中国电信吉安分公司CN2承载网安全评估

知识水坝（豆丁网 pologoogle）为您倾心整理（下载后双击删除） 百度一下 知识水坝 中国电信 江西 省 吉安市 CN2 承载网 安全风险评估报告 中国电信 江西省 吉安 市分 公司 二零零 九 年 七 月 评估对象 ： CN2 承载网 评估 单位： 吉安 市电信分公司 评 估 日期： 2009 年 7 月 1 日至 2009 年 7 月 31 日 编号： CTSEC JIANGXI-JIAN-03-200907 企业秘密 知识水坝（豆丁网 pologoogle）为您倾心整理（下载后双击删除） 百度一下 知识水坝 目 录 1 概述 2 1.1 目的 . 2 1.2 内容及范围 . 2 1.3 风险评估方法 . 4 1.4 评估依据 . 4 2 资产分析 5 2.1 CN2 承载 网 . 5 2.2 NGN、 C 网承载网 . 5 3 威胁分析 6 3.1 CN2 承载 网 . 6 3.2 NGN、 C 网承载网 . 6 4 脆弱 性分析 10 5 已有安全措施 11 6 安全风险分析 11 7 风险处置计划及整改情况 13 8 总结 13 知识水坝（豆丁网 pologoogle）为您倾心整理（下载后双击删除） 百度一下 知识水坝 内部资料，注意保密，未经同意，请勿翻印 文 档信息 文档名称 中国电信江西省 吉安 市 CN2 承载网安全风险评估报告 文件编号 编制人 王桂英、 刘建平 保密级别 企业秘密 修改过程 版本号 日期 负责人 概述 V1.0 2009 年 7 月 31 日 刘建平 V1.2 2009 年 7 月 31 日 王桂英 评审过程 版 本号 日期 评审者 概述 分发范围知识水坝（豆丁网 pologoogle）为您倾心整理（下载后双击删除） 百度一下 知识水坝 1 概 述 1.1 目的 为进一步查找 吉安 分公司网络安全运营的薄弱环节，落实防护措施，消除安全隐患，提高通信网络整体安全防护水平，并为国庆 60 周年网络安全保障工作打好基础，全面开展 CN2城域网的网络安全检查及评估，通过此次检查评估，全面掌握网络安全分级保护、风险评估、灾难备份的基本方法和标准，通过全面落实网络安全检查、评估及整改措施，提高 吉安 CN2承载 网的整体安全防护水平。 1.2 内容及范围 定级对象： CN2 网 以及软交换网络 、 C 网的 承载网 。 一、组网现状 1、 CN2 网 络：吉安 CN2 网络由 2 台 P 设备 、 2 台 PE 设备和 2 台延伸交换机 组成。 2 台P 设备为 两台 GSR12816，布署在大楼数据机房 ，各以 一条 2.5G 链路至南昌 CN2 汇聚节点，一条 2.5G 链路至九江 CN2 汇聚节点，形成 10G 的本地网出口带宽，设备之间以 2*2.5G 互联。 同时两 台 P 设备 各以 2*GE 链路与城域网络两台核心路由器互联，实现两个网络之间的互联。 PE 设备为两台 GSR12416，分别布署在大楼数据机房和河东综合机房 ，各以一条 2.5G与两 个 P 节点互联 ，同时各自以一条 GE 链路就近与同机房城域网 SR 互联，实现 MPLS 的跨域 互联 。 2 台延伸交换机 由 ZXR10-3906 构成，分别以 GE 链路与各自 同机房的 PE 互联，作为 PE 设备 的扩展。 同时 大楼 PE 节点开通 了 至传输 155M 电路做为 N*64K 大客户接入通道 。具体网络拓扑如下。 2. 3 九 江 浔 阳 路南 昌 孺 子 路A 1A 2S 1S 22 . 5 G2 . 5 G 2 . 5 G2 . 5 G2 . 5 G2 . 5 G吉 安 城 域 网2 . 5 G2 . 