中国电信吉安分公司CN2承载网安全评估.doc

知识水坝（豆丁网pologoogle）为您倾心整理（下载后双击删除） 百度一下“知识水坝“ 中国电信江西省吉安市 cn2 承载网 安全风险评估报告 中国电信江西省吉安市分公司 二零零九年七月 评估对象：cn2 承载网 评估单位：吉安市电信分公司 评估日期：2009 年 7 月 1 日至 2009 年 7 月 31 日 编号： ctsecjiangxi-jian-03- 200907 企业秘密 知识水坝（豆丁网pologoogle）为您倾心整理（下载后双击删除） 百度一下“知识水坝“ 目目 录录 1概述2 1.1目的 2 1.2内容及范围 2 1.3风险评估方法 4 1.4评估依据 5 2资产分析5 2.1cn2 承载网5 2.2ngn、c 网承载网5 3威胁分析7 3.1cn2 承载网.8 3.2ngn、c 网承载网8 4脆弱性分析8 5已有安全措施9 6安全风险分析9 7风险处置计划及整改情况10 8总结10 知识水坝（豆丁网pologoogle）为您倾心整理（下载后双击删除） 百度一下“知识水坝“ 内部资料，注意保密，未经同意，请勿翻印 文档信息 文档名称文档名称 中国电信江西省吉安市 cn2 承载网安全风险评估报告 文件编号 编制人王桂英、刘建平 保密级别企业秘密 修改过程 版本号版本号日期日期负责人负责人概述概述 v1.0 2009 年 7 月 31 日刘建平 v1.2 2009 年 7 月 31 日王桂英 评审过程 版本号版本号日期日期评审者评审者概述概述 分发范围 知识水坝（豆丁网pologoogle）为您倾心整理（下载后双击删除） 百度一下“知识水坝“ 1概述概述 1.1目的目的 为进一步查找吉安分公司网络安全运营的薄弱环节，落实防护措施，消除安全隐患，提 高通信网络整体安全防护水平，并为国庆 60 周年网络安全保障工作打好基础，全面开展 cn2 城域网的网络安全检查及评估，通过此次检查评估，全面掌握网络安全分级保护、风险 评估、灾难备份的基本方法和标准，通过全面落实网络安全检查、评估及整改措施，提高吉 安 cn2 承载网的整体安全防护水平。 1.2内容及范围内容及范围 定级对象：cn2 网以及软交换网络、c 网的承载网。 一、组网现状 1、cn2 网络：吉安 cn2 网络由 2 台 p 设备、2 台 pe 设备和 2 台延伸交换机组成。2 台 p 设备为两台 gsr12816，布署在大楼数据机房，各以一条 2.5g 链路至南昌 cn2 汇聚节 点，一条 2.5g 链路至九江 cn2 汇聚节点，形成 10g 的本地网出口带宽，设备之间以 2*2.5g 互联。同时两台 p 设备各以 2*ge 链路与城域网络两台核心路由器互联，实现两个网 络之间的互联。pe 设备为两台 gsr12416，分别布署在大楼数据机房和河东综合机房，各以 一条 2.5g 与两个 p 节点互联，同时各自以一条 ge 链路就近与同机房城域网 sr 互联，实现 mpls 的跨域互联。2 台延伸交换机由 zxr10-3906 构成，分别以 ge 链路与各自同机房的 pe 互联，作为 pe 设备的扩展。同时大楼 pe 节点开通了至传输 155m 电路做为 n*64k 大客 户接入通道。具体网络拓扑如下。 2. 3 九江浔阳路 南昌孺子路 a1 a2 s1 s2 2.5g 2.5g2.5g 2.5g 2.5g 2.5g 吉吉安安城城域域网网 2.5g 2.5g w1 w2 gsr1281 6 ne5000e 传输 155m 2.5g 2.5g osr7609 osr7609 2、 ngn、c 承载网：软交换网 ce 设备为 2 台中兴 t64g 三层交换机，该设备各 以 1*ge 链路就近与同机房的 cn2 网 pe 设备互联，同时两 ce 节点间以 2*ge 捆绑链路互联。 