中國(guó)移動(dòng)網(wǎng)管系統(tǒng)安全域劃分技術(shù)要求

1、technicaltechnical specificationspecification ofof securesecure domaindomain forfor networksnetworks managementmanagement systemssystems 中 國(guó) 移 動(dòng) 通 信 企 業(yè) 標(biāo) 準(zhǔn) qb-w-001-2007qb-w-001-2007 中國(guó)移動(dòng)網(wǎng)管系統(tǒng)安全域劃分中國(guó)移動(dòng)網(wǎng)管系統(tǒng)安全域劃分 技術(shù)要求技術(shù)要求 版 本 號(hào) ：1 1. .0 0. .0 0 中國(guó)移動(dòng)通信有限公司中國(guó)移動(dòng)通信有限公司 發(fā)布發(fā)布 2 20 00 07 7- -0 07 7- -發(fā)發(fā)布布2 2

2、0 00 07 7- -x xx x- -實(shí)實(shí)施施 i 目 次 前前 言言.1 1適用范圍適用范圍.2 2引用標(biāo)準(zhǔn)與依據(jù)引用標(biāo)準(zhǔn)與依據(jù).2 3相關(guān)術(shù)語與縮略語相關(guān)術(shù)語與縮略語.2 4綜述綜述.3 4.1背景.4 4.2本要求的范圍和主要內(nèi)容.4 5支撐系統(tǒng)的現(xiàn)狀支撐系統(tǒng)的現(xiàn)狀.5 5.1網(wǎng)管系統(tǒng)現(xiàn)狀.5 5.1.1網(wǎng)管系統(tǒng)組網(wǎng)總體架構(gòu).5 5.1.2集團(tuán)網(wǎng)管系統(tǒng)的網(wǎng)絡(luò)架構(gòu).6 5.1.3集團(tuán)網(wǎng)管系統(tǒng)系統(tǒng)與 internet 互聯(lián)的業(yè)務(wù)需求.7 5.1.4省級(jí)網(wǎng)管系統(tǒng)的網(wǎng)絡(luò)架構(gòu).7 5.1.5省級(jí)網(wǎng)管系統(tǒng)與 internet 互聯(lián)的業(yè)務(wù)需求.7 5.2現(xiàn)狀總結(jié)與終端問題.7 6安全域劃分的必要性

3、和原則安全域劃分的必要性和原則.8 6.1安全域劃分的必要性.8 6.2各安全域的威脅等級(jí)分析.9 6.3支撐系統(tǒng)的保護(hù)等級(jí)分析.10 6.3.1資產(chǎn)價(jià)值賦值.11 6.3.2安全需求賦值.11 6.3.3支撐系統(tǒng)的賦值.12 6.4安全域劃分的原則.12 6.4.1安全域劃分的根本原則.12 6.4.2安全域劃分方法.13 6.5網(wǎng)絡(luò)調(diào)整.14 6.5.1廣域網(wǎng).14 6.5.2局域網(wǎng).15 6.5.3終端.17 6.6網(wǎng)管系統(tǒng)的安全域劃分.18 7邊界整合的原則邊界整合的原則.19 7.1網(wǎng)管系統(tǒng)對(duì)外的邊界整合.20 7.1.1與互聯(lián)網(wǎng)的邊界整合.20 7.1.2與第三方的邊界整合.20

4、7.2網(wǎng)管系統(tǒng)與其他支撐系統(tǒng)之間的邊界整合.20 7.3網(wǎng)管系統(tǒng)的邊界整合.20 8安全域保護(hù)的原則安全域保護(hù)的原則.21 8.1安全域邊界的保護(hù)原則.21 8.1.1安全域互訪的風(fēng)險(xiǎn)分析.22 8.1.2安全域互訪的原則.22 8.1.3安全域邊界的保護(hù)方式.23 8.1.4安全域邊界的安全部署.24 8.1.5安全域邊界的安全管理.24 ii 8.2網(wǎng)管系統(tǒng)安全域內(nèi)部的保護(hù).25 8.3對(duì)相關(guān)安全設(shè)備的部署要求.26 9分階段實(shí)施的建議分階段實(shí)施的建議.26 9.1安全域劃分的深入.26 9.2組網(wǎng)方式的演進(jìn).26 9.3保護(hù)方式的演進(jìn).27 10編制歷史編制歷史.28 qb-w-001-

5、2007 1 前前 言言 本要求主要是針對(duì)中國(guó)移動(dòng)通信有限公司所建設(shè)的網(wǎng)管系統(tǒng)，根據(jù)建設(shè)網(wǎng)管監(jiān)控平臺(tái)系統(tǒng)建設(shè)的 需求，當(dāng)前系統(tǒng)面臨的風(fēng)險(xiǎn)、以及保護(hù)等級(jí)，分析網(wǎng)管系統(tǒng)安全域劃分的必要性并提出劃分原則，并 結(jié)合支撐網(wǎng)絡(luò)的現(xiàn)狀對(duì)網(wǎng)絡(luò)結(jié)構(gòu)進(jìn)行調(diào)整，結(jié)合威脅等級(jí)和保護(hù)等級(jí)，確定了各安全域保護(hù)的原則。 安全域劃分包括物理環(huán)境、人員組織、管理、技術(shù)各個(gè)層面，本要求重點(diǎn)針對(duì)安全域劃分的技術(shù) 層面。 本要求作為省公司網(wǎng)管系統(tǒng)為接入總部統(tǒng)建的監(jiān)控平臺(tái)進(jìn)行的網(wǎng)絡(luò)改造的依據(jù)，同時(shí)可以作為后 續(xù)網(wǎng)管系統(tǒng)安全建設(shè)的依據(jù)。 本要求由中國(guó)移動(dòng)通信有限公司網(wǎng)絡(luò)部提出并歸口管理。 本要求解釋單位：中國(guó)移動(dòng)通信有限公司網(wǎng)絡(luò)部。 q

6、b-w-001-2007 2 1適用范圍適用范圍 本要求對(duì)網(wǎng)管系統(tǒng)的安全域劃分進(jìn)行了規(guī)范，適用于中國(guó)移動(dòng)各省公司在總部網(wǎng)管監(jiān)控平臺(tái)實(shí)施 前進(jìn)行的網(wǎng)管系統(tǒng)的改造工作。 2引用標(biāo)準(zhǔn)與依據(jù)引用標(biāo)準(zhǔn)與依據(jù) （1）關(guān)于近期網(wǎng)絡(luò)與信息安全工作安排的通知，中國(guó)移動(dòng)通信集團(tuán)公司網(wǎng)絡(luò)部，移網(wǎng)通 【2004】68 號(hào)。 （2）關(guān)于加強(qiáng)信息安全保障工作的意見，國(guó)家信息化領(lǐng)導(dǎo)小組，中辦發(fā)200327 號(hào)。 （3）公安部、保密局、機(jī)要局、國(guó)務(wù)院信息辦聯(lián)合下發(fā)的關(guān)于信息安全等級(jí)保護(hù)工作的實(shí)施 意見（公通字【2004】66 號(hào)文）。 （4）國(guó)務(wù)院信息辦信息安全風(fēng)險(xiǎn)評(píng)估課題組編制的信息安全風(fēng)險(xiǎn)評(píng)估研究報(bào)告。 （5）美國(guó)國(guó)家標(biāo)

7、準(zhǔn)和技術(shù)研究所（nist，national institute of standards and technology）制訂的 sp 800 系列文檔：it 系統(tǒng)安全自評(píng)估指南、it 系統(tǒng)風(fēng)險(xiǎn)管理指南、聯(lián)邦 it 系統(tǒng)安全認(rèn)證和 認(rèn)可指南、信息系統(tǒng)安全規(guī)劃指南等。/publications/nistpubs/。 （6）美國(guó)國(guó)家安全局，信息保障技術(shù)框架 iatf（information assurance technical framework）， v3.1 版。網(wǎng)址：。 （7）公安部 ga/t 387-391-2002 系列標(biāo)準(zhǔn)，計(jì)算機(jī)信息系統(tǒng)安

8、全等級(jí)保護(hù)操作系統(tǒng)技術(shù)要求、 管理要求、通用技術(shù)要求、網(wǎng)絡(luò)技術(shù)要求、數(shù)據(jù)庫(kù)管理系統(tǒng)技術(shù)要求 （8）中國(guó)移動(dòng)通信有限公司提供的相關(guān)資料。 （9）全國(guó) 31 個(gè)省的調(diào)查資料，以及北京、廣東、四川、陜西 4 省現(xiàn)場(chǎng)調(diào)研的相關(guān)資料。 （10）國(guó)家質(zhì)量技術(shù)監(jiān)督局發(fā)布的計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則(gb 17859 號(hào)文)。 （11）中國(guó)移動(dòng)支撐系統(tǒng)安全域劃分與邊界整合技術(shù)要求（發(fā)布稿）2005 年 5 月 3相關(guān)術(shù)語與縮略語相關(guān)術(shù)語與縮略語 aaaaaccount、authentication、authorizatin and audit 賬號(hào)管理、認(rèn)證、授權(quán) 與審計(jì) aclaccess cont

9、rol list 訪問控制列表 cmnetchina mobile net 中國(guó)移動(dòng)互聯(lián)網(wǎng) dmzdemilitarized zone 非軍事化區(qū) qb-w-001-2007 3 eomselectronic operation and maintainence system 電子運(yùn)行維護(hù)系統(tǒng) iatfinformation assurance technical framework信息保障技術(shù)框架 idsintrusion detection system 入侵檢測(cè)系統(tǒng) ipsecinternet protocol security 互聯(lián)網(wǎng)協(xié)議安全 ipinternet protocol 互

