科技时代新浪首页 > 科技时代 > 通讯与电讯 > 正文

互联星空遭投诉 运营商规避电信安全短板


http://www.sina.com.cn 2005年12月08日 15:16 通信产业报

  作者:王辉

  11月中旬,四川电信互联星空业务遭遇用户投诉,称由于电信网络的安全机制存在严重漏洞,最终导致其互联网账号被黑客入侵。据传,因为互联星空的“一点通”服务模式相应安全机制设置和管理疏漏,此类事件已经发生多起。

  危机无所不在

  而实际上,这种状况已非中国电信的特例,随着在网络融合的大环境下催生的诸多电信增值业务的出现,大量的安全危机已经不知不觉地渗入了曾经在很多人观念中无坚不摧的电信业务运营之中。

  国家计算机网络应急技术处理协调中心的统计数据显示,电信运营商的网络安全状况正日益严峻,来自网络的攻击持续增长。仅在今年上半年,国内网络安全事件就发生65679起,超过了2004年全年安全事件的总合,而在这其中,网站篡改、恶意代码、主机入侵、网络仿冒等各种攻击模式层出不穷,电信网络和互联网络的安全机制普遍显得脆弱。

  “在今天这种‘三网融合’的趋势下,再采用以往那种物理隔离的电信网络保障模式显然不合时宜,然而网络IP化的大方向也使得电信网络正在面临比以往任何时候都要严峻得多的安全隐患。”国务院信息

化工作办公室网络与信息安全组副组长吕诚昭认为。不仅如此,软件的整合与集中化浪潮作为目前电信运营商最为关注的环节,也是各类安全事件发生的源头所在。

  整合的“双刃剑”

  调查发现,为了实现对市场营销和客户需求的最及时响应,利用EAI等技术所进行的系统整合一直是近几年来电信运营商们不变的策略,而这恰恰从另一个侧面推动了开放系统体系的建立,但同时也诱发了大量安全隐患的产生。“电信软件在相关安全设置方面的疏忽往往是安全隐患出现的源头。由于软件正确性的不可证明造成了软件漏洞的大量存在。”国家计算机网络应急技术处理协调中心副总工程师云晓春表示。

  而目前运营商大都已经基本完成了其CRM、计费、网管、决策分析和内部管理为核心的信息系统体系的初步整合,而众多以以上系统为核心的外围增值体系也都相互关联,这给运营商在网络管理和安全控制上带了不小的难题。

  “将过去各自独立的信息系统整合无疑打破了传统的‘信息孤岛’,提升了运营商的竞争力。但与此同时,这种大集中的模式也使运营商陷入了从未有过的风险中,一旦系统的某个环节出现漏洞,都可能造成整个系统的全面瘫痪。”作为中国网通系统整合的试点省份,辽宁网通运营支撑共享中心主任官涛对此深有感触。

  针对这种状况,实施集中化的安全管理模式成为许多运营商的选择。北京电信网络安全负责人纪叶对此做了如此解释:“与信息系统整合的大势类似,运营商在网络日益复杂,用户对运营商服务要求不断提升,以及运营商对成本的控制渐趋严格的大环境下,在电信网络中部署集中监控的网络安全管理系统模式已是必然。”

  安全无界

  回顾电信领域的安全发展历程,顺应业务需求的不断演进一直是一条不变的轨迹。从上个世纪末基于基本的路由器和相关安全装置的单点安全,到进入21世纪以来的多方面防护、集成化安全,一直到现今建立主动的自防御机制,电信运营商对安全的关注堪称孜孜以求,其间所投入的大量精力其实已经初见成效。

  “从目前情况看,对于电信网络内部的主机以及网络设备的安全管理手段已相对成熟,但是对于面向用户层面的安全管理仍需要完善。特别是在增值服务方面,建立一个完备的安全体系显然是提升用户信任度,帮助运营商赢利的重要环节。”中国电信网络运行维护部互联网网络安全负责人王华介绍说。

  按照业界的定义,网络安全通常被区分为基础架构安全、服务层安全以及应用层安全。而在这其中,多年来运营商大都将网管体系的主要关注点锁定在了网络设备层面,并逐渐积累出一整套针对设备管理的成熟办法。而这,也使得电信级设备安全标准被众多厂商和用户作为了考评安全机制是否完善的重要参考。