河东局设有两台华为 ne40，作为 c 网承载网的 ce（以下称 ce1、ce2）节点，两 ce 设备与 cn2 网两 pe 间共有 4 组 2*ge 链路互联，大楼和河东方向各两组，其中每组 2*ge 链路中一个 ge 走分组域流量，一个走电路域流量。同时 ce1、ce2 之间以 2*ge 链路互联。 大楼局另设置两台华为 ne40，作为大楼方向的软交换和 c 网承载网 ce 设备（以下称 ce3、ce4） ，该两 ce 与 cn2 网两台 pe 间通过 4*ge 链路互联，同时 ce3、ce4 之间通过 2*ge 链路互联。 另，ce1 与 ce3 之间、ce2 与 ce4 之间各以 ge 链路互联。 两台 t64g 下挂业务有软交换 shlr、大楼 tg 以及少量 ag 节点。ce1、ce2 下挂中兴 bsc、c 网中兴 mgw、北电 bsc 以及与传输开通 155m cpos 链路接入新干、永丰北电 do 站点。ce3、ce4 下挂华为 umg（综合网关局） 。 具体网络拓扑如下图： 4 cn2 河东t64g 大楼t64g 2*ge s1 s2 ngn网络 hdj-ce- 1.cdma hdj-ce- 2.cdma 2*ge 2*ge 2*ge 2*ge 2*ge dl-ce- 4.cdma dl-ce- 3.cdma 2*ge ge ge ge ge ge ge 1.3风险评估方法风险评估方法 说明采取的风险评估方式，步骤、方法等。评估方式包括访谈、查阅文档、测试等，评 估步骤包括资产识别、脆弱性识别、威胁识别等，方法包括具体的资产、威胁和脆弱性识别 方法，风险分析方法、风险结果判断依据等。 本次评估采取的评估方式有：查阅文档、咨询厂家、技术验证、测试、人工检查，维护 骨干集中讨论、分析。 评估步骤：首先进行资产的识别、确定评估对象、评估方法、确定评估的具体内容、收 5 集相关信息、开展脆弱性评估、威胁性评估，编写评估报告和整治计划。 评估方法有：根据收集网络和设备现状相关信息，与相关维护管理规范和厂家设备技术 规范核查，并结合实际维护工作经验，识别设备威胁和脆弱性。 1.4评估依据评估依据 说明本次安全风险评估参考的标准和文档，如安全防护系列标准等。 2资产分析资产分析 定级对象：cn2 网及软交换、c 网承载网，重要性分析如下： 2.1cn2 网网 cn2 网的识别与选取应符合科学性、合理性，cn2 网资产大致包括设备/主机、数据信 息、业务、文件、人员、物理环境设施等。 cn2 网资产按照重要性，分为高、中、低三档，列表如下： 表 1 资产重要性列表 序号资产名称资产类型重要性等级 硬件高 软件：软件版本文 件 高 重要数据：路由、 策略 高 提供的服务高 文档中 维护人员中 1 大楼两台 p 设备 gsr12816；大楼、河东 pe 设 备 gsr12416 网络拓扑中 6 硬件中 软件：软件版本文 件 中 重要数据：路由、 策略 中 提供的服务中 文档低 维护人员低 2 大楼、延伸交换机 zxr10-3906 网络拓扑低 2.2ngn、c 网承载网网承载网 ngn、c 网承载网的识别与选取应符合科学性、合理性，ngn、c 网承载网资产大致包 括设备/主机、数据信息、业务、文件、人员、物理环境设施等。 