中国吉安电信信令网网络安全评估报告.doc

知识水坝（豆丁网pologoogle）为您倾心整理（下载后双击删除） 百度一下“知识水坝“ 中国电信江西省信令网安全风险评估报告 中国电信江西吉安分公司 二零零九年七月 评估对象： 江西省吉安市本地信令网 评估单位：江西省吉安市电信分公司 评估日期： 2009 年 7 月 编号：单位（中国电信为 ctsec）-省（如湖北为 hubei）-文档 编号（01 开始）-时间（200904） 企业秘密 编号：单位（中国电信为 ctsec）-省（如湖北为 hubei）-文档 编号（01 开始）-时间（200904） 企业秘密 编号：单位（中国电信为 ctsec）-省（如湖北为 hubei）-文档 编号（01 开始）-时间（200904） 企业秘密 编号：单位（中国电信为 ctsec）-省（如湖北为 hubei）-文档 编号（01 开始）-时间（200904） 企业秘密 编号：单位（中国电信为 ctsec）-省（如湖北为 hubei）-文档 编号（01 开始）-时间（200904） 企业秘密 编号：单位（中国电信为 ctsec）-省（如湖北为 hubei）-文档 编号（01 开始）-时间（200904） 企业秘密 编号：单位（中国电信为 ctsec）-省（如湖北为 hubei）-文档 编号（01 开始）-时间（200904） 企业秘密 编号：单位（中国电信为 ctsec）-省（如湖北为 hubei）-文档 编号（01 开始）-时间（200904） 企业秘密 编号：单位（中国电信为 ctsec）-省（如湖北为 hubei）-文档 编号（01 开始）-时间（200904） 企业秘密 编号：单位（中国电信为 ctsec）-省（如湖北为 hubei）-文档 编号（01 开始）-时间（200904） 企业秘密 编号：单位（中国电信为 ctsec）-省（如湖北为 hubei）-文档 编号（01 开始）-时间（200904） 企业秘密 编号：单位（中国电信为 ctsec）-省（如湖北为 hubei）-文档 编号（01 开始）-时间（200904） 企业秘密 编号：单位（中国电信为 ctsec）-省（如湖北为 hubei）-文档 编号（01 开始）-时间（200904） 企业秘密 编号：单位（中国电信为 ctsec）-省（如湖北为 hubei）-文档 编号（01 开始）-时间（200904） 企业秘密 编号：单位（中国电信为 ctsec）-省（如湖北为 hubei）-文档 编号（01 开始）-时间（200904） 企业秘密 编号：单位（中国电信为 ctsec）-省（如湖北为 hubei）-文档 编号（01 开始）-时间（200904） 企业秘密 知识水坝（豆丁网pologoogle）为您倾心整理（下载后双击删除） 百度一下“知识水坝“ 目目 录录 1概述3 1.1目的 3 1.2内容及范围 3 1.3风险评估方法 3 1.4评估依据 3 2资产分析3 3威胁分析4 4脆弱性分析4 5已有安全措施5 6安全风险分析5 7风险处置计划及整改情况6 8总结6 9附件6 ii 内部资料，注意保密，未经同意，请勿翻印 文档信息 文档名称 文件编号 编制人习清华 保密级别企业秘密 修改过程 版本号日期负责人概述 评审过程 版本号日期评审者概述 分发范围 知识水坝（豆丁网pologoogle）为您倾心整理（下载后双击删除） 百度一下“知识水坝“ 1概述概述 1.1 目的目的 为提高网络安全性，进一步查找我市网络安全运营的薄弱环节、落实防护措施、 消除安全隐患，提高通信网络整体安全防护水平，全市组织开展全专业网络评估专 项活动，全面清查各专业网络在系统设备、维护管理等方面存在的安全隐患和薄弱 环节，主动解决风险高、对业务影响面大以及涉及重要客户、大客户服务保障的重 大网络安全问题，解决基础维护管理工作中的突出问题，并提出网络优化建议及下 一步工作措施，从而指导后期的网规网优工作。 