QC小组活动成果材料发布规范

1、附件5第X届（20XX年）中中国电信西安分公公司“QC小组活动成果”报报告书成果名称： 申报企业（全称）： 报送时间：_年_月_日日题目：降低西安电信DCN网网安全故障率小组概况 小组成立时时间、本课题活动动时间、注册时间间、注册编号人员结构及文化技术素素质结构、组内分分工本课题类型本课题小组集体活动总总时数、出勤率 小组成员简简介二、选题理由 DCN是英文文Data Communication Network的的缩写，中文意思思为数据通信网络络。中国电信股份份有限公司的DCN网网是一张运营商级级的用于承载企业业经营生产的全国国性骨干网络。作作为电信业务、营营业、计费、网管管数据、多媒体通通信

2、等系统的传输输通道和通信平台台，其范围覆盖全全国所有省、直辖辖市和自治区，共共计32个主干节节点。它具有分布布式网络计算环境境和多级分布式数数据仓库，可实现现网络监控、管理理、维护以及决策策的信息化与自动动化。西安市电信信分公司的DCN网网络是省级DCN网网的重要组成部分分。其前身是始建建于1997年九九七网络，自2001年年至2010十年年间，为契合公司司转型机遇，西安安电信分公司DCN网网先后经历了两期期大规模的改扩建建工程和一次优化化工程，逐步被打打造成为一张精品品DCN网络。如如今已达到承载可可路由网络设备60余余台，监控机群、服务器机群、业业务机群共计3000余余台的网络规模，是是西

3、安市电信分公公司生产运营、业业务受理、计费、信息化管理的综综合网络平台，覆覆盖连接全市及各各城郊区县所有生生产用机。DCN网网络的重要性不言言而喻，可以毫不不夸张的将之形容容为企业的“中枢神经系统”。它不但保证了了企业生产活动的的完整性、统一性性而且在协调、平平衡对外经营的过过程中起着主导作作用。 然而十年间，在在西安电信DCN网网随着成本投资不不断追加，网络规规模、设备层级不不断提升的同时，DCN信信息系统的安全问问题却一直如影随随形，更有愈演愈愈烈的趋势，比如如，据西安电信企企化部网络班的值值班日志和维维护月报的统计计，局域网病毒造造成的网络瘫缓故故障平均占比达到到全年故障接报的的51%。

4、这不仅仅频繁妨碍正常的的生产经营活动、严重减低劳动生生产效率，还极大大地挫伤了广大基基层员工的生产积积极性，尤其是网网络病毒造成的营营业厅网络瘫痪故故障更是对公司形形象产生了负面的的社会影响。如何何提升DCN网络络信息系统的安全全水平，已成为我我们日常工作生产产（服务）中的薄薄弱环节和需要迫迫切解决的问题。作作为长期负责西安安市电信分公司DCN网网络建设和维护的的专业人员，我们们有责任有义务在在此问题上献计献献策，并采取切实实有效地行动。本本次QC活动，正正值北信源安全系系统正式上线之际际，所以我们决定定选取降低西安电信DCN网网安全故障率为题，沉下心来来，从DCN网的的基础生产和基础础管理入

5、手，力求求从难点，重点和和关键问题上寻求求突破DCN信息息系统安全困境的的方法。三、现状调查为彻底搞清我公司DCN网网络安全问题频发发的真正原因，掌掌握第一手材料，我我们QC小组于2010年年9至11月间，采采用各种调查手段段，针对DCN信信息系统安全现状状进行了大量的调调查取证工作，并并多次召开小组会会议讨论分析主要要问题。这期间，具具体进行的调查活活动有：第一次调查：历史统计计资料调查： 调查方法：资料料查阅： 调查时间：9月月上旬， 调查的内容和目目的：活动小组查查阅历年DCN维维护日志和IT维维护故障日登记表表（电子版），对对涉及DCN网瘫瘫网慢等网络安全全故障的产生原因因仔细进行了归

