電信網(wǎng)絡(luò)安全技術(shù)白皮書(shū)

電信網(wǎng)絡(luò)安全技術(shù)白皮書(shū)網(wǎng)絡(luò)安全綜述縱觀2009年國(guó)內(nèi)網(wǎng)絡(luò)安全總體態(tài)勢(shì)，主要特征如下：木馬病毒數(shù)量爆發(fā)式增加，變種更新速度加快病毒傳播形式途徑多樣化僵尸網(wǎng)絡(luò)發(fā)展迅速，威脅日益嚴(yán)重網(wǎng)絡(luò)犯罪的產(chǎn)業(yè)化趨勢(shì)明顯電信網(wǎng)絡(luò)安全技術(shù)及應(yīng)用發(fā)展動(dòng)態(tài)移動(dòng)互聯(lián)網(wǎng)安全移動(dòng)終端安全，熱點(diǎn)主要為硬件安全架構(gòu)、智能手機(jī)安全防護(hù)和終端安全管理等技術(shù)網(wǎng)絡(luò)部分安全，主要在于接入網(wǎng)部分，主要關(guān)注接入鑒權(quán)和密鑰協(xié)商、非法流量管控等技術(shù)應(yīng)用安全領(lǐng)域，重點(diǎn)關(guān)注應(yīng)用層通用認(rèn)證架構(gòu)，以及垃圾短信、不良站點(diǎn)防治等內(nèi)容安全技術(shù)傳統(tǒng)IP網(wǎng)安全承載網(wǎng)安全，最核心的問(wèn)題是如何保障網(wǎng)絡(luò)的可用性DNS系統(tǒng)安全，包括DNS攻擊防護(hù)、DNSSEC、DNS安全監(jiān)控技術(shù)應(yīng)用系統(tǒng)安全，主要關(guān)注Web應(yīng)用安全安全管理技術(shù)，側(cè)重于SOC技術(shù)IPv6安全云安全概念物聯(lián)網(wǎng)安全電信網(wǎng)絡(luò)安全技術(shù)發(fā)展與應(yīng)用移動(dòng)互聯(lián)網(wǎng)安全移動(dòng)終端安全硬件安全架構(gòu)：以UIM卡為可信根，構(gòu)筑應(yīng)用安全基礎(chǔ)系統(tǒng)安全防護(hù)：加固與防御并重，打造終端防護(hù)體系終端安全管理：構(gòu)筑終端管理體系，掌控安全態(tài)勢(shì)移動(dòng)互聯(lián)網(wǎng)安全網(wǎng)絡(luò)安全提高網(wǎng)絡(luò)各層面安全防護(hù)能力，加強(qiáng)網(wǎng)絡(luò)資源可用性結(jié)合現(xiàn)網(wǎng)試點(diǎn)情況部署DPI設(shè)備，增強(qiáng)對(duì)網(wǎng)絡(luò)流量、業(yè)務(wù)的識(shí)別和管控能力，防范流量攻擊、屏蔽對(duì)不良站點(diǎn)的訪問(wèn)在網(wǎng)絡(luò)演進(jìn)中，積極穩(wěn)妥地引入AKA等新型安全機(jī)制，增強(qiáng)移動(dòng)互聯(lián)網(wǎng)的安全性；在網(wǎng)絡(luò)融合中，統(tǒng)一規(guī)劃接入認(rèn)證平臺(tái)，加強(qiáng)統(tǒng)一安全管控，簡(jiǎn)化認(rèn)證流程移動(dòng)互聯(lián)網(wǎng)安全應(yīng)用與內(nèi)容安全應(yīng)用安全：利用接入層安全機(jī)制，構(gòu)筑移動(dòng)互聯(lián)網(wǎng)應(yīng)用安全基礎(chǔ)設(shè)施內(nèi)容安全：技術(shù)檢測(cè)與管理手段結(jié)合，防治垃圾信息和不良站點(diǎn)IP網(wǎng)安全承載網(wǎng)安全1、構(