淺析通信網管集約化的安全要求和技術措施

方彬

摘要：目前，隨著通信傳輸技術和信息網絡技術的發(fā)展，地理位置分散的通信傳輸系統(tǒng)，其網管服務器可以安置在同一機房，并進行集中建設和集中運維。這種集約化的通信網管建設與運維能夠有效減少運維成本和提升運維效率。信息網絡安全，對于這種集中建設與運維的系統(tǒng)，其重要性尤為突出。因此，本文將針對通信網管集約化建設、運維工作中需要注意的信息網絡安全問題、防護措施進行探究。

關鍵詞：網管服務器;網管網絡;集約化;安全措施

中圖分類號：TP309 ? ? ? 文獻標識碼：A 文章編號：1003-2177（2019）02-0125-04

0 引言

通信網管集約化指將分散在不同地點的通信網管服務器集中到統(tǒng)一地點并進行統(tǒng)一運維管理。目前，國家電網公司正在推進一二級骨干傳輸網和三、四級骨干傳輸網的通信網管集約建設，目標是為了切實提升骨干光傳輸網的本質安全，徹底解決分散建設、集約管理手段不足的問題。其中，一二級骨干傳輸網的通信網管集約化是將公司各個分部的通信網管服務器及其附屬設施統(tǒng)一建設在國網總部機房，由國網總部統(tǒng)一運維管理;三四級骨干傳輸網的通信網管集約是將分布各個地市公司的通信網管服務器及其附屬設施統(tǒng)一建設在其所屬省公司機房，由省公司統(tǒng)一運維管理。建設完成后，國家電網公司原來的通信網管四級構架，即“國網、分部、省公司、地市公司”變?yōu)椤皣W、省公司”兩級構架。

通信網管集約化實現方式分成三步，第一步是在中心站集中建設各個通信系統(tǒng)、各類廠家的集中網管服務器;第二步是建設以中心站為中心、以分部或地市公司為外圍節(jié)點的星型網絡，專用于傳輸網管信息，連接網關網元和服務器，該網絡簡稱為網管網;第三步即將各個通信系統(tǒng)的網關網元接入到網管網的外圍節(jié)點，網管服務器接入到網管網的中心節(jié)點，各個網管服務器通過分權分域的方式來管理分布或地市公司的通信網元。因此，通信網管集約化的安全問題主要包含主機安全和網絡安全兩部分。目前，信息安全作為國家電網公司安全管理的重要組成部分，越來越受公司重視[1]。而隨著信息技術發(fā)展，各類惡意攻擊、木馬病毒層出不窮[2]。如何防范這些安全風險，保障通信網管集約化的建設、運維工作順利進行，是一個值得研究的問題。因此，本文將從技術角度，全面剖析通信網管集約化工作中主機安全、網絡安全的技術要求，并提出相應的解決辦法。

1 通信網管集約化主機安全的技術要求與措施

1.1 身份鑒別

身份鑒別可以分為兩個方面，主機身份鑒別和應用身份鑒別。為了增強主機系統(tǒng)的安全性和保障各類應用網管的正常運行，應該采取一系列的安全加固措施，常用措施包括：（1）根據主機和應用網管的要求，設定不同的賬戶和賬戶組，包括管理員用戶、數據庫用戶、審計用戶、監(jiān)視員用戶等。（2）對登錄操作系統(tǒng)、數據庫、應用網管系統(tǒng)、客戶端的用戶進行認證和鑒別，并要求確保用戶名的唯一性。（3）對操作系統(tǒng)、數據庫、應用網管系統(tǒng)與客戶端配置用戶名、密碼。設置密碼策略，配置為周期性更改要求;防止弱口令存在，特別是對于采用靜態(tài)口令認證技術的主機和應用網管，口令長度至少8位，且密碼規(guī)程至少應采用字母大小寫穿插加數字和特殊符號的方式。（4）對操作系統(tǒng)、數據庫、應用網管系統(tǒng)與客戶端軍啟用登錄失敗處理功能，對失敗的登錄采取如下措施包括：終止會話鏈接、拒絕不合法登錄和鎖定賬戶等。（5）對于操作系統(tǒng)和應用網管系統(tǒng)進行遠程管理時，必須啟用SSH和其他安全方式，并啟用管理數據加密來防止網絡的竊聽。（6）登錄操作系統(tǒng)和應用網管系統(tǒng)時，應該采用雙因子認證和鑒別，包括使用USB秘鑰進行認證和身份鑒別。