  然而随着运营商们不约而同地向服务和应用转型,单纯的设备级安全已经很难保证电信系统的万无一失。“服务层安全除了包含基本的传输和连接服务外,还包括VoIP、VPN、短信息等安全。也就是说,面向服务的安全不仅包括运营商的安全,而且也包括最终用户的安全。同样,应用层的安全不仅要保障用户和运营商的安全,而且需要解决SP和中间件层面的安全,这使电信安全体系需要包含的范围进一步扩大。而解决这些问题都并非想象中那样简单。”王华表示。

  电信产业链的不断延长让安全需要涉及的区域也随之不断扩张,在此环境下,运营商已经不能独善其身。“现在不存在所谓纯粹的电信安全,在网络无所不在的时代,安全是一个公共事件。”云晓春如是说。120523

  专家观点

  中国电信网络运行维护部互联网网络安全负责人王华:集中管理保障电信安全

  随着互联网的普及以及电信业务的IP化偏移,保障电信和IP网络的安全已经被各个电信运营商所关注。

  从根本上说,电信网络安全不仅包含建立一个网络安全技术支撑平台,而且需要建立安全管理体系。这其中包含了完善安全管理组织机构和人员配备,提高安全意识和技术水平,制定层次化安全策略和安全机制等多个层面。

  由于目前新业务大量出现,使得运营商在设备入网和新业务开展之前,很难有足够的力量考虑安全方面的保障,这大大滋生了安全隐患的诞生概率。因此,在新业务开展之前进行充分的入网安全检查以及新业务安全性论证正在变成一件非常重要的工作。

  但是,从根本上说,避免安全隐患的有效方式还在于对网络安全实施集中化管理,通过任务单管理、评价管理、预警管理、响应管理、任务调度管理等方式,对来自网络的安全风险进行控制。

  在风险管理方面,要全面掌握网络的脆弱性以及威胁情况,综合分析网络的安全风险状态,有效地开展风险控制工作;在应急管理方面,要结合安全漏洞的跟踪和研究,及时发布有关的安全漏洞信息和解决方案,及时做好安全预警预防工作;在应急响应方面,要结合现有的工单系统,完成应急响应工作中相关信息的传达,建立分级响应机制;在流量管理方面,需要实时监视重要链路的流量状况,及时发现网络中的异常流量,采取有效措施降低异常流量对网络的影响;与此同时,要进一步加强反垃圾邮件、反

病毒等工作。

  从目前看,运营商普遍对网内主机和网络设备的安全管理比较到位,但在增值方面和用户层面的安全管理还有待加强。今后要进一步增强相关的安全机制,确保用户服务质量和运营商的赢利。

  思科系统网络安全高级技术顾问喻超:构筑三层安全运营网络

  从目前看,IP网络蓬勃发展正在驱动传统电信网络的不断演进。一方面,在用户对服务质量和新业务要求日益迫切的大环境下,运营商必须提供一个基本开放的网络业务体系,这无疑给运营商带来更多方面的安全挑战。安全已经成为保证业务正常运营的重要因素;另一方面,由于运营商对未来发展思路的成熟,相关规划和控制网络也在不断演进,这要求运营商需要有一个基本封闭可控的业务体系,物理安全也显得格外重要。

  在这种状况下,运营商的网络安全体系也随之进行着调整。诸如从完全开放信任要可控安全,从事后补救到预警和快速响应,从单点安全到全面安全,从单纯的安全投入到赢利的安全服务等一系列变革都在悄然发生。

  运营商的需求也极大地推动了安全技术的变革。从20世纪90年代一直到21世纪初,网络安全通常都仅仅将目光锁定在基本的路由安全和单点产品安全。然而从2002年起,安全技术逐渐开始向多方面防护、集成化安全以及自防御网络过渡。

  站在运营商的角度,网络的高可用性、实时监控的能力、网络安全的可控以及安全的增值服务等等,都需要一个完善的安全环境。而要实现对以上各方面的安全防护,必须从基础架构安全、服务安全和应用安全三个层面进行防护。因此,一个健全的安全网络应该是一个以安全技术为基础、按管理和安全服务为支撑的自适应安全网络,它必须以实现业务的可持续、可监测、可控性、可赢利为核心的解决方案,从而适应电信运营网络的未来发展。

发表评论

爱问(iAsk.com)



评论】【论坛】【收藏此页】【 】【多种方式看新闻】【下载点点通】【打印】【关闭




科技时代意见反馈留言板 电话:010-82628888-5595   欢迎批评指正

新浪简介 | About Sina | 广告服务 | 联系我们 | 招聘信息 | 网站律师 | SINA English | 会员注册 | 产品答疑

Copyright © 1996 - 2005 SINA Inc. All Rights Reserved

版权所有 新浪网