10、聯(lián)網(wǎng)協(xié)議 itinformation technology 信息技術(shù) mismanagement information system 管理信息系統(tǒng) mplsmulti-protocol label switching 多協(xié)議標(biāo)記交換 nistnational institute of standards and technology國(guó)家標(biāo)準(zhǔn)和技術(shù)研究所 omcoperation management center操作維護(hù)中心 radiusremote authentication dial-in user service 接入用戶遠(yuǎn)程認(rèn)證服務(wù) vpnvirtual private netwo

11、rk 虛擬專用網(wǎng) vlanvirtual local area network 虛擬局域網(wǎng) 4綜述綜述 為了建立中國(guó)移動(dòng) it 系統(tǒng)的網(wǎng)絡(luò)及信息安全機(jī)制與進(jìn)行網(wǎng)管監(jiān)控平臺(tái)系統(tǒng)的建設(shè)，首先需要定義 相關(guān)系統(tǒng)安全域的邊界并且對(duì)現(xiàn)有網(wǎng)管系統(tǒng)實(shí)施安全域劃分。所謂安全域(security zone)，是指網(wǎng)絡(luò)中 具有相同的安全保護(hù)需求、并相互信任的區(qū)域或網(wǎng)絡(luò)實(shí)體的集合。一個(gè)安全域內(nèi)可進(jìn)一步被劃分為安 全子域，安全子域也可繼續(xù)依次細(xì)化為次級(jí)安全域、三級(jí)安全域等。安全域的劃分，就是將系統(tǒng)從安 全角度劃分成不同的區(qū)域，以便實(shí)行分門別類的處理。從我國(guó) it 系統(tǒng)的發(fā)展軌跡來看，大多數(shù)企業(yè)都 是在連接到 inte

12、rnet 之后，才開始正式考慮網(wǎng)絡(luò)安全域的。如今的商業(yè)模式要求企業(yè)與 internet 之間、 企業(yè)與業(yè)務(wù)合作伙伴、信息提供商及客戶組成的網(wǎng)絡(luò)之間實(shí)現(xiàn)連接，而企業(yè)內(nèi)部的企業(yè)信息化系統(tǒng)、 業(yè)務(wù)支撐系統(tǒng)、網(wǎng)管系統(tǒng)等系統(tǒng)之間也存在著復(fù)雜的連接關(guān)系。由于網(wǎng)絡(luò)中不同邊界的應(yīng)用方向不同， 所以對(duì)安全有著不同應(yīng)用需求，例如與業(yè)務(wù)合作伙伴的相連和一般外聯(lián)網(wǎng)的連接對(duì)安全性的要求就不 相同。 明確安全域劃分的原則，結(jié)合等級(jí)保護(hù)的要求，確定各安全域的保護(hù)等級(jí)，并部署相應(yīng)的安全手 段，安全域的邊界隔離與防護(hù)是關(guān)注的重點(diǎn)。中國(guó)移動(dòng)整體支撐網(wǎng)目前確實(shí)存在邊界不清、連接混亂 的實(shí)際問題，對(duì)邊界進(jìn)行整合，從企業(yè)的視角有效地整

13、合系統(tǒng)對(duì)外的接口數(shù)量，提高企業(yè)網(wǎng)絡(luò)和信息 qb-w-001-2007 4 的安全性，也是做好安全工作的基礎(chǔ)。 對(duì)于信息保密性，請(qǐng)參見其他相關(guān)技術(shù)規(guī)范。 本技術(shù)要求的研究主要有為：制定網(wǎng)管系統(tǒng)安全域劃分的原則； 通過以上的分析和研究，確定相關(guān)的原則，以便將來在網(wǎng)管監(jiān)控平臺(tái)的推廣實(shí)施階段，各省可以 按要求進(jìn)行接入。 4.1背景背景 2007 年下半年，總部網(wǎng)絡(luò)部集中建設(shè)的網(wǎng)管監(jiān)控平臺(tái)（試點(diǎn)階段）工作進(jìn)入具體實(shí)施階段，作為 接入監(jiān)控平臺(tái)的先決條件，目前監(jiān)控平臺(tái)試點(diǎn)階段的總部，甘肅以及北京三地的網(wǎng)管網(wǎng)絡(luò)改造暨安全 域劃分已經(jīng)完成實(shí)施，其目的是將現(xiàn)有存在風(fēng)險(xiǎn)的網(wǎng)絡(luò)改造為結(jié)構(gòu)合理，監(jiān)控平臺(tái)代理軟件可以順利

14、 安裝使用的架構(gòu)。同時(shí)參考 2003 年年底，國(guó)家信息化領(lǐng)導(dǎo)小組下發(fā)了“關(guān)于加強(qiáng)信息安全保障工作的 意見” (中辦發(fā)200327 號(hào)) ，文件把網(wǎng)絡(luò)與信息安全工作提高為國(guó)家安全的重要組成部分，明確了 加強(qiáng)信息安全保障工作的總體要求，即：“堅(jiān)持積極防御、綜合防范的方針，全面提高信息安全防護(hù) 能力，重點(diǎn)保障基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)安全重點(diǎn)保障基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)安全，創(chuàng)建安全健康的網(wǎng)絡(luò)環(huán)境，保障和促進(jìn)信息化發(fā) 展，保護(hù)公眾利益，維護(hù)國(guó)家安全” 。文件要求正確處理安全與發(fā)展的關(guān)系，統(tǒng)籌規(guī)劃，突出重點(diǎn)，強(qiáng)統(tǒng)籌規(guī)劃，突出重點(diǎn)，強(qiáng) 化基礎(chǔ)性工作，通過實(shí)行信息安全等級(jí)保護(hù)實(shí)現(xiàn)這一目的化基礎(chǔ)性工作，通

15、過實(shí)行信息安全等級(jí)保護(hù)實(shí)現(xiàn)這一目的。因此，國(guó)家將建立信息安全等級(jí)保護(hù)制度， 制定信息安全等級(jí)保護(hù)的管理辦法和技術(shù)指南。 在這樣的背景下，作為接入網(wǎng)管監(jiān)控平臺(tái)的前提工作，提出中國(guó)移動(dòng)網(wǎng)管系統(tǒng)的安全域劃分原則 就顯得十分重要。明確安全域劃分的基本原則，界定網(wǎng)管系統(tǒng)的重要性和安全風(fēng)險(xiǎn)等級(jí)，然后根據(jù)不 同的保護(hù)等級(jí)，從網(wǎng)絡(luò)、主機(jī)、應(yīng)用系統(tǒng)不同層面相應(yīng)的逐步建設(shè)由網(wǎng)絡(luò)與信息安全基礎(chǔ)設(shè)施（如防 火墻、防病毒、賬號(hào)管理以及相應(yīng)的控制端等）、安全集中管理系統(tǒng)或者它們的一部分構(gòu)成的多層 立體防護(hù)體系，提高對(duì)網(wǎng)絡(luò)攻擊、病毒入侵、網(wǎng)絡(luò)失竊密的防范能力，防止有害信息傳播，保證網(wǎng)管 系統(tǒng)的安全運(yùn)行。 4.2 本要求的范

16、圍和主要內(nèi)容本要求的范圍和主要內(nèi)容 本要求主要針對(duì)中國(guó)移動(dòng)網(wǎng)管系統(tǒng)安全域劃分的技術(shù)要求，具體主要指省公司網(wǎng)管系統(tǒng)和 omc， 及其地市部分。 主要內(nèi)容包括： （1）網(wǎng)管系統(tǒng)的現(xiàn)狀：包括內(nèi)網(wǎng)和公網(wǎng)的論述。 （2）安全域劃分的必要性和原則：本章節(jié)包含了安全域劃分的必要性，以及各系統(tǒng)的威脅等級(jí)、 保護(hù)等級(jí)，制定了安全域劃分的原則，結(jié)合網(wǎng)管網(wǎng)絡(luò)的實(shí)際情況，對(duì)網(wǎng)絡(luò)結(jié)構(gòu)進(jìn)行調(diào)整，網(wǎng)管系統(tǒng)的 安全區(qū)域的劃分進(jìn)行細(xì)化。 qb-w-001-2007 5 （3）邊界整合的原則：首先對(duì)網(wǎng)管系統(tǒng)對(duì)外的邊界進(jìn)行整合（包括與 cmnet、和第三方的邊界 整合原則），然后針對(duì)各支撐系統(tǒng)的各種邊界進(jìn)行整合。 （4）安全域保護(hù)

17、的原則：包括安全域邊界部分的防護(hù)和安全域內(nèi)部的防護(hù)兩方面。 （5）分階段安全防護(hù)的建議：分別從網(wǎng)絡(luò)調(diào)整方式、安全域劃分的細(xì)化、以及保護(hù)方式的演進(jìn) 等方面，體現(xiàn)逐步實(shí)現(xiàn)的過程。 5支撐系統(tǒng)的現(xiàn)狀支撐系統(tǒng)的現(xiàn)狀 中國(guó)移動(dòng)網(wǎng)管系統(tǒng)在網(wǎng)絡(luò)的縱向連接上均是三級(jí)結(jié)構(gòu)：集團(tuán)公司省公司地市分公司。根據(jù)前 期總部安全處對(duì)各省的調(diào)研情況，網(wǎng)管系統(tǒng)在三級(jí)結(jié)構(gòu)的承載層面上都考慮了相互隔離，比如網(wǎng)管系 統(tǒng)共同承載在 ip 承載網(wǎng)上，分別采用了 vpn 技術(shù)、路由策略等相關(guān)技術(shù)對(duì)其進(jìn)行隔離等。 5.1網(wǎng)管系統(tǒng)現(xiàn)狀網(wǎng)管系統(tǒng)現(xiàn)狀 中國(guó)移動(dòng)網(wǎng)管系統(tǒng)包括話務(wù)網(wǎng)網(wǎng)管、匯接網(wǎng)網(wǎng)管、信令網(wǎng)管、智能網(wǎng)管、同步網(wǎng)管、ip 專網(wǎng)網(wǎng)管、 數(shù)據(jù)

