科技时代新浪首页 > 科技时代 > 通讯与电讯 > 2006世界电信日特别策划专题 > 正文

NGN安全分级而治


http://www.sina.com.cn 2006年05月17日 13:34 通信产业报

  通信产业报记者 伊佳

  由于NGN本身的复杂性和标准的不确定性,NGN面临的安全威胁众多,这些威胁因何而来?表现出哪些特征?

  张云勇:一般而言,网络安全是指信息在使用网络提供的服务进行传递的过程中,网
络自身即承载和业务网的可靠性、生存性、网络服务的可用性、可控性以及信息传递过程中信息的完整性、机密性和不可否认性。具体到NGN,网络安全则包括承载与业务网络安全(设备系统安全)、网络服务安全(网络安全)以及信息传递安全(信息安全)等三层内容。

  梁柏青:NGN作为下一代网络的整体概念,包含了许多技术细节,可以提供多种业务,不同的运营商在网络组织、设备选择、业务定位和实现上有着不同的考虑,而这些不同将导致网络安全风险的差异。NGN网络面对的具体的安全风险难以一一组合罗列,从当前运营商组网应用角度看,下面一些问题属于网络中影响运营、需要重点解决的安全问题。

  第一,大型网元的安全问题:NGN网络中呼叫服务器负责几十万甚至几百万呼叫的控制,网关设备为大量原有PSTN用户提供媒体转换,这类大型网元设备的安全事关重大。在NGN网络中,大型网元除去需要考虑硬件安全、操作系统安全、网络层安全、应用软件安全等安全问题,如何抵抗应用层消息攻击是需要重点考虑的问题。

  第二,用户和业务的安全:NGN实现了控制和承载分离,也打破了可以与物理连接绑定的信任关系,而保障用户和业务安全必须考虑建立完善的安全信任关系,如通信双方或多方的用户识别和确认,通信过程中的消息真实性确认等,以防出现假冒网元、假冒用户、盗用业务、非法管理网元等问题,影响软交换网络的运营。

  第三,媒体的安全问题:现有的NGN网络出于设备性能等考虑一般没有对媒体进行加密,这对一般的用户通信没有太大的安全威胁。但对于存在二次拨号的呼叫,用户媒体的安全问题就凸现出来了。二次拨号通常涉及账号、卡号、密码等有价值的信息,如果直接在网络上透明传送极为不安全,一旦被窃取影响较大,后果严重。

  NGN与传统电信网络以及互联网对安全的要求有何不同?

  魏亮:就安全要求而言,三者的安全要求是一样的,都应该满足国家、用户(个人,企业)、运营商(ISP,ICP等)以及其他实体的安全需求。但是由于当前三个网提供的业务不同,以及提供业务的方式不同,对安全要求满足的程度和能力不同。传统电信网主要开展实时交互会话业务(电话),其安全程度基本满足国家、运营商以及用户的安全要求。而互联网安全问题较多,包括网络自身可靠性防攻击、网络业务运营安全、信息传送安全以及有害信息等方面。当前来看,NGN会建立在分组网络(IP网)平台上,因此安全方面可能有部分问题类似于互联网。

  胡浩:传统电信网络强调网络的可靠性和可用性,不强调网上应用的安全;NGN不仅要强调业务的可用性和可控性,还要强调承载网的可靠性和生存性,而且要保证信息传递的完整性、机密性和不可否认性。

  互联网业务基本上是一种基于“尽力而为”的机制,对业务的中断不敏感,可以通过节点冗余、链路冗余、模块冗余等方式,利用路由协议进行收敛,达到秒级的业务收敛时间,以保证服务的可靠性;而NGN承载的实时语音业务不允许出现业务中断,要求承载网具有低于秒级的快速收敛能力,因此除了上述方式外,还必须强调系统设备具有高度可靠性,并且能够利用MPLS快速重路由,路由协议快速收敛和网络设备的不间断服务 NSR / NSS 等技术实现毫秒级的链路和节点保护。软交换系统、业务系统能够做到异地冗灾热备,一个NGN核心系统的故障不会影响整个系统的大面积宕机。

  网络安全问题从未严重困扰过PSTN,而到了NGN网络中,安全却成为了网络建设、维护、业务开展都需要重点关注的问题,原因为何?NGN的承载网——分组网络是否是NGN安全性的决定因素?