5 GW 1W 2G S R 1 2 8 16N E 5 0 0 0 E传 输1 5 5 M2 . 5 G2 . 5 GO S R 7 6 0 9O S R 7 6 0 92、 NGN、 C 承载网 ：软交换网 CE 设备为 2 台中兴 T64G 三层交换机，该设备各 以1*GE 链路 就近 与 同机房的 CN2 网 PE 设备 互联 ，同时两 CE 节点间以 2*GE 捆绑 链路互联。 河东局 设有 两台华为 NE40， 作为 C 网承载网 的 CE（以下称 CE1、 CE2） 节 点， 两 CE设备 与 CN2 网两 PE 间共 有 4 组 2*GE 链路互联， 大楼和河东方向各两组， 其中每组 2*GE 链路中一个 GE 走分组域流量 ， 一个走电路域流量。 同时 CE1、 CE2 之间以 2*GE 链路互联 。 大楼局另设置两台华为 NE40，作为大楼方向的软交换和 C 网承载网 CE 设备 （以下称CE3、 CE4） ， 该 两 CE 与 CN2 网两台 PE 间通过 4*GE 链路互联，同时 CE3、 CE4 之间通过2*GE 链路互联。 另， CE1 与 CE3 之间、 CE2 与 CE4 之间各以 GE 链路互联。 两台 T64G 下挂业务有软交换 SHLR、大楼 TG 以及少量 AG 节点。 CE1、 CE2 下挂中兴BSC、 C 网中兴 MGW、北电 BSC 以及与传输开通 155M CPOS 链路接入新干、永丰北电 DO站点。 CE3、 CE4 下挂华为 UMG（综合网关局） 。 具体网络拓扑如下图： 4 C N 2河 东 T 6 4 G大 楼 T 6 4 G2 * G ES 1S 2N G N 网 络H D J - C E -1 . C D M AH D J - C E -2 . C D M A2 * G E2 * G E2 * G E2 * G E2 * G ED L - C E -4 . C D M AD L - C E -3 . C D M A2 * G EG EG EG EG EG EG E1.3 风险评估方法 说明采取的风险评估方式，步骤、方法等。评估方式包括访谈、查阅文档、测试等，评估步骤包括资产识别、脆弱性识别、威胁识别等，方法包括具体的资产、威胁和脆弱性识别方法，风险分析方法、风险结果判断依据等。 本次评估采取的评估方式有：查阅文档、咨询厂家、技术验证、测试 、人工检查，维护骨干集中讨论、分析。 评估步骤：首先进行资产的识别、确定评估对象、评估方法、确定评估的具体内容、收集相关信息、开展脆弱性评估、威胁性评估，编写评估报告和整治计划。 评估方法有：根据收集网络和设备现状相关信息，与相关维护管理规范和厂家设备技术 5 规范核查，并结合实际维护工作经验，识别设备威胁和脆弱性。 1.4 评估依据 说明本次安全风险评估参考的标准和文档，如安全防护系列标准等。 2 资产 分析 定级对象 ： CN2 网及软交换、 C 网承载网， 重要性分析如下： 2.1 CN2网 CN2 网 的识别与选取应符合科学性、合理性， CN2 网 资产大致包括设备 /主机、数据信息、业务、文件、人员、物理环境设施等。 CN2 网 资产 按照重要性，分为高、中、低三档， 列表如下： 表 1 资产 重要性列表 序号 资产名称 资产类型 重要性等级 1 大楼两台 P 设备 GSR12816；大楼、河东 PE 设备 GSR12416 硬件 高 软件：软件版本文件 高 重要数据：路由、策略 高 提供的服务 高 文档 中 维护人员 中 网络拓扑 中 2 大楼、延伸交换机 ZXR10-3906 硬件 中 软件：软件版本文件 中 重要数据： 路由、策略 中 提供的服务 中 文档 低 维护人员 低 网络拓扑 低 6 2.2 NGN、 C网承载网 NGN、 C 网 承载网 的识别与选取应符合科学性、合理性， NGN、 C 网承载网 资产大致包括设备 /主机、数据信息、业务、文件、人员、物理环境设施等。 