18、網(wǎng)管、信令檢測(cè)、傳輸網(wǎng)管等。各網(wǎng)管系統(tǒng)(除數(shù)據(jù)網(wǎng)管外)通過核心交換機(jī)與被管網(wǎng)元以及省網(wǎng)管 相連。數(shù)據(jù)網(wǎng)管只與 cmnet 互連，實(shí)現(xiàn)數(shù)據(jù)業(yè)務(wù)的綜合網(wǎng)管。 5.1.1網(wǎng)管系統(tǒng)組網(wǎng)總體架構(gòu)網(wǎng)管系統(tǒng)組網(wǎng)總體架構(gòu) 集團(tuán)公司網(wǎng)管系統(tǒng)包括十多套專業(yè)網(wǎng)管系統(tǒng)，除數(shù)據(jù)網(wǎng)管系統(tǒng)之外的所有系統(tǒng)和省網(wǎng)管系統(tǒng)采用 ip 承載網(wǎng)承載，集團(tuán)與省之間有防火墻，采用私有地址，由集團(tuán)公司統(tǒng)一分配。數(shù)據(jù)網(wǎng)管系統(tǒng)通過防 火墻與 cmnet 骨干網(wǎng)連接，實(shí)現(xiàn)對(duì) cmnet 全網(wǎng)的網(wǎng)絡(luò)管理。網(wǎng)管系統(tǒng)組網(wǎng)結(jié)構(gòu)見下圖： 云圖 云圖 集團(tuán)網(wǎng)管 云圖 云圖 省網(wǎng)管1云圖 云圖 省網(wǎng)管n云圖 云圖 省網(wǎng)管m 云圖 ip承載網(wǎng) vpn 集團(tuán) 省

19、vpn vpn 圖 5.3、網(wǎng)管系統(tǒng)總體架構(gòu)示意圖 qb-w-001-2007 6 5.1.2集團(tuán)網(wǎng)管系統(tǒng)的網(wǎng)絡(luò)架構(gòu)集團(tuán)網(wǎng)管系統(tǒng)的網(wǎng)絡(luò)架構(gòu) 集團(tuán)公司的網(wǎng)管系統(tǒng)拓?fù)浣Y(jié)構(gòu)如下： 圖 5.4、集團(tuán)網(wǎng)管系統(tǒng)結(jié)構(gòu)示意圖 （1）與省公司的連接 通過 ip 承載網(wǎng)與省公司網(wǎng)管系統(tǒng)實(shí)現(xiàn)互連 通過帶內(nèi)傳輸方式與各被管網(wǎng)元互連。 （2）與企業(yè)信息化/計(jì)費(fèi)等系統(tǒng)的連接 為實(shí)現(xiàn)從企業(yè)信息化系統(tǒng)訪問話務(wù)網(wǎng)管系統(tǒng)、局?jǐn)?shù)據(jù)管理系統(tǒng)和 eoms 系統(tǒng)的需求，集團(tuán)網(wǎng)管系 統(tǒng)與企業(yè)信息化系統(tǒng)相連接，中間有防火墻進(jìn)行隔離。 （3）與 cmnet 的連接 數(shù)據(jù)網(wǎng)管系統(tǒng)與 cmnet 之間有防火墻進(jìn)行隔離。 電子運(yùn)行維護(hù)系統(tǒng)（eoms

20、）系統(tǒng)連接一個(gè)短信轉(zhuǎn)發(fā)服務(wù)器，該服務(wù)器設(shè)置在數(shù)據(jù)網(wǎng)管系統(tǒng)與 cmnet 之間防火墻的 dmz 區(qū)中，eoms 系統(tǒng)通過短信轉(zhuǎn)發(fā)服務(wù)器經(jīng)由 cmnet 連接到北京的短信網(wǎng) 關(guān)，實(shí)現(xiàn)工單的短信通知。 qb-w-001-2007 7 5.1.3集團(tuán)網(wǎng)管系統(tǒng)系統(tǒng)與集團(tuán)網(wǎng)管系統(tǒng)系統(tǒng)與 internet 互聯(lián)的業(yè)務(wù)需求互聯(lián)的業(yè)務(wù)需求 網(wǎng)管系統(tǒng)與 internet 互聯(lián)的業(yè)務(wù)需求主要有兩類： （1）為實(shí)現(xiàn)對(duì) cmnet 網(wǎng)絡(luò)的管理，集團(tuán)和省公司網(wǎng)管系統(tǒng)中的數(shù)據(jù)網(wǎng)管系統(tǒng)需要與 cmnet 實(shí) 現(xiàn)互聯(lián)，采集 cmnet 網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)業(yè)務(wù)系統(tǒng)關(guān)鍵服務(wù)器的網(wǎng)管數(shù)據(jù)。 （2）eoms 需要與短信網(wǎng)關(guān)互聯(lián)，實(shí)現(xiàn)告警信

21、息、工單的及時(shí)通知。 5.1.4省級(jí)網(wǎng)管系統(tǒng)的網(wǎng)絡(luò)架構(gòu)省級(jí)網(wǎng)管系統(tǒng)的網(wǎng)絡(luò)架構(gòu) 省級(jí)網(wǎng)管系統(tǒng)的網(wǎng)絡(luò)連接如下： （1）與集團(tuán)公司的連接 通過 ip 承載網(wǎng)與集團(tuán)公司實(shí)現(xiàn)互連，部分省公司在省側(cè)設(shè)置了防火墻。 （2）與地市的連接 與地市連接的需求主要是被管網(wǎng)元的采集和地市維護(hù)人員的訪問。主要包括專線或 dcn 網(wǎng)絡(luò)連接 兩種方式。 （3）與企業(yè)信息化/計(jì)費(fèi)等系統(tǒng)的連接 為實(shí)現(xiàn)從企業(yè)信息化系統(tǒng)訪問話務(wù)網(wǎng)管系統(tǒng)、局?jǐn)?shù)據(jù)管理系統(tǒng)和 eoms 系統(tǒng)的需求，省級(jí)網(wǎng)管系 統(tǒng)與企業(yè)信息化系統(tǒng)相連接，中間有防火墻進(jìn)行隔離。 （4）eoms 系統(tǒng) eoms 系統(tǒng)與省級(jí)話務(wù)網(wǎng)管系統(tǒng)通過防火墻連接，地市訪問此系統(tǒng)有兩種方式

22、： 通過網(wǎng)管系統(tǒng)網(wǎng)上省級(jí)話務(wù)網(wǎng)管系統(tǒng)，統(tǒng)一出口訪問 eoms 通過企業(yè)信息化系統(tǒng)訪問 eoms。 大部分省是通過第二種方式。 （5）與 cmnet 的連接 數(shù)據(jù)網(wǎng)管系統(tǒng)與 cmnet 之間有防火墻進(jìn)行隔離。 eoms 系統(tǒng)通過防火墻連接到短信網(wǎng)關(guān)，實(shí)現(xiàn)工單的短信通知。 5.1.5省級(jí)網(wǎng)管系統(tǒng)與省級(jí)網(wǎng)管系統(tǒng)與 internet 互聯(lián)的業(yè)務(wù)需求互聯(lián)的業(yè)務(wù)需求 網(wǎng)管系統(tǒng)與 internet 互聯(lián)的業(yè)務(wù)需求主要有兩類： （1）為實(shí)現(xiàn)對(duì) cmnet 網(wǎng)絡(luò)的管理，省公司網(wǎng)管系統(tǒng)中的 ip 網(wǎng)網(wǎng)管系統(tǒng)需要與 cmnet 實(shí)現(xiàn)互聯(lián)， 采集 cmnet 網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)業(yè)務(wù)系統(tǒng)關(guān)鍵服務(wù)器的網(wǎng)管數(shù)據(jù)。 （2）電子運(yùn)

23、行維護(hù)系統(tǒng)（eoms）需要與短信網(wǎng)關(guān)互聯(lián)，實(shí)現(xiàn)告警信息、工單的及時(shí)通知。 5.2現(xiàn)狀總結(jié)與終端問題現(xiàn)狀總結(jié)與終端問題 目前中國(guó)移動(dòng)的網(wǎng)管系統(tǒng)廣域網(wǎng)承載層面主要包括集團(tuán)公司和省公司、省公司和地市的連接，其 qb-w-001-2007 8 中在集團(tuán)公司與省公司的連接方式相對(duì)簡(jiǎn)單，網(wǎng)管系統(tǒng)采用 ip 承載網(wǎng)網(wǎng)絡(luò)連接。而在省公司與地市的 連接比較多樣化，存在 dcn，ip 承載網(wǎng)以及其他連接方式。 目前終端的使用存在以下問題： 企業(yè)內(nèi)部的終端：目前生產(chǎn)終端的使用缺乏嚴(yán)格統(tǒng)一的管理要求，同時(shí)縣市公司存在支撐系統(tǒng)間 的不規(guī)范連接，而且由于終端投資的問題，一部分生產(chǎn)終端是通過配置雙網(wǎng)卡或者拔網(wǎng)線的方式，既