6、类类总结； 调查结果： 一、47%的的故障现象和局域域网环路、病毒有有关； 二、20%的的故障是由设备自自然老化（如光收收发器，网桥） 三、17%的的故障是由设备异异常掉电引起； 四、10%的的故障是人为误操操作造成的，比如如用户的错误使用用（如：误占用网网关）； 五、4%是是线路问题(网线线、光纤质量下降降或施工损毁造成成的障碍) 六、其他他原因：3%（如如网络割接，升级级改造） 结果分析：合并并第一、四项，发发现有57%的网网络故障与各汇聚聚局域网恶劣的网网络安全环境有关关； 第二次调查：安全产品品使用情况调查： 调查方法：服务务器控制台信息读读取； 调查时间：9月月上旬； 调查的内容和目

7、目的：对DCN网网现有网络终端安安全产品：“北信源桌面安全全管理平台及补丁丁分发系统”(试用版，以下下简称VRV EDP)和 “Symantec防防 病毒系统”的部署使用情况况进行调查； 调查结果： 图：（厂厂家提供，协商中中） 图：（厂厂家提供） 结果分析：注册册使用安全产品的的单位、用户呈逐逐月下降趋势；综综合部署情况已经经不足20%；这这说明80%以上上的生产计算机存存在网络安全产品品（主要是打补丁丁软件和查杀病毒毒软件）的严重缺缺失和错误使用问问题。第三次调查：现场调查查 调查方法：暗访访、抽查 调查时间：9月月中旬至9月底； 使用工具：抓包包工具； 调查的内容和目目的：暗访钟楼局局，

8、小寨局，电子子城局调查DCN网络违规外联情况，并对小寨和周至局进行局域网抓包分析网络异常数据流量； 调查结果：1）DCN违规外联现现象普遍，手段多多样： DCN网网俗名叫内网，是是因其作为生产网网，原则上必须和和其他网络，尤其其是互联网实现完完整的物理隔离，故故而至今全省DCN网网络只在省公司建建设了一个公网出出口，并有专人维维护；然而通过暗暗访发现，各大汇汇接局DCN网络络违规外联现象十十分普遍，而且是是八仙过海各显神神通： （1）小小寨营维中心利用用营业厅公免ADSL资资源，私自在DCN网网络上搭建公网出出口，造成极大安安全隐患。（已处处理） （2）电电子城接入维护中中心使用外省DCN网网

9、络的公网代理出出口上互联网；代代理地址为：133.83.9.100，端端口8080； （3）钟钟楼局工单调度岗岗97生产用机普普遍安装双网卡，有有员工甚至认为双双网卡是内网计算算机的标配产品。 2）抓包信息暴露局域域网病毒隐患： 图：工具：vrvsiniffer抓抓包 现象：445端端口攻击； 地点点：小寨局 图：工具：华为3640路路由器aspf抓抓包 现象：UDP半半连接； 地点：周至局 结果分析：通通过暗访和捕获生生产局域网中的报报文信息我们可以以发现，生产用机机的违规外联的现现象相当普遍，而而且手段不断翻新新。如果结合第二二项的“安全产品使用情情况”的调查结果，不不难看出，DCN网网中

10、有为数不少的的生产用机时常裸裸奔于病毒泛滥的的互联网，并在网网络切换的过程中中，将各种病毒带带回内网生产环境境，以至局域网病病毒日益猖獗泛滥滥。加之汇接局域域网网络安全监管管维护人员缺失，我我公司局域网信息息系统安全形式十十分严峻！下图是是用360安全卫卫士软件对小寨营营业厅某核心生产产用机扫描后的得得分评价： 图：第四次调查：对各部门门单位组织架构、网络安全责任人人员的现状调查： 调查方法：访问问方式、问卷调查查； 调查时间：10月月上旬至中旬； 调查的内容和目目的：本次调查，召召集了DCN网络络所承载的各个兄兄弟部门单位的网网络安全员，着重重调研如何在现行行公司架构下组织织人员开展网络安安