gòu)建帶外網(wǎng)管，加強(qiáng)對(duì)設(shè)備的安全規(guī)范化管控；2、對(duì)BGP協(xié)議采用精細(xì)化路由控制策略，包括：限制接收的ASPATH長(zhǎng)度、設(shè)置BGPTTLSecurity值、啟用鄰居加密機(jī)制、發(fā)布路由時(shí)使用prefix-list的方式進(jìn)行白名單的控制、接收路由時(shí)設(shè)置最大接收前綴等；3、啟用設(shè)備關(guān)鍵資源防護(hù)（Anti-DDoS）措施，提高骨干設(shè)備的自我防護(hù)及防癱能力。IP網(wǎng)安全承載網(wǎng)安全對(duì)于異常流量攻擊安全防護(hù)的技術(shù)：1、在接入層加強(qiáng)對(duì)虛假源地址流量的控制，減輕異常流量對(duì)大網(wǎng)的沖擊；2、進(jìn)一步完善DDoS攻擊防御平臺(tái)的建設(shè)，采用基于骨干網(wǎng)平臺(tái)+本地清洗系統(tǒng)的二級(jí)聯(lián)動(dòng)業(yè)務(wù)部署方案，本地平臺(tái)解決小規(guī)模和本地攻擊，骨干平臺(tái)解決大規(guī)?？缬蚬?，充分利用骨干網(wǎng)平臺(tái)的大容量清洗能力和本地平臺(tái)的靈活性部署和精細(xì)化防護(hù)策略，在降低部署成本的基礎(chǔ)上，大力提升全網(wǎng)攻擊防御能力；3、主動(dòng)防御，對(duì)異常流量的主要來(lái)源之一Botnet進(jìn)行監(jiān)控，在其形成危害之前消除。中國(guó)電信網(wǎng)絡(luò)安全實(shí)驗(yàn)室已提出了一種基于網(wǎng)絡(luò)流量特征和DNS分析進(jìn)行僵尸網(wǎng)絡(luò)追溯的方案，部署難度及成本均較低，只需要對(duì)現(xiàn)有DNS系統(tǒng)進(jìn)行改造，并與現(xiàn)有的攻擊溯源系統(tǒng)對(duì)接即可。IP網(wǎng)安全支撐系統(tǒng)安全CTG-MBOSS，總的來(lái)看，設(shè)備層面的安全風(fēng)險(xiǎn)較低，建議加強(qiáng)內(nèi)控，完善用戶權(quán)限管控和安全審計(jì)工作。DNS，面臨的安全威脅主要有兩類：一類是域名劫持、緩存中毒等DNS欺騙攻擊，將用戶引導(dǎo)到錯(cuò)誤的站點(diǎn)；另一類是DDoS等異常流量攻擊，使DNS服務(wù)器無(wú)法響應(yīng)用戶域名解析請(qǐng)求。目前應(yīng)重點(diǎn)完善DNS安全監(jiān)控手段IP網(wǎng)安安全全應(yīng)用用系系統(tǒng)統(tǒng)安安全全業(yè)務(wù)務(wù)流流程程安安全全應(yīng)用用軟軟件件自自身身安安全全I(xiàn)P網(wǎng)安安全全安全全管管理理網(wǎng)絡(luò)絡(luò)安安全全專專業(yè)業(yè)化化的的趨趨勢(shì)勢(shì)使使網(wǎng)網(wǎng)絡(luò)絡(luò)安安全全管管理理成成為為電電信信運(yùn)運(yùn)營(yíng)營(yíng)商商網(wǎng)網(wǎng)絡(luò)絡(luò)運(yùn)運(yùn)營(yíng)營(yíng)工工作作的的一一項(xiàng)項(xiàng)重重要要課課題題。。網(wǎng)網(wǎng)絡(luò)絡(luò)安安全全管管理理平平臺(tái)臺(tái)SOC作為為網(wǎng)網(wǎng)絡(luò)絡(luò)安安全全管管理理的的重重要要技技術(shù)術(shù)支支撐撐手手段段，，是是目目前前中中國(guó)國(guó)電電信信網(wǎng)網(wǎng)絡(luò)絡(luò)安安全全工工作作的的重重點(diǎn)點(diǎn)。。