24、可以訪問企業(yè)信息化系統(tǒng)，也可以訪問網(wǎng)管網(wǎng)。即使各支撐網(wǎng)實(shí)現(xiàn)了隔離,在部分辦公終端訪問生產(chǎn)系 統(tǒng)時(shí)，也存在一定的威脅和風(fēng)險(xiǎn)。 第三方或合作伙伴終端：主要是指集成商、設(shè)備商等第三方的終端，由于缺乏對(duì)該部分終端的有 效管理和控制，比如，廠家人員的筆記本電腦存在安全漏洞或擴(kuò)散性很強(qiáng)的病毒，因此該部分終端對(duì) 網(wǎng)管系統(tǒng)存在一定的潛在威脅。 6安全域劃分的必要性和原則安全域劃分的必要性和原則 我國(guó)在商用 it 系統(tǒng)信息安全方面的研究和積累不足，目前還缺乏規(guī)范化的、成熟的標(biāo)準(zhǔn)可遵循， 本要求借鑒了 iatf 區(qū)域劃分理論，以及業(yè)界對(duì)安全域劃分的實(shí)踐經(jīng)驗(yàn)，并結(jié)合中國(guó)移動(dòng)的實(shí)際情況， 對(duì)支撐系統(tǒng)和互聯(lián)系統(tǒng)帶來的威

25、脅等級(jí)、以及各支撐系統(tǒng)的保護(hù)等級(jí)進(jìn)行了分析研究，然后根據(jù)這些 分析研究確定了安全域劃分的原則。 安全域是一個(gè)邏輯范圍或區(qū)域，同一安全域中的信息資產(chǎn)具有相同或相近的安全屬性，如安全級(jí) 別、安全威脅、安全弱點(diǎn)、風(fēng)險(xiǎn)等，同一安全域內(nèi)的系統(tǒng)相互信任，如在業(yè)務(wù)層面存在密切的邏輯關(guān) 系。通過在網(wǎng)絡(luò)和系統(tǒng)層面安全域的劃分，將業(yè)務(wù)系統(tǒng)、安全技術(shù)有機(jī)結(jié)合，形成完整的防護(hù)體系， 這樣既可以對(duì)同一安全域內(nèi)的系統(tǒng)進(jìn)行統(tǒng)一規(guī)范的保護(hù)，又可以限制系統(tǒng)風(fēng)險(xiǎn)在網(wǎng)內(nèi)的任意擴(kuò)散，從 而有效控制安全事件和安全風(fēng)險(xiǎn)的傳播。 6.1安全域劃分的必要性安全域劃分的必要性 網(wǎng)絡(luò)的建設(shè)是由業(yè)務(wù)系統(tǒng)的驅(qū)動(dòng)建設(shè)而成的，初始的網(wǎng)絡(luò)建設(shè)大多沒有統(tǒng)一

26、規(guī)劃，有些系統(tǒng)是獨(dú) 立的網(wǎng)絡(luò)，有些系統(tǒng)又是共用一個(gè)網(wǎng)絡(luò)。而這些系統(tǒng)的業(yè)務(wù)特性、安全需求和等級(jí)、使用的對(duì)象、面 對(duì)的威脅和風(fēng)險(xiǎn)各不相同。 當(dāng)前中國(guó)移動(dòng)的網(wǎng)絡(luò)系統(tǒng)是一個(gè)龐大復(fù)雜的系統(tǒng)，在支持業(yè)務(wù)不斷發(fā)展的前提下，如何保證系統(tǒng) 的安全性是一個(gè)巨大的挑戰(zhàn)，對(duì)系統(tǒng)進(jìn)行區(qū)域劃分，進(jìn)行層次化、有重點(diǎn)的保護(hù)是保證系統(tǒng)和信息安 全的有效手段。 目前中國(guó)移動(dòng)未實(shí)施安全域劃分的網(wǎng)管系統(tǒng)還存在以下問題： （1）隨著中國(guó)移動(dòng)的網(wǎng)絡(luò)規(guī)模和各相關(guān)應(yīng)用系統(tǒng)的不斷擴(kuò)大，網(wǎng)管系統(tǒng)也隨之不斷發(fā)展，但各個(gè) 系統(tǒng)的部署沒有明確的指導(dǎo)原則，導(dǎo)致網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜、層次不清、系統(tǒng)管理維護(hù)困難，網(wǎng)絡(luò)的有效性、 穩(wěn)定性較低。 qb-w-001-20

27、07 9 （2）根據(jù)系統(tǒng)的現(xiàn)狀，目前網(wǎng)管系統(tǒng)的網(wǎng)絡(luò)仍然存在邊界不清的問題，主要是網(wǎng)管系統(tǒng)之間以及 網(wǎng)管系統(tǒng)和信息化等其他支撐系統(tǒng)的連接比較混亂，隨之帶來安全防護(hù)困難，投資較大，而且容易產(chǎn) 生疏漏，單個(gè)系統(tǒng)中的安全問題極易擴(kuò)散到其它系統(tǒng)。 只有通過明確安全域劃分的原則，才能形成清晰、簡(jiǎn)潔、穩(wěn)定的 it 組網(wǎng)架構(gòu)，實(shí)現(xiàn)系統(tǒng)之間嚴(yán)格 訪問控制的安全互連，更好的解決復(fù)雜系統(tǒng)的安全問題。 6.2各安全域的威脅等級(jí)分析各安全域的威脅等級(jí)分析 目前，與網(wǎng)管系統(tǒng)安全域互聯(lián)的其它系統(tǒng)包括 cmnet、企業(yè)信息化，計(jì)費(fèi)等等； 由于不同系統(tǒng)的開放性、可控性等方面各不相同，它們的可信度也有明顯的區(qū)別。支撐系統(tǒng)與不 同

28、威脅等級(jí)、可信度的系統(tǒng)互聯(lián)時(shí)，面對(duì)的威脅是不同的。了解各系統(tǒng)可能帶來的主要威脅，才能有 針對(duì)性的選擇不同的防護(hù)技術(shù)和防護(hù)強(qiáng)度。 在參考 iatf 七個(gè)威脅等級(jí)（攻擊強(qiáng)度）、美國(guó) nist sp800 等標(biāo)準(zhǔn)對(duì)威脅的分析描述基礎(chǔ)上，結(jié) 合中國(guó)移動(dòng)支撐系統(tǒng)的具體情況，根據(jù)各互聯(lián)的系統(tǒng)出現(xiàn)不同強(qiáng)度攻擊的可能性，確定它的可信度。 一個(gè)安全域當(dāng)中出現(xiàn)高強(qiáng)度攻擊的可能性越高，那么它的威脅等級(jí)越高，可信度越低。 威脅可能源于對(duì)系統(tǒng)直接或間接的攻擊，例如信息泄漏、篡改、刪除等，在機(jī)密性、完整性或可 用性等方面造成損害；威脅也可能源于偶發(fā)的、或蓄意的事件。按照威脅產(chǎn)生的來源，可以分為外部 威脅和內(nèi)部威脅： （1

29、）外部威脅：來自不可控網(wǎng)絡(luò)的外部攻擊，主要指移動(dòng)的 cmnet、其它電信運(yùn)營(yíng)商的 internet 互聯(lián)網(wǎng)，以及第三方的攻擊，其中互聯(lián)網(wǎng)的威脅主要是黑客攻擊、蠕蟲病毒等，而第三方的威脅主要 是越權(quán)或?yàn)E用、泄密、篡改、惡意代碼或病毒等。 （2）內(nèi)部威脅：主要來自內(nèi)部人員的惡意攻擊、無作為或操作失誤、越權(quán)或?yàn)E用、泄密、篡改等。 另外，由于管理不規(guī)范導(dǎo)致各支撐系統(tǒng)之間的終端混用，也帶來病毒泛濫的潛在威脅。 需要說明的是，威脅分為應(yīng)用層面的和網(wǎng)絡(luò)層面的，應(yīng)用層面的威脅主要是越權(quán)或?yàn)E用、篡改、 泄密等，網(wǎng)絡(luò)層面的威脅主要針對(duì)網(wǎng)絡(luò)的弱點(diǎn)、漏洞產(chǎn)生的威脅。由于應(yīng)用層面的威脅涉及的因素較 多，本技術(shù)要求主要針

30、對(duì)網(wǎng)絡(luò)層面的威脅進(jìn)行分析。 具體來說： （1）互聯(lián)網(wǎng)由于其開放性，完全不可控，威脅包括黑客攻擊、病毒擴(kuò)散等等，其威脅等級(jí)最高。 （2）第三方的接入由于移動(dòng)公司對(duì)其操作較難控制，而且第三方很容易獲取所管理維護(hù)的支撐系 統(tǒng)的弱點(diǎn)及其分布，由于具有很高權(quán)限，其潛在威脅最大，但是通過一定的管理手段、合同要求、法 律規(guī)定進(jìn)行約束后，這樣的威脅可以降低；網(wǎng)絡(luò)接入方面的安全問題可以通過技術(shù)手段結(jié)合管理規(guī)定， 進(jìn)行控制。因此，威脅等級(jí)相對(duì)較低。 主要的的威脅等級(jí)分析見下表：其中等級(jí)分為 15，其中 5 威脅最大，即可能造成的損失最大。 qb-w-001-2007 10 威脅等級(jí)分析表 表 6.1 威脅等級(jí)可能