NGN、 C 网承载网 资产 按照重要性，分为高、中、低三档，列表如下： 表 1 资产 重要性列表 序号 资产名称 资产类型 重要性等级 1 大楼、河东软交换 CE 设备 T64G;河东 C 网 CE1、CE2 设备和大楼 CE3、 CE4 设备 硬件 高 软件：软件版本文件 高 重要数据：路由、策略 高 提供的服务 高 文档 中 维护人员 中 网络拓扑 中 3 威胁 分析 CN2 承载网 以及 NGN、 C 网承载网 的威胁根据来源 可分为技术威胁、环境威胁和人为威胁。环境 威胁 包括自然界不可抗的 威胁 和其它物理 威胁 。根据威胁的动机，人为 威胁 又可分为恶意和非恶意两种。 CN2 承载网 以及 NGN、 C 网承载网 的威胁分析 如下： 1）非恶意人为威胁：维护人员的操作不当，从而影响到设备的正常运行。为了防止该现象发生，在设备升级、业务割接前应准备好详细的升级和割接方案，一旦升级、割 接失败则立即启用回退方案；严格落实局数据修改规范，落实双人制度： 1 人操作， 1 人检查，防止误操作。严格控制操作人员权限，不具备操作技能的人员不给于权限。 2）恶意人为威胁：人为的恶意攻击、导致设备瘫痪。为了防止此类现象发生，已在设备上设置帐号密码，采用账号专人专用的原则分配权限，同时启用防护策略封堵一些常见的病毒端口，严格落实设备数据配置规范，关闭不必要的服务，通过访问控制列表精细控制不同 7 应用类型的访问设备的源地址及其访问权限。同时做好机房的“四防”工作。 2、技术威胁 设备硬件问题和软件 BUG 造成设备性能下 降，影响网络运行，为防止该类现象发生，需采用 CN2 综合网管平台对设备和网络运行情况进行监控，同时要求各设备厂家维护人员定期对设备进行巡检，厂家发现软、硬件的 BUG 和隐患应及时告知局方，并采取有效措施予以规避和解决。 3、环境威胁 1）自然界不可抗的威胁： IP 承载网业务控制层面以上的设备均防止在机房，遇雷击的可能性极小，抗震能力也较强； 2）其他物理威胁：机房环境温度造成设备出现异常，需利用动环监控系统，实时监控机房环境温度，严格控制好通信机房的环境温湿度；此外，利用 IP 综合网管的告警平台， 对设备温度进行实 时告警，发现异常，立即进行处理。 3.1 CN2网 1、大楼 P 节点和 PE 节点 、延伸交换机 ： 1）、自然界不可抗力的威胁： CN2 网两台 P 节点 GSR12816 设备放置在吉安大楼通信枢纽楼，该楼为框架混泥土结构，房屋结构结实，地势较高，并且按照通信楼的建设标准安装了多级防雷设施，机房抗震、防雷、防洪等性能都较强，受自然界不可抗力的威胁较低。 2）、其他物理威胁（环境威胁）：该机房环境温湿度符合要求，密封性好，不存在相关威胁。但是，该设备所在机房地板为架空钢底瓷面地板，支架也为钢管材质，但是设备是直接坐落在地板上，未安装底 座，存在滑动、塌陷的隐患，遇地震、爆炸等自然或认为灾害，很容易引起设备滑动、塌陷，导致重大通信故障，因此定义威胁等级为“中”级。 3）、恶意和非恶意人为威胁：考虑设备运行公网中，目前互联网网络环境日益复杂和恶劣，网络病毒、攻击手段越来越多样、隐蔽、高明，各种网络安全事件时有发生，而目前该设备除自身配置上采取了一些防范措施外，没有其他任何有效防范手段，因而我们认为其受恶意和非恶意人为威胁的可能性比较大，定义威胁等级为“中”级。 4）、其他威胁：低。 