身份鑒別的實現方式主要有：（1）主機身份鑒別可以通過在網管集約化的通信系統(tǒng)中安裝終端管控系統(tǒng)，通過該系統(tǒng)的準入功能完成對主機身份認證和鑒別。（2）對于應用身份鑒別，如果應用網管具備上述功能，則啟用其功能;如果應用網管本身不具備某些安全要求，則應該要求進行相關開發(fā)來滿足這些身份鑒別的安全要求。此外，可以通過在網管集約化的通信系統(tǒng)中安裝一臺堡壘機，并設定用戶登錄需要通過堡壘機的認證和應用身份鑒別。

1.2 接入鑒權

對于網管集約化的應用網管和主機而言，其通信網絡管理的一個重要要求是對接入鏈接實行強制接入管控，主要通過接入鑒權來實現。接入鑒權的重要內容包括應用網管文件系統(tǒng)的訪問控制、數據庫的接入控制和其他資源訪問控制，以防止相關資源被未授權地使用。可以采用的主要常用措施包括（1）使能主機和應用網管系統(tǒng)的接入控制功能，采用嚴格的安全接入控制策略，特別是對用戶訪問主機和應用系統(tǒng)的文件系統(tǒng)、數據庫和其他資源按照設定的策略進行控制，這些設定的控制策略的粒度應該達到在用戶級別、文件級別乃至數據表級別。（2）操作權限控制。主機和應用網管的接入控制規(guī)則應該清晰地包含訪問者、被訪問的目標和二者之間可以被許可的操作。按照可以完成相關任務的最小權限對不同用戶進行授權，嚴格避免訪問授權范圍過大，并對用戶間的訪問關系進行嚴格限制。如設定策略，防止遠程用戶或非管理員用戶非法關閉網管服務器或應用網管，防止低級別用戶非法獲取其權限以外的文件等。（3）采用嚴格的賬戶管理，對默認賬戶的接入權限進行嚴格的限制，對默認賬戶進行重命并更改默認的訪問密碼。及時刪除或鎖定與設備運行、維護等工作無關的賬戶，并且禁止使用來賓賬戶和共享賬戶。防止用戶從網絡或本地非法登錄主機或應用網管，在組策略中嚴格限定賬戶登錄方式，如網絡登錄或本地登錄等，同時禁止用戶自動登錄主機或應用網管等。

接入鑒權安全性的實現方式有：（1）主機接入鑒權制的實現主要采取兩種方式：采用安全操作系統(tǒng)，或對操作系統(tǒng)進行安全增強改造，且使用效果要達到以上要求。（2）應用網管系統(tǒng)訪問控制安全性可以通過在網管集約化的通信系統(tǒng)中安裝一臺堡壘機來完成，完成業(yè)務終端與服務器、數據庫等資源的隔離，實現對訪問用戶的授權和接入鑒權。

1.3 審計分析

通信網管集約化的主機和應用網管系統(tǒng)中，審計功能應該包含文件操作審計、外接設備操作審計、非法外聯(lián)審計、IP地址變更審計、服務審計和進程審計等。主機和應用網管應該設置審計策略，記錄系統(tǒng)的重要日志，主機和應用網管應該配置日志功能，對用戶登錄進行記錄，記錄內容包括用戶登錄使用的賬號、登錄是否成功、登錄時間和遠程登錄時的IP地址。審計范圍應該覆蓋主機和應用網管系統(tǒng)中的每個操作系統(tǒng)用戶和應用網管系統(tǒng)用戶。審計內容必須包含用戶的重要行為、對系統(tǒng)資源的不正當使用、系統(tǒng)的重要命令和操作的使用、和系統(tǒng)中的重要安全事件等的審計。審計記錄應該包含日期、時間、類型、主體、客體和事件結果。應該對審計記錄進行包含策略，防止被意外刪除、更改或者重寫覆蓋。同時，應該支持根據審計記錄數據和通信分析，形成詳細的審計報表。此外，需要合理配置日志記錄策略，優(yōu)化系統(tǒng)日志記錄，防止日志溢出。