31、帶來的威脅可控性系統(tǒng) 5 黑客攻擊、惡意代碼和病毒等完全不可控互聯(lián)網(wǎng) 4 病毒擴(kuò)散、惡意代碼等合作關(guān)系，但不可控第三方 3 物理攻擊、惡意代碼和病毒等一定的可控性第三方 2 內(nèi)部人員的操作失誤、惡意代碼和病 毒等 較大的可控性網(wǎng)管系統(tǒng) 1 內(nèi)部人員的操作失誤、惡意代碼和病 毒等 基本可控網(wǎng)管系統(tǒng) 6.3支撐系統(tǒng)的保護(hù)等級(jí)分析支撐系統(tǒng)的保護(hù)等級(jí)分析 參考關(guān)于信息安全等級(jí)保護(hù)工作的實(shí)施意見，系統(tǒng)的保護(hù)等級(jí)規(guī)定了 5 級(jí)，根據(jù)中國(guó)移動(dòng)的 實(shí)際情況，網(wǎng)管系統(tǒng)總體上可以列為第 3 級(jí)，再根據(jù)具體情況進(jìn)行部分調(diào)整。 系統(tǒng)的保護(hù)等級(jí)分為系統(tǒng)和信息 2 個(gè)層面，本技術(shù)要求主要是針對(duì)系統(tǒng)的保護(hù)等級(jí)，對(duì)于信息的

32、保護(hù)等級(jí)，可以通過增加信息分級(jí)、信息加密、信息控制等實(shí)現(xiàn)信息的機(jī)密性。 下面主要從資產(chǎn)價(jià)值、安全需求方面對(duì)支撐系統(tǒng)的保護(hù)等級(jí)進(jìn)行賦值判斷，其中資產(chǎn)價(jià)值主要是 指資產(chǎn)的重要性，指標(biāo)列表如下： 保護(hù)等級(jí)確定的指標(biāo)列表 表 6.2 指標(biāo)類型資產(chǎn)價(jià)值安全要求 指標(biāo) 業(yè)務(wù)關(guān)聯(lián) 性 對(duì)業(yè)務(wù)網(wǎng) 絡(luò)的影響 對(duì)業(yè)務(wù)收 益的影響 對(duì)公司經(jīng) 營(yíng)管理的 影響 客戶重要 程度 對(duì)可用性 的要求 對(duì)完整性和準(zhǔn) 確性的要求 對(duì)保密性 的要求 賦值為 3 直接對(duì)外， 面向服務(wù) 影響大 直接關(guān)系 業(yè)務(wù)收益 直接影響 或影響較 大 公眾用戶高 對(duì)完整性、準(zhǔn) 確性要求高 對(duì)保密性 要求高 賦值為 2 間接對(duì)外， 面向網(wǎng)絡(luò) 管理 影

33、響較小 關(guān)系相對(duì) 較少 間接影響 或影響較 少 企業(yè)用戶中 對(duì)完整性、準(zhǔn) 確性要求較低 對(duì)保密性 要求較低 賦值為 1 內(nèi)部企業(yè) 管理 影響小 無關(guān)系或 較少 無影響或 影響少 內(nèi)部用戶低 對(duì)完整性、準(zhǔn) 確性要求低 對(duì)保密性 要求低 qb-w-001-2007 11 6.3.1資產(chǎn)價(jià)值賦值資產(chǎn)價(jià)值賦值 針對(duì)支撐系統(tǒng)，資產(chǎn)價(jià)值主要體現(xiàn)在業(yè)務(wù)關(guān)聯(lián)性、業(yè)務(wù)收益的影響、對(duì)公司經(jīng)營(yíng)管理的影響以及 面向客戶的重要程度等方面，賦值方法如下： （1）業(yè)務(wù)關(guān)聯(lián)性： 直接對(duì)外，面向服務(wù)，賦值為 3 間接對(duì)外，面向網(wǎng)絡(luò)管理，賦值為 2 面向內(nèi)部企業(yè)管理，賦值為 1 （2）對(duì)業(yè)務(wù)網(wǎng)絡(luò)的影響： 影響大，對(duì)業(yè)務(wù)的開展直接

34、影響，賦值為 3 影響較小，賦值為 2 影響小，賦值為 1 （3）業(yè)務(wù)收益的影響： 直接影響業(yè)務(wù)的收益：賦值為 3 間接影響或影響較少：賦值為 2 無影響或影響較少，賦值為 1 （4）對(duì)公司經(jīng)營(yíng)管理的影響： 直接影響公司的經(jīng)營(yíng)管理：賦值為 3 間接影響或影響較少：賦值為 2 無影響或影響少，賦值為 1 （5）面向客戶的重要程度： 面向大眾用戶：賦值為 3 面向企業(yè)用戶：賦值為 2 面向內(nèi)部人員，賦值為 1 6.3.2安全需求賦值安全需求賦值 安全需求則是根據(jù)支撐系統(tǒng)的重要性，確定其在可用性、完整性、機(jī)密性三個(gè)方面的需求等級(jí)。 （1）可用性指的是對(duì)系統(tǒng)實(shí)時(shí)可用的要求： 可用性要求高，賦值為 3

35、可用性要求是中，賦值為 2 可用性要求是低，賦值為 1 （2）完整性指的是對(duì)完整性和準(zhǔn)確性的要求： 對(duì)完整性和準(zhǔn)確性要求高，賦值為 3 對(duì)完整性和準(zhǔn)確性要求較低，賦值為 2 qb-w-001-2007 12 對(duì)完整性和準(zhǔn)確性要求低，賦值為 1 （3）機(jī)密性指的是對(duì)保密性的要求： 對(duì)機(jī)密性要求很高，賦值為 3 對(duì)機(jī)密性要求較低，賦值為 2 對(duì)機(jī)密性要求低，賦值為 1 6.3.3支撐系統(tǒng)的賦值支撐系統(tǒng)的賦值 根據(jù)上述各項(xiàng)賦值的要求，對(duì)網(wǎng)管系統(tǒng)的賦值進(jìn)行取定： 支撐系統(tǒng)的保護(hù)等級(jí)列表 表 6.3 資產(chǎn)價(jià)值安全需求 系統(tǒng)名稱 業(yè)務(wù) 關(guān)聯(lián) 性 對(duì)業(yè)務(wù) 網(wǎng)絡(luò)的 影響 業(yè)務(wù)收 益的關(guān) 系 對(duì)公司經(jīng) 營(yíng)管理的

36、 影響 客戶 重要 程度 對(duì)可 用性 要求 完整和 準(zhǔn)確性 要求 保密 性要 求 合計(jì) 網(wǎng)管系統(tǒng) 2322323219 根據(jù)上面資產(chǎn)價(jià)值和安全需求的賦值可以得出，網(wǎng)管系統(tǒng)的保護(hù)等級(jí)為中等（相對(duì)于其他支撐系 統(tǒng)） 在系統(tǒng)內(nèi)部，可以根據(jù)信息的機(jī)密性對(duì)個(gè)別系統(tǒng)的保護(hù)等級(jí)進(jìn)行細(xì)化調(diào)整。 6.4安全域劃分的原則安全域劃分的原則 安全域（網(wǎng)絡(luò)安全域）是指同一系統(tǒng)內(nèi)有相同的安全保護(hù)需求，相互信任，并具有相同的安全訪 問控制和邊界控制策略的子網(wǎng)或網(wǎng)絡(luò)，且相同的網(wǎng)絡(luò)安全域共享一樣的安全策略。 6.4.1安全域劃分的根本原則安全域劃分的根本原則 （1）業(yè)務(wù)保障原則：安全域方法的根本目標(biāo)是能夠更好的保障網(wǎng)絡(luò)上承載的

37、業(yè)務(wù)。在保證安全 的同時(shí)，還要保障業(yè)務(wù)的正常運(yùn)行和運(yùn)行效率。 （2）結(jié)構(gòu)簡(jiǎn)化原則：安全域劃分的直接目的和效果是要將整個(gè)網(wǎng)絡(luò)變得更加簡(jiǎn)單，簡(jiǎn)單的網(wǎng)絡(luò) 結(jié)構(gòu)便于設(shè)計(jì)防護(hù)體系。比如，安全域劃分并不是粒度越細(xì)越好，安全域數(shù)量過多過雜可能導(dǎo)致安全 域的管理過于復(fù)雜和困難。 （3）等級(jí)保護(hù)原則：安全域的劃分要做到每個(gè)安全域的信息資產(chǎn)價(jià)值相近，具有相同或相近的 安全等級(jí)、安全環(huán)境、安全策略等。 （4）生命周期原則：對(duì)于安全域的劃分和布防不僅僅要考慮靜態(tài)設(shè)計(jì)，還要考慮不斷的變化； qb-w-001-2007 13 另外，在安全域的建設(shè)和調(diào)整過程中要考慮工程化的管理。 6.4.2安全域劃分方法安全域劃分方法 安

38、全域的劃分除了遵循上述根本原則外，還根據(jù)業(yè)務(wù)邏輯、地域與管理模式、業(yè)務(wù)特點(diǎn)（網(wǎng)管系 統(tǒng)中的移動(dòng)自用生產(chǎn)終端的控制較好，可以簡(jiǎn)化對(duì)服務(wù)器訪問的控制措施）劃分安全域、安全子域、 安全區(qū)域。 在安全域內(nèi)部進(jìn)一步劃分安全區(qū)域時(shí)，如核心生產(chǎn)區(qū)、日常工作區(qū)、dmz 區(qū)、第三方互聯(lián)區(qū)等等， 重點(diǎn)參考了 iatf 計(jì)算區(qū)域劃分的理論，并考慮了不同區(qū)域和不同的威脅。 中國(guó)移動(dòng)的網(wǎng)管系統(tǒng)相對(duì)于業(yè)務(wù)系統(tǒng)、internet、第三方伙伴來講，是不同的安全域；即移動(dòng)支 撐系統(tǒng)整體上作為一個(gè)安全域，而與之相連接的業(yè)務(wù)系統(tǒng)、internet、合作伙伴等是另一個(gè)安全域。 在網(wǎng)管系統(tǒng)內(nèi)部，從不同的角度安全域的劃分也不盡相同： （