1.2 内容及范围内容及范围 吉安 lstp 为华为 cc08 设备，2 个 lstp 平面分别放置在大楼和河东局，于 2000 年投入使用。2 个 lstp 的链路开放情况完全一致，每个局向到 lstp 能做到 分担和保护。其中 lstp 设备的版本为 v701r200b01d003,dxc 设备的版本为 v200r007b01d008. 每个 lstp 到纯汇、网关、ts 都开有 2 个 2m/8 条 link，至其他端局都开有一 个 2m/2 条 link（除个别话务量较小的端局外），双平面配置可以保证链路的安全 性。 从日常的话务高峰 lstp 负荷情况分析，lstp 至 hstp 平面话务较高，春节 忙时每条 link 负荷平均高达 0.4erl 以上，大于 lstp 的理论最大负荷值 0.2erl，对设备安全造成一定隐患，建议每个 lstp 至每个 hstp 再分别增开 2 条 link，以保证信令网的安全运行。 lstp 的容量及使用情况如下表： 局向链路容 量 已使用链路 数 2m 容量已使用 2m 数 lstp11421287362 lstp21421287362 具体组网结构见图 1： 4 图 1：信令网的网络结构图 吉 安 市 七 号 信 令 网 络 图 以网络安全性为背景，现从管理制度、防攻击防病毒方面对本定级对象进行风 险评估 大 楼 l s t p 永丰 s1240 永丰 cc08 峡江水边 cc08 峡江巴邱 cc08 新干 s1240 新干 cc08 泰和 s1240 泰和河西 cc08 泰和沙村 cc08 安福 s1240 安福 cc08 永新 s1240 吉水 s1240 万安 s1240 永新 cc08 吉水城南 cc08 吉水枫江 cc08 201 智能平 台 吉福路 dms100 大楼 163 接入 大楼接入 网 大楼 dms 万安 cc08 吉安 ts 河东 08 网关 cc08 遂川 s1240 吉安县开 发区 08 河东 163 接入 河东接入 网 igw/hlr 吉安县 cc08 宁冈 s1240 井冈山 s1240 遂川水南 cc08 河 东 l s t p hstpahstpb 大楼 168 井冈山新 城区 s1240s1240s1 240 井冈山 08 吉福路 08 吉安 tg 大楼纯汇 局 河东纯汇 局 大楼 shlr 河东 shlr 5 1.3 风险评估方法风险评估方法 采取的风险评估方式为查阅文档、测试，评估步骤包括资产识别、脆弱性识别、 威胁识别等，方法包括具体的资产、威胁和脆弱性识别方法，风险分析方法、风险 结果判断依据等。 1.4 评估依据评估依据 本次安全风险评估参考的标准为安全防护系列标准，华为设备日常维护要求 等 2资产分析资产分析 吉安电信华为信令网设备为双平面配置，主要提供本地和长途局间呼叫信令 转接功能，因此具有非常高的重要性。 序号 资产 名称 资产类型 重要性等 级 设备硬件高 设备软件高 重要数据高 提供的服 务 高 维护人员中 网络拓扑高 码号资源低 文档低 1 吉安 信令网设 备 其它低 3威胁分析威胁分析 1）、环境威胁： 自然界不可抗的威胁：吉安所处地理位置发生地震、泥石流、洪涝等自然灾害 的可能性极小，设备分别放置在大楼局二楼和河东分局三楼室内机房，机房做好了 防雷防震措施，因此遇雷击、遭洪涝的可能性极小，抗震能力也较强； 6 其他物理威胁：机房环境温湿度异常将对设备产生影响，机房已安装动环监控 系统，值班人员可利用网管告警平台远程实时监控机房环境，发现异常，立即进行 处理。 2）、人为威胁： 非恶意人为威胁：维护人员需经过专业的培训方能担当该设备的维护角色。维 护人员的操作不当将影响到设备的正常运行。为了防止该现象发生，在设备升级、 业务割接前应准备好详细的升级和割接测试方案，一旦升级、割接失败则立即启用 回退方案；严格落实局数据修改规范，落实双人制度：1 人操作，1 人检查，防止误操 作。