Cloud & Telecom Security

这篇稿子写于2004年底，探讨将管理重组的概念引入安全运营的方式，当时浙江移动的试点已经得到各方面很高的认可。本文提出了一个框架，探讨IT流程重组和安全运营的结合。本文发表于 通信产业报。

1 电信业面临的机遇和挑战

中国电信业的竞争日趋激烈，上市后股东和公众对于中国电信企业管理层的压力也与日俱增。管理层的关注点与几年前相比出现了明显的变化，从用户数为中心的粗放式经营转向关心每用户营收、每用户成本、营运利润、产品服务利润等精细化的经营，也更加关注业务发展的成本。

新技术和新政策给电信市场的发展带来了更多的不确定性，也促使领导企业和潜力企业的管理层来研究这些新技术、新政策背后为企业带来的机遇和挑战。例如一号通（700号业务）和当前的“携号转网（NP）”、“双模”手机等，对中国移动、中国联通和中国电信、中国网通四家主要运营商的决策者带来了很多的思考。依靠传统的号码、地域、资费等都不能稳定地保持住客户资源时，“保障”这个词背后的含义也就更加丰富了。

收入保障、客户保障、IT保障等越来越成为电信企业控制企业风险、保证长期稳定的股东回报的重要手段。收入保障的宗旨是防止话费流失与欺诈，保证计费数据准确；客户保障的宗旨是防止客户流失，保持客户满意度。它们无疑是企业保持市场竞争的关键要素。

根据Gartner Group的最新调查显示，当前信息主管们最为关心的技术点已经从两年前的应用集成转变为设计、管理灵活高效的基础设施、安全增强、以及桌面标准和IT绩效等。参见附图一。反映在电信运营商企业上面，就是通过上述几个方面的治理提升，来有效的降低运营成本（OPEX）、同时提高业务交付的质量和保障。在这方面的努力成为去年到今年电信IT建设的主旋律。

一方面，电信企业通过建立业务数据模型、流程模型和重组、建立统一客户资料库、建设数据仓库和主题分析等来深层发掘分析企业的业务发展、运营过程中的多种发展的动力因素；另一方面，通过规划企业自身的IT战略发展路线和规划（ITSP）、不断通过整合和集成来优化信息基础设施的效率，同时提升其保障水平，控制企业的安全风险。这些都是建设IT保障体系的重要步骤。

IT综合保障体系由IT服务保障、安全保障和生命周期保障三个层面构成的，参见附图二，是电信企业整体“保障”体系中至关重要的环节，是企业竞争的重要因素，不仅仅是保护企业核心业务高质量的交付、信息资产不受外部攻击的威胁，更重要地是良好有效地保障体系可以帮助建立起股东和公众的信心，保障企业的市场核心竞争力。 本文后面部分将讨论电信企业的IT综合保障体系的意义和建设路线。

2 建设IT综合保障体系

如下图所示，电信企业越来越多需要依靠IT系统，不仅仅是向客户交付业务所需的网络管理维护系统，并且还有大规模的客户服务、帐务、市场分析、ERP等企业支撑系统。对这些关键应用的“保障”需要首先保障这些应用的底层，也就是承载这些关键应用的各种IT系统，保障这些大量的软件、硬件、中间件、安全设备、网络设备等构成的基础设施。

电信级网络是超复杂系统，是因为电信网络往往规模庞大、系统复杂，其中的各种网络设备、服务器、工作站、业务系统、支撑系统都存在着超常的复杂性、多样性。即使是其中的安全防护子系统也是由多种、来源于多个供货商的设备构成。它们通常在架构、协议、通信、操作等许多方面都存在相当大的差异性。这种差异性又进一步加大了系统的复杂度。

经过多年的建设，目前，电信网络中已经部署过大量的网管和网络安全产品。应该说，这些产品都不同程度地提高了网络的运行和交付能力，以及安全防护能力。但是，这些还不是“保障”体系。如何为这样一个超复杂的系统建设保障体系？这里，我们借用一个管理学上的假设：“高质量”的过程带来“高质量”的结果。针对超复杂的电信IT系统，加强其中某个网元或者模块，对整体系统的服务质量和安全水平，提高是有限的。