39、1）橫向：按照業(yè)務(wù)將支撐系統(tǒng)劃分各個(gè)不同的安全域，如業(yè)務(wù)支撐系統(tǒng)安全域、網(wǎng)管系統(tǒng)安全 域、企業(yè)信息化系統(tǒng)安全域等； （2）縱向：各安全域又可以按照地域和管理分為集團(tuán)公司、省公司和地市分公司三個(gè)層面的安全 子域，如集團(tuán)網(wǎng)管系統(tǒng)安全子域、省公司網(wǎng)管系統(tǒng)安全子域、地市分公司的網(wǎng)管系統(tǒng)安全子域。 （3）對(duì)于每一個(gè)安全子域，如集團(tuán)公司網(wǎng)管系統(tǒng)安全子域，可以進(jìn)一步劃分為安全區(qū)域，即從安 全的角度將處于安全子域中的設(shè)備，考慮到其所處的位置或連接的不同，將他們劃分在不同的安全區(qū) 域中。例如可分為互聯(lián)接口區(qū)、核心生產(chǎn)區(qū)、日常維護(hù)管理區(qū)（維護(hù)終端）、第三方接入?yún)^(qū)（漫游區(qū)） 、dmz 區(qū)等。 qb-w-001-20

40、07 14 圖 6.1 安全域劃分的示意圖 （注：從風(fēng)險(xiǎn)控制、技術(shù)實(shí)現(xiàn)和節(jié)省投資的角度考慮，本要求中暫不在集團(tuán)或者省公司各支撐系 統(tǒng)內(nèi)部、針對(duì)不同應(yīng)用子系統(tǒng)進(jìn)一步劃分安全子域。隨著對(duì)網(wǎng)絡(luò)安全要求的提高和技術(shù)進(jìn)步，將來再 逐步加強(qiáng)各支撐系統(tǒng)內(nèi)部子系統(tǒng)之間的訪問控制。） 6.5網(wǎng)絡(luò)調(diào)整網(wǎng)絡(luò)調(diào)整 根據(jù)上述安全域的劃分原則，結(jié)合目前網(wǎng)管系統(tǒng)的現(xiàn)狀，需要從廣域網(wǎng)、局域網(wǎng)、終端三個(gè)方面 進(jìn)行網(wǎng)絡(luò)調(diào)整，實(shí)現(xiàn)支撐系統(tǒng)之間的有效隔離。 6.5.1廣域網(wǎng)廣域網(wǎng) 根據(jù)實(shí)際情況，目前網(wǎng)管系統(tǒng)的廣域網(wǎng)主要采用了 ip 承載網(wǎng)的傳輸，不同網(wǎng)管系統(tǒng)之間通過 vpn 基本做到了隔離。因此，廣域網(wǎng)目前集團(tuán)與省相連部分基本符合安

41、全域劃分的要求，下一步建議考慮 將不同的 vpn 進(jìn)行整合。 qb-w-001-2007 15 6.5.2局域網(wǎng)局域網(wǎng) 各支撐系統(tǒng)在集團(tuán)省地市三級(jí)節(jié)點(diǎn)的局域網(wǎng)組織基本采用了網(wǎng)絡(luò)分層的架構(gòu)體系，即接入層、 核心層。但是接入層比較混亂，基本沒有經(jīng)過整合，不利于管理和維護(hù)。在確定安全域劃分的原則后， 需要對(duì)支撐的網(wǎng)絡(luò)架構(gòu)進(jìn)行規(guī)劃，分為接口匯聚層、核心交換層、子系統(tǒng)層： （1）接口匯聚層：主要對(duì)系統(tǒng)的各種出口進(jìn)行匯聚，主要包括路由器設(shè)備、局域網(wǎng)交換設(shè)備以及 某些特定的接口使用的一些安全設(shè)備等。例如集團(tuán)公司的網(wǎng)管系統(tǒng)，包括與省公司的通信路由器和采 集路由器等，數(shù)量達(dá)到 26 個(gè)左右，給統(tǒng)一配置帶來一定的

42、管理難度，可以通過兩或三臺(tái)高端路由器進(jìn) 行匯聚，當(dāng)然，對(duì)匯聚路由器的端口、性能和處理能力有很高的要求。 （2）核心交換層：主要包括核心交換機(jī)設(shè)備，實(shí)現(xiàn)外部接口與各子系統(tǒng)之間的數(shù)據(jù)交互，以及子 系統(tǒng)之間的數(shù)據(jù)交互。 （3）子系統(tǒng)層：實(shí)現(xiàn)各功能應(yīng)用的子系統(tǒng)，包括服務(wù)器和終端等。各子系統(tǒng)接入核心交換區(qū)，可 以通過不同的 vlan 實(shí)現(xiàn)各子系統(tǒng)的數(shù)據(jù)流的相對(duì)隔離。 在支撐系統(tǒng)的后續(xù)建設(shè)時(shí)，按照三層網(wǎng)絡(luò)架構(gòu)進(jìn)行部署，根據(jù)后面邊界整合的原則確定接口的互 聯(lián)方式，終端、服務(wù)器應(yīng)該按照 6.6 節(jié)安全區(qū)域劃分的原則進(jìn)行部署。 圖 6.2 支撐系統(tǒng)各局域網(wǎng)目標(biāo)網(wǎng)絡(luò)架構(gòu)示意圖 按照集中安全管理及防護(hù)的原則，網(wǎng)絡(luò)改

43、造可以根據(jù)局址的實(shí)際情況，采用不同的方案： 一、同一局址 增加核心交換設(shè)備，構(gòu)建清晰的網(wǎng)絡(luò)架構(gòu)，將各套網(wǎng)管系統(tǒng)統(tǒng)一納入安全集中管理， qb-w-001-2007 16 按照大院模式進(jìn)行集中防護(hù)。 圖 6.4 單一局址的集中防護(hù) 二、不同局址 1)方案 1 不同局址建設(shè)一個(gè)共同的大院、有共同的核心交換網(wǎng)絡(luò)，有共同的邊界，但不同局址 可以分別設(shè)置自己的日常工作區(qū)、核心服務(wù)區(qū)。實(shí)現(xiàn)集中邊界訪問控制、入侵檢測(cè)、賬號(hào) 口令管理、終端管理。 圖 6.5 不同居址共同防護(hù) qb-w-001-2007 17 2)方案 2 不同局址可以根據(jù)需要分別建設(shè)大院、有不同的核心交換網(wǎng)絡(luò)和安全分區(qū)，或者只在 有重要系統(tǒng)的

44、局址建設(shè)大院，其它局址分單系統(tǒng)進(jìn)行防護(hù)。 不同局址、沒有互聯(lián)的系統(tǒng)，在防火墻、入侵檢測(cè)、賬號(hào)口令管理、終端管理的控制 方面實(shí)現(xiàn)集中； 圖 6.6 不同居址，分別防護(hù) 6.5.3終端終端 終端層面的調(diào)整目標(biāo)是實(shí)現(xiàn)終端的隔離，即生產(chǎn)終端與辦公終端的物理分離。解決終端的隔離問 題，主要依賴于管理手段，原則上應(yīng)該通過設(shè)置生產(chǎn)終端與辦公終端的完全分離，即設(shè)置專用的終端 來實(shí)現(xiàn)不同支撐系統(tǒng)之間在終端層面的隔離，例如辦公系統(tǒng)設(shè)置辦公終端，網(wǎng)管系統(tǒng)設(shè)置網(wǎng)管系統(tǒng)的 專用終端。此方式安全性高，但是，對(duì)用戶的使用會(huì)帶來較多的不便，因此在具體實(shí)施時(shí)可以采用統(tǒng) 一代理、統(tǒng)一認(rèn)證或只對(duì)具備權(quán)限的終端設(shè)置 vpn 客戶端的

45、方式，使某一支撐系統(tǒng)的終端（如辦公終 端）通過規(guī)范的統(tǒng)一端口訪問其余的支撐系統(tǒng)，例如，在辦公終端中，只對(duì)網(wǎng)管維護(hù)管理人員安裝網(wǎng) 管 vpn 的客戶端，這樣只有安裝網(wǎng)管 vpn 客戶端的辦公終端才能通過權(quán)限認(rèn)證等方式訪問網(wǎng)管系統(tǒng)， 既保證了安全性也保證了業(yè)務(wù)需求。 目前有些省采用終端混用方式，即通過插拔網(wǎng)線或終端上配置雙網(wǎng)卡方式，使同一終端能夠通過 簡(jiǎn)單的配置，沒有任何控制措施直接訪問不同的系統(tǒng)（主要在于辦公系統(tǒng)與生產(chǎn)系統(tǒng)之間），混用方 式嚴(yán)格禁止。 對(duì)于系統(tǒng)間的互訪，應(yīng)根據(jù)系統(tǒng)的保護(hù)等級(jí)、互訪對(duì)象的風(fēng)險(xiǎn)大小，按照第 5 章提出的互聯(lián)原則， 設(shè)置互聯(lián)接口。這種情況下，終端訪問另一個(gè)系統(tǒng)時(shí)，通過統(tǒng)

46、一設(shè)置的嚴(yán)格訪問控制的互聯(lián)接口，是 允許的。如某一支撐系統(tǒng)內(nèi)部的終端訪問另一支撐系統(tǒng)時(shí)，屬于系統(tǒng)之間的互訪，則需要通過支撐系 qb-w-001-2007 18 統(tǒng)之間統(tǒng)一設(shè)置的訪問控制的互聯(lián)接口進(jìn)行訪問。 圖 6.7 終端對(duì)支撐系統(tǒng)的訪問的兩種情況 6.6網(wǎng)管系統(tǒng)的安全域劃分網(wǎng)管系統(tǒng)的安全域劃分 對(duì)于中國(guó)移動(dòng)，網(wǎng)管系統(tǒng)本身相當(dāng)于一個(gè)安全域，而對(duì)于某一網(wǎng)管系統(tǒng)，又可劃分為集團(tuán)公司層 面、省公司層面、地市層面的安全子域。下面針對(duì)各安全子域，進(jìn)行安全區(qū)域的劃分。 目前，各支撐系統(tǒng)的組網(wǎng)和邊界沒有統(tǒng)一的規(guī)劃，支撐系統(tǒng)內(nèi)部的各部分設(shè)備由于不同的互聯(lián)需 求，面臨的威脅也不同，其安全需求也存在很大差異。 （