審計分析的實現方式主要有：（1）可以通過在網管集約化的通信系統(tǒng)中安裝終端管控系統(tǒng)，通過該系統(tǒng)的審計功能完成對主機和應用網管的相關操作的審計。（2）可以通過在網管集約化的通信系統(tǒng)中部署主機審計服務系統(tǒng)來實現對主機的監(jiān)控、審計和相關系統(tǒng)管理功能。

1.4 入侵防護

對于通信網管集約化的主機的入侵防護，可以從多個方面進行處置：（1）部署一套入侵檢測系統(tǒng)或防病毒軟件來執(zhí)行對主機入侵的進行防護的安全組件，并及時更新病毒庫。（2）通過部署一套終端安全管理系統(tǒng)，并啟用補丁按時修復功能來及時更新主機的安全補丁。（3）主機操作系統(tǒng)的安裝應該遵循服務最小化安裝的原則，只安裝必須的功能組件和應用服務，將不必要的服務進行關閉，并屏蔽業(yè)務無關的端口，修改遠程訪問端口，并按公司特定要求進行其它端口規(guī)范設置。（4）根據不同的系統(tǒng)類型，執(zhí)行相應的安全加固措施，包括啟用主機的屏幕保護程序、設置遠程登錄掛起時間、關閉默認共享及權限設置，啟用數據保護配置、啟用防拒絕服務攻擊配置、啟用防止源路由欺騙攻擊設置。（5）設置好SNMP服務和同步時鐘服務，修改SNMP服務密碼，防止泄露系統(tǒng)信息。如需啟用SNMP服務，則修改默認的SNMP團體字符;設置時鐘同步，同步至公司內部的時鐘服務等。

1.5 備份系統(tǒng)

為了實現主機和應用網管的數據災備和恢復，需要在通信網管集約化的系統(tǒng)中部署一套數據備份系統(tǒng)。數據備份系統(tǒng)應該遵循穩(wěn)定性、綜合性、自動化、高性能、操作簡單和實時性等要求。備份系統(tǒng)應具備足夠的功能來支持運行穩(wěn)定、管理簡單、廣泛的設備兼容性和可靠的數據完整性保障。備份系統(tǒng)應該能夠對網管集約化的全系統(tǒng)提供一套比較寬泛的數據保護的功能選項和功能擴展，并且具備相關高級功能，包括應用網管系統(tǒng)和數據文件的在線實時數據備份，先進的設備和介質管理，快速和平穩(wěn)的災備數據恢復，和支持光纖交換存儲。本地全數據備份應該至少每天進行一次，并對于離線方式的存儲介質應該妥善保管。備份系統(tǒng)提供遠程數據備份功能，支持通過通信網絡周期性地和大批量地將關鍵數據備份到遠程地址的備份服務器中。

1.6 資源管理

為了確保網管集約化的主機和應用網管系統(tǒng)能夠正常為用戶提供服務，必須執(zhí)行資源管理功能，否則將導致資源耗竭、服務劣化甚至服務中斷。通過對主機和應用網管進行配置或部署資源管理應用系統(tǒng)來達到資源管理目標，其具體功能應該包括：（1）自動切斷會話功能，即當主機或應用網管的鏈接的某個通信方在設定的時間內沒有反應，另一個通信方應該能檢測到并自動終止該通信鏈接，以釋放資源。（2）限制鏈接數功能，包括限制一個應用網管系統(tǒng)的最大并發(fā)會話鏈接數，限制某段時間內的最大并發(fā)會話鏈接數，限制單個用戶可能的并發(fā)鏈接數等，并設置合理的門限，以保障系統(tǒng)的可達性。（3）登錄條件限制功能，設置終端登錄模式、IP地址范圍和其它條件等限制終端登錄，并根據設定的安全策略來啟用超時鎖定終端登錄等功能。（4）用戶可用資源的門限配置功能，限制某個系統(tǒng)資源可被單個用戶使用的最大或最小的使用量門限，以保障正常的資源運行和合理的資源占用。（5）重要服務器的資源監(jiān)控功能，包括對CPU、硬盤和內存等的監(jiān)控。當系統(tǒng)的服務水平到達預定的最小值時能進行檢測和告警。（6）服務優(yōu)先級配置功能，能根據不同接入賬戶或訪問進程設置資源訪問優(yōu)先級，并根據資源優(yōu)先級進行系統(tǒng)資源分配。