ngn、c 网承载网资产按照重要性，分为高、中、低三档，列表如下： 表 1 资产重要性列表 序号资产名称资产类型重要性等级 硬件高 软件：软件版本文 件 高 重要数据：路由、 策略 高 提供的服务高 文档中 1 大楼、河东软交换 ce 设备 t64g;河东 c 网 ce1、ce2 设备和大楼 ce3、ce4 设备 维护人员中 7 网络拓扑中 3威胁分析威胁分析 cn2 承载网以及 ngn、c 网承载网的威胁根据来源可分为技术威胁、环境威胁和人为 威胁。环境威胁包括自然界不可抗的威胁和其它物理威胁。根据威胁的动机，人为威胁又可 分为恶意和非恶意两种。cn2 承载网以及 ngn、c 网承载网的威胁分析如下： 1）非恶意人为威胁：维护人员的操作不当，从而影响到设备的正常运行。为了防止该 现象发生，在设备升级、业务割接前应准备好详细的升级和割接方案，一旦升级、割接失败 则立即启用回退方案；严格落实局数据修改规范，落实双人制度：1 人操作，1 人检查，防 止误操作。严格控制操作人员权限，不具备操作技能的人员不给于权限。 2）恶意人为威胁：人为的恶意攻击、导致设备瘫痪。为了防止此类现象发生，已在设 备上设置帐号密码，采用账号专人专用的原则分配权限，同时启用防护策略封堵一些常见的 病毒端口，严格落实设备数据配置规范，关闭不必要的服务，通过访问控制列表精细控制不 同应用类型的访问设备的源地址及其访问权限。同时做好机房的“四防”工作。 2、技术威胁 设备硬件问题和软件 bug 造成设备性能下降，影响网络运行，为防止该类现象发生， 需采用 cn2 综合网管平台对设备和网络运行情况进行监控，同时要求各设备厂家维护人员 定期对设备进行巡检，厂家发现软、硬件的 bug 和隐患应及时告知局方，并采取有效措施 予以规避和解决。 3、环境威胁 1）自然界不可抗的威胁：ip 承载网业务控制层面以上的设备均防止在机房，遇雷击的 可能性极小，抗震能力也较强； 8 2）其他物理威胁：机房环境温度造成设备出现异常，需利用动环监控系统，实时监控 机房环境温度，严格控制好通信机房的环境温湿度；此外，利用 ip 综合网管的告警平台， 对设备温度进行实时告警，发现异常，立即进行处理。 3.1cn2 网网 1、大楼 p 节点和 pe 节点、延伸交换机： 1） 、自然界不可抗力的威胁：cn2 网两台 p 节点 gsr12816 设备放置在吉安大楼通信枢 纽楼，该楼为框架混泥土结构，房屋结构结实，地势较高，并且按照通信楼的建设标准安装 了多级防雷设施，机房抗震、防雷、防洪等性能都较强，受自然界不可抗力的威胁较低。 2） 、其他物理威胁（环境威胁）：该机房环境温湿度符合要求，密封性好，不存在相关 威胁。但是，该设备所在机房地板为架空钢底瓷面地板，支架也为钢管材质，但是设备是直 接坐落在地板上，未安装底座，存在滑动、塌陷的隐患，遇地震、爆炸等自然或认为灾害， 很容易引起设备滑动、塌陷，导致重大通信故障，因此定义威胁等级为“中”级。 3） 、恶意和非恶意人为威胁：考虑设备运行公网中，目前互联网网络环境日益复杂和恶 劣，网络病毒、攻击手段越来越多样、隐蔽、高明，各种网络安全事件时有发生，而目前该 设备除自身配置上采取了一些防范措施外，没有其他任何有效防范手段，因而我们认为其受 恶意和非恶意人为威胁的可能性比较大，定义威胁等级为“中”级。 4） 、其他威胁：低。 2、河东 pe 节点、延伸交换机： 1） 自然界不可抗力的威胁：河东 pe 设备放置在吉安大楼通信枢纽楼，该楼为框架混 泥土结构，房屋结构结实，地势较高，并且按照通信楼的建设标准安装了多级防雷设施，机 房抗震、防雷、防洪等性能都较强，受自然界不可抗力的威胁较低。 