更有效的做法是以核心业务交付的服务质量为行动目标，实施下面三个步骤：

* 一. 服务管理：清理核心流程（过程），优化设计，监视端到端的流程质量
* 二. 安全管理：分析面临的威胁，分析评估，从过程、人员和技术手段三个方面来管理风险
* 三. 生命周期管理：建立核心系统的生命周期档案，评审系统需求和设计，管理系统开发和项目建设过程中的风险

建设由服务管理、安全管理和生命周期管理三层构成的IT综合保障体系，可以充分实现不断优化、提升信息基础设施的效率，不断提升核心业务交付质量的保障水平的宏观目标。在此基础上，不管是建设企业总控中心（ECC），或者安全管理中心（SCC/SOC），还是综合网管体系等等就都有了明确的行动目标和坚实的基础。

3 IT服务保障

传统上，国内的电信企业通常有三个相对独立的IT系统：网络部（或运行维护部）、计费中心（或业务支撑中心）、信息中心，其中网络部负责生产网（例如传输、交换、互联网等）的管理维护，计费中心负责计费数据的采集、结算、客服、经营分析等系统的管理维护，而企业信息中心则负责维护办公自动化（OA）、ERP、人力资源等企业应用。当然，每个运营商的实际架构可能会有所不同。

虽然之间存在若干个通信接口，但是三个IT系统的运行维护通常相对独立。在每一个IT系统内，传统上的管理体系如附图三所示，运行维护人员根据业务分成若干个小组，每个维护小组负责管理某项或某几项业务的应用、系统、网络等各个层面IT系统。由于缺乏数据模型和应用集成的支持，这些来源于多个供货商、厂家的软硬件设备在架构、协议、通信、操作等许多方面都存在相当大的差异性。历史积累的结果是在部门内部形成了若干个“信息孤岛”。一方面管理层很难从宏观上看到各个业务和相应IT系统的运行状况，难以快速统一的部署新的策略和制度，对业务需求部门的响应速度很慢；另一方面，当业务或应用增加时，管理者面临的挑战是或者增加人手，或者与原来的某项业务合并管理，线性增加维护人员的工作量。

这种管理结构的问题是明显的，即缺乏共享和流转机制，响应速度慢，难以保持策略一致，可扩展性不好，运行维护人员不容易“专注”。这些不足很大程度上阻碍了运营商信息系统建设和运行的效率，难以支撑快速的市场变化和需求。

另外的一种选择是，设立IT支撑小组负责网络和系统管理，设立安全小组，负责安全管理，共同为业务小组提供支撑。当增加新业务或应用时，IT支撑小组和安全小组都可以较容易的扩展覆盖，业务小组因为摆脱了底层支持的重复性内容，可以更加专注，所以也可以管理更多的业务。应该说，后者在前者上面有了提高，更加灵活，具有更好的可扩展性。

但是，层次化分工也会带来新的问题，IT系统的客户关心的是最终的交付质量，并不关心内部的层次化分工。当出现服务故障或问题时，从应用层到系统、网络层、再到安全管理层，解决故障后再逐次返回到应用层，消除客户问题。设计高效IT服务管理体系的关键是如何控制这个“时间延迟”在服务水平之内，快速实现不同层面的通信和共享，加速响应过程。在“流程整合”的背景下进行适当的重组，将IT管理、安全管理和业务管理的流程对接起来，对端到端的流程质量进行跟踪，并且从组织上、绩效考核上得以体现。

4 安全保障

网络安全威胁和防范一直是电信运营商十分关注的话题。包括ITU-T，TMForum等在内的许多国际电信组织都开始重新评估以前设计的许多标准、规范、架构等，在所有重要的标准体系中都加入了审慎的安全考虑，以避免出现类似像802.11b出现的WEP漏洞。