47、1）生產(chǎn)服務(wù)器：一般都是 unix 平臺(tái)，資產(chǎn)價(jià)值最高，不直接連接外部網(wǎng)絡(luò)，主要的安全需求 是訪問控制、帳號(hào)口令、權(quán)限管理和補(bǔ)丁的管理。 （2）維護(hù)終端：一般都是 windows 平臺(tái)，維護(hù)管理人員可以直接操作，其用戶接入的方式也不 盡相同（本地維護(hù)終端、遠(yuǎn)程維護(hù)終端），面臨著病毒擴(kuò)散、漏洞補(bǔ)丁、誤操作、越權(quán)和濫用等威脅， 其安全需求是安全策略的集中管理、病毒檢測(cè)（固定終端）、漏洞補(bǔ)丁等。 （3）集成商、設(shè)備商：對(duì)支撐系統(tǒng)的軟、硬件進(jìn)行遠(yuǎn)程維護(hù)或現(xiàn)場(chǎng)維護(hù)，其操作很難控制，面臨 著病毒、漏洞、攻擊、越權(quán)或?yàn)E用、泄密等威脅，安全需求主要是接入控制，包括 ipmac 地址綁定、 帳號(hào)口令、訪問控制，

48、以及在線殺毒、防毒墻、應(yīng)用層的帳號(hào)口令管理、補(bǔ)丁管理等。 （4）互聯(lián)網(wǎng)的應(yīng)用隨著業(yè)務(wù)的發(fā)展也越來越多，面臨著黑客入侵、病毒擴(kuò)散等威脅，主要的安全 需求是入侵檢測(cè)、病毒防護(hù)、數(shù)據(jù)過濾等。 因此，下面將結(jié)合實(shí)際的管理需求，對(duì)網(wǎng)管系統(tǒng)的安全域進(jìn)一步進(jìn)行劃分。 集團(tuán)網(wǎng)管和省網(wǎng)管分別劃分為不同的安全域，再根據(jù)安全域內(nèi)部的不同安全需求，將各網(wǎng)管系統(tǒng) qb-w-001-2007 19 劃分安全子域（圖 6.5）：核心生產(chǎn)區(qū)、日常辦公區(qū)、接口區(qū)、內(nèi)部系統(tǒng)互聯(lián)網(wǎng)區(qū)、第三方接入?yún)^(qū)、 dmz 區(qū)，具體描述如下： （1）核心生產(chǎn)區(qū)：放置話務(wù)網(wǎng)管、傳輸網(wǎng)管、信令監(jiān)測(cè)等核心主機(jī)設(shè)備，包括核心應(yīng)用服務(wù)器、 數(shù)據(jù)庫(kù)服務(wù)器、存

49、儲(chǔ)設(shè)備等。 （2）日常辦公區(qū)區(qū)：用于日常維護(hù)的終端。 （3）接口區(qū)：省網(wǎng)與地市（集團(tuán)與省網(wǎng)）互聯(lián)接口、與網(wǎng)元采集設(shè)備的互聯(lián)。 （4）內(nèi)部系統(tǒng)互聯(lián)區(qū)：與業(yè)務(wù)支撐系統(tǒng)、企業(yè)信息化系統(tǒng)的互聯(lián)。 （5）第三方接入?yún)^(qū)：網(wǎng)管開發(fā)廠商接入、現(xiàn)場(chǎng)支持、移動(dòng)終端接入。 （6）dmz 區(qū)：放置數(shù)據(jù)網(wǎng)管與網(wǎng)元進(jìn)行數(shù)據(jù)交換的服務(wù)器，如數(shù)據(jù)采集機(jī)。 （7）日常操作區(qū)：放置省公司網(wǎng)絡(luò)部門的維護(hù)終端。 （8）管理服務(wù)區(qū)：放置各種統(tǒng)一的管理服務(wù)設(shè)備（如未來的 4a 系統(tǒng)等，暫時(shí)無相關(guān)設(shè)備的，可 以預(yù)留該區(qū)域） 圖 6.8 網(wǎng)管系統(tǒng)安全域劃分 7邊界整合的原則邊界整合的原則 安全域劃分的原則明確以后，安全域的邊界訪問控制將是關(guān)

50、注的重點(diǎn)。 目前安全域之間互聯(lián)接口數(shù)量越多，安全性越難以控制，為達(dá)到一定的安全標(biāo)準(zhǔn)，就要投入巨大 的人力財(cái)力，但由于接口混雜，安全效果往往不佳；中國(guó)移動(dòng)支撐網(wǎng)目前確實(shí)存在邊界不清、連接混 qb-w-001-2007 20 亂的實(shí)際問題，在此情況下只有在保證支撐系統(tǒng)的各種互聯(lián)需求的有效提供的前提下對(duì)安全域的邊界 進(jìn)行合理的整合，對(duì)系統(tǒng)接口的進(jìn)行有效的整理和歸并，減少接口數(shù)量，提高系統(tǒng)接口的規(guī)范性，才 能做到“重點(diǎn)防護(hù)、重兵把守”，達(dá)到事半功倍的效果。 本章節(jié)主要是對(duì)接入點(diǎn)進(jìn)行整合，減少接入數(shù)量。保護(hù)方式的整合將在下一章節(jié)保護(hù)原則中進(jìn)行 描述。 7.1網(wǎng)管系統(tǒng)對(duì)外的邊界整合網(wǎng)管系統(tǒng)對(duì)外的邊界整合

51、7.1.1與互聯(lián)網(wǎng)的邊界整合與互聯(lián)網(wǎng)的邊界整合 目前總部，重慶與浙江各個(gè)支撐系統(tǒng)與互聯(lián)網(wǎng)的邊界整合已經(jīng)納入“支撐系統(tǒng)互聯(lián)網(wǎng)出口整合” 項(xiàng)目落實(shí)，并已經(jīng)完成，其余各省公司的網(wǎng)管系統(tǒng)的互聯(lián)網(wǎng)邊界整合也納入“支撐系統(tǒng)互聯(lián)網(wǎng)出口整 合”項(xiàng)目。 7.1.2與第三方的邊界整合與第三方的邊界整合 支撐系統(tǒng)與第三方的邊界主要包括現(xiàn)場(chǎng)支持、遠(yuǎn)程接入。 由于網(wǎng)管系統(tǒng)的第三方是不同的集成商或者漫游終端，因此針對(duì)網(wǎng)管系統(tǒng)，設(shè)置統(tǒng)一出口；原則 上地市不允許第三方直接連接。 7.2網(wǎng)管系統(tǒng)與其他支撐系統(tǒng)之間的邊界整合網(wǎng)管系統(tǒng)與其他支撐系統(tǒng)之間的邊界整合 為了更有利于各支撐系統(tǒng)之間的互聯(lián)控制，減少連接的風(fēng)險(xiǎn)和投資，網(wǎng)管系統(tǒng)

52、與其他支撐系統(tǒng)之 間的互聯(lián)接口設(shè)在集團(tuán)公司和省公司層面，地市級(jí)不允許直接互聯(lián)，如果有互訪要求，則必須迂回到 省公司的互聯(lián)接口。如果業(yè)務(wù)連接需求發(fā)生變化，需要重新調(diào)整安全策略并省公司/總部一級(jí)網(wǎng)絡(luò)安全 部門重新申請(qǐng)。 目前各支撐系統(tǒng)之間還存在著終端混用的問題，則可以通過下述方式解決：通過增加相應(yīng)的終端， 實(shí)現(xiàn)不同的支撐系統(tǒng)之間完全隔離，如果某支撐系統(tǒng)的終端對(duì)其他支撐系統(tǒng)有訪問需求時(shí)，則須迂回 到省公司的互聯(lián)接口。 7.3網(wǎng)管系統(tǒng)的邊界整合網(wǎng)管系統(tǒng)的邊界整合 網(wǎng)管系統(tǒng)的邊界整合，主要是在保障業(yè)務(wù)的同時(shí)對(duì)接口進(jìn)行歸并，減少接口數(shù)量。具體的保護(hù)方 式見下面安全域邊界的防護(hù)原則等章節(jié)。 針對(duì)網(wǎng)管系統(tǒng)目前

53、對(duì)外的互聯(lián)接口，其互聯(lián)邊界整合為： 網(wǎng)管系統(tǒng)內(nèi)部的互聯(lián)邊界：集團(tuán)公司省公司地市連接的互聯(lián)； 與移動(dòng)內(nèi)部其他系統(tǒng)，如業(yè)務(wù)支撐系統(tǒng)、企業(yè)信息化系統(tǒng)等的互聯(lián)； qb-w-001-2007 21 與第三方（集成商、設(shè)備商）的互聯(lián)； 與 cmnet 的互聯(lián)（放到“支撐系統(tǒng)互聯(lián)網(wǎng)出口整合”項(xiàng)目進(jìn)行落實(shí)）； 圖 7.2 網(wǎng)管系統(tǒng)的互聯(lián)邊界分布圖 8安全域保護(hù)的原則安全域保護(hù)的原則 參考中辦發(fā)200327 號(hào)文中信息安全等級(jí)保護(hù)的指導(dǎo)意見、nist sp80053（it 系統(tǒng)安全控制） 、iatf 關(guān)于域邊界/外部連接的保護(hù)，結(jié)合中國(guó)移動(dòng)支撐系統(tǒng)的安全需求以及系統(tǒng)已采用的安全措施， 綜合平衡安全成本和風(fēng)險(xiǎn)，“