11、全工作的相关问问题，摸清各兄弟弟 部门的组组织架构和网络结结构。并采用调查查问卷的方式，倾倾听诸位一线安全全员对网络安全相相关工作的见解和和心声。 结果分析：在安安全管理上，各个个部门单位松紧程程度不一，人员组组织松散，水平参参差不齐，而且存存在人员配比失衡衡的问题。具体来来说： 1、管理理最为严格，并且且执行最好的部门门是营业部，其次次是各系统监控部部门，而营维中心心就相对忽视网络络安全，违规也最最为严重； 2、各个个部门单位的维护护人员常常是随意意指派，技术部门门尚可，经营部门门的安全员水平往往往太过业余，也也没有一个专门的的组织作为交流成成长的平台； 3、各汇汇接局存在严重的的安全人员配

12、比失失衡问题。一个典典型的汇接局，是是由三个部门组成成，分别是：隶属属于营业部的营业业厅，区营维中心心和接入维护站（有有的地方还有客户户支撑中心）。然然而由于历史原因因，在一个汇接局局内，往往只有一一名（多为接入维维护站选举）网络络安全员负责整个个汇接局的局域网网相关工作，并与与企化部终端班的的对口维护人员进进行工作联系。而而事实上，市企化化部的对口人往往往需要负责两个以以上的汇接局相关关工作，如果加上上各下属模块局，平平均一个汇接局的的局域网维护人员员还不足1.5人人，并需要维护三三至四个单位的相相关网络安全工作作，这显然不现实实。第五次调查：调整网络络结构，部署安全全产品，加强网络络安全管

13、理的可行行性调查，以及征征求服务对象的意意见与建议 调查方法：访问问方式； 调查时间：10月月下旬； 调查的内容和目目的：本次调研主主要是为解决现有有问题而采取的一一系列对策进行可可行性调查。具体体包括： 1、在终端班调调研汇接局网络改改造，即从97业业务网内分离出营营业厅的物理线路路可行性， 2、以电子城营营维中心、小寨营营业厅、长安区分分公司为代表，调调研VRV EDP在在营维中心、营业业厅、郊县分公司司按组织架构进行行部署的可行性，并并了解服务对象的的需求和使用习惯惯； 3、调研网络监监控中心及各生产产机群的网络安全全需求； 调查结果：基本符符合预期，为对策策应用提供了客观观可信的可行性

14、分分析。结论：市DCN网络现存的主主要矛盾，是十年年间应用服务系统统、数据库服务系系统快速增长，与与业务保障系统一一直发展建设缓慢慢之间的矛盾。 建设发展展缓慢主要表现在在两个方面：一是安全保障系统不完完备，且现有系统统适用性差，利用用率低下；二是安全保障队伍建设设不力，制度、管管理缺失； 造成发发展缓慢的根本原原因是我们从思想想上对网络安全工工作的重视程度不不足。四、目标确定 针对目前的网网络现状，经QC小小组开会讨论，决决定从系统工具使使用，人员队伍建建设两方面入手，改改善DCN信息系系统安全中存在的的主要问题。并根根据系统工具历史史使用的最好水平平和借鉴数据等兄兄弟部门的管理经经验，设定

15、活动目目标如下： 目标： 1、 将将网管软件VRV EDP的注册率率提升并保持在70%以以上； 2、 组建一支由20多多人组成的DCN网网络安全“虚拟团队”；五、原因分析因果图 关联图： 树图： 主要阐明：1、技防系统相关：为什么网管系统统注册率低；2、人防体系相关：为什么安全员对对网络安全管理工工作的积极性不高高； 六、确定主因 结合原因分析析图，确定要因如如下： 1、技防手段段注册率低是因为为技防拓扑不适应应现行组织架构； 2、人防队伍伍建设难的核心问问题是人员面对维维护压力时无管理理手段，无组织归归属，无绩效奖励励的“三无”囧境。七、制定对策 根据上述确定的两两点主要原因，我我们认为不仅

16、要选选择功能强大，适适用性高的网管系系统，更关键的是是还要有人用好，用用巧这些系统。也也只有走人防、技技防相辅相成的路路子，才能真正解解决当前网络安全全中的困境，才能能真正从思想上扭扭转我们对网络安安全工作的认识。于于是我们针对这两两方面，分别制定定了如下对策，并并注意各个对策之之间的互动。 首先，应对VRV EDP 系统的的区域划分方式和和终端注册逻辑作作了全局性调整。之之前VRV EDP项项目部署目的是用用于测试，于是采采用了基于业务系系统的快速注册部部署方式，而在实实践应用的三年间间，积累了大量的的应用难题，极大大的削减了软件使使用效率和员工使使用热情。针对这这一问题，QC小小组开会决定