2、河东 PE 节点 、延伸交换机 ： 1） 自然界不可抗力的威胁： 河东 PE 设备放置在吉安大楼通信枢纽楼，该楼为框架混泥土结构，房屋结构结实，地势较高，并且按照通信楼的建设标准安装了多级防雷设施，机房抗震、防雷、防洪等性能都较强，受自然界不可抗力的威胁较低。 8 2） 其他物理威胁（环境威胁）：该机房环境温湿度符合要求，密封性好，不存在相关威胁。 3）恶意和非恶意人为威胁：考虑设备运行公网中，目前互联网网络环境日益复杂和恶劣，网络病毒、攻击手段越来越多样、隐蔽、高明，各种网络安全事件时有发生，而目前该设备除自身配置上采取了一些防范措施外，没有其他任何有效防范手段，因而我们认为其 受恶意和非恶意人为威胁的可能性比较大，定义威胁等级为“中”级。 4） 其他威胁：低。 CN2 网 面临的威胁按照可能性概率，分为高、中、低三档，列表如下： 表 4 威胁可能性列表 序号 资产名称 面临威胁类型 威胁可能性等级 1 大楼两台 P 设备 GSR12816 和大楼 PE设备 自然界不可抗的威胁（环境威胁） 低 其它物理威胁（环境威胁） 中 恶意人为威胁 中 非恶意人为威胁 中 其它威胁 低 2 河东 PE 设备、两台延伸交换机 自然界不可抗的威胁（环境威胁） 低 其它物理威胁（环境 威胁） 低 恶意人为威胁 中 非恶意人为威胁 中 其它威胁 低 3.2 NGN、 C网承载网 1、大楼 NGN CE 设备、 C 网 CE3 设备： 1）、自然界不可抗力的威胁：上述设备放置在吉安大楼通信枢纽楼，该楼为框架混泥土结构，房屋结构结实，地势较高，并且按照通信楼的建设标准安装了多级防雷设施，机房抗震、防雷、防洪等性能都较强，受自然界不可抗力的威胁较低。 2）、其他物理威胁（环境威胁）：该机房环境温湿度符合要求，密封性好，不存在相关威 9 胁。但是，该设备所在机房地板为架空钢底瓷面地板，支架也为钢管材质， 但是设备是直接坐落在地板上，未安装底座，存在滑动、塌陷的隐患，遇地震、爆炸等自然或认为灾害，很容易引起设备滑动、塌陷，导致重大通信故障，因此定义威胁等级为“中”级。 3）、恶意和非恶意人为威胁：该设备运行 VPN 私 网内，受外网攻击、破环的可能性较小，同时由于目前设备的逻辑操作权限限制在省 NOC 和集团 NOC 层面，本地网没有相关操作权限，相对来说可操作的人员少，受人为威胁的可能性较小。 4）、其他威胁：低。 2、河东软交换、 C 网 CE 设备、大楼 C 网 CE4 设备： 1） 自然界不可抗力的威胁：河东 PE 设备放置在吉安大楼 通信枢纽楼，该楼为框架混泥土结构，房屋结构结实，地势较高，并且按照通信楼的建设标准安装了多级防雷设施，机房抗震、防雷、防洪等性能都较强，受自然界不可抗力的威胁较低。 2） 其他物理威胁（环境威胁）：该机房环境温湿度符合要求，密封性好，不存在相关威胁。 3）恶意和非恶意人为威胁：该设备运行 VPN 私 网内，受外网攻击、破环的可能性较小，同时由于目前设备的逻辑操作权限限制在省 NOC 和集团 NOC 层面，本地网没有相关操作权限，相对来说可操作的人员少，受人为威胁的可能性较小。 4） 其他威胁：低。 NGN、 C 网承载网 面临的威胁按照可能性概率，分为高、中、低三档，列表如下： 表 4 威胁可能性列表 序号 资产名称 面临威胁类型 威胁可能性等级 1 大楼 NGN CE 设备、 C 网 CE3 设备 自然界不可抗的威胁（环境威胁） 低 其它物理威胁（环境威胁） 中 恶意人为威胁 低 非恶意人为威胁 低 其它威胁 低 2 河东软交换、 C 网 CE 设备、大楼 C 网CE4 设备 自然界不可抗的威胁（环境威胁） 低 10 其它物理威胁（环境威胁） 低 恶意人为威胁 低 非恶意人为威胁 低 其它威胁 低 4 脆弱性 分析 CN2 网 的脆弱性包括技术脆弱性和管理脆弱性两个方面 ，技术脆弱性又可分为 网络 、 设备 /主机 、物理环境等方面的脆弱性 。