参见附图四，ITU-T在其安全手册中明确提出，电信网络中存在的面临的安全威胁可以分为下面四类：

* ? 预测未来威胁的困难
* ? 设计和规范型弱点
* ? 实现型弱点
* ? 运行和配置型弱点

其中第一类和第二类可以通过国际标准组织的努力逐步减小；第三类弱点需要依赖电信设备（硬件、软件）供应商和集成商提高系统开发和项目实施过程中的安全风险管理；第四类弱点则需要运营商自身的运行维护部门加强安全风险管理水平，从策略、组织、技术和运营等四个方面建设并逐步完善安全管理体系。

5 系统开发生命周期保障

电信企业的关键应用越来越复杂，业界提出了很多这方面的框架、最佳实践和规范来指导关键应用的开发，例如eTOM是电信业务过程方面的权威指导，提出了在产品生命周期和交付、保障和计费等不同阶段的关键过程。eTOM模型已经在大量国际运营商获得了成功的实践，在国内也被大量应用于IT规划、 BSS/OSS应用和其它支撑系统的设计和开发。

这里的关键应用包含两层含义，其一是应用本身；其二是包含了整体的软件、硬件等的应用系统。前者需要重点参考软件工程实践，相对成熟，对于电信企业来说，需要加强的是关于数据模型管理、接口管理、变更和配置管理等方面；后者则需要参照系统开发生命周期SDLC或LCM，对供应商、对需求、对体系架构等都进行较为完善的风险控制，并且与ITIL指导的IT服务管理和应用管理形成闭环，逐步提高运行质量和服务水平。

这一部分内容也成为NGOSS/eTOM和ITIL两大框架中变得日益重要的组成部分。

作为后者的一个例子，相对不够成熟的安全保障系统的建设，就应该充分借鉴电信企业在BOSS/ITSM等大型应用系统建设方面的经验教训，从开始就考虑开放性、集成性和可管理性，并且注重生命周期的管理，与IT保障体系在架构上互相兼容，在数据模型、界面、事件等各种层面可以互相通信、融合。这些都是从 SDLC角度，来提高电信企业IT保障水平的重要内容。

6 综述

综上所述，IT服务管理、安全管理、生命周期管理是电信IT综合保障体系的三个方面，它们从不同的角度、不同的层面来保障电信企业的核心业务的最终交付质量和效率。关键业务的服务质量是电信企业的生命线，如何保障超复杂的电信网络的服务质量也是超复杂的挑战性问题。本文试图从三个不同的角度来探讨建立电信企业的IT综合保障体系的方法和途径，其中欠缺不足之处，希望得到业界专家的指教。

附图一. CIO关心的前十个技术领域（数据来源：Gartner Group 2004）
附图二. IT综合保障体系示意图
附图三. 传统网管中心的管理模式
附图四. 电信网络中存在的脆弱性类型

***如果您对这些图片感兴趣，请留言。

本文完成于2004年底，介绍了国际电联推荐标准X.805，探讨了X.805在电信网网络安全建设过程中的应用。发表于通信产业报，发表后，中国电信和联通网站等多家网站转载，引起广泛的兴趣。:)

1.电信网

全球电信业在经过了前面几年的沉闷、甚至衰退后，3G等各种宽带数据业务开始日趋活跃、需求明显升温，越来越多的运营商开始从几年前的巨额债务中解脱出来，投入到新一轮的电信基础设施投资建设活动中。

电信网从原来“电路交换为王”的话音业务正在全面转向话音、数据、多媒体、视频、电子商务等综合业务的通用平台。新一代电信网络平台呈现出承载网的宽带化、业务网的综合化与个性化，支撑网的面向服务架构和业务流程重构等显著特点。其中，IP技术成为电信网络中的关键技术，IP业务成为典型网络中的关键、基础业务。

