP網(wǎng)和VPN方式組網(wǎng)，安全域內(nèi)設(shè)備（包括各種AG）本身的管理和控制可以認為是安全的。為防止核心交換層受到黑客或病毒程序的攻擊或干擾，必須隔離軟交換系統(tǒng)承載網(wǎng)與互聯(lián)網(wǎng)，與互聯(lián)網(wǎng)的互通通過安全設(shè)備（如SBC）實現(xiàn)，在核心網(wǎng)與其他網(wǎng)絡(luò)連接時，部署SBC和防火墻等設(shè)備進行內(nèi)外網(wǎng)隔離；網(wǎng)絡(luò)中的SS等設(shè)備需具備完善的設(shè)備認證和授信方式，防止非法登錄。核心網(wǎng)節(jié)點間需采用心跳和媒體檢測等方式進行狀態(tài)檢查，及時更新節(jié)點狀態(tài)，保證業(yè)務(wù)正常；接入節(jié)點需具備帶寬和業(yè)務(wù)管理能力，防止用戶非法占用帶寬和使用業(yè)務(wù)；核心網(wǎng)節(jié)點應(yīng)具備對異常信令和消息的處理能力，防止人為攻擊等造成節(jié)點癱瘓。

4 結(jié) 語

軟交換語音業(yè)務(wù)IP化、移動化在給人們帶來便捷、高效的同時，其IP承載、網(wǎng)關(guān)多重歸屬、承載和業(yè)務(wù)分離、更加開放的接口，都對網(wǎng)絡(luò)安全提出了更高的要求，因此，做好安全隱患預(yù)防尤為重要，優(yōu)化數(shù)據(jù)配置管理，關(guān)閉承載網(wǎng)設(shè)備所有未用端口，從源頭杜絕非準入設(shè)備接入?？傊?，軟交換的網(wǎng)絡(luò)安全問題是一個需要長期關(guān)注的課題，需要不斷進行探索。