严格控制操作人员权限，不具备操作技能的人员不给予权限。 恶意人为威胁：人为的恶意攻击将导致设备瘫痪。为了防止此类现象发生，已 在设备上设置登陆帐号密码，采用分类权限（监控及维护）设置原则，同时启用访问 控制策略，只允许特定维护 ip 地址访问该定级对象。 3）、其他威胁： 设备硬件和软件问题将造成设备性能下降，影响网络运行。为防止此类现象发 生，已采用网管平台对设备和网络运行情况进行实时监控，同时要求设备厂家维护 人员定期对设备进行巡检。此外，局方在运行中发现不可预见性的软、硬件问题和 隐患应及时告知厂家，并责其尽快采取有效措施予以规避和解决。 序号 资产 名称 面临的威胁类型 威胁可能 性等级 自然界不可抗的威胁（环境威胁） 低 其它物理威胁（环境威胁） 低 恶意人为威胁 中 非恶意人为威胁 中 1 吉安 信令网设 备 其它威胁 低 4脆弱性分析脆弱性分析 信令网设备脆弱性包括技术脆弱性和管理脆弱性两个方面， 7 1）、技术脆弱性： 信令网设备是国内大型设备提供商华为公司生产，设备质量、售后服务及 该产品的业务应用方面可得到较强的保障，信令网设备后台服务器为联想服务器， 操作系统为 windows 95。机房物理环境符合信令网设备的环境要求。 2）、管理脆弱性： 信令网设备采用包机到人的维护模式，设置了维护 a、b 角，人为导致的 设备故障或设备瘫痪将追究相关责任人责任。设备重大操作要求通过电子运维或 公文形式上报，待相关领导审批同意后方可执行。重大操作要有详细的操作方案及 回退方案，操作时务必要求局方人员在场，厂家操作也需遵循 1 人操作 1 人检查要 求。维护人员需按维护规程要求对设备进行维护，并制作填写维护作业计划。对于 可预见性的影响设备运行能力或服务的问题，应尽早提出解决方案。 表 7 脆弱性严重程度列表 序号 资产 名称 脆弱性类型脆弱性严 重程度等级 业务/应用（技术脆弱性）中 网络（技术脆弱性）中 设备（含操作系统和数据库、后台服务器、计费 服务器等）（技术脆弱性） 中 物理环境（技术脆弱性） 低 1 吉安 信令网设 备 管理脆弱性 中 5已有安全措施已有安全措施 根据现网该设备的维护现状，从网络维护的“七大方面”进行描述： 1通信网络安全管理制度： 机房出入管理制度：本设备置于大楼二楼及河东三楼综合机房，该机房钥匙由 网监机房总体管控，非机房维护人员借用该机房钥匙需有相关借用归还登记手续， 出入机房需进行相关入室登记。 机房巡视检查；该机房为无人值守机房，每周巡视一到两次，并有相关巡视记 8 录。 环境监控手段；通过以太网及 2m 方式在网监中心对该机房的环境温湿度，烟 感，水浸，门禁等进行远程监控。 密码管理策略；该设备的网管维护账号密码每季度更新一次，遇有维护人员流 动时，及时增删相关帐号。 维护管理制度（值守、值班、维护作业计划等）；该设备制定有年度及月度作业 计划并按期执行。 分权分域管理：相关设备维护人员帐号权限高于监控人员帐号权限。 2灾难备份措施： 现网该设备为双平面设置，平时负荷分担，应急时互为容灾备份节点。 3防攻击、防病毒、防入侵措施： 本定级对象因设备所配置的主机硬件条件限制，相关移动存储介质采用专用 软盘，相关信息分别存储在相关软盘或主机的硬盘上。 因本设备所配置的相关服务器及主机硬件条件限制（内存只有 16m），无法运 行相关防病毒软件，现网 lstp 网管终端为独立网段：134.240.3.x,启用访 问控制策略，只允许特定维护 ip 地址访问该定级对象 bam 及 ioc。通过访问控制 策略，现网该设备相关服务器及主机未感染过病毒。 4远程维护管控措施： 本设备开放省网管相关远程操作帐号及权限，供省网管远程维护及厂家远程 巡检用。但远程维护使用时，都由省网管统一安排，本地一般都不知情，无法实时 管控。 5、涉及国庆重大活动网络单元的安全防护情况： 重大节假日保障的应急预案见附件 1； 模拟演练情况：暂未组织相关模拟演练 维护人员的现场值班情况：节假日除监控人员外，配有现场值班及远程支撑维 护人员各一人。 