电信网的分组化（IP化）将会给电信业带来深刻的影响。电信网的IP化并不意味着现在的互联网将取代电信网，因为现有IP网从设计理念到实际交付的服务水平等都证明它不适合与全面承载电信业务。现有IP技术必须在安全、服务质量、业务模型、可管理和可运营方面迅速提高，才可以满足电信业务的需要，其中安全又是最为运营商、社会和用户最为关心的方面之一。

电信网络是国家关键基础设施的重要组成部分，承担大范围内的公众电信业务的网络，规模大，结构复杂，可靠性和安全性要求极高。ITU-T、IETF等国际标准组织在专注于电信网络技术标准的发展过程中越来越重视其中的安全保障能力，提出了一系列的框架、推荐标准和技术规范等，努力从技术角度提高电信网的安全性。

电信网络往往是最先进的I T技术和产品的集大成者，传输、交换、应用、服务、存储、数据处理等方面都在各个行业处于领先地位。除了普通企业面临的计算机网络环境内的威胁外，电信企业还必须考虑光纤传输、交换等电信基础设施的安全性以及VoIP、IPTV、多媒体等电信业务相关的安全威胁。

本文尝试阐述下一代电信网中特有的安全威胁、安全脆弱性以及相应的对策，并总结介绍最近一段时期内相应国际组织在电信网安全方面的努力和成果。

2.电信网威胁综述

传统上对于电信网络的安全考虑往往是面向其中的计算机和其它IT设备，以及路由器和交换机等设备自身的安全问题。诚然，针对这些承担“辅助”和“支撑”任务的IT组件的安全保护依然非常重要，但是，对于NGN和下一代基于IP技术的电信网来说，安全威胁和相应的控制都有了更新的含义。

通常，普通TCP/IP网络面临的安全威胁包括内部误用和滥用、拒绝服务攻击、外部入侵、病毒和蠕虫、以及其它各种灾难和事故。这些方面的分析在笔者以前的文章或者其它途径中都可以找到相当仔细的分析，本文不再赘述。

以下以下一代网络NGN为例来具体说明上述威胁和带来的消极效果。

NGN安全威胁举例

NGN已经成为下一代电信网的基础框架，它包括了软交换协议、IPv6、ENUM、等多种协议标准体系。在此框架内，IP技术将得到广泛应用，负责承载包括话音之内的各种业务，其中的信令和管理信息也将与业务数据一起共用底层媒体。这时，不但IP网中存在的各种安全威胁和脆弱性都将被继承进NGN网络中，并且增加了其它以前不曾面对的新的威胁。

附图1. NGN环境下的安全威胁

* ? 由于语音收入依然占据运营商收入的主要地位，当媒体服务器遭受拒绝服务攻击而失去响应时的损失，将会远远大于当前互联网时代遭受的拒绝服务攻击；
* ? 随着IP语音业务的开展，电信运营商必须关注来自IP网络的来源追查和内容分析；
* ? 用户对于语音保密方面的担忧和体验，成为是否最终选择使用业务的重要考量；
* ? 随着语音邮件业务的迅速发展，运营商必须投入大量精力和资源用以管理控制骚扰、恶意、反动、诈骗等网络活动；
* ? 由于基础设施层面的PKI/KMI建设不足，可能会造成运营商侧的网元设备被渗透入侵，导致用户的通话被跟踪、劫持、记录等；
* ? …

考虑到这些附加的安全威胁，单纯从操作系统角度进行安全防护是不够的，必须重新看待并研究下一代电信网的安全威胁，加强业务网络自身的安全防护，充分利用并发展基础设施和业务网络中设计的安全机制。这样，基于分组的下一代电信网才能更为健壮的顺利发展。

3. 电信网脆弱性
网络安全威胁和防范一直是电信运营商十分关注的话题。包括ITU-T、IETF、TMForum等在内的许多国际电信组织都开始重新评估以前设计的许多标准、规范、架构等，在所有重要的标准体系中都加入了审慎的安全考虑，以避免出现类似像802.11b出现的WEP漏洞。