2） 其他物理威胁（环境威胁）：该机房环境温湿度符合要求，密封性好，不存在相关 威胁。 9 3）恶意和非恶意人为威胁：考虑设备运行公网中，目前互联网网络环境日益复杂和恶 劣，网络病毒、攻击手段越来越多样、隐蔽、高明，各种网络安全事件时有发生，而目前该 设备除自身配置上采取了一些防范措施外，没有其他任何有效防范手段，因而我们认为其受 恶意和非恶意人为威胁的可能性比较大，定义威胁等级为“中”级。 4） 其他威胁：低。 cn2 网面临的威胁按照可能性概率，分为高、中、低三档，列表如下： 表 4 威胁可能性列表 序号资产名称面临威胁类型威胁可能性等级 自然界不可抗的威胁 （环境威胁） 低 其它物理威胁（环境威 胁） 中 恶意人为威胁中 非恶意人为威胁中 1 大楼两台 p 设备 gsr12816 和大楼 pe 设备 其它威胁低 自然界不可抗的威胁 （环境威胁） 低 其它物理威胁（环境威 胁） 低 恶意人为威胁中 非恶意人为威胁中 2 河东 pe 设备、两台延伸交换机 其它威胁低 10 3.2ngn、c 网承载网网承载网 1、大楼 ngn ce 设备、c 网 ce3 设备： 1） 、自然界不可抗力的威胁：上述设备放置在吉安大楼通信枢纽楼，该楼为框架混泥土 结构，房屋结构结实，地势较高，并且按照通信楼的建设标准安装了多级防雷设施，机房抗 震、防雷、防洪等性能都较强，受自然界不可抗力的威胁较低。 2） 、其他物理威胁（环境威胁）：该机房环境温湿度符合要求，密封性好，不存在相关 威胁。但是，该设备所在机房地板为架空钢底瓷面地板，支架也为钢管材质，但是设备是直 接坐落在地板上，未安装底座，存在滑动、塌陷的隐患，遇地震、爆炸等自然或认为灾害， 很容易引起设备滑动、塌陷，导致重大通信故障，因此定义威胁等级为“中”级。 3） 、恶意和非恶意人为威胁：该设备运行 vpn 私网内，受外网攻击、破环的可能性较 小，同时由于目前设备的逻辑操作权限限制在省 noc 和集团 noc 层面，本地网没有相关操 作权限，相对来说可操作的人员少，受人为威胁的可能性较小。 4） 、其他威胁：低。 2、河东软交换、c 网 ce 设备、大楼 c 网 ce4 设备： 1） 自然界不可抗力的威胁：河东 pe 设备放置在吉安大楼通信枢纽楼，该楼为框架混 泥土结构，房屋结构结实，地势较高，并且按照通信楼的建设标准安装了多级防雷设施，机 房抗震、防雷、防洪等性能都较强，受自然界不可抗力的威胁较低。 2） 其他物理威胁（环境威胁）：该机房环境温湿度符合要求，密封性好，不存在相关 威胁。 3）恶意和非恶意人为威胁：该设备运行 vpn 私网内，受外网攻击、破环的可能性较小， 同时由于目前设备的逻辑操作权限限制在省 noc 和集团 noc 层面，本地网没有相关操作权 限，相对来说可操作的人员少，受人为威胁的可能性较小。 4） 其他威胁：低。 11 ngn、c 网承载网面临的威胁按照可能性概率，分为高、中、低三档，列表如下： 表 4 威胁可能性列表 序号资产名称面临威胁类型威胁可能性等级 自然界不可抗的威胁 （环境威胁） 低 其它物理威胁（环境威 胁） 中 恶意人为威胁低 非恶意人为威胁低 1 大楼 ngn ce 设备、c 网 ce3 设备 其它威胁低 自然界不可抗的威胁 （环境威胁） 低 其它物理威胁（环境威 胁） 低 恶意人为威胁低 非恶意人为威胁低 2 河东软交换、c 网 ce 设备、大楼 c 网 ce4 设备 其它威胁低 4脆弱性分析脆弱性分析 cn2 网的脆弱性包括技术脆弱性和管理脆弱性两个方面，技术脆弱性又可分为网络、设 备/主机、物理环境等方面的脆弱性。