脆弱性识别对象应以资产为核心。 1、 CN2 网 的 脆弱性分析 如下： 序号 资产名称 面临威胁类型 威胁可能性等级 1 大楼两台 P 设备 GSR12816 和大楼 PE 设备 业务 /应用（技术脆弱性） 低 网络（技术脆弱性） 低 设备（含 软件版本、重要数据 ）（技术脆弱性） 低 物理环境（技术脆弱性） 中 管理脆弱性 低 2 河东 PE 设备、两台延伸交换机 业务 /应用（技术脆弱性 ） 低 网络（技术脆弱性） 低 设备（含 软件版本、重要数据 ）（技术脆弱性） 中 物理环境（技术脆弱性） 中 管理脆弱性 低 2、软交换、 C 网承载网脆弱性分析： 序号 资产名称 面临威胁类型 威胁可能性等级 1 大楼 NGN CE 设备 业务 /应用（技术脆弱性） 低 11 网络（技术脆弱性） 低 设备（含 软件版本、重要数据 ）（技术脆弱性） 中 物理环境（技术脆弱性） 中 管理脆弱性 低 2 河东 C 网 CE2 设备、大楼 C 网 CE4 设备 业务 /应用（技术脆弱性） 低 网络（技术脆弱性） 低 设备（含 软件版本、重要数据 ）（技术脆弱性） 低 物理环境（技术脆弱性） 低 管理脆弱性 低 3 C 网 CE3 设备 业务 /应用（技术脆弱性） 低 网络（技术脆弱性） 低 设备（含 软件版本、重要数据 ）（技术脆弱性） 低 物理环境（技术脆弱性） 中 管理脆弱性 低 4 C 网 CE1 设备和软交换 CE2 业务 /应用（技术脆弱性） 低 网络（技术脆弱性） 低 设备（含 软件版本、重要数据 ）（技术脆弱性） 中 物理环境（技术脆弱性） 低 管理脆弱性 低 详细脆弱性分析见如下 CN2 网脆弱性分析 5 已有安全措施 （ 1）制度建设：已建立机房出入管理制度、机房环境管理制度、机房信息保密制度、机房交接班制度、机房十不准等制度，并上墙。建立了机房管理规范，如设施管理规范、维护作业规范、环境管理规范等，并组织学习和落实， 12 （ 2）所有机房已开展了机房标准化整治工作，并建设了动环监控、烟感系统，目前实行市县二级监控。 （ 3）市公司网维中心每月定期开展维护基础管理，包括机房现场管理、资料管理、作业计划、电子值班、电子机历本、备品备件的管理的检查，夯实维 护基础管理工作。 （ 4） 6 月份开展了端局机房动环监控系统的全面检查工作，对存在的问题整拟定计划进行整改。 （ 5）落实维护作业计划和机房巡检制度，每月定期进行设备配置数据备份，进行设备表面和风扇过滤网的清洁工作，实时更新设备健康档案和网络维护相关资料。 (6) 去年 11 月份开展了软交换承载网优化改造工作，实现了城域网 ASBR 设备与 CN2 网PE 设备的双设备双互联 、 CE 设备与 CN2 网 PE 设备的双节点双互联、优化了路由等；今年 6月份开展了 CN2 网路由调整专项整治工作，消除同路由光缆传输、重要链路裸纤传输隐患，提高链 路传输可靠性。 6 安全风险分析 经过详细、全面的分析和评估，目前我市 CN2 网存在的安全风险主要有： 1） 吉安市 82 局数据机房地板为架空钢底瓷面地板，支架也为钢管材质，其中 D01 机房设备 (CN2 网两台 P 设备、 PE1、 NGN CE1、延伸交换机、 C 网 CE3 设备 )是直接坐落在地板上，未安装底座，存在滑动、塌陷的隐患，遇地震、爆炸等自然或认为灾害，很容易引起设备滑动、塌陷，导致重大通信故障。此风险短期内可接受，但从长远来看，是一个较大的隐患，需要整治。 2） 吉安市 82 局数据机房重要设备较多，且对温度觉敏感，目前 全部采用普