  吕屹:IP承载的引入固然是NGN中安全问题的主要源头,终端和设备的发展以及应用协议的变化也影响着网络安全。通过分析比较PSTN和NGN的网络各个层面差异可以观察到NGN安全问题的来源。

  链路/网络连接:PSTN用户通过双绞线与交换机连接,双绞线对应用户一一对应,作为用户识别。NGN引入了IP承载,IP网络的通达性给用户带来了接入的便利,但也使得用户和物理链路的绑定关系不复存在。虽然全球互联网中IP地址具有唯一性,但是由于存在IP地址动态分配、地址转换设备、源地址仿冒等种种情况,IP地址不可以用作用户标识。比起PSTN,NGN中用户接入链路/网络层面由用户专用变为了全球互联网共享,使得用户管理难度加大,出现问题后难以跟踪和追溯。

  系统平台:PSTN中交换机使用专用硬件系统、专用操作系统,熟悉的人非常少。NGN的网络侧设备大量使用了通用计算机平台、通用操作系统,这方面的专业技术人才非常多,系统漏洞被不断发现,攻击者利用系统漏洞可能对NGN网络中设备造成严重的安全威胁。

  信令协议:PSTN中用户使用网络提供的业务通过简单的拍叉簧、按按键来获得,用户信令简单,交换机间的信令较为复杂,但使用了专用电路与用户完全隔离。NGN中用户通过承载于IP之上的应用层协议与软交换、应用服务器通信,通常使用的信令协议如SIP一般使用文本方式在IP网络上传送,可读性增强,如何保证消息的完整性、保密性、可用性和真实性是重要安全课题。另外,由于NGN协议参数复杂,变化比较多,攻击者也更容易通过阅读消息、变造消息、更改消息流程等方式去发现和利用协议本身和设备实现的漏洞。

  四通八达但管理松散的IP网络、强大的终端能力、通用熟识的系统平台、标准可读的应用层协议,这些因素的共同作用造成了NGN复杂的安全问题。

  现阶段,应该从哪些方面着手解决NGN的安全问题?保证NGN网络安全的技术是否已经成熟?还需要在哪些方面继续加强?

  胡浩:NGN的安全问题是软交换商用过程中需要面对和解决的主要问题,目前而言,以下问题值得重视:跟踪NGN系统面临的不断变化的各种安全威胁,启用严格的网络安全机制,系统关闭任何不使用的网络服务,防止非法用户通过非法的服务入侵设备;通过隔离、过滤、监测、认证、加密等手段降低遭受攻击的可能性,并检测、记录攻击的发生,保证攻击的可溯源性。制定NGN安全标准规范。对NGN的协议安全进行深入研究。关注NGN终端接入的安全。

  徐成达:从技术发展方面来看,目前大多数中国的企业面临的关键安全问题在于安全的提供远程访问能力同时强化网络访问中终端所带来的安全威胁。作为北电安全层次防御架构的重要组成部分,通讯安全以及终端安全两大解决方案的关键产品,北电网络的VPN网关产品比较好的解决了这一安全威胁。

  当然,网络安全只是一个相对的概念,不存在100%的绝对安全,运营商和设备提供商需要去做的事情就是在产品功能、网络设计、工程实施、运营管理等个环节综合考虑,提高网络的安全性,并且使得网络在出现故障的情况下及早恢复,并能够追查安全故障的原因。

  梁柏青:NGN安全的措施需要技术的支撑,当前一部分相关技术和设备正在逐渐走向成熟,如设备系统的定制和加固,系统容灾备份,作为NGN安全设备的边缘接入控制设备等。一部分相关技术和设备研究机构、运营商、设备供应商正在一起进行的规范完善,如目前对承载在互联网上的信令和媒体进行加密的设备支持不普遍,中国通信标准协会正在制定的通信安全规范其中将考虑用户到NGN接入控制设备之间加密。还有一些技术涉及面较多,尚不成熟,需要深入研究加快规范,例如同时感知用户网络接入和业务接入的接入安全防线在当前情况下还难以部署。

  在NGN网络中,是否需要对不同业务划分安全等级?划分标准为何?

  胡浩:在NGN网络中,运营商必须保证提供的各种业务的安全,可以把NGN系统设备,各种业务服务器归属于不同的安全域,不同的安全域对应为不同的安全等级,安全等级的划分保证了高级别安全域的系统设备与低等级系统的安全隔离。等级高的安全域可以访问低等级的安全域,低等级的安全域不能直接访问高等级的安全域,如果要访问,必须经过严格的状态检测。

  多媒体应用是NGN业务的一个主要代表,也是固网运营商大力发展的宽带业务之一,目前对于承载在互联网上的视频业务安全威胁主要来自哪里?是否有适当的应对策略?