附图2. 电信网络中存在的脆弱性类型
参见附图2，ITU-T在其安全手册中明确提出，电信网络中存在的安全脆弱性可以分为下面四类：

* ? 预测未来威胁的困难。技术环境的变化难以预测，例如七号信令系统设计上的运行环境是有专业维护的隔离网络，没有设计认证、加密、反重发、抗抵赖等安全手段。现在复杂的网络连接可能会使七号信令系统通过多层潜在通道与外网相联。从而使威胁源得以攻击、甚至控制信令系统。
* ? 设计和规范型弱点。协议设计中的错误或疏忽使其天生脆弱。例如IEEE802.11b中出现的WEP漏洞直接动摇了运营商对于该标准服务的信心。
* ? 实现型弱点。大部分的安全脆弱性来源于此。电信设备厂商、集成商和运营商的软件中心在开发和实现过程中不可避免地会出现各种缺陷和漏洞，这些脆弱性有可能会被各种威胁源利用。
* ? 运行和配置型弱点。由于配置不当，导致网元或网元之间的通信不符合安全策略的要求。例如SIP服务器和软终端之间没有建立认证和加密机制，导致呼叫被假冒和窃听等。

其中第一类和第二类可以通过国际标准组织的努力逐步减小；第三类弱点需要依赖电信设备（硬件、软件）供应商和集成商提高系统开发和项目实施过程中的安全风险管理；第四类弱点则需要运营商自身的运行维护部门加强安全风险管理水平，从策略、组织、技术和运营等四个方面建设并逐步完善安全管理体系。

4. ITU-T安全框架
针对前面提出的电信网威胁和安全脆弱性，加强其设计、建设和运行过程中的安全保护，ITU-T在其建议书X.805中定义了分布式应用实现端到端安全的体系和尺度的框架，如附图所示。这是一个通用的框架，其基本的原则及定义适用于所用电信网络和应用。

附图3. ITU-T电信网络安全框架

ITU-T定义的安全框架由平面轴、层次轴、维度轴组成。其中的平面轴主要阐述网络中实施的活动的安全，它包括管理、控制和最终用户等三个平面；层次轴主要阐述对构成端到端网络的网络元素和系统的要求，它包括基础设施、业务和应用三个层次；维度轴包括访问控制、认证、不可否认、数据保密性、通信安全、数据完整性、可用性和隐私等八个安全维度，主要定义由平面和层次构成的3×3矩阵中的每个单元中适合的安全防治措施。

管理平面关注运行、管理、维护和提供服务(OAM&P)活动, 如向某个用户或网络提供服务。控制层面与独立于网络所用的媒介和技术的端到端通信的建立（和修改）方面的信令有关。最终用户平面讨论用户访问和使用网络的安全，也包括保护用户数据流。

基础设施层包括网络传输设施和单独的网络元素。属于基础设施层的组件的例子有路由器、交换机和服务器以及其间的通信链路。服务层讨论提供给用户的网络服务的安全。这些服务从基础连接性服务（例如租用线服务）延伸到增值服务（例如即时消息）。应用层讨论用户使用的基于网络的应用的要求。这些应用可能很简单（例如电子邮件），也有可能很复杂，如用于海关运行的电子海关系统、大型物流系统、运营级的远程视频业务等。定义这些层的好处之一是在不同应用提供端到端安全时允许重复使用。每一层的弱点不同，因此针对性措施也根据每层需求来定义。

5. 综述
本文简要分析了下一代电信网在分组化过程中，不得不面临的新的安全威胁，这些威胁给用户与运营商带来的新问题。分析了电信网存在的典型安全脆弱性，并介绍了ITU-T在其安全手册中提出的多轴安全框架。

安全性是业界对基于分组的下一代电信网技术的最为担忧的问题之一。只有很好地解决面临的安全威胁，IP技术才能顺利地担负起电信网的核心业务。这需要学术界、设备厂商、运营商、集成商、咨询服务商等共同的努力。限于作者学识，文中不足之处，欢迎批评指正。