脆弱性识别对象应以资产为核心。1、cn2 网的脆弱性 分析如下： 12 序号资产名称面临威胁类型威胁可能性等级 业务/应用（技术脆弱 性） 低 网络（技术脆弱性）低 设备（含软件版本、重 要数据）（技术脆弱性） 低 物理环境（技术脆弱性）中 1 大楼两台 p 设备 gsr12816 和大楼 pe 设 备 管理脆弱性低 业务/应用（技术脆弱 性） 低 网络（技术脆弱性）低 设备（含软件版本、重 要数据）（技术脆弱性） 中 物理环境（技术脆弱性）中 2 河东 pe 设备、两台延伸交换机 管理脆弱性低 2、软交换、c 网承载网脆弱性分析： 序号资产名称面临威胁类型威胁可能性等级 业务/应用（技术脆弱 性） 低 1 大楼 ngn ce 设备 网络（技术脆弱性）低 13 设备（含软件版本、重 要数据）（技术脆弱性） 中 物理环境（技术脆弱性）中 管理脆弱性低 业务/应用（技术脆弱 性） 低 网络（技术脆弱性）低 设备（含软件版本、重 要数据）（技术脆弱性） 低 物理环境（技术脆弱性）低 2 河东 c 网 ce2 设备、大楼 c 网 ce4 设 备 管理脆弱性低 业务/应用（技术脆弱 性） 低 网络（技术脆弱性）低 设备（含软件版本、重 要数据）（技术脆弱性） 低 物理环境（技术脆弱性）中 3 c 网 ce3 设备 管理脆弱性低 业务/应用（技术脆弱 性） 低 4 c 网 ce1 设备和软交换 ce2 网络（技术脆弱性）低 14 设备（含软件版本、重 要数据）（技术脆弱性） 中 物理环境（技术脆弱性）低 管理脆弱性低 详细脆弱性分析见如下cn2 网脆弱性分析 5已有安全措施已有安全措施 （1）制度建设：已建立机房出入管理制度、机房环境管理制度、机房信息保密制度、 机房交接班制度、机房十不准等制度，并上墙。建立了机房管理规范，如设施管理规范、维 护作业规范、环境管理规范等，并组织学习和落实， （2）所有机房已开展了机房标准化整治工作，并建设了动环监控、烟感系统，目前实 行市县二级监控。 （3）市公司网维中心每月定期开展维护基础管理，包括机房现场管理、资料管理、作 业计划、电子值班、电子机历本、备品备件的管理的检查，夯实维护基础管理工作。 （4）6 月份开展了端局机房动环监控系统的全面检查工作，对存在的问题整拟定计划进 行整改。 （5）落实维护作业计划和机房巡检制度，每月定期进行设备配置数据备份，进行设备 表面和风扇过滤网的清洁工作，实时更新设备健康档案和网络维护相关资料。 (6) 去年 11 月份开展了软交换承载网优化改造工作，实现了城域网 asbr 设备与 cn2 网 pe 设备的双设备双互联、ce 设备与 cn2 网 pe 设备的双节点双互联、优化了路由等；今 年 6 月份开展了 cn2 网路由调整专项整治工作，消除同路由光缆传输、重要链路裸纤传输 隐患，提高链路传输可靠性。 15 6安全风险分析安全风险分析 经过详细、全面的分析和评估，目前我市 cn2 网存在的安全风险主要有： 1） 吉安市 82 局数据机房地板为架空钢底瓷面地板，支架也为钢管材质，其中 d01 机 房设备(cn2 网两台 p 设备、pe1、ngn ce1、延伸交换机、c 网 ce3 设备)是直接坐落在地 板上，未安装底座，存在滑动、塌陷的隐患，遇地震、爆炸等自然或认为灾害，很容易引起 设备滑动、塌陷，导致重大通信故障。此风险短期内可接受，但从长远来看，是一个较大的 隐患，需要整治。 2） 吉安市 82 局数据机房重要设备较多，且对温度觉敏感，目前全部采用普通的独立 式空调，环境温湿度控制效果差，常导致机房内设备温度过高告警。此风险短期内通过加