  魏亮:当前在互联网上已经开展了一定的视频业务,但是总体来看安全性和服务质量都很难保障。就安全威胁而言主要有如下方面:来自互联网的DDOS攻击;互联网视频业务存在盗用的危险;用户使用互联网视频业务存在身份以及隐私信息被盗取的危险;互联网视频内容难以监管。相应的对策就是保障互联网安全,但是为保障互联网安全可能付出很多代价,甚至可能彻底更改互联网结构和框架。在NGN中提供视频业务可能是一个较好的选择。

  胡浩:采用SBC等设备作为软交换协议应用层防火墙,具备入侵检测、带宽控制策略、保护会话不被窃取、防止RIP流拥塞和呼叫干扰等功能,可以使核心网设备免受恶意攻击和突发的DOS攻击,防止服务欺骗等其它类型的安全风险,提供进入权控制方法(Admissioncon-trolpolicies),可以控制并保障会话总数、会话带宽以及会话类型。会话传送质量的保证还依赖两端路由器中业务优先级的正确设置,SBC支持数据包的有效处理,能够清楚地标明QoS等级,减去边缘路由器的工作量。

  记者观察  

  安全不是绝对的,安全威胁永远存在。安全不是一种稳定的状态,永远不能认为采用了怎样的安全措施就能实现安全状态。在网络技术的不断发展中,NGN已经成为电信网络和互联网共同演进的方向,但同时也不可避免地成为网络安全问题的主角。NGN内容涵盖广泛,除了广义的多业务运营外,多种接入技术、复杂的智能终端,以及IP承载网的缺陷和运营商不断变化的组织结构都给网络安全带来了更大的威胁。虽然NGN在世界范围内仍没有大范围商用的案例,但是作为通信业的新亮点,从现在开始设计完善的安全防护体系,防患于未然是完全必要的。

  从NGN面临的攻击方式来看,NGN网络既面临着通用计算机平台和互联网连接时常见的安全风险,如地址端口扫描、系统体系结构探测等信息收集型攻击,口令猜测、特洛伊木马、缓冲区溢出等利用型攻击,TCP、UDP等协议的洪泛攻击、碎片攻击、畸形消息攻击等拒绝服务类攻击,IP哄骗、会话劫持等电子欺骗类攻击,同时,NGN也面临着与应用特点密切相关的安全风险,如利用SIP等应用层消息的拒绝服务攻击、业务盗用、媒体窃听等。

  值得庆幸的是,近来网络安全技术得到了突飞猛进的发展。芯片、操作系统、专用设备已经不再是安全的绊脚石,认证鉴权、风险评估、反垃圾信息技术也正在走向商用。安全问题不应成为NGN发展的绊脚石,相信通过各方共同努力,NGN网络安全将日趋完善。

  NGN技术在不断发展,相关的安全标准也在不断完善。目前,国内外各大通信标准组织都在进行相关的研究工作。在 TIS PAN 提出的IMS架构中将对移动用户接入、无线局域网接入、DSL接入等不同用户接入方式带来的网络安全相关问题进行考虑,制订相关规范。中国通信标准协会的网络与交换组(T C3)和网络与信息安全组(T C8)也对NGN安全问题进行着密切跟踪和研究,NGN网络安全框架、软交换网络相关的安全规范等一系列标准规范正在制定中。

  方案推荐 技术演进中的NGN安全 

  MPLSVPN保证核心网安全

  通过采用MPLSVPN技术可以让开放的IP网络具有类似TDM的安全性。采用该技术构建相对独立的VPN网络。这种方法可以在NGN的核心网络使用,将整个IP网络分成几个不同的隔离空间:公共网络、ISP、ASP、用户网络、业务子网等,使得非MPLSVPN内的用户无法访问到NGN网络中的设备,从而保证NGN网络的安全。

  思科MPLSVPN支持网内所有地点之间的全互连通信。多个用户共享同一个IP骨干网时,可以用BGP的归属社区(community-of-interest) 属性指定属于同一个VPN的路由器。服务供应商可以设置策略来规定VPN网内的路由信息的传播只限于网内的路由器。

  用户端路由器只与服务供应商本地POP的路由器相连,而不是与VPN每一个其它的地点,相连POP的路由器只接收并保持与其直接相连的VPN的路由信息。所以用户在管理自己的VPN时会发现使用MPLS模式时路由配置非常简单。他们可以把服务供应商的骨干网当作到他们所有地点的缺省路由来使用,而不需要与非常复杂的、包括了大量第二层PVC或第三层路由表的网络打交道。

  IPSec 保证接入安全

  NGN网络和用户终端的信息包括控制信息和媒体信息。控制信息涉及的协议有H.248、MGCP、SIP和H.323。为了防止未授权的实体利用这些协议建立非法呼叫或干涉合法呼叫,需要对这些协议的传输建立安全机制。目前在IP网络中广泛推荐的是IPSec,用它对协议的传输提供安全保护。