2 通信網管集約化網絡安全的技術要求與措施

2.1 網絡用戶行為監(jiān)視與審計

網絡安全審計系統(tǒng)主要用于監(jiān)視和記錄網絡中的各類操作、偵測系統(tǒng)中已經存在和潛在的各類威脅、各類外部和內部網絡安全事件的實時綜合分析。通過在網管集約化的系統(tǒng)中部署網絡用戶行為監(jiān)視和審計系統(tǒng)來監(jiān)控網絡數據流與執(zhí)行相應的安全審計。同時，該系統(tǒng)應該提供中心化的安全管理功能，和其他網絡安全組件一起對數據流進行監(jiān)控。網絡用戶行為監(jiān)視和審計系統(tǒng)擁有獨立的網絡數據感知硬件組件，并部署在網管集約化系統(tǒng)中的網絡中心節(jié)點。分析網絡數據包，根據特定協(xié)議算法來匹配和分析，以此來實現網絡審計功能，包括入侵檢測、信息檢索等，并通過審計記錄產生詳細的審計報表。網絡用戶行為監(jiān)視和審計系統(tǒng)采用旁路路由技術，不需要在目標主機中安裝任何組件。同時，網絡審計系統(tǒng)能夠與網絡安全組件進行協(xié)同，發(fā)送監(jiān)控記錄給安全管理域中的安全管理服務器，從而能夠更好地檢測和分析網絡異常、網絡攻擊和病毒。

2.2 網絡設備安全加固

為提高網管集約化系統(tǒng)的網絡設備的安全性，確保各類應用網管的正常網絡操作，應該采用一系列的安全加固措施，常用措施包括：（1）應對不同的用戶分配不同的賬號，避免不同用戶間賬號共享。原則上應采用預定義級別的授權方法，實現對不同用戶的權限控制，滿足最小授權要求，并禁用無關賬號。（2）通過ACL等限制網絡設備登錄的管理員賬戶的登錄地址。（3）身份識別信息應該不能被輕易破解，密碼長度至少8位，包括數字、大寫字母、小寫字母和特殊符號，配置策略自動拒絕用戶設置不符合復雜度要求的密碼，并且配置周期性更改要求。（4）應該具備登錄失敗處理功能。登錄失敗后，網絡設備應該采取措施包括終止會話、拒絕非法登錄、鎖定賬戶和登錄超時后自動終止網絡登錄。（5）使能SSH和其它管理方法來對傳輸數據進行加密防止網絡竊聽。（6）關閉網絡設備未使用的管理口如AUX口，關閉沒有開啟業(yè)務的端口，對console口配置符合密碼安全要求的密碼。（7）對VTY端口進行設置，限制VTY口的數量，設定VTY口的防護策略，避免由于惡意攻擊或者錯誤操作導致VTY端口失常。（8）關閉不必要的服務，如CDP、DNS lookup、DHCP、finger、udp-small-server、tcp-small-server、http、bootp、ip源路由、PAD等。采用最小化服務原則，網絡設備對外提供的所有服務都要配置登錄賬號，通過賬號進行控制，只允許ACL里面permit的主機才能訪問。（9）在設備上進行安全策略配置，對各種MAC地址表攻擊、ARP工資、Vlan攻擊、STP攻擊、DHCP攻擊進行防護。設置安全訪問控制列表，過濾掉已知的安全攻擊數據包，如udp 1434端口（防止SQL slammer蠕蟲）、tcp 445、5800、5900（防止Della蠕蟲）等。