IP網(wǎng)安全I(xiàn)Pv6演進(jìn)與很多人的認(rèn)認(rèn)識(shí)不同，在在IPv6環(huán)境下安全性性相較于IPv4網(wǎng)絡(luò)并沒(méi)有大大的提升因此，在目前前中國(guó)電信IPv4網(wǎng)絡(luò)向IPv6網(wǎng)絡(luò)過(guò)渡的時(shí)時(shí)期，仍需從從多方面考慮慮安全體系架架構(gòu)的建設(shè)和和完善，在原原有IPv4環(huán)境下安全措措施改進(jìn)的基基礎(chǔ)上，加強(qiáng)強(qiáng)對(duì)IPv6特定安全問(wèn)題題的防范以及及對(duì)過(guò)渡技術(shù)術(shù)安全問(wèn)題的的防范，網(wǎng)絡(luò)安全熱點(diǎn)點(diǎn)云安全云計(jì)算安全數(shù)據(jù)安全保護(hù)護(hù)業(yè)務(wù)連續(xù)性要要求：確保具具備高可用、、可靠的持續(xù)續(xù)服務(wù)能力云計(jì)算設(shè)施安安全高可用性和容容災(zāi)備份安全云電信運(yùn)營(yíng)商在在網(wǎng)絡(luò)安全運(yùn)運(yùn)營(yíng)領(lǐng)域應(yīng)用用云計(jì)算技術(shù)術(shù)主要包括安安全基礎(chǔ)設(shè)施施的“云化””，以及開(kāi)發(fā)發(fā)面向客戶的的云安全服務(wù)務(wù)物聯(lián)網(wǎng)安全存在特殊安全全問(wèn)題，特別別是感知網(wǎng)絡(luò)絡(luò)的安全，是是一個(gè)全新的的課題感知節(jié)點(diǎn)的物物理安全問(wèn)題題感知網(wǎng)絡(luò)的傳傳輸與信息安安全問(wèn)題目前，物聯(lián)網(wǎng)網(wǎng)通信安全研研究重點(diǎn)在節(jié)節(jié)點(diǎn)認(rèn)證、加加密、密鑰管管理、路由安安全和入侵檢檢測(cè)等方面物聯(lián)網(wǎng)應(yīng)用和和行業(yè)緊密相相關(guān)，可能有有特殊的安全全需求，作為為運(yùn)營(yíng)商，技技術(shù)建議如下下：構(gòu)建物聯(lián)網(wǎng)安安全管理平臺(tái)臺(tái)積極關(guān)注并參參與標(biāo)準(zhǔn)制定定工作網(wǎng)絡(luò)安全設(shè)備備防火墻IDS/IPS流量監(jiān)測(cè)分析析設(shè)備異常流量清洗洗設(shè)備DPIWAF從目前技術(shù)和和應(yīng)用的發(fā)展展來(lái)看，網(wǎng)絡(luò)絡(luò)安全設(shè)備主主要有以下發(fā)發(fā)展趨勢(shì)安全功能集成成化安全設(shè)備云化化硬件多核化結(jié)語(yǔ)2010年網(wǎng)絡(luò)安全總總體形勢(shì)仍然然十分嚴(yán)峻，，這將主要體體現(xiàn)在隨著移動(dòng)互聯(lián)聯(lián)網(wǎng)及業(yè)務(wù)應(yīng)應(yīng)用的不斷豐豐富，智能手手機(jī)終端等移移動(dòng)設(shè)備將成成為新的安全全事件多發(fā)源源地社交網(wǎng)絡(luò)與電電子商務(wù)平臺(tái)臺(tái)將成為被攻攻擊的重點(diǎn)云計(jì)算將在2010年得到進(jìn)一步步應(yīng)用，