17、：将将过去基于业务的的划分方式调整为为基于实际生产组组织架构的新方法法。为保证新划分分方式的适用性， 结合QC小组事事先做了充分的调调研和试点工作，摸摸索出一套高效、灵活的组织管理理方法。 其次，人员及及使用管理方面：在新的区域组织织模式下，结合网网络安全虚拟团队队的管理思路，拟拟采用全面开放平平台的管理方式，具具体说来，各网管管人员作为下级管管理员，可结合各各个生产组织部门门的固有特点，自自主制定策略和统统计相关区域数据据，企业信息化部部则主要负责策略略审计和服务器维维护工作，从而让让企业信息化部真真正回归IT工具具提供者的服务角角色。具体措施：1、技防系统方面： 因VRV EDP 项目已经

18、正式采采购，为有效保护护公司投资，切实实用好系统网管软软件，QC小组决决定发扬“不畏艰苦，连续续作战”的精神，全面废废止现有数据，在在深入分析，充分分调研的基础上，重重新设计搭建新的的部署注册逻辑，我我们连续奋战一周周，定义二级目录录21个，三级目目录340余个，重重新整理划分DCN网网段880余段，手手工录入网络信息息1200余条。新新的区域树形结构构，不但从跟本上上解决了旧系统遗遗留的客户端用户户注册难，管理员员职责不清，注册册数据混乱，软件件升级障碍等一系系列长期困扰软件件使用效率的老大大难问题，而且为为实现按生产部门门实行差异化管理理，差异化策略下下发，差异化功能能开发，以及DCN网网

19、络IP地址资源源统计，终端硬件件资料统计做出了了基础性的贡献。 除此之外，我我们还应仔细考虑虑了如下两个问题题，并研究做出了了应对方案： 1）注册部署方方针： 根据测试试期经验，注册点点位时应注意如下下问题，见部署分分析图： 部署分析析图： 区域缓急程度参与人员预期效果特点网监中心急厂家、网监优，短期 专业人员维护，部署署快速营维中心急厂家、硬件班、网络班班、区局维护人员员优，中期可以试点电子城局为示示范，辐射带动郊县分公司急维护人员良，中期前期以长安为试点，可可以辐射带动监控集群急维护人员差，长期对无人职守的机房，可可保留测试期数据据营业厅缓厂家、硬件班、营业部部优，短期 改造未完成，违规最

20、少少西华门生产机群缓企划部各相关人员差，长期最乱，最杂但便于开展展维护 根据部署署分析图，提出本本次注册部署方针针：首先，确保网监中心和和各营维中心的注注册率； 其次，督促郊县分公司司，监控机群的注注册； 最后，逐步完善营业部部、西华门生产机机群的注册工作； 2）脏数据的剔除除问题： 正是由于采采取了区域管理大大规模的替换，基基于C/S架构的的VRV EDP系系统会自动学习到到很多基于老的区区域管理信息数据据，重新注册会出出现两种情况：一一，新数据顶替老老数据，二，老数数据未被更替；针针对这种情况，为为保证资料的统一一性，首先将老数数据全部作为脏数数据分入一个自定定义的无效组中，待待每个区域注册完完成后，将顶替为为新区域管理结构构的数据信息放回回正常环境，将未未替换（即过去注注册，本次未注册册的终端）数据继继续视为脏数据，放放置在无效组中，待待200日后有选选择性的删除。从从而杜绝新老数据据混乱的情况。2、人防体系方面： 选取日常工作中中表现好，能力强强，和问卷调查中中积极性高的同志志作为网络安全虚虚拟团队成员，组组建一支DCN网网络安全虚拟团队队； 基本思路有： 1、为自上而下下提高对DCN网网络安全性的重视视，我们建议由陈陈杰副总亲自挂刷刷虚拟团队； 2、我们建议领领导为参与虚拟团团队的同志们向人人力资源部门申请请一定的绩效奖励励； 3、对参与虚拟拟团队的同志，