2.3 網絡安全接入

為了確保網絡邊界的完整性，不僅需要執(zhí)行非法外聯(lián)阻斷，也需要監(jiān)視和阻斷非法接入，以網絡的可信接入和相互保障邊界完整性?？梢酝ㄟ^部署終端安全管理系統(tǒng)來實現這項功能。終端安全管理系統(tǒng)的一個重要功能組件是網絡接入控制，提供網絡阻塞功能包括阻塞ARP干擾功能和802.1x協(xié)議鏈接。系統(tǒng)的監(jiān)控臺將能快速反應非法接入的告警，其告警信息內容包含非法接入訪問的IP地址、非法訪問的目標IP和網絡中其他外部主機的非法行為。系統(tǒng)能夠實時根據接入用戶信息和訪問主機信息匹配的方法來確定接入主機的合法性，能及時阻止IP地址的冒用和非法使用，并聯(lián)合保障通信網管管理系統(tǒng)網絡邊界的完整性。具體的功能包括：（1）在線主機監(jiān)測功能，能夠通過監(jiān)視和活動性檢查來檢測系統(tǒng)中所有的在線主機，能夠判斷系統(tǒng)中的某個在線主機是否已經授權為可信任。（2）主機授權與認證功能。終端安全管理系統(tǒng)對于接入服務器的主機的授權與認證，可以通過聯(lián)合是否安裝網管客戶端、是否安裝特定補丁、是否安裝防病毒軟件、主機工作運行狀態(tài)和其它信息來進行，僅允許認證主機使用網絡資源。（3）非法主機的網絡阻塞功能。終端安全管理系統(tǒng)對于檢測到的非法主機，能夠及時地阻止其訪問任何網絡資源，確保其不能有意或無意地對網絡進行攻擊或盜取密碼。（4）IP和MAC地址綁定管理功能，通過綁定IP和終端的MAC地址，禁止用戶更改其IP和MAC地址，如果發(fā)生更改情況，能夠在終端安全管理系統(tǒng)中產生相關告警。

2.4 網絡設備統(tǒng)一日志管理

通過在網管集約化的系統(tǒng)中部署日志管理系統(tǒng)來實現各種格式日志的統(tǒng)一管理功能。對用戶登錄日志和用戶操作日志進行記錄和審計，記錄和審計范圍應包括但不限于：用戶登錄方式、使用的賬號名、登錄是否成功、登錄時間、以及遠程登錄時用戶使用的IP地址;賬號創(chuàng)建、刪除和權限修改，口令修改，設備配置修改，執(zhí)行操作的行為和操作結果等。通過SNMP、SYSLOG或者其他的日志接口來搜集管理目標設備的日志信息，并將其轉為統(tǒng)一的日志格式，從而進行統(tǒng)一的管理、分析和告警。日志管理系統(tǒng)能夠自動完成日志數據的格式分析和分類，提供日志數據存儲、備份、恢復、導入導出和其他操作功能。日志管理系統(tǒng)應支持日志的分散、分層管理，下層管理節(jié)點的日志數據可以發(fā)送到上一級的日志管理節(jié)點來進行集中管理。日志管理系統(tǒng)的軟件能夠實時監(jiān)控收到事件的狀態(tài)，如當前日志列表、系統(tǒng)風險狀態(tài)等。在執(zhí)行事件狀態(tài)監(jiān)控的同時，通過對設備和網絡的相關參數進行檢查來確定設備和網絡當前狀態(tài)。日志監(jiān)控應支持實時的日志數據流、系統(tǒng)風險和其他趨勢的監(jiān)控，并通過圖表形式展示。

2.5 網絡運行監(jiān)控管理

通過部署網絡安全管理平臺來執(zhí)行集中的網絡通信監(jiān)控和告警管理。支持對網絡設備和安全設備的集中監(jiān)控、及時告警、安全事件管理、安全策略管理、安全操作和全網的維護。網絡安全管理平臺可以對各個安全域設備提供靈活的策略模式，來實現安全域內的設備信息搜集和處理。同時，安全管理平臺的安全域內部署設備管理系統(tǒng)和控制臺，通過與每個事件服務器組件或安全設備通信，來實現對整個網絡的全局監(jiān)控。管理員可以在安全管理域的控制臺集中推送和設定設備的告警策略。同時，安全管理平臺的監(jiān)控能夠處理告警信息。安全管理平臺支持可視化，能在拓撲圖上清晰展示網絡關鍵屬性和實時運行狀態(tài)。

3 結語

通信網管集約化作為公司提升通信系統(tǒng)運維安全和可靠性的重要舉措，正處在規(guī)劃和建設的重要階段。通信網管作為通信設備的管理中心，其安全性在通信系統(tǒng)的建設與運維過程中舉足輕重。本文旨在分析當前通信網管集約化在建設、運維中需要注意的安全要求，從技術的可行性角度給出相關安全要求的實施措施，以提升通信網管集約化的主機安全和網絡安全水平，是對通信網管集約化安全工作的一次有益探索。

參考文獻

[1] 許爽，黃繼海，趙冰.關于網絡中用戶信息傳輸安全性驗證仿真[J].計算機仿真，2018（3）：149-152.

[2] 田麗潔.機房網絡安全隱患及網絡安全技術和對策的應用分析[J].科學與財富，2018（13）：297-300.