  Juniper的统一接入控制解决方案是首个提供基于端点和身份的控制,并支持基于客户端-主机以及基于网络执行动态配置的防火墙策略及IPSec策略的解决方案。Infranet Control-ler设备充分利用了Juniper的Secure Access SSLVPN策略与控制引擎和Juniper防火墙/VPN平台的安全性与性能。Infranet Controller制定基于角色的策略决策并无缝设置InfranetAgent。InfranetAgent 是一种软件代理,用于在会话开始前与会话过程中评估端点的法规遵从状态,并在客户端主机上执行策略。防火墙/VPN设备用作策略决策的执行点,而这些策略决策是根据用户身份属性和端点评估结果而做出的。本地主机检查和基于Juniper端点防御计划(J.E.D.I.)的检查提供主机评估。In franet Agent 还能够在客户端主机上执行网络策略。客户端主机策略包括防火墙规则、动态设置的IPSec策略以及微软环境下的单一登录。

  链接 NGN安全三拳出击 

  基础类技术:

  *机密性、完整性不可否认性算法:算法研究是基础研究,基本属于数学范畴,近年来没有革命性的新算法广泛应用。

  *特征识别模式匹配:为有效避免垃圾信息、

病毒以及其他有害信息通过网络扩展,必须进一步研究特征识别以及模式匹配等技术。当前对网址、关键字过滤有一定进展,在图片、影片、声音等方面有待进一步研究和应用。

  *安全芯片,操作系统、设备:安全相关的芯片、器件、软件、操作系统、专用设备等都是网络与信息安全的基础。当前上述内容在国际上相对成熟,除非有重大突破,当前重点在于综合应用。

  应用类技术:

  *认证鉴权技术及实施:通过一定的协议流程和算法验证持有特定密钥的用户是否是所声称的特定用户,拥有什么样的权限。近年来所鉴别密钥有所发展,当前ITU等组织正在研究生物特征鉴别。

  *海量信息处理:当前网络随着通信需求的增加以及光通信等技术的飞速发展,在合法监听、内容检测、防范入侵和攻击中,需要实时或者短时间内处理大量信息。

  *数字水印等其他安全相关技术:随着需求的不断出现,新的安全技术将被研究和应用。

  综合类技术:

  *可靠性技术:可靠性技术主要通过器件、设备、协议以及网络组织使网络/应用系统能够持续不间断提供服务。

  *溯源技术:溯源是指通过技术手段,将内容、网络行为以及应用行为等追溯到该行为发起者。随着各国对网络基础设施依赖性的增加,溯源技术将和认证鉴权技术、安全通信架构等结合在一起保障安全。

  *信息对抗:随着社会对网络基础设施依赖程度的增加,信息对抗成为国与国对抗的重要内容。

  *应急通信:应急通信主要是在灾年以及战争等通信设施瘫痪的情况下如何保证必要通信能力持续提供的行为。传统电信网应急通信研究比较成熟,互联网/IP网以及基于IP网新业务和网络的应急通信还在研究中。

  *风险评估:风险评估包括技术和方法。信息系统安全风险评估在ISO等组织研究相对成熟,对网络系统的评估方面还有待进一步研究和应用。

  *反垃圾信息:反垃圾信息实际上并不是一种具体的技术,而是模式识别、管理、架构方面综合应用。

  *合理有效的体系架构:有效的架构能够综合各种技术,在网络与信息系统中提供合法监听点、传输传播控制点、为通信双方信任体系,用户隐私保护等。

  精彩观点

  ——NGN包含了许多技术细节,可以提供多种业务,而这些不同将导致网络安全风险的差异。

  ——NGN建立在分组网络(IP网)平台上,因此安全方面可能有部分问题类似于互联网。

  ——IP承载的引入固然是NGN中安全问题的主要源头,终端和设备的发展以及应用协议的变化也影响着网络安全。

  ——在NGN网络中,运营商必须保证提供的各种业务的安全,可以把NGN系统设备,各种业务服务器归属于不同的安全域。

  ——目前大多数中国的企业面临的关键安全问题在于安全地提供远程访问能力同时强化终端的安全性。

发表评论

爱问(iAsk.com)



评论】【论坛】【收藏此页】【 】【多种方式看新闻】【下载点点通】【打印】【关闭




科技时代意见反馈留言板 电话:010-82628888-5595   欢迎批评指正

新浪简介 | About Sina | 广告服务 | 联系我们 | 招聘信息 | 网站律师 | SINA English | 会员注册 | 产品答疑

Copyright © 1996 - 2006 SINA Corporation, All Rights Reserved

新浪公司 版权所有