54、重點(diǎn)防護(hù)、重兵把守”，綜合部署安全域邊界和內(nèi)部的保護(hù)。 8.1安全域邊界的保護(hù)原則安全域邊界的保護(hù)原則 安全域邊界的保護(hù)原則是：應(yīng)以通為主，以隔為輔，即在保證業(yè)務(wù)系統(tǒng)連通需求的前提下，根據(jù) 各安全域的威脅等級(jí)、保護(hù)等級(jí)，部署支撐系統(tǒng)的保護(hù)方式。 對(duì)于網(wǎng)管系統(tǒng)與其他支撐系統(tǒng)之間的互訪，安全設(shè)施部署在保護(hù)等級(jí)高的一側(cè)。如在業(yè)務(wù)支撐系 統(tǒng)與網(wǎng)管系統(tǒng)互聯(lián)時(shí)，防火墻設(shè)置在業(yè)務(wù)支撐系統(tǒng)一側(cè)，網(wǎng)管系統(tǒng)與信息化系統(tǒng)互聯(lián)時(shí)，防火墻放在 網(wǎng)管系統(tǒng)一側(cè)。 對(duì)于同一安全域的集團(tuán)公司省公司地市分公司三級(jí)安全子域之間的相互連接，可以考慮采用 單一防火墻的設(shè)置，即集團(tuán)與省公司之間的連接，僅在集團(tuán)側(cè)設(shè)置單一防火墻；省公司與地

55、市之間的 連接，僅在省公司側(cè)設(shè)置單一防火墻。如果承載網(wǎng)絡(luò)設(shè)備除用于連接上下兩級(jí)子域之外，還連接了其 qb-w-001-2007 22 它子域，如省公司網(wǎng)管系統(tǒng)一側(cè)與集團(tuán)公司互聯(lián)的路由器可能還負(fù)責(zé)與地市 omc 或者地市公司互聯(lián)， 連接的兩端依然需要分別設(shè)置防火墻。 8.1.1安全域互訪的風(fēng)險(xiǎn)分析安全域互訪的風(fēng)險(xiǎn)分析 根據(jù)前面安全域的劃分原則，各個(gè)安全域之間的互聯(lián)關(guān)系比較多，下面根據(jù)前面 6.2 章節(jié)各安全域 的威脅等級(jí)分析，對(duì)各安全域互訪的風(fēng)險(xiǎn)進(jìn)行分析，分為安全、較低風(fēng)險(xiǎn)、中度風(fēng)險(xiǎn)、較高風(fēng)險(xiǎn)、高 度風(fēng)險(xiǎn)等，示意圖如下： 表 8.1 安全域互聯(lián)風(fēng)險(xiǎn)示意圖 等級(jí) 1234 網(wǎng)絡(luò)網(wǎng)管系統(tǒng)其他支撐系統(tǒng)

56、第三方互聯(lián)網(wǎng) 1 網(wǎng)管系統(tǒng) 11 1=2 1=3 1=4 2 其他支撐系統(tǒng) 2=1 22 2=3 2=4 3 第三方 3=1 3=2 4 互聯(lián)網(wǎng) 4=1 4=2 說明： 表示安全表示低度風(fēng)險(xiǎn)表示中度風(fēng)險(xiǎn)表示較高風(fēng)險(xiǎn)表示高度風(fēng)險(xiǎn) 8.1.2安全域互訪的原則安全域互訪的原則 安全域之間的互訪一般是雙向的，對(duì)數(shù)據(jù)流向沒有嚴(yán)格的管理和控制，也就無法保證阻止信息的 攻擊，當(dāng)然也無法確保系統(tǒng)的安全。 因此，根據(jù)各安全域的保護(hù)等級(jí)，以及安全域互訪的風(fēng)險(xiǎn)分析，設(shè)置安全域互訪的原則：高保護(hù) 等級(jí)訪問低保護(hù)等級(jí)的安全域時(shí)只允許寫，低保護(hù)等級(jí)訪問高保護(hù)等級(jí)的安全域時(shí)只允許讀。即訪問 的操作權(quán)是由高保護(hù)等級(jí)的系統(tǒng)進(jìn)行

57、控制的，這樣就能保證高保護(hù)等級(jí)的系統(tǒng)不受低保護(hù)等級(jí)系統(tǒng)的 攻擊、病毒擴(kuò)散等影響。 隨著安全需求的變化和技術(shù)的成熟，安全域的互訪原則將逐步實(shí)現(xiàn)。 qb-w-001-2007 23 8.1.3安全域邊界的保護(hù)方式安全域邊界的保護(hù)方式 在邊界整合基礎(chǔ)上，結(jié)合安全域的威脅等級(jí)和保護(hù)等級(jí)，采用“重點(diǎn)防護(hù)、重兵把守”的原則， 進(jìn)行安全域互聯(lián)邊界的防護(hù)。 目前的互聯(lián)與保護(hù)方式主要有：?jiǎn)螌臃阑饓刂葡碌闹苯踊ヂ?lián)、雙重異構(gòu)防火墻控制下的直接互 聯(lián)、接口服務(wù)器（如 portal）方式實(shí)現(xiàn)的服務(wù)器服務(wù)器的互聯(lián)、接口服務(wù)器結(jié)合物理隔離的互聯(lián) 等。當(dāng)然，在系統(tǒng)的安全部署時(shí)，還要按照中國(guó)移動(dòng)技術(shù)發(fā)展路標(biāo)（2006 版）關(guān)

58、于安全技術(shù)體系 的要求，結(jié)合不同系統(tǒng)互聯(lián)的風(fēng)險(xiǎn)，適當(dāng)選擇入侵檢測(cè)、訪問控制等其它的安全手段。 下面分別從技術(shù)、安全性、實(shí)施難度、投資角度進(jìn)行分析，并結(jié)合安全域的保護(hù)等級(jí)、威脅等級(jí)， 確定上述防護(hù)方式所適用的應(yīng)用環(huán)境： （1）通過單層防火墻實(shí)現(xiàn)兩個(gè)安全域邊界的訪問控制 單層防火墻可以根據(jù)企業(yè)的安全政策控制（允許、拒絕、監(jiān)測(cè)）出入網(wǎng)絡(luò)的信息流，但是單層防 火墻只能在一定程度上對(duì)系統(tǒng)進(jìn)行隔離防護(hù)，因此適用于威脅等級(jí)相差較小的安全域之間的連接，123 之間的互訪，即： 網(wǎng)管系統(tǒng)與其他支撐系統(tǒng)之間的互訪 支撐系統(tǒng)內(nèi)部：集團(tuán)省公司地市的連接 第三方、漫游終端對(duì)支撐系統(tǒng)的訪問，也可采用單層防火墻。 但是考慮

59、到保護(hù)等級(jí)的不同，在設(shè)置支撐系統(tǒng)之間的互訪時(shí)，單層防火墻設(shè)置在保護(hù)等級(jí)高的一 側(cè)。 （2）通過雙重異構(gòu)防火墻實(shí)現(xiàn)邊界的訪問控制 雙重異構(gòu)防火墻對(duì)單層防火墻進(jìn)行了加強(qiáng)，通過在雙重異構(gòu)防火墻上設(shè)置不同的安全策略，并結(jié) 合了部分應(yīng)用改造設(shè)置?；饏^(qū)。此種方式對(duì)外屏蔽了核心系統(tǒng)，因此，對(duì)系統(tǒng)的防護(hù)更加有效。 適用于威脅等級(jí)為“高度風(fēng)險(xiǎn)”的系統(tǒng)與等級(jí)為 1、2 的支撐系統(tǒng)的連接，即 41、42 的連接。 通過實(shí)施支撐系統(tǒng)互聯(lián)網(wǎng)出口整合項(xiàng)目，目前總部的數(shù)據(jù)網(wǎng)管對(duì) cmnet 的連接，采用的是雙層 異構(gòu)防火墻的方式。 （3）通過接口服務(wù)器（如 portal）實(shí)現(xiàn)系統(tǒng)之間的互訪 在兩個(gè)互訪系統(tǒng)之間設(shè)置接口服務(wù)器

60、，實(shí)現(xiàn) serverserver 的通信。在該系統(tǒng)訪問其它系 統(tǒng)時(shí)，均通過接口服務(wù)器實(shí)現(xiàn)，而其他系統(tǒng)訪問該系統(tǒng)時(shí)，也只能訪問該系統(tǒng)的接口服務(wù)器。 通過接口服務(wù)器實(shí)現(xiàn)邊界的訪問控制，對(duì)后臺(tái)的核心系統(tǒng)進(jìn)行屏蔽，展現(xiàn)的只是 1 臺(tái)應(yīng)用接口服 務(wù)器，對(duì)系統(tǒng)的防護(hù)更加有效，適用于威脅等級(jí)為 3、4 的系統(tǒng)與 1、2 的支撐系統(tǒng)的連接，即 41、42、31、32 的連接，這種連接需要與雙重異構(gòu)防火墻結(jié)合部署。同時(shí)， 根據(jù)安全需求的發(fā)展，也可以應(yīng)用于支撐系統(tǒng)之間的訪問控制。 具體的應(yīng)用如下： qb-w-001-2007 24 ip 數(shù)據(jù)網(wǎng)管的采集服務(wù)器，與雙重異構(gòu)防火墻統(tǒng)一部署； 支撐系統(tǒng)之間的互訪，與單層