话务分流措施：该设备至所有局向信令路由都设置了至另一平面的迂回路由。 厂家支撑情况等风险防范工作：截止目前，厂家每次支撑都为现场支撑，未在远 程支撑过。且每次都有维护人员陪同全过程，厂家每次登陆的帐号其维护后都会更 9 改密码。 附件 1： 6、网络组网、设备能力、环境等工作（已固定通信网为例） 组网情况： 1、本设备到同一邻接局向电路都是双平面配置，具备第 2 路由； 2、到同一局向的本端物理端口都按规范合理配置（不同模块，不同机框或不同 单板） 所承载业务保障： 1、本设备到同一邻接局向电路都是双平面配置，具备第 2 路由； 2、到同一局向的本端物理端口都按规范合理配置（不同模块，不同机框或不同 单板） 物理环境保障： 1、该设备机房整治情况已符合规范。 因河东信令网设备所在机房为综合机房，非机房出入人员及各类施工无 法统一管控，因施工导致机房环境卫生问题无法实时解决。 2、通过 2m 或以太网方式对该机房的温湿度、烟雾等环境进行监控； 3、网络维护中心检查室每月不定期对机房相关日常维护及机房现场进行抽查 一到两次。 设备硬件： 1、重要板卡主备情况：本设备相关重要板件都有备件，具体见附件 2。 2、每年针对备卡进行一到 2 次（主要安排在设备扩容或升版期间）倒换测试： 3、重要板卡备件库的储备情况：见附件 2。 4、本设备已在网运行 10 年，尚未逾龄，但也面临设备老化问题； 5、后台服务器及相关主机运行较稳定，故障率较小，因本设备所配置的相关服 10 务器及主机硬件条件限制（内存只有 16m），无法运行相关防病毒软件；配置很低， 不支持 usb 接口，且只支持 win9x 操作系统，使异地存储及相关负荷统计非常不 便。 重要数据保护： 1、本设备无话单，相关数据每个月异地备份至网管软交换终端（保存 3-6 个月） ； 2、新数据制作执行一人制作，测试，另一人核查机制。 七维护人员情况： 信令网设备现主要维护人员 2 人，实行 a，b 角配置，相关维护人员只进行过 省公司组织的一周培训。 6安全风险分析安全风险分析 结合信令网设备包含的资产、自身存在的脆弱性、面临的安全威胁、已采取的 安全措施等因素，分析如下： 1通信网络安全管理制度： 河东信令网设备因处于综合机房，同机房还有数据，网关，c 网，网优中心 ets、小灵通等设备，机房钥匙在本中心及无线网优中心都有。因近期各类网络优 化，升级，割接不断，不同设备厂家人员及其他非机房维护人员出入频繁，相关出 入管理登记及钥匙外借手续无法统一管控，急需完善相关管理制度。 鉴于以上原因，从网络安全考虑，建议对该机房两个门口安装相关设备进行视 频监控。 大楼二楼信令网设备只有本中心设备，机房出入及钥匙外借统一管控。 2灾难备份措施： 现网该设备双平面配置，业务负荷分担且互为容灾备份节点。 3防攻击、防病毒、防入侵措施： 从上述已有安全措施分析，因硬件条件限制，只通过访问控制策略，该方面存 在较低的安全风险。 4远程维护管控措施： 11 截止目前，除本地网相关维护人员及厂家支撑人员的相关远程操作，本地一般 都不知情。无法实时管控。 5、涉及国庆重大活动网络单元的安全防护情况： 因该设备所带业务为本地网所有信令，暂未组织相关模拟演练。需在省公司统 一安排组织下进行相关演练。 6、网络组网、设备能力、环境等工作 物理环境保障：因本设备所在机房为综合机房，非机房出入人员及各类施工无 法统一管控，因施工导致机房环境卫生问题无法实时解决。 设备硬件： 本设备已在网运行 10 年，面临设备老化问题； 因本设备所配置的相关服务器及主机硬件条件限制（内存只有 16m），无法运 行相关防病毒软件。 七维护人员情况： 信令网设备现主要维护人员 2 人，实行 a，b 角配置，相关维护人员只进行过 省公司组织的一周培训。 知识水坝（豆